Exécuter une règle par rapport aux données historiques

Lorsque vous créez et activez une règle, elle commence à rechercher des détections en fonction des événements reçus par votre compte Google Security Operations en temps réel. Une recherche rétroactive vous permet d'utiliser la règle sélectionnée pour rechercher des détections dans les données existantes de Google SecOps. Les rétrochasses sont planifiées lorsqu'il y a des ressources disponibles pour les exécuter. Les durées d'exécution des analyses rétrospectives peuvent varier.

Pour lancer une rétrochasse, procédez comme suit :

1. Accédez au tableau de bord des règles.

2. Cliquez sur l'icône d'options d'une règle, puis sélectionnez Retrohunt Yara-L.

   Option Retrohunt YARA-L

3. Dans la fenêtre de dialogue YARA-L Retrohunt, sélectionnez l'heure de début et l'heure de fin de votre recherche. La valeur par défaut est d'une semaine. La fenêtre indique la plage de dates et d'heures disponibles. Cliquez sur EXÉCUTER lorsque vous êtes prêt.

   

   Fenêtre de boîte de dialogue Retrohunt Yara-L

4. Vous pouvez suivre la progression de l'exécution de Retro Hunt dans la vue des détections de règles. Si vous annulez une analyse rétroactive en cours, vous pouvez toujours afficher les détections qu'elle a pu effectuer pendant son exécution.

5. Si vous avez effectué plusieurs analyses rétrospectives, vous pouvez afficher les résultats des analyses précédentes en cliquant sur le lien de la plage de dates, comme illustré dans la figure ci-dessous. Les résultats de chaque exécution sont affichés dans le graphique "Chronologie et détections" de la vue "Détections de la règle".

   

   Exécutions de recherches RetroHunt YARA-L

6. Si vous utilisez une liste de référence dans une règle, exécutez une analyse rétroactive, puis supprimez des éléments de cette liste, vous devez réviser cette règle pour obtenir une nouvelle version et voir les nouveaux résultats. Google SecOps ne supprime pas les détections des listes de référence. Par conséquent, l'actualisation de la règle ne met pas à jour les résultats.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.