Edita reglas en el Editor de reglas

Compatible con:

Google secops SIEM

El Editor de reglas de Google Security Operations es la interfaz principal para crear, ver, probar y administrar tus reglas de detección de YARA-L. Proporciona un entorno dedicado para que los ingenieros de seguridad creen y perfeccionen la lógica de detección que identifica amenazas y actividades sospechosas en los datos de registro ingeridos.

Nota: La ventana Edición de reglas incluye una función de finalización automática para mostrar la sintaxis correcta de YARA-L para cada sección de la regla. Usa esta función cuando crees y edites una regla para ver recomendaciones automáticas y verificar la sintaxis correcta de YARA-L.

Crea y edita reglas

Para abrir el Editor de reglas, haz clic en Detecciones > Reglas & detecciones > la pestaña Editor de reglas.

Crear una norma nueva

Las reglas usan el lenguaje de consulta YARA-L 2.0. Antes de crear una regla nueva por primera vez, consulta Comienza a usar YARA-L 2.0 en SecOps.

Para crear una regla nueva, sigue estos pasos:

1. En el Editor de reglas, haz clic en Nuevo para abrir la ventana Editor de reglas.

   El sistema propaga automáticamente la plantilla de regla predeterminada y genera un nombre único para la regla. Crea tu nueva regla en YARA-L.

   Nota: Si conviertes una consulta de búsqueda en una regla, incluye la nocase opción con los filtros de regla. La interfaz web de búsqueda establece la opción predeterminada para Distinción entre mayúsculas y minúsculas en Desactivada. Si agregas la opción nocase, te aseguras de que tu regla tenga el mismo comportamiento. Para ver un ejemplo de regla que usa la nocase opción, consulta Expresiones regulares en una regla.

2. En el menú Vincular al alcance, selecciona el alcance para agregarlo a la regla. Para obtener más información sobre cómo agregar un permiso a una regla, consulta el impacto de RBAC de datos en las reglas.

3. Haz clic en Guardar regla nueva.

   Google SecOps verifica la sintaxis de tu regla. Si la regla es válida, la guarda y la habilita automáticamente. Si la regla no es válida, muestra un error.

   La frecuencia de ejecución de las reglas de varios eventos se establece automáticamente en función del período de coincidencia de la regla:

   • Para un tamaño de ventana de 1 a 48 horas, la frecuencia de ejecución se establece en 1 hora.
   • Para un tamaño de ventana superior a 48 horas, la frecuencia de ejecución se establece en 24 horas.

   Para obtener más información, consulta Establece la frecuencia de ejecución.

4. Si quieres borrar la regla nueva, haz clic en Descartar (opcional).

   Nota: Una vez que guardas una regla, no puedes borrarla con el Editor de reglas ni el panel Reglas.

Edita una regla

Para editar una regla existente, sigue estos pasos:

1. Usa el campo Buscar reglas para encontrar una regla existente o desplázate por la lista de reglas. Haz clic en una regla en el panel lateral para ver los detalles en el panel de visualización de reglas.

2. Selecciona la regla que deseas editar en la Lista de reglas.

   La regla se muestra en la ventana Edición de reglas. El menú de reglas ofrece las siguientes opciones para cada regla:

   • Regla en vivo: Habilita o inhabilita la regla.
   • Duplicar regla: Crea una copia de la regla.
   • Ver detecciones de reglas: Abre la ventana Detecciones de reglas para mostrar las detecciones capturadas por esta regla.

3. Para actualizar el alcance de la regla, selecciona el alcance en el menú Vincular al alcance. Para obtener más información sobre cómo agregar un alcance a una regla, consulta el impacto de RBAC de datos en las reglas.

Visualiza las detecciones actuales

Para ver información sobre las detecciones actuales asociadas con una regla, usa uno de los siguientes métodos:

• Haz clic en la regla en la lista de reglas.

  Haz clic en Ver detecciones de reglas para abrir la vista Detecciones de reglas. En esta vista, se muestran los metadatos de la regla y un gráfico que muestra la cantidad de detecciones que encontró la regla en los últimos días.

• Haz clic en Editar regla para abrir el Editor de reglas.

  En la pestaña Cronograma , se enumeran los eventos detectados por la regla. Selecciona un evento y abre el registro sin procesar o el evento de UDM asociado.

  Para cambiar la información que se muestra en la pestaña Cronograma, haz clic en view_column Columnas para abrir las opciones de vista de varias columnas. La vista de varias columnas te permite elegir entre varias categorías de información de registro, incluidos los tipos comunes, como hostname y user, y categorías más específicas que proporciona UDM.

Prueba tu regla

Haz clic en Ejecutar prueba para probar tus reglas personalizadas. Google SecOps ejecuta la regla en los eventos del período especificado, genera resultados y los muestra en la ventana Resultados de la prueba de reglas.

Nota: Si tu regla usa la opción suppression_window, esta opción no se aplica cuando pruebas la regla con Ejecutar prueba. La supresión es un paso de procesamiento posterior que solo se realiza después de que una regla en vivo escribe las detecciones.

Haz clic en Cancelar prueba en cualquier momento para detener el proceso.

Nota: Las ejecuciones sucesivas de la misma regla de prueba pueden generar diferentes detecciones de prueba, y este es el comportamiento esperado. Google SecOps ejecuta una regla de prueba en varios procesos paralelos, y las detecciones se transmiten al panel a medida que finaliza cada proceso. Las pequeñas diferencias de tiempo pueden afectar qué detecciones duplicadas se quitan. Por extensión, es posible que los resultados no coincidan con los de las reglas en vivo o las búsquedas retroactivas.

Nota: Las detecciones de reglas de prueba no se conservan y no generan alertas. Este comportamiento permite que los autores de reglas iteren sin afectar la producción. Las detecciones de reglas de prueba pueden diferir de las detecciones de reglas en vivo o de búsquedas retroactivas porque las ventanas de evaluación pueden alinearse de manera diferente.

Nota: Estos resultados de la prueba no se guardan y no se podrán ver en el panel Reglas.

Para obtener más información, consulta Visualiza errores de reglas.

Nota: Esta función está sujeta a las Condiciones de las Ofertas de Fase Previa a la DG de las Condiciones Específicas del Servicio de Google Security Operations. Las funciones de la fase previa a la DG pueden tener compatibilidad limitada, y es posible que los cambios que se les realicen no sean compatibles con otras versiones de la fase previa a la DG. Para obtener más información, consulta los Lineamientos de los Servicios de Asistencia Técnica de Google SecOps y las Condiciones Específicas del Servicio de Google SecOps.

También puedes ejecutar las pruebas para validar tus reglas seleccionadas.

Para ver blogs de la comunidad sobre la administración de reglas, consulta: Navegación del Editor de reglas

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.