규칙 검색 필드를 사용하여 기존 규칙을 검색합니다. 스크롤바를 사용하여 규칙을 스크롤할 수도 있습니다. 왼쪽 패널에서 규칙을 클릭하여 규칙 표시 패널에서 규칙을 확인합니다.
규칙 목록에서 원하는 규칙을 선택합니다. 규칙이 규칙 수정 창에 표시됩니다. 규칙을 선택하여 규칙 메뉴를 열고 다음 옵션 중에서 선택할 수 있습니다.
실시간 규칙 - 규칙을 사용 설정하거나 중지합니다.
중복 규칙 - 규칙의 사본을 만들며 비슷한 규칙을 만들려는 경우에 유용합니다.
규칙 감지 보기 - 규칙 감지 창을 열어 이 규칙에서 캡처한 감지를 표시합니다.
규칙 수정 창에서 기존 규칙을 수정하고 새 규칙을 만듭니다.
규칙 수정 창에는 규칙의 각 섹션에 사용할 수 있는 올바른 YARA-L 구문을 볼 수 있는 자동 완성 기능이 포함되어 있습니다.
규칙을 작성하거나 수정할 때마다 Google Security Operations는 완성된 규칙에서 올바른 구문을 사용하도록 자동 추천을 안내합니다. 규칙 범위를 업데이트하려면
범위에 결합 메뉴에서 범위를 선택합니다. 범위를 규칙과 연결하는 방법에 대한 자세한 내용은 데이터 RBAC가 규칙에 미치는 영향을 참조하세요.
자세한 내용은 YARA-L 2.0 언어 구문을 참고하세요.
규칙 편집기에서 새로 만들기를 클릭하여 규칙 편집기 창을 엽니다. 자동으로 기본 규칙 템플릿으로 채워집니다.
Google SecOps는 규칙의 고유 이름을 자동으로 생성합니다. YARA-L에서 새 규칙을 만듭니다. 규칙에 범위를 추가하려면
범위에 결합 메뉴에서 범위를 선택합니다. 규칙에 범위 추가에 대한 자세한 내용은 데이터 RBAC가 규칙에 미치는 영향을 참조하세요.
완료되면 새 규칙 저장을 클릭합니다. Google SecOps는 규칙 구문을 검사합니다. 규칙이 유효한 경우 저장되고 자동으로 사용 설정됩니다.
구문이 잘못된 경우 오류를 반환합니다. 새 규칙을 삭제하려면 삭제를 클릭합니다.
규칙과 관련된 현재 감지에 대한 정보를 확인하려면 규칙 목록에서 규칙을 클릭하고 규칙 감지 보기를 클릭하여 규칙 감지 뷰를 엽니다.
규칙 감지 뷰에는 규칙에 연결된 메타데이터와 최근 며칠 동안 규칙에 의해 발견된 감지 횟수를 보여주는 그래프가 표시됩니다.
규칙 수정을 클릭하여 규칙 편집기로 돌아갑니다.
여러 열 보기
타임라인 탭도 사용할 수 있으며 규칙에서 감지한 이벤트가 나열됩니다.
다른 Google SecOps 뷰의 타임라인 탭과 마찬가지로 이벤트를 선택하고 연결된 원시 로그나 UDM 이벤트를 열 수 있습니다.
view_column 열을 클릭하여 여러 열 보기 옵션을 열고 타임라인 탭에 표시되는 정보를 변경합니다. 멀티 열 보기를 사용하면 hostname, user과 같은 일반적인 유형과 UDM에서 제공하는 보다 구체적인 여러 카테고리 등 다양한 로그 정보 카테고리 중에서 선택할 수 있습니다.
테스트 실행을 클릭하여 규칙을 테스트합니다. Google SecOps는 지정된 시간 범위의 이벤트에 대해 규칙을 실행하고 결과를 생성하여 규칙 결과 테스트 창에 표시합니다.
언제든지 테스트 취소를 클릭하여 프로세스를 중지할 수 있습니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-09-04(UTC)"],[[["\u003cp\u003eThe Rules Editor allows users to manage both existing and new rules within Google SecOps.\u003c/p\u003e\n"],["\u003cp\u003eUsers can search for rules, view rule details, enable/disable rules, duplicate rules, and view rule detections within the Rules Editor.\u003c/p\u003e\n"],["\u003cp\u003eThe Rule Editing window offers an automatic completion feature, guiding users through the correct YARA-L syntax and allows for the association of rules with specific scopes via the "Bind to scope" menu.\u003c/p\u003e\n"],["\u003cp\u003eNew rules can be created using a default template, and the system automatically generates a unique rule name, performing syntax checks upon saving, with valid rules being automatically enabled.\u003c/p\u003e\n"],["\u003cp\u003eUsers can run tests on rules to check if they are working as expected, with results displayed in a dedicated window, though these test results are not saved.\u003c/p\u003e\n"]]],[],null,["# Manage rules using the Rules Editor\n===================================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n\nTo use the Rules Editor to create and edit rules, follow these steps:\n\n1. Click **Detections \\\u003e Rules \\& Detections** \\\u003e the **Rules Editor** tab.\n\n2. Use the **Search rules** field to search for an existing rule. You can also scroll through the rules using the scroll bar. Click any of the rules in the left panel to view the rule in the rule display panel.\n\n3. Select the rule you are interested in from the Rules List. The rule is displayed in the rule editing window. By selecting a rule, you open the rule menu and can select from the following options:\n\n - **Live Rule**---Enable or disable the rule.\n - **Duplicate Rule**---Make a copy of the rule; helpful if you want to make a similar rule.\n - **View Rule Detections**---Open the Rule Detections window to display the detections captured by this rule.\n4. Use the Rule Editing window to edit existing rules and to create new rules.\n The Rule Editing window includes an automatic completion feature to enable you\n to view the correct YARA-L syntax available for each section of the rule.\n Whenever composing or editing a rule, Google Security Operations recommends walking\n through the automatic recommendations to ensure your completed rule uses the\n correct syntax. To update the rule scope, select the scope from the\n **Bind to scope** menu. For more information about associating a scope\n with a rule, see [data RBAC impact on Rules](/chronicle/docs/administration/datarbac-impact#rules).\n For more information, see [YARA-L 2.0 language syntax](/chronicle/docs/detection/yara-l-2-0-syntax).\n\n5. Click **New** in the Rules Editor to open the Rules Editor Window. It\n automatically populates it with the default rule template.\n Google SecOps automatically generates a unique name for\n the rule. Create your new rule in YARA-L. To add a scope to the rule, select the\n scope from the **Bind to scope** menu. For more information about adding a scope\n to rules, see [data RBAC impact on Rules](/chronicle/docs/administration/datarbac-impact#rules).\n When you have finished, click **SAVE NEW RULE** . Google SecOps checks the\n syntax of your rule. If the rule is valid, it is saved and automatically enabled.\n If the syntax is invalid, it returns an error. To delete the new rule, click **DISCARD**.\n\n | **Note:** After you have saved a rule, you cannot delete it from the Rules Editor or the Rules Dashboard.\n | **Note:** For Multi-event rules correlating more than one event with a match section size of over one hour, the rule's run frequency (when executing as a Live Rule) is automatically set to 1 hour.\n6. To view information on the current detections associated with a rule, click\n the rule in the rules list and click **View Rule Detections** to open Rule\n Detections view.\n\n The **Rule Detections** view displays the metadata attached to the rule and\n a graph showing the number of detections found by the rule over recent days.\n7. Click **Edit Rule** to return to the Rules Editor.\n\n #### Multicolumn view\n\n The **Timeline** tab is also available and lists the events detected by the rule.\n As with the **Timeline** tab in other Google SecOps views, you can\n select an event and open the associated raw log or UDM event.\n\nClick view_column **Columns**\nto open the multicolumn view options and\nchange the information shown on the **Timeline** tab. The multicolumn view lets\nyou choose from various categories of log information, including common types,\nsuch as `hostname` and `user` and more specific categories provided by UDM.\n\n1. Click **RUN TEST** to test your rule. Google SecOps runs the rule on events in the specified time range, generates results, and displays them in the **TEST RULE RESULTS** window. \n Click **CANCEL TEST** at any time to stop the process.\n\n| **Note:** Successive executions of the same test rule may generate different test detections and is expected behavior. Google SecOps runs a test rule in multiple parallel processes and detections are streamed to the dashboard as each process finishes. Minor timing differences can affect which duplicate detections are removed. By extension, results may not match those of live rules or retrohunts.\n| **Note:** Test rule detections aren't persisted and don't generate alerts. This behavior allows rule authors to iterate without affecting production. Test rule detections may differ from retrohunt or live rule detections because the evaluation windows may be aligned differently.\n| **Note:** These test results are not saved and won't be viewable in the Rules Dashboard.\n\nFor Community blogs on managing rules, see:\n\n- [Rules Editor Navigation](https://www.googlecloudcommunity.com/gc/Google-Security-Operations-Best/Getting-to-Know-Google-SecOps-SIEM-Rules-Editor-Navigation/ta-p/659309)\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
