搜尋規則清單

支援的國家/地區：

Google SecOps SIEM

您可以使用規則搜尋功能，在統一規則清單中找出特定規則。您可以透過基本關鍵字比對功能尋找規則，也可以使用進階的 AIP-160 相容結構化搜尋語法，進行指定查詢。規則資訊主頁和 ListRules API 都完全支援這些搜尋功能。

搜尋方式

• 關鍵字搜尋：直接對規則文字執行簡單的廣泛搜尋。

  範例：my_rule_name

• 結構化搜尋：根據特定中繼資料面向篩選規則，例如顯示名稱、文字、標記、直播狀態等。

  範例：display_name="my_rule_name" text:"$e.metadata.event_type = /"USER_LOGIN/"" tags:"ta0001"

Google 搜尋支援的運算子

運算子	範例	意義
：	string_field: "str" repeated_field: "str"	欄位值包含子字串 str 其中一個欄位元素包含子字串 str
=	string_field = "str" bool_field = true enum_field = "VAL" timestamp_field = "2025-01-01"	欄位值完全是 str 欄位值為布林值 TRUE 欄位值必須是列舉 VAL 欄位值與日期「2025-01-01」完全相符
!=	string_field != "str" bool_field != true enum_field != "VAL"	欄位值「不是」str 欄位值「不是」TRUE 欄位值「不是」列舉 VAL
>	string_field > "str" timestamp_field > "2025-01-01"	欄位值在詞彙順序上位於 str 之後 欄位值位於 2025-01-01 之後
>=	string_field >= "str" timestamp_field >= "2025-01-01"	欄位值在字典順序中位於 str 之後或等於 欄位值為 2025-01-01 當天或之後
<	string_field < "str" timestamp_field < "2025-01-01"	欄位值在字典順序中位於 str 之前 欄位值早於 2025-01-01
<=	string_field <<>= "str" timestamp_field <<>= "2025-01-01"	欄位值在字典順序中位於 str 之前或等於 欄位值為 2025-01-01 之前或當天

結構化搜尋支援的欄位

rule_owner

欄位說明：規則的建立者實體

欄位類型： enum

支援的值：

• 顧客

• google

• * (任何擁有者)

支援的運算子

運算子	範例	意義
:	rule_owner: "customer" rule_owner: "google" rule_owner:*	只傳回自訂規則 僅傳回精選規則 傳回自訂和精選規則
=	rule_owner = "customer" rule_owner = "google"	只傳回自訂規則 僅傳回精選規則
!=	rule_owner != "customer" rule_owner != "google"	退貨規則 (非自訂規則) 傳回非精選規則的規則

注意：根據預設，如果 API 呼叫沒有任何 rule_owner 篩選條件，系統會套用 rule_owner: "customer" 篩選條件。擷取自訂和精選規則時，萬用字元 \* 值相當實用。

create_time

欄位說明：規則的建立時間戳記。

欄位類型： timestamp

支援的運算子：

運算子	範例	意義
>	create_time > "2025-11-19"	建立退貨規則的時間晚於 2025-11-19
>=	create_time >= "2025-11-19"	在 2025-11-19當天或之後建立的退貨規則
<	create_time < "2025-11-19"	在 2025-11-19前建立的退貨規則
<=	create_time <= "2025-11-19"	在 2025-11-19或之前建立的退貨規則

注意： 時間戳記欄位的搜尋值應為 RFC-3339 格式的字串 (例如 2012-04-22)。

revision_create_time

欄位說明：最新規則版本的建立時間戳記。

欄位類型： timestamp

支援的運算子：

運算子	範例	意義
>	revision_create_time > "2025-11-19"	傳回最後一次文字更新時間晚於 2025-11-19 的規則
>=	revision_create_time >= "2025-11-19"	傳回最後一次文字更新時間不早於 2025-11-19 的規則。
<	revision_create_time < "2025-11-19"	傳回最後一次文字更新是在 2025-11-19 之前的規則
<=	revision_create_time <= "2025-11-19"	傳回最後一次文字更新時間不晚於 2025-11-19 的規則。

注意： 時間戳記欄位的搜尋值應為 RFC-3339 格式的字串 (例如 2012-04-22)。

名稱

欄位說明：規則的資源名稱，其中包含專屬 ID。

欄位類型： string

支援的運算子：

運算子	範例	意義
:	名稱：「ru_7a22464f-e8e7-408e-b598-6aa4c61bb73b」"	在資源名稱中傳回 ID 為「ru_7a22464f-e8e7-408e-b598-6aa4c61bb73b」的規則

display_name

欄位說明：從規則文字的第一行擷取的規則名稱，以人類可讀的格式呈現。

欄位類型：string

支援的運算子：

運算子	範例	意義
:	display_name: "aws"	傳回顯示名稱中含有子字串 aws 的規則
=	display_name = "my_rule_7"	傳回顯示名稱完全符合 my_rule_7 的規則
!=	display_name != "my_rule_7"	傳回沒有顯示名稱的規則 my_rule_7
>	display_name > "b"	傳回顯示名稱開頭為字元的規則，該字元在字典順序中位於字母 b 之後
>=	display_name > "b"	傳回顯示名稱開頭為字母「b」或字母 b 之後的字元 (依字典順序) 的規則
<	display_name < "b"	傳回顯示名稱開頭為字元的規則，這些字元在詞彙順序中位於字母 b 之前
<=	display_name <= "b"	傳回顯示名稱開頭為字母「b」或字母 b 之前字元的規則

文字

欄位說明：規則文字。

欄位類型： string

支援的運算子：

運算子	範例	意義
:	Text: "invoke-web request" Text: "$ip = \"0.0.0.0\""	傳回規則文字中包含子字串 aws 的規則 傳回含有子字串 $ip = "0.0.0.0" 的規則

注意：Yara-L 2.0 規則文字通常包含特殊符記，例如引號 (「"」)、斜線 (「/」) 和貨幣符號 (「$」)。在搜尋關鍵字中，唯一需要逸出的特殊符記是引號符記 (單引號和雙引號)。

注意：系統不支援規則運算式搜尋。

作者

欄位說明：規則作者，如規則文字中繼資料部分所示。

欄位類型：string

支援的運算子：

運算子	範例	意義
：	author: "alice"	傳回作者值中含有子字串「alice」的規則
=	author = "[e-mail]"	傳回作者值完全為「[e-mail]」的規則
!=	author != "[e-mail]"	沒有「[e-mail]」作者的退貨規則
>	author > "b"	傳回作者開頭字元在字典順序中位於字母「b」之後的規則
>=	author > "b"	傳回作者開頭為字母「b」或字母「b」之後的字元的規則
<	author < "b"	傳回作者開頭字元在字典順序中位於字母「b」之前的規則
<=	author <= "b"	傳回作者開頭為字母「b」或字母「b」之前字元的規則

嚴重性

欄位說明：規則的嚴重性，如規則文字的中繼資料部分所示

欄位類型：訊息

支援的運算子：

運算子	範例	意義
：	severity: "low"	傳回嚴重程度值中含有子字串「low」的規則
=	severity = "medium"	傳回嚴重程度值為「中」的規則
!=	severity != "high"	傳回嚴重程度「高」以外的規則

標記

欄位說明：與規則相關聯的標記

欄位類型：重複字串

支援的運算子

運算子	範例	意義
：	標記：「ta0001」	傳回至少有 1 個 MITRE 標記的規則，且標記名稱包含子字串「ta0001」。

注意： 目前只有 MITRE TTP 標記可以套用至規則。您可以使用與 MITRE TTP 相關聯的 T 程式碼搜尋這些標記。舉例來說，如要搜尋標記為「Initial Access」策略的規則，請使用搜尋關鍵字「ta0001」。

archived

欄位說明：規則是否已封存

欄位類型：布林值

支援的運算子

運算子	範例	意義
=	archived = true	傳回標示為封存的規則
!=	archived != true	未標示為封存的退貨規則

live_mode_enabled

欄位說明：規則是否以即時規則形式執行

欄位類型：布林值

支援的運算子

運算子	範例	意義
=	live_mode_enabled = true	傳回以即時規則執行的規則
!=	live_mode_enabled != true	傳回未以即時規則執行的規則

alerting_enabled

欄位說明：是否應將規則的新偵測結果標示為警報偵測結果

欄位類型：布林值

支援的運算子

運算子	範例	意義
=	alerting_enabled = true	傳回標示為警示的規則
!=	alerting_enabled != true	未標示為警示的傳回規則

run_frequency

欄位說明：如果規則啟用為即時規則，這指的是即時執行的頻率。

欄位類型：列舉

支援的值

• 即時
• 每小時
• 每天

支援的運算子

運算子	範例	意義
=	run_frequency = hourly	傳回執行頻率為每小時的規則
!=	run_frequency != hourly	傳回 run_frequency 不是每小時的規則

execution_state

欄位說明：即時規則執行作業是否正常執行、受到節流或禁止執行。

欄位類型：列舉

支援的值

• 預設
• 有限
• 已暫停

支援的運算子

運算子	範例	意義
=	execution_state = limited execution_state = default	傳回目前受到節流的即時規則 傳回正常運作的即時規則
!=	execution_state = limited	傳回目前未處於節流狀態的即時規則

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。