Mengedit aturan di Editor Aturan

Didukung di:

Google SecOps SIEM

Editor Aturan di Google Security Operations adalah antarmuka utama untuk membuat, melihat, menguji, dan mengelola aturan deteksi YARA-L Anda. Fitur ini menyediakan lingkungan khusus bagi engineer keamanan untuk menulis dan menyempurnakan logika deteksi yang mengidentifikasi ancaman dan aktivitas mencurigakan dalam data log yang diserap.

Catatan: Kotak pengeditan aturan menyertakan fitur penyelesaian otomatis untuk menampilkan sintaksis YARA-L yang benar untuk setiap bagian aturan. Gunakan fitur ini saat Anda membuat dan mengedit aturan untuk melihat rekomendasi otomatis dan memverifikasi sintaksis YARA-L yang benar.

Membuat dan mengedit aturan

Untuk membuka Rules Editor, klik Detections > Rules & detections > Rules Editor.

Buat aturan baru

Aturan menggunakan bahasa kueri YARA-L 2.0. Sebelum membuat aturan baru untuk pertama kalinya, lihat Memulai: YARA-L 2.0 di SecOps.

Untuk membuat aturan baru, ikuti langkah-langkah berikut:

1. Di Editor Aturan, klik Baru untuk membuka kotak pengeditan aturan.

   Sistem akan otomatis mengisi template aturan default dan membuat nama unik untuk aturan tersebut. Buat aturan baru di YARA-L.

   Catatan: Jika Anda mengonversi kueri Penelusuran menjadi aturan, sertakan opsi nocase dengan filter aturan. Antarmuka web Penelusuran menetapkan opsi default untuk Peka huruf besar/kecil ke Nonaktif. Menambahkan opsi nocase akan memastikan aturan Anda memiliki perilaku yang sama. Untuk contoh aturan yang menggunakan opsi nocase, lihat Ekspresi reguler dalam aturan.

2. Di menu Bind to scope, pilih cakupan untuk menambahkannya ke aturan. Untuk mengetahui informasi selengkapnya tentang cara menambahkan cakupan ke aturan, lihat dampak RBAC data terhadap Aturan.

3. Klik Simpan aturan baru.

   Google SecOps memeriksa sintaksis aturan Anda. Jika aturan valid, aturan tersebut akan disimpan dan diaktifkan secara otomatis. Jika aturan tidak valid, aturan tersebut akan menampilkan error.

   Frekuensi eksekusi untuk aturan multi-peristiwa ditetapkan secara otomatis berdasarkan periode pencocokan aturan:

   • Untuk ukuran periode hingga 48 jam, frekuensi operasi ditetapkan secara default ke 1 jam (dapat disesuaikan menjadi 10 menit untuk periode pencocokan di bawah 60 menit).
   • Untuk ukuran periode yang lebih besar dari 48 jam, frekuensi operasi otomatis ditetapkan ke match_window / 10.

   Untuk mengetahui informasi selengkapnya, lihat Memahami penjadwalan eksekusi aturan.

4. (Opsional) Untuk menghapus aturan baru, klik Hapus.

   Catatan: Setelah menyimpan aturan, Anda tidak dapat menghapusnya menggunakan Editor Aturan atau dasbor Aturan. Untuk menghapus aturan tersimpan, Anda harus menggunakan Delete rule API.

Mengedit aturan

Untuk mengedit aturan yang ada, ikuti langkah-langkah berikut:

1. Gunakan kolom Telusuri aturan untuk menemukan aturan yang ada, atau scroll daftar aturan. Klik aturan di panel samping untuk melihat detailnya di panel tampilan aturan.

2. Pilih aturan yang akan diedit dari Daftar aturan.

   Aturan akan ditampilkan di kotak pengeditan aturan. Menu aturan menawarkan opsi berikut untuk setiap aturan:

   • Aturan aktif: Aktifkan atau nonaktifkan aturan.
   • Duplikasi aturan: Membuat salinan aturan.
   • Lihat deteksi aturan: Buka jendela Deteksi Aturan untuk menampilkan deteksi yang diambil oleh aturan ini.

3. Untuk memperbarui cakupan aturan, pilih cakupan dari menu Bind to scope. Untuk mengetahui informasi selengkapnya tentang cara menambahkan cakupan ke aturan, lihat dampak RBAC data terhadap Aturan.

Melihat deteksi saat ini

Lihat informasi tentang deteksi saat ini yang terkait dengan aturan dengan salah satu cara berikut:

• Klik aturan dalam daftar aturan.

  Klik View rule detections untuk membuka tampilan Rule detections. Tampilan ini menampilkan metadata aturan dan grafik yang menunjukkan jumlah deteksi yang ditemukan oleh aturan selama beberapa hari terakhir.

• Klik Edit aturan untuk membuka Editor Aturan.

  Tab Timeline mencantumkan peristiwa yang terdeteksi oleh aturan. Pilih peristiwa dan buka log mentah atau peristiwa UDM terkait.

  Untuk mengubah informasi yang ditampilkan di tab Timeline, klik view_column Columns untuk membuka opsi tampilan multikolom. Tampilan multi-kolom memungkinkan Anda memilih dari berbagai kategori informasi log, termasuk jenis umum, seperti hostname dan user, serta kategori yang lebih spesifik yang disediakan oleh UDM.

Menguji aturan

Klik Uji untuk menguji aturan kustom Anda. Google SecOps menjalankan aturan pada peristiwa dalam rentang waktu yang ditentukan, menghasilkan hasil, dan menampilkannya di jendela Test results.

Catatan: Jika aturan Anda menggunakan opsi suppression_window, opsi ini tidak akan diterapkan saat Anda menguji aturan menggunakan Jalankan pengujian. Penekanan adalah langkah pascapemrosesan yang hanya dilakukan setelah deteksi ditulis oleh aturan aktif.

Catatan: Label di Editor Aturan dalam tampilan lama sedikit berbeda. Untuk mengetahui informasi selengkapnya, lihat Mengelola preferensi antarmuka terpadu.

Klik Cancel kapan saja untuk menghentikan proses.

Catatan: Eksekusi berturut-turut dari aturan pengujian yang sama dapat menghasilkan deteksi pengujian yang berbeda dan merupakan perilaku yang diharapkan. Google SecOps menjalankan aturan pengujian dalam beberapa proses paralel dan deteksi di-streaming ke dasbor saat setiap proses selesai. Perbedaan waktu yang kecil dapat memengaruhi deteksi duplikat mana yang dihapus. Dengan demikian, hasilnya mungkin tidak cocok dengan aturan aktif atau retrohunt.

Catatan: Deteksi aturan pengujian tidak dipertahankan dan tidak menghasilkan pemberitahuan. Perilaku ini memungkinkan penulis aturan melakukan iterasi tanpa memengaruhi produksi. Deteksi aturan pengujian mungkin berbeda dengan deteksi retrohunt atau aturan aktif karena jendela evaluasi mungkin diselaraskan secara berbeda.

Catatan: Hasil pengujian ini tidak disimpan dan tidak akan dapat dilihat di dasbor Rules.

Untuk mengetahui informasi selengkapnya, lihat Melihat error aturan.

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Google Security Operations. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat Panduan Layanan Dukungan Teknis Google SecOps dan Persyaratan Khusus Layanan Google SecOps.
Jika fitur ini tidak terlihat di lingkungan Anda, lihat Mengelola fitur pratinjau atau hubungi administrator sistem Anda.

Anda juga dapat menjalankan pengujian untuk memvalidasi aturan pilihan Anda.

Memahami batas payload untuk pengujian aturan

Untuk mencegah kehabisan memori dan error browser, fitur Uji aturan menerapkan batas payload streaming yang ketat sebesar 50 MB. Batas ini didasarkan pada total ukuran payload yang tidak dikompresi, bukan jumlah baris tetap. Oleh karena itu, jumlah deteksi yang ditampilkan akan bervariasi bergantung pada ukuran payload peristiwa dan UDM individual.

Bagi pelanggan Enterprise yang memvalidasi aturan YARA-L, jika pengujian melebihi batas, Google SecOps akan berhenti menstreaming deteksi tambahan, tetapi menampilkan deteksi yang telah diterima. Jendela juga akan menampilkan banner peringatan berikut: Maximum test detections limit reached. The number of detections returned exceeds the maximum limit for rule testing. Results have been capped.

Untuk menguji aturan yang melebihi batas payload 50 MB, gunakan salah satu pendekatan berikut:

• Untuk mengurangi ukuran payload respons, persempit rentang waktu pengujian.
• Untuk memvalidasi logika kueri di set data yang lebih besar, gunakan antarmuka SIEM Search.
• Untuk mengevaluasi aturan di rentang waktu historis yang besar, jalankan retrohunt. Retrohunt berjalan secara asinkron di backend dan tidak dibatasi oleh batas streaming browser.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.