在规则编辑器中修改规则

支持的平台：

Google Security Operations 中的规则编辑器是用于创建、查看、测试和管理 YARA-L 检测规则的主要界面。它为安全工程师提供了一个专用环境，用于编写和优化检测逻辑，以识别提取的日志数据中的威胁和可疑活动。

创建和修改规则

如需打开规则编辑器，请依次点击检测> 规则和检测 > 规则编辑器标签页。

新建规则

规则使用 YARA-L 2.0 查询语言。首次创建新规则之前，请参阅使用入门：SecOps 中的 YARA-L 2.0。

如需创建新规则，请按以下步骤操作：

  1. 在规则编辑器中，点击新建以打开规则编辑器窗口。

    系统会自动填充默认规则模板，并为规则生成唯一的名称。在 YARA-L 中创建新规则。

  2. 在绑定到范围菜单中，选择要添加到规则中的范围。如需详细了解如何向规则添加范围，请参阅数据 RBAC 对规则的影响。

  3. 点击保存新规则。

    Google SecOps 可以检查规则的语法。如果规则有效，则保存并自动启用。如果规则无效，则会返回错误。

    系统会根据多事件规则的匹配窗口自动设置运行频率：

    • 对于时长不超过 48 小时的窗口，运行频率默认为 1 小时（对于时长不超过 60 分钟的匹配窗口，可自定义为 10 分钟）。
    • 如果时间窗口大小超过 48 小时，运行频率会自动设置为 match_window / 10。

    如需了解详情，请参阅了解规则运行时间安排。

  4. （可选）如需删除新规则，请点击舍弃。

修改规则

如需修改现有规则，请按以下步骤操作：

  1. 使用搜索规则字段查找现有规则，或滚动浏览规则列表。点击侧边栏中的规则，即可在规则显示面板中查看详细信息。

  2. 从规则列表中选择要修改的规则。

    相应规则会显示在规则修改窗口中。规则菜单为每条规则提供以下选项：

    • 有效规则：启用或停用规则。
    • 复制规则：复制规则。
    • 查看规则检测：打开规则检测窗口，以显示此规则捕获的检测结果。

  3. 如需更新规则的范围，请从绑定到范围菜单中选择相应范围。如需详细了解如何为规则添加范围，请参阅数据 RBAC 对规则的影响。

查看当前检测项

您可以通过以下任一方式查看与规则相关联的当前检测信息：

  • 在规则列表中点击相应规则。

    点击查看规则检测以打开规则检测视图。此视图会显示规则的元数据，以及一张图表，显示在最近几天发现的规则数量。

  • 点击修改规则以打开规则编辑器。

    时间轴标签页会列出规则检测到的事件。选择一个事件，然后打开关联的原始日志或 UDM 事件。

    如需更改时间轴标签页上显示的信息，请依次点击 view_column 列，打开多列视图选项。在多列视图中，您可以从各种类别的日志信息中进行选择，包括常见类型（例如 hostname 和 user）以及 UDM 提供的更具体的类别。

测试规则

点击运行测试以测试您的自定义规则。Google SecOps 会针对指定时间范围内的事件运行该规则，生成结果，并在测试规则结果窗口中显示这些结果。

您可以随时点击取消测试来停止该流程。

如需了解详情，请参阅查看规则错误。

您还可以执行测试来验证精选规则。

如需查看有关管理规则的社区博客，请参阅：规则编辑器导航

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。