Filtrer les données dans la recherche de journaux bruts

Compatible avec :

Ce document explique les méthodes disponibles pour filtrer les journaux bruts à l'aide de la barre de recherche, à laquelle vous pouvez accéder sur la page de destination ou sur la page Recherche dédiée.

Sélectionnez l'une des méthodes suivantes :

Utiliser le format raw=

Lorsque vous utilisez le format raw=, utilisez ces paramètres pour filtrer les journaux bruts :

  • parsed : filtre les journaux en fonction de leur état d'analyse.

    • parsed=true : ne renvoie que les journaux analysés.
    • parsed=false : ne renvoie que les journaux non analysés.

  • log_source=IN["log_source_name1", "log_source_name2"] : filtre par type de journal.

Trouver les journaux bruts non analysés

Les journaux non analysés ne génèrent pas d'enregistrements UDM. Vous ne pouvez pas les interroger à l'aide de champs UDM (tels que metadata.log_type = "UNPARSED"). Pour rechercher des journaux non analysés :

  1. Dans la console Google SecOps, accédez à Investigation > Recherche SIEM.
  2. Dans le menu du champ de recherche, remplacez le mode de recherche Recherche UDM par Recherche dans les journaux bruts.
  3. Sélectionnez la période cible (par exemple, Dernière heure ou Dernières 24 heures).

  4. Interrogez les journaux non analysés à l'aide du filtre parsed = false :

    raw = /.+/ parsed = false

    Pour cibler des types de journaux de flux spécifiques, combinez parsed = false avec log_source :

    raw = /.+/ parsed = false log_source IN ["CUSTOM_JSON", "OKTA"]

Utiliser le prompt de recherche de journaux bruts (ancienne méthode)

Pour utiliser l'invite Recherche de journaux bruts afin de filtrer les journaux bruts, procédez comme suit :

  1. Dans la barre de recherche, saisissez votre chaîne de recherche ou vos expressions régulières, puis cliquez sur Rechercher.

  2. Dans le menu, sélectionnez Recherche dans les journaux bruts pour afficher les options de recherche.

  3. Indiquez l'heure de début et l'heure de fin (par défaut, une semaine), puis cliquez sur Rechercher.

    La vue Recherche dans les journaux bruts affiche les événements de données brutes. Vous pouvez filtrer les résultats par DNS, Webproxy, EDR et Alert. Remarque : Ces filtres ne s'appliquent pas aux types d'événements, tels que GENERIC, EMAIL et USER.

Vous pouvez utiliser des expressions régulières pour rechercher et faire correspondre des ensembles de chaînes de caractères dans vos données de sécurité à l'aide de Google SecOps. Les expressions régulières vous permettent d'affiner votre recherche à l'aide de fragments d'informations, au lieu d'utiliser un nom de domaine complet, par exemple.

Les options de filtrage procédural suivantes sont disponibles dans la vue Recherche de journaux bruts :

  • Type d'événement produit

    Des incohérences connues existent entre la façon dont les événements s'affichent dans les différentes vues de l'ancienne page Recherche dans les journaux bruts de la console SecOps :
    ● Vue Journal brut :
       affiche le type d'événement en fonction de la valeur brute event_log_type.
       Par exemple, FILE_COPY.
    ● Vue Champs d'événement UDM :
       Affiche le champ metadata.event_type en fonction de la valeur event_log_type.
       Par exemple, FILE_COPY.
    ● Vue Filtrage procédural :
       Affiche le champ Type d'événement en fonction de la valeur network.application_protocol.
       Par exemple, DNS.

    • Source du journal

  • État de la connexion réseau

  • TLD

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.