Comprende la búsqueda

Compatible con:

Google SecOps SIEM

Esta guía está dirigida a analistas de seguridad que desean consultar, correlacionar y analizar datos de seguridad en toda su empresa en Google Security Operations con la página Búsqueda de SIEM. La página Búsqueda de SIEM funciona como tu centro de navegación central en todos los flujos de datos admitidos y, además, integra fuentes adicionales de telemetría y postura. En esta guía, se incluyen instrucciones y explicaciones de todas las funciones y características básicas de la página Búsqueda de SIEM.

Terminología clave

• Modelo de datos unificado (UDM): Es un formato de datos estandarizado que se usa en Google SecOps para representar eventos de seguridad de varias fuentes de manera coherente.
• Evento: Se genera un evento a partir de una fuente de registro sin procesar que se transfiere a Google SecOps y se procesa a través del proceso de transferencia y normalización de Google SecOps. Se pueden generar varios eventos a partir de un solo registro de origen de registro sin procesar. Un evento representa un conjunto de datos relevantes para la seguridad que se generan a partir de ese registro sin procesar. En el contexto de la página Búsqueda de SIEM, los eventos son telemetría de eventos de UDM normalizada y registros sin procesar que coinciden con tu búsqueda.
• Alerta: En el contexto de la página Búsqueda de SIEM, una alerta se define como una detección de reglas con alertas habilitadas. Para obtener más información, consulta Cómo ejecutar una regla con datos en vivo.
• Registros sin procesar: Telemetría de registros sin procesar ni analizar. El objetivo principal del diagnóstico es supervisar el estado de la transferencia y el análisis.
• Uniones: Las uniones correlacionan y combinan datos sin procesar de varias fuentes en función de valores de campos comunes. Si vinculas eventos, entidades y otros datos relacionados, puedes investigar situaciones de ataque complejas. Puedes buscar uniones estadísticas, que requieren una sección de coincidencias para agregar resultados, o uniones de datos, que recuperan los datos completos de eventos o entidades y los muestran sin ninguna agregación. Para obtener más información, consulta Aplica uniones en la búsqueda y los paneles y Implementa uniones sin una sección de coincidencia.
• Estadísticas: Eventos de UDM con los resultados agrupados para el análisis estadístico. Para obtener más información, consulta Analiza los datos de búsqueda con estadísticas.
• Casos e historiales de casos: Casos de seguridad y registros de auditoría de casos históricos, que puedes correlacionar con otros datos de seguridad. Para obtener más información, consulta Descripción general de los casos de búsqueda.
• Gráfico de contexto de entidades (ECG): Es una base de datos de grafos dentro de Google SecOps que almacena registros de entidades con estado (como recursos, usuarios e indicadores de amenazas) para correlacionarlos con los registros de eventos de seguridad. Para obtener más información, consulta Descripción general del grafo de contexto de entidades.
• Barra de búsqueda en lenguaje natural: Es la barra que se encuentra en la parte superior de la página Búsqueda de SIEM, en la que puedes ingresar una instrucción de búsqueda con lenguaje natural.
• Editor de consultas: Es el cuadro de la página Búsqueda de SIEM que se encuentra debajo de la barra de consultas en lenguaje natural, en el que creas consultas de forma manual y en el que se muestra el código de la consulta.

Antes de comenzar

Debes tener los permisos y roles estándar de Google SecOps Search asignados a tu cuenta de usuario para ejecutar consultas y ver los detalles de las detecciones.

Para las siguientes funciones de búsqueda avanzada, tu cuenta de usuario o rol de Identity and Access Management debe tener permisos detallados adicionales, según la función que se use:

• Los detalles de eventos enriquecidos o extendidos necesitan chronicle.events.fetchEnrichedEvent.
• Para guardar búsquedas y editar vistas de búsqueda, se necesitan chronicle.savedSearches.update y chronicle.searchViews.update.
• Para ver los analizadores de registros y el esquema, se necesitan los permisos chronicle.parsers.list y chronicle.parsers.get.
• Para buscar en el historial de casos, se necesitan chronicle.cases.get y chronicle.cases.list.
• La búsqueda de SQL (específicamente, las sugerencias de consultas automáticas en el editor de consultas) necesita chronicle.queries.suggestSql cuando se usan roles de IAM personalizados.
• La clasificación de uso histórico para las sugerencias automáticas del campo de UDM en el editor de consultas necesita chronicle.instances.suggestQueryFields cuando se usan roles de IAM personalizados.
• Para crear, compartir, modificar y administrar conjuntos de columnas personalizadas guardados en tu organización, se necesitan los siguientes cinco permisos: chronicle.googleapis.com/savedColumnSets.create, chronicle.googleapis.com/savedColumnSets.update, chronicle.googleapis.com/savedColumnSets.delete, chronicle.googleapis.com/savedColumnSets.list y chronicle.googleapis.com/savedColumnSets.get.

Abre la página de búsqueda.

Para abrir la página Búsqueda de SIEM, haz lo siguiente:

1. Accede a Google SecOps.
2. En la barra de navegación, haz clic en Investigación > Búsqueda de SIEM.

Figura 1. Ejemplo de la página Búsqueda de SIEM que se usa para explorar las tendencias de los eventos.

Nota: En los sistemas que usan RBAC de datos, solo puedes ver los datos que coinciden con tus permisos. Para obtener más información, consulta el impacto del RBAC de datos en la búsqueda.

Aplicación del permiso de RBAC de datos

El motor de búsqueda de Google SecOps aplica de forma estricta el filtrado de permisos del control de acceso basado en roles (RBAC de datos) en todas las pestañas. Solo verás los eventos de UDM, los registros sin procesar, las alertas, las detecciones y los casos que coincidan de forma explícita con los permisos de datos asignados a tu rol de usuario.

Establece la configuración general de la página de búsqueda

La configuración general de la página Búsqueda de SIEM es específica del usuario.

Puedes establecer los siguientes parámetros de configuración generales para la página Búsqueda de SIEM:

• Especifica la cantidad máxima de resultados de la búsqueda
• Elige el comportamiento de contracción para el editor de consultas

Especifica la cantidad máxima de resultados de la búsqueda

Para especificar la cantidad máxima de resultados de la búsqueda, haz lo siguiente:

1. En la página Búsqueda de SIEM, haz clic en Configuración Configuración y selecciona Cantidad máxima de resultados.

2. Selecciona la opción Cantidad máxima de resultados para devolver. Las opciones son 1k, 30k, 100k, 1M y custom (que puede tomar valores entre 1 y 1M). El valor predeterminado es 30k.

   Sugerencia: Por lo general, las consultas se ejecutan más rápido cuando eliges un tamaño de conjunto de resultados más pequeño.

3. Haz clic en Aplicar.

Elige el comportamiento de contracción del editor de consultas

Puedes configurar el editor de consultas para que se contraiga automáticamente después de ejecutar una búsqueda y, así, maximizar el espacio de la pantalla disponible para ver los resultados de la búsqueda. El parámetro de configuración Predeterminado deja el editor de consultas expandido después de ejecutar una búsqueda.

Para habilitar la función de contracción automática, sigue estos pasos:

1. En la página Búsqueda de SIEM, haz clic en Configuración Configuración y selecciona Editor de consultas.
2. En el diálogo Editor de consultas, selecciona Contraer automáticamente el editor de consultas.

Crea una búsqueda

En las siguientes secciones, se describe cómo crear una consulta de búsqueda.

Puedes crear una consulta de búsqueda con uno de los siguientes métodos:

• Ingresa tu declaración de búsqueda en lenguaje natural y usa Gemini para generar la consulta en el dialecto YARA-L 2.0. Debes usar el idioma inglés.
• Crea tu consulta de forma manual en el editor de consultas con el dialecto YARA-L 2.0 o SQL (GoogleSQL).

Nota: Una búsqueda de UDM se limita a 100 campos de UDM por consulta única. Una expresión de búsqueda de UDM consta de un campo de UDM para buscar, un operador y un valor de datos que se debe buscar. Las consultas de UDM se basan en los campos definidos en la referencia del diccionario de campos de UDM. Puedes explorar y seleccionar estos campos de UDM con Filtros o Búsqueda de registros sin procesar.

Genera una consulta con lenguaje natural

Para generar una consulta con lenguaje natural, completa los siguientes pasos:

1. En la página Búsqueda de SIEM, haz clic en la barra de búsqueda de lenguaje natural de búsqueda y, luego, ingresa una instrucción de búsqueda en inglés.

   Las siguientes declaraciones son ejemplos que podrían generar una búsqueda útil:

   • network connections from 10.5.4.3 to google.com
   • failed user logins over the last 3 days
   • emails with file attachments sent to [e-mail] or [e-mail]
   • all Cloud service accounts created yesterday
   • outbound network traffic from 10.16.16.16 or 10.17.17.17
   • all network connections to facebook.com or tiktok.com
   • service accounts created in Google Cloud yesterday
   • Windows executables modified between 8 AM and 1 PM on May 1, 2026
   • all activity from winword.exe on lab-pc
   • scheduled tasks created or modified on exchange01 during the last week
   • email messages that contain PDF attachments
   • emails sent by or sent from [e-mail] on July 1
   • any files with the hash 44d88612fea8a8f36de82e1278abb02f
   • all activity associated with user "[e-mail]"

Si la instrucción de búsqueda incluye un término basado en el tiempo, los parámetros de período se ajustan automáticamente para que coincidan. Por ejemplo, esto se aplicaría a las búsquedas con los siguientes términos:

• yesterday
• within the last 5 days
• on July 1, 2026

2. Haz clic en Generar consulta. Si Gemini puede interpretar la declaración de búsqueda, genera una consulta válida en el dialecto YARA-L 2.0 y la muestra en el editor de consultas. Si no se puede interpretar la instrucción de búsqueda, verás un mensaje en el que se te pedirá que intentes preguntar de otra manera. Si la expresión de consulta es válida, el botón Ejecutar búsqueda estará disponible.

3. Opcional: Ajusta el período de búsqueda con los parámetros Período.

4. Haz clic en Ejecutar búsqueda. Se muestran los resultados de la búsqueda.

5. Opcional: Para limitar los resultados, agrega filtros de búsqueda adicionales de forma manual o usa la barra de consultas en lenguaje natural y vuelve a ejecutar la búsqueda.

Crea una consulta de forma manual en el editor de consultas

Para obtener información sobre los diferentes tipos de consultas que admite la página Búsqueda de SIEM y la sintaxis para construirlas, consulta los siguientes documentos:

• Para obtener detalles sobre la sintaxis de búsqueda de YARA-L 2.0, consulta Cómo interpretar la sintaxis de búsqueda.
• Para obtener información sobre cómo crear consultas de unión, consulta Aplica uniones en la búsqueda y los paneles y Implementa uniones sin una sección de coincidencia.
• Para obtener información sobre cómo crear consultas estadísticas (STATS), consulta Analiza los datos de búsqueda con estadísticas.
• Para obtener información sobre cómo crear consultas del historial de casos, consulta Busca casos y el historial de casos en la página de búsqueda.
• Para obtener información sobre cómo proyectar o excluir campos específicos en los resultados de las consultas, consulta Controla el resultado de la consulta con select y unselect y Controla las columnas con las palabras clave select y unselect.

Para construir una consulta de forma manual, completa los siguientes pasos:

1. En la página Búsqueda de SIEM, haz clic en el editor de consultas.
2. Elige el dialecto de la consulta:
   • YL2 (predeterminado): Usa la sintaxis estándar de YARA-L 2.0 para la búsqueda de eventos de alta velocidad, el filtrado de entidades y la correlación de comportamiento.
   • SQL: El modo SQL (GoogleSQL) te permite ejecutar consultas compatibles con BigQuery, compilar uniones complejas de varias tablas en UDM y Entity Context Graph (ECG), y realizar agregaciones avanzadas directamente en la consola.

3. Escribe tu consulta en el editor de consultas y ten en cuenta lo siguiente:

   • Sugerencia y finalización automáticas: Cuando escribes una consulta con la opción YL2, la función de sugerencia y finalización automáticas sugiere campos válidos según tu entrada.
   • Búsqueda de UDM: Si no conoces el nombre o el valor exacto del campo cuando escribes una consulta, puedes usar la búsqueda de UDM para obtener ayuda.
   • Errores de compilación de sintaxis: Si el editor de consultas detecta un error de compilación de sintaxis, muestra una línea ondulada roja directamente debajo del texto problemático. Coloca el cursor sobre el texto subrayado para ver la descripción del error específico. El editor de consultas destaca solo un error a la vez, lo que significa que debes corregir los errores de forma secuencial.

4. Establece el período de la consulta con los parámetros de período.

5. Si la expresión de consulta es válida, haz clic en Ejecutar búsqueda. Se muestran los resultados de la búsqueda.

6. Opcional: Para acotar los resultados, agrega filtros de búsqueda adicionales de forma manual o con la consola, y vuelve a ejecutar la búsqueda.

Nota: También puedes crear una consulta nueva desde el cuadro de diálogo Search Manager. También están disponibles las mismas herramientas de edición de UDM y de sugerencias y finalización automáticas.

Especifica el período de tu búsqueda

Usa el menú Período para especificar el período de tu búsqueda.

El período máximo de una búsqueda siempre está limitado por la configuración de retención de registros de tu usuario.

Períodos máximos:

• UDM: 365 días.
• RAW: 365 días.
• JOIN: Para uniones internas, 90 días. Para las uniones internas sin una condición de coincidencia: 14 días. Para las uniones externas: 14 días.
• STATS: 90 días.
• CASE y CASE HISTORY: 90 días, limitados por los límites de retención de casos o un ciclo de vida completo del historial de casos.
• ECG: 365 días

Google SecOps evalúa la configuración de tu búsqueda y aplica el período máximo según el tipo de búsqueda y las condiciones de búsqueda. (Por ejemplo, una consulta de STATS que incluye una unión externa tendrá un período máximo menor que una consulta de STATS que no incluye una unión externa).

Para establecer el período, haz lo siguiente:

1. En la página Búsqueda de SIEM, junto a Intervalo de tiempo, selecciona el modo de la lista.

   • Absoluto: Usa un período absoluto para seleccionar una hora de inicio y de finalización fijas.
   • Relativo: Usa un período relativo para buscar hacia atrás desde la hora actual. La hora en la que haces clic en Ejecutar búsqueda se establece como la hora de finalización de tu consulta.

2. Si seleccionaste Absoluto, haz lo siguiente:

   1. Haz clic en calendar_month calendario para abrir el diálogo Establecer fecha y período.
   2. Realiza una de las siguientes acciones:
      • Para configurar la hora con uno de los siguientes métodos, selecciona la pestaña Rango:
        • Usa ajustes predeterminados: Selecciona un rango predeterminado de la barra lateral, como Últimos 3 días o Todo el tiempo. Todo el período busca en todo el período de retención.
        • Seleccionar fechas: Haz clic en una fecha de inicio y una de finalización en el calendario.
        • Establece horarios: Selecciona horarios específicos con los menús de horarios que se encuentran debajo de los calendarios.
      • Para especificar un período y un intervalo de tiempo en función de un evento, haz clic en la pestaña Hora del evento, selecciona una fecha en el calendario y configura el período:
        • Hora exacta: Haz clic en el campo Evento para seleccionar o ingresar la hora específica en la que ocurrió el evento.
        • Margen de tiempo: Selecciona un período predefinido de la lista.
   3. Haz clic en Aplicar.

3. Si seleccionaste Relativo, haz lo siguiente:

   1. Ingresa un número entero en el campo de texto.
   2. Selecciona una unidad de tiempo en el menú: Segundos, Minutos, Horas, Días, Semanas, Meses o Años.

Usa las sugerencias automáticas para crear consultas

Cuando escribes una consulta, el editor de consultas proporciona sugerencias automáticas para ayudarte a compilarla de manera eficiente.

Navega por las sugerencias y selecciónalas

A medida que escribas, aparecerá una lista con sugerencias de campos que coinciden con tu texto, que incluyen las siguientes opciones:

• Selecciona un campo: Usa las teclas de flecha hacia arriba o hacia abajo para navegar por la lista y presiona Intro para seleccionar un campo.
• Ver metadatos: Después de usar las teclas de flecha Arriba o Abajo para destacar una sugerencia, haz clic en chevron_right para ver la descripción del campo.
• Completa los campos de forma incremental: El editor sugiere los elementos secundarios inmediatos del campo actual y oculta el prefijo escrito para ahorrar espacio en la pantalla. A estas sugerencias, les siguen todos los demás campos que coinciden, en orden alfabético.
• Operadores y valores completos: Después de seleccionar un campo, el editor sugiere operadores válidos (como =, !=) según el tipo de datos del campo. En el caso de los campos enumerados, el editor muestra sugerencias para todos los valores válidos (por ejemplo, NETWORK_EVENT) después de que escribes un operador y comillas dobles (").

Comprende la clasificación de las sugerencias

El editor de consultas organiza las sugerencias en tres categorías distintas, en el siguiente orden, para ayudarte a encontrar campos de UDM pertinentes:

1. Campos usados recientemente y con frecuencia: Muestra hasta los siete campos coincidentes principales según tu sesión activa del navegador y el historial de uso de consultas de 30 días en las páginas Búsqueda de SIEM, Reglas y detecciones y Paneles. Las sugerencias de esta categoría se priorizan en el siguiente orden:

   • Historial de navegación reciente: Son los campos que ingresaste o seleccionaste recientemente en el editor de consultas (hasta los 100 campos de UDM válidos más recientes). Los campos que coinciden aparecen primero, ordenados según la fecha de uso más reciente. Esta lista se guarda en el almacenamiento local de tu navegador en todos los accesos. Si borras la caché del navegador o cambias de navegador, se restablecerá este historial.

   • Uso histórico (últimos 30 días): Son los campos extraídos de las consultas que tú y tu organización ejecutaron en los últimos 30 días (incluidas las búsquedas de UDM, las consultas del panel, las pruebas de reglas y las búsquedas retroactivas). Estos datos de uso se actualizan cada 8 horas, están fuera del alcance del filtrado de RBAC de datos porque proporcionan nombres de campos de esquema de UDM derivados en lugar de eventos de registro, y aíslan las etiquetas personalizadas y los campos extraídos (additional.*, extracted.*) en tu usuario. El uso histórico sigue una jerarquía estricta de dos niveles:

     1. Uso a nivel del usuario: Son los campos que usaste con más frecuencia durante los últimos 30 días, ordenados por recuento de uso en orden descendente.
     2. Uso a nivel de usuario: Son los campos que todos los usuarios de tu usuario utilizaron con mayor frecuencia durante los últimos 30 días, ordenados por recuento de uso en orden descendente. Si un campo ya aparece en tu lista de uso a nivel del usuario, su clasificación a nivel del usuario tiene prioridad.

     Cuando se filtran las sugerencias de uso histórico a medida que ingresas texto, el editor clasifica los campos coincidentes por calidad de coincidencia antes de desempatar con la jerarquía de uso: 1. Concordancia exacta: Coincide con todo el nombre del campo de UDM (por ejemplo, ip). 2. Coincidencia exacta de token: Coincide con un segmento completo del nombre del campo (por ejemplo, principal.ip o target.ip cuando ingresas ip). 3. Coincidencia de prefijo: Coincide con el principio del nombre del campo. 4. Coincidencia de prefijo de token: Coincide con el comienzo de un segmento dentro del nombre del campo. 5. Coincidencia de subcadena: Aparece en cualquier parte del nombre del campo (por ejemplo, principal.hostname cuando ingresas ip, porque principal contiene ip).

2. Elementos secundarios inmediatos: Muestra los nodos secundarios de primer nivel de la ruta de acceso del campo actual en orden alfabético, sin incluir los campos que ya se enumeran en las sugerencias de uso principales.

3. Coincidencias globales: Muestra todos los campos de UDM coincidentes restantes en orden alfabético.

Nota: Los roles predefinidos de Google SecOps (Admin, Editor, Viewer, Limited Viewer y Restricted Data Access Viewer) incluyen el permiso chronicle.instances.suggestQueryFields necesario para recuperar sugerencias de uso histórico de 30 días. Si usas un rol de IAM personalizado, agrega chronicle.instances.suggestQueryFields al rol. Sin este permiso, el editor de consultas recurre a las sugerencias de clasificación usando solo el historial de navegación reciente.

Nota: Los campos de las tablas de datos no se incluyen en la clasificación basada en el uso o en las visitas recientes, ya que las tablas de datos no tienen un esquema de UDM fijo. En cambio, los campos de la tabla de datos aparecen en orden alfabético en la sección Coincidencias globales.

Cómo administrar la configuración de las sugerencias automáticas

Para administrar de forma global cómo Google SecOps muestra las sugerencias automáticas, haz lo siguiente:

1. Haz clic en tu avatar de perfil y selecciona User Preferences en la lista. Aparecerá el diálogo User Preferences.

2. En el cuadro de diálogo, haz clic en Sugerencia automática.

3. Para controlar las sugerencias automáticas que se muestran en el editor de consultas, ajusta los siguientes parámetros de configuración:

   • Habilitar sugerencias mientras se escribe: Habilita la sugerencia automática.
   • Clasificar los campos usados recientemente primero: Muestra los campos que usaste con más frecuencia y más recientemente (según el historial de sesiones del navegador, el uso a nivel del usuario y el uso a nivel del usuario) en la parte superior de la lista.
   • Sugerir campos secundarios inmediatos: Completa los campos anidados de forma incremental, un nodo secundario a la vez.
   • Sugerir todas las rutas de acceso disponibles: Muestra las rutas de acceso completas y expandidas para todas las sugerencias de campos anidados.

4. Haz clic en Guardar.

Controla el resultado de la consulta con select y unselect

Puedes usar las palabras clave select y unselect en una consulta de búsqueda de YARA-L 2.0 para proyectar o excluir campos específicos de eventos de UDM y del grafo de contexto de entidades (ECG) directamente desde el almacenamiento, lo que reduce el tamaño de la carga útil de la respuesta y mejora la latencia de la consulta:

• select: Devuelve solo los campos de hoja y las variables outcome especificados, junto con los campos de metadatos obligatorios.
• unselect: Devuelve todos los campos, excepto los campos de hoja especificados y las variables outcome.

Las consultas que no incluyen select ni unselect devuelven cargas útiles completas de UDM y entidades. La proyección de campos selectiva se aplica a las búsquedas de eventos de UDM independientes y de entidades de ECG independientes. Las uniones de varios eventos, las uniones de entidades de UDM y las consultas agregadas no se ven afectadas. Para ver más ejemplos de sintaxis, consulta Controla las columnas con las palabras clave select y unselect.

Campos obligatorios y compatibles

• Campos admitidos: Especifica variables outcome o rutas de acceso de campos de hoja completas para eventos de UDM (por ejemplo, principal.hostname, target.ip, security_result.severity) y entidades de ECG (por ejemplo, graph.entity.hostname, graph.entity.ip, graph.metadata.entity_type, graph.relations.entity_type).
• Campos obligatorios: Para preservar la identidad de los eventos, el orden de la línea de tiempo y los intervalos de validez de las entidades, Google SecOps siempre devuelve los siguientes campos de metadatos principales, incluso si los omites de select o los incluyes en unselect:
  • Eventos de UDM: metadata.id, metadata.event_timestamp, metadata.enrichment_state
  • Entidades de ECG: graph.metadata.entity_type, graph.metadata.interval.start_time
• Indexación de campos de mapa y listas repetidas: La proyección y exclusión de campos operan a nivel de contenedor para los campos de mapa (additional.fields y extracted.fields) y las listas repetidas, en lugar de filtrar claves de mapa individuales o posiciones de array únicas:
  • Con select: Si especificas una clave de mapa (como select: additional.fields["env"] o extracted.fields["src"]) o un índice de lista (como select: principal.ip[0] o about[0].file.md5), se devuelve todo el mapa (additional.fields o extracted.fields) o todo el campo o subcampo repetido en todos los elementos de la lista.
  • Con unselect: Especificar una clave de mapa (como unselect: additional.fields["env"]) o un índice de lista (como unselect: principal.ip[0] o about[0].file.md5) excluye todo el mapa (quitando todas las demás claves de ese mapa) o excluye el campo o subcampo repetido en todos los elementos de la lista, no solo el índice 0. No incluyas ninguna clave de additional.fields ni extracted.fields en unselect si necesitas otras claves de ese mapa.

Impacto en los resultados de la búsqueda, la IU y las APIs

El uso de select o unselect afecta los resultados de la búsqueda en la interfaz web de Google SecOps, la API de Chronicle (udmSearch y StreamSearch) y la API de operaciones de larga duración (LRO) de la búsqueda (PaginatedSearchResults). No se admite en la API de Backstory heredada.

• Tabla de eventos, Administrador de columnas y Agregaciones: Solo los campos proyectados (junto con Marca de tiempo y Estado del evento) están disponibles para ver, agregar, filtrar o agregar como columnas.
• Visualizador de eventos: Muestra solo los campos de entidad y UDM proyectados junto con el registro sin procesar, y se inhabilita Agregar a columnas para los campos no proyectados.
• Ordenamiento: Puedes ordenar los resultados solo en los campos proyectados, los campos de metadatos obligatorios (metadata.event_timestamp y metadata.enrichment_state) y las columnas rápidas compuestas (Nombre de host, IP y Usuario) cuando se proyectan sus campos subyacentes. En las solicitudes a la API, si se establece sort_column en un campo no proyectado o excluido, se devuelve un error INVALID_ARGUMENT (400).

Ejemplos

• Incluye solo campos de eventos de UDM específicos (select):

  principal.hostname != "" and target.ip != ""
  select: principal.hostname, principal.ip, target.ip, security_result.severity
  

• Incluye solo campos específicos de la entidad ECG (select):

  graph.entity.hostname != ""
  select: graph.entity.hostname, graph.entity.ip, graph.entity.asset.asset_id
  

• Excluye campos específicos (unselect):

  metadata.event_type = "NETWORK_HTTP" and principal.hostname != ""
  unselect: target.hostname, target.ip, security_result.category_details
  

Encuentra un campo de UDM para una búsqueda (búsqueda de UDM)

Cuando escribes una consulta de búsqueda, es posible que no conozcas el nombre o el valor exacto del campo de UDM que debes incluir. La función Búsqueda de UDM te permite encontrar rápidamente un nombre de campo de UDM que contenga una cadena de texto en el nombre o que almacene un valor de cadena específico. Puedes seleccionar uno o más resultados que devuelva la búsqueda de UDM y usarlos como punto de partida para una consulta de búsqueda, agregarlos a una consulta existente o guardarlos en el portapapeles.

Nota: La búsqueda de UDM no está diseñada para buscar otros tipos de datos, como bytes, booleanos o numéricos.

Para usar la búsqueda de UDM, haz lo siguiente:

1. En la página Búsqueda de SIEM, haz clic en Búsqueda de UDM. Se abrirá el diálogo Búsqueda de UDM.

2. Selecciona una o ambas de las siguientes opciones de Coincidencia en para especificar el alcance de los datos que se buscarán:

   • Campos de UDM: Busca texto que coincida con los nombres de los campos, por ejemplo, network.dns.questions.name o principal.ip.
   • Valores: Busca cadenas de texto dentro de los valores de registro almacenados, por ejemplo, dns o google.com.

3. Haz clic en el campo de búsqueda Ingresa una cadena exacta para buscar coincidencias y, luego, ingresa la cadena que deseas buscar. A medida que escribes, los resultados de la búsqueda aparecen en el cuadro de diálogo.

   Los resultados varían cuando se buscan coincidencias en los campos de UDM en comparación con los valores de la siguiente manera:

   • La búsqueda con nombres de campos de UDM de Coincidencia activada devuelve una coincidencia exacta que se encuentra en cualquier parte de la definición del esquema.

     

     Figura 2. Busca con los nombres de campos de UDM de Coincidencia en en el cuadro de diálogo Búsqueda de UDM.

   • La búsqueda con Match On Values busca en la telemetría de registros transferidos y devuelve dos tipos de resultados:

     • Coincidencias de valor completo: En el caso de los campos de texto comunes (como aplicaciones, nombres de host, URLs, direcciones IP y nombres de usuario), la búsqueda de UDM muestra el valor coincidente completo con la cadena de búsqueda destacada en amarillo, junto con la marca de tiempo de transferencia de registros más reciente.

     • Coincidencias de valores posibles: En los campos que contienen texto largo, complejo o no estructurado (como líneas de comandos, descripciones, campos de detección y campos personalizados), la búsqueda de UDM indica que el término de búsqueda aparece en ese campo en tu telemetría histórica. En lugar de mostrar un solo valor completo, el resultado muestra el nombre del campo de UDM seguido de (Possible value match).

     

     Figura 3. Busca con los valores de Coincidir con en el cuadro de diálogo Búsqueda de UDM.

4. En la lista de resultados, puedes hacer lo siguiente:

   • Haz clic en el nombre de un campo de UDM para ver una descripción de ese campo.
   • Selecciona uno o más resultados haciendo clic en la casilla de verificación junto al nombre del campo de UDM.
   • Haz clic en el botón Restablecer para anular la selección de todos los campos seleccionados en la lista de resultados.

5. Realiza una de las siguientes acciones:

   • Para copiar los resultados seleccionados en el portapapeles, haz clic en Copiar UDM. Luego, puedes cerrar el diálogo Búsqueda de UDM y pegar el contenido del portapapeles en el editor de consultas.

   • Para agregar los resultados seleccionados a la consulta en el editor de consultas, haz clic en Agregar a la búsqueda. Luego, Google SecOps convierte los resultados seleccionados en una búsqueda como el nombre del campo de UDM o un par nombre-valor.

     Si agregas varios resultados, Google SecOps agrega cada resultado al final de la consulta existente en el editor de consultas con el operador OR.

     La cadena de consulta adjunta es diferente según el tipo de coincidencia que devuelve la búsqueda de UDM:

     • Si el resultado coincide con una cadena de texto en un nombre de campo de UDM, se agrega el nombre completo del campo de UDM a la consulta. Por ejemplo:

       principal.artifact.network.dhcp.client_hostname

     • Si el resultado es una coincidencia de valor completo, el par nombre-valor contiene una condición de igualdad exacta con el valor completo.

     • Si el resultado es una coincidencia de valor posible, el par nombre-valor contiene el nombre del campo de UDM y una expresión regular que no distingue mayúsculas de minúsculas que contiene tu término de búsqueda.

6. Si es necesario, edita la consulta en el editor de consultas.

Comportamiento de búsqueda y cobertura de campos de la búsqueda de UDM

La búsqueda de UDM te ayuda a descubrir nombres de campos y buscar valores históricos en tus datos de registro transferidos. En esta sección, se explica cómo funciona la búsqueda en ambos modos, se proporcionan ejemplos de consultas y se describen los límites de cobertura de los campos.

Modos de búsqueda: Campos de UDM frente a valores

La búsqueda de UDM proporciona dos modos de búsqueda distintos:

• Modo Campos de UDM: Coincidir en Campos de UDM busca en la definición del esquema de UDM para ayudarte a encontrar la ruta de campo correcta. Puedes encontrar nombres de campos en todos los tipos de datos, incluidos los campos de texto (principal.hostname), los puertos numéricos (target.port), las marcas booleanas (security_result.is_alert) y las categorías de eventos (metadata.event_type).

  Ejemplo: Si escribes port, se mostrarán campos como network.ip_port, principal.port, target.port y src.port.

• Modo de valores: Coincidir con valores busca valores de texto que coincidan en tus registros de eventos transferidos:

  • Coincidencia de valor exacta: Para los identificadores y campos de texto comunes (como nombres de host, direcciones IP, dominios y nombres de usuario), la búsqueda de UDM encuentra el valor exacto en tus datos y genera una condición de igualdad (por ejemplo, principal.hostname = "example.com").
  • Coincidencia de valor posible (expresión regular): Para texto largo, líneas de comandos, URLs, claves de registro y rutas de acceso de archivos, la búsqueda de UDM devuelve una coincidencia de valor posible con una expresión regular (por ejemplo, principal.process.command_line = /powershell/ NOCASE).

Brechas en la cobertura de campos y cómo buscar directamente

Cuando se busca por valores, la búsqueda de UDM busca campos de texto en datos de eventos sin procesar y sin enriquecer. Ciertos tipos de datos y campos de identificadores de gran volumen no devuelven coincidencias en el modo Valores. Para buscar estos campos, ingresa tu expresión directamente en el editor de consultas.

En esta sección, se incluye lo siguiente:

• Campos numéricos, booleanos, de marca de tiempo y de bytes
• Campos de identificadores excluidos
• Campos con posibles coincidencias de valores (expresiones regulares)
• Campos enriquecidos y gráfico de entidades

Campos numéricos, booleanos, de marca de tiempo y de bytes

La búsqueda de valores de búsqueda de UDM no devuelve coincidencias para los tipos de datos que no son de texto. Para buscar en estos campos, escribe la condición directamente en la barra de búsqueda:

Categoría del campo	Ejemplos de campos de UDM	Ejemplo de búsqueda directa
Números de puerto y códigos de estado	network.ip_port, principal.port, target.port, network.http.response_code	network.ip_port = 443 network.http.response_code = 403
Métricas y puntuaciones de riesgo	security_result.risk_score, network.sent_bytes, network.received_bytes	security_result.risk_score >= 80 network.sent_bytes > 50000000
Marcas booleanas	security_result.is_alert, network.dns.answers.is_authoritative	security_result.is_alert = true
Enums predefinidos	metadata.event_type, network.ip_protocol	metadata.event_type = "USER_LOGIN" network.ip_protocol = "TCP"
Marcas de tiempo	metadata.event_timestamp.seconds, metadata.ingested_timestamp	Filtra con el menú Intervalo de tiempo o la consulta: metadata.event_timestamp.seconds > 1700000000
IDs de eventos (bytes sin procesar)	metadata.id	metadata.id = "..."
Coordenadas geográficas	principal.location.latitude, principal.location.longitude	Filtrar por campos de ubicación regional: principal.location.country_or_region = "US"

Campos identificadores excluidos

Los siguientes campos de seguimiento de sesiones y de alta entropía no devuelven coincidencias cuando se busca por Valores:

Categoría de campo excluida	Campos de UDM	Ejemplo de búsqueda directa
IDs de procesos	*.pid (por ejemplo, principal.process.pid, target.process.pid), *.product_specific_process_id	target.process.pid = "4128"
IDs de sesión y conexión	network.session_id, network.parent_session_id, metadata.product_log_id	network.session_id = "sess-9481"
IDs de reglas de detección	security_result.rule_id	security_result.rule_id = "rule_suspicious_login"
IDs de recursos y de activos	*.resource.id (incluidos los ARN y los URI de la nube), *.asset_id	target.resource.id = "arn:aws:s3:::my-bucket"
Etiquetas de transferencia	metadata.base_labels.*, metadata.enrichment_labels.*	metadata.base_labels.log_types = "WINEVTLOG"

Campos con posibles coincidencias de valores (expresiones regulares)

En el caso de los campos que contienen cadenas largas y complejas con muchos separadores de ruta de acceso o argumentos, la búsqueda de UDM devuelve una expresión regular de posible coincidencia de valor (/.../ NOCASE) en lugar de una coincidencia exacta de valor completo:

• Líneas de comandos: principal.process.command_line, target.process.command_line
• Rutas de acceso de archivos: principal.process.file.full_path, target.file.full_path
• URLs de red y web: principal.url, target.url, network.http.referral_url
• Claves de registro: principal.registry.registry_key, target.registry.registry_key
• Descripciones de formato libre: metadata.description, security_result.description, security_result.summary
• Cadenas de usuario-agente: network.http.user_agent
• Campos personalizados dinámicos: additional.fields.value.*

Campos enriquecidos y gráfico de entidades

La búsqueda de UDM busca datos de registro sin procesar transferidos después del 10 de agosto de 2023. No devuelve valores de los siguientes elementos:

• : Such as GeoIP location resolution, WHOIS data, Safe Browsing verdicts, or VirusTotal scores. Enriquecimientos downstream: Como la resolución de ubicación de GeoIP, los datos de WHOIS, los veredictos de Navegación segura o las puntuaciones de VirusTotal. Para buscarlos, filtra directamente en la ruta del campo enriquecido (por ejemplo, target.ip_geo_artifact.country_or_region = "US").
• Objetos de Entity Graph: Datos en el espacio de nombres graph.*.
• Datos históricos anteriores al límite: Registros transferidos antes del 10 de agosto de 2023. Para buscar datos más antiguos, usa consultas de búsqueda directa en la página Búsqueda.

Usa tablas de datos en una búsqueda

Puedes usar la función tablas de datos en una búsqueda. Esto te permite usar tus propias bases de datos existentes de información sobre amenazas junto con una búsqueda para detectar amenazas en tu empresa.

Por ejemplo, si tienes una base de datos llamada suspicious con una columna de direcciones IP que sabes que son problemáticas, puedes hacer referencia a esa base de datos en la búsqueda en lugar de ingresar manualmente direcciones IP individuales en la consulta:

  events:
      $e.principal.ip in %suspicious.ip

Puedes limitar los resultados buscando metadatos específicos además de direcciones IP. Por ejemplo, es posible que te preocupen específicamente los cambios en los recursos de los usuarios:

  events:
      $e.metadata.event_type = "USER_RESOURCE_UPDATE_CONTENT"
      $e.principal.ip in %suspicious.ip

Puedes restringir una búsqueda en campos de UDM interrelacionados y hacer coincidir con varias columnas de tablas de datos. En el siguiente ejemplo, se buscan eventos de NETWORK_CONNECTION en los que el resultado de seguridad es ALLOW. Luego, compara esos eventos con la columna hostnames y la columna ip de la tabla de datos badApps.

events:
  $e.metadata.event_type = "NETWORK_CONNECTION"
  $e.security_result.action = "ALLOW"
  $e.target.asset.asset_id = $assetid

  // Event hostname matches at least one value in table column hostname.
  $e.target.hostname in %badApps.hostname

  // Event IP matches at least one value in table column ip.
  $e.target.ip in %badApps.ip

Visualiza las filas de la tabla de datos en una búsqueda

Cuando usas una tabla de datos en una búsqueda de YARA-L 2.0, los resultados hacen referencia a las filas de la tabla de datos que están vinculadas a los eventos coincidentes. Estos resultados se muestran en el panel Events. Cuando veas los resultados, se mostrará el estado actual de la tabla de datos y sus filas.

Usa el Administrador de columnas para seleccionar qué tabla de datos y columnas se mostrarán en los resultados.

Para obtener más información, consulta Cómo usar tablas de datos.

Comprende el proceso de ejecución de consultas

Si la consulta en el editor de consultas es válida, la consola de Google SecOps habilita el botón Ejecutar búsqueda.

Después de hacer clic en Ejecutar búsqueda, la consulta en curso se muestra con un ícono de estado circular.

Mientras una búsqueda está en curso, puedes ejecutar búsquedas adicionales (simultáneas) en el editor de consultas con algunas limitaciones. Google SecOps sigue ejecutando tus búsquedas anteriores y ejecuta las nuevas en paralelo.

Importante: Las búsquedas simultáneas y los resultados almacenados requieren que la función de historial de la Búsqueda esté activa. Si anteriormente inhabilitaste el historial de la Búsqueda, puedes volver a habilitarlo haciendo clic en Historial > Habilitar el historial de la Búsqueda.

Las consultas completadas se muestran con un ícono de marca de verificación verde, junto con un contador que indica la cantidad de eventos que devolvió la consulta.

Haz clic en una consulta completada para mostrar los resultados. Los resultados de la búsqueda se muestran debajo del editor de consultas.

Los resultados de la búsqueda se almacenan en caché y solo incluyen los datos disponibles en el momento de la ejecución de la consulta.

Administra tu historial de búsqueda

Tu historial de la Búsqueda se guarda en tu cuenta de Google SecOps.

Importante: Las búsquedas simultáneas y los resultados almacenados requieren que la función de historial de la Búsqueda esté activa.

• Para administrar tu historial de la Búsqueda, en la página Búsqueda de SIEM, haz clic en Historial para abrir el cuadro de diálogo y haz lo siguiente:

  • Consulta una lista de todas las búsquedas de tu historial.
  • Haz clic en un elemento de la lista para cargarlo en el editor de consultas.
  • Escribe en la barra de búsqueda para encontrar una búsqueda en tu historial.
  • Filtra las búsquedas haciendo clic en Filtrar junto a la barra de búsqueda y filtra las búsquedas por Idioma, que contiene los filtros YL2 y SQL AND Tipo de búsqueda, que contiene los filtros UDM, Registro sin procesar y Estadísticas.
  • Mostrar solo los resultados almacenados completados y en progreso o no (con la casilla de verificación Mostrar solo los resultados almacenados completados y en progreso)
  • Borrar el historial de la Búsqueda
    • Para borrar el historial de la Búsqueda, haz clic en Más y selecciona Borrar historial.

  • Inhabilitar o volver a habilitar el historial de búsqueda:

    • Para inhabilitar el historial de la Búsqueda, haz clic en Inhabilitar el historial de la Búsqueda y, luego, selecciona Solo inhabilitar para inhabilitar el historial de la Búsqueda o Inhabilitar y borrar para inhabilitar el historial de la Búsqueda y borrar el historial de la Búsqueda guardado.

    • Si inhabilitaste el historial de la Búsqueda, puedes volver a habilitarlo haciendo clic en Habilitar el historial de búsqueda.

• Para borrar una búsqueda específica de tu historial de búsqueda, consulta Cómo borrar una búsqueda guardada.

Guarda y usa una consulta de métricas

Nota: Esta función está sujeta a las Condiciones de las Ofertas de Fase Previa a la DG de las Condiciones Específicas del Servicio de Google Security Operations. Las características de la fase previa a la DG pueden tener asistencia limitada, y es posible que los cambios en las características de la fase previa a la DG no sean compatibles con otras versiones de la fase previa a la DG. Para obtener más información, consulta los Lineamientos de los Servicios de Asistencia Técnica de Google SecOps y las Condiciones Específicas del Servicio de Google SecOps.
Si esta función no está visible en tu entorno, consulta Administra las funciones de versión preliminar o comunícate con el administrador del sistema.

Google SecOps clasifica las consultas de métricas con la insignia STATS.

• Para guardar una búsqueda como métrica, haz clic en Más junto a Ejecutar búsqueda y, luego, en Guardar como métrica. Se abrirá la página Reglas y detecciones, en la que se mostrará tu consulta de métricas en la pestaña Métricas. Luego, puedes guardar la métrica o inhabilitarla. Después de guardar una consulta de métrica, no se puede editar ni borrar. Las métricas se pueden inhabilitar en cualquier momento.

Puedes usar una consulta de métricas para establecer patrones de comportamiento típicos y, además, identificar actividades atípicas. Si tienes una consulta de métricas en el editor de consultas que hace un seguimiento de las tendencias operativas críticas, haz clic en Más > Guardar como métrica. Esto guarda la consulta como una métrica de serie temporal continua que se puede incorporar en paneles personalizados o a la que se puede hacer referencia en alertas de umbral.

Ejemplo de consulta de métricas:

metric metric_1784196814306 {
  (metadata.event_type = "NETWORK_FLOW" OR
  metadata.event_type = "NETWORK_CONNECTION" OR
  metadata.event_type = "NETWORK_DNS" OR
  metadata.event_type = "NETWORK_HTTP")

  outcome:
  $timestamp = timestamp.get_timestamp(metadata.event_timestamp.seconds)
  $hostname = principal.hostname
  $event_type = metadata.event_type
  $user = principal.user.userid
  $principal_process = principal.process.file.full_path
  $principal_cmdline = principal.process.command_line
  $target_process = target.process.file.full_path
  $target_cmdline = target.process.command_line
  $target_url = target.url
  $target_ip = target.ip[0]
  order:
  $timestamp
  }

Administra tus búsquedas (Administrador de búsquedas)

Usa el diálogo Search Manager para administrar tus búsquedas.

• Para abrir el Administrador de búsquedas, en la página Búsqueda de SIEM, haz clic en Administrador de búsquedas.

Insignias de tipo de búsqueda

En la pestaña Guardadas del Administrador de búsquedas, se enumeran todas las búsquedas guardadas y se muestra una insignia con el tipo de búsqueda: UDM, RAW, JOIN, STATS, CASE, CASE HISTORY y ECG.

Acciones del Administrador de búsqueda

En la pestaña Guardados, puedes realizar las siguientes acciones:

• Filtra las búsquedas guardadas: Haz clic en Filtrar junto a la barra de búsqueda y filtra las búsquedas por Fuente, que contiene: Definido por Google SecOps, Creado por mí y Compartido conmigo AND Idioma, que contiene: YL2 y SQL.
• Ordenar búsquedas: Haz clic en list_arrow Ordenar junto a la barra de búsqueda y ordena por Nombre (A - Z), Nombre (Z - A), Más antiguos - Más recientes o Más recientes - Más antiguos.
• Agregar una búsqueda: Haz clic en add_2 Agregar junto a la barra de búsqueda y crea una nueva búsqueda en el cuadro Búsqueda de UDM adyacente. El cuadro de búsqueda de UDM admite las mismas herramientas de edición de UDM y de sugerencias y finalización automáticas que cuando creas una consulta de forma manual en el editor de consultas.
• Compartir o borrar las búsquedas que tú creaste
• Editar una búsqueda que creaste: Cuando se selecciona una búsqueda en la pestaña Guardadas, el cuadro BÚSQUEDA muestra la consulta, junto con los cuadros Título y Descripción. El cuadro de búsqueda de UDM admite las mismas herramientas de edición de UDM y de sugerencias y finalización automáticas que cuando creas una consulta de forma manual en el editor de consultas.

Cómo guardar una búsqueda

Las búsquedas guardadas y el historial de la Búsqueda son los siguientes:

• Se almacena con tu cuenta de Google SecOps.
• Solo el usuario individual puede verla y acceder a ella, a menos que uses la función Compartir una búsqueda para compartir tu búsqueda con tu organización.

Para guardar una búsqueda, haz lo siguiente:

1. En la página Búsqueda de SIEM, realiza una de las siguientes acciones:

   • Si hay una consulta válida en el editor de consultas, haz clic en Más junto a Ejecutar búsqueda y, luego, en Guardar búsqueda. Se abrirá el diálogo Search Manager.
   • Haz clic en Search Manager. Se abrirá el diálogo Search Manager.

2. En el cuadro Título, ingresa un nombre para la búsqueda. Google recomienda asignarle un nombre significativo a la búsqueda guardada y una descripción en texto sin formato de lo que buscas.

3. Opcional: En el cuadro Descripción, ingresa una descripción para la búsqueda.

4. Opcional: Especifica variables de marcador de posición en el formato ${<variable name>} con el mismo formato que se usa para las variables en YARA-L. Si agregas una variable a una búsqueda, también debes incluir una instrucción para ayudar al usuario a comprender la información que debe ingresar antes de ejecutar la búsqueda. Todas las variables deben completarse con valores antes de que se ejecute una búsqueda.

   Por ejemplo, podrías agregar metadata.vendor_name = ${vendor_name} a tu búsqueda. En el caso de ${vendor_name}, debes agregar un mensaje para los usuarios futuros, como Enter the name of the vendor for your search. Cada vez que un usuario cargue esta búsqueda en el futuro, se le pedirá que ingrese el nombre del proveedor antes de ejecutar la búsqueda.

5. Cuando termines, haz clic en Guardar cambios.

• Para ver las búsquedas guardadas, haz clic en Administrador de búsquedas y, luego, en la pestaña Guardadas.

Recupera y ejecuta una búsqueda guardada

Para recuperar y ejecutar una búsqueda guardada, haz lo siguiente:

1. En la página Búsqueda de SIEM, haz clic en Administrador de búsquedas y selecciona una búsqueda de la lista *Guardadas de la izquierda.
2. Opcional: Para borrar una búsqueda, haz clic en Más y selecciona Borrar búsqueda. Solo puedes borrar las búsquedas que tú creaste.
3. Puedes cambiar el nombre de la búsqueda y la descripción. Cuando termines, haz clic en Guardar cambios.
4. Haz clic en Cargar búsqueda. La búsqueda se carga en el campo de búsqueda principal.
5. Haz clic en Ejecutar búsqueda.

Cómo borrar una búsqueda guardada

Solo puedes borrar las búsquedas que tú creaste.

Para borrar una búsqueda guardada, haz lo siguiente:

1. En la página Búsqueda de SIEM, haz clic en Administrador de búsquedas y selecciona una búsqueda de la lista *Guardadas de la izquierda.
2. Haz clic en Más y selecciona Borrar búsqueda.
3. Haz clic en Borrar búsqueda.

Cómo compartir una búsqueda o dejar de hacerlo

Las búsquedas compartidas te permiten compartir búsquedas con tu equipo. No puedes compartir contenido con una sola persona. Si compartes tu búsqueda, se compartirá con toda tu organización.

No puedes editar una búsqueda compartida que no hayas creado.

Para compartir una búsqueda, haz lo siguiente:

1. En la página Búsqueda de SIEM, haz clic en Administrador de búsquedas y selecciona una búsqueda de la lista *Guardadas de la izquierda.
2. Haz clic en la búsqueda que quieras compartir.
3. Haz clic en Más en el lado derecho de la búsqueda. Aparecerá un diálogo con la opción para compartir tu búsqueda.
4. Haz clic en Compartir con tu organización. Aparecerá un diálogo que dice "Si compartes tu búsqueda, las personas de tu organización podrán verla. ¿Confirmas que quieres compartir?".
5. Haz clic en Compartir

Si quieres que la búsqueda solo sea visible para ti, haz clic en Más y, luego, en Dejar de compartir. Si dejas de compartirla, solo tú podrás usar esta búsqueda.

Descripción general de los resultados de la búsqueda

Cuando haces clic en Ejecutar búsqueda en la página Búsqueda de SIEM, Google Security Operations evalúa tu consulta en todo tu entorno, y categoriza y muestra los resultados debajo del editor de consultas.

Los elementos de la IU para los resultados de la búsqueda varían según el tipo de búsqueda (que, según sus insignias, son: UDM, RAW, JOIN, STATS, CASE o CASE HISTORY).

En la página Búsqueda de SIEM, se muestran las siguientes pestañas para los resultados de la búsqueda:

• Resultados: Se muestran para todos los tipos de búsqueda.
• Alertas y detecciones: Se muestran solo para los resultados de la búsqueda de UDM, RAW y JOIN.
• Descripción general: Se muestra solo para los resultados de la búsqueda de UDM, RAW y JOIN.
• Visualizar: Se muestra solo para los resultados de la búsqueda de STATS.

El título de cada pestaña de resultados incluye el recuento entre paréntesis, por ejemplo, Resultados (1,118) o Resultados (más de 100,000) si la cantidad de resultados supera el máximo especificado (en este caso, 100,000).

Si haces clic entre las pestañas, se cambia de forma instantánea la vista del espacio de trabajo, mientras que se conservan la búsqueda y el período.

Cómo ver y administrar la información en la pestaña Resultados

La pestaña Resultados sirve como tu espacio de trabajo principal para ver y administrar los resultados de la búsqueda. Puedes usar la pestaña Resultados para lo siguiente:

• Búsqueda de registros en profundidad
• Visualiza la telemetría sin procesar
• Genera tablas dinámicas a partir de datos de eventos
• Analiza las distribuciones de valores de campos de alta frecuencia
• Exporta datos a archivos CSV

La pestaña Resultados incluye los siguientes elementos, según el tipo de búsqueda:

• Paneles con pestañas que contienen los siguientes gráficos:
  • Gráfico Actividad a lo largo del tiempo: Se muestra para los resultados de la búsqueda de UDM, JOIN, CASE, CASE HISTORY y ECG.
  • Gráfico Tendencia a lo largo del tiempo: Se muestra para los resultados de la búsqueda de RAW.
  • Pestaña Prevalencia: Se muestra para los resultados de la búsqueda de UDM.
  • Tabla Mapa de calor de actividad: Se muestra para los resultados de la búsqueda de UDM.
• Panel Agregaciones: Se muestra para todos los tipos de resultados de la búsqueda.

• Paneles con las siguientes tablas, según el tipo de búsqueda:

  • Tabla Eventos y pestaña secundaria Tabla dinámica: Se muestran solo para los resultados de la búsqueda de UDM. La tabla Eventos muestra la telemetría de eventos de UDM normalizada y los registros sin procesar que coinciden con tu consulta dentro del período seleccionado. La pestaña secundaria Pivot te permite crear y usar una tabla dinámica para realizar agrupaciones y resúmenes matemáticos multidimensionales (sum, count, avg, stddev) en los resultados de los eventos.
  • Registros sin procesar: Se muestran solo para los resultados de la búsqueda sin procesar.
  • Estadísticas: Se muestran solo para los resultados de la búsqueda en ESTADÍSTICAS.
  • Combinaciones: Se muestran solo para los resultados de la búsqueda de JOIN.
  • Casos: Se muestra solo para los resultados de la búsqueda de CASE.
  • Historial de casos: Se muestra solo para los resultados de la búsqueda de CASE y CASE HISTORY.
  • Datos con marca de tiempo y Datos sin marca de tiempo: Se muestran solo para los resultados de la búsqueda de ECG.

  Para obtener información sobre las funciones y herramientas compatibles con estas tablas, consulta Usa herramientas comunes para tablas. Entre las funciones admitidas, se incluyen administrar las columnas de la tabla que muestra la pestaña, descargar los resultados de la búsqueda y mucho más.

Sugerencia: Haz clic en Opciones de vista para ocultar o mostrar los gráficos y el panel Agregaciones.

Usa el gráfico Actividad a lo largo del tiempo

La pestaña Actividad a lo largo del tiempo incluye un gráfico (un histograma) del volumen de eventos y alertas a lo largo del tiempo.

Nota: La pestaña Actividad a lo largo del tiempo solo se muestra para los resultados de la búsqueda de UDM, JOIN, CASE y CASE HISTORY.

El ancho de cada barra depende del intervalo de tiempo buscado. Por ejemplo, cada barra representa 10 minutos cuando la búsqueda abarca 24 horas de datos. Este gráfico se actualiza de forma dinámica a medida que modificas la búsqueda existente.

Nota: La ventana de búsqueda máxima es de hasta 365 días para las búsquedas de YARA-L 2.0 y de 90 días para las búsquedas de SQL, desde la hora de inicio hasta la de finalización.

El gráfico admite lo siguiente:

• Ajuste del período: Arrastra los controles deslizantes de la línea de tiempo para reducir el período visible de forma instantánea. La cuadrícula de resultados y el panel Agregaciones se actualizan sin volver a ejecutar la consulta en el backend.
• Consulta los eventos y las alertas de un período de una sola barra: Haz clic en una barra para limitar el enfoque del gráfico, el panel Agregaciones y la pestaña Detecciones al período de esa barra. Esta acción crea un filtro, que se muestra junto al botón Agregar filtro filter_list. Para volver a mostrar todos los resultados, borra el filtro.
• Ventana emergente de detalles: Si haces clic en una de las barras, se abrirá una ventana emergente con la hora y los valores de Eventos consultados, Eventos filtrados, Alertas consultadas y Alertas filtradas.

Usa el gráfico Tendencia a lo largo del tiempo

La pestaña Tendencia a lo largo del tiempo incluye un gráfico (un histograma) del volumen de registros sin procesar a lo largo del tiempo. El ancho de cada barra vertical se ajusta de forma dinámica según la ventana de búsqueda general (por ejemplo, cada barra puede representar 10 minutos para una ventana de búsqueda de 24 horas).

Nota: La pestaña Tendencia a lo largo del tiempo solo se muestra para los resultados de la búsqueda RAW.

El gráfico admite lo siguiente:

• Ajuste del período: Arrastra los controles deslizantes de la línea de tiempo para reducir el período visible de forma instantánea. La cuadrícula de resultados y el panel Agregaciones se actualizan sin volver a ejecutar la consulta en el backend.
• Consulta cuántos registros analizados, sin analizar y desconocidos se detectaron en el período de una sola barra: Desconocido significa que se detectaron uno o más registros en ese momento, pero la cantidad no está determinada. Haz clic en una barra para limitar el enfoque del gráfico y el panel Agregaciones al período de esa barra. Esta acción crea un filtro, que se muestra junto al botón Agregar filtro filter_list. Para volver a mostrar todos los resultados, borra el filtro.
• Ventana emergente de detalles: Si haces clic en una de las barras, se abrirá una ventana emergente con la hora y los valores de Eventos consultados, Eventos filtrados, Alerta consultada y Alertas filtradas.

Usa la pestaña Prevalencia

La pestaña Prevalencia solo aparece si tu búsqueda incluye un dominio.

En la pestaña Prevalencia, se muestra la prevalencia de los dominios asociados con tu búsqueda en tu empresa. Combina una lista de dominios de baja prevalencia con un gráfico interactivo. La pestaña solo aparece si tu búsqueda de UDM incluye un dominio.

Nota: La pestaña Prevalencia solo se muestra para los resultados de la búsqueda de UDM.

La lista de dominios de baja prevalencia incluye las siguientes columnas:

• Dominios de prevalencia baja: Muestra los nombres de dominio asociados con tus resultados de la búsqueda. Haz clic en arrow_upward para ordenar los dominios alfabéticamente (de la Z a la A) y en arrow_downward para ordenarlos alfabéticamente (de la A a la Z).

• Prevalencia ≤10: Muestra el recuento total de ocurrencias para cada dominio con una prevalencia de 10 o menos. Haz clic en arrow_upward para ordenar los recuentos numéricamente en orden descendente y en arrow_downward para el orden ascendente.

En el gráfico, mantén el puntero sobre un círculo para mostrar el dominio específico y restringir la búsqueda solo a los eventos asociados con ese dominio.

Usa la pestaña Mapa de calor de actividad

En la pestaña Mapa de calor de actividad, se muestran los datos de eventos en una cuadrícula de cronograma visual para destacar dónde se concentran más los eventos durante el período determinado. El eje Y muestra las fechas dentro del período de búsqueda, y el eje X muestra la hora del día en intervalos de una hora (de 00:00 a 23:00).

Nota: La pestaña Mapa de calor de actividad solo se muestra para los resultados de la búsqueda de UDM.

Una leyenda de gradiente de color indica el volumen de eventos en una hora específica, en la que los colores más claros indican menos eventos y los colores más oscuros indican una densidad más alta. También puedes ajustar el indicador de densidad para ver u ocultar los intervalos por hora ajustando el control deslizante horizontal. Haz clic en las flechas hacia arriba o hacia abajo del panel lateral para desplazarte por las fechas y ajustar el período específico.

Usa el panel Agregaciones para definir mejor los resultados de la búsqueda

En el panel Agregaciones, se resumen los valores de alta frecuencia, que puedes usar para definir mejor los resultados de la búsqueda.

Nota: El panel Aggregations se muestra para todos los tipos de resultados de la búsqueda.

El panel Agregaciones incluye dos listas contraíbles: Campos de UDM (que es una lista de campos de UDM coincidentes) y otra lista de campos que se ajusta al tipo de búsqueda (por ejemplo, Campos de registro para búsquedas de registros sin procesar, Campos de estadísticas, Campos de casos, etcétera). En el caso de las búsquedas de UDM, el panel Agregaciones contiene la lista Campos de UDM y la lista Campos agrupados.

Para fijar un campo en la parte superior de la lista Agregaciones, mantén el puntero sobre un campo y haz clic en el ícono keep Conservar.

Puedes buscar campos o valores de campo específicos con el campo search de búsqueda del panel.

En cada campo, se muestra el "recuento de coincidencias", es decir, la cantidad de registros que tienen el mismo valor para ese campo. El contenido de las listas se ordena de mayor a menor cantidad de coincidencias y en orden alfabético dentro de la misma cantidad de coincidencias. Puedes buscar campos en las listas y expandir un elemento de campo.

Para filtrar los resultados de la búsqueda con agregaciones, haz lo siguiente:

1. En el panel Agregaciones, selecciona un campo de una lista para mostrar los valores de la lista de ese campo.

2. Selecciona un valor de la lista y haz clic en more_vert Más.

3. Selecciona una opción de filtro:

   • Mostrar solo: La tabla adyacente correspondiente se actualiza para mostrar solo los registros que coinciden, y el filtro = "value" se muestra junto al botón Agregar filtro filter_list.
   • Excluir: La tabla adyacente correspondiente se actualiza con los registros coincidentes excluidos, y el filtro != "value" se muestra junto al botón Agregar filtro de filter_list.
   • Copiar: Copia el par campo-valor en el portapapeles.

   

   Figura 4. Ejemplo de filtrado de campos con el panel Agregaciones.

   

   Figura 5. Botón filter_list Agregar filtro con dos filtros existentes (uno que se muestra y otro en la lista +1 más).

4. Opcional: Si seleccionaste Mostrar solo o Filtrar en el paso anterior y deseas incorporar automáticamente el filtro en el editor de consultas y volver a ejecutar la búsqueda, haz clic en Aplicar a la búsqueda y ejecutar.

Usa campos agrupados en el panel Agregaciones de la pestaña Resultados

El panel Agregaciones para las búsquedas de UDM incluye la lista Campos agrupados. Los campos agrupados actúan como alias de categoría potentes que combinan campos de UDM relacionados sin que tengas que escribir cada uno por separado. Para obtener más información sobre los campos agrupados, consulta Busca campos agrupados.

Alias de campo agrupado	Campos de UDM asociados incluidos en el alias
domain	about.administrative_domain about.asset.network_domain network.dns.questions.name network.dns_domain principal.administrative_domain principal.asset.network_domain target.administrative_domain target.asset.hostname target.asset.network_domain target.hostname
email	intermediary.user.email_addresses network.email.from network.email.to principal.user.email_addresses security_result.about.user.email_addresses target.user.email_addresses
file_path	principal.file.full_path principal.process.file.full_path principal.process.parent_process.file.full_path target.file.full_path target.process.file.full_path target.process.parent_process.file.full_path
hash	about.file.md5 about.file.sha1 about.file.sha256 principal.process.file.md5 principal.process.file.sha1 principal.process.file.sha256 security_result.about.file.sha256 target.file.md5 target.file.sha1 target.file.sha256 target.process.file.md5 target.process.file.sha1 target.process.file.sha256
hostname	intermediary.hostname observer.hostname principal.asset.hostname principal.hostname src.asset.hostname src.hostname target.asset.hostname target.hostname
ip	intermediary.ip observer.ip principal.artifact.ip principal.asset.ip principal.ip src.artifact.ip src.asset.ip src.ip target.artifact.ip target.asset.ip target.ip
namespace	principal.namespace src.namespace target.namespace
process_id	principal.process.parent_process.pid principal.process.parent_process.product_specific_process_id principal.process.pid principal.process.product_specific_process_id target.process.parent_process.pid target.process.parent_process.product_specific_process_id target.process.pid target.process.product_specific_process_id
user	about.user.userid observer.user.userid principal.user.user_display_name principal.user.userid principal.user.windows_sid src.user.userid target.user.user_display_name target.user.userid target.user.windows_sid

Usa el panel Eventos

Usa el panel Eventos para ver, ordenar y administrar los eventos que coinciden con tu búsqueda de UDM.

Para obtener información sobre las funciones y herramientas compatibles con el panel Eventos, consulta Usa herramientas comunes para tablas. Entre las funciones admitidas, se incluyen administrar las columnas de la tabla que muestra la pestaña, descargar los resultados de la búsqueda y mucho más.

De forma predeterminada, después de ejecutar una búsqueda, la tabla Eventos muestra columnas clave (denominadas campos rápidos), por ejemplo, Estado del evento, Marca de tiempo, Tipo (udm.metadata.event_type), Resumen, Usuario (udm.principal.user.userid o target.user.userid), Nombre de host (udm.principal.hostname o target.hostname). Según el alcance de la consulta y la fuente de registro, la tabla también puede mostrar de forma dinámica campos rápidos relevantes, como Acción (udm.security_result.action).

Nota: En el caso de los eventos asociados con alertas, la columna Estado del evento muestra un chip de Alerta con un recuento cuando se aplican varias alertas.

Inspeccionar los detalles detallados de un solo evento (Visualizador de eventos y correlación de registros sin procesar)

• Para inspeccionar los detalles detallados de un solo evento, haz clic en la fila. Se abrirá el Visualizador de eventos.

  Para obtener más información, consulta Usa el visualizador de eventos para los resultados de UDM y RAW.

Pestaña Tabla dinámica: Crea una tabla dinámica

Puedes usar una tabla dinámica para realizar agrupaciones y resúmenes matemáticos multidimensionales en los resultados de la búsqueda.

Para abrir y configurar una tabla dinámica, haz lo siguiente:

1. Ejecuta una búsqueda de UDM.
2. En la pestaña Resultados, haz clic en la pestaña secundaria Pivot. Se abrirá el panel Configuración de tabla dinámica.

3. En Agrupar por, haz clic en Agregar campo para seleccionar hasta cinco campos de UDM para la agrupación de filas. Las opciones de transformación especial aparecen según el tipo de campo:

   • Campos de cadena: Opción para forzar el uso de minúsculas. Puedes mostrar los resultados con el uso de mayúsculas predeterminado o solo con minúsculas seleccionando Minúsculas en el menú.
   • Campos de nombre de host:
     • Dominio registrado: Muestra solo el nombre de dominio registrado (como google.com, nytimes.com o youtube.com).
     • Dominio de nivel N principal: Especifica qué nivel del dominio se debe mostrar. Por ejemplo, si usas un valor de 1, solo se muestra el dominio de nivel superior (como com, gov o edu). Si usas un valor de 3, se muestran los siguientes dos niveles de los nombres de dominio (como google.co.uk).
   • Campos de IP: Opción para agrupar por longitud del prefijo de CIDR en bits. Puedes especificar de 1 a 32 para las direcciones IPv4. Para las direcciones IPv6, puedes especificar valores de hasta 128.
   • Campos de marca de tiempo: Opción para agrupar por resolución de tiempo (milisegundos, segundos, minutos, horas, días).

4. En Valores, especifica un valor para tu tabla dinámica de la lista de campos de tus resultados. Puedes especificar hasta cinco valores.

5. Para cada campo que especifiques en Valores, debes seleccionar una de las siguientes opciones de Resumir por:

   • Avg (promedio)
   • Recuento
   • Recuento de valores distintos
   • Max
   • Min
   • Suma
   • Stddev (desviación estándar)

   Las opciones de Resumir no son universalmente compatibles con los campos de Agrupar por. Por ejemplo, las opciones Suma, Promedio, Desviación estándar, Mínimo y Máximo solo se pueden aplicar a campos numéricos. Si intentas asociar una opción de Resumir incompatible con un campo Agrupar por, recibirás un mensaje de error.

   Especifica un valor de Cantidad de eventos para que se devuelva la cantidad de eventos identificados para esta búsqueda y tabla dinámica en particular.

6. En Ordenar por, especifica uno o más campos de UDM y selecciona una o más clasificaciones con la opción Ascendente o Descendente.

7. Haz clic en Aplicar cuando esté todo listo. Los resultados se muestran en el panel Pivot.

8. Opcional: Para descargar y guardar el contenido de la tabla dinámica, consulta Descarga los resultados de la búsqueda de una tabla.

Usa el panel Registros sin procesar

Usa el panel Registros sin procesar para ver, ordenar y administrar los registros que coinciden con tu búsqueda, que evalúa la telemetría de registros sin procesar ni analizar. El objetivo principal del diagnóstico es supervisar el estado de la transferencia y el análisis, es decir, supervisar cuántos registros se analizaron en comparación con cuántos registros no se analizaron y con los desconocidos (lo que significa que se detectaron uno o más registros en un momento determinado, pero la cantidad no está determinada).

Para obtener información sobre las funciones y herramientas compatibles con esta pestaña, consulta Usa herramientas comunes para las tablas. Entre las funciones admitidas, se incluyen administrar las columnas de la tabla que muestra la pestaña, descargar los resultados de la búsqueda y mucho más.

Inspeccionar los detalles detallados de un solo registro sin procesar (Visualizador de eventos y correlación de registros sin procesar)

• Para inspeccionar los detalles detallados de un solo registro sin procesar, haz clic en la fila. Se abrirá el Visualizador de eventos.

  Para obtener más información, consulta Usa el visualizador de eventos para los resultados de UDM y RAW.

Usa el panel Estadísticas

Usa el panel Estadísticas para ver, ordenar y administrar las estadísticas que coincidan con tu búsqueda.

El panel Estadísticas solo admite un selector de columnas de en el que puedes agregar o quitar columnas.

Para obtener información sobre las funciones y herramientas compatibles con esta pestaña, consulta Usa herramientas comunes para las tablas. Entre las funciones admitidas, se incluye la descarga de resultados de la búsqueda y mucho más.

Usa el panel Uniones

Usa el panel Uniones para ver, ordenar y administrar los elementos que coinciden con tu búsqueda.

Para obtener información sobre las funciones y herramientas compatibles con esta pestaña, consulta Usa herramientas comunes para las tablas. Entre las funciones admitidas, se incluyen administrar las columnas de la tabla que muestra la pestaña, descargar los resultados de la búsqueda y mucho más.

Cómo usar el panel Casos

Usa el panel Casos para ver, ordenar y administrar los casos que coincidan con tu búsqueda.

Para obtener información sobre las funciones y herramientas compatibles con esta pestaña, consulta Usa herramientas comunes para las tablas. Entre las funciones admitidas, se incluyen administrar las columnas de la tabla que muestra la pestaña, descargar los resultados de la búsqueda y mucho más.

Usa el panel Historial de casos

Usa el panel Historial de casos para ver, ordenar y administrar los historiales de casos que coincidan con tu búsqueda.

Para obtener información sobre las funciones y herramientas compatibles con esta pestaña, consulta Usa herramientas comunes para las tablas. Entre las funciones admitidas, se incluyen administrar las columnas de la tabla que muestra la pestaña, descargar los resultados de la búsqueda y mucho más.

Usa los paneles Timed Data y Timeless Data

Usa los paneles Datos con marca de tiempo y Datos sin marca de tiempo para ver, ordenar y administrar los resultados de las búsquedas de ECG. En el panel Datos con marca de tiempo, se muestran los resultados de las entidades que tienen un período definido, es decir, que tienen un valor para metadata.interval.end_time durante la transferencia. En el panel Datos atemporales, se muestran los resultados de las entidades que no tienen un período definido, es decir, que no tienen un valor para metadata.interval.end_time.

Importante: La base de datos de ECG almacena las entidades con marca de tiempo y sin marca de tiempo por separado. Cuando ejecutas una búsqueda de ECG, Google SecOps crea una unión de los almacenes de datos temporales y atemporales, y devuelve los resultados principales de cada uno, hasta la cantidad máxima de resultados configurada. Los datos de las entidades con marca de tiempo se ordenan según la marca de tiempo más reciente, pero no se puede conocer el orden de los datos de las entidades sin marca de tiempo. Por lo tanto, es posible que la interfaz muestre solo entidades sin tiempo, solo entidades con tiempo o una combinación diferente de ellas cada vez que se ejecuta la consulta.

Usa el visualizador de eventos para obtener resultados de UDM y RAW

• Para inspeccionar los detalles detallados de un solo evento o registro sin procesar, haz clic en una fila de la tabla Eventos o Registros sin procesar. Se abrirá el Visualizador de eventos.

El Visualizador de eventos incluye las siguientes pestañas:

• Campos de eventos
• Registro sin procesar
• Alertas: Se muestran solo para los resultados de UDM de la tabla Eventos.
• Entidades

Usa la pestaña Event Fields

De forma predeterminada, la pestaña Campos de eventos muestra los campos de eventos de UDM en una estructura de árbol jerárquica, que se etiqueta como Seleccionados.

Usa la pestaña Campos de eventos para hacer lo siguiente:

• Consulta la definición de un campo. Mantén el puntero sobre el nombre del campo para ver su definición.
• Fija un campo para acceder a él rápidamente. En la lista Seleccionados, elige un campo y haz clic en mantener fijado. Luego, el campo se muestra en la lista Fijados. Los campos permanecen en la lista Seleccionados, y su jerarquía en la Lista fijada se muestra en notación delimitada por puntos con el prefijo udm (por ejemplo, udm.metadata.event_type).
• Agrega columnas o copia varios campos. Selecciona la casilla de verificación junto a un nodo o campo y, luego, elige Agregar a las columnas o Copiar.

• Realiza las siguientes acciones:

  • Filtros: Aplica los siguientes filtros a los elementos seleccionados (check_box) en la lista Seleccionados:
    • Campos
      • Mostrar campos no enriquecidos
      • Mostrar campos enriquecidos
      • Mostrar campos adicionales
      • Mostrar campos extraídos
    • Fuentes de registro de enriquecimiento: Las opciones disponibles dependen del evento.
  • Copiar: Copia los campos y valores de UDM seleccionados en el portapapeles del sistema.
  • Agregar a las columnas: Agrega el campo de UDM como una columna.

Cada campo de UDM se etiqueta con un ícono que indica si el campo contiene datos enriquecidos o no enriquecidos. Las etiquetas de los íconos son las siguientes:

• U: Los campos no enriquecidos contienen valores que se completan durante el proceso de normalización con datos del registro sin procesar original.

• E: Los campos enriquecidos contienen valores que Google SecOps propaga para proporcionar contexto adicional sobre los artefactos en el entorno de un cliente. Para obtener más información, consulta Enriquece los datos de eventos y entidades con Google SecOps.

  La visualización de cada campo enriquecido puede mostrar todas las fuentes asociadas. Esta información es útil para la validación y la solución de problemas, y puede ser necesaria para fines de auditoría y cumplimiento. También puedes filtrar los campos según su fuente de enriquecimiento.

Figura 6. Campos de UDM enriquecidos y no enriquecidos en la pestaña Campos de eventos del Visualizador de eventos, que muestran las fuentes de los campos enriquecidos.

Figura 7. Usa el filtro de la pestaña Campos de eventos para mostrar u ocultar campos según varios atributos.

Usa la pestaña Registro sin procesar

En la pestaña Registro sin procesar, se muestra el registro sin procesar original en cualquiera de los siguientes formatos:

• Sin procesar
• JSON
• XML
• CSV
• Hexadecimal/ASCII

Usa la pestaña Alertas

En la pestaña Alertas, se muestran las alertas asociadas con el evento.

La pestaña Alertas solo se muestra para los resultados de UDM de la tabla Eventos.

Usa la pestaña Entidades

En la pestaña Entidades, se muestran las entidades asociadas con el evento.

Haz clic en una entidad para mostrar el cuadro de diálogo Contexto de la entidad, que puede incluir los siguientes elementos:

• Nombre del recurso
• Primera vez que se vio
• Última vez que se vio
• Direcciones IP
• Direcciones MAC
• Cantidad de alertas
• Recuento de la mayor cantidad de alertas por regla
• Gráfico de barras de alertas a lo largo del tiempo
• Vínculo Abrir IOC y alertas
• Vínculo Ver en la pestaña Alertas

Consulta y administra la información en la pestaña Alertas y detecciones

Usa la pestaña Alertas y detecciones para lo siguiente:

• Búsqueda de amenazas en todas las ejecuciones de reglas
• Comparación de activadores de alertas prácticas con precursores de comportamiento de bajo ruido
• Delimita los límites de los incidentes en una vista consolidada

En la pestaña Alertas y detecciones, se muestran las alertas y las detecciones que coinciden con tus criterios de búsqueda activos. Si combinas las alertas y las detecciones en una sola pestaña, puedes inspeccionar las alertas de gravedad alta junto con las coincidencias de reglas de comportamiento subyacentes para descubrir precursores de bajo ruido que no cruzaron el umbral de alerta de forma independiente.

Las alertas son eventos de UDM y telemetría de conectores de terceros etiquetados con umbrales de alerta o notificaciones de gravedad alta. El recuento de Alertas muestra la telemetría de registros de UDM que activó una regla de alerta (alert_state = "ALERTING"), junto con las notificaciones de alta prioridad transferidas desde conectores de seguridad de terceros (como los webhooks de CrowdStrike o SOAR).

Las detecciones son todos los resultados de la ejecución de reglas de alerta (ALERTING) y sin alerta (NOT_ALERTING) que generan las reglas de YARA-L 2.0 en tu entorno. En la pestaña, se muestran los resultados completos de la ejecución de reglas que genera tu motor de detección de YARA-L 2.0 en las coincidencias de reglas que generan alertas y las que no. Cada alerta generada por una regla también es una detección (ALERTING), pero el recuento de Detecciones también incluye todas las coincidencias de reglas informativas, en segundo plano o que no generan alertas (NOT_ALERTING).

El recuento en el encabezado de la pestaña categoriza las coincidencias de ejecución de reglas por estado de alerta. Por ejemplo, si el encabezado de la pestaña es Alertas (43) y Detección (0), significa que hay 43 coincidencias en las que se ejecutaron alerting_rule = true y cero ejecuciones de reglas sin alertas (NOT_ALERTING).

La pestaña Alertas y detecciones incluye los siguientes paneles:

• Gráfico Tendencia a lo largo del tiempo
• Panel Agregaciones
• Panel Detecciones

Sugerencia: Haz clic en Opciones de vista para ocultar o mostrar el gráfico y el panel Agregaciones.

Usa el gráfico Tendencia en el tiempo

La pestaña Tendencia a lo largo del tiempo de la pestaña Alertas y detecciones incluye un gráfico (un histograma) del volumen de detecciones a lo largo del tiempo. El ancho de cada barra vertical se ajusta de forma dinámica según la ventana de búsqueda general (por ejemplo, cada barra puede representar 10 minutos para una ventana de búsqueda de 24 horas).

En el gráfico, se agrupan todas las coincidencias de ejecución de reglas a lo largo del tiempo en una sola serie agregada etiquetada como Detecciones.

Nota: El encabezado de la pestaña muestra los valores de recuento y divide los hallazgos por estado de alerta (por ejemplo, Alertas (43) y Detección (0)), mientras que el gráfico Tendencia a lo largo del tiempo agrega todas las ocurrencias de detección como barras de Detecciones.

El gráfico admite lo siguiente:

• Ajuste del período: Arrastra los controles deslizantes de la línea de tiempo para reducir el período visible de forma instantánea. La cuadrícula de resultados y las agregaciones se actualizan sin volver a ejecutar la consulta en el backend.
• Consulta las agregaciones y detecciones de la ventana de tiempo de una sola barra: Haz clic en una barra para limitar el enfoque del gráfico, la pestaña Agregaciones y la pestaña Detecciones a la ventana de tiempo de esa barra. Esta acción crea un filtro, que se muestra junto al botón Agregar filtro de filter_list. Borra el filtro para volver a mostrar todos los resultados.
• Ventana emergente de detalles: Si haces clic en una de las barras, se abrirá un diálogo con la hora y los valores de Detecciones consultadas y Detecciones filtradas.

Usa el panel Agregaciones para definir mejor las detecciones

El contenido del panel Agregaciones en la pestaña Alertas y detecciones resume los valores de los resultados de detección de alta frecuencia, que puedes usar para definir mejor los resultados de la búsqueda.

El panel Agregaciones incluye tres listas contraíbles: Campos de detección, Campos de UDM (que es una lista de campos de UDM coincidentes) y Campos de entidad.

En cada campo, se muestra el "recuento de coincidencias", es decir, la cantidad de detecciones de alertas que tienen el mismo valor para ese campo. El contenido de las listas se ordena de mayor a menor cantidad de coincidencias y en orden alfabético dentro de la misma cantidad de coincidencias. Puedes buscar campos en las listas y expandir un elemento de campo.

Puedes fijar un campo en la parte superior de la lista Agregaciones manteniendo el puntero sobre un campo y haciendo clic en el ícono keep Conservar.

Busca resultados de detección de alertas en el panel Agregaciones

Puedes buscar campos o valores de campo específicos con el campo de búsqueda search del panel Agregaciones. Esto puede ayudarte a enfocarte en las alertas que son más importantes para ti.

Los siguientes son atributos clave de las alertas para filtrarlas en el panel Agregaciones:

• Caso
• Nombre
• Prioridad
• Gravedad
• Estado
• Veredicto

Filtra los resultados de la detección de alertas en el panel Agregaciones

Para filtrar los resultados de la detección de alertas con agregaciones, haz lo siguiente:

1. En el panel Agregaciones, selecciona un campo de una lista para mostrar una lista de valores para ese campo.

2. Selecciona un valor de esa lista y haz clic en more_vert Más.

3. Selecciona una opción de filtro:

   • Mostrar solo: La tabla Detecciones se actualiza para mostrar solo las alertas que coinciden, y el filtro = "value" se muestra junto al botón Agregar filtro de filter_list.
   • Filtrar: La tabla Detecciones se actualiza con las alertas coincidentes filtradas, y el filtro != "value" se muestra junto al botón Agregar filtro de filter_list.
   • Mayor que (solo para campos de números enteros): La tabla Detecciones se actualiza para mostrar alertas con un valor mayor que este, y el filtro > "value" se muestra junto al botón filter_list Agregar filtro.
   • Mayor o igual que (solo para campos de números enteros): La tabla Detecciones se actualiza para mostrar alertas con un valor mayor o igual que este, y el filtro >= "value" se muestra junto al botón Agregar filtro de filter_list.
   • Menor que (solo para campos de números enteros): La tabla Detecciones se actualiza para mostrar alertas con un valor menor que este, y el filtro < "value" se muestra junto al botón filter_list Agregar filtro.
   • Menor o igual que (solo para campos de números enteros): La tabla Detecciones se actualiza para mostrar alertas con un valor menor o igual que este, y el filtro <= "value" se muestra junto al botón Agregar filtro filter_list.
   • Copiar: Copia el par campo-valor en el portapapeles.

• Para borrar un filtro y actualizar los resultados de la detección de alertas, borra el filtro que se muestra junto al botón Agregar filtro filter_list.

Usa el panel Detecciones

Usa el panel Detecciones para ver, ordenar y administrar los elementos que coinciden con tu búsqueda.

Para obtener información sobre las funciones y herramientas compatibles con esta pestaña, consulta Usa herramientas comunes para las tablas. Entre las funciones admitidas, se incluyen administrar las columnas de la tabla que muestra la pestaña, descargar los resultados de la búsqueda y mucho más.

Inspeccionar los detalles detallados de una sola alerta (Visualizador de alertas)

• Para inspeccionar los detalles detallados de una sola alerta, haz clic en una fila de la tabla Detecciones. Se abrirá el Visor de alertas.

El Visualizador de alertas incluye las siguientes pestañas:

• Campos de detección
• Detalles
• Variables

• Entidades
  
  

• Para ir a otra página de la consola de Google SecOps con detalles de la alerta, haz clic en Ver detalles.

Usa la pestaña Detection Fields

De forma predeterminada, la pestaña Campos de detección muestra los campos de detección en una estructura de árbol jerárquica, que se etiqueta como Seleccionados.

Usa la pestaña Campos de detección para hacer lo siguiente:

• Consulta la definición de un campo. Mantén el puntero sobre el nombre del campo para ver su definición.
• Fija un campo para acceder a él rápidamente. En la lista Seleccionados, elige un campo y haz clic en mantener fijado. Luego, el campo se muestra en la lista Fijados. Los campos permanecen en la lista Seleccionados, y su jerarquía en la Lista fijada se muestra en notación delimitada por puntos con el prefijo collection (por ejemplo, collection.created_time).
• Agrega columnas o copia varios campos. Selecciona la casilla de verificación junto a un nodo o campo y, luego, elige Agregar a las columnas o Copiar.

• Realiza las siguientes acciones:

  • Aplica filtros a la lista Seleccionados.
  • Agregar a las columnas: Agrega el campo como una columna.
  • Copiar: Copia los campos y valores seleccionados en el portapapeles del sistema.

Usa la pestaña Detalles

En la pestaña Detalles, se muestran los detalles de la alerta. El conjunto de campos de detalles varía según la alerta específica.

Ejemplos de campos de detalles:

• Nombre (siempre Alerta)
• Tipo
• Gravedad
• Puntuación de riesgo
• Estado
• Prioridad
• Detectadas
• Período de detección
• Creado
• Regla
• Conjunto de reglas
• Descripción
• Etiquetas

Usa la pestaña Variables

En la pestaña Variables, se muestran el campo, el tipo y el valor de cada variable asociada con la alerta.

Usa la pestaña Entidades

La pestaña Entidades solo se muestra cuando hay una entidad asociada con la alerta.

En la pestaña Entidades, se muestran las entidades asociadas con la alerta.

Haz clic en una entidad para mostrar el cuadro de diálogo Contexto de la entidad, que puede incluir los siguientes elementos:

• Nombre del recurso
• Primera vez que se vio
• Última vez que se vio
• Direcciones IP
• Direcciones MAC
• Cantidad de alertas
• Recuento de la mayor cantidad de alertas por regla
• Gráfico de barras de alertas a lo largo del tiempo
• Vínculo Abrir IOC y alertas
• Vínculo Ver en la pestaña Alertas

Visualiza y administra información en la pestaña Resumen

Usa la pestaña Descripción general para hacer lo siguiente:

• Verifica el historial de la entidad (Primera vez que se vio, Última vez que se vio, Direcciones MAC)
• Verificar si los indicadores observados se superponen con casos o alertas de operaciones de seguridad activas

En la pestaña Descripción general, se muestra el gráfico de contexto de entidad (ECG) consolidado, los detalles del recurso o del usuario, y la descripción general de la investigación de los indicadores de compromiso (IOC) o las entidades que coinciden con tu ventana de búsqueda activa. La información que se presenta varía según el tipo de información.

En la pestaña Descripción general, se muestra la información de la entidad en uno de los siguientes tipos de información predefinidos:

• Detalles del recurso
• Detalles del dominio
• Detalles del archivo
• Detalles de la IP
• Detalles del usuario

Consulta los detalles del recurso en la pestaña Descripción general

Cuando la consulta incluye una condición que devuelve un recurso específico, por ejemplo, principal.hostname="laptop-will" o principal.ip="10.0.0.76", la pestaña Descripción general muestra la Vista de recursos con información en los siguientes paneles:

• Resumen de la búsqueda: Muestra la siguiente información:
  • Son los detalles sobre la entidad, incluidas la dirección IP y la dirección MAC asociadas con el recurso durante el período de búsqueda. La dirección IP y la dirección MAC también se pueden usar para identificar una entidad y se puede hacer clic en ellas para mostrar información adicional en el visor de entidades. También muestra la primera vez que se vio el recurso en tu empresa y cuándo se vio por última vez (más recientemente). Puedes hacer clic en cualquiera de las marcas de tiempo (la primera o la última) para ejecutar una búsqueda nueva con esa hora.
  • Detalles sobre las alertas, incluido un gráfico que muestra la cantidad de alertas que involucraron a la entidad dentro del período de búsqueda. En el panel, también se muestra un subconjunto de reglas con la mayor cantidad de alertas.
  • Haz clic en Abrir alertas e IOC para ver todas las alertas generadas durante el mismo período de búsqueda.
  • Haz clic en Ver en la pestaña Alertas para cambiar a la pestaña Alertas y detecciones en esta página y comenzar una nueva búsqueda en la entidad seleccionada.
  • Haz clic en una de las barras del gráfico para cambiar a la pestaña Alertas y detecciones en esta página y comenzar una nueva búsqueda en la entidad seleccionada, con el período de la barra en la que se hizo clic.
  • Haz clic en el vínculo Ver más para abrir la vista Campos de entidad y mostrar todos los campos de entidad asociados con el recurso. Para copiar un campo de entidad en el portapapeles, haz clic en la casilla de verificación junto al campo de entidad, haz clic en Ver acciones y, luego, en Copiar entidad. Haz clic en la casilla de verificación de la parte superior para seleccionar todas las entidades.
• IOC relevantes: Muestra los IOC asociados con el recurso. Los IOC con una gravedad más alta se muestran primero. Si haces clic en el nombre del IOC, se abrirá el visor de entidades a la derecha.
• Entidades asociadas: Muestra otras entidades con las que se relaciona este activo, como los usuarios que accedieron a él. En el panel, se muestra el tipo de entidad, cuándo se vio por primera vez en el entorno y cuándo se vio por última vez (más recientemente). También muestra los espacios de nombres asociados con un recurso. Haz clic en una entidad para abrir el panel Contexto de la entidad. Haz clic en Mostrar todo el tiempo para mostrar las entidades asociadas durante todo el período disponible, en lugar del rango especificado en la búsqueda de UDM.
• Contexto de la entidad: Muestra detalles sobre la entidad que seleccionaste en el panel Entidades asociadas. Este panel muestra información diferente según el tipo de entidad que hayas seleccionado en el panel Entidades asociadas (por ejemplo, usuario o dominio).

Consulta los detalles del dominio en la pestaña Descripción general

Cuando la consulta incluye una condición que especifica un dominio determinado, por ejemplo, target.hostname="example.com", la pestaña Descripción general muestra los detalles del Dominio con información en los siguientes paneles:

• Resumen de la búsqueda: Muestra la siguiente información:
  • Detalles sobre el dominio, incluida la información de WHOIS asociada al dominio registrado, la primera vez que se vio en tu empresa y la última vez (más reciente) que se vio. Haz clic en Contexto de VT para ver información sobre el dominio de VirusTotal.
  • Detalles sobre las alertas, incluido un gráfico que muestra la cantidad de alertas que involucraron a la entidad dentro del período de búsqueda. En el panel, también se muestra un subconjunto de reglas con la mayor cantidad de alertas.
  • Haz clic en Abrir alertas e IOC para ver todas las alertas generadas durante el mismo período de búsqueda.
  • Haz clic en Ver en la pestaña Alertas para cambiar a la pestaña Alertas y detecciones en esta página y comenzar una nueva búsqueda en la entidad seleccionada.
  • Haz clic en una de las barras del gráfico para cambiar a la pestaña Alertas y detecciones en esta página y comenzar una nueva búsqueda en la entidad seleccionada, con el período de la barra en la que se hizo clic.
  • Haz clic en el vínculo Ver más para abrir la vista Campos de entidad y mostrar todos los campos de entidad asociados con el dominio. Para copiar un campo de entidad en el portapapeles, haz clic en la casilla de verificación junto al campo de entidad, haz clic en Ver acciones y, luego, en Copiar entidad. Haz clic en la casilla de verificación de la parte superior para seleccionar todas las entidades.
• IP resueltas: Muestra todas las direcciones IP resueltas que se vieron en tu empresa para el nombre de dominio completamente calificado (FQDN). Por ejemplo, si buscas target.hostname="test.altostrat.com", los resultados de la búsqueda podrían mostrar dos direcciones IP resueltas (198.51.100.81 y 203.0.113.81).
• Subdominios y dominios hermanos: Muestra todos los subdominios asociados que se vieron en tu empresa para un FQDN determinado. Muchos adversarios usan el mismo dominio y subdominio para sus ataques. Por ejemplo, si buscas target.hostname="sandbox.altostrat.com", este panel muestra dos subdominios, test.sandbox.altostrat.com y staging.sandbox.altostrat.com.
• Prevalencia de los recursos: Muestra la cantidad de recursos de tu empresa que se conectaron al dominio durante todo el período de los datos almacenados en tu cuenta de Google Security Operations. Cada barra del gráfico representa la cantidad de recursos únicos de tu empresa que se conectaron al dominio en un día UTC. Coloca el cursor sobre una barra para mostrar las entidades relacionadas en el día UTC que representa la barra. Haz clic en el nombre de la entidad para ver su resumen y descripción general en el panel de contexto de la entidad que se muestra a la derecha. Haz clic en Ver eventos para ver los eventos relacionados con la entidad seleccionada en la pestaña de eventos de búsqueda.
• Entidades asociadas: Muestra otras entidades con las que se relaciona este dominio, como los recursos que se comunicaron con él. La lista incluye el tipo de entidad, cuándo se vio por primera vez en tu empresa y cuándo se vio por última vez (más recientemente). Haz clic en una entidad para abrir el panel Contexto de la entidad.
• Contexto de la entidad: Muestra detalles sobre la entidad que seleccionaste en el panel Entidades asociadas. En este panel, se muestra información diferente según el tipo de entidad que hayas seleccionado en el panel Entidades asociadas (por ejemplo, dirección IP o dominio).

Consulta los detalles del archivo

Cuando la consulta incluye una condición que devuelve un solo archivo, por ejemplo, principal.process.file.md5="a00000a75f2a35130aa7a7aaa09aaa7a", la pestaña Descripción general muestra los detalles del Archivo con información en los siguientes paneles:

• Resumen de la búsqueda: Muestra la siguiente información:
  • Detalles sobre el archivo, incluidos los valores de hash, el tamaño del archivo, la primera vez que se vio en tu empresa y la última vez (más reciente) que se vio. Haz clic en Contexto de VT para ver información sobre el archivo de VirusTotal.
  • Detalles sobre las alertas, incluido un gráfico que muestra la cantidad de alertas que involucraron a la entidad dentro del período de búsqueda. En el panel, también se muestra un subconjunto de reglas con la mayor cantidad de alertas.
  • Haz clic en Abrir alertas e IOC para ver todas las alertas generadas durante el mismo período de búsqueda.
  • Haz clic en Ver en la pestaña Alertas para cambiar a la pestaña Alertas y detecciones en esta página y comenzar una nueva búsqueda en la entidad seleccionada.
  • Haz clic en una de las barras del gráfico para cambiar a la pestaña Alertas y detecciones en esta página y comenzar una nueva búsqueda en la entidad seleccionada, con el período de la barra en la que se hizo clic.
  • Haz clic en el vínculo Ver más para abrir la vista Campos de entidad y mostrar todos los campos de entidad asociados con el archivo. Para copiar un campo de entidad en el portapapeles, haz clic en la casilla de verificación junto al campo de entidad, haz clic en Ver acciones y, luego, en Copiar entidad. Haz clic en la casilla de verificación de la parte superior para seleccionar todas las entidades.
• IOC relevantes: Muestra los IOC asociados con el archivo. Los IOC con una gravedad más alta se muestran primero. Si haces clic en el nombre del IOC, se abrirá el visor de entidades a la derecha.
• Prevalencia de recursos: Muestra la cantidad de recursos de tu empresa asociados con el archivo durante todo el período de los datos almacenados en tu cuenta de Google SecOps.
• Entidades asociadas: Muestra otras entidades con las que se relaciona este archivo, como un recurso en el que se ejecutó este archivo o los usuarios que accedieron a él. La lista incluye el tipo de entidad, cuándo se vio por primera vez en tu empresa y cuándo se vio por última vez (más recientemente). Haz clic en una entidad para abrir el panel Contexto de la entidad.
• Propiedades y metadatos de VirusTotal: Muestra información sobre el archivo de la base de datos de VirusTotal. Haz clic en Ver más para abrir un diálogo de VirusTotal y mostrar información adicional sobre el archivo.
• Entidades asociadas: Muestra información diferente según el tipo de entidad que seleccionaste en el panel Entidades asociadas (por ejemplo, usuario o activo).
• Contexto de la entidad: Muestra detalles sobre la entidad que seleccionaste en el panel Entidades asociadas. Este panel muestra información diferente según el tipo de entidad que hayas seleccionado en el panel Entidades asociadas (por ejemplo, usuario o recurso).

Consulta los detalles de la IP en la pestaña Descripción general

Cuando la consulta incluye una condición que devuelve una dirección IP externa específica, por ejemplo, target.ip="203.0.113.254", la pestaña Descripción general muestra los detalles de la IP con información en los siguientes paneles:

• Resumen de la búsqueda: Muestra la siguiente información:
  • Son detalles sobre la dirección IP, incluida la primera vez que se vio en tu empresa y la última vez (más reciente) que se vio. Haz clic en Contexto de VT para ver la información disponible sobre esta dirección IP en VirusTotal.
  • Detalles sobre las alertas, incluido un gráfico que muestra la cantidad de alertas que involucraron a la entidad dentro del período de búsqueda. En el panel, también se muestra un subconjunto de reglas con la mayor cantidad de alertas.
  • Haz clic en Abrir alertas e IOC para ver todas las alertas generadas durante el mismo período de búsqueda.
  • Haz clic en Ver en la pestaña Alertas para cambiar a la pestaña Alertas y detecciones en esta página y comenzar una nueva búsqueda en la entidad seleccionada.
  • Haz clic en una de las barras del gráfico para cambiar a la pestaña Alertas y detecciones en esta página y comenzar una nueva búsqueda en la entidad seleccionada, con el período de la barra en la que se hizo clic.
  • Haz clic en el vínculo Ver más para abrir la vista Campos de entidad y mostrar todos los campos de entidad asociados con la dirección IP. Para copiar un campo de entidad en el portapapeles, haz clic en la casilla de verificación junto al campo de entidad, haz clic en Ver acciones y, luego, en Copiar entidad. Haz clic en la casilla de verificación de la parte superior para seleccionar todas las entidades.
• IOC relevantes: Muestra los IOC asociados con la dirección IP. Los IOC con una gravedad más alta se muestran primero. Si haces clic en el nombre del IOC, se abrirá el visor de entidades a la derecha.
• Prevalencia de los recursos: Muestra la cantidad de recursos de tu empresa que se conectaron a la dirección IP durante el período especificado en la búsqueda de UDM.
• Entidades asociadas: Muestra otras entidades con las que se relaciona esta dirección IP, como los dominios en los que está registrada. La lista incluye el tipo de entidad, cuándo se vio por primera vez en tu empresa y cuándo se vio por última vez (más recientemente). Haz clic en una entidad para abrir el panel Contexto de la entidad.
• Contexto de la entidad: Muestra detalles sobre la entidad que seleccionaste en el panel Entidades asociadas. Este panel muestra información diferente según el tipo de entidad que hayas seleccionado en el panel Entidades asociadas (por ejemplo, dominio o recurso). Si se muestra el vínculo, haz clic en VT Context para ver información sobre la entidad de VirusTotal.

Consulta los detalles del usuario en la pestaña Resumen

Cuando la consulta incluye una condición que devuelve un usuario específico, por ejemplo, principal.user.userid="alice", la pestaña Descripción general muestra los detalles del Usuario con información en los siguientes paneles:

• Resumen de la búsqueda: Muestra la siguiente información:
  • Detalles sobre la entidad, incluidos el nombre completo, la primera vez que se vio en tu empresa y la última vez (más reciente) que se vio, el cargo y la dirección de correo electrónico.
  • Detalles sobre las alertas, incluido un gráfico que muestra la cantidad de alertas que involucraron a la entidad dentro del período de búsqueda. En el panel, también se muestra un subconjunto de reglas con la mayor cantidad de alertas.
  • Haz clic en Abrir alertas e IOC para ver todas las alertas generadas durante el mismo período de búsqueda.
  • Haz clic en Ver en la pestaña Alertas para cambiar a la pestaña Alertas y detecciones en esta página y comenzar una nueva búsqueda en la entidad seleccionada.
  • Haz clic en una de las barras del gráfico para cambiar a la pestaña Alertas y detecciones en esta página y comenzar una nueva búsqueda en la entidad seleccionada, con el período de la barra en la que se hizo clic.
  • Haz clic en el vínculo Ver más para abrir la vista Campos de entidad y mostrar todos los campos de entidad asociados con el usuario. Para copiar un campo de entidad en el portapapeles, haz clic en la casilla de verificación junto al campo de entidad, haz clic en Ver acciones y, luego, en Copiar entidad. Haz clic en la casilla de verificación de la parte superior para seleccionar todas las entidades.
• Entidades asociadas: Muestra las entidades con las que se relaciona este usuario, como los dominios con los que se comunicó o los recursos a los que accedió. La lista incluye el tipo de entidad, cuándo se vio por primera vez en tu empresa y cuándo se vio por última vez (más recientemente). Haz clic en una entidad para abrir el panel Contexto de la entidad.
• Contexto de la entidad: Muestra detalles sobre la entidad que seleccionas en el panel Entidades asociadas. La información de este panel varía según el tipo de entidad (por ejemplo, recurso o dominio).

Consulta y administra la información en la pestaña Visualizar

Usa la pestaña Visualizar para convertir los datos de los resultados de tu búsqueda de STATS en un gráfico o una tabla.

Usa herramientas comunes para las tablas

En la página Búsqueda de SIEM, la mayoría de los paneles que contienen una sola tabla admiten las mismas funciones y herramientas comunes.

En esta sección, se describen las siguientes funciones y herramientas comunes:

• Cuadro de búsqueda. Usa el cuadro de búsqueda para encontrar resultados que coincidan en la tabla adyacente.
• Administra las columnas de la tabla y comparte conjuntos de columnas (Administrador de columnas).
• Botón Ajustar texto - No ajustar texto. Es útil ajustar el texto para ver cadenas largas completas en una columna.
• Descarga los resultados de la búsqueda de una tabla.
• La herramienta Filas por página en la parte inferior de la tabla Puedes usar esta herramienta para mejorar la estabilidad y el rendimiento del navegador cuando se carga una gran cantidad de registros de resultados (filas). Google SecOps proporciona resultados de la búsqueda paginados. Usa la lista Filas por página, en la tabla Eventos, para seleccionar la cantidad de filas que se mostrarán por página (de 10 a 1,000 eventos).

Administra las columnas de la tabla y comparte conjuntos de columnas (Administrador de columnas)

Para usar una vista coherente cuando analices datos de eventos, puedes crear, guardar y compartir conjuntos de columnas personalizadas para las siguientes tablas en la página Búsqueda de SIEM:

• En el panel Resultados, para las siguientes tablas: Eventos, Registros sin procesar, Uniones
• En la pestaña Alertas y detecciones, en la tabla Detecciones.

Para usar esta funcionalidad, tu cuenta de usuario o rol de Identity and Access Management debe tener los siguientes cinco permisos:

• chronicle.googleapis.com/savedColumnSets.create
• chronicle.googleapis.com/savedColumnSets.update
• chronicle.googleapis.com/savedColumnSets.delete
• chronicle.googleapis.com/savedColumnSets.list
• chronicle.googleapis.com/savedColumnSets.get

Nota: La pestaña Estadísticas solo admite un selector de columnas en el que solo puedes agregar o quitar columnas. La pestaña Estadísticas no admite la funcionalidad Administrador de columnas.

Crea un conjunto de columnas

Los pasos para crear un conjunto de columnas varían un poco según la tabla con la que estés trabajando.

Para crear un conjunto de columnas para la tabla Eventos, Registros sin procesar o Uniones, haz lo siguiente:

1. Haz clic en Columnas para abrir el Administrador de columnas.
2. Haz clic en el ícono filter_alt Filtro para especificar si deseas mostrar las columnas no aplicables.
3. Haz clic en el botón de activación Mostrar seleccionadas para mostrar solo las columnas seleccionadas en la pestaña Columnas de eventos.
4. En la pestaña Columnas de eventos, agrega o quita columnas de tu conjunto de columnas. Puedes explorar o buscar campos en secciones contraíbles (que varían según el tipo de resultado de la búsqueda), por ejemplo, Campos rápidos (los campos más comunes por tipo de datos), Campos agrupados, Todos los campos de eventos y Todos los campos de entidades. Activa o desactiva las casillas de verificación para mostrar u ocultar columnas.
5. Organiza las columnas y, luego, haz clic en Guardar. Se abrirá el diálogo Guardar conjunto de columnas.
6. Selecciona una de las siguientes opciones:
   • Guardar: Ingresa un nombre nuevo para tu conjunto de columnas.
   • Reemplazar: Si modificaste un conjunto guardado anteriormente, puedes reemplazar el conjunto existente con los cambios.
7. Haz clic en Guardar. El conjunto de columnas se muestra en la pestaña Conjuntos de columnas.

Para crear un conjunto de columnas para la tabla Detecciones, haz lo siguiente:

1. Haz clic en Columnas para abrir el Administrador de columnas.
2. Haz clic en el ícono filter_alt Filtro para especificar si deseas mostrar las columnas no aplicables.

3. En la lista Tipo de tabla, selecciona el tipo de tabla para el que deseas crear un conjunto de columnas:

   • Detecciones
   • Eventos
   • Entidades (Expande las filas de la tabla para ver las columnas).

   Si realizas cambios en un tipo de tabla específico, solo se aplicarán a las tablas y subtablas de ese tipo.

4. Haz clic en el botón de activación Mostrar seleccionados para mostrar solo las columnas seleccionadas en la pestaña correspondiente (Columnas de detecciones, Columnas de eventos o Columnas de entidades).

5. En la pestaña correspondiente, agrega o quita columnas de tu conjunto de columnas. Puedes explorar o buscar campos en las secciones contraíbles (que varían según el tipo de resultado de la búsqueda). Activa o desactiva las casillas de verificación para mostrar u ocultar columnas.

6. Organiza las columnas y, luego, haz clic en Guardar. Se abrirá el diálogo Guardar conjunto de columnas.

7. Selecciona una de las siguientes opciones:

   • Guardar: Ingresa un nombre nuevo para tu conjunto de columnas.
   • Reemplazar: Si modificaste un conjunto guardado anteriormente, puedes reemplazar el conjunto existente con los cambios.

8. Haz clic en Guardar. El conjunto de columnas se muestra en la pestaña Conjuntos de columnas.

Cómo compartir un conjunto de columnas

Para compartir un conjunto de columnas con todos los demás usuarios de tu usuario de Google SecOps, haz lo siguiente:

1. Haz clic en Columnas para abrir el Administrador de columnas.
2. En la pestaña Columnas de eventos, agrega o quita columnas de tu conjunto de columnas. Puedes explorar o buscar campos en secciones contraíbles (que varían según el tipo de resultado de la búsqueda), por ejemplo, Campos rápidos (los campos más comunes por tipo de datos), Campos agrupados, Todos los campos de eventos y Todos los campos de entidades. Activa o desactiva las casillas de verificación para mostrar u ocultar columnas.
3. Organiza las columnas y, luego, haz clic en Compartir. Se abrirá el diálogo Compartir conjunto de columnas.
4. Selecciona una de las siguientes opciones:
   • Compartir nuevo: Ingresa un nombre nuevo para el conjunto de columnas que se compartirá.
   • Compartir existente: Selecciona un conjunto guardado anteriormente de la lista.
5. Haz clic en Compartir El conjunto de columnas aparece en la pestaña Conjuntos de columnas con la insignia COMPARTIDO.

Carga un conjunto de columnas guardado

Para cargar un conjunto de columnas guardado, haz lo siguiente:

1. Haz clic en Columnas para abrir el Administrador de columnas.
2. Selecciona la pestaña Conjuntos de columnas.
3. Selecciona el conjunto de columnas que deseas cargar y haz clic en Aplicar.

Cómo borrar un conjunto de columnas guardado

Para borrar un conjunto de columnas guardado, haz lo siguiente:

1. Haz clic en Columnas para abrir el Administrador de columnas.
2. Selecciona la pestaña Conjuntos de columnas.
3. Selecciona el conjunto de columnas y haz clic en Más > Borrar.

Cómo descargar los resultados de la búsqueda de una tabla

Puedes descargar y guardar un archivo CSV que contenga el contenido de una tabla que se muestra en la página Búsqueda de SIEM. Para la tabla Eventos o una tabla dinámica, también hay una opción para agrupar los registros sin procesar originales, lo que te brinda una correlación precisa entre los registros de UDM analizados y su telemetría de origen. Esta función está diseñada para equipos que requieren procesamiento de análisis externo, registros de auditoría para el cumplimiento en los que se debe preservar la relación entre los datos normalizados y la transferencia original, o correlación externa.

Para descargar los resultados de la búsqueda (hasta la cantidad máxima especificada de resultados de la búsqueda) de la tabla Eventos, sigue estos pasos:

1. Opcional: Usa el Administrador de columnas para especificar qué campos de UDM incluir en el CSV. La columna Registro sin procesar se agrega según tu selección.

2. Haz clic en Descargar en la parte superior de la tabla y selecciona una de las siguientes opciones:

   • Descargar como CSV: Descarga los eventos que coinciden (y según la cantidad exacta que se muestra de los eventos especificados).
   • Descargar como CSV (con registros sin procesar): Descarga los eventos coincidentes y agrega las cadenas de registro originales sin analizar como una columna dedicada junto a cada registro de UDM normalizado (y según la cantidad exacta de eventos especificados que se muestran).

3. Guarda el archivo.

Para descargar los resultados de la búsqueda (hasta la cantidad máxima especificada de resultados de la búsqueda) de las tablas de la pestaña Resultado, que no sean el panel Eventos ni el panel Tabla dinámica, haz lo siguiente:

1. Haz clic en Descargar en la parte superior de la tabla y selecciona Descargar como CSV. Esto descarga los resultados coincidentes (y según la cantidad exacta de eventos especificados que se muestran).
2. Guarda el archivo.

Para descargar los resultados de la búsqueda (hasta la cantidad máxima especificada de resultados de la búsqueda) de la tabla Detecciones, haz lo siguiente:

1. Haz clic en Descargar en la parte superior de la tabla y selecciona Descargar como CSV. Esto descarga los resultados coincidentes (y según la cantidad exacta de eventos especificados que se muestran).
2. Guarda el archivo.

Campos admitidos cuando se guarda un archivo CSV

Puedes descargar los siguientes campos en un archivo CSV desde la plataforma:

• user
• hostname
• process name
• timestamp
• raw log: Solo es válido cuando los registros sin procesar están habilitados para el cliente
• Todos los campos que comienzan con udm.additional

Tipos de campos válidos para guardar un archivo CSV

Puedes descargar los siguientes tipos de campos en un archivo CSV:

• double
• float
• int32
• uint32
• int64
• uint64
• bool
• string
• enum
• bytes
• google.protobuf.Timestamp
• google.protobuf.Duration

Campos no admitidos cuando se guarda un archivo CSV

Los campos que cumplan con alguno de los siguientes criterios no se pueden descargar en formato CSV:

• Tipo de campo: Son los tipos de datos definidos como un mensaje o un grupo en el proto de UDM.
• Profundidad de campo: Campos anidados con más de 10 niveles de profundidad.

• Campos específicos de la IU: Los siguientes campos que se muestran en la IU no se admiten para la descarga directa:

  • Campos de eventos:

    • Estado del evento
    • Resumen del evento

    • Tipo de evento

      Nota: Para descargar el tipo de evento, selecciona el campo metadata.event_type en el Administrador de columnas.

  • Gráfico de contexto de entidades:

    • Visto por primera vez
    • Visto por última vez
    • Marca de tiempo

  • Búsqueda federada:

    • Código de instancia

Límites y cuotas

Google SecOps aplica límites a las búsquedas para garantizar la estabilidad de la plataforma y un rendimiento coherente en las interfaces web y programáticas. Estos límites se aplican a las APIs de Backstory y Chronicle.

Cuotas de búsqueda y de la API

Se aplican los siguientes límites a la cantidad de consultas de búsqueda y operaciones simultáneas por usuario:

• Consultas por hora (QPH): Límite de la interfaz de la consola web de 1,000 QPH; límite de acceso programático a la API de 2,000 QPH.

• Consultas simples (que abarcan menos de 24 horas, una sola fuente, sin estadísticas): Límite máximo de simultaneidad de 180 consultas simultáneas por usuario.

  Si se agota tu grupo de simultaneidad de consultas simples, tus operaciones se desbordarán automáticamente a tu cuota disponible de consultas complejas.

• Consultas complejas (que abarcan más de 24 horas, de varias fuentes o que incluyen estadísticas): Límite máximo de simultaneidad de 180 consultas simultáneas por usuario.

• Límite de instrucciones de campos de UDM: Una sola consulta se limita a hacer referencia a un máximo de 100 campos de UDM dentro de la instrucción.

Errores de cuota

Cuando se alcanza un límite, la interfaz web muestra una notificación de error de cuota persistente. Para el acceso programático, las llamadas a la API (como instances.udmSearch) devuelven un error de estado HTTP 429 RESOURCE_EXHAUSTED que contiene un mensaje google.rpc.QuotaFailure que detalla el límite específico que superaste.

Límites de visualización y del conjunto de resultados

Usa Configuración de búsqueda  > Cantidad máxima de resultados que se mostrarán para ajustar el límite del backend (de 1 a 1,000,000; el valor predeterminado es 30,000).

Para garantizar la estabilidad constante de la plataforma y tiempos de respuesta rápidos en las interfaces web y de API, Google SecOps aplica los siguientes límites:

Tipo de búsqueda o fuente de datos	Cantidad máxima de resultados devueltos	Comportamiento de visualización de la consola web
Búsqueda de eventos de UDM	1,000,000 de registros	Se muestran directamente en el panel Eventos de la pestaña Resultados. Muestra los registros más recientes en filas paginadas (de 10 a 1,000 por página).
Tablas de datos y uniones	1,000,000 de registros	Las filas correlacionadas aparecen en el panel Eventos de la pestaña Resultados según la configuración del Administrador de columnas.
Casos e historial de casos	1,000,000 de registros	Se muestran directamente en los paneles Casos e Historial de casos dentro de la pestaña Resultados. Se muestran en el contexto de Descripción general o con las consultas de Buscar casos.
Estadísticas	100,000 registros (solo para la IU y la API de operaciones de larga duración)	Se muestran directamente en el panel Estadísticas de la pestaña Resultados. Los gráficos renderizan los valores principales para facilitar la lectura y muestran un aviso de advertencia cuando se superan los límites visuales.
Agregaciones de tablas dinámicas (Resultados > Tabla dinámica)	100,000 registros	Los gráficos renderizan los valores principales para mejorar la legibilidad y muestran un aviso de advertencia cuando se superan los límites visuales.
Detecciones de reglas	100,000 registros	Se muestran directamente en la pestaña combinada Alertas y detecciones.
Gráfico de contexto de entidades (ECG)	1,000,000 de registros	Se muestran en los paneles Datos temporales y Datos atemporales de la pestaña Resultados. La tabla del panel Datos con marca de tiempo muestra las entidades que tienen un período definido. La tabla de la pestaña Datos atemporales muestra las entidades que no tienen un período definido. Es posible que la interfaz muestre solo entidades atemporales, solo entidades temporales o una combinación diferente de ellas cada vez que se ejecute la consulta. Para obtener más información, consulta Cómo usar los paneles Datos con marca de tiempo y Datos sin marca de tiempo.

Optimiza y define mejor tus resultados de la búsqueda

En esta sección, se describen las limitaciones y expectativas de rendimiento, y se proporcionan correcciones de autoservicio para problemas comunes con la página de búsqueda de SIEM en Google Security Operations.

Optimización del rendimiento y prácticas recomendadas

Para optimizar la velocidad de las consultas y minimizar los riesgos de tiempo de espera, haz lo siguiente:

• Primero, reduce el período: El tiempo es el filtro más eficaz. Consultar el período exacto de 2 horas de un incidente se ejecuta de forma exponencialmente más rápida que buscar en un período de 30 días.
• Consulta campos de UDM exactos en lugar de alias agrupados: Aunque los campos agrupados (ip = "1.2.3.4") son convenientes, obligan al motor a verificar más de 15 campos subyacentes (principal.ip, target.ip, observer.ip). Si sabes que una dirección IP pertenece al servidor de destino, consulta target.ip = "1.2.3.4" directamente.
• Evita los comodines iniciales en las expresiones regulares: Las consultas que comienzan con un comodín (principal.hostname = /.*server-.*/) impiden las búsquedas de índices y fuerzan análisis de tablas completos. Ancla tu expresión regular siempre que sea posible (principal.hostname = /^prod-server-.*/).
• Aprovecha los metadatos indexados: Filtra por metadata.event_type (NETWORK_CONNECTION, PROCESS_LAUNCH, USER_LOGIN) o metadata.log_type al principio de la cadena AND para descartar de inmediato las fuentes de registros irrelevantes.
• Usa limit: N para obtener muestras de datos y vistas previas rápidas: Puedes agregar la palabra clave limit: N directamente a tu consulta (por ejemplo, metadata.event_type = "USER_LOGIN" limit: 50) para obtener muestras de datos y vistas previas rápidas.
• Usa select y unselect para reducir el tamaño de la carga útil: Proyecta solo los campos de hoja que necesitas o excluye los campos grandes innecesarios para mejorar la latencia de las consultas. Para obtener más información, consulta Controla el resultado de la consulta con select y unselect.

Prácticas recomendadas para las búsquedas amplias

Si tu búsqueda es demasiado amplia, Google SecOps muestra un mensaje de advertencia que indica que no se pueden mostrar todos los resultados de la búsqueda. En esos casos, el sistema recupera solo los resultados más recientes, hasta el límite de búsqueda de un millón de eventos y 1,000 alertas. Sin embargo, es posible que haya muchos más eventos y alertas coincidentes que no se muestren.

Para capturar todos los resultados pertinentes, define mejor tu búsqueda aplicando filtros adicionales, por ejemplo:

• Reduce el período para disminuir el tamaño del conjunto de datos.
• Usa búsquedas o filtros específicos en lugar de términos amplios.
• Consulta campos de UDM precisos en lugar de campos agrupados cuando necesites resultados para un solo campo.

Depura y define mejor las consultas

En esta sección, se describe cómo depurar y definir mejor las consultas.

Visualiza errores de tiempo de ejecución

Si tu consulta devuelve un error, el mensaje de error de tiempo de ejecución específico aparece de forma persistente en el panel Resultados. Esta visualización persistente garantiza que el contexto del error permanezca visible, lo que te ayuda a solucionar problemas y resolver el error.

Limita los resultados de la búsqueda

Puedes limitar los resultados de la búsqueda agregando la palabra clave limit con la cantidad máxima de resultados de la búsqueda que deseas mostrar. Esto es útil para generar vistas previas rápidas de los datos, optimizar el rendimiento o cuando solo necesitas un subconjunto de los resultados. Por ejemplo, si agregas limit: 25 a tu búsqueda, se limitarán los resultados a un máximo de 25.

Nota: También puedes agregar la palabra clave limit a los paneles personalizados.

Investiga conjuntos de datos grandes

Google SecOps admite la devolución y la navegación de hasta 1 millón de resultados. Esto te permite investigar grandes conjuntos de datos directamente en la interfaz web sin exportar los resultados. En el caso de las búsquedas grandes, los campos visibles se limitan de forma predeterminada.

Nota: Después de que se carguen los resultados, puedes aplicar filtros para definir mejor los datos sin volver a ejecutar la búsqueda. Esto te ayuda a acotar los conjuntos de resultados rápidamente.

Límites de resultados para las fuentes de datos

En la siguiente tabla, se indica la cantidad máxima de resultados que se devuelven para cada fuente de datos:

Tipo de búsqueda o fuente de datos	Cantidad máxima de eventos o filas en los resultados de la búsqueda
UDM	1,000,000
ECG	1,000,000
Tabla de datos	1,000,000
Unión de UDM a UDM	1,000,000
Unión de UDM a ECG	1,000,000
Unión de UDM a tabla de datos	1,000,000
Casos y el historial de casos	1,000,000
Estadísticas	100,000
Detecciones	100,000

Nota: Los límites son los mismos, ya sea que uses la plataforma o la API. Consulta las APIs de búsqueda asíncrona para obtener información sobre los límites de la API.

Agrega un filtro para definir mejor tu consulta

Para agregar un filtro y definir mejor tu consulta, haz lo siguiente:

1. En la página Búsqueda de SIEM, haz clic en filter_listAgregar filtro. Se abrirá un diálogo que te permitirá seleccionar un campo y mostrar (=) o filtrar (!=) los valores del campo.

2. Configura los parámetros del diálogo.

   

   Figura 8. Ejemplo del diálogo de filtro.

3. Haz clic en Aplicar. El filtro se muestra junto al botón Agregar filtro filter_list, y los resultados de la búsqueda se filtran según corresponda.

4. Opcional: Realiza una de las siguientes acciones:

   • Si quieres incorporar automáticamente el filtro en el editor de consultas y ejecutar la búsqueda, haz clic en Aplicar a la búsqueda y ejecutar.
   • Si quieres borrar el filtro, haz clic en Borrar.

Nota: El botón Borrar solo está disponible antes de hacer clic en Aplicar para buscar y ejecutar.

Soluciona problemas

Si recibes un mensaje de error genérico, como Error: Search has encountered an error and could not load data, sigue estos pasos para resolver el problema:

• Conéctate a Google SecOps desde otra red. Por ejemplo, usa una VM de Cloud para identificar cualquier problema de red.
• Asegúrate de que las llamadas a la API de Chronicle estén permitidas por la configuración o la política de firewall o proxy de tu organización.
• Verifica que no se haya configurado ningún límite de datos para las llamadas a la API de Search, ya que las búsquedas pueden devolver grandes conjuntos de datos.
• Verifica si hay tiempos de espera configurados. Las consultas de búsqueda se pueden ejecutar de forma asíncrona y pueden requerir más tiempo para devolver datos. Si se establecen tiempos de espera, asegúrate de que permitan una duración suficiente, como 60 minutos, antes de que se agote el tiempo de espera de la consulta.

Si el error persiste, comunícate con el equipo de asistencia al cliente.

¿Qué sigue?

Para obtener más información sobre las búsquedas, consulta los siguientes recursos:

• Comprende la sintaxis de búsqueda contiene detalles y ejemplos sobre la sintaxis de YL2 necesaria para construir y consultar valores de datos, escapes y operadores en el editor de consultas.
• Prácticas recomendadas para la Búsqueda.
• Busca casos y el historial de casos en la búsqueda unificada.
• Genera búsquedas de UDM con Gemini.
• Usa datos enriquecidos con contexto en la búsqueda.

Para obtener más información sobre los resultados de la búsqueda, consulta lo siguiente:

• Investiga una entidad con la búsqueda de UDM.
• En Investiga detecciones en la búsqueda, se describe cómo usar la pestaña Alertas y detecciones en la página Búsqueda de SIEM.
• En Comprende la disponibilidad de los datos para la búsqueda, se detalla el ciclo de vida de la transferencia de datos, incluidos el flujo de datos y la latencia de extremo a extremo, y cómo estos factores afectan la disponibilidad de los datos transferidos recientemente para las consultas y el análisis.
• En Comparación de la búsqueda de UDM con los resultados de las reglas, se describe cómo comparar los resultados de las búsquedas de UDM con las reglas de detección en vivo.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.