Modifica le regole nell'editor delle regole

Supportata in:

Google SecOps SIEM

L'editor delle regole di Google Security Operations è l'interfaccia principale per creare, visualizzare, testare e gestire le regole di rilevamento YARA-L. Fornisce un ambiente dedicato ai tecnici della sicurezza per creare e perfezionare la logica di rilevamento che identifica le minacce e le attività sospette nei dati di log importati.

Nota: la casella di modifica delle regole include una funzionalità di completamento automatico per mostrare la sintassi YARA-L corretta per ogni sezione della regola. Utilizza questa funzionalità quando crei e modifichi una regola per visualizzare i suggerimenti automatici e verificare la sintassi YARA-L corretta.

Creare e modificare le regole

Per aprire l'Editor delle regole, fai clic su Rilevamenti > Regole e rilevamenti > Editor delle regole.

Crea una nuova regola

Le regole utilizzano il linguaggio di query YARA-L 2.0. Prima di creare una nuova regola per la prima volta, consulta Inizia: YARA-L 2.0 in SecOps.

Per creare una nuova regola, segui questi passaggi:

1. Nell'Editor delle regole, fai clic su Nuova per aprire la casella di modifica delle regole.

   Il sistema compila automaticamente il modello di regola predefinito e genera un nome univoco per la regola. Crea la nuova regola in YARA-L.

   Nota: se stai convertendo una query di ricerca in una regola, includi l'opzione nocase con i filtri della regola. L'interfaccia web di Ricerca imposta l'opzione predefinita per Sensibilità alle maiuscole su Off. L'aggiunta dell'opzione nocase garantisce che la regola abbia lo stesso comportamento. Per un esempio di regola che utilizza l'opzione nocase, consulta Espressioni regolari in una regola.

2. Nel menu Associa all'ambito, seleziona l'ambito per aggiungerlo alla regola. Per maggiori informazioni sull'aggiunta di un ambito a una regola, consulta Impatto del RBAC dei dati sulle regole.

3. Fai clic su Salva nuova regola.

   Google SecOps controlla la sintassi della regola. Se la regola è valida, viene salvata e attivata automaticamente. Se la regola non è valida, viene restituito un errore.

   La frequenza di esecuzione delle regole per più eventi viene impostata automaticamente in base alla finestra di corrispondenza della regola:

   • Per una finestra di dimensioni fino a 48 ore, la frequenza di esecuzione predefinita è di 1 ora (personalizzabile a 10 minuti per finestre di corrispondenza inferiori a 60 minuti).
   • Per una dimensione della finestra superiore a 48 ore, la frequenza di esecuzione viene impostata automaticamente su match_window / 10.

   Per saperne di più, consulta Informazioni sulla pianificazione dell'esecuzione delle regole.

4. (Facoltativo) Per eliminare la nuova regola, fai clic su Ignora.

   Nota: una volta salvata una regola, non puoi eliminarla utilizzando l'editor delle regole o la dashboard Regole. Per eliminare una regola salvata, devi utilizzare l'API Delete rule.

Modifica una regola

Per modificare una regola esistente:

1. Utilizza il campo Cerca regole per trovare una regola esistente o scorri l'elenco delle regole. Fai clic su una regola nel riquadro laterale per visualizzare i dettagli nel riquadro di visualizzazione delle regole.

2. Seleziona la regola da modificare dall'elenco Regole.

   La regola viene visualizzata nella casella di modifica della regola. Il menu delle regole offre le seguenti opzioni per ogni regola:

   • Regola attiva: attiva o disattiva la regola.
   • Duplica regola: crea una copia della regola.
   • Visualizza rilevamenti delle regole: apri la finestra Rilevamenti delle regole per visualizzare i rilevamenti acquisiti da questa regola.

3. Per aggiornare l'ambito della regola, selezionalo dal menu Associa all'ambito. Per saperne di più sull'aggiunta di un ambito a una regola, consulta Impatto del RBAC dei dati sulle regole.

Visualizza i rilevamenti attuali

Visualizza le informazioni sui rilevamenti attuali associati a una regola in uno dei seguenti modi:

• Fai clic sulla regola nell'elenco delle regole.

  Fai clic su Visualizza rilevamenti delle regole per aprire la visualizzazione Rilevamenti delle regole. Questa visualizzazione mostra i metadati della regola e un grafico che mostra il numero di rilevamenti trovati dalla regola negli ultimi giorni.

• Fai clic su Modifica regola per aprire l'editor delle regole.

  La scheda Cronologia elenca gli eventi rilevati dalla regola. Seleziona un evento e apri il log non elaborato o l'evento UDM associato.

  Per modificare le informazioni visualizzate nella scheda Cronologia, fai clic su view_column Colonne per aprire le opzioni di visualizzazione di più colonne. La visualizzazione su più colonne ti consente di scegliere tra varie categorie di informazioni dei log, inclusi tipi comuni, come hostname e user, e categorie più specifiche fornite da UDM.

Testa la regola

Fai clic su Test per testare le regole personalizzate. Google SecOps esegue la regola sugli eventi nell'intervallo di tempo specificato, genera i risultati e li visualizza nella finestra Risultati del test.

Nota: se la regola utilizza l'opzione suppression_window, questa opzione non viene applicata quando testi la regola utilizzando Esegui test. La soppressione è un passaggio di post-elaborazione che avviene solo dopo che i rilevamenti sono stati scritti da una regola in tempo reale.

Nota: le etichette nell'editor delle regole nella visualizzazione precedente sono leggermente diverse. Per saperne di più, consulta Gestisci le preferenze dell'interfaccia unificata.

Fai clic su Annulla in qualsiasi momento per interrompere la procedura.

Nota: le esecuzioni successive della stessa regola di test potrebbero generare rilevamenti di test diversi, un comportamento previsto. Google SecOps esegue una regola di test in più processi paralleli e i rilevamenti vengono trasmessi in streaming alla dashboard man mano che ogni processo termina. Piccole differenze di tempistica possono influire su quali rilevamenti di duplicati vengono rimossi. Di conseguenza, i risultati potrebbero non corrispondere a quelli delle regole attive o delle ricerche retroattive.

Nota: i rilevamenti delle regole di test non vengono mantenuti e non generano avvisi. Questo comportamento consente agli autori delle regole di eseguire l'iterazione senza influire sulla produzione. I rilevamenti delle regole di test potrebbero differire dai rilevamenti delle regole di retrohunt o in tempo reale perché le finestre di valutazione potrebbero essere allineate in modo diverso.

Nota: questi risultati dei test non vengono salvati e non saranno visualizzabili nella dashboard Regole.

Per saperne di più, consulta Visualizza gli errori delle regole.

Nota: questa funzionalità è coperta dai Termini delle offerte pre-GA dei Termini di servizio specifici di Google Security Operations. Le funzionalità pre-GA potrebbero avere supporto limitato e le modifiche alle funzionalità pre-GA potrebbero non essere compatibili con altre versioni pre-GA. Per saperne di più, consulta le linee guida per i servizi di assistenza tecnica di Google SecOps e i Termini di servizio specifici di Google SecOps.
Se questa funzionalità non è visibile nel tuo ambiente, consulta Gestisci le funzionalità in anteprima o contatta l'amministratore di sistema.

Puoi anche eseguire i test per convalidare le regole selezionate.

Informazioni sul limite del payload per i test delle regole

Per evitare l'esaurimento della memoria del browser e arresti anomali, la funzionalità Test della regola applica un limite rigoroso di 50 MB per il payload dello stream. Il limite si basa sulla dimensione totale del payload non compresso anziché su un numero fisso di righe, pertanto il numero di rilevamenti visualizzati varia in base alle dimensioni dei singoli eventi e del payload UDM.

Per i clienti Enterprise che convalidano le regole YARA-L, se un test supera il limite, Google SecOps interrompe lo streaming di ulteriori rilevamenti, ma mostra quelli già ricevuti. Nella finestra verrà visualizzato anche il seguente banner di avviso: Maximum test detections limit reached. The number of detections returned exceeds the maximum limit for rule testing. Results have been capped.

Per testare le regole che superano il limite di payload di 50 MB, utilizza uno dei seguenti approcci:

• Per ridurre le dimensioni del payload della risposta, restringi l'intervallo di tempo del test.
• Per convalidare la logica delle query su set di dati più grandi, utilizza l'interfaccia Ricerca SIEM.
• Per valutare le regole su intervalli di tempo storici di grandi dimensioni, esegui un retrohunt. Le ricerche retroattive vengono eseguite in modo asincrono nel backend e non sono vincolate dai limiti di streaming del browser.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.