Suche

Unterstützt in:

Google SecOps SIEM

Dieser Leitfaden richtet sich an Sicherheitsanalysten, die Sicherheitsdaten in ihrem Unternehmen in Google Security Operations über die Seite SIEM-Suche abfragen, korrelieren und analysieren möchten. Die Seite SIEM-Suche dient als zentraler Navigations-Hub für alle unterstützten Datenstreams und integriert zusätzliche Telemetrie- und Sicherheitsstatusquellen. Dieser Leitfaden enthält Anleitungen und Erläuterungen zu allen grundlegenden Funktionen der Seite SIEM-Suche.

Schlüsselterminologie

• Unified Data Model (UDM): Ein standardisiertes Datenformat, das in Google SecOps verwendet wird, um sicherheitsrelevante Ereignisse aus verschiedenen Quellen einheitlich darzustellen.
• Ereignis: Ein Ereignis wird aus einer Rohprotokollquelle generiert, die in Google SecOps aufgenommen und vom Aufnahme- und Normalisierungsprozess von Google SecOps verarbeitet wird. Aus einem einzelnen Rohprotokoll-Quelldatensatz können mehrere Ereignisse generiert werden. Ein Ereignis stellt eine Reihe von sicherheitsrelevanten Datenpunkten dar, die aus diesem Rohlog generiert werden. Im Kontext der Seite SIEM-Suche sind Ereignisse normalisierte UDM-Ereignistelemetrie und Rohprotokolleinträge, die Ihrer Suchanfrage entsprechen.
• Benachrichtigung: Im Kontext der Seite SIEM-Suche wird eine Benachrichtigung als Regelerkennung mit aktivierter Benachrichtigung definiert. Weitere Informationen
• Rohlogs: Rohdaten der Log-Telemetrie, die nicht geparst wurden. Das primäre Diagnoseziel ist die Überwachung der Aufnahme und des Parsings.
• Joins: Bei Joins werden Rohdaten aus mehreren Quellen anhand gemeinsamer Feldwerte in Beziehung gesetzt und kombiniert. Durch das Verknüpfen von zusammengehörigen Ereignissen, Entitäten und anderen Daten können Sie komplexe Angriffsszenarien untersuchen. Sie können nach statistischen Joins suchen, für die ein Abgleichbereich erforderlich ist, um Ergebnisse zu aggregieren, oder nach Zusammenführungen von Daten, die die vollständigen Ereignis- oder Entitätsdaten abrufen und ohne Aggregation anzeigen. Weitere Informationen finden Sie unter Joins in der Suche und in Dashboards anwenden und Joins ohne Abschnitt „match“ implementieren.
• Statistiken: UDM-Ereignisse mit den für die statistische Analyse gruppierten Ergebnissen. Weitere Informationen finden Sie unter Suchdaten mit Statistiken analysieren.
• Fälle und Fallverläufe: Sicherheitsfälle und Audit-Logs zu historischen Fällen, die Sie mit anderen Sicherheitsdaten korrelieren können. Weitere Informationen finden Sie unter Suchvorgänge – Übersicht.
• Entity Context Graph (ECG): Eine Graphdatenbank in Google SecOps, in der zustandsorientierte Entitätseinträge (z. B. Assets, Nutzer und Bedrohungsindikatoren) gespeichert werden, um sie mit Sicherheitshinweis-Protokollen zu korrelieren. Weitere Informationen finden Sie unter Übersicht über den Kontextgraphen für Entitäten.
• Abfrageleiste für natürliche Sprache: Die Leiste oben auf der Seite SIEM-Suche, in die Sie eine Suchanweisung in natürlicher Sprache eingeben können.
• Abfrageeditor: Das Feld auf der Seite SIEM-Suche unter der Leiste für Abfragen in natürlicher Sprache, in dem Sie Abfragen manuell erstellen und in dem der Abfragecode angezeigt wird.

Hinweis

Ihrem Nutzerkonto müssen die standardmäßigen Berechtigungen und Rollen für die Google SecOps-Suche zugewiesen sein, damit Sie Abfragen ausführen und Erkennungsdetails aufrufen können.

Für die folgenden erweiterten Suchfunktionen sind je nach verwendeter Funktion zusätzliche detaillierte Berechtigungen für Ihr Nutzerkonto oder Ihre IAM-Rolle (Identity and Access Management) erforderlich:

• Für erweiterte oder angereicherte Ereignisdetails ist chronicle.events.fetchEnrichedEvent erforderlich.
• Zum Speichern von Suchanfragen und Bearbeiten von Suchansichten sind chronicle.savedSearches.update und chronicle.searchViews.update erforderlich.
• Zum Ansehen von Log-Parsern und Schemas sind chronicle.parsers.list und chronicle.parsers.get erforderlich.
• Für die Suche im Fallverlauf sind chronicle.cases.get und chronicle.cases.list erforderlich.
• Für die SQL-Suche (insbesondere automatische Abfragevorschläge im Abfrageeditor) ist chronicle.queries.suggestSql erforderlich, wenn benutzerdefinierte IAM-Rollen verwendet werden.
• Zum Erstellen, Freigeben, Ändern und Verwalten gespeicherter Sätze benutzerdefinierter Spalten in Ihrer Organisation sind alle fünf der folgenden Berechtigungen erforderlich: chronicle.googleapis.com/savedColumnSets.create, chronicle.googleapis.com/savedColumnSets.update, chronicle.googleapis.com/savedColumnSets.delete, chronicle.googleapis.com/savedColumnSets.list und chronicle.googleapis.com/savedColumnSets.get.

Suchseite öffnen

So öffnen Sie die Seite SIEM-Suche:

1. Melden Sie sich in Google SecOps an.
2. Klicken Sie in der Navigationsleiste auf Prüfung > SIEM-Suche.

Abbildung 1. Beispiel für die Seite SIEM Search (SIEM-Suche), auf der Ereignistrends untersucht werden.

Hinweis :In Systemen, in denen die Daten-RBAC verwendet wird, können Sie nur Daten sehen, die Ihren Bereichen entsprechen. Weitere Informationen finden Sie unter Auswirkungen der RBAC für Daten auf die Suche.

Erzwingung des Daten-RBAC-Bereichs

Die Google SecOps-Suchmaschine erzwingt auf allen Tabs strikt die Bereichsfilterung für die rollenbasierte Zugriffssteuerung (Data RBAC). Sie sehen nur UDM-Ereignisse, Rohlogs, Benachrichtigungen, Erkennungen und Fälle, die explizit den Datenbereichen entsprechen, die Ihrer Nutzerrolle zugewiesen sind.

Allgemeine Einstellungen für die Suchseite konfigurieren

Die allgemeinen Einstellungen der Seite SIEM-Suche sind nutzerspezifisch.

Sie können die folgenden allgemeinen Einstellungen für die Seite SIEM-Suche konfigurieren:

• Maximale Anzahl von Suchergebnissen angeben
• Ein- und Ausblenden im Abfrageeditor festlegen

Maximale Anzahl von Suchergebnissen angeben

So geben Sie die maximale Anzahl von Suchergebnissen an:

1. Klicken Sie auf der Seite SIEM-Suche auf die Einstellungen Einstellungen und wählen Sie Maximale Anzahl von Ergebnissen aus.

2. Wählen Sie die Option Maximale Anzahl zurückzugebender Ergebnisse aus. Die Optionen sind 1k, 30k, 100k, 1M und custom (kann Werte zwischen 1 und 1M annehmen). Der Standardwert ist 30k.

   Tipp: Abfragen werden in der Regel schneller ausgeführt, wenn Sie eine kleinere Ergebnismenge auswählen.

3. Klicken Sie auf Übernehmen.

Ein- und Ausblenden des Abfrageeditors festlegen

Sie können den Abfrageeditor so konfigurieren, dass er nach dem Ausführen einer Suche automatisch minimiert wird, um den für die Anzeige Ihrer Suchergebnisse verfügbaren Bildschirmplatz zu maximieren. Bei der Einstellung Standard bleibt der Abfrageeditor nach dem Ausführen einer Suche maximiert.

So aktivieren Sie die Funktion zum automatischen Minimieren:

1. Klicken Sie auf der Seite SIEM-Suche auf Einstellungen Einstellungen und wählen Sie Abfrageeditor aus.
2. Wählen Sie im Dialogfeld Abfrageeditor die Option Abfrageeditor automatisch minimieren aus.

Suchanfrage erstellen

In den folgenden Abschnitten wird beschrieben, wie Sie eine Suchanfrage erstellen.

Sie können eine Suchanfrage mit einer der folgenden Methoden erstellen:

• Geben Sie Ihre Suchanweisung in natürlicher Sprache ein und verwenden Sie Gemini, um die Abfrage im YARA-L 2.0-Dialekt zu generieren. Sie müssen Englisch verwenden.
• Erstellen Sie Ihre Abfrage im Abfrageeditor manuell, entweder mit dem YARA-L 2.0- oder dem SQL-Dialekt (GoogleSQL).

Hinweis :Eine UDM-Suche ist auf 100 UDM-Felder pro Anfrage beschränkt. Ein UDM-Suchausdruck besteht aus einem zu durchsuchenden UDM-Feld, einem Operator und einem Datenwert, nach dem gesucht werden soll. UDM-Abfragen basieren auf Feldern, die in der UDM-Feldreferenz definiert sind. Sie können diese UDM-Felder über Filter oder Rohlog-Suche aufrufen und auswählen.

Abfrage mit natürlicher Sprache generieren

So erstellen Sie eine Abfrage in natürlicher Sprache:

1. Klicken Sie auf der Seite SIEM Search auf die Suchleiste für natürliche Sprache und geben Sie eine Suchanfrage auf Englisch ein.

   Die folgenden Aussagen sind Beispiele, die eine nützliche Suche auslösen könnten:

   • network connections from 10.5.4.3 to google.com
   • failed user logins over the last 3 days
   • emails with file attachments sent to [e-mail] or [e-mail]
   • all Cloud service accounts created yesterday
   • outbound network traffic from 10.16.16.16 or 10.17.17.17
   • all network connections to facebook.com or tiktok.com
   • service accounts created in Google Cloud yesterday
   • Windows executables modified between 8 AM and 1 PM on May 1, 2026
   • all activity from winword.exe on lab-pc
   • scheduled tasks created or modified on exchange01 during the last week
   • email messages that contain PDF attachments
   • emails sent by or sent from [e-mail] on July 1
   • any files with the hash 44d88612fea8a8f36de82e1278abb02f
   • all activity associated with user "[e-mail]"

Wenn die Suchanweisung einen zeitbasierten Begriff enthält, werden die Zeitraumparameter automatisch entsprechend angepasst. Das gilt beispielsweise für Suchanfragen mit den folgenden Begriffen:

• yesterday
• within the last 5 days
• on July 1, 2026

2. Klicken Sie auf Abfrage erstellen. Wenn Gemini die Suchanweisung interpretieren kann, generiert Gemini eine gültige Abfrage im YARA-L 2.0-Dialekt und zeigt sie im Abfrageeditor an. Wenn die Suchanfrage nicht interpretiert werden kann, werden Sie aufgefordert, es anders zu versuchen. Wenn der Abfrageausdruck gültig ist, wird die Schaltfläche Suche ausführen verfügbar.

3. Optional: Passen Sie den Suchzeitraum mit den Zeitraum-Parametern an.

4. Klicken Sie auf Suche ausführen. Die Suchergebnisse werden angezeigt.

5. Optional: Sie können die Ergebnisse eingrenzen, indem Sie manuell zusätzliche Suchfilter hinzufügen oder die Leiste für Abfragen in natürlicher Sprache verwenden und die Suche noch einmal ausführen.

Abfrage manuell im Abfrageeditor erstellen

Informationen zu den verschiedenen Abfragetypen, die auf der Seite SIEM-Suche unterstützt werden, und zur Syntax für deren Erstellung finden Sie in den folgenden Dokumenten:

• Weitere Informationen zur YARA-L 2.0-Suchsyntax finden Sie unter Suchsyntax verstehen.
• Informationen zum Erstellen von Join-Abfragen finden Sie unter Joins in der Suche und in Dashboards anwenden und Joins ohne Übereinstimmungsabschnitt implementieren.
• Informationen zum Erstellen statistischer Abfragen (STATS) finden Sie unter Suchdaten mit Statistiken analysieren.
• Informationen zum Erstellen von Abfragen für den Fallverlauf finden Sie unter Fälle und Fallverlauf auf der Suchseite suchen.

So erstellen Sie eine Abfrage manuell:

1. Klicken Sie auf der Seite SIEM-Suche in den Abfrageeditor.
2. Wählen Sie den Abfragedialekt aus:
   • YL2 (Standard): Verwenden Sie die Standard-YARA-L 2.0-Syntax für die schnelle Suche nach Ereignissen, das Filtern von Entitäten und die Verhaltenskorrelation.
   • SQL: Im SQL-Modus (GoogleSQL) können Sie BigQuery-kompatible Abfragen ausführen, komplexe Joins mit mehreren Tabellen für UDM und Entity Context Graph (ECG) erstellen und erweiterte Aggregationen direkt in der Console ausführen.

3. Geben Sie Ihre Abfrage in den Abfrageeditor ein und beachten Sie Folgendes:

   • Automatische Vorschläge und Vervollständigung: Wenn Sie eine Abfrage mit der Option YL2 eingeben, werden von der Funktion für automatische Vorschläge und Vervollständigung gültige Felder basierend auf Ihrer Eingabe vorgeschlagen.
   • UDM Lookup: Wenn Sie beim Schreiben einer Abfrage den genauen Feldnamen oder ‑wert nicht kennen, können Sie UDM Lookup verwenden.
   • Syntaxkompilierungsfehler: Wenn der Abfrageeditor einen Syntaxkompilierungsfehler erkennt, wird direkt unter dem problematischen Text eine rote Wellenlinie angezeigt. Bewegen Sie den Mauszeiger auf den unterstrichenen Text, um die genaue Fehlerbeschreibung aufzurufen. Im Abfrageeditor wird jeweils nur ein Fehler hervorgehoben. Sie müssen Fehler also nacheinander beheben.

4. Legen Sie den Zeitraum für die Abfrage mit den Zeitraum-Parametern fest.

5. Wenn der Abfrageausdruck gültig ist, klicken Sie auf Suchen ausführen. Die Suchergebnisse werden angezeigt.

6. Optional: Grenzen Sie die Ergebnisse ein, indem Sie manuell oder über die Console zusätzliche Suchfilter hinzufügen und die Suche noch einmal ausführen.

Hinweis :Sie können auch im Dialogfeld Search Manager eine neue Abfrage erstellen. Dort sind auch dieselben Tools zur UDM-Bearbeitung und automatischen Vorschläge und Vervollständigung verfügbar.

Zeitraum für die Suche angeben

Geben Sie den Zeitraum für die Suche im Menü Zeitraum an.

Der maximale Zeitraum einer Suche ist immer durch die Konfiguration der Logaufbewahrung Ihres Mandanten begrenzt.

Maximale Anzahl von Zeiträumen:

• UDM: 365 Tage.
• RAW: 365 Tage.
• JOIN: Für Inner Joins: 90 Tage. Für Inner Joins ohne Übereinstimmungsbedingung: 14 Tage. Bei Outer Joins: 14 Tage.
• STATISTIK: 90 Tage.
• CASE und CASE HISTORY: 90 Tage, begrenzt durch die Aufbewahrungslimits für Anfragen oder den vollständigen Lebenszyklus des Anfrageverlaufs.
• ECG: 365 Tage.

Google SecOps wertet die Konfiguration Ihrer Suchanfrage aus und wendet den maximalen Zeitraum basierend auf dem Suchtyp und den Suchbedingungen an. Beispiel: Eine STATS-Abfrage mit einem Outer Join hat einen kleineren maximalen Zeitraum als eine STATS-Abfrage ohne Outer Join.

So legen Sie den Zeitraum fest:

1. Wählen Sie auf der Seite SIEM-Suche neben Zeitraum aus der Liste den Modus aus.

   • Absolut: Mit einem absoluten Zeitraum können Sie eine feste Start- und Endzeit auswählen.
   • Relativ: Verwenden Sie einen relativen Zeitraum, um von der aktuellen Zeit rückwärts zu suchen. Der Zeitpunkt, zu dem Sie auf Suche ausführen klicken, wird als Endzeit für Ihre Abfrage festgelegt.

2. Wenn Sie Absolut ausgewählt haben, gehen Sie so vor:

   1. Klicken Sie auf calendar_month Kalender, um das Dialogfeld Datum und Zeitraum festlegen zu öffnen.
   2. Führen Sie einen der folgenden Schritte aus:
      • Wählen Sie den Tab Bereich aus, um die Zeit mit einer der folgenden Methoden zu konfigurieren:
        • Voreinstellungen verwenden: Wählen Sie in der Seitenleiste einen voreingestellten Zeitraum aus, z. B. Letzte 3 Tage oder Gesamte Zeit. Bei Gesamter Zeitraum wird der gesamte Aufbewahrungszeitraum durchsucht.
        • Zeitraum auswählen: Klicken Sie im Kalender auf ein Startdatum und ein Enddatum.
        • Uhrzeiten festlegen: Wählen Sie bestimmte Uhrzeiten über die Zeitmenüs unter den Kalendern aus.
      • Wenn Sie einen Datums- und Zeitraum basierend auf einem Ereignis angeben möchten, klicken Sie auf den Tab Ereigniszeit, wählen Sie ein Datum im Kalender aus und konfigurieren Sie den Zeitraum:
        • Genaue Uhrzeit: Klicken Sie auf das Feld Ereignis, um die genaue Uhrzeit auszuwählen oder einzugeben, zu der das Ereignis stattgefunden hat.
        • Zeitpuffer: Wählen Sie einen vordefinierten Zeitraum aus der Liste aus.
   3. Klicken Sie auf Übernehmen.

3. Wenn Sie Relativ ausgewählt haben, gehen Sie so vor:

   1. Geben Sie eine Ganzzahl in das Textfeld ein.
   2. Wählen Sie im Menü eine Zeiteinheit aus: Sekunden, Minuten, Stunden, Tage, Wochen, Monate oder Jahre.

Automatische Vorschläge zum Erstellen von Anfragen verwenden

Wenn Sie eine Abfrage schreiben, bietet der Abfrageeditor automatische Vorschläge, mit denen Sie die Abfrage effizient erstellen können.

Vorschläge ansehen und auswählen

Während der Eingabe wird eine Liste mit Feldvorschlägen angezeigt, die Ihrem Text entsprechen. Diese enthält die folgenden Optionen:

• Feld auswählen: Verwenden Sie die Aufwärts- oder Abwärtspfeiltaste, um durch die Liste zu navigieren, und drücken Sie die Eingabetaste, um ein Feld auszuwählen.
• Metadaten ansehen: Nachdem Sie mit den Aufwärts- oder Abwärtspfeiltasten einen Vorschlag ausgewählt haben, klicken Sie auf chevron_right, um die Feldbeschreibung aufzurufen.
• Felder schrittweise vervollständigen: Der Editor schlägt die unmittelbaren untergeordneten Elemente des aktuellen Felds vor und blendet das eingegebene Präfix aus, um Platz auf dem Bildschirm zu sparen. Nach diesen Vorschlägen folgen alle anderen übereinstimmenden Felder in alphabetischer Reihenfolge.
• Operatoren und Werte vervollständigen: Nachdem Sie ein Feld ausgewählt haben, schlägt der Editor basierend auf dem Datentyp des Felds gültige Operatoren vor, z. B. = und !=. Bei Aufzählungsfeldern werden im Editor Vorschläge für alle gültigen Werte (z. B. NETWORK_EVENT) angezeigt, nachdem Sie einen Operator und ein doppeltes Anführungszeichen (") eingegeben haben.

Ranking von Vorschlägen

Der Abfrageeditor organisiert Vorschläge in drei Kategorien, damit Sie Felder schnell finden:

1. Kürzlich verwendete Felder: Die sieben wichtigsten Vorschläge basieren auf Feldern, die Sie vor Kurzem verwendet haben und die mit dem eingegebenen Feld übereinstimmen. Diese Liste wird im Browserverlauf Ihrer Sitzung auf den Seiten SIEM-Suche, Regeln und Erkennungen und Dashboards gespeichert. Wenn Sie Ihren Cache leeren oder den Browser wechseln, wird dieser Verlauf zurückgesetzt.
2. Unmittelbare untergeordnete Elemente: Die nächste Gruppe von Vorschlägen enthält nur die untergeordneten Elemente der ersten Ebene des aktuellen Felds.
3. Globale Übereinstimmungen: Im letzten Abschnitt werden alle übereinstimmenden Felder alphabetisch angezeigt.

Einstellungen für automatische Vorschläge verwalten

So verwalten Sie global, wie Google SecOps automatische Vorschläge anzeigt:

1. Klicken Sie auf Ihren Profilavatar und wählen Sie in der Liste Nutzereinstellungen aus. Das Dialogfeld Nutzereinstellungen wird angezeigt.

2. Klicken Sie im Dialogfeld auf Automatische Vervollständigung.

3. Wenn Sie die im Abfrageeditor angezeigten automatischen Vorschläge steuern möchten, passen Sie die folgenden Einstellungen an:

   • Vorschläge während der Eingabe aktivieren: Aktiviert automatische Vorschläge.
   • Kürzlich verwendete Felder zuerst einstufen: Die zuletzt verwendeten Felder werden oben in der Liste angezeigt.
   • Unmittelbare untergeordnete Felder vorschlagen: Verschachtelte Felder werden inkrementell vervollständigt, jeweils ein untergeordneter Knoten.
   • Alle verfügbaren Pfade vorschlagen: Zeigt die vollständigen, maximierten Pfade für alle Vorschläge für verschachtelte Felder an.

4. Klicken Sie auf Speichern.

UDM-Feld für eine Suchanfrage finden (UDM-Lookup)

Wenn Sie eine Suchanfrage schreiben, kennen Sie möglicherweise nicht den genauen UDM-Feldnamen oder -Wert, den Sie einfügen müssen. Mit der Funktion UDM-Suche können Sie schnell einen UDM-Feldnamen finden, der einen Textstring im Namen enthält oder einen bestimmten Stringwert speichert. Sie können ein oder mehrere Ergebnisse auswählen, die von UDM Lookup zurückgegeben werden, und sie als Ausgangspunkt für eine Suchanfrage verwenden, sie an eine vorhandene Anfrage anhängen oder in die Zwischenablage kopieren.

Hinweis: Die UDM-Suche ist nicht für die Suche nach anderen Datentypen wie Byte, booleschen Werten oder numerischen Werten vorgesehen.

So verwenden Sie die UDM-Suche:

1. Klicken Sie auf der Seite SIEM-Suche auf UDM-Suche. Das Dialogfeld UDM-Suche wird geöffnet.

2. Wählen Sie eine oder beide der folgenden Optionen unter Abgleichen mit aus, um den Umfang der zu durchsuchenden Daten festzulegen:

   • UDM-Felder: Suchen Sie nach Text, der mit Feldnamen übereinstimmt, z. B. network.dns.questions.name oder principal.ip.
   • Werte: Suchen Sie nach Textstrings in gespeicherten Logwerten, z. B. dns oder google.com.

3. Klicken Sie in das Feld Suche Genauen String zum Abgleichen eingeben und geben Sie den String ein, der abgeglichen werden soll. Während der Eingabe werden Suchergebnisse im Dialogfeld angezeigt.

   Die Ergebnisse variieren je nachdem, ob der Abgleich mit UDM-Feldern oder Werten erfolgt:

   • Wenn Sie nach Match On-Namen (UDM-Felder) suchen, wird eine genaue Übereinstimmung zurückgegeben, die an einer beliebigen Stelle in der Schemadefinition gefunden wurde.

     

     Abbildung 2. Suchen Sie im Dialogfeld UDM-Lookup nach UDM-Feldnamen für Abgleich mit.

   • Wenn Sie mit Übereinstimmung mit Werten suchen, werden Ihre aufgenommenen Log-Telemetriedaten durchsucht und zwei Arten von Ergebnissen zurückgegeben:

     • Vollständige Übereinstimmungen: Bei gängigen Textfeldern wie Anwendungen, Hostnamen, URLs, IP-Adressen und Nutzernamen zeigt UDM Lookup den vollständigen übereinstimmenden Wert an. Ihr Suchstring wird gelb hervorgehoben. Außerdem wird der Zeitstempel der letzten Logaufnahme angezeigt.

     • Mögliche Wertübereinstimmungen: Bei Feldern, die langen, komplexen oder unstrukturierten Text enthalten (z. B. Befehlszeilen, Beschreibungen, Erkennungsfelder und benutzerdefinierte Felder), gibt die UDM-Suche an, dass der Suchbegriff in diesem Feld in Ihren historischen Telemetriedaten vorkommt. Anstatt eines einzelnen vollständigen Werts wird im Ergebnis der UDM-Feldname gefolgt von (Possible value match) angezeigt.

     

     Abbildung 3. Suchen Sie im Dialogfeld UDM-Suche mit Übereinstimmung mit Werten.

4. In der Ergebnisliste können Sie Folgendes tun:

   • Klicken Sie auf den Namen eines UDM-Felds, um eine Beschreibung des Felds aufzurufen.
   • Wählen Sie ein oder mehrere Ergebnisse aus, indem Sie das Kästchen neben dem UDM-Feldnamen anklicken.
   • Klicken Sie auf die Schaltfläche Zurücksetzen, um die Auswahl aller ausgewählten Felder in der Ergebnisliste aufzuheben.

5. Führen Sie einen der folgenden Schritte aus:

   • Klicken Sie auf UDM kopieren, um die ausgewählten Ergebnisse in die Zwischenablage zu kopieren. Anschließend können Sie das Dialogfeld UDM-Suche schließen und den Inhalt der Zwischenablage in den Abfrageeditor einfügen.

   • Wenn Sie die ausgewählten Ergebnisse an die Abfrage im Abfrageeditor anhängen möchten, klicken Sie auf An Suche anhängen. Google SecOps wandelt die ausgewählten Ergebnisse dann in eine Suchanfrage als UDM-Feldname oder Name-Wert-Paar um.

     Wenn Sie mehrere Ergebnisse anhängen, fügt Google SecOps jedes Ergebnis mit dem Operator OR am Ende der vorhandenen Abfrage im Abfrageeditor hinzu.

     Der angehängte Abfragestring hängt vom Typ des von UDM Lookup zurückgegebenen Abgleichs ab:

     • Wenn das Ergebnis mit einem Textstring in einem UDM-Feldnamen übereinstimmt, wird der vollständige UDM-Feldname an die Abfrage angehängt. Beispiel:

       principal.artifact.network.dhcp.client_hostname

     • Wenn das Ergebnis eine vollständige Wertübereinstimmung ist, enthält das Name/Wert-Paar eine exakte Gleichheitsbedingung mit dem vollständigen Wert.

     • Wenn das Ergebnis eine mögliche Wertübereinstimmung ist, enthält das Name/Wert-Paar den UDM-Feldnamen und einen regulären Ausdruck ohne Berücksichtigung der Groß-/Kleinschreibung, der Ihren Suchbegriff enthält.

6. Bearbeiten Sie die Abfrage bei Bedarf im Abfrageeditor.

Suchverhalten und Feldabdeckung bei UDM Lookup

Mit der UDM-Suche können Sie Feldnamen finden und in Ihren aufgenommenen Protokolldaten nach historischen Werten suchen. In diesem Abschnitt wird erläutert, wie die Suche in beiden Modi funktioniert. Außerdem finden Sie hier Abfragebeispiele und Informationen zu den Grenzen der Feldabdeckung.

Suchmodi: UDM-Felder im Vergleich zu Werten

Die UDM-Suche bietet zwei verschiedene Suchmodi:

• UDM-Felder-Modus: Mit Abgleich nach UDM-Feldern wird die UDM-Schemadefinition durchsucht, um den richtigen Feldpfad zu finden. Feldnamen sind für alle Datentypen verfügbar, einschließlich Textfelder (principal.hostname), numerische Ports (target.port), boolesche Flags (security_result.is_alert) und Ereigniskategorien (metadata.event_type).

  Beispiel: Wenn Sie port eingeben, werden Felder wie network.ip_port, principal.port, target.port und src.port angezeigt.

• Werte-Modus: Bei Übereinstimmung mit Werten werden Ihre aufgenommenen Ereignisprotokolle nach übereinstimmenden Textwerten durchsucht:

  • Suche nach genau passenden Werten: Bei allgemeinen Kennungen und Textfeldern (z. B. Hostnamen, IP-Adressen, Domains und Nutzernamen) wird mit UDM Lookup der genaue Wert in Ihren Daten gesucht und eine Gleichheitsbedingung generiert (z. B. principal.hostname = "example.com").
  • Mögliche Wertübereinstimmung (regulärer Ausdruck): Bei langen Texten, Befehlszeilen, URLs, Registrierungsschlüsseln und Dateipfaden gibt die UDM-Suche eine mögliche Wertübereinstimmung mit einem regulären Ausdruck zurück (z. B. principal.process.command_line = /powershell/ NOCASE).

Lücken bei der Feldabdeckung und direkte Suche

Wenn Sie nach Werten suchen, werden Textfelder in rohen, nicht angereicherten Ereignisdaten durchsucht. Bestimmte Datentypen und Felder mit vielen Kennungen liefern im Modus Werte keine Übereinstimmungen. Wenn Sie nach diesen Feldern suchen möchten, geben Sie den Ausdruck direkt in den Abfrageeditor ein.

Dieser Abschnitt enthält Folgendes:

• Numerische, boolesche, Zeitstempel- und Bytefelder
• Ausgeschlossene Kennungsfelder
• Felder mit möglichen Wertübereinstimmungen (reguläre Ausdrücke)
• Angereicherte Felder und Entitätsdiagramm

Numerische, boolesche, Zeitstempel- und Byte-Felder

Bei der Suche nach UDM-Suchwerten werden keine Übereinstimmungen für Nicht-Text-Datentypen zurückgegeben. Wenn Sie in diesen Feldern suchen möchten, geben Sie die Bedingung direkt in die Suchleiste ein:

Feldkategorie	Beispiel für UDM-Felder	Beispiel für eine direkte Suche
Portnummern und Statuscodes	network.ip_port, principal.port, target.port, network.http.response_code	network.ip_port = 443 network.http.response_code = 403
Messwerte und Risikobewertungen	security_result.risk_score, network.sent_bytes, network.received_bytes	security_result.risk_score >= 80 network.sent_bytes > 50000000
Boolesche Flags	security_result.is_alert, network.dns.answers.is_authoritative	security_result.is_alert = true
Vordefinierte Enums	metadata.event_type, network.ip_protocol	metadata.event_type = "USER_LOGIN" network.ip_protocol = "TCP"
Zeitstempel	metadata.event_timestamp.seconds, metadata.ingested_timestamp	Mit dem Zeitraum-Menü oder mit einer Abfrage filtern: metadata.event_timestamp.seconds > 1700000000
Ereignis-IDs (Rohbyte)	metadata.id	metadata.id = "..."
Geografische Koordinaten	principal.location.latitude, principal.location.longitude	Nach Feldern für regionale Standorte filtern: principal.location.country_or_region = "US"

Ausgeschlossene Kennungsfelder

Die folgenden Felder für hohe Entropie und Sitzungstracking geben keine Übereinstimmungen zurück, wenn Sie nach Werten suchen:

Ausgeschlossene Feldkategorie	UDM-Felder	Beispiel für eine direkte Suche
Prozess-IDs	*.pid (z. B. principal.process.pid, target.process.pid), *.product_specific_process_id	target.process.pid = "4128"
Sitzungs- und Verbindungs-IDs	network.session_id, network.parent_session_id, metadata.product_log_id	network.session_id = "sess-9481"
Erkennungsregel-IDs	security_result.rule_id	security_result.rule_id = "rule_suspicious_login"
Ressourcen- und Asset-IDs	*.resource.id (einschließlich Cloud-ARNs und -URIs), *.asset_id	target.resource.id = "arn:aws:s3:::my-bucket"
Labels für Datenaufnahme	metadata.base_labels.*, metadata.enrichment_labels.*	metadata.base_labels.log_types = "WINEVTLOG"

Felder mit möglichen Wertübereinstimmungen (reguläre Ausdrücke)

Für Felder, die lange, komplexe Strings mit vielen Pfadtrennzeichen oder Argumenten enthalten, gibt die UDM-Suche einen regulären Ausdruck für eine mögliche Wertübereinstimmung (/.../ NOCASE) anstelle einer genauen Übereinstimmung mit dem vollständigen Wert zurück:

• Befehlszeilen: principal.process.command_line, target.process.command_line
• Dateipfade: principal.process.file.full_path, target.file.full_path
• Web- und Netzwerk-URLs: principal.url, target.url, network.http.referral_url
• Registrierungsschlüssel: principal.registry.registry_key, target.registry.registry_key
• Beschreibungen im freien Format: metadata.description, security_result.description, security_result.summary
• User-Agent-Strings: network.http.user_agent
• Dynamische benutzerdefinierte Felder: additional.fields.value.*

Angereicherte Felder und Entitätsdiagramm

Bei der UDM-Suche werden Rohprotokolldaten durchsucht, die nach dem 10. August 2023 erfasst wurden. Es werden keine Werte aus folgenden Quellen zurückgegeben:

• Downstream-Anreicherungen: Dazu gehören beispielsweise die GeoIP-Standortauflösung, WHOIS-Daten, Safe Browsing-Ergebnisse oder VirusTotal-Bewertungen. Wenn Sie danach suchen möchten, filtern Sie direkt nach dem angereicherten Feldpfad (z. B. target.ip_geo_artifact.country_or_region = "US").
• Entitätsdiagramm-Objekte: Daten im Namespace graph.*.
• Verlaufsdaten vor dem Stichtag: Protokolle, die vor dem 10. August 2023 erfasst wurden. Wenn Sie ältere Daten durchsuchen möchten, verwenden Sie direkte Suchanfragen auf der Seite Suchen.

Datentabellen in einer Suche verwenden

Sie können die Funktion Datentabellen in einer Suche verwenden. So können Sie Ihre eigenen Datenbanken mit Bedrohungsinformationen in Verbindung mit einer Suche verwenden, um nach Bedrohungen in Ihrem Unternehmen zu suchen.

Wenn Sie beispielsweise eine Datenbank namens suspicious mit einer Spalte mit IP-Adressen haben, die bekanntermaßen problematisch sind, können Sie in der Suchanfrage auf diese Datenbank verweisen, anstatt einzelne IP-Adressen manuell in die Abfrage einzugeben:

  events:
      $e.principal.ip in %suspicious.ip

Sie können die Ergebnisse eingrenzen, indem Sie zusätzlich zu IP-Adressen nach bestimmten Metadaten suchen. Beispielsweise könnten Sie sich speziell für Änderungen an Nutzerressourcen interessieren:

  events:
      $e.metadata.event_type = "USER_RESOURCE_UPDATE_CONTENT"
      $e.principal.ip in %suspicious.ip

Sie können eine Suche auf zusammenhängende UDM-Felder eingrenzen und mehrere Datentabellenspalten abgleichen. Im folgenden Beispiel wird nach NETWORK_CONNECTION-Ereignissen gesucht, bei denen das Sicherheitsergebnis ALLOW ist. Anschließend werden diese Ereignisse mit der Spalte hostnames und der Spalte ip in der Datentabelle badApps abgeglichen.

events:
  $e.metadata.event_type = "NETWORK_CONNECTION"
  $e.security_result.action = "ALLOW"
  $e.target.asset.asset_id = $assetid

  // Event hostname matches at least one value in table column hostname.
  $e.target.hostname in %badApps.hostname

  // Event IP matches at least one value in table column ip.
  $e.target.ip in %badApps.ip

Datentabellenzeilen in einer Suche ansehen

Wenn Sie eine Datentabelle in einer YARA-L 2.0-Suche verwenden, verweisen die Ergebnisse auf die Datentabellenzeilen, die mit den übereinstimmenden Ereignissen verknüpft sind. Diese Ergebnisse werden im Bereich „Ereignisse“ angezeigt. Der aktuelle Status der Datentabelle und ihrer Zeilen wird angezeigt, wenn Sie die Ergebnisse aufrufen.

Mit dem Spaltenmanager können Sie auswählen, welche Datentabelle und Spalten in den Ergebnissen angezeigt werden sollen.

Weitere Informationen finden Sie unter Datentabellen verwenden.

Abfrageausführungsprozess verstehen

Wenn die Abfrage im Abfrageeditor gültig ist, wird in der Google SecOps-Konsole die Schaltfläche Suche ausführen aktiviert.

Nachdem Sie auf Suche ausführen geklickt haben, wird die laufende Abfrage mit einem runden Statussymbol angezeigt.

Während eine Suche läuft, können Sie mit einigen Einschränkungen zusätzliche (gleichzeitige) Suchvorgänge im Abfrageeditor ausführen. Google SecOps führt Ihre vorherigen Suchanfragen weiterhin aus und führt die neuen Suchanfragen parallel aus.

Wichtig: Für gleichzeitige Suchanfragen und gespeicherte Ergebnisse muss die Funktion „Verlauf in der Google Suche“ aktiviert sein. Wenn Sie den Suchverlauf zuvor deaktiviert haben, können Sie ihn wieder aktivieren, indem Sie auf Verlauf in der Google Suche > Suchverlauf aktivieren klicken.

Abgeschlossene Abfragen werden mit einem grünen Häkchensymbol und einem Zähler angezeigt, der die Anzahl der von der Abfrage zurückgegebenen Ereignisse angibt.

Klicken Sie auf eine abgeschlossene Abfrage, um die Ergebnisse aufzurufen. Die Suchergebnisse werden unter dem Abfrageeditor angezeigt.

Die Suchergebnisse werden im Cache gespeichert und enthalten nur die Daten, die zum Zeitpunkt der Ausführung der Abfrage verfügbar waren.

Suchverlauf verwalten

Ihr Suchverlauf wird in Ihrem Google SecOps-Konto gespeichert.

Wichtig :Für gleichzeitige Suchanfragen und gespeicherte Ergebnisse muss die Funktion „Verlauf in der Google Suche“ aktiviert sein.

• Wenn Sie Ihren Suchverlauf verwalten möchten, klicken Sie auf der Seite SIEM-Suche auf Verlauf, um das Dialogfeld zu öffnen, und gehen Sie so vor:

  • Hier sehen Sie eine Liste aller Suchanfragen in Ihrem Verlauf.
  • Klicken Sie auf ein Element in der Liste, um es in den Abfrageeditor zu laden.
  • Geben Sie einen Suchbegriff in die Suchleiste ein, um eine Suchanfrage in Ihrem Verlauf zu finden.
  • Sie können die Suche filtern, indem Sie neben der Suchleiste auf  Filter klicken und die Suche nach Sprache filtern. Dazu gehören die Filter YL2 und SQL AND Suchtyp. Dazu gehören die Filter UDM, Rohlog und Statistiken.
  • Nur gespeicherte Ergebnisse von abgeschlossenen und laufenden Suchen anzeigen oder nicht (über das Kästchen Nur gespeicherte Ergebnisse von abgeschlossenen und laufenden Suchen anzeigen).
  • Verlauf in der Google Suche löschen
    • Wenn Sie den Suchverlauf löschen möchten, klicken Sie auf das Dreipunkt-Menü  Mehr und wählen Sie Verlauf löschen aus.

  • Verlauf in der Google Suche deaktivieren oder wieder aktivieren:

    • Wenn Sie den Suchverlauf deaktivieren möchten, klicken Sie auf Suchverlauf deaktivieren und wählen Sie dann Nur deaktivieren aus, um den Suchverlauf zu deaktivieren, oder Deaktivieren und löschen, um den Suchverlauf zu deaktivieren und den gespeicherten Suchverlauf zu löschen.

    • Wenn Sie den Verlauf in der Google Suche zuvor deaktiviert haben, können Sie ihn wieder aktivieren, indem Sie auf Opt into search history klicken.

• Wenn Sie eine einzelne Suchanfrage aus Ihrem Verlauf in der Google Suche löschen möchten, lesen Sie den Hilfeartikel Gespeicherte Suchanfrage löschen.

Messwertabfrage speichern und verwenden

Hinweis: Dieses Feature unterliegt den Bedingungen des Pre-GA-Angebots in den dienstspezifischen Nutzungsbedingungen für Google Security Operations. Pre-GA-Features werden eventuell nur eingeschränkt unterstützt und Änderungen an diesen Features sind möglicherweise nicht mit anderen Pre-GA-Versionen kompatibel. Weitere Informationen finden Sie in den Richtlinien für den technischen Support von Google SecOps und den dienstspezifischen Nutzungsbedingungen für Google SecOps.
Wenn diese Funktion in Ihrer Umgebung nicht sichtbar ist, lesen Sie den Hilfeartikel Funktionen in der Vorabversion verwalten oder wenden Sie sich an Ihren Systemadministrator.

Google SecOps kennzeichnet Messwertabfragen mit dem Badge STATS.

• Wenn Sie eine Suche als Messwert speichern möchten, klicken Sie neben Suche ausführen auf Mehr und dann auf Als Messwert speichern. Die Seite Regeln und Erkennungen wird geöffnet und Ihre Messwertabfrage wird auf dem Tab Messwerte angezeigt. Anschließend können Sie den Messwert speichern oder deaktivieren. Nach dem Speichern kann eine Messwertabfrage nicht mehr bearbeitet oder gelöscht werden. Messwerte können jederzeit deaktiviert werden.

Mit einer Messwertabfrage können Sie typische Verhaltensmuster ermitteln und ungewöhnliche Aktivitäten erkennen. Wenn Sie im Abfrageeditor eine Messwertabfrage haben, mit der wichtige operative Trends erfasst werden, klicken Sie auf Mehr > Als Messwert speichern. Dadurch wird die Abfrage als kontinuierlicher Zeitreihenmesswert gespeichert, der in benutzerdefinierte Dashboards eingebettet oder in Schwellenwertbenachrichtigungen referenziert werden kann.

Beispiel für eine Messwertabfrage:

metric metric_1784196814306 {
  (metadata.event_type = "NETWORK_FLOW" OR
  metadata.event_type = "NETWORK_CONNECTION" OR
  metadata.event_type = "NETWORK_DNS" OR
  metadata.event_type = "NETWORK_HTTP")

  outcome:
  $timestamp = timestamp.get_timestamp(metadata.event_timestamp.seconds)
  $hostname = principal.hostname
  $event_type = metadata.event_type
  $user = principal.user.userid
  $principal_process = principal.process.file.full_path
  $principal_cmdline = principal.process.command_line
  $target_process = target.process.file.full_path
  $target_cmdline = target.process.command_line
  $target_url = target.url
  $target_ip = target.ip[0]
  order:
  $timestamp
  }

Suchanfragen verwalten (Search Manager)

Verwenden Sie das Dialogfeld Suchmanager, um Ihre Suchvorgänge zu verwalten.

• Klicken Sie auf der Seite SIEM-Suche auf Search Manager, um den Search Manager zu öffnen.

Abzeichen für Suchtypen

Auf dem Tab Gespeichert im Suchmanager werden alle gespeicherten Suchanfragen aufgelistet und ein Badge mit dem Suchtyp angezeigt: UDM, RAW, JOIN, STATS, CASE, CASE HISTORY und ECG.

Search Manager-Aktionen

Auf dem Tab Gespeichert haben Sie folgende Möglichkeiten:

• Gespeicherte Suchanfragen filtern: Klicken Sie neben der Suchleiste auf Filtern und filtern Sie die Suchanfragen nach Quelle (enthält: Von Google SecOps definiert, Von mir erstellt und Für mich freigegeben) AND Sprache (enthält: YL2 und SQL).
• Suchanfragen sortieren: Klicken Sie neben der Suchleiste auf Sortieren list_arrow und sortieren Sie nach Name (A–Z), Name (Z–A), Älteste zuerst oder Neueste zuerst.
• Suche hinzufügen: Klicken Sie neben der Suchleiste auf add_2 Hinzufügen und erstellen Sie eine neue Suche im angrenzenden Feld UDM-Suche. Das Feld UDM Search unterstützt dieselben Tools zum Bearbeiten von UDM und zur automatischen Vervollständigung wie beim manuellen Erstellen einer Abfrage im Abfrageeditor.
• Suchanfragen, die Sie erstellt haben, freigeben oder löschen.
• Von Ihnen erstellte Suche bearbeiten: Wenn auf dem Tab Gespeichert eine Suche ausgewählt ist, wird im Feld SUCHE die Abfrage zusammen mit dem Feld Titel und dem Feld Beschreibung angezeigt. Das Feld UDM-Suche unterstützt dieselben Tools zur UDM-Bearbeitung und automatischen Vorschläge und Vervollständigung wie beim manuellen Erstellen einer Abfrage im Abfrageeditor.

Suchanfrage speichern

Gespeicherte Suchanfragen und der Verlauf in der Google Suche sind:

• In Ihrem Google SecOps-Konto gespeichert.
• Nur für den einzelnen Nutzer sichtbar und zugänglich, es sei denn, Sie verwenden die Funktion Suche freigeben, um Ihre Suche für Ihre Organisation freizugeben.

So speichern Sie eine Suche:

1. Führen Sie auf der Seite SIEM Search (SIEM-Suche) einen der folgenden Schritte aus:

   • Wenn im Abfrageeditor eine gültige Abfrage vorhanden ist, klicken Sie neben Suche ausführen auf Mehr und dann auf Suche speichern. Das Dialogfeld Search Manager wird geöffnet.
   • Klicken Sie auf Search Manager. Das Dialogfeld Search Manager wird geöffnet.

2. Geben Sie im Feld Titel einen Namen für die Suche ein. Google empfiehlt, der gespeicherten Suche einen aussagekräftigen Namen und eine Nur-Text-Beschreibung des Suchbegriffs zu geben.

3. Optional: Geben Sie im Feld Beschreibung eine Beschreibung für die Suche ein.

4. Optional: Geben Sie Platzhaltervariablen im Format ${<variable name>} an. Verwenden Sie dabei dasselbe Format wie für Variablen in YARA-L. Wenn Sie einer Suche eine Variable hinzufügen, müssen Sie auch einen Prompt einfügen, damit der Nutzer weiß, welche Informationen er eingeben muss, bevor er die Suche ausführt. Alle Variablen müssen mit Werten gefüllt sein, bevor eine Suche ausgeführt wird.

   Sie können Ihrer Suche beispielsweise metadata.vendor_name = ${vendor_name} hinzufügen. Für ${vendor_name} müssen Sie einen Prompt für zukünftige Nutzer hinzufügen, z. B. Enter the name of the vendor for your search. Jedes Mal, wenn ein Nutzer diese Suche in Zukunft aufruft, wird er aufgefordert, den Namen des Anbieters einzugeben, bevor die Suche ausgeführt wird.

5. Klicken Sie abschließend auf Änderungen speichern.

• Wenn Sie gespeicherte Suchanfragen aufrufen möchten, klicken Sie auf Search Manager und dann auf den Tab Gespeichert.

Gespeicherte Suchanfrage abrufen und ausführen

So rufen Sie eine gespeicherte Suche ab und führen sie aus:

1. Klicken Sie auf der Seite SIEM Search (SIEM-Suche) auf Search Manager (Suchmanager) und wählen Sie links in der Liste Saved (Gespeichert) eine Suche aus.
2. Optional: Löschen Sie eine Suche, indem Sie auf das -Symbol Mehr klicken und Suche löschen auswählen. Sie können nur Suchanfragen löschen, die Sie erstellt haben.
3. Sie können den Namen und die Beschreibung der Suche ändern. Klicken Sie abschließend auf Änderungen speichern.
4. Klicken Sie auf Suche laden. Die Suche wird in das Hauptsuchfeld geladen.
5. Klicken Sie auf Suche ausführen.

Gespeicherte Suchanfrage löschen

Sie können nur Suchanfragen löschen, die Sie erstellt haben.

So löschen Sie eine gespeicherte Suche:

1. Klicken Sie auf der Seite SIEM-Suche auf Suchmanager und wählen Sie links in der Liste Gespeichert eine Suche aus.
2. Klicken Sie auf das Dreipunkt-Menü  Mehr und wählen Sie Suchanfrage löschen aus.
3. Klicken Sie auf Suche löschen.

Suche teilen oder Freigabe beenden

Mit freigegebenen Suchanfragen können Sie Suchanfragen für Ihr Team freigeben. Sie können Inhalte nicht nur mit einer Person teilen. Wenn Sie Ihre Suche freigeben, wird sie für Ihre gesamte Organisation freigegeben.

Sie können keine freigegebene Suche bearbeiten, die nicht von Ihnen erstellt wurde.

So teilen Sie eine Suche:

1. Klicken Sie auf der Seite SIEM-Suche auf Suchmanager und wählen Sie links in der Liste Gespeichert eine Suche aus.
2. Klicken Sie auf die Suchanfrage, die Sie teilen möchten.
3. Klicken Sie rechts neben der Suche auf das Dreipunkt-Menü  Mehr. Ein Dialogfeld mit der Option zum Teilen Ihrer Suche wird angezeigt.
4. Klicken Sie auf Für Ihre Organisation freigeben. Es wird ein Dialogfeld mit der Meldung „Wenn Sie Ihre Suche freigeben, ist sie für Personen in Ihrer Organisation sichtbar. Möchten Sie die Inhalte wirklich teilen?“
5. Klicken Sie auf Freigeben.

Wenn die Suche nur für Sie sichtbar sein soll, klicken Sie auf das Dreipunkt-Menü  Mehr und dann auf Freigabe beenden. Wenn Sie die Freigabe beenden, können nur Sie diese Suche nutzen.

Suchergebnisse – Übersicht

Wenn Sie auf der Seite SIEM Search auf Run Search (Suche ausführen) klicken, wird Ihre Anfrage in Google Security Operations in Ihrer Umgebung ausgewertet. Die Ergebnisse werden unter dem Abfrageeditor kategorisiert und angezeigt.

Die UI-Elemente für Suchergebnisse variieren je nach Suchtyp (gemäß den Badges: UDM, RAW, JOIN, STATS, CASE oder CASE HISTORY).

Auf der Seite SIEM-Suche werden die folgenden Tabs für Suchergebnisse angezeigt:

• Ergebnisse: Werden für alle Suchtypen angezeigt.
• Benachrichtigungen und Erkennungen: Wird nur für UDM-, RAW- und JOIN-Suchergebnisse angezeigt.
• Übersicht: Wird nur für UDM-, RAW- und JOIN-Suchergebnisse angezeigt.
• Visualisieren: Wird nur für STATS-Suchergebnisse angezeigt.

Der Titel jedes Ergebnis-Tabs enthält die Anzahl in Klammern, z. B. Ergebnisse (1.118) oder Ergebnisse (100.000+), wenn die Anzahl der Ergebnisse das angegebene Maximum (in diesem Fall 100.000) überschreitet.

Wenn Sie zwischen Tabs klicken, wird die Ansicht Ihres Arbeitsbereichs sofort geändert, während Ihre Suchanfrage und Ihr Zeitraum beibehalten werden.

Informationen auf dem Tab „Ergebnisse“ ansehen und verwalten

Der Tab Ergebnisse ist Ihr primärer Arbeitsbereich zum Ansehen und Verwalten von Suchergebnissen. Auf dem Tab Ergebnisse können Sie Folgendes tun:

• Detaillierte Protokollsuche
• Rohdaten der Telemetrie ansehen
• Pivot-Tabellen aus Ereignisdaten generieren
• Verteilungen von Feldwerten mit hoher Häufigkeit analysieren
• Daten in CSV-Dateien exportieren

Der Tab Ergebnisse enthält je nach Suchtyp die folgenden Elemente:

• Bereiche mit Tabs und den folgenden Diagrammen:
  • Aktivität im Zeitverlauf: Wird für UDM-, JOIN-, CASE-, CASE HISTORY- und ECG-Suchergebnisse angezeigt.
  • Trend im Zeitverlauf: Wird für RAW-Suchergebnisse angezeigt.
  • Tab Prävalenz: Wird für UDM-Suchergebnisse angezeigt.
  • Tabelle Aktivitäts-Heatmap: Wird für UDM-Suchergebnisse angezeigt.
• Bereich Zusammenfassungen: Wird für alle Arten von Suchergebnissen angezeigt.

• Bereiche mit den folgenden Tabellen, je nach Suchtyp:

  • Tabelle Ereignisse und Untertab Pivot: Werden nur für UDM-Suchergebnisse angezeigt. In der Tabelle Ereignisse werden normalisierte UDM-Ereignis-Telemetriedaten und Rohprotokolleinträge angezeigt, die Ihrer Anfrage im ausgewählten Zeitraum entsprechen. Auf dem Untertab Pivot können Sie eine Pivot-Tabelle erstellen und verwenden, um die Ereignisergebnisse mehrdimensional mathematisch zu gruppieren und zusammenzufassen (sum, count, avg, stddev).
  • Rohlogs: Wird nur für RAW-Suchergebnisse angezeigt.
  • Statistiken: Wird nur für STATISTIKEN-Suchergebnisse angezeigt.
  • JOINs: Werden nur für JOIN-Suchergebnisse angezeigt.
  • Fälle: Wird nur für CASE-Suchergebnisse angezeigt.
  • Case History: Wird nur für CASE- und CASE HISTORY-Suchergebnisse angezeigt.
  • Zeitgebundene Daten und Zeitunabhängige Daten: Werden nur für EKG-Suchergebnisse angezeigt.

  Informationen zu den unterstützten Funktionen und Tools für diese Tabellen finden Sie unter Häufig verwendete Tools für Tabellen. Zu den unterstützten Funktionen gehören das Verwalten der Spalten in der Tabelle, die auf dem Tab angezeigt wird, das Herunterladen von Suchergebnissen und mehr.

Tipp: Klicken Sie auf Ansichtsoptionen, um die Diagramme und den Bereich Zusammenfassungen ein- oder auszublenden.

Diagramm „Aktivität im Zeitverlauf“ verwenden

Der Tab Aktivität im Zeitverlauf enthält ein Diagramm (ein Histogramm) des Ereignis- und Benachrichtigungsvolumens im Zeitverlauf.

Hinweis: Der Tab Aktivität im Zeitverlauf wird nur für Suchergebnisse vom Typ UDM, JOIN, CASE und CASE HISTORY angezeigt.

Die Breite der einzelnen Balken hängt vom gesuchten Zeitraum ab. Wenn die Suche beispielsweise Daten aus 24 Stunden umfasst, steht jeder Balken für 10 Minuten. Dieses Diagramm wird dynamisch aktualisiert, wenn Sie die vorhandene Suche ändern.

Hinweis: Das maximale Suchfenster beträgt bis zu 365 Tage für YARA-L 2.0-Suchen und 90 Tage für SQL-Suchen, vom Start- bis zum Endzeitpunkt.

Das Diagramm unterstützt Folgendes:

• Zeitbereich anpassen: Ziehen Sie die Schieberegler auf der Zeitachse, um den sichtbaren Zeitraum sofort einzugrenzen. Das Ergebnisraster und der Bereich Zusammenfassungen werden aktualisiert, ohne dass die Abfrage noch einmal für das Backend ausgeführt wird.
• Ereignisse und Benachrichtigungen für das Zeitfenster eines einzelnen Balkens ansehen: Klicken Sie auf einen Balken, um den Fokus des Diagramms, des Bereichs Zusammenfassungen und des Tabs Erkennungen auf das Zeitfenster dieses Balkens einzugrenzen. Dadurch wird ein Filter erstellt, der neben der Schaltfläche Filter hinzufügen filter_list angezeigt wird. Wenn Sie wieder alle Ergebnisse sehen möchten, löschen Sie den Filter.
• Pop-up mit Details: Wenn Sie auf einen der Balken klicken, wird ein Pop-up mit der Uhrzeit und den Werten für Abgefragte Ereignisse, Gefilterte Ereignisse, Abgefragte Benachrichtigungen und Gefilterte Benachrichtigungen geöffnet.

Diagramm „Trend im Zeitverlauf“ verwenden

Der Tab Trend im Zeitverlauf enthält ein Diagramm (ein Histogramm) des Rohlog-Volumens im Zeitverlauf. Die Breite der einzelnen vertikalen Balken wird dynamisch an das gesamte Suchfenster angepasst. Beispielsweise kann jeder Balken bei einem 24-Stunden-Suchfenster für 10 Minuten stehen.

Hinweis :Der Tab Trend im Zeitverlauf wird nur für RAW-Suchergebnisse angezeigt.

Das Diagramm unterstützt Folgendes:

• Zeitraum anpassen: Ziehen Sie die Schieberegler auf der Zeitachse, um das sichtbare Zeitfenster sofort einzugrenzen. Das Ergebnisraster und der Bereich Aggregations werden aktualisiert, ohne dass die Abfrage noch einmal im Backend ausgeführt wird.
• Anzahl der geparsten, nicht geparsten und unbekannten Logs, die im Zeitfenster eines einzelnen Balkens erkannt wurden, ansehen: Unbekannt bedeutet, dass zu diesem Zeitpunkt ein oder mehrere Logs erkannt wurden, die Anzahl aber nicht ermittelbar ist. Klicken Sie auf einen Balken, um den Fokus des Diagramms und des Bereichs Aggregations (Aggregationen) auf das Zeitfenster dieses Balkens einzugrenzen. Dadurch wird ein Filter erstellt, der neben dem Button Filter hinzufügen filter_list angezeigt wird. Wenn Sie wieder alle Ergebnisse sehen möchten, löschen Sie den Filter.
• Pop-up mit Details: Wenn Sie auf einen der Balken klicken, wird ein Pop-up mit der Uhrzeit und den Werten für Abgefragte Ereignisse, Gefilterte Ereignisse, Abgefragte Benachrichtigungen und Gefilterte Benachrichtigungen geöffnet.

Tab „Prävalenz“ verwenden

Der Tab Häufigkeit wird nur angezeigt, wenn Ihre Suche eine Domain enthält.

Auf dem Tab Prävalenz sehen Sie die Prävalenz von Domains, die mit Ihrer Suche in Ihrem Unternehmen verknüpft sind. Sie kombiniert eine Liste von Domains mit geringer Verbreitung mit einem interaktiven Diagramm. Der Tab wird nur angezeigt, wenn Ihre UDM-Suche eine Domain enthält.

Hinweis: Der Tab Prävalenz wird nur für UDM-Suchergebnisse angezeigt.

Die Liste der Domains mit geringer Verbreitung enthält die folgenden Spalten:

• Domains mit niedriger Verbreitung: Zeigt die Domainnamen an, die mit Ihren Suchergebnissen verknüpft sind. Klicken Sie auf arrow_upward, um die Domains alphabetisch (Z bis A) zu sortieren, und auf arrow_downward, um sie alphabetisch (A bis Z) zu sortieren.

• Verbreitung ≤ 10: Hier wird die Gesamtzahl der Vorkommen für jede Domain mit einer Verbreitung von höchstens 10 angezeigt. Klicken Sie auf arrow_upward, um die Anzahl numerisch in absteigender Reihenfolge zu sortieren, und auf arrow_downward für aufsteigende Reihenfolge.

Bewegen Sie den Mauszeiger im Diagramm über einen Kreis, um die entsprechende Domain aufzurufen und Ihre Suche auf Ereignisse zu beschränken, die nur mit dieser Domain verknüpft sind.

Tab „Aktivitäts-Heatmap“ verwenden

Auf dem Tab Aktivitäts-Heatmap werden Ereignisdaten in einem visuellen Zeitachsenraster dargestellt, um zu verdeutlichen, wo Ereignisse im angegebenen Zeitraum am stärksten konzentriert sind. Auf der Y-Achse werden die Daten innerhalb des Suchzeitraums angezeigt und auf der X-Achse die Tageszeit in stündlichen Intervallen (von 00:00 bis 23:00 Uhr).

Hinweis :Der Tab Aktivitäts-Heatmap wird nur für UDM-Suchergebnisse angezeigt.

Eine Farbverlaufslegende gibt die Anzahl der Ereignisse in einer bestimmten Stunde an. Hellere Farben stehen für weniger Ereignisse und dunklere Farben für eine höhere Dichte. Sie können auch die Dichteanzeige anpassen, um stündliche Zeitfenster ein- oder auszublenden. Passen Sie dazu den horizontalen Schieberegler an. Klicken Sie in der Seitenleiste auf die Aufwärts- oder Abwärtspfeile, um durch die Daten zu scrollen und das gewünschte Zeitfenster anzupassen.

Suchergebnisse mit dem Bereich „Aggregationen“ eingrenzen

Im Bereich Zusammenfassungen werden Werte mit hoher Häufigkeit zusammengefasst, mit denen Sie Ihre Suchergebnisse verfeinern können.

Hinweis: Das Steuerfeld Zusammenfassungen wird für alle Arten von Suchergebnissen angezeigt.

Der Bereich Aggregationen enthält zwei minimierbare Listen: UDM-Felder (eine Liste übereinstimmender UDM-Felder) und eine weitere Liste von Feldern, die dem Suchtyp entspricht (z. B. Protokollfelder für Suchen in Rohprotokollen, Statistikfelder, Fallfelder usw.). Bei UDM-Suchen enthält der Bereich Aggregationen die Liste UDM-Felder und die Liste Gruppierte Felder.

Wenn Sie ein Feld oben in der Liste Aggregationen anpinnen möchten, halten Sie den Mauszeiger auf ein Feld und klicken Sie auf das Symbol keep Beibehalten.

Über das Suchfeld des Bereichs können Sie nach bestimmten Feldern oder Feldwerten suchen.

In jedem Feld wird die „Anzahl der Übereinstimmungen“ angezeigt, d. h. die Anzahl der Datensätze, die denselben Wert für dieses Feld haben. Die Inhalte der Listen sind nach der höchsten bis zur niedrigsten Anzahl von Übereinstimmungen sortiert und innerhalb derselben Anzahl von Übereinstimmungen in alphabetischer Reihenfolge. Sie können die Listen nach Feldern durchsuchen und ein Feldelement maximieren.

So filtern Sie Suchergebnisse mit Aggregationen:

1. Wählen Sie im Bereich Aggregationen ein Feld aus einer Liste aus, um die Listenwerte für dieses Feld anzuzeigen.

2. Wählen Sie einen Wert aus der Liste aus und klicken Sie auf das Dreipunkt-Menü more_vert Mehr.

3. Wählen Sie eine Filteroption aus:

   • Nur anzeigen: Die entsprechende Tabelle daneben wird aktualisiert und zeigt nur übereinstimmende Einträge an. Der Filter = "value" wird neben dem Button Filter hinzufügen filter_list angezeigt.
   • Herausfiltern: Die entsprechende Tabelle daneben wird aktualisiert und die übereinstimmenden Datensätze werden herausgefiltert. Der Filter != "value" wird neben dem Button Filter hinzufügen filter_list angezeigt.
   • Kopieren: Das Feld-Wert-Paar wird in die Zwischenablage kopiert.

   

   Abbildung 4. Beispiel für das Filtern von Feldern über den Bereich Aggregationen

   

   Abbildung 5: filter_list Filter hinzufügen-Schaltfläche mit zwei vorhandenen Filtern (einer wird angezeigt, der andere ist in der Liste +1 weitere).

4. Optional: Wenn Sie im vorherigen Schritt Nur anzeigen oder Filtern ausgewählt haben und den Filter automatisch in den Abfrageeditor einfügen und die Suche noch einmal ausführen möchten, klicken Sie auf Auf Suche anwenden und ausführen.

Gruppierte Felder im Bereich „Aggregationen“ auf dem Tab „Ergebnisse“ verwenden

Der Bereich Aggregationen für UDM-Suchanfragen enthält die Liste Gruppierte Felder. Gruppierte Felder fungieren als leistungsstarke Kategorie-Aliasse, die verwandte UDM-Felder kombinieren, ohne dass Sie jedes einzeln eingeben müssen. Weitere Informationen zu gruppierten Feldern finden Sie unter Gruppierte Felder suchen.

Alias für gruppiertes Feld	Zugeordnete UDM-Felder, die im Alias enthalten sind
domain	about.administrative_domain about.asset.network_domain network.dns.questions.name network.dns_domain principal.administrative_domain principal.asset.network_domain target.administrative_domain target.asset.hostname target.asset.network_domain target.hostname
email	intermediary.user.email_addresses network.email.from network.email.to principal.user.email_addresses security_result.about.user.email_addresses target.user.email_addresses
file_path	principal.file.full_path principal.process.file.full_path principal.process.parent_process.file.full_path target.file.full_path target.process.file.full_path target.process.parent_process.file.full_path
hash	about.file.md5 about.file.sha1 about.file.sha256 principal.process.file.md5 principal.process.file.sha1 principal.process.file.sha256 security_result.about.file.sha256 target.file.md5 target.file.sha1 target.file.sha256 target.process.file.md5 target.process.file.sha1 target.process.file.sha256
hostname	intermediary.hostname observer.hostname principal.asset.hostname principal.hostname src.asset.hostname src.hostname target.asset.hostname target.hostname
ip	intermediary.ip observer.ip principal.artifact.ip principal.asset.ip principal.ip src.artifact.ip src.asset.ip src.ip target.artifact.ip target.asset.ip target.ip
namespace	principal.namespace src.namespace target.namespace
process_id	principal.process.parent_process.pid principal.process.parent_process.product_specific_process_id principal.process.pid principal.process.product_specific_process_id target.process.parent_process.pid target.process.parent_process.product_specific_process_id target.process.pid target.process.product_specific_process_id
user	about.user.userid observer.user.userid principal.user.user_display_name principal.user.userid principal.user.windows_sid src.user.userid target.user.user_display_name target.user.userid target.user.windows_sid

Bereich „Ereignisse“ verwenden

Im Bereich Ereignisse können Sie die Ereignisse, die Ihrer UDM-Suche entsprechen, ansehen, sortieren und verwalten.

Informationen zu den unterstützten Funktionen und Tools für den Bereich Ereignisse finden Sie unter Gängige Tools für Tabellen verwenden. Zu den unterstützten Funktionen gehören das Verwalten der Spalten in der Tabelle, die auf dem Tab angezeigt wird, das Herunterladen von Suchergebnissen und mehr.

Nachdem Sie eine Suche ausgeführt haben, werden in der Tabelle Ereignisse standardmäßig wichtige Spalten (Schnellfelder) angezeigt, z. B. Ereignisstatus, Zeitstempel, Typ (udm.metadata.event_type), Zusammenfassung, Nutzer (udm.principal.user.userid oder target.user.userid), Hostname (udm.principal.hostname oder target.hostname). Je nach Suchbereich und Protokollquelle können in der Tabelle auch dynamisch relevante Schnellfelder wie Aktion (udm.security_result.action) angezeigt werden.

Hinweis: Bei Ereignissen, die mit Benachrichtigungen verknüpft sind, wird in der Spalte Ereignisstatus ein Chip Benachrichtigung angezeigt. Wenn mehrere Benachrichtigungen zutreffen, wird die Anzahl angezeigt.

Detaillierte Informationen zu einem einzelnen Ereignis prüfen (Ereignisanzeige und Korrelation von Rohprotokollen)

• Klicken Sie auf die Zeile, um detaillierte Informationen zu einem einzelnen Ereignis aufzurufen. Die Ereignisanzeige wird geöffnet.

  Weitere Informationen finden Sie unter Event Viewer für UDM- und RAW-Ergebnisse verwenden.

Pivot-Tab—Pivot-Tabelle erstellen

Mit einer Pivot-Tabelle können Sie Ihre Suchergebnisse multidimensional mathematisch gruppieren und zusammenfassen.

So öffnen und konfigurieren Sie eine Pivot-Tabelle:

1. Führen Sie eine UDM-Suche aus.
2. Klicken Sie auf dem Tab Ergebnisse auf den Untertab Pivot. Der Bereich Pivot-Einstellungen wird geöffnet.

3. Klicken Sie unter Gruppieren nach auf Hinzufügen Feld, um bis zu fünf UDM-Felder für die Zeilengruppierung auszuwählen. Je nach Feldtyp werden spezielle Transformationsoptionen angezeigt:

   • Stringfelder: Option, um die Verwendung von Kleinbuchstaben zu erzwingen. Sie können die Ergebnisse mit der Standardgroßschreibung oder nur mit Kleinbuchstaben anzeigen lassen, indem Sie im Menü Kleinbuchstaben auswählen.
   • Hostname-Felder:
     • Registrierte Domain: Es wird nur der registrierte Domainname angezeigt (z. B. google.com, nytimes.com, youtube.com).
     • Top-N-Level-Domain: Geben Sie an, welche Ebene der Domain angezeigt werden soll. Wenn Sie beispielsweise den Wert 1 verwenden, wird nur die Top-Level-Domain angezeigt (z. B. com, gov oder edu). Wenn Sie den Wert 3 verwenden, werden die nächsten beiden Ebenen der Domainnamen angezeigt (z. B. google.co.uk).
   • IP-Felder: Option zum Gruppieren nach CIDR-Präfixlänge in Bits. Sie können für IPv4-Adressen 1 bis 32 angeben. Für IPv6-Adressen können Sie Werte bis zu 128 angeben.
   • Zeitstempelfelder: Option zum Gruppieren nach Zeitauflösung (Millisekunden, Sekunden, Minuten, Stunden, Tage).

4. Geben Sie unter Werte einen Wert für den Pivot aus der Liste der Felder in den Ergebnissen an. Sie können bis zu fünf Werte angeben.

5. Für jedes Feld, das Sie für Werte angeben, müssen Sie eine der folgenden Optionen für Zusammenfassen nach auswählen:

   • Durchschn. (Durchschnitt)
   • Anzahl
   • Anzahl der unterschiedlichen Werte
   • Max
   • Min.
   • Summe
   • Stddev (Standardabweichung)

   Die Optionen für Zusammenfassen sind nicht universell mit den Feldern für Gruppieren nach kompatibel. Die Optionen Summe, Durchschnitt, Standardabweichung, Min. und Max. können beispielsweise nur auf numerische Felder angewendet werden. Wenn Sie versuchen, eine inkompatible Option Zusammenfassen mit einem Feld Gruppieren nach zu verknüpfen, erhalten Sie eine Fehlermeldung.

   Geben Sie einen Wert für Ereignisanzahl an, um die Anzahl der Ereignisse zurückzugeben, die für diese bestimmte Suche und Pivot-Tabelle ermittelt wurden.

6. Geben Sie unter Sortieren nach ein oder mehrere UDM-Felder an und wählen Sie mit der Option Aufsteigend oder Absteigend eine oder mehrere Sortierungen aus.

7. Klicken Sie auf Übernehmen, wenn Sie fertig sind. Die Ergebnisse werden im Bereich Pivot angezeigt.

8. Optional: Wenn Sie den Inhalt der Pivot-Tabelle herunterladen und speichern möchten, lesen Sie den Hilfeartikel Suchergebnisse aus einer Tabelle herunterladen.

Bereich „Rohdaten-Logs“ verwenden

Im Bereich Rohlogs können Sie die Logs, die Ihrer Suche entsprechen, ansehen, sortieren und verwalten. Dabei werden rohe, nicht geparste Log-Telemetriedaten ausgewertet. Das primäre Diagnoseziel ist das Monitoring des Zustands der Aufnahme und des Parsens. Das bedeutet, dass Sie überwachen, wie viele Logs geparst wurden, wie viele Logs nicht geparst wurden und wie viele Logs unbekannt sind (was bedeutet, dass ein oder mehrere Logs zu einem bestimmten Zeitpunkt erkannt wurden, die Anzahl aber nicht ermittelbar ist).

Informationen zu den unterstützten Funktionen und Tools für diesen Tab finden Sie unter Häufig verwendete Tools für Tabellen. Zu den unterstützten Funktionen gehören das Verwalten der Spalten in der Tabelle, die auf dem Tab angezeigt wird, das Herunterladen von Suchergebnissen und mehr.

Detaillierte Informationen zu einem einzelnen Rohlog prüfen (Ereignisanzeige und Korrelation von Rohlogs)

• Wenn Sie sich die Details eines einzelnen Rohlogs genauer ansehen möchten, klicken Sie auf die entsprechende Zeile. Die Ereignisanzeige wird geöffnet.

  Weitere Informationen finden Sie unter Ereignisanzeige für UDM- und RAW-Ergebnisse verwenden.

Bereich „Statistiken“ verwenden

Im Bereich Statistiken können Sie die Statistiken, die Ihrer Suche entsprechen, aufrufen, sortieren und verwalten.

Im Bereich Statistiken wird nur eine Spaltenauswahl unterstützt, über die Sie Spalten hinzufügen oder entfernen können.

Informationen zu den unterstützten Funktionen und Tools für diesen Tab finden Sie unter Gängige Tools für Tabellen verwenden. Zu den unterstützten Funktionen gehört unter anderem das Herunterladen von Suchergebnissen.

Bereich „Joins“ verwenden

Im Bereich Beitritte können Sie die Elemente, die Ihrer Suche entsprechen, ansehen, sortieren und verwalten.

Informationen zu den unterstützten Funktionen und Tools für diesen Tab finden Sie unter Gängige Tools für Tabellen verwenden. Zu den unterstützten Funktionen gehören das Verwalten der Spalten in der Tabelle, die auf dem Tab angezeigt wird, das Herunterladen von Suchergebnissen und mehr.

Bereich „Fälle“ verwenden

Im Bereich Supportanfragen können Sie die Supportanfragen, die Ihrer Suche entsprechen, ansehen, sortieren und verwalten.

Informationen zu den unterstützten Funktionen und Tools für diesen Tab finden Sie unter Gängige Tools für Tabellen verwenden. Zu den unterstützten Funktionen gehören das Verwalten der Spalten in der Tabelle, die auf dem Tab angezeigt wird, das Herunterladen von Suchergebnissen und mehr.

Bereich „Fallverlauf“ verwenden

Im Bereich Fallverlauf können Sie die Fallverläufe, die Ihrer Suche entsprechen, ansehen, sortieren und verwalten.

Informationen zu den unterstützten Funktionen und Tools für diesen Tab finden Sie unter Gängige Tools für Tabellen verwenden. Zu den unterstützten Funktionen gehören das Verwalten der Spalten in der Tabelle, die auf dem Tab angezeigt wird, das Herunterladen von Suchergebnissen und mehr.

Bereiche „Zeitbezogene Daten“ und „Zeitlose Daten“ verwenden

In den Bereichen Zeitbezogene Daten und Zeitlose Daten können Sie Ergebnisse aus EKG-Suchanfragen ansehen, sortieren und verwalten. Im Bereich Zeitgesteuerte Daten werden Ergebnisse für Entitäten mit einem definierten Zeitraum angezeigt, d. h. für Entitäten, die während der Aufnahme einen Wert für metadata.interval.end_time haben. Im Bereich Zeitlose Daten werden Ergebnisse für Entitäten angezeigt, für die kein Zeitraum definiert ist, d. h. für die kein Wert für metadata.interval.end_time vorhanden ist.

Wichtig :In der EKG-Datenbank werden zeitgebundene und zeitlose Entitäten separat gespeichert. Wenn Sie eine ECG-Suche ausführen, erstellt Google SecOps eine Vereinigung der zeitgebundenen und zeitlosen Datenspeicher und gibt die besten Ergebnisse aus jedem Datenspeicher zurück, bis die konfigurierte maximale Anzahl von Ergebnissen erreicht ist. Die Daten der zeitbezogenen Einheiten werden nach dem letzten Zeitstempel sortiert. Die Reihenfolge der Daten der zeitlosen Einheiten ist jedoch nicht bekannt. Daher kann es sein, dass in der Benutzeroberfläche nur zeitlose oder nur zeitbezogene Einheiten oder bei jedem Ausführen der Abfrage eine andere Mischung aus beiden angezeigt wird.

Ereignisanzeige für UDM- und RAW-Ergebnisse verwenden

• Wenn Sie sich detaillierte Informationen zu einem einzelnen Ereignis oder Rohlog ansehen möchten, klicken Sie in eine Zeile der Tabelle Ereignisse oder Rohlogs. Die Ereignisanzeige wird geöffnet.

Die Ereignisanzeige enthält die folgenden Tabs:

• Ereignisfelder
• Rohlog
• Benachrichtigungen: Werden nur für UDM-Ergebnisse aus der Tabelle Ereignisse angezeigt.
• Entitäten

Tab „Ereignisfelder“ verwenden

Standardmäßig werden auf dem Tab Ereignisfelder UDM-Ereignisfelder in einer hierarchischen Baumstruktur angezeigt, die mit Ausgewählt gekennzeichnet ist.

Auf dem Tab Ereignisfelder haben Sie folgende Möglichkeiten:

• Felddefinition ansehen Bewegen Sie den Mauszeiger auf den Feldnamen, um die Definition zu sehen.
• Sie können ein Feld anpinnen, um schnell darauf zuzugreifen. Wählen Sie in der Liste Ausgewählt ein Feld aus und klicken Sie auf Anpinnen beibehalten. Das Feld wird dann in der Liste Angepinnt angezeigt. Felder bleiben in der Liste Ausgewählt und ihre Hierarchie in der Angepinnten Liste wird in durch Punkte getrennter Notation mit dem Präfix udm (z. B. udm.metadata.event_type) angezeigt.
• Fügen Sie mehrere Felder zu Spalten hinzu oder kopieren Sie sie. Klicken Sie das Kästchen neben einem Knoten oder Feld an und wählen Sie dann Zu Spalten hinzufügen oder Kopieren aus.

• Führen Sie folgende Aktionen durch:

  • Filter: Wenden Sie die folgenden Filter auf ausgewählte Elemente (check_box) in der Liste Ausgewählt an:
    • Felder
      • Nicht angereicherte Felder anzeigen
      • Angereicherte Felder anzeigen
      • Zusätzliche Felder anzeigen
      • Extrahierte Felder anzeigen
    • Anreicherungs-Protokollquellen: Die verfügbaren Optionen hängen vom Ereignis ab.
  • Kopieren: Die ausgewählten UDM-Felder und UDM-Werte werden in die Zwischenablage des Systems kopiert.
  • Zu Spalten hinzufügen: Das UDM-Feld wird als Spalte hinzugefügt.

Jedes UDM-Feld ist mit einem Symbol gekennzeichnet, das angibt, ob das Feld angereicherte oder nicht angereicherte Daten enthält. Die Symbollabels sind:

• U: Nicht angereicherte Felder enthalten Werte, die während des Normalisierungsprozesses mit Daten aus dem ursprünglichen Rohprotokoll ausgefüllt wurden.

• E: Angereicherte Felder enthalten Werte, die von Google SecOps ausgefüllt werden, um zusätzlichen Kontext zu Artefakten in einer Kundenumgebung bereitzustellen. Weitere Informationen finden Sie unter Ereignis- und Entitätsdaten mit Google SecOps anreichern.

  In der Anzeige jedes angereicherten Felds können alle zugehörigen Quellen angezeigt werden. Diese Informationen sind nützlich für die Validierung und Fehlerbehebung und können für Prüfungs- und Compliancezwecke erforderlich sein. Sie können Felder auch nach der Quelle der Anreicherung filtern.

Abbildung 6. Angereicherte und nicht angereicherte UDM-Felder auf dem Tab Ereignisfelder der Ereignisanzeige, in der die Quellen angereicherter Felder zu sehen sind.

Abbildung 7. Mit dem Filter auf dem Tab Ereignisfelder können Sie Felder anhand verschiedener Attribute ein- oder ausblenden.

Tab „Rohprotokoll“ verwenden

Auf dem Tab Rohlog wird das ursprüngliche Rohsignal in einem der folgenden Formate angezeigt:

• Rohdaten
• JSON
• XML
• CSV
• Hex/ASCII

Tab „Benachrichtigungen“ verwenden

Auf dem Tab Benachrichtigungen werden die mit dem Ereignis verknüpften Benachrichtigungen angezeigt.

Der Tab Benachrichtigungen wird nur für UDM-Ergebnisse aus der Tabelle Ereignisse angezeigt.

Tab „Entitäten“ verwenden

Auf dem Tab Entitäten werden die mit dem Ereignis verknüpften Entitäten angezeigt.

Klicken Sie auf eine Einheit, um das Dialogfeld Einheitenkontext aufzurufen. Es kann die folgenden Elemente enthalten:

• Assetname
• Erstmals erfasst
• Zuletzt erfasst
• IP-Adressen
• MAC-Adressen
• Anzahl der Benachrichtigungen
• Höchste Benachrichtigungsanzahl nach Regel
• Balkendiagramm für Benachrichtigungen im Zeitverlauf
• Link Benachrichtigungen und IOCs öffnen
• Link In Tab „Benachrichtigungen“ ansehen

Informationen auf dem Tab „Benachrichtigungen und Erkennungen“ ansehen und verwalten

Auf dem Tab Benachrichtigungen und Erkennungen können Sie Folgendes tun:

• Bedrohungssuche über alle Regelausführungen hinweg
• Vergleich von umsetzbaren Warnungsauslösern mit Verhaltensvorläufern mit geringem Rauschen
• Eingrenzung von Vorfällen in einer konsolidierten Ansicht

Auf dem Tab Warnungen und Erkennungen werden sowohl Warnungen als auch Erkennungen angezeigt, die Ihren aktiven Suchkriterien entsprechen. Wenn Sie sowohl Benachrichtigungen als auch Erkennungen auf einem Tab kombinieren, können Sie Benachrichtigungen mit hohem Schweregrad direkt neben den zugrunde liegenden Treffern von Verhaltensregeln untersuchen, um Vorläufer mit geringem Rauschen zu erkennen, die den Benachrichtigungsschwellenwert nicht unabhängig überschritten haben.

Benachrichtigungen sind UDM-Ereignisse und Telemetriedaten von Drittanbieter-Connectors, die mit Benachrichtigungsschwellenwerten oder Benachrichtigungen mit hohem Schweregrad gekennzeichnet sind. Die Anzahl der Benachrichtigungen enthält UDM-Log-Telemetriedaten, die eine Benachrichtigungsregel ausgelöst haben (alert_state = "ALERTING"), sowie Benachrichtigungen mit hoher Priorität, die von Sicherheits-Connectors von Drittanbietern (z. B. CrowdStrike oder SOAR-Webhooks) aufgenommen wurden.

Erkennungen sind alle Ausgaben der Regelausführung mit (ALERTING) und ohne (NOT_ALERTING) Benachrichtigungen, die von YARA-L 2.0-Regeln in Ihrer Umgebung generiert werden. Auf dem Tab werden die umfassenden Ausgaben der Regelausführung angezeigt, die von Ihrer YARA-L 2.0-Erkennungs-Engine für Treffer von Regeln mit und ohne Benachrichtigungen generiert wurden. Jede regelgenerierte Benachrichtigung ist auch eine Erkennung (ALERTING). Die Anzahl der Erkennungen umfasst jedoch auch alle informativen, Hintergrund- oder nicht benachrichtigenden Regeltreffer (NOT_ALERTING).

Die Anzahl im Tab-Header kategorisiert die Übereinstimmungen bei der Regelausführung nach Benachrichtigungsstatus. Wenn die Tabellenüberschrift beispielsweise Benachrichtigungen (43) & Erkennung (0) lautet, bedeutet das, dass es 43 Übereinstimmungen mit alerting_rule = true und null nicht benachrichtigende (NOT_ALERTING) Regelausführungen gibt.

Der Tab Benachrichtigungen und Erkennungen enthält die folgenden Bereiche:

• Diagramm Trend im Zeitverlauf
• Bereich „Zusammenfassungen“
• Bereich „Erkennungen“

Tipp :Klicken Sie auf Ansichtsoptionen, um das Diagramm und den Bereich Zusammenfassungen ein- oder auszublenden.

Diagramm „Trend im Zeitverlauf“ verwenden

Der Tab Trend im Zeitverlauf auf dem Tab Benachrichtigungen und Erkennungen enthält ein Diagramm (ein Histogramm) des Erkennungsvolumens im Zeitverlauf. Die Breite der einzelnen vertikalen Balken wird dynamisch an den gesamten Suchzeitraum angepasst. Bei einem Suchzeitraum von 24 Stunden kann beispielsweise jeder Balken 10 Minuten darstellen.

Im Diagramm werden alle Übereinstimmungen bei der Regelausführung im Zeitverlauf in einer einzigen aggregierten Reihe mit dem Label Erkennungen zusammengefasst.

Hinweis: In der Tab-Überschrift werden die Anzahlwerte angezeigt und die Ergebnisse nach Benachrichtigungsstatus aufgeteilt (z. B. Benachrichtigungen (43) und Erkennung (0)). Im Diagramm Trend im Zeitverlauf werden dagegen alle Erkennungsvorkommen als Balken Erkennungen zusammengefasst.

Das Diagramm unterstützt Folgendes:

• Zeitraum anpassen: Ziehen Sie die Schieberegler auf der Zeitachse, um das sichtbare Zeitfenster sofort einzugrenzen. Das Ergebnisraster und die Aggregationen werden aktualisiert, ohne dass die Abfrage noch einmal im Backend ausgeführt wird.
• Zusammenfassungen und Erkennungen für das Zeitfenster eines einzelnen Balkens ansehen: Klicken Sie auf einen Balken, um den Fokus des Diagramms, des Tabs Zusammenfassungen und des Tabs Erkennungen auf das Zeitfenster dieses Balkens einzugrenzen. Dadurch wird ein Filter erstellt, der neben dem Button Filter hinzufügen filter_list angezeigt wird. Löschen Sie den Filter, um wieder alle Ergebnisse anzuzeigen.
• Pop-up-Fenster mit Details: Wenn Sie auf einen der Balken klicken, wird ein Dialogfeld mit der Uhrzeit und den Werten für Abgefragte Erkennungen und Gefilterte Erkennungen geöffnet.

Erkennungen im Bereich „Aggregationen“ verfeinern

Im Bereich Zusammenfassungen auf dem Tab Benachrichtigungen und Erkennungen werden Werte für Erkennungsergebnisse mit hoher Häufigkeit zusammengefasst. Sie können damit Ihre Suchergebnisse verfeinern.

Der Bereich Zusammenfassungen enthält drei minimierbare Listen: Erkennungsfelder, UDM-Felder (eine Liste der übereinstimmenden UDM-Felder) und Entitätsfelder.

In jedem Feld wird die „Anzahl der Übereinstimmungen“ angezeigt, d. h. die Anzahl der erkannten Benachrichtigungen, die denselben Wert für dieses Feld haben. Die Inhalte der Listen sind nach der höchsten bis zur niedrigsten Anzahl von Übereinstimmungen sortiert und innerhalb derselben Anzahl von Übereinstimmungen in alphabetischer Reihenfolge. Sie können die Listen nach Feldern durchsuchen und ein Feldelement maximieren.

Sie können ein Feld oben in der Liste Aggregationen anpinnen, indem Sie den Mauszeiger auf ein Feld bewegen und auf das Symbol Beibehalten Beibehalten klicken.

Ergebnisse der Benachrichtigungsermittlung im Bereich „Aggregationen“ ansehen

Über das Suchfeld im Bereich Aggregationen können Sie nach bestimmten Feldern oder Feldwerten suchen. So können Sie sich auf die Benachrichtigungen konzentrieren, die für Sie am wichtigsten sind.

Die folgenden wichtigen Benachrichtigungsattribute können zum Filtern von Benachrichtigungen im Bereich Aggregationen verwendet werden:

• Fall
• Name
• Priorität
• Schweregrad
• Status
• Einstufung

Ergebnisse der Benachrichtigungserkennung im Bereich „Zusammenfassungen“ filtern

So filtern Sie Ergebnisse der Benachrichtigungserkennung mit Aggregationen:

1. Wählen Sie im Bereich Aggregationen ein Feld aus einer Liste aus, um eine Liste der Werte für dieses Feld aufzurufen.

2. Wählen Sie einen Wert aus der Liste aus und klicken Sie auf das Dreipunkt-Menü more_vert Mehr.

3. Wählen Sie eine Filteroption aus:

   • Nur anzeigen: Die Tabelle Erkennungen wird aktualisiert und zeigt nur übereinstimmende Benachrichtigungen an. Der Filter = "value" wird neben dem Button filter_list Filter hinzufügen angezeigt.
   • Herausfiltern: Die Tabelle Erkennungen wird aktualisiert und die entsprechenden Benachrichtigungen werden herausgefiltert. Der Filter != "value" wird neben dem Button filter_list Filter hinzufügen angezeigt.
   • Größer als (nur für Ganzzahlfelder): Die Tabelle Erkennungen wird aktualisiert und zeigt Warnungen mit einem Wert an, der größer als dieser ist. Der Filter > "value" wird neben dem Button filter_list Filter hinzufügen angezeigt.
   • Größer als oder gleich (nur für Ganzzahlfelder): Die Tabelle Erkennungen wird aktualisiert und zeigt Benachrichtigungen mit einem Wert an, der größer als oder gleich diesem Wert ist. Der Filter >= "value" wird neben dem Button filter_list Filter hinzufügen angezeigt.
   • Kleiner als (nur für Ganzzahlfelder): Die Tabelle Erkennungen wird aktualisiert und zeigt Benachrichtigungen mit einem Wert an, der kleiner als dieser ist. Der Filter < "value" wird neben dem Button filter_list Filter hinzufügen angezeigt.
   • Kleiner oder gleich (nur für Ganzzahlfelder): Die Tabelle Erkennungen wird aktualisiert und zeigt Benachrichtigungen mit einem Wert an, der kleiner oder gleich diesem Wert ist. Der Filter <= "value" wird neben dem Button filter_list Filter hinzufügen angezeigt.
   • Kopieren: Kopiert das Feld-Wert-Paar in die Zwischenablage.

• Wenn Sie einen Filter löschen und die Ergebnisse der Benachrichtigungserkennung aktualisieren möchten, löschen Sie den Filter, der neben dem Button Filter hinzufügen filter_list angezeigt wird.

Bereich „Erkennungen“ verwenden

Im Bereich Erkennungen können Sie die Elemente, die Ihrer Suche entsprechen, ansehen, sortieren und verwalten.

Informationen zu den unterstützten Funktionen und Tools für diesen Tab finden Sie unter Häufig verwendete Tools für Tabellen. Zu den unterstützten Funktionen gehören das Verwalten der Spalten in der Tabelle, die auf dem Tab angezeigt wird, das Herunterladen von Suchergebnissen und mehr.

Detaillierte Informationen zu einer einzelnen Benachrichtigung prüfen (Benachrichtigungsanzeige)

• Wenn Sie sich die detaillierten Informationen zu einer einzelnen Benachrichtigung ansehen möchten, klicken Sie in der Tabelle Erkennungen auf eine Zeile. Die Benachrichtigungsanzeige wird geöffnet.

Der Benachrichtigungs-Viewer enthält die folgenden Tabs:

• Erkennungsfelder
• Details
• Variablen

• Entitäten
  
  

• Wenn Sie in der Google SecOps Console eine andere Seite mit Details zur Benachrichtigung aufrufen möchten, klicken Sie auf Details ansehen.

Tab „Erkennungsfelder“ verwenden

Auf dem Tab Erkennungsfelder werden die Erkennungsfelder standardmäßig in einer hierarchischen Baumstruktur mit der Bezeichnung Ausgewählt angezeigt.

Auf dem Tab Erkennungsfelder haben Sie folgende Möglichkeiten:

• Felddefinition ansehen Bewegen Sie den Mauszeiger auf den Feldnamen, um die Definition aufzurufen.
• Sie können ein Feld anpinnen, um schnell darauf zuzugreifen. Wählen Sie in der Liste Ausgewählt ein Feld aus und klicken Sie auf Anpinnen beibehalten. Das Feld wird dann in der Liste Angepinnt angezeigt. Felder bleiben in der Liste Ausgewählt und ihre Hierarchie in der Angepinnten Liste wird in durch Punkte getrennter Notation mit dem Präfix collection (z. B. collection.created_time) angezeigt.
• Fügen Sie mehrere Felder zu Spalten hinzu oder kopieren Sie sie. Klicken Sie das Kästchen neben einem Knoten oder Feld an und wählen Sie dann Zu Spalten hinzufügen oder Kopieren aus.

• Führen Sie folgende Aktionen durch:

  • Filter auf die Liste Ausgewählt anwenden
  • Spalten hinzufügen: Das Feld wird als Spalte hinzugefügt.
  • Kopieren: Die ausgewählten Felder und Werte werden in die Zwischenablage des Systems kopiert.

Tab „Details“ verwenden

Auf dem Tab Details werden die Details der Benachrichtigung angezeigt. Die Detailfelder variieren je nach Benachrichtigung.

Beispiel für Detailfelder:

• Name (immer Benachrichtigung)
• Typ
• Schweregrad
• Risikobewertung
• Status
• Priorität
• Erkannt
• Erkennungszeitfenster
• Erstellt
• Regel
• Regelsatz
• Beschreibung
• Tags

Tab „Variablen“ verwenden

Auf dem Tab Variablen werden das Feld, der Typ und der Wert jeder mit der Benachrichtigung verknüpften Variablen angezeigt.

Tab „Entitäten“ verwenden

Der Tab Entitäten wird nur angezeigt, wenn der Benachrichtigung eine Entität zugeordnet ist.

Auf dem Tab Entitäten werden die mit der Benachrichtigung verknüpften Entitäten angezeigt.

Klicken Sie auf eine Einheit, um das Dialogfeld Einheitenkontext aufzurufen. Es kann die folgenden Elemente enthalten:

• Assetname
• Erstmals erfasst
• Zuletzt erfasst
• IP-Adressen
• MAC-Adressen
• Anzahl der Benachrichtigungen
• Höchste Benachrichtigungsanzahl nach Regel
• Balkendiagramm für Benachrichtigungen im Zeitverlauf
• Link Benachrichtigungen und IOCs öffnen
• Link In Tab „Benachrichtigungen“ ansehen

Informationen auf dem Tab „Übersicht“ ansehen und verwalten

Auf dem Tab Übersicht haben Sie folgende Möglichkeiten:

• Prüfen Sie den Verlauf des Geräts (Zuerst gesehen, Zuletzt gesehen, MAC-Adressen).
• Prüfen, ob sich beobachtete Indikatoren mit aktiven Sicherheitsfällen oder ‑warnungen überschneiden

Auf dem Tab Übersicht werden das konsolidierte Entity Context Graph (ECG), Asset- oder Nutzerdetails und die Untersuchungsübersicht für Indicators of Compromise (IOCs) oder Entitäten angezeigt, die mit Ihrem aktiven Suchfenster übereinstimmen. Die angezeigten Informationen variieren je nach Informationstyp.

Auf dem Tab Übersicht werden Entitätsinformationen in einem der folgenden vordefinierten Informationstypen angezeigt:

• Asset-Details
• Domain details
• Dateidetails
• IP-Details
• Nutzerdetails

Asset-Details auf dem Tab „Übersicht“ ansehen

Wenn die Abfrage eine Bedingung enthält, die ein bestimmtes Asset zurückgibt, z. B. principal.hostname="laptop-will" oder principal.ip="10.0.0.76", wird auf dem Tab Übersicht die Asset-Ansicht mit Informationen in den folgenden Bereichen angezeigt:

• Suchzusammenfassung: Hier werden die folgenden Informationen angezeigt:
  • Details zum Element, einschließlich der IP-Adresse und der MAC-Adresse, die dem Asset im Suchzeitraum zugeordnet waren. Die IP-Adresse und die MAC-Adresse können auch verwendet werden, um eine Einheit zu identifizieren. Wenn Sie darauf klicken, werden zusätzliche Informationen in der Einheitenansicht angezeigt. Außerdem wird angezeigt, wann das Asset zum ersten Mal in Ihrem Unternehmen und wann es zuletzt gesehen wurde. Sie können auf einen der beiden Zeitstempel (erster oder letzter) klicken, um eine neue Suche mit dieser Zeit auszuführen.
  • Details zu Benachrichtigungen, einschließlich eines Diagramms, das die Anzahl der Benachrichtigungen zeigt, die die Entität im Suchzeitraum betrafen. Im Bereich wird auch eine Teilmenge von Regeln mit der höchsten Anzahl von Benachrichtigungen aufgeführt.
  • Klicken Sie auf Benachrichtigungen und IOCs öffnen, um alle Benachrichtigungen zu sehen, die im selben Suchzeitraum generiert wurden.
  • Klicken Sie auf Auf dem Tab „Benachrichtigungen“ ansehen, um auf dieser Seite zum Tab Benachrichtigungen und Erkennungen zu wechseln und eine neue Suche nach der ausgewählten Einheit zu starten.
  • Klicken Sie auf einen der Balken im Diagramm, um zum Tab Benachrichtigungen und Erkennungen auf dieser Seite zu wechseln und eine neue Suche für die ausgewählte Entität mit dem Zeitraum des angeklickten Balkens zu starten.
  • Klicken Sie auf den Link Mehr ansehen, um die Ansicht Entitätsfelder zu öffnen und alle mit dem Asset verknüpften Entitätsfelder aufzurufen. Wenn Sie ein Entitätsfeld in die Zwischenablage kopieren möchten, klicken Sie auf das Kästchen neben dem Entitätsfeld, dann auf Aktionen ansehen und anschließend auf Entität kopieren. Klicken Sie das Kästchen oben an, um alle Entitäten auszuwählen.
• Relevante IOCs: Zeigt IOCs an, die mit dem Asset verknüpft sind. IOCs mit einem höheren Schweregrad werden zuerst angezeigt. Wenn Sie auf den IOC-Namen klicken, wird rechts die Entitätsanzeige geöffnet.
• Verknüpfte Entitäten: Zeigt andere Entitäten an, die mit diesem Asset verknüpft sind, z. B. Nutzer, die sich beim Asset angemeldet haben. Im Bereich werden der Entitätstyp, der Zeitpunkt, zu dem die Entität zum ersten Mal in der Umgebung erkannt wurde, und der Zeitpunkt, zu dem sie zuletzt erkannt wurde, angezeigt. Außerdem werden alle Namespaces angezeigt, die mit einem Asset verknüpft sind. Klicken Sie auf eine Entität, um den Bereich Entitätskontext zu öffnen. Klicken Sie auf Alle Zeiträume anzeigen, um die zugehörigen Entitäten für den gesamten verfügbaren Zeitraum anzuzeigen, anstatt für den in der UDM-Suche angegebenen Bereich.
• Entitätskontext: Hier werden Details zur Entität angezeigt, die Sie im Bereich Zugeordnete Entitäten ausgewählt haben. In diesem Bereich werden je nach Art der Entität, die Sie im Bereich Zugeordnete Entitäten ausgewählt haben (z. B. Nutzer oder Domain), unterschiedliche Informationen angezeigt.

Domaindetails auf dem Tab „Übersicht“ ansehen

Wenn die Abfrage eine Bedingung enthält, die eine bestimmte Domain angibt, z. B. target.hostname="example.com", werden auf dem Tab Übersicht die Domaindetails mit Informationen in den folgenden Bereichen angezeigt:

• Suchzusammenfassung: Hier werden die folgenden Informationen angezeigt:
  • Details zur Domain, einschließlich der WHOIS-Informationen, die mit der registrierten Domain verknüpft sind, des ersten und des letzten (aktuellsten) Zeitpunkts, zu dem sie in Ihrem Unternehmen gesehen wurde. Klicken Sie auf VT-Kontext, um Informationen zur Domain von VirusTotal aufzurufen.
  • Details zu Benachrichtigungen, einschließlich eines Diagramms mit der Anzahl der Benachrichtigungen, in denen die Entität im Suchzeitraum vorkam. Im Bereich wird auch eine Teilmenge von Regeln mit der höchsten Anzahl von Benachrichtigungen aufgeführt.
  • Klicken Sie auf Warnungen und IOCs öffnen, um alle Warnungen aufzurufen, die im selben Suchzeitraum generiert wurden.
  • Klicken Sie auf Auf dem Tab „Benachrichtigungen“ ansehen, um auf dieser Seite zum Tab Benachrichtigungen und Erkennungen zu wechseln und eine neue Suche nach der ausgewählten Einheit zu starten.
  • Klicken Sie auf einen der Balken im Diagramm, um zum Tab Benachrichtigungen und Erkennungen auf dieser Seite zu wechseln und eine neue Suche für die ausgewählte Entität mit dem Zeitraum des angeklickten Balkens zu starten.
  • Klicken Sie auf den Link Mehr anzeigen, um die Ansicht Entitätsfelder zu öffnen und alle mit der Domain verknüpften Entitätsfelder anzuzeigen. Wenn Sie ein Entitätsfeld in die Zwischenablage kopieren möchten, klicken Sie auf das Kästchen neben dem Entitätsfeld, dann auf Aktionen ansehen und anschließend auf Entität kopieren. Klicken Sie oben auf das Kästchen, um alle Entitäten auszuwählen.
• Aufgelöste IP-Adressen: Zeigt alle aufgelösten IP-Adressen an, die in Ihrem Unternehmen für den voll qualifizierten Domainnamen (FQDN) gefunden wurden. Wenn Sie beispielsweise nach target.hostname="test.altostrat.com" suchen, werden in den Suchergebnissen möglicherweise zwei aufgelöste IP-Adressen (198.51.100.81 und 203.0.113.81) angezeigt.
• Subdomains und Domains auf gleicher Ebene: Zeigt alle zugehörigen Subdomains an, die in Ihrem Unternehmen für einen bestimmten FQDN gefunden wurden. Viele Angreifer verwenden für ihre Angriffe dieselbe Domain und Subdomain. Wenn Sie beispielsweise nach target.hostname="sandbox.altostrat.com" suchen, werden in diesem Bereich zwei Subdomains angezeigt: test.sandbox.altostrat.com und staging.sandbox.altostrat.com.
• Verbreitung von Assets: Zeigt die Anzahl der Assets in Ihrem Unternehmen an, die im gesamten Zeitraum der in Ihrem Google Security Operations-Konto gespeicherten Daten eine Verbindung zur Domain hergestellt haben. Jeder Balken im Diagramm stellt die Anzahl der eindeutigen Assets in Ihrem Unternehmen dar, die an einem UTC-Tag eine Verbindung zur Domain hergestellt haben. Wenn Sie den Mauszeiger auf einen Balken bewegen, werden die zugehörigen Entitäten am UTC-Tag angezeigt, der durch den Balken dargestellt wird. Klicken Sie auf den Namen der Entität, um die Zusammenfassung und Übersicht der Entität im Entitätskontextbereich rechts aufzurufen. Klicken Sie auf Ereignisse ansehen, um die Ereignisse im Zusammenhang mit der ausgewählten Entität auf dem Tab „Suchereignisse“ aufzurufen.
• Verknüpfte Entitäten: Zeigt andere Entitäten an, mit denen diese Domain verknüpft ist, z. B. Assets, die diese Domain kontaktiert haben. Die Liste enthält den Typ der Entität, wann sie zum ersten Mal in Ihrem Unternehmen gefunden wurde und wann sie zuletzt gefunden wurde. Klicken Sie auf eine Entität, um den Bereich Entitätskontext zu öffnen.
• Entitätskontext: Zeigt Details zur Entität an, die Sie im Bereich Verknüpfte Entitäten ausgewählt haben. In diesem Bereich werden je nach Art der Entität, die Sie im Bereich Verknüpfte Entitäten ausgewählt haben, unterschiedliche Informationen angezeigt (z. B. IP-Adresse oder Domain).

Dateidetails ansehen

Wenn die Abfrage eine Bedingung enthält, die eine einzelne Datei zurückgibt, z. B. principal.process.file.md5="a00000a75f2a35130aa7a7aaa09aaa7a", werden auf dem Tab Übersicht die Datei-Details mit Informationen in den folgenden Bereichen angezeigt:

• Suchzusammenfassung: Hier werden die folgenden Informationen angezeigt:
  • Details zur Datei, einschließlich Hash-Werten, Dateigröße, dem ersten Mal, dass sie in Ihrem Unternehmen gesehen wurde, und dem letzten (aktuellsten) Mal, dass sie gesehen wurde. Klicken Sie auf VT-Kontext, um Informationen zur Datei von VirusTotal aufzurufen.
  • Details zu Benachrichtigungen, einschließlich eines Diagramms, das die Anzahl der Benachrichtigungen zeigt, die die Entität im Suchzeitraum betrafen. Im Bereich wird auch eine Teilmenge von Regeln mit der höchsten Anzahl von Benachrichtigungen aufgeführt.
  • Klicken Sie auf Warnungen und IOCs öffnen, um alle Warnungen aufzurufen, die im selben Suchzeitraum generiert wurden.
  • Klicken Sie auf Auf dem Tab „Benachrichtigungen“ ansehen, um auf dieser Seite zum Tab Benachrichtigungen und Erkennungen zu wechseln und eine neue Suche nach der ausgewählten Einheit zu starten.
  • Klicken Sie auf einen der Balken im Diagramm, um auf dieser Seite zum Tab Benachrichtigungen und Erkennungen zu wechseln und eine neue Suche für die ausgewählte Einheit mit dem Zeitraum des angeklickten Balkens zu starten.
  • Klicken Sie auf den Link Mehr anzeigen, um die Ansicht Entitätsfelder zu öffnen und alle mit der Datei verknüpften Entitätsfelder anzuzeigen. Wenn Sie ein Entitätsfeld in die Zwischenablage kopieren möchten, klicken Sie auf das Kästchen neben dem Entitätsfeld, dann auf Aktionen ansehen und schließlich auf Entität kopieren. Klicken Sie oben auf das Kästchen, um alle Entitäten auszuwählen.
• Relevante IOCs: Zeigt mit der Datei verknüpfte IOCs an. IOCs mit einem höheren Schweregrad werden zuerst angezeigt. Wenn Sie auf den IOC-Namen klicken, wird rechts die Entitätsanzeige geöffnet.
• Verbreitung von Assets: Zeigt die Anzahl der Assets in Ihrem Unternehmen an, die mit der Datei für den gesamten Zeitraum der in Ihrem Google SecOps-Konto gespeicherten Daten verknüpft sind.
• Verknüpfte Entitäten: Zeigt andere Entitäten an, mit denen diese Datei verknüpft ist, z. B. ein Asset, auf dem diese Datei ausgeführt wurde, oder Nutzer, die auf die Datei zugegriffen haben. Die Liste enthält den Typ der Entität, wann sie zum ersten Mal in Ihrem Unternehmen gesehen wurde und wann sie zuletzt gesehen wurde. Klicken Sie auf eine Entität, um den Bereich Entitätskontext zu öffnen.
• VirusTotal-Attribute und ‑Metadaten: Hier werden Informationen zur Datei aus der VirusTotal-Datenbank angezeigt. Klicken Sie auf Mehr anzeigen, um ein VirusTotal-Dialogfeld zu öffnen und zusätzliche Informationen zur Datei aufzurufen.
• Verknüpfte Entitäten: Zeigt je nach dem im Bereich Verknüpfte Entitäten ausgewählten Entitätstyp (z. B. Nutzer oder Asset) unterschiedliche Informationen an.
• Entitätskontext: Zeigt Details zur Entität an, die Sie im Bereich Verknüpfte Entitäten ausgewählt haben. In diesem Bereich werden je nach Art der Entität, die Sie im Bereich Verknüpfte Entitäten ausgewählt haben (z. B. Nutzer oder Asset), unterschiedliche Informationen angezeigt.

IP-Details auf dem Tab „Übersicht“ ansehen

Wenn die Abfrage eine Bedingung enthält, die eine bestimmte externe IP-Adresse zurückgibt, z. B. target.ip="203.0.113.254", werden auf dem Tab Übersicht die IP-Details mit Informationen in den folgenden Bereichen angezeigt:

• Zusammenfassung der Suche: Hier werden die folgenden Informationen angezeigt:
  • Details zur IP-Adresse, einschließlich des ersten und letzten (aktuellsten) Auftretens in Ihrem Unternehmen. Klicken Sie auf VT-Kontext, um die von VirusTotal verfügbaren Informationen zu dieser IP-Adresse aufzurufen.
  • Details zu Benachrichtigungen, einschließlich eines Diagramms, das die Anzahl der Benachrichtigungen zeigt, die die Entität im Suchzeitraum betrafen. Im Bereich wird auch eine Teilmenge von Regeln mit der höchsten Anzahl von Benachrichtigungen aufgeführt.
  • Klicken Sie auf Warnungen und IOCs öffnen, um alle Warnungen aufzurufen, die im selben Suchzeitraum generiert wurden.
  • Klicken Sie auf Auf dem Tab „Benachrichtigungen“ ansehen, um auf dieser Seite zum Tab Benachrichtigungen und Erkennungen zu wechseln und eine neue Suche nach der ausgewählten Einheit zu starten.
  • Klicken Sie auf einen der Balken im Diagramm, um zum Tab Benachrichtigungen und Erkennungen auf dieser Seite zu wechseln und eine neue Suche für die ausgewählte Entität mit dem Zeitraum des angeklickten Balkens zu starten.
  • Klicken Sie auf den Link Mehr anzeigen, um die Ansicht Entitätsfelder zu öffnen und alle mit der IP-Adresse verknüpften Entitätsfelder anzuzeigen. Wenn Sie ein Entitätsfeld in die Zwischenablage kopieren möchten, klicken Sie auf das Kästchen neben dem Entitätsfeld, dann auf Aktionen ansehen und schließlich auf Entität kopieren. Klicken Sie das Kästchen oben an, um alle Entitäten auszuwählen.
• Relevante IOCs: Hier werden IOCs angezeigt, die mit der IP-Adresse verknüpft sind. IOCs mit einem höheren Schweregrad werden zuerst angezeigt. Wenn Sie auf den IOC-Namen klicken, wird rechts die Entitätsanzeige geöffnet.
• Verbreitung von Assets: Zeigt die Anzahl der Assets in Ihrem Unternehmen an, die im in der UDM-Suche angegebenen Zeitraum eine Verbindung zur IP-Adresse hergestellt haben.
• Verknüpfte Entitäten: Zeigt andere Entitäten an, mit denen diese IP-Adresse verknüpft ist, z. B. Domains, für die die IP-Adresse registriert ist. Die Liste enthält den Typ der Entität, wann sie zum ersten Mal in Ihrem Unternehmen gefunden wurde und wann sie zuletzt gefunden wurde. Klicken Sie auf eine Entität, um den Bereich Entitätskontext zu öffnen.
• Entitätskontext: Hier werden Details zur Entität angezeigt, die Sie im Bereich Zugeordnete Entitäten ausgewählt haben. In diesem Bereich werden je nach Art der Entität, die Sie im Bereich Verknüpfte Entitäten ausgewählt haben (z. B. Domain oder Asset), unterschiedliche Informationen angezeigt. Wenn der Link angezeigt wird, klicken Sie auf VT-Kontext, um Informationen zur Entität von VirusTotal aufzurufen.

Nutzerdetails auf dem Tab „Übersicht“ ansehen

Wenn die Abfrage eine Bedingung enthält, die einen bestimmten Nutzer zurückgibt, z. B. principal.user.userid="alice", werden auf dem Tab Übersicht die Nutzerdetails mit Informationen in den folgenden Bereichen angezeigt:

• Zusammenfassung der Suche: Hier werden die folgenden Informationen angezeigt:
  • Details zur Entität, einschließlich des vollständigen Namens, des ersten und letzten (aktuellsten) Auftretens in Ihrem Unternehmen, des Titels und der E-Mail-Adresse.
  • Details zu Benachrichtigungen, einschließlich eines Diagramms mit der Anzahl der Benachrichtigungen, in denen die Entität im Suchzeitraum vorkam. Im Bereich wird auch eine Teilmenge von Regeln mit der höchsten Anzahl von Benachrichtigungen aufgeführt.
  • Klicken Sie auf Warnungen und IOCs öffnen, um alle Warnungen aufzurufen, die im selben Suchzeitraum generiert wurden.
  • Klicken Sie auf Auf dem Tab „Benachrichtigungen“ ansehen, um auf dieser Seite zum Tab Benachrichtigungen und Erkennungen zu wechseln und eine neue Suche nach der ausgewählten Einheit zu starten.
  • Klicken Sie auf einen der Balken im Diagramm, um zum Tab Benachrichtigungen und Erkennungen auf dieser Seite zu wechseln und eine neue Suche für die ausgewählte Entität mit dem Zeitraum des angeklickten Balkens zu starten.
  • Klicken Sie auf den Link Mehr anzeigen, um die Ansicht Entitätsfelder zu öffnen und alle mit dem Nutzer verknüpften Entitätsfelder anzuzeigen. Wenn Sie ein Entitätsfeld in die Zwischenablage kopieren möchten, klicken Sie auf das Kästchen neben dem Entitätsfeld, dann auf Aktionen ansehen und schließlich auf Entität kopieren. Klicken Sie oben auf das Kästchen, um alle Entitäten auszuwählen.
• Zugeordnete Entitäten: Hier werden Entitäten angezeigt, die mit diesem Nutzer in Verbindung stehen, z. B. Domains, mit denen der Nutzer Kontakt aufgenommen hat, oder Assets, auf die der Nutzer zugegriffen hat. Die Liste enthält den Typ der Entität, wann sie zum ersten Mal in Ihrem Unternehmen gefunden wurde und wann sie zuletzt gefunden wurde. Klicken Sie auf eine Entität, um den Bereich Entitätskontext zu öffnen.
• Entitätskontext: Zeigt Details zur Entität an, die Sie im Bereich Verknüpfte Entitäten auswählen. Die Informationen in diesem Bereich variieren je nach Art des Rechtssubjekts (z. B. Asset oder Domain).

Informationen auf dem Tab „Visualisieren“ ansehen und verwalten

Auf dem Tab Visualisieren können Sie die Daten aus Ihren STATS-Suchergebnissen in ein Diagramm, eine Grafik oder eine Tabelle umwandeln.

Gängige Tools für Tabellen verwenden

Auf der Seite SIEM Search werden in den meisten Feldern, die eine einzelne Tabelle enthalten, dieselben allgemeinen Funktionen und Tools unterstützt.

In diesem Abschnitt werden die folgenden gängigen Funktionen und Tools beschrieben:

• Suchfeld Über das Suchfeld können Sie in der angrenzenden Tabelle nach übereinstimmenden Ergebnissen suchen.
• Tabellenspalten verwalten und Spaltensätze freigeben (Spaltenmanager)
•  Schaltfläche Zeilenumbruch – Zeilenumbruch aufheben Es ist hilfreich, Text umzubrechen, um lange Strings in einer Spalte vollständig zu sehen.
• Suchergebnisse aus einer Tabelle herunterladen
• Zeilen pro Seite unten in der Tabelle. Mit diesem Tool können Sie die Stabilität und Leistung des Browsers verbessern, wenn eine große Anzahl von Ergebniseinträgen (Zeilen) geladen wird. Google SecOps bietet paginierte Suchergebnisse. Wählen Sie in der Tabelle Ereignisse in der Liste Zeilen pro Seite die Anzahl der Zeilen aus, die pro Seite angezeigt werden sollen (10 bis 1.000 Ereignisse).

Tabellenspalten verwalten und Spaltensätze freigeben (Spaltenmanager)

Wenn Sie eine einheitliche Ansicht für die Analyse von Ereignisdaten verwenden möchten, können Sie benutzerdefinierte Spaltengruppen für die folgenden Tabellen auf der Seite SIEM-Suche erstellen, speichern und freigeben:

• Gehen Sie im Bereich Ergebnisse für die folgenden Tabellen so vor: Ereignisse, Rohlogs, Joins
• Auf dem Tab Benachrichtigungen und Erkennungen in der Tabelle Erkennungen.

Damit Sie diese Funktion verwenden können, muss Ihr Nutzerkonto oder Ihre IAM-Rolle (Identity and Access Management) alle fünf der folgenden Berechtigungen haben:

• chronicle.googleapis.com/savedColumnSets.create
• chronicle.googleapis.com/savedColumnSets.update
• chronicle.googleapis.com/savedColumnSets.delete
• chronicle.googleapis.com/savedColumnSets.list
• chronicle.googleapis.com/savedColumnSets.get

Hinweis: Der Tab Statistiken unterstützt nur eine Spaltenauswahl, in der Sie nur Spalten hinzufügen oder entfernen können. Der Tab Statistiken unterstützt die Funktion Spaltenmanager nicht.

Spaltengruppe erstellen

Die Schritte zum Erstellen eines Spaltensatzes variieren leicht, je nachdem, mit welcher Tabelle Sie arbeiten.

So erstellen Sie einen Spaltensatz für die Tabelle Ereignisse, Rohlogs oder Joins:

1. Klicken Sie auf  Spalten, um den Spaltenmanager zu öffnen.
2. Klicken Sie auf das Symbol filter_alt Filter, um anzugeben, ob nicht anwendbare Spalten angezeigt werden sollen.
3. Klicken Sie auf die Ein/Aus-Schaltfläche Auswahl anzeigen, um auf dem Tab Ereignisspalten nur die ausgewählten Spalten anzuzeigen.
4. Fügen Sie auf dem Tab Ereignisspalten Spalten für Ihre Spaltenauswahl hinzu oder entfernen Sie sie. Sie können Felder in ein- und ausblendbaren Bereichen durchsuchen oder nach ihnen suchen. Die Bereiche variieren je nach Art des Suchergebnisses, z. B. Schnellfelder (die häufigsten Felder pro Datentyp), Gruppierte Felder, Alle Ereignisfelder und Alle Entitätsfelder. Aktivieren oder deaktivieren Sie die Kästchen, um Spalten ein- oder auszublenden.
5. Ordnen Sie die Spalten an und klicken Sie dann auf Speichern. Das Dialogfeld Spaltengruppe speichern wird geöffnet.
6. Wählen Sie eine der folgenden Optionen aus:
   • Speichern: Geben Sie einen neuen Namen für die Spaltenauswahl ein.
   • Ersetzen: Wenn Sie eine zuvor gespeicherte Gruppe geändert haben, können Sie die vorhandene Gruppe mit Ihren Änderungen überschreiben.
7. Klicken Sie auf Speichern. Die Spaltengruppe wird auf dem Tab Spaltengruppen aufgeführt.

So erstellen Sie einen Spaltensatz für die Tabelle Erkennungen:

1. Klicken Sie auf Spalten, um den Spaltenmanager zu öffnen.
2. Klicken Sie auf das Symbol filter_alt Filter, um anzugeben, ob nicht anwendbare Spalten angezeigt werden sollen.

3. Wählen Sie in der Liste Tabellentyp den Tabellentyp aus, für den Sie einen Spaltensatz erstellen möchten:

   • Erkennungen
   • Ereignisse
   • Entitäten (Tabellenzeilen maximieren, um Spalten anzuzeigen)

   Änderungen an einem bestimmten Tabellentyp gelten nur für Tabellen und untergeordnete Tabellen dieses Typs.

4. Klicken Sie auf den Schalter Auswahl anzeigen, um nur die ausgewählten Spalten auf dem entsprechenden Tab (Spalten für Erkennungen, Spalten für Ereignisse oder Spalten für Entitäten) anzeigen zu lassen.

5. Fügen Sie auf dem entsprechenden Tab Spalten für Ihren Spaltensatz hinzu oder entfernen Sie sie. Sie können Felder in minimierbaren Abschnitten durchsuchen, die je nach Art des Suchergebnisses variieren. Aktivieren oder deaktivieren Sie die Kästchen, um Spalten ein- oder auszublenden.

6. Ordnen Sie die Spalten an und klicken Sie dann auf Speichern. Das Dialogfeld Spaltengruppe speichern wird geöffnet.

7. Wählen Sie eine der folgenden Optionen aus:

   • Speichern: Geben Sie einen neuen Namen für die Spaltenauswahl ein.
   • Ersetzen: Wenn Sie eine zuvor gespeicherte Gruppe geändert haben, können Sie die vorhandene Gruppe mit Ihren Änderungen überschreiben.

8. Klicken Sie auf Speichern. Die Spaltengruppe wird auf dem Tab Spaltengruppen aufgeführt.

Spaltengruppe teilen

So geben Sie ein Spaltenset für alle anderen Nutzer in Ihrem Google SecOps-Mandanten frei:

1. Klicken Sie auf  Spalten, um den Spaltenmanager zu öffnen.
2. Fügen Sie auf dem Tab Ereignisspalten Spalten für Ihre Spaltenauswahl hinzu oder entfernen Sie sie. Sie können Felder in minimierbaren Abschnitten durchsuchen, die je nach Typ des Suchergebnisses variieren, z. B. Schnellfelder (die häufigsten Felder pro Datentyp), Gruppierte Felder, Alle Ereignisfelder und Alle Entitätsfelder. Aktivieren oder deaktivieren Sie die Kästchen, um Spalten ein- oder auszublenden.
3. Ordnen Sie die Spalten an und klicken Sie dann auf Teilen. Das Dialogfeld Spaltensatz freigeben wird geöffnet.
4. Wählen Sie eine der folgenden Optionen aus:
   • Neue Gruppe freigeben: Geben Sie einen neuen Namen für die freizugebende Spaltengruppe ein.
   • Vorhandene teilen: Wählen Sie ein zuvor gespeichertes Set aus der Liste aus.
5. Klicken Sie auf Freigeben. Die Spaltengruppe wird auf dem Tab Spaltengruppen mit dem Badge FREIGEGEBEN aufgeführt.

Gespeicherte Spaltengruppe laden

So laden Sie einen gespeicherten Spaltensatz:

1. Klicken Sie auf  Spalten, um den Spaltenmanager zu öffnen.
2. Wählen Sie den Tab Spaltensätze aus.
3. Wählen Sie den zu ladenden Spaltensatz aus und klicken Sie auf Übernehmen.

Gespeicherte Spaltengruppe löschen

So löschen Sie einen gespeicherten Spaltensatz:

1. Klicken Sie auf Spalten, um den Spaltenmanager zu öffnen.
2. Wählen Sie den Tab Spaltensätze aus.
3. Wählen Sie die Spaltengruppe aus und klicken Sie auf Mehr > Löschen.

Suchergebnisse aus einer Tabelle herunterladen

Sie können eine CSV-Datei mit dem Inhalt einer Tabelle, die auf der Seite SIEM-Suche angezeigt wird, herunterladen und speichern. Für die Tabelle Ereignisse oder eine Pivot-Tabelle gibt es auch die Option, die ursprünglichen Rohlogs zu bündeln. So können Sie eine genaue Korrelation zwischen geparsten UDM-Einträgen und ihrer Quelltelemetrie herstellen. Diese Funktion ist für Teams gedacht, die externe Analysen, Audit-Trails für die Compliance (bei denen die Beziehung zwischen normalisierten Daten und der ursprünglichen Aufnahme erhalten bleiben muss) oder externe Korrelationen benötigen.

So laden Sie Suchergebnisse (bis zur angegebenen maximalen Anzahl von Suchergebnissen) aus der Tabelle Ereignisse herunter:

1. Optional: Verwenden Sie den Spaltenmanager, um anzugeben, welche UDM-Felder in die CSV-Datei aufgenommen werden sollen. Die Spalte Rohprotokoll wird basierend auf Ihrer Auswahl angehängt.

2. Klicken Sie oben in der Tabelle auf Herunterladen und wählen Sie eine der folgenden Optionen aus:

   • Als CSV-Datei herunterladen: Mit dieser Option werden die übereinstimmenden Ereignisse (und entsprechend der angezeigten genauen Anzahl der angegebenen Ereignisse) heruntergeladen.
   • Als CSV-Datei herunterladen (mit Rohdatenlogs): Die übereinstimmenden Ereignisse werden heruntergeladen und die ursprünglichen, nicht geparsten Logstrings werden als eigene Spalte neben jedem normalisierten UDM-Eintrag angehängt (entsprechend der angezeigten genauen Anzahl der angegebenen Ereignisse).

3. Speichern Sie die Datei.

So laden Sie Suchergebnisse (bis zur angegebenen maximalen Anzahl von Suchergebnissen) aus Tabellen auf dem Tab Ergebnis herunter, mit Ausnahme des Bereichs Ereignisse oder Pivot:

1. Klicken Sie oben in der Tabelle auf  Herunterladen und wählen Sie Als CSV-Datei herunterladen aus. Dadurch werden die übereinstimmenden Ergebnisse (und die angezeigte genaue Anzahl der angegebenen Ereignisse) heruntergeladen.
2. Speichern Sie die Datei.

So laden Sie Suchergebnisse (bis zur angegebenen maximalen Anzahl von Suchergebnissen) aus der Tabelle Erkennungen herunter:

1. Klicken Sie oben in der Tabelle auf  Herunterladen und wählen Sie Als CSV-Datei herunterladen aus. Dadurch werden die übereinstimmenden Ergebnisse (und die angezeigte genaue Anzahl der angegebenen Ereignisse) heruntergeladen.
2. Speichern Sie die Datei.

Unterstützte Felder beim Speichern einer CSV-Datei

Sie können die folgenden Felder als CSV-Datei von der Plattform herunterladen:

• user
• hostname
• process name
• timestamp
• raw log: Nur gültig, wenn für den Kunden Rohlogs aktiviert sind
• Alle Felder, die mit udm.additional beginnen

Gültige Feldtypen beim Speichern einer CSV-Datei

Sie können die folgenden Feldtypen in eine CSV-Datei herunterladen:

• double
• float
• int32
• uint32
• int64
• uint64
• bool
• string
• enum
• bytes
• google.protobuf.Timestamp
• google.protobuf.Duration

Nicht unterstützte Felder beim Speichern einer CSV-Datei

Felder, die eines der folgenden Kriterien erfüllen, können nicht als CSV-Datei heruntergeladen werden:

• Feldtyp: Datentypen, die im UDM-Proto als Nachricht oder Gruppe definiert sind.
• Feldtiefe: Felder, die mehr als 10 Ebenen tief verschachtelt sind.

• Bestimmte UI-Felder: Die folgenden in der UI angezeigten Felder werden für den direkten Download nicht unterstützt:

  • Ereignisfelder:

    • Ereignisstatus
    • Ereigniszusammenfassung

    • Ereignistyp

      Hinweis :Wenn Sie den Ereignistyp herunterladen möchten, wählen Sie im Spaltenmanager das Feld metadata.event_type aus.

  • Entitätskontextdiagramm:

    • Zuerst erfasst
    • Zuletzt erfasst
    • Zeitstempel

  • Föderierte Suche:

    • Instanzcode

Limits und Kontingente

Google SecOps erzwingt Limits für Suchanfragen, um die Plattformstabilität und eine konsistente Leistung über programmatische und Weboberflächen hinweg zu gewährleisten. Diese Limits gelten sowohl für die Backstory API als auch für die Chronicle API.

Kontingente für Suche und API

Die folgenden Limits gelten für die Anzahl der Suchanfragen und gleichzeitigen Vorgänge pro Mandant:

• Abfragen pro Stunde (QPH): Limit für die Webkonsole: 1.000 QPH; Limit für den programmatischen API-Zugriff: 2.000 QPH.

• Einfache Abfragen (weniger als 24 Stunden, eine Quelle, keine Statistiken): Maximales Limit für die Nebenläufigkeit von 180 gleichzeitigen Abfragen pro Mandant.

  Wenn Ihr Pool für einfache Abfragen erschöpft ist, werden Ihre Vorgänge automatisch in Ihr verfügbares Kontingent für komplexe Abfragen übertragen.

• Komplexe Abfragen (über mehr als 24 Stunden, mit mehreren Quellen oder mit Statistiken): Maximales Limit für die Nebenläufigkeit von 180 gleichzeitigen Abfragen pro Mandant.

• Limit für UDM-Felder in Prompts: Eine einzelne Abfrage darf maximal 100 UDM-Felder im Prompt enthalten.

Kontingentfehler

Wenn ein Limit erreicht ist, wird in der Weboberfläche eine dauerhafte Benachrichtigung über einen Kontingentfehler angezeigt. Beim programmatischen Zugriff geben API-Aufrufe (z. B. instances.udmSearch) einen HTTP-Statusfehler 429 RESOURCE_EXHAUSTED mit einer google.rpc.QuotaFailure-Nachricht zurück, in der das überschrittene Limit angegeben ist.

Grenzen für Ergebnismengen und Anzeige

Verwenden Sie Sucheinstellungen  > Maximale Anzahl der zurückzugebenden Ergebnisse, um das Backend-Limit anzupassen (1 bis 1.000.000, Standardwert 30.000).

Um eine konsistente Plattformstabilität und schnelle Antwortzeiten über Web- und API-Schnittstellen hinweg zu gewährleisten, gelten in Google SecOps die folgenden Limits:

Suchtyp oder Datenquelle	Maximale Anzahl der zurückgegebenen Ergebnisse	Anzeigeverhalten in der Webkonsole
UDM-Ereignissuche	1.000.000 Einträge	Sie werden direkt im Bereich Ereignisse auf dem Tab Ergebnisse angezeigt. Zeigt die neuesten Einträge auf paginierten Zeilen an (10 bis 1.000 pro Seite).
Datentabellen und Joins	1.000.000 Einträge	Korrelierte Zeilen werden im Bereich Ereignisse auf dem Tab Ergebnisse basierend auf der Konfiguration des Spaltenmanagers angezeigt.
Fälle und Fallverlauf	1.000.000 Einträge	Sie werden direkt in den Bereichen Fälle und Fallverlauf auf dem Tab Ergebnisse angezeigt. Wird im Kontext Übersicht oder über Abfragen vom Typ Fälle suchen angezeigt.
Statistik	100.000 Datensätze (nur Benutzeroberfläche und API für Vorgänge mit langer Ausführungszeit)	Sie werden direkt im Bereich Statistiken auf dem Tab Ergebnisse angezeigt. Diagramme rendern die wichtigsten Werte, um die Lesbarkeit zu verbessern. Wenn die visuellen Grenzwerte überschritten werden, wird eine Warnung angezeigt.
Pivot-Aggregationen (Ergebnisse > Pivot)	100.000 Datensätze	Diagramme rendern die wichtigsten Werte, um die Lesbarkeit zu verbessern. Wenn die visuellen Grenzwerte überschritten werden, wird eine Warnung angezeigt.
Regelerkennungen	100.000 Datensätze	Sie werden direkt auf dem kombinierten Tab Benachrichtigungen und Erkennungen angezeigt.
Entitätskontextdiagramm (ECG)	1.000.000 Einträge	Sie werden auf dem Tab Ergebnisse in den Bereichen Zeitbezogene Daten und Zeitlose Daten angezeigt. In der Tabelle im Bereich Zeitbezogene Daten werden Entitäten mit einem definierten Zeitraum angezeigt. In der Tabelle auf dem Tab Zeitlose Daten werden Entitäten angezeigt, für die kein Zeitraum definiert ist. Es ist möglich, dass in der Benutzeroberfläche nur zeitlose oder nur zeitbezogene Einheiten oder jedes Mal, wenn die Abfrage ausgeführt wird, eine andere Mischung aus beiden angezeigt wird. Weitere Informationen finden Sie unter Bereiche „Zeitgebundene Daten“ und „Zeitlose Daten“ verwenden.

Suchergebnisse optimieren und verfeinern

In diesem Abschnitt werden Leistungsbeschränkungen und Erwartungen beschrieben. Außerdem finden Sie hier Self-Service-Lösungen für häufige Probleme mit der Seite SIEM Search in Google Security Operations.

Leistungsoptimierung und Best Practices

So optimieren Sie die Abfragegeschwindigkeit und minimieren das Risiko von Zeitüberschreitungen:

• Zeitfenster eingrenzen: Der Zeitfilter ist der effektivste Filter. Die Abfrage des genauen 2-Stunden-Fensters eines Vorfalls ist exponentiell schneller als die Suche in einem 30-Tage-Fenster.
• Genaue UDM-Felder anstelle von gruppierten Aliasen abfragen: Gruppierte Felder (ip = "1.2.3.4") sind zwar praktisch, zwingen die Engine jedoch, mehr als 15 zugrunde liegende Felder (principal.ip, target.ip, observer.ip) zu prüfen. Wenn Sie wissen, dass eine IP-Adresse zum Zielserver gehört, fragen Sie target.ip = "1.2.3.4" direkt ab.
• Vermeiden Sie führende Platzhalter in regulären Ausdrücken: Abfragen, die mit einem Platzhalter (principal.hostname = /.*server-.*/) beginnen, verhindern Indexsuchen und erzwingen vollständige Tabellenscans. Verankern Sie Ihren regulären Ausdruck, wenn möglich (principal.hostname = /^prod-server-.*/).
• Indexierte Metadaten nutzen: Filtern Sie früh in der AND-Kette nach metadata.event_type (NETWORK_CONNECTION, PROCESS_LAUNCH, USER_LOGIN) oder metadata.log_type, um irrelevante Logquellen sofort zu entfernen.
• limit: N für schnelle Stichprobenerhebung und schnelle Vorschauen verwenden: Sie können das Keyword limit: N direkt in Ihre Abfrage einfügen (z. B. metadata.event_type = "USER_LOGIN" limit: 50), um schnelle Stichprobenerhebung und Vorschauen zu erhalten.

Best Practices für weitgehend passende Suchanfragen

Wenn Ihre Suche zu weit gefasst ist, wird in Google SecOps eine Warnmeldung angezeigt, dass nicht alle Suchergebnisse angezeigt werden können. In solchen Fällen ruft das System nur die neuesten Ergebnisse ab, bis zum Suchlimit von einer Million Ereignissen und 1.000 Benachrichtigungen. Es gibt jedoch möglicherweise viele weitere übereinstimmende Ereignisse und Benachrichtigungen, die nicht angezeigt werden.

Wenn Sie alle relevanten Ergebnisse erfassen möchten, können Sie Ihre Suche durch zusätzliche Filter verfeinern, z. B.:

• Verkleinern Sie den Zeitraum, um die Dataset-Größe zu reduzieren.
• Verwenden Sie spezifische Suchanfragen oder Filter anstelle von allgemeinen Begriffen.
• Fragen Sie genaue UDM-Felder anstelle von gruppierten Feldern ab, wenn Sie Ergebnisse für ein einzelnes Feld benötigen.

Abfragen debuggen und optimieren

In diesem Abschnitt wird beschrieben, wie Sie Abfragen debuggen und optimieren.

Laufzeitfehler ansehen

Wenn bei Ihrer Abfrage ein Fehler auftritt, wird die entsprechende Laufzeitfehlermeldung dauerhaft im Bereich Ergebnisse angezeigt. Durch diese dauerhafte Anzeige bleibt der Fehlerkontext sichtbar, was Ihnen bei der Fehlerbehebung und -behebung hilft.

Suchergebnisse einschränken

Sie können die Suchergebnisse einschränken, indem Sie das Keyword limit mit der maximalen Anzahl von Suchergebnissen hinzufügen, die angezeigt werden sollen. Das ist nützlich, um schnelle Vorschauen von Daten zu generieren, die Leistung zu optimieren oder wenn Sie nur eine Teilmenge der Ergebnisse benötigen. Wenn Sie Ihrer Suche beispielsweise limit: 25 hinzufügen, werden die Ergebnisse auf maximal 25 beschränkt.

Hinweis: Sie können das Keyword limit auch benutzerdefinierten Dashboards hinzufügen.

Große Datasets untersuchen

Google SecOps unterstützt die Rückgabe und Navigation von bis zu 1 Million Ergebnissen. So können Sie große Datasets direkt in der Weboberfläche untersuchen, ohne Ergebnisse exportieren zu müssen. Bei umfangreichen Suchanfragen sind die sichtbaren Felder standardmäßig begrenzt.

Hinweis :Nachdem die Ergebnisse geladen wurden, können Sie Filter anwenden, um die Daten zu verfeinern, ohne die Suche noch einmal auszuführen. So können Sie die Ergebnismengen schnell eingrenzen.

Ergebnislimits für Datenquellen

In der folgenden Tabelle ist die maximale Anzahl der Ergebnisse aufgeführt, die für jede Datenquelle zurückgegeben werden:

Suchtyp oder Datenquelle	Maximale Anzahl von Ereignissen oder Zeilen in Suchergebnissen
UDM	1.000.000
ECG	1.000.000
Datentabelle	1.000.000
UDM-Join	1.000.000
UDM-zu-ECG-Join	1.000.000
UDM-Join mit Datentabelle	1.000.000
Fälle und Fallverlauf	1.000.000
Statistik	100.000
Erkennungen	100.000

Hinweis :Die Limits sind unabhängig davon, ob Sie die Plattform oder die API verwenden. Informationen zu den API-Limits finden Sie unter Asynchrone Such-APIs.

Filter hinzufügen, um die Abfrage zu verfeinern

So fügen Sie einen Filter hinzu, um Ihre Abfrage zu verfeinern:

1. Klicken Sie auf der Seite SIEM-Suche auf filter_listFilter hinzufügen. Ein Dialogfeld wird geöffnet, in dem Sie ein Feld auswählen und Feldwerte einblenden (=) oder herausfiltern (!=) können.

2. Konfigurieren Sie die Dialogparameter.

   

   Abbildung 8. Beispiel für das Dialogfeld „Filter“

3. Klicken Sie auf Übernehmen. Der Filter wird neben dem Button filter_list Filter hinzufügen angezeigt und alle Suchergebnisse werden entsprechend gefiltert.

4. Optional: Führen Sie einen der folgenden Schritte aus:

   • Wenn Sie den Filter automatisch in den Abfrageeditor einfügen und die Suche ausführen möchten, klicken Sie auf Auf Suche anwenden und ausführen.
   • Wenn Sie den Filter löschen möchten, klicken Sie auf Löschen.

Hinweis :Die Schaltfläche Löschen ist nur verfügbar, bevor Sie auf Auf Suche und Ausführung anwenden klicken.

Fehlerbehebung

Wenn Sie eine allgemeine Fehlermeldung wie Error: Search has encountered an error and could not load data erhalten, gehen Sie so vor, um das Problem zu beheben:

• Stellen Sie über ein anderes Netzwerk eine Verbindung zu Google SecOps her. Sie können beispielsweise eine Cloud-VM verwenden, um Netzwerkprobleme zu identifizieren.
• Achten Sie darauf, dass Chronicle API-Aufrufe durch die Firewall-, Proxykonfiguration oder Richtlinie Ihrer Organisation zugelassen werden.
• Achten Sie darauf, dass für Search API-Aufrufe kein Datenlimit konfiguriert ist, da Suchanfragen große Datasets zurückgeben können.
• Prüfen Sie, ob Zeitüberschreitungen konfiguriert sind. Suchanfragen können asynchron ausgeführt werden und es kann länger dauern, bis Daten zurückgegeben werden. Wenn Zeitlimits festgelegt sind, achten Sie darauf, dass sie eine ausreichende Dauer zulassen, z. B. 60 Minuten, bevor die Abfrage das Zeitlimit überschreitet.

Wenn der Fehler weiterhin auftritt, wende dich an den Kundensupport.

Nächste Schritte

Weitere Informationen zu Suchanfragen finden Sie hier:

• Suchsyntax enthält Details und Beispiele zur YL2-Syntax, die zum Erstellen und Abfragen von Datenwerten, Escapes und Operatoren im Abfrageeditor erforderlich ist.
• Best Practices für die Google Suche
• Fälle und Fallverlauf in der einheitlichen Suche suchen
• UDM-Suchanfragen mit Gemini generieren:
• Kontextbezogene Daten in der Suche verwenden

Weitere Informationen zu Suchergebnissen finden Sie hier:

• Entität mit der UDM-Suche untersuchen
• Unter Erkennungen in der Suche untersuchen wird beschrieben, wie Sie den Tab Benachrichtigungen und Erkennungen auf der Seite SIEM-Suche verwenden.
• Unter Datenverfügbarkeit für die Suche finden Sie Details zum Lebenszyklus der Datenaufnahme, einschließlich des End-to-End-Datenflusses und der Latenz, sowie Informationen dazu, wie sich diese Faktoren auf die Verfügbarkeit kürzlich aufgenommener Daten für Abfragen und Analysen auswirken.
• Unter UDM-Suche im Vergleich zu Regelergebnissen wird beschrieben, wie Sie UDM-Suchanfrageergebnisse mit Live-Erkennungsregeln vergleichen.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten