Quando você cria e ativa uma nova regra, ela começa a procurar detecções com base nos eventos recebidos pela sua conta do Google Security Operations em tempo real. Com uma retrocaça, você usa a regra selecionada para pesquisar detecções em todos os dados do Google SecOps. As retrocaças são programadas quando há recursos disponíveis para execução. É esperado que haja variância nos tempos de execução da retrocaça.
Para iniciar uma retrocaça, siga estas etapas:
Acesse o painel de regras.
Clique no ícone de opção de regras e selecione Retrocaça do Yara-L.
Opção YARA-L Retrohunt
Na janela de diálogo da retrocaça YARA-L, selecione o horário de início e de término da pesquisa. O padrão é uma semana. A janela mostra o período disponível. Clique em EXECUTAR quando estiver tudo pronto.
Janela de diálogo da YARA-L Retrohunt
É possível conferir o progresso da execução da RetroHunt na visualização de detecções de regras. Se você cancelar uma retrocaça em andamento, ainda poderá conferir as detecções feitas durante a execução.
Se você tiver concluído várias retrocaças, clique no link do período para ver os resultados das retrocaças anteriores, conforme mostrado na figura a seguir. Os resultados de cada execução são mostrados no gráfico "Linha do tempo e detecções" na visualização "Detecções de regras".
Execuções de YARA-L RetroHunt
Se você usar uma lista de referência em uma regra, executar uma retrocaça e remover itens dessa lista, revise a regra para uma nova versão e confira os novos resultados. O Google SecOps não exclui detecções das listas de referência. Portanto, atualizar a regra não atualiza os resultados.
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Informações incorretas ou exemplo de código","incorrectInformationOrSampleCode","thumb-down"],["Não contém as informações/amostras de que eu preciso","missingTheInformationSamplesINeed","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2025-08-21 UTC."],[[["\u003cp\u003eRetrohunts allow you to apply a selected rule to search for detections within existing historical data in Google Security Operations.\u003c/p\u003e\n"],["\u003cp\u003eRetrohunts are scheduled based on resource availability, which results in variable run times.\u003c/p\u003e\n"],["\u003cp\u003eAlerting for detections found via retrohunt is disabled if the rule's alerting status is disabled; you need to create a new version of the rule with alerting enabled and rerun the retrohunt to enable it.\u003c/p\u003e\n"],["\u003cp\u003eYou can initiate a retrohunt from the Rules Dashboard by selecting "Yara-L Retrohunt" for a specific rule, and then specifying the desired start and end time for the search.\u003c/p\u003e\n"],["\u003cp\u003ePast retrohunt results can be viewed in the Rule Detections view via a date range link, which displays the information in the Timeline and Detections graph.\u003c/p\u003e\n"]]],[],null,["# Running a rule against historical data\n======================================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n\nWhen you create and enable a new rule, the rule begins searching for detections\nbased on the events received by your Google Security Operations account in real\ntime. A retrohunt lets you use the selected rule to\nsearch for detections throughout existing data in\nGoogle SecOps. Retrohunts are scheduled when there are\navailable resources to run. Expect variance in retrohunt run times.\n| **Note:** When you create detections using retrohunt on a rule with alerting status disabled, alerting on these detections is disabled as well. To enable alerting, create a new version of the rule with alerting status enabled and re-run the retrohunt.\n\nTo start a retrohunt, complete the following steps:\n\n1. Navigate to the Rules Dashboard.\n\n2. Click the Rules option icon for a rule and select **Yara-L Retrohunt**.\n\n\n **YARA-L Retrohunt option**\n3. In the YARA-L Retrohunt dialog window, select the start time and end time for your search. The default is one week. The window provides the available date and time range. Click **RUN** when ready.\n\n **Yara-L Retrohunt dialog window**\n4. You can view the progress of the retrohunt run from the rule detections view for the rule. If you cancel a retrohunt in progress, you can still view any detections it was able to make while running.\n\n5. If you have completed multiple retrohunts, you can view the results of past retrohunt runs by clicking the date range link as shown in the following figure. The results of each run are displayed in the Timeline and Detections graph in Rule Detections view.\n\n **Yara-L retrohunt runs**\n6. If you use a reference list in a rule, run a retrohunt,\n and then remove items from that list, then you need to revise\n that rule to a new version to see the new results. Google SecOps doesn't delete detections from\n reference lists, so refreshing the rule won't update the results.\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
Opção YARA-L Retrohunt
