Regeln im Regeleditor bearbeiten

Unterstützt in:

Google SecOps SIEM

Der Regeleditor in Google Security Operations ist die primäre Schnittstelle zum Erstellen, Ansehen, Testen und Verwalten Ihrer YARA-L-Erkennungsregeln. Sie bietet Sicherheitsexperten eine dedizierte Umgebung, in der sie Erkennungslogik erstellen und verfeinern können, um Bedrohungen und verdächtige Aktivitäten in aufgenommenen Logdaten zu identifizieren.

Hinweis: Das Feld zum Bearbeiten von Regeln enthält eine Funktion zur automatischen Vervollständigung, mit der die korrekte YARA-L-Syntax für jeden Abschnitt der Regel angezeigt wird. Verwenden Sie diese Funktion, wenn Sie eine Regel erstellen und bearbeiten, um automatische Empfehlungen zu erhalten und die korrekte YARA-L-Syntax zu überprüfen.

Regeln erstellen und bearbeiten

Klicken Sie zum Öffnen des Regeleditors auf Erkennungen > Regeln und Erkennungen > Regeleditor.

Neue Regel erstellen

Regeln verwenden die Abfragesprache YARA-L 2.0. Bevor Sie zum ersten Mal eine neue Regel erstellen, lesen Sie Erste Schritte: YARA-L 2.0 in SecOps.

So erstellen Sie eine neue Regel:

1. Klicken Sie im Regeleditor auf Neu, um das Feld zum Bearbeiten von Regeln zu öffnen.

   Das System füllt die Standardregelvorlage automatisch aus und generiert einen eindeutigen Namen für die Regel. Erstellen Sie die neue Regel in YARA-L.

   Hinweis: Wenn Sie eine Suchanfrage in eine Regel umwandeln, fügen Sie die Option nocase zu den Regelfiltern hinzu. In der Weboberfläche der Suche ist die Standardoption für Groß-/Kleinschreibung beachten auf Aus festgelegt. Wenn Sie die Option nocase hinzufügen, wird sichergestellt, dass Ihre Regel dasselbe Verhalten aufweist. Ein Beispiel für eine Regel mit der Option nocase finden Sie unter Reguläre Ausdrücke in einer Regel.

2. Wählen Sie im Menü An Bereich binden den Bereich aus, um ihn der Regel hinzuzufügen. Weitere Informationen zum Hinzufügen eines Bereichs zu einer Regel finden Sie unter Auswirkungen der rollenbasierten Zugriffssteuerung für Daten auf Regeln.

3. Klicken Sie auf Neue Regel speichern.

   Google SecOps prüft die Syntax Ihrer Regel. Wenn die Regel gültig ist, wird sie automatisch gespeichert und aktiviert. Wenn die Regel ungültig ist, wird ein Fehler zurückgegeben.

   Die Ausführungshäufigkeit für Regeln für mehrere Ereignisse wird automatisch anhand des Übereinstimmungsfensters der Regel festgelegt:

   • Bei einer Fenstergröße von bis zu 48 Stunden beträgt die Standardausführungshäufigkeit 1 Stunde. Bei Abgleichsfenstern von weniger als 60 Minuten kann sie auf 10 Minuten angepasst werden.
   • Bei einer Fenstergröße von mehr als 48 Stunden wird die Häufigkeit der Ausführung automatisch auf match_window / 10 festgelegt.

   Weitere Informationen finden Sie unter Informationen zur Planung der Regelausführung.

4. Optional: Wenn Sie die neue Regel löschen möchten, klicken Sie auf Verwerfen.

   Hinweis: Nachdem Sie eine Regel gespeichert haben, können Sie sie nicht mehr über den Regel-Editor oder das Dashboard Regeln löschen. Wenn Sie eine gespeicherte Regel löschen möchten, müssen Sie die Delete rule API verwenden.

Regel bearbeiten

So bearbeiten Sie eine vorhandene Regel:

1. Verwenden Sie das Feld Regeln suchen, um eine vorhandene Regel zu finden, oder scrollen Sie durch die Regelliste. Klicken Sie in der Seitenleiste auf eine Regel, um die Details im Anzeigebereich für Regeln aufzurufen.

2. Wählen Sie in der Regelliste die Regel aus, die Sie bearbeiten möchten.

   Die Regel wird im Feld zur Regelbearbeitung angezeigt. Das Regelmenü bietet für jede Regel die folgenden Optionen:

   • Live-Regel: Aktivieren oder deaktivieren Sie die Regel.
   • Regel duplizieren: Erstellt eine Kopie der Regel.
   • Regelerkennungen ansehen: Öffnen Sie das Fenster Regelerkennungen, um die von dieser Regel erfassten Erkennungen anzuzeigen.

3. Wenn Sie den Bereich der Regel aktualisieren möchten, wählen Sie ihn im Menü An Bereich binden aus. Weitere Informationen zum Hinzufügen eines Bereichs zu einer Regel finden Sie unter Auswirkungen der rollenbasierten Zugriffssteuerung für Daten auf Regeln.

Aktuelle Erkennungen ansehen

Informationen zu aktuellen Erkennungen, die mit einer Regel verknüpft sind, können Sie auf eine der folgenden Arten aufrufen:

• Klicken Sie in der Regelliste auf die Regel.

  Klicken Sie auf Regelerkennungen ansehen, um die Ansicht Regelerkennungen zu öffnen. In dieser Ansicht werden die Metadaten der Regel und ein Diagramm mit der Anzahl der Erkennungen angezeigt, die in den letzten Tagen durch die Regel gefunden wurden.

• Klicken Sie auf Regel bearbeiten, um den Regeleditor zu öffnen.

  Auf dem Tab Zeitachse werden die von der Regel erkannten Ereignisse aufgeführt. Wählen Sie ein Ereignis aus und öffnen Sie das zugehörige Rohprotokoll oder UDM-Ereignis.

  Wenn Sie die auf dem Tab Zeitachse angezeigten Informationen ändern möchten, klicken Sie auf view_column Spalten, um die Optionen für die mehrspaltige Ansicht zu öffnen. In der mehrspaltigen Ansicht können Sie aus verschiedenen Kategorien von Loginformationen auswählen, darunter gängige Typen wie hostname und user sowie spezifischere Kategorien, die von UDM bereitgestellt werden.

Regel testen

Klicken Sie auf Testen, um Ihre benutzerdefinierten Regeln zu testen. Google SecOps führt die Regel für Ereignisse im angegebenen Zeitraum aus, generiert Ergebnisse und zeigt sie im Fenster Testergebnisse an.

Hinweis: Wenn Ihre Regel die Option suppression_window verwendet, wird diese Option nicht angewendet, wenn Sie die Regel mit Test ausführen testen. Die Unterdrückung ist ein Nachbearbeitungsschritt, der erst erfolgt, nachdem Erkennungen von einer Live-Regel geschrieben wurden.

Hinweis: Die Labels im Regeleditor in der alten Ansicht unterscheiden sich geringfügig. Weitere Informationen finden Sie unter Einstellungen für die einheitliche Benutzeroberfläche verwalten.

Sie können jederzeit auf Abbrechen klicken, um den Vorgang zu beenden.

Hinweis: Bei aufeinanderfolgenden Ausführungen derselben Testregel können unterschiedliche Testerkennungen generiert werden. Das ist das erwartete Verhalten. Google SecOps führt eine Testregel in mehreren parallelen Prozessen aus. Die Erkennungen werden an das Dashboard gestreamt, sobald die einzelnen Prozesse abgeschlossen sind. Geringfügige Zeitunterschiede können sich darauf auswirken, welche doppelten Erkennungen entfernt werden. Daher stimmen die Ergebnisse möglicherweise nicht mit denen von Live-Regeln oder Retrohunts überein.

Hinweis: Erkennungen von Testregeln werden nicht beibehalten und generieren keine Benachrichtigungen. Dieses Verhalten ermöglicht es Regelautoren, Iterationen durchzuführen, ohne die Produktion zu beeinträchtigen. Die Erkennungen von Testregeln können sich von Retrohunt- oder Live-Regelerkennungen unterscheiden, da die Bewertungsfenster möglicherweise anders ausgerichtet sind.

Hinweis: Diese Testergebnisse werden nicht gespeichert und können nicht im Dashboard Regeln angezeigt werden.

Weitere Informationen finden Sie unter Regelfehler ansehen.

Hinweis: Dieses Feature unterliegt den Bedingungen des Pre-GA-Angebots in den dienstspezifischen Nutzungsbedingungen für Google Security Operations. Pre-GA-Features werden eventuell nur eingeschränkt unterstützt und Änderungen an diesen Features sind möglicherweise nicht mit anderen Pre-GA-Versionen kompatibel. Weitere Informationen finden Sie in den Richtlinien für den technischen Support von Google SecOps und den dienstspezifischen Nutzungsbedingungen für Google SecOps.
Wenn diese Funktion in Ihrer Umgebung nicht sichtbar ist, lesen Sie den Hilfeartikel Funktionen in der Vorabversion verwalten oder wenden Sie sich an Ihren Systemadministrator.

Sie können die Tests auch ausführen, um Ihre kuratierten Regeln zu validieren.

Nutzlastlimit für Regeltests

Um zu verhindern, dass der Arbeitsspeicher des Browsers erschöpft wird und der Browser abstürzt, wird mit der Funktion Test für Regeln ein striktes Limit von 50 MB für die Stream-Nutzlast erzwungen. Das Limit basiert auf der unkomprimierten Gesamtgröße der Nutzlast und nicht auf einer festen Zeilenanzahl. Daher variiert die Anzahl der angezeigten Erkennungen je nach Größe der einzelnen Ereignisse und UDM-Nutzlasten.

Wenn ein Test das Limit überschreitet, beendet Google SecOps das Streamen zusätzlicher Erkennungen, zeigt aber die bereits empfangenen Erkennungen an. Dies gilt für Enterprise-Kunden, die YARA-L-Regeln validieren. Im Fenster wird außerdem das folgende Warnbanner angezeigt: Maximum test detections limit reached. The number of detections returned exceeds the maximum limit for rule testing. Results have been capped.

Wenn Sie Regeln testen möchten, die das Nutzlastlimit von 50 MB überschreiten, haben Sie folgende Möglichkeiten:

• Wenn Sie die Größe der Antwortnutzlast reduzieren möchten, verkleinern Sie den Testzeitraum.
• Wenn Sie die Abfragelogik für größere Datasets validieren möchten, verwenden Sie die SIEM-Suche.
• Wenn Sie Regeln für große historische Zeiträume auswerten möchten, führen Sie eine Retrohunt aus. Retrohunts werden asynchron im Backend ausgeführt und sind nicht durch Browser-Streaming-Limits eingeschränkt.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten