ルールエディタを使用してルールを管理する

以下でサポートされています。

Google SecOps SIEM

Google Security Operations のルールエディタは、YARA-L 検出ルールを作成、表示、テスト、管理するための主要なインターフェースです。セキュリティ エンジニアは、専用の環境で、取り込まれたログデータ内の脅威と不審なアクティビティを特定する検出ロジックを作成して改良できます。

注: [ルール編集] ウィンドウには自動入力機能が備わっています。これを使用して、ルールの各セクションで使用可能な正しい YARA-L 構文を表示できます。ルールを作成、編集するときにこの機能を使用すると、自動で提案される候補を確認し、正しい YARA-L 構文を確認できます。

ルールを作成、編集する

[ルールエディタ]を開くには、[検出]>[ルールと検出]>[ルールエディタ]タブをクリックします。

新しいルールを作成

ルールでは YARA-L 2.0 クエリ言語を使用します。初めて新しいルールを作成する前に、SecOps での YARA-L 2.0 のスタートガイドをご覧ください。

新しいルールを作成する手順は次のとおりです。

1. [ルールエディタ] で [新規] をクリックして、[ルールエディタ] ウィンドウを開きます。

   デフォルトのルール テンプレートが自動的に入力され、ルールの一意の名前が生成されます。YARA-L で新しいルールを作成します。

   注: 検索クエリをルールに変換する場合は、ルールフィルタに nocase オプションを含めます。検索ウェブ インターフェースでは、デフォルト [大文字 / 小文字の区別] のオプションが [オフ] に設定されます。nocase オプション を追加すると、ルールが同じ動作になります。 nocase オプションを使用するルールの例については、ルール内の正規表現をご覧ください。

2. [スコープにバインド] メニューでスコープを選択して、ルールに追加します。ルールにスコープを追加する方法について詳しくは、 データ RBAC がルールに与える影響をご覧ください。

3. [**新しいルールを保存**] をクリックします。

   Google SecOps はルールの構文をチェックします。ルールが 有効な場合は、ルールが保存され、自動的に有効になります。ルールが無効な場合は、 エラーが返されます。

   マルチイベント ルールの実行頻度は、 ルールのマッチ ウィンドウに基づいて自動的に設定されます。

   • ウィンドウ サイズが 1 ～ 48 時間の場合、実行頻度は 1 時間に設定されます。
   • ウィンドウ サイズが 48 時間を超える場合、実行頻度は 24 時間に設定されます。

   詳細については、実行頻度を設定するをご覧ください。

4. （省略可）新しいルールを削除するには、[破棄] をクリックします。

   注: ルールを保存すると、ルールエディタ または [ルール] ダッシュボードを使用して削除することはできません。

ルールを編集する

既存のルールを編集する手順は次のとおりです。

1. [Search rules] フィールドを使用して既存のルールを検索するか、ルールリストをスクロールします。サイドパネルでルールをクリックすると、ルール表示パネルに詳細が表示されます。

2. [**ルールリスト**] から編集するルールを選択します。

   ルールが [Rule editing] ウィンドウに表示されます。ルールメニューには、各ルールに対して次のオプションがあります。

   • Live Rule: ルールを有効または無効にします。
   • Duplicate Rule: ルールのコピーを作成します。
   • [View Rule Detections]: [Rule Detections] ウィンドウを開いて、このルールによってキャプチャされた 検出を表示します。

3. ルールのスコープを更新するには、 [スコープにバインド] メニューからスコープを選択します。ルールにスコープを追加する方法について詳しくは、 データ RBAC がルールに与える影響をご覧ください。

現在の検出を表示する

ルールに関連付けられた現在の検出に関する情報を表示するには、次のいずれかの方法を使用します。

• ルールリストでルールをクリックします。

  [View Rule Detections] をクリックして [Rule Detections] ビューを開きます。このビューには、ルールのメタデータと 最近のルール全体におけるルールの検出数を示すグラフが表示されます。

• [Edit rule] をクリックして、[Rules editor] を開きます。

  [Timeline] タブには、ルールによって検出されたイベントが一覧表示されます。 イベントを選択して、関連する生のログまたは UDM イベントを開きます。

  [Timeline] タブに表示される情報を変更するには、 view_column [Columns] をクリックして、 複数列ビュー オプションを開きます。複数列ビューでは、さまざまな カテゴリのログ情報を選択できます。これには、hostname や user などの一般的なタイプや、UDM によって提供される具体的なカテゴリが含まれます。

ルールをテストする

[Run test] をクリックしてルールをテストします。Google SecOps は、指定された期間のイベントに対して ルールを実行し、結果を生成して [Test rule results] ウィンドウに表示します。

注: ルールで suppression_window オプションを使用している場合、[**Run test**] を使用してルールをテストしても、このオプションは適用されません。抑制は、ライブルールによって検出が書き込まれた後にのみ行われる後処理ステップです。

いつでも [Cancel test] をクリックしてプロセスを停止できます。

注: 同じテストルールを連続して実行すると、異なるテスト 検出が生成されることがありますが、これは想定される動作です。Google SecOps は、複数の並列プロセスでテスト ルールを実行し、 各プロセスの完了時に検出をダッシュボードにストリーミングします。タイミングがわずかに異なると、削除される 重複検出に影響する可能性があります。そのため、結果が ライブルールや遡及検索の結果と一致しない場合があります。

注: テストルールの検出は永続化されず、アラートは生成されません。この動作により、ルール作成者は本番環境に影響を与えることなく反復処理を行うことができます。テストルールの 検出は、 評価ウィンドウが異なる方法で調整される可能性があるため、遡及検索またはライブルールの検出と異なる場合があります。

注: これらのテスト結果は保存されず、[ルール] ダッシュボードに表示されません。

詳細については、ルールエラーを表示するをご覧ください。

ルールの管理に関するコミュニティ ブログについては、ルールエディタの操作をご覧ください。

さらにサポートが必要な場合コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。