在“哈希”视图中过滤数据

支持的平台：

Google SecOps SIEM

在“哈希”视图中，您可以根据文件的哈希值搜索和调查文件。

打开“哈希”视图

您可以通过以下方式打开“哈希”视图：

• 直接搜索文件哈希值
• 在“资产”视图中查看基于进程或基于文件的事件时，切换到“哈希”视图

直接搜索文件哈希值

如需直接打开“哈希”视图，请执行以下操作：

1. 在 Google Security Operations 搜索字段中输入哈希值。点击搜索。

2. 从 Hashes 菜单中选择哈希值。即会显示“哈希”视图。

从“资产”视图导航到“哈希”视图

您也可以在调查“资产”视图中的资产时转到“哈希”视图。

1. 搜索素材资源，并在“素材资源”视图中查看。即会显示“资产”视图。

2. 在左侧的时间轴标签页中，滚动到与进程或文件修改关联的任何事件，例如 PROCESS_LAUNCH。

   注意： 如果您在“事件”列中找不到 PROCESS_LAUNCH，请将左上角的开始日期更改为当前日期前几天。此外，将右上角的“时间”滑块滑动到“1 天”。这样做会刷新“时间轴”面板，并显示其他必需的活动。

3. 展开文件可查看详细信息并进行调查。

4. 您可以在“资源”视图中点击哈希值，打开文件的“哈希”视图。即会显示“哈希”视图。

“哈希”视图中的“过滤”选项

“哈希”视图中提供了以下“过程过滤”选项：

• 资产
• 事件类型
• 日志源
• PID
• 进程名称

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。