ルールエディタでルールを編集する

以下でサポートされています。

Google SecOps SIEM

Google Security Operations のルールエディタは、YARA-L 検出ルールの作成、表示、テスト、管理を行うためのメイン インターフェースです。セキュリティ エンジニアが、取り込まれたログデータ内の脅威や不審なアクティビティを特定する検出ロジックを作成、改良するための専用環境を提供します。

注: ルール編集ボックスには、ルールの各セクションの正しい YARA-L 構文を表示する自動入力機能が含まれています。この機能は、ルールを作成または編集するときに使用して、自動で提案される候補を確認し、正しい YARA-L 構文を検証します。

ルールを作成、編集する

ルールエディタを開くには、[検出] > [ルールと検出] > [ルールエディタ] をクリックします。

新しいルールを作成

ルールでは YARA-L 2.0 クエリ言語を使用します。新しいルールを初めて作成する前に、スタートガイド: SecOps の YARA-L 2.0 をご覧ください。

新しいルールを作成する手順は次のとおりです。

1. ルールエディタで [New] をクリックして、ルール編集ボックスを開きます。

   デフォルトのルール テンプレートが自動的に入力され、ルールの一意の名前が生成されます。YARA-L で新しいルールを作成します。

   注: 検索クエリをルールに変換する場合は、ルールフィルタに nocase オプションを含めます。検索ウェブ インターフェースでは、[大文字と小文字の区別] のデフォルト オプションが [オフ] に設定されています。nocase オプションを追加すると、ルールでも同じ動作になります。nocase オプションを使用したルールの例については、ルール内の正規表現をご覧ください。

2. [スコープにバインド] メニューで、ルールに追加するスコープを選択します。ルールにスコープを追加する方法については、データ RBAC がルールに与える影響をご覧ください。

3. [新しいルールを保存] をクリックします。

   Google SecOps がルールの構文をチェックします。ルールが有効な場合は、ルールが保存され、自動的に有効になります。ルールが無効な場合は、エラーが返されます。

   マルチイベント ルールの実行頻度は、ルールのマッチ ウィンドウに基づいて自動的に設定されます。

   • ウィンドウ サイズが 48 時間以下の場合、実行頻度はデフォルトで 1 時間になります（一致ウィンドウが 60 分未満の場合は 10 分にカスタマイズ可能）。
   • ウィンドウ サイズが 48 時間を超える場合、実行頻度は自動的に match_window / 10 に設定されます。

   詳細については、ルール実行のスケジュール設定についてをご覧ください。

4. （省略可）新しいルールを削除するには、[破棄] をクリックします。

   注: ルールを保存した後に、ルールエディタまたはルール ダッシュボードから削除できません。保存したルールを削除するには、Delete rule API を使用する必要があります。

ルールの編集

既存のルールを編集する手順は次のとおりです。

1. [Search rules] フィールドを使用して既存のルールを検索するか、ルールリストをスクロールします。サイドパネルでルールをクリックすると、ルール表示パネルに詳細が表示されます。

2. ルールリストから編集するルールを選択します。

   ルールがルール編集ボックスに表示されます。ルールメニューには、各ルールに対して次のオプションが用意されています。

   • Live rule: ルールを有効または無効にします。
   • ルールの複製: ルールのコピーを作成します。
   • ルール検出を表示する: [ルール検出] ウィンドウを開いて、このルールによってキャプチャされた検出を表示します。

3. ルールのスコープを更新するには、[スコープにバインド] メニューからスコープを選択します。ルールにスコープを追加する方法については、データ RBAC がルールに与える影響をご覧ください。

現在の検出結果を表示する

ルールに関連付けられた現在の検出に関する情報を表示するには、次のいずれかの方法を使用します。

• ルールリストでルールをクリックします。

  [ルール検出を表示] をクリックして、[ルール検出] ビューを開きます。このビューには、ルールのメタデータと、最近のルール全体におけるルールの検出数を示すグラフが表示されます。

• [Edit rule] をクリックして、ルールエディタを開きます。

  [Timeline] タブには、ルールによって検出されたイベントが一覧表示されます。イベントを選択して、関連する未加工のログまたは UDM イベントを開きます。

  [タイムライン] タブに表示される情報を変更するには、 view_column [列] をクリックして、複数列ビュー オプションを開きます。複数列ビューでは、hostname や user などの一般的なタイプや、UDM によって提供されるより具体的なカテゴリなど、さまざまなカテゴリのログ情報を選択できます。

ルールをテストする

[テスト] をクリックして、カスタムルールをテストします。Google SecOps は、指定された期間のイベントに対してルールを実行し、結果を生成して [テスト結果] ウィンドウに表示します。

注: ルールで suppression_window オプションを使用している場合、[テストを実行] を使用してルールをテストするときに、このオプションは適用されません。抑制は、ライブルールによって検出が書き込まれた後にのみ行われる後処理ステップです。

注: 以前のビューのルールエディタのラベルは若干異なります。詳細については、統合インターフェースの設定を管理するをご覧ください。

プロセスを停止するには、いつでも [キャンセル] をクリックします。

注: 同じテストルールを連続して実行すると、異なるテスト検出が生成されることがありますが、これは想定される動作です。Google SecOps は、複数の並列プロセスでテストルールを実行し、各プロセスが完了すると、検出結果がダッシュボードにストリーミングされます。タイミングのわずかな違いが、削除される重複検出に影響する可能性があります。そのため、結果がライブルールやレトロハントの結果と一致しない場合があります。

注: テストルールの検出は保持されず、アラートは生成されません。この動作により、ルール作成者は本番環境に影響を与えることなく、ルールを繰り返しテストできます。評価ウィンドウの調整方法が異なるため、テストルールの検出結果は、レトロハントまたはライブルールの検出結果と異なる場合があります。

注: これらのテスト結果は保存されず、[ルール] ダッシュボードで表示できません。

詳細については、ルールエラーを表示するをご覧ください。

注: この機能には、Google Security Operations サービス固有の規約の 一般提供前サービス規約が適用されます。pre-GA の機能についてはサポートが制限されます。また、pre-GA の機能の変更は pre-GA の他のバージョンと互換性がない可能性があります。詳細については、Google SecOps 技術サポート サービス ガイドラインと Google SecOps サービス固有の規約をご覧ください。
この機能が環境に表示されない場合は、プレビュー機能を管理するをご覧になるか、システム管理者にお問い合わせください。

テストを実行して、キュレートされたルールを検証することもできます。

ルールテストのペイロード上限について

ブラウザのメモリ不足やクラッシュを防ぐため、ルールのテスト機能では、ストリーム ペイロードの上限が 50 MB に厳密に制限されています。この上限は、固定の行数ではなく、圧縮されていないペイロードの合計サイズに基づいているため、表示される検出数は、個々のイベントと UDM ペイロードのサイズによって異なります。

YARA-L ルールを検証している Enterprise のお客様の場合、テストが上限を超えると、Google SecOps は追加の検出のストリーミングを停止しますが、すでに受信した検出は表示します。ウィンドウには、次の警告バナーも表示されます。Maximum test detections limit reached. The number of detections returned exceeds the maximum limit for rule testing. Results have been capped.

50 MB のペイロード上限を超えるルールをテストするには、次のいずれかの方法を使用します。

• レスポンスのペイロード サイズを小さくするには、テストの期間を短くします。
• 大規模なデータセットでクエリロジックを検証するには、SIEM 検索インターフェースを使用します。
• 過去の長期間にわたってルールを評価するには、レトロハントを実行します。レトロハントはバックエンドで非同期に実行され、ブラウザのストリーミング制限を受けません。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。