חיפוש ברשימת הכללים

נתמך ב:

התכונה 'חיפוש כללים' עוזרת לכם לאתר כללים ספציפיים ברשימת הכללים המאוחדת. אפשר למצוא כללים באמצעות התאמה למילות מפתח בסיסית, או להשתמש בתחביר חיפוש מובנה מתקדם שתואם ל-AIP-160 כדי למקד את השאילתות הייעודיות. יש תמיכה מלאה ביכולות החיפוש האלה גם במרכז הבקרה של הכללים וגם ב-API‏ ListRules.

שיטות חיפוש

  • חיפוש מילות מפתח: חיפוש פשוט ורחב ישירות בטקסט של הכלל.

    לדוגמה: my_rule_name

  • חיפוש מובנה: סינון הכללים על סמך היבטים ספציפיים של מטא-נתונים, כמו השם המוצג, הטקסט, התגים, הסטטוס של השידור החי וכו'.

    לדוגמה: display_name="my_rule_name" text:"$e.metadata.event_type = /"USER_LOGIN/"" tags:"ta0001"

אופרטור דוגמה משמעות
: string_field: "str"

repeated_field: "str"

ערך השדה מכיל את מחרוזת המשנה str

אחד מרכיבי השדה מכיל את מחרוזת המשנה str

= string_field = "str"

bool_field = true

enum_field = "VAL"

timestamp_field = "2025-01-01"

הערך בשדה הוא בדיוק str

ערך השדה הוא בדיוק הערך הבוליאני TRUE

הערך בשדה הוא בדיוק ה-enum‏ VAL

הערך בשדה זהה לתאריך 2025-01-01

‎!= string_field != "str"

bool_field != true

enum_field != "VAL"

ערך השדה הוא לא str

ערך השדה הוא לא TRUE

הערך בשדה הוא לא ה-enum‏ VAL

> string_field > "str"

timestamp_field > "2025-01-01"

הערך בשדה ממוין לקסיקלית אחרי str

ערך השדה הוא אחרי 2025-01-01

=< string_field >= "str"

timestamp_field >= "2025-01-01"

הערך בשדה מופיע בסדר לקסיקלי אחרי str או שווה לו

הערך בשדה הוא 2025-01-01 או אחריו

> string_field < "str"

timestamp_field < "2025-01-01"

הערך של השדה מופיע לפני str בסדר לקסיקלי

הערך בשדה קטן מ-2025-01-01

=> string_field <<>= "str"

timestamp_field <<>= "2025-01-01"

הערך בשדה מסודר לקסיקלית לפני str או שווה לו

הערך בשדה הוא 2025-01-01 או לפני כן

rule_owner

תיאור השדה: ישות היוצר של הכלל

סוג השדה: enum

ערכים נתמכים:

  • לקוח

  • גוגל

  • ‫* (כל בעלים)

אופרטורים נתמכים

אופרטור דוגמה משמעות
: rule_owner: "customer"

rule_owner: "google"

rule_owner:*

החזרת כללים מותאמים אישית בלבד

החזרת כללים שנבחרו בלבד

החזרת כללים מותאמים אישית וכללים שנבחרו בקפידה

= rule_owner = "customer"

rule_owner = "google"

החזרת כללים מותאמים אישית בלבד

החזרת כללים שנבחרו בלבד

!= rule_owner != "customer"

rule_owner != "google"

כללי החזרה שלא מוגדרים ככללים מותאמים אישית

כללי החזרה שלא נבחרו מתוך רשימת הכללים המומלצים

הערה: כברירת מחדל, לקריאות ל-API ללא מסנני rule_owner יוחל המסנן rule_owner: "customer". הערך של התו הכללי \* שימושי כשמאחזרים כללים מותאמים אישית וכללים שנבחרו בקפידה.

create_time

תיאור השדה: חותמת הזמן שבה נוצר הכלל.

סוג השדה: timestamp

אופרטורים נתמכים:

אופרטור דוגמה משמעות
> create_time > "2025-11-19" כללי החזרה שנוצרו אחרי 2025-11-19
=< create_time >= "2025-11-19" כללי החזרה שנוצרו בתאריך 2025-11-19 או אחריו
> create_time < "2025-11-19" כללי החזרה שנוצרו לפני 2025-11-19
=> create_time <= "2025-11-19" כללי החזרה שנוצרו בתאריך 2025-11-19 או לפניו

revision_create_time

תיאור השדה: חותמת הזמן שבה נוצרה הגרסה האחרונה של הכלל.

סוג השדה: timestamp

אופרטורים נתמכים:

אופרטור דוגמה משמעות
> revision_create_time > "2025-11-19" החזרת כללים עם עדכון הטקסט האחרון אחרי 2025-11-19
>= revision_create_time >= "2025-11-19" החזרת כללים עם עדכון הטקסט האחרון בתאריך 2025-11-19 או אחריו
< revision_create_time < "2025-11-19" החזרת כללים עם עדכון הטקסט האחרון לפני 2025-11-19
<= revision_create_time <= "2025-11-19" החזרת כללים עם עדכון הטקסט האחרון בתאריך 2025-11-19 או לפניו

name

תיאור השדה: שם המשאב של הכלל שמכיל מזהה ייחודי.

סוג השדה: string

אופרטורים נתמכים:

אופרטור דוגמה משמעות
: Name: "ru_7a22464f-e8e7-408e-b598-6aa4c61bb73b"" החזרת כללי החזרה עם המזהה ru_7a22464f-e8e7-408e-b598-6aa4c61bb73b בשם המשאב

display_name

תיאור השדה: השם של הכללים שמופיע בשורה הראשונה של הטקסט של הכלל, בצורה שקריאה לאנשים.

סוג השדה: string

אופרטורים נתמכים:

אופרטור דוגמה משמעות
: display_name: "aws" החזרת כללים עם מחרוזת משנה aws בשם המוצג
= display_name = "my_rule_7" כללי החזרה עם השם המוצג בדיוק my_rule_7
!= display_name != "my_rule_7" החזרת כללי החזרה שאין להם שם מוצג my_rule_7
> display_name > "b" כללי החזרה עם שם מוצג שמתחיל בתו שמופיע בסדר לקסיקלי אחרי האות b
>= display_name > "b" החזרת כללי החזרה עם שם מוצג שמתחיל באות b או בתו שמופיע בסדר לקסיקלי אחרי האות b
< display_name < "b" החזרת כללי תמחור עם שם מוצג שמתחיל בתו שמופיע בסדר לקסיקלי לפני האות b
<= display_name <= "b" החזרת כללי החזרה עם שם מוצג שמתחיל באות 'b' או בתו שמופיע לפני האות b בסדר המילוני

טקסט

תיאור השדה: הטקסט של הכלל.

סוג השדה: string

אופרטורים נתמכים:

אופרטור דוגמה משמעות
: Text: "invoke-web request"

Text: "$ip = \"0.0.0.0\""

החזרת כללים עם מחרוזת משנה aws בטקסט הכלל

החזרת כללי השמירה עם מחרוזת המשנה $ip = "0.0.0.0"

author

תיאור השדה: מחבר הכלל כפי שמצוין בקטע המטא-נתונים של טקסט הכלל.

סוג השדה: string

אופרטורים נתמכים:

אופרטור דוגמה משמעות
: מחבר: alice החזרת כללים עם מחרוזת המשנה 'alice' בערך של המחבר
= author = "alice@google.com" החזרת כללים עם ערך המחבר בדיוק alice@google.com
‎!= author != "alice@google.com" כללי החזרה שלא נוצרו על ידי המשתמש alice@google.com
> author > "b" החזרת כללים עם מחבר שמתחיל בתו שמופיע בסדר לקסיקלי אחרי האות b
=< author > "b" כללי החזרה עם מחבר שמתחיל באות b או בתו שמסודר לקסיקלית אחרי האות b
> author < "b" החזרת כללי החזרה ששם המחבר שלהם מתחיל בתו שמופיע לפני האות b בסדר לקסיקלי
=> author <= "b" החזרת כללי החזרה עם מחבר שמתחיל באות 'ב' או בתו שמופיע לפני האות 'ב' בסדר לקסיקלי

severity

תיאור השדה: חומרת הכלל כפי שמצוין בקטע המטא-נתונים של טקסט הכלל

סוג השדה: הודעה

אופרטורים נתמכים:

אופרטור דוגמה משמעות
: severity: "low" כללי החזרה עם מחרוזת המשנה 'low' בערך החומרה
= severity = "medium" כללי החזרה עם ערך חומרה בדיוק 'בינוני'
‎!= severity != "high" החזרת כללים שלא מוגדרת להם חומרה גבוהה

תגים

תיאור השדה: תגים שמשויכים לכלל

סוג השדה: מחרוזת חוזרת

אופרטורים נתמכים

אופרטור דוגמה משמעות
: תג: ta0001 החזרת כללים עם תג MITRE אחד לפחות שמכיל את מחרוזת המשנה ta0001 בשם התג.

נמצא בארכיון

תיאור השדה: האם הכלל הועבר לארכיון

סוג השדה: בוליאני

אופרטורים נתמכים

אופרטור דוגמה משמעות
= archived = true החזרת כללים שסומנו כהועברו לארכיון
‎!= archived != true כללי החזרה שלא סומנו כהעברה לארכיון

live_mode_enabled

תיאור השדה: האם הכלל פועל ככלל פעיל

סוג השדה: בוליאני

אופרטורים נתמכים

אופרטור דוגמה משמעות
= live_mode_enabled = true החזרת כללים שפועלים ככללים פעילים
‎!= live_mode_enabled != true החזרת כללים שלא פועלים ככללים פעילים

alerting_enabled

תיאור השדה: האם זיהויים חדשים של הכלל צריכים להיות מסומנים כזיהויים שמעוררים התראה

סוג השדה: בוליאני

אופרטורים נתמכים

אופרטור דוגמה משמעות
= alerting_enabled = true החזרת כללים שמסומנים כהתראות
‎!= alerting_enabled != true החזרת כללים שלא סומנו כהתראות

run_frequency

תיאור השדה: כשהכלל מופעל ככלל פעיל, השדה הזה מתייחס לתדירות ההפעלות הפעילות.

סוג השדה: enum

ערכים נתמכים

  • פעיל
  • מדי שעה
  • יומי

אופרטורים נתמכים

אופרטור דוגמה משמעות
= run_frequency = hourly החזרת כללים עם run_frequency של שעה
‎!= run_frequency != hourly החזרת כללים עם run_frequency שאינו hourly

execution_state

תיאור השדה: מציין אם ההרצות של הכללים בזמן אמת פועלות כמצופה, מוגבלות או נמנעות.

סוג השדה: enum

ערכים נתמכים

  • ברירת מחדל
  • מוגבל
  • בהשהיה

אופרטורים נתמכים

אופרטור דוגמה משמעות
= execution_state = limited

execution_state = default

החזרת כללים לשידור חי שמוגבלים כרגע

החזרת כללים פעילים שפועלים כמו שצריך

‎!= execution_state = limited הפונקציה מחזירה כללים פעילים שלא נמצאים כרגע במצב של הגבלת קצב הבקשות

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.