管理大型快訊

透過連接器或 Webhook 擷取的大多數安全性警示，都不會影響系統效能。不過，如果快訊超過 26.7 MB (2,800 萬個半形字元) 或超過特定事件和關係計數門檻，系統就會觸發自動緩解程序 (又稱修剪)，避免處理延遲。

本頁面說明不同的修剪機制、限制，以及避免快訊遭到修剪的最佳做法。

擷取前快訊修剪 (依大小)

如果快訊大小超過 26.7 MB (2,800 萬個字元)，平台會在快訊排入佇列以供擷取前，觸發階段性修剪程序。平台會依序執行每個階段，只有在前一階段未能將快訊大小縮減至 26.7 MB 以下時，才會啟動下一個階段：

1. 修剪最大的資料欄位：系統會找出每個事件原始資料中最大的欄位。如果欄位值超過 35 個字元，系統會將該值替換為常值字串："Trimmed due to alert size violation."
2. 修剪欄位計數：每個事件的資料欄位總數最多為 100 個，且系統會優先處理較短的欄位。超過這項限制的欄位都會遭到移除。
3. 減少事件數量：警報中的事件總數最多為 50 個，系統會根據原始資料大小，優先顯示較短的事件。超過上限的事件會遭到移除。

瀏覽權限和通知

• 系統通知：當快訊遭到修剪時，系統會發出通知，並顯示以下訊息：
  Alert <alert name> with ID <alert id> was trimmed due to maximum alert size violation. Please check connectors configuration
• 案件檢視畫面：案件本身沒有直接的視覺指示，但快訊欄位包含設為 isTrimmed: true 的屬性。

擷取管道修剪 (事件數量限制)

如果快訊包含超過 500 個事件，系統會在擷取期間捨棄多餘的事件。

• 快訊屬性：快訊會標記 IsCaseEventsOverFlowFlag: true 屬性。
• 模擬案件通知：每隔 60 分鐘，系統會建立含有後置字元 ***OVERFLOW*** 的模擬案件，並通知管理員。

實體和關係修剪

為維持效能，系統會將警告中的實體和關係數量限制在 500 個以內。

修剪作業的執行方式如下：

1. 修剪重複關係：如果關係超過 500 個，系統會先移除重複關係 (即兩個實體在多個活動中連結，即使識別碼不同也算)。
2. 一對多實體和關係修剪：
   • 系統會找出與 15 個以上同類型「相關實體」相關聯的「重要實體」。
   • 對於這些相關實體，系統會：
     • 只保留最常出現的實體類型。
     • 排除有多個關係的實體。
     • 排除同時歸類為重要實體的實體。
   • 系統會刪除相關實體和關聯，直到總數低於 500，同時維持各實體類型在原始集合中的比例。

高額豁免

如果快訊一開始包含超過 10,000 個實體或關係，系統不會執行任何修剪作業。這項豁免條件可避免因來源連接器或本體對應問題嚴重，而導致快訊損毀。

避免遭到裁剪的最佳做法

如要避免系統縮短快訊，請套用下列最佳化設定：

• 篩除不必要的欄位：設定連接器或 Webhook 來源，只傳送必要欄位，並排除大型診斷酬載。
• 限制事件數量：設定擷取篩選器，以邏輯方式將快訊分組，或限制每個輪詢週期擷取的事件數量上限。
• 最佳化本體對應：請確保本體對應準確無誤，且不會產生不必要的實體關係，導致快訊超出 500 或 10,000 個實體的限制。
• 避免大型欄位值：請確認欄位不會擷取超過 35 個字元的單一欄位門檻，以免擷取大量非結構化資料 Blob (例如原始記錄傾印或 Base64 檔案)。

如要瞭解預設服務限制，請參閱「服務限制」。

如要調整限制參數值，請與 Google 支援團隊聯絡。