Gérer les détails de recherche
Google Security Operations vous permet de rechercher jusqu'à un an de données d'entreprise stockées dans votre compte. Il inclut également un certain nombre d'outils qui vous permettent d'exécuter plusieurs requêtes de recherche UDM, puis de récupérer et de partager les résultats de ces requêtes.
Utiliser UDM pour rechercher jusqu'à un an de données
Vous pouvez effectuer une recherche UDM sur un maximum d'un an de vos données UDM. Pour ajuster la période de votre recherche UDM, procédez comme suit :
- Accédez à Investigation > SIEM Search (Investigation > Recherche SIEM).
- Cliquez sur le champ du sélecteur de période pour ouvrir la boîte de dialogue du sélecteur de période.
- Dans l'onglet Range (Plage) (onglet par défaut), ajustez la période en sélectionnant l'une des options allant de Last 5 minutes (5 dernières minutes) à Last year (Dernière année).
- Utilisez les champs Start (Début) et End (Fin) pour choisir une période plus spécifique (par exemple, les deux premières semaines de novembre).
- Ajustez les heures en sélectionnant des valeurs de début et de fin spécifiques, par exemple 03:00 et 08:30.
- Cliquez sur Apply (Appliquer), puis sur Run Search (Exécuter la recherche).
Exécuter des recherches simultanées et gérer les requêtes de recherche
Pour que les recherches simultanées et les résultats stockés fonctionnent, la fonctionnalité d'historique des recherches doit être activée. Pour vous assurer que l'historique des recherches est activé, procédez comme suit :
Accédez à Investigation > SIEM Search (Investigation > Recherche SIEM).
Cliquez sur History (Historique). Si le message Search History Is Disabled (L'historique des recherches est désactivé) s'affiche, passez à l'étape suivante. Si ce message ne s'affiche pas, cela signifie que l' historique des recherches est déjà activé pour votre compte.
Cliquez sur more_vert , puis sélectionnez Opt into search history (Activer l'historique des recherches).
Gérer les requêtes de recherche
Vous pouvez exécuter plusieurs recherches UDM, récupérer les résultats de requêtes précédentes et partager vos résultats de requête avec d'autres membres de votre équipe :
Exécuter plusieurs recherches UDM : lorsqu'une requête de recherche est en cours, vous pouvez exécuter d'autres recherches dans l'éditeur de requêtes. Google SecOps continue d'exécuter vos recherches précédentes et exécute les nouvelles recherches en parallèle.
Afficher les résultats de requête : parcourez l'historique des requêtes et sélectionnez les résultats de recherche dans les 24 heures suivant l'exécution d'une requête. Cliquez sur History (Historique), puis sélectionnez l'une de vos requêtes dans la liste.
Les requêtes en cours s'affichent avec une icône d'état circulaire. Les requêtes terminées s'affichent avec une icône de coche verte, ainsi qu'un compteur indiquant le nombre d'événements renvoyés par la requête. Cliquez sur une requête terminée pour afficher les résultats. Ces résultats sont mis en cache et n'incluent que les données disponibles au moment de l'exécution de la requête. Toutefois, vous pouvez cliquer sur cached Rerun (Réexécuter) pour exécuter la requête sur les dernières données. Cette nouvelle exécution est ajoutée à l'historique des recherches, et les résultats sont disponibles une fois la requête terminée.
Partager les résultats de requête : copiez l'URL des résultats de requête pour les partager avec d'autres utilisateurs.
Lorsque les résultats de recherche sont stockés, les champs de contrôle d'accès basé sur les rôles (RBAC) de l'utilisateur qui a effectué la recherche sont stockés avec eux. Lorsqu'un autre utilisateur consulte ces résultats, le champ RBAC du spectateur est comparé aux champs stockés. Si les champs du spectateur sont plus restrictifs, une erreur s'affiche et il ne pourra pas afficher les résultats.
Les résultats de recherche stockés expirent 24 heures après l'exécution d'une requête. Toutefois, votre requête de recherche reste disponible dans le volet History (Historique). Vous pouvez réexécuter vos recherches, et les résultats sont disponibles jusqu'à 24 heures après l'exécution de la requête.
Vous avez encore besoin d'aide ? Obtenez des réponses auprès des membres de la communauté et des professionnels Google SecOps.