הפעלת כלל על נתונים היסטוריים
במסמך הזה מוסבר על הפונקציונליות של הפעלת כללים בזמן אמת ועל התכונה 'חיפוש רטרוספקטיבי' בפלטפורמת Google Security Operations. כללים חדשים מתחילים לעקוב אחרי אירועים נכנסים באופן מיידי, אבל חיפוש רטרו מאפשר להחיל את אותה לוגיקה של זיהוי על נתונים היסטוריים קיימים כדי לזהות איומים שלא התגלו בעבר. החיפושים ההיסטוריים האלה מתוזמנים על סמך משאבי המערכת הזמינים, ולכן זמני הסיום עשויים להשתנות.
כדי להתחיל בחיפוש רטרואקטיבי, מבצעים את השלבים הבאים:
עוברים ללוח הבקרה של הכללים.
לוחצים על סמל האפשרויות של כלל מסוים ובוחרים באפשרות Yara-L Retrohunt.
אפשרות YARA-L Retrohuntבחלון YARA-L Retrohunt, בוחרים את שעות ההתחלה והסיום של החיפוש. ברירת המחדל היא שבוע אחד. בחלון מוצג טווח התאריכים והשעות שזמינים. בכללים מרובי-אירועים, טווח החיפוש של retrohunt צריך להיות גדול מגודל חלון ההתאמה או שווה לו.
לוחצים על RUN.
תיבת הדו-שיח של Yara-L Retrohunt
אפשר לראות את ההתקדמות של הרצת ה-retrohunt בתצוגת הזיהויים של הכלל. אם מבטלים חיפוש רטרואקטיבי שנמצא בעיצומו, עדיין אפשר לראות את כל הזיהויים שהתבצעו במהלך ההפעלה.
אם השלמתם כמה חיפושים רטרואקטיביים, תוכלו לראות את התוצאות של הרצות קודמות של חיפושים רטרואקטיביים בלחיצה על הקישור של טווח התאריכים, כמו שמוצג באיור הבא. התוצאות של כל הפעלה מוצגות בתרשים ציר הזמן והזיהויים בתצוגה 'זיהויים של כללים'.
הרצות של חיפוש רטרואקטיבי ב-Yara-L
אם משתמשים ברשימת הפניות בכלל, מריצים חיפוש רטרוספקטיבי ואז מסירים פריטים מהרשימה, צריך לשנות את הכלל לגרסה חדשה כדי לראות את התוצאות החדשות. Google SecOps לא מוחקת זיהויים מרשימות הפניות, ולכן רענון הכלל לא יעדכן את התוצאות.
הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.