עריכת כללים בעורך הכללים

נתמך ב:

עורך הכללים ב-Google Security Operations הוא הממשק הראשי ליצירה, להצגה, לבדיקה ולניהול של כללי הזיהוי של YARA-L. הוא מספק סביבה ייעודית למהנדסי אבטחה כדי ליצור ולשפר לוגיקת זיהוי שמזהה איומים ופעילות חשודה בנתוני היומן שנאספו.

יצירה ועריכה של כללים

כדי לפתוח את עורך הכללים, לוחצים על זיהויים > כללים וזיהויים > עורך הכללים.

יצירת כלל חדש

הכללים משתמשים בשפת השאילתות YARA-L 2.0. לפני שיוצרים כלל חדש בפעם הראשונה, כדאי לעיין במאמר תחילת העבודה: YARA-L 2.0 ב-SecOps.

כדי ליצור כלל חדש, פועלים לפי השלבים הבאים:

  1. בעורך הכללים, לוחצים על חדש כדי לפתוח את תיבת עריכת הכללים.

    המערכת מאכלסת באופן אוטומטי את תבנית ברירת המחדל של הכלל ויוצרת שם ייחודי לכלל. יוצרים את הכלל החדש ב-YARA-L.

  2. בתפריט Bind to scope, בוחרים את ההיקף כדי להוסיף אותו לכלל. למידע נוסף על הוספת היקף לכלל, ראו ההשפעה של RBAC של נתונים על כללים.

  3. לוחצים על שמירת כלל חדש.

    מערכת Google SecOps בודקת את התחביר של הכלל. אם הכלל תקין, הוא נשמר ומופעל באופן אוטומטי. אם הכלל לא תקין, תוחזר שגיאה.

    תדירות ההפעלה של כללים עם כמה אירועים מוגדרת באופן אוטומטי על סמך חלון ההתאמה של הכלל:

    • בחלון זמן של עד 48 שעות, תדירות ההפעלה שמוגדרת כברירת מחדל היא שעה אחת (אפשר להתאים אישית ל-10 דקות בחלונות זמן של פחות מ-60 דקות).
    • אם חלון הזמן ארוך מ-48 שעות, תדירות ההרצה מוגדרת באופן אוטומטי ל-match_window / 10.

    מידע נוסף זמין במאמר הסבר על תזמון הפעלת כללים.

  4. (אופציונלי) כדי למחוק את הכלל החדש, לוחצים על מחיקה.

עריכת כלל

כדי לערוך כלל קיים:

  1. משתמשים בשדה חיפוש כללים כדי למצוא כלל קיים, או גוללים ברשימת הכללים. לוחצים על כלל בחלונית הצדדית כדי לראות את הפרטים בחלונית התצוגה של הכלל.

  2. בוחרים את הכלל שרוצים לערוך מתוך רשימת הכללים.

    הכלל מוצג בתיבה לעריכת כללים. בתפריט הכללים יש את האפשרויות הבאות לכל כלל:

    • כלל פעיל: הפעלה או השבתה של הכלל.
    • שכפול כלל: יצירת עותק של הכלל.
    • הצגת זיהויים של כללים: פותחים את החלון זיהויים של כללים כדי להציג את הזיהויים שנתפסו על ידי הכלל הזה.

  3. כדי לעדכן את היקף הכלל, בוחרים את ההיקף בתפריט Bind to scope. מידע נוסף על הוספת היקף לכלל זמין במאמר ההשפעה של RBAC על נתונים בכללים.

הצגת הזיהויים הנוכחיים

כדי לראות מידע על זיהויים נוכחיים שמשויכים לכלל, אפשר לבחור באחת מהאפשרויות הבאות:

  • לוחצים על הכלל ברשימת הכללים.

    לוחצים על הצגת זיהויים של כללים כדי לפתוח את התצוגה זיהויים של כללים. בתצוגה הזו מוצגים המטא-נתונים של הכלל ותרשים שמראה את מספר הזיהויים שהכלל מצא בימים האחרונים.

  • לוחצים על עריכת כלל כדי לפתוח את עורך הכללים.

    בכרטיסייה ציר הזמן מופיעים אירועים שזוהו על ידי הכלל. בוחרים אירוע ופותחים את היומן הגולמי או את אירוע ה-UDM שמשויכים אליו.

    כדי לשנות את המידע שמוצג בכרטיסייה Timeline, לוחצים על view_column Columns כדי לפתוח את אפשרויות התצוגה של כמה עמודות. בתצוגה של כמה עמודות אפשר לבחור מבין קטגוריות שונות של מידע ביומן, כולל סוגים נפוצים כמו hostname ו-user, וקטגוריות ספציפיות יותר שסופקו על ידי UDM.

בדיקת הכלל

לוחצים על בדיקה כדי לבדוק את הכללים בהתאמה אישית. מערכת Google SecOps מריצה את הכלל על אירועים בטווח התאריכים שצוין, יוצרת תוצאות ומציגה אותן בחלון Test results.

כדי לעצור את התהליך, אפשר ללחוץ על ביטול בכל שלב.

מידע נוסף על הצגת שגיאות בכללים

אתם יכולים גם להריץ את הבדיקות כדי לאמת את הכללים שאספתם.

הסבר על מגבלת המטען הייעודי (payload) לבדיקות של כללים

כדי למנוע קריסות וניצול יתר של הזיכרון בדפדפן, התכונה בדיקה של הכלל אוכפת מגבלה מחמירה של 50MB על המטען הייעודי (payload) של הסטרימינג. המגבלה מבוססת על הגודל הכולל של המטען הייעודי (payload) הלא דחוס, ולא על מספר שורות קבוע. לכן, מספר הזיהויים שמוצגים משתנה בהתאם לגודל של המטען הייעודי של האירוע הספציפי ושל ה-UDM.

אם לקוחות Enterprise מאמתים כללי YARA-L ובדיקה חורגת מהמגבלה, Google SecOps מפסיק להעביר זיהויים נוספים, אבל מציג את הזיהויים שהוא כבר קיבל. בחלון תוצג גם אזהרה: Maximum test detections limit reached. The number of detections returned exceeds the maximum limit for rule testing. Results have been capped.

כדי לבדוק כללים שחורגים ממגבלת המטען הייעודי של 50MB, אפשר להשתמש באחת מהשיטות הבאות:

  • כדי להקטין את המטען הייעודי (payload) של התגובה, צריך לצמצם את טווח התאריכים של הבדיקה.
  • כדי לאמת את הלוגיקה של השאילתה בקבוצות נתונים גדולות יותר, משתמשים בממשק SIEM Search.
  • כדי להעריך כללים בטווחי תאריכים היסטוריים גדולים, מריצים חיפוש רטרואקטיבי. חיפושים מסוג Retrohunt פועלים באופן אסינכרוני בקצה העורפי, והם לא מוגבלים על ידי מגבלות הסטרימינג של הדפדפן.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.