Controlar colunas com palavras-chave de seleção e desmarcação

Compatível com:

Na Pesquisa e nos painéis, use as palavras-chave select e unselect para personalizar as colunas mostradas na tabela Eventos da guia Resultados (na Pesquisa) e nas tabelas dos widgets do painel.

Embora as colunas Carimbo de data/hora e Evento sejam mostradas por padrão, as palavras-chave select e unselect permitem adicionar ou remover campos específicos do Modelo de dados unificado (UDM), variáveis outcome ou match para refinar sua visualização.

As palavras-chave select e unselect são opcionais e não estão disponíveis nas regras.

  • select: especifica a lista de campos de UDM, variáveis outcome ou variáveis match a serem incluídas nos resultados da consulta.
  • unselect: especifica a lista de campos ou variáveis da UDM a serem excluídos dos resultados da consulta.

Exemplos de uso

Os exemplos nesta seção demonstram a sintaxe comum para usar as palavras-chave select e unselect em consultas de pesquisa.

A consulta a seguir pesquisa eventos conectados a alex-laptop e adiciona security_result.about.email como uma coluna à tabela Eventos:

principal.hostname = "alex-laptop"
limit: 10
select: security_result.about.email

Exemplo: várias colunas

É possível adicionar várias colunas separando-as com uma vírgula. As colunas aparecem na ordem em que são listadas.

principal.hostname = "alex-laptop"
limit: 10
select: network.sent_bytes, security_result.about.email

Exemplo: definições de tabela

Nos painéis, a palavra-chave table define a saída da coluna, enquanto select ou unselect gerencia os campos específicos mostrados.

metadata.event_type = "USER_LOGIN"
select:
  principal.hostname

Consultas de agregação e estatísticas

Em YARA-L, normalmente você coloca funções estatísticas e de agregação na seção outcome, enquanto a seção match define a base de agregação.

As seções select e unselect são mutuamente exclusivas e permitem que os usuários incluam ou excluam variáveis de resultado, variáveis de correspondência, campos de evento ou campos de entidade.

Todas as pesquisas de UDM são de evento único ou agregadas (também conhecidas como estatísticas de eventos). As pesquisas agregadas especificam a palavra-chave match ou usam funções de agregação na saída (por exemplo, sum ou count).

O comando stats é a principal ferramenta para agregação de dados. Ele transforma dados de eventos brutos em métricas de segurança resumidas. Enquanto o comando eval processa transformações no nível do campo, linha por linha, as estatísticas realizam agregação no nível do conjunto (semelhante a GROUP BY em SQL).

A consulta a seguir exclui a variável $count_hostname da exibição final para se concentrar na $count_id metric.

events:
  $e.metadata.event_type != "RESOURCE_CREATION"
  $e.principal.hostname = $hostname
  $id = $e.network.session_id

match:
  $hostname over 1h

outcome:
  $count_hostname = count($hostname)
  $count_id = count($id)

unselect:
  $count_hostname

Você também pode usar uma variável com a palavra-chave select para mostrar um cálculo específico. O exemplo a seguir declara $seconds como uma variável de resultado. A tabela Events mostra o valor $seconds como uma coluna.

principal.hostname = "alex-laptop"

outcome:
  $seconds = metadata.event_timestamp.seconds

limit: 10

select: $seconds, security_result.about.email

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.