Gestione delle regole mediante Rules Editor (Editor regole)

Supportato in:

Google secops SIEM

L'editor di regole in Google Security Operations è l'interfaccia principale per creare, visualizzare, testare e gestire le regole di rilevamento YARA-L. Fornisce un ambiente dedicato agli ingegneri della sicurezza per creare e perfezionare la logica di rilevamento che identifica le minacce e le attività sospette nei dati dei log inseriti.

Nota: la finestra Modifica regola include una funzionalità di completamento automatico per mostrare la sintassi YARA-L corretta per ogni sezione della regola. Utilizza questa funzionalità quando crei e modifichi una regola per visualizzare i suggerimenti automatici e verificare la sintassi YARA-L corretta.

Creare e modificare le regole

Per aprire l'editor delle regole, fai clic su Rilevamenti > Regole e rilevamenti > la scheda Editor delle regole.

Modificare una regola

Per modificare una regola esistente:

1. Utilizza il campo Cerca regole per trovare una regola esistente o scorri l'elenco delle regole. Fai clic su una regola nel riquadro laterale per visualizzarne i dettagli nel riquadro di visualizzazione delle regole.

2. Seleziona la regola da modificare dall'elenco delle regole.

   La regola viene visualizzata nella finestra Modifica regola. Il menu delle regole offre le seguenti opzioni per ogni regola:

   • Regola live: attiva o disattiva la regola.
   • Duplica regola: crea una copia della regola.
   • Visualizza rilevamenti delle regole: apri la finestra Rilevamenti delle regole per visualizzare i rilevamenti acquisiti da questa regola.

3. Per aggiornare l'ambito della regola, selezionalo dal menu Associa all'ambito. Per saperne di più sull'aggiunta di un ambito a una regola, vedi Impatto di RBAC basato sui dati sulle regole.

   Per saperne di più, consulta Sintassi del linguaggio YARA-L 2.0.

Crea una nuova regola

Per creare una nuova regola:

1. Nell'editor delle regole, fai clic su Nuovo per aprire la finestra Editor delle regole.

   Il sistema compila automaticamente il modello di regola predefinito e genera un nome univoco per la regola. Crea la nuova regola in YARA-L.

2. Nel menu Associa all'ambito, seleziona l'ambito da aggiungere alla regola. Per saperne di più sull'aggiunta di un ambito a una regola, vedi Impatto di RBAC basato sui dati sulle regole.

3. Fai clic su Salva nuova regola.

   Google SecOps controlla la sintassi della regola. Se la regola è valida, viene salvata e attivata automaticamente. Se la regola non è valida, viene restituito un errore.

   Per eliminare la nuova regola, fai clic su Elimina.

   Nota :una volta salvata una regola, non puoi eliminarla utilizzando l'editor di regole o la dashboard Regole.

   La frequenza di esecuzione delle regole multi-evento viene impostata automaticamente in base alla finestra di corrispondenza della regola:

   • Per una dimensione finestra da 1 a 48 ore, la frequenza di esecuzione è impostata su 1 ora.
   • Per una dimensione della finestra superiore a 48 ore, la frequenza di esecuzione è impostata su 24 ore.

   Per saperne di più, vedi Impostare la frequenza di esecuzione.

Visualizzare i rilevamenti attuali

Visualizza le informazioni sui rilevamenti attuali associati a una regola in uno dei seguenti modi:

• Fai clic sulla regola nell'elenco delle regole.

  Fai clic su Visualizza rilevamenti regole per aprire la visualizzazione Rilevamenti regole. Questa visualizzazione mostra i metadati della regola e un grafico che mostra il numero di rilevamenti trovati dalla regola negli ultimi giorni.

• Fai clic su Modifica regola per aprire l'editor delle regole.

  La scheda Cronologia elenca gli eventi rilevati dalla regola. Seleziona un evento e apri il log non elaborato o l'evento UDM associato.

  Per modificare le informazioni visualizzate nella scheda Cronologia, fai clic su view_column Colonne per aprire le opzioni di visualizzazione a più colonne. La visualizzazione a più colonne ti consente di scegliere tra varie categorie di informazioni sui log, inclusi tipi comuni, come hostname e user, e categorie più specifiche fornite da UDM.

Testare la regola

Fai clic su Esegui test per testare la regola. Google SecOps esegue la regola sugli eventi nell'intervallo di tempo specificato, genera i risultati e li visualizza nella finestra Risultati del test della regola.

Fai clic su Annulla test in qualsiasi momento per interrompere il processo.

Nota: le esecuzioni successive della stessa regola di test potrebbero generare rilevamenti di test diversi ed è un comportamento previsto. Google SecOps esegue una regola di test in più processi paralleli e i rilevamenti vengono trasmessi in streaming alla dashboard al termine di ogni processo. Piccole differenze di tempistica possono influire sulle rilevazioni dei duplicati che vengono rimosse. Per estensione, i risultati potrebbero non corrispondere a quelli delle regole attive o delle ricerche retrospettive.

Nota: i rilevamenti delle regole di test non vengono mantenuti e non generano avvisi. Questo comportamento consente agli autori delle regole di eseguire iterazioni senza influire sulla produzione. Il test delle regole potrebbe rilevare risultati diversi rispetto a quelli di retrocaccia o delle regole live perché le finestre di valutazione potrebbero essere allineate in modo diverso.

Nota: questi risultati del test non vengono salvati e non saranno visibili nella dashboard Regole.

Per saperne di più, consulta Visualizzare gli errori delle regole.

Per i blog della community sulla gestione delle regole, consulta: Navigazione dell'editor delle regole

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.