過去のデータに対するルールの実行

新しいルールを作成して有効にすると、ルールは Google Security Operations アカウントでリアルタイムで受信されるイベントに基づいて検出の検索を開始します。RetroHunt を使用すると、選択したルールを使用して、Google Security Operations の既存データ全体で検出結果を検索できます。RetroHunt は、実行可能なリソースがある場合にスケジュールされます。RetroHunt の実行時間は変動することが予想されます。

RetroHunt を起動するには、次の手順を行います。

1. ルール ダッシュボードに移動します。

2. ルールの [Rules] オプション アイコンをクリックし、[Yara-L Retrohunt] を選択します。

   [YARA-L Retrohunt] オプション

3. [YARA-L Retrohunt] ダイアログ ウィンドウで、検索の開始時間と終了時間を選択します。デフォルトは 1 週間です。 ウィンドウに使用可能な日付と時間の範囲が示されます。 準備ができたら [RUN] をクリックします。

   

   [Yara-L Retrohunt] ダイアログ ウィンドウ

4. ルールのルール検出ビューから、RetroHunt 実行の進捗状況を確認できます。実行中の RetroHunt をキャンセルしても、実行中に実行可能だった検出はまだ表示できます。

5. 複数の RetroHunt を完了した場合は、次の図のように期間のリンクをクリックして、過去の RetroHunt 実行の結果を表示できます。実行ごとの結果が、[Rule Detection] ビューの [Timeline and Detections] グラフに表示されます。

   

   Yara-L RetroHunt 実行

6. ルールで参照リストを使用していて、RetroHunt を実行し、そのリストからアイテムを削除した場合は、新しい結果を表示するために、そのルールを新しいバージョンに改訂する必要があります。Google Security Operations では参照リストから検出が削除されないため、ルールを更新しても結果は更新されません。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。