סינון נתונים בחיפוש ביומן הגולמי

נתמך ב:

במאמר הזה מוסבר על השיטות הזמינות לסינון יומני רישום גולמיים באמצעות סרגל החיפוש, שאפשר לגשת אליו בדף הנחיתה או בדף החיפוש הייעודי.

בוחרים אחת מהשיטות הבאות:

צריך להשתמש בפורמט raw=

כשמשתמשים בפורמט raw=, אפשר להשתמש בפרמטרים האלה כדי לסנן יומנים גולמיים:

  • ‫parsed: סינון יומנים לפי סטטוס הניתוח שלהם.

    • ‫parsed=true: מחזירה רק יומנים מנותחים.
    • ‫parsed=false: מחזירה רק יומנים שלא עברו ניתוח.

  • ‫log_source=IN["log_source_name1", "log_source_name2"]: סינון לפי סוג היומן.

איך מוצאים יומני רישום גולמיים שלא עברו ניתוח

יומנים שלא עברו ניתוח לא יוצרים רשומות UDM. אי אפשר להריץ עליהם שאילתות באמצעות שדות UDM (כמו metadata.log_type = "UNPARSED"). כדי לחפש יומנים לא מנותחים:

  1. במסוף Google SecOps, עוברים אל Investigation > SIEM Search.
  2. בתפריט של תיבת החיפוש, משנים את מצב החיפוש מחיפוש UDM לחיפוש יומנים גולמיים.
  3. בוחרים את טווח הזמן הרצוי (לדוגמה, שעה אחרונה או 24 שעות אחרונות).

  4. כדי לשלוח שאילתה ליומנים לא מנותחים, משתמשים במסנן parsed = false:

    raw = /.+/ parsed = false

    כדי לטרגט סוגים ספציפיים של יומני פיד, משלבים את parsed = false עם log_source:

    raw = /.+/ parsed = false log_source IN ["CUSTOM_JSON", "OKTA"]

שימוש בפרומפט לחיפוש ביומן הגולמי (שיטה מדור קודם)

כדי להשתמש בהנחיה חיפוש יומנים גולמיים כדי לסנן יומנים גולמיים:

  1. בסרגל החיפוש, מזינים את מחרוזת החיפוש או את הביטויים הרגולריים, ואז לוחצים על חיפוש.

  2. בתפריט, בוחרים באפשרות חיפוש ביומן הגולמי כדי להציג את אפשרויות החיפוש.

  3. מציינים את שעת ההתחלה ואת שעת הסיום (ברירת המחדל היא שבוע אחד) ולוחצים על חיפוש.

    בתצוגה חיפוש ביומן הגולמי מוצגים אירועים של נתונים גולמיים. אפשר לסנן את התוצאות לפי DNS, Webproxy, EDR ו-Alert. הערה: המסננים האלה לא חלים על סוגי אירועים, כמו GENERIC, EMAIL ו-USER.

אתם יכולים להשתמש בביטויים רגולריים כדי לחפש ולהתאים קבוצות של מחרוזות תווים בנתוני האבטחה שלכם באמצעות Google SecOps. ביטויים רגולריים מאפשרים לצמצם את החיפוש באמצעות קטעי מידע, בניגוד לשימוש בשם דומיין מלא, למשל.

אלו אפשרויות סינון פרוצדורלי זמינות בתצוגה חיפוש ביומן הגולמי:

  • סוג אירוע שקשור למוצר

    יש אי-התאמות מוכרות בין האופן שבו אירועים מוצגים בתצוגות שונות בדף חיפוש ביומן הגולמי של SecOps Console בגרסה הקודמת:
    ● תצוגת יומן גולמי:
       התצוגה מציגה את סוג האירוע על סמך הערך הגולמי event_log_type.
       לדוגמה FILE_COPY.
    ● תצוגת שדות של אירועים ב-UDM:
       מוצג השדה metadata.event_type על סמך הערך event_log_type.
       לדוגמה FILE_COPY.
    ● תצוגה של סינון לפי נוהל:
       השדה סוג האירוע מוצג על סמך הערך network.application_protocol.
       לדוגמה DNS.

    • מקור היומן

  • סטטוס החיבור לרשת

  • TLD

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.