Comprendre la recherche

Compatible avec :

Google SecOps SIEM

Ce guide s'adresse aux analystes de sécurité qui souhaitent interroger, mettre en corrélation et analyser les données de sécurité de leur entreprise dans Google Security Operations à l'aide de la page Recherche SIEM. La page Recherche SIEM sert de hub de navigation central pour tous les flux de données compatibles. Elle intègre des sources de télémétrie et de stratégie supplémentaires. Ce guide contient des instructions et des explications sur toutes les fonctions et fonctionnalités de base de la page Recherche SIEM.

Terminologie clé

• Modèle de données unifié (UDM) : format de données standardisé utilisé dans Google SecOps pour représenter de manière cohérente les événements liés à la sécurité provenant de différentes sources.
• Événement : un événement est généré à partir d'une source de journaux bruts ingérée dans Google SecOps et traitée par le processus d'ingestion et de normalisation de Google SecOps. Plusieurs événements peuvent être générés à partir d'un seul enregistrement source de journal brut. Un événement représente un ensemble de points de données pertinents pour la sécurité, générés à partir de ce journal brut. Dans le contexte de la page Recherche SIEM, les événements sont des données de télémétrie d'événements UDM normalisées et des enregistrements de journaux bruts correspondant à votre requête de recherche.
• Alerte : dans le contexte de la page Recherche SIEM, une alerte est définie comme une détection de règle pour laquelle les alertes sont activées. Pour en savoir plus, consultez Exécuter une règle sur des données actives.
• Journaux bruts : télémétrie de journaux bruts non analysés. L'objectif principal du diagnostic est de surveiller l'état de l'ingestion et de l'analyse syntaxique.
• Jointures : les jointures corrèlent et combinent les données brutes de plusieurs sources en fonction de valeurs de champ communes. En associant des événements, des entités et d'autres données associés, vous pouvez examiner des scénarios d'attaque complexes. Vous pouvez rechercher des jointures statistiques, qui nécessitent une section de correspondance pour agréger les résultats, ou des associations de données, qui récupèrent les données complètes de l'événement ou de l'entité et les affichent sans aucune agrégation. Pour en savoir plus, consultez Appliquer des jointures dans la recherche et les tableaux de bord et Implémenter des jointures sans section de correspondance.
• Statistiques : événements UDM dont les résultats sont regroupés pour une analyse statistique. Pour en savoir plus, consultez Analyser les données de recherche avec des statistiques.
• Demandes et historiques des demandes : demandes de sécurité et journaux d'audit de l'historique des demandes, que vous pouvez mettre en corrélation avec d'autres données de sécurité. Pour en savoir plus, consultez Présentation de la recherche de demandes.
• Entity Context Graph (ECG) : base de données de graphes dans Google SecOps qui stocke les enregistrements d'entités avec état (tels que les éléments, les utilisateurs et les indicateurs de menace) pour les corréler avec les journaux d'événements de sécurité. Pour en savoir plus, consultez Présentation d'Entity Context Graph.
• Barre de requête en langage naturel : barre située en haut de la page Recherche SIEM, où vous pouvez saisir une instruction de recherche en langage naturel.
• Éditeur de requête : zone de la page Recherche SIEM située sous la barre de requête en langage naturel, où vous créez manuellement des requêtes et où le code de la requête s'affiche.

Avant de commencer

Les autorisations et rôles standards de recherche Google SecOps doivent être attribués à votre compte utilisateur pour que vous puissiez exécuter des requêtes et afficher les détails des détections.

Pour les fonctionnalités de recherche avancée suivantes, votre compte utilisateur ou votre rôle Identity and Access Management doit disposer d'autorisations précises supplémentaires, en fonction de la fonctionnalité utilisée :

• Les détails d'événement enrichis ou étendus nécessitent chronicle.events.fetchEnrichedEvent.
• Pour enregistrer des recherches et modifier des vues de recherche, vous devez disposer des autorisations chronicle.savedSearches.update et chronicle.searchViews.update.
• Pour afficher les analyseurs syntaxiques de journaux et le schéma, vous devez disposer des autorisations chronicle.parsers.list et chronicle.parsers.get.
• La recherche dans l'historique des demandes nécessite chronicle.cases.get et chronicle.cases.list.
• La recherche SQL (en particulier les suggestions de requêtes automatiques dans l'éditeur de requête) nécessite chronicle.queries.suggestSql lorsque vous utilisez des rôles IAM personnalisés.
• Le classement de l'historique d'utilisation pour les suggestions automatiques de champs UDM dans l'éditeur de requêtes nécessite chronicle.instances.suggestQueryFields lorsque vous utilisez des rôles IAM personnalisés.
• Pour créer, partager, modifier et gérer des ensembles de colonnes personnalisées enregistrés dans votre organisation, vous devez disposer des cinq autorisations suivantes : chronicle.googleapis.com/savedColumnSets.create, chronicle.googleapis.com/savedColumnSets.update, chronicle.googleapis.com/savedColumnSets.delete, chronicle.googleapis.com/savedColumnSets.list et chronicle.googleapis.com/savedColumnSets.get.

Ouvrir la page de recherche

Pour ouvrir la page Recherche SIEM, procédez comme suit :

1. Connectez-vous à Google SecOps.
2. Dans la barre de navigation, cliquez sur Investigation > Recherche SIEM.

Figure 1 : Exemple de la page Recherche SIEM utilisée pour explorer les tendances des événements, en mode avancé.

Remarque : Sur les systèmes qui utilisent le contrôle RBAC des données, vous ne pouvez voir que les données qui correspondent à vos niveaux d'accès. Pour en savoir plus, consultez Impact du RBAC des données sur la recherche.

Application du champ d'application du contrôle RBAC des données

Le moteur de recherche Google SecOps applique strictement le filtrage du champ d'application du contrôle des accès basé sur les rôles (RBAC des données) dans tous les onglets. Vous ne verrez que les événements UDM, les journaux bruts, les alertes, les détections et les cas qui correspondent explicitement aux niveaux d'accès aux données attribués à votre rôle utilisateur.

Configurer les paramètres généraux de la page de recherche

Les paramètres généraux de la page Recherche SIEM sont spécifiques à l'utilisateur.

Vous pouvez configurer les paramètres généraux suivants pour la page Recherche SIEM :

• Spécifier le nombre maximal de résultats de recherche
• Choisir le comportement de réduction de l'éditeur de requête

Spécifier le nombre maximal de résultats de recherche

Pour spécifier le nombre maximal de résultats de recherche, procédez comme suit :

1. Sur la page Recherche SIEM, cliquez sur settings Paramètres, puis sélectionnez Nombre maximal de résultats.

2. Sélectionnez l'option Nombre maximal de résultats à renvoyer. Les options sont 1k, 30k, 100k, 1M et custom (qui peut prendre des valeurs comprises entre 1 et 1M). La valeur par défaut est 30k.

   Conseil : Les requêtes s'exécutent généralement plus rapidement lorsque vous choisissez un ensemble de résultats plus petit.

3. Cliquez sur Appliquer.

Choisir le comportement de réduction de l'éditeur de requête

Vous pouvez configurer l'éditeur de requête pour qu'il se réduise automatiquement après l'exécution d'une recherche, afin de maximiser l'espace d'écran disponible pour afficher les résultats de recherche. Le paramètre Par défaut laisse l'éditeur de requête développé après l'exécution d'une recherche.

Pour activer la fonctionnalité de réduction automatique, procédez comme suit :

1. Sur la page Recherche SIEM, cliquez sur settings Paramètres, puis sélectionnez Éditeur de requête.
2. Dans la boîte de dialogue Éditeur de requête, sélectionnez Réduire automatiquement l'éditeur de requête.

Choisir le mode d'exécution de la recherche

Remarque : Cette fonctionnalité est couverte par les Conditions des offres pré-DG des Conditions spécifiques du service Google Security Operations. Les fonctionnalités pré-DG (avant disponibilité générale) sont susceptibles de présenter une compatibilité limitée, et les modifications apportées à ces fonctionnalités peuvent ne pas être compatibles avec d'autres versions avant disponibilité générale. Pour en savoir plus, consultez les Instructions relatives aux services d'assistance technique Google SecOps et les Conditions spécifiques du service Google SecOps.
Si cette fonctionnalité n'est pas visible dans votre environnement, consultez Gérer les fonctionnalités en preview ou contactez votre administrateur système.

Google SecOps peut exécuter une recherche dans l'un des modes suivants, que vous pouvez sélectionner dans l'éditeur de requête :

• Mode de base : utilisez le mode de base (mode par défaut) pour récupérer rapidement des événements et itérer des requêtes.
• Mode avancé : utilisez le mode avancé pour les workflows de recherche standards et pour une analyse multidimensionnelle complète.

La page Recherche SIEM affiche moins d'onglets et de widgets en mode de base qu'en mode avancé. Si vous effectuez une recherche en mode basique et que vous identifiez des événements suspects dans l'onglet Résultats, vous pouvez passer en mode avancé et réexécuter la requête pour inspecter les graphiques chronologiques, les cartes de densité d'activité, les scores de prévalence et les détections corrélées.

Pour en savoir plus sur les deux modes, consultez Comprendre les modes d'exécution de la recherche.

Le tableau suivant décrit les scénarios d'utilisation recommandés pour le mode de base et le mode avancé :

Scénario	Mode recommandé	Explication
Recherche initiale de menaces et test d'hypothèses	Mode de base	Testez les hypothèses d'indicateurs sur de larges périodes sans attendre les histogrammes de la chronologie.
Tri de la télémétrie à volume élevé	Mode de base	Interrogez des sources de données volumineuses (telles que les journaux de flux AWS VPC, de pare-feu, de proxy ou Sysmon) avec une latence minimale.
Formulation des requêtes et réglage des filtres	Mode de base	Effectuez des itérations sur la syntaxe UDM, les expressions régulières, les listes de référence et les filtres de tables de données avant d'exécuter des audits complets.
Reconstitution de la chronologie de l'incident	Mode avancé	Utilisez la chronologie visuelle de la distribution des événements et les cartes de densité d'activité pour identifier les pics d'activité.
Analyse de la rareté et des anomalies des indicateurs	Mode avancé	Inspectez les scores de prévalence d'entreprise pour évaluer si un artefact observé est courant ou s'il s'agit d'une anomalie.
Validation de la détection	Mode avancé	Vérifiez si des événements spécifiques ont déclenché des règles d'alerte YARA-L 2.0 corrélées.

Créer une requête de recherche

Les sections suivantes expliquent comment créer une requête de recherche.

Vous pouvez créer une requête de recherche à l'aide de l'une des méthodes suivantes :

• Saisissez votre instruction de recherche en langage naturel et utilisez Gemini pour générer la requête dans le dialecte YARA-L 2.0. Vous devez utiliser l'anglais.
• Créez manuellement votre requête dans l'éditeur de requêtes à l'aide du dialecte YARA-L 2.0 ou SQL (GoogleSQL).

Remarque : Une recherche UDM est limitée à 100 champs UDM par requête. Une expression de recherche UDM se compose d'un champ UDM à rechercher, d'un opérateur et d'une valeur de données à rechercher. Les requêtes UDM sont basées sur les champs définis dans la documentation de référence du dictionnaire de champs UDM. Vous pouvez parcourir et sélectionner ces champs UDM à l'aide des options Filtres ou Recherche dans les journaux bruts.

Générer une requête en langage naturel

Pour générer une requête en langage naturel, procédez comme suit :

1. Sur la page Recherche SIEM, cliquez sur la barre de requête en langage naturel de recherche et saisissez une instruction de recherche en anglais.

   Voici quelques exemples d'instructions pouvant générer une recherche utile :

   • network connections from 10.5.4.3 to google.com
   • failed user logins over the last 3 days
   • emails with file attachments sent to [e-mail] or [e-mail]
   • all Cloud service accounts created yesterday
   • outbound network traffic from 10.16.16.16 or 10.17.17.17
   • all network connections to facebook.com or tiktok.com
   • service accounts created in Google Cloud yesterday
   • Windows executables modified between 8 AM and 1 PM on May 1, 2026
   • all activity from winword.exe on lab-pc
   • scheduled tasks created or modified on exchange01 during the last week
   • email messages that contain PDF attachments
   • emails sent by or sent from [e-mail] on July 1
   • any files with the hash 44d88612fea8a8f36de82e1278abb02f
   • all activity associated with user "[e-mail]"

Si l'instruction de recherche inclut un terme basé sur le temps, les paramètres de période sont automatiquement ajustés pour correspondre. Par exemple, cela s'applique aux recherches contenant les termes suivants :

• yesterday
• within the last 5 days
• on July 1, 2026

2. Cliquez sur Générer une requête. Si Gemini peut interpréter l'instruction de recherche, il génère une requête valide dans le dialecte YARA-L 2.0 et l'affiche dans l'éditeur de requête. Si l'instruction de recherche ne peut pas être interprétée, un message vous demande de reformuler votre demande. Si l'expression de requête est valide, le bouton Exécuter la recherche devient disponible.

3. Facultatif : Ajustez la période de recherche à l'aide des paramètres Période.

4. Facultatif : modifiez la requête générée dans l'éditeur de requête.

5. Sélectionnez le mode d'exécution de la recherche : Mode de base ou Mode avancé.

6. Cliquez sur Lancer la recherche. Les résultats de recherche s'affichent.

7. Facultatif : Affinez les résultats en ajoutant manuellement des filtres de recherche supplémentaires ou en utilisant la barre de requête en langage naturel, puis relancez la recherche.

Créer une requête manuellement dans l'éditeur de requête

Pour en savoir plus sur les différents types de requêtes compatibles avec la page Recherche SIEM et sur la syntaxe permettant de les créer, consultez les documents suivants :

• Pour en savoir plus sur la syntaxe de recherche YARA-L 2.0, consultez Comprendre la syntaxe de recherche.
• Pour en savoir plus sur la création de requêtes de jointure, consultez Appliquer des jointures dans la recherche et les tableaux de bord et Implémenter des jointures sans section de correspondance.
• Pour en savoir plus sur la création de requêtes statistiques (STATS), consultez Analyser les données de recherche avec des statistiques.
• Pour savoir comment créer des requêtes d'historique des demandes, consultez Rechercher des demandes et l'historique des demandes sur la page de recherche.
• Pour en savoir plus sur la projection ou l'exclusion de champs spécifiques dans les résultats de requête, consultez Contrôler le résultat de la requête avec select et unselect et Contrôler les colonnes avec les mots clés select et unselect.

Pour construire une requête manuellement, procédez comme suit :

1. Sur la page Recherche SIEM, cliquez dans l'éditeur de requête.
2. Choisissez le dialecte de la requête :
   • YL2 (par défaut) : utilisez la syntaxe YARA-L 2.0 standard pour la recherche d'événements, le filtrage d'entités et la corrélation comportementale à grande vitesse.
   • SQL : le mode SQL (GoogleSQL) vous permet d'exécuter des requêtes compatibles avec BigQuery, de créer des jointures multitables complexes entre l'UDM et le graphe de contexte d'entité (ECG), et d'effectuer des agrégations avancées directement dans la console.

3. Saisissez votre requête dans l'éditeur de requête en tenant compte des points suivants :

   • Suggestion et saisie automatiques : lorsque vous saisissez une requête avec l'option YL2, la fonctionnalité de suggestion et de saisie automatiques suggère des champs valides en fonction de votre saisie.
   • Recherche UDM : si vous ne connaissez pas le nom ou la valeur exacts d'un champ lorsque vous écrivez une requête, vous pouvez utiliser la recherche UDM pour vous aider.
   • Erreurs de compilation de la syntaxe : si l'éditeur de requête détecte une erreur de compilation de la syntaxe, il affiche une ligne ondulée rouge directement sous le texte problématique. Pointez sur le texte souligné pour afficher la description de l'erreur spécifique. L'éditeur de requête ne met en évidence qu'une seule erreur à la fois. Vous devez donc corriger les erreurs de manière séquentielle.

4. Définissez la période de la requête à l'aide des paramètres de période.

5. Sélectionnez le mode d'exécution de la recherche : Mode de base ou Mode avancé.

6. Si l'expression de requête est valide, cliquez sur Exécuter la recherche. Les résultats de recherche s'affichent.

7. Facultatif : Affinez les résultats en ajoutant des filtres de recherche supplémentaires manuellement ou à l'aide de la console, puis relancez la recherche.

Remarque : Vous pouvez également créer une requête à partir de la boîte de dialogue Gestionnaire de recherche. Les mêmes outils de modification de l'UDM, de suggestion automatique et de saisie semi-automatique sont également disponibles.

Spécifier la période de votre recherche

Utilisez le menu Période pour spécifier la période de votre recherche.

La période maximale d'une recherche est toujours limitée par la configuration de conservation des journaux de votre locataire.

Périodes maximales :

• UDM : 365 jours.
• RAW : 365 jours.
• JOIN : pour les jointures internes : 90 jours. Pour les jointures internes sans condition de correspondance : 14 jours. Pour les jointures externes : 14 jours.
• STATS : 90 jours.
• CASE et CASE HISTORY : 90 jours, dans la limite de la durée de conservation des demandes ou d'un cycle de vie complet de l'historique des demandes.
• ECG : 365 jours.

Google SecOps évalue la configuration de votre requête de recherche et applique la période maximale en fonction du type de recherche et des conditions de recherche. (Par exemple, une requête STATS incluant une jointure externe aura une période maximale plus courte qu'une requête STATS n'incluant pas de jointure externe.)

Pour définir la période, procédez comme suit :

1. Sur la page Recherche SIEM, à côté de Période, sélectionnez le mode dans la liste :

   • Absolue : utilisez une période absolue pour sélectionner une heure de début et une heure de fin fixes.
   • Relative : utilisez une période relative pour effectuer une recherche en arrière à partir de l'heure actuelle. L'heure à laquelle vous cliquez sur Exécuter la recherche est définie comme l'heure de fin de votre requête.

2. Si vous avez sélectionné Absolu, procédez comme suit :

   1. Cliquez sur calendar_month calendar pour ouvrir la boîte de dialogue Définir la date et la période.
   2. Effectuez l'une des opérations suivantes :
      • Pour configurer l'heure à l'aide de l'une des méthodes suivantes, sélectionnez l'onglet Plage :
        • Utiliser des préréglages : sélectionnez une période prédéfinie dans la barre latérale, par exemple 3 derniers jours ou Toutes les données. Toutes les périodes effectue une recherche sur l'ensemble de votre période de conservation.
        • Sélectionner des dates : cliquez sur une date de début et une date de fin dans le calendrier.
        • Définir des heures : sélectionnez des heures spécifiques à l'aide des menus d'heure situés sous les calendriers.
      • Pour spécifier une plage de dates et d'heures en fonction d'un événement, cliquez sur l'onglet Heure de l'événement, sélectionnez une date dans l'agenda, puis configurez la période :
        • Heure exacte : cliquez sur le champ Événement pour sélectionner ou saisir l'heure exacte à laquelle l'événement s'est produit.
        • Marge de temps : sélectionnez une période prédéfinie dans la liste.
   3. Cliquez sur Appliquer.

3. Si vous avez sélectionné Relatif, procédez comme suit :

   1. Saisissez un entier dans le champ de texte.
   2. Sélectionnez une unité de temps dans le menu : Secondes, Minutes, Heures, Jours, Semaines, Mois ou Années.

Utiliser les suggestions automatiques pour créer des requêtes

Lorsque vous rédigez une requête, l'éditeur de requête fournit des suggestions automatiques pour vous aider à la créer efficacement.

Parcourir et sélectionner des suggestions

À mesure que vous tapez, une liste s'affiche avec des suggestions de champs correspondant à votre texte, y compris les options suivantes :

• Sélectionner un champ : utilisez les flèches vers le haut ou vers le bas pour parcourir la liste, puis appuyez sur Entrée pour sélectionner un champ.
• Afficher les métadonnées : après avoir utilisé les touches fléchées Haut ou Bas pour mettre en surbrillance une suggestion, cliquez sur chevron_right pour afficher la description du champ.
• Compléter les champs de manière incrémentielle : l'éditeur suggère les enfants immédiats du champ actuel et masque le préfixe saisi pour économiser de l'espace à l'écran. Ces suggestions sont suivies de tous les autres champs correspondants, par ordre alphabétique.
• Saisie semi-automatique des opérateurs et des valeurs : après avoir sélectionné un champ, l'éditeur suggère des opérateurs valides (tels que =, !=) en fonction du type de données du champ. Pour les champs énumérés, l'éditeur affiche des suggestions pour toutes les valeurs valides (par exemple, NETWORK_EVENT) après que vous avez saisi un opérateur et un guillemet (").

Comprendre le classement des suggestions

L'éditeur de requête organise les suggestions en trois catégories distinctes, dans l'ordre suivant, pour vous aider à trouver les champs UDM pertinents :

1. Champs récemment et fréquemment utilisés : affiche jusqu'aux sept premiers champs correspondants en fonction de votre session de navigateur active et de l'historique d'utilisation des requêtes sur 30 jours sur les pages Recherche SIEM, Règles et détections et Tableaux de bord. Les suggestions de cette catégorie sont classées par ordre de priorité, comme suit :

   • Historique de navigation récent : champs que vous avez récemment saisis ou sélectionnés dans l'éditeur de requêtes (jusqu'aux 100 champs UDM valides les plus récents). Les champs correspondants s'affichent en premier, classés par ordre d'utilisation la plus récente. Cette liste est enregistrée dans l'espace de stockage local de votre navigateur pour toutes les connexions. Vider le cache de votre navigateur ou changer de navigateur réinitialise cet historique.

   • Utilisation historique (30 derniers jours) : champs extraits des requêtes que vous et votre organisation avez exécutées au cours des 30 derniers jours (y compris les recherches UDM, les requêtes de tableau de bord, les tests de règles et les rétrorecherches). Ces données d'utilisation sont actualisées toutes les huit heures. Il n'est pas concerné par le filtrage RBAC des données, car il diffuse des noms de champs de schéma UDM dérivés plutôt que des événements de journaux, et il isole les étiquettes personnalisées et les champs extraits (additional.*, extracted.*) de votre locataire. L'historique d'utilisation suit une hiérarchie stricte à deux niveaux :

     1. Utilisation au niveau de l'utilisateur : champs que vous avez utilisés le plus fréquemment au cours des 30 derniers jours, triés par nombre d'utilisations par ordre décroissant.
     2. Utilisation au niveau du locataire : champs les plus fréquemment utilisés par tous les utilisateurs de votre locataire au cours des 30 derniers jours, triés par nombre d'utilisations par ordre décroissant. Si un champ apparaît déjà dans votre liste d'utilisation au niveau de l'utilisateur, son classement au niveau de l'utilisateur prévaut.

     Lorsque vous filtrez les suggestions d'utilisation de l'historique à mesure que vous saisissez du texte, l'éditeur classe les champs correspondants par qualité de correspondance avant de départager les égalités à l'aide de la hiérarchie d'utilisation : 1. Correspondance exacte : correspond au nom complet du champ UDM (par exemple, ip). 2. Correspondance exacte du jeton : correspond à un segment complet du nom du champ (par exemple, principal.ip ou target.ip lorsque vous saisissez ip). 3. Correspondance de préfixe : correspond au début du nom du champ. 4. Correspondance de préfixe de jeton : correspond au début d'un segment dans le nom du champ. 5. Correspondance de sous-chaîne : apparaît n'importe où dans le nom du champ (par exemple, principal.hostname lorsque vous saisissez ip, car principal contient ip).

2. Enfants immédiats : affiche les nœuds enfants de premier niveau du chemin d'accès au champ actuel par ordre alphabétique, à l'exclusion des champs déjà listés dans les suggestions d'utilisation principales.

3. Correspondances globales : affiche tous les champs UDM correspondants restants par ordre alphabétique.

Remarque : Les rôles Google SecOps prédéfinis (Admin, Editor, Viewer, Limited Viewer et Restricted Data Access Viewer) incluent l'autorisation chronicle.instances.suggestQueryFields requise pour récupérer les suggestions d'utilisation de l'historique sur 30 jours. Si vous utilisez un rôle IAM personnalisé, ajoutez-y chronicle.instances.suggestQueryFields. Sans cette autorisation, l'éditeur de requête classe les suggestions en utilisant uniquement l'historique de navigation récent.

Remarque : Les champs des tables de données ne sont pas inclus dans le classement basé sur l'utilisation ou la récence, car les tables de données n'ont pas de schéma UDM fixe. À la place, les champs de la table de données s'affichent par ordre alphabétique dans la section Correspondances globales.

Gérer les paramètres de suggestion automatique

Pour gérer de manière globale la façon dont Google SecOps affiche les suggestions automatiques, procédez comme suit :

1. Cliquez sur l'avatar de votre profil, puis sélectionnez User Preferences (Préférences utilisateur) dans la liste. La boîte de dialogue Préférences utilisateur s'affiche.

2. Dans la boîte de dialogue, cliquez sur Suggestion automatique.

3. Pour contrôler les suggestions automatiques affichées dans l'éditeur de requête, ajustez les paramètres suivants :

   • Activer les suggestions lors de la saisie : active la suggestion automatique.
   • Classer les champs récemment utilisés en premier : affiche les champs les plus récemment et les plus fréquemment utilisés (en fonction de l'historique des sessions du navigateur, de l'utilisation au niveau de l'utilisateur et de l'utilisation au niveau du locataire) en haut de la liste.
   • Suggérer des champs enfants immédiats : complète les champs imbriqués de manière incrémentielle, un nœud enfant à la fois.
   • Suggérer tous les chemins disponibles : affiche les chemins complets et développés pour toutes les suggestions de champs imbriqués.

4. Cliquez sur Enregistrer.

Contrôler la sortie de la requête avec select et unselect

Vous pouvez utiliser les mots clés select et unselect dans une requête de recherche YARA-L 2.0 pour projeter ou exclure des champs d'événement UDM et d'Entity Context Graph (ECG) spécifiques directement depuis le stockage, ce qui réduit la taille de la charge utile de la réponse et améliore la latence des requêtes :

• select : ne renvoie que les champs feuilles et les variables outcome spécifiés, ainsi que les champs de métadonnées obligatoires.
• unselect : renvoie tous les champs, à l'exception des champs feuilles spécifiés et des variables outcome.

Les requêtes qui n'incluent pas select ou unselect renvoient des charges utiles UDM et d'entité complètes. La projection de champs sélective s'applique aux recherches d'événements UDM autonomes et d'entités ECG autonomes. Les jointures multi-événements, les jointures d'entités UDM et les requêtes d'agrégation ne sont pas affectées. Pour obtenir d'autres exemples de syntaxe, consultez Contrôler les colonnes avec les mots clés select et unselect.

Champs acceptés et obligatoires

• Champs compatibles : spécifiez des variables outcome ou des chemins d'accès complets aux champs feuilles pour les événements UDM (par exemple, principal.hostname, target.ip, security_result.severity) et les entités ECG (par exemple, graph.entity.hostname, graph.entity.ip, graph.metadata.entity_type, graph.relations.entity_type).
• Champs obligatoires : pour préserver l'identité des événements, l'ordre chronologique et les intervalles de validité des entités, Google SecOps renvoie toujours les champs de métadonnées de base suivants, même si vous les omettez de select ou les incluez dans unselect :
  • Événements UDM : metadata.id, metadata.event_timestamp, metadata.enrichment_state
  • Entités ECG : graph.metadata.entity_type, graph.metadata.interval.start_time
• Champs de mappage et indexation de listes répétées : la projection et l'exclusion de champs s'effectuent au niveau du conteneur pour les champs de mappage (additional.fields et extracted.fields) et les listes répétées, plutôt que de filtrer des clés de mappage individuelles ou des positions de tableau uniques :
  • Avec select : la spécification d'une clé de mappage (telle que select: additional.fields["env"] ou extracted.fields["src"]) ou d'un index de liste (tel que select: principal.ip[0] ou about[0].file.md5) renvoie l'intégralité du mappage (additional.fields ou extracted.fields) ou l'intégralité du champ ou du sous-champ répété dans tous les éléments de la liste.
  • Avec unselect : spécifier une clé de mappage (telle que unselect: additional.fields["env"]) ou un index de liste (tel que unselect: principal.ip[0] ou about[0].file.md5) exclut l'intégralité du mappage (en supprimant toutes les autres clés de ce mappage) ou exclut le champ ou le sous-champ répété de tous les éléments de la liste, et pas seulement de l'index 0. N'incluez aucune clé de additional.fields ou extracted.fields dans unselect si vous avez besoin d'autres clés de cette carte.

Impact sur les résultats de recherche, l'UI et les API

L'utilisation de select ou unselect affecte les résultats de recherche dans l'interface Web Google SecOps, l'API Chronicle (udmSearch et StreamSearch) et l'API Search pour les opérations de longue durée (LRO) (PaginatedSearchResults). Elle n'est pas compatible avec l'ancienne API Backstory.

• Tableau des événements, gestionnaire de colonnes et agrégations : seuls les champs projetés (ainsi que Code temporel et État de l'événement) peuvent être affichés, agrégés, filtrés ou ajoutés en tant que colonnes.
• Observateur d'événements : affiche uniquement les champs UDM et d'entité projetés à côté du journal brut, et désactive l'option Ajouter aux colonnes pour les champs non projetés.
• Tri : vous ne pouvez trier les résultats que sur les champs projetés, les champs de métadonnées obligatoires (metadata.event_timestamp et metadata.enrichment_state) et les colonnes rapides composites (Nom d'hôte, IP et Utilisateur) lorsque leurs champs sous-jacents sont projetés. Dans les requêtes API, définir sort_column sur un champ non projeté ou exclu renvoie une erreur INVALID_ARGUMENT (400).

Exemples

• Inclure uniquement des champs d'événement UDM spécifiques (select) :

  principal.hostname != "" and target.ip != ""
  select: principal.hostname, principal.ip, target.ip, security_result.severity
  

• N'inclure que des champs d'entité ECG spécifiques (select) :

  graph.entity.hostname != ""
  select: graph.entity.hostname, graph.entity.ip, graph.entity.asset.asset_id
  

• Exclure des champs spécifiques (unselect) :

  metadata.event_type = "NETWORK_HTTP" and principal.hostname != ""
  unselect: target.hostname, target.ip, security_result.category_details
  

Rechercher un champ UDM pour une requête de recherche (recherche UDM)

Lorsque vous écrivez une requête de recherche, vous ne connaissez peut-être pas le nom ou la valeur exacts du champ UDM à inclure. La fonctionnalité de recherche UDM vous permet de trouver rapidement un nom de champ UDM qui contient une chaîne de texte dans le nom ou qui stocke une valeur de chaîne spécifique. Vous pouvez sélectionner un ou plusieurs résultats renvoyés par la recherche UDM et les utiliser comme point de départ pour une requête de recherche, les ajouter à une requête existante ou les enregistrer dans le presse-papiers.

Remarque : La recherche UDM n'est pas destinée à être utilisée pour rechercher d'autres types de données, tels que des octets, des valeurs booléennes ou des valeurs numériques.

Pour utiliser la recherche UDM, procédez comme suit :

1. Sur la page Recherche SIEM, cliquez sur Recherche UDM. La boîte de dialogue Recherche UDM s'ouvre.

2. Sélectionnez l'une des options Correspondance sur suivantes, ou les deux, pour spécifier le champ d'application des données à rechercher :

   • Champs UDM : recherchez du texte correspondant à des noms de champs, par exemple network.dns.questions.name ou principal.ip.
   • Valeurs : recherchez des chaînes de texte dans les valeurs de journaux stockées, par exemple dns ou google.com.

3. Cliquez dans le champ de recherche Saisissez la chaîne exacte pour laquelle vous recherchez une correspondance, puis saisissez la chaîne à rechercher. À mesure que vous saisissez du texte, les résultats de recherche s'affichent dans la boîte de dialogue.

   Les résultats varient selon que la correspondance porte sur des champs UDM ou des valeurs :

   • La recherche avec Correspondance sur Champs UDM renvoie une correspondance exacte trouvée n'importe où dans la définition du schéma.

     

     Figure 2. Recherchez des noms de champs UDM avec Correspondance sur dans la boîte de dialogue Recherche UDM.

   • La recherche avec Correspondance sur Valeurs recherche dans la télémétrie des journaux ingérés et renvoie deux types de résultats :

     • Correspondances de valeur complète : pour les champs de texte courants (tels que les applications, les noms d'hôte, les URL, les adresses IP et les noms d'utilisateur), la recherche UDM affiche la valeur de correspondance complète avec votre chaîne de recherche surlignée en jaune, ainsi que le dernier code temporel d'ingestion des journaux.

     • Correspondances de valeurs possibles : pour les champs contenant du texte long, complexe ou non structuré (comme les lignes de commande, les descriptions, les champs de détection et les champs personnalisés), la recherche UDM indique que le terme de recherche apparaît dans ce champ de votre historique de télémétrie. Au lieu d'afficher une seule valeur complète, le résultat affiche le nom du champ UDM suivi de (Possible value match).

     

     Figure 3. Recherchez avec Correspondance sur Valeurs dans la boîte de dialogue Recherche UDM.

4. Dans la liste des résultats, vous pouvez effectuer les actions suivantes :

   • Cliquez sur le nom d'un champ UDM pour afficher sa description.
   • Sélectionnez un ou plusieurs résultats en cochant la case à côté du nom du champ UDM.
   • Cliquez sur le bouton Réinitialiser pour désélectionner tous les champs sélectionnés dans la liste des résultats.

5. Effectuez l'une des opérations suivantes :

   • Pour copier les résultats sélectionnés dans le presse-papiers, cliquez sur Copier l'UDM. Vous pouvez ensuite fermer la boîte de dialogue Recherche UDM et coller le contenu du presse-papiers dans l'éditeur de requête.

   • Pour ajouter les résultats sélectionnés à la requête dans l'éditeur de requête, cliquez sur Ajouter à la recherche. Google SecOps convertit ensuite les résultats sélectionnés en une requête de recherche sous la forme d'un nom de champ UDM ou d'une paire nom-valeur.

     Si vous ajoutez plusieurs résultats, Google SecOps ajoute chaque résultat à la fin de la requête existante dans l'éditeur de requête à l'aide de l'opérateur OR.

     La chaîne de requête ajoutée est différente selon le type de correspondance renvoyé par la recherche UDM :

     • Si le résultat correspond à une chaîne de texte dans un nom de champ UDM, le nom complet du champ UDM est ajouté à la requête. Exemple :

       principal.artifact.network.dhcp.client_hostname

     • Si le résultat est une correspondance de valeur complète, la paire nom-valeur contient une condition d'égalité exacte avec la valeur complète.

     • Si le résultat est une correspondance de valeur possible, la paire nom-valeur contient le nom du champ UDM et une expression régulière non sensible à la casse contenant votre terme de recherche.

6. Si nécessaire, modifiez la requête dans l'éditeur de requête.

Comportement de recherche et couverture des champs de la recherche UDM

La recherche UDM vous aide à découvrir les noms de champs et à rechercher des valeurs historiques dans vos données de journaux ingérées. Cette section explique le fonctionnement de la recherche dans les deux modes, fournit des exemples de requêtes et décrit les limites de couverture des champs.

Modes de recherche : champs UDM ou valeurs

La recherche UDM propose deux modes de recherche distincts :

• Mode Champs UDM : Correspondance sur Champs UDM recherche la définition du schéma UDM pour vous aider à localiser le bon chemin d'accès au champ. Vous pouvez trouver des noms de champs dans tous les types de données, y compris les champs de texte (principal.hostname), les ports numériques (target.port), les options booléennes (security_result.is_alert) et les catégories d'événements (metadata.event_type).

  Exemple : Si vous saisissez port, des champs tels que network.ip_port, principal.port, target.port et src.port s'affichent.

• Mode "Valeurs" : Correspondance sur Valeurs recherche des valeurs de texte correspondantes dans vos journaux d'événements ingérés :

  • Correspondance exacte de la valeur : pour les identifiants et les champs de texte courants (tels que les noms d'hôte, les adresses IP, les domaines et les noms d'utilisateur), la recherche UDM trouve la valeur exacte dans vos données et génère une condition d'égalité (par exemple, principal.hostname = "example.com").
  • Correspondance de valeur possible (expression régulière) : pour les textes longs, les lignes de commande, les URL, les clés de registre et les chemins d'accès aux fichiers, la recherche UDM renvoie une correspondance de valeur possible avec une expression régulière (par exemple, principal.process.command_line = /powershell/ NOCASE).

Lacunes dans la couverture des champs et comment effectuer une recherche directe

Lorsque vous effectuez une recherche par valeurs, la recherche UDM recherche les champs de texte dans les données d'événement brutes et non enrichies. Certains types de données et champs d'identifiants à volume élevé ne renvoient pas de correspondances en mode Valeurs. Pour rechercher ces champs, saisissez votre expression directement dans l'éditeur de requête.

Cette section comprend les éléments suivants :

• Champs numériques, booléens, d'horodatage et d'octets
• Champs d'identifiant exclus
• Champs avec des correspondances de valeurs possibles (expressions régulières)
• Champs enrichis et graphique des entités

Champs numériques, booléens, d'horodatage et d'octets

La recherche de valeurs de recherche UDM ne renvoie pas de correspondances pour les types de données non textuels. Pour effectuer une recherche sur ces champs, écrivez la condition directement dans la barre de recherche :

Catégorie de champ	Exemples de champs UDM	Exemple de recherche directe
Numéros de port et codes d'état	network.ip_port, principal.port, target.port, network.http.response_code	network.ip_port = 443 network.http.response_code = 403
Métriques et scores de risque	security_result.risk_score, network.sent_bytes, network.received_bytes	security_result.risk_score >= 80 network.sent_bytes > 50000000
Options booléennes	security_result.is_alert, network.dns.answers.is_authoritative	security_result.is_alert = true
Énumérations prédéfinies	metadata.event_type, network.ip_protocol	metadata.event_type = "USER_LOGIN" network.ip_protocol = "TCP"
Codes temporels	metadata.event_timestamp.seconds, metadata.ingested_timestamp	Filtrez à l'aide du menu Période ou de la requête : metadata.event_timestamp.seconds > 1700000000
ID des événements (octets bruts)	metadata.id	metadata.id = "..."
Coordonnées géographiques	principal.location.latitude, principal.location.longitude	Filtrer par champs de zone géographique régionale : principal.location.country_or_region = "US"

Champs d'identifiant exclus

Les champs de suivi de session et d'entropie élevée suivants ne renvoient pas de correspondances lors d'une recherche par valeurs :

Catégorie de champ exclue	Champs UDM	Exemple de recherche directe
ID de processus	*.pid (par exemple, principal.process.pid, target.process.pid), *.product_specific_process_id	target.process.pid = "4128"
ID de session et de connexion	network.session_id, network.parent_session_id, metadata.product_log_id	network.session_id = "sess-9481"
ID des règles de détection	security_result.rule_id	security_result.rule_id = "rule_suspicious_login"
ID de ressources et d'assets	*.resource.id (y compris les ARN et les URI cloud), *.asset_id	target.resource.id = "arn:aws:s3:::my-bucket"
Étiquettes d'ingestion	metadata.base_labels.*, metadata.enrichment_labels.*	metadata.base_labels.log_types = "WINEVTLOG"

Champs avec des correspondances de valeurs possibles (expressions régulières)

Pour les champs contenant des chaînes longues et complexes avec de nombreux séparateurs de chemin ou arguments, la recherche UDM renvoie une expression régulière de correspondance de valeur possible (/.../ NOCASE) plutôt qu'une correspondance exacte de la valeur complète :

• Lignes de commande : principal.process.command_line, target.process.command_line
• Chemins d'accès aux fichiers : principal.process.file.full_path, target.file.full_path
• URL Web et réseau : principal.url, target.url, network.http.referral_url
• Clés de registre : principal.registry.registry_key, target.registry.registry_key
• Descriptions libres : metadata.description, security_result.description, security_result.summary
• Chaînes user-agent : network.http.user_agent
• Champs personnalisés dynamiques : additional.fields.value.*

Champs enrichis et graphique des entités

La recherche UDM recherche les données de journaux brutes ingérées après le 10 août 2023. Elle ne renvoie pas les valeurs des éléments suivants :

• Enrichissements en aval : par exemple, résolution de la localisation GeoIP, données WHOIS, verdicts de navigation sécurisée ou scores VirusTotal. Pour les rechercher, filtrez directement sur le chemin du champ enrichi (par exemple, target.ip_geo_artifact.country_or_region = "US").
• Objets Entity Graph : données de l'espace de noms graph.*.
• Données historiques avant la date limite : journaux ingérés avant le 10 août 2023. Pour rechercher des données plus anciennes, utilisez des requêtes de recherche directe sur la page Recherche.

Utiliser des tableaux de données dans une recherche

Vous pouvez utiliser la fonctionnalité Tableaux de données dans une recherche. Cela vous permet d'utiliser vos propres bases de données d'informations sur les menaces en conjonction avec une recherche pour détecter les menaces dans votre entreprise.

Par exemple, si vous disposez d'une base de données appelée suspicious avec une colonne d'adresses IP que vous savez problématiques, vous pouvez référencer cette base de données dans la requête de recherche au lieu de saisir manuellement des adresses IP individuelles dans la requête :

  events:
      $e.principal.ip in %suspicious.ip

Vous pouvez affiner vos résultats en recherchant des métadonnées spécifiques en plus des adresses IP. Par exemple, vous pouvez vous intéresser spécifiquement aux modifications apportées aux ressources utilisateur :

  events:
      $e.metadata.event_type = "USER_RESOURCE_UPDATE_CONTENT"
      $e.principal.ip in %suspicious.ip

Vous pouvez affiner une recherche sur des champs UDM interdépendants et la faire correspondre à plusieurs colonnes de table de données. L'exemple suivant recherche les événements NETWORK_CONNECTION pour lesquels le résultat de sécurité est ALLOW. Il met ensuite en correspondance ces événements avec la colonne hostnames et la colonne ip de la table de données badApps.

events:
  $e.metadata.event_type = "NETWORK_CONNECTION"
  $e.security_result.action = "ALLOW"
  $e.target.asset.asset_id = $assetid

  // Event hostname matches at least one value in table column hostname.
  $e.target.hostname in %badApps.hostname

  // Event IP matches at least one value in table column ip.
  $e.target.ip in %badApps.ip

Afficher les lignes d'un tableau de données dans une recherche

Lorsque vous utilisez un tableau de données dans une recherche YARA-L 2.0, les résultats font référence aux lignes du tableau de données qui sont associées aux événements correspondants. Ces résultats s'affichent dans le panneau Événements. L'état actuel de la table de données et de ses lignes s'affiche lorsque vous consultez les résultats.

Utilisez le gestionnaire de colonnes pour sélectionner le tableau de données et les colonnes à afficher dans les résultats.

Pour en savoir plus, consultez Utiliser des tables de données.

Comprendre le processus d'exécution des requêtes

Si la requête dans l'éditeur de requête est valide, la console Google SecOps active le bouton Exécuter la recherche.

Une fois que vous avez cliqué sur Lancer la recherche, la requête en cours s'affiche avec une icône d'état circulaire.

Pendant qu'une recherche est en cours, vous pouvez exécuter d'autres recherches (simultanées) dans l'éditeur de requête, avec certaines limites. Google SecOps continue d'exécuter vos recherches précédentes et exécute les nouvelles recherches en parallèle.

Important : Les recherches simultanées et les résultats stockés nécessitent que la fonctionnalité d'historique des recherches soit active. Si vous avez déjà désactivé l'historique des recherches, vous pouvez le réactiver en cliquant sur Historique > Activer l'historique des recherches.

Les requêtes terminées sont affichées avec une icône de coche verte, ainsi qu'un compteur indiquant le nombre d'événements renvoyés par la requête.

Cliquez sur une requête terminée pour afficher les résultats. Les résultats de recherche s'affichent sous l'éditeur de requête.

Les résultats de recherche sont mis en cache et n'incluent que les données disponibles au moment de l'exécution de la requête.

Gérer l'historique de vos recherches

Votre historique de recherche est enregistré dans votre compte Google SecOps.

Important : Les recherches simultanées et les résultats stockés nécessitent que la fonctionnalité d'historique de recherche soit active.

• Pour gérer l'historique de vos recherches, sur la page Recherche SIEM, cliquez sur Historique pour ouvrir la boîte de dialogue, puis procédez comme suit :

  • Affichez la liste de toutes les recherches de votre historique.
  • Cliquez sur un élément de la liste pour le charger dans l'éditeur de requête.
  • Saisissez une requête dans la barre de recherche pour trouver une recherche dans votre historique.
  • Filtrez les recherches en cliquant sur Filtrer à côté de la barre de recherche, puis filtrez les recherches par Langue (contenant les filtres YL2 et SQL) AND Type de recherche (contenant les filtres UDM, Journal brut et Statistiques).
  • Afficher uniquement les résultats stockés des recherches terminées et en cours ou non (à l'aide de la case à cocher Afficher uniquement les résultats stockés des recherches terminées et en cours).
  • Effacer l'historique des recherches
    • Pour effacer l'historique des recherches, cliquez sur Plus, puis sélectionnez Effacer l'historique.

  • Désactiver ou réactiver l'historique des recherches :

    • Pour désactiver l'historique de la Recherche, cliquez sur Désactiver l'historique de la Recherche, puis sélectionnez Désactiver uniquement pour désactiver l'historique de la Recherche ou Désactiver et effacer pour désactiver l'historique de la Recherche et supprimer l'historique de la Recherche enregistré.

    • Si vous avez déjà désactivé l'historique de la Recherche, vous pouvez le réactiver en cliquant sur Activer l'historique de la Recherche.

• Pour supprimer une recherche spécifique de votre historique de la Recherche, consultez Supprimer une recherche enregistrée.

Remarque : L'historique de la Recherche enregistre le mode d'exécution de la recherche (Mode de base ou Mode avancé) pour chaque requête et restaure ce mode lorsque vous exécutez à nouveau la recherche à partir de la boîte de dialogue Historique. Pour en savoir plus, consultez Comprendre les modes d'exécution de la recherche.

Enregistrer et utiliser une requête de métriques

Remarque : Cette fonctionnalité est couverte par les Conditions des offres pré-DG des Conditions spécifiques du service Google Security Operations. Les fonctionnalités pré-DG (avant disponibilité générale) sont susceptibles de présenter une compatibilité limitée, et les modifications apportées à ces fonctionnalités peuvent ne pas être compatibles avec d'autres versions avant disponibilité générale. Pour en savoir plus, consultez les Instructions relatives aux services d'assistance technique Google SecOps et les Conditions spécifiques du service Google SecOps.
Si cette fonctionnalité n'est pas visible dans votre environnement, consultez Gérer les fonctionnalités en preview ou contactez votre administrateur système.

Google SecOps classe les requêtes de métriques avec le badge STATS.

• Pour enregistrer une recherche en tant que métrique, cliquez sur Plus à côté de Lancer la recherche, puis sur Enregistrer en tant que métrique. La page Règles et détections s'ouvre et affiche votre requête de métriques dans l'onglet Métriques. Vous pouvez ensuite enregistrer la métrique ou la désactiver. Une fois enregistrée, une requête de métrique ne peut plus être modifiée ni supprimée. Vous pouvez désactiver les métriques à tout moment.

Vous pouvez utiliser une requête de métriques pour établir des modèles de comportement types et identifier les activités inhabituelles. Si vous avez une requête de métriques dans l'éditeur de requête qui suit des tendances opérationnelles critiques, cliquez sur Plus > Enregistrer en tant que métrique. La requête est ainsi enregistrée en tant que métrique de série temporelle continue, qui peut être intégrée à des tableaux de bord personnalisés ou référencée dans des alertes de seuil.

Exemple de requête de métriques :

metric metric_1784196814306 {
  (metadata.event_type = "NETWORK_FLOW" OR
  metadata.event_type = "NETWORK_CONNECTION" OR
  metadata.event_type = "NETWORK_DNS" OR
  metadata.event_type = "NETWORK_HTTP")

  outcome:
  $timestamp = timestamp.get_timestamp(metadata.event_timestamp.seconds)
  $hostname = principal.hostname
  $event_type = metadata.event_type
  $user = principal.user.userid
  $principal_process = principal.process.file.full_path
  $principal_cmdline = principal.process.command_line
  $target_process = target.process.file.full_path
  $target_cmdline = target.process.command_line
  $target_url = target.url
  $target_ip = target.ip[0]
  order:
  $timestamp
  }

Gérer vos recherches (Search Manager)

Utilisez la boîte de dialogue Gestionnaire de recherche pour gérer vos recherches.

• Pour ouvrir le Gestionnaire de recherche, sur la page Recherche SIEM, cliquez sur Gestionnaire de recherche.

Badges de type de recherche

L'onglet Enregistrées du Gestionnaire de recherches liste toutes les recherches enregistrées et affiche un badge indiquant le type de recherche : UDM, RAW, JOIN, STATS, CASE, HISTORIQUE DES CAS et ECG.

Actions du gestionnaire des recherches

Dans l'onglet Enregistré, vous pouvez effectuer les actions suivantes :

• Filtrer les recherches enregistrées : cliquez sur Filtrer à côté de la barre de recherche, puis filtrez les recherches par Source (contenant : Défini par Google SecOps, Créé par moi et Partagé avec moi) AND Langage (contenant : YL2 et SQL).
• Trier les recherches : cliquez sur list_arrow Trier à côté de la barre de recherche, puis triez par Nom (A-Z), Nom (Z-A), Du plus ancien au plus récent ou Du plus récent au plus ancien.
• Ajouter une recherche : cliquez sur add_2 Ajouter à côté de la barre de recherche et créez une recherche dans le champ Recherche UDM adjacent. Le champ Recherche UDM est compatible avec les mêmes outils de modification UDM, de suggestion automatique et de saisie semi-automatique que lorsque vous créez une requête manuellement dans l'éditeur de requête.
• Partager ou supprimer des recherches que vous avez créées.
• Modifier une recherche que vous avez créée : lorsqu'une recherche est sélectionnée dans l'onglet Enregistrées, la zone RECHERCHE affiche la requête, ainsi que les zones Titre et Description. Le champ Recherche UDM est compatible avec les mêmes outils de modification UDM, de suggestion automatique et de saisie semi-automatique que lorsque vous créez une requête manuellement dans l'éditeur de requête.

Enregistrer une recherche

Les recherches enregistrées et l'historique des recherches sont :

• Stockées avec votre compte Google SecOps.
• Seul l'utilisateur individuel peut les consulter et y accéder, sauf si vous utilisez la fonctionnalité Partager une recherche pour partager votre recherche avec votre organisation.

Pour enregistrer une recherche, procédez comme suit :

1. Sur la page Recherche SIEM, effectuez l'une des opérations suivantes :

   • Si l'éditeur de requête contient une requête valide, cliquez sur Plus à côté de Lancer la recherche, puis sur Enregistrer la recherche. La boîte de dialogue Gestionnaire de recherche s'ouvre.
   • Cliquez sur Search Manager. La boîte de dialogue Gestionnaire de recherche s'ouvre.

2. Dans le champ Titre, saisissez un nom pour la recherche. Google vous recommande de donner à votre recherche enregistrée un nom pertinent et une description en texte brut de ce que vous recherchez.

3. Facultatif : Dans le champ Description, saisissez une description de la recherche.

4. Facultatif : spécifiez des variables d'espace réservé au format ${<variable name>} en utilisant le même format que celui utilisé pour les variables dans YARA-L. Si vous ajoutez une variable à une recherche, vous devez également inclure une invite pour aider l'utilisateur à comprendre les informations requises à saisir avant d'exécuter la recherche. Toutes les variables doivent être renseignées avant d'exécuter une recherche.

   Par exemple, vous pouvez ajouter metadata.vendor_name = ${vendor_name} à votre recherche. Pour ${vendor_name}, vous devez ajouter une invite pour les futurs utilisateurs, par exemple Enter the name of the vendor for your search. Chaque fois qu'un utilisateur chargera cette recherche à l'avenir, il sera invité à saisir le nom du fournisseur avant d'exécuter la recherche.

5. Cliquez sur Enregistrer les modifications lorsque vous avez terminé.

• Pour afficher les recherches enregistrées, cliquez sur Gestionnaire de recherches, puis sur l'onglet Enregistrées.

Récupérer et exécuter une recherche enregistrée

Pour récupérer et exécuter une recherche enregistrée, procédez comme suit :

1. Sur la page Recherche SIEM, cliquez sur Gestionnaire de recherche et sélectionnez une recherche dans la liste *Enregistré à gauche.
2. Facultatif : Supprimez une recherche en cliquant sur Plus, puis en sélectionnant Supprimer la recherche. Vous ne pouvez supprimer que les recherches que vous avez créées.
3. Vous pouvez modifier le nom et la description de la recherche. Cliquez sur Enregistrer les modifications lorsque vous avez terminé.
4. Cliquez sur Charger la recherche. La recherche est chargée dans le champ de recherche principal.
5. Sélectionnez le mode d'exécution de la recherche : Mode de base ou Mode avancé.
6. Cliquez sur Lancer la recherche.

Supprimer une recherche enregistrée

Vous ne pouvez supprimer que les recherches que vous avez créées.

Pour supprimer une recherche enregistrée, procédez comme suit :

1. Sur la page Recherche SIEM, cliquez sur Gestionnaire de recherche et sélectionnez une recherche dans la liste *Enregistré à gauche.
2. Cliquez sur Plus, puis sélectionnez Supprimer la recherche.
3. Cliquez sur Supprimer la recherche.

Partager une recherche ou arrêter de la partager

Les recherches partagées vous permettent de partager des recherches avec votre équipe. Vous ne pouvez pas partager un album avec une seule personne. Si vous partagez votre recherche, elle est partagée avec l'ensemble de votre organisation.

Vous ne pouvez pas modifier une recherche partagée que vous n'avez pas créée.

Pour partager une recherche, procédez comme suit :

1. Sur la page Recherche SIEM, cliquez sur Gestionnaire de recherche, puis sélectionnez une recherche dans la liste Enregistrées à gauche.
2. Cliquez sur la recherche que vous souhaitez partager.
3. Cliquez sur Plus à droite de la recherche. Une boîte de dialogue s'affiche avec l'option permettant de partager votre recherche.
4. Cliquez sur Partager avec votre organisation. Une boîte de dialogue s'affiche, indiquant que le partage de votre recherche sera visible par les membres de votre organisation. Voulez-vous vraiment partager ?".
5. Cliquez sur Partager.

Si vous souhaitez que la recherche ne soit visible que par vous, cliquez sur Plus, puis sur Arrêter le partage. Si vous arrêtez de la partager, vous seul pourrez utiliser cette recherche.

Résultats de recherche : présentation

Lorsque vous cliquez sur Lancer la recherche sur la page Recherche SIEM, Google Security Operations évalue votre requête dans votre environnement, puis classe et affiche les résultats sous l'éditeur de requête.

Les éléments d'interface utilisateur pour les résultats de recherche varient en fonction des éléments suivants :

• Le type de recherche (qui est, selon son badge : UDM, RAW, JOIN, STATS, CASE ou CASE HISTORY).
• Le mode d'exécution de la recherche (mode de base ou mode avancé). Lorsque vous effectuez une recherche en mode de base, la page Recherche SIEM n'affiche que l'onglet Résultats et masque les onglets Alertes et détections, Présentation et Visualiser. Pour en savoir plus, consultez Comprendre les modes d'exécution de la recherche.

La page Recherche SIEM affiche les onglets suivants pour les résultats de recherche :

• Résultats : affichés pour tous les types de recherche.
• Alertes et détections : affiché uniquement pour les résultats de recherche UDM, RAW et JOIN.
• Présentation : s'affiche uniquement pour les résultats de recherche UDM, RAW et JOIN.
• Visualiser : affiché uniquement pour les résultats de recherche STATS.

Le titre de chaque onglet de résultats inclut le nombre de résultats entre parenthèses, par exemple Résultats (1 118) ou Résultats (100 000+) si le nombre de résultats dépasse le maximum spécifié (dans ce cas, 100 000).

En cliquant sur les onglets, vous pouvez passer instantanément d'une vue à l'autre dans votre espace de travail, tout en conservant votre requête de recherche et votre période.

Afficher et gérer les informations dans l'onglet "Résultats"

L'onglet Résultats est votre espace de travail principal pour afficher et gérer les résultats de recherche. Vous pouvez utiliser l'onglet Résultats pour :

• Analyse approfondie des journaux
• Afficher la télémétrie brute
• Générer des tableaux croisés dynamiques à partir de données d'événement
• Analyser les distributions de valeurs de champ à haute fréquence
• Exporter des données dans des fichiers CSV

L'onglet Résultats inclut les éléments suivants, en fonction du type de recherche :

• Panneaux à onglets avec les graphiques suivants :
  • Graphique "Activité au fil du temps" : affiché pour les résultats de recherche UDM, JOIN, CASE, CASE HISTORY et ECG.
  • Graphique Évolution au fil du temps : affiché pour les résultats de recherche RAW.
  • Onglet Prévalence : affiché pour les résultats de recherche UDM.
  • Tableau Carte de densité d'activité : affiché pour les résultats de recherche UDM.
• Panneau Agrégations : affiché pour tous les types de résultats de recherche.

• Panneaux contenant les tableaux suivants, selon le type de recherche :

  • Tableau Événements et sous-onglet Tableau croisé dynamique : affichés uniquement pour les résultats de recherche UDM. Le tableau Événements affiche la télémétrie des événements UDM normalisés et les enregistrements de journaux bruts correspondant à votre requête dans la période sélectionnée. Le sous-onglet Pivot vous permet de créer et d'utiliser un tableau croisé dynamique pour effectuer des regroupements et des résumés mathématiques multidimensionnels (sum, count, avg, stddev) sur les résultats des événements.
  • Journaux bruts : affiché uniquement pour les résultats de recherche RAW.
  • Stats : affiché uniquement pour les résultats de recherche STATS.
  • Jointures : affiché uniquement pour les résultats de recherche de type JOINTURE.
  • Cas : affiché uniquement pour les résultats de recherche CASE.
  • Historique des cas : s'affiche uniquement pour les résultats de recherche de type CAS et HISTORIQUE DES CAS.
  • Données temporelles et Données intemporelles : affiché uniquement pour les résultats de recherche ECG.

  Pour en savoir plus sur les fonctions et les outils compatibles avec ces tables, consultez Utiliser des outils courants pour les tables. Les fonctions disponibles incluent la gestion des colonnes du tableau affiché dans l'onglet, le téléchargement des résultats de recherche et plus encore.

Conseil : Cliquez sur Options d'affichage pour masquer ou afficher les graphiques et le panneau Agrégations.

Remarque : En mode de base, les graphiques chronologiques, l'onglet Prévalence et le tableau Carte de densité d'activité sont ignorés et masqués pour accélérer la récupération des événements, mais les panneaux Événements et Agrégations restent actifs. Pour en savoir plus, consultez Comprendre les modes d'exécution de la recherche.

Utiliser le graphique "Activité au fil du temps"

L'onglet Activité au fil du temps inclut un graphique (histogramme) du volume d'événements et d'alertes au fil du temps.

Remarque : L'onglet Activité au fil du temps ne s'affiche que pour les résultats de recherche UDM, JOIN, CASE et CASE HISTORY.

La largeur de chaque barre dépend de l'intervalle de temps recherché. Par exemple, chaque barre représente 10 minutes lorsque la recherche couvre 24 heures de données. Ce graphique est mis à jour de manière dynamique lorsque vous modifiez la recherche existante.

Remarque : La période de recherche maximale est de 365 jours pour les recherches YARA-L 2.0 et de 90 jours pour les recherches SQL, de l'heure de début à l'heure de fin.

Le graphique est compatible avec les éléments suivants :

• Ajustement de la période : faites glisser les curseurs sur la chronologie pour réduire instantanément la période visible. La grille de résultats et le panneau Agrégations sont mis à jour sans réexécuter la requête sur le backend.
• Afficher les événements et les alertes pour la période d'une seule barre : cliquez sur une barre pour limiter le champ d'application du graphique, du panneau Agrégations et de l'onglet Détections à la période de cette barre. Cette action crée un filtre, qui s'affiche à côté du bouton filter_list Ajouter un filtre. Pour afficher à nouveau tous les résultats, supprimez le filtre.
• Pop-up de détails : cliquez sur l'une des barres pour ouvrir un pop-up indiquant l'heure et les valeurs des événements interrogés, des événements filtrés, des alertes interrogées et des alertes filtrées.

Utiliser le graphique "Évolution au fil du temps"

L'onglet Évolution au fil du temps inclut un graphique (un histogramme) du volume de journaux bruts au fil du temps. La largeur de chaque barre verticale s'ajuste de manière dynamique en fonction de votre fenêtre de recherche globale (par exemple, chaque barre peut représenter 10 minutes pour une fenêtre de recherche de 24 heures).

Remarque : L'onglet Évolution dans le temps ne s'affiche que pour les résultats de recherche RAW.

Le graphique est compatible avec les éléments suivants :

• Ajustement de la période : faites glisser les curseurs sur la chronologie pour réduire instantanément la période visible. La grille de résultats et le panneau Agrégations sont mis à jour sans réexécuter la requête sur le backend.
• Affichez le nombre de journaux analysés, non analysés et inconnus détectés dans la période d'une seule barre : Inconnu signifie qu'un ou plusieurs journaux ont été détectés à ce moment-là, mais que leur nombre est indéterminé. Cliquez sur une barre pour limiter le champ d'application du graphique et du panneau Agrégations à la période de cette barre. Cette action crée un filtre, qui s'affiche à côté du bouton filter_list Ajouter un filtre. Pour afficher à nouveau tous les résultats, supprimez le filtre.
• Pop-up de détails : cliquez sur l'une des barres pour ouvrir un pop-up indiquant l'heure et les valeurs des champs Événements interrogés, Événements filtrés, Alerte interrogée et Alertes filtrées.

Utiliser l'onglet "Prévalence"

L'onglet Prévalence ne s'affiche que si votre recherche inclut un domaine.

L'onglet Prévalence affiche la prévalence des domaines associés à votre recherche au sein de votre entreprise. Il combine une liste de domaines à faible prévalence avec un graphique interactif. L'onglet ne s'affiche que si votre recherche UDM inclut un domaine.

Remarque : L'onglet Prévalence ne s'affiche que pour les résultats de recherche UDM.

La liste des domaines à faible prévalence comprend les colonnes suivantes :

• Domaines à faible prévalence : affiche les noms de domaine associés à vos résultats de recherche. Cliquez sur arrow_upward pour trier les domaines par ordre alphabétique (Z à A) et sur arrow_downward pour les trier par ordre alphabétique (A à Z).

• Prévalence ≤ 10 : affiche le nombre total d'occurrences pour chaque domaine dont la prévalence est inférieure ou égale à 10. Cliquez sur arrow_upward pour trier les nombres par ordre numérique décroissant et sur arrow_downward pour les trier par ordre croissant.

Sur le graphique, pointez sur un cercle pour afficher le domaine spécifique et limiter votre recherche aux événements associés à ce domaine uniquement.

Utiliser l'onglet "Carte de densité d'activité"

L'onglet Carte de densité d'activité affiche les données d'événement dans une grille chronologique visuelle pour mettre en évidence les événements les plus concentrés sur la période donnée. L'axe des ordonnées affiche les dates de la période de recherche, et l'axe des abscisses affiche l'heure de la journée par intervalles d'une heure (de 00:00 à 23:00).

Remarque : L'onglet Carte de densité d'activité ne s'affiche que pour les résultats de recherche UDM.

Une légende de dégradé de couleurs indique le volume d'événements au cours d'une heure spécifique, où les couleurs plus claires indiquent moins d'événements et les couleurs plus sombres indiquent une densité plus élevée. Vous pouvez également ajuster l'indicateur de densité pour afficher ou masquer les créneaux horaires en déplaçant le curseur horizontal. Cliquez sur les flèches vers le haut ou vers le bas dans le panneau latéral pour faire défiler les dates et ajuster la période spécifique.

Utiliser le panneau "Agrégations" pour affiner les résultats de recherche

Le panneau Agrégations récapitule les valeurs à haute fréquence, que vous pouvez utiliser pour affiner vos résultats de recherche.

Remarque : Le panneau Agrégations s'affiche pour tous les types de résultats de recherche.

Le panneau Agrégations comprend deux listes réductibles : Champs UDM (qui est une liste de champs UDM correspondants) et une autre liste de champs qui dépend du type de recherche (par exemple, Champs de journal pour les recherches de journaux bruts, Champs de statistiques, Champs de cas, etc.). Pour les recherches UDM, le panneau Agrégations contient la liste Champs UDM et la liste Champs regroupés.

Pour épingler un champ en haut de la liste Agrégations, pointez sur un champ, puis cliquez sur l'icône Conserver keep.

Vous pouvez rechercher des champs ou des valeurs de champ spécifiques à l'aide du champ de recherche search du panneau.

Chaque champ affiche le "nombre de correspondances", c'est-à-dire le nombre d'enregistrements ayant la même valeur pour ce champ. Le contenu des listes est trié par ordre décroissant du nombre de correspondances, puis par ordre alphabétique pour un même nombre de correspondances. Vous pouvez rechercher des champs dans les listes et développer un élément de champ.

Pour filtrer les résultats de recherche avec des agrégations, procédez comme suit :

1. Dans le panneau Agrégations, sélectionnez un champ dans une liste pour afficher les valeurs de liste de ce champ.

2. Sélectionnez une valeur dans la liste, puis cliquez sur more_vert Plus.

3. Sélectionnez une option de filtrage :

   • Afficher uniquement : le tableau adjacent correspondant est mis à jour pour n'afficher que les enregistrements correspondants, et le filtre = "value" s'affiche à côté du bouton filter_list Ajouter un filtre.
   • Exclure : le tableau adjacent correspondant est mis à jour avec les enregistrements correspondants exclus, et le filtre != "value" s'affiche à côté du bouton Ajouter un filtre filter_list.
   • Copier : copie la paire champ-valeur dans votre presse-papiers.

   

   Figure 4. Exemple de filtrage de champs à l'aide du panneau Agrégations.

   

   Figure 5. Bouton Ajouter un filtre filter_list avec deux filtres existants (un affiché et un dans la liste +1 autre).

4. Facultatif : Si vous avez sélectionné Afficher uniquement ou Filtrer à l'étape précédente et que vous souhaitez intégrer automatiquement le filtre dans l'éditeur de requête et relancer la recherche, cliquez sur Appliquer à la recherche et exécuter.

Utiliser des champs groupés dans le panneau "Agrégations" de l'onglet "Résultats"

Le panneau Agrégations pour les recherches UDM inclut la liste Champs groupés. Les champs regroupés agissent comme des alias de catégorie puissants qui combinent des champs UDM associés sans que vous ayez à les saisir séparément. Pour en savoir plus sur les champs groupés, consultez Rechercher des champs groupés.

Alias de champ groupé	Champs UDM associés inclus dans l'alias
domain	about.administrative_domain about.asset.network_domain network.dns.questions.name network.dns_domain principal.administrative_domain principal.asset.network_domain target.administrative_domain target.asset.hostname target.asset.network_domain target.hostname
email	intermediary.user.email_addresses network.email.from network.email.to principal.user.email_addresses security_result.about.user.email_addresses target.user.email_addresses
file_path	principal.file.full_path principal.process.file.full_path principal.process.parent_process.file.full_path target.file.full_path target.process.file.full_path target.process.parent_process.file.full_path
hash	about.file.md5 about.file.sha1 about.file.sha256 principal.process.file.md5 principal.process.file.sha1 principal.process.file.sha256 security_result.about.file.sha256 target.file.md5 target.file.sha1 target.file.sha256 target.process.file.md5 target.process.file.sha1 target.process.file.sha256
hostname	intermediary.hostname observer.hostname principal.asset.hostname principal.hostname src.asset.hostname src.hostname target.asset.hostname target.hostname
ip	intermediary.ip observer.ip principal.artifact.ip principal.asset.ip principal.ip src.artifact.ip src.asset.ip src.ip target.artifact.ip target.asset.ip target.ip
namespace	principal.namespace src.namespace target.namespace
process_id	principal.process.parent_process.pid principal.process.parent_process.product_specific_process_id principal.process.pid principal.process.product_specific_process_id target.process.parent_process.pid target.process.parent_process.product_specific_process_id target.process.pid target.process.product_specific_process_id
user	about.user.userid observer.user.userid principal.user.user_display_name principal.user.userid principal.user.windows_sid src.user.userid target.user.user_display_name target.user.userid target.user.windows_sid

Utiliser le panneau "Événements"

Utilisez le panneau Événements pour afficher, trier et gérer les événements qui correspondent à votre recherche UDM.

Pour en savoir plus sur les fonctions et les outils compatibles avec le panneau Événements, consultez Utiliser des outils courants pour les tables. Les fonctions disponibles incluent la gestion des colonnes du tableau affiché dans l'onglet, le téléchargement des résultats de recherche et plus encore.

Par défaut, après avoir effectué une recherche, le tableau Événements affiche les colonnes clés (appelées champs rapides), par exemple État de l'événement, Code temporel, Type (udm.metadata.event_type), Résumé, Utilisateur (udm.principal.user.userid ou target.user.userid), Nom d'hôte (udm.principal.hostname ou target.hostname). En fonction du champ d'application de votre requête et de la source de journaux, le tableau peut également afficher de manière dynamique des champs rapides pertinents tels que Action (udm.security_result.action).

Remarque : Pour les événements associés à des alertes, la colonne État de l'événement affiche un chip Alerte, avec un nombre lorsque plusieurs alertes s'appliquent.

Inspecter les détails précis d'un seul événement (visionneuse d'événements et corrélation des journaux bruts)

• Pour inspecter les détails d'un événement, cliquez sur la ligne correspondante. La Visionneuse d'événements s'ouvre.

  Pour en savoir plus, consultez Utiliser la visionneuse d'événements pour les résultats UDM et RAW.

Onglet "Tableau croisé dynamique" : créer un tableau croisé dynamique

Vous pouvez utiliser un tableau croisé dynamique pour effectuer des regroupements et des résumés mathématiques multidimensionnels sur vos résultats de recherche.

Pour ouvrir et configurer un tableau croisé dynamique, procédez comme suit :

1. Effectuez une recherche UDM.
2. Dans l'onglet Résultats, cliquez sur le sous-onglet Tableau croisé dynamique. Le panneau Paramètres du tableau croisé dynamique s'ouvre.

3. Sous Grouper par, cliquez sur add Champ pour sélectionner jusqu'à cinq champs UDM pour le regroupement des lignes. Des options de transformation spéciales s'affichent en fonction du type de champ :

   • Champs de chaîne : option permettant de forcer l'utilisation de minuscules. Vous pouvez afficher les résultats en utilisant la casse par défaut ou en minuscules uniquement en sélectionnant Minuscules dans le menu.
   • Champs de nom d'hôte :
     • Domaine enregistré : n'affiche que le nom de domaine enregistré (par exemple, google.com, nytimes.com, youtube.com).
     • Domaine principal de niveau N : spécifiez le niveau du domaine à afficher. Par exemple, si vous utilisez la valeur 1, seul le domaine de premier niveau s'affiche (par exemple, com, gov ou edu). Si vous utilisez la valeur 3, les deux niveaux suivants des noms de domaine s'affichent (par exemple, google.co.uk).
   • Champs d'adresse IP : option permettant de regrouper par longueur du préfixe CIDR en bits. Vous pouvez spécifier une valeur comprise entre 1 et 32 pour les adresses IPv4. Pour les adresses IPv6, vous pouvez spécifier des valeurs allant jusqu'à 128.
   • Champs de code temporel : option permettant de regrouper par résolution temporelle (millisecondes, secondes, minutes, heures, jours).

4. Sous Valeurs, spécifiez une valeur pour votre tableau croisé dynamique à partir de la liste des champs de vos résultats. Vous pouvez spécifier jusqu'à cinq valeurs.

5. Pour chaque champ que vous spécifiez pour Valeurs, vous devez sélectionner l'une des options Synthétiser via suivantes :

   • Avg (moyenne)
   • Nombre
   • Nombre distinct
   • Max
   • Min
   • Somme
   • Stddev (écart type)

   Les options Synthétiser ne sont pas toutes compatibles avec les champs critère de regroupement. Par exemple, les options Somme, Moyenne, Écart type, Min et Max ne peuvent être appliquées qu'aux champs numériques. Si vous essayez d'associer une option Résumer incompatible à un champ Critère de regroupement, un message d'erreur s'affiche.

   Spécifiez la valeur Nombre d'événements pour renvoyer le nombre d'événements identifiés pour cette recherche et ce tableau croisé dynamique spécifiques.

6. Sous Trier par, spécifiez un ou plusieurs champs UDM, puis sélectionnez un ou plusieurs tris à l'aide de l'option Croissant ou Décroissant.

7. Cliquez sur Appliquer lorsque vous êtes prêt. Les résultats s'affichent dans le panneau Pivot.

8. Facultatif : Pour télécharger et enregistrer le contenu du tableau croisé dynamique, consultez Télécharger les résultats de recherche d'un tableau.

Utiliser le panneau "Journaux bruts"

Utilisez le panneau Journaux bruts pour afficher, trier et gérer les journaux correspondant à votre recherche, qui évalue la télémétrie des journaux bruts non analysés. L'objectif principal du diagnostic est de surveiller l'état de l'ingestion et de l'analyse, c'est-à-dire de surveiller le nombre de journaux analysés par rapport au nombre de journaux non analysés et au nombre de journaux inconnus (ce qui signifie qu'un ou plusieurs journaux ont été détectés à un certain moment, mais que leur nombre est indéterminé).

Pour en savoir plus sur les fonctions et les outils compatibles avec cet onglet, consultez Utiliser des outils courants pour les tables. Les fonctions disponibles incluent la gestion des colonnes du tableau affiché dans l'onglet, le téléchargement des résultats de recherche et plus encore.

Inspecter les détails d'un seul journal brut (visionneuse d'événements et corrélation des journaux bruts)

• Pour inspecter les détails d'un seul journal brut, cliquez sur la ligne correspondante. La Visionneuse d'événements s'ouvre.

  Pour en savoir plus, consultez Utiliser la visionneuse d'événements pour les résultats UDM et RAW.

Utiliser le panneau "Statistiques"

Utilisez le panneau Statistiques pour afficher, trier et gérer les statistiques correspondant à votre recherche.

Le panneau Statistiques n'accepte qu'un sélecteur de colonnes qui vous permet d'ajouter ou de supprimer des colonnes.

Pour en savoir plus sur les fonctions et les outils compatibles avec cet onglet, consultez Utiliser des outils courants pour les tables. Les fonctions compatibles incluent le téléchargement des résultats de recherche, entre autres.

Utiliser le panneau "Jointures"

Utilisez le panneau Participations pour afficher, trier et gérer les éléments qui correspondent à votre recherche.

Pour en savoir plus sur les fonctions et les outils compatibles avec cet onglet, consultez Utiliser des outils courants pour les tables. Les fonctions disponibles incluent la gestion des colonnes du tableau affiché dans l'onglet, le téléchargement des résultats de recherche et plus encore.

Utiliser le panneau "Cas"

Utilisez le panneau Demandes pour afficher, trier et gérer les demandes qui correspondent à votre recherche.

Pour en savoir plus sur les fonctions et les outils compatibles avec cet onglet, consultez Utiliser des outils courants pour les tables. Les fonctions disponibles incluent la gestion des colonnes du tableau affiché dans l'onglet, le téléchargement des résultats de recherche et plus encore.

Utiliser le panneau "Historique des demandes"

Utilisez le panneau Historique des demandes pour afficher, trier et gérer les historiques de demandes qui correspondent à votre recherche.

Pour en savoir plus sur les fonctions et les outils compatibles avec cet onglet, consultez Utiliser des outils courants pour les tables. Les fonctions disponibles incluent la gestion des colonnes du tableau affiché dans l'onglet, le téléchargement des résultats de recherche et plus encore.

Utiliser les panneaux "Données temporelles" et "Données intemporelles"

Utilisez les panneaux Données temporelles et Données intemporelles pour afficher, trier et gérer les résultats des recherches ECG. Le panneau Données temporelles affiche les résultats pour les entités qui ont une période définie, c'est-à-dire qui ont une valeur pour metadata.interval.end_time lors de l'ingestion. Le panneau Données intemporelles affiche les résultats pour les entités qui n'ont pas de période définie, c'est-à-dire qui n'ont pas de valeur pour metadata.interval.end_time.

Important : La base de données ECG stocke séparément les entités temporelles et intemporelles. Lorsque vous exécutez une recherche ECG, Google SecOps crée une union des datastores temporels et intemporels, et renvoie les meilleurs résultats de chacun, jusqu'au nombre maximal de résultats configuré. Les données des entités temporelles sont triées en fonction du code temporel le plus récent, mais l'ordre des données des entités intemporelles ne peut pas être connu. Par conséquent, il est possible que l'interface n'affiche que des entités intemporelles, que des entités temporelles ou une combinaison différente de ces entités chaque fois que la requête est exécutée.

Utiliser la visionneuse d'événements pour les résultats UDM et RAW

• Pour inspecter les détails précis d'un seul événement ou d'un journal brut, cliquez sur une ligne du tableau Événements ou Journaux bruts. La Visionneuse d'événements s'ouvre.

La visionneuse d'événements comprend les onglets suivants :

• Champs d'événement
• Journal brut
• Alertes : affichées uniquement pour les résultats UDM de la table Événements
• Entities

Utiliser l'onglet "Champs d'événement"

Par défaut, l'onglet Champs d'événement affiche les champs d'événement UDM dans une structure arborescente hiérarchique, intitulée Sélectionné.

Utilisez l'onglet Champs d'événement pour effectuer les opérations suivantes :

• Afficher une définition de champ. Passez le pointeur sur le nom du champ pour afficher sa définition.
• Épinglez un champ pour y accéder rapidement. Dans la liste Sélectionné, sélectionnez un champ, puis cliquez sur Conserver Épingler. Le champ s'affiche alors dans la liste Épinglés. Les champs restent dans la liste Sélectionnés, et leur hiérarchie dans la Liste épinglée est affichée dans une notation délimitée par des points avec le préfixe udm (par exemple, udm.metadata.event_type).
• Ajoutez des colonnes ou copiez plusieurs champs. Cochez la case à côté d'un nœud ou d'un champ, puis sélectionnez Ajouter aux colonnes ou Copier.

• Effectuez les actions suivantes :

  • Filtres : appliquez les filtres suivants aux éléments sélectionnés (check_box) dans la liste Sélection :
    • Champs
      • Afficher les champs non enrichis
      • Afficher les champs enrichis
      • Afficher d'autres champs
      • Afficher les champs extraits
    • Sources de journaux d'enrichissement : les options disponibles dépendent de l'événement.
  • Copier : pour copier les champs et les valeurs UDM sélectionnés dans le presse-papiers du système.
  • Ajouter aux colonnes : ajoutez le champ UDM en tant que colonne.

Chaque champ UDM est associé à une icône indiquant si le champ contient des données enrichies ou non enrichies. Les libellés des icônes sont les suivants :

• U : les champs non enrichis contiennent des valeurs renseignées lors du processus de normalisation à l'aide des données du journal brut d'origine.

• E : les champs enrichis contiennent des valeurs que Google SecOps renseigne pour fournir un contexte supplémentaire sur les artefacts dans un environnement client. Pour en savoir plus, consultez Enrichir les données d'événements et d'entités avec Google SecOps.

  L'affichage de chaque champ enrichi peut afficher toutes les sources associées. Ces informations sont utiles pour la validation et le dépannage, et peuvent être requises à des fins d'audit et de conformité. Vous pouvez également filtrer les champs en fonction de leur source d'enrichissement.

Figure 6. Champs UDM enrichis et non enrichis dans l'onglet Champs d'événement de la visionneuse d'événements, affichant les sources des champs enrichis.

Figure 7. Utilisez le filtre de l'onglet Champs d'événement pour afficher ou masquer des champs en fonction de différents attributs.

Utiliser l'onglet "Journal brut"

L'onglet Journal brut affiche le journal brut d'origine dans l'un des formats suivants :

• Brut
• JSON
• XML
• CSV
• Hex/ASCII

Utiliser l'onglet "Alertes"

L'onglet Alertes affiche les alertes associées à l'événement.

L'onglet Alertes ne s'affiche que pour les résultats UDM de la table Événements.

Utiliser l'onglet "Entités"

L'onglet Entités affiche les entités associées à l'événement.

Cliquez sur une entité pour afficher la boîte de dialogue Contexte de l'entité, qui peut inclure les éléments suivants :

• Nom de l'élément
• Première occurrence
• Dernière occurrence
• Adresses IP
• Adresses MAC
• Nombre d'alertes
• Nombre d'alertes le plus élevé par règle
• Graphique à barres des alertes au fil du temps
• Ouvrir le lien "Alertes et IOC"
• Lien Afficher dans l'onglet Alertes

Afficher et gérer les informations dans l'onglet "Alertes et détections"

Remarque : L'onglet Alertes et détections ne s'affiche que lorsque vous effectuez une recherche en mode avancé. En mode de base, Google SecOps ignore la corrélation de détection et masque cet onglet. Pour en savoir plus, consultez Comprendre les modes d'exécution de la recherche.

Utilisez l'onglet Alertes et détections pour :

• Traque des menaces dans toutes les exécutions de règles
• Comparer les déclencheurs d'alertes exploitables aux précurseurs comportementaux à faible bruit
• Définir le périmètre des incidents dans une vue consolidée

L'onglet Alertes et détections affiche les alertes et les détections qui correspondent à vos critères de recherche actifs. En combinant les alertes et les détections dans un seul onglet, vous pouvez inspecter les alertes de gravité élevée en même temps que les correspondances de règles comportementales sous-jacentes afin de découvrir les précurseurs à faible bruit qui n'ont pas franchi le seuil d'alerte de manière indépendante.

Les alertes sont des événements UDM et des données de télémétrie de connecteurs tiers associés à des seuils d'alerte ou à des notifications de gravité élevée. Le nombre d'alertes affiche la télémétrie des journaux UDM qui a déclenché une règle d'alerte (alert_state = "ALERTING"), ainsi que les notifications de priorité élevée ingérées à partir de connecteurs de sécurité tiers (comme CrowdStrike ou les webhooks SOAR).

Les détections sont toutes les sorties d'exécution de règles avec alerte (ALERTING) et sans alerte (NOT_ALERTING) générées par les règles YARA-L 2.0 dans votre environnement. L'onglet affiche les résultats complets de l'exécution des règles générés par votre moteur de détection YARA-L 2.0 pour les correspondances de règles avec et sans alerte. Chaque alerte générée par une règle est également une détection (ALERTING), mais le nombre de détections inclut également toutes les correspondances de règles informatives, en arrière-plan ou sans alerte (NOT_ALERTING).

Le nombre indiqué dans l'en-tête de l'onglet classe les correspondances d'exécution des règles par état d'alerte. Par exemple, si l'en-tête de l'onglet est Alertes (43) et détection (0), cela signifie qu'il y a 43 correspondances où alerting_rule = true et zéro exécution de règle sans alerte (NOT_ALERTING).

L'onglet Alertes et détections comprend les panneaux suivants :

• Graphique Évolution au fil du temps
• Panneau Agrégations
• Panneau Détections

Conseil : Cliquez sur Options d'affichage pour masquer ou afficher le graphique et le panneau Agrégations.

Utiliser le graphique "Tendance au fil du temps"

L'onglet Évolution au fil du temps de l'onglet Alertes et détections inclut un graphique (un histogramme) du volume de détections au fil du temps. La largeur de chaque barre verticale s'ajuste de manière dynamique en fonction de votre fenêtre de recherche globale (par exemple, chaque barre peut représenter 10 minutes pour une fenêtre de recherche de 24 heures).

Le graphique regroupe toutes les correspondances d'exécution de règles au fil du temps sous une seule série agrégée intitulée Détections.

Remarque : L'en-tête de l'onglet affiche les valeurs de décompte et divise les résultats par état d'alerte (par exemple, Alertes (43) et Détection (0)), tandis que le graphique Évolution au fil du temps regroupe toutes les occurrences de détection sous forme de barres Détections.

Le graphique est compatible avec les éléments suivants :

• Ajustement de la période : faites glisser les curseurs sur la chronologie pour réduire instantanément la période visible. La grille de résultats et les agrégations sont mises à jour sans que la requête soit réexécutée sur le backend.
• Afficher les agrégations et les détections pour la période d'une seule barre : cliquez sur une barre pour limiter le graphique, l'onglet Agrégations et l'onglet Détections à la période de cette barre. Cette action crée un filtre, qui s'affiche à côté du bouton filter_list Ajouter un filtre. Supprimez le filtre pour afficher à nouveau tous les résultats.
• Pop-up de détails : cliquez sur l'une des barres pour ouvrir une boîte de dialogue contenant l'heure et les valeurs des champs Détections interrogées et Détections filtrées.

Utiliser le panneau "Agrégations" pour affiner les détections

Le contenu du panneau Agrégations de l'onglet Alertes et détections résume les valeurs des résultats de détection à haute fréquence, que vous pouvez utiliser pour affiner vos résultats de recherche.

Le panneau Agrégations comprend trois listes réductibles : Champs de détection, Champs UDM (qui est une liste de champs UDM correspondants) et Champs d'entité.

Chaque champ affiche le "nombre de correspondances", c'est-à-dire le nombre de détections d'alertes ayant la même valeur pour ce champ. Le contenu des listes est trié par ordre décroissant du nombre de correspondances, puis par ordre alphabétique pour un même nombre de correspondances. Vous pouvez rechercher des champs dans les listes et développer un élément de champ.

Vous pouvez épingler un champ en haut de la liste Agrégations en maintenant le pointeur sur un champ et en cliquant sur l'icône Keep keep.

Rechercher les résultats de détection d'alertes dans le panneau "Agrégations"

Vous pouvez rechercher des champs ou des valeurs de champ spécifiques à l'aide du champ de recherche Rechercher du panneau Agrégations. Cela peut vous aider à vous concentrer sur les alertes les plus importantes pour vous.

Voici les principaux attributs d'alerte permettant de filtrer les alertes dans le panneau Agrégations :

• Cas
• Nom
• Priorité
• Gravité
• État
• Verdict

Filtrer les résultats de détection d'alertes dans le panneau "Agrégations"

Pour filtrer les résultats de détection d'alertes avec des agrégations, procédez comme suit :

1. Dans le panneau Agrégations, sélectionnez un champ dans une liste pour afficher la liste des valeurs de ce champ.

2. Sélectionnez une valeur dans cette liste, puis cliquez sur more_vert Plus.

3. Sélectionnez une option de filtrage :

   • Afficher uniquement : le tableau Détections est mis à jour pour n'afficher que les alertes correspondantes, et le filtre = "value" s'affiche à côté du bouton Ajouter un filtre filter_list.
   • Exclure : le tableau Détections est mis à jour avec les alertes correspondantes exclues, et le filtre != "value" s'affiche à côté du bouton Ajouter un filtre filter_list.
   • Supérieur à (pour les champs d'entiers uniquement) : le tableau Détections est mis à jour pour afficher les alertes dont la valeur est supérieure à celle-ci, et le filtre > "value" s'affiche à côté du bouton Ajouter un filtre filter_list.
   • Supérieur ou égal à (pour les champs d'entiers uniquement) : le tableau Détections est mis à jour pour afficher les alertes dont la valeur est supérieure ou égale à celle-ci, et le filtre >= "value" s'affiche à côté du bouton Ajouter un filtre filter_list.
   • Inférieur à (pour les champs d'entiers uniquement) : le tableau Détections est mis à jour pour afficher les alertes dont la valeur est inférieure à celle-ci, et le filtre < "value" s'affiche à côté du bouton filter_list Ajouter un filtre.
   • Inférieur ou égal à (pour les champs d'entiers uniquement) : le tableau Détections est mis à jour pour afficher les alertes dont la valeur est inférieure ou égale à celle-ci, et le filtre <= "value" s'affiche à côté du bouton Ajouter un filtre filter_list.
   • Copier : copie la paire champ-valeur dans votre presse-papiers.

• Pour supprimer un filtre et mettre à jour les résultats de détection des alertes, supprimez le filtre affiché à côté du bouton filter_list Ajouter un filtre.

Utiliser le panneau "Détections"

Utilisez le panneau Détections pour afficher, trier et gérer les éléments correspondant à votre recherche.

Pour en savoir plus sur les fonctions et les outils compatibles avec cet onglet, consultez Utiliser des outils courants pour les tables. Les fonctions disponibles incluent la gestion des colonnes du tableau affiché dans l'onglet, le téléchargement des résultats de recherche et plus encore.

Inspecter les détails d'une seule alerte (visionneuse d'alertes)

• Pour inspecter les détails d'une seule alerte, cliquez sur une ligne du tableau Détections. La visionneuse d'alertes s'ouvre.

Le lecteur d'alertes comprend les onglets suivants :

• Champs de détection
• Détails
• Variables

• Entités
  
  

• Pour accéder à une autre page de la console Google SecOps contenant les détails de l'alerte, cliquez sur Afficher les détails.

Utiliser l'onglet "Champs de détection"

Par défaut, l'onglet Champs de détection affiche les champs de détection dans une structure arborescente hiérarchique, intitulée Sélectionné.

L'onglet Champs de détection vous permet d'effectuer les opérations suivantes :

• Afficher une définition de champ. Passez le pointeur sur le nom du champ pour afficher sa définition.
• Épinglez un champ pour y accéder rapidement. Dans la liste Sélectionné, sélectionnez un champ, puis cliquez sur Conserver Épingler. Le champ s'affiche alors dans la liste Épinglés. Les champs restent dans la liste Sélectionnés, et leur hiérarchie dans la Liste épinglée est affichée dans une notation délimitée par des points avec le préfixe collection (par exemple, collection.created_time).
• Ajoutez des colonnes ou copiez plusieurs champs. Cochez la case à côté d'un nœud ou d'un champ, puis sélectionnez Ajouter aux colonnes ou Copier.

• Effectuez les actions suivantes :

  • Appliquez des filtres à la liste Sélection.
  • Ajouter aux colonnes : ajoutez le champ en tant que colonne.
  • Copier : pour copier les champs et les valeurs sélectionnés dans le presse-papiers du système.

Utiliser l'onglet "Détails"

L'onglet Détails affiche les détails de l'alerte. L'ensemble des champs de détails varie en fonction de l'alerte spécifique.

Exemples de champs de détails :

• Nom (toujours "Alerte")
• Type
• Gravité
• Score de risque
• État
• Priorité
• Détectée
• Période de détection
• Création
• Règle
• Ensemble de règles
• Description
• Tags

Utiliser l'onglet "Variables"

L'onglet Variables affiche le champ, le type et la valeur de chaque variable associée à l'alerte.

Utiliser l'onglet "Entités"

L'onglet Entités ne s'affiche que lorsqu'une entité est associée à l'alerte.

L'onglet Entités affiche les entités associées à l'alerte.

Cliquez sur une entité pour afficher la boîte de dialogue Contexte de l'entité, qui peut inclure les éléments suivants :

• Nom de l'élément
• Première occurrence
• Dernière occurrence
• Adresses IP
• Adresses MAC
• Nombre d'alertes
• Nombre d'alertes le plus élevé par règle
• Graphique à barres des alertes au fil du temps
• Ouvrir le lien "Alertes et IOC"
• Lien Afficher dans l'onglet Alertes

Afficher et gérer les informations dans l'onglet "Aperçu"

Remarque : L'onglet Aperçu ne s'affiche que lorsque vous effectuez une recherche en mode avancé. En mode de base, Google SecOps contourne la résolution du graphique de contexte d'entité (ECG) et masque cet onglet. Pour en savoir plus, consultez Comprendre les modes d'exécution de la recherche.

L'onglet Aperçu vous permet d'effectuer les actions suivantes :

• Vérifiez l'historique de l'entité (Première détection, Dernière détection, Adresses MAC).
• Vérifier si les indicateurs observés se chevauchent avec des cas ou des alertes d'opérations de sécurité actives

L'onglet Aperçu affiche le graphique de contexte d'entité (ECG) consolidé, les détails de l'élément ou de l'utilisateur, ainsi que l'aperçu de l'investigation pour les indicateurs de compromission (IOC) ou les entités correspondant à votre fenêtre de recherche active. Les informations présentées varient en fonction du type d'informations.

L'onglet Aperçu affiche les informations sur l'entité dans l'un des types d'informations prédéfinis suivants :

• Détails de l'asset
• Informations sur le domaine
• Détails du fichier
• Détails de l'adresse IP
• Informations utilisateur

Afficher les détails de l'élément dans l'onglet "Aperçu"

Lorsque la requête inclut une condition qui renvoie un asset spécifique (par exemple, principal.hostname="laptop-will" ou principal.ip="10.0.0.76"), l'onglet Aperçu affiche la vue de l'asset avec des informations dans les panneaux suivants :

• Résumé de la recherche : affiche les informations suivantes :
  • Détails sur l'entité, y compris l'adresse IP et l'adresse MAC associées à l'élément pendant la période de recherche. L'adresse IP et l'adresse MAC peuvent également être utilisées pour identifier une entité. Vous pouvez cliquer dessus pour afficher des informations supplémentaires dans l'outil de visualisation des entités. Il affiche également la première fois que l'élément a été vu dans votre entreprise et la dernière fois (la plus récente). Vous pouvez cliquer sur l'un des codes temporels (le premier ou le dernier) pour effectuer une nouvelle recherche à l'aide de cette heure.
  • Informations sur les alertes, y compris un graphique indiquant le nombre d'alertes impliquant l'entité au cours de la période de recherche. Le panneau liste également un sous-ensemble de règles avec le plus grand nombre d'alertes.
  • Cliquez sur Ouvrir les alertes et les IOC pour afficher toutes les alertes générées au cours de la même période de recherche.
  • Cliquez sur Afficher dans l'onglet "Alertes" pour passer à l'onglet Alertes et détections sur cette page et lancer une nouvelle recherche sur l'entité sélectionnée.
  • Cliquez sur l'une des barres du graphique pour passer à l'onglet Alertes et détections de cette page et lancer une nouvelle recherche sur l'entité sélectionnée, en utilisant la période de la barre sur laquelle vous avez cliqué.
  • Cliquez sur le lien Afficher plus pour ouvrir la vue Champs d'entité et afficher tous les champs d'entité associés à l'élément. Pour copier un champ d'entité dans le presse-papiers, cochez la case à côté du champ d'entité, cliquez sur Afficher les actions, puis sur Copier l'entité. Cochez la case en haut pour sélectionner toutes les entités.
• IOC pertinents : affiche les IOC associés à l'élément. Les IOC auxquels une gravité plus élevée est attribuée sont affichés en premier. Cliquez sur le nom de l'IOC pour ouvrir l'outil de visualisation des entités à droite.
• Entités associées : affiche les autres entités auxquelles cet élément est associé, comme les utilisateurs qui se sont connectés à l'élément. Le panneau affiche le type d'entité, ainsi que la date et l'heure de sa première et de sa dernière occurrence dans l'environnement. Il affiche également tous les espaces de noms associés à un asset. Cliquez sur une entité pour ouvrir le panneau Contexte de l'entité. Cliquez sur Afficher toutes les périodes pour afficher les entités associées sur l'ensemble de la période disponible, et non sur la plage spécifiée dans la recherche UDM.
• Contexte de l'entité : affiche des détails sur l'entité que vous avez sélectionnée dans le panneau Entités associées. Ce panneau affiche différentes informations en fonction du type d'entité que vous avez sélectionné dans le panneau Entités associées (par exemple, utilisateur ou domaine).

Afficher les détails du domaine dans l'onglet "Aperçu"

Lorsque la requête inclut une condition qui spécifie un domaine spécifique, par exemple target.hostname="example.com", l'onglet Présentation affiche les détails du Domaine avec des informations dans les panneaux suivants :

• Résumé de la recherche : affiche les informations suivantes :
  • Détails sur le domaine, y compris les informations WHOIS associées au domaine enregistré, la première fois qu'il a été vu dans votre entreprise et la dernière fois (la plus récente) qu'il a été vu. Cliquez sur Contexte VT pour afficher les informations sur le domaine fournies par VirusTotal.
  • Informations sur les alertes, y compris un graphique indiquant le nombre d'alertes impliquant l'entité au cours de la période de recherche. Le panneau liste également un sous-ensemble de règles avec le plus grand nombre d'alertes.
  • Cliquez sur Ouvrir les alertes et les IOC pour afficher toutes les alertes générées au cours de la même période de recherche.
  • Cliquez sur Afficher dans l'onglet "Alertes" pour passer à l'onglet Alertes et détections sur cette page et lancer une nouvelle recherche sur l'entité sélectionnée.
  • Cliquez sur l'une des barres du graphique pour passer à l'onglet Alertes et détections de cette page et lancer une nouvelle recherche sur l'entité sélectionnée, en utilisant la période de la barre sur laquelle vous avez cliqué.
  • Cliquez sur le lien Afficher plus pour ouvrir la vue Champs d'entité et afficher tous les champs d'entité associés au domaine. Pour copier un champ d'entité dans le presse-papiers, cochez la case à côté du champ d'entité, cliquez sur Afficher les actions, puis sur Copier l'entité. Cochez la case en haut pour sélectionner toutes les entités.
• Adresses IP résolues : affiche toutes les adresses IP résolues qui ont été détectées dans votre entreprise pour le nom de domaine complet (FQDN). Par exemple, si vous recherchez target.hostname="test.altostrat.com", les résultats de recherche peuvent afficher deux adresses IP résolues (198.51.100.81 et 203.0.113.81).
• Sous-domaines et domaines frères : affiche tous les sous-domaines associés qui ont été détectés dans votre entreprise pour un nom de domaine complet donné. De nombreux pirates informatiques utilisent le même domaine et le même sous-domaine pour leurs attaques. Par exemple, si vous recherchez target.hostname="sandbox.altostrat.com", ce panneau affiche deux sous-domaines : test.sandbox.altostrat.com et staging.sandbox.altostrat.com.
• Prévalence des éléments : affiche le nombre d'éléments de votre entreprise qui se sont connectés au domaine pendant toute la période des données stockées dans votre compte Google Security Operations. Chaque barre du graphique représente le nombre d'assets uniques de votre entreprise qui se sont connectés au domaine un jour UTC. Pointez sur une barre pour afficher les entités associées au jour UTC représenté par la barre. Cliquez sur le nom de l'entité pour afficher son résumé et sa présentation dans le panneau de contexte de l'entité qui s'affiche à droite. Cliquez sur Afficher les événements pour afficher les événements liés à l'entité sélectionnée dans l'onglet "Rechercher des événements".
• Entités associées : affiche les autres entités auxquelles ce domaine est associé, telles que les éléments qui ont contacté ce domaine. La liste inclut le type d'entité, la date de sa première occurrence dans votre entreprise et la date de sa dernière occurrence (la plus récente). Cliquez sur une entité pour ouvrir le panneau Contexte de l'entité.
• Contexte de l'entité : affiche des détails sur l'entité que vous avez sélectionnée dans le panneau Entités associées. Ce panneau affiche différentes informations en fonction du type d'entité que vous avez sélectionné dans le panneau Entités associées (par exemple, une adresse IP ou un domaine).

Afficher les détails du fichier

Lorsque la requête inclut une condition qui renvoie un seul fichier, par exemple principal.process.file.md5="a00000a75f2a35130aa7a7aaa09aaa7a", l'onglet Aperçu affiche les détails du fichier avec des informations dans les panneaux suivants :

• Résumé de la recherche : affiche les informations suivantes :
  • Détails sur le fichier, y compris les valeurs de hachage, la taille du fichier, la première fois qu'il a été vu dans votre entreprise et la dernière fois (la plus récente) qu'il a été vu. Cliquez sur Contexte VT pour afficher les informations sur le fichier provenant de VirusTotal.
  • Détails sur les alertes, y compris un graphique montrant le nombre d'alertes impliquant l'entité au cours de la période de recherche. Le panneau liste également un sous-ensemble de règles avec le plus grand nombre d'alertes.
  • Cliquez sur Ouvrir les alertes et les IOC pour afficher toutes les alertes générées au cours de la même période de recherche.
  • Cliquez sur Afficher dans l'onglet "Alertes" pour passer à l'onglet Alertes et détections sur cette page et lancer une nouvelle recherche sur l'entité sélectionnée.
  • Cliquez sur l'une des barres du graphique pour passer à l'onglet Alertes et détections de cette page et lancer une nouvelle recherche sur l'entité sélectionnée, en utilisant la période de la barre sur laquelle vous avez cliqué.
  • Cliquez sur le lien Afficher plus pour ouvrir la vue Champs d'entité et afficher tous les champs d'entité associés au fichier. Pour copier un champ d'entité dans le presse-papiers, cochez la case à côté du champ d'entité, cliquez sur Afficher les actions, puis sur Copier l'entité. Cochez la case en haut pour sélectionner toutes les entités.
• IOC pertinents : affiche les IOC associés au fichier. Les IOC auxquels une gravité plus élevée est attribuée sont affichés en premier. Cliquez sur le nom de l'IOC pour ouvrir l'outil de visualisation des entités à droite.
• Prévalence des éléments : affiche le nombre d'éléments de votre entreprise associés au fichier pendant toute la période de stockage des données dans votre compte Google SecOps.
• Entités associées : affiche les autres entités auxquelles ce fichier est associé, telles qu'un élément où ce fichier a été exécuté ou les utilisateurs qui ont accédé au fichier. La liste inclut le type d'entité, la date de sa première occurrence dans votre entreprise et la date de sa dernière occurrence. Cliquez sur une entité pour ouvrir le panneau Contexte de l'entité.
• Propriétés et métadonnées VirusTotal : affiche des informations sur le fichier à partir de la base de données VirusTotal. Cliquez sur Afficher plus pour ouvrir une boîte de dialogue VirusTotal et afficher des informations supplémentaires sur le fichier.
• Entités associées : affiche différentes informations en fonction du type d'entité que vous avez sélectionné dans le panneau Entités associées (par exemple, utilisateur ou élément).
• Contexte de l'entité : affiche des détails sur l'entité que vous avez sélectionnée dans le panneau Entités associées. Ce panneau affiche différentes informations en fonction du type d'entité que vous avez sélectionné dans le panneau Entités associées (par exemple, un utilisateur ou un élément).

Afficher les détails de l'adresse IP dans l'onglet "Aperçu"

Lorsque la requête inclut une condition qui renvoie une adresse IP externe spécifique, par exemple target.ip="203.0.113.254", l'onglet Présentation affiche les détails de l'adresse IP avec des informations dans les panneaux suivants :

• Résumé de la recherche : affiche les informations suivantes :
  • Détails sur l'adresse IP, y compris la première et la dernière (la plus récente) fois qu'elle a été vue dans votre entreprise. Cliquez sur Contexte VT pour afficher les informations disponibles sur cette adresse IP à partir de VirusTotal.
  • Informations sur les alertes, y compris un graphique indiquant le nombre d'alertes impliquant l'entité au cours de la période de recherche. Le panneau liste également un sous-ensemble de règles avec le plus grand nombre d'alertes.
  • Cliquez sur Ouvrir les alertes et les IOC pour afficher toutes les alertes générées au cours de la même période de recherche.
  • Cliquez sur Afficher dans l'onglet "Alertes" pour passer à l'onglet Alertes et détections sur cette page et lancer une nouvelle recherche sur l'entité sélectionnée.
  • Cliquez sur l'une des barres du graphique pour passer à l'onglet Alertes et détections de cette page et lancer une nouvelle recherche sur l'entité sélectionnée, en utilisant la période de la barre sur laquelle vous avez cliqué.
  • Cliquez sur le lien Afficher plus pour ouvrir la vue Champs d'entité et afficher tous les champs d'entité associés à l'adresse IP. Pour copier un champ d'entité dans le presse-papiers, cochez la case à côté du champ d'entité, cliquez sur Afficher les actions, puis sur Copier l'entité. Cochez la case en haut pour sélectionner toutes les entités.
• IOC pertinents : affiche les IOC associés à l'adresse IP. Les IOC auxquels une gravité plus élevée est attribuée sont affichés en premier. Cliquez sur le nom de l'IOC pour ouvrir l'outil de visualisation des entités à droite.
• Prévalence des éléments : affiche le nombre d'éléments de votre entreprise qui se sont connectés à l'adresse IP au cours de la période spécifiée dans la recherche UDM.
• Entités associées : affiche les autres entités auxquelles cette adresse IP est associée, telles que les domaines auxquels l'adresse IP est enregistrée. La liste inclut le type d'entité, la date de sa première occurrence dans votre entreprise et la date de sa dernière occurrence (la plus récente). Cliquez sur une entité pour ouvrir le panneau Contexte de l'entité.
• Contexte de l'entité : affiche des détails sur l'entité que vous avez sélectionnée dans le panneau Entités associées. Ce panneau affiche différentes informations en fonction du type d'entité que vous avez sélectionné dans le panneau Entités associées (par exemple, domaine ou élément). Si le lien s'affiche, cliquez sur Contexte VT pour afficher les informations sur l'entité provenant de VirusTotal.

Afficher les détails de l'utilisateur dans l'onglet "Aperçu"

Lorsque la requête inclut une condition qui renvoie un utilisateur spécifique, par exemple principal.user.userid="alice", l'onglet Présentation affiche les détails de l'utilisateur avec des informations dans les panneaux suivants :

• Résumé de la recherche : affiche les informations suivantes :
  • Informations sur l'entité, y compris le nom complet, la première fois qu'elle a été vue dans votre entreprise et la dernière fois (la plus récente), le titre et l'adresse e-mail.
  • Informations sur les alertes, y compris un graphique indiquant le nombre d'alertes impliquant l'entité au cours de la période de recherche. Le panneau liste également un sous-ensemble de règles avec le plus grand nombre d'alertes.
  • Cliquez sur Ouvrir les alertes et les IOC pour afficher toutes les alertes générées au cours de la même période de recherche.
  • Cliquez sur Afficher dans l'onglet "Alertes" pour passer à l'onglet Alertes et détections sur cette page et lancer une nouvelle recherche sur l'entité sélectionnée.
  • Cliquez sur l'une des barres du graphique pour passer à l'onglet Alertes et détections de cette page et lancer une nouvelle recherche sur l'entité sélectionnée, en utilisant la période de la barre sur laquelle vous avez cliqué.
  • Cliquez sur le lien Afficher plus pour ouvrir la vue Champs d'entité et afficher tous les champs d'entité associés à l'utilisateur. Pour copier un champ d'entité dans le presse-papiers, cochez la case à côté du champ d'entité, cliquez sur Afficher les actions, puis sur Copier l'entité. Cochez la case en haut pour sélectionner toutes les entités.
• Entités associées : affiche les entités auxquelles cet utilisateur est associé, telles que les domaines contactés par l'utilisateur ou les éléments auxquels il a accédé. La liste inclut le type d'entité, la date de sa première occurrence dans votre entreprise et la date de sa dernière occurrence (la plus récente). Cliquez sur une entité pour ouvrir le panneau Contexte de l'entité.
• Contexte de l'entité : affiche des détails sur l'entité que vous sélectionnez dans le panneau Entités associées. Les informations de ce panneau varient en fonction du type d'entité (par exemple, un asset ou un domaine).

Afficher et gérer les informations dans l'onglet "Visualiser"

Utilisez l'onglet Visualiser pour transformer les données de vos résultats de recherche STATS en graphique, en diagramme ou en tableau.

Utiliser des outils courants pour les tableaux

Sur la page Recherche SIEM, la plupart des panneaux contenant un seul tableau sont compatibles avec les mêmes fonctions et outils courants.

Cette section décrit les fonctions et outils courants suivants :

• Champ de recherche. Utilisez le champ de recherche pour trouver les résultats correspondants dans le tableau adjacent.
• Gérer les colonnes des tableaux et partager des ensembles de colonnes (gestionnaire de colonnes)
• Bouton Activer le retour à la ligne automatique – Désactiver le retour à la ligne automatique. Il est utile de renvoyer le texte à la ligne pour afficher l'intégralité des chaînes longues dans une colonne.
• Téléchargez les résultats de recherche d'un tableau.
• Lignes par page en bas du tableau. Vous pouvez utiliser cet outil pour améliorer la stabilité et les performances du navigateur lors du chargement d'un grand nombre d'enregistrements de résultats (lignes). Google SecOps fournit des résultats de recherche paginés. Utilisez la liste Lignes par page du tableau Événements pour sélectionner le nombre de lignes à afficher par page (de 10 à 1 000 événements).

Gérer les colonnes des tableaux et partager des ensembles de colonnes (gestionnaire de colonnes)

Pour utiliser une vue cohérente lors de l'analyse des données d'événement, vous pouvez créer, enregistrer et partager des ensembles de colonnes personnalisés pour les tableaux suivants sur la page Recherche SIEM :

• Dans le panneau Résultats, pour les tables suivantes : Événements, Journaux bruts, Jointures
• Dans l'onglet Alertes et détections, pour le tableau Détections.

Pour utiliser cette fonctionnalité, votre compte utilisateur ou votre rôle Identity and Access Management doit disposer des cinq autorisations suivantes :

• chronicle.googleapis.com/savedColumnSets.create
• chronicle.googleapis.com/savedColumnSets.update
• chronicle.googleapis.com/savedColumnSets.delete
• chronicle.googleapis.com/savedColumnSets.list
• chronicle.googleapis.com/savedColumnSets.get

Remarque : L'onglet Statistiques n'est compatible qu'avec un sélecteur de colonnes , qui vous permet uniquement d'ajouter ou de supprimer des colonnes. L'onglet Statistiques n'est pas compatible avec la fonctionnalité Gestionnaire de colonnes.

Créer un ensemble de colonnes

La procédure de création d'un ensemble de colonnes diffère légèrement selon le tableau que vous utilisez.

Pour créer un ensemble de colonnes pour la table Événements, Journaux bruts ou Jointures, procédez comme suit :

1. Cliquez sur Colonnes pour ouvrir le gestionnaire de colonnes.
2. Cliquez sur l'icône filter_alt Filtrer pour indiquer si vous souhaitez afficher les colonnes non applicables.
3. Cliquez sur le bouton Afficher la sélection pour n'afficher que les colonnes sélectionnées dans l'onglet Colonnes d'événements.
4. Dans l'onglet Colonnes d'événements, ajoutez ou supprimez des colonnes de votre ensemble de colonnes. Vous pouvez parcourir ou rechercher des champs dans des sections réductibles (qui varient en fonction du type de résultat de recherche), par exemple Champs rapides (les champs les plus courants par type de données), Champs groupés, Tous les champs d'événement et Tous les champs d'entité. Cochez ou décochez les cases pour afficher ou masquer des colonnes.
5. Organisez les colonnes, puis cliquez sur Enregistrer. La boîte de dialogue Enregistrer l'ensemble de colonnes s'ouvre.
6. Sélectionnez l'une des options suivantes :
   • Enregistrer : saisissez un nouveau nom pour votre ensemble de colonnes.
   • Remplacer : si vous avez modifié un ensemble précédemment enregistré, vous pouvez écraser l'ensemble existant avec vos modifications.
7. Cliquez sur Enregistrer. L'ensemble de colonnes est listé dans l'onglet Ensembles de colonnes.

Pour créer un ensemble de colonnes pour la table Détections, procédez comme suit :

1. Cliquez sur Colonnes pour ouvrir le gestionnaire de colonnes.
2. Cliquez sur l'icône filter_alt Filtrer pour indiquer si vous souhaitez afficher les colonnes non applicables.

3. Dans la liste Type de tableau, sélectionnez le type de tableau pour lequel vous souhaitez créer un ensemble de colonnes :

   • Détections
   • Événements
   • Entités (Affichez les colonnes en développant les lignes de la table.)

   Les modifications apportées à un type de table spécifique ne s'appliquent qu'aux tables et sous-tables de ce type.

4. Cliquez sur le bouton Afficher la sélection pour n'afficher que les colonnes sélectionnées dans l'onglet correspondant (Colonnes de détections, Colonnes d'événements ou Colonnes d'entités).

5. Dans l'onglet correspondant, ajoutez ou supprimez des colonnes de votre ensemble de colonnes. Vous pouvez parcourir ou rechercher des champs dans des sections réductibles (qui varient en fonction du type de résultat de recherche). Cochez ou décochez les cases pour afficher ou masquer des colonnes.

6. Organisez les colonnes, puis cliquez sur Enregistrer. La boîte de dialogue Enregistrer l'ensemble de colonnes s'ouvre.

7. Sélectionnez l'une des options suivantes :

   • Enregistrer : saisissez un nouveau nom pour votre ensemble de colonnes.
   • Remplacer : si vous avez modifié un ensemble précédemment enregistré, vous pouvez écraser l'ensemble existant avec vos modifications.

8. Cliquez sur Enregistrer. L'ensemble de colonnes est listé dans l'onglet Ensembles de colonnes.

Partager un ensemble de colonnes

Pour partager un ensemble de colonnes avec tous les autres utilisateurs de votre locataire Google SecOps :

1. Cliquez sur Colonnes pour ouvrir le gestionnaire de colonnes.
2. Dans l'onglet Colonnes d'événements, ajoutez ou supprimez des colonnes de votre ensemble de colonnes. Vous pouvez parcourir ou rechercher des champs dans des sections réductibles (qui varient en fonction du type de résultat de recherche), par exemple Champs rapides (les champs les plus courants par type de données), Champs groupés, Tous les champs d'événement et Tous les champs d'entité. Cochez ou décochez les cases pour afficher ou masquer des colonnes.
3. Organisez les colonnes, puis cliquez sur Partager. La boîte de dialogue Partager l'ensemble de colonnes s'ouvre.
4. Sélectionnez l'une des options suivantes :
   • Partager le nouvel ensemble : saisissez un nouveau nom pour l'ensemble de colonnes à partager.
   • Partager un ensemble existant : sélectionnez un ensemble précédemment enregistré dans la liste.
5. Cliquez sur Partager. L'ensemble de colonnes est listé dans l'onglet Ensembles de colonnes avec un badge PARTAGÉ.

Charger un ensemble de colonnes enregistré

Pour charger un ensemble de colonnes enregistré, procédez comme suit :

1. Cliquez sur Colonnes pour ouvrir le gestionnaire de colonnes.
2. Sélectionnez l'onglet Ensembles de colonnes.
3. Sélectionnez l'ensemble de colonnes à charger, puis cliquez sur Appliquer.

Supprimer un ensemble de colonnes enregistré

Pour supprimer un ensemble de colonnes enregistré, procédez comme suit :

1. Cliquez sur Colonnes pour ouvrir le gestionnaire de colonnes.
2. Sélectionnez l'onglet Ensembles de colonnes.
3. Sélectionnez l'ensemble de colonnes, puis cliquez sur Plus > Supprimer.

Télécharger les résultats de recherche d'un tableau

Vous pouvez télécharger et enregistrer un fichier CSV contenant le contenu d'un tableau affiché sur la page Recherche SIEM. Pour le tableau Événements ou un tableau croisé dynamique, vous pouvez également regrouper les journaux bruts d'origine, ce qui vous permet d'établir une corrélation précise entre les enregistrements UDM analysés et leur télémétrie source. Cette fonctionnalité est conçue pour les équipes qui ont besoin d'un traitement d'analyse externe, de pistes d'audit pour la conformité (où vous devez préserver la relation entre les données normalisées et l'ingestion d'origine) ou d'une corrélation externe.

Pour télécharger les résultats de recherche (jusqu'au nombre maximal de résultats de recherche spécifié) à partir du tableau Événements :

1. Facultatif : utilisez le gestionnaire de colonnes pour spécifier les champs UDM à inclure dans le fichier CSV. La colonne Journal brut est ajoutée en fonction de votre sélection.

2. Cliquez sur Télécharger en haut du tableau, puis sélectionnez l'une des options suivantes :

   • Télécharger au format CSV : télécharge les événements correspondants (et en fonction du nombre exact d'événements spécifiés affiché).
   • Télécharger au format CSV (avec les journaux bruts) : télécharge les événements correspondants et ajoute les chaînes de journaux non analysées d'origine sous la forme d'une colonne dédiée à côté de chaque enregistrement UDM normalisé (et en fonction du nombre exact d'événements spécifiés affiché).

3. Enregistrez le fichier.

Pour télécharger les résultats de recherche (jusqu'au nombre maximal de résultats de recherche spécifié) à partir des tableaux de l'onglet Résultat, autres que le panneau Événements ou Tableau croisé dynamique :

1. Cliquez sur Télécharger en haut du tableau, puis sélectionnez Télécharger au format CSV. Cela télécharge les résultats correspondants (et selon le nombre exact d'événements spécifiés affiché).
2. Enregistrez le fichier.

Pour télécharger les résultats de recherche (jusqu'au nombre maximal de résultats de recherche spécifié) à partir du tableau Détections :

1. Cliquez sur Télécharger en haut du tableau, puis sélectionnez Télécharger au format CSV. Cela télécharge les résultats correspondants (et selon le nombre exact d'événements spécifiés affiché).
2. Enregistrez le fichier.

Champs compatibles lors de l'enregistrement d'un fichier CSV

Vous pouvez télécharger les champs suivants dans un fichier CSV depuis la plate-forme :

• user
• hostname
• process name
• timestamp
• raw log : valide uniquement lorsque les journaux bruts sont activés pour le client
• Tous les champs commençant par udm.additional

Types de champs valides lors de l'enregistrement d'un fichier CSV

Vous pouvez télécharger les types de champs suivants dans un fichier CSV :

• double
• float
• int32
• uint32
• int64
• uint64
• bool
• string
• enum
• bytes
• google.protobuf.Timestamp
• google.protobuf.Duration

Champs non compatibles lors de l'enregistrement d'un fichier CSV

Les champs répondant à l'un des critères suivants ne peuvent pas être téléchargés au format CSV :

• Type de champ : types de données définis en tant que message ou groupe dans le proto UDM.
• Profondeur de champ : champs imbriqués sur plus de 10 niveaux.

• Champs d'interface utilisateur spécifiques : les champs suivants affichés dans l'interface utilisateur ne sont pas compatibles avec le téléchargement direct :

  • Champs d'événement :

    • Statut de l'événement
    • Résumé de l'événement

    • Type d'événement

      Remarque : Pour télécharger le type d'événement, sélectionnez le champ metadata.event_type dans le gestionnaire de colonnes.

  • Graphique contextuel des entités :

    • Première occurrence
    • Dernière occurrence
    • Horodatage

  • Recherche unifiée :

    • Code d'instance

Limites et quotas

Google SecOps applique des limites aux requêtes de recherche pour garantir la stabilité de la plate-forme et des performances constantes sur les interfaces programmatiques et Web. Ces limites s'appliquent aux API Backstory et Chronicle.

Quotas de recherche et d'API

Les limites suivantes s'appliquent au nombre de requêtes de recherche et d'opérations simultanées par locataire :

• Requêtes par heure (RPH) : limite de 1 000 RPH pour l'interface de la console Web ; limite de 2 000 RPH pour l'accès programmatique à l'API.

• Requêtes simples (durée < 24 heures, source unique, pas de statistiques) : limite de simultanéité maximale de 180 requêtes simultanées par locataire.

  Si votre pool de simultanéité de requêtes simples est épuisé, vos opérations déborderont automatiquement sur votre quota de requêtes complexes disponible.

• Requêtes complexes (couvrant plus de 24 heures, multisources ou incluant des statistiques) : limite de simultanéité maximale de 180 requêtes simultanées par locataire.

• Limite de champs UDM dans les prompts : une requête unique est limitée à un maximum de 100 champs UDM dans le prompt.

Erreurs de quota

Lorsqu'une limite est atteinte, l'interface Web affiche une notification d'erreur de quota persistante. Pour l'accès par programmation, les appels d'API (comme instances.udmSearch) renvoient une erreur d'état HTTP 429 RESOURCE_EXHAUSTED contenant un message google.rpc.QuotaFailure qui détaille la limite spécifique que vous avez dépassée.

Limites d'affichage et d'ensemble de résultats

Utilisez Paramètres de recherche  > Nombre maximal de résultats à renvoyer pour ajuster la limite du backend (de 1 à 1 000 000, 30 000 par défaut).

Pour garantir la stabilité de la plate-forme et des temps de réponse rapides sur les interfaces Web et API, Google SecOps applique les limites suivantes :

Type de recherche ou source de données	Nombre maximal de résultats renvoyés	Comportement d'affichage de la console Web
Recherche d'événements UDM	1 000 000 d'enregistrements	Ils sont affichés directement dans le panneau Événements de l'onglet Résultats. Affiche les derniers enregistrements sur des lignes paginées (de 10 à 1 000 par page).
Tables de données et jointures	1 000 000 d'enregistrements	Les lignes corrélées s'affichent dans le panneau Événements de l'onglet Résultats en fonction de la configuration du gestionnaire de colonnes.
Cas et historique des cas	1 000 000 d'enregistrements	Directement dans les panneaux Cas et Historique des cas de l'onglet Résultats. Affiché dans le contexte Aperçu ou à l'aide des requêtes Rechercher des demandes.
Statistiques	100 000 enregistrements (UI et API d'opération de longue durée uniquement)	Directement dans le panneau Statistiques de l'onglet Résultats. Les graphiques affichent les valeurs les plus élevées pour une meilleure lisibilité. Un avertissement s'affiche lorsque les limites visuelles sont dépassées.
Agrégations de tableaux croisés dynamiques (Résultats > Tableau croisé dynamique)	100 000 enregistrements	Les graphiques affichent les valeurs les plus élevées pour une meilleure lisibilité. Un avertissement s'affiche lorsque les limites visuelles sont dépassées.
Détections de la règle	100 000 enregistrements	Elles sont affichées directement dans l'onglet combiné Alertes et détections.
Graphique de contexte d'entité (ECG)	1 000 000 d'enregistrements	Elles s'affichent dans les panneaux Données temporelles et Données intemporelles de l'onglet Résultats. Le tableau du panneau Données temporelles affiche les entités pour lesquelles une période est définie. Le tableau de l'onglet Données intemporelles affiche les entités qui n'ont pas de période définie. Il est possible que l'interface n'affiche que des entités intemporelles, que des entités temporelles ou une combinaison différente de ces deux types d'entités à chaque exécution de la requête. Pour en savoir plus, consultez Utiliser les panneaux "Données temporelles" et "Données intemporelles".

Comprendre les modes d'exécution de la recherche

Remarque : Cette fonctionnalité est couverte par les Conditions des offres pré-DG des Conditions spécifiques du service Google Security Operations. Les fonctionnalités pré-DG (avant disponibilité générale) sont susceptibles de présenter une compatibilité limitée, et les modifications apportées à ces fonctionnalités peuvent ne pas être compatibles avec d'autres versions avant disponibilité générale. Pour en savoir plus, consultez les Instructions relatives aux services d'assistance technique Google SecOps et les Conditions spécifiques du service Google SecOps.
Si cette fonctionnalité n'est pas visible dans votre environnement, consultez Gérer les fonctionnalités en preview ou contactez votre administrateur système.

Cette section décrit en détail les deux modes d'exécution de la recherche.

Différences entre le mode de base et le mode avancé

Le tableau suivant présente les différences entre le mode de base et le mode avancé sur la page Recherche SIEM :

Capacité ou dimension	Mode de base	Mode avancé
Onglets de résultats visibles	Résultats uniquement	Résultats, Alertes et détections, Présentation et Visualiser
Graphiques chronologiques	Masqué (contourne l'agrégation de buckets)	Affichées (graphiques Activité au fil du temps et Tendance au fil du temps, onglet Prévalence et tableau Carte de densité d'activité, c'est-à-dire avec le nombre d'événements, le nombre d'alertes, les jointures et les graphiques ECG)
Score de prévalence	Ignoré	Activé (calcule la prévalence d'entreprise)
Détections corrélées	Ignoré	Activé (met en corrélation les détections YARA-L 2.0 déclenchées)
Graphique de contexte d'entité (ECG)	Ignoré	Activé
Profil de latence relative	Temps d'attente minimal pour les commentaires interactifs	Temps d'attente standard pour calculer l'enrichissement complet

Comprendre les différences de backend entre le mode de base et le mode avancé

Le mode de base accélère les investigations interactives sur les menaces, la validation des hypothèses et l'analyse des journaux ad hoc en dédiant des ressources de calcul exclusivement à la récupération des événements bruts et à l'agrégation des champs. Le mode de base utilise un pipeline d'exécution simplifié et rapide qui contourne les étapes d'enrichissement secondaires lors de l'exécution de la recherche. Cette approche réduit les temps d'attente de recherche de bout en bout tout en préservant la fidélité totale des données et la parité de la syntaxe des requêtes.

En mode avancé, Google SecOps calcule des analyses auxiliaires en plus de la récupération des événements principaux, y compris les agrégations de buckets de chronologie, l'évaluation de la prévalence des indicateurs à l'échelle de l'entreprise, les corrélations de détection et d'alerte YARA-L 2.0, et la résolution du graphique de contexte d'entité (ECG). Bien que ces enrichissements soient utiles pour une connaissance générale de la situation, ces pipelines d'enrichissement secondaires ajoutent une latence de traitement et d'affichage lorsque vous recherchez des données de télémétrie à volume élevé.

Optimisations du backend et de l'UI en mode de base

Lorsque vous exécutez une requête en mode de base, Google SecOps optimise à la fois l'exécution de la recherche backend et l'affichage frontend comme suit :

• Exécution du backend par chemin d'accès rapide :
  • Contourne les calculs de prévalence : les recherches en mode avancé évaluent la prévalence historique des indicateurs (tels que les domaines, les adresses IP et les hachages de fichiers) dans votre entreprise. Le mode de base ignore ce calcul auxiliaire, ce qui réduit le temps de traitement de 20 secondes maximum sur les flux d'événements volumineux.
  • Supprime l'enrichissement de la détection : le backend définit les limites de corrélation de détection sur zéro, ce qui élimine les recherches secondaires dans le moteur de règles lors de la récupération des événements.
  • Élagage de l'agrégation de la chronologie : Google SecOps ignore les calculs d'histogramme précis par bucket, en contournant les tâches d'agrégation de la chronologie et en diffusant les événements correspondants directement au client.
• Interface simplifiée :
  • Présentation de l'onglet ciblé : l'interface des résultats n'affiche que l'onglet Résultats et masque les onglets Alertes et détections, Présentation et Visualiser pour éliminer la latence de changement d'onglet.
  • Widgets de graphique masqués : les graphiques chronologiques et les panneaux visuels réductibles (les graphiques Activité au fil du temps et Tendance au fil du temps, l'onglet Prévalence et le tableau Carte de densité d'activité) sont automatiquement masqués pour maximiser l'espace vertical de l'écran pour le panneau Événements et la Visionneuse d'événements.
  • Parité d'agrégation des champs : le panneau Agrégations reste actif et interactif. Vous pouvez ainsi inspecter le nombre de distributions de valeurs, appliquer les filtres Afficher uniquement ou Exclure, et affiner les sous-ensembles de résultats sans quitter le mode de base.

Détails de l'interface utilisateur et du workflow pour les modes d'exécution de recherche

La liste suivante décrit comment les modes d'exécution de la recherche sont exposés dans l'interface utilisateur et le workflow :

• Préférence de navigateur persistante : Google SecOps enregistre le mode d'exécution de recherche sélectionné dans l'espace de stockage local de votre navigateur (searchMode) pour les actualisations, les onglets et les sessions du navigateur. Par exemple, si vous sélectionnez le mode de base, les recherches suivantes continueront d'être exécutées en mode de base jusqu'à ce que vous changiez de mode.
• État de l'URL partageable : le mode d'exécution de la recherche actif est reflété dans le paramètre de requête de l'URL de la page (&searchMode=SEARCH_MODE, où SEARCH_MODE est FAST pour le mode de base ou ADVANCED pour le mode avancé). Lorsque vous partagez l'URL d'une investigation avec des membres de l'équipe, le mode d'exécution de la recherche spécifié dans l'URL partagée prévaut sur le mode d'exécution de la recherche sélectionné dans le navigateur de l'utilisateur cible.
• Suivi de l'historique de recherche : chaque requête exécutée dans la boîte de dialogue Historique enregistre son mode d'exécution de recherche. La sélection et la réexécution d'une requête à partir de l'historique restaurent automatiquement le mode d'exécution de la recherche utilisé lors de l'exécution de la requête.

Optimiser et affiner vos résultats de recherche

Cette section décrit les limites et les attentes en termes de performances, et fournit des solutions en libre-service pour les problèmes courants liés à la page Recherche SIEM dans Google Security Operations.

Conseil : Pour accélérer la récupération interactive des événements et l'itération des requêtes lorsque vous n'avez pas besoin de graphiques chronologiques, de scores de prévalence ou de corrélations de détection, sélectionnez Mode de base dans l'éditeur de requête. Pour en savoir plus, consultez Comprendre les modes d'exécution de la recherche.

Optimisation des performances et bonnes pratiques

Pour optimiser la vitesse des requêtes et minimiser les risques de délai avant expiration :

• Réduisez d'abord la période : le temps est le filtre le plus efficace. L'interrogation de la période exacte de deux heures d'un incident s'exécute de manière exponentiellement plus rapide que la recherche sur une période de 30 jours.
• Interrogez des champs UDM exacts au lieu d'alias groupés : bien que les champs groupés (ip = "1.2.3.4") soient pratiques, ils obligent le moteur à vérifier plus de 15 champs sous-jacents (principal.ip, target.ip, observer.ip). Si vous savez qu'une adresse IP appartient au serveur de destination, interrogez directement target.ip = "1.2.3.4".
• Évitez les caractères génériques en début d'expression régulière : les requêtes commençant par un caractère générique (principal.hostname = /.*server-.*/) empêchent les recherches d'index et forcent l'analyse complète de la table. Ancrez votre expression régulière chaque fois que possible (principal.hostname = /^prod-server-.*/).
• Exploitez les métadonnées indexées : filtrez par metadata.event_type (NETWORK_CONNECTION, PROCESS_LAUNCH, USER_LOGIN) ou metadata.log_type au début de votre chaîne AND pour éliminer instantanément les sources de journaux non pertinentes.
• Utilisez limit: N pour un échantillonnage rapide des données et des aperçus rapides : vous pouvez ajouter le mot clé limit: N directement à votre requête (par exemple, metadata.event_type = "USER_LOGIN" limit: 50) pour un échantillonnage rapide des données et des aperçus rapides.
• Utilisez select et unselect pour réduire la taille de la charge utile : projetez uniquement les champs feuilles dont vous avez besoin ou excluez les champs volumineux inutiles pour améliorer la latence des requêtes. Pour en savoir plus, consultez Contrôler le résultat de la requête avec select et unselect.

Bonnes pratiques pour les recherches larges

Si votre recherche est trop large, Google SecOps affiche un message d'avertissement indiquant que tous les résultats de recherche ne peuvent pas être affichés. Dans ce cas, le système ne récupère que les résultats les plus récents, dans la limite de recherche d'un million d'événements et de 1 000 alertes. Toutefois, il peut y avoir beaucoup plus d'événements et d'alertes correspondants qui ne sont pas affichés.

Pour capturer tous les résultats pertinents, affinez votre recherche en appliquant des filtres supplémentaires, par exemple :

• Réduisez la période pour réduire la taille de l'ensemble de données.
• Utilisez des requêtes de recherche ou des filtres spécifiques plutôt que des termes généraux.
• Interrogez des champs UDM précis plutôt que des champs regroupés lorsque vous avez besoin de résultats pour un seul champ.

Déboguer et affiner les requêtes

Cette section explique comment déboguer et affiner les requêtes.

Afficher les erreurs d'exécution

Si votre requête renvoie une erreur, le message d'erreur d'exécution spécifique s'affiche de manière persistante dans le panneau Résultats. Cet affichage persistant garantit que le contexte de l'erreur reste visible, ce qui vous aide à résoudre l'erreur.

Limiter les résultats de recherche

Vous pouvez limiter les résultats de recherche en ajoutant le mot clé limit avec le nombre maximal de résultats de recherche que vous souhaitez afficher. Cela est utile pour générer des aperçus rapides des données, optimiser les performances ou lorsque vous n'avez besoin que d'un sous-ensemble des résultats. Par exemple, si vous ajoutez limit: 25 à votre recherche, les résultats sont limités à 25 maximum.

Remarque : Vous pouvez également ajouter le mot clé limit aux tableaux de bord personnalisés.

Examiner des ensembles de données volumineux

Google SecOps permet de renvoyer et de parcourir jusqu'à un million de résultats. Cela vous permet d'examiner de grands ensembles de données directement dans l'interface Web sans exporter les résultats. Pour les recherches volumineuses, les champs visibles sont limités par défaut.

Remarque : Une fois les résultats chargés, vous pouvez appliquer des filtres pour affiner les données sans relancer la recherche. Cela vous permet d'affiner rapidement les ensembles de résultats.

Limites de résultats pour les sources de données

Le tableau suivant indique le nombre maximal de résultats renvoyés pour chaque source de données :

Type de recherche ou source de données	Nombre maximal d'événements ou de lignes dans les résultats de recherche
UDM	1 000 000
ECG	1 000 000
Tableau de données	1 000 000
Jointure UDM à UDM	1 000 000
Jointure UDM-ECG	1 000 000
Jointure entre l'UDM et la table de données	1 000 000
Demandes et historique des demandes	1 000 000
Statistiques	100 000
Détections	100 000

Remarque : Les limites sont les mêmes, que vous utilisiez la plate-forme ou l'API. Pour en savoir plus sur les limites de l'API, consultez API de recherche asynchrone.

Ajouter un filtre pour affiner votre requête

Pour ajouter un filtre afin d'affiner votre requête, procédez comme suit :

1. Sur la page Recherche SIEM, cliquez sur filter_listAjouter un filtre. Une boîte de dialogue s'ouvre. Elle vous permet de sélectionner un champ, puis d'afficher (=) ou de filtrer (!=) les valeurs de ce champ.

2. Configurez les paramètres de la boîte de dialogue.

   

   Figure 8. Exemple de boîte de dialogue de filtre.

3. Cliquez sur Appliquer. Le filtre s'affiche à côté du bouton filter_list Ajouter un filtre, et les résultats de recherche sont filtrés en conséquence.

4. Facultatif : effectuez l'une des opérations suivantes :

   • Si vous souhaitez intégrer automatiquement le filtre dans l'éditeur de requête et exécuter la recherche, cliquez sur Appliquer à la recherche et exécuter.
   • Si vous souhaitez supprimer le filtre, cliquez sur Effacer.

Remarque : Le bouton Effacer n'est disponible qu'avant de cliquer sur Appliquer à la recherche et exécuter.

Dépannage

Si vous recevez un message d'erreur générique, tel que Error: Search has encountered an error and could not load data, procédez comme suit pour résoudre le problème :

• Connectez-vous à Google SecOps depuis un autre réseau. Par exemple, utilisez une VM cloud pour identifier les problèmes de réseau.
• Assurez-vous que les appels d'API Chronicle sont autorisés par la configuration ou la règle de pare-feu ou de proxy de votre organisation.
• Vérifiez qu'aucune limite de données n'est configurée pour les appels d'API Search, car les recherches peuvent renvoyer des ensembles de données volumineux.
• Vérifiez si des délais avant expiration ont été configurés. Les requêtes de recherche peuvent s'exécuter de manière asynchrone et nécessiter plus de temps pour renvoyer des données. Si des délais avant expiration sont définis, assurez-vous qu'ils permettent une durée suffisante, par exemple 60 minutes, avant l'expiration de la requête.

Si l'erreur persiste, contactez l'assistance client.

Étapes suivantes

Pour en savoir plus sur les requêtes de recherche, consultez les ressources suivantes :

• Comprendre la syntaxe de recherche contient des détails et des exemples sur la syntaxe YL2 nécessaire pour construire et interroger des valeurs de données, des échappements et des opérateurs dans l'éditeur de requête.
• Bonnes pratiques pour le Réseau de Recherche
• Effectuer une recherche dans les cas et l'historique des cas dans la recherche unifiée
• Générer des requêtes de recherche UDM avec Gemini
• Utiliser des données enrichies par le contexte dans la recherche

Pour en savoir plus sur les résultats de recherche, consultez les ressources suivantes :

• Examiner une entité à l'aide de la recherche UDM
• Examiner les détections dans la recherche décrit comment utiliser l'onglet Alertes et détections de la page Recherche SIEM.
• La page Comprendre la disponibilité des données pour la recherche détaille le cycle de vie de l'ingestion des données, y compris le flux de données de bout en bout et la latence, ainsi que l'impact de ces facteurs sur la disponibilité des données récemment ingérées pour les requêtes et l'analyse.
• La section Recherche UDM par rapport aux résultats des règles explique comment comparer les résultats des requêtes de recherche UDM avec les règles de détection en direct.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.