統合ルールを管理する

以下でサポートされています。

このドキュメントでは、統合ルール インターフェース内でキュレートされたルールとカスタムルールの両方を管理する機能について説明します。[ルール] ページの機能、ルール エディタ内の統合開発環境（IDE）の機能、キュレートされたルールの管理について説明します。

統合ルールのページの機能について

[ルール] ページには、カスタムルールとキュレートされたルールの両方を管理するための単一の統合インターフェースが用意されています。次の表に、ルール管理ワークフローの最適化に役立つ主な機能の概要を示します。

機能 説明 アクション
統合ルールリスト カスタムルールとキュレートされたルールを 1 つのリストに表示します。 すべてのルールを 1 か所で閲覧、管理できます。
検索 デフォルトでは、すべてのルールテキストで構造化検索をサポートします。 高度なフィルタリング オプションについては、ルールの検索ページをご覧ください。
クイック フィルタ ルールリストを絞り込むための初期フィルタ オプションを提供します。 リストをフィルタして、All ルール、Live ルール、Alerting ルール、Custom ルール、Non-archived ルールを表示します。
列のカスタマイズ ルールテーブルのデータ列の表示 / 非表示をカスタマイズできます。 view_column ビュー列をクリックして、列の表示と非表示を切り替えます。
ルールのプレビュー ルール ダッシュボードにルールの概要を表示します。 ルールリストの行（ルール名以外の任意の場所）をクリックして、ルールの概要を表示します。
ピボットの表示 関連するルールビュー（エディタ、検出、ルールパックの管理）にすばやく移動できます。 行にポインタを合わせると、[アクション] メニューが表示されます。[アクション] メニューをクリックし、必要なビューを選択します。
複数選択アクション 複数のルールのルール構成を同時に更新します。 view_column 列を表示するアイコンをクリックし、[アクション] を選択して、各行の選択ボックスを表示します。[アクション] メニューからアクションを選択します。

ルールエディタを使用する

ルール エディタは、キュレートされたルールとカスタムルールの両方をサポートしています。ルール開発のワークフローを改善するためのリアルタイムのコンテキスト アシスタンスを提供します。UDM フィールドにポインタを合わせると定義が表示され、エラーのハイライトにポインタを合わせると特定のエラーの詳細が表示されます。

[ルールの詳細] パネルについて

表からルールを選択すると、ルール詳細パネルが開きます。このパネルでは、ルール情報が次のタブに整理されています。

  • [概要] タブ: ルールのメタデータ（created_time、author、rule_type など）と適用されたタグが表示されます。組み込みのタグ割り当てツールを使用して、MITRE タグを追加または削除することもできます。

  • [Logic] タブ:

    次の操作を行うことができるインライン IDE を提供します。

    • カスタムルールとキュレートされたルールの両方のルールテキストを表示します。

    • ルールのテキストと適用範囲を更新します（カスタムルールのみ）。

    • ルールテストを実行します（カスタムルールのみ）。

    • アラートと検出のステータスを更新します（カスタムルールのみ）。

    • デフォルトのテンプレートから新しいルールを作成します。

キュレートされたルールを管理する

統合インターフェースでは、キュレートされたルールをきめ細かく制御して可視化できます。これにより、次の操作が可能になります。

  • キュレートされたルールを検索します。

  • キュレートされたルールのテキストを表示します。

  • 親ルールセットのデプロイ ステータスとは別に、各キュレートされたルールのライブ ステータスとアラート ステータスを個別に制御します。

キュレートされたルールを検索する

ルール ダッシュボードで、キュレートされたルールを表示できます。次の方法でダッシュボードをフィルタできます。

  • クイック フィルタ: [キュレートされた] ルール所有者のクイック フィルタを選択します。

  • 構造化検索: 検索ボックスでフィルタ クエリ rule_owner:GOOGLE を使用します。また、構造化検索では、キュレートされたルールテキスト内のロジックの検索もサポートされています。フィルタ クエリ text:keyword rule_owner:GOOGLE を使用して、キュレートされたルールでキーワード検索を行います。詳しくは、ルールリストの検索をご覧ください。

キュレートされたルールのテキストを表示する

キュレートされたルールテキストは、ルール ダッシュボードのルール プレビュー パネルで確認できます。プレビュー パネルにアクセスするには、[ルール] テーブルの行（ルール名以外の行の空白部分）をクリックし、プレビュー パネルのテキストを表示します。

キュレートされたルールのデプロイ ステータスを制御する

ダッシュボードから、個々のキュレートされたルールに対して親ルールセットのデプロイ構成をオーバーライドできます。次の方法を使用して、単一のキュレートされたルールのライブ ステータスとアラート ステータスを更新します。

  • ステータスの切り替え: ルール ダッシュボードで、列管理パネルを開き、[ステータス（切り替え付き）] 列を有効にします。ルールのステータスを live または alerting に切り替えます。

  • 複数選択アクション: ルール ダッシュボードで、列管理パネルを開き、複数選択アクション列を有効にします。更新するルールを複数選択チェックボックスを使用して 1 つ以上選択し、[操作] メニューからアクションを選択します。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。