Détecter les menaces avec des règles unifiées

Compatible avec :

Ce guide s'adresse aux ingénieurs en détection qui souhaitent détecter les menaces pour leur organisation. Il explique comment exploiter l'interface Règles unifiées pour accélérer vos capacités de détection des menaces.

Cas d'utilisation courants

Voici quelques cas d'utilisation courants de ce workflow :

Déploiement accéléré des règles

Objectif : identifier et activer rapidement les détections optimisées pour des tactiques d'attaque spécifiques (par exemple, Initial Access).

Valeur : réduit le délai moyen de détection (MTTD) pour les vecteurs d'attaque courants sans nécessiter de développement manuel de règles.

Gestion centralisée du cycle de vie des règles

Objectif : surveiller l'exécution, l'état et l'historique de déploiement des règles depuis une seule console.

Valeur : améliore la surveillance opérationnelle et garantit que les détections actives fonctionnent comme prévu.

Terminologie clé

  • Détections optimisées : ensembles de détection prédéfinis gérés par des experts en sécurité Google Cloud.

  • Interface de règles unifiée : console de gestion consolidée pour les règles YARA-L personnalisées et le contenu organisé.

  • Déploiement de la règle : état d'une règle (active ou archivée) et configuration d'alerte associée.

  • Recherche rétroactive : processus qui exécute une règle sur des données historiques pour trouver des instances passées d'une menace.

Avant de commencer

Si votre équipe utilise des rôles IAM personnalisés, assurez-vous de disposer des autorisations suivantes pour utiliser le tableau de bord et l'éditeur des règles unifiées.

Si votre organisation utilise le contrôle des accès aux données basé sur les rôles (Data RBAC), vous devez également avoir accès aux champs d'application associés aux règles que vous souhaitez gérer. Pour en savoir plus, consultez Présentation du RBAC des données.

Autorisations du tableau de bord des règles unifiées

Autorisation Autorisation IAM requise
View
  • chronicle.rules.list
  • chronicle.retrohunts.list
  • chronicle.ruleDeployments.list
  • chronicle.legacies.legacySearchCustomerStats
  • chronicle.legacies.legacyGetRuleCounts
  • chronicle.legacies.legacyGetRulesTrends
  • chronicle.legacies.legacyGetCuratedRulesTrends
  • chronicle.sharedPreferenceSets.get
  • chronicle.sharedPreferenceSets.list
  • chronicle.rules.get
  • chronicle.rules.listRevisions
  • chronicle.legacies.legacyTestRuleStreaming
  • chronicle.legacies.legacyFetchAlertsView
Edit
  • chronicle.retrohunts.create
  • chronicle.ruleDeployments.update
  • chronicle.rules.modifyRules
  • chronicle.rules.create
  • chronicle.rules.update
  • chronicle.rules.verifyRuleText

Vues enregistrées : lister et créer des vues de règles enregistrées

Cette section répertorie les autorisations requises pour créer des vues enregistrées. Les vues enregistrées vous permettent de créer et d'enregistrer un ensemble personnalisé de filtres de règles, d'ensembles de colonnes et d'ordres de tri pour y accéder rapidement dans votre tableau de bord Règles unifiées.

Autorisation Autorisation IAM requise
Manage
  • chronicle.sharedPreferenceSets.get
  • chronicle.sharedPreferenceSets.list
  • chronicle.sharedPreferenceSets.create
  • chronicle.sharedPreferenceSets.update
  • chronicle.sharedPreferenceSets.delete

Autorisations de l'éditeur de règles

Composant Autorisation IAM (si vous utilisez IAM) Autorisation d'analyste (si vous utilisez l'ancien RBAC)
Page Éditeur de règles

chronicle.ruleDeployments.list

chronicle.rules.list

 detectRulesView
Section de la liste de références associées

chronicle.referenceLists.get

chronicle.referenceLists.list

 referenceListView
Section "Table de données associée"

chronicle.dataTables.get

chronicle.dataTables.list

 N/A
Bouton "Créer une règle"

chronicle.rules.verifyRuleText

chronicle.rules.create

 detectRulesCreate
Bouton Tester la règle chronicle.legacies.legacyRunTestRule detectRulesRun
Menu Champ d'application de la règle chronicle.rules.update detectRulesEdit
Bouton Enregistrer la règle chronicle.rules.update detectRulesEdit
Bouton Enregistrer en tant que nouvelle règle chronicle.rules.create detectRulesCreate
Bouton "Recherche RetroHunt de la règle" chronicle.retrohunts.create detectRulesRun
Bouton d'activation/de désactivation de Règle active chronicle.ruleDeployments.update detectRulesEdit
Bouton d'activation de l'alerte de règle chronicle.ruleDeployments.update detectRulesEdit
Bouton d'activation/de désactivation de la fréquence d'exécution de la règle chronicle.ruleDeployments.update detectRulesEdit
Bouton d'activation/de désactivation de l'archivage et du désarchivage des règles chronicle.ruleDeployments.update detectRulesEdit
Afficher la règle sélectionnée dans l'éditeur chronicle.featuredContentRules.list N/A

Gérer vos préférences d'interface unifiée

Vous pouvez basculer entre l'expérience unifiée et l'ancienne vue pour le tableau de bord Règles unifiées et l'éditeur de règles. Une fois que vous avez effectué une sélection, votre instance enregistre votre préférence et charge cette version spécifique par défaut.

  • Tableau de bord "Règles unifiées" : pour activer le tableau de bord Règles unifiées, accédez au tableau de bord Règles, puis cliquez sur Essayer notre nouvelle page "Règles unifiées". Pour la désactiver, cliquez sur Revenir à l'ancien tableau de bord des règles.

  • Éditeur de règles : pour activer le nouvel éditeur de règles, accédez à la page de l'éditeur de règles, puis cliquez sur Nouvelle page de l'éditeur de règles. Pour la désactiver, cliquez sur Ancienne page de l'éditeur de règles.

Vues enregistrées sélectionnées

Le tableau de bord Règles unifiées inclut des vues enregistrées par défaut qui vous permettent de filtrer et d'organiser rapidement les règles. Le tableau suivant décrit ces vues enregistrées sélectionnées par défaut :

Vue enregistrée Description Critères de filtrage
Règles non opérationnelles Affiche les règles qui rencontrent des problèmes d'exécution ou qui sont dans un état d'exécution non défini par défaut. Règles non archivées avec execution_state différent de default.
Règles Google actives et d'alerte Affiche les règles sélectionnées créées par Google qui sont actives et configurées pour générer des alertes. Règles avec rule_owner défini sur GOOGLE, archived défini sur false, alerting_enabled défini sur true et live_mode_enabled défini sur true.
Règles utilisant l'ECG Affiche les règles qui exploitent les données du graphique de contexte d'entité (ECG). Règles non archivées qui utilisent graph.entity.
Règles de persistance et d'élévation des privilèges Affiche les règles liées aux tactiques de persistance et d'élévation des privilèges. Règles non archivées taguées avec TA0003 (Persistance) ou TA0004 (Élévation des privilèges).
Règles recommandées par Mandiant Affiche des règles hautement fiables, validées par des experts et sélectionnées par Mandiant. Pour en savoir plus, consultez Règles recommandées par Mandiant. Règles non archivées taguées avec google.mandiant.recommended.

Accélérer la détection des menaces grâce à des règles sélectionnées

Vous pouvez utiliser l'interface Règles unifiées pour identifier les détections de tactiques MITRE ATT&CK spécifiques. Pour trouver les règles pour lesquelles les alertes sont activées et qui sont liées à l'accès initial, procédez comme suit :

  1. Accédez au tableau de bord Règles unifiées.

  2. Utilisez la barre de recherche pour filtrer des menaces spécifiques.

    Par exemple, pour trouver des règles sélectionnées liées à l'accès initial (tactique MITRE ATT&CK TA0001), utilisez la requête de recherche suivante :

    alerting_enabled = true AND tags:"TA0001"

    Pour un filtrage complexe, consultez la syntaxe avancée sur la page des règles de recherche.

  3. Facultatif : Sélectionnez une règle dans les résultats de recherche pour en afficher les détails.

  4. Cliquez sur Menu à côté de la règle que vous souhaitez déployer.

  5. Cliquez sur les boutons Règle active et Alertes pour commencer à détecter activement les menaces.

Vous pouvez suivre l'exécution, l'état et l'historique des alertes de la règle depuis votre tableau de bord.

Utiliser les vues enregistrées

Le tableau de bord Règles unifiées est compatible avec les vues enregistrées. Les vues enregistrées vous permettent de créer et d'enregistrer un ensemble personnalisé de filtres de règles, d'ensembles de colonnes et d'ordres de tri pour y accéder rapidement dans votre tableau de bord Règles unifiées.

Créer une vue personnalisée

  1. Accédez au tableau de bord Règles unifiées.

  2. Cliquez sur le menu Vues enregistrées, puis sélectionnez Enregistrer en tant que nouvelle vue.

  3. Saisissez le nom de la vue, puis cliquez sur Enregistrer.

  4. Configurez vos filtres, colonnes et ordre de tri cibles dans le tableau de bord Règles unifiées.

Appliquer une vue enregistrée

Pour mettre à jour le tableau de bord avec une configuration enregistrée, procédez comme suit :

  1. Accédez au tableau de bord Règles unifiées.

  2. Cliquez sur le menu Vues enregistrées, puis sélectionnez la vue enregistrée souhaitée dans la liste.

  3. Cliquez sur Enregistrer.

Gérer les vues enregistrées

Pour modifier, renommer, masquer ou supprimer une vue enregistrée, procédez comme suit :

  1. Cliquez sur le menu Vues enregistrées, puis sélectionnez Gérer les vues.

  2. Cliquez sur Enregistrer.

Dépannage

Cette section fournit des informations pour résoudre les problèmes courants et comprendre les limites de l'interface Règles unifiées.

Latence et limites

  • Exécution des règles : il peut y avoir un court délai de propagation (généralement quelques minutes) entre l'enregistrement d'une règle et l'affichage de ses premières métriques d'exécution dans le tableau de bord.

  • Limites de la recherche rétroactive : les détections optimisées ne peuvent pas être exécutées en tant que recherches rétroactives. De plus, les recherches rétroactives sont soumises à des limites de période d'analyse en fonction de votre niveau de conservation des données.

Correction des erreurs

Code d'erreur Description du problème Corriger
403 Interdit Autorisations manquantes pour afficher le contenu sélectionné. Assurez-vous que chronicle.featuredContentRules.list est ajouté à votre rôle IAM.
Échec du déploiement Erreur de syntaxe ou conflit de règles. Utilisez le bouton Tester la règle dans l'éditeur de règles pour valider la syntaxe YARA-L.
user does not have access to scope <scope_name> L'utilisateur ne dispose pas des autorisations RBAC sur les données nécessaires pour le champ d'application attribué à la règle. Assurez-vous d'avoir accès au niveau d'accès requis. Pour en savoir plus, consultez Configurer le RBAC des données pour les utilisateurs.
The rule has been modified by someone else Un autre utilisateur a enregistré une nouvelle version de la règle depuis que vous l'avez ouverte. Copiez vos modifications, actualisez la page pour charger la dernière version, puis appliquez de nouveau vos modifications et enregistrez-les.
rules editing not enabled La modification des règles est désactivée pour votre instance Google SecOps. Contactez votre administrateur pour activer la modification des règles.

Étapes suivantes

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.