在规则编辑器中修改规则
Google Security Operations 中的规则编辑器是创建、查看、测试和管理 YARA-L 检测规则的主要界面。它为安全工程师提供了一个专用环境，用于编写和优化检测逻辑，以识别注入的日志数据中的威胁和可疑活动。
创建和修改规则
如需打开规则编辑器，请依次点击检测 > 规则和检测 > 规则编辑器。
新建规则
规则使用 YARA-L 2.0 查询语言。在首次创建新规则之前，请参阅开始使用：SecOps 中的 YARA-L 2.0。
如需创建新规则，请按以下步骤操作：
在规则编辑器中，点击新建以打开规则修改框。
系统会自动填充默认规则模板，并为规则生成唯一名称。在 YARA-L 中创建新规则。
在绑定到范围菜单中，选择要添加到规则中的范围。如需详细了解如何向规则添加范围，请参阅数据 RBAC 对规则的影响。
点击保存新规则。
Google SecOps 会检查规则的语法。如果规则有效，则系统会自动保存并启用该规则。如果规则无效，则会返回错误。
多事件规则的运行频率会根据规则的匹配窗口自动设置：
- 对于不超过 48 小时的匹配窗口，运行频率默认为 1 小时（对于 60 分钟以下的匹配窗口，可自定义为 10 分钟）。
- 对于超过 48 小时的窗口大小，运行频率会自动设置为
match_window / 10。
如需了解详情，请参阅了解规则运行时间安排。
（可选）如需删除新规则，请点击舍弃。
修改规则
如需修改现有规则，请按以下步骤操作：
使用搜索规则字段查找现有规则，或滚动浏览规则列表。点击侧边栏中的规则，即可在规则显示面板中查看详细信息。
从规则列表中选择要修改的规则。
该规则会显示在规则修改框中。规则菜单为每条规则提供以下选项：
- 实时规则：启用或停用规则。
- 复制规则：复制规则。
- 查看规则检测：打开规则检测窗口，显示此规则捕获的检测。
如需更新规则的范围，请从绑定到范围菜单中选择范围。如需详细了解如何向规则添加范围，请参阅数据 RBAC 对规则的影响。
查看当前检测项
您可以通过以下任一方式查看与规则相关联的当前检测信息：
在规则列表中点击相应规则。
点击查看规则检测以打开规则检测视图。此视图会显示规则的元数据，以及一张图表，显示在最近几天发现的规则数量。
点击修改规则以打开规则编辑器。
时间轴标签页会列出规则检测到的事件。 选择一个事件，然后打开关联的原始日志或 UDM 事件。
如需更改时间轴标签页上显示的信息，请点击 view_column 列以打开多列视图选项。通过多列视图，您可以从各种类别的日志信息中进行选择，包括常见类型（例如
hostname和user）以及 UDM 提供的更具体的类别。
测试规则
点击测试以测试您的自定义规则。Google SecOps 会针对指定时间范围内的事件运行规则，生成结果，并在测试结果窗口中显示这些结果。
您可以随时点击取消来停止此流程。
如需了解详情，请参阅查看规则错误。
您还可以执行测试来验证精选规则。
了解规则测试的载荷限制
为防止浏览器内存耗尽和崩溃，规则测试功能会强制执行严格的 50 MB 流载荷限制。此限制基于未压缩的载荷总大小，而非固定的行数，因此，显示的检测结果数量会因单个事件和 UDM 载荷大小而异。
对于验证 YARA-L 规则的企业客户，如果测试超出限制，Google SecOps 会停止流式传输其他检测结果，但会显示已收到的检测结果。该窗口还会显示以下警告横幅：Maximum test detections limit reached. The number of detections returned exceeds the maximum limit for rule testing. Results have been capped.
如需测试超出 50 MB 载荷限制的规则，请使用以下任一方法：