ルール ダッシュボードについて

以下でサポートされています。

Google Security Operations でルール ダッシュボードを開くには、ナビゲーション バーから [検出] > [ルールと検出] を選択し、[ルール ダッシュボード] タブが選択されていることを確認します。

[ルール ダッシュボード] タブには、Google SecOps のルールが表示されます。システムでデータ ロールベース アクセス制御（RBAC）を使用している場合は、アクセス可能なデータ スコープにバインドされたルールのみが表示され、管理できます。詳細については、ルールに対するデータ RBAC の影響をご覧ください。

ルール ダッシュボードの概要

[ルール ダッシュボード] タブの上部には、次の項目が表示されます。

機能 説明
ルールの容量 ルールの割り当て使用量が表示されます。クリックすると、次の詳細が表示されます。
検出健全性ダッシュボードを表示 検出健全性ダッシュボードを開いて、ルールのパフォーマンス、実行ステータス、ルールの再生と遅延データの影響をモニタリングします。このダッシュボードは、検出の遅延のトラブルシューティングとルールの効率の最適化に役立ちます。ルールのパフォーマンスをモニタリングするをご覧ください。

ルールの表の列

ダッシュボードには、次の列を含むルールが表示されます。

列 説明
今日 今日、ルールによって生成された検出の数。
ルール名 ルールの表示名。
過去 4 週間のアクティビティ 過去 4 週間のこのルールの検出傾向を示すスパークライン グラフ。バーにカーソルを合わせると、その日付の正確な検出数が表示されます。
最後の検出 このルールによって生成された最新の検出のタイムスタンプ。
作成者 ルールを作成または最後に変更したユーザーまたはエンティティ。
スコープ ルールにバインドされたデータ スコープ。RBAC に基づいてアクセス可能なデータが制限されます。
SEVERITY メタデータで定義されている、ルールに割り当てられた重大度レベル（高、中、低など）。
アラート 検出が発生したときに、ルールが Google SecOps でアラートを生成するかどうかを示します。オンとオフを切り替えることができます。有効にすると、検出がアラートにエスカレートし、構成された通知または SOAR プレイブックがトリガーされます。統合ルールの管理をご覧ください。
RetroHunt 過去のログデータに対してルールを実行して、過去に発生した脅威を検出します。ステータスをクリックすると、以前の RetroHunt ジョブを表示したり、新しいジョブを実行したりできます。過去のデータに対してルールを実行するをご覧ください。
ルールの種類 ルールロジックの構造:
  • SINGLE_EVENT: 個々のログイベントを個別に分析します。
  • MULTI_EVENT: 指定された時間枠内の複数のイベントを関連付けます。
  • API 定義については、RuleType をご覧ください。
ルールのスケジュール ルールの実行スケジュール。ライブルールの場合、実行はほぼリアルタイムまたはスケジュールされた間隔（10 分、1 時間、match_window / 10 など）で行われます。スケジュールは検出のレイテンシに直接影響します。ルールの実行スケジュールの概要とルールのカスタム スケジュールを構成するをご覧ください。
ライブ ステータス ルールが受信データを積極的にモニタリングするかどうかを示します。オン（有効）またはオフ（無効）を切り替えることができます。無効なルールは新しい検出を生成しません。ライブデータにルールを適用するをご覧ください。

ルールを検索してフィルタする

[ルール] タブの上部にある [ルールを検索] フィールドを使用して、特定のルールをフィルタして検索します。

検索タイプ 説明
キーワード検索 キーワードを入力して、すべてのルールテキストを検索します。
構造化検索 フィールド フィルタと演算子を使用して、正確なクエリを作成します。サポートされているフィールドには、display_name、text、tags、rule_owner、live_mode_enabled、alerting_enabled があります。

たとえば、次のように検索できます。

  • display_name:"My Rule"
  • text:"malware"
  • rule_owner:"google" AND tags:"TA0001"
  • live_mode_enabled=true AND alerting_enabled=true

検索構文、サポートされているフィールド、演算子の詳細については、ルールリストを検索するをご覧ください。

ルールの操作

ルールの行にカーソルを合わせ、[操作] をクリックすると、次のオプションにアクセスできます。

アクション 説明
ライブルール [有効] を切り替えて、受信ログデータを継続的に評価し、リアルタイムで検出を生成します。または、[無効] を切り替えて、ルールの実行を停止します。パフォーマンスによっては、ルールのステータスが自動的に [制限付き] または [一時停止] に変わる場合があります。ライブデータにルールを適用するをご覧ください。
アラート オンに切り替えると、検出が Google SecOps アラートとしてフラグ設定され、構成された通知または SOAR プレイブックがトリガーされます。オフに切り替えると、アラートを生成せずに検出が記録されます。統合ルールの管理をご覧ください。
ルールのスケジュール 複数イベント ルールの実行頻度を構成します。スケジュールは検出のレイテンシに直接影響し、遅延データの処理方法を決定します。ルールの実行スケジュールの概要とルールのカスタム スケジュールを構成するをご覧ください。
YARA-L RetroHunt 指定した期間の過去のログデータに対してルールを実行して、ルールが有効になる前に発生した潜在的な脅威を検出します。過去のデータに対してルールを実行するをご覧ください。
ルールを編集 ルールエディタでルールテキストと設定を開いて変更します。
ルール検出を表示 [ルール検出] ビューを開いて、このルールによって生成された検出、傾向グラフ、基盤となるイベントの詳細を検査します。
アーカイブ デフォルトのダッシュボード ビューで、ルールとその関連する検出を非表示にします。アーカイブすると、ルールデータは削除されずに保持されます。ルールはいつでも抽出できます。統合ルールの管理をご覧ください。

ダッシュボードの更新オプション

テーブルの上にある [最終更新時間] インジケーターをクリックして、ダッシュボード データの更新頻度を制御します。

オプション 説明
今すぐ更新 ダッシュボードの最新データをすぐに取得します。
自動更新 ダッシュボードが自動的に更新される間隔を設定します。
  • なし（デフォルト）: ダッシュボードは自動的に更新されません。[今すぐ更新] を手動でクリックする必要があります。
  • 5 分: ダッシュボードを 5 分ごとに自動的に更新します。
  • 15 分: ダッシュボードを 15 分ごとに自動的に更新します。
  • 1 時間: ダッシュボードを 1 時間ごとに自動的に更新します。

自動更新の間隔を設定すると、手動で操作しなくても、最新のルール ステータスと検出指標を確認できます。

テーブルの列をカスタマイズする

ルールの表の表示をカスタマイズするには、任意の列ヘッダーをクリックして次のオプションにアクセスします。

オプション 説明
列の並べ替え 列ヘッダーをドラッグして、表示順序を変更します。
列のサイズを変更 列ヘッダー間の区切り線をドラッグして、列の幅を調整します。
列の並べ替え 列ヘッダーをクリックすると、その列でテーブル行を昇順または降順に並べ替えることができます。

さらにサポートが必要な場合コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。