Gestire i dettagli di ricerca
Google Security Operations ti consente di cercare fino a un anno di dati aziendali archiviati nel tuo account. Include anche una serie di strumenti che ti consentono di eseguire più query di ricerca UDM e recuperare e condividere i risultati di queste query in un secondo momento.
Utilizzare UDM per cercare fino a un anno di dati
Puoi eseguire una ricerca UDM su un massimo di un anno di dati UDM. Per modificare il periodo di tempo per la ricerca UDM, segui questi passaggi:
- Vai a Indagine > Ricerca SIEM.
- Fai clic sul campo del selettore di tempo per aprire la finestra di dialogo del selettore di tempo.
- Nella scheda Intervallo (la scheda predefinita), regola l'intervallo di tempo selezionando una delle opzioni da Ultimi 5 minuti a Ultimo anno.
- Utilizza i campi Inizio e Fine per scegliere un intervallo di date più specifico (ad esempio, le prime due settimane di novembre).
- Regola gli orari selezionando valori di inizio e fine specifici, ad esempio 03:00 e 08:30.
- Fai clic su Applica e poi su Esegui ricerca.
Eseguire ricerche simultanee e gestire le query di ricerca
Per le ricerche simultanee e i risultati archiviati è necessario che la funzionalità della cronologia delle ricerche sia attiva. Per assicurarti che la cronologia delle ricerche sia attiva, segui questi passaggi:
Vai a Indagine > Ricerca SIEM.
Fai clic su Cronologia. Se viene visualizzato il messaggio La cronologia delle ricerche è disattivata, vai al passaggio successivo. Se non vedi questo messaggio, significa che la cronologia delle ricerche è già attivata per il tuo account.
Fai clic su more_vert e seleziona Attiva la cronologia delle ricerche.
Gestire le query di ricerca
Puoi eseguire più ricerche UDM, recuperare i risultati di ricerca delle query precedenti e condividere i risultati delle query con altri membri del tuo team:
Eseguire più ricerche UDM: mentre è in corso una query di ricerca, puoi eseguire ricerche aggiuntive nell'editor di query. Google SecOps continua a eseguire le ricerche precedenti ed esegue le nuove ricerche in parallelo.
Visualizzare i risultati delle query: scorri la cronologia delle query e seleziona i risultati di ricerca entro 24 ore dall'esecuzione di una query. Fai clic su Cronologia e seleziona una delle query dall'elenco.
Le query in corso vengono visualizzate con un'icona di stato circolare. Le query completate vengono visualizzate con un'icona di segno di spunta verde, insieme a un contatore che indica il numero di eventi restituiti dalla query. Fai clic su una query completata per visualizzare i risultati. Questi risultati vengono memorizzati nella cache e includono solo i dati disponibili al momento dell'esecuzione della query. Tuttavia, puoi fare clic su cached Esegui di nuovo per eseguire la query sugli ultimi dati. Questa nuova esecuzione viene aggiunta alla cronologia delle ricerche e i risultati vengono resi disponibili al termine della query.
Condividere i risultati delle query: copia l'URL dei risultati delle query per condividerli con altri utenti.
Quando i risultati di ricerca vengono archiviati, vengono archiviati anche gli ambiti RBAC dell'utente che ha eseguito la ricerca. Quando questi risultati vengono visualizzati da un altro utente, l'ambito RBAC del visualizzatore viene confrontato con gli ambiti archiviati. Se gli ambiti del visualizzatore sono più restrittivi, viene visualizzato un errore e non potrà visualizzare i risultati.
I risultati di ricerca archiviati scadono 24 ore dopo l'esecuzione di una query. Tuttavia, la query di ricerca è ancora disponibile nel riquadro Cronologia. Puoi eseguire di nuovo le ricerche e i risultati saranno disponibili per un massimo di 24 ore dopo l'esecuzione della query.
Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.