Cómo buscar en la lista de reglas

Se admite en los siguientes sistemas operativos:

Google SecOps SIEM

La función de búsqueda de reglas te ayuda a encontrar reglas específicas en tu lista de reglas unificada. Puedes encontrar reglas con la concordancia básica de palabras clave o aprovechar una sintaxis de búsqueda estructurada avanzada que cumpla con la AIP-160 para realizar búsquedas altamente segmentadas. Estas capacidades de búsqueda son totalmente compatibles tanto en el panel de reglas como a través de la API de ListRules.

Métodos de búsqueda

• Búsqueda de palabras clave: Realiza una búsqueda simple y amplia directamente en el texto de la regla.

  Ejemplo: my_rule_name

• Búsqueda estructurada: Filtra tus reglas en función de facetas de metadatos específicos, como el nombre visible, el texto, las etiquetas, el estado en vivo, etcétera.

  Ejemplo: display_name="my_rule_name" text:"$e.metadata.event_type = /"USER_LOGIN/"" tags:"ta0001"

Operadores admitidos en la Búsqueda

Operador	Ejemplo	Significado
:	string_field: "str" repeated_field: "str"	El valor del campo contiene la subcadena str Uno de los elementos del campo contiene la subcadena str
=	string_field = "str" bool_field = true enum_field = "VAL" timestamp_field = "2025-01-01"	El valor del campo es exactamente str El valor del campo es exactamente el valor booleano TRUE. El valor del campo es exactamente el enum VAL El valor del campo es exactamente la fecha 2025-01-01
!=	string_field != "str" bool_field != true enum_field != "VAL"	El valor del campo NO es str El valor del campo NO es TRUE El valor del campo NO es la enumeración VAL
>	string_field > "str" timestamp_field > "2025-01-01"	El valor del campo se ordena léxicamente después de str El valor del campo es posterior a 2025-01-01
>=	string_field >= "str" timestamp_field >= "2025-01-01"	El valor del campo es lexicográficamente posterior o igual a str. El valor del campo es posterior o igual a 2025-01-01.
<	string_field < "str" timestamp_field < "2025-01-01"	El valor del campo se ordena léxicamente antes de str El valor del campo es anterior a 2025-01-01
<=	string_field <<>= "str" timestamp_field <<>= "2025-01-01"	El valor del campo se ordena léxicamente antes de str o es igual a este. El valor del campo es anterior o igual a 2025-01-01.

Campos compatibles con la búsqueda estructurada

rule_owner

Descripción del campo: Es la entidad creadora de la regla.

Tipo de campo: enum

Valores admitidos:

• customer

• google

• * (cualquier propietario)

Operadores admitidos

Operador	Ejemplo	Significado
:	rule_owner: "customer" rule_owner: "google" rule_owner:*	Devuelve solo las reglas personalizadas Devuelve solo las reglas seleccionadas Devuelve reglas personalizadas y seleccionadas.
=	rule_owner = "customer" rule_owner = "google"	Devuelve solo las reglas personalizadas Devuelve solo las reglas seleccionadas
!=	rule_owner != "customer" rule_owner != "google"	Devuelve reglas que no son personalizadas Devuelve reglas que no son reglas seleccionadas.

Nota: De forma predeterminada, las llamadas a la API sin ningún filtro rule_owner tendrán aplicado el filtro rule_owner: "customer". El valor comodín \* es útil cuando se recuperan reglas personalizadas y seleccionadas.

create_time

Descripción del campo: Es la marca de tiempo en la que se creó la regla.

Tipo de campo: timestamp

Operadores admitidos:

Operador	Ejemplo	Significado
>	create_time > "2025-11-19"	Reglas de devoluciones creadas después del 2025-11-19
>=	create_time >= "2025-11-19"	Reglas de devoluciones creadas a partir del 2025-11-19
<	create_time < "2025-11-19"	Reglas de devolución creadas antes del 2025-11-19
<=	create_time <= "2025-11-19"	Reglas de devoluciones creadas hasta el 2025-11-19

Nota: Los valores de búsqueda en los campos de marca de tiempo deben ser una cadena con formato RFC-3339 (por ejemplo, 2012-04-22).

revision_create_time

Descripción del campo: Es la marca de tiempo en la que se creó la versión más reciente de la regla.

Tipo de campo: timestamp

Operadores admitidos:

Operador	Ejemplo	Significado
>	revision_create_time > "2025-11-19"	Devuelve las reglas con la última actualización de texto después de 2025-11-19
>=	revision_create_time >= "2025-11-19"	Devuelve las reglas con la última actualización de texto en 2025-11-19 o después de esa fecha.
<	revision_create_time < "2025-11-19"	Devuelve las reglas con la última actualización de texto anterior a 2025-11-19
<=	revision_create_time <= "2025-11-19"	Devuelve las reglas con la última actualización de texto realizada antes del 2025-11-19 o en esa fecha.

Nota: Los valores de búsqueda en los campos de marca de tiempo deben ser una cadena con formato RFC-3339 (por ejemplo, 2012-04-22).

nombre

Descripción del campo: Es el nombre del recurso de la regla que contiene un identificador único.

Tipo de campo: string

Operadores admitidos:

Operador	Ejemplo	Significado
:	Name: "ru_7a22464f-e8e7-408e-b598-6aa4c61bb73b""	Devuelve reglas con el identificador "ru_7a22464f-e8e7-408e-b598-6aa4c61bb73b" en el nombre del recurso.

display_name

Descripción del campo: Es el nombre legible de las reglas extraídas de la primera línea del texto de la regla.

Tipo de campo: string

Operadores admitidos:

Operador	Ejemplo	Significado
:	display_name: "aws"	Devuelve las reglas que contienen la subcadena aws en el nombre visible.
=	display_name = "my_rule_7"	Devuelve reglas con el nombre visible exactamente my_rule_7
!=	display_name != "my_rule_7"	Devuelve reglas que no tienen el nombre visible my_rule_7
>	display_name > "b"	Devuelve reglas con un nombre visible que comienza con un carácter ordenado léxicamente después de la letra b.
>=	display_name > "b"	Devuelve las reglas con un nombre visible que comienza con la letra "b" o un carácter que se ordena léxicamente después de la letra b.
<	display_name < "b"	Devuelve las reglas con un nombre visible que comienza con un carácter ordenado lexicográficamente antes de la letra b.
<=	display_name <= "b"	Devuelve las reglas con un nombre visible que comienza con la letra "b" o un carácter que se ordena léxicamente antes de la letra b.

texto

Descripción del campo: Es el texto de la regla.

Tipo de campo: string

Operadores admitidos:

Operador	Ejemplo	Significado
:	Text: "invoke-web request" Text: "$ip = \"0.0.0.0\""	Devuelve las reglas que contienen la subcadena aws en el texto de la regla. Devuelve las reglas que contienen la subcadena $ip = "0.0.0.0".

Nota: El texto de las reglas de Yara-L 2.0 suele incluir tokens especiales, como comillas ("), barras diagonales (/) y signos de dólar ($). En una palabra clave de búsqueda, el único token especial que se debe escapar es el token de comillas (comillas simples y dobles).

Nota: No se admiten las búsquedas con expresiones regulares.

author

Descripción del campo: Es el autor de la regla, como se indica en la sección de metadatos del texto de la regla.

Tipo de campo: string

Operadores admitidos:

Operador	Ejemplo	Significado
:	author: "alice"	Devuelve las reglas que contienen la subcadena "alice" en el valor del autor.
=	author = "[e-mail]"	Devuelve las reglas con el valor de autor exactamente "[e-mail]".
!=	author != "[e-mail]"	Devuelve las reglas que no tienen el autor "[e-mail]".
>	autor > "b"	Devuelve las reglas con el autor que comienza con un carácter ordenado léxicamente después de la letra "b".
>=	autor > "b"	Devuelve las reglas con el autor que comienza con la letra "b" o un carácter que se ordena léxicamente después de la letra "b".
<	autor < "b"	Devuelve las reglas con el autor que comienza con un carácter ordenado léxicamente antes de la letra "b".
<=	author <= "b"	Devuelve las reglas con el autor que comienza con la letra "b" o un carácter que se ordena léxicamente antes de la letra "b".

gravedad,

Descripción del campo: La gravedad de la regla, como se indica en la sección de metadatos del texto de la regla

Tipo de campo: Mensaje

Operadores admitidos:

Operador	Ejemplo	Significado
:	severity: "low"	Devuelve reglas con la subcadena "low" en el valor de gravedad.
=	severity = "medium"	Devuelve reglas con el valor de gravedad exactamente "medio".
!=	severity != "high"	Devuelve las reglas que no tienen gravedad "alta".

tags

Descripción del campo: Etiquetas asociadas con la regla

Tipo de campo: cadena repetida

Operadores admitidos

Operador	Ejemplo	Significado
:	Etiqueta: "ta0001"	Devuelve las reglas que tienen al menos 1 etiqueta de MITRE que contiene la subcadena "ta0001" en el nombre de la etiqueta.

Nota: Actualmente, solo se pueden aplicar etiquetas de TTP de MITRE a las reglas. Se pueden buscar estas etiquetas con el código T asociado a la TTP de MITRE. Por ejemplo, para buscar reglas etiquetadas con la táctica "Acceso inicial", usa la palabra clave de la Búsqueda "ta0001".

archivado

Descripción del campo: Indica si se archivó la regla.

Tipo de campo: booleano

Operadores admitidos

Operador	Ejemplo	Significado
=	archived = true	Devuelve las reglas marcadas como archivadas
!=	archived != true	Devuelve las reglas que no están marcadas como archivadas.

live_mode_enabled

Descripción del campo: Indica si la regla se ejecuta como una regla activa.

Tipo de campo: booleano

Operadores admitidos

Operador	Ejemplo	Significado
=	live_mode_enabled = true	Devuelve las reglas que se ejecutan como reglas activas
!=	live_mode_enabled != true	Devuelve las reglas que no se ejecutan como reglas activas

alerting_enabled

Descripción del campo: Indica si las nuevas detecciones de la regla se deben marcar como detecciones de alerta.

Tipo de campo: booleano

Operadores admitidos

Operador	Ejemplo	Significado
=	alerting_enabled = true	Devuelve las reglas marcadas como alertas
!=	alerting_enabled != true	Devuelve las reglas que no están marcadas como alertas.

run_frequency

Descripción del campo: Cuando la regla está habilitada como regla activa, esto hace referencia a la frecuencia de las ejecuciones en vivo.

Tipo de campo: enumeración

Valores admitidos

• En vivo
• Cada hora
• Diario

Operadores admitidos

Operador	Ejemplo	Significado
=	run_frequency = hourly	Devuelve reglas con run_frequency por hora
!=	run_frequency != hourly	Devuelve reglas con run_frequency que no sea hourly

execution_state

Descripción del campo: Indica si las ejecuciones de reglas activas se están ejecutando según lo previsto, si se limitaron o si se impidió su ejecución.

Tipo de campo: enumeración

Valores admitidos

• Predeterminado
• Limitado
• En pausa

Operadores admitidos

Operador	Ejemplo	Significado
=	execution_state = limited execution_state = default	Devuelve las reglas activas que actualmente están limitadas Devuelve las reglas activas que se ejecutan según lo previsto
!=	execution_state = limited	Devuelve las reglas activas que no se encuentran en un estado de limitación.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.