Mengonfigurasi pengecualian aturan
Membuat pengecualian dari tab Pengecualian
Anda mungkin mendapati bahwa deteksi yang diseleksi yang disediakan oleh tim Google Cloud Threat Intelligence (GCTI) menghasilkan terlalu banyak deteksi. Anda dapat mengonfigurasi pengecualian ke aturan deteksi pilihan untuk membantu mengurangi volume deteksi ini. Pengecualian aturan hanya digunakan dengan deteksi yang diseleksi Google Security Operations.
Untuk mengonfigurasi pengecualian ke aturan deteksi yang diseleksi, selesaikan langkah-langkah berikut:
Di menu navigasi, pilih Aturan & Deteksi. Klik tab Exclusions.
Klik Buat Pengecualian untuk membuat pengecualian baru. Jendela Create Exclusion akan terbuka.
Gambar 1: Buat Pengecualian
Tentukan nama pengecualian yang unik. Nama ini akan muncul dalam daftar pengecualian di tab Pengecualian.
Pilih Aturan atau Kumpulan Aturan tempat pengecualian akan diterapkan. Anda dapat men-scroll daftar aturan atau menelusuri aturan tertentu menggunakan kolom penelusuran dan mengklik Telusuri. Aturan dalam kumpulan aturan hanya ditampilkan jika aturan tersebut memicu deteksi.
Masukkan nilai UDM yang akan dikecualikan dengan memilih Kolom UDM, menentukan operator, dan memasukkan nilai. Anda harus menekan tombol Enter untuk setiap nilai. Jika tidak, Anda akan menerima pesan error saat mengklik + Pernyataan Bersyarat. Misalnya, Anda mungkin ingin mengonfigurasi pengecualian saat
principal.hostname = google.com.Anda dapat memasukkan nilai tambahan ke kondisi. Setiap kali Anda menekan tombol Enter, nilai akan dicatat dan Anda dapat memasukkan nilai lain. Beberapa nilai untuk satu kondisi digabungkan menggunakan OR logika, yang berarti pengecualian cocok jika salah satu nilai cocok.
Anda dapat menambahkan kondisi tambahan ke pengecualian ini dengan mengklik + Pernyataan Bersyarat. Jika Anda mencoba menentukan kondisi yang tidak valid, Anda akan menerima pesan error. Beberapa kondisi digabungkan menggunakan AND logis, yang berarti pengecualian hanya cocok jika setiap kondisi juga cocok.
(Opsional) Klik Jalankan Pengujian untuk menentukan jumlah pengecualian yang akan dibuat jika diaktifkan, yang dihitung dengan mengevaluasi pengecualian selama dua minggu terakhir dari deteksi yang dicatat.
(Opsional) Hapus centang Aktifkan Pengecualian Setelah Pembuatan jika Anda ingin menonaktifkan pengecualian untuk saat ini (opsi ini diaktifkan secara default).
Klik Add Rule Exclusion jika sudah siap.
Membuat pengecualian dari penampil UDM
Anda juga dapat membuat pengecualian dari dalam penampil UDM dengan menyelesaikan langkah-langkah berikut:
Di menu navigasi, pilih Aturan & Deteksi. Klik tab Deteksi Terpilih.
Klik Dasbor, lalu pilih aturan dengan deteksi.
Buka peristiwa di Linimasa, lalu klik ikon Log Mentah dan Event Viewer UDM.
Di tampilan Peristiwa UDM, pilih kolom UDM yang akan dikecualikan, pilih Lihat Opsi, lalu pilih Kecualikan. Jendela Create Exclusion akan terbuka. Jendela ini sudah diisi sebelumnya dengan aturan, kolom UDM, dan nilai yang diambil dari pilihan UDM Anda.
Beri nama unik untuk pengecualian baru.
(Opsional) Klik Jalankan Pengujian untuk menentukan jumlah pengecualian yang akan dibuat jika diaktifkan, yang dihitung dengan mengevaluasi pengecualian selama dua minggu terakhir dari deteksi yang dicatat.
Klik Add Rule Exclusion jika sudah siap.
Mengelola pengecualian
Setelah membuat satu atau beberapa pengecualian, Anda memiliki opsi berikut dari tab Pengecualian (di menu navigasi, pilih Aturan & Deteksi. Klik tab Exclusions.):
- Pengecualian tercantum dalam tabel pengecualian. Anda dapat menonaktifkan pengecualian yang tercantum dengan menyetel tombol Diaktifkan ke Nonaktif.
- Anda dapat memfilter pengecualian yang ditampilkan dengan mengklik ikon filter . Pilih opsi Diaktifkan, Dinonaktifkan, atau Diarsipkan sesuai kebutuhan.
- Untuk mengedit pengecualian, klik ikon menu , lalu pilih Edit.
- Untuk mengarsipkan pengecualian, klik ikon menu , lalu pilih Arsipkan.
- Untuk membatalkan pengarsipan pengecualian, klik ikon menu , lalu pilih Batalkan pengarsipan.