在进行产品安全管理的时候，如果管理人员把告警规则设置得不合理，就很容易导致麻烦的情况发生，所以关于Cybellum告警规则怎么设置，以及Cybellum告警规则噪声太多怎么优化这两个问题，它的核心逻辑并不是要把所有的通知功能全部打开，而是需要管理人员让告警信息围抱着产品的版本、风险的具体等级、组件的各种来源、漏洞目前的状态还有具体的责任人去触发，这样才能让告警信息去推动后续的处理工作。

　　一、Cybellum告警规则怎么设置

　　在对告警规则进行配置之前，管理人员首先需要把一些问题想明白，比如到底谁需要接收到这些告警，还有什么样的情况才算得上是值得去告警的，以及在告警发出来之后应该由谁来负责处理，如果这些前置的问题没有被定义清楚，只是在平台里面把默认的通知开关打开了，那么在后续的使用中大概率就会发生重复推送信息、覆盖范围太大、还有责任划分不清楚的状况。

　　1、先确定告警对象和产品范围

　　当管理人员进入到了产品、资产或者是风险管理的页面之后，首先要做的是按照产品线、产品不同的版本、供应商的名称还有组件的类型把告警的范围给划分出来，像是一些量产的版本、在客户现场运行的版本、带有联网功能的模块以及安全关键组件，这些都应该被优先放进告警的范围里；而对于那些处于开发测试阶段的版本、历史归档的版本或者是已经停用了的资产，大家可以给它们单独去设置一些频率比较低的提醒，或者干脆只保留定期的汇总信息。

　　2、按风险条件设置触发规则

　　关于告警的触发条件，我们可以围绕着漏洞的等级、风险的优先级别、组件属于什么类型、有没有对量产版本造成影响、目前是不是已经有了被利用的信息、外部能不能够触达到、以及有没有超过规定的修复期限这些方面来开展设置，大家不要只根据CVSS的分数去设置那种一刀切的规则，因为有很多分数看起来很高的漏洞在当前的产品环境里其实不一定能被触发，而有一些分数虽然只是中等的漏洞，却可能已经跑到了真实的攻击场景里面。

　　3、绑定责任人和处理流程

　　我们在配置告警规则的时候不能仅仅只是把收件人写上去，还必须要去绑定具体处理事情的人、团队、供应商的接口人或者是相应的任务流，就拿供应商组件的漏洞来说，系统应该把它推给供应商管理人员和产品安全的负责人，如果是自研组件产生的漏洞就要推给研发的负责人，而跟合规相关的告警则应该推给安全合规的负责人，要是企业在内部已经使用了缺陷系统或者是工单系统，那么也需要去确认一下告警能不能被同步到相应的流程当中。

　　二、Cybellum告警规则怎么优化

　　对告警进行优化并不是简单地把数量给减少，而是需要去提高它的有效性，真正好用的告警规则应当能够让重要的风险及时找到对应的人，让普通级别的风险进入到一种有节奏的处理状态中，让那些已经确认没有影响的内容不再反复地打扰大家，并且让长期没有人处理的问题能够获得升级的机会。

　　1、建立分层告警策略

　　我们可以把告警分成即时告警、每日的汇总、每周的汇总以及升级提醒这几种，即时告警只需要留给那些已知被利用的漏洞、影响到了量产版本的高风险漏洞、关键供应商的组件风险、还有超过了SLA却还没有被修复的问题，每日汇总则比较适合用来处理中风险和新增加的风险，而每周汇总更适合用来做趋势的复盘、观察供应商的表现、查看长期的延期项和低风险的积压问题。

　　2、用标签和条件减少重复推送

　　我们可以给不同类型的风险打上各种标签，比如量产版本、供应商组件、外部接口、关键功能、待供应商确认、已接受风险、还有需复扫验证等，让告警规则再按照这些标签组合起来去触发，这要比单纯依靠漏洞等级来触发显得更加准确一些。

　　3、定期复盘告警命中质量

　　告警规则在设置好了之后是不能长期丢在那里不管的，大家每隔一段时间就要去看一看告警命中的质量怎么样：比如哪些告警是有被及时处理掉的，哪些是长期没有人去响应的，哪些被大家反复标记成了误报，还有哪些规则虽然每天都在推送但是没有什么实际的价值，对于那些噪声最多的规则，我们需要回过头去调整它的范围、阈值、状态过滤还有具体的接收人。

　　三、Cybellum告警规则噪声太多通常是什么原因

　　如果平台里产生的告警噪声特别多，这其实不一定是因为平台的误报率太高了，这也可能是由于规则设置得太宽泛了、对状态的过滤不够严格、同一个漏洞被反复触发了、历史的版本没有被排除出去、或者是因为没有把误报和那些已经被接受了的风险从推送的范围里剃掉，我们在进行排查的时候需要先去看一看告警到底是哪里来的，而不是马上把所有的通知都给关掉。

　　1、规则范围过大导致低价值告警太多

　　大家最经常遇到的问题就是一条规则把全部的产品、所有的版本、所有的组件和所有的漏洞等级都给包含进去了，这样一来的话，开发版本、测试版本、历史的固件还有供应商以前的旧包就会一直不停地去触发告警，导致那些真正紧急的问题反而被一堆消息给淹没了。

　　2、重复组件和多来源数据没有合并

　　Cybellum这个平台会把SBOM、固件分析出来的结果、源码的依赖还有供应商的清单等很多数据放在一起进行管理，要是同一个组件在好多个来源里面都出现了，但是大家在前期没有做好合并、去重以及版本的确认工作，那么同一个漏洞就很有可能会在好多个组件记录上反复地冒出来，让人看起来觉得有很多告警，但实际上可能只是同一类问题在被重复地触发。

　　3、状态过滤和关闭条件没有设置好

　　有些漏洞在明明已经确认是误报，或者是已经被修复风险了，系统却还在继续推送消息，这通常是因为告警规则在设置的时候没有把这些状态排除掉。还有一些告警是由于报告的字段、风险的字段和漏洞的字段在状态上没有同步好，从而导致了看板里面虽然显示已经关闭了，但是通知里却还在不断提醒。

　　总结

　　关于Cybellum告警规则怎么设置，它的重点在于要按照产品的版本、风险的具体等级、组件的各种来源、漏洞的状态还有相关的责任人来进行配置，而关于Cybellum告警规则噪声太多怎么优化，它的关键地方在于要缩小规则的范围、把重复的组件进行合并、把已关闭的状态给过滤掉、分层去设置通知的频率，并且要定期去复盘告警的质量，因为真正有效果的告警并不是数量越多越好，而是要让重要的问题能够及时推送到正确的人手里，让普通的风险能够进入到稳定的处理节奏当中，从而让那些已经确认了没有影响的问题不再反复地去干扰整个团队。