Comprendre les limites de détection

Compatible avec :

Google Security Operations présente les limites suivantes en ce qui concerne les détections :

  • Chaque version de règle est limitée à 10 000 détections par jour. Cette limite est réinitialisée à minuit UTC.

    Par exemple, si une version de règle a généré 9 900 détections avant 15h00 UTC le 1er janvier et que toutes ces détections ont une heure de détection le 1er janvier, elle ne générera que 100 détections supplémentaires avec une heure de détection le 1er janvier. Le 2 janvier, la version de la règle peut générer 10 000 nouvelles détections pour cette journée.

  • Si la version de la règle est mise à jour, la limite est réinitialisée et la règle peut à nouveau générer 10 000 détections le même jour.

    Par exemple, si une version de règle a généré 9 900 détections avant 15h00 UTC le 1er janvier et que toutes ces détections ont une heure de détection le 1er janvier, elle ne générera que 100 détections supplémentaires avec une heure de détection le 1er janvier. Si la version d'une règle est mise à jour à 16h le 1er janvier, elle peut générer 10 000 détections dont l'heure de détection est le 1er janvier jusqu'à la fin de la journée. Le 2 janvier, la version de la règle peut générer 10 000 nouvelles détections pour cette journée.

  • Le tableau de bord des règles peut afficher jusqu'à 50 Mo de données de détection. Si la taille totale des détections dépasse cette limite, l'interface affiche un message indiquant que les données sont incomplètes. Cela signifie que le système a généré plus de détections que l'interface ne peut en afficher, mais que les détections existent toujours et ne sont pas perdues.

  • L'exécution d'une recherche rétroactive après la mise à jour de la liste de référence ne réinitialise pas les limites de détection existantes et n'en génère pas. Si la limite de détection existante a déjà été atteinte, aucune nouvelle détection n'est générée.

  • Limites des rétro-chasses :

    • Vous ne pouvez pas exécuter plus de trois jobs de rétrochasse simultanément par instance ou locataire Google SecOps.
    • La taille combinée du texte de toutes les règles ne doit pas dépasser 1 Mo.
    • Si vous exécutez plusieurs analyses rétroactives en parallèle, le système alloue des ressources à partir de la même instance Google SecOps. Cela peut entraîner un ralentissement des performances ou des retards dans l'exécution des tâches.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.