Esecuzione di una regola sui dati storici

Supportato in:

Google SecOps SIEM

Questo documento spiega la funzionalità di esecuzione delle regole in tempo reale e la funzionalità di ricerca retroattiva all'interno della piattaforma Google Security Operations. Mentre le nuove regole iniziano immediatamente a monitorare gli eventi in entrata, una ricerca retroattiva ti consente di applicare la stessa logica di rilevamento ai dati storici esistenti per identificare minacce precedentemente sconosciute. Queste ricerche storiche vengono pianificate in base alle risorse di sistema disponibili e, pertanto, i tempi di completamento possono variare.

Nota: l'esecuzione di una retrocaccia su una regola con gli avvisi attivati crea un avviso SOAR per ogni rilevamento trovato. Questo volume può inondare il sistema con casi di overflow e bloccare temporaneamente la creazione di casi per altri avvisi. Per cercare in modo sicuro i dati storici, ti consigliamo di eseguire la ricerca retroattiva con lo stato di avviso della regola disattivato. I rilevamenti trovati in questo modo non attivano avvisi SOAR. Se hai bisogno di avvisi per i rilevamenti storici, crea una nuova versione della regola con gli avvisi attivati ed esegui di nuovo la ricerca retroattiva.

Per avviare una retrocaccia, completa i seguenti passaggi:

1. Vai alla dashboard Regole.

2. Fai clic sull'icona dell'opzione Regole per una regola e seleziona Yara-L Retrohunt.

   Opzione YARA-L Retrohunt

3. Nella finestra YARA-L Retrohunt, seleziona l'ora di inizio e di fine della ricerca. Il valore predefinito è una settimana. La finestra mostra l'intervallo di date e ore disponibile. Per le regole multi-evento, l'intervallo di ricerca retrohunt deve essere maggiore o uguale alla dimensione della finestra di corrispondenza.

4. Fai clic su ESEGUI.

   

   Finestra di dialogo YARA-L Retrohunt

5. Puoi visualizzare l'avanzamento dell'esecuzione di RetroHunt dalla visualizzazione dei rilevamenti delle regole per la regola. Se annulli una ricerca retroattiva in corso, puoi comunque visualizzare i rilevamenti che è riuscita a effettuare durante l'esecuzione.

6. Se hai completato più retrocacce, puoi visualizzare i risultati delle esecuzioni precedenti facendo clic sul link dell'intervallo di date, come mostrato nella figura seguente. I risultati di ogni esecuzione vengono visualizzati nel grafico Timeline e rilevamenti nella visualizzazione Rilevamenti delle regole.

   

   Esecuzioni di YARA-L Retrohunt

7. Se utilizzi un elenco di riferimenti in una regola, esegui una retrocaccia e poi rimuovi elementi da questo elenco, devi rivedere la regola in una nuova versione per visualizzare i nuovi risultati. Google SecOps non elimina i rilevamenti dagli elenchi di riferimento, pertanto l'aggiornamento della regola non aggiornerà i risultati.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.