원시 로그 검색에서 데이터 필터링

다음에서 지원:

이 문서에서는 방문 페이지 또는 전용 검색 페이지에서 액세스할 수 있는 검색창을 사용하여 원시 로그를 필터링하는 데 사용할 수 있는 방법을 설명합니다.

다음 방법 중 하나를 선택합니다.

raw= 형식을 사용하세요.

raw= 형식을 사용하는 경우 다음 매개변수를 사용하여 원시 로그를 필터링합니다.

  • parsed: 파싱 상태를 기반으로 로그를 필터링합니다.

    • parsed=true: 파싱된 로그만 반환합니다.
    • parsed=false: 파싱되지 않은 로그만 반환합니다.

  • log_source=IN["log_source_name1", "log_source_name2"]: 로그 유형별로 필터링합니다.

파싱되지 않은 원시 로그를 찾는 방법

파싱되지 않은 로그는 UDM 레코드를 생성하지 않습니다. UDM 필드 (예: metadata.log_type = "UNPARSED")를 사용하여 쿼리할 수 없습니다. 파싱되지 않은 로그를 검색하려면 다음 단계를 따르세요.

  1. Google SecOps 콘솔에서 조사 > SIEM 검색으로 이동합니다.
  2. 검색창 메뉴에서 검색 모드를 UDM 검색에서 원시 로그 검색으로 변경합니다.
  3. 타겟 기간 (예: 지난 1시간 또는 지난 24시간)을 선택합니다.

  4. parsed = false 필터를 사용하여 파싱되지 않은 로그를 쿼리합니다.

    raw = /.+/ parsed = false

    특정 피드 로그 유형을 타겟팅하려면 parsed = false와 log_source를 결합하세요.

    raw = /.+/ parsed = false log_source IN ["CUSTOM_JSON", "OKTA"]

원시 로그 검색 프롬프트 사용 (기존 방식)

원시 로그 검색 프롬프트를 사용하여 원시 로그를 필터링하려면 다음 단계를 따르세요.

  1. 검색창에 검색 문자열 또는 정규식을 입력한 다음 검색을 클릭합니다.

  2. 메뉴에서 원시 로그 검색을 선택하여 검색 옵션을 표시합니다.

  3. 시작 시간 및 종료 시간을 지정하고 (기본값 1주) 검색을 클릭합니다.

    원시 로그 검색 뷰에는 원시 데이터 이벤트가 표시됩니다. DNS, Webproxy, EDR, Alert로 결과를 필터링할 수 있습니다. 참고: 이러한 필터는 GENERIC, EMAIL, USER와 같은 이벤트 유형에는 적용되지 않습니다.

정규 표현식을 사용하면 Google SecOps를 사용하여 보안 데이터 내에서 문자열 집합을 검색하고 일치 항목을 찾을 수 있습니다. 정규 표현식을 사용하면 예를 들어 전체 도메인 이름을 사용할 때와 반대로 해당 정보의 일부만 사용하여 검색 범위를 좁힐 수 있습니다.

원시 로그 검색 뷰에서 사용할 수 있는 절차적 필터링 옵션은 다음과 같습니다.

  • Product Event Type(제품 이벤트 유형)

    SecOps 콘솔 기존 원시 로그 검색 페이지의 뷰에 이벤트가 표시되는 방식에는 다음과 같은 불일치가 있습니다.
    ● 원시 로그 뷰:
       원시 event_log_type 값을 기반으로 이벤트 유형을 표시합니다.
       예: FILE_COPY
    ● UDM 이벤트 필드 보기:
       event_log_type 값을 기반으로 metadata.event_type 필드를 표시합니다.
       예: FILE_COPY
    ● 절차적 필터링 보기:
       network.application_protocol 값을 기반으로 이벤트 유형 필드를 표시합니다.
       예를 들면 DNS입니다.

    • 로그 소스

  • 네트워크 연결 상태

  • TLD

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.