Memfilter data dalam penelusuran log mentah

Didukung di:

Dokumen ini menjelaskan metode yang tersedia untuk memfilter log mentah menggunakan kotak Penelusuran, yang dapat Anda akses di halaman landing atau halaman Penelusuran khusus.

Pilih salah satu metode berikut:

Gunakan format raw=

Saat menggunakan format raw=, gunakan parameter ini untuk memfilter log mentah:

  • parsed: Memfilter log berdasarkan status parsingnya.

    • parsed=true: Hanya menampilkan log yang diuraikan.
    • parsed=false: Hanya menampilkan log yang belum diuraikan.

  • log_source=IN["log_source_name1", "log_source_name2"]: Memfilter menurut jenis log.

Cara menemukan log mentah yang tidak diuraikan

Log yang tidak diuraikan tidak menghasilkan rekaman UDM. Anda tidak dapat membuat kueri menggunakan kolom UDM (seperti metadata.log_type = "UNPARSED"). Untuk menelusuri log yang tidak diuraikan:

  1. Di konsol Google SecOps, buka Investigation > SIEM Search.
  2. Di menu kotak penelusuran, ubah mode penelusuran dari Penelusuran UDM ke Penelusuran Log Mentah.
  3. Pilih rentang waktu target Anda (misalnya, 1 jam terakhir atau 24 jam terakhir).

  4. Kueri untuk log yang tidak diuraikan menggunakan filter parsed = false:

    raw = /.+/ parsed = false

    Untuk menargetkan jenis log feed tertentu, gabungkan parsed = false dengan log_source:

    raw = /.+/ parsed = false log_source IN ["CUSTOM_JSON", "OKTA"]

Menggunakan perintah Penelusuran log mentah (metode lama)

Untuk menggunakan perintah Raw Log Search guna memfilter log mentah, lakukan hal berikut:

  1. Di kotak penelusuran, masukkan string penelusuran atau ekspresi reguler Anda, lalu klik Telusuri.

  2. Di menu, pilih Raw Log Search untuk menampilkan opsi penelusuran.

  3. Tentukan Waktu Mulai dan Waktu Berakhir (defaultnya adalah 1 minggu), lalu klik Telusuri.

    Tampilan Penelusuran Log Mentah menampilkan peristiwa data mentah. Anda dapat memfilter hasil berdasarkan DNS, Webproxy, EDR, dan Alert. Catatan: Filter ini tidak berlaku untuk jenis peristiwa, seperti GENERIC, EMAIL, dan USER.

Anda dapat menggunakan ekspresi reguler untuk menelusuri dan mencocokkan kumpulan string karakter dalam data keamanan Anda menggunakan Google SecOps. Ekspresi reguler memungkinkan Anda mempersempit penelusuran menggunakan fragmen informasi, bukan menggunakan nama domain lengkap, misalnya.

Opsi Pemfilteran Prosedural berikut tersedia di tampilan Penelusuran Log Mentah:

  • Jenis Peristiwa Produk

    Ada inkonsistensi yang diketahui antara cara peristiwa ditampilkan di berbagai tampilan di halaman Penelusuran Log Mentah lama Konsol SecOps:
    ● Tampilan Log Mentah:
       Menampilkan Jenis peristiwa berdasarkan nilai event_log_type mentah.
       Misalnya FILE_COPY.
    ● Tampilan kolom peristiwa UDM:
       Menampilkan kolom metadata.event_type berdasarkan nilai event_log_type.
       Misalnya FILE_COPY.
    ● Tampilan Pemfilteran Prosedural:
       Menampilkan kolom Jenis peristiwa berdasarkan nilai network.application_protocol.
       Misalnya DNS.

    • Sumber Log

  • Status Koneksi Jaringan

  • TLD

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.