Faça a gestão de regras através do editor de regras

Suportado em:

Google secops SIEM

O editor de regras nas Operações de segurança da Google é a interface principal para criar, ver, testar e gerir as suas regras de deteção YARA-L. Oferece um ambiente dedicado para os engenheiros de segurança criarem e refinarem a lógica de deteção que identifica ameaças e atividade suspeita nos dados de registo carregados.

Nota: a janela Edição de regras inclui uma funcionalidade de preenchimento automático para mostrar a sintaxe YARA-L correta para cada secção da regra. Use esta funcionalidade quando criar e editar uma regra para ver recomendações automáticas e validar a sintaxe YARA-L correta.

Crie e edite regras

Para abrir o Editor de regras, clique em Deteções > Regras e deteções > o separador Editor de regras.

Edite uma regra

Para editar uma regra existente, siga estes passos:

1. Use o campo Regras de pesquisa para encontrar uma regra existente ou percorra a lista de regras. Clique numa regra no painel lateral para ver os detalhes no painel de apresentação de regras.

2. Selecione a regra a editar na lista de regras.

   A regra é apresentada na janela Edição de regras. O menu de regras oferece as seguintes opções para cada regra:

   • Regra ativa: ative ou desative a regra.
   • Duplicar regra: faça uma cópia da regra.
   • Ver deteções de regras: abra a janela Deteções de regras para apresentar deteções capturadas por esta regra.

3. Para atualizar o âmbito da regra, selecione o âmbito no menu Associar ao âmbito. Para mais informações sobre como adicionar um âmbito a uma regra, consulte o artigo Impacto do RBAC de dados nas regras.

   Para mais informações, consulte o artigo Sintaxe da linguagem YARA-L 2.0.

Criar uma nova regra

Para criar uma nova regra, siga estes passos:

1. No editor de regras, clique em Novo para abrir a janela do editor de regras.

   O sistema preenche automaticamente o modelo de regra predefinido e gera um nome exclusivo para a regra. Crie a sua nova regra em YARA-L.

2. No menu Associar ao âmbito, selecione o âmbito para o adicionar à regra. Para mais informações sobre como adicionar um âmbito a uma regra, consulte o artigo Impacto do RBAC de dados nas regras.

3. Clique em Guardar nova regra.

   A Google SecOps verifica a sintaxe da sua regra. Se a regra for válida, esta é guardada e ativada automaticamente. Se a regra for inválida, devolve um erro.

   Para eliminar a nova regra, clique em Rejeitar.

   Nota: depois de guardar uma regra, não pode eliminá-la através do editor de regras nem do painel de controlo Regras.

   A frequência de execução das regras com vários eventos é definida automaticamente com base na janela de correspondência da regra:

   • Para um tamanho do período de 1 a 48 horas, a frequência de execução está definida como 1 hora.
   • Para um período superior a 48 horas, a frequência de execução é definida como 24 horas.

   Para mais informações, consulte o artigo Defina a frequência de execução.

Veja as deteções atuais

Veja informações sobre as deteções atuais associadas a uma regra de uma das seguintes formas:

• Clique na regra na lista de regras.

  Clique em Ver deteções de regras para abrir a vista Deteções de regras. Esta vista apresenta os metadados da regra e um gráfico que mostra o número de deteções encontradas pela regra nos últimos dias.

• Clique em Editar regra para abrir o editor de regras.

  O separador Cronologia apresenta os eventos detetados pela regra. Selecione um evento e abra o registo não processado ou o evento UDM associado.

  Para alterar as informações apresentadas no separador Linha cronológica, clique em view_column Colunas para abrir as opções de visualização de várias colunas. A vista de várias colunas permite-lhe escolher entre várias categorias de informações de registo, incluindo tipos comuns, como hostname e user, e categorias mais específicas fornecidas pelo UDM.

Teste a sua regra

Clique em Executar teste para testar a regra. O Google SecOps executa a regra em eventos no intervalo de tempo especificado, gera resultados e apresenta-os na janela Resultados do teste de regras.

Clique em Cancelar teste em qualquer altura para parar o processo.

Nota: as execuções sucessivas da mesma regra de teste podem gerar deteções de testes diferentes, o que é um comportamento esperado. A Google SecOps executa uma regra de teste em vários processos paralelos e as deteções são transmitidas para o painel de controlo à medida que cada processo termina. Pequenas diferenças de tempo podem afetar as deteções de duplicados que são removidas. Por extensão, os resultados podem não corresponder aos das regras ativas ou das retrocaças.

Nota: as deteções de regras de teste não são persistentes e não geram alertas. Este comportamento permite que os autores de regras iterem sem afetar a produção. As deteções de regras de teste podem diferir das deteções de regras em direto ou de retrocaça porque as janelas de avaliação podem estar alinhadas de forma diferente.

Nota: estes resultados de testes não são guardados e não são visíveis no painel de controlo Regras.

Para mais informações, consulte o artigo Veja os erros das regras.

Para ver blogs da comunidade sobre a gestão de regras, consulte: Navegação no editor de regras

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.