Aplicar uma regra a dados ativos

Compatível com:

Quando você cria uma regra, ela não pesquisa detecções com base em eventos recebidos na sua conta do Google Security Operations em tempo real. No entanto, você pode definir a regra para pesquisar detecções em tempo real ativando a opção Regra ativa.

Quando uma regra é configurada para pesquisar detecções em tempo real, ela prioriza dados ativos para detecção imediata de ameaças.

Para ativar uma regra, siga estas etapas:

  1. Clique em Detecção > Regras e detecções.

  2. Clique na guia Painel de regras.

  3. Clique no ícone de opção more_vert Regras de uma regra e ative a Regra ativa.

    Regra ativa

    Regra ativa

  4. Selecione Ver detecções de regras para conferir as detecções de uma regra ativa.

Cota de regras de exibição

Na parte de cima à direita do painel "Regras", clique em Capacidade de regras para mostrar os limites do número de regras que podem ser ativadas como ativas.

O Google SecOps impõe os seguintes limites de regras:

  • Cota de regras de vários eventos: mostra a contagem atual de regras de vários eventos ativadas e o máximo permitido. Saiba mais sobre a diferença entre regras de evento único e regras de vários eventos.
  • Cota total de regras: mostra a contagem total atual de regras ativadas como "ativas" em todos os tipos, em comparação com o limite máximo permitido.

Execuções de regras

As execuções de regras ativas para um determinado período de tempo de evento são acionadas com frequência decrescente. Uma execução de limpeza final é realizada, e depois disso, nenhuma outra execução é iniciada.

Cada execução é feita nas versões mais recentes das listas de referência usadas nas regras e no aprimoramento de dados de eventos e entidades mais recente.

Algumas detecções podem ser geradas retrospectivamente se forem detectadas apenas em execuções posteriores. Por exemplo, a última execução pode usar a versão mais recente da lista de referência, que agora detecta mais eventos, e os dados de eventos e entidades podem ser reprocessados devido a novos enriquecimentos.

Eliminação de duplicação

Para regras que incluem uma seção match, o Google SecOps identifica e remove automaticamente detecções e alertas que têm valores de variável de correspondência idênticos e ocorrem em períodos adjacentes. Esse recurso de eliminação de duplicação ajuda a reduzir a fadiga de alertas. Ao desenvolver regras, saiba que o recurso de remoção de duplicação afeta quantas detecções e alertas são retidos.

Exceções de eliminação de duplicação

O Google SecOps trata cada versão de regra como uma lógica nova e distinta. Como resultado, quando você cria uma nova versão de uma regra, ela pode acionar detecções repetidas com base em eventos anteriores. O Google SecOps não remove essas detecções, mesmo que pareçam duplicadas.

Latências de detecção

O tempo que uma regra ativa leva para gerar uma detecção depende de vários fatores. Para mais informações, consulte Entender os atrasos na detecção de regras.

Status da regra

As regras ativas podem ter um dos seguintes status:

  • Ativada:a regra está ativa e funcionando normalmente como uma regra ativa.

  • Desativada:a regra está desativada.

  • Limitado:as regras ativas podem ser definidas como "Limitado" quando mostram um uso de recursos muito alto. As regras limitadas são isoladas das outras regras ativas no sistema para manter a estabilidade do Google SecOps.

    Para regras ativas limitadas, nem sempre é possível executar a regra com sucesso. No entanto, se a execução da regra for bem-sucedida, as detecções serão retidas e ficarão disponíveis para revisão. As regras ativas limitadas sempre geram uma mensagem de erro, que inclui recomendações sobre como melhorar a performance da regra.

    Se a performance de uma regra Limitada não melhorar em três dias, o status dela será alterado para Pausada.

    Observação: se não houver mudanças recentes nessa regra, os erros podem ser intermitentes e podem ser resolvidos automaticamente.

  • Pausada:as regras ativas entram nesse status quando estão no status Limitado por três dias e não mostram nenhuma melhoria de performance. As execuções dessa regra foram pausadas, e mensagens de erro com sugestões de como melhorar a performance dela foram retornadas.

Para retornar uma regra ativa ao status Ativada, siga as práticas recomendadas da YARA-L para otimizar a performance da regra e salve as mudanças. Depois que a regra é salva, ela é redefinida para o estado Ativada e leva pelo menos uma hora para atingir o status Limitada novamente.

É possível resolver problemas de performance com uma regra configurando-a para ser executada com menos frequência. Por exemplo, você pode reconfigurar uma regra para ser executada uma vez por hora ou a cada 24 horas em vez de a cada 10 minutos. No entanto, mudar a frequência de execução de uma regra não muda o status dela de volta para Ativada. Se você fizer uma pequena modificação na regra e salvar, poderá redefinir automaticamente o status dela para Ativada.

Os status das regras são exibidos no painel de regras e também podem ser acessados pela API Detection Engine. Os erros gerados por regras no status Limitado ou Pausado estão disponíveis usando o método da API ListErrors. O erro indica que a regra está no status Limitada ou Pausada e fornece um link para a documentação sobre como resolver o problema.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.