Regeln im Regeleditor bearbeiten

Unterstützt in:

Google SecOps SIEM

Der Regeleditor in Google Security Operations ist die primäre Benutzeroberfläche zum Erstellen, Ansehen, Testen und Verwalten Ihrer YARA-L-Erkennungsregeln. Sie bietet eine dedizierte Umgebung für Sicherheitsexperten, in der sie Erkennungslogik erstellen und optimieren können, um Bedrohungen und verdächtige Aktivitäten in aufgenommenen Logdaten zu erkennen.

Hinweis :Das Fenster Regelbearbeitung enthält eine Funktion zur automatischen Vervollständigung, mit der die richtige YARA-L-Syntax für jeden Abschnitt der Regel angezeigt wird. Verwenden Sie diese Funktion, wenn Sie eine Regel erstellen und bearbeiten, um automatische Empfehlungen zu erhalten und die richtige YARA-L-Syntax zu überprüfen.

Regeln erstellen und bearbeiten

Klicken Sie auf Erkennungen > Regeln und Erkennungen > Tab Regeleditor, um den Regeleditor zu öffnen.

Neue Regel erstellen

Für Regeln wird die Abfragesprache YARA-L 2.0 verwendet. Bevor Sie zum ersten Mal eine neue Regel erstellen, lesen Sie den Artikel Erste Schritte: YARA-L 2.0 in SecOps.

So erstellen Sie eine neue Regel:

1. Klicken Sie im Regeleditor auf Neu, um das Fenster Regeleditor zu öffnen.

   Das System füllt die Standardregelvorlage automatisch aus und generiert einen eindeutigen Namen für die Regel. Erstellen Sie die neue Regel in YARA-L.

   Hinweis :Wenn Sie eine Suchanfrage in eine Regel umwandeln, fügen Sie die Option nocase in die Regelfilter ein. In der Webschnittstelle für die Suche ist die Standardoption für Groß-/Kleinschreibung beachten auf Aus festgelegt. Durch Hinzufügen der Option nocase wird sichergestellt, dass Ihre Regel dasselbe Verhalten aufweist. Ein Beispiel für eine Regel mit der Option nocase finden Sie unter Reguläre Ausdrücke in einer Regel.

2. Wählen Sie im Menü An Bereich binden den Bereich aus, der der Regel hinzugefügt werden soll. Weitere Informationen zum Hinzufügen eines Bereichs zu einer Regel finden Sie unter Auswirkungen von datenbezogenem RBAC auf Regeln.

3. Klicken Sie auf Neue Regel speichern.

   Google SecOps prüft die Syntax Ihrer Regel. Wenn die Regel gültig ist, wird sie automatisch gespeichert und aktiviert. Wenn die Regel ungültig ist, wird ein Fehler zurückgegeben.

   Die Ausführungshäufigkeit für Regeln für mehrere Ereignisse wird automatisch basierend auf dem Abgleichszeitraum der Regel festgelegt:

   • Bei einer Fenstergröße von bis zu 48 Stunden wird die Ausführungshäufigkeit standardmäßig auf 1 Stunde festgelegt. Bei Abgleichszeiträumen von weniger als 60 Minuten kann sie auf 10 Minuten angepasst werden.
   • Bei einer Fenstergröße von mehr als 48 Stunden wird die Ausführungshäufigkeit automatisch auf match_window / 10 festgelegt.

   Weitere Informationen finden Sie unter Regelausführung planen.

4. Optional: Wenn Sie die neue Regel löschen möchten, klicken Sie auf Verwerfen.

   Hinweis :Nachdem Sie eine Regel gespeichert haben, können Sie sie nicht mehr über den Regel-Editor oder das Regel-Dashboard löschen.

Regel bearbeiten

So bearbeiten Sie eine vorhandene Regel:

1. Verwenden Sie das Feld Regeln durchsuchen, um eine vorhandene Regel zu finden, oder scrollen Sie durch die Liste der Regeln. Klicken Sie in der Seitenleiste auf eine Regel, um die Details im Bereich für die Regeldarstellung aufzurufen.

2. Wählen Sie die zu bearbeitende Regel aus der Regelliste aus.

   Die Regel wird im Fenster Regel bearbeiten angezeigt. Das Regelmenü bietet für jede Regel die folgenden Optionen:

   • Live-Regel: Aktivieren oder deaktivieren Sie die Regel.
   • Regel duplizieren: Erstellen Sie eine Kopie der Regel.
   • Regelerkennungen ansehen: Öffnen Sie das Fenster Regelerkennungen, um die von dieser Regel erfassten Erkennungen aufzurufen.

3. Wenn Sie den Bereich der Regel aktualisieren möchten, wählen Sie den Bereich im Menü An Bereich binden aus. Weitere Informationen zum Hinzufügen eines Bereichs zu einer Regel finden Sie unter Auswirkungen der datenbezogenen rollenbasierten Zugriffssteuerung auf Regeln.

Aktuelle Erkennungen ansehen

So können Sie Informationen zu aktuellen Erkennungen aufrufen, die mit einer Regel verknüpft sind:

• Klicken Sie in der Regelliste auf die Regel.

  Klicken Sie auf Regelerkennungen ansehen, um die Ansicht Regelerkennungen zu öffnen. In dieser Ansicht werden die Metadaten der Regel und ein Diagramm mit der Anzahl der Erkennungen angezeigt, die in den letzten Tagen durch die Regel gefunden wurden.

• Klicken Sie auf Regel bearbeiten, um den Regeleditor zu öffnen.

  Auf dem Tab Zeitachse werden die von der Regel erkannten Ereignisse aufgeführt. Wählen Sie ein Ereignis aus und öffnen Sie das zugehörige Rohprotokoll oder UDM-Ereignis.

  Wenn Sie die Informationen ändern möchten, die auf dem Tab Zeitachse angezeigt werden, klicken Sie auf view_column Spalten, um die Optionen für die Mehrspaltenansicht zu öffnen. In der mehrspaltigen Ansicht können Sie aus verschiedenen Kategorien von Protokollinformationen auswählen, darunter gängige Typen wie hostname und user sowie spezifischere Kategorien, die von UDM bereitgestellt werden.

Regel testen

Klicken Sie auf Testen, um Ihre benutzerdefinierten Regeln zu testen. Google SecOps führt die Regel für Ereignisse im angegebenen Zeitraum aus, generiert Ergebnisse und zeigt sie im Fenster Testergebnisse für Regel an.

Hinweis :Wenn in Ihrer Regel die Option suppression_window verwendet wird, wird sie nicht angewendet, wenn Sie die Regel mit Test ausführen testen. Die Unterdrückung ist ein Nachbearbeitungsschritt, der erst erfolgt, nachdem Erkennungen von einer Live-Regel geschrieben wurden.

Klicken Sie jederzeit auf Test abbrechen, um den Vorgang zu beenden.

Hinweis :Bei aufeinanderfolgenden Ausführungen derselben Testregel können unterschiedliche Testerkennungen generiert werden. Das ist das erwartete Verhalten. Google SecOps führt eine Testregel in mehreren parallelen Prozessen aus. Erkennungen werden auf das Dashboard gestreamt, sobald ein Prozess abgeschlossen ist. Geringfügige Zeitunterschiede können sich darauf auswirken, welche Duplikaterkennungen entfernt werden. Daher stimmen die Ergebnisse möglicherweise nicht mit denen von Live-Regeln oder Retrohunts überein.

Hinweis :Erkennungen von Testregeln werden nicht beibehalten und es werden keine Benachrichtigungen generiert. So können Regelautoren Iterationen durchführen, ohne die Produktion zu beeinträchtigen. Die Ergebnisse von Testregeln können sich von denen von Retrohunt- oder Live-Regeln unterscheiden, da die Auswertungszeiträume unterschiedlich ausgerichtet sein können.

Hinweis: Diese Testergebnisse werden nicht gespeichert und sind nicht im Dashboard Regeln zu sehen.

Weitere Informationen finden Sie unter Regelfehler ansehen.

Hinweis :Dieses Feature unterliegt den Bedingungen des Pre-GA-Angebots in den dienstspezifischen Nutzungsbedingungen für Google Security Operations. Pre-GA-Features werden eventuell nur eingeschränkt unterstützt und Änderungen an diesen Features sind möglicherweise nicht mit anderen Pre-GA-Versionen kompatibel. Weitere Informationen finden Sie in den Richtlinien für den technischen Support von Google SecOps und den dienstspezifischen Nutzungsbedingungen für Google SecOps.
Wenn diese Funktion in Ihrer Umgebung nicht sichtbar ist, lesen Sie den Hilfeartikel Vorschaufunktionen verwalten oder wenden Sie sich an Ihren Systemadministrator.

Sie können die Tests auch ausführen, um Ihre kuratierten Regeln zu validieren.

Community-Blogs zum Verwalten von Regeln finden Sie hier: Rules editor navigation

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten