Cómo editar reglas en el Editor de reglas

Se admite en los siguientes sistemas operativos:

Google SecOps SIEM

El editor de reglas de Google Security Operations es la interfaz principal para crear, ver, probar y administrar tus reglas de detección de YARA-L. Proporciona un entorno dedicado para que los ingenieros de seguridad creen y perfeccionen la lógica de detección que identifica amenazas y actividad sospechosa en los datos de registro ingeridos.

Nota: La ventana Edición de reglas incluye una función de autocompletado para mostrar la sintaxis correcta de YARA-L para cada sección de la regla. Usa esta función cuando crees y edites una regla para ver recomendaciones automáticas y verificar la sintaxis correcta de YARA-L.

Cómo crear y editar reglas

Para abrir el editor de reglas, haz clic en Detecciones > Reglas y detecciones > la pestaña Editor de reglas.

Crear una norma nueva

Las reglas usan el lenguaje de consultas YARA-L 2.0. Antes de crear una regla nueva por primera vez, consulta Primeros pasos: YARA-L 2.0 en SecOps.

Para crear una regla nueva, sigue estos pasos:

1. En el editor de reglas, haz clic en Nuevo para abrir la ventana del editor de reglas.

   El sistema completa automáticamente la plantilla de regla predeterminada y genera un nombre único para la regla. Crea tu regla nueva en YARA-L.

   Nota: Si conviertes una búsqueda en una regla, incluye la opción nocase con los filtros de la regla. La interfaz web de la Búsqueda establece la opción predeterminada para Distinción entre mayúsculas y minúsculas como Desactivada. Agregar la opción nocase garantiza que tu regla tenga el mismo comportamiento. Para ver un ejemplo de regla que usa la opción nocase, consulta Expresiones regulares en una regla.

2. En el menú Vincular al alcance, selecciona el alcance para agregarlo a la regla. Para obtener más información sobre cómo agregar un alcance a una regla, consulta Impacto del RBAC de datos en las reglas.

3. Haz clic en Guardar regla nueva.

   Google SecOps verifica la sintaxis de tu regla. Si la regla es válida, se guarda y se habilita automáticamente. Si la regla no es válida, se muestra un error.

   La frecuencia de ejecución de las reglas de eventos múltiples se establece automáticamente según el período de coincidencia de la regla:

   • Para un tamaño de ventana de hasta 48 horas, la frecuencia de ejecución predeterminada es de 1 hora (se puede personalizar a 10 minutos para las ventanas de coincidencia de menos de 60 minutos).
   • Para un tamaño de ventana superior a 48 horas, la frecuencia de ejecución se establece automáticamente en match_window / 10.

   Para obtener más información, consulta Información sobre la programación de la ejecución de reglas.

4. Si quieres borrar la regla nueva, haz clic en Descartar (opcional).

   Nota: Una vez que guardes una regla, no podrás borrarla con el editor de reglas ni el panel de reglas.

Cómo editar una regla

Para editar una regla existente, sigue estos pasos:

1. Usa el campo Buscar reglas para encontrar una regla existente o desplázate por la lista de reglas. Haz clic en una regla en el panel lateral para ver los detalles en el panel de visualización de reglas.

2. Selecciona la regla que deseas editar en la lista de reglas.

   La regla se mostrará en la ventana Edición de reglas. El menú de reglas ofrece las siguientes opciones para cada regla:

   • Regla activa: Habilita o inhabilita la regla.
   • Duplicar regla: Crea una copia de la regla.
   • Ver detecciones de reglas: Abre la ventana Detecciones de reglas para mostrar las detecciones capturadas por esta regla.

3. Para actualizar el alcance de la regla, selecciona el alcance en el menú Vincular al alcance. Para obtener más información sobre cómo agregar un alcance a una regla, consulta Impacto del RBAC de datos en las reglas.

Cómo ver las detecciones actuales

Para ver información sobre las detecciones actuales asociadas a una regla, usa uno de los siguientes métodos:

• Haz clic en la regla en la lista de reglas.

  Haz clic en Ver detecciones de reglas para abrir la vista Detecciones de reglas. En esta vista, se muestran los metadatos de la regla y un gráfico que indica la cantidad de detecciones que encontró la regla en los últimos días.

• Haz clic en Editar regla para abrir el Editor de reglas.

  En la pestaña Línea de tiempo, se enumeran los eventos detectados por la regla. Selecciona un evento y abre el registro sin procesar o el evento de UDM asociado.

  Para cambiar la información que se muestra en la pestaña Cronograma, haz clic en view_column Columnas para abrir las opciones de vista de varias columnas. La vista de varias columnas te permite elegir entre varias categorías de información de registro, incluidos los tipos comunes, como hostname y user, y categorías más específicas proporcionadas por UDM.

Prueba tu regla

Haz clic en Ejecutar prueba para probar tus reglas personalizadas. Google SecOps ejecuta la regla en los eventos del período especificado, genera resultados y los muestra en la ventana Resultados de la regla de prueba.

Nota: Si tu regla usa la opción suppression_window, esta opción no se aplica cuando pruebas la regla con Ejecutar prueba. La supresión es un paso de procesamiento posterior que solo se lleva a cabo después de que una regla activa escribe las detecciones.

Haz clic en Cancelar prueba en cualquier momento para detener el proceso.

Nota: Las ejecuciones sucesivas de la misma regla de prueba pueden generar diferentes detecciones de prueba, y este es el comportamiento esperado. Google SecOps ejecuta una regla de prueba en varios procesos paralelos, y las detecciones se transmiten al panel a medida que finaliza cada proceso. Las pequeñas diferencias de tiempo pueden afectar las detecciones de duplicados que se quitan. Por extensión, es posible que los resultados no coincidan con los de las reglas activas o las búsquedas retroactivas.

Nota: Las detecciones de reglas de prueba no se conservan y no generan alertas. Este comportamiento permite que los autores de reglas realicen iteraciones sin afectar la producción.

Nota: Estos resultados de la prueba no se guardan y no se podrán ver en el panel de Reglas.

Para obtener más información, consulta Cómo ver errores de reglas.

Nota: Esta función está sujeta a las Condiciones de las Ofertas de Fase Previa a la DG de las Condiciones Específicas del Servicio de Google Security Operations. Las características de la fase previa a la DG pueden tener asistencia limitada, y es posible que los cambios en las características de la fase previa a la DG no sean compatibles con otras versiones de la fase previa a la DG. Para obtener más información, consulta los Lineamientos de los Servicios de Asistencia Técnica de Google SecOps y las Condiciones Específicas del Servicio de Google SecOps.
Si esta función no está visible en tu entorno, consulta Cómo administrar las funciones en versión preliminar o comunícate con tu administrador del sistema.

También puedes ejecutar las pruebas para validar tus reglas seleccionadas.

Para ver blogs de la comunidad sobre la administración de reglas, consulta Navegación por el editor de reglas.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.