Use declarações if aninhadas para uma lógica mais complexa

Suportado em:

Google secops SIEM

Pode usar declarações if nas secções outcome e events. Também pode usar declarações if nas cláusulas then else de outra declaração if. Esta capacidade permite-lhe introduzir uma lógica mais complicada na sua consulta.

Esta sintaxe é suportada em regras, na pesquisa e nos painéis de controlo.

Sintaxe

if(BOOL_CLAUSE, THEN_CLAUSE, ELSE_CLAUSE)

Exemplos if aninhados

Exemplo de pesquisa: secção de resultados

Este exemplo atribui uma pontuação de resultado com base em principal.hostname.

$nested_if.principal.hostname != ""
outcome:
    $score = max(
        if($nested_if.principal.hostname = /win-adfs/,
           5,
          if($nested_if.principal.hostname = /server/,
             3,
            if($nested_if.principal.hostname = /win-atomic/,
               1,
               0))))

Exemplo de pesquisa: secção de eventos

Este exemplo atribui o IP do marcador de posição a target.ip ou principal.ip, desde que não estejam vazios. Se os valores de IP estiverem em falta, é atribuído no_valid_ip.

events:
    $e.metadata.event_type = "NETWORK_CONNECTION"
    $ip = if($e.target.ip != "",
            $e.target.ip,
            if($e.principal.ip != "",
              $e.principal.ip,
              "no_valid_ip"))
match:
   $ip

Exemplo de regra: if aninhado na secção outcome

rule nested_if_outcome_example {
meta:

events:
    $e.metadata.event_type = "NETWORK_CONNECTION"
    $e.principal.ip = $ip
match:
   $ip over 5m
outcome:
    $score = max(
        if($e.principal.hostname = /win-adfs/,
           5,
          if($e.principal.hostname = /server/,
             3,
            if($e.principal.hostname = /win-atomic/,
               1,
               0))))
  condition:
    $e
}

Exemplo de regra: if aninhado na secção events

rule nested_if_events_example {

meta:

events:
    $e.metadata.event_type = "NETWORK_CONNECTION"
    $ip = if($e.target.ip != "",
            $e.target.ip,
            if($e.principal.ip != "",
              $e.principal.ip,
              "no_valid_ip"))
match:
   $ip over 5m

  condition:
    $e
}

Limitação conhecida

A declaração if() é uma função no YARA-L 2.0 e está sujeita ao limite de profundidade da função de 20.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.