Bedrohungen mit einheitlichen Regeln erkennen

Unterstützt in:

Dieser Leitfaden richtet sich an Detection Engineers, die Bedrohungen für ihre Organisation erkennen möchten. Hier wird erläutert, wie Sie die einheitlichen Regeln nutzen können, um Ihre Bedrohungserkennungsfunktionen zu beschleunigen.

Gängige Anwendungsfälle

Zu den häufigsten Anwendungsfällen für diesen Workflow gehören:

Beschleunigte Regelbereitstellung

Ziel: Kuratierte Erkennungen für bestimmte Angreifertaktiken (z. B. Initial Access) schnell identifizieren und aktivieren.

Wert: Reduziert die mittlere Erkennungszeit (Mean Time to Detect, MTTD) für gängige Angriffsvektoren, ohne dass Regeln manuell entwickelt werden müssen.

Zentrale Verwaltung des Regellebenszyklus

Ziel: Regelausführung, Status und Bereitstellungsverlauf über eine einzige Konsole überwachen.

Wert: Verbessert die operative Übersicht und sorgt dafür, dass aktive Erkennungen wie erwartet funktionieren.

Schlüsselterminologie

  • Ausgewählte Erkennungen: Vordefinierte Erkennungssätze, die von Sicherheitsexperten von Google Cloudverwaltet werden.

  • Einheitliche Oberfläche für Regeln: Eine konsolidierte Verwaltungskonsole für benutzerdefinierte YARA-L-Regeln und kuratierte Inhalte.

  • Regelbereitstellung: Der Status einer Regel (live oder archiviert) und die zugehörige Benachrichtigungskonfiguration.

  • Retro-Suche: Ein Prozess, bei dem eine Regel auf Verlaufsdaten angewendet wird, um frühere Instanzen einer Bedrohung zu finden.

Hinweis

Wenn Ihr Team benutzerdefinierte IAM-Rollen verwendet, benötigen Sie die folgenden Berechtigungen, um mit dem Dashboard und dem Editor für einheitliche Regeln zu arbeiten.

Wenn Ihre Organisation die rollenbasierte Zugriffssteuerung für Daten (Data RBAC) verwendet, müssen Sie auch Zugriff auf die Bereiche haben, die mit den Regeln verknüpft sind, die Sie verwalten möchten. Weitere Informationen finden Sie unter Daten-RBAC – Übersicht.

Berechtigungen für das Dashboard „Einheitliche Regeln“

Berechtigung Erforderliche IAM-Berechtigung
View
  • chronicle.rules.list
  • chronicle.retrohunts.list
  • chronicle.ruleDeployments.list
  • chronicle.legacies.legacySearchCustomerStats
  • chronicle.legacies.legacyGetRuleCounts
  • chronicle.legacies.legacyGetRulesTrends
  • chronicle.legacies.legacyGetCuratedRulesTrends
  • chronicle.sharedPreferenceSets.get
  • chronicle.sharedPreferenceSets.list
  • chronicle.rules.get
  • chronicle.rules.listRevisions
  • chronicle.legacies.legacyTestRuleStreaming
  • chronicle.legacies.legacyFetchAlertsView
Edit
  • chronicle.retrohunts.create
  • chronicle.ruleDeployments.update
  • chronicle.rules.modifyRules
  • chronicle.rules.create
  • chronicle.rules.update
  • chronicle.rules.verifyRuleText

Gespeicherte Ansichten – gespeicherte Regelansichten auflisten und erstellen

In diesem Abschnitt sind die Berechtigungen aufgeführt, die zum Erstellen gespeicherter Ansichten erforderlich sind. Mit gespeicherten Ansichten können Sie einen benutzerdefinierten Satz von Regelfiltern, Spaltensätzen und Sortierreihenfolgen erstellen und speichern, um schnell über das Dashboard Einheitliche Regeln darauf zuzugreifen.

Berechtigung Erforderliche IAM-Berechtigung
Manage
  • chronicle.sharedPreferenceSets.get
  • chronicle.sharedPreferenceSets.list
  • chronicle.sharedPreferenceSets.create
  • chronicle.sharedPreferenceSets.update
  • chronicle.sharedPreferenceSets.delete

Berechtigungen für den Regeleditor

Komponente IAM-Berechtigung (wenn Sie IAM verwenden) Analystenberechtigung (wenn Sie die alte RBAC verwenden)
Seite Regeleditor

chronicle.ruleDeployments.list

chronicle.rules.list

 detectRulesView
Abschnitt mit ähnlichen Referenzlisten

chronicle.referenceLists.get

chronicle.referenceLists.list

 referenceListView
Abschnitt „Zugehörige Datentabelle“

chronicle.dataTables.get

chronicle.dataTables.list

 –
Schaltfläche Neue Regel erstellen

chronicle.rules.verifyRuleText

chronicle.rules.create

 detectRulesCreate
Schaltfläche Regel testen chronicle.legacies.legacyRunTestRule detectRulesRun
Menü Geltungsbereich der Regel chronicle.rules.update detectRulesEdit
Schaltfläche Regel speichern chronicle.rules.update detectRulesEdit
Schaltfläche Als neue Regel speichern chronicle.rules.create detectRulesCreate
Schaltfläche Regel-RetroHunt chronicle.retrohunts.create detectRulesRun
Regel aktiv ein-/ausschalten chronicle.ruleDeployments.update detectRulesEdit
Umschaltfläche Regelwarnung chronicle.ruleDeployments.update detectRulesEdit
Häufigkeit der Regelausführung chronicle.ruleDeployments.update detectRulesEdit
Schaltfläche Regel archivieren und wieder aktivieren chronicle.ruleDeployments.update detectRulesEdit
Kuratierte Regel im Editor ansehen chronicle.featuredContentRules.list –

Einstellungen für die einheitliche Benutzeroberfläche verwalten

Sowohl für das Dashboard Einheitliche Regeln als auch für den Regeleditor können Sie zwischen der einheitlichen und der alten Ansicht wechseln. Nachdem Sie eine Auswahl getroffen haben, speichert Ihre Instanz Ihre Einstellung und lädt diese Version standardmäßig.

  • Dashboard „Einheitliche Regeln“: Wenn Sie das Dashboard Einheitliche Regeln aktivieren möchten, rufen Sie das Dashboard Regeln auf und klicken Sie auf Neue Seite mit einheitlichen Regeln testen. Wenn Sie die Funktion deaktivieren möchten, klicken Sie auf Zurück zum alten Dashboard für Regeln.

  • Regel-Editor: Wenn Sie den neuen Regel-Editor aktivieren möchten, rufen Sie die Seite „Regel-Editor“ auf und klicken Sie auf Neue Seite für den Regel-Editor. Wenn Sie die Funktion deaktivieren möchten, klicken Sie auf Legacy-Regeleditor.

Ausgewählte gespeicherte Ansichten

Das Dashboard Einheitliche Regeln enthält standardmäßig gespeicherte Ansichten, mit denen Sie Regeln schnell filtern und organisieren können. In der folgenden Tabelle werden diese standardmäßig ausgewählten gespeicherten Ansichten beschrieben:

Gespeicherte Ansicht Beschreibung Filterkriterien
Fehlerhafte Regeln Zeigt Regeln an, bei denen Ausführungsprobleme auftreten oder die sich in einem nicht standardmäßigen Ausführungsstatus befinden. Nicht archivierte Regeln, bei denen execution_state nicht gleich default ist.
Aktive und benachrichtigende Google-Regeln Zeigt von Google erstellte, ausgewählte Regeln an, die aktiv und so konfiguriert sind, dass sie Benachrichtigungen generieren. Regeln, bei denen rule_owner auf GOOGLE, archived auf false, alerting_enabled auf true und live_mode_enabled auf true festgelegt ist.
Regeln, die EKG verwenden Zeigt Regeln an, die ECG-Daten (Entity Context Graph) nutzen. Nicht archivierte Regeln, die graph.entity verwenden.
Regeln für Persistenz und Rechteausweitung Zeigt Regeln im Zusammenhang mit Persistenz- und Rechteausweitungstaktiken an. Nicht archivierte Regeln, die mit TA0003 (Persistenz) oder TA0004 (Rechteausweitung) getaggt sind.
Von Mandiant empfohlene Regeln Zeigt von Mandiant ausgewählte, von Experten geprüfte Regeln mit hoher Zuverlässigkeit an. Weitere Informationen finden Sie unter Von Mandiant empfohlene Regeln. Nicht archivierte Regeln, die mit google.mandiant.recommended getaggt sind.

Bedrohungserkennung mit vordefinierten Regeln beschleunigen

Über die Oberfläche Einheitliche Regeln können Sie Erkennungen für bestimmte MITRE ATT&CK-Taktiken identifizieren. So finden Sie Regeln, für die Benachrichtigungen aktiviert sind und die sich auf den ersten Zugriff beziehen:

  1. Rufen Sie das Dashboard Einheitliche Regeln auf.

  2. Über die Suchleiste können Sie nach bestimmten Bedrohungen filtern.

    Wenn Sie beispielsweise nach ausgewählten Regeln im Zusammenhang mit dem ersten Zugriff (MITRE ATT&CK-Taktik TA0001) suchen möchten, verwenden Sie die folgende Suchanfrage:

    alerting_enabled = true AND tags:"TA0001"

    Informationen zu komplexen Filtern finden Sie in der erweiterten Syntax auf der Seite mit den Suchregeln.

  3. Optional: Wählen Sie eine Regel aus den Suchergebnissen aus, um die Regeldetails aufzurufen.

  4. Klicken Sie neben der Regel, die Sie bereitstellen möchten, auf das Menü.

  5. Klicken Sie auf die Schalter Live-Regel und Benachrichtigungen, um mit der aktiven Erkennung von Bedrohungen zu beginnen.

Sie können die Ausführung, den Status und den Benachrichtigungsverlauf der Regel über Ihr Dashboard verfolgen.

Gespeicherte Ansichten verwenden

Das Dashboard Einheitliche Regeln unterstützt gespeicherte Ansichten. Mit gespeicherten Ansichten können Sie einen benutzerdefinierten Satz von Regelfiltern, Spaltensätzen und Sortierreihenfolgen erstellen und speichern, um schnell über das Dashboard Einheitliche Regeln darauf zuzugreifen.

Benutzerdefinierte Ansicht erstellen

  1. Rufen Sie das Dashboard Einheitliche Regeln auf.

  2. Klicken Sie auf das Menü Gespeicherte Ansichten und wählen Sie Als neue Ansicht speichern aus.

  3. Geben Sie den Namen der Ansicht ein und klicken Sie auf Speichern.

  4. Konfigurieren Sie Ihre Zielfilter, Spalten und die Sortierreihenfolge im Dashboard Einheitliche Regeln.

Gespeicherte Ansicht anwenden

So aktualisieren Sie das Dashboard mit einer gespeicherten Konfiguration:

  1. Rufen Sie das Dashboard Einheitliche Regeln auf.

  2. Klicken Sie auf das Menü Gespeicherte Ansichten und wählen Sie die gewünschte gespeicherte Ansicht aus der Liste aus.

  3. Klicken Sie auf Speichern.

Gespeicherte Ansichten verwalten

So ändern, benennen, blenden Sie eine gespeicherte Ansicht aus oder löschen sie:

  1. Klicken Sie auf das Menü Gespeicherte Ansichten und wählen Sie Ansichten verwalten aus.

  2. Klicken Sie auf Speichern.

Fehlerbehebung

In diesem Abschnitt finden Sie Informationen zur Behebung häufiger Probleme und zu den Einschränkungen der Benutzeroberfläche für einheitliche Regeln.

Latenz und Limits

  • Regelausführung: Zwischen dem Speichern einer Regel und dem Anzeigen der ersten Ausführungsmesswerte im Dashboard kann es zu einer kurzen Verzögerung (in der Regel einige Minuten) kommen.

  • Einschränkungen für die rückwirkende Suche: Ausgewählte Erkennungen können nicht als rückwirkende Suche ausgeführt werden. Außerdem unterliegen rückwirkende Suchen den Limits für das Lookback-Window, die auf Ihrer Datenaufbewahrungsstufe basieren.

Fehlerbehebung

Fehlercode Problembeschreibung Korrigieren
403 Verboten Fehlende Berechtigungen zum Ansehen von kuratierten Inhalten. Achten Sie darauf, dass chronicle.featuredContentRules.list Ihrer IAM-Rolle hinzugefügt wurde.
Bereitstellung fehlgeschlagen Syntaxfehler oder Konflikt in der Regel. Verwenden Sie die Schaltfläche Regel testen im Regeleditor, um die YARA-L-Syntax zu validieren.
user does not have access to scope <scope_name> Der Nutzer hat nicht die erforderlichen rollenbasierten Zugriffssteuerungsberechtigungen für Daten, die für den der Regel zugewiesenen Bereich erforderlich sind. Prüfen Sie, ob Sie Zugriff auf den erforderlichen Bereich haben. Weitere Informationen finden Sie unter Daten-RBAC für Nutzer konfigurieren.
The rule has been modified by someone else Ein anderer Nutzer hat eine neue Version der Regel gespeichert, seit Sie sie geöffnet haben. Kopieren Sie Ihre Änderungen, aktualisieren Sie die Seite, um die aktuelle Version zu laden, und wenden Sie dann Ihre Änderungen noch einmal an und speichern Sie sie.
rules editing not enabled Das Bearbeiten von Regeln ist für Ihre Google SecOps-Instanz deaktiviert. Wenden Sie sich an Ihren Administrator, um die Regelbearbeitung zu aktivieren.

Nächste Schritte

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten