ניהול פרטי החיפוש
Google Security Operations מאפשר לכם לחפש בנתונים של הארגון שמאוחסנים בחשבון שלכם, עד שנה אחורה. הוא כולל גם מספר כלים שמאפשרים להריץ כמה שאילתות חיפוש ב-UDM, ולאחר מכן לאחזר ולשתף את התוצאות של השאילתות האלה.
שימוש ב-UDM כדי לחפש נתונים עד שנה אחורה
אפשר לבצע חיפוש ב-UDM על נתונים של עד שנה. כדי לשנות את תקופת הזמן של החיפוש בכלי UDM, פועלים לפי השלבים הבאים:
- עוברים אל Investigation > SIEM Search.
- לוחצים על השדה של בורר השעות כדי לפתוח את תיבת הדו-שיח של בורר השעות.
- בכרטיסייה טווח (כרטיסיית ברירת המחדל), משנים את טווח הזמן על ידי בחירת אחת מהאפשרויות, מ5 הדקות האחרונות עד השנה האחרונה.
- אפשר להשתמש בשדות התחלה וסיום כדי לבחור טווח תאריכים ספציפי יותר (לדוגמה, שבועיים ספציפיים בחודש נובמבר).
- משנים את השעות על ידי בחירת ערכי התחלה וסיום ספציפיים, למשל, 03:00 ו-08:30.
- לוחצים על אישור ואז על הפעלת החיפוש.
הרצת חיפושים בו-זמנית וניהול של שאילתות חיפוש
כדי לבצע חיפושים בו-זמנית ולשמור תוצאות, צריך להפעיל את התכונה 'היסטוריית חיפושים'. כדי לוודא שהיסטוריית החיפושים מופעלת, מבצעים את השלבים הבאים:
עוברים אל Investigation > SIEM Search.
לוחצים על היסטוריה. אם מוצגת ההודעה היסטוריית החיפושים מושבתת, עוברים לשלב הבא. אם ההודעה הזו לא מופיעה, סימן שהיסטוריית החיפושים כבר מופעלת בחשבון שלכם.
לוחצים על more_vert ובוחרים באפשרות הצטרפות להיסטוריית החיפושים.
ניהול שאילתות חיפוש
אתם יכולים להריץ כמה חיפושים באמצעות UDM, לאחזר תוצאות חיפוש של שאילתות קודמות ולשתף את תוצאות השאילתות עם חברים אחרים בצוות:
הפעלת כמה חיפושים ב-UDM: בזמן ששאילתת חיפוש מתבצעת, אפשר להפעיל חיפושים נוספים בכלי לעריכת שאילתות. Google SecOps ממשיך להריץ את החיפושים הקודמים ומריץ את החיפושים החדשים במקביל.
צפייה בתוצאות של שאילתה: גוללים בהיסטוריית השאילתות ובוחרים תוצאות חיפוש תוך 24 שעות מהרצת השאילתה. לוחצים על היסטוריה ובוחרים אחת מהשאילתות מהרשימה.
שאילתות בתהליך מוצגות עם סמל סטטוס עגול. שאילתות שהושלמו מוצגות עם סמל של וי ירוק ועם מונה שמציין את מספר האירועים שהוחזרו על ידי השאילתה. לוחצים על שאילתה שהושלמה כדי להציג את התוצאות. התוצאות האלה נשמרות במטמון וכוללות רק את הנתונים שהיו זמינים בזמן הפעלת השאילתה. עם זאת, אפשר ללחוץ על במטמון הרצת השאילתה מחדש כדי להריץ את השאילתה על הנתונים העדכניים ביותר. ההרצה החדשה הזו מתווספת להיסטוריית החיפושים, והתוצאות זמינות כשהשאילתה מסתיימת.
שיתוף תוצאות השאילתה: מעתיקים את כתובת ה-URL של תוצאות השאילתה כדי לשתף אותן עם משתמשים אחרים.
כשתוצאות החיפוש מאוחסנות, היקפי ה-RBAC של המשתמש שהריץ את החיפוש מאוחסנים יחד עם התוצאות. כשמשתמש אחר צופה בתוצאות האלה, היקף ה-RBAC של הצופה מושווה להיקפים המאוחסנים. אם ההיקפים של הצופה מגבילים יותר, תוצג שגיאה והוא לא יוכל לראות את התוצאות.
התוקף של תוצאות חיפוש שמורות פג 24 שעות אחרי הרצת השאילתה. עם זאת, שאילתת החיפוש שלכם עדיין זמינה בחלונית היסטוריה. אפשר להריץ מחדש את החיפושים, והתוצאות יהיו זמינות למשך עד 24 שעות אחרי זמן הריצה של השאילתה.
הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.