Busca registros sin procesar

Se admite en los siguientes sistemas operativos:

Google SecOps SIEM

Cuando realizas una búsqueda, Google Security Operations primero examina los datos de seguridad que se transfirieron, analizaron y normalizaron. Si no se encuentra la información en los datos normalizados, puedes usar la Búsqueda de registros sin procesar para examinar los registros sin procesar y sin analizar. También puedes usar expresiones regulares para examinar los registros sin procesar con más detalle.

Nota: El campo de búsqueda tiene un límite de 150 caracteres.

Puedes usar la Búsqueda de registros sin procesar para investigar los artefactos que aparecen en los registros (pero no están indexados), incluidos los siguientes:

• Nombres de usuario
• Nombres del archivo
• Claves de registro
• Argumentos de la línea de comandos
• Datos sin procesar relacionados con la solicitud HTTP
• Nombres de dominio basados en expresiones regulares
• Espacios de nombres y direcciones de recursos

Casos de uso principales de la búsqueda de registros sin procesar

La búsqueda de registros sin procesar es una herramienta de investigación especializada diseñada para los siguientes casos de uso:

• Verifica la normalización y soluciona problemas de los analizadores: Compara las entradas de registro sin procesar con los eventos de UDM generados para identificar brechas de normalización, verificar la asignación de campos o identificar los registros no analizados.
• Investigación forense profunda y búsqueda de amenazas: Busca indicadores de compromiso (IoC), argumentos de línea de comandos, claves de registro, rutas de acceso a archivos o cadenas específicos poco comunes o no indexados que no se asignan a campos estructurados del UDM.
• Investiga datos no estructurados y personalizados: Consulta fuentes de registros nuevas o propias de inmediato sin esperar a que se desarrolle un analizador de UDM.

Nota: La búsqueda de registros sin procesar se diseñó como una herramienta interactiva de investigación y búsqueda de amenazas para estos flujos de trabajo específicos. No está diseñado como un registro de auditoría volumétrica o de contabilidad de la transferencia. Para validar la integridad de la transferencia o la paridad de los datos volumétricos, usa la búsqueda de UDM, las estadísticas y las agregaciones en la búsqueda de UDM o las métricas de estado de la transferencia.

Búsqueda de registros sin procesar

Puedes realizar una búsqueda en el registro sin procesar con la barra de búsqueda, que se encuentra en la página de destino o en la barra de menú. Elige uno de los siguientes métodos:

Usa el formato raw=

Puedes consultar los registros sin procesar con el formato raw=. Es el método recomendado.

• Para buscar una subcadena, encierra el término de búsqueda entre comillas. Por ejemplo, raw = "ABC".
• Para buscar con una expresión regular, encierra la expresión entre barras diagonales (/). Por ejemplo, raw = /AB*C/.
• Opcional: Filtra por estado analizado con la palabra clave parsed:
  • parsed = false: Muestra los registros sin analizar en los que no se generó ningún evento de UDM.
  • parsed = true: Muestra los registros que se analizaron correctamente en eventos del UDM.

Método heredado: Usa la instrucción de búsqueda de registros sin procesar

• En la barra de búsqueda, ingresa una cadena de búsqueda con al menos cuatro caracteres (por ejemplo, un hash MD5), incluidos comodines.
• Si la búsqueda no arroja resultados, aparecerá la opción Raw Log Search.
• Opcional: Especifica la Hora de inicio y la Hora de finalización. El período predeterminado son los últimos 7 días.
• Opcional: En la lista Fuentes de registros, selecciona una o más fuentes de registros. El parámetro de configuración predeterminado es Todo.
• Haz clic en Buscar.

Los eventos asociados con la cadena de búsqueda se muestran en el Cronograma. Haz clic en un evento (o en el ícono de registro sin procesar) para abrir el registro sin procesar correspondiente. La consulta de búsqueda y los filtros aplicados también se pueden ver en la página Búsqueda de registros sin procesar.

Importante: Debido a limitaciones internas en el sistema heredado de búsqueda de registros sin procesar, es posible que, en ocasiones, no se muestre el evento de UDM correspondiente junto a la entrada del registro sin procesar. Este no es un error de análisis, sino una limitación de visualización del sistema de búsqueda de registros sin procesar heredado.

Optimiza las consultas de registros sin procesar

Las búsquedas de registros sin procesar analizan las cargas útiles de registros sin indexar y, por lo general, son más lentas que las búsquedas de UDM. Para mejorar el rendimiento de la búsqueda, limita la cantidad de datos sobre los que realizas la consulta. Para ello, cambia la configuración de búsqueda:

• Selector de período: Limita el período de los datos sobre los que ejecutas tu búsqueda.
• Selector de fuentes de registros: Limita la búsqueda de registros sin procesar solo a los registros de fuentes específicas, en lugar de todas tus fuentes de registros. En el menú Fuentes de registros, selecciona una o más fuentes de registros (el valor predeterminado es Todas) o agrega el filtro log_source directamente a tu consulta (log_source = IN["<var>LOG_SOURCE_NAME</var>"]).
• Expresiones regulares: Usa una expresión regular específica. Por ejemplo, raw = /goo\w{3}\.com/ coincide con google.com, goodle.com y goog1e.com para limitar aún más el alcance de tu búsqueda de registros sin procesar.

Ejemplos de búsquedas de registros sin procesar segmentadas

Combina el prefijo raw = con los filtros log_source y parsed para restringir tu búsqueda a los feeds pertinentes y evitar que las fuentes de registros de gran volumen trunquen tus resultados:

• Buscar una cadena exacta en una sola fuente del archivo de registro:

  raw = "<var>SEARCH_TERM</var>" and log_source = IN["<var>LOG_SOURCE_NAME</var>"]
  

• Cómo buscar un subconjunto de fuentes de registro:

  raw = "<var>SEARCH_TERM</var>" and log_source = IN["<var>LOG_SOURCE_1</var>", "<var>LOG_SOURCE_2</var>"]
  

• Cómo buscar registros sin analizar con una expresión regular:

  raw = /<var>REGULAR_EXPRESSION</var>/ and parsed = false and log_source = IN["<var>LOG_SOURCE_NAME</var>"]
  

Tendencia en el tiempo

Usa el gráfico Tendencia a lo largo del tiempo para comprender la distribución de los registros sin procesar durante el período de tu búsqueda. Puedes aplicar filtros en el gráfico para buscar registros analizados y registros sin procesar. Haz clic en Expandir más (o Expandir menos) para expandir o contraer el gráfico.

Resultados de registros sin procesar

Cuando ejecutas una búsqueda de registros sin procesar, los resultados son una combinación de eventos y entidades de UDM generados por los registros sin procesar que coinciden con tus búsquedas, junto con los registros sin procesar. Para explorar más los resultados de la búsqueda, haz clic en cualquiera de ellos:

• Evento o entidad del UDM: Si haces clic en un evento o una entidad del UDM, Google SecOps muestra los eventos y las entidades relacionados, junto con el registro sin procesar asociado a ese elemento.

• Registro sin procesar: Si haces clic en un registro sin procesar, Google SecOps te muestra toda la línea del registro sin procesar, junto con la fuente de ese registro.

Límites de resultados y muestreo

Las búsquedas de registros sin procesar aplican los siguientes límites de resultados y consultas:

• Límite de resultados de lotes grandes: Para los registros incorporados recientemente que se almacenan en almacenamiento por lotes antes de exportarse al almacenamiento columnar a largo plazo, hay un límite de 1,000 resultados que se devuelven de lotes de registros grandes que contienen 1,000 o más eventos. Una vez que los registros se exportan al almacenamiento columnar a largo plazo, no se aplica este límite de 1,000 resultados por lote.
• Límite total de exportación de la IU y CSV: Una sola búsqueda de registros sin procesar en la consola de Google SecOps o la exportación de CSV devuelve hasta 10,000 resultados totales en todas las fuentes de registros consultadas. Si una búsqueda coincide con más de 10,000 entradas, Google SecOps devuelve una muestra representativa de 10,000 resultados.
• Límite de resultados de la API: La API de Raw Log Search (SearchRawLogs) aplica un límite máximo de 10,000 entradas por solicitud de búsqueda (page_size).
• Longitud de la búsqueda: El campo de entrada de búsqueda del registro sin procesar está limitado a 150 caracteres.

Cuando buscas en varias fuentes de registros de forma simultánea (el menú Fuentes de registros está configurado en Todas), Google SecOps ejecuta consultas en paralelo en fragmentos de almacenamiento distribuidos con límites de consultas protectores aplicados antes del filtrado en la memoria para mantener tiempos de respuesta rápidos. Debido a esta arquitectura distribuida, los recuentos totales de resultados devueltos pueden variar entre las consultas amplias de varias fuentes y las consultas de una sola fuente debido a los siguientes factores:

• Volúmenes de transferencia variables: Las fuentes de registros de gran volumen generan lotes grandes que alcanzan el límite de 1,000 resultados más rápido que las fuentes de menor volumen.
• Muestreo de lotes distribuido: Los lotes grandes que contienen 1,000 o más eventos se limitan a 1,000 resultados devueltos antes de que se aplique el límite general de muestreo de consultas de 10,000 resultados, lo que cambia la proporción de registros muestreados que se devuelven en las consultas.
• Niveles de almacenamiento recientes y históricos: Los registros que se transfirieron recientemente se consultan desde el almacenamiento por lotes de baja latencia para que estén disponibles de inmediato para la búsqueda, en el que se aplica el límite de 1,000 resultados en lotes grandes. Una vez que los registros se exportan al almacenamiento columnar a largo plazo, las consultas analizan las entradas de registro individuales directamente sin el límite de 1,000 resultados por lote (hasta el límite total de 10,000 resultados por consulta), lo que proporciona recuentos de resultados más coherentes para las búsquedas históricas.

Nota: Las variaciones en el recuento de resultados en las consultas de múltiples fuentes son intencionales para mantener la capacidad de respuesta de las consultas en conjuntos de datos grandes y no indican pérdida de datos ni fallas en la transferencia. Para recuperar un conjunto de resultados completo y sin muestrear, filtra tu consulta para que se dirija a fuentes de registros específicas y acota el período de búsqueda para evitar alcanzar los límites de muestreo de consultas generales y por lotes.

Descarga los resultados del registro sin procesar

Para descargar los resultados del registro sin procesar en un archivo CSV, en la tabla de resultados de Registros sin procesar, haz clic en Más > Descargar como CSV.

De forma predeterminada, el archivo CSV siempre incluye la columna Registro sin procesar. Puedes usar el botón Columnas para abrir el Administrador de columnas y quitar o agregar las columnas Marca de tiempo y Tipo. Si agregas otras columnas, las verás en la tabla, pero no se descargarán en el archivo CSV.

Para descargar los campos del UDM, ejecuta una búsqueda en el UDM, selecciona las columnas requeridas y, luego, descarga el archivo en formato CSV.

Si aparece el error Failed to execute 'showSaveFilePicker' en Google Chrome, sigue estos pasos:

1. Ve a Dispositivos > Chrome > Configuración.

2. Selecciona Usuarios y navegadores.

3. Ubica el parámetro de configuración Acceso de escritura al sistema de archivos.

4. Agrega prefix.backstory.chronicle.security a la lista de sitios permitidos.

Expresiones regulares

Puedes usar expresiones regulares en Google SecOps para buscar y hacer coincidir conjuntos de cadenas de caracteres en tus datos de seguridad. Las expresiones regulares te ayudan a acotar tu búsqueda usando fragmentos de información en lugar de requerir una coincidencia exacta.

Para ejecutar una búsqueda con la sintaxis de expresiones regulares, haz lo siguiente:

• En SIEM Search, ingresa raw = /YOUR_REGEX/ en el campo de búsqueda y haz clic en Run Search.
• En la barra de Búsqueda heredada, haz lo siguiente:
  1. Ingresa una expresión regular (de 4 a 66 caracteres) en el campo Buscar.
  2. Selecciona la casilla de verificación Ejecutar consulta como regex y haz clic en Buscar (o Actualizar búsqueda en la página de resultados de Búsqueda de registros sin procesar).

La infraestructura de expresiones regulares de Google SecOps se basa en Google RE2, un motor de expresiones regulares de código abierto. Google SecOps usa la misma sintaxis de expresiones regulares.

Nota: Para garantizar un rendimiento predecible, el motor de RE2 omite intencionalmente ciertas funciones avanzadas, como las aserciones de anticipación y retroceso. Para obtener más información, consulta Sintaxis de RE2.

En la siguiente tabla, se destacan algunas de las sintaxis de expresiones regulares comunes que puedes usar para tus búsquedas.

Cualquier carácter	.
X cantidad de cualquier carácter	{x}
Clase de carácter	[xyz]
Clase de caracteres negada	[^xyz]
Alfanumérico (0-9A-Za-z)	[[:alnum:]]
Alfabético (de la A a la Z y de la a a la z)	[[:alpha:]]
Dígitos (0-9)	[[:digit:]]
Minúsculas (a-z)	[[:lower:]]
Mayúsculas (A-Z)	[[:upper:]]
Caracteres de palabra (0-9A-Za-z_)	[[:word:]]
Dígito hexadecimal (0-9A-Fa-f)	[[:xdigit:]]
Símbolo de signo de interrogación (?)	Coincide con cero o una ocurrencia del elemento anterior.
Asterisco (*)	Coincide con cero o más ocurrencias del carácter o grupo anterior.
Signo más (+)	Coincide con una o más ocurrencias del carácter o grupo anterior.

En los siguientes ejemplos, se ilustra cómo puedes usar expresiones regulares para buscar datos:

• goo.le\.com: Coincide con cualquier cadena que comience con goo, seguida de cualquier carácter único y, luego, le.com, como google.com o goo0le.com.
• goo\w{3}\.com: Coincide con cadenas que comienzan con goo, seguidas de exactamente tres caracteres de palabra (\w) y que terminan con .com. Por ejemplo, google.com, goojle.com o goodle.com.
• [[:digit:]]\.[[:alpha:]]: Coincide con una cadena que tiene un solo dígito, seguido de un punto (.), seguido de un solo carácter alfabético, como 34323.system, 23458.office o 897.net.

Ejemplos de expresiones regulares para buscar registros de Windows

En esta sección, se proporcionan cadenas de consulta de expresiones regulares que puedes usar con la Búsqueda de registros sin procesar de Google SecOps para encontrar eventos de Windows supervisados con frecuencia. En estos ejemplos, se supone que los mensajes de registro de Windows están en formato JSON.

Para obtener más información sobre los IDs de eventos de Windows que se supervisan con frecuencia, consulta Eventos para supervisar. Los ejemplos proporcionados siguen un patrón similar, que se describe en estos casos de uso.

Caso de uso: Devolver eventos con el EventID 1150
Cadena de expresión regular:	\"EventID\"\:\s*1150
Valores coincidentes:	"EventID":1150

Caso de uso:Devolver eventos con un ID de evento que sea 1150 o 1151
Cadena de expresión regular	(?:\"EventID\"\:\s*)(?:1150|1151)
Valores coincidentes	"EventID":1150 y "EventID":1151

Caso de uso: Devolver eventos con un ID de evento que sea 1150 o 1151, y con ThreadID 9092
Cadena de expresión regular	(?:\"EventID\"\:\s*)(?:1150|1151).*(?:\"ThreadID\"\:\s*9092)
Valores coincidentes	"EventID":1150 <...any number of characters...> "ThreadID":9092 y "EventID":1151 <...any number of characters...> "ThreadID":9092

Cómo encontrar eventos de administración de la cuenta

Estas cadenas de consulta de expresiones regulares identifican eventos comunes de administración de cuentas con el atributo EventID.

Tipo de evento	Expresión regular
Se creó la cuenta de usuario	"EventID\"\:\s*4720
Cuenta de usuario habilitada	"EventID\"\:\s*4722
Cuenta de usuario inhabilitada	"EventID\"\:\s*4725
Se borró la cuenta de usuario	"EventID\"\:\s*4726
Modificación de los derechos del usuario	"EventID\"\:\s*4703
Se agregó un miembro a un grupo global habilitado para la seguridad	"EventID\"\:\s*4728
Se quitó a un miembro del grupo global habilitado para seguridad	"EventID\"\:\s*4729
Se borró el grupo global habilitado para seguridad	"EventID\"\:\s*4730

Cómo encontrar eventos de inicio de sesión exitosos

Estas cadenas de consulta de expresiones regulares identifican tipos de eventos de inicio de sesión exitosos con los atributos EventID y LogonType.

Tipo de evento	Expresión regular
Acceso correcto	"EventID\"\:\s*4624
Inicio de sesión correcto: interactivo (LogonType=2)	"EventID\"\:\s*4624.*?LogonType\"\:\s*\"2\"
Logon Success - Batch Login (LogonType=4)	"EventID\"\:\s*4624.*?LogonType\"\:\s*\"4\"
Logon Success - Service Login (LogonType=5)	"EventID\"\:\s*4624.*?LogonType\"\:\s*\"5\"
Logon Success - RemoteInteractive Login (LogonType=10)	"EventID\"\:\s*4624.*?LogonType\"\:\s*\"10\"
Logon Success - Interactive, Batch, Service, or RemoteInteractive	(?:"EventID\"\:\s*4624.*?LogonType\"\:\s*\")(?:2|4|5|10)\"

Cómo encontrar eventos de falla de acceso

Estas cadenas de consulta de expresiones regulares identifican los tipos de eventos de inicio de sesión fallidos con los atributos EventID y LogonType.

Tipo de evento	Expresión regular
Error de acceso	"EventID\"\:\s*4625
Error de inicio de sesión: interactivo (LogonType=2)	"EventID\"\:\s*4625.*?LogonType\"\:\s*\"2\"
Error de inicio de sesión: inicio de sesión por lotes (LogonType=4)	"EventID\"\:\s*4625.*?LogonType\"\:\s*\"4\"
Error de inicio de sesión: inicio de sesión de servicio (LogonType=5)	"EventID\"\:\s*4625.*?LogonType\"\:\s*\"5\"
Error de acceso: acceso interactivo remoto (LogonType=10)	"EventID\"\:\s*4625.*?LogonType\"\:\s*\"10\"
Falla de inicio de sesión: interactivo, por lotes, de servicio o interactivo remoto	(?:"EventID\"\:\s*4625.*LogonType\"\:\s*\")(?:2|4|5|10)\"

Cómo encontrar eventos de procesos, servicios y tareas

Estas cadenas de consulta de expresiones regulares identifican ciertos eventos de proceso y servicio con el atributo EventID.

Tipo de evento	Expresión regular
Inicio del proceso	"EventID\"\:\s*4688
Salida del proceso	"EventID\"\:\s*4689
Servicio instalado	"EventID\"\:\s*4697
Se creó un servicio nuevo	"EventID\"\:\s*7045
Se creó la tarea programada	"EventID\"\:\s*4698

Cómo encontrar eventos relacionados con el acceso a objetos

Estas cadenas de consulta de expresiones regulares identifican diferentes tipos de eventos relacionados con procesos y servicios a través del atributo EventID.

Tipo de evento	Expresión regular
Se borró el registro de auditoría	"EventID\"\:\s*1102
Se intentó acceder al objeto	"EventID\"\:\s*4663
Se accedió al recurso compartido	"EventID\"\:\s*5140

Soluciona problemas

Usa la siguiente tabla para resolver problemas habituales de búsqueda de registros sin procesar:

Problema	Descripción	Corregir
Recuentos de resultados incoherentes en las diferentes búsquedas	Las consultas en varias fuentes de registros (All) devuelven recuentos totales de resultados variables en comparación con las consultas de una sola fuente para los registros incorporados recientemente debido al límite de 1,000 resultados en lotes grandes (lotes con 1,000 o más eventos) en el almacenamiento por lotes y el muestreo distribuido.	Selecciona fuentes de registros específicas en el menú Fuentes de registros o filtra con log_source = IN["LOG_SOURCE_NAME"] y acota el período de búsqueda.
Resultados truncados o muestreados (se alcanzó el límite de 10,000 resultados)	La búsqueda coincidió con más de 10,000 registros totales en la IU, la exportación de CSV o la API de SearchRawLogs (page_size), y solo devolvió una muestra de 10,000 resultados.	Acorta el período de la consulta (por ejemplo, a 1 hora) y agrega expresiones regulares RE2 específicas o filtros parsed = false.
Discrepancias en la auditoría de la transferencia de datos volumétrica	Los recuentos de resultados de la búsqueda de registros sin procesar no coinciden con los volúmenes totales de registros ingeridos, ya que se aplican límites protectores de lotes y fragmentos antes del filtrado en la memoria.	Usa UDM Search, las estadísticas y las agregaciones en UDM Search o las métricas de estado de la transferencia para verificar la integridad de la transferencia y la paridad volumétrica.
La búsqueda supera el límite de caracteres	La cadena de búsqueda supera el límite de 150 caracteres para las consultas de registros sin procesar.	Simplifica la expresión regular o divide la investigación en consultas más pequeñas y separadas que se dirijan a fuentes de registros individuales.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.