使用统一规则检测威胁

支持范围：

Google SecOps SIEM

本指南适用于希望为其组织检测威胁的检测工程师。本文介绍了如何利用统一规则界面来提升威胁检测能力。

常见使用场景

此工作流的常见应用场景包括：

加速规则部署

目标：快速识别并启用针对特定攻击者策略（例如 Initial Access）的精选检测。

价值：缩短常见攻击途径的平均检测时间 (MTTD)，无需手动制定规则。

集中式规则生命周期管理

目标：通过一个控制台监控规则执行、状态和部署历史记录。

价值：改进运营监督，确保活跃检测按预期运行。

主要术语

• 精选检测：由 Google Cloud安全专家管理的预构建检测集。

• 统一规则界面：一个整合的管理控制台，可同时管理自定义 YARA-L 规则和精选内容。

• 规则部署：规则的状态（有效或已归档）及其关联的提醒配置。

• Retro hunt：针对历史数据运行规则以查找过去威胁实例的过程。

准备工作

如果您的团队使用自定义 IAM 角色，请确保您拥有以下权限，以便使用统一规则信息中心和编辑器。

如果贵组织使用基于角色的数据访问权限控制 (Data RBAC)，您还必须有权访问与要管理的规则关联的范围。如需了解详情，请参阅数据 RBAC 概览。

统一规则信息中心权限

权限	所需的 IAM 权限
View	chronicle.rules.list chronicle.retrohunts.list chronicle.ruleDeployments.list chronicle.legacies.legacySearchCustomerStats chronicle.legacies.legacyGetRuleCounts chronicle.legacies.legacyGetRulesTrends chronicle.legacies.legacyGetCuratedRulesTrends chronicle.sharedPreferenceSets.get chronicle.sharedPreferenceSets.list chronicle.rules.get chronicle.rules.listRevisions chronicle.legacies.legacyTestRuleStreaming chronicle.legacies.legacyFetchAlertsView
Edit	chronicle.retrohunts.create chronicle.ruleDeployments.update chronicle.rules.modifyRules chronicle.rules.create chronicle.rules.update chronicle.rules.verifyRuleText

已保存的视图 - 列出并创建已保存的规则视图

本部分列出了创建已保存视图所需的权限。借助已保存的视图，您可以创建并保存一组自定义规则过滤条件、列集和排列顺序，以便在统一规则信息中心内快速访问。

权限	所需的 IAM 权限
Manage	chronicle.sharedPreferenceSets.get chronicle.sharedPreferenceSets.list chronicle.sharedPreferenceSets.create chronicle.sharedPreferenceSets.update chronicle.sharedPreferenceSets.delete

规则编辑器权限

组件	IAM 权限（如果您使用 IAM）	分析师权限（如果您使用的是旧版 RBAC）
规则编辑器页面	chronicle.ruleDeployments.list chronicle.rules.list	detectRulesView
相关参考列表部分	chronicle.referenceLists.get chronicle.referenceLists.list	referenceListView
相关数据表部分	chronicle.dataTables.get chronicle.dataTables.list	不适用
创建新规则按钮	chronicle.rules.verifyRuleText chronicle.rules.create	detectRulesCreate
测试规则按钮	chronicle.legacies.legacyRunTestRule	detectRulesRun
规则范围菜单	chronicle.rules.update	detectRulesEdit
保存规则按钮	chronicle.rules.update	detectRulesEdit
另存为新规则按钮	chronicle.rules.create	detectRulesCreate
Rule retro hunt（规则追溯搜索）按钮	chronicle.retrohunts.create	detectRulesRun
规则已生效切换开关	chronicle.ruleDeployments.update	detectRulesEdit
规则提醒切换开关	chronicle.ruleDeployments.update	detectRulesEdit
规则运行频率切换开关	chronicle.ruleDeployments.update	detectRulesEdit
规则归档和取消归档切换开关	chronicle.ruleDeployments.update	detectRulesEdit
在编辑器中查看精选规则	chronicle.featuredContentRules.list	不适用

管理您的统一界面偏好设置

您可以在统一规则信息中心和规则编辑器中切换统一体验和旧版视图。选择后，您的实例会保存您的偏好设置，并默认加载该特定版本。

• “统一规则”信息中心：如需选择启用统一规则信息中心，请前往规则信息中心，然后点击试用全新的统一规则页面。如需停用，请点击返回旧版规则信息中心。

• 规则编辑器：如需选择启用新版规则编辑器，请前往规则编辑器页面，然后点击新版规则编辑器页面。如需停用，请点击旧版规则编辑器页面。

精选的已保存视图

统一规则信息中心包含默认的已保存视图，可让您快速过滤和整理规则。下表介绍了这些默认的精选已保存视图：

保存的视图	说明	过滤条件
不健康规则	显示存在执行问题或处于非默认执行状态的规则。	execution_state 不等于 default 的未归档规则。
已生效且会发出提醒的 Google 规则	显示由 Google 编写、已启用并配置为生成提醒的精选规则。	rule_owner 设为 GOOGLE、archived 设为 false、alerting_enabled 设为 true 且 live_mode_enabled 设为 true 的规则。
使用 ECG 的规则	显示利用实体上下文图谱 (ECG) 数据的规则。	使用 graph.entity 的未归档规则。
持久性和提权规则	显示与持久性和提权策略相关的规则。	带有 TA0003（持久性）或 TA0004（提权）标记的未归档规则。
Mandiant 推荐的规则	显示由 Mandiant 精选、经过专家审核的高置信度规则。如需了解详情，请参阅 Mandiant 推荐的规则。	带有 google.mandiant.recommended 标记的未归档规则。

利用精选规则加快威胁检测

您可以使用统一规则界面来识别特定 MITRE ATT&CK 策略的检测结果。如需查找已启用提醒且与初始访问相关的规则，请执行以下操作：

1. 前往统一规则信息中心。

2. 使用搜索栏过滤特定威胁。

   例如，如需查找与初始访问权限（MITRE ATT&CK 策略 TA0001）相关的精选规则，请使用以下搜索查询：

   alerting_enabled = true AND tags:"TA0001"

   如需进行复杂过滤，请参阅搜索规则页面上的高级语法。

3. 可选：从搜索结果中选择一条规则，即可查看规则详情。

4. 点击要部署的规则旁边的 菜单。

5. 点击实时规则和提醒切换开关，开始主动检测威胁。

您可以在信息中心内跟踪规则的执行情况、状态和提醒历史记录。

使用已保存的视图

统一规则信息中心支持已保存的视图。借助已保存的视图，您可以创建并保存一组自定义规则过滤条件、列集和排列顺序，以便在统一规则信息中心内快速访问。

重要提示：基于角色的数据访问权限控制 (Data RBAC) 用于管理规则的公开范围。虽然所有经过身份验证的用户都可以全局访问已保存的视图配置，但只有在用户拥有适当的范围访问权限时，系统才会呈现底层规则数据。如需了解数据 RBAC，请参阅数据 RBAC 概览。

创建自定义视图

1. 前往统一规则信息中心。

2. 点击保存的视图菜单，然后选择另存为新视图。

3. 输入视图名称，然后点击保存。

4. 在统一规则信息中心内配置目标过滤条件、列和排列顺序。

应用已保存的视图

如需使用已保存的配置更新信息中心，请执行以下操作：

1. 前往统一规则信息中心。

2. 点击保存的视图菜单，然后从列表中选择所需的保存视图。

3. 点击保存。

管理已保存的视图

如需修改、重命名、隐藏或删除已保存的视图，请执行以下操作：

1. 点击保存的视图菜单，然后选择管理视图。

2. 点击保存。

注意：如果活动信息中心状态与应用的视图不同（例如，通过调整后的过滤条件或排序参数），则保存的视图菜单中的视图名称旁边会显示一个星号 (*)。如需提交这些更改并覆盖现有配置，请点击保存。

问题排查

本部分提供的信息可帮助您解决常见问题并了解统一规则界面的限制。

延迟时间和限制

• 规则执行：从保存规则到在信息中心内看到其首次执行指标之间，可能会有短暂的传播延迟（通常为几分钟）。

• 追溯搜寻限制：精选检测无法作为追溯搜寻运行。此外，追溯搜寻还受限于回溯期限制，具体取决于您的数据保留层级。

错误修复

错误代码	问题说明	修复
403 禁止访问	缺少查看精选内容的权限。	确保 chronicle.featuredContentRules.list 已添加到您的 IAM 角色。
部署失败	规则语法错误或冲突。	使用规则编辑器中的测试规则按钮验证 YARA-L 语法。
user does not have access to scope <scope_name>	用户不具备为规则分配的范围所需的数据 RBAC 权限。	确保您有权访问所需的范围。如需了解详情，请参阅为用户配置数据 RBAC。
The rule has been modified by someone else	自您打开该规则后，另一位用户已保存了该规则的新版本。	请复制您所做的更改，刷新页面以加载最新版本，然后重新应用并保存更改。
rules editing not enabled	您的 Google SecOps 实例已停用规则修改功能。	请与您的管理员联系，以启用规则修改功能。

后续步骤

• 管理统一规则

• 搜索“统一规则”列表

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。