在原始記錄搜尋中篩選資料

支援的國家/地區：

Google SecOps SIEM

本文說明如何使用搜尋列篩選原始記錄檔。您可以在到達網頁或專屬的「搜尋」頁面存取搜尋列。

選擇下列其中一種做法：

請使用 raw= 格式

使用 raw= 格式時，請使用下列參數篩選原始記錄：

• parsed：根據記錄的剖析狀態篩選記錄。

  • parsed=true：只傳回已剖析的記錄。
  • parsed=false：只會傳回未剖析的記錄。

• log_source=IN["log_source_name1", "log_source_name2"]：依記錄類型篩選。

如何找出未剖析的原始記錄

未剖析的記錄檔不會產生 UDM 記錄。您無法使用 UDM 欄位 (例如 metadata.log_type = "UNPARSED") 查詢這些記錄。如要搜尋未剖析的記錄，請按照下列步驟操作：

1. 在 Google SecOps 控制台中，依序前往「Investigation」(調查)>「SIEM Search」(SIEM 搜尋)。
2. 在搜尋框選單中，將搜尋模式從「UDM Search」變更為「Raw Log Search」。
3. 選取目標時間範圍 (例如「過去 1 小時」或「過去 24 小時」)。

4. 使用 parsed = false 篩選器查詢未剖析的記錄：

   raw = /.+/ parsed = false
   

   如要指定特定動態消息記錄類型，請將 parsed = false 與 log_source 結合：

   raw = /.+/ parsed = false log_source IN ["CUSTOM_JSON", "OKTA"]
   

使用原始記錄搜尋提示 (舊版方法)

如要使用「原始記錄搜尋」提示篩選原始記錄，請按照下列步驟操作：

1. 在搜尋列中輸入搜尋字串或規則運算式，然後按一下「搜尋」。

2. 在選單中選取「原始記錄搜尋」，即可顯示搜尋選項。

3. 指定「開始時間」和「結束時間」 (預設為 1 週)，然後按一下「搜尋」。

   「原始記錄搜尋」檢視畫面會顯示原始資料事件。你可以依據 DNS、Webproxy、EDR 和 Alert 篩選結果。注意：這些篩選器不適用於 GENERIC、EMAIL 和 USER 等事件類型。

您可以使用規則運算式，透過 Google SecOps 搜尋及比對安全性資料中的字元字串集。規則運算式可讓您使用資訊片段縮小搜尋範圍，例如使用部分網域名稱。

「原始記錄搜尋」檢視畫面提供下列「程序篩選」選項：

• 產品事件類型

  在 SecOps Console 舊版「原始記錄搜尋」頁面中，不同檢視畫面顯示事件的方式不一致：
  ●「原始記錄」檢視畫面：
     根據原始 event_log_type 值顯示「事件類型」。
     例如 FILE_COPY。
  ●「UDM 事件欄位」檢視畫面：
     根據 event_log_type 值顯示 metadata.event_type 欄位。
     例如 FILE_COPY。
  ●「程序篩選」檢視畫面：
     根據 network.application_protocol 值顯示「事件類型」欄位。
     例如：DNS。
  

  • 記錄來源

• 網路連線狀態

• TLD

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。