Suchdetails verwalten

Unterstützt in:

Mit Google Security Operations können Sie bis zu ein Jahr lang die in Ihrem Konto gespeicherten Unternehmensdaten durchsuchen. Außerdem stehen Ihnen eine Reihe von Tools zur Verfügung, mit denen Sie mehrere UDM-Suchanfragen ausführen und die Ergebnisse dieser Anfragen später abrufen und freigeben können.

Mit UDM bis zu ein Jahr alte Daten durchsuchen

Sie können eine UDM-Suche für bis zu ein Jahr alte UDM-Daten durchführen. So passen Sie den Zeitraum für Ihre UDM-Suche an:

  1. Rufen Sie Prüfung > SIEM-Suche auf.
  2. Klicken Sie auf das Feld für die Zeitauswahl, um das Dialogfeld für die Zeitauswahl zu öffnen.
  3. Wählen Sie auf dem Tab Zeitraum (Standardtab) einen Zeitraum von Letzte 5 Minuten bis Letztes Jahr aus, um den Zeitraum anzupassen.
  4. Verwenden Sie die Felder Start und Ende , um einen genaueren Zeitraum auszuwählen, z. B. die ersten beiden Wochen im November.
  5. Passen Sie die Zeiten an, indem Sie bestimmte Start- und Endwerte auswählen, z. B. 03:00 und 08:30 Uhr.
  6. Klicken Sie auf Anwenden und dann auf Suche ausführen.

Gleichzeitige Suchen ausführen und Suchanfragen verwalten

Für gleichzeitige Suchen und gespeicherte Ergebnisse muss die Funktion „Suchverlauf“ aktiviert sein. So prüfen Sie, ob der Suchverlauf aktiviert ist:

  1. Rufen Sie Prüfung > SIEM-Suche auf.

  2. Klicken Sie auf Verlauf. Wenn die Meldung Suchverlauf ist deaktiviert angezeigt wird, fahren Sie mit dem nächsten Schritt fort. Wenn diese Meldung nicht angezeigt wird, ist Suchverlauf bereits für Ihr Konto aktiviert.

  3. Klicken Sie auf das Dreipunkt-Menü more_vert und wählen Sie Suchverlauf aktivieren aus.

Suchanfragen verwalten

Sie können mehrere UDM-Suchen ausführen, frühere Suchergebnisse abrufen und Ihre Suchergebnisse für andere Mitglieder Ihres Teams freigeben:

  • Mehrere UDM-Suchen ausführen: Während eine Suchanfrage ausgeführt wird, können Sie im Abfrageeditor weitere Suchen ausführen. Google SecOps führt Ihre vorherigen Suchen weiter aus und führt die neuen Suchen parallel aus.

  • Suchergebnisse ansehen: Scrollen Sie durch den Abfrageverlauf und wählen Sie innerhalb von 24 Stunden nach Ausführung einer Abfrage Suchergebnisse aus. Klicken Sie auf Verlauf und wählen Sie eine Ihrer Anfragen aus der Liste aus.

    Anfragen, die gerade ausgeführt werden, werden mit einem kreisförmigen Statussymbol angezeigt. Abgeschlossene Anfragen werden mit einem grünen Häkchen und einem Zähler angezeigt, der die Anzahl der von der Abfrage zurückgegebenen Ereignisse angibt. Klicken Sie auf eine abgeschlossene Abfrage, um die Ergebnisse anzuzeigen. Diese Ergebnisse werden im Cache gespeichert und enthalten nur die Daten, die zum Zeitpunkt der Abfrageausführung verfügbar waren. Sie können jedoch auf das Symbol für den Cache cached und dann auf Nochmal ausführen klicken, um die Abfrage für die neuesten Daten auszuführen. Diese neue Ausführung wird dem Suchverlauf hinzugefügt und die Ergebnisse sind verfügbar, wenn die Abfrage abgeschlossen ist.

  • Suchergebnisse freigeben: Kopieren Sie die URL der Suchergebnisse, um sie für andere Nutzer freizugeben.

    Wenn Suchergebnisse gespeichert werden, werden die RBAC-Bereiche des Nutzers, der die Suche ausgeführt hat, mit ihnen gespeichert. Wenn diese Ergebnisse von einem anderen Nutzer aufgerufen werden, wird der RBAC-Bereich des Betrachters mit den gespeicherten Bereichen verglichen. Wenn die Bereiche des Betrachters restriktiver sind, wird ein Fehler angezeigt und er kann die Ergebnisse nicht sehen.

    Gespeicherte Suchergebnisse laufen 24 Stunden nach Ausführung einer Abfrage ab. Ihre Suchanfrage ist jedoch weiterhin im Bereich Verlauf verfügbar. Sie können Ihre Suchen noch einmal ausführen und die Ergebnisse sind bis zu 24 Stunden nach der Ausführung der Abfrage verfügbar.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten