Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

實作不含比對區段的聯結

支援的國家/地區：

Google SecOps SIEM

本文說明 Google Security Operations Search 中沒有 match 區段或資料聯結的聯結作業概念。

您可以根據通用欄位值，使用聯結作業關聯及合併多個來源的原始資料。將相關安全性事件和實體整合為單一全方位檢視畫面，即可提供更有效的威脅偵測和調查。

與需要 match 區段來匯總結果的統計聯結不同，資料聯結會擷取完整的事件或實體資料，並顯示這些資料，不會進行任何匯總。

資料彙整的運作方式

您可以比對不同事件或實體區塊中的通用欄位，建立資料聯結。你可以透過下列任一方法執行此操作：

直接比對欄位 (例如 $e1.principal.hostname = $e2.principal.hostname)
將這兩個欄位指派給相同的預留位置變數 (例如 $host = $e1.principal.hostname 和 $host = $e2.principal.hostname)。

在這兩種情況下，如果這些欄位的值相同，搜尋會隱含地聯結區塊。

支援的資料彙整類型

您可以在搜尋查詢中使用下列資料聯結類型：

事件對事件的合併：關聯兩種不同 Unified Data Model (UDM) 事件類型之間的資料。
事件到 ECG 的聯結：使用實體脈絡圖 (ECG) 的資訊，充實 UDM 事件資料。

活動與活動之間的連結

事件對事件聯結最適合用於關聯兩個不同 UDM 事件類型之間的欄位。這項功能有助於找出涉及不同記錄來源或事件類型中相同實體的事件或動作序列。

下列查詢範例會找出所有源自主機的網路連線 (NETWORK_CONNECTION)，以及發生使用者登入 (USER_LOGIN) 的主機：


  // Find user logins and assign the hostname to the $host placeholder

  $e1.metadata.event_type = "USER_LOGIN"

  $host = $e1.principal.hostname

  // Find network connections and join them where the hostname matches the
  $host placeholder

  $e2.metadata.event_type = "NETWORK_CONNECTION"

  $host = $e2.principal.hostname

限制

最多可加入兩場活動。
查詢時間範圍最多只能是 14 天。
查詢次數上限為每小時 120 次查詢 (QPH)。

範例

下列查詢範例會找出所有源自主機的網路連線 (NETWORK_CONNECTION)，以及發生使用者登入 (USER_LOGIN) 的主機：


  // Find user logins and assign the hostname to the $host placeholder

  $e1.metadata.event_type = "USER_LOGIN"

  $host = $e1.principal.hostname

  // Find network connections and join them where the hostname matches the $host
  placeholder

  $e2.metadata.event_type = "NETWORK_CONNECTION"

  $host = $e2.principal.hostname

依使用者 ID 彙整


  $e1.metadata.event_type = "USER_LOGIN"

  $e1.security_result.action = "ALLOW"

  $e1.principal.user.userid = $user

  $e2.metadata.event_type = "NETWORK_CONNECTION"

  $e2.principal.user.userid = $user

透過 IP 位址加入


  $e1.metadata.event_type = "USER_LOGIN"

  $e1.security_result.action = "ALLOW"

  $e1.principal.ip = $ip

  $e2.metadata.event_type = "NETWORK_CONNECTION"

  $e2.principal.ip = $ip

事件至實體脈絡圖聯結

事件到 ECG 的聯結最適合用來從 ECG 取得相關實體 (例如資產、使用者) 的脈絡資料，進而擴充 UDM 事件。這個聯結會結合即時事件資料與歷來和關聯實體資訊，提供更完整的資料。

限制

查詢時間範圍最多只能是 14 天。
查詢限制為每小時 120 次。
查詢中最多可聯結兩個 UDM 事件。
查詢中最多可加入一個心電圖事件。
系統不支援將「事件至心電圖」聯結查詢匯出至資料表。
系統不支援 ECG-to-ECG join。
系統不支援心電圖至資料表的聯結。

範例

這項查詢會根據主機名稱，將 ECG 中的資產資訊加入網路連線事件。


  // Find network connections and assign the hostname to the $host placeholder

  $e1.metadata.event_type = "NETWORK_CONNECTION"

  $host = $e1.principal.asset.hostname

  // Find asset entities in the graph and join where the hostname matches the
  $host placeholder

  $g1.graph.metadata.entity_type = "ASSET"

  $host = $g1.graph.entity.asset.hostname

依 IP 位址和特定記錄類型加入


  $ip = $e1.principal.ip

  $ip = $g1.graph.entity.ip

  $e1.metadata.log_type = "WINDOWS_DEFENDER_ATP"

  $g1.graph.entity.ip = "10.19.6.24"

使用特定 IP 篩選器依主機名稱加入


  $e1.metadata.event_type = "FILE_CREATION"

  $host = $e1.principal.hostname

  $e1.principal.ip = "10.0.0.76"

  $g1.graph.metadata.entity_type = "ASSET"

  $host = $g1.graph.entity.hostname

最佳做法

為避免效能緩慢和查詢逾時，請在聯結查詢的每個區塊 ($e1、$e2、$g1) 中使用具體且範圍較窄的篩選條件。

舉例來說，以下是不夠具體的查詢：

$e1.metadata.event_type = "USER_LOGIN"
$e2.metadata.event_type = "NETWORK_CONNECTION"
right join $e1.principal.hostname = $e2.principal.hostname

可透過新增特定條件進行最佳化，如下所示：


$e1.metadata.event_type = "USER_LOGIN"
$e1.principal.ip = "192.168.1.101"
$e1.principal.user.userid = "alex"
$e2.metadata.event_type = "NETWORK_CONNECTION"
$e2.src.hostname = "altostrat.com"
right join $e1.principal.hostname = $e2.principal.hostname

使用結果

資料彙整結果會顯示在「彙整」表格中，包括來自兩個相關事件的合併欄位。這個表格與統計資料檢視畫面不同，後者提供完整的事件或實體資料，而非匯總計數。

執行查詢後，您可以透過下列方式處理結果：

下載為 CSV：將完整結果集匯出為 CSV 檔案，以供離線分析。
匯出至資料表：將結果儲存至執行個體中的資料表，以供參考或進一步建立關聯 (僅適用於事件對事件的聯結)。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。