瞭解規則資訊主頁

支援語言：

如要在 Google Security Operations 中開啟「規則」資訊主頁，請依序選取導覽列中的「偵測」>「規則與偵測」，並確認已選取「規則資訊主頁」分頁。

「規則資訊主頁」分頁會列出 Google SecOps 規則。如果系統使用資料角色式存取控管 (RBAC)，您只會看到並管理繫結至可存取資料範圍的規則。詳情請參閱「資料 RBAC 對規則的影響」。

規則資訊主頁總覽

「規則資訊主頁」分頁標籤頂端會顯示：

功能 說明
規則容量 顯示規則配額用量。按一下即可查看以下項目的詳細資料：
  • 多事件規則配額：有效多事件規則數量 (以允許的配額為準)。
  • 規則總配額：有效規則總數，上限為整體配額。
  • 如要瞭解容量計算方式，請參閱「瞭解規則配額」和「規則容量參考資料」。
查看偵測項目健康狀態資訊主頁 開啟「偵測項目健康狀態資訊主頁」，監控規則效能、執行狀態，以及規則重播和延遲抵達資料的影響。這個資訊主頁可協助您排解偵測延遲問題，並提升規則效率。請參閱「監控規則成效」。

規則表格欄

資訊主頁會列出規則，並顯示下列資料欄：

欄 說明
今天 今天由規則產生的偵測項目數量。
規則名稱 規則的顯示名稱。
過去 4 週的活動 這張走勢圖顯示過去四週內，這項規則的偵測趨勢。將滑鼠游標懸停在長條上，即可查看該日期的確切偵測次數。
上次偵測時間 這項規則最近一次產生偵測結果的時間戳記。
作者 建立或上次修改規則的使用者或實體。
SCOPE 與規則綁定的資料範圍，可根據 RBAC 限制可存取的資料。
嚴重性 規則中繼資料定義的規則嚴重性等級 (例如「高」、「中」或「低」)。
快訊 指出規則是否會在發生偵測時，於 Google SecOps 中產生快訊。可開啟或關閉。啟用後，系統會將偵測結果升級為警示，並觸發任何已設定的通知或 SOAR 手冊。請參閱「管理統一規則」。
RETROHUNT 依據歷來記錄資料執行規則，找出過去發生的威脅。按一下狀態即可查看先前的回溯搜尋工作或執行新工作。請參閱「依據歷來資料執行規則」。
規則類型 規則邏輯結構：
  • SINGLE_EVENT：單獨分析個別記錄事件。
  • MULTI_EVENT：在指定時間範圍內關聯多個事件。
  • 如需 API 定義，請參閱「RuleType」。
規則排程 規則的執行排程。如果是即時規則，執行時間可以是近乎即時，也可以是設定間隔 (例如每小時或每天)。排程會直接影響偵測延遲時間。請參閱「排定規則執行時間」和「設定規則的自訂時間表」。
即時狀態 指出規則是否主動監控傳入資料。可切換為開啟 (已啟用) 或關閉 (已停用)。停用的規則不會產生新的偵測項目。請參閱「對即時資料套用規則」。

搜尋及篩選規則

使用「規則」分頁頂端的「搜尋規則」欄位，篩選及尋找特定規則：

搜尋類型 說明
關鍵字搜尋 輸入關鍵字，搜尋所有規則文字。
結構化搜尋 使用欄位篩選器和運算子，建立精確的查詢。支援的欄位包括 display_name、text、tags、rule_owner、live_mode_enabled 和 alerting_enabled。

舉例來說，您可以搜尋：

  • display_name:"My Rule"
  • text:"malware"
  • rule_owner:"google" AND tags:"TA0001"
  • live_mode_enabled=true AND alerting_enabled=true

如要詳細瞭解搜尋語法、支援的欄位和運算子，請參閱「搜尋規則清單」。

規則動作

將游標懸停在規則列上，然後按一下「動作」圖示 ，即可存取下列選項：

動作 說明
有效規則 切換至「已啟用」，持續評估傳入的記錄資料並即時產生偵測結果；切換至「已停用」，停止執行規則。系統可能會根據成效，自動將規則狀態變更為「受限」或「已暫停」。請參閱「對即時資料套用規則」。
警告 開啟此選項，即可將偵測結果標示為 Google SecOps 警報，並觸發任何已設定的通知或 SOAR 應對手冊。切換為關閉，即可記錄偵測結果，但不會產生警示。請參閱「管理統一規則」。
規則排程 設定多事件規則的執行頻率。排程會直接影響偵測延遲時間，並決定如何處理延遲送達的資料。請參閱「排定規則執行時間」和「設定規則的自訂時間表」。
YARA-L RetroHunt 針對指定時間範圍內的歷來記錄資料執行規則，找出在啟用規則前發生的潛在威脅。請參閱「依據歷來資料執行規則」。
編輯規則 在「規則編輯器」中開啟規則文字和設定，然後進行修改。
查看規則偵測項目 開啟「規則偵測」檢視畫面，即可檢查這項規則產生的偵測結果、趨勢圖和基礎事件詳細資料。
封存 在預設資訊主頁檢視畫面中隱藏規則和相關偵測項目。封存規則資料可保留資料，不會刪除，您隨時可以擷取規則。請參閱「管理統一規則」。

資訊主頁重新整理選項

按一下表格上方的「上次重新整理時間」指標，即可控制資訊主頁資料的更新頻率：

選項 說明
立即重新整理 立即擷取資訊主頁的最新資料。
自動重新整理 設定資訊主頁自動重新整理的間隔時間：
  • 無 (預設)：資訊主頁不會自動重新整理。你必須手動點選「立即更新」。
  • 5 分鐘：每 5 分鐘自動重新整理資訊主頁。
  • 15 分鐘：每 15 分鐘自動重新整理資訊主頁。
  • 1 小時：每 1 小時自動重新整理資訊主頁。

設定自動重新整理間隔，確保您查看的規則狀態和偵測指標都是最新資訊，無須手動介入。

自訂表格欄

如要自訂「規則」表格的顯示方式，請點選任一欄標題，即可存取下列選項：

選項 說明
重新排序資料欄 拖曳欄標題即可變更顯示順序。
調整欄寬 拖曳欄標題間的分隔線，即可調整欄寬。
排序資料欄 按一下欄標題，即可依該欄遞增或遞減排序表格列。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。