Suchfunktion verstehen

Unterstützt in:

Google SecOps SIEM

Dieser Leitfaden richtet sich an Sicherheitsanalysten, die Sicherheitsdaten in ihrem Unternehmen in Google Security Operations über die Seite SIEM-Suche abfragen, korrelieren und analysieren möchten. Die Seite SIEM-Suche dient als zentraler Navigations-Hub für alle unterstützten Datenstreams und integriert zusätzliche Telemetrie- und Statusquellen. Dieser Leitfaden enthält Anleitungen und Erläuterungen zu allen grundlegenden Funktionen und Features der Seite SIEM-Suche.

Schlüsselterminologie

• Unified Data Model (UDM): Ein standardisiertes Datenformat, das in Google SecOps verwendet wird, um Sicherheitsereignisse aus verschiedenen Quellen einheitlich darzustellen.
• Ereignis: Ein Ereignis wird aus einer Rohprotokollquelle generiert, die in Google SecOps aufgenommen und vom Aufnahme- und Normalisierungsprozess von Google SecOps verarbeitet wird. Aus einem einzelnen Rohprotokoll-Quelldatensatz können mehrere Ereignisse generiert werden. Ein Ereignis stellt eine Reihe von sicherheitsrelevanten Datenpunkten dar, die aus diesem Rohlog generiert werden. Auf der Seite SIEM-Suche sind Ereignisse normalisierte UDM-Ereignistelemetrie und Rohprotokolleinträge, die Ihrer Suchanfrage entsprechen.
• Benachrichtigung: Auf der Seite SIEM-Suche wird eine Benachrichtigung als Regelerkennung mit aktivierten Benachrichtigungen definiert. Weitere Informationen finden Sie unter Regel für Live-Daten ausführen.
• Rohlogs: Ungeparste Log-Telemetriedaten. Das primäre Diagnoseziel ist die Überwachung der Aufnahme und des Parsings.
• Joins: Mit Joins werden Rohdaten aus mehreren Quellen anhand gemeinsamer Feldwerte korreliert und kombiniert. Durch die Verknüpfung zusammengehöriger Ereignisse, Entitäten und anderer Daten können Sie komplexe Angriffsszenarien untersuchen. Sie können nach statistischen Joins suchen, für die ein Abgleichbereich erforderlich ist, um Ergebnisse zu aggregieren, oder nach Zusammenführungen von Daten, die die vollständigen Ereignis- oder Entitätsdaten abrufen und ohne Aggregation anzeigen. Weitere Informationen finden Sie unter Joins in der Suche und in Dashboards anwenden und Joins ohne Abschnitt „match“ implementieren.
• Statistiken: UDM-Ereignisse, deren Ergebnisse für die statistische Analyse gruppiert sind. Weitere Informationen finden Sie unter Suchdaten mit Statistiken analysieren.
• Fälle und Fallverläufe: Sicherheitsfälle und Audit-Logs zu historischen Fällen, die Sie mit anderen Sicherheitsdaten korrelieren können. Weitere Informationen finden Sie unter Übersicht über Suchfälle.
• Entity Context Graph (ECG): Eine Graphdatenbank in Google SecOps, in der zustandsorientierte Entitätsdatensätze (z. B. Assets, Nutzer und Bedrohungsindikatoren) gespeichert werden, um sie mit sicherheitsrelevanten Ereignisprotokollen zu korrelieren. Weitere Informationen finden Sie unter Entity Context Graph – Übersicht.
• Abfrageleiste für natürliche Sprache: Die Leiste oben auf der Seite SIEM-Suche, in die Sie eine Suchanweisung in natürlicher Sprache eingeben können.
• Abfrageeditor: Das Feld auf der Seite SIEM-Suche unter der Abfrageleiste für natürliche Sprache, in dem Sie Abfragen manuell erstellen und in dem der Abfragecode angezeigt wird.

Hinweis

Ihrem Nutzerkonto müssen die standardmäßigen Berechtigungen und Rollen für die Google SecOps-Suche zugewiesen sein, damit Sie Abfragen ausführen und Erkennungsdetails aufrufen können.

Für die folgenden erweiterten Suchfunktionen muss Ihr Nutzerkonto oder Ihre IAM-Rolle (Identity and Access Management) je nach verwendeter Funktion zusätzliche detaillierte Berechtigungen haben:

• Für angereicherte oder erweiterte Ereignisdetails ist chronicle.events.fetchEnrichedEvent erforderlich.
• Zum Speichern von Suchanfragen und Bearbeiten von Suchansichten sind die Berechtigungen chronicle.savedSearches.update und chronicle.searchViews.update erforderlich.
• Zum Ansehen von Logparsern und Schemas sind die Berechtigungen chronicle.parsers.list und chronicle.parsers.get erforderlich.
• Für die Suche im Fallverlauf sind chronicle.cases.get und chronicle.cases.list erforderlich.
• Für die SQL-Suche (insbesondere automatische Abfragevorschläge im Abfrageeditor) ist chronicle.queries.suggestSql erforderlich, wenn benutzerdefinierte IAM-Rollen verwendet werden.
• Für das Ranking der bisherigen Nutzung für automatische Vorschläge für UDM-Felder im Abfrageeditor ist chronicle.instances.suggestQueryFields erforderlich, wenn benutzerdefinierte IAM-Rollen verwendet werden.
• Zum Erstellen, Freigeben, Ändern und Verwalten gespeicherter benutzerdefinierter Spaltensätze in Ihrer Organisation sind alle fünf der folgenden Berechtigungen erforderlich: chronicle.googleapis.com/savedColumnSets.create, chronicle.googleapis.com/savedColumnSets.update, chronicle.googleapis.com/savedColumnSets.delete, chronicle.googleapis.com/savedColumnSets.list und chronicle.googleapis.com/savedColumnSets.get.

Suchseite öffnen

So öffnen Sie die Seite SIEM-Suche:

1. Melden Sie sich in Google SecOps an.
2. Klicken Sie in der Navigationsleiste auf Prüfung > SIEM-Suche.

Abbildung 1. Beispiel für die Seite SIEM-Suche, auf der Ereignistrends untersucht werden.

Hinweis: Auf Systemen, die die Daten-RBAC verwenden, können Sie nur Daten sehen, die Ihren Bereichen entsprechen. Weitere Informationen finden Sie unter Auswirkungen der rollenbasierten Zugriffssteuerung für Daten auf die Suche.

Erzwingung des Daten-RBAC-Bereichs

Die Google SecOps-Suchmaschine erzwingt auf allen Tabs strikt die Bereichsfilterung für die rollenbasierte Zugriffssteuerung (Daten-RBAC). Sie sehen nur UDM-Ereignisse, Rohlogs, Benachrichtigungen, Erkennungen und Fälle, die explizit den Datenbereichen entsprechen, die Ihrer Nutzerrolle zugewiesen sind.

Allgemeine Einstellungen für die Suchseite konfigurieren

Die allgemeinen Einstellungen der Seite SIEM-Suche sind nutzerspezifisch.

Sie können die folgenden allgemeinen Einstellungen für die Seite SIEM-Suche konfigurieren:

• Maximale Anzahl von Suchergebnissen angeben
• Minimierungsverhalten für den Abfrageeditor auswählen

Maximale Anzahl von Suchergebnissen angeben

So geben Sie die maximale Anzahl von Suchergebnissen an:

1. Klicken Sie auf der Seite SIEM-Suche auf die Einstellungen  und wählen Sie Maximale Anzahl von Ergebnissen aus.

2. Wählen Sie die Option Maximale Anzahl zurückzugebender Ergebnisse aus. Die Optionen sind 1k, 30k, 100k, 1M und custom (kann Werte zwischen 1 und 1M annehmen). Der Standardwert ist 30k.

   Tipp: Abfragen werden in der Regel schneller ausgeführt, wenn Sie eine kleinere Ergebnismenge auswählen.

3. Klicken Sie auf Übernehmen.

Minimierungsverhalten des Abfrageeditors auswählen

Sie können den Abfrageeditor so konfigurieren, dass er nach dem Ausführen einer Suche automatisch minimiert wird. So steht mehr Platz auf dem Bildschirm für die Suchergebnisse zur Verfügung. Bei der Einstellung Standard bleibt der Abfrageeditor nach dem Ausführen einer Suche maximiert.

So aktivieren Sie die Funktion zum automatischen Minimieren:

1. Klicken Sie auf der Seite SIEM-Suche auf Einstellungen Einstellungen und wählen Sie Abfrageeditor aus.
2. Wählen Sie im Dialogfeld Abfrageeditor die Option Abfrageeditor automatisch minimieren aus.

Suchanfrage erstellen

In den folgenden Abschnitten wird beschrieben, wie Sie eine Suchanfrage erstellen.

Sie können eine Suchanfrage mit einer der folgenden Methoden erstellen:

• Geben Sie Ihre Suchanweisung in natürlicher Sprache ein und verwenden Sie Gemini, um die Abfrage im YARA-L 2.0-Dialekt zu generieren. Sie müssen Englisch verwenden.
• Erstellen Sie Ihre Abfrage manuell im Abfrageeditor, entweder mit dem YARA-L 2.0- oder dem SQL-Dialekt (GoogleSQL).

Hinweis: Eine UDM-Suche ist auf 100 UDM-Felder pro Abfrage beschränkt. Ein UDM-Suchausdruck besteht aus einem zu durchsuchenden UDM-Feld, einem Operator und einem Datenwert, nach dem gesucht werden soll. UDM-Abfragen basieren auf Feldern, die in der Referenz zum UDM-Feldwörterbuch definiert sind. Sie können diese UDM-Felder über Filter oder Suche in Rohlogs durchsuchen und auswählen.

Abfrage mit natürlicher Sprache generieren

So generieren Sie eine Abfrage in natürlicher Sprache:

1. Klicken Sie auf der Seite SIEM-Suche auf die Suchleiste für Abfragen in natürlicher Sprache und geben Sie eine Suchanweisung auf Englisch ein.

   Die folgenden Aussagen sind Beispiele, die eine nützliche Suche generieren könnten:

   • network connections from 10.5.4.3 to google.com
   • failed user logins over the last 3 days
   • emails with file attachments sent to [e-mail] or [e-mail]
   • all Cloud service accounts created yesterday
   • outbound network traffic from 10.16.16.16 or 10.17.17.17
   • all network connections to facebook.com or tiktok.com
   • service accounts created in Google Cloud yesterday
   • Windows executables modified between 8 AM and 1 PM on May 1, 2026
   • all activity from winword.exe on lab-pc
   • scheduled tasks created or modified on exchange01 during the last week
   • email messages that contain PDF attachments
   • emails sent by or sent from [e-mail] on July 1
   • any files with the hash 44d88612fea8a8f36de82e1278abb02f
   • all activity associated with user "[e-mail]"

Wenn die Suchanweisung einen zeitbasierten Begriff enthält, werden die Zeitraumparameter automatisch entsprechend angepasst. Das gilt beispielsweise für Suchanfragen mit den folgenden Begriffen:

• yesterday
• within the last 5 days
• on July 1, 2026

2. Klicken Sie auf Abfrage generieren. Wenn Gemini die Suchanweisung interpretieren kann, generiert Gemini eine gültige Abfrage im YARA-L 2.0-Dialekt und zeigt sie im Abfrageeditor an. Wenn die Suchanweisung nicht interpretiert werden kann, werden Sie in einer Meldung aufgefordert, die Frage anders zu formulieren. Wenn der Abfrageausdruck gültig ist, wird die Schaltfläche Suche ausführen verfügbar.

3. Optional: Passen Sie den Zeitraum für die Suche mit den Zeitraum-Parametern an.

4. Klicken Sie auf Suche ausführen. Die Suchergebnisse werden angezeigt.

5. Optional: Sie können die Ergebnisse eingrenzen, indem Sie manuell zusätzliche Suchfilter hinzufügen oder die Suchleiste für natürliche Sprache verwenden und die Suche noch einmal ausführen.

Abfrage im Abfrageeditor manuell erstellen

Informationen zu den verschiedenen Abfragetypen, die auf der Seite SIEM-Suche unterstützt werden, und zur Syntax für deren Erstellung finden Sie in den folgenden Dokumenten:

• Weitere Informationen zur YARA-L 2.0-Suchsyntax finden Sie unter Suchsyntax verstehen.
• Informationen zum Erstellen von Join-Abfragen finden Sie unter Joins in der Suche und in Dashboards anwenden und Joins ohne Übereinstimmungsabschnitt implementieren.
• Informationen zum Erstellen von statistischen Abfragen (STATS) finden Sie unter Suchdaten mit Statistiken analysieren.
• Informationen zum Erstellen von Abfragen für den Fallverlauf finden Sie unter Fälle und Fallverlauf auf der Seite „Suchen“ suchen.
• Informationen zum Projizieren oder Ausschließen bestimmter Felder in Abfrageergebnissen finden Sie unter Abfrageausgabe mit select und unselect steuern und Spalten mit den Schlüsselwörtern „select“ und „unselect“ steuern.

So erstellen Sie eine Abfrage manuell:

1. Klicken Sie auf der Seite SIEM-Suche in den Abfrageeditor.
2. Wählen Sie den Abfragedialekt aus:
   • YL2 (Standard): Verwenden Sie die Standard-YARA-L 2.0-Syntax für die schnelle Suche nach Ereignissen, das Filtern von Entitäten und die Verhaltenskorrelation.
   • SQL: Im SQL-Modus (GoogleSQL) können Sie BigQuery-kompatible Abfragen ausführen, komplexe Multi-Table-Joins über UDM und Entity Context Graph (ECG) erstellen und erweiterte Aggregationen direkt in der Konsole durchführen.

3. Geben Sie Ihre Abfrage in den Abfrageeditor ein und beachten Sie Folgendes:

   • Automatische Vorschläge und Vervollständigung: Wenn Sie eine Abfrage mit der Option YL2 eingeben, werden von der Funktion für automatische Vorschläge und Vervollständigung gültige Felder basierend auf Ihrer Eingabe vorgeschlagen.
   • UDM-Suche: Wenn Sie beim Schreiben einer Abfrage den genauen Feldnamen oder Wert nicht kennen, können Sie die UDM-Suche verwenden.
   • Syntaxkompilierungsfehler: Wenn der Abfrageeditor einen Syntaxkompilierungsfehler erkennt, wird direkt unter dem problematischen Text eine rote Wellenlinie angezeigt. Bewegen Sie den Mauszeiger auf den unterstrichenen Text, um die genaue Fehlerbeschreibung aufzurufen. Im Abfrageeditor wird immer nur ein Fehler hervorgehoben. Sie müssen Fehler also nacheinander beheben.

4. Legen Sie den Zeitraum für die Abfrage mit den Zeitraum-Parametern fest.

5. Wenn der Abfrageausdruck gültig ist, klicken Sie auf Suche ausführen. Die Suchergebnisse werden angezeigt.

6. Optional: Grenzen Sie die Ergebnisse ein, indem Sie manuell oder über die Console zusätzliche Suchfilter hinzufügen und die Suche noch einmal ausführen.

Hinweis: Sie können auch im Dialogfeld Suchmanager eine neue Abfrage erstellen. Dort sind auch dieselben Tools zur UDM-Bearbeitung und automatischen Vorschläge und Vervollständigung verfügbar.

Zeitraum für die Suche angeben

Geben Sie im Menü Zeitraum den Zeitraum für die Suche an.

Der maximale Zeitraum einer Suche ist immer durch die Konfiguration der Logaufbewahrung Ihres Mandanten begrenzt.

Maximale Zeiträume:

• UDM: 365 Tage.
• RAW: 365 Tage.
• JOIN: Für Inner Joins: 90 Tage. Für Inner Joins ohne Übereinstimmungsbedingung: 14 Tage. Für Outer Joins: 14 Tage.
• STATS: 90 Tage.
• CASE und CASE HISTORY: 90 Tage, begrenzt durch die Aufbewahrungslimits für Fälle oder einen vollständigen Lebenszyklus des Fallverlaufs.
• ECG: 365 Tage

Google SecOps wertet die Konfiguration Ihrer Suchanfrage aus und wendet den maximalen Zeitraum basierend auf dem Suchtyp und den Suchbedingungen an. Beispiel: Eine STATS-Abfrage, die einen Outer Join enthält, hat einen kürzeren maximalen Zeitraum als eine STATS-Abfrage ohne Outer Join.

So legen Sie den Zeitraum fest:

1. Wählen Sie auf der Seite SIEM-Suche neben Zeitraum den Modus aus der Liste aus.

   • Absolut: Verwenden Sie einen absoluten Zeitraum, um eine feste Start- und Endzeit auszuwählen.
   • Relativ: Verwenden Sie einen relativen Zeitraum, um von der aktuellen Zeit rückwärts zu suchen. Der Zeitpunkt, zu dem Sie auf Suche ausführen klicken, wird als Endzeit für Ihre Abfrage festgelegt.

2. Wenn Sie Absolut ausgewählt haben, gehen Sie so vor:

   1. Klicken Sie auf calendar_month Kalender, um das Dialogfeld Datum und Zeitraum festlegen zu öffnen.
   2. Führen Sie einen der folgenden Schritte aus:
      • Wenn Sie die Zeit mit einer der folgenden Methoden konfigurieren möchten, wählen Sie den Tab Bereich aus:
        • Voreinstellungen verwenden: Wählen Sie in der Seitenleiste einen voreingestellten Zeitraum aus, z. B. Letzte 3 Tage oder Gesamte Zeit. Gesamter Zeitraum: Es wird der gesamte Aufbewahrungszeitraum durchsucht.
        • Zeitraum auswählen: Klicken Sie im Kalender auf ein Startdatum und ein Enddatum.
        • Uhrzeiten festlegen: Wählen Sie über die Uhrzeitmenüs unter den Kalendern bestimmte Uhrzeiten aus.
      • Wenn Sie einen Zeitraum basierend auf einem Ereignis angeben möchten, klicken Sie auf den Tab Ereigniszeit, wählen Sie ein Datum im Kalender aus und konfigurieren Sie den Zeitraum:
        • Genaue Uhrzeit: Klicken Sie auf das Feld Ereignis, um die genaue Uhrzeit des Ereignisses auszuwählen oder einzugeben.
        • Zeitpuffer: Wählen Sie einen vordefinierten Zeitraum aus der Liste aus.
   3. Klicken Sie auf Übernehmen.

3. Wenn Sie Relativ ausgewählt haben, gehen Sie so vor:

   1. Geben Sie eine Ganzzahl in das Textfeld ein.
   2. Wählen Sie im Menü eine Zeiteinheit aus: Sekunden, Minuten, Stunden, Tage, Wochen, Monate oder Jahre.

Automatische Vorschläge zum Erstellen von Abfragen verwenden

Wenn Sie eine Abfrage schreiben, erhalten Sie im Abfrageeditor automatische Vorschläge, mit denen Sie die Abfrage effizient erstellen können.

Vorschläge aufrufen und auswählen

Während der Eingabe wird eine Liste mit Feldvorschlägen angezeigt, die Ihrem Text entsprechen. Diese enthält die folgenden Optionen:

• Feld auswählen: Verwenden Sie die Aufwärts- oder Abwärtspfeiltaste, um durch die Liste zu navigieren, und drücken Sie die Eingabetaste, um ein Feld auszuwählen.
• Metadaten ansehen: Nachdem Sie einen Vorschlag mit den Aufwärts- oder Abwärtspfeiltasten markiert haben, klicken Sie auf chevron_right, um die Feldbeschreibung aufzurufen.
• Felder schrittweise vervollständigen: Der Editor schlägt die unmittelbaren untergeordneten Elemente des aktuellen Felds vor und blendet das eingegebene Präfix aus, um Platz auf dem Bildschirm zu sparen. Nach diesen Vorschlägen folgen alle anderen übereinstimmenden Felder in alphabetischer Reihenfolge.
• Operatoren und Werte vervollständigen: Nachdem Sie ein Feld ausgewählt haben, schlägt der Editor gültige Operatoren (z. B. =, !=) basierend auf dem Datentyp des Felds vor. Bei Aufzählungsfeldern werden im Editor Vorschläge für alle gültigen Werte (z. B. NETWORK_EVENT) angezeigt, nachdem Sie einen Operator und ein doppeltes Anführungszeichen (") eingegeben haben.

Ranking von Vorschlägen

Der Abfrageeditor organisiert Vorschläge in drei verschiedene Kategorien in der folgenden Reihenfolge, um Ihnen die Suche nach relevanten UDM-Feldern zu erleichtern:

1. Kürzlich und häufig verwendete Felder: Zeigt bis zu sieben übereinstimmende Felder an, basierend auf Ihrer aktiven Browsersitzung und dem Verlauf der Abfragenutzung der letzten 30 Tage auf den Seiten SIEM-Suche, Regeln und Erkennungen und Dashboards. Vorschläge in dieser Kategorie werden in der folgenden Reihenfolge priorisiert:

   • Letzter Browserverlauf: Felder, die Sie vor Kurzem im Abfrageeditor eingegeben oder ausgewählt haben (bis zu 100 der letzten gültigen UDM-Felder). Übereinstimmende Felder werden zuerst angezeigt, sortiert nach der letzten Verwendung. Diese Liste wird im lokalen Speicher Ihres Browsers gespeichert und bleibt auch nach dem Abmelden erhalten. Wenn Sie den Browsercache leeren oder den Browser wechseln, wird dieser Verlauf zurückgesetzt.

   • Bisherige Nutzung (letzte 30 Tage): Felder, die aus Abfragen extrahiert wurden, die Sie und Ihre Organisation in den letzten 30 Tagen ausgeführt haben (einschließlich UDM-Suchen, Dashboard-Abfragen, Regeltests und Retrohunts). Diese Nutzungsdaten werden alle 8 Stunden aktualisiert, sind nicht im Umfang der RBAC-Filterung für Daten enthalten, da sie abgeleitete UDM-Schemafeldnamen anstelle von Protokollereignissen bereitstellen, und isolieren benutzerdefinierte Labels und extrahierte Felder (additional.*, extracted.*) für Ihren Mandanten. Die bisherige Nutzung folgt einer strengen zweistufigen Hierarchie:

     1. Nutzung auf Nutzerebene: Felder, die Sie in den letzten 30 Tagen am häufigsten verwendet haben, sortiert nach der Anzahl der Verwendungen in absteigender Reihenfolge.
     2. Nutzung auf Mandantenebene: Felder, die in den letzten 30 Tagen von allen Nutzern in Ihrem Mandanten am häufigsten verwendet wurden, sortiert nach der Anzahl der Verwendungen in absteigender Reihenfolge. Wenn ein Feld bereits in der Liste der Nutzung auf Nutzerebene enthalten ist, hat der Rang auf Nutzerebene Vorrang.

     Wenn Sie Vorschläge für die bisherige Nutzung filtern, während Sie Text eingeben, werden die übereinstimmenden Felder im Editor nach der Qualität der Übereinstimmung sortiert, bevor die Nutzungshierarchie verwendet wird: 1. Genaue Übereinstimmung: Stimmt mit dem gesamten UDM-Feldnamen überein (z. B. ip). 2. Genaue Tokenübereinstimmung: Stimmt mit einem vollständigen Segment des Feldnamens überein (z. B. principal.ip oder target.ip, wenn Sie ip eingeben). 3. Präfixübereinstimmung: Stimmt mit dem Anfang des Feldnamens überein. 4. Tokenpräfix-Übereinstimmung: Stimmt mit dem Anfang eines Segments im Feldnamen überein. 5. Teilstring-Übereinstimmung: Wird an einer beliebigen Stelle im Feldnamen angezeigt (z. B. principal.hostname, wenn Sie ip eingeben, da principal den Wert ip enthält).

2. Unmittelbare untergeordnete Elemente: Zeigt die untergeordneten Knoten der ersten Ebene des aktuellen Feldpfads in alphabetischer Reihenfolge an, mit Ausnahme von Feldern, die bereits in den Top-Nutzungsvorschlägen aufgeführt sind.

3. Globale Übereinstimmungen: Hier werden alle verbleibenden übereinstimmenden UDM-Felder in alphabetischer Reihenfolge angezeigt.

Hinweis: Vordefinierte Google SecOps-Rollen (Admin, Editor, Viewer, Limited Viewer und Restricted Data Access Viewer) enthalten die Berechtigung chronicle.instances.suggestQueryFields, die zum Abrufen von Vorschlägen zur Nutzung der letzten 30 Tage erforderlich ist. Wenn Sie eine benutzerdefinierte IAM-Rolle verwenden, fügen Sie der Rolle chronicle.instances.suggestQueryFields hinzu. Ohne diese Berechtigung greift der Abfrageeditor auf die Rangfolge von Vorschlägen zurück, die nur auf dem aktuellen Browserverlauf basieren.

Hinweis: Felder aus Datentabellen werden nicht in die nutzungsbasierte oder Aktualitätsrangfolge einbezogen, da Datentabellen kein festes UDM-Schema haben. Stattdessen werden die Felder der Datentabelle im Abschnitt Globale Übereinstimmungen in alphabetischer Reihenfolge angezeigt.

Einstellungen für automatische Vorschläge verwalten

So verwalten Sie global, wie Google SecOps automatische Vorschläge anzeigt:

1. Klicken Sie auf Ihren Profilavatar und wählen Sie in der Liste Nutzereinstellungen aus. Das Dialogfeld Nutzereinstellungen wird angezeigt.

2. Klicken Sie im Dialogfeld auf Automatischer Vorschlag.

3. Wenn Sie die im Abfrageeditor angezeigten automatischen Vorschläge steuern möchten, passen Sie die folgenden Einstellungen an:

   • Vorschläge während der Eingabe aktivieren: Aktiviert automatische Vorschläge.
   • Kürzlich verwendete Felder zuerst einstufen: Zeigt die zuletzt und am häufigsten verwendeten Felder (basierend auf dem Browserverlauf, der Nutzung auf Nutzerebene und der Nutzung auf Mandantenebene) oben in der Liste an.
   • Unmittelbare untergeordnete Felder vorschlagen: Vervollständigt verschachtelte Felder schrittweise, jeweils einen untergeordneten Knoten nach dem anderen.
   • Alle verfügbaren Pfade vorschlagen: Zeigt die vollständigen, maximierten Pfade für alle Vorschläge für verschachtelte Felder an.

4. Klicken Sie auf Speichern.

Abfrageausgabe mit select und unselect steuern

Sie können die Schlüsselwörter select und unselect in einer YARA-L 2.0-Suchanfrage verwenden, um bestimmte UDM-Ereignis- und ECG-Felder (Entity Context Graph) direkt aus dem Speicher zu projizieren oder auszuschließen. Dadurch wird die Größe der Antwortnutzlast reduziert und die Abfragelatenz verbessert:

• select: Gibt nur die angegebenen Blattfelder und outcome-Variablen sowie die obligatorischen Metadatenfelder zurück.
• unselect: Gibt alle Felder mit Ausnahme der angegebenen Blattfelder und outcome-Variablen zurück.

Abfragen, die weder select noch unselect enthalten, geben vollständige UDM- und Entitätsnutzlasten zurück. Die selektive Feldprojektion gilt für eigenständige UDM-Ereignis- und eigenständige ECG-Entitätssuchen. Multi-Ereignis-Joins, UDM-Entitäts-Joins und aggregierte Abfragen sind nicht betroffen. Weitere Syntaxbeispiele finden Sie unter Spalten mit den Schlüsselwörtern „select“ und „unselect“ steuern.

Unterstützte Felder und Pflichtfelder

• Unterstützte Felder: Geben Sie outcome-Variablen oder vollständige Blattfeldpfade für UDM-Ereignisse (z. B. principal.hostname, target.ip, security_result.severity) und ECG-Entitäten (z. B. graph.entity.hostname, graph.entity.ip, graph.metadata.entity_type, graph.relations.entity_type) an.
• Pflichtfelder: Damit die Ereignisidentität, die Reihenfolge der Zeitachse und die Gültigkeitsintervalle von Entitäten erhalten bleiben, gibt Google SecOps immer die folgenden Kernmetadatenfelder zurück, auch wenn Sie sie in select weglassen oder in unselect einschließen:
  • UDM-Ereignisse: metadata.id, metadata.event_timestamp, metadata.enrichment_state
  • EKG-Entitäten: graph.metadata.entity_type, graph.metadata.interval.start_time
• Zuordnungsfelder und Indexierung wiederholter Listen: Die Feldprojektion und der Ausschluss erfolgen auf Containerebene für Zuordnungsfelder (additional.fields und extracted.fields) und wiederholte Listen, anstatt einzelne Zuordnungsschlüssel oder einzelne Arraypositionen zu filtern:
  • Mit select: Wenn Sie einen Zuordnungsschlüssel (z. B. select: additional.fields["env"] oder extracted.fields["src"]) oder einen Listenindex (z. B. select: principal.ip[0] oder about[0].file.md5) angeben, wird die gesamte Zuordnung (additional.fields oder extracted.fields) oder das gesamte wiederkehrende Feld oder Unterfeld für alle Listenelemente zurückgegeben.
  • Mit unselect: Wenn Sie einen Kartenschlüssel (z. B. unselect: additional.fields["env"]) oder einen Listenindex (z. B. unselect: principal.ip[0] oder about[0].file.md5) angeben, wird die gesamte Karte ausgeschlossen (alle anderen Schlüssel in dieser Karte werden entfernt) oder das wiederkehrende Feld oder Unterfeld wird für alle Listenelemente ausgeschlossen, nicht nur für Index 0. Fügen Sie keine Schlüssel aus additional.fields oder extracted.fields in unselect ein, wenn Sie andere Schlüssel aus dieser Map benötigen.

Auswirkungen auf Suchergebnisse, Benutzeroberfläche und APIs

Die Verwendung von select oder unselect wirkt sich auf die Suchergebnisse in der Google SecOps-Weboberfläche, der Chronicle API (udmSearch und StreamSearch) und der Search API für Vorgänge mit langer Ausführungszeit (LRO) (PaginatedSearchResults) aus. Sie wird in der Legacy-Backstory API nicht unterstützt.

• Ereignistabelle, Spaltenmanager und Aggregationen: Nur projizierte Felder (zusammen mit Zeitstempel und Ereignisstatus) können angezeigt, aggregiert, gefiltert oder als Spalten hinzugefügt werden.
• Ereignisanzeige: Zeigt nur die projizierten UDM- und Entitätsfelder neben dem Rohprotokoll an und deaktiviert Zu Spalten hinzufügen für nicht projizierte Felder.
• Sortieren: Sie können Ergebnisse nur nach projizierten Feldern, obligatorischen Metadatenfeldern (metadata.event_timestamp und metadata.enrichment_state) und zusammengesetzten Schnellspalten (Hostname, IP und Nutzer) sortieren, wenn die zugrunde liegenden Felder projiziert werden. Wenn Sie in API-Anfragen für sort_column ein nicht projiziertes oder ausgeschlossenes Feld festlegen, wird der Fehler INVALID_ARGUMENT (400) zurückgegeben.

Beispiele

• Nur bestimmte UDM-Ereignisfelder einbeziehen (select):

  principal.hostname != "" and target.ip != ""
  select: principal.hostname, principal.ip, target.ip, security_result.severity
  

• Nur bestimmte ECG-Entitätsfelder (select) einbeziehen:

  graph.entity.hostname != ""
  select: graph.entity.hostname, graph.entity.ip, graph.entity.asset.asset_id
  

• Bestimmte Felder ausschließen (unselect):

  metadata.event_type = "NETWORK_HTTP" and principal.hostname != ""
  unselect: target.hostname, target.ip, security_result.category_details
  

UDM-Feld für eine Suchanfrage finden (UDM-Lookup)

Wenn Sie eine Suchanfrage schreiben, kennen Sie möglicherweise nicht den genauen UDM-Feldnamen oder -Wert, den Sie einfügen müssen. Mit der Funktion UDM-Suche können Sie schnell einen UDM-Feldnamen finden, der einen Textstring im Namen enthält oder einen bestimmten Stringwert speichert. Sie können ein oder mehrere Ergebnisse auswählen, die von der UDM-Suche zurückgegeben werden, und die Ergebnisse als Ausgangspunkt für eine Suchanfrage verwenden, die Ergebnisse an eine vorhandene Abfrage anhängen oder die Ergebnisse in der Zwischenablage speichern.

Hinweis: Die UDM-Suche ist nicht für die Suche nach anderen Datentypen wie Byte, booleschen Werten oder numerischen Werten vorgesehen.

So verwenden Sie die UDM-Suche:

1. Klicken Sie auf der Seite SIEM-Suche auf UDM-Suche. Das Dialogfeld UDM-Suche wird geöffnet.

2. Wählen Sie eine oder beide der folgenden Optionen für Abgleich mit aus, um den Umfang der zu durchsuchenden Daten festzulegen:

   • UDM-Felder: Suchen Sie nach Text, der mit Feldnamen übereinstimmt, z. B. network.dns.questions.name oder principal.ip.
   • Werte: Suchen Sie nach Textstrings in gespeicherten Logwerten, z. B. dns oder google.com.

3. Klicken Sie in das Feld Suchen Genauen String zum Abgleichen eingeben und geben Sie den String ein, nach dem gesucht werden soll. Während der Eingabe werden Suchergebnisse im Dialogfeld angezeigt.

   Die Ergebnisse variieren je nachdem, ob Sie nach UDM-Feldern oder Werten suchen:

   • Wenn Sie mit Abgleich mit UDM-Feldern suchen, wird eine genaue Übereinstimmung zurückgegeben, die an einer beliebigen Stelle in der Schemadefinition gefunden wurde.

     

     Abbildung 2. Suchen Sie im Dialogfeld UDM-Lookup nach Match On-UDM-Feldnamen.

   • Wenn Sie mit Übereinstimmung mit Werten suchen, werden Ihre aufgenommenen Log-Telemetriedaten durchsucht und zwei Arten von Ergebnissen zurückgegeben:

     • Vollständige Wertübereinstimmungen: Bei gängigen Textfeldern (z. B. Anwendungen, Hostnamen, URLs, IP-Adressen und Nutzernamen) zeigt die UDM-Suche den vollständigen übereinstimmenden Wert an, wobei Ihr Suchstring gelb hervorgehoben ist, zusammen mit dem neuesten Zeitstempel für die Logaufnahme.

     • Mögliche Wertübereinstimmungen: Bei Feldern, die langen, komplexen oder unstrukturierten Text enthalten (z. B. Befehlszeilen, Beschreibungen, Erkennungsfelder und benutzerdefinierte Felder), gibt die UDM-Suche an, dass der Suchbegriff in diesem Feld in Ihren Verlaufs-Telemetriedaten vorkommt. Anstatt eines einzelnen vollständigen Werts wird im Ergebnis der UDM-Feldname gefolgt von (Possible value match) angezeigt.

     

     Abbildung 3. Suchen Sie im Dialogfeld UDM-Suche mit Übereinstimmung mit Werten.

4. In der Ergebnisliste können Sie Folgendes tun:

   • Klicken Sie auf den Namen eines UDM-Felds, um eine Beschreibung dieses Felds aufzurufen.
   • Wählen Sie ein oder mehrere Ergebnisse aus, indem Sie das Kästchen neben dem UDM-Feldnamen anklicken.
   • Klicken Sie auf Zurücksetzen, um die Auswahl aller ausgewählten Felder in der Ergebnisliste aufzuheben.

5. Führen Sie einen der folgenden Schritte aus:

   • Klicken Sie auf UDM kopieren, um die ausgewählten Ergebnisse in die Zwischenablage zu kopieren. Anschließend können Sie das Dialogfeld UDM-Suche schließen und den Inhalt der Zwischenablage in den Abfrageeditor einfügen.

   • Wenn Sie die ausgewählten Ergebnisse an die Abfrage im Abfrageeditor anhängen möchten, klicken Sie auf An Suche anhängen. Google SecOps wandelt die ausgewählten Ergebnisse dann in eine Suchanfrage als UDM-Feldname oder Name/Wert-Paar um.

     Wenn Sie mehrere Ergebnisse anhängen, fügt Google SecOps jedes Ergebnis mit dem Operator OR am Ende der vorhandenen Abfrage im Abfrageeditor hinzu.

     Der angehängte Abfragestring hängt vom Typ der Übereinstimmung ab, die von der UDM-Suche zurückgegeben wird:

     • Wenn das Ergebnis mit einem Textstring in einem UDM-Feldnamen übereinstimmt, wird der vollständige UDM-Feldname an die Abfrage angehängt. Beispiel:

       principal.artifact.network.dhcp.client_hostname

     • Wenn das Ergebnis eine vollständige Wertübereinstimmung ist, enthält das Name/Wert-Paar eine exakte Gleichheitsbedingung mit dem vollständigen Wert.

     • Wenn das Ergebnis eine mögliche Wertübereinstimmung ist, enthält das Name/Wert-Paar den UDM-Feldnamen und einen regulären Ausdruck, der Ihren Suchbegriff enthält, wobei die Groß-/Kleinschreibung nicht berücksichtigt wird.

6. Bearbeiten Sie die Abfrage bei Bedarf im Abfrageeditor.

Suchverhalten und Feldabdeckung bei der UDM-Suche

Mit der UDM-Suche können Sie Feldnamen finden und in Ihren aufgenommenen Protokolldaten nach historischen Werten suchen. In diesem Abschnitt wird erläutert, wie die Suche in beiden Modi funktioniert. Außerdem finden Sie hier Abfragebeispiele und Informationen zu den Grenzen der Feldabdeckung.

Suchmodi: UDM-Felder im Vergleich zu Werten

Die UDM-Suche bietet zwei verschiedene Suchmodi:

• UDM-Felder-Modus: Mit Abgleich nach UDM-Feldern wird die UDM-Schemadefinition durchsucht, um den richtigen Feldpfad zu finden. Feldnamen finden Sie in allen Datentypen, einschließlich Textfeldern (principal.hostname), numerischen Ports (target.port), booleschen Flags (security_result.is_alert) und Ereigniskategorien (metadata.event_type).

  Beispiel: Wenn Sie port eingeben, werden Felder wie network.ip_port, principal.port, target.port und src.port angezeigt.

• Werte-Modus: Bei Übereinstimmung mit Werten werden Ihre aufgenommenen Ereignisprotokolle nach übereinstimmenden Textwerten durchsucht:

  • Genaue Wertübereinstimmung: Bei gängigen Kennungen und Textfeldern (z. B. Hostnamen, IP-Adressen, Domains und Nutzernamen) findet die UDM-Suche den genauen Wert in Ihren Daten und generiert eine Gleichheitsbedingung (z. B. principal.hostname = "example.com").
  • Mögliche Wertübereinstimmung (regulärer Ausdruck): Bei langen Texten, Befehlszeilen, URLs, Registrierungsschlüsseln und Dateipfaden gibt die UDM-Suche eine mögliche Wertübereinstimmung mit einem regulären Ausdruck zurück (z. B. principal.process.command_line = /powershell/ NOCASE).

Lücken in der Feldabdeckung und direkte Suche

Bei der Suche nach Werten durchsucht UDM Lookup Textfelder in rohen, nicht angereicherten Ereignisdaten. Bestimmte Datentypen und Felder mit vielen Kennungen liefern im Modus Werte keine Übereinstimmungen. Wenn Sie nach diesen Feldern suchen möchten, geben Sie den Ausdruck direkt in den Abfrageeditor ein.

Dieser Abschnitt enthält Folgendes:

• Numerische, boolesche, Zeitstempel- und Bytefelder
• Ausgeschlossene Kennungsfelder
• Felder mit möglichen Wertübereinstimmungen (reguläre Ausdrücke)
• Angereicherte Felder und Entitätsdiagramm

Numerische, boolesche, Zeitstempel- und Bytefelder

Bei der Suche nach UDM-Suchwerten werden keine Übereinstimmungen für Nicht-Text-Datentypen zurückgegeben. Wenn Sie in diesen Feldern suchen möchten, geben Sie die Bedingung direkt in die Suchleiste ein:

Feldkategorie	Beispiel für UDM-Felder	Beispiel für eine direkte Suche
Portnummern und Statuscodes	network.ip_port, principal.port, target.port, network.http.response_code	network.ip_port = 443 network.http.response_code = 403
Messwerte und Risikobewertungen	security_result.risk_score, network.sent_bytes, network.received_bytes	security_result.risk_score >= 80 network.sent_bytes > 50000000
Boolesche Flags	security_result.is_alert, network.dns.answers.is_authoritative	security_result.is_alert = true
Vordefinierte Enums	metadata.event_type, network.ip_protocol	metadata.event_type = "USER_LOGIN" network.ip_protocol = "TCP"
Zeitstempel	metadata.event_timestamp.seconds, metadata.ingested_timestamp	Filtern Sie mit dem Menü Zeitraum oder der Abfrage: metadata.event_timestamp.seconds > 1700000000
Ereignis-IDs (Rohbyte)	metadata.id	metadata.id = "..."
Geografische Koordinaten	principal.location.latitude, principal.location.longitude	Nach regionalen Standortfeldern filtern: principal.location.country_or_region = "US"

Ausgeschlossene Kennungsfelder

Die folgenden Felder für hohe Entropie und Sitzungstracking geben keine Übereinstimmungen zurück, wenn nach Werten gesucht wird:

Ausgeschlossene Feldkategorie	UDM-Felder	Beispiel für eine direkte Suche
Prozess-IDs	*.pid (z. B. principal.process.pid, target.process.pid), *.product_specific_process_id	target.process.pid = "4128"
Sitzungs- und Verbindungs-IDs	network.session_id, network.parent_session_id, metadata.product_log_id	network.session_id = "sess-9481"
IDs der Erkennungsregeln	security_result.rule_id	security_result.rule_id = "rule_suspicious_login"
Ressourcen- und Asset-IDs	*.resource.id (einschließlich Cloud-ARNs und ‑URIs), *.asset_id	target.resource.id = "arn:aws:s3:::my-bucket"
Labels für Datenaufnahme	metadata.base_labels.*, metadata.enrichment_labels.*	metadata.base_labels.log_types = "WINEVTLOG"

Felder mit möglichen Wertübereinstimmungen (reguläre Ausdrücke)

Bei Feldern, die lange, komplexe Strings mit vielen Pfadtrennzeichen oder Argumenten enthalten, gibt die UDM-Suche einen regulären Ausdruck (/.../ NOCASE) für eine mögliche Wertübereinstimmung zurück, anstatt eine genaue Übereinstimmung mit dem vollständigen Wert zu finden:

• Befehlszeilen: principal.process.command_line, target.process.command_line
• Dateipfade: principal.process.file.full_path, target.file.full_path
• Web- und Netzwerk-URLs: principal.url, target.url, network.http.referral_url
• Registrierungsschlüssel: principal.registry.registry_key, target.registry.registry_key
• Beschreibungen im freien Format: metadata.description, security_result.description, security_result.summary
• User-Agent-Strings: network.http.user_agent
• Dynamische benutzerdefinierte Felder: additional.fields.value.*

Angereicherte Felder und Entitätsdiagramm

Bei der UDM-Suche werden Rohprotokolldaten durchsucht, die nach dem 10. August 2023 aufgenommen wurden. Es werden keine Werte aus folgenden Quellen zurückgegeben:

• Nachgelagerte Anreicherungen: z. B. GeoIP-Standortauflösung, WHOIS-Daten, Safe Browsing-Ergebnisse oder VirusTotal-Scores. Wenn Sie danach suchen möchten, filtern Sie direkt nach dem Pfad des angereicherten Felds (z. B. target.ip_geo_artifact.country_or_region = "US").
• Entitätsdiagramm-Objekte: Daten im Namespace graph.*.
• Verlaufsdaten vor dem Stichtag: Logs, die vor dem 10. August 2023 aufgenommen wurden. Wenn Sie nach älteren Daten suchen möchten, verwenden Sie direkte Suchanfragen auf der Seite Suchen.

Datentabellen in einer Suche verwenden

Sie können die Funktion Datentabellen in einer Suche verwenden. So können Sie Ihre eigenen Datenbanken mit Bedrohungsinformationen in Verbindung mit einer Suche verwenden, um nach Bedrohungen in Ihrem Unternehmen zu suchen.

Wenn Sie beispielsweise eine Datenbank mit dem Namen suspicious haben, die eine Spalte mit IP-Adressen enthält, von denen Sie wissen, dass sie problematisch sind, können Sie diese Datenbank in der Suchanfrage referenzieren, anstatt einzelne IP-Adressen manuell in die Abfrage einzugeben:

  events:
      $e.principal.ip in %suspicious.ip

Sie können die Ergebnisse eingrenzen, indem Sie zusätzlich zu IP-Adressen nach bestimmten Metadaten suchen. Beispielsweise können Sie sich speziell für Änderungen an Nutzerressourcen interessieren:

  events:
      $e.metadata.event_type = "USER_RESOURCE_UPDATE_CONTENT"
      $e.principal.ip in %suspicious.ip

Sie können eine Suche auf miteinander verknüpfte UDM-Felder eingrenzen und mit mehreren Datentabellenspalten abgleichen. Im folgenden Beispiel wird nach NETWORK_CONNECTION-Ereignissen gesucht, bei denen das Sicherheitsergebnis ALLOW ist. Anschließend werden diese Ereignisse mit der Spalte hostnames und der Spalte ip in der Datentabelle badApps abgeglichen.

events:
  $e.metadata.event_type = "NETWORK_CONNECTION"
  $e.security_result.action = "ALLOW"
  $e.target.asset.asset_id = $assetid

  // Event hostname matches at least one value in table column hostname.
  $e.target.hostname in %badApps.hostname

  // Event IP matches at least one value in table column ip.
  $e.target.ip in %badApps.ip

Zeilen einer Datentabelle in einer Suche ansehen

Wenn Sie eine Datentabelle in einer YARA-L 2.0-Suche verwenden, verweisen die Ergebnisse auf die Datentabellenzeilen, die mit den übereinstimmenden Ereignissen verknüpft sind. Diese Ergebnisse werden im Bereich Ereignisse angezeigt. Der aktuelle Status der Datentabelle und ihrer Zeilen wird angezeigt, wenn Sie die Ergebnisse aufrufen.

Mit dem Spaltenmanager können Sie auswählen, welche Datentabelle und welche Spalten in den Ergebnissen angezeigt werden sollen.

Weitere Informationen finden Sie unter Datentabellen verwenden.

Abfrageausführungsprozess verstehen

Wenn die Abfrage im Abfrageeditor gültig ist, wird in der Google SecOps-Konsole die Schaltfläche Suche ausführen aktiviert.

Nachdem Sie auf Suche ausführen geklickt haben, wird die laufende Abfrage mit einem runden Statussymbol angezeigt.

Während eine Suche läuft, können Sie im Abfrageeditor zusätzliche (gleichzeitige) Suchen ausführen. Dabei gelten jedoch einige Einschränkungen. Google SecOps führt Ihre vorherigen Suchanfragen weiterhin aus und führt die neuen Suchanfragen parallel aus.

Wichtig: Für gleichzeitige Suchanfragen und gespeicherte Ergebnisse muss die Funktion „Verlauf in der Google Suche“ aktiviert sein. Wenn Sie den Suchverlauf zuvor deaktiviert haben, können Sie ihn wieder aktivieren, indem Sie auf Verlauf in der Google Suche > Suchverlauf aktivieren klicken.

Abgeschlossene Abfragen werden mit einem grünen Häkchensymbol und einem Zähler angezeigt, der die Anzahl der von der Abfrage zurückgegebenen Ereignisse angibt.

Klicken Sie auf eine abgeschlossene Abfrage, um die Ergebnisse aufzurufen. Die Suchergebnisse werden unter dem Abfrageeditor angezeigt.

Die Suchergebnisse werden im Cache gespeichert und enthalten nur die Daten, die zum Zeitpunkt der Abfrage verfügbar waren.

Suchverlauf verwalten

Ihr Suchverlauf wird in Ihrem Google SecOps-Konto gespeichert.

Wichtig: Für gleichzeitige Suchanfragen und gespeicherte Ergebnisse muss die Funktion „Verlauf in der Google Suche“ aktiviert sein.

• Wenn Sie Ihren Suchverlauf verwalten möchten, klicken Sie auf der Seite SIEM-Suche auf Verlauf, um das Dialogfeld zu öffnen, und gehen Sie so vor:

  • Eine Liste aller Suchanfragen in Ihrem Verlauf aufrufen.
  • Klicken Sie auf ein Element in der Liste, um es in den Abfrageeditor zu laden.
  • Geben Sie einen Suchbegriff in die Suchleiste ein, um eine Suchanfrage in Ihrem Verlauf zu finden.
  • Klicken Sie neben der Suchleiste auf Filter, um Suchanfragen nach Sprache (mit den Filtern YL2 und SQL) oder nach AND Suchtyp (mit den Filtern UDM, Rohprotokoll und Statistiken) zu filtern.
  • Nur gespeicherte Ergebnisse von abgeschlossenen und laufenden Suchen anzeigen oder nicht (über das Kästchen Nur gespeicherte Ergebnisse von abgeschlossenen und laufenden Suchen anzeigen).
  • Verlauf in der Google Suche löschen
    • Wenn Sie den Suchverlauf löschen möchten, klicken Sie auf das Dreipunkt-Menü  Mehr und wählen Sie Verlauf löschen aus.

  • Verlauf in der Google Suche deaktivieren oder wieder aktivieren:

    • Wenn Sie den Verlauf in der Google Suche deaktivieren möchten, klicken Sie auf Verlauf in der Google Suche deaktivieren und wählen Sie dann Nur deaktivieren aus, um den Verlauf in der Google Suche zu deaktivieren, oder Deaktivieren und löschen, um den Verlauf in der Google Suche zu deaktivieren und den gespeicherten Verlauf in der Google Suche zu löschen.

    • Wenn Sie den Verlauf in der Google Suche zuvor deaktiviert haben, können Sie ihn wieder aktivieren, indem Sie auf Opt into search history klicken.

• Informationen zum Löschen einer einzelnen Suchanfrage aus Ihrem Verlauf in der Google Suche finden Sie unter Gespeicherte Suchanfrage löschen.

Messwertabfrage speichern und verwenden

Hinweis: Dieses Feature unterliegt den Bedingungen des Pre-GA-Angebots in den dienstspezifischen Nutzungsbedingungen für Google Security Operations. Pre-GA-Features werden eventuell nur eingeschränkt unterstützt und Änderungen an diesen Features sind möglicherweise nicht mit anderen Pre-GA-Versionen kompatibel. Weitere Informationen finden Sie in den Richtlinien für den technischen Support von Google SecOps und den dienstspezifischen Nutzungsbedingungen für Google SecOps.
Wenn diese Funktion in Ihrer Umgebung nicht sichtbar ist, lesen Sie den Hilfeartikel Funktionen in der Vorabversion verwalten oder wenden Sie sich an Ihren Systemadministrator.

Google SecOps klassifiziert Messwertabfragen mit dem Badge STATS.

• Wenn Sie eine Suche als Messwert speichern möchten, klicken Sie neben Suche ausführen auf das Dreipunkt-Menü und dann auf Als Messwert speichern. Die Seite Regeln und Erkennungen wird geöffnet und Ihre Messwertabfrage wird auf dem Tab Messwerte angezeigt. Anschließend können Sie den Messwert speichern oder deaktivieren. Nach dem Speichern kann eine Messwertabfrage nicht mehr bearbeitet oder gelöscht werden. Messwerte können jederzeit deaktiviert werden.

Mit einer Messwertabfrage können Sie typische Verhaltensmuster ermitteln und ungewöhnliche Aktivitäten identifizieren. Wenn Sie im Abfrageeditor eine Messwertabfrage haben, mit der wichtige Betriebstrends erfasst werden, klicken Sie auf Mehr > Als Messwert speichern. Dadurch wird die Abfrage als kontinuierlicher Zeitreihenmesswert gespeichert, der in benutzerdefinierte Dashboards eingebettet oder in Schwellenwertbenachrichtigungen referenziert werden kann.

Beispiel für eine Messwertabfrage:

metric metric_1784196814306 {
  (metadata.event_type = "NETWORK_FLOW" OR
  metadata.event_type = "NETWORK_CONNECTION" OR
  metadata.event_type = "NETWORK_DNS" OR
  metadata.event_type = "NETWORK_HTTP")

  outcome:
  $timestamp = timestamp.get_timestamp(metadata.event_timestamp.seconds)
  $hostname = principal.hostname
  $event_type = metadata.event_type
  $user = principal.user.userid
  $principal_process = principal.process.file.full_path
  $principal_cmdline = principal.process.command_line
  $target_process = target.process.file.full_path
  $target_cmdline = target.process.command_line
  $target_url = target.url
  $target_ip = target.ip[0]
  order:
  $timestamp
  }

Suchanfragen verwalten (Search Manager)

Verwenden Sie das Dialogfeld Suchmanager, um Ihre Suchanfragen zu verwalten.

• Klicken Sie auf der Seite SIEM-Suche auf Suchmanager, um den Suchmanager zu öffnen.

Abzeichen für Suchtypen

Auf dem Tab Gespeichert im Suchmanager werden alle gespeicherten Suchen aufgelistet und ein Badge mit dem Suchtyp angezeigt: UDM, RAW, JOIN, STATS, CASE, CASE HISTORY und ECG.

Search Manager-Aktionen

Auf dem Tab Gespeichert haben Sie folgende Möglichkeiten:

• Gespeicherte Suchanfragen filtern: Klicken Sie neben der Suchleiste auf Filtern und filtern Sie die Suchanfragen nach Quelle (enthält: Von Google SecOps definiert, Von mir erstellt und Für mich freigegeben) AND Sprache (enthält: YL2 und SQL).
• Suchanfragen sortieren: Klicken Sie neben der Suchleiste auf Sortieren list_arrow und sortieren Sie nach Name (A–Z), Name (Z–A), Älteste zuerst oder Neueste zuerst.
• Suche hinzufügen: Klicken Sie neben der Suchleiste auf add_2 Hinzufügen und erstellen Sie im Feld UDM-Suche daneben eine neue Suche. Das Feld UDM-Suche unterstützt dieselben Tools zur UDM-Bearbeitung und automatischen Vorschläge und Vervollständigung wie beim manuellen Erstellen einer Abfrage im Abfrageeditor.
• Suchanfragen, die Sie erstellt haben, freigeben oder löschen
• Von Ihnen erstellte Suche bearbeiten: Wenn Sie auf dem Tab Gespeichert eine Suche auswählen, wird die Abfrage im Feld SUCHE angezeigt, zusammen mit den Feldern Titel und Beschreibung. Das Feld UDM-Suche unterstützt dieselben Tools zur UDM-Bearbeitung und automatischen Vervollständigung wie beim manuellen Erstellen einer Abfrage im Abfrageeditor.

Suchanfrage speichern

Gespeicherte Suchanfragen und der Verlauf in der Google Suche sind:

• In Ihrem Google SecOps-Konto gespeichert.
• Nur für den einzelnen Nutzer sichtbar und zugänglich, es sei denn, Sie verwenden die Funktion Suche freigeben, um Ihre Suche für Ihre Organisation freizugeben.

So speichern Sie eine Suche:

1. Führen Sie auf der Seite SIEM-Suche einen der folgenden Schritte aus:

   • Wenn sich im Abfrageeditor eine gültige Abfrage befindet, klicken Sie neben Suche ausführen auf das Dreipunkt-Menü und dann auf Suche speichern. Das Dialogfeld Search Manager wird geöffnet.
   • Klicken Sie auf Search Manager. Das Dialogfeld Search Manager wird geöffnet.

2. Geben Sie im Feld Titel einen Namen für die Suche ein. Google empfiehlt, der gespeicherten Suche einen aussagekräftigen Namen und eine Nur-Text-Beschreibung des Suchbegriffs zu geben.

3. Optional: Geben Sie im Feld Beschreibung eine Beschreibung für die Suche ein.

4. Optional: Geben Sie Platzhaltervariablen im Format ${<variable name>} an. Verwenden Sie dabei dasselbe Format wie für Variablen in YARA-L. Wenn Sie einer Suche eine Variable hinzufügen, müssen Sie auch einen Prompt einfügen, damit der Nutzer versteht, welche Informationen er vor dem Ausführen der Suche eingeben muss. Alle Variablen müssen mit Werten gefüllt sein, bevor eine Suche ausgeführt wird.

   Sie können Ihrer Suche beispielsweise metadata.vendor_name = ${vendor_name} hinzufügen. Für ${vendor_name} müssen Sie einen Prompt für zukünftige Nutzer hinzufügen, z. B. Enter the name of the vendor for your search. Jedes Mal, wenn ein Nutzer diese Suche in Zukunft lädt, wird er aufgefordert, den Namen des Anbieters einzugeben, bevor die Suche ausgeführt wird.

5. Klicken Sie abschließend auf Änderungen speichern.

• Wenn Sie gespeicherte Suchanfragen aufrufen möchten, klicken Sie auf Suchmanager und dann auf den Tab Gespeichert.

Gespeicherte Suchanfrage abrufen und ausführen

So rufen Sie eine gespeicherte Suche ab und führen sie aus:

1. Klicken Sie auf der Seite SIEM-Suche auf Suchmanager und wählen Sie links in der Liste Gespeichert eine Suche aus.
2. Optional: Sie können eine Suche löschen, indem Sie auf das Dreipunkt-Menü  Mehr klicken und Suche löschen auswählen. Sie können nur Suchanfragen löschen, die Sie erstellt haben.
3. Sie können den Namen der Suche und die Beschreibung ändern. Klicken Sie abschließend auf Änderungen speichern.
4. Klicken Sie auf Suche laden. Die Suche wird in das Hauptsuchfeld geladen.
5. Klicken Sie auf Suche ausführen.

Gespeicherte Suchanfrage löschen

Sie können nur Suchanfragen löschen, die Sie erstellt haben.

So löschen Sie eine gespeicherte Suche:

1. Klicken Sie auf der Seite SIEM-Suche auf Suchmanager und wählen Sie links in der Liste Gespeichert eine Suche aus.
2. Klicken Sie auf das Dreipunkt-Menü  Mehr und wählen Sie Suchanfrage löschen aus.
3. Klicken Sie auf Suche löschen.

Suchanfrage teilen oder Freigabe beenden

Mit freigegebenen Suchanfragen können Sie Suchanfragen für Ihr Team freigeben. Sie können Inhalte nicht nur mit einer Person teilen. Wenn Sie Ihre Suche freigeben, wird sie für Ihre gesamte Organisation freigegeben.

Sie können eine freigegebene Suche, die Sie nicht selbst erstellt haben, nicht bearbeiten.

So teilen Sie eine Suche:

1. Klicken Sie auf der Seite SIEM-Suche auf Suchmanager und wählen Sie links in der Liste Gespeichert eine Suche aus.
2. Klicken Sie auf die Suche, die Sie teilen möchten.
3. Klicken Sie rechts neben der Suche auf Mehr. Es wird ein Dialogfeld mit der Option zum Teilen der Suche angezeigt.
4. Klicken Sie auf Für Ihre Organisation freigeben. Es wird ein Dialogfeld mit der Meldung „Wenn Sie Ihre Suche freigeben, ist sie für Personen in Ihrer Organisation sichtbar. Möchten Sie die Datei wirklich freigeben?“.
5. Klicken Sie auf Freigeben.

Wenn die Suche nur für Sie sichtbar sein soll, klicken Sie auf das Dreipunkt-Menü  Mehr und dann auf Freigabe beenden. Wenn Sie die Freigabe beenden, können nur Sie diese Suche nutzen.

Suchergebnisse – Übersicht

Wenn Sie auf der Seite SIEM-Suche auf Suche ausführen klicken, wertet Google Security Operations Ihre Abfrage in Ihrer gesamten Umgebung aus und kategorisiert und zeigt die Ergebnisse unter dem Abfrageeditor an.

Die UI-Elemente für Suchergebnisse variieren je nach Suchtyp (gemäß den Badges: UDM, RAW, JOIN, STATS, CASE oder CASE HISTORY).

Auf der Seite SIEM-Suche werden die folgenden Tabs für Suchergebnisse angezeigt:

• Ergebnisse: Werden für alle Suchtypen angezeigt.
• Benachrichtigungen und Erkennungen: Wird nur für UDM-, RAW- und JOIN-Suchergebnisse angezeigt.
• Übersicht: Wird nur für UDM-, RAW- und JOIN-Suchergebnisse angezeigt.
• Visualisieren: Wird nur für STATS-Suchergebnisse angezeigt.

Der Titel jedes Ergebnis-Tabs enthält die Anzahl in Klammern, z. B. Ergebnisse (1.118) oder Ergebnisse (100.000+), wenn die Anzahl der Ergebnisse das angegebene Maximum (in diesem Fall 100.000) überschreitet.

Wenn Sie zwischen Tabs wechseln, wird die Ansicht des Arbeitsbereichs sofort geändert. Ihre Suchanfrage und der Zeitraum bleiben dabei erhalten.

Informationen auf dem Tab „Ergebnisse“ ansehen und verwalten

Der Tab Ergebnisse ist Ihr primärer Arbeitsbereich zum Ansehen und Verwalten von Suchergebnissen. Auf dem Tab Ergebnisse können Sie Folgendes tun:

• Detaillierte Protokollsuche
• Rohe Telemetriedaten ansehen
• Pivot-Tabellen aus Ereignisdaten generieren
• Verteilung von Feldwerten mit hoher Häufigkeit analysieren
• Daten in CSV-Dateien exportieren

Der Tab Ergebnisse enthält je nach Suchtyp die folgenden Elemente:

• Bereiche mit Tabs und den folgenden Diagrammen:
  • Aktivität im Zeitverlauf: Wird für UDM-, JOIN-, CASE-, CASE HISTORY- und ECG-Suchergebnisse angezeigt.
  • Trend im Zeitverlauf: Wird für RAW-Suchergebnisse angezeigt.
  • Prävalenz: Wird für UDM-Suchergebnisse angezeigt.
  • Aktivitäts-Heatmap-Tabelle: Wird für UDM-Suchergebnisse angezeigt.
• Aggregations-Bereich: Wird für alle Arten von Suchergebnissen angezeigt.

• Bereiche mit den folgenden Tabellen, je nach Suchtyp:

  • Tabelle Ereignisse und Untertab Pivot: Wird nur für UDM-Suchergebnisse angezeigt. In der Tabelle Ereignisse werden normalisierte UDM-Ereignistelemetriedaten und Rohprotokolleinträge angezeigt, die Ihrer Abfrage im ausgewählten Zeitraum entsprechen. Auf dem Untertab Pivot können Sie eine Pivot-Tabelle erstellen und verwenden, um die Ereignisergebnisse mehrdimensional mathematisch zu gruppieren und zusammenzufassen (sum, count, avg, stddev).
  • Logs zu Rohdaten: Wird nur für RAW-Suchergebnisse angezeigt.
  • Statistiken: Wird nur für STATISTIKEN-Suchergebnisse angezeigt.
  • Joins: Wird nur für JOIN-Suchergebnisse angezeigt.
  • Anfragen: Wird nur für CASE-Suchergebnisse angezeigt.
  • CASE HISTORY: Wird nur für CASE- und CASE HISTORY-Suchergebnisse angezeigt.
  • Zeitgebundene Daten und Zeitunabhängige Daten: Werden nur für EKG-Suchergebnisse angezeigt.

  Informationen zu den unterstützten Funktionen und Tools für diese Tabellen finden Sie unter Gängige Tools für Tabellen verwenden. Zu den unterstützten Funktionen gehören das Verwalten der Spalten in der Tabelle, die auf dem Tab angezeigt wird, das Herunterladen von Suchergebnissen und mehr.

Tipp: Klicken Sie auf Ansichtsoptionen, um die Diagramme und den Bereich Zusammenfassungen ein- oder auszublenden.

Diagramm „Aktivität im Zeitverlauf“ verwenden

Der Tab Aktivität im Zeitverlauf enthält ein Diagramm (ein Histogramm) des Ereignis- und Benachrichtigungsvolumens im Zeitverlauf.

Hinweis: Der Tab Aktivität im Zeitverlauf wird nur für Suchergebnisse vom Typ UDM, JOIN, CASE und CASE HISTORY angezeigt.

Die Breite der einzelnen Balken hängt vom gesuchten Zeitraum ab. Wenn die Suche beispielsweise Daten aus 24 Stunden umfasst, steht jeder Balken für 10 Minuten. Dieses Diagramm wird dynamisch aktualisiert, wenn Sie die vorhandene Suche ändern.

Hinweis: Das maximale Suchfenster beträgt bis zu 365 Tage für YARA-L 2.0-Suchen und 90 Tage für SQL-Suchen, vom Start- bis zum Endzeitpunkt.

Das Diagramm unterstützt Folgendes:

• Zeitraum anpassen: Ziehen Sie die Schieberegler auf der Zeitachse, um das sichtbare Zeitfenster sofort einzugrenzen. Das Ergebnisraster und der Bereich Aggregationen werden aktualisiert, ohne dass die Abfrage noch einmal für das Backend ausgeführt wird.
• Ereignisse und Benachrichtigungen für das Zeitfenster eines einzelnen Balkens ansehen: Klicken Sie auf einen Balken, um den Fokus des Diagramms, des Bereichs Zusammenfassungen und des Tabs Erkennungen auf das Zeitfenster dieses Balkens einzugrenzen. Dadurch wird ein Filter erstellt, der neben der Schaltfläche Filter hinzufügen filter_list angezeigt wird. Wenn Sie wieder alle Ergebnisse sehen möchten, löschen Sie den Filter.
• Pop-up mit Details: Wenn Sie auf einen der Balken klicken, wird ein Pop-up mit der Uhrzeit und den Werten für Abgefragte Ereignisse, Gefilterte Ereignisse, Abgefragte Benachrichtigungen und Gefilterte Benachrichtigungen geöffnet.

Diagramm „Trend im Zeitverlauf“ verwenden

Der Tab Trend im Zeitverlauf enthält ein Diagramm (ein Histogramm) des Rohlogvolumens im Zeitverlauf. Die Breite der einzelnen vertikalen Balken wird dynamisch an das gesamte Suchfenster angepasst. Bei einem Suchfenster von 24 Stunden kann jeder Balken beispielsweise für 10 Minuten stehen.

Hinweis: Der Tab Trend im Zeitverlauf wird nur für RAW-Suchergebnisse angezeigt.

Das Diagramm unterstützt Folgendes:

• Zeitraum anpassen: Ziehen Sie die Schieberegler auf der Zeitachse, um das sichtbare Zeitfenster sofort einzugrenzen. Das Ergebnisraster und der Bereich Aggregationen werden aktualisiert, ohne dass die Abfrage noch einmal für das Backend ausgeführt wird.
• Anzahl der geparsten, nicht geparsten und unbekannten Logs, die im Zeitfenster eines einzelnen Balkens erkannt wurden: Unbekannt bedeutet, dass zu diesem Zeitpunkt ein oder mehrere Logs erkannt wurden, die Anzahl aber nicht ermittelbar ist. Klicken Sie auf einen Balken, um den Fokus des Diagramms und des Bereichs Aggregations (Aggregationen) auf das Zeitfenster dieses Balkens einzugrenzen. Dadurch wird ein Filter erstellt, der neben dem Button Filter hinzufügen filter_list angezeigt wird. Wenn Sie wieder alle Ergebnisse sehen möchten, löschen Sie den Filter.
• Pop-up mit Details: Wenn Sie auf einen der Balken klicken, wird ein Pop-up mit der Uhrzeit und den Werten für Abgefragte Ereignisse, Gefilterte Ereignisse, Abgefragte Benachrichtigungen und Gefilterte Benachrichtigungen geöffnet.

Tab „Prävalenz“ verwenden

Der Tab Prävalenz wird nur angezeigt, wenn Ihre Suche eine Domain enthält.

Auf dem Tab Prävalenz wird die Verbreitung von Domains angezeigt, die mit Ihrer Suche in Ihrem Unternehmen verknüpft sind. Sie kombiniert eine Liste von Domains mit geringer Verbreitung mit einem interaktiven Diagramm. Der Tab wird nur angezeigt, wenn Ihre UDM-Suche eine Domain enthält.

Hinweis: Der Tab Prävalenz wird nur für UDM-Suchergebnisse angezeigt.

Die Liste der Domains mit geringer Verbreitung enthält die folgenden Spalten:

• Domains mit niedriger Verbreitung: Zeigt die Domainnamen an, die mit Ihren Suchergebnissen verknüpft sind. Klicken Sie auf arrow_upward, um die Domains alphabetisch (Z bis A) zu sortieren, und auf arrow_downward, um sie alphabetisch (A bis Z) zu sortieren.

• Verbreitung ≤ 10: Zeigt die Gesamtzahl der Vorkommen für jede Domain mit einer Verbreitung von 10 oder weniger an. Klicken Sie auf arrow_upward, um die Anzahl numerisch in absteigender Reihenfolge zu sortieren, und auf arrow_downward, um sie in aufsteigender Reihenfolge zu sortieren.

Bewegen Sie den Mauszeiger im Diagramm über einen Kreis, um die entsprechende Domain aufzurufen und die Suche auf Ereignisse zu beschränken, die nur mit dieser Domain verknüpft sind.

Tab „Aktivitäts-Heatmap“ verwenden

Auf dem Tab Aktivitäts-Heatmap werden Ereignisdaten in einem visuellen Zeitachsenraster angezeigt, um hervorzuheben, wo Ereignisse im angegebenen Zeitraum am stärksten konzentriert sind. Auf der Y-Achse werden die Daten innerhalb des Suchzeitraums angezeigt und auf der X-Achse die Tageszeit in stündlichen Intervallen (von 00:00 bis 23:00 Uhr).

Hinweis: Der Tab Aktivitäts-Heatmap wird nur für UDM-Suchergebnisse angezeigt.

Eine Farbverlaufslegende gibt die Anzahl der Ereignisse in einer bestimmten Stunde an. Hellere Farben stehen für weniger Ereignisse und dunklere Farben für eine höhere Dichte. Sie können auch die Dichteanzeige anpassen, um stündliche Zeitfenster ein- oder auszublenden, indem Sie den horizontalen Schieberegler anpassen. Klicken Sie auf die Aufwärts- oder Abwärtspfeile in der Seitenleiste, um durch die Daten zu scrollen und das gewünschte Zeitfenster anzupassen.

Suchergebnisse im Bereich „Aggregationen“ verfeinern

Im Bereich Zusammenfassungen werden häufige Werte zusammengefasst, mit denen Sie Ihre Suchergebnisse verfeinern können.

Hinweis: Das Steuerfeld Zusammenfassungen wird für alle Arten von Suchergebnissen angezeigt.

Der Bereich Aggregationen enthält zwei minimierbare Listen: UDM-Felder (eine Liste übereinstimmender UDM-Felder) und eine weitere Liste von Feldern, die dem Suchtyp entspricht (z. B. Logfelder für Suchen in Rohlogs, Statistikfelder, Fallfelder usw.). Bei UDM-Suchen enthält der Bereich Aggregationen die Liste UDM-Felder und die Liste Gruppierte Felder.

Wenn Sie ein Feld oben in der Liste Aggregationen anpinnen möchten, halten Sie den Mauszeiger über ein Feld und klicken Sie auf das Symbol keep Beibehalten.

Über das Suchfeld im Bereich können Sie nach bestimmten Feldern oder Feldwerten suchen.

In jedem Feld wird die „Anzahl der Übereinstimmungen“ angezeigt, d. h. die Anzahl der Datensätze, die denselben Wert für dieses Feld haben. Die Inhalte der Listen sind absteigend nach der Anzahl der Übereinstimmungen sortiert. Bei gleicher Anzahl von Übereinstimmungen erfolgt die Sortierung alphabetisch. Sie können die Listen nach Feldern durchsuchen und ein Feldelement maximieren.

So filtern Sie Suchergebnisse mit Aggregationen:

1. Wählen Sie im Bereich Aggregationen ein Feld aus einer Liste aus, um die Listenwerte für dieses Feld anzuzeigen.

2. Wählen Sie einen Wert aus der Liste aus und klicken Sie auf more_vert Mehr.

3. Wählen Sie eine Filteroption aus:

   • Nur anzeigen: Die entsprechende Tabelle daneben wird aktualisiert und zeigt nur übereinstimmende Datensätze an. Der Filter = "value" wird neben dem Button Filter hinzufügen filter_list angezeigt.
   • Herausfiltern: Die entsprechende benachbarte Tabelle wird aktualisiert und die übereinstimmenden Datensätze werden herausgefiltert. Der Filter != "value" wird neben dem Button Filter hinzufügen filter_list angezeigt.
   • Kopieren: Kopiert das Feld-Wert-Paar in die Zwischenablage.

   

   Abbildung 4. Beispiel für das Filtern von Feldern im Bereich Aggregationen.

   

   Abbildung 5. Button Filter hinzufügen (filter_list) mit zwei vorhandenen Filtern (einer wird angezeigt und einer befindet sich in der Liste +1 weitere).

4. Optional: Wenn Sie im vorherigen Schritt Nur anzeigen oder Herausfiltern ausgewählt haben und den Filter automatisch in den Abfrageeditor einfügen und die Suche noch einmal ausführen möchten, klicken Sie auf Auf Suche anwenden und ausführen.

Gruppierte Felder im Bereich „Aggregationen“ des Tabs „Ergebnisse“ verwenden

Der Bereich Aggregationen für UDM-Suchen enthält die Liste Gruppierte Felder. Gruppierte Felder fungieren als leistungsstarke Kategorie-Aliasse, die verwandte UDM-Felder kombinieren, ohne dass Sie jedes einzeln eingeben müssen. Weitere Informationen zu gruppierten Feldern finden Sie unter Gruppierte Felder suchen.

Alias für gruppiertes Feld	Zugehörige UDM-Felder, die im Alias enthalten sind
domain	about.administrative_domain about.asset.network_domain network.dns.questions.name network.dns_domain principal.administrative_domain principal.asset.network_domain target.administrative_domain target.asset.hostname target.asset.network_domain target.hostname
email	intermediary.user.email_addresses network.email.from network.email.to principal.user.email_addresses security_result.about.user.email_addresses target.user.email_addresses
file_path	principal.file.full_path principal.process.file.full_path principal.process.parent_process.file.full_path target.file.full_path target.process.file.full_path target.process.parent_process.file.full_path
hash	about.file.md5 about.file.sha1 about.file.sha256 principal.process.file.md5 principal.process.file.sha1 principal.process.file.sha256 security_result.about.file.sha256 target.file.md5 target.file.sha1 target.file.sha256 target.process.file.md5 target.process.file.sha1 target.process.file.sha256
hostname	intermediary.hostname observer.hostname principal.asset.hostname principal.hostname src.asset.hostname src.hostname target.asset.hostname target.hostname
ip	intermediary.ip observer.ip principal.artifact.ip principal.asset.ip principal.ip src.artifact.ip src.asset.ip src.ip target.artifact.ip target.asset.ip target.ip
namespace	principal.namespace src.namespace target.namespace
process_id	principal.process.parent_process.pid principal.process.parent_process.product_specific_process_id principal.process.pid principal.process.product_specific_process_id target.process.parent_process.pid target.process.parent_process.product_specific_process_id target.process.pid target.process.product_specific_process_id
user	about.user.userid observer.user.userid principal.user.user_display_name principal.user.userid principal.user.windows_sid src.user.userid target.user.user_display_name target.user.userid target.user.windows_sid

Bereich „Ereignisse“ verwenden

Im Bereich Ereignisse können Sie die Ereignisse, die Ihrer UDM-Suche entsprechen, ansehen, sortieren und verwalten.

Informationen zu den unterstützten Funktionen und Tools für den Bereich Ereignisse finden Sie unter Gängige Tools für Tabellen verwenden. Zu den unterstützten Funktionen gehören das Verwalten der Spalten in der Tabelle, die auf dem Tab angezeigt wird, das Herunterladen von Suchergebnissen und mehr.

Nachdem Sie eine Suche ausgeführt haben, werden in der Tabelle Ereignisse standardmäßig wichtige Spalten (auch als Schnellfelder bezeichnet) angezeigt, z. B. Ereignisstatus, Zeitstempel, Typ (udm.metadata.event_type), Zusammenfassung, Nutzer (udm.principal.user.userid oder target.user.userid), Hostname (udm.principal.hostname oder target.hostname). Je nach Abfrageumfang und Logquelle können in der Tabelle auch relevante Schnellfelder wie Aktion (udm.security_result.action) dynamisch angezeigt werden.

Hinweis: Bei Ereignissen, die mit Meldungen verknüpft sind, wird in der Spalte Ereignisstatus ein Chip Meldung angezeigt. Wenn mehrere Meldungen zutreffen, wird die Anzahl angezeigt.

Detaillierte Informationen zu einem einzelnen Ereignis prüfen (Ereignisanzeige und Korrelation von Rohprotokollen)

• Klicken Sie auf die Zeile, um detaillierte Informationen zu einem einzelnen Ereignis aufzurufen. Die Ereignisanzeige wird geöffnet.

  Weitere Informationen finden Sie unter Ereignisanzeige für UDM- und RAW-Ergebnisse verwenden.

Pivot-Tab—Pivot-Tabelle erstellen

Mit einer Pivot-Tabelle können Sie Ihre Suchergebnisse multidimensional mathematisch gruppieren und zusammenfassen.

So öffnen und konfigurieren Sie eine Pivot-Tabelle:

1. Führen Sie eine UDM-Suche aus.
2. Klicken Sie auf dem Tab Ergebnisse auf den Untertab Pivot. Der Bereich Pivot-Einstellungen wird geöffnet.

3. Klicken Sie unter Gruppieren nach auf Feld hinzufügen , um bis zu fünf UDM-Felder für die Zeilengruppierung auszuwählen. Je nach Feldtyp werden spezielle Transformationsoptionen angezeigt:

   • Stringfelder: Option, um Kleinbuchstaben zu erzwingen. Sie können die Ergebnisse mit der Standardgroßschreibung oder nur mit Kleinbuchstaben anzeigen lassen, indem Sie im Menü die Option Kleinbuchstaben auswählen.
   • Hostnamenfelder:
     • Registrierte Domain: Es wird nur der registrierte Domainname angezeigt (z. B. google.com, nytimes.com, youtube.com).
     • Top-N-Level-Domain: Geben Sie an, welche Ebene der Domain angezeigt werden soll. Wenn Sie beispielsweise den Wert 1 verwenden, wird nur die Top-Level-Domain angezeigt (z. B. com, gov oder edu). Wenn Sie den Wert 3 verwenden, werden die nächsten beiden Ebenen der Domainnamen angezeigt (z. B. google.co.uk).
   • IP-Felder: Option zum Gruppieren nach CIDR-Präfixlänge in Bit. Sie können für IPv4-Adressen 1 bis 32 angeben. Für IPv6-Adressen können Sie Werte bis zu 128 angeben.
   • Zeitstempelfelder: Option zum Gruppieren nach Zeitauflösung (Millisekunden, Sekunden, Minuten, Stunden, Tage).

4. Geben Sie unter Werte einen Wert für den Pivot aus der Liste der Felder in den Ergebnissen an. Sie können bis zu fünf Werte angeben.

5. Für jedes Feld, das Sie für Werte angeben, müssen Sie eine der folgenden Zusammenfassen nach-Optionen auswählen:

   • Avg (Durchschnitt)
   • Anzahl
   • Anzahl der unterschiedlichen Werte
   • Max.
   • Min.
   • Summe
   • Stddev (Standardabweichung)

   Die Optionen für Zusammenfassen sind nicht universell mit den Feldern für Gruppieren nach kompatibel. Die Optionen Summe, Durchschnitt, Standardabweichung, Min. und Max. können beispielsweise nur auf numerische Felder angewendet werden. Wenn Sie versuchen, eine inkompatible Option Zusammenfassen mit einem Feld Gruppieren nach zu verknüpfen, erhalten Sie eine Fehlermeldung.

   Geben Sie den Wert Ereignisanzahl an, um die Anzahl der Ereignisse zurückzugeben, die für diese bestimmte Suche und Pivot-Tabelle identifiziert wurden.

6. Geben Sie unter Sortieren nach ein oder mehrere UDM-Felder an und wählen Sie eine oder mehrere Sortierungen mit der Option Aufsteigend oder Absteigend aus.

7. Klicken Sie auf Anwenden, wenn Sie fertig sind. Die Ergebnisse werden im Bereich Pivot angezeigt.

8. Optional: Wenn Sie den Inhalt der Pivot-Tabelle herunterladen und speichern möchten, lesen Sie den Hilfeartikel Suchergebnisse aus einer Tabelle herunterladen.

Bereich „Rohprotokolle“ verwenden

Im Bereich Rohlogs können Sie die Logs ansehen, sortieren und verwalten, die Ihrer Suche entsprechen. Dabei werden rohe, nicht geparste Log-Telemetriedaten ausgewertet. Das primäre Diagnoseziel ist das Monitoring des Zustands der Aufnahme und des Parsens. Das bedeutet, dass Sie überwachen, wie viele Logs geparst wurden, wie viele Logs nicht geparst wurden und wie viele Logs unbekannt sind (was bedeutet, dass ein oder mehrere Logs zu einem bestimmten Zeitpunkt erkannt wurden, die Anzahl aber nicht ermittelbar ist).

Informationen zu den unterstützten Funktionen und Tools für diesen Tab finden Sie unter Gängige Tools für Tabellen verwenden. Zu den unterstützten Funktionen gehören das Verwalten der Spalten in der Tabelle, die auf dem Tab angezeigt wird, das Herunterladen von Suchergebnissen und mehr.

Detaillierte Informationen zu einem einzelnen Rohprotokoll prüfen (Ereignisanzeige und Korrelation von Rohprotokollen)

• Wenn Sie sich die Details eines einzelnen Rohlogs genauer ansehen möchten, klicken Sie auf die entsprechende Zeile. Die Ereignisanzeige wird geöffnet.

  Weitere Informationen finden Sie unter Ereignisanzeige für UDM- und RAW-Ergebnisse verwenden.

Bereich „Statistiken“ verwenden

Im Bereich Statistiken können Sie die Statistiken, die Ihrer Suche entsprechen, aufrufen, sortieren und verwalten.

Im Bereich Statistiken wird nur die Spaltenauswahl  unterstützt, über die Sie Spalten hinzufügen oder entfernen können.

Informationen zu den unterstützten Funktionen und Tools für diesen Tab finden Sie unter Gängige Tools für Tabellen verwenden. Zu den unterstützten Funktionen gehört unter anderem das Herunterladen von Suchergebnissen.

Bereich „Joins“ verwenden

Im Bereich Beitritte können Sie die Elemente, die Ihrer Suche entsprechen, ansehen, sortieren und verwalten.

Informationen zu den unterstützten Funktionen und Tools für diesen Tab finden Sie unter Gängige Tools für Tabellen verwenden. Zu den unterstützten Funktionen gehören das Verwalten der Spalten in der Tabelle, die auf dem Tab angezeigt wird, das Herunterladen von Suchergebnissen und mehr.

Bereich „Anfragen“ verwenden

Im Bereich Supportanfragen können Sie die Supportanfragen, die Ihrer Suche entsprechen, ansehen, sortieren und verwalten.

Informationen zu den unterstützten Funktionen und Tools für diesen Tab finden Sie unter Gängige Tools für Tabellen verwenden. Zu den unterstützten Funktionen gehören das Verwalten der Spalten in der Tabelle, die auf dem Tab angezeigt wird, das Herunterladen von Suchergebnissen und mehr.

Bereich „Fallverlauf“ verwenden

Im Bereich Fallverlauf können Sie die Fallverläufe, die Ihrer Suche entsprechen, ansehen, sortieren und verwalten.

Informationen zu den unterstützten Funktionen und Tools für diesen Tab finden Sie unter Gängige Tools für Tabellen verwenden. Zu den unterstützten Funktionen gehören das Verwalten der Spalten in der Tabelle, die auf dem Tab angezeigt wird, das Herunterladen von Suchergebnissen und mehr.

Bereiche „Zeitbezogene Daten“ und „Zeitlose Daten“ verwenden

In den Bereichen Zeitbezogene Daten und Zeitunabhängige Daten können Sie Ergebnisse von EKG-Suchen ansehen, sortieren und verwalten. Im Bereich Zeitgesteuerte Daten werden Ergebnisse für Entitäten mit einem definierten Zeitraum angezeigt, d. h. sie haben während der Aufnahme einen Wert für metadata.interval.end_time. Im Bereich Zeitlose Daten werden Ergebnisse für Entitäten angezeigt, für die kein Zeitraum definiert ist, d. h. für die kein Wert für metadata.interval.end_time vorhanden ist.

Wichtig :In der EKG-Datenbank werden zeitgebundene und zeitlose Entitäten separat gespeichert. Wenn Sie eine ECG-Suche ausführen, erstellt Google SecOps eine Vereinigung der zeitgebundenen und zeitlosen Datenspeicher und gibt die besten Ergebnisse aus jedem Datenspeicher bis zur konfigurierten maximalen Anzahl von Ergebnissen zurück. Die Daten der zeitgebundenen Entitäten werden nach dem neuesten Zeitstempel sortiert, die Reihenfolge der Daten der zeitlosen Entitäten ist jedoch nicht bekannt. Daher ist es möglich, dass auf der Benutzeroberfläche nur zeitlose Entitäten, nur zeitlich begrenzte Entitäten oder bei jeder Ausführung der Abfrage eine andere Kombination angezeigt wird.

Ereignisanzeige für UDM- und RAW-Ergebnisse verwenden

• Wenn Sie sich die Details eines einzelnen Ereignisses oder Rohlogs genauer ansehen möchten, klicken Sie auf eine Zeile in der Tabelle Ereignisse oder Rohlogs. Die Ereignisanzeige wird geöffnet.

Die Ereignisanzeige enthält die folgenden Tabs:

• Ereignisfelder
• Rohlog
• Benachrichtigungen: Werden nur für UDM-Ergebnisse aus der Tabelle Ereignisse angezeigt.
• Entitäten

Tab „Ereignisfelder“ verwenden

Standardmäßig werden auf dem Tab Ereignisfelder UDM-Ereignisfelder in einer hierarchischen Baumstruktur mit der Bezeichnung Ausgewählt angezeigt.

Auf dem Tab Ereignisfelder können Sie Folgendes tun:

• Felddefinition ansehen Bewegen Sie den Mauszeiger auf den Feldnamen, um die Definition zu sehen.
• Pinnen Sie ein Feld an, um schnell darauf zugreifen zu können. Wählen Sie in der Liste Ausgewählt ein Feld aus und klicken Sie auf Angepinnt beibehalten. Das Feld wird dann in der Liste Angepinnt angezeigt. Die Felder bleiben in der Liste Ausgewählt und ihre Hierarchie in der Angepinnten Liste wird in durch Punkte getrennter Notation mit dem Präfix udm angezeigt (z. B. udm.metadata.event_type).
• Fügen Sie mehrere Felder zu Spalten hinzu oder kopieren Sie sie. Klicken Sie das Kästchen neben einem Knoten oder Feld an und wählen Sie dann Zu Spalten hinzufügen oder Kopieren aus.

• Führen Sie folgende Aktionen durch:

  • Filter: Wenden Sie die folgenden Filter auf ausgewählte Elemente (check_box) in der Liste Ausgewählt an:
    • Felder
      • Nicht angereicherte Felder anzeigen
      • Angereicherte Felder anzeigen
      • Zusätzliche Felder anzeigen
      • Extrahierte Felder anzeigen
    • Anreicherungs-Logquellen: Die verfügbaren Optionen hängen vom Ereignis ab.
  • Kopieren: Kopiert die ausgewählten UDM-Felder und UDM-Werte in die Zwischenablage des Systems.
  • Zu Spalten hinzufügen: Fügen Sie das UDM-Feld als Spalte hinzu.

Jedes UDM-Feld ist mit einem Symbol gekennzeichnet, das angibt, ob das Feld angereicherte oder nicht angereicherte Daten enthält. Die Symbollabels sind:

• U: Nicht angereicherte Felder enthalten Werte, die während des Normalisierungsprozesses mit Daten aus dem ursprünglichen Rohlog gefüllt wurden.

• E: Angereicherte Felder enthalten Werte, die von Google SecOps ausgefüllt werden, um zusätzlichen Kontext zu Artefakten in einer Kundenumgebung bereitzustellen. Weitere Informationen finden Sie unter Ereignis- und Entitätsdaten mit Google SecOps anreichern.

  In der Anzeige jedes angereicherten Felds können alle zugehörigen Quellen angezeigt werden. Diese Informationen sind nützlich für die Validierung und Fehlerbehebung und können für Prüfungs- und Compliancezwecke erforderlich sein. Sie können Felder auch nach ihrer Anreicherungsquelle filtern.

Abbildung 6. Angereicherte und nicht angereicherte UDM-Felder auf dem Tab Ereignisfelder der Ereignisanzeige, in der die Quellen der angereicherten Felder angezeigt werden.

Abbildung 7. Verwenden Sie den Filter auf dem Tab Ereignisfelder, um Felder nach verschiedenen Attributen ein- oder auszublenden.

Tab „Rohprotokoll“ verwenden

Auf dem Tab Rohlog wird das ursprüngliche Rohzeichen in einem der folgenden Formate angezeigt:

• Rohdaten
• JSON
• XML
• CSV
• Hex/ASCII

Tab „Benachrichtigungen“ verwenden

Auf dem Tab Benachrichtigungen werden die mit dem Ereignis verknüpften Benachrichtigungen angezeigt.

Der Tab Benachrichtigungen wird nur für UDM-Ergebnisse aus der Tabelle Ereignisse angezeigt.

Tab „Entitäten“ verwenden

Auf dem Tab Entitäten werden die mit dem Ereignis verknüpften Entitäten angezeigt.

Klicken Sie auf eine Entität, um das Dialogfeld Entitätskontext aufzurufen. Es kann die folgenden Elemente enthalten:

• Assetname
• Erstmals erfasst
• Zuletzt erfasst
• IP-Adressen
• MAC-Adressen
• Anzahl der Benachrichtigungen
• Höchste Benachrichtigungsanzahl nach Regel
• Balkendiagramm mit Meldungen im Zeitverlauf
• Link Benachrichtigungen und IOCs öffnen
• Link In Tab „Benachrichtigungen“ ansehen

Informationen auf dem Tab „Benachrichtigungen und Erkennungen“ ansehen und verwalten

Auf dem Tab Benachrichtigungen und Erkennungen können Sie Folgendes tun:

• Bedrohungssuche über alle Regelausführungen hinweg
• Vergleich von umsetzbaren Warnungsauslösern mit Verhaltensvorläufern mit geringem Rauschen
• Eingrenzung von Vorfällen in einer konsolidierten Ansicht

Auf dem Tab Warnungen und Erkennungen werden sowohl Warnungen als auch Erkennungen angezeigt, die Ihren aktiven Suchkriterien entsprechen. Durch die Kombination von Benachrichtigungen und Erkennungen auf einem Tab können Sie Benachrichtigungen mit hohem Schweregrad direkt neben den zugrunde liegenden Treffern von Verhaltensregeln prüfen, um unauffällige Vorläufer zu finden, die den Benachrichtigungsgrenzwert nicht unabhängig überschritten haben.

Benachrichtigungen sind UDM-Ereignisse und Telemetriedaten von Drittanbieter-Connectors, die mit Benachrichtigungsschwellenwerten oder Benachrichtigungen mit hohem Schweregrad gekennzeichnet sind. Die Anzahl der Benachrichtigungen zeigt UDM-Protokolltelemetrie an, die eine Benachrichtigungsregel ausgelöst hat (alert_state = "ALERTING"), sowie Benachrichtigungen mit hoher Priorität, die von Sicherheits-Connectors von Drittanbietern (z. B. CrowdStrike- oder SOAR-Webhooks) aufgenommen wurden.

Erkennungen sind alle Ausgaben von Regelausführungen mit Benachrichtigung (ALERTING) und ohne Benachrichtigung (NOT_ALERTING), die von YARA-L 2.0-Regeln in Ihrer Umgebung generiert werden. Auf dem Tab werden die umfassenden Ausgaben der Regelausführung angezeigt, die von Ihrer YARA-L 2.0-Erkennungs-Engine für Regelübereinstimmungen mit und ohne Benachrichtigungen generiert wurden. Jede regelgenerierte Benachrichtigung ist auch eine Erkennung (ALERTING). Die Anzahl der Erkennungen umfasst jedoch auch alle informativen, Hintergrund- oder nicht benachrichtigenden Regeltreffer (NOT_ALERTING).

Die Anzahl in der Tab-Überschrift kategorisiert die Übereinstimmungen bei der Regelausführung nach Benachrichtigungsstatus. Wenn die Tabüberschrift beispielsweise Benachrichtigungen (43) und Erkennung (0) lautet, bedeutet das, dass es 43 Übereinstimmungen gibt, bei denen alerting_rule = true und keine Regelausführungen ohne Benachrichtigung (NOT_ALERTING) vorhanden sind.

Der Tab Benachrichtigungen und Erkennungen enthält die folgenden Bereiche:

• Diagramm Trend im Zeitverlauf
• Bereich Zusammenfassungen
• Bereich Erkennungen

Tipp: Klicken Sie auf Ansichtsoptionen, um das Diagramm und den Bereich Zusammenfassungen ein- oder auszublenden.

Diagramm „Trend im Zeitverlauf“ verwenden

Der Tab Trend im Zeitverlauf auf dem Tab Benachrichtigungen und Erkennungen enthält ein Diagramm (ein Histogramm) des Erkennungsvolumens im Zeitverlauf. Die Breite der einzelnen vertikalen Balken wird dynamisch an das gesamte Suchfenster angepasst. Bei einem Suchfenster von 24 Stunden kann jeder Balken beispielsweise für 10 Minuten stehen.

Im Diagramm werden alle Übereinstimmungen bei der Regelausführung im Zeitverlauf in einer einzigen aggregierten Reihe mit der Bezeichnung Erkennungen zusammengefasst.

Hinweis: In der Tab-Überschrift werden die Anzahlwerte angezeigt und die Ergebnisse nach Benachrichtigungsstatus aufgeteilt (z. B. Benachrichtigungen (43) und Erkennung (0)). Im Diagramm Trend im Zeitverlauf werden dagegen alle Erkennungsvorkommen als Balken Erkennungen zusammengefasst.

Das Diagramm unterstützt Folgendes:

• Zeitraum anpassen: Ziehen Sie die Schieberegler auf der Zeitachse, um das sichtbare Zeitfenster sofort einzugrenzen. Das Ergebnisraster und die Aggregationen werden aktualisiert, ohne dass die Abfrage noch einmal im Backend ausgeführt wird.
• Zusammenfassungen und Erkennungen für das Zeitfenster eines einzelnen Balkens ansehen: Klicken Sie auf einen Balken, um den Fokus des Diagramms, des Tabs Zusammenfassungen und des Tabs Erkennungen auf das Zeitfenster dieses Balkens einzugrenzen. Dadurch wird ein Filter erstellt, der neben der Schaltfläche Filter hinzufügen filter_list angezeigt wird. Löschen Sie den Filter, um wieder alle Ergebnisse anzuzeigen.
• Pop-up-Fenster mit Details: Wenn Sie auf einen der Balken klicken, wird ein Dialogfeld mit der Uhrzeit und den Werten für Abgefragte Erkennungen und Gefilterte Erkennungen geöffnet.

Erkennungen im Bereich „Zusammenfassungen“ verfeinern

Der Inhalt des Bereichs Zusammenfassungen auf dem Tab Benachrichtigungen und Erkennungen fasst häufige Erkennungsergebniswerte zusammen, mit denen Sie Ihre Suchergebnisse verfeinern können.

Der Bereich Aggregationen enthält drei minimierbare Listen: Erkennungsfelder, UDM-Felder (eine Liste übereinstimmender UDM-Felder) und Entitätsfelder.

In jedem Feld wird die „Anzahl der Übereinstimmungen“ angezeigt, d. h. die Anzahl der Benachrichtigungserkennungen, die denselben Wert für dieses Feld haben. Die Inhalte der Listen sind absteigend nach der Anzahl der Übereinstimmungen sortiert. Bei gleicher Anzahl von Übereinstimmungen erfolgt die Sortierung alphabetisch. Sie können die Listen nach Feldern durchsuchen und ein Feldelement maximieren.

Sie können ein Feld oben in der Liste Zusammenfassungen anpinnen, indem Sie den Mauszeiger auf ein Feld bewegen und auf das Symbol keep Beibehalten klicken.

Ergebnisse der Benachrichtigungserkennung im Bereich „Aggregationen“ suchen

Sie können im Bereich Aggregationen im Feld Suchen nach bestimmten Feldern oder Feldwerten suchen. So können Sie sich auf die Benachrichtigungen konzentrieren, die für Sie am wichtigsten sind.

Im Folgenden finden Sie die wichtigsten Benachrichtigungsattribute zum Filtern von Benachrichtigungen im Bereich Zusammenfassungen:

• Fall
• Name
• Priorität
• Schweregrad
• Status
• Einstufung

Ergebnisse der Warnungserkennung im Bereich „Zusammenfassungen“ filtern

So filtern Sie Ergebnisse der Benachrichtigungserkennung mit Aggregationen:

1. Wählen Sie im Bereich Aggregationen ein Feld aus einer Liste aus, um eine Liste der Werte für dieses Feld aufzurufen.

2. Wählen Sie einen Wert aus der Liste aus und klicken Sie auf more_vert Mehr.

3. Wählen Sie eine Filteroption aus:

   • Nur anzeigen: Die Tabelle Erkennungen wird aktualisiert und zeigt nur übereinstimmende Benachrichtigungen an. Der Filter = "value" wird neben dem Button filter_list Filter hinzufügen angezeigt.
   • Herausfiltern: Die Tabelle Erkennungen wird aktualisiert und die entsprechenden Benachrichtigungen werden herausgefiltert. Der Filter != "value" wird neben dem Button filter_list Filter hinzufügen angezeigt.
   • Größer als (nur für Ganzzahlfelder): Die Tabelle Erkennungen wird aktualisiert und zeigt Benachrichtigungen mit einem Wert an, der größer als dieser ist. Der Filter > "value" wird neben dem Button filter_list Filter hinzufügen angezeigt.
   • Größer als oder gleich (nur für Ganzzahlfelder): Die Tabelle Erkennungen wird aktualisiert und zeigt Benachrichtigungen mit einem Wert an, der größer als oder gleich diesem Wert ist. Der Filter >= "value" wird neben dem Button Filter hinzufügen (filter_list) angezeigt.
   • Kleiner als (nur für Ganzzahlfelder): Die Tabelle Erkennungen wird aktualisiert und zeigt Benachrichtigungen mit einem Wert an, der kleiner als dieser ist. Der Filter < "value" wird neben dem Button filter_list Filter hinzufügen angezeigt.
   • Kleiner oder gleich (nur für Ganzzahlfelder): Die Tabelle Erkennungen wird aktualisiert und zeigt Benachrichtigungen mit einem Wert an, der kleiner oder gleich diesem Wert ist. Der Filter <= "value" wird neben dem Button filter_list Filter hinzufügen angezeigt.
   • Kopieren: Kopiert das Feld-Wert-Paar in die Zwischenablage.

• Wenn Sie einen Filter löschen und die Ergebnisse der Benachrichtigungserkennung aktualisieren möchten, löschen Sie den Filter, der neben dem Button Filter hinzufügen filter_list angezeigt wird.

Bereich „Erkennungen“ verwenden

Im Bereich Erkennungen können Sie die Elemente, die Ihrer Suche entsprechen, ansehen, sortieren und verwalten.

Informationen zu den unterstützten Funktionen und Tools für diesen Tab finden Sie unter Gängige Tools für Tabellen verwenden. Zu den unterstützten Funktionen gehören das Verwalten der Spalten in der Tabelle, die auf dem Tab angezeigt wird, das Herunterladen von Suchergebnissen und mehr.

Detaillierte Informationen zu einer einzelnen Benachrichtigung prüfen (Benachrichtigungsanzeige)

• Wenn Sie sich die Details einer einzelnen Benachrichtigung ansehen möchten, klicken Sie in der Tabelle Erkennungen auf eine Zeile. Die Benachrichtigungsanzeige wird geöffnet.

Der Benachrichtigungs-Viewer enthält die folgenden Tabs:

• Erkennungsfelder
• Details
• Variablen

• Entitäten
  
  

• Wenn Sie eine andere Seite in der Google SecOps-Konsole mit Details zur Benachrichtigung aufrufen möchten, klicken Sie auf Details ansehen.

Tab „Erkennungsfelder“ verwenden

Standardmäßig werden auf dem Tab Erkennungsfelder die Erkennungsfelder in einer hierarchischen Baumstruktur angezeigt, die mit Ausgewählt gekennzeichnet ist.

Auf dem Tab Erkennungsfelder können Sie Folgendes tun:

• Felddefinition ansehen Bewegen Sie den Mauszeiger auf den Feldnamen, um die Definition zu sehen.
• Pinnen Sie ein Feld an, um schnell darauf zugreifen zu können. Wählen Sie in der Liste Ausgewählt ein Feld aus und klicken Sie auf Angepinnt beibehalten. Das Feld wird dann in der Liste Angepinnt angezeigt. Die Felder bleiben in der Liste Ausgewählt und ihre Hierarchie in der Angepinnten Liste wird in durch Punkte getrennter Notation mit dem Präfix collection angezeigt (z. B. collection.created_time).
• Fügen Sie mehrere Felder zu Spalten hinzu oder kopieren Sie sie. Klicken Sie das Kästchen neben einem Knoten oder Feld an und wählen Sie dann Zu Spalten hinzufügen oder Kopieren aus.

• Führen Sie folgende Aktionen durch:

  • Wenden Sie Filter auf die Liste Ausgewählt an.
  • Zu Spalten hinzufügen: Das Feld wird als Spalte hinzugefügt.
  • Kopieren: Die ausgewählten Felder und Werte werden in die Zwischenablage des Systems kopiert.

Tab „Details“ verwenden

Auf dem Tab Details werden die Details der Benachrichtigung angezeigt. Die Detailfelder variieren je nach Benachrichtigung.

Beispiele für Detailfelder:

• Name (immer „Alert“)
• Typ
• Schweregrad
• Risikobewertung
• Status
• Priorität
• Erkannt
• Erkennungszeitfenster
• Erstellt
• Regel
• Regelsatz
• Beschreibung
• Tags

Tab „Variablen“ verwenden

Auf dem Tab Variablen werden das Feld, der Typ und der Wert jeder mit der Benachrichtigung verknüpften Variablen angezeigt.

Tab „Entitäten“ verwenden

Der Tab Entitäten wird nur angezeigt, wenn der Benachrichtigung eine Entität zugeordnet ist.

Auf dem Tab Entitäten werden die mit der Benachrichtigung verknüpften Entitäten angezeigt.

Klicken Sie auf eine Entität, um das Dialogfeld Entitätskontext aufzurufen. Es kann die folgenden Elemente enthalten:

• Assetname
• Erstmals erfasst
• Zuletzt erfasst
• IP-Adressen
• MAC-Adressen
• Anzahl der Benachrichtigungen
• Höchste Benachrichtigungsanzahl nach Regel
• Balkendiagramm mit Meldungen im Zeitverlauf
• Link Benachrichtigungen und IOCs öffnen
• Link In Tab „Benachrichtigungen“ ansehen

Informationen auf dem Tab „Übersicht“ ansehen und verwalten

Auf dem Tab Übersicht haben Sie folgende Möglichkeiten:

• Prüfen Sie den Verlauf des Geräts (Zuerst gesehen, Zuletzt gesehen, MAC-Adressen).
• Prüfen, ob sich beobachtete Indikatoren mit aktiven SecOps-Fällen oder ‑Benachrichtigungen überschneiden

Auf dem Tab Übersicht werden der konsolidierte Entity Context Graph (ECG), Asset- oder Nutzerdetails und die Untersuchungsübersicht für Kompromittierungsindikatoren (IOCs) oder Entitäten angezeigt, die Ihrem aktiven Suchfenster entsprechen. Die angezeigten Informationen variieren je nach Informationstyp.

Auf dem Tab Übersicht werden Entitätsinformationen in einem der folgenden vordefinierten Informationstypen angezeigt:

• Asset-Details
• Domain details
• Dateidetails
• IP-Details
• Nutzerdetails

Asset-Details auf dem Tab „Übersicht“ ansehen

Wenn die Abfrage eine Bedingung enthält, die ein bestimmtes Asset zurückgibt, z. B. principal.hostname="laptop-will" oder principal.ip="10.0.0.76", wird auf dem Tab Übersicht die Asset-Ansicht mit Informationen in den folgenden Bereichen angezeigt:

• Suchzusammenfassung: Hier werden die folgenden Informationen angezeigt:
  • Details zur Entität, einschließlich der IP-Adresse und MAC-Adresse, die dem Asset im Suchzeitraum zugeordnet waren. Die IP-Adresse und die MAC-Adresse können ebenfalls zur Identifizierung einer Entität verwendet werden. Wenn Sie darauf klicken, werden zusätzliche Informationen im Entitäts-Viewer angezeigt. Außerdem wird angezeigt, wann das Asset zum ersten Mal in Ihrem Unternehmen und wann es zuletzt gesehen wurde. Sie können auf einen der beiden Zeitstempel (erster oder letzter) klicken, um eine neue Suche mit dieser Zeit auszuführen.
  • Details zu Benachrichtigungen, einschließlich eines Diagramms, das die Anzahl der Benachrichtigungen zeigt, die die Entität im Suchzeitraum betrafen. Im Bereich wird auch eine Teilmenge von Regeln mit der höchsten Anzahl von Benachrichtigungen aufgeführt.
  • Klicken Sie auf Offene Benachrichtigungen und IOCs, um alle Benachrichtigungen aufzurufen, die im selben Suchzeitraum generiert wurden.
  • Klicken Sie auf Auf dem Tab „Benachrichtigungen“ ansehen, um auf dieser Seite zum Tab Benachrichtigungen und Erkennungen zu wechseln und eine neue Suche für die ausgewählte Entität zu starten.
  • Klicken Sie auf einen der Balken im Diagramm, um zum Tab Benachrichtigungen und Erkennungen auf dieser Seite zu wechseln und eine neue Suche für die ausgewählte Entität mit dem Zeitraum des angeklickten Balkens zu starten.
  • Klicken Sie auf den Link Mehr anzeigen, um die Ansicht Entitätsfelder zu öffnen und alle mit dem Asset verknüpften Entitätsfelder aufzurufen. Wenn Sie ein Entitätsfeld in die Zwischenablage kopieren möchten, klicken Sie auf das Kästchen neben dem Entitätsfeld, dann auf Aktionen ansehen und anschließend auf Entität kopieren. Klicken Sie oben auf das Kästchen, um alle Entitäten auszuwählen.
• Relevante IOCs: Zeigt IOCs an, die mit dem Asset verknüpft sind. IOCs mit einem höheren Schweregrad werden zuerst angezeigt. Wenn Sie auf den IOC-Namen klicken, wird rechts die Entitätsanzeige geöffnet.
• Verknüpfte Entitäten: Zeigt andere Entitäten an, die mit diesem Asset verknüpft sind, z. B. Nutzer, die sich im Asset angemeldet haben. Im Bereich werden der Entitätstyp, der Zeitpunkt, zu dem die Entität zum ersten Mal in der Umgebung gefunden wurde, und der Zeitpunkt, zu dem sie zuletzt gefunden wurde, angezeigt. Außerdem werden alle mit einem Asset verknüpften Namespaces angezeigt. Klicken Sie auf eine Entität, um den Bereich Entitätskontext zu öffnen. Klicken Sie auf Alle Zeiträume anzeigen, um die zugehörigen Entitäten für den gesamten verfügbaren Zeitraum anzuzeigen, anstatt für den in der UDM-Suche angegebenen Bereich.
• Entitätskontext: Zeigt Details zur Entität an, die Sie im Bereich Verknüpfte Entitäten ausgewählt haben. In diesem Bereich werden je nach Art der Entität, die Sie im Bereich Verknüpfte Entitäten ausgewählt haben (z. B. Nutzer oder Domain), unterschiedliche Informationen angezeigt.

Domaindetails auf dem Tab „Übersicht“ ansehen

Wenn die Abfrage eine Bedingung enthält, die eine bestimmte Domain angibt, z. B. target.hostname="example.com", werden auf dem Tab Übersicht die Domaindetails mit Informationen in den folgenden Bereichen angezeigt:

• Suchzusammenfassung: Hier werden die folgenden Informationen angezeigt:
  • Details zur Domain, einschließlich der mit der registrierten Domain verknüpften WHOIS-Informationen, des ersten Zeitpunkts, zu dem sie in Ihrem Unternehmen gesehen wurde, und des letzten (aktuellsten) Zeitpunkts, zu dem sie gesehen wurde. Klicken Sie auf VT-Kontext, um Informationen zur Domain von VirusTotal aufzurufen.
  • Details zu Benachrichtigungen, einschließlich eines Diagramms, das die Anzahl der Benachrichtigungen zeigt, die die Entität im Suchzeitraum betrafen. Im Bereich wird auch eine Teilmenge von Regeln mit der höchsten Anzahl von Benachrichtigungen aufgeführt.
  • Klicken Sie auf Offene Benachrichtigungen und IOCs, um alle Benachrichtigungen aufzurufen, die im selben Suchzeitraum generiert wurden.
  • Klicken Sie auf Auf dem Tab „Benachrichtigungen“ ansehen, um auf dieser Seite zum Tab Benachrichtigungen und Erkennungen zu wechseln und eine neue Suche für die ausgewählte Entität zu starten.
  • Klicken Sie auf einen der Balken im Diagramm, um zum Tab Benachrichtigungen und Erkennungen auf dieser Seite zu wechseln und eine neue Suche für die ausgewählte Entität mit dem Zeitraum des angeklickten Balkens zu starten.
  • Klicken Sie auf den Link Mehr anzeigen, um die Ansicht Entitätsfelder zu öffnen und alle mit der Domain verknüpften Entitätsfelder anzuzeigen. Wenn Sie ein Entitätsfeld in die Zwischenablage kopieren möchten, klicken Sie auf das Kästchen neben dem Entitätsfeld, dann auf Aktionen ansehen und anschließend auf Entität kopieren. Klicken Sie oben auf das Kästchen, um alle Entitäten auszuwählen.
• Aufgelöste IP-Adressen: Zeigt alle aufgelösten IP-Adressen an, die in Ihrem Unternehmen für den voll qualifizierten Domainnamen (FQDN) gefunden wurden. Wenn Sie beispielsweise nach target.hostname="test.altostrat.com" suchen, werden in den Suchergebnissen möglicherweise zwei aufgelöste IP-Adressen (198.51.100.81 und 203.0.113.81) angezeigt.
• Subdomains und Domains auf gleicher Ebene: Zeigt alle zugehörigen Subdomains an, die in Ihrem Unternehmen für einen bestimmten FQDN gefunden wurden. Viele Angreifer verwenden für ihre Angriffe dieselbe Domain und Subdomain. Wenn Sie beispielsweise nach target.hostname="sandbox.altostrat.com" suchen, werden in diesem Bereich die beiden Subdomains test.sandbox.altostrat.com und staging.sandbox.altostrat.com angezeigt.
• Prävalenz von Assets: Zeigt die Anzahl der Assets in Ihrem Unternehmen an, die während des gesamten Zeitraums der in Ihrem Google Security Operations-Konto gespeicherten Daten mit der Domain verbunden waren. Jeder Balken im Diagramm stellt die Anzahl der eindeutigen Assets in Ihrem Unternehmen dar, die an einem UTC-Tag eine Verbindung zur Domain hergestellt haben. Wenn Sie den Mauszeiger auf einen Balken bewegen, werden die zugehörigen Entitäten am UTC-Tag angezeigt, der durch den Balken dargestellt wird. Klicken Sie auf den Namen der Entität, um die Zusammenfassung und Übersicht der Entität im Kontextbereich der Entität rechts aufzurufen. Klicken Sie auf Ereignisse ansehen, um die Ereignisse im Zusammenhang mit der ausgewählten Entität auf dem Tab „Ereignisse suchen“ aufzurufen.
• Verknüpfte Entitäten: Zeigt andere Entitäten an, mit denen diese Domain verknüpft ist, z. B. Assets, die diese Domain kontaktiert haben. Die Liste enthält den Typ der Entität, wann sie zum ersten Mal in Ihrem Unternehmen gefunden wurde und wann sie zuletzt gefunden wurde. Klicken Sie auf eine Entität, um den Bereich Entitätskontext zu öffnen.
• Entitätskontext: Zeigt Details zur Entität an, die Sie im Bereich Verknüpfte Entitäten ausgewählt haben. In diesem Bereich werden je nach Art der Entität, die Sie im Bereich Verknüpfte Entitäten ausgewählt haben, unterschiedliche Informationen angezeigt (z. B. IP-Adresse oder Domain).

Dateidetails ansehen

Wenn die Abfrage eine Bedingung enthält, die eine einzelne Datei zurückgibt, z. B. principal.process.file.md5="a00000a75f2a35130aa7a7aaa09aaa7a", werden auf dem Tab Übersicht die Dateidetails mit Informationen in den folgenden Bereichen angezeigt:

• Suchzusammenfassung: Hier werden die folgenden Informationen angezeigt:
  • Details zur Datei, einschließlich Hash-Werten, Dateigröße, dem ersten Mal, dass sie in Ihrem Unternehmen gesehen wurde, und dem letzten (aktuellsten) Mal, dass sie gesehen wurde. Klicken Sie auf VT-Kontext, um Informationen zur Datei von VirusTotal aufzurufen.
  • Details zu Benachrichtigungen, einschließlich eines Diagramms, das die Anzahl der Benachrichtigungen zeigt, die die Entität im Suchzeitraum betrafen. Im Bereich wird auch eine Teilmenge von Regeln mit der höchsten Anzahl von Benachrichtigungen aufgeführt.
  • Klicken Sie auf Offene Benachrichtigungen und IOCs, um alle Benachrichtigungen aufzurufen, die im selben Suchzeitraum generiert wurden.
  • Klicken Sie auf Auf dem Tab „Benachrichtigungen“ ansehen, um auf dieser Seite zum Tab Benachrichtigungen und Erkennungen zu wechseln und eine neue Suche für die ausgewählte Entität zu starten.
  • Klicken Sie auf einen der Balken im Diagramm, um zum Tab Benachrichtigungen und Erkennungen auf dieser Seite zu wechseln und eine neue Suche für die ausgewählte Entität mit dem Zeitraum des angeklickten Balkens zu starten.
  • Klicken Sie auf den Link Mehr anzeigen, um die Ansicht Entitätsfelder zu öffnen und alle mit der Datei verknüpften Entitätsfelder anzuzeigen. Wenn Sie ein Entitätsfeld in die Zwischenablage kopieren möchten, klicken Sie auf das Kästchen neben dem Entitätsfeld, dann auf Aktionen ansehen und anschließend auf Entität kopieren. Klicken Sie oben auf das Kästchen, um alle Entitäten auszuwählen.
• Relevante IOCs: Zeigt mit der Datei verknüpfte IOCs an. IOCs mit einem höheren Schweregrad werden zuerst angezeigt. Wenn Sie auf den IOC-Namen klicken, wird rechts die Entitätsanzeige geöffnet.
• Verbreitung von Assets: Zeigt die Anzahl der Assets in Ihrem Unternehmen an, die mit der Datei für den gesamten Zeitraum der in Ihrem Google SecOps-Konto gespeicherten Daten verknüpft sind.
• Verknüpfte Entitäten: Zeigt andere Entitäten an, mit denen diese Datei verknüpft ist, z. B. ein Asset, auf dem diese Datei ausgeführt wurde, oder Nutzer, die auf die Datei zugegriffen haben. Die Liste enthält den Typ der Entität, wann sie zum ersten Mal in Ihrem Unternehmen gesehen wurde und wann sie zuletzt gesehen wurde. Klicken Sie auf eine Entität, um den Bereich Entitätskontext zu öffnen.
• VirusTotal-Attribute und -Metadaten: Zeigt Informationen zur Datei aus der VirusTotal-Datenbank an. Klicken Sie auf Mehr anzeigen, um ein VirusTotal-Dialogfeld zu öffnen und zusätzliche Informationen zur Datei aufzurufen.
• Verknüpfte Entitäten: Zeigt je nach dem im Bereich Verknüpfte Entitäten ausgewählten Entitätstyp (z. B. Nutzer oder Asset) unterschiedliche Informationen an.
• Entitätskontext: Zeigt Details zur Entität an, die Sie im Bereich Verknüpfte Entitäten ausgewählt haben. In diesem Bereich werden je nach Art der Entität, die Sie im Bereich Verknüpfte Entitäten ausgewählt haben (z. B. Nutzer oder Asset), unterschiedliche Informationen angezeigt.

IP-Details auf dem Tab „Übersicht“ ansehen

Wenn die Abfrage eine Bedingung enthält, die eine bestimmte externe IP-Adresse zurückgibt, z. B. target.ip="203.0.113.254", werden auf dem Tab Übersicht die IP-Details mit Informationen in den folgenden Bereichen angezeigt:

• Suchzusammenfassung: Hier werden die folgenden Informationen angezeigt:
  • Details zur IP-Adresse, einschließlich des ersten und letzten (aktuellsten) Auftretens in Ihrem Unternehmen. Klicken Sie auf VT-Kontext, um die von VirusTotal verfügbaren Informationen zu dieser IP-Adresse aufzurufen.
  • Details zu Benachrichtigungen, einschließlich eines Diagramms, das die Anzahl der Benachrichtigungen zeigt, die die Entität im Suchzeitraum betrafen. Im Bereich wird auch eine Teilmenge von Regeln mit der höchsten Anzahl von Benachrichtigungen aufgeführt.
  • Klicken Sie auf Offene Benachrichtigungen und IOCs, um alle Benachrichtigungen aufzurufen, die im selben Suchzeitraum generiert wurden.
  • Klicken Sie auf Auf dem Tab „Benachrichtigungen“ ansehen, um auf dieser Seite zum Tab Benachrichtigungen und Erkennungen zu wechseln und eine neue Suche für die ausgewählte Entität zu starten.
  • Klicken Sie auf einen der Balken im Diagramm, um zum Tab Benachrichtigungen und Erkennungen auf dieser Seite zu wechseln und eine neue Suche für die ausgewählte Entität mit dem Zeitraum des angeklickten Balkens zu starten.
  • Klicken Sie auf den Link Mehr anzeigen, um die Ansicht Entitätsfelder zu öffnen und alle mit der IP-Adresse verknüpften Entitätsfelder anzuzeigen. Wenn Sie ein Entitätsfeld in die Zwischenablage kopieren möchten, klicken Sie auf das Kästchen neben dem Entitätsfeld, dann auf Aktionen ansehen und anschließend auf Entität kopieren. Klicken Sie oben auf das Kästchen, um alle Entitäten auszuwählen.
• Relevante IOCs: Zeigt IOCs an, die mit der IP-Adresse verknüpft sind. IOCs mit einem höheren Schweregrad werden zuerst angezeigt. Wenn Sie auf den IOC-Namen klicken, wird rechts die Entitätsanzeige geöffnet.
• Verbreitung von Assets: Zeigt die Anzahl der Assets in Ihrem Unternehmen an, die im in der UDM-Suche angegebenen Zeitraum eine Verbindung zur IP-Adresse hergestellt haben.
• Verknüpfte Entitäten: Zeigt andere Entitäten an, mit denen diese IP-Adresse verknüpft ist, z. B. Domains, für die die IP-Adresse registriert ist. Die Liste enthält den Typ der Entität, wann sie zum ersten Mal in Ihrem Unternehmen gefunden wurde und wann sie zuletzt gefunden wurde. Klicken Sie auf eine Entität, um den Bereich Entitätskontext zu öffnen.
• Entitätskontext: Zeigt Details zur Entität an, die Sie im Bereich Verknüpfte Entitäten ausgewählt haben. In diesem Bereich werden je nach Art der Entität, die Sie im Bereich Verknüpfte Entitäten ausgewählt haben (z. B. Domain oder Asset), unterschiedliche Informationen angezeigt. Wenn der Link angezeigt wird, klicken Sie auf VT-Kontext, um Informationen zum Element von VirusTotal aufzurufen.

Nutzerdetails auf dem Tab „Übersicht“ ansehen

Wenn die Abfrage eine Bedingung enthält, die einen bestimmten Nutzer zurückgibt, z. B. principal.user.userid="alice", werden auf dem Tab Übersicht die Nutzerdetails mit Informationen in den folgenden Bereichen angezeigt:

• Suchzusammenfassung: Hier werden die folgenden Informationen angezeigt:
  • Details zum Element, einschließlich des vollständigen Namens, des ersten und letzten (aktuellsten) Auftretens in Ihrem Unternehmen, des Titels und der E-Mail-Adresse.
  • Details zu Benachrichtigungen, einschließlich eines Diagramms, das die Anzahl der Benachrichtigungen zeigt, die die Entität im Suchzeitraum betrafen. Im Bereich wird auch eine Teilmenge von Regeln mit der höchsten Anzahl von Benachrichtigungen aufgeführt.
  • Klicken Sie auf Offene Benachrichtigungen und IOCs, um alle Benachrichtigungen aufzurufen, die im selben Suchzeitraum generiert wurden.
  • Klicken Sie auf Auf dem Tab „Benachrichtigungen“ ansehen, um auf dieser Seite zum Tab Benachrichtigungen und Erkennungen zu wechseln und eine neue Suche für die ausgewählte Entität zu starten.
  • Klicken Sie auf einen der Balken im Diagramm, um zum Tab Benachrichtigungen und Erkennungen auf dieser Seite zu wechseln und eine neue Suche für die ausgewählte Entität mit dem Zeitraum des angeklickten Balkens zu starten.
  • Klicken Sie auf den Link Mehr anzeigen, um die Ansicht Entitätsfelder zu öffnen und alle mit dem Nutzer verknüpften Entitätsfelder anzuzeigen. Wenn Sie ein Entitätsfeld in die Zwischenablage kopieren möchten, klicken Sie auf das Kästchen neben dem Entitätsfeld, dann auf Aktionen ansehen und anschließend auf Entität kopieren. Klicken Sie oben auf das Kästchen, um alle Entitäten auszuwählen.
• Verknüpfte Entitäten: Hier werden Entitäten angezeigt, mit denen dieser Nutzer in Verbindung steht, z. B. Domains, die der Nutzer kontaktiert hat, oder Assets, auf die der Nutzer zugegriffen hat. Die Liste enthält den Typ der Entität, wann sie zum ersten Mal in Ihrem Unternehmen gefunden wurde und wann sie zuletzt gefunden wurde. Klicken Sie auf eine Entität, um den Bereich Entitätskontext zu öffnen.
• Entitätskontext: Zeigt Details zur Entität an, die Sie im Bereich Verknüpfte Entitäten auswählen. Die Informationen in diesem Bereich variieren je nach Art des Elements (z. B. Asset oder Domain).

Informationen auf dem Tab „Visualisieren“ ansehen und verwalten

Auf dem Tab Visualisieren können Sie die Daten aus Ihren STATS-Suchergebnissen in ein Diagramm, eine Grafik oder eine Tabelle umwandeln.

Gängige Tools für Tabellen verwenden

Auf der Seite SIEM-Suche unterstützen die meisten Bereiche, die eine einzelne Tabelle enthalten, dieselben allgemeinen Funktionen und Tools.

In diesem Abschnitt werden die folgenden gängigen Funktionen und Tools beschrieben:

• Suchfeld. Über das Suchfeld können Sie in der Tabelle daneben nach übereinstimmenden Ergebnissen suchen.
• Tabellenspalten verwalten und Spaltensätze freigeben (Spaltenmanager)
• Schaltfläche Zeilenumbruch – Zeilenumbruch aufheben. Es ist hilfreich, Text umzubrechen, um lange Strings in einer Spalte vollständig zu sehen.
• Suchergebnisse aus einer Tabelle herunterladen
• Zeilen pro Seite unten in der Tabelle. Mit diesem Tool können Sie die Stabilität und Leistung des Browsers verbessern, wenn eine große Anzahl von Ergebniseinträgen (Zeilen) geladen wird. Google SecOps stellt paginierte Suchergebnisse bereit. Wählen Sie in der Tabelle Ereignisse in der Liste Zeilen pro Seite die Anzahl der Zeilen aus, die pro Seite angezeigt werden sollen (10 bis 1.000 Ereignisse).

Tabellenspalten verwalten und Spaltensätze freigeben (Spaltenmanager)

Wenn Sie bei der Analyse von Ereignisdaten eine einheitliche Ansicht verwenden möchten, können Sie auf der Seite SIEM-Suche benutzerdefinierte Spaltensätze für die folgenden Tabellen erstellen, speichern und freigeben:

• Im Bereich Ergebnisse für die folgenden Tabellen: Ereignisse, Rohlogs, Joins
• Auf dem Tab Benachrichtigungen und Erkennungen in der Tabelle Erkennungen.

Damit Sie diese Funktion verwenden können, muss Ihr Nutzerkonto oder Ihre IAM-Rolle (Identity and Access Management) alle fünf der folgenden Berechtigungen haben:

• chronicle.googleapis.com/savedColumnSets.create
• chronicle.googleapis.com/savedColumnSets.update
• chronicle.googleapis.com/savedColumnSets.delete
• chronicle.googleapis.com/savedColumnSets.list
• chronicle.googleapis.com/savedColumnSets.get

Hinweis: Der Tab Statistiken unterstützt nur eine Spaltenauswahl, in der Sie nur Spalten hinzufügen oder entfernen können. Der Tab Statistiken unterstützt die Funktion Spaltenmanager nicht.

Spaltengruppe erstellen

Die Schritte zum Erstellen eines Spaltensatzes unterscheiden sich je nach Tabelle geringfügig.

So erstellen Sie einen Spaltensatz für die Tabelle Ereignisse, Rohlogs oder Joins:

1. Klicken Sie auf Spalten, um den Spaltenmanager zu öffnen.
2. Klicken Sie auf das Symbol filter_alt Filter, um anzugeben, ob nicht anwendbare Spalten angezeigt werden sollen.
3. Klicken Sie auf den Schalter Auswahl anzeigen, um auf dem Tab Ereignisspalten nur die ausgewählten Spalten anzuzeigen.
4. Fügen Sie auf dem Tab Ereignisspalten Spalten für Ihre Spaltenauswahl hinzu oder entfernen Sie sie. Sie können Felder in minimierbaren Abschnitten durchsuchen, die je nach Art des Suchergebnisses variieren, z. B. Schnellfelder (die gängigsten Felder pro Datentyp), Gruppierte Felder, Alle Ereignisfelder und Alle Entitätsfelder. Aktivieren oder deaktivieren Sie die Kästchen, um Spalten ein- oder auszublenden.
5. Ordnen Sie die Spalten an und klicken Sie dann auf Speichern. Das Dialogfeld Spaltengruppe speichern wird geöffnet.
6. Wählen Sie eine der folgenden Optionen aus:
   • Speichern: Geben Sie einen neuen Namen für die Spaltenauswahl ein.
   • Ersetzen: Wenn Sie einen zuvor gespeicherten Satz geändert haben, können Sie den vorhandenen Satz mit Ihren Änderungen überschreiben.
7. Klicken Sie auf Speichern. Die Spaltengruppe wird auf dem Tab Spaltengruppen aufgeführt.

So erstellen Sie einen Spaltensatz für die Tabelle Erkennungen:

1. Klicken Sie auf Spalten, um den Spaltenmanager zu öffnen.
2. Klicken Sie auf das Symbol filter_alt Filter, um anzugeben, ob nicht anwendbare Spalten angezeigt werden sollen.

3. Wählen Sie in der Liste Tabellentyp den Tabellentyp aus, für den Sie einen Spaltensatz erstellen möchten:

   • Erkennungen
   • Ereignisse
   • Entitäten (Tabellenzeilen maximieren, um Spalten anzuzeigen)

   Änderungen an einem bestimmten Tabellentyp gelten nur für Tabellen und untergeordnete Tabellen dieses Typs.

4. Klicken Sie auf den Schalter Ausgewählte anzeigen, um nur die ausgewählten Spalten auf dem entsprechenden Tab (Spalten für Erkennungen, Spalten für Ereignisse oder Spalten für Entitäten) anzuzeigen.

5. Fügen Sie auf dem entsprechenden Tab Spalten für Ihren Spaltensatz hinzu oder entfernen Sie sie. Sie können Felder in minimierbaren Abschnitten durchsuchen, die je nach Art des Suchergebnisses variieren. Aktivieren oder deaktivieren Sie die Kästchen, um Spalten ein- oder auszublenden.

6. Ordnen Sie die Spalten an und klicken Sie dann auf Speichern. Das Dialogfeld Spaltengruppe speichern wird geöffnet.

7. Wählen Sie eine der folgenden Optionen aus:

   • Speichern: Geben Sie einen neuen Namen für die Spaltenauswahl ein.
   • Ersetzen: Wenn Sie einen zuvor gespeicherten Satz geändert haben, können Sie den vorhandenen Satz mit Ihren Änderungen überschreiben.

8. Klicken Sie auf Speichern. Die Spaltengruppe wird auf dem Tab Spaltengruppen aufgeführt.

Spaltengruppe freigeben

So geben Sie einen Spaltensatz für alle anderen Nutzer in Ihrem Google SecOps-Mandanten frei:

1. Klicken Sie auf Spalten, um den Spaltenmanager zu öffnen.
2. Fügen Sie auf dem Tab Ereignisspalten Spalten für Ihre Spaltenauswahl hinzu oder entfernen Sie sie. Sie können Felder in minimierbaren Abschnitten durchsuchen, die je nach Art des Suchergebnisses variieren, z. B. Schnellfelder (die häufigsten Felder pro Datentyp), Gruppierte Felder, Alle Ereignisfelder und Alle Entitätsfelder. Aktivieren oder deaktivieren Sie die Kästchen, um Spalten ein- oder auszublenden.
3. Ordnen Sie die Spalten an und klicken Sie dann auf Teilen. Das Dialogfeld Spaltensatz freigeben wird geöffnet.
4. Wählen Sie eine der folgenden Optionen aus:
   • Neue Gruppe freigeben: Geben Sie einen neuen Namen für die Spaltengruppe ein, die freigegeben werden soll.
   • Vorhandene teilen: Wählen Sie ein zuvor gespeichertes Set aus der Liste aus.
5. Klicken Sie auf Freigeben. Die Spaltengruppe wird auf dem Tab Spaltengruppen mit dem Badge FREIGEGEBEN aufgeführt.

Gespeicherte Spaltengruppe laden

So laden Sie einen gespeicherten Spaltensatz:

1. Klicken Sie auf Spalten, um den Spaltenmanager zu öffnen.
2. Wählen Sie den Tab Spaltensätze aus.
3. Wählen Sie den zu ladenden Spaltensatz aus und klicken Sie auf Anwenden.

Gespeicherte Spaltengruppe löschen

So löschen Sie einen gespeicherten Spaltensatz:

1. Klicken Sie auf Spalten, um den Spaltenmanager zu öffnen.
2. Wählen Sie den Tab Spaltensätze aus.
3. Wählen Sie die Spaltengruppe aus und klicken Sie auf Mehr > Löschen.

Suchergebnisse aus einer Tabelle herunterladen

Sie können eine CSV-Datei mit dem Inhalt einer Tabelle, die auf der Seite SIEM-Suche angezeigt wird, herunterladen und speichern. Für die Tabelle Ereignisse oder eine Pivot-Tabelle gibt es auch die Option, die ursprünglichen Rohlogs zu bündeln. So können Sie eine genaue Korrelation zwischen geparsten UDM-Einträgen und ihrer Quelltelemetrie herstellen. Diese Funktion ist für Teams gedacht, die externe Analysen, Audit-Trails für die Compliance (bei denen die Beziehung zwischen normalisierten Daten und der ursprünglichen Aufnahme beibehalten werden muss) oder externe Korrelationen benötigen.

So laden Sie Suchergebnisse (bis zur angegebenen maximalen Anzahl von Suchergebnissen) aus der Tabelle Ereignisse herunter:

1. Optional: Verwenden Sie den Spaltenmanager, um anzugeben, welche UDM-Felder in die CSV-Datei aufgenommen werden sollen. Die Spalte Rohprotokoll wird basierend auf Ihrer Auswahl angehängt.

2. Klicken Sie oben in der Tabelle auf Herunterladen und wählen Sie eine der folgenden Optionen aus:

   • Als CSV-Datei herunterladen: Mit dieser Option werden die übereinstimmenden Ereignisse (und entsprechend der angezeigten genauen Anzahl der angegebenen Ereignisse) heruntergeladen.
   • Als CSV-Datei herunterladen (mit Rohdatenlogs): Die übereinstimmenden Ereignisse werden heruntergeladen und die ursprünglichen, nicht geparsten Logstrings werden als eigene Spalte neben jedem normalisierten UDM-Eintrag angehängt (entsprechend der angezeigten genauen Anzahl der angegebenen Ereignisse).

3. Speichern Sie die Datei.

So laden Sie Suchergebnisse (bis zur angegebenen maximalen Anzahl von Suchergebnissen) aus Tabellen auf dem Tab Ergebnis herunter, mit Ausnahme des Bereichs Ereignisse oder Pivot:

1. Klicken Sie oben in der Tabelle auf Herunterladen und wählen Sie Als CSV-Datei herunterladen aus. Dadurch werden die übereinstimmenden Ergebnisse heruntergeladen (entsprechend der angezeigten genauen Anzahl der angegebenen Ereignisse).
2. Speichern Sie die Datei.

So laden Sie Suchergebnisse (bis zur angegebenen maximalen Anzahl von Suchergebnissen) aus der Tabelle Erkennungen herunter:

1. Klicken Sie oben in der Tabelle auf Herunterladen und wählen Sie Als CSV-Datei herunterladen aus. Dadurch werden die übereinstimmenden Ergebnisse (und die angezeigte genaue Anzahl der angegebenen Ereignisse) heruntergeladen.
2. Speichern Sie die Datei.

Unterstützte Felder beim Speichern einer CSV-Datei

Sie können die folgenden Felder von der Plattform in eine CSV-Datei herunterladen:

• user
• hostname
• process name
• timestamp
• raw log: Nur gültig, wenn für den Kunden Rohlogs aktiviert sind
• Alle Felder, die mit udm.additional beginnen

Gültige Feldtypen beim Speichern einer CSV-Datei

Sie können die folgenden Feldtypen in eine CSV-Datei herunterladen:

• double
• float
• int32
• uint32
• int64
• uint64
• bool
• string
• enum
• bytes
• google.protobuf.Timestamp
• google.protobuf.Duration

Nicht unterstützte Felder beim Speichern einer CSV-Datei

Felder, die eines der folgenden Kriterien erfüllen, können nicht in eine CSV-Datei heruntergeladen werden:

• Feldtyp: Datentypen, die im UDM-Proto als Nachricht oder Gruppe definiert sind.
• Feldtiefe: Felder, die mehr als 10 Ebenen tief verschachtelt sind.

• Bestimmte UI-Felder: Die folgenden in der UI angezeigten Felder werden für den direkten Download nicht unterstützt:

  • Ereignisfelder:

    • Ereignisstatus
    • Ereigniszusammenfassung

    • Ereignistyp

      Hinweis : Wenn Sie den Ereignistyp herunterladen möchten, wählen Sie im Spaltenmanager das Feld metadata.event_type aus.

  • Entitätskontextdiagramm:

    • Zuerst erfasst
    • Zuletzt erfasst
    • Zeitstempel

  • Föderierte Suche:

    • Instanzcode

Limits und Kontingente

Google SecOps erzwingt Limits für Suchanfragen, um die Plattformstabilität und eine konsistente Leistung über programmatische und Weboberflächen hinweg zu gewährleisten. Diese Limits gelten sowohl für die Backstory API als auch für die Chronicle API.

Kontingente für Suche und API

Die folgenden Limits gelten für die Anzahl der Suchanfragen und gleichzeitigen Vorgänge pro Mandant:

• Abfragen pro Stunde (QPH): Limit für die Webkonsole: 1.000 QPH; Limit für den programmatischen API-Zugriff: 2.000 QPH.

• Einfache Abfragen (Zeitraum < 24 Stunden, einzelne Quelle, keine Statistiken): Maximal 180 gleichzeitige Abfragen pro Mandant.

  Wenn der Pool für die Nebenläufigkeit einfacher Abfragen erschöpft ist, werden Ihre Vorgänge automatisch auf Ihr verfügbares Kontingent für komplexe Abfragen übertragen.

• Komplexe Abfragen (über mehr als 24 Stunden, mehrere Quellen oder mit Statistiken): Maximal 180 gleichzeitige Abfragen pro Mandant.

• Limit für UDM-Felder im Prompt: Eine einzelne Abfrage darf maximal 100 UDM-Felder im Prompt enthalten.

Kontingentfehler

Wenn ein Limit erreicht ist, wird in der Weboberfläche eine dauerhafte Benachrichtigung über einen Kontingentfehler angezeigt. Beim programmatischen Zugriff geben API-Aufrufe (z. B. instances.udmSearch) einen HTTP-Statusfehler 429 RESOURCE_EXHAUSTED mit einer google.rpc.QuotaFailure-Nachricht zurück, in der das überschrittene Limit angegeben ist.

Limits für Ergebnissätze und Anzeigen

Verwenden Sie Sucheinstellungen  > Maximale Anzahl der zurückzugebenden Ergebnisse, um das Backend-Limit anzupassen (1 bis 1.000.000, Standardwert 30.000).

Damit die Plattform stabil bleibt und die Antwortzeiten über Web- und API-Schnittstellen hinweg schnell sind, gelten in Google SecOps die folgenden Limits:

Suchtyp oder Datenquelle	Maximale Anzahl der zurückgegebenen Ergebnisse	Anzeigeverhalten der Webkonsole
UDM-Ereignissuche	1.000.000 Einträge	Sie werden direkt im Bereich Ereignisse auf dem Tab Ergebnisse angezeigt. Zeigt die neuesten Einträge in paginierten Zeilen an (10 bis 1.000 pro Seite).
Datentabellen und Joins	1.000.000 Einträge	Korrelierte Zeilen werden im Bereich Ereignisse auf dem Tab Ergebnisse basierend auf der Konfiguration des Spaltenmanagers angezeigt.
Fälle und Fallverlauf	1.000.000 Einträge	Sie werden direkt in den Bereichen Fälle und Fallverlauf auf dem Tab Ergebnisse angezeigt. Sie werden im Kontext Übersicht oder über die Abfrage Fälle suchen angezeigt.
Statistik	100.000 Einträge (nur UI und API für Vorgänge mit langer Ausführungszeit)	Sie werden direkt im Bereich Statistiken auf dem Tab Ergebnisse angezeigt. In Diagrammen werden die wichtigsten Werte zur besseren Lesbarkeit gerendert. Wenn die visuellen Limits überschritten werden, wird eine Warnung angezeigt.
Pivot-Aggregationen (Ergebnisse > Pivot)	100.000 Datensätze	In Diagrammen werden die wichtigsten Werte zur besseren Lesbarkeit gerendert. Wenn die visuellen Limits überschritten werden, wird eine Warnung angezeigt.
Regelerkennungen	100.000 Datensätze	Sie werden direkt auf dem kombinierten Tab Benachrichtigungen und Erkennungen angezeigt.
Entitätskontextdiagramm (ECG)	1.000.000 Einträge	Werden auf dem Tab Ergebnisse in den Bereichen Zeitbezogene Daten und Zeitlose Daten angezeigt. In der Tabelle im Bereich Zeitbezogene Daten werden Entitäten mit einem definierten Zeitraum angezeigt. In der Tabelle auf dem Tab Zeitlose Daten werden Entitäten angezeigt, für die kein Zeitraum definiert ist. Es kann sein, dass die Benutzeroberfläche nur zeitlose Entitäten, nur zeitlich begrenzte Entitäten oder bei jeder Ausführung der Abfrage eine andere Mischung aus beiden anzeigt. Weitere Informationen finden Sie unter Bereiche „Zeitbezogene Daten“ und „Zeitlose Daten“ verwenden.

Suchergebnisse optimieren und verfeinern

In diesem Abschnitt werden Leistungseinschränkungen und Erwartungen beschrieben und Self-Service-Lösungen für häufige Probleme mit der Seite SIEM-Suche in Google Security Operations bereitgestellt.

Leistungsoptimierung und Best Practices

So optimieren Sie die Abfragegeschwindigkeit und minimieren das Risiko von Zeitüberschreitungen:

• Zeitfenster eingrenzen: Die Zeit ist der effektivste Filter. Die Abfrage des genauen 2-Stunden-Fensters eines Vorfalls ist exponentiell schneller als die Suche in einem 30-Tage-Fenster.
• Genaue UDM-Felder anstelle von gruppierten Aliasen abfragen: Gruppierte Felder (ip = "1.2.3.4") sind zwar praktisch, zwingen die Engine jedoch, mehr als 15 zugrunde liegende Felder (principal.ip, target.ip, observer.ip) zu prüfen. Wenn Sie wissen, dass eine IP-Adresse zum Zielserver gehört, fragen Sie target.ip = "1.2.3.4" direkt ab.
• Vermeiden Sie führende Platzhalter in regulären Ausdrücken: Abfragen, die mit einem Platzhalter (principal.hostname = /.*server-.*/) beginnen, verhindern Indexsuchen und erzwingen vollständige Tabellenscans. Verankern Sie Ihren regulären Ausdruck, wenn möglich (principal.hostname = /^prod-server-.*/).
• Indexierte Metadaten nutzen: Filtern Sie früh in der AND-Kette nach metadata.event_type (NETWORK_CONNECTION, PROCESS_LAUNCH, USER_LOGIN) oder metadata.log_type, um irrelevante Logquellen sofort zu entfernen.
• limit: N für schnelle Stichprobenerhebung und Vorschauen verwenden: Sie können das Schlüsselwort limit: N direkt in Ihre Abfrage einfügen (z. B. metadata.event_type = "USER_LOGIN" limit: 50), um schnell Stichproben zu erheben und Vorschauen zu erhalten.
• select und unselect verwenden, um die Nutzlastgröße zu reduzieren: Projizieren Sie nur die erforderlichen Blattfelder oder schließen Sie große, unnötige Felder aus, um die Abfragelatenz zu verbessern. Weitere Informationen finden Sie unter Abfrageausgabe mit select und unselect steuern.

Best Practices für weitgehend passende Suchanfragen

Wenn Ihre Suche zu weit gefasst ist, wird in Google SecOps eine Warnmeldung angezeigt, dass nicht alle Suchergebnisse angezeigt werden können. In solchen Fällen ruft das System nur die neuesten Ergebnisse ab, bis das Suchlimit von einer Million Ereignissen und 1.000 Benachrichtigungen erreicht ist. Es kann jedoch viele weitere übereinstimmende Ereignisse und Benachrichtigungen geben, die nicht angezeigt werden.

Wenn Sie alle relevanten Ergebnisse erfassen möchten, können Sie Ihre Suche durch zusätzliche Filter verfeinern, z. B.:

• Grenzen Sie den Zeitraum ein, um die Größe des Datasets zu reduzieren.
• Verwenden Sie spezifische Suchanfragen oder Filter anstelle von allgemeinen Begriffen.
• Fragen Sie genaue UDM-Felder anstelle von gruppierten Feldern ab, wenn Sie Ergebnisse für ein einzelnes Feld benötigen.

Abfragen debuggen und optimieren

In diesem Abschnitt wird beschrieben, wie Sie Abfragen debuggen und optimieren.

Laufzeitfehler ansehen

Wenn Ihre Abfrage einen Fehler zurückgibt, wird die entsprechende Laufzeitfehlermeldung dauerhaft im Bereich Ergebnisse angezeigt. Durch diese dauerhafte Anzeige bleibt der Fehlerkontext sichtbar, was Ihnen bei der Fehlerbehebung und -behebung hilft.

Suchergebnisse einschränken

Sie können die Suchergebnisse einschränken, indem Sie das Keyword limit mit der maximalen Anzahl von Suchergebnissen hinzufügen, die angezeigt werden sollen. Dies ist nützlich, um schnelle Vorschauen von Daten zu generieren, die Leistung zu optimieren oder wenn Sie nur eine Teilmenge der Ergebnisse benötigen. Wenn Sie Ihrer Suche beispielsweise limit: 25 hinzufügen, werden die Ergebnisse auf maximal 25 beschränkt.

Hinweis: Sie können das Keyword limit auch benutzerdefinierten Dashboards hinzufügen.

Große Datasets untersuchen

Google SecOps unterstützt die Rückgabe und Navigation von bis zu 1 Million Ergebnissen. So können Sie große Datasets direkt in der Weboberfläche untersuchen, ohne Ergebnisse exportieren zu müssen. Bei umfangreichen Suchanfragen sind die sichtbaren Felder standardmäßig eingeschränkt.

Hinweis: Nachdem die Ergebnisse geladen wurden, können Sie Filter anwenden, um die Daten zu verfeinern, ohne die Suche noch einmal auszuführen. So können Sie die Ergebnismengen schnell eingrenzen.

Ergebnislimits für Datenquellen

In der folgenden Tabelle ist die maximale Anzahl von Ergebnissen aufgeführt, die für jede Datenquelle zurückgegeben werden:

Suchtyp oder Datenquelle	Maximale Anzahl von Ereignissen oder Zeilen in Suchergebnissen
UDM	1.000.000
ECG	1.000.000
Datentabelle	1.000.000
UDM-zu-UDM-Join	1.000.000
UDM-zu-ECG-Join	1.000.000
UDM-zu-Datentabelle-Join	1.000.000
Fälle und Fallverlauf	1.000.000
Statistik	100.000
Erkennungen	100.000

Hinweis: Die Limits sind unabhängig davon, ob Sie die Plattform oder die API verwenden, gleich. Informationen zu den API-Limits finden Sie unter Asynchrone Such-APIs.

Filter hinzufügen, um die Abfrage zu verfeinern

So fügen Sie einen Filter hinzu, um Ihre Abfrage zu verfeinern:

1. Klicken Sie auf der Seite SIEM-Suche auf filter_listFilter hinzufügen. Es wird ein Dialogfeld geöffnet, in dem Sie ein Feld auswählen und Feldwerte einblenden (=) oder herausfiltern (!=) können.

2. Konfigurieren Sie die Dialogparameter.

   

   Abbildung 8. Beispiel für das Dialogfeld „Filter“

3. Klicken Sie auf Übernehmen. Der Filter wird neben dem Button Filter hinzufügen filter_list angezeigt und alle Suchergebnisse werden entsprechend gefiltert.

4. Optional: Führen Sie einen der folgenden Schritte aus:

   • Wenn Sie den Filter automatisch in den Abfrageeditor einfügen und die Suche ausführen möchten, klicken Sie auf Auf Suche anwenden und ausführen.
   • Wenn Sie den Filter löschen möchten, klicken Sie auf Löschen.

Hinweis: Die Schaltfläche Löschen ist nur verfügbar, bevor Sie auf Auf Suche anwenden und ausführen klicken.

Fehlerbehebung

Wenn Sie eine allgemeine Fehlermeldung wie Error: Search has encountered an error and could not load data erhalten, gehen Sie so vor, um das Problem zu beheben:

• Stellen Sie über ein anderes Netzwerk eine Verbindung zu Google SecOps her. Sie können beispielsweise eine Cloud-VM verwenden, um Netzwerkprobleme zu identifizieren.
• Achten Sie darauf, dass Chronicle API-Aufrufe durch die Firewall- oder Proxy-Konfiguration oder die Richtlinie Ihrer Organisation zugelassen werden.
• Achten Sie darauf, dass für Search API-Aufrufe kein Datenlimit konfiguriert ist, da Suchanfragen große Datasets zurückgeben können.
• Prüfen Sie, ob Zeitüberschreitungen konfiguriert sind. Suchanfragen können asynchron ausgeführt werden und es kann länger dauern, bis Daten zurückgegeben werden. Wenn Zeitlimits festgelegt sind, achten Sie darauf, dass sie eine ausreichende Dauer zulassen, z. B. 60 Minuten, bevor die Abfrage das Zeitlimit überschreitet.

Wenn der Fehler weiterhin auftritt, wende dich an den Kundensupport.

Nächste Schritte

Weitere Informationen zu Suchanfragen finden Sie hier:

• Unter Suchsyntax finden Sie Details und Beispiele zur YL2-Syntax, die zum Erstellen und Abfragen von Datenwerten, Escapes und Operatoren im Abfrageeditor erforderlich ist.
• Best Practices für die Google Suche
• Fälle und Fallverlauf in der einheitlichen Suche suchen
• UDM-Suchanfragen mit Gemini generieren:
• Kontextangereicherte Daten in der Suche verwenden

Weitere Informationen zu Suchergebnissen finden Sie hier:

• Entität mit der UDM-Suche untersuchen
• Unter Erkennungen in der Suche untersuchen wird beschrieben, wie Sie den Tab Benachrichtigungen und Erkennungen auf der Seite SIEM-Suche verwenden.
• Unter Datenverfügbarkeit für die Suche finden Sie Details zum Lebenszyklus der Datenaufnahme, einschließlich des End-to-End-Datenflusses und der Latenz, sowie Informationen dazu, wie sich diese Faktoren auf die Verfügbarkeit kürzlich aufgenommener Daten für Abfragen und Analysen auswirken.
• Unter UDM-Suche im Vergleich zu Regelergebnissen wird beschrieben, wie Sie UDM-Suchanfrageergebnisse mit Live-Erkennungsregeln vergleichen.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten