Comprende la búsqueda

Compatible con:

Google SecOps SIEM

Esta guía está dirigida a analistas de seguridad que desean consultar, correlacionar y analizar datos de seguridad en toda su empresa en Google Security Operations con la página Búsqueda de SIEM. La página Búsqueda de SIEM funciona como tu centro de navegación central en todos los flujos de datos admitidos y, además, integra fuentes adicionales de telemetría y postura. Esta guía contiene instrucciones y explicaciones de todas las funciones y características básicas de la página Búsqueda de SIEM.

Terminología clave

• Modelo de datos unificado (UDM): Es un formato de datos estandarizado que se usa en Google SecOps para representar eventos de seguridad de varias fuentes de manera coherente.
• Evento: Un evento se genera a partir de una fuente del archivo de registro sin procesar que se transfiere a Google SecOps y se procesa mediante el proceso de transferencia y normalización de Google SecOps. Se pueden generar varios eventos a partir de un solo registro de fuente de registro sin procesar. Un evento representa un conjunto de puntos de datos relevantes para la seguridad que se generan a partir de ese registro sin procesar. En el contexto de la página SIEM Search, los eventos son telemetría de eventos de UDM normalizada y registros sin procesar que coinciden con tu búsqueda.
• Alerta: En el contexto de la página Búsqueda en SIEM, una alerta se define como una detección de regla con las alertas habilitadas. Para obtener más información, consulta cómo ejecutar una regla en datos activos.
• Registros sin procesar: Telemetría de registros sin procesar y sin analizar. El objetivo principal del diagnóstico es supervisar el estado de la transferencia y el análisis.
• Uniones: Las uniones correlacionan y combinan datos sin procesar de varias fuentes según los valores de los campos comunes. Si vinculas eventos, entidades y otros datos relacionados, puedes investigar situaciones de ataque complejas. Puedes buscar uniones estadísticas, que requieren una sección de coincidencias para agregar resultados, o uniones de datos, que recuperan los datos completos de eventos o entidades y los muestran sin ninguna agregación. Para obtener más información, consulta Aplica uniones en la búsqueda y los paneles y Implementa uniones sin una sección de coincidencia.
• Estadísticas: Son eventos del UDM con los resultados agrupados para el análisis estadístico. Para obtener más información, consulta Analiza los datos de búsqueda con estadísticas.
• Casos e historiales de casos: Casos de seguridad y registros de auditoría de casos históricos, que puedes correlacionar con otros datos de seguridad. Para obtener más información, consulta Descripción general de los casos de búsqueda.
• Gráfico de contexto de entidades (ECG): Es una base de datos de gráficos dentro de Google SecOps que almacena registros de entidades con estado (como recursos, usuarios y indicadores de amenazas) para la correlación con los registros de eventos de seguridad. Para obtener más información, consulta Descripción general del gráfico de contexto de entidades.
• Barra de consultas en lenguaje natural: Es la barra que se encuentra en la parte superior de la página SIEM Search, en la que puedes ingresar una instrucción de búsqueda con lenguaje natural.
• Editor de consultas: Es el cuadro de la página Búsqueda de SIEM que se encuentra debajo de la barra de consultas en lenguaje natural, en el que puedes crear consultas de forma manual y en el que se muestra el código de la consulta.

Antes de comenzar

Debes tener los permisos y roles estándar de la Búsqueda de Google SecOps asignados a tu cuenta de usuario para ejecutar consultas y ver los detalles de detección.

Para las siguientes funciones de búsqueda avanzada, tu cuenta de usuario o rol de Identity and Access Management debe tener permisos detallados adicionales, según la función que se use:

• Los detalles del evento enriquecidos o extendidos necesitan chronicle.events.fetchEnrichedEvent.
• Para guardar búsquedas y editar vistas de búsqueda, se necesitan chronicle.savedSearches.update y chronicle.searchViews.update.
• Para ver los analizadores de registros y el esquema, se necesitan los permisos chronicle.parsers.list y chronicle.parsers.get.
• Para buscar en el historial de casos, se necesitan chronicle.cases.get y chronicle.cases.list.
• La búsqueda de SQL (específicamente, las sugerencias de consultas automáticas en el editor de consultas) necesita chronicle.queries.suggestSql cuando se usan roles de IAM personalizados.
• Para crear, compartir, modificar y administrar conjuntos de columnas personalizadas guardados en toda tu organización, necesitas los cinco permisos siguientes: chronicle.googleapis.com/savedColumnSets.create, chronicle.googleapis.com/savedColumnSets.update, chronicle.googleapis.com/savedColumnSets.delete, chronicle.googleapis.com/savedColumnSets.list y chronicle.googleapis.com/savedColumnSets.get.

Cómo abrir la página de búsqueda

Para abrir la página SIEM Search, haz lo siguiente:

1. Accede a Google SecOps.
2. En la barra de navegación, haz clic en Investigación > Búsqueda de SIEM.

Figura 1. Ejemplo de la página Búsqueda de SIEM que se usa para explorar las tendencias de los eventos.

Nota: En los sistemas que usan RBAC de datos, solo puedes ver los datos que coinciden con tus permisos. Para obtener más información, consulta el impacto del RBAC de datos en la Búsqueda.

Aplicación del alcance del RBAC de datos

El motor de búsqueda de Google SecOps aplica de forma estricta el filtrado de permisos del control de acceso basado en roles (RBAC de datos) en todas las pestañas. Solo verás los eventos de UDM, los registros sin procesar, las alertas, las detecciones y los casos que coincidan de forma explícita con los permisos de datos asignados a tu rol de usuario.

Configura los parámetros generales de la página de búsqueda

La configuración general de la página SIEM Search es específica del usuario.

Puedes configurar los siguientes parámetros generales en la página SIEM Search:

• Especifica la cantidad máxima de resultados de la búsqueda
• Elige el comportamiento de contracción del editor de consultas

Especifica la cantidad máxima de resultados de la búsqueda

Para especificar la cantidad máxima de resultados de la búsqueda, haz lo siguiente:

1. En la página Búsqueda de SIEM, haz clic en Configuración Configuración y selecciona Cantidad máxima de resultados.

2. Selecciona la opción Cantidad máxima de resultados para devolver. Las opciones son 1k, 30k, 100k, 1M y custom (que puede tomar valores entre 1 y 1M). El valor predeterminado es 30k.

   Sugerencia: Por lo general, las consultas se ejecutan más rápido cuando eliges un tamaño de conjunto de resultados más pequeño.

3. Haz clic en Aplicar.

Elige el comportamiento de contracción del editor de consultas

Puedes configurar el editor de consultas para que se contraiga automáticamente después de ejecutar una búsqueda y, así, maximizar el espacio de la pantalla disponible para ver los resultados de la búsqueda. El parámetro de configuración Predeterminado deja el editor de consultas expandido después de ejecutar una búsqueda.

Para habilitar la función de contracción automática, sigue estos pasos:

1. En la página Búsqueda de SIEM, haz clic en Configuración Configuración y selecciona Editor de consultas.
2. En el diálogo Editor de consultas, selecciona Contraer automáticamente el editor de consultas.

Crea una búsqueda

En las siguientes secciones, se describe cómo crear una consulta de búsqueda.

Puedes crear una consulta de búsqueda con uno de los siguientes métodos:

• Ingresa tu declaración de búsqueda en lenguaje natural y usa Gemini para generar la consulta en el dialecto de YARA-L 2.0. Debes usar el idioma inglés.
• Crea tu consulta de forma manual en el editor de consultas con el dialecto YARA-L 2.0 o SQL (GoogleSQL).

Nota: Una búsqueda de UDM se limita a 100 campos de UDM por consulta. Una expresión de búsqueda de UDM consta de un campo de UDM para buscar, un operador y un valor de datos para buscar. Las búsquedas de UDM se basan en los campos definidos en la referencia del diccionario de campos de UDM. Puedes explorar y seleccionar estos campos de UDM con Filtros o Búsqueda de registros sin procesar.

Genera una consulta con lenguaje natural

Para generar una consulta con lenguaje natural, completa los siguientes pasos:

1. En la página Búsqueda de SIEM, haz clic en la barra de búsqueda de lenguaje natural de búsqueda y, luego, ingresa una instrucción de búsqueda en inglés.

   Las siguientes declaraciones son ejemplos que podrían generar una búsqueda útil:

   • network connections from 10.5.4.3 to google.com
   • failed user logins over the last 3 days
   • emails with file attachments sent to [e-mail] or [e-mail]
   • all Cloud service accounts created yesterday
   • outbound network traffic from 10.16.16.16 or 10.17.17.17
   • all network connections to facebook.com or tiktok.com
   • service accounts created in Google Cloud yesterday
   • Windows executables modified between 8 AM and 1 PM on May 1, 2026
   • all activity from winword.exe on lab-pc
   • scheduled tasks created or modified on exchange01 during the last week
   • email messages that contain PDF attachments
   • emails sent by or sent from [e-mail] on July 1
   • any files with the hash 44d88612fea8a8f36de82e1278abb02f
   • all activity associated with user "[e-mail]"

Si la instrucción de búsqueda incluye un término basado en el tiempo, los parámetros de período se ajustan automáticamente para que coincidan. Por ejemplo, esto se aplicaría a las búsquedas con los siguientes términos:

• yesterday
• within the last 5 days
• on July 1, 2026

2. Haz clic en Generar consulta. Si Gemini puede interpretar la instrucción de búsqueda, generará una consulta válida en el dialecto YARA-L 2.0 y la mostrará en el editor de consultas. Si no se puede interpretar la instrucción de búsqueda, verás un mensaje que te pedirá que intentes hacer la pregunta de otra manera. Si la expresión de consulta es válida, el botón Ejecutar búsqueda estará disponible.

3. Opcional: Ajusta el período de búsqueda con los parámetros Período.

4. Haz clic en Ejecutar búsqueda. Se muestran los resultados de la búsqueda.

5. Opcional: Para acotar los resultados, agrega filtros de búsqueda adicionales de forma manual o usa la barra de consultas en lenguaje natural y vuelve a ejecutar la búsqueda.

Crea una consulta de forma manual en el editor de consultas

Para obtener información sobre los diferentes tipos de consultas que admite la página SIEM Search y la sintaxis para crearlas, consulta los siguientes documentos:

• Para obtener detalles sobre la sintaxis de búsqueda de YARA-L 2.0, consulta Interpreta la sintaxis de búsqueda.
• Para obtener información sobre cómo crear consultas de unión, consulta Aplica uniones en la búsqueda y los paneles y Implementa uniones sin una sección de coincidencia.
• Para obtener información sobre cómo crear consultas estadísticas (STATS), consulta Analiza los datos de búsqueda con estadísticas.
• Para obtener información sobre cómo crear consultas del historial de casos, consulta Busca casos y el historial de casos en la página de búsqueda.

Para construir una consulta de forma manual, completa los siguientes pasos:

1. En la página SIEM Search, haz clic en el editor de consultas.
2. Elige el dialecto de la consulta:
   • YL2 (predeterminado): Usa la sintaxis estándar de YARA-L 2.0 para la búsqueda de eventos de alta velocidad, el filtrado de entidades y la correlación de comportamiento.
   • SQL: El modo SQL (GoogleSQL) te permite ejecutar consultas compatibles con BigQuery, compilar uniones complejas de varias tablas en UDM y Entity Context Graph (ECG), y realizar agregaciones avanzadas directamente en la consola.

3. Escribe tu consulta en el editor de consultas y ten en cuenta lo siguiente:

   • Sugerencia y finalización automáticas: Cuando escribes una consulta con la opción YL2, la función de sugerencia y finalización automáticas sugiere campos válidos según tu entrada.
   • Búsqueda de UDM: Si no conoces el nombre o el valor exactos del campo cuando escribes una consulta, puedes usar la Búsqueda de UDM para obtener ayuda.
   • Errores de compilación de sintaxis: Si el editor de consultas detecta un error de compilación de sintaxis, muestra una línea ondulada roja directamente debajo del texto problemático. Coloca el cursor sobre el texto subrayado para ver la descripción del error específico. El editor de consultas destaca solo un error a la vez, lo que significa que debes corregir los errores de forma secuencial.

4. Establece el período de la consulta con los parámetros de período.

5. Si la expresión de consulta es válida, haz clic en Ejecutar búsqueda. Se muestran los resultados de la búsqueda.

6. Opcional: Limita los resultados agregando filtros de búsqueda adicionales de forma manual o con la consola, y vuelve a ejecutar la búsqueda.

Nota: También puedes crear una consulta nueva desde el cuadro de diálogo Search Manager. Allí también están disponibles las mismas herramientas de edición del UDM, sugerencias automáticas y autocompletado.

Especifica el período de tu búsqueda

Usa el menú Período para especificar el período de tu búsqueda.

El período máximo de una búsqueda siempre está limitado por la configuración de retención de registros de tu usuario.

Intervalos máximos:

• UDM: 365 días.
• RAW: 365 días.
• JOIN: Para uniones internas, 90 días. Para las uniones internas sin una condición de coincidencia: 14 días. Para las combinaciones externas: 14 días.
• ESTADÍSTICAS: 90 días
• CASE y CASE HISTORY: 90 días, limitados por los límites de retención de casos o un ciclo de vida completo del historial de casos.
• ECG: 365 días

Google SecOps evalúa la configuración de tu búsqueda y aplica el período máximo según el tipo y las condiciones de la búsqueda. (Por ejemplo, una consulta de STATS que incluye una unión externa tendrá un período máximo menor que una consulta de STATS que no incluye una unión externa).

Para establecer el período, haz lo siguiente:

1. En la página Búsqueda de SIEM, junto a Intervalo de tiempo, selecciona el modo de la lista.

   • Absoluto: Usa un período absoluto para seleccionar una hora de inicio y finalización fijas.
   • Relativo: Usa un intervalo de tiempo relativo para buscar hacia atrás desde la hora actual. La hora en que haces clic en Ejecutar búsqueda se establece como la hora de finalización de tu consulta.

2. Si seleccionaste Absoluto, haz lo siguiente:

   1. Haz clic en calendar_month calendar para abrir el diálogo Set Date and Time Range.
   2. Realiza una de las siguientes acciones:
      • Para configurar el período con uno de los siguientes métodos, selecciona la pestaña Período:
        • Usa ajustes predeterminados: Selecciona un rango predeterminado de la barra lateral, como Últimos 3 días o Todo el tiempo. Todo el período busca en todo el período de retención.
        • Seleccionar fechas: Haz clic en una fecha de inicio y una de finalización en el calendario.
        • Establece horarios: Selecciona horarios específicos con los menús de hora que se encuentran debajo de los calendarios.
      • Para especificar un período y un intervalo de tiempo en función de un evento, haz clic en la pestaña Hora del evento, selecciona una fecha en el calendario y configura el período:
        • Hora exacta: Haz clic en el campo Evento para seleccionar o ingresar la hora específica en la que ocurrió el evento.
        • Búfer de tiempo: Selecciona un intervalo de tiempo predefinido de la lista.
   3. Haz clic en Aplicar.

3. Si seleccionaste Relativo, haz lo siguiente:

   1. Ingresa un número entero en el campo de texto.
   2. Selecciona una unidad de tiempo en el menú: Segundos, Minutos, Horas, Días, Semanas, Meses o Años.

Usa las sugerencias automáticas para crear consultas

Cuando escribes una consulta, el editor de consultas proporciona sugerencias automáticas para ayudarte a compilarla de manera eficiente.

Navega por las sugerencias y selecciónalas

A medida que escribes, aparece una lista con sugerencias de campos que coinciden con tu texto, que incluyen las siguientes opciones:

• Selecciona un campo: Usa las teclas de flecha hacia arriba o hacia abajo para navegar por la lista y presiona Intro para seleccionar un campo.
• Ver metadatos: Después de usar las teclas de flecha Arriba o Abajo para destacar una sugerencia, haz clic en chevron_right para ver la descripción del campo.
• Completa los campos de forma incremental: El editor sugiere los elementos secundarios inmediatos del campo actual y oculta el prefijo escrito para ahorrar espacio en la pantalla. A estas sugerencias, les siguen todos los demás campos que coinciden, en orden alfabético.
• Operadores y valores completos: Después de seleccionar un campo, el editor sugiere operadores válidos (como =, !=) según el tipo de datos del campo. En el caso de los campos enumerados, el editor muestra sugerencias para todos los valores válidos (por ejemplo, NETWORK_EVENT) después de que escribes un operador y una comilla doble (").

Comprende la clasificación de las sugerencias

El editor de consultas organiza las sugerencias en tres categorías para ayudarte a encontrar campos con rapidez:

1. Campos usados recientemente: Las siete sugerencias principales se basan en los campos que usaste recientemente y que coinciden con el campo que escribiste. Esta lista se guarda en el historial de sesiones del navegador en las páginas Búsqueda de SIEM, Reglas y detecciones y Paneles. Si borras la caché o cambias de navegador, se restablecerá este historial.
2. Hijos inmediatos: El siguiente conjunto de sugerencias muestra solo los hijos de primer nivel del campo actual.
3. Coincidencias globales: En la sección final, se muestran todos los campos coincidentes en orden alfabético.

Administra la configuración de sugerencias automáticas

Para administrar de forma global cómo Google SecOps muestra las sugerencias automáticas, haz lo siguiente:

1. Haz clic en tu avatar de perfil y selecciona Preferencias del usuario en la lista. Aparecerá el diálogo User Preferences.

2. En el cuadro de diálogo, haz clic en Sugerencia automática.

3. Para controlar las sugerencias automáticas que se muestran en el editor de consultas, ajusta los siguientes parámetros de configuración:

   • Habilitar sugerencias mientras se escribe: Habilita la sugerencia automática.
   • Clasificar los campos usados recientemente primero: Muestra los campos que usaste más recientemente en la parte superior de la lista.
   • Sugerir campos secundarios inmediatos: Completa los campos anidados de forma incremental, un nodo secundario a la vez.
   • Sugerir todas las rutas de acceso disponibles: Muestra las rutas de acceso completas y expandidas para todas las sugerencias de campos anidados.

4. Haz clic en Guardar.

Encuentra un campo de UDM para una búsqueda (búsqueda de UDM)

Cuando escribas una búsqueda, es posible que no sepas el nombre o el valor exacto del campo de UDM que debes incluir. La función UDM Lookup te permite encontrar rápidamente un nombre de campo de UDM que contenga una cadena de texto en el nombre o que almacene un valor de cadena específico. Puedes seleccionar uno o más resultados que devuelva la búsqueda de UDM y usarlos como punto de partida para una consulta de búsqueda, agregarlos a una consulta existente o guardarlos en el portapapeles.

Nota: La Búsqueda de UDM no está diseñada para buscar otros tipos de datos, como bytes, booleanos o numéricos.

Para usar la búsqueda de UDM, haz lo siguiente:

1. En la página Búsqueda de SIEM, haz clic en Búsqueda de UDM. Se abrirá el diálogo Búsqueda de UDM.

2. Selecciona una o ambas de las siguientes opciones de Coincidencia en para especificar el alcance de los datos que se buscarán:

   • Campos de UDM: Busca texto que coincida con los nombres de los campos, por ejemplo, network.dns.questions.name o principal.ip.
   • Valores: Busca cadenas de texto dentro de los valores de registro almacenados, por ejemplo, dns o google.com.

3. Haz clic en el campo de búsqueda Ingresa una cadena exacta para buscar coincidencias y, luego, ingresa la cadena que deseas buscar. A medida que escribes, los resultados de la búsqueda aparecen en el diálogo.

   Los resultados varían cuando se buscan coincidencias en los campos de UDM en comparación con los valores de la siguiente manera:

   • La búsqueda con los nombres de los campos de UDM de Coincidencia en devuelve una coincidencia exacta que se encuentra en cualquier parte de la definición del esquema.

     

     Figura 2. Busca con los nombres de los campos de UDM de Coincidencia en en el diálogo Búsqueda de UDM.

   • La búsqueda con Coincidir con Valores busca en la telemetría de registros que transferiste y devuelve dos tipos de resultados:

     • Coincidencias de valor completo: Para los campos de texto comunes (como aplicaciones, nombres de host, URLs, direcciones IP y nombres de usuario), la búsqueda de UDM muestra el valor coincidente completo con la cadena de búsqueda destacada en amarillo, junto con la marca de tiempo de transferencia de registros más reciente.

     • Posibles coincidencias de valores: En el caso de los campos que contienen texto largo, complejo o no estructurado (como líneas de comandos, descripciones, campos de detección y campos personalizados), la Búsqueda en el UDM indica que el término de búsqueda aparece en ese campo en tu telemetría histórica. En lugar de mostrar un solo valor completo, el resultado muestra el nombre del campo de UDM seguido de (Possible value match).

     

     Figura 3. Busca con los valores de Coincidencia en en el cuadro de diálogo Búsqueda de UDM.

4. En la lista de resultados, puedes hacer lo siguiente:

   • Haz clic en el nombre de un campo de UDM para ver una descripción de ese campo.
   • Para seleccionar uno o más resultados, haz clic en la casilla de verificación junto al nombre del campo de UDM.
   • Haz clic en el botón Restablecer para anular la selección de todos los campos seleccionados en la lista de resultados.

5. Realiza una de las siguientes acciones:

   • Para copiar los resultados seleccionados en el portapapeles, haz clic en Copiar UDM. Luego, puedes cerrar el diálogo Búsqueda de UDM y pegar el contenido del portapapeles en el editor de consultas.

   • Para agregar los resultados seleccionados a la consulta en el editor de consultas, haz clic en Agregar a la búsqueda. Luego, Google SecOps convierte los resultados seleccionados en una búsqueda como el nombre del campo de UDM o un par nombre-valor.

     Si agregas varios resultados, Google SecOps agrega cada resultado al final de la consulta existente en el editor de consultas con el operador OR.

     La cadena de consulta adjunta es diferente según el tipo de coincidencia que devuelve la búsqueda de UDM:

     • Si el resultado coincide con una cadena de texto en un nombre de campo de UDM, el nombre completo del campo de UDM se agrega a la consulta. Por ejemplo:

       principal.artifact.network.dhcp.client_hostname

     • Si el resultado es una coincidencia de valor completo, el par nombre-valor contiene una condición de igualdad exacta con el valor completo.

     • Si el resultado es una Coincidencia de valor posible, el par nombre-valor contiene el nombre del campo de UDM y una expresión regular que no distingue mayúsculas de minúsculas que contiene tu término de búsqueda.

6. Si es necesario, edita la consulta en el editor de consultas.

Comportamiento de búsqueda y cobertura de campos de la búsqueda de UDM

La búsqueda de UDM te ayuda a descubrir nombres de campos y buscar valores históricos en tus datos de registro transferidos. En esta sección, se explica cómo funciona la búsqueda en ambos modos, se proporcionan ejemplos de consultas y se describen los límites de cobertura de los campos.

Modos de búsqueda: Campos de UDM versus valores

La búsqueda de UDM proporciona dos modos de búsqueda distintos:

• Modo de campos de UDM: Coincidir con campos de UDM busca en la definición del esquema de UDM para ayudarte a encontrar la ruta de campo correcta. Puedes encontrar nombres de campos en todos los tipos de datos, incluidos los campos de texto (principal.hostname), los puertos numéricos (target.port), las marcas booleanas (security_result.is_alert) y las categorías de eventos (metadata.event_type).

  Ejemplo: Si escribes port, se muestran campos como network.ip_port, principal.port, target.port y src.port.

• Modo de valores: Coincidir con valores busca valores de texto que coincidan en tus registros de eventos transferidos:

  • Coincidencia de valor exacta: Para los identificadores y campos de texto comunes (como nombres de host, direcciones IP, dominios y nombres de usuario), la búsqueda de UDM encuentra el valor exacto en tus datos y genera una condición de igualdad (por ejemplo, principal.hostname = "example.com").
  • Posible coincidencia de valor (expresión regular): Para textos largos, líneas de comandos, URLs, claves de registro y rutas de acceso a archivos, la Búsqueda de UDM devuelve una Posible coincidencia de valor con una expresión regular (por ejemplo, principal.process.command_line = /powershell/ NOCASE).

Brechas en la cobertura de campos y cómo buscar directamente

Cuando se busca por Valores, la búsqueda de UDM busca campos de texto en datos de eventos sin procesar y no enriquecidos. Ciertos tipos de datos y campos de identificadores de gran volumen no devuelven coincidencias en el modo Valores. Para buscar estos campos, ingresa tu expresión directamente en el editor de consultas.

En esta sección, se incluye lo siguiente:

• Campos numéricos, booleanos, de marca de tiempo y de bytes
• Campos de identificadores excluidos
• Campos con posibles coincidencias de valores (expresiones regulares)
• Campos enriquecidos y gráfico de entidades

Campos numéricos, booleanos, de marca de tiempo y de bytes

La búsqueda de valores de búsqueda de UDM no devuelve coincidencias para los tipos de datos que no son de texto. Para buscar en estos campos, escribe la condición directamente en la barra de búsqueda:

Categoría del campo	Ejemplos de campos de UDM	Ejemplo de búsqueda directa
Números de puerto y códigos de estado	network.ip_port, principal.port, target.port, network.http.response_code	network.ip_port = 443 network.http.response_code = 403
Métricas y puntuaciones de riesgo	security_result.risk_score, network.sent_bytes, network.received_bytes	security_result.risk_score >= 80 network.sent_bytes > 50000000
Marcas booleanas	security_result.is_alert, network.dns.answers.is_authoritative	security_result.is_alert = true
Enums predefinidos	metadata.event_type, network.ip_protocol	metadata.event_type = "USER_LOGIN" network.ip_protocol = "TCP"
Marcas de tiempo	metadata.event_timestamp.seconds, metadata.ingested_timestamp	Filtra con el menúIntervalo de tiempo o la consulta: metadata.event_timestamp.seconds > 1700000000
IDs de eventos (bytes sin procesar)	metadata.id	metadata.id = "..."
Coordenadas geográficas	principal.location.latitude, principal.location.longitude	Filtrar por campos de ubicación regional: principal.location.country_or_region = "US"

Campos de identificador excluidos

Los siguientes campos de seguimiento de sesiones y de alta entropía no devuelven coincidencias cuando se busca por Valores:

Categoría de campo excluido	Campos de UDM	Ejemplo de búsqueda directa
IDs de procesos	*.pid (por ejemplo, principal.process.pid, target.process.pid), *.product_specific_process_id	target.process.pid = "4128"
IDs de sesión y conexión	network.session_id, network.parent_session_id, metadata.product_log_id	network.session_id = "sess-9481"
IDs de reglas de detección	security_result.rule_id	security_result.rule_id = "rule_suspicious_login"
IDs de recursos y de activos	*.resource.id (incluidos los ARN y los URI de Cloud), *.asset_id	target.resource.id = "arn:aws:s3:::my-bucket"
Etiquetas de transferencia	metadata.base_labels.*, metadata.enrichment_labels.*	metadata.base_labels.log_types = "WINEVTLOG"

Campos con posibles coincidencias de valores (expresiones regulares)

En el caso de los campos que contienen cadenas largas y complejas con muchos separadores de ruta de acceso o argumentos, la búsqueda de UDM devuelve una expresión regular de posible coincidencia de valor (/.../ NOCASE) en lugar de una coincidencia exacta de valor completo:

• Líneas de comandos: principal.process.command_line, target.process.command_line
• Rutas de acceso de archivos: principal.process.file.full_path, target.file.full_path
• URLs de red y web: principal.url, target.url, network.http.referral_url
• Claves de registro: principal.registry.registry_key, target.registry.registry_key
• Descripciones de formato libre: metadata.description, security_result.description, security_result.summary
• Cadenas de User-Agent: network.http.user_agent
• Campos personalizados dinámicos: additional.fields.value.*

Campos enriquecidos y gráfico de entidades

La búsqueda de UDM busca datos de registro sin procesar transferidos después del 10 de agosto de 2023. No devuelve valores de los siguientes elementos:

• Enriquecimientos posteriores: Como la resolución de la ubicación de GeoIP, los datos de WHOIS, los veredictos de Navegación Segura o las puntuaciones de VirusTotal Para buscar estos campos, aplica el filtro directamente en la ruta del campo enriquecido (por ejemplo, target.ip_geo_artifact.country_or_region = "US").
• Objetos de Entity Graph: Datos en el espacio de nombres graph.*.
• Datos históricos anteriores al límite: Registros transferidos antes del 10 de agosto de 2023. Para buscar datos más antiguos, usa consultas de búsqueda directas en la página Buscar.

Cómo usar tablas de datos en una búsqueda

Puedes usar la función tablas de datos en una búsqueda. Esto te permite usar tus propias bases de datos existentes de información sobre amenazas junto con una búsqueda para detectar amenazas en tu empresa.

Por ejemplo, si tienes una base de datos llamada suspicious con una columna de direcciones IP que sabes que son problemáticas, puedes hacer referencia a esa base de datos en la búsqueda en lugar de ingresar manualmente direcciones IP individuales en la consulta:

  events:
      $e.principal.ip in %suspicious.ip

Puedes limitar los resultados buscando metadatos específicos además de las direcciones IP. Por ejemplo, es posible que te preocupen específicamente los cambios en los recursos del usuario:

  events:
      $e.metadata.event_type = "USER_RESOURCE_UPDATE_CONTENT"
      $e.principal.ip in %suspicious.ip

Puedes restringir una búsqueda en campos de UDM interrelacionados y hacer coincidir con varias columnas de tablas de datos. En el siguiente ejemplo, se buscan eventos de NETWORK_CONNECTION en los que el resultado de seguridad es ALLOW. Luego, correlaciona esos eventos con la columna hostnames y la columna ip en la tabla de datos badApps.

events:
  $e.metadata.event_type = "NETWORK_CONNECTION"
  $e.security_result.action = "ALLOW"
  $e.target.asset.asset_id = $assetid

  // Event hostname matches at least one value in table column hostname.
  $e.target.hostname in %badApps.hostname

  // Event IP matches at least one value in table column ip.
  $e.target.ip in %badApps.ip

Visualiza las filas de la tabla de datos en una búsqueda

Cuando usas una tabla de datos en una búsqueda de YARA-L 2.0, los resultados hacen referencia a las filas de la tabla de datos que están vinculadas a los eventos coincidentes. Estos resultados se muestran en el panel Eventos. Cuando ves los resultados, se muestra el estado actual de la tabla de datos y sus filas.

Usa el Administrador de columnas para seleccionar qué tabla de datos y columnas se mostrarán en los resultados.

Para obtener más información, consulta Cómo usar tablas de datos.

Comprende el proceso de ejecución de consultas

Si la consulta en el editor de consultas es válida, la consola de Google SecOps habilita el botón Ejecutar búsqueda.

Después de hacer clic en Ejecutar búsqueda, la consulta en curso se muestra con un ícono de estado circular.

Mientras se realiza una búsqueda, puedes ejecutar búsquedas adicionales (simultáneas) en el editor de consultas con algunas limitaciones. Google SecOps sigue ejecutando tus búsquedas anteriores y ejecuta las nuevas en paralelo.

Importante: Las búsquedas simultáneas y los resultados almacenados requieren que la función de historial de la Búsqueda esté activa. Si anteriormente inhabilitaste el historial de la Búsqueda, puedes volver a habilitarlo haciendo clic en Historial > Habilitar el historial de la Búsqueda.

Las consultas completadas se muestran con un ícono de marca de verificación verde, junto con un contador que indica la cantidad de eventos que devolvió la consulta.

Haz clic en una consulta completada para mostrar los resultados. Los resultados de la búsqueda se muestran debajo del editor de consultas.

Los resultados de la búsqueda se almacenan en caché y solo incluyen los datos disponibles en el momento de la ejecución de la consulta.

Administra tu historial de búsqueda

Tu historial de la Búsqueda se guarda en tu cuenta de Google SecOps.

Importante: Las búsquedas simultáneas y los resultados almacenados requieren que la función de historial de la Búsqueda esté activa.

• Para administrar tu historial de la Búsqueda, en la página Búsqueda de SIEM, haz clic en Historial para abrir el cuadro de diálogo y haz lo siguiente:

  • Ver una lista de todas las búsquedas de tu historial
  • Haz clic en un elemento de la lista para cargarlo en el editor de consultas.
  • Escribe en la barra de búsqueda para encontrar una búsqueda en tu historial.
  • Filtra las búsquedas haciendo clic en Filtrar junto a la barra de búsqueda y filtra las búsquedas por Idioma, que contiene los filtros YL2 y SQL AND Tipo de búsqueda, que contiene los filtros UDM, Registro sin procesar y Estadísticas.
  • Mostrar solo los resultados almacenados completados y en progreso o no (con la casilla de verificación Mostrar solo los resultados almacenados completados y en progreso)
  • Borra el historial de búsqueda.
    • Para borrar el historial de la Búsqueda, haz clic en Más y selecciona Borrar historial.

  • Inhabilita o vuelve a habilitar el historial de búsqueda:

    • Para inhabilitar el historial de la Búsqueda, haz clic en Inhabilitar el historial de la Búsqueda y, luego, selecciona Solo inhabilitar para inhabilitar el historial de la Búsqueda o Inhabilitar y borrar para inhabilitar el historial de la Búsqueda y borrar el historial de la Búsqueda guardado.

    • Si inhabilitaste el historial de la Búsqueda, puedes volver a habilitarlo haciendo clic en Habilitar el historial de búsqueda.

• Para borrar una búsqueda específica del historial de búsqueda, consulta Cómo borrar una búsqueda guardada.

Guarda y usa una consulta de métricas

Nota: Esta función está sujeta a las Condiciones de las Ofertas de Fase Previa a la DG de las Condiciones Específicas del Servicio de Google Security Operations. Las características de la fase previa a la DG pueden tener asistencia limitada, y es posible que los cambios en las características de la fase previa a la DG no sean compatibles con otras versiones de la fase previa a la DG. Para obtener más información, consulta los Lineamientos de los Servicios de Asistencia Técnica de Google SecOps y las Condiciones Específicas del Servicio de Google SecOps.
Si esta función no está visible en tu entorno, consulta Administra las funciones de versión preliminar o comunícate con el administrador del sistema.

Google SecOps clasifica las consultas de métricas con la insignia STATS.

• Para guardar una búsqueda como métrica, haz clic en Más junto a Ejecutar búsqueda y, luego, en Guardar como métrica. Se abrirá la página Reglas y detecciones, en la que se mostrará tu consulta de métricas en la pestaña Métricas. Luego, puedes guardar la métrica o inhabilitarla. Después de guardar una consulta de métrica, no se puede editar ni borrar. Las métricas se pueden inhabilitar en cualquier momento.

Puedes usar una consulta de métricas para establecer patrones de comportamiento típicos y, luego, identificar la actividad atípica. Si tienes una consulta de métricas en el editor de consultas que hace un seguimiento de las tendencias operativas críticas, haz clic en Más > Guardar como métrica. Esto guarda la consulta como una métrica de serie temporal continua que se puede incorporar en paneles personalizados o a la que se puede hacer referencia en alertas de umbral.

Ejemplo de consulta de métricas:

metric metric_1784196814306 {
  (metadata.event_type = "NETWORK_FLOW" OR
  metadata.event_type = "NETWORK_CONNECTION" OR
  metadata.event_type = "NETWORK_DNS" OR
  metadata.event_type = "NETWORK_HTTP")

  outcome:
  $timestamp = timestamp.get_timestamp(metadata.event_timestamp.seconds)
  $hostname = principal.hostname
  $event_type = metadata.event_type
  $user = principal.user.userid
  $principal_process = principal.process.file.full_path
  $principal_cmdline = principal.process.command_line
  $target_process = target.process.file.full_path
  $target_cmdline = target.process.command_line
  $target_url = target.url
  $target_ip = target.ip[0]
  order:
  $timestamp
  }

Administra tus búsquedas (Administrador de búsquedas)

Usa el diálogo Search Manager para administrar tus búsquedas.

• Para abrir el Administrador de búsqueda, en la página Búsqueda de SIEM, haz clic en Administrador de búsqueda.

Insignias de tipo de búsqueda

En la pestaña Guardadas del Administrador de búsquedas, se enumeran todas las búsquedas guardadas y se muestra una insignia con el tipo de búsqueda: UDM, RAW, JOIN, STATS, CASE, CASE HISTORY y ECG.

Acciones del Administrador de búsqueda

En la pestaña Guardados, puedes realizar las siguientes acciones:

• Filtra las búsquedas guardadas: Haz clic en Filtrar junto a la barra de búsqueda y filtra las búsquedas por Fuente, que contiene: Definido por Google SecOps, Creado por mí y Compartido conmigo AND Idioma, que contiene: YL2 y SQL.
• Ordenar búsquedas: Haz clic en list_arrow Ordenar junto a la barra de búsqueda y ordena por Nombre (A - Z), Nombre (Z - A), Más antiguas - Más recientes o Más recientes - Más antiguas.
• Agregar una búsqueda: Haz clic en add_2 Agregar junto a la barra de búsqueda y crea una nueva búsqueda en el cuadro Búsqueda de UDM adyacente. El cuadro de búsqueda de UDM admite las mismas herramientas de edición de UDM y de sugerencias y finalización automáticas que cuando creas una consulta de forma manual en el editor de consultas.
• Compartir o borrar las búsquedas que tú creaste.
• Editar una búsqueda que creaste: Cuando se selecciona una búsqueda en la pestaña Guardadas, el cuadro BÚSQUEDA muestra la consulta, junto con los cuadros Título y Descripción. El cuadro de búsqueda de UDM admite las mismas herramientas de edición de UDM y de sugerencias y finalización automáticas que cuando creas una consulta de forma manual en el editor de consultas.

Cómo guardar una búsqueda

Las búsquedas guardadas y el historial de búsqueda son los siguientes:

• Se almacena con tu cuenta de Google SecOps.
• Solo el usuario individual puede verla y acceder a ella, a menos que uses la función Compartir una búsqueda para compartir tu búsqueda con tu organización.

Para guardar una búsqueda, haz lo siguiente:

1. En la página Búsqueda de SIEM, realiza una de las siguientes acciones:

   • Si hay una consulta válida en el editor de consultas, haz clic en Más junto a Ejecutar búsqueda y, luego, en Guardar búsqueda. Se abrirá el diálogo Administrador de búsqueda.
   • Haz clic en Administrador de la Búsqueda. Se abrirá el diálogo Search Manager.

2. En el cuadro Título, ingresa un nombre para la búsqueda. Google recomienda que le des a tu búsqueda guardada un nombre significativo y una descripción en texto simple de lo que estás buscando.

3. Opcional: En el cuadro Descripción, ingresa una descripción para la búsqueda.

4. Opcional: Especifica variables de marcador de posición en el formato ${<variable name>} con el mismo formato que se usa para las variables en YARA-L. Si agregas una variable a una búsqueda, también debes incluir una instrucción para ayudar al usuario a comprender la información que debe ingresar antes de ejecutar la búsqueda. Todas las variables deben propagarse con valores antes de que se ejecute una búsqueda.

   Por ejemplo, podrías agregar metadata.vendor_name = ${vendor_name} a tu búsqueda. Para ${vendor_name}, debes agregar una instrucción para los usuarios futuros, como Enter the name of the vendor for your search. Cada vez que un usuario cargue esta búsqueda en el futuro, se le pedirá que ingrese el nombre del proveedor antes de ejecutar la búsqueda.

5. Cuando termines, haz clic en Guardar cambios.

• Para ver las búsquedas guardadas, haz clic en Administrador de búsquedas y, luego, en la pestaña Guardadas.

Cómo recuperar y ejecutar una búsqueda guardada

Para recuperar y ejecutar una búsqueda guardada, haz lo siguiente:

1. En la página Búsqueda de SIEM, haz clic en Administrador de búsquedas y selecciona una búsqueda de la lista *Guardadas de la izquierda.
2. Opcional: Para borrar una búsqueda, haz clic en Más y selecciona Borrar búsqueda. Solo puedes borrar las búsquedas que tú creaste.
3. Puedes cambiar el nombre de la búsqueda y la descripción. Cuando termines, haz clic en Guardar cambios.
4. Haz clic en Load search. La búsqueda se carga en el campo de búsqueda principal.
5. Haz clic en Ejecutar búsqueda.

Cómo borrar una búsqueda guardada

Solo puedes borrar las búsquedas que tú creaste.

Para borrar una búsqueda guardada, haz lo siguiente:

1. En la página SIEM Search, haz clic en Search Manager y selecciona una búsqueda de la lista *Saved a la izquierda.
2. Haz clic en Más y selecciona Borrar búsqueda.
3. Haz clic en Borrar búsqueda.

Cómo compartir una búsqueda o dejar de hacerlo

Las búsquedas compartidas te permiten compartir búsquedas con tu equipo. No puedes compartir contenido con una sola persona. Si compartes tu búsqueda, se compartirá con toda tu organización.

No puedes editar una búsqueda compartida que no creaste.

Para compartir una búsqueda, haz lo siguiente:

1. En la página Búsqueda de SIEM, haz clic en Administrador de búsquedas y selecciona una búsqueda de la lista *Guardadas de la izquierda.
2. Haz clic en la búsqueda que quieras compartir.
3. Haz clic en Más en el lado derecho de la búsqueda. Aparecerá un diálogo con la opción para compartir tu búsqueda.
4. Haz clic en Compartir con tu organización. Aparecerá un diálogo que indica que las personas de tu organización podrán ver tu búsqueda. ¿Confirmas que quieres compartir?".
5. Haz clic en Compartir

Si quieres que la búsqueda solo sea visible para ti, haz clic en Más y, luego, en Dejar de compartir. Si dejas de compartirla, solo tú podrás usar esta búsqueda.

Descripción general de los resultados de la búsqueda

Cuando haces clic en Ejecutar búsqueda en la página Búsqueda de SIEM, Google Security Operations evalúa tu consulta en todo tu entorno, y categoriza y muestra los resultados debajo del editor de consultas.

Los elementos de la IU para los resultados de la búsqueda varían según el tipo de búsqueda (que, según sus distintivos, son UDM, RAW, JOIN, STATS, CASE o CASE HISTORY).

En la página SIEM Search, se muestran las siguientes pestañas para los resultados de la búsqueda:

• Resultados: Se muestran para todos los tipos de búsqueda.
• Alertas y detecciones: Se muestra solo para los resultados de búsqueda de UDM, RAW y JOIN.
• Resumen: Se muestra solo para los resultados de la búsqueda de UDM, RAW y JOIN.
• Visualizar: Se muestra solo para los resultados de la búsqueda en ESTADÍSTICAS.

El título de cada pestaña de resultados incluye el recuento entre paréntesis, por ejemplo, Resultados (1,118) o Resultados (más de 100,000) si la cantidad de resultados supera el máximo especificado (en este caso, 100,000).

Si haces clic entre las pestañas, se cambia de forma instantánea la vista del espacio de trabajo, mientras que se conservan la búsqueda y el período.

Cómo ver y administrar la información en la pestaña Resultados

La pestaña Resultados funciona como tu espacio de trabajo principal para ver y administrar los resultados de la búsqueda. Puedes usar la pestaña Resultados para lo siguiente:

• Búsqueda de registros en profundidad
• Cómo ver los datos de telemetría sin procesar
• Genera tablas dinámicas a partir de datos de eventos
• Analiza las distribuciones de valores de campo de alta frecuencia
• Cómo exportar datos a archivos CSV

En la pestaña Resultados, se incluyen los siguientes elementos, según el tipo de búsqueda:

• Paneles con pestañas que contienen los siguientes gráficos:
  • Gráfico de Actividad a lo largo del tiempo: Se muestra para los resultados de la búsqueda de UDM, JOIN, CASE, CASE HISTORY y ECG.
  • Gráfico Tendencia a lo largo del tiempo: Se muestra para los resultados de la búsqueda RAW.
  • Pestaña Prevalencia: Se muestra para los resultados de la búsqueda de UDM.
  • Tabla Mapa de calor de actividad: Se muestra para los resultados de la búsqueda de UDM.
• Panel Agregaciones: Se muestra para todos los tipos de resultados de la búsqueda.

• Paneles con las siguientes tablas, según el tipo de búsqueda:

  • Tabla Eventos y pestaña secundaria Tabla dinámica: Se muestran solo para los resultados de la búsqueda de UDM. En la tabla Eventos, se muestra la telemetría de eventos de UDM normalizada y los registros sin procesar que coinciden con tu consulta dentro del período seleccionado. La pestaña secundaria Pivot te permite crear y usar una tabla dinámica para realizar agrupaciones y resúmenes matemáticos multidimensionales (sum, count, avg, stddev) en los resultados de los eventos.
  • Registros sin procesar: Se muestran solo para los resultados de la búsqueda sin procesar.
  • Estadísticas: Se muestran solo para los resultados de la búsqueda en ESTADÍSTICAS.
  • Unirse: Se muestra solo para los resultados de la búsqueda de JOIN.
  • Casos: Se muestra solo para los resultados de la búsqueda de CASE.
  • Historial de casos: Se muestra solo para los resultados de búsqueda de CASO y de HISTORIAL DE CASOS.
  • Datos con marca de tiempo y Datos sin marca de tiempo: Se muestran solo para los resultados de la búsqueda de ECG.

  Para obtener información sobre las funciones y herramientas compatibles con estas tablas, consulta Usa herramientas comunes para las tablas. Las funciones compatibles incluyen la administración de las columnas en la tabla que muestra la pestaña, la descarga de los resultados de la búsqueda y mucho más.

Sugerencia: Haz clic en Opciones de vista para ocultar o mostrar los gráficos y el panel Agregaciones.

Usa el gráfico Actividad a lo largo del tiempo

La pestaña Actividad a lo largo del tiempo incluye un gráfico (un histograma) del volumen de eventos y alertas a lo largo del tiempo.

Nota: La pestaña Actividad a lo largo del tiempo solo se muestra para los resultados de búsqueda de UDM, JOIN, CASE y CASE HISTORY.

El ancho de cada barra depende del intervalo de tiempo de la búsqueda. Por ejemplo, cada barra representa 10 minutos cuando la búsqueda abarca 24 horas de datos. Este gráfico se actualiza de forma dinámica a medida que modificas la búsqueda existente.

Nota: La ventana de búsqueda máxima es de hasta 365 días para las búsquedas de YARA-L 2.0 y de 90 días para las búsquedas de SQL, desde la hora de inicio hasta la de finalización.

El gráfico admite lo siguiente:

• Ajuste del período: Arrastra los controles deslizantes en la línea de tiempo para reducir la ventana de tiempo visible de forma instantánea. La cuadrícula de resultados y el panel Aggregations se actualizan sin volver a ejecutar la consulta en el backend.
• Visualiza los eventos y las alertas de un período de una sola barra: Haz clic en una barra para limitar el enfoque del gráfico, el panel Agregaciones y la pestaña Detecciones al período de esa barra. Esta acción crea un filtro, que se muestra junto al botón Agregar filtro de filter_list. Para volver a mostrar todos los resultados, borra el filtro.
• Ventana emergente de detalles: Si haces clic en una de las barras, se abrirá una ventana emergente con la hora y los valores de Eventos consultados, Eventos filtrados, Alertas consultadas y Alertas filtradas.

Usa el gráfico Tendencia a lo largo del tiempo

La pestaña Tendencia a lo largo del tiempo incluye un gráfico (un histograma) del volumen de registros sin procesar a lo largo del tiempo. El ancho de cada barra vertical se ajusta de forma dinámica según la ventana de búsqueda general (por ejemplo, cada barra puede representar 10 minutos para una ventana de búsqueda de 24 horas).

Nota: La pestaña Tendencia a lo largo del tiempo solo se muestra para los resultados de la búsqueda de RAW.

El gráfico admite lo siguiente:

• Ajuste del período: Arrastra los controles deslizantes en la línea de tiempo para reducir la ventana de tiempo visible de forma instantánea. La cuadrícula de resultados y el panel Agregaciones se actualizan sin volver a ejecutar la consulta en el backend.
• Consulta cuántos registros analizados, sin analizar y desconocidos se detectaron en el intervalo de una sola barra: Desconocido significa que se detectaron uno o más registros en el momento, pero la cantidad no está determinada. Haz clic en una barra para limitar el enfoque del gráfico y el panel Agregaciones al intervalo de tiempo de esa barra. Esta acción crea un filtro, que se muestra junto al botón Agregar filtro de filter_list. Para volver a mostrar todos los resultados, borra el filtro.
• Ventana emergente de detalles: Si haces clic en una de las barras, se abrirá una ventana emergente con la hora y los valores de Eventos consultados, Eventos filtrados, Alerta consultada y Alertas filtradas.

Usa la pestaña Prevalencia

La pestaña Prevalence solo aparece si tu búsqueda incluye un dominio.

En la pestaña Prevalencia, se muestra la prevalencia de los dominios asociados con tu búsqueda en tu empresa. Combina una lista de dominios de baja prevalencia con un gráfico interactivo. La pestaña solo aparece si tu búsqueda de UDM incluye un dominio.

Nota: La pestaña Prevalencia solo se muestra para los resultados de la búsqueda de UDM.

La lista de dominios con baja prevalencia incluye las siguientes columnas:

• Dominios de prevalencia baja: Muestra los nombres de dominio asociados con tus resultados de la búsqueda. Haz clic en arrow_upward para ordenar los dominios alfabéticamente (de la Z a la A) y en arrow_downward para ordenarlos alfabéticamente (de la A a la Z).

• Prevalencia ≤ 10: Muestra el recuento total de ocurrencias para cada dominio con una prevalencia de 10 o menos. Haz clic en arrow_upward para ordenar los recuentos numéricamente en orden descendente y en arrow_downward para ordenarlos en orden ascendente.

En el gráfico, mantén el puntero sobre un círculo para mostrar el dominio específico y acotar tu búsqueda solo a los eventos asociados con ese dominio.

Usa la pestaña Mapa de calor de actividad

En la pestaña Mapa de calor de actividad, se muestran los datos de eventos en una cuadrícula de cronograma visual para destacar dónde se concentran más los eventos durante el período determinado. El eje Y muestra las fechas dentro del período de búsqueda, y el eje X muestra la hora del día en intervalos de una hora (de 00:00 a 23:00).

Nota: La pestaña Mapa de calor de actividad solo se muestra para los resultados de la búsqueda de UDM.

Una leyenda de gradiente de color indica el volumen de eventos en una hora específica, en la que los colores más claros indican menos eventos y los colores más oscuros indican una densidad más alta. También puedes ajustar el indicador de densidad para ver u ocultar los intervalos por hora ajustando el control deslizante horizontal. Haz clic en las flechas hacia arriba o hacia abajo del panel lateral para desplazarte por las fechas y ajustar el período específico.

Usa el panel Agregaciones para definir mejor los resultados de la búsqueda

En el panel Agregaciones, se resumen los valores de alta frecuencia, que puedes usar para definir mejor los resultados de la búsqueda.

Nota: El panel Agregaciones se muestra para todos los tipos de resultados de la búsqueda.

El panel Agregaciones incluye dos listas contraíbles: Campos de UDM (que es una lista de campos de UDM coincidentes) y otra lista de campos que se ajusta al tipo de búsqueda (por ejemplo, Campos de registro para búsquedas de registros sin procesar, Campos de estadísticas, Campos de casos, etcétera). En el caso de las búsquedas de UDM, el panel Aggregations contiene la lista UDM Fields y la lista Grouped Fields.

Para fijar un campo en la parte superior de la lista Agregaciones, mantén el puntero sobre un campo y haz clic en el ícono keep Conservar.

Puedes buscar campos o valores de campo específicos con el campo searchcampo de búsqueda del panel.

Cada campo muestra el "recuento de coincidencias", es decir, la cantidad de registros que tienen el mismo valor para ese campo. El contenido de las listas se ordena de mayor a menor cantidad de coincidencias y en orden alfabético dentro de la misma cantidad de coincidencias. Puedes buscar campos en las listas y expandir un elemento de campo.

Para filtrar los resultados de la búsqueda con agregaciones, haz lo siguiente:

1. En el panel Agregaciones, selecciona un campo de una lista para mostrar los valores de la lista para ese campo.

2. Selecciona un valor de la lista y haz clic en more_vert Más.

3. Selecciona una opción de filtro:

   • Mostrar solo: La tabla adyacente correspondiente se actualiza para mostrar solo los registros coincidentes, y el filtro = "value" se muestra junto al botón Agregar filtro filter_list.
   • Excluir: La tabla adyacente correspondiente se actualiza con los registros coincidentes excluidos, y el filtro != "value" se muestra junto al botón Agregar filtro de filter_list.
   • Copiar: Copia el par campo-valor en el portapapeles.

   

   Figura 4. Ejemplo de filtrado de campos con el panel Agregaciones.

   

   Figura 5. Botón filter_list Agregar filtro con dos filtros existentes (uno que se muestra y otro en la lista +1 más).

4. Opcional: Si seleccionaste Mostrar solo o Filtrar en el paso anterior y deseas incorporar automáticamente el filtro en el editor de consultas y volver a ejecutar la búsqueda, haz clic en Aplicar a la búsqueda y ejecutar.

Usa campos agrupados en el panel Agregaciones de la pestaña Resultados

El panel Agregaciones para las búsquedas de UDM incluye la lista Campos agrupados. Los campos agrupados actúan como alias de categorías potentes que combinan campos de UDM relacionados sin necesidad de que escribas cada uno por separado. Para obtener más información sobre los campos agrupados, consulta Campos agrupados de la búsqueda.

Alias de campo agrupado	Campos de UDM asociados incluidos en el alias
domain	about.administrative_domain about.asset.network_domain network.dns.questions.name network.dns_domain principal.administrative_domain principal.asset.network_domain target.administrative_domain target.asset.hostname target.asset.network_domain target.hostname
email	intermediary.user.email_addresses network.email.from network.email.to principal.user.email_addresses security_result.about.user.email_addresses target.user.email_addresses
file_path	principal.file.full_path principal.process.file.full_path principal.process.parent_process.file.full_path target.file.full_path target.process.file.full_path target.process.parent_process.file.full_path
hash	about.file.md5 about.file.sha1 about.file.sha256 principal.process.file.md5 principal.process.file.sha1 principal.process.file.sha256 security_result.about.file.sha256 target.file.md5 target.file.sha1 target.file.sha256 target.process.file.md5 target.process.file.sha1 target.process.file.sha256
hostname	intermediary.hostname observer.hostname principal.asset.hostname principal.hostname src.asset.hostname src.hostname target.asset.hostname target.hostname
ip	intermediary.ip observer.ip principal.artifact.ip principal.asset.ip principal.ip src.artifact.ip src.asset.ip src.ip target.artifact.ip target.asset.ip target.ip
namespace	principal.namespace src.namespace target.namespace
process_id	principal.process.parent_process.pid principal.process.parent_process.product_specific_process_id principal.process.pid principal.process.product_specific_process_id target.process.parent_process.pid target.process.parent_process.product_specific_process_id target.process.pid target.process.product_specific_process_id
user	about.user.userid observer.user.userid principal.user.user_display_name principal.user.userid principal.user.windows_sid src.user.userid target.user.user_display_name target.user.userid target.user.windows_sid

Usa el panel Eventos

Usa el panel Eventos para ver, ordenar y administrar los eventos que coinciden con tu búsqueda de UDM.

Para obtener información sobre las funciones y herramientas compatibles con el panel Eventos, consulta Usa herramientas comunes para tablas. Las funciones compatibles incluyen la administración de las columnas en la tabla que muestra la pestaña, la descarga de los resultados de la búsqueda y mucho más.

De forma predeterminada, después de ejecutar una búsqueda, la tabla Eventos muestra columnas clave (denominadas campos rápidos), por ejemplo, Estado del evento, Marca de tiempo, Tipo (udm.metadata.event_type), Resumen, Usuario (udm.principal.user.userid o target.user.userid), Nombre de host (udm.principal.hostname o target.hostname). Según el alcance de la consulta y la fuente de registro, la tabla también puede mostrar de forma dinámica campos rápidos relevantes, como Acción (udm.security_result.action).

Nota: En el caso de los eventos asociados con alertas, la columna Estado del evento muestra un chip de Alerta con un recuento cuando se aplican varias alertas.

Inspeccionar detalles específicos de un solo evento (correlación del Visor de eventos y del registro sin procesar)

• Para inspeccionar los detalles detallados de un solo evento, haz clic en la fila. Se abrirá el Visualizador de eventos.

  Para obtener más información, consulta Usa el Visualizador de eventos para los resultados de UDM y RAW.

Pestaña Dinámica: Crea una tabla dinámica

Puedes usar una tabla dinámica para realizar agrupaciones y resúmenes matemáticos multidimensionales en tus resultados de la búsqueda.

Para abrir y configurar una tabla dinámica, haz lo siguiente:

1. Ejecuta una búsqueda de UDM.
2. En la pestaña Resultados, haz clic en la pestaña secundaria Pivot. Se abrirá el panel Configuración de tabla dinámica.

3. En Agrupar por, haz clic en Agregar Campo para seleccionar hasta cinco campos del UDM para agrupar las filas. Aparecen opciones de transformación especiales según el tipo de campo:

   • Campos de cadena: Opción para forzar el uso de minúsculas. Puedes mostrar los resultados con el uso de mayúsculas predeterminado o solo con minúsculas seleccionando Minúsculas en el menú.
   • Campos de nombre de host:
     • Dominio registrado: Muestra solo el nombre de dominio registrado (como google.com, nytimes.com, youtube.com).
     • Dominio de nivel N principal: Especifica qué nivel del dominio se debe mostrar. Por ejemplo, si usas el valor 1, solo se mostrará el dominio de nivel superior (como com, gov o edu). Si usas el valor 3, se mostrarán los siguientes dos niveles de los nombres de dominio (como google.co.uk).
   • Campos de IP: Opción para agrupar por longitud del prefijo de CIDR en bits. Puedes especificar de 1 a 32 para las direcciones IPv4. Para las direcciones IPv6, puedes especificar valores de hasta 128.
   • Campos de marca de tiempo: Opción para agrupar por resolución de tiempo (milisegundos, segundos, minutos, horas y días).

4. En Valores, especifica un valor para tu tabla dinámica de la lista de campos de tus resultados. Puedes especificar hasta cinco valores.

5. Para cada campo que especifiques en Valores, debes seleccionar una de las siguientes opciones de Resumir por:

   • Avg (promedio)
   • Recuento
   • Recuento de valores distintos
   • Max
   • Min
   • Suma
   • Stddev (desviación estándar)

   Las opciones de Resumir no son compatibles de forma universal con los campos de Agrupar por. Por ejemplo, las opciones Suma, Promedio, Desviación estándar, Mínimo y Máximo solo se pueden aplicar a campos numéricos. Si intentas asociar una opción de Resumir incompatible con un campo Agrupar por, recibirás un mensaje de error.

   Especifica un valor de Cantidad de eventos para devolver la cantidad de eventos identificados para esta búsqueda y tabla dinámica en particular.

6. En Ordenar por, especifica uno o más campos de UDM y selecciona una o más clasificaciones con la opción Ascendente o Descendente.

7. Haz clic en Aplicar cuando esté todo listo. Los resultados se muestran en el panel Pivot.

8. Opcional: Para descargar y guardar el contenido de la tabla dinámica, consulta Cómo descargar los resultados de la búsqueda de una tabla.

Usa el panel Registros sin procesar

Usa el panel Registros sin procesar para ver, ordenar y administrar los registros que coinciden con tu búsqueda, lo que evalúa la telemetría de registros sin procesar y sin analizar. El objetivo principal del diagnóstico es supervisar el estado de la transferencia y el análisis, es decir, supervisar cuántos registros se analizaron en comparación con cuántos registros no se analizaron y con los desconocidos (lo que significa que se detectaron uno o más registros en un momento determinado, pero la cantidad no está determinada).

Para obtener información sobre las funciones y herramientas compatibles con esta pestaña, consulta Usa herramientas comunes para tablas. Entre las funciones admitidas, se incluyen administrar las columnas de la tabla que muestra la pestaña, descargar los resultados de la búsqueda y mucho más.

Inspeccionar los detalles detallados de un solo registro sin procesar (Visualizador de eventos y correlación de registros sin procesar)

• Para inspeccionar los detalles detallados de un solo registro sin procesar, haz clic en la fila. Se abrirá el Visualizador de eventos.

  Para obtener más información, consulta Cómo usar el Visor de eventos para los resultados de UDM y RAW.

Usa el panel Estadísticas

Usa el panel Estadísticas para ver, ordenar y administrar las estadísticas que coinciden con tu búsqueda.

El panel Estadísticas solo admite un selector de columnas en el que puedes agregar o quitar columnas.

Para obtener información sobre las funciones y herramientas compatibles con esta pestaña, consulta Usa herramientas comunes para las tablas. Entre las funciones admitidas, se incluye la descarga de resultados de la búsqueda y mucho más.

Usa el panel de combinaciones

Usa el panel Uniones para ver, ordenar y administrar los elementos que coinciden con tu búsqueda.

Para obtener información sobre las funciones y herramientas compatibles con esta pestaña, consulta Usa herramientas comunes para las tablas. Entre las funciones admitidas, se incluyen administrar las columnas de la tabla que muestra la pestaña, descargar los resultados de la búsqueda y mucho más.

Cómo usar el panel Casos

Usa el panel Cases para ver, ordenar y administrar los casos que coinciden con tu búsqueda.

Para obtener información sobre las funciones y herramientas compatibles con esta pestaña, consulta Usa herramientas comunes para las tablas. Las funciones compatibles incluyen la administración de las columnas en la tabla que muestra la pestaña, la descarga de los resultados de la búsqueda y mucho más.

Usa el panel Historial del caso

Usa el panel Historial de casos para ver, ordenar y administrar los historiales de casos que coincidan con tu búsqueda.

Para obtener información sobre las funciones y herramientas compatibles con esta pestaña, consulta Usa herramientas comunes para tablas. Entre las funciones admitidas, se incluyen administrar las columnas de la tabla que muestra la pestaña, descargar los resultados de la búsqueda y mucho más.

Usa los paneles Timed Data y Timeless Data

Usa los paneles Datos con marca de tiempo y Datos sin marca de tiempo para ver, ordenar y administrar los resultados de las búsquedas de ECG. En el panel Datos cronometrados, se muestran los resultados de las entidades que tienen un período definido, es decir, que tienen un valor para metadata.interval.end_time durante la transferencia. En el panel Datos atemporales, se muestran los resultados de las entidades que no tienen un período definido, es decir, que no tienen un valor para metadata.interval.end_time.

Importante: La base de datos de ECG almacena por separado las entidades con marca de tiempo y sin ella. Cuando ejecutas una búsqueda de ECG, Google SecOps crea una unión de los almacenes de datos temporales y permanentes, y devuelve los mejores resultados de cada uno, hasta la cantidad máxima de resultados configurada. Los datos de las entidades con marca de tiempo se ordenan según la marca de tiempo más reciente, pero no se puede conocer el orden de los datos de las entidades sin marca de tiempo. Por lo tanto, es posible que la interfaz muestre solo entidades independientes del tiempo, solo entidades temporales o una combinación diferente de ellas cada vez que se ejecute la búsqueda.

Cómo usar el visualizador de eventos para los resultados de UDM y RAW

• Para inspeccionar los detalles detallados de un solo evento o registro sin procesar, haz clic en una fila de la tabla Eventos o Registros sin procesar. Se abrirá el Visualizador de eventos.

El Visualizador de eventos incluye las siguientes pestañas:

• Campos de eventos
• Registro sin procesar
• Alertas: Se muestran solo para los resultados de UDM de la tabla Eventos.
• Entidades

Usa la pestaña Campos de eventos

De forma predeterminada, la pestaña Campos de eventos muestra los campos de eventos de UDM en una estructura de árbol jerárquica, que se etiqueta como Seleccionado.

Usa la pestaña Event Fields para hacer lo siguiente:

• Consulta la definición de un campo. Mantén el puntero sobre el nombre del campo para ver su definición.
• Fija un campo para acceder a él rápidamente. En la lista Seleccionado, selecciona un campo y haz clic en mantener fijar. Luego, el campo se muestra en la lista Fijados. Los campos permanecen en la lista Seleccionados, y su jerarquía en la Lista fijada se muestra en notación delimitada por puntos con el prefijo udm (por ejemplo, udm.metadata.event_type).
• Agregar a columnas o copiar varios campos Selecciona la casilla de verificación junto a un nodo o campo y, luego, elige Agregar a las columnas o Copiar.

• Realiza las siguientes acciones:

  • Filtros: Aplica los siguientes filtros a los elementos seleccionados (check_box) en la lista Seleccionados:
    • Campos
      • Mostrar campos no enriquecidos
      • Mostrar campos enriquecidos
      • Mostrar campos adicionales
      • Mostrar campos extraídos
    • Fuentes de registro de enriquecimiento: Las opciones disponibles dependen del evento.
  • Copiar: Copia los campos y valores de UDM seleccionados en el portapapeles del sistema.
  • Agregar a las columnas: Agrega el campo de UDM como una columna.

Cada campo de UDM se etiqueta con un ícono que indica si el campo contiene datos enriquecidos o no enriquecidos. Las etiquetas de los íconos son las siguientes:

• U: Los campos no enriquecidos contienen valores que se completan durante el proceso de normalización con datos del registro sin procesar original.

• E: Los campos enriquecidos contienen valores que Google SecOps completa para proporcionar contexto adicional sobre los artefactos en el entorno de un cliente. Para obtener más información, consulta Enriquece los datos de eventos y entidades con Google SecOps.

  En la pantalla de cada campo enriquecido, se pueden mostrar todas las fuentes asociadas. Esta información es útil para la validación y la solución de problemas, y puede ser necesaria para fines de auditoría y cumplimiento. También puedes filtrar los campos según su fuente de enriquecimiento.

Figura 6. Campos de UDM enriquecidos y no enriquecidos en la pestaña Campos de eventos del Visualizador de eventos, que muestran las fuentes de los campos enriquecidos.

Figura 7. Usa el filtro de la pestaña Event Fields para mostrar u ocultar campos según varios atributos.

Usa la pestaña Registro sin procesar

En la pestaña Registro sin procesar, se muestra el registro sin procesar original en cualquiera de los siguientes formatos:

• Sin procesar
• JSON
• XML
• CSV
• Hex/ASCII

Usa la pestaña Alertas

En la pestaña Alertas, se muestran las alertas asociadas al evento.

La pestaña Alertas solo se muestra para los resultados de UDM de la tabla Eventos.

Cómo usar la pestaña Entidades

En la pestaña Entidades, se muestran las entidades asociadas con el evento.

Haz clic en una entidad para mostrar el cuadro de diálogo Contexto de la entidad, que puede incluir los siguientes elementos:

• Nombre del recurso
• Primera vez que se vio
• Última vez que se vio
• Direcciones IP
• Direcciones MAC
• Cantidad de alertas
• Recuento de la mayor cantidad de alertas por regla
• Gráfico de barras de alertas en el tiempo
• Vínculo Abrir IOC y alertas
• Vínculo Ver en la pestaña Alertas

Consulta y administra la información en la pestaña Alertas y detecciones

Usa la pestaña Alertas y detecciones para lo siguiente:

• Búsqueda de amenazas en todas las ejecuciones de reglas
• Comparación de activadores de alertas que requieren acción con precursores de comportamiento de bajo ruido
• Delimitar los límites del incidente en una vista consolidada

En la pestaña Alertas y detecciones, se muestran las alertas y las detecciones que coinciden con tus criterios de búsqueda activos. Si combinas las alertas y las detecciones en una sola pestaña, puedes inspeccionar las alertas de gravedad alta junto con las coincidencias de reglas de comportamiento subyacentes para descubrir precursores de bajo ruido que no cruzaron el umbral de alerta de forma independiente.

Las alertas son eventos de UDM y datos de telemetría del conector de terceros etiquetados con umbrales de alerta o notificaciones de gravedad alta. El recuento de Alertas muestra la telemetría de los registros del UDM que activaron una regla de alerta (alert_state = "ALERTING"), junto con las notificaciones de alta prioridad que se transfirieron desde conectores de seguridad de terceros (como CrowdStrike o webhooks de SOAR).

Las detecciones son todos los resultados de la ejecución de reglas de alerta (ALERTING) y sin alerta (NOT_ALERTING) que generan las reglas de YARA-L 2.0 en todo tu entorno. En la pestaña, se muestran los resultados integrales de la ejecución de reglas que genera tu motor de detección de YARA-L 2.0 en los aciertos de reglas con alertas y sin alertas. Cada alerta generada por una regla también es una detección (ALERTING), pero el recuento de Detecciones también incluye todas las coincidencias de reglas informativas, en segundo plano o que no generan alertas (NOT_ALERTING).

El recuento en el encabezado de la pestaña clasifica las coincidencias de ejecución de reglas por estado de alerta. Por ejemplo, si el encabezado de la pestaña es Alertas (43) y Detección (0), significa que hay 43 coincidencias en las que se ejecutó la regla alerting_rule = true y cero ejecuciones de reglas que no generan alertas (NOT_ALERTING).

La pestaña Alertas y detecciones incluye los siguientes paneles:

• Gráfico Tendencia a lo largo del tiempo
• Panel Aggregations
• Panel Detecciones

Sugerencia: Haz clic en Opciones de vista para ocultar o mostrar el gráfico y el panel Agregaciones.

Usa el gráfico Tendencia en el tiempo

La pestaña Tendencia a lo largo del tiempo de la pestaña Alertas y detecciones incluye un gráfico (un histograma) del volumen de detecciones a lo largo del tiempo. El ancho de cada barra vertical se ajusta dinámicamente según tu período de búsqueda general (por ejemplo, cada barra podría representar 10 minutos para un período de búsqueda de las 24 horas).

En el gráfico, se agrupan todas las coincidencias de ejecución de reglas a lo largo del tiempo en una sola serie agregada etiquetada como Detecciones.

Nota: El encabezado de la pestaña muestra los valores de recuento y divide los hallazgos por estado de alerta (por ejemplo, Alertas (43) y Detección (0)), mientras que el gráfico Tendencia a lo largo del tiempo agrega todas las ocurrencias de detección como barras de Detecciones.

El gráfico admite lo siguiente:

• Ajuste del período: Arrastra los controles deslizantes en la línea de tiempo para reducir la ventana de tiempo visible de forma instantánea. La cuadrícula de resultados y las agregaciones se actualizan sin volver a ejecutar la consulta en el backend.
• Ver las agregaciones y las detecciones para el período de una sola barra: Haz clic en una barra para reducir el enfoque del gráfico, la pestaña Aggregations y la pestaña Detections al período de esa barra. Esta acción crea un filtro, que se muestra junto al botón filter_list Agregar filtro. Borra el filtro para volver a mostrar todos los resultados.
• Ventana emergente de detalles: Si haces clic en una de las barras, se abrirá un diálogo con la hora y los valores de Detecciones consultadas y Detecciones filtradas.

Usa el panel Agregaciones para definir mejor las detecciones

El contenido del panel Aggregations en la pestaña Alerts & Detections resume los valores de los resultados de detección de alta frecuencia, que puedes usar para definir mejor tus resultados de búsqueda.

El panel Aggregations incluye tres listas contraíbles: Detection fields, UDM fields (que es una lista de campos de UDM coincidentes) y Entity Fields.

En cada campo, se muestra el "recuento de coincidencias", es decir, la cantidad de detecciones de alertas que tienen el mismo valor para ese campo. El contenido de las listas se ordena de mayor a menor cantidad de coincidencias y en orden alfabético dentro de la misma cantidad de coincidencias. Puedes buscar campos en las listas y expandir un elemento de campo.

Puedes fijar un campo en la parte superior de la lista Agregaciones manteniendo el puntero sobre un campo y haciendo clic en el ícono keep Conservar.

Busca resultados de detección de alertas en el panel Agregaciones

Puedes buscar campos o valores de campo específicos con el campo de búsqueda search del panel Aggregations. Esto puede ayudarte a enfocarte en las alertas que son más importantes para ti.

Los siguientes son atributos clave de las alertas para filtrar alertas en el panel Aggregations:

• Caso
• Nombre
• Prioridad
• Gravedad
• Estado
• Veredicto

Cómo filtrar los resultados de detección de alertas en el panel Aggregations

Para filtrar los resultados de la detección de alertas con agregaciones, haz lo siguiente:

1. En el panel Agregaciones, selecciona un campo de una lista para mostrar una lista de valores para ese campo.

2. Selecciona un valor de esa lista y haz clic en more_vert Más.

3. Selecciona una opción de filtro:

   • Mostrar solo: La tabla Detecciones se actualiza para mostrar solo las alertas que coinciden, y el filtro = "value" se muestra junto al botón filter_list Agregar filtro.
   • Filtrar: La tabla Detecciones se actualiza con las alertas coincidentes filtradas, y el filtro != "value" se muestra junto al botón Agregar filtro de filter_list.
   • Mayor que (solo para campos de números enteros): La tabla Detections se actualiza para mostrar alertas con un valor mayor que este, y el filtro > "value" se muestra junto al botón filter_list Agregar filtro.
   • Mayor o igual que (solo para campos de números enteros): La tabla Detecciones se actualiza para mostrar alertas con un valor mayor o igual que este, y el filtro >= "value" se muestra junto al botón Agregar filtro filter_list.
   • Menor que (solo para campos de números enteros): La tabla Detecciones se actualiza para mostrar alertas con un valor menor que este, y el filtro < "value" se muestra junto al botón filter_list Agregar filtro.
   • Menor que o igual a (solo para campos de números enteros): La tabla Detections se actualiza para mostrar alertas con un valor menor o igual a este, y el filtro <= "value" se muestra junto al botón Agregar filtro filter_list.
   • Copiar: Copia el par campo-valor en el portapapeles.

• Para borrar un filtro y actualizar los resultados de la detección de alertas, borra el filtro que se muestra junto al botón Agregar filtro filter_list.

Usa el panel Detecciones

Usa el panel Detecciones para ver, ordenar y administrar los elementos que coinciden con tu búsqueda.

Para obtener información sobre las funciones y herramientas compatibles con esta pestaña, consulta Usa herramientas comunes para tablas. Las funciones compatibles incluyen la administración de las columnas en la tabla que muestra la pestaña, la descarga de los resultados de la búsqueda y mucho más.

Inspecciona los detalles específicos de una sola alerta (visor de alertas)

• Para inspeccionar los detalles detallados de una sola alerta, haz clic en una fila de la tabla Detecciones. Se abrirá el Visor de alertas.

El Visualizador de alertas incluye las siguientes pestañas:

• Campos de detección
• Detalles
• Variables

• Entidades
  
  

• Para ir a otra página de la consola de Google SecOps con detalles de la alerta, haz clic en Ver detalles.

Usa la pestaña Campos de detección

De forma predeterminada, la pestaña Campos de detección muestra los campos de detección en una estructura de árbol jerárquica, que se etiqueta como Seleccionados.

Usa la pestaña Detection Fields para hacer lo siguiente:

• Consulta la definición de un campo. Mantén el puntero sobre el nombre del campo para ver su definición.
• Fija un campo para acceder a él rápidamente. En la lista Seleccionado, selecciona un campo y haz clic en mantener fijar. Luego, el campo se muestra en la lista Fijados. Los campos permanecen en la lista Seleccionados, y su jerarquía en la Lista fijada se muestra en notación delimitada por puntos con el prefijo collection (por ejemplo, collection.created_time).
• Agrega columnas o copia varios campos. Selecciona la casilla de verificación junto a un nodo o campo y, luego, elige Agregar a las columnas o Copiar.

• Realiza las siguientes acciones:

  • Aplica filtros a la lista Seleccionados.
  • Agregar a las columnas: Agrega el campo como una columna.
  • Copiar: Para copiar los campos y valores seleccionados en el portapapeles del sistema

Usa la pestaña Detalles

En la pestaña Detalles, se muestran los detalles de la alerta. El conjunto de campos de detalles varía según la alerta específica.

Ejemplos de campos de detalles:

• Nombre (siempre alerta)
• Tipo
• Gravedad
• Puntuación de riesgo
• Estado
• Prioridad
• Detectadas
• Período de detección
• Creado
• Regla
• Conjunto de reglas
• Descripción
• Etiquetas

Usa la pestaña Variables

En la pestaña Variables, se muestran el campo, el tipo y el valor de cada variable asociada con la alerta.

Cómo usar la pestaña Entidades

La pestaña Entidades solo se muestra cuando hay una entidad asociada a la alerta.

En la pestaña Entidades, se muestran las entidades asociadas con la alerta.

Haz clic en una entidad para mostrar el cuadro de diálogo Contexto de la entidad, que puede incluir los siguientes elementos:

• Nombre del recurso
• Primera vez que se vio
• Última vez que se vio
• Direcciones IP
• Direcciones MAC
• Cantidad de alertas
• Recuento de la mayor cantidad de alertas por regla
• Gráfico de barras de alertas en el tiempo
• Vínculo Abrir IOC y alertas
• Vínculo Ver en la pestaña Alertas

Cómo ver y administrar la información en la pestaña Resumen

Usa la pestaña Descripción general para hacer lo siguiente:

• Verificar el historial de la entidad (Primera vez que se vio, Última vez que se vio, Direcciones MAC)
• Verificar si los indicadores observados se superponen con casos o alertas de operaciones de seguridad activas

En la pestaña Descripción general, se muestra el gráfico de contexto de entidad (ECG) consolidado, los detalles del recurso o del usuario, y la descripción general de la investigación de los indicadores de compromiso (IOC) o las entidades que coinciden con tu ventana de búsqueda activa. La información que se presenta varía según el tipo de información.

En la pestaña Descripción general, se muestra la información de la entidad en uno de los siguientes tipos de información predefinidos:

• Detalles del recurso
• Detalles del dominio
• Detalles del archivo
• Detalles de la IP
• Detalles del usuario

Consulta los detalles del recurso en la pestaña Resumen

Cuando la consulta incluye una condición que devuelve un recurso específico, por ejemplo, principal.hostname="laptop-will" o principal.ip="10.0.0.76", la pestaña Descripción general muestra la Vista de recursos con información en los siguientes paneles:

• Resumen de la búsqueda: Muestra la siguiente información:
  • Detalles sobre la entidad, incluidas la dirección IP y la dirección MAC asociadas con el recurso durante el período de búsqueda. La dirección IP y la dirección MAC también se pueden usar para identificar una entidad y se puede hacer clic en ellas para mostrar información adicional en el visor de entidades. También se muestra la primera vez que se vio el activo en tu empresa y cuándo se vio por última vez (más recientemente). Puedes hacer clic en cualquiera de las marcas de tiempo (la primera o la última) para ejecutar una búsqueda nueva con esa hora.
  • Detalles sobre las alertas, incluido un gráfico que muestra la cantidad de alertas que involucraron a la entidad dentro del período de búsqueda. En el panel, también se muestra un subconjunto de reglas con la mayor cantidad de alertas.
  • Haz clic en Abrir alertas y IOC para ver todas las alertas generadas durante el mismo período de búsqueda.
  • Haz clic en Ver en la pestaña Alertas para cambiar a la pestaña Alertas y detecciones en esta página y comenzar una nueva búsqueda en la entidad seleccionada.
  • Haz clic en una de las barras del gráfico para cambiar a la pestaña Alertas y detecciones en esta página y comenzar una nueva búsqueda en la entidad seleccionada, con el período de la barra en la que se hizo clic.
  • Haz clic en el vínculo Ver más para abrir la vista Campos de la entidad y mostrar todos los campos de la entidad asociados al recurso. Para copiar un campo de entidad en el portapapeles, haz clic en la casilla de verificación junto al campo de entidad, haz clic en Ver acciones y, luego, en Copiar entidad. Haz clic en la casilla de verificación de la parte superior para seleccionar todas las entidades.
• IOC relevantes: Muestra los IOC asociados con el recurso. Los IOC con una gravedad más alta se muestran primero. Si haces clic en el nombre del IOC, se abrirá el visualizador de entidades a la derecha.
• Entidades asociadas: Muestra otras entidades con las que se relaciona este activo, como los usuarios que accedieron a él. En el panel, se muestra el tipo de entidad, cuándo se vio por primera vez en el entorno y cuándo se vio por última vez (más recientemente). También muestra los espacios de nombres asociados con un activo. Haz clic en una entidad para abrir el panel Contexto de la entidad. Haz clic en Mostrar todo el tiempo para mostrar las entidades asociadas durante todo el período disponible, en lugar del intervalo especificado en la búsqueda de UDM.
• Contexto de la entidad: Muestra detalles sobre la entidad que seleccionaste en el panel Entidades asociadas. En este panel, se muestra información diferente según el tipo de entidad que seleccionaste en el panel Entidades asociadas (por ejemplo, usuario o dominio).

Consulta los detalles del dominio en la pestaña Resumen

Cuando la consulta incluye una condición que especifica un dominio determinado, por ejemplo, target.hostname="example.com", la pestaña Descripción general muestra los detalles del Dominio con información en los siguientes paneles:

• Resumen de la búsqueda: Muestra la siguiente información:
  • Detalles sobre el dominio, incluida la información de WHOIS asociada con el dominio registrado, la primera vez que se vio en tu empresa y la última vez (más reciente) que se vio. Haz clic en VT Context para ver información sobre el dominio de VirusTotal.
  • Detalles sobre las alertas, incluido un gráfico que muestra la cantidad de alertas que involucraron a la entidad dentro del período de búsqueda. En el panel, también se muestra un subconjunto de reglas con la mayor cantidad de alertas.
  • Haz clic en Abrir alertas e IOC para ver todas las alertas generadas durante el mismo período de búsqueda.
  • Haz clic en Ver en la pestaña Alertas para cambiar a la pestaña Alertas y detecciones en esta página y comenzar una nueva búsqueda en la entidad seleccionada.
  • Haz clic en una de las barras del gráfico para cambiar a la pestaña Alertas y detecciones en esta página y comenzar una nueva búsqueda en la entidad seleccionada, con el período de la barra en la que se hizo clic.
  • Haz clic en el vínculo Ver más para abrir la vista Campos de entidad y mostrar todos los campos de entidad asociados con el dominio. Para copiar un campo de entidad en el portapapeles, haz clic en la casilla de verificación junto al campo de entidad, haz clic en Ver acciones y, luego, en Copiar entidad. Haz clic en la casilla de verificación de la parte superior para seleccionar todas las entidades.
• IPs resueltas: Muestra todas las direcciones IP resueltas que se vieron en tu empresa para el nombre de dominio completamente calificado (FQDN). Por ejemplo, si buscas target.hostname="test.altostrat.com", los resultados de la búsqueda podrían mostrar dos direcciones IP resueltas (198.51.100.81 y 203.0.113.81).
• Subdominios y dominios hermanos: Muestra todos los subdominios asociados que se vieron en tu empresa para un FQDN determinado. Muchos adversarios usan el mismo dominio y subdominio para sus ataques. Por ejemplo, si buscas target.hostname="sandbox.altostrat.com", este panel muestra dos subdominios, test.sandbox.altostrat.com y staging.sandbox.altostrat.com.
• Prevalencia de los recursos: Muestra la cantidad de recursos de tu empresa que se conectaron al dominio durante todo el período de los datos almacenados en tu cuenta de Google Security Operations. Cada barra del gráfico representa la cantidad de activos únicos de tu empresa que se conectaron al dominio en un día UTC. Coloca el cursor sobre una barra para mostrar las entidades relacionadas en el día UTC que representa la barra. Haz clic en el nombre de la entidad para ver el resumen y la descripción general en el panel de contexto de la entidad que se muestra a la derecha. Haz clic en Ver eventos para ver los eventos relacionados con la entidad seleccionada en la pestaña de eventos de búsqueda.
• Entidades asociadas: Muestra otras entidades con las que se relaciona este dominio, como los activos que se comunicaron con él. La lista incluye el tipo de entidad, cuándo se vio por primera vez en tu empresa y cuándo se vio por última vez (más recientemente). Haz clic en una entidad para abrir el panel Contexto de la entidad.
• Contexto de la entidad: Muestra detalles sobre la entidad que seleccionaste en el panel Entidades asociadas. En este panel, se muestra información diferente según el tipo de entidad que hayas seleccionado en el panel Entidades asociadas (por ejemplo, dirección IP o dominio).

Consulta los detalles del archivo

Cuando la consulta incluye una condición que devuelve un solo archivo, por ejemplo, principal.process.file.md5="a00000a75f2a35130aa7a7aaa09aaa7a", en la pestaña Resumen, se muestran los detalles del Archivo con información en los siguientes paneles:

• Resumen de la búsqueda: Muestra la siguiente información:
  • Detalles sobre el archivo, incluidos los valores de hash, el tamaño del archivo, la primera vez que se vio en tu empresa y la última vez (más reciente) que se vio. Haz clic en Contexto de VT para ver información sobre el archivo de VirusTotal.
  • Detalles sobre las alertas, incluido un gráfico que muestra la cantidad de alertas que involucraron a la entidad dentro del período de búsqueda. El panel también muestra una lista de un subconjunto de reglas con la mayor cantidad de alertas.
  • Haz clic en Abrir alertas e IOC para ver todas las alertas generadas durante el mismo período de búsqueda.
  • Haz clic en Ver en la pestaña Alertas para cambiar a la pestaña Alertas y detecciones en esta página y comenzar una nueva búsqueda en la entidad seleccionada.
  • Haz clic en una de las barras del gráfico para cambiar a la pestaña Alertas y detecciones en esta página y comenzar una nueva búsqueda en la entidad seleccionada, con el período de la barra en la que se hizo clic.
  • Haz clic en el vínculo Ver más para abrir la vista Campos de entidad y mostrar todos los campos de entidad asociados con el archivo. Para copiar un campo de entidad en el portapapeles, haz clic en la casilla de verificación junto al campo de entidad, luego en Ver acciones y, por último, en Copiar entidad. Haz clic en la casilla de verificación de la parte superior para seleccionar todas las entidades.
• IOC relevantes: Muestra los IOC asociados con el archivo. Los IOC con una gravedad más alta se muestran primero. Si haces clic en el nombre del IOC, se abrirá el visualizador de entidades a la derecha.
• Prevalencia de recursos: Muestra la cantidad de recursos de tu empresa asociados con el archivo durante todo el período de los datos almacenados en tu cuenta de Google SecOps.
• Entidades asociadas: Muestra otras entidades con las que se relaciona este archivo, como un recurso en el que se ejecutó este archivo o los usuarios que accedieron a él. En la lista, se incluye el tipo de entidad, cuándo se vio por primera vez en tu empresa y cuándo se vio por última vez (más recientemente). Haz clic en una entidad para abrir el panel Contexto de la entidad.
• Propiedades y metadatos de VirusTotal: Muestra información sobre el archivo de la base de datos de VirusTotal. Haz clic en Ver más para abrir un diálogo de VirusTotal y mostrar información adicional sobre el archivo.
• Entidades asociadas: Muestra información diferente según el tipo de entidad que seleccionaste en el panel Entidades asociadas (por ejemplo, usuario o activo).
• Contexto de la entidad: Muestra detalles sobre la entidad que seleccionaste en el panel Entidades asociadas. En este panel, se muestra información diferente según el tipo de entidad que hayas seleccionado en el panel Entidades asociadas (por ejemplo, usuario o recurso).

Consulta los detalles de la IP en la pestaña Descripción general

Cuando la consulta incluye una condición que devuelve una dirección IP externa específica, por ejemplo, target.ip="203.0.113.254", la pestaña Descripción general muestra los detalles de la IP con información en los siguientes paneles:

• Resumen de la búsqueda: Muestra la siguiente información:
  • Detalles sobre la dirección IP, incluida la primera vez que se vio en tu empresa y la última vez (más reciente) que se vio. Haz clic en VT Context para ver la información disponible sobre esta dirección IP de VirusTotal.
  • Detalles sobre las alertas, incluido un gráfico que muestra la cantidad de alertas que involucraron a la entidad dentro del período de búsqueda. En el panel, también se muestra un subconjunto de reglas con la mayor cantidad de alertas.
  • Haz clic en Abrir alertas e IOC para ver todas las alertas generadas durante el mismo período de búsqueda.
  • Haz clic en Ver en la pestaña Alertas para cambiar a la pestaña Alertas y detecciones en esta página y comenzar una nueva búsqueda en la entidad seleccionada.
  • Haz clic en una de las barras del gráfico para cambiar a la pestaña Alertas y detecciones de esta página y comenzar una nueva búsqueda en la entidad seleccionada, con el intervalo de tiempo de la barra en la que hiciste clic.
  • Haz clic en el vínculo Ver más para abrir la vista Campos de entidad y mostrar todos los campos de entidad asociados con la dirección IP. Para copiar un campo de entidad en el portapapeles, haz clic en la casilla de verificación junto al campo de entidad, haz clic en Ver acciones y, luego, en Copiar entidad. Haz clic en la casilla de verificación de la parte superior para seleccionar todas las entidades.
• IOCs relevantes: Muestra los IOC asociados con la dirección IP. Los IOC a los que se les asignó una gravedad más alta se muestran primero. Si haces clic en el nombre del IOC, se abrirá el visor de entidades a la derecha.
• Prevalencia de los recursos: Muestra la cantidad de recursos de tu empresa que se conectaron a la dirección IP durante el período especificado en la búsqueda de UDM.
• Entidades asociadas: Muestra otras entidades con las que se relaciona esta dirección IP, como los dominios en los que está registrada. La lista incluye el tipo de entidad, cuándo se vio por primera vez en tu empresa y cuándo se vio por última vez (más recientemente). Haz clic en una entidad para abrir el panel Contexto de la entidad.
• Contexto de la entidad: Muestra detalles sobre la entidad que seleccionaste en el panel Entidades asociadas. En este panel, se muestra información diferente según el tipo de entidad que seleccionaste en el panel Entidades asociadas (por ejemplo, dominio o recurso). Si se muestra el vínculo, haz clic en VT Context para ver información sobre la entidad de VirusTotal.

Consulta los detalles del usuario en la pestaña Resumen

Cuando la consulta incluye una condición que devuelve un usuario específico, por ejemplo, principal.user.userid="alice", la pestaña Descripción general muestra los detalles del Usuario con información en los siguientes paneles:

• Resumen de la búsqueda: Muestra la siguiente información:
  • Detalles sobre la entidad, incluidos el nombre completo, la primera vez que se vio en tu empresa y la última vez (más reciente) que se vio, el título y la dirección de correo electrónico
  • Detalles sobre las alertas, incluido un gráfico que muestra la cantidad de alertas que involucraron a la entidad dentro del período de búsqueda. En el panel, también se muestra un subconjunto de reglas con la mayor cantidad de alertas.
  • Haz clic en Abrir alertas e IOC para ver todas las alertas generadas durante el mismo período de búsqueda.
  • Haz clic en Ver en la pestaña Alertas para cambiar a la pestaña Alertas y detecciones en esta página y comenzar una nueva búsqueda en la entidad seleccionada.
  • Haz clic en una de las barras del gráfico para cambiar a la pestaña Alertas y detecciones en esta página y comenzar una nueva búsqueda en la entidad seleccionada, con el período de la barra en la que se hizo clic.
  • Haz clic en el vínculo Ver más para abrir la vista Campos de entidad y mostrar todos los campos de entidad asociados con el usuario. Para copiar un campo de entidad en el portapapeles, haz clic en la casilla de verificación junto al campo de entidad, luego en Ver acciones y, por último, en Copiar entidad. Haz clic en la casilla de verificación de la parte superior para seleccionar todas las entidades.
• Entidades asociadas: Muestra las entidades con las que se relaciona este usuario, como los dominios con los que se comunicó o los recursos a los que accedió. La lista incluye el tipo de entidad, cuándo se vio por primera vez en tu empresa y cuándo se vio por última vez (más recientemente). Haz clic en una entidad para abrir el panel Contexto de la entidad.
• Contexto de la entidad: Muestra detalles sobre la entidad que seleccionas en el panel Entidades asociadas. La información de este panel varía según el tipo de entidad (por ejemplo, activo o dominio).

Visualiza y administra la información en la pestaña Visualizar

Usa la pestaña Visualizar para convertir los datos de los resultados de tu búsqueda de STATS en un gráfico o una tabla.

Usa herramientas comunes para las tablas

En la página Búsqueda de SIEM, la mayoría de los paneles que contienen una sola tabla admiten las mismas funciones y herramientas comunes.

En esta sección, se describen las siguientes funciones y herramientas comunes:

• Cuadro de búsqueda. Usa el cuadro de búsqueda para encontrar resultados que coincidan en la tabla adyacente.
• Administra las columnas de la tabla y comparte conjuntos de columnas (Administrador de columnas).
• Botón Ajustar texto - Desajustar texto Es útil ajustar el texto para ver cadenas largas completas en una columna.
• Descarga los resultados de la búsqueda de una tabla.
• Herramienta Filas por página en la parte inferior de la tabla Puedes usar esta herramienta para mejorar la estabilidad y el rendimiento del navegador cuando se carga una gran cantidad de registros de resultados (filas). Google SecOps proporciona resultados de búsqueda paginados. Usa la lista Filas por página, en la tabla Eventos, para seleccionar la cantidad de filas que se mostrarán por página (de 10 a 1,000 eventos).

Administra las columnas de la tabla y comparte conjuntos de columnas (Administrador de columnas)

Para usar una vista coherente cuando analices datos de eventos, puedes crear, guardar y compartir conjuntos de columnas personalizadas para las siguientes tablas en la página Búsqueda de SIEM:

• En el panel Resultados, para las siguientes tablas: Eventos, Registros sin procesar, Uniones
• En la pestaña Alertas y detecciones, en la tabla Detecciones.

Para usar esta funcionalidad, tu cuenta de usuario o rol de Identity and Access Management debe tener los siguientes cinco permisos:

• chronicle.googleapis.com/savedColumnSets.create
• chronicle.googleapis.com/savedColumnSets.update
• chronicle.googleapis.com/savedColumnSets.delete
• chronicle.googleapis.com/savedColumnSets.list
• chronicle.googleapis.com/savedColumnSets.get

Nota: La pestaña Estadísticas solo admite un selector de columnas en el que solo puedes agregar o quitar columnas. La pestaña Estadísticas no admite la funcionalidad Administrador de columnas.

Cómo crear un conjunto de columnas

Los pasos para crear un conjunto de columnas varían un poco según la tabla con la que estés trabajando.

Para crear un conjunto de columnas para la tabla Eventos, Registros sin procesar o Uniones, haz lo siguiente:

1. Haz clic en Columnas para abrir el Administrador de columnas.
2. Haz clic en el ícono de filter_alt Filtro para especificar si se deben mostrar las columnas no aplicables.
3. Haz clic en el botón de activación Mostrar seleccionados para mostrar solo las columnas seleccionadas en la pestaña Columnas de eventos.
4. En la pestaña Columnas de eventos, agrega o quita columnas para tu conjunto de columnas. Puedes explorar o buscar campos en secciones contraíbles (que varían según el tipo de resultado de la búsqueda), por ejemplo, Campos rápidos (los campos más comunes por tipo de datos), Campos agrupados, Todos los campos de eventos y Todos los campos de entidades. Marca o desmarca las casillas de verificación para mostrar u ocultar columnas.
5. Organiza las columnas y, luego, haz clic en Guardar. Se abrirá el diálogo Guardar conjunto de columnas.
6. Selecciona una de las siguientes opciones:
   • Guardar: Ingresa un nombre nuevo para tu conjunto de columnas.
   • Reemplazar: Si modificaste un conjunto guardado anteriormente, puedes reemplazar el conjunto existente con los cambios.
7. Haz clic en Guardar. El conjunto de columnas se muestra en la pestaña Conjuntos de columnas.

Para crear un conjunto de columnas para la tabla Detecciones, haz lo siguiente:

1. Haz clic en Columnas para abrir el Administrador de columnas.
2. Haz clic en el ícono filter_alt Filtro para especificar si se deben mostrar las columnas no aplicables.

3. En la lista Tipo de tabla, selecciona el tipo de tabla para el que deseas crear un conjunto de columnas:

   • Detecciones
   • Eventos
   • Entidades (Expande las filas de la tabla para ver las columnas).

   Si realizas cambios en un tipo de tabla específico, solo se aplicarán a las tablas y subtablas de ese tipo.

4. Haz clic en el botón de activación Mostrar seleccionados para mostrar solo las columnas seleccionadas en la pestaña correspondiente (Columnas de detecciones, Columnas de eventos o Columnas de entidades).

5. En la pestaña correspondiente, agrega o quita columnas de tu conjunto de columnas. Puedes explorar o buscar campos en las secciones contraíbles (que varían según el tipo de resultado de la búsqueda). Activa o desactiva las casillas de verificación para mostrar u ocultar columnas.

6. Organiza las columnas y, luego, haz clic en Guardar. Se abrirá el diálogo Guardar conjunto de columnas.

7. Selecciona una de las siguientes opciones:

   • Guardar: Ingresa un nombre nuevo para tu conjunto de columnas.
   • Reemplazar: Si modificaste un conjunto guardado anteriormente, puedes reemplazar el conjunto existente con los cambios.

8. Haz clic en Guardar. El conjunto de columnas se muestra en la pestaña Conjuntos de columnas.

Cómo compartir un conjunto de columnas

Para compartir un conjunto de columnas con todos los demás usuarios de tu arrendatario de Google SecOps, haz lo siguiente:

1. Haz clic en Columnas para abrir el Administrador de columnas.
2. En la pestaña Columnas de eventos, agrega o quita columnas de tu conjunto de columnas. Puedes explorar o buscar campos en secciones contraíbles (que varían según el tipo de resultado de la búsqueda), por ejemplo, Campos rápidos (los campos más comunes por tipo de datos), Campos agrupados, Todos los campos de eventos y Todos los campos de entidades. Marca o desmarca las casillas de verificación para mostrar u ocultar columnas.
3. Organiza las columnas y, luego, haz clic en Compartir. Se abrirá el diálogo Compartir conjunto de columnas.
4. Selecciona una de las siguientes opciones:
   • Compartir nuevo: Ingresa un nombre nuevo para el conjunto de columnas que se compartirá.
   • Compartir existente: Selecciona un conjunto guardado anteriormente de la lista.
5. Haz clic en Compartir El conjunto de columnas aparece en la pestaña Conjuntos de columnas con la insignia COMPARTIDO.

Cómo cargar un conjunto de columnas guardado

Para cargar un conjunto de columnas guardado, haz lo siguiente:

1. Haz clic en Columnas para abrir el Administrador de columnas.
2. Selecciona la pestaña Conjuntos de columnas.
3. Selecciona el conjunto de columnas que se cargará y haz clic en Aplicar.

Cómo borrar un conjunto de columnas guardado

Para borrar un conjunto de columnas guardado, haz lo siguiente:

1. Haz clic en Columnas para abrir el Administrador de columnas.
2. Selecciona la pestaña Conjuntos de columnas.
3. Selecciona el conjunto de columnas, haz clic en Más > Borrar.

Cómo descargar los resultados de la búsqueda de una tabla

Puedes descargar y guardar un archivo CSV que contenga el contenido de una tabla que se muestra en la página Búsqueda de SIEM. En el caso de la tabla Eventos o una tabla dinámica, también hay una opción para agrupar los registros sin procesar originales, lo que te brinda una correlación precisa entre los registros de UDM analizados y su telemetría de origen. Esta función está diseñada para equipos que requieren procesamiento de análisis externo, registros de auditoría para el cumplimiento en los que se debe preservar la relación entre los datos normalizados y la transferencia original, o correlación externa.

Para descargar los resultados de la búsqueda (hasta la cantidad máxima especificada de resultados de la búsqueda) de la tabla Eventos, sigue estos pasos:

1. Opcional: Usa el Administrador de columnas para especificar qué campos del UDM se incluirán en el CSV. La columna Registro sin procesar se agrega según tu selección.

2. Haz clic en Descargar en la parte superior de la tabla y selecciona una de las siguientes opciones:

   • Descargar como CSV: Descarga los eventos coincidentes (y según la cantidad exacta de eventos especificados que se muestra).
   • Descargar como CSV (con registros sin procesar): Descarga los eventos coincidentes y agrega cadenas de registro originales sin analizar como una columna dedicada junto a cada registro de UDM normalizado (y según la cantidad exacta de eventos especificados que se muestran).

3. Guarda el archivo.

Para descargar los resultados de la búsqueda (hasta la cantidad máxima especificada de resultados de la búsqueda) de las tablas de la pestaña Resultado, que no sean el panel Eventos ni el panel Tabla dinámica, haz lo siguiente:

1. Haz clic en Descargar en la parte superior de la tabla y selecciona Descargar como CSV. De esta manera, se descargan los resultados coincidentes (y según la cantidad exacta que se muestra de los eventos especificados).
2. Guarda el archivo.

Para descargar los resultados de la búsqueda (hasta la cantidad máxima especificada de resultados de la búsqueda) de la tabla Detecciones, haz lo siguiente:

1. Haz clic en Descargar en la parte superior de la tabla y selecciona Descargar como CSV. Esto descarga los resultados coincidentes (y según la cantidad exacta de eventos especificados que se muestran).
2. Guarda el archivo.

Campos admitidos cuando se guarda un archivo CSV

Puedes descargar los siguientes campos en un archivo CSV desde la plataforma:

• user
• hostname
• process name
• timestamp
• raw log: Solo es válido cuando los registros sin procesar están habilitados para el cliente.
• Todos los campos que comienzan con udm.additional

Tipos de campos válidos cuando se guarda un CSV

Puedes descargar los siguientes tipos de campos en un archivo CSV:

• double
• float
• int32
• uint32
• int64
• uint64
• bool
• string
• enum
• bytes
• google.protobuf.Timestamp
• google.protobuf.Duration

Campos no admitidos cuando se guarda un archivo CSV

Los campos que cumplan con alguno de los siguientes criterios no se pueden descargar en formato CSV:

• Tipo de campo: Son los tipos de datos definidos como un mensaje o un grupo en el proto de UDM.
• Profundidad de campo: Campos anidados con más de 10 niveles de profundidad.

• Campos específicos de la IU: Los siguientes campos que se muestran en la IU no se admiten para la descarga directa:

  • Campos de eventos:

    • Estado del evento
    • Resumen del evento

    • Tipo de evento

      Nota: Para descargar el tipo de evento, selecciona el campo metadata.event_type en el Administrador de columnas.

  • Gráfico de contexto de la entidad:

    • Visto por primera vez
    • Visto por última vez
    • Marca de tiempo

  • Búsqueda federada:

    • Código de instancia

Límites y cuotas

Google SecOps aplica límites a las búsquedas para garantizar la estabilidad de la plataforma y un rendimiento coherente en las interfaces web y programáticas. Estos límites se aplican a las APIs de Backstory y Chronicle.

Cuotas de búsqueda y de API

Se aplican los siguientes límites a la cantidad de consultas de búsqueda y operaciones simultáneas por usuario:

• Consultas por hora (QPH): Límite de la interfaz de la consola web de 1,000 QPH; límite de acceso a la API programática de 2,000 QPH.

• Consultas simples (que abarcan menos de 24 horas, una sola fuente, sin estadísticas): Límite máximo de simultaneidad de 180 consultas simultáneas por usuario.

  Si se agota tu grupo de simultaneidad de consultas simples, tus operaciones se desbordarán automáticamente a tu cuota disponible de consultas complejas.

• Consultas complejas (que abarcan más de 24 horas, provienen de varias fuentes o incluyen estadísticas): Límite de simultaneidad máximo de 180 consultas simultáneas por arrendatario.

• Límite de instrucciones de campos de UDM: Una sola consulta se limita a hacer referencia a un máximo de 100 campos de UDM dentro de la instrucción.

Errores de cuota

Cuando se alcanza un límite, la interfaz web muestra una notificación de error de cuota persistente. Para el acceso programático, las llamadas a la API (como instances.udmSearch) devuelven un error de estado HTTP 429 RESOURCE_EXHAUSTED que contiene un mensaje google.rpc.QuotaFailure que detalla el límite específico que superaste.

Límites de visualización y del conjunto de resultados

Usa Configuración de búsqueda  > Cantidad máxima de resultados que se mostrarán para ajustar el límite del backend (de 1 a 1,000,000; el valor predeterminado es 30,000).

Para garantizar la estabilidad constante de la plataforma y tiempos de respuesta rápidos en las interfaces web y de API, Google SecOps aplica los siguientes límites:

Tipo de búsqueda o fuente de datos	Cantidad máxima de resultados devueltos	Comportamiento de visualización de la consola web
Búsqueda de eventos de UDM	1,000,000 de registros	Se muestran directamente en el panel Eventos dentro de la pestaña Resultados. Muestra los registros más recientes en filas paginadas (de 10 a 1,000 por página).
Tablas de datos y uniones	1,000,000 de registros	Las filas correlacionadas aparecen en el panel Eventos de la pestaña Resultados según la configuración del Administrador de columnas.
Casos y el historial de casos	1,000,000 de registros	Aparecen directamente en los paneles Cases y Case History dentro de la pestaña Results. Se muestra en el contexto de Overview o con consultas de Search Cases.
Estadísticas	100,000 registros (solo en la IU y la API de operaciones de larga duración)	Se muestran directamente en el panel Estadísticas dentro de la pestaña Resultados. Los gráficos renderizan los valores superiores para facilitar la lectura y muestran un aviso cuando se superan los límites visuales.
Agregaciones de la tabla dinámica (Resultados > Tabla dinámica)	100,000 registros	Los gráficos renderizan los valores principales para mejorar la legibilidad y muestran un aviso de advertencia cuando se superan los límites visuales.
Detecciones de reglas	100,000 registros	Aparecen directamente en la pestaña combinada Alertas y detecciones.
Gráfico de contexto de entidades (ECG)	1,000,000 de registros	Se muestran en los paneles Datos temporales y Datos atemporales de la pestaña Resultados. La tabla del panel Datos cronológicos muestra las entidades que tienen un período definido. La tabla de la pestaña Datos atemporales muestra las entidades que no tienen un período definido. Es posible que la interfaz muestre solo entidades sin tiempo, solo entidades con tiempo o una combinación diferente de ellas cada vez que se ejecute la consulta. Para obtener más información, consulta Cómo usar los paneles Timed Data y Timeless Data.

Optimiza y define mejor tus resultados de la búsqueda

En esta sección, se describen las limitaciones y expectativas de rendimiento, y se proporcionan correcciones de autoservicio para problemas comunes con la página Búsqueda de SIEM en Google Security Operations.

Optimización del rendimiento y prácticas recomendadas

Para optimizar la velocidad de las consultas y minimizar los riesgos de tiempo de espera, haz lo siguiente:

• Primero, reduce el período: El tiempo es el filtro más eficaz. Consultar el período exacto de 2 horas de un incidente se ejecuta de forma exponencialmente más rápida que buscar en un período de 30 días.
• Consulta los campos de UDM exactos en lugar de los alias agrupados: Si bien los campos agrupados (ip = "1.2.3.4") son convenientes, obligan al motor a verificar más de 15 campos subyacentes (principal.ip, target.ip, observer.ip). Si sabes que una dirección IP pertenece al servidor de destino, consulta target.ip = "1.2.3.4" directamente.
• Evita los comodines iniciales en las expresiones regulares: Las consultas que comienzan con un comodín (principal.hostname = /.*server-.*/) impiden las búsquedas de índices y fuerzan análisis de tablas completos. Ancla tu expresión regular siempre que sea posible (principal.hostname = /^prod-server-.*/).
• Aprovecha los metadatos indexados: Filtra por metadata.event_type (NETWORK_CONNECTION, PROCESS_LAUNCH, USER_LOGIN) o metadata.log_type al principio de tu cadena de AND para descartar las fuentes de registros irrelevantes de inmediato.
• Usa limit: N para obtener muestras de datos y vistas previas rápidas: Puedes agregar la palabra clave limit: N directamente a tu consulta (por ejemplo, metadata.event_type = "USER_LOGIN" limit: 50) para obtener muestras de datos y vistas previas rápidas.

Prácticas recomendadas para las búsquedas amplias

Si tu búsqueda es demasiado amplia, Google SecOps mostrará un mensaje de advertencia que indica que no se pueden mostrar todos los resultados de la búsqueda. En esos casos, el sistema recupera solo los resultados más recientes, hasta el límite de búsqueda de un millón de eventos y 1,000 alertas. Sin embargo, es posible que haya muchos más eventos y alertas coincidentes que no se muestren.

Para capturar todos los resultados pertinentes, define mejor tu búsqueda aplicando filtros adicionales, por ejemplo:

• Reduce el intervalo de tiempo para disminuir el tamaño del conjunto de datos.
• Usa filtros o búsquedas específicas en lugar de términos generales.
• Consulta campos de UDM precisos en lugar de campos agrupados cuando necesites resultados para un solo campo.

Depura y define mejor las búsquedas

En esta sección, se describe cómo depurar y perfeccionar las consultas.

Visualiza los errores de tiempo de ejecución

Si tu consulta devuelve un error, el mensaje de error específico del tiempo de ejecución aparecerá de forma persistente en el panel Resultados. Esta visualización persistente garantiza que el contexto del error permanezca visible, lo que te ayuda a solucionar problemas y resolver el error.

Cómo limitar los resultados de la búsqueda

Puedes limitar los resultados de la búsqueda agregando la palabra clave limit con la cantidad máxima de resultados de la búsqueda que deseas mostrar. Esto es útil para generar vistas previas rápidas de los datos, optimizar el rendimiento o cuando solo necesitas un subconjunto de los resultados. Por ejemplo, si agregas limit: 25 a tu búsqueda, se limitarán los resultados a un máximo de 25.

Nota: También puedes agregar la palabra clave limit a los paneles personalizados.

Investiga conjuntos de datos grandes

Google SecOps admite la devolución y la navegación de hasta 1 millón de resultados. Esto te permite investigar grandes conjuntos de datos directamente en la interfaz web sin exportar los resultados. En el caso de las búsquedas grandes, los campos visibles se limitan de forma predeterminada.

Nota: Después de que se carguen los resultados, puedes aplicar filtros para definir mejor los datos sin volver a ejecutar la búsqueda. Esto te ayuda a reducir los conjuntos de resultados rápidamente.

Límites de resultados para las fuentes de datos

En la siguiente tabla, se indica la cantidad máxima de resultados que se devuelven para cada fuente de datos:

Tipo de búsqueda o fuente de datos	Cantidad máxima de eventos o filas en los resultados de la búsqueda
UDM	1,000,000
ECG	1,000,000
Tabla de datos	1,000,000
Combinación de UDM a UDM	1,000,000
Unión de UDM a ECG	1,000,000
Unión de UDM a tabla de datos	1,000,000
Casos y historial de casos	1,000,000
Estadísticas	100,000
Detecciones	100,000

Nota: Los límites son los mismos, ya sea que uses la plataforma o la API. Consulta las APIs de búsqueda asíncrona para obtener información sobre los límites de la API.

Agrega un filtro para definir mejor tu búsqueda

Para agregar un filtro y definir mejor tu consulta, haz lo siguiente:

1. En la página Búsqueda de SIEM, haz clic en filter_listAgregar filtro. Se abrirá un diálogo que te permitirá seleccionar un campo y mostrar (=) o filtrar (!=) los valores del campo.

2. Configura los parámetros del diálogo.

   

   Figura 8. Ejemplo del diálogo de filtro.

3. Haz clic en Aplicar. El filtro se muestra junto al botón filter_list Agregar filtro, y los resultados de la búsqueda se filtran según corresponda.

4. Opcional: Realiza una de las siguientes acciones:

   • Si quieres incorporar automáticamente el filtro en el editor de consultas y ejecutar la búsqueda, haz clic en Aplicar a la búsqueda y ejecutar.
   • Si quieres borrar el filtro, haz clic en Borrar.

Nota: El botón Borrar solo está disponible antes de que hagas clic en Aplicar a la búsqueda y ejecutar.

Soluciona problemas

Si recibes un mensaje de error genérico, como Error: Search has encountered an error and could not load data, sigue estos pasos para resolver el problema:

• Conéctate a Google SecOps desde otra red. Por ejemplo, usa una VM en la nube para identificar cualquier problema de red.
• Asegúrate de que las llamadas a la API de Chronicle estén permitidas por la configuración o la política de firewall o proxy de tu organización.
• Verifica que no se haya configurado ningún límite de datos para las llamadas a la API de Search, ya que las búsquedas pueden devolver grandes conjuntos de datos.
• Verifica si hay tiempos de espera configurados. Las búsquedas pueden ejecutarse de forma asíncrona y pueden requerir más tiempo para devolver datos. Si se establecen tiempos de espera, asegúrate de que permitan una duración suficiente, como 60 minutos, antes de que se agote el tiempo de espera de la consulta.

Si el error persiste, comunícate con el equipo de asistencia al cliente.

¿Qué sigue?

Para obtener más información sobre las búsquedas, consulta los siguientes recursos:

• Cómo comprender la sintaxis de búsqueda contiene detalles y ejemplos sobre la sintaxis de YL2 necesaria para construir y consultar valores de datos, caracteres de escape y operadores en el editor de consultas.
• Prácticas recomendadas para la Búsqueda
• Busca casos y el historial de casos en la búsqueda unificada.
• Genera búsquedas de UDM con Gemini.
• Usar datos enriquecidos con contexto en la búsqueda

Para obtener más información sobre los resultados de la búsqueda, consulta lo siguiente:

• Investiga una entidad con la búsqueda de UDM.
• En Investigate detections in Search, se describe cómo usar la pestaña Alerts & Detections en la página SIEM Search.
• En Comprende la disponibilidad de los datos para la búsqueda, se detalla el ciclo de vida de la transferencia de datos, incluidos el flujo de datos y la latencia de extremo a extremo, y cómo estos factores afectan la disponibilidad de los datos transferidos recientemente para las consultas y el análisis.
• En Comparación de la búsqueda de UDM con los resultados de las reglas, se describe cómo comparar los resultados de las búsquedas de UDM con las reglas de detección en vivo.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.