In der Liste der Regeln suchen

Unterstützt in:

Google SecOps SIEM

Mit der Regelsuche können Sie in Ihrer einheitlichen Regelliste nach bestimmten Regeln suchen. Sie können Regeln mithilfe von Keyword-Optionen finden oder eine erweiterte, AIP-160-kompatible strukturierte Suchsyntax für sehr gezielte Anfragen verwenden. Diese Suchfunktionen werden sowohl im Dashboard „Regeln“ als auch über die ListRules API vollständig unterstützt.

Suchmethoden

• Keyword-Suche: Führt eine einfache, breite Suche direkt im Regeltext durch.

  Beispiel: my_rule_name

• Strukturierte Suche: Hier werden Ihre Regeln nach bestimmten Metadatenfiltern gefiltert, z. B. nach Anzeigename, Text, Tags oder Livestatus.

  Beispiel: display_name="my_rule_name" text:"$e.metadata.event_type = /"USER_LOGIN/"" tags:"ta0001"

Unterstützte Operatoren in der Suche

Operator	Beispiel	Bedeutung
:	string_field: "str" repeated_field: "str"	Der Feldwert enthält den Teilstring str. Eines der Feldelemente enthält den Teilstring str
=	string_field = "str" bool_field = true enum_field = "VAL" timestamp_field = "2025-01-01"	Feldwert ist genau str Der Feldwert ist genau der boolesche Wert TRUE. Der Feldwert entspricht genau der Aufzählung VAL. Der Feldwert ist genau das Datum 2025-01-01
!=	string_field != "str" bool_field != true enum_field != "VAL"	Feldwert ist NICHT str Feldwert ist NICHT TRUE Der Feldwert ist NICHT die Aufzählung VAL.
>	string_field > "str" timestamp_field > "2025-01-01"	Der Feldwert wird lexikalisch nach str sortiert. Feldwert liegt nach dem 2025-01-01
>=	string_field >= "str" timestamp_field >= "2025-01-01"	Der Feldwert ist lexikalisch nach oder gleich str sortiert. Der Feldwert liegt am oder nach dem 2025-01-01.
<	string_field < "str" timestamp_field < "2025-01-01"	Der Feldwert wird lexikalisch vor str sortiert. Der Feldwert liegt vor dem 2025-01-01.
<=	string_field <<>= "str" timestamp_field <<>= "2025-01-01"	Der Feldwert ist lexikalisch vor oder gleich str. Der Feldwert liegt am oder vor dem 2025-01-01.

Unterstützte Felder für die strukturierte Suche

rule_owner

Feldbeschreibung: Die Erstellerentität der Regel

Feldtyp: enum

Unterstützte Werte:

• Kunden

• google

• * (beliebiger Eigentümer)

Unterstützte Operatoren

Operator	Beispiel	Bedeutung
:	rule_owner: "customer" rule_owner: "google" rule_owner:*	Nur benutzerdefinierte Regeln zurückgeben Nur kuratierte Regeln zurückgeben Sowohl benutzerdefinierte als auch kuratierte Regeln zurückgeben
=	rule_owner = "customer" rule_owner = "google"	Nur benutzerdefinierte Regeln zurückgeben Nur kuratierte Regeln zurückgeben
!=	rule_owner != "customer" rule_owner != "google"	Regeln zurückgeben, die keine benutzerdefinierten Regeln sind Nicht kuratierte Regeln zurückgeben

Hinweis: Standardmäßig wird auf API-Aufrufe ohne rule_owner-Filter der Filter rule_owner: "customer" angewendet. Der Platzhalterwert \* ist hilfreich, wenn sowohl benutzerdefinierte als auch kuratierte Regeln abgerufen werden.

create_time

Feldbeschreibung: Der Zeitstempel für die Erstellung der Regel.

Feldtyp: timestamp

Unterstützte Operatoren:

Operator	Beispiel	Bedeutung
>	create_time > "2025-11-19"	Rückgaberegeln, die nach dem 2025-11-19 erstellt wurden
>=	create_time >= "2025-11-19"	Rückgaberegeln, die am oder nach dem 2025-11-19 erstellt wurden
<	create_time < "2025-11-19"	Rückgaberegeln, die vor dem 2025-11-19 erstellt wurden
<=	create_time <= "2025-11-19"	Rückgaberegeln, die am oder vor dem 2025-11-19 erstellt wurden

Hinweis :Suchwerte für Zeitstempelfelder sollten ein String im RFC-3339-Format sein (z. B. 2012-04-22).

revision_create_time

Feldbeschreibung: Der Zeitstempel, zu dem die letzte Regelversion erstellt wurde.

Feldtyp: timestamp

Unterstützte Operatoren:

Operator	Beispiel	Bedeutung
>	revision_create_time > "2025-11-19"	Regeln mit der letzten Textaktualisierung nach dem 2025-11-19 zurückgeben
>=	revision_create_time >= "2025-11-19"	Regeln mit der letzten Textaktualisierung am oder nach dem 2025-11-19 zurückgeben
<	revision_create_time < "2025-11-19"	Regeln mit der letzten Textaktualisierung vor dem 2025-11-19 zurückgeben
<=	revision_create_time <= "2025-11-19"	Rückgaberegeln mit der letzten Textaktualisierung am oder vor dem 2025-11-19

Hinweis :Suchwerte für Zeitstempelfelder sollten ein String im RFC-3339-Format sein (z. B. 2012-04-22).

Name

Feldbeschreibung: Der Ressourcenname der Regel, die eine eindeutige Kennung enthält.

Feldtyp: string

Unterstützte Operatoren:

Operator	Beispiel	Bedeutung
:	Name: „ru_7a22464f-e8e7-408e-b598-6aa4c61bb73b“	Gibt Regeln mit dem Bezeichner „ru_7a22464f-e8e7-408e-b598-6aa4c61bb73b“ im Ressourcennamen zurück.

display_name

Feldbeschreibung: Der für Menschen lesbare Name der Regeln, die aus der ersten Zeile des Regeltexts extrahiert wurden.

Feldtyp: string

Unterstützte Operatoren:

Operator	Beispiel	Bedeutung
:	display_name: "aws"	Gibt Regeln mit dem Teilstring aws im Anzeigenamen zurück.
=	display_name = "my_rule_7"	Regeln mit dem Anzeigenamen „my_rule_7“ zurückgeben
!=	display_name != "my_rule_7"	Regeln zurückgeben, die keinen Anzeigenamen haben my_rule_7
>	display_name > "b"	Gibt Regeln zurück, deren Anzeigename mit einem Zeichen beginnt, das lexikalisch nach dem Buchstaben b eingeordnet wird.
>=	display_name > "b"	Gibt Regeln mit einem Anzeigenamen zurück, der mit dem Buchstaben „b“ oder einem Zeichen beginnt, das lexikalisch nach dem Buchstaben b eingeordnet wird.
<	display_name < "b"	Regeln mit einem Anzeigenamen zurückgeben, der mit einem Zeichen beginnt, das lexikalisch vor dem Buchstaben b steht
<=	display_name <= "b"	Gibt Regeln zurück, deren Anzeigename mit dem Buchstaben „b“ oder einem Zeichen beginnt, das lexikalisch vor dem Buchstaben b steht.

Text

Feldbeschreibung: Der Regeltext.

Feldtyp: string

Unterstützte Operatoren:

Operator	Beispiel	Bedeutung
:	Text: "invoke-web request" Text: "$ip = \"0.0.0.0\""	Regeln mit dem Teilstring aws im Regeltext zurückgeben Regeln mit dem Teilstring $ip = "0.0.0.0" zurückgeben

Hinweis:Der Regeltext von Yara-L 2.0 enthält häufig Sonderzeichen wie Anführungszeichen („), Schrägstriche (/) und Dollarzeichen ($). In einem Suchbegriff muss nur das Anführungszeichen (einfache und doppelte Anführungszeichen) maskiert werden.

Hinweis:Die Suche mit regulären Ausdrücken wird nicht unterstützt.

Autor

Feldbeschreibung: Der Autor der Regel, wie im Metadatenabschnitt des Regeltexts angegeben.

Feldtyp: string

Unterstützte Operatoren:

Operator	Beispiel	Bedeutung
:	author: "alice"	Regeln mit dem Teilstring „alice“ im Autorwert zurückgeben
=	author = "[e-mail]"	Gibt Regeln mit dem Autorwert „[e-mail]“ zurück.
!=	author != "[e-mail]"	Regeln zurückgeben, die nicht den Autor „[e-mail]“ haben
>	author > "b"	Regeln mit einem Autor zurückgeben, der mit einem Zeichen beginnt, das lexikalisch nach dem Buchstaben „b“ eingeordnet wird
>=	author > "b"	Gibt Regeln zurück, deren Autor mit dem Buchstaben „b“ oder einem Zeichen beginnt, das lexikalisch nach dem Buchstaben „b“ eingeordnet wird.
<	author < "b"	Gibt Regeln zurück, deren Autor mit einem Zeichen beginnt, das lexikalisch vor dem Buchstaben „b“ steht.
<=	author <= "b"	Gibt Regeln zurück, deren Autor mit dem Buchstaben „b“ oder einem Zeichen beginnt, das lexikalisch vor dem Buchstaben „b“ steht.

die Ausprägung

Feldbeschreibung:Der Schweregrad der Regel, wie im Metadatenabschnitt des Regeltexts angegeben

Feldtyp:Nachricht

Unterstützte Operatoren:

Operator	Beispiel	Bedeutung
:	severity: „low“	Regeln mit dem Teilstring „low“ im Schweregradwert zurückgeben
=	severity = "medium"	Regeln mit dem Schweregrad „Mittel“ zurückgeben
!=	severity != "high"	Regeln zurückgeben, die nicht den Schweregrad „hoch“ haben

Tags

Feldbeschreibung:Tags, die der Regel zugeordnet sind

Feldtyp:Wiederholter String

Unterstützte Operatoren

Operator	Beispiel	Bedeutung
:	Tag: „ta0001“	Gibt Regeln mit mindestens einem MITRE-Tag zurück, dessen Name den Teilstring „ta0001“ enthält.

Hinweis :Derzeit können nur MITRE TTP-Tags auf Regeln angewendet werden. Diese Tags können mit dem T-Code durchsucht werden, der mit der MITRE-TTP verknüpft ist. Wenn Sie beispielsweise nach Regeln suchen möchten, die mit der Taktik „Initial Access“ (Erstzugriff) getaggt sind, verwenden Sie den Suchbegriff „ta0001“.

archived

Feldbeschreibung:Gibt an, ob die Regel archiviert wurde.

Feldtyp:boolean

Unterstützte Operatoren

Operator	Beispiel	Bedeutung
=	archived = true	Archivierte Regeln zurückgeben
!=	archived != true	Rückgaberegeln, die nicht als archiviert markiert sind

live_mode_enabled

Feldbeschreibung:Gibt an, ob die Regel als Live-Regel ausgeführt wird.

Feldtyp:boolean

Unterstützte Operatoren

Operator	Beispiel	Bedeutung
=	live_mode_enabled = true	Regeln zurückgeben, die als aktive Regeln ausgeführt werden
!=	live_mode_enabled != true	Regeln zurückgeben, die nicht als Live-Regeln ausgeführt werden

alerting_enabled

Feldbeschreibung:Gibt an, ob neue Erkennungen für die Regel als Benachrichtigungserkennungen markiert werden sollen.

Feldtyp:boolean

Unterstützte Operatoren

Operator	Beispiel	Bedeutung
=	alerting_enabled = true	Regeln zurückgeben, die als „alerting“ markiert sind
!=	alerting_enabled != true	Rückgaberegeln, die nicht als Benachrichtigung markiert sind

run_frequency

Feldbeschreibung:Wenn die Regel als Live-Regel aktiviert ist, bezieht sich dies auf die Häufigkeit der Live-Ausführungen.

Feldtyp:enum

Unterstützte Werte

• Live
• Stündlich
• Täglich

Unterstützte Operatoren

Operator	Beispiel	Bedeutung
=	run_frequency = hourly	Regeln mit der Ausführungshäufigkeit „hourly“ zurückgeben
!=	run_frequency != hourly	Regeln mit einer anderen run_frequency als „hourly“ zurückgeben

execution_state

Feldbeschreibung:Gibt an, ob Live-Regelausführungen wie erwartet ausgeführt werden, gedrosselt werden oder nicht ausgeführt werden dürfen.

Feldtyp:enum

Unterstützte Werte

• Standard
• Begrenzt
• Pausiert

Unterstützte Operatoren

Operator	Beispiel	Bedeutung
=	execution_state = limited execution_state = default	Gibt Live-Regeln zurück, die derzeit gedrosselt werden. Aktive Regeln zurückgeben, die wie erwartet ausgeführt werden
!=	execution_state = limited	Aktive Regeln zurückgeben, die derzeit nicht gedrosselt werden

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten