Wenn Sie eine neue Regel erstellen und aktivieren, beginnt die Suche nach erkannten Ereignissen auf Grundlage der Ereignisse, die in Echtzeit in Ihrem Google Security Operations-Konto eingehen. Mit einer Retrohunt können Sie die ausgewählte Regel verwenden, um in vorhandenen Daten in Google SecOps nach erkannten Bedrohungen zu suchen. Retrohunts werden geplant, wenn Ressourcen für die Ausführung verfügbar sind. Die Ausführungszeiten von Retrohunts können variieren.
So starten Sie eine Retrohunt:
Rufen Sie das Dashboard für Regeln auf.
Klicken Sie auf das Symbol für die Option „Regeln“ für eine Regel und wählen Sie Yara-L Retrohunt aus.
YARA-L Retrohunt-Option
Wählen Sie im Dialogfeld „YARA-L Retrohunt“ die Start- und Endzeit für die Suche aus. Die Standardeinstellung ist eine Woche. Im Fenster wird der verfügbare Datums- und Uhrzeitbereich angezeigt. Klicken Sie auf AUSFÜHREN, wenn Sie bereit sind.
Yara-L Retrohunt-Dialogfeld
Sie können den Fortschritt des Retrohunt-Laufs in der Ansicht „Regelerkennungen“ für die Regel sehen. Wenn Sie eine laufende Retrohunt abbrechen, können Sie trotzdem alle erkannten Elemente sehen, die während der Ausführung gefunden wurden.
Wenn Sie mehrere Retrohunts durchgeführt haben, können Sie die Ergebnisse früherer Retrohunt-Läufe aufrufen, indem Sie auf den Link für den Zeitraum klicken, wie in der folgenden Abbildung dargestellt. Die Ergebnisse der einzelnen Ausführungen werden in der Ansicht „Regelerkennungen“ im Diagramm „Zeitachse und Erkennungen“ angezeigt.
YARA-L Retrohunt-Runs
Wenn Sie eine Referenzliste in einer Regel verwenden, eine Retrohunt ausführen und dann Elemente aus dieser Liste entfernen, müssen Sie die Regel in einer neuen Version überarbeiten, um die neuen Ergebnisse zu sehen. Google SecOps löscht keine erkannten Elemente aus Referenzlisten. Wenn Sie die Regel aktualisieren, werden die Ergebnisse also nicht aktualisiert.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-09-02 (UTC)."],[[["\u003cp\u003eRetrohunts allow you to apply a selected rule to search for detections within existing historical data in Google Security Operations.\u003c/p\u003e\n"],["\u003cp\u003eRetrohunts are scheduled based on resource availability, which results in variable run times.\u003c/p\u003e\n"],["\u003cp\u003eAlerting for detections found via retrohunt is disabled if the rule's alerting status is disabled; you need to create a new version of the rule with alerting enabled and rerun the retrohunt to enable it.\u003c/p\u003e\n"],["\u003cp\u003eYou can initiate a retrohunt from the Rules Dashboard by selecting "Yara-L Retrohunt" for a specific rule, and then specifying the desired start and end time for the search.\u003c/p\u003e\n"],["\u003cp\u003ePast retrohunt results can be viewed in the Rule Detections view via a date range link, which displays the information in the Timeline and Detections graph.\u003c/p\u003e\n"]]],[],null,["# Running a rule against historical data\n======================================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n\nWhen you create and enable a new rule, the rule begins searching for detections\nbased on the events received by your Google Security Operations account in real\ntime. A retrohunt lets you use the selected rule to\nsearch for detections throughout existing data in\nGoogle SecOps. Retrohunts are scheduled when there are\navailable resources to run. Expect variance in retrohunt run times.\n| **Note:** When you create detections using retrohunt on a rule with alerting status disabled, alerting on these detections is disabled as well. To enable alerting, create a new version of the rule with alerting status enabled and re-run the retrohunt.\n\nTo start a retrohunt, complete the following steps:\n\n1. Navigate to the Rules Dashboard.\n\n2. Click the Rules option icon for a rule and select **Yara-L Retrohunt**.\n\n\n **YARA-L Retrohunt option**\n3. In the YARA-L Retrohunt dialog window, select the start time and end time for your search. The default is one week. The window provides the available date and time range. Click **RUN** when ready.\n\n **Yara-L Retrohunt dialog window**\n4. You can view the progress of the retrohunt run from the rule detections view for the rule. If you cancel a retrohunt in progress, you can still view any detections it was able to make while running.\n\n5. If you have completed multiple retrohunts, you can view the results of past retrohunt runs by clicking the date range link as shown in the following figure. The results of each run are displayed in the Timeline and Detections graph in Rule Detections view.\n\n **Yara-L retrohunt runs**\n6. If you use a reference list in a rule, run a retrohunt,\n and then remove items from that list, then you need to revise\n that rule to a new version to see the new results. Google SecOps doesn't delete detections from\n reference lists, so refreshing the rule won't update the results.\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
YARA-L Retrohunt-Option
