Regel mit Verlaufsdaten ausführen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird die Funktionalität der Echtzeit-Regelausführung und der Retrohunt-Funktion in der Google Security Operations-Plattform erläutert. Neue Regeln beginnen sofort mit der Überwachung eingehender Ereignisse. Mit einer Retrohunt können Sie dieselbe Erkennungslogik auf vorhandene Verlaufsdaten anwenden, um bisher unentdeckte Bedrohungen zu identifizieren. Diese historischen Suchanfragen werden basierend auf den verfügbaren Systemressourcen geplant. Die Abschlusszeiten können daher variieren.

Hinweis :Wenn Sie eine Retrohunt für eine Regel mit aktivierten Benachrichtigungen ausführen, wird für jede gefundene Erkennung eine SOAR-Benachrichtigung erstellt. Dieses Volumen kann Ihr System mit Überlaufvorgängen überfluten und die Erstellung von Vorgängen für andere Benachrichtigungen vorübergehend blockieren. Wenn Sie historische Daten sicher durchsuchen möchten, empfehlen wir, die Retrohunt mit deaktiviertem Benachrichtigungsstatus der Regel auszuführen. Auf diese Weise gefundene Erkennungen lösen keine SOAR-Benachrichtigungen aus. Wenn Sie Benachrichtigungen für die bisherigen Erkennungen benötigen, erstellen Sie eine neue Regelversion mit aktivierten Benachrichtigungen und führen Sie die Retrohunt noch einmal aus.

So starten Sie eine Retrohunt:

1. Rufen Sie das Dashboard „Regeln“ auf.

2. Klicken Sie für eine Regel auf das Symbol für die Option „Regeln“ und wählen Sie Yara-L Retrohunt aus.

   YARA-L Retrohunt-Option

3. Wählen Sie im Fenster YARA-L Retrohunt (YARA-L-Retrohunt) die Start- und Endzeit für Ihre Suche aus. Die Standardeinstellung ist eine Woche. Im Fenster wird der verfügbare Datums- und Uhrzeitbereich angezeigt. Bei Regeln für mehrere Ereignisse muss der Retrohunt-Suchbereich größer oder gleich der Größe des Übereinstimmungszeitfensters sein.

4. Klicken Sie auf AUSFÜHREN.

   

   Dialogfeld „YARA-L Retrohunt“

5. Sie können den Fortschritt des Retrohunts in der Ansicht „Regelerkennungen“ für die Regel sehen. Wenn Sie eine laufende Retrohunt abbrechen, können Sie sich trotzdem alle erkannten Elemente ansehen, die während der Ausführung gefunden wurden.

6. Wenn Sie mehrere Retrohunts durchgeführt haben, können Sie die Ergebnisse vergangener Retrohunt-Läufe aufrufen, indem Sie auf den Link für den Zeitraum klicken (siehe Abbildung unten). Die Ergebnisse der einzelnen Ausführungen werden in der Ansicht „Regelerkennungen“ im Diagramm „Zeitachse und Erkennungen“ angezeigt.

   

   YARA-L-Retrohunt-Ausführungen

7. Wenn Sie eine Referenzliste in einer Regel verwenden, eine Retrohunt ausführen und dann Elemente aus dieser Liste entfernen, müssen Sie die Regel in einer neuen Version überarbeiten, um die neuen Ergebnisse zu sehen. Google SecOps löscht keine erkannten Elemente aus Referenzlisten. Wenn Sie die Regel aktualisieren, werden die Ergebnisse also nicht aktualisiert.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten