Controla las columnas con palabras clave de selección y anulación de selección

Se admite en los siguientes sistemas operativos:

En Search y Dashboards, puedes usar las palabras clave select y unselect para personalizar las columnas que se muestran en la tabla Eventos de la pestaña Resultados (en Search) y las tablas dentro de los widgets del panel.

Si bien las columnas Timestamp y Event se muestran de forma predeterminada, las palabras clave select y unselect te permiten agregar o quitar campos específicos del modelo de datos unificado (UDM), variables outcome o variables match para definir mejor tu vista.

Las palabras clave select y unselect son opcionales y no están disponibles en las reglas.

  • select: Especifica la lista de campos de UDM, variables de outcome o variables de match que se incluirán en los resultados de la búsqueda.
  • unselect: Especifica la lista de campos o variables de UDM que se excluirán de los resultados de la búsqueda.

Ejemplos de uso

En los ejemplos de esta sección, se muestra la sintaxis común para usar las palabras clave select y unselect en las búsquedas.

La siguiente consulta busca eventos conectados a alex-laptop y agrega security_result.about.email como una columna a la tabla Events:

principal.hostname = "alex-laptop"
limit: 10
select: security_result.about.email

Ejemplo: Varias columnas

Puedes agregar varias columnas separándolas con una coma. Las columnas aparecen en el orden en que las enumeras.

principal.hostname = "alex-laptop"
limit: 10
select: network.sent_bytes, security_result.about.email

Ejemplo: Definiciones de tablas

En los paneles, la palabra clave table define la salida de la columna, mientras que select o unselect administran los campos específicos que se muestran.

metadata.event_type = "USER_LOGIN"
select:
  principal.hostname

Consultas estadísticas y de agregación

En YARA-L, por lo general, colocas las funciones estadísticas y de agregación en la sección outcome, mientras que la sección match define la base de agregación.

Las secciones select y unselect son mutuamente exclusivas y permiten a los usuarios incluir o excluir variables de resultado, variables de correlación, campos de eventos o campos de entidades.

Todas las búsquedas de UDM son búsquedas de un solo evento o búsquedas agregadas (también conocidas como estadísticas de eventos). Las búsquedas agregadas especifican la palabra clave match o usan funciones de agregación en el resultado (por ejemplo, sum o count).

El comando stats es la herramienta principal para la agregación de datos. Transforma los datos de eventos sin procesar en métricas de seguridad resumidas. Si bien el comando eval controla las transformaciones a nivel de campo y fila por fila, stats realiza la agregación a nivel de conjunto (similar a GROUP BY en SQL).

La siguiente consulta excluye la variable $count_hostname de la visualización final para enfocarse en la variable $count_id metric.

events:
  $e.metadata.event_type != "RESOURCE_CREATION"
  $e.principal.hostname = $hostname
  $id = $e.network.session_id

match:
  $hostname over 1h

outcome:
  $count_hostname = count($hostname)
  $count_id = count($id)

unselect:
  $count_hostname

También puedes usar una variable con la palabra clave select para mostrar un cálculo específico. En el siguiente ejemplo, se declara $seconds como una variable de resultado. Luego, la tabla Events muestra el valor de $seconds como una columna.

principal.hostname = "alex-laptop"

outcome:
  $seconds = metadata.event_timestamp.seconds

limit: 10

select: $seconds, security_result.about.email

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.