了解“规则”信息中心

支持的平台：

如需在 Google Security Operations 中打开“规则”信息中心，请从导航栏中选择检测 > 规则和检测，并确保已选择规则信息中心标签页。

规则信息中心标签页会列出您的 Google SecOps 规则。如果您的系统使用数据基于角色的访问控制 (RBAC)，您将只能查看和管理与可访问的数据范围绑定的规则。如需了解详情，请参阅数据 RBAC 对规则的影响。

“规则”信息中心概览

规则信息中心标签页的顶部部分包含以下内容：

功能 说明
规则容量 显示规则配额用量。点击即可查看以下方面的详细信息：
  • 多事件规则配额：有效多事件规则的数量（占允许的配额）。
  • 总规则配额：有效规则总数（占总上限）。
  • 如需了解容量计算，请参阅了解规则配额。
查看检测健康状况信息中心 打开“检测健康状况”信息中心，监控规则性能、执行状态以及规则重放和迟到数据的影响。此信息中心可帮助您排查检测延迟问题并优化规则效率。请参阅监控规则效果。

规则表列

信息中心会列出您的规则，并显示以下列：

列 说明
今天 相应规则今天生成的检测结果数量。
规则名称 规则的显示名称。
过去 4 周的活动 显示相应规则在过去 4 周内的检测趋势的火花谱线图。将鼠标悬停在某个条形上，即可查看相应日期的确切检测次数。
上次检测时间 相应规则生成的最新检测的时间戳。
作者 创建或上次修改规则的用户或实体。
范围 与规则绑定的数据范围，用于根据 RBAC 限制可访问的数据。
严重级别 规则的严重程度级别（例如“高”“中”或“低”），如其元数据中所定义。
提醒 表示规则是否会在 Google SecOps 中检测到事件时生成提醒。可开启或关闭。启用后，检测结果会升级为提醒，并触发任何已配置的通知或 SOAR playbook。请参阅管理统一规则。
RETROHUNT 针对历史日志数据运行规则，以查找过去发生的威胁。点击相应状态即可查看之前的回溯分析作业或运行新的回溯分析作业。请参阅针对历史数据运行规则。
规则类型 规则逻辑的结构：
  • SINGLE_EVENT：单独分析各个日志事件。
  • MULTI_EVENT：在指定时间窗口内关联多个事件。
  • 如需查看 API 定义，请参阅 RuleType。
规则时间表 规则的执行时间表。对于实时规则，执行可以近乎实时，也可以按预定间隔（例如 10 分钟、每小时或 match_window / 10）进行。该时间表会直接影响检测延迟时间。请参阅了解规则运行调度和为规则配置自定义调度。
直播状态 指明规则是否主动监控传入数据。可以切换为开启（已启用）或关闭（已停用）。已停用的规则不会生成新的检测结果。请参阅将规则应用于实时数据。

搜索和过滤规则

使用规则标签页顶部的搜索规则字段过滤和查找特定规则：

搜索类型 说明
关键字搜索 输入关键字以搜索所有规则文本。
结构化搜索 使用字段过滤条件和运算符可构建精确的查询。支持的字段包括 display_name、text、tags、rule_owner、live_mode_enabled 和 alerting_enabled。

例如，您可以搜索：

  • display_name:"My Rule"
  • text:"malware"
  • rule_owner:"google" AND tags:"TA0001"
  • live_mode_enabled=true AND alerting_enabled=true

如需详细了解搜索语法、支持的字段和运算符，请参阅搜索规则列表。

规则操作

将光标悬停在规则行上，然后点击操作图标 ，即可访问以下选项：

操作 说明
实时规则 切换到已启用可持续评估传入的日志数据并实时生成检测结果，切换到已停用可停止规则执行。根据规则的效果，规则状态可能会自动更改为“受限”或“已暂停”。请参阅将规则应用于实时数据。
提醒 开启此开关可将检测结果标记为 Google SecOps 提醒，并触发任何已配置的通知或 SOAR playbook。切换到关闭状态可记录检测结果，但不生成提醒。请参阅管理统一规则。
规则时间表 为多事件规则配置执行频率。时间表直接影响检测延迟时间，并决定如何处理迟到的数据。请参阅了解规则运行调度和为规则配置自定义调度。
YARA-L Retrohunt 针对指定时间范围内的历史日志数据运行规则，以发现启用规则之前发生的潜在威胁。请参阅针对历史数据运行规则。
修改规则 在规则编辑器中打开规则文本和设置，以进行修改。
查看规则检测 打开“规则检测”视图，检查此规则生成的检测、趋势图和底层事件详细信息。
归档 从默认信息中心视图中隐藏相应规则及其关联的检测结果。归档会保留规则数据，而不会将其删除；您可以随时提取规则。请参阅管理统一规则。

信息中心刷新选项

点击表格上方的上次刷新时间指示器，控制信息中心数据的更新频率：

选项 说明
立即刷新 立即提取信息中心的最新数据。
自动刷新 设置信息中心自动刷新的间隔：
  • 无（默认）：信息中心不会自动刷新。您必须手动点击立即刷新。
  • 5 分钟：每 5 分钟自动刷新一次信息中心。
  • 15 分钟：每 15 分钟自动刷新一次信息中心。
  • 1 小时：每 1 小时自动刷新一次信息中心。

设置自动刷新间隔，确保您无需手动干预即可查看最新的规则状态和检测指标。

自定义表格列

如需自定义“规则”表格的显示，请点击任意列标题以访问以下选项：

选项 说明
重新排序列 拖动列标题可更改其显示顺序。
调整列大小 拖动列标题之间的分隔线即可调整列宽。
对列进行排序 点击列标题可按相应列以升序或降序对表格行进行排序。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。