עריכת כללים בכלי לעריכת כללים

נתמך ב:

Google secops SIEM

כלי העריכה של הכללים ב-Google Security Operations הוא הממשק העיקרי ליצירה, להצגה, לבדיקה ולניהול של כללי הזיהוי של YARA-L. היא מספקת סביבה ייעודית למהנדסי אבטחה, שבה הם יכולים ליצור ולשפר את לוגיקת הזיהוי שמזהה איומים ופעילות חשודה בנתוני היומן שנאספים.

הערה: בחלון עריכת כלל יש תכונה של השלמה אוטומטית שמציגה את התחביר הנכון של YARA-L לכל קטע בכלל. אפשר להשתמש בתכונה הזו כשיוצרים ועורכים כלל כדי לראות המלצות אוטומטיות ולאמת את התחביר הנכון של YARA-L.

יצירה ועריכה של כללים

כדי לפתוח את עורך הכללים, לוחצים על זיהויים > כללים וזיהויים > הכרטיסייה עורך הכללים.

יצירת כלל חדש

הכללים משתמשים בשפת השאילתות YARA-L 2.0. לפני שיוצרים כלל חדש בפעם הראשונה, כדאי לעיין במאמר תחילת העבודה עם YARA-L 2.0 ב-SecOps.

כדי ליצור כלל חדש, פועלים לפי השלבים הבאים:

1. בעורך הכללים, לוחצים על חדש כדי לפתוח את החלון עורך הכללים.

   המערכת מאכלסת אוטומטית את תבנית ברירת המחדל של הכלל ויוצרת שם ייחודי לכלל. יוצרים את הכלל החדש ב-YARA-L.

   הערה: אם אתם ממירים שאילתת חיפוש לכלל, צריך לכלול את האפשרות nocase עם מסנני הכלל. בממשק האינטרנט של חיפוש Google, אפשרות ברירת המחדל של Case sensitivity מוגדרת לOff. הוספת האפשרות nocase מבטיחה שהכלל יפעל באותו אופן. דוגמה לכלל שמשתמש באפשרות nocase מופיעה במאמר ביטויים רגולריים בכלל.

2. בתפריט Bind to scope (קישור להיקף), בוחרים את ההיקף שאליו רוצים להוסיף את הכלל. מידע נוסף על הוספת היקף לכלל זמין במאמר בנושא ההשפעה של RBAC על כללים.

3. לוחצים על שמירת כלל חדש.

   ‫Google SecOps בודק את התחביר של הכלל. אם הכלל תקין, הוא נשמר ומופעל באופן אוטומטי. אם הכלל לא תקין, הפונקציה מחזירה שגיאה.

   תדירות ההפעלה של כללים עם כמה אירועים מוגדרת באופן אוטומטי על סמך חלון ההתאמה של הכלל:

   • עבור חלון בגודל של עד 48 שעות, תדירות ההרצה מוגדרת כברירת מחדל לשעה אחת (אפשר לשנות את ההגדרה ל-10 דקות עבור חלונות התאמה של פחות מ-60 דקות).
   • אם גודל החלון גדול מ-48 שעות, תדירות ההרצה מוגדרת אוטומטית ל-match_window / 10.

   מידע נוסף זמין במאמר בנושא הסבר על תזמון הפעלת כללים.

4. (אופציונלי) כדי למחוק את הכלל החדש, לוחצים על מחיקה.

   הערה: אחרי ששומרים כלל, אי אפשר למחוק אותו באמצעות כלי העריכה של הכללים או מרכז הבקרה כללים.

עריכת כלל

כדי לערוך כלל קיים:

1. משתמשים בשדה חיפוש כללים כדי למצוא כלל קיים, או גוללים ברשימת הכללים. לוחצים על כלל בחלונית הצדדית כדי לראות את הפרטים בחלונית התצוגה של הכלל.

2. בוחרים את הכלל שרוצים לערוך מתוך רשימת הכללים.

   הכלל יוצג בחלון עריכת כלל. בתפריט הכללים מוצגות האפשרויות הבאות לכל כלל:

   • כלל פעיל: הפעלה או השבתה של הכלל.
   • כלל כפול: יצירת עותק של הכלל.
   • צפייה בזיהויים של כללים: פותחים את החלון Rule Detections (זיהויים של כללים) כדי להציג את הזיהויים שנלכדו על ידי הכלל הזה.

3. כדי לעדכן את היקף הכלל, בוחרים את ההיקף בתפריט Bind to scope (שיוך להיקף). מידע נוסף על הוספת היקף לכלל זמין במאמר ההשפעה של RBAC על כללים.

הצגת הזיהויים הנוכחיים

אפשר לראות מידע על זיהויים נוכחיים שמשויכים לכלל באחת מהדרכים הבאות:

• לוחצים על הכלל ברשימת הכללים.

  לוחצים על הצגת זיהויים של כללים כדי לפתוח את התצוגה זיהויים של כללים. בתצוגה הזו מוצגים המטא-נתונים של הכלל ותרשים שמציג את מספר הזיהויים שנמצאו על ידי הכלל בימים האחרונים.

• לוחצים על עריכת כלל כדי לפתוח את עורך הכללים.

  בכרטיסייה ציר זמן מפורטים האירועים שזוהו על ידי הכלל. בוחרים אירוע ופותחים את היומן הגולמי או את אירוע ה-UDM שמשויכים אליו.

  כדי לשנות את המידע שמוצג בכרטיסייה Timeline, לוחצים על view_column Columns כדי לפתוח את האפשרויות של תצוגת העמודות. בתצוגה מרובת העמודות אפשר לבחור מבין קטגוריות שונות של מידע ביומן, כולל סוגים נפוצים כמו hostname ו-user, וקטגוריות ספציפיות יותר שסופקו על ידי UDM.

בדיקת הכלל

לוחצים על הפעלת בדיקה כדי לבדוק את הכללים המותאמים אישית. ‫Google SecOps מפעיל את הכלל על אירועים בטווח הזמן שצוין, יוצר תוצאות ומציג אותן בחלון תוצאות בדיקת הכלל.

הערה: אם הכלל משתמש באפשרות suppression_window, האפשרות הזו לא מוחלת כשבודקים את הכלל באמצעות הרצת בדיקה. ההסתרה היא שלב עיבוד שלאחר מכן, שמתרחש רק אחרי שכללים פעילים כותבים את הזיהויים.

כדי להפסיק את התהליך בכל שלב, לוחצים על ביטול הבדיקה.

הערה: הפעלות עוקבות של אותו כלל בדיקה עשויות להניב זיהויים שונים של בדיקות, וזה צפוי. ‫Google SecOps מריץ כלל בדיקה בכמה תהליכים מקבילים, והממצאים מועברים ללוח הבקרה בסטרימינג כשכל תהליך מסתיים. הבדלים קלים בתזמון יכולים להשפיע על זיהוי הכפילויות שיוסרו. כתוצאה מכך, יכול להיות שהתוצאות לא יהיו זהות לתוצאות של

הערה: לא מתבצעת שמירה של תוצאות הזיהוי של כללי הבדיקה, ולא נוצרות התראות. ההתנהגות הזו מאפשרת לכותבי כללים לבצע איטרציות בלי להשפיע על הייצור. יכול להיות שיהיה הבדל בין תוצאות הבדיקה של כלל מסוים לבין תוצאות החיפוש הרטרואקטיבי או הבדיקה של כלל פעיל, כי חלונות ההערכה עשויים להיות מיושרים בצורה שונה.

הערה: תוצאות הבדיקה האלה לא נשמרות ולא יוצגו בלוח הבקרה Rules.

מידע נוסף זמין במאמר בנושא צפייה בשגיאות בכללים.

הערה: השימוש בתכונה הזו כפוף לתנאי השימוש במוצרים בגרסת טרום-GA, שמפורטים בתנאים הספציפיים לשירות Google Security Operations. יכול להיות שהתמיכה בתכונות בגרסת טרום-GA תהיה מוגבלת, ושינויים בתכונות בגרסת טרום-GA לא יהיו תואמים לגרסאות אחרות של טרום-GA. מידע נוסף מופיע במאמר הנחיות לשירותי התמיכה הטכנית של Google SecOps ובמאמר התנאים הספציפיים לשירות Google SecOps.
אם התכונה הזו לא מוצגת בסביבה שלכם, אפשר לעיין במאמר בנושא ניהול תכונות בגרסת טרום-השקה או לפנות לאדמין.

אפשר גם להריץ את הבדיקות כדי לאמת את הכללים שנבחרו.

בלוגים של הקהילה בנושא ניהול כללים: ניווט בכלי לעריכת כללים

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.