下载活动

支持的平台：

Google SecOps SIEM

您可以显示和下载与每次威胁检测相关联的大量事件。这样一来，您就可以搜索 Google Security Operations 账号中存储的各种数据，以查找安全问题。

显示和下载事件

完成以下步骤以显示和下载与检测关联的事件：

1. 在导航栏中，依次点击检测 > 规则和检测。

2. 点击规则信息中心标签页。

   规则信息中心

3. 点击规则可打开“规则检测”视图。

   注意： 下载为 CSV 文件选项仅适用于多事件规则。 不支持来自测试规则的检测结果。

4. 从“检测”列表中选择一项检测，然后点击该列表旁边的箭头展开示例事件列表。 规则中的每个事件变量最多可显示 10 个示例事件。 例如，包含两个事件变量（$e1、$e2）的规则最多可显示 20 个样本。超出此限制的任何样本都会在检测页面上隐藏，但如果您点击全部下载以查看与检测关联的统一数据模型 (UDM) 事件，则这些样本会包含在其中。

如果检测中省略了事件样本，系统会显示下载为 CSV 选项。最多可以下载 10 万个活动。 界面中的事件样本按事件时间戳排序。从 Chronicle API 读取检测结果时，Google 不保证任何事件样本的排序。

可选：点击 view_column 列，向示例事件列表添加更多字段。 下载的 CSV 文件中也会包含这些字段。

1. 点击下载为 CSV 文件 链接。事件示例将下载为 CSV 文件，然后您可以在大多数电子表格应用中打开该文件。

   注意： 您的安全数据会持续不断地被提取到您的 Google SecOps 账号中。点击“下载全部”后，CSV 文件会动态生成并包含最新的事件示例。它可能与界面中显示的数据不同。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。