Editar regras no editor de regras

Compatível com:

Google SecOps SIEM

O editor de regras no Google Security Operations é a interface primária para criar, visualizar, testar e gerenciar suas regras de detecção YARA-L. Ele oferece um ambiente dedicado para que os engenheiros de segurança criem e refinem a lógica de detecção que identifica ameaças e atividades suspeitas nos dados de registros ingeridos.

Observação: a janela Edição de regras inclui um recurso de conclusão automática para mostrar a sintaxe correta de YARA-L em cada seção da regra. Use esse recurso ao criar e editar uma regra para conferir recomendações automáticas e verificar a sintaxe correta da YARA-L.

Criar e editar regras

Para abrir o Editor de regras, clique em Detecções > Regras e detecções > a guia Editor de regras.

Crie uma nova regra

As regras usam a linguagem de consulta YARA-L 2.0. Antes de criar uma regra pela primeira vez, consulte Começar a usar: YARA-L 2.0 no SecOps.

Para criar uma regra, siga estas etapas:

1. No Editor de regras, clique em Novo para abrir a janela Editor de regras.

   O sistema preenche automaticamente o modelo de regra padrão e gera um nome exclusivo para a regra. Crie sua nova regra em YARA-L.

   Observação: se você estiver convertendo uma consulta de pesquisa em uma regra, inclua a opção nocase com os filtros da regra. A interface da Web da Pesquisa define a opção padrão para Diferenciação de maiúsculas e minúsculas como Desativada. Adicionar a opção nocase garante que sua regra tenha o mesmo comportamento. Para conferir um exemplo de regra usando a opção nocase, consulte Expressões regulares em uma regra.

2. No menu Vincular ao escopo, selecione o escopo para adicioná-lo à regra. Para mais informações sobre como adicionar um escopo a uma regra, consulte Impacto do RBAC de dados nas regras.

3. Clique em Salvar nova regra.

   O Google SecOps verifica a sintaxe da sua regra. Se a regra for válida, ela será salva e ativada automaticamente. Se a regra for inválida, um erro será retornado.

   A frequência de execução das regras com múltiplos eventos é definida automaticamente com base na janela de correspondência da regra:

   • Para um tamanho de janela de até 48 horas, a frequência de execução é de 1 hora por padrão (personalizável para 10 minutos em janelas de correspondência com menos de 60 minutos).
   • Para um tamanho de janela maior que 48 horas, a frequência de execução é definida automaticamente como match_window / 10.

   Para mais informações, consulte Entender o agendamento de execução de regras.

4. (Opcional) Para excluir a nova regra, clique em Descartar.

   Observação: depois de salvar uma regra, não é possível excluí-la usando o editor de regras ou o painel Regras.

Editar uma regra

Para editar uma regra, siga estas etapas:

1. Use o campo Pesquisar regras para encontrar uma regra ou role a lista. Clique em uma regra no painel lateral para conferir os detalhes no painel de exibição de regras.

2. Selecione a regra que você quer editar na Lista de regras.

   A regra aparece na janela Edição de regras. O menu de regras oferece as seguintes opções para cada regra:

   • Regra ativa: ative ou desative a regra.
   • Duplicar regra: faz uma cópia da regra.
   • Ver detecções de regras: abra a janela Detecções de regras para mostrar as detecções capturadas por essa regra.

3. Para atualizar o escopo da regra, selecione a opção no menu Vincular ao escopo. Para mais informações sobre como adicionar um escopo a uma regra, consulte Impacto do RBAC de dados nas regras.

Ver detecções atuais

Para conferir informações sobre detecções atuais associadas a uma regra, faça o seguinte:

• Clique na regra na lista.

  Clique em Ver detecções de regras para abrir a visualização Detecções de regras. Essa visualização mostra os metadados da regra e um gráfico com o número de detecções encontradas por ela nos últimos dias.

• Clique em Editar regra para abrir o Editor de regras.

  A guia Linha do tempo lista os eventos detectados pela regra. Selecione um evento e abra o registro bruto ou o evento UDM associado.

  Para mudar as informações mostradas na guia Linha do tempo, clique em view_column Colunas para abrir as opções de visualização de várias colunas. A visualização em várias colunas permite escolher entre várias categorias de informações de registro, incluindo tipos comuns, como hostname e user, e categorias mais específicas fornecidas pela UDM.

Testar sua regra

Clique em Executar teste para testar suas regras personalizadas. O Google SecOps executa a regra em eventos no período especificado, gera resultados e os mostra na janela Resultados do teste de regra.

Observação: se a regra usar a opção suppression_window, ela não será aplicada quando você testar a regra usando Executar teste. A supressão é uma etapa de pós-processamento que só ocorre depois que as detecções são gravadas por uma regra ativa.

Clique em Cancelar teste a qualquer momento para interromper o processo.

Observação: execuções sucessivas da mesma regra de teste podem gerar detecções de teste diferentes, e isso é esperado. O Google SecOps executa uma regra de teste em vários processos paralelos, e as detecções são transmitidas para o painel à medida que cada processo é concluído. Pequenas diferenças de tempo podem afetar quais detecções duplicadas são removidas. Por extensão, os resultados podem não corresponder aos das regras ativas ou das retrocaças.

Observação: as detecções de regras de teste não são persistentes e não geram alertas. Esse comportamento permite que os autores de regras façam iterações sem afetar a produção. As detecções de regras de teste podem ser diferentes das detecções de regras ativas ou de busca retroativa porque os períodos de avaliação podem ser alinhados de maneira diferente.

Observação: esses resultados de teste não são salvos e não aparecem no painel Regras.

Para mais informações, consulte Ver erros de regra.

Observação: esse recurso é coberto pelos Termos de produtos pré-GA dos Termos específicos de serviço do Google Security Operations. Os recursos pré-GA podem ter suporte limitado, e as mudanças realizadas podem não ser compatíveis com outras versões pré-GA. Para mais informações, consulte as diretrizes do serviço de suporte técnico do Google SecOps e os Termos específicos de serviço do Google SecOps.
Se esse recurso não estiver visível no seu ambiente, consulte Gerenciar recursos de visualização ou entre em contato com o administrador do sistema.

Você também pode executar os testes para validar as regras selecionadas.

Para blogs da comunidade sobre como gerenciar regras, consulte: Navegação no editor de regras

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.