עריכת כללים בעורך הכללים

נתמך ב:

Google SecOps SIEM

כלי העריכה של הכללים ב-Google Security Operations הוא הממשק הראשי ליצירה, להצגה, לבדיקה ולניהול של כללי זיהוי ב-YARA-L. היא מספקת סביבה ייעודית למהנדסי אבטחה, שבה הם יכולים ליצור ולשפר את לוגיקת הזיהוי שמזהה איומים ופעילות חשודה בנתוני היומן שנאספים.

הערה: בחלון Rule editing יש תכונה של השלמה אוטומטית שמציגה את התחביר הנכון של YARA-L לכל חלק בכלל. אפשר להשתמש בתכונה הזו כשיוצרים ועורכים כלל כדי לראות המלצות אוטומטיות ולאמת את התחביר הנכון של YARA-L.

יצירה ועריכה של כללים

כדי לפתוח את עורך הכללים, לוחצים על זיהויים > כללים וזיהויים > הכרטיסייה עורך הכללים.

יצירת כלל חדש

הכללים משתמשים בשפת השאילתות YARA-L 2.0. לפני שיוצרים כלל חדש בפעם הראשונה, כדאי לעיין במאמר תחילת העבודה עם YARA-L 2.0 ב-SecOps.

כדי ליצור כלל חדש, פועלים לפי השלבים הבאים:

1. בעורך הכללים, לוחצים על חדש כדי לפתוח את החלון עורך הכללים.

   המערכת מאכלסת אוטומטית את תבנית ברירת המחדל של הכלל ויוצרת שם ייחודי לכלל. יוצרים את הכלל החדש ב-YARA-L.

   הערה: אם אתם ממירים שאילתת חיפוש לכלל, צריך לכלול את האפשרות nocase עם מסנני הכלל. בממשק האינטרנט של החיפוש, אפשרות ברירת המחדל של Case sensitivity (הבחנה בין אותיות רישיות לאותיות קטנות) היא Off (מושבת). הוספת האפשרות nocase מבטיחה שהכלל יפעל באותו אופן. דוגמה לכלל שמשתמש באפשרות nocase מופיעה במאמר ביטויים רגולריים בכלל.

2. בתפריט Bind to scope (קישור להיקף), בוחרים את ההיקף שרוצים להוסיף לכלל. מידע נוסף על הוספת היקף לכלל זמין במאמר בנושא ההשפעה של RBAC על כללים.

3. לוחצים על שמירת הכלל החדש.

   ‫Google SecOps בודק את התחביר של הכלל. אם הכלל תקין, הוא נשמר ומופעל אוטומטית. אם הכלל לא תקין, תוחזר שגיאה.

   תדירות ההפעלה של כללים עם כמה אירועים מוגדרת באופן אוטומטי על סמך חלון ההתאמה של הכלל:

   • עבור חלון בגודל של עד 48 שעות, תדירות ההרצה מוגדרת כברירת מחדל לשעה אחת (אפשר לשנות את ההגדרה ל-10 דקות עבור חלונות התאמה של פחות מ-60 דקות).
   • אם גודל החלון גדול מ-48 שעות, תדירות ההפעלה מוגדרת אוטומטית ל-match_window / 10.

   מידע נוסף זמין במאמר הסבר על תזמון ההפעלה של כללים.

4. (אופציונלי) כדי למחוק את הכלל החדש, לוחצים על ביטול.

   הערה: אחרי ששומרים כלל, אי אפשר למחוק אותו באמצעות כלי העריכה של הכללים או לוח הבקרה כללים.

עריכת כלל

כדי לערוך כלל קיים, פועלים לפי השלבים הבאים:

1. משתמשים בשדה חיפוש כללים כדי למצוא כלל קיים, או גוללים ברשימת הכללים. לוחצים על כלל בחלונית הצדדית כדי לראות את הפרטים בחלונית התצוגה של הכלל.

2. בוחרים את הכלל שרוצים לערוך מתוך רשימת הכללים.

   הכלל מוצג בחלון עריכת כלל. בתפריט הכללים מוצגות האפשרויות הבאות לכל כלל:

   • כלל פעיל: הפעלה או השבתה של הכלל.
   • שכפול הכלל: יצירת עותק של הכלל.
   • צפייה בזיהויים של כללים: פותחים את החלון Rule Detections כדי להציג את הזיהויים שנלכדו על ידי הכלל הזה.

3. כדי לעדכן את היקף הכלל, בוחרים את ההיקף בתפריט Bind to scope (שיוך להיקף). מידע נוסף על הוספת היקף לכלל זמין במאמר השפעת בקרת גישה מבוססת-תפקידים (RBAC) על כללים.

צפייה בזיהויים הנוכחיים

כדי לראות מידע על זיהויים נוכחיים שמשויכים לכלל, אפשר להשתמש באחת מהשיטות הבאות:

• לוחצים על הכלל ברשימת הכללים.

  לוחצים על הצגת זיהויים של כללים כדי לפתוח את התצוגה זיהויים של כללים. בתצוגה הזו מוצגים המטא-נתונים של הכלל ותרשים שבו אפשר לראות את מספר הזיהויים שהכלל מצא בימים האחרונים.

• לוחצים על עריכת הכלל כדי לפתוח את עורך הכללים.

  בכרטיסייה ציר זמן מפורטים האירועים שזוהו על ידי הכלל. בוחרים אירוע ופותחים את היומן הגולמי או את אירוע ה-UDM שמשויך אליו.

  כדי לשנות את המידע שמוצג בכרטיסייה Timeline, לוחצים על view_column Columns כדי לפתוח את האפשרויות של תצוגת העמודות. בתצוגה מרובת העמודות אפשר לבחור מבין קטגוריות שונות של מידע ביומן, כולל סוגים נפוצים כמו hostname ו-user, וקטגוריות ספציפיות יותר שסופקו על ידי UDM.

בדיקת הכלל

לוחצים על הפעלת בדיקה כדי לבדוק את הכללים המותאמים אישית. ‫Google SecOps מפעיל את הכלל על אירועים בטווח הזמן שצוין, יוצר תוצאות ומציג אותן בחלון Test rule results.

הערה: אם הכלל משתמש באפשרות suppression_window, האפשרות הזו לא מוחלת כשבודקים את הכלל באמצעות הפעלת בדיקה. ההסתרה היא שלב עיבוד שאחריו מתבצעת רק אחרי שכלל פעיל כותב את הזיהויים.

כדי להפסיק את התהליך בכל שלב, לוחצים על ביטול הבדיקה.

הערה: הפעלות עוקבות של אותו כלל בדיקה עשויות ליצור זיהויים שונים של בדיקות, וזו התנהגות צפויה. ‫Google SecOps מריץ כלל בדיקה בכמה תהליכים מקבילים, והמערכת מעבירה את הממצאים ללוח הבקרה בכל פעם שתהליך מסתיים. הבדלים קלים בתזמון יכולים להשפיע על זיהוי הכפילויות שיוסרו. כתוצאה מכך, יכול להיות שהתוצאות לא יהיו זהות לתוצאות של כללים פעילים או של חיפושים רטרואקטיביים.

הערה: תוצאות הבדיקה של כללים לא נשמרות ולא יוצרות התראות. ההתנהגות הזו מאפשרת לכותבי כללים לבצע איטרציות בלי להשפיע על הייצור. יכול להיות שהתוצאות של בדיקת כלל יהיו שונות מהתוצאות של חיפוש רטרואקטיבי או של כלל פעיל, כי חלונות ההערכה עשויים להיות מיושרים באופן שונה.

הערה: תוצאות הבדיקה האלה לא נשמרות ולא יוצגו בלוח הבקרה Rules.

מידע נוסף זמין במאמר בנושא צפייה בשגיאות בכללים.

הערה: השימוש בתכונה הזו כפוף לתנאי השימוש במוצרים בגרסת טרום-GA בתנאים הספציפיים לשירות Google Security Operations. יכול להיות שהתמיכה בתכונות בגרסת טרום-GA תהיה מוגבלת, ושינויים בתכונות בגרסת טרום-GA לא יהיו תואמים לגרסאות אחרות של טרום-GA. מידע נוסף מופיע במאמר הנחיות לשירותי התמיכה הטכנית של Google SecOps ובמאמר התנאים הספציפיים לשירות Google SecOps.
אם התכונה הזו לא מוצגת בסביבה שלכם, אפשר לעיין במאמר בנושא ניהול תכונות בגרסת טרום-השקה או לפנות לאדמין.

אפשר גם להריץ את הבדיקות כדי לאמת את הכללים שנבחרו.

בלוגים של הקהילה בנושא ניהול כללים: ניווט בכלי לעריכת כללים

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.