Gestione delle regole mediante Rules Editor (Editor regole)

Supportato in:

Google secops SIEM

L'editor delle regole in Google Security Operations è l'interfaccia principale per creare, visualizzare, testare e gestire le regole di rilevamento YARA-L. Fornisce un ambiente dedicato agli ingegneri della sicurezza per creare e perfezionare la logica di rilevamento che identifica minacce e attività sospette nei dati dei log importati.

Nota: la finestra Modifica regola include una funzionalità di completamento automatico per mostrare la sintassi YARA-L corretta per ogni sezione della regola. Utilizza questa funzionalità quando crei e modifichi una regola per visualizzare i consigli automatici e verificare la sintassi YARA-L corretta.

Creare e modificare le regole

Per aprire l'editor delle regole, fai clic su Rilevamenti > Regole & rilevamenti > scheda Editor delle regole.

Crea una nuova regola

Le regole utilizzano il linguaggio di query YARA-L 2.0. Prima di creare una nuova regola per la prima volta, consulta la pagina Guida introduttiva: YARA-L 2.0 in SecOps.

Per creare una nuova regola:

1. Nell'editor delle regole, fai clic su Nuovo per aprire la finestra Editor delle regole.

   Il sistema compila automaticamente il modello di regola predefinito e genera un nome univoco per la regola. Crea la nuova regola in YARA-L.

   Nota: se stai convertendo una query di ricerca in una regola, includi l'nocase opzione con i filtri della regola. L'interfaccia web di Ricerca imposta l'opzione predefinita per Distinzione tra maiuscole e minuscole su Disattivata. L'aggiunta dell'opzione nocase garantisce che la regola abbia lo stesso comportamento. Per un esempio di regola che utilizza l'opzione nocase, consulta Espressioni regolari in una regola.

2. Nel menu Associa all'ambito, seleziona l'ambito da aggiungere alla regola. Per saperne di più sull'aggiunta di un ambito a una regola, consulta Impatto di RBAC sui dati sulle regole.

3. Fai clic su Salva nuova regola.

   Google SecOps controlla la sintassi della regola. Se la regola è valida, la salva e la attiva automaticamente. Se la regola non è valida, restituisce un errore.

   La frequenza di esecuzione delle regole multi-evento viene impostata automaticamente in base alla finestra di corrispondenza della regola:

   • Per una dimensione della finestra da 1 a 48 ore, la frequenza di esecuzione è impostata su 1 ora.
   • Per una dimensione della finestra superiore a 48 ore, la frequenza di esecuzione è impostata su 24 ore.

   Per saperne di più, consulta Impostare la frequenza di esecuzione.

4. (Facoltativo) Per eliminare la nuova regola, fai clic su Ignora.

   Nota: una volta salvata una regola, non puoi eliminarla utilizzando l'editor delle regole o la dashboard Regole.

Modificare una regola

Per modificare una regola esistente:

1. Utilizza il campo Cerca regole per trovare una regola esistente o scorri l'elenco delle regole. Fai clic su una regola nel riquadro laterale per visualizzarne i dettagli nel riquadro di visualizzazione delle regole.

2. Seleziona la regola da modificare dall'elenco delle regole.

   La regola viene visualizzata nella finestra Modifica regola. Il menu delle regole offre le seguenti opzioni per ogni regola:

   • Regola live: attiva o disattiva la regola.
   • Duplica regola: crea una copia della regola.
   • Visualizza rilevamenti delle regole: apre la finestra Rilevamenti delle regole per visualizzare i rilevamenti acquisiti da questa regola.

3. Per aggiornare l'ambito della regola, seleziona l'ambito dal menu Associa all'ambito. Per saperne di più sull'aggiunta di un ambito a una regola, consulta Impatto di RBAC sui dati sulle regole.

Visualizzare i rilevamenti attuali

Visualizza le informazioni sui rilevamenti attuali associati a una regola in uno dei seguenti modi:

• Fai clic sulla regola nell'elenco delle regole.

  Fai clic su Visualizza rilevamenti delle regole per aprire la visualizzazione Rilevamenti delle regole. Questa visualizzazione mostra i metadati della regola e un grafico che indica il numero di rilevamenti trovati dalla regola negli ultimi giorni.

• Fai clic su Modifica regola per aprire l'editor delle regole.

  La scheda Sequenza temporale elenca gli eventi rilevati dalla regola. Seleziona un evento e apri il log non elaborato o l'evento UDM associato.

  Per modificare le informazioni mostrate nella scheda Sequenza temporale, fai clic su view_column Colonne per aprire le opzioni di visualizzazione multicolonna. La visualizzazione multicolonna ti consente di scegliere tra varie categorie di informazioni sui log, inclusi i tipi comuni, come hostname e user, e categorie più specifiche fornite da UDM.

Testare la regola

Fai clic su Esegui test per testare la regola. Google SecOps esegue la regola sugli eventi nell'intervallo di tempo specificato, genera i risultati e li visualizza nella finestra Risultati del test della regola.

Nota: se la regola utilizza l'opzione suppression_window, questa opzione non viene applicata quando testi la regola utilizzando Esegui test. La soppressione è un passaggio di post-elaborazione che viene eseguito solo dopo che i rilevamenti sono stati scritti da una regola live.

Fai clic su Annulla test in qualsiasi momento per interrompere il processo.

Nota: le esecuzioni successive della stessa regola di test potrebbero generare rilevamenti di test diversi, come previsto. Google SecOps esegue una regola di test in più processi paralleli e i rilevamenti vengono trasmessi in streaming alla dashboard al termine di ogni processo. Piccole differenze di tempistica possono influire sui rilevamenti duplicati rimossi. Di conseguenza, i risultati potrebbero non corrispondere a quelli delle regole live o delle retrohunt.

Nota: i rilevamenti delle regole di test non vengono mantenuti e non generano avvisi. Questo comportamento consente agli autori delle regole di eseguire iterazioni senza influire sulla produzione. I rilevamenti delle regole di test possono differire dai rilevamenti delle retrohunt o delle regole live perché le finestre di valutazione potrebbero essere allineate in modo diverso.

Nota: questi risultati dei test non vengono salvati e non saranno visibili nella dashboard Regole.

Per saperne di più, consulta Visualizzare gli errori delle regole.

Per i blog della community sulla gestione delle regole, consulta: Navigazione nell'editor delle regole

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.