Filtrare i dati nella ricerca dei log non elaborati

Supportato in:

Questo documento illustra i metodi disponibili per filtrare i log non elaborati utilizzando la barra di ricerca, a cui puoi accedere nella pagina di destinazione o nella pagina Ricerca dedicata.

Scegli uno dei seguenti metodi:

Utilizza il formato raw=

Quando utilizzi il formato raw=, utilizza questi parametri per filtrare i log non elaborati:

  • parsed: Filtra i log in base al loro stato di analisi.

    • parsed=true: Restituisce solo i log analizzati.
    • parsed=false: restituisce solo i log non analizzati.

  • log_source=IN["log_source_name1", "log_source_name2"]: Filtri per tipo di log.

Come trovare i log non elaborati non analizzati

I log non analizzati non generano record UDM. Non puoi eseguire query utilizzando i campi UDM (ad esempio metadata.log_type = "UNPARSED"). Per cercare i log non analizzati:

  1. Nella console Google SecOps, vai a Indagine > Ricerca SIEM.
  2. Nel menu della casella di ricerca, cambia la modalità di ricerca da Ricerca UDM a Ricerca log grezzi.
  3. Seleziona l'intervallo di tempo target (ad esempio, Ultima ora o Ultime 24 ore).

  4. Esegui query per i log non analizzati utilizzando il filtro parsed = false:

    raw = /.+/ parsed = false

    Per scegliere come target tipi di log dei feed specifici, combina parsed = false con log_source:

    raw = /.+/ parsed = false log_source IN ["CUSTOM_JSON", "OKTA"]

Utilizzare il prompt di ricerca dei log non elaborati (metodo legacy)

Per utilizzare il prompt Ricerca log non elaborati per filtrare i log non elaborati:

  1. Nella barra di ricerca, inserisci la stringa di ricerca o le espressioni regolari, quindi fai clic su Cerca.

  2. Nel menu, seleziona Ricerca log grezzi per visualizzare le opzioni di ricerca.

  3. Specifica l'ora di inizio e l'ora di fine (il valore predefinito è 1 settimana) e fai clic su Cerca.

    La visualizzazione Ricerca log non elaborati mostra gli eventi di dati non elaborati. Puoi filtrare i risultati per DNS, Webproxy, EDR e Alert. Nota: questi filtri non si applicano ai tipi di eventi, ad esempio GENERIC, EMAIL e USER.

Puoi utilizzare le espressioni regolari per cercare e trovare insiemi di stringhe di caratteri all'interno dei tuoi dati di sicurezza utilizzando Google SecOps. Le espressioni regolari ti consentono di restringere la ricerca utilizzando frammenti di informazioni, anziché un nome di dominio completo, ad esempio.

Nella visualizzazione Ricerca log grezzi sono disponibili le seguenti opzioni di filtraggio procedurale:

  • Tipo di evento prodotto

    Esistono incoerenze note tra il modo in cui gli eventi vengono visualizzati nelle varie visualizzazioni della pagina Ricerca log non elaborati legacy della console SecOps:
    ● Visualizzazione Log non elaborato:
       mostra il Tipo di evento in base al valore event_log_type non elaborato.
       Ad esempio FILE_COPY.
    ● Visualizzazione Campi evento UDM:
       Mostra il campo metadata.event_type in base al valore event_log_type.
       Ad esempio FILE_COPY.
    ● Visualizzazione Filtro procedurale:
       mostra il campo Tipo di evento in base al valore network.application_protocol.
       Ad esempio DNS.

    • Origine log

  • Stato della connessione di rete

  • TLD

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.