Detecta amenazas con reglas unificadas
Esta guía está dirigida a los ingenieros de detección que desean detectar amenazas para su organización. En él, se explica cómo aprovechar la interfaz de Reglas unificadas para acelerar tus capacidades de detección de amenazas.
Casos de uso habituales
Estos son algunos casos de uso comunes para este flujo de trabajo:
Implementación acelerada de reglas
Objetivo: Identificar y habilitar rápidamente detecciones seleccionadas para tácticas específicas de adversarios (por ejemplo, Initial Access)
Valor: Reduce el tiempo promedio de detección (MTTD) para los vectores de ataque comunes sin necesidad de desarrollar reglas de forma manual.
Administración centralizada del ciclo de vida de las reglas
Objetivo: Supervisar el historial de ejecución, el estado y la implementación de reglas desde una sola consola.
Valor: Mejora la supervisión operativa y garantiza que las detecciones activas funcionen según lo previsto.
Terminología clave
Detecciones seleccionadas: Conjuntos de detección prediseñados y administrados por expertos en seguridad de Google Cloud.
Interfaz de reglas unificadas: Una consola de administración consolidada para las reglas personalizadas de YARA-L y el contenido seleccionado.
Implementación de reglas: Es el estado de una regla (activa o archivada) y su configuración de alertas asociada.
Búsqueda retroactiva: Es un proceso que ejecuta una regla en los datos históricos para encontrar instancias pasadas de una amenaza.
Antes de comenzar
Si tu equipo usa roles personalizados de IAM, asegúrate de tener los siguientes permisos para trabajar con el panel y el editor de Reglas unificadas.
Si tu organización usa el control de acceso basado en roles de datos (RBAC de datos), también debes tener acceso a los permisos asociados con las reglas que deseas administrar. Para obtener más información, consulta la descripción general del RBAC de datos.
Permisos del panel de reglas unificadas
| Permiso | Permiso de IAM obligatorio |
|---|---|
View
|
|
Edit
|
|
Vistas guardadas: Crea y enumera vistas de reglas guardadas
En esta sección, se enumeran los permisos necesarios para crear vistas guardadas. Las vistas guardadas te permiten crear y guardar un conjunto personalizado de filtros de reglas, conjuntos de columnas y órdenes de clasificación para acceder rápidamente a tu panel de Reglas unificadas.
| Permiso | Permiso de IAM obligatorio |
|---|---|
Manage
|
|
Permisos del editor de reglas
| Componente | Permiso de IAM (si usas IAM) | Permiso de analista (si usas el RBAC heredado) |
|---|---|---|
| Página del editor de reglas |
|
detectRulesView
|
| Sección de lista de referencias relacionadas |
|
referenceListView
|
| Sección de la tabla de datos relacionados |
|
N/A |
| Botón Crear regla nueva |
|
detectRulesCreate
|
| Botón Probar regla | chronicle.legacies.legacyRunTestRule
|
detectRulesRun
|
| Menú Alcance de la regla | chronicle.rules.update
|
detectRulesEdit
|
| Botón Guardar regla | chronicle.rules.update
|
detectRulesEdit
|
| Botón Guardar como regla nueva | chronicle.rules.create
|
detectRulesCreate
|
| Botón Rule retro hunt | chronicle.retrohunts.create
|
detectRulesRun
|
| Botón de activación Rule live | chronicle.ruleDeployments.update
|
detectRulesEdit
|
| Botón de activación Alerta de regla | chronicle.ruleDeployments.update
|
detectRulesEdit
|
| Palanca de activación Frecuencia de ejecución de la regla | chronicle.ruleDeployments.update
|
detectRulesEdit
|
| Alternar entre archivar y desarchivar reglas | chronicle.ruleDeployments.update
|
detectRulesEdit
|
| Cómo ver la regla seleccionada en el editor | chronicle.featuredContentRules.list
|
N/A |
Administra tus preferencias de la interfaz unificada
Puedes alternar entre la experiencia unificada y la vista heredada tanto para el panel Reglas unificadas como para el editor de reglas. Una vez que realices una selección, la instancia guardará tu preferencia y cargará esa versión específica de forma predeterminada.
Panel de reglas unificadas: Para habilitar el panel de reglas unificadas, navega al panel de reglas y haz clic en Prueba nuestra nueva página de reglas unificadas. Para inhabilitar la versión nueva, haz clic en Volver al panel de reglas heredado.
Editor de reglas: Para habilitar el nuevo editor de reglas, navega a la página del editor de reglas y haz clic en Nueva página del editor de reglas. Para inhabilitar la opción, haz clic en Página del editor de reglas heredado.
Vistas guardadas seleccionadas
El panel de Reglas unificadas incluye vistas guardadas predeterminadas que te permiten filtrar y organizar reglas rápidamente. En la siguiente tabla, se describen estas vistas guardadas predeterminadas seleccionadas:
| Vista guardada | Descripción | Criterios de filtro |
|---|---|---|
| Reglas no saludables | Muestra las reglas que tienen problemas de ejecución o que se encuentran en un estado de ejecución no predeterminado. | Reglas no archivadas con execution_state no es igual a default. |
| Reglas de Google activas y de alertas | Muestra reglas seleccionadas creadas por Google que están activas y configuradas para generar alertas. | Reglas con rule_owner establecido en GOOGLE, archived establecido en false, alerting_enabled establecido en true y live_mode_enabled establecido en true. |
| Reglas que usan el ECG | Muestra las reglas que aprovechan los datos del gráfico de contexto de entidades (ECG). | Reglas no archivadas que usan graph.entity. |
| Reglas de persistencia y elevación de privilegios | Muestra reglas relacionadas con tácticas de persistencia y elevación de privilegios. | Reglas no archivadas etiquetadas con TA0003 (Persistencia) o TA0004 (Elevación de privilegios). |
| Reglas recomendadas de Mandiant | Muestra reglas de alta confianza verificadas por expertos y seleccionadas por Mandiant. Para obtener más información, consulta Reglas recomendadas de Mandiant. | Reglas no archivadas etiquetadas con google.mandiant.recommended. |
Acelera la detección de amenazas con reglas seleccionadas
Puedes usar la interfaz de Reglas unificadas para identificar detecciones de tácticas específicas de MITRE ATT&CK. Para encontrar reglas con alertas habilitadas y relacionadas con el acceso inicial, haz lo siguiente:
Navega al panel Reglas unificadas.
Usa la barra de búsqueda para filtrar amenazas específicas.
Por ejemplo, para encontrar reglas seleccionadas relacionadas con el acceso inicial (táctica
TA0001de MITRE ATT&CK), usa la siguiente búsqueda:alerting_enabled = true AND tags:"TA0001"Para aplicar filtros complejos, consulta la sintaxis avanzada en la página de reglas de Búsqueda.
Opcional: Selecciona una regla de los resultados de la búsqueda para ver sus detalles.
Haz clic en Menú junto a la regla que deseas implementar.
Haz clic en los botones de activación Regla de Live y Alertas para comenzar a detectar amenazas de forma activa.
Puedes hacer un seguimiento del historial de ejecución, estado y alertas de la regla desde tu panel.
Cómo usar las vistas guardadas
El panel Reglas unificadas admite vistas guardadas. Las vistas guardadas te permiten crear y guardar un conjunto personalizado de filtros de reglas, conjuntos de columnas y órdenes de clasificación para acceder rápidamente a tu panel de Reglas unificadas.
Crea una vista personalizada
Navega al panel Reglas unificadas.
Haz clic en el menú Vistas guardadas y selecciona Guardar como vista nueva.
Escribe el nombre de la vista y haz clic en Guardar.
Configura tus filtros, columnas y orden de clasificación de segmentación en el panel Reglas unificadas.
Cómo aplicar una vista guardada
Para actualizar el panel con una configuración guardada, haz lo siguiente:
Navega al panel Reglas unificadas.
Haz clic en el menú Vistas guardadas y selecciona la vista guardada requerida de la lista.
Haz clic en Guardar.
Administra las vistas guardadas
Para modificar, cambiar el nombre, ocultar o borrar una vista guardada, haz lo siguiente:
Haz clic en el menú Vistas guardadas y selecciona Administrar vistas.
Haz clic en Guardar.
Soluciona problemas
En esta sección, se proporciona información para resolver problemas comunes y comprender las limitaciones de la interfaz de Reglas unificadas.
Latencia y límites
Ejecución de reglas: Es posible que haya un breve retraso en la propagación (por lo general, de unos minutos) entre el momento en que se guarda una regla y el momento en que se ven sus primeras métricas de ejecución en el panel.
Límites de la búsqueda retroactiva: Las detecciones seleccionadas no se pueden ejecutar como búsquedas retroactivas. Además, las búsquedas retroactivas están sujetas a límites de la ventana de visualización según tu nivel de retención de datos.
Corrección de errores
| Código de error | Descripción del problema | Corregir |
|---|---|---|
| 403 Forbidden | Faltan permisos para ver el contenido seleccionado. | Asegúrate de que chronicle.featuredContentRules.list se haya agregado a tu rol de IAM.
|
| No se pudo implementar | Error o conflicto de sintaxis de la regla. | Usa el botón Probar regla en el editor de reglas para validar la sintaxis de YARA-L. |
user does not have access to scope <scope_name>
|
El usuario no tiene los permisos de RBAC de datos necesarios para el alcance asignado a la regla. | Asegúrate de tener acceso al alcance requerido. Para obtener más información, consulta Configura el RBAC de datos para los usuarios. |
The rule has been modified by someone else
|
Otro usuario guardó una nueva versión de la regla desde que la abriste. | Copia los cambios, actualiza la página para cargar la versión más reciente y, luego, vuelve a aplicar y guardar los cambios. |
rules editing not enabled
|
La edición de reglas está inhabilitada para tu instancia de Google SecOps. | Comunícate con tu administrador para habilitar la edición de reglas. |
¿Qué sigue?
¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.