Spalten mit ausgewählten und nicht ausgewählten Keywords steuern

Unterstützt in:

In Search und Dashboards können Sie die Keywords select und unselect verwenden, um die Spalten anzupassen, die in der Tabelle Ereignisse auf dem Tab Ergebnisse (in Search) und in den Tabellen in Dashboard-Widgets angezeigt werden.

Die Spalten Zeitstempel und Ereignis werden standardmäßig angezeigt. Mit den Keywords select und unselect können Sie jedoch bestimmte Felder des Unified Data Model (UDM), outcome-Variablen oder match-Variablen hinzufügen oder entfernen, um die Ansicht zu optimieren.

Die Keywords select und unselect sind optional und in Regeln nicht verfügbar.

  • select: Gibt die Liste der UDM-Felder, outcome-Variablen oder match-Variablen an, die in die Abfrageergebnisse aufgenommen werden sollen.
  • unselect: Gibt die Liste der UDM-Felder oder -Variablen an, die aus den Abfrageergebnissen ausgeschlossen werden sollen.

Beispiele für die Verwendung

Die Beispiele in diesem Abschnitt zeigen die gängige Syntax für die Verwendung der Keywords select und unselect in Suchanfragen.

Mit der folgenden Abfrage wird nach Ereignissen gesucht, die mit alex-laptop verknüpft sind, und security_result.about.email wird als Spalte der Tabelle Ereignisse hinzugefügt:

principal.hostname = "alex-laptop"
limit: 10
select: security_result.about.email

Beispiel: Mehrere Spalten

Sie können mehrere Spalten hinzufügen, indem Sie sie durch ein Komma trennen. Die Spalten werden in der Reihenfolge angezeigt, in der Sie sie auflisten.

principal.hostname = "alex-laptop"
limit: 10
select: network.sent_bytes, security_result.about.email

Beispiel: Tabellendefinitionen

In Dashboards wird mit dem Keyword table die Spaltenausgabe definiert, während mit select oder unselect die angezeigten Felder verwaltet werden.

metadata.event_type = "USER_LOGIN"
select:
  principal.hostname

Aggregation und statistische Abfragen

In YARA-L platzieren Sie Aggregations- und Statistikfunktionen normalerweise im Abschnitt outcome, während im Abschnitt match die Aggregationsbasis definiert wird.

Die Abschnitte select und unselect schließen sich gegenseitig aus. Mit ihnen können Nutzer Ergebnisvariablen, Abgleichsvariablen, Ereignisfelder oder Einheitenfelder ein- oder ausschließen.

Alle UDM-Suchanfragen sind entweder Suchanfragen nach einzelnen Ereignissen oder aggregierte Suchanfragen (auch als Ereignisstatistiken bezeichnet). Bei aggregierten Suchanfragen wird das Keyword match angegeben oder es werden Aggregatfunktionen in der Ausgabe verwendet (z. B. sum oder count).

Der stats-Befehl ist das primäre Tool für die Datenaggregation. Sie wandelt Rohdaten zu Ereignissen in zusammengefasste Sicherheitsmesswerte um. Während mit dem Befehl eval Transformationen auf Feldebene und zeilenweise durchgeführt werden, erfolgt mit „stats“ die Aggregation auf Set-Ebene (ähnlich wie mit GROUP BY in SQL).

In der folgenden Abfrage wird die Variable $count_hostname aus der endgültigen Darstellung ausgeschlossen, um sich auf $count_id metric zu konzentrieren.

events:
  $e.metadata.event_type != "RESOURCE_CREATION"
  $e.principal.hostname = $hostname
  $id = $e.network.session_id

match:
  $hostname over 1h

outcome:
  $count_hostname = count($hostname)
  $count_id = count($id)

unselect:
  $count_hostname

Sie können auch eine Variable mit dem Keyword select verwenden, um eine bestimmte Berechnung anzuzeigen. Im folgenden Beispiel wird $seconds als Ergebnisvariable deklariert. In der Tabelle Events wird der Wert $seconds dann als Spalte angezeigt.

principal.hostname = "alex-laptop"

outcome:
  $seconds = metadata.event_timestamp.seconds

limit: 10

select: $seconds, security_result.about.email

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten