Modifier des règles dans l'éditeur de règles

Compatible avec :

Google SecOps SIEM

L'éditeur de règles de Google Security Operations est l'interface principale pour créer, afficher, tester et gérer vos règles de détection YARA-L. Il fournit un environnement dédié aux ingénieurs en sécurité pour créer et affiner la logique de détection qui identifie les menaces et les activités suspectes dans les données de journaux ingérées.

Remarque : La zone de modification des règles inclut une fonctionnalité de saisie semi-automatique qui affiche la syntaxe YARA-L correcte pour chaque section de la règle. Utilisez cette fonctionnalité lorsque vous créez et modifiez une règle pour afficher des recommandations automatiques et vérifier que la syntaxe YARA-L est correcte.

Créer et modifier des règles

Pour ouvrir l'éditeur de règles, cliquez sur Détections > Règles et détections > Éditeur de règles.

Créer une règle

Les règles utilisent le langage de requête YARA-L 2.0. Avant de créer une règle pour la première fois, consultez Premiers pas : YARA-L 2.0 dans SecOps.

Pour créer une règle, procédez comme suit :

1. Dans l'éditeur de règles, cliquez sur Nouveau pour ouvrir la boîte de dialogue de modification des règles.

   Le système remplit automatiquement le modèle de règle par défaut et génère un nom unique pour la règle. Créez votre règle en YARA-L.

   Remarque : Si vous convertissez une requête de recherche en règle, incluez l'option nocase avec les filtres de la règle. L'interface Web de Search définit l'option par défaut pour Sensibilité à la casse sur Désactivé. L'ajout de l'option nocase garantit que votre règle a le même comportement. Pour obtenir un exemple de règle utilisant l'option nocase, consultez Expressions régulières dans une règle.

2. Dans le menu Lier à un champ d'application, sélectionnez le champ d'application pour l'ajouter à la règle. Pour en savoir plus sur l'ajout d'un champ d'application à une règle, consultez Impact du RBAC des données sur les règles.

3. Cliquez sur Enregistrer la nouvelle règle.

   Google SecOps vérifie la syntaxe de votre règle. Si la règle est valide, elle est enregistrée et activée automatiquement. Si la règle n'est pas valide, elle renvoie une erreur.

   La fréquence d'exécution des règles à événements multiples est automatiquement définie en fonction de la période de correspondance de la règle :

   • Pour une taille de fenêtre allant jusqu'à 48 heures, la fréquence d'exécution par défaut est d'une heure (personnalisable à 10 minutes pour les fenêtres de correspondance de moins de 60 minutes).
   • Pour une taille de fenêtre supérieure à 48 heures, la fréquence d'exécution est automatiquement définie sur match_window / 10.

   Pour en savoir plus, consultez Comprendre la planification de l'exécution des règles.

4. (Facultatif) Pour supprimer la nouvelle règle, cliquez sur Supprimer.

   Remarque : Une fois que vous avez enregistré une règle, vous ne pouvez pas la supprimer à l'aide de l'éditeur de règles ou du tableau de bord Règles. Pour supprimer une règle enregistrée, vous devez utiliser l'API Delete rule.

Modifier une règle

Pour modifier une règle existante, procédez comme suit :

1. Utilisez le champ Rechercher des règles pour trouver une règle existante ou faites défiler la liste des règles. Cliquez sur une règle dans le panneau latéral pour afficher les détails dans le panneau d'affichage des règles.

2. Sélectionnez la règle à modifier dans la liste des règles.

   La règle s'affiche dans la zone de modification des règles. Le menu des règles propose les options suivantes pour chaque règle :

   • Règle active : activez ou désactivez la règle.
   • Dupliquer la règle : créez une copie de la règle.
   • Afficher les détections de la règle : ouvrez la fenêtre Détections de la règle pour afficher les détections capturées par cette règle.

3. Pour mettre à jour le champ d'application de la règle, sélectionnez-le dans le menu Lier au champ d'application. Pour en savoir plus sur l'ajout d'un champ d'application à une règle, consultez Impact du RBAC des données sur les règles.

Afficher les détections actuelles

Pour afficher des informations sur les détections actuelles associées à une règle, procédez de l'une des manières suivantes :

• Cliquez sur la règle dans la liste des règles.

  Cliquez sur Afficher les détections de règles pour ouvrir la vue Détections de règles. Cette vue affiche les métadonnées de la règle et un graphique indiquant le nombre de détections trouvées par la règle au cours des derniers jours.

• Cliquez sur Modifier la règle pour ouvrir l'éditeur de règles.

  L'onglet Chronologie liste les événements détectés par la règle. Sélectionnez un événement et ouvrez le journal brut ou l'événement UDM associé.

  Pour modifier les informations affichées dans l'onglet Chronologie, cliquez sur view_column Colonnes pour ouvrir les options d'affichage multicolonnes. La vue multicolonne vous permet de choisir parmi différentes catégories d'informations de journal, y compris des types courants, tels que hostname et user, et des catégories plus spécifiques fournies par l'UDM.

Tester votre règle

Cliquez sur Tester pour tester vos règles personnalisées. Google SecOps exécute la règle sur les événements de la période spécifiée, génère des résultats et les affiche dans la fenêtre Résultats du test.

Remarque : Si votre règle utilise l'option suppression_window, elle n'est pas appliquée lorsque vous testez la règle à l'aide de l'option Exécuter le test. La suppression est une étape de post-traitement qui n'a lieu qu'après l'écriture des détections par une règle active.

Remarque : Les libellés de l'éditeur de règles dans l'ancienne vue sont légèrement différents. Pour en savoir plus, consultez Gérer vos préférences pour l'interface unifiée.

Cliquez sur Annuler à tout moment pour arrêter le processus.

Remarque : Les exécutions successives d'une même règle de test peuvent générer des détections de test différentes, ce qui est un comportement attendu. Google SecOps exécute une règle de test dans plusieurs processus parallèles, et les détections sont diffusées en continu dans le tableau de bord à mesure que chaque processus se termine. De légères différences de timing peuvent affecter les détections de doublons qui sont supprimées. Par extension, les résultats peuvent ne pas correspondre à ceux des règles actives ou des retrohunts.

Remarque : Les détections de règles de test ne sont pas conservées et ne génèrent pas d'alertes. Ce comportement permet aux auteurs de règles d'itérer sans affecter la production. Les détections de règles de test peuvent différer des détections de règles de rétrorecherche ou de règles actives, car les fenêtres d'évaluation peuvent être alignées différemment.

Remarque : Ces résultats de test ne sont pas enregistrés et ne seront pas visibles dans le tableau de bord Règles.

Pour en savoir plus, consultez Afficher les erreurs de règle.

Remarque : Cette fonctionnalité est couverte par les Conditions des offres pré-DG des Conditions spécifiques du service Google Security Operations. Les fonctionnalités pré-DG (avant disponibilité générale) sont susceptibles de présenter une compatibilité limitée, et les modifications apportées à ces fonctionnalités peuvent ne pas être compatibles avec d'autres versions avant disponibilité générale. Pour en savoir plus, consultez les Instructions relatives aux services d'assistance technique Google SecOps et les Conditions spécifiques du service Google SecOps.
Si cette fonctionnalité n'est pas visible dans votre environnement, consultez Gérer les fonctionnalités en preview ou contactez votre administrateur système.

Vous pouvez également exécuter les tests pour valider vos règles sélectionnées.

Comprendre la limite de charge utile pour les tests de règles

Pour éviter l'épuisement de la mémoire du navigateur et les plantages, la fonctionnalité Tester de la règle applique une limite stricte de 50 Mo pour la charge utile du flux. La limite est basée sur la taille totale de la charge utile non compressée plutôt que sur un nombre de lignes fixe. Par conséquent, le nombre de détections affichées varie en fonction de la taille des événements individuels et des charges utiles UDM.

Pour les clients Enterprise qui valident des règles YARA-L, si un test dépasse la limite, Google SecOps arrête de diffuser des détections supplémentaires, mais affiche celles qu'il a déjà reçues. La fenêtre affichera également la bannière d'avertissement suivante : Maximum test detections limit reached. The number of detections returned exceeds the maximum limit for rule testing. Results have been capped.

Pour tester des règles qui dépassent la limite de charge utile de 50 Mo, utilisez l'une des approches suivantes :

• Pour réduire la taille de la charge utile de la réponse, réduisez la période du test.
• Pour valider la logique de requête sur des ensembles de données plus volumineux, utilisez l'interface de recherche SIEM.
• Pour évaluer les règles sur de longues périodes historiques, exécutez une rétro-recherche. Les recherches rétroactives s'exécutent de manière asynchrone sur le backend et ne sont pas limitées par les limites de streaming du navigateur.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.