Comprendre la recherche

Compatible avec :

Google SecOps SIEM

Ce guide s'adresse aux analystes de sécurité qui souhaitent interroger, corréler et analyser les données de sécurité de leur entreprise dans Google Security Operations à l'aide de la page Recherche SIEM. La page Recherche SIEM sert de hub de navigation central pour tous les flux de données compatibles. Elle intègre des sources supplémentaires de télémétrie et de posture. Ce guide contient des instructions et des explications sur toutes les fonctions et fonctionnalités de base de la page Recherche SIEM.

Terminologie clé

• Modèle de données unifié (UDM, Unified Data Model) : format de données standardisé utilisé dans Google SecOps pour représenter de manière cohérente les événements de sécurité provenant de différentes sources.
• Événement : un événement est généré à partir d'une source de journaux bruts ingérée dans Google SecOps et traitée par le processus d'ingestion et de normalisation de Google SecOps. Plusieurs événements peuvent être générés à partir d'un même enregistrement de source du journal brut. Un événement représente un ensemble de points de données liés à la sécurité qui sont générés à partir de ce journal brut. Dans le contexte de la page Recherche SIEM, les événements sont des données de télémétrie d'événements UDM normalisées et des enregistrements de journaux bruts correspondant à votre requête de recherche.
• Alerte : sur la page Recherche SIEM, une alerte est définie comme une détection de règle pour laquelle les alertes sont activées. Pour en savoir plus, consultez Exécuter une règle sur des données en direct.
• Journaux bruts : télémétrie des journaux bruts et non analysés. L'objectif principal du diagnostic est de surveiller l'état de l'ingestion et de l'analyse.
• Jointures : les jointures mettent en corrélation et combinent les données brutes de plusieurs sources en fonction des valeurs de champs communs. En associant des événements, des entités et d'autres données connexes, vous pouvez examiner des scénarios d'attaque complexes. Vous pouvez rechercher des jointures statistiques, qui nécessitent une section de correspondance pour agréger les résultats, ou des jointures de données, qui récupèrent les données complètes d'événement ou d'entité et les affichent sans aucune agrégation. Pour en savoir plus, consultez les sections Appliquer des jointures dans la recherche et les tableaux de bord et Implémenter des jointures sans correspondance.
• Statistiques : événements UDM avec les résultats regroupés pour l'analyse statistique. Pour en savoir plus, consultez Analyser les données de recherche avec des statistiques.
• Cas et historiques des cas : cas de sécurité et journaux d'audit de l'historique des cas, que vous pouvez corréler avec d'autres données de sécurité. Pour en savoir plus, consultez Présentation de la recherche de demandes.
• Barre de requête en langage naturel : barre en haut de la page Recherche SIEM, dans laquelle vous pouvez saisir une requête de recherche en langage naturel.
• Éditeur de requête : zone de texte sur la page Recherche SIEM, sous la barre de requête en langage naturel, dans laquelle vous créez manuellement des requêtes et où le code de requête s'affiche.

Avant de commencer

Pour exécuter des requêtes et afficher les détails des détections, vous devez disposer des autorisations et rôles standards de la recherche Google SecOps attribués à votre compte utilisateur.

Pour les fonctionnalités de recherche avancée suivantes, votre compte utilisateur ou votre rôle Identity and Access Management doivent disposer d'autorisations précises supplémentaires, selon la fonctionnalité utilisée :

• Les détails d'événement enrichis ou étendus nécessitent chronicle.events.fetchEnrichedEvent.
• Pour enregistrer des recherches et modifier des vues de recherche, vous devez disposer des autorisations chronicle.savedSearches.update et chronicle.searchViews.update.
• Pour afficher les analyseurs de journaux et le schéma, vous devez disposer des autorisations chronicle.parsers.list et chronicle.parsers.get.
• La recherche dans l'historique des cas nécessite chronicle.cases.get et chronicle.cases.list.
• Pour créer, partager, modifier et gérer des ensembles de colonnes personnalisés enregistrés dans votre organisation, vous devez disposer des cinq autorisations suivantes : chronicle.googleapis.com/savedColumnSets.create, chronicle.googleapis.com/savedColumnSets.update, chronicle.googleapis.com/savedColumnSets.delete, chronicle.googleapis.com/savedColumnSets.list et chronicle.googleapis.com/savedColumnSets.get.

Ouvrir la page de recherche

Pour ouvrir la page Recherche SIEM :

1. Connectez-vous à Google SecOps.
2. Dans la barre de navigation, cliquez sur Investigation > Recherche SIEM.

Figure 1 : Exemple de la page Recherche SIEM utilisée pour explorer les tendances des événements.

Remarque : Sur les systèmes qui utilisent le contrôle RBAC des données, vous ne pouvez voir que les données qui correspondent à vos niveaux d'accès. Pour en savoir plus, consultez Impact du RBAC sur les données dans la recherche.

Application du champ d'application du contrôle RBAC des données

Le moteur de recherche Google SecOps applique strictement le filtrage de l'étendue du contrôle des accès basé sur les rôles (RBAC des données) dans tous les onglets. Vous ne verrez que les événements UDM, les journaux bruts, les alertes, les détections et les cas qui correspondent explicitement aux niveaux d'accès aux données attribués à votre rôle utilisateur.

Configurer les paramètres généraux de la page de recherche

Les paramètres généraux de la page Recherche SIEM sont spécifiques à l'utilisateur.

Vous pouvez configurer les paramètres généraux suivants pour la page Recherche SIEM :

• Spécifier le nombre maximal de résultats de recherche
• Choisir le comportement de réduction de l'éditeur de requête

Spécifier le nombre maximal de résultats de recherche

Pour spécifier le nombre maximal de résultats de recherche :

1. Sur la page Recherche SIEM, cliquez sur Paramètres Paramètres, puis sélectionnez Nombre maximal de résultats.

2. Sélectionnez l'option Nombre maximal de résultats à renvoyer. Les options sont 1k, 30k, 100k, 1M et custom (qui peut prendre des valeurs comprises entre 1 et 1M). La valeur par défaut est 30k.

   Remarque : Les requêtes s'exécutent généralement plus rapidement lorsque vous choisissez une taille de jeu de résultats plus petite.

3. Cliquez sur Appliquer.

Choisissez le comportement de réduction de l'éditeur de requête

Vous pouvez configurer l'éditeur de requête pour qu'il se réduise automatiquement après l'exécution d'une recherche, afin de maximiser l'espace disponible à l'écran pour afficher vos résultats de recherche. Le paramètre Par défaut laisse l'éditeur de requête développé après l'exécution d'une recherche.

Pour activer la fonctionnalité de réduction automatique, procédez comme suit :

1. Sur la page Recherche SIEM, cliquez sur Paramètres Paramètres, puis sélectionnez Éditeur de requête.
2. Dans la boîte de dialogue Éditeur de requête, sélectionnez Réduire automatiquement l'éditeur de requête.

Créer une requête de recherche

Les sections suivantes expliquent comment créer une requête de recherche.

Vous pouvez créer une requête de recherche à l'aide de l'une des méthodes suivantes :

• Saisissez votre requête de recherche en langage naturel et utilisez Gemini pour générer la requête dans le dialecte YARA-L 2.0. Vous devez utiliser l'anglais.
• Créez manuellement votre requête dans l'éditeur de requête à l'aide du dialecte YARA-L 2.0 ou SQL (GoogleSQL).

Remarque : Une recherche UDM est limitée à 100 champs UDM par requête. Une expression de recherche UDM se compose d'un champ UDM à rechercher, d'un opérateur et d'une valeur de données à rechercher. Les requêtes UDM sont basées sur les champs définis dans le dictionnaire de référence des champs UDM. Vous pouvez parcourir et sélectionner ces champs UDM à l'aide des filtres ou de la recherche de journaux bruts.

Générer une requête en langage naturel

Pour générer une requête en langage naturel, procédez comme suit :

1. Sur la page Recherche SIEM, cliquez sur la barre de requête en langage naturel  et saisissez une requête de recherche en anglais.

   Voici des exemples d'énoncés qui peuvent générer une recherche utile :

   • network connections from 10.5.4.3 to google.com
   • failed user logins over the last 3 days
   • emails with file attachments sent to [e-mail] or [e-mail]
   • all Cloud service accounts created yesterday
   • outbound network traffic from 10.16.16.16 or 10.17.17.17
   • all network connections to facebook.com or tiktok.com
   • service accounts created in Google Cloud yesterday
   • Windows executables modified between 8 AM and 1 PM on May 1, 2026
   • all activity from winword.exe on lab-pc
   • scheduled tasks created or modified on exchange01 during the last week
   • email messages that contain PDF attachments
   • emails sent by or sent from [e-mail] on July 1
   • any files with the hash 44d88612fea8a8f36de82e1278abb02f
   • all activity associated with user "[e-mail]"

Si l'instruction de recherche inclut un terme basé sur le temps, les paramètres de la période sont automatiquement ajustés pour correspondre. Par exemple, cela s'appliquerait aux recherches avec les termes suivants :

• yesterday
• within the last 5 days
• on July 1, 2026

2. Cliquez sur Générer une requête. Si Gemini peut interpréter l'instruction de recherche, il génère une requête valide dans le dialecte YARA-L 2.0 et l'affiche dans l'éditeur de requête. Si l'énoncé de recherche ne peut pas être interprété, un message s'affiche vous demandant de reformuler votre requête. Si l'expression de requête est valide, le bouton Exécuter la recherche devient disponible.

3. Facultatif : Ajustez la période de recherche à l'aide des paramètres de période.

4. Cliquez sur Exécuter la recherche. Les résultats de recherche s'affichent.

5. Facultatif : Affinez les résultats en ajoutant manuellement des filtres de recherche supplémentaires ou en utilisant la barre de requête en langage naturel, puis relancez la recherche.

Créer une requête manuellement dans l'éditeur de requête

Pour en savoir plus sur les différents types de requêtes compatibles avec la page Recherche SIEM et sur la syntaxe permettant de les construire, consultez les documents suivants :

• Pour en savoir plus sur la syntaxe de recherche YARA-L 2.0, consultez Comprendre la syntaxe de recherche.
• Pour savoir comment créer des requêtes de jointure, consultez Appliquer des jointures dans la recherche et les tableaux de bord et Implémenter des jointures sans section de correspondance.
• Pour savoir comment créer des requêtes statistiques, consultez Analyser les données de recherche avec des statistiques.
• Pour savoir comment créer des requêtes sur l'historique des demandes, consultez Rechercher des demandes et leur historique sur la page de recherche.

Pour créer une requête manuellement, procédez comme suit :

1. Sur la page Recherche SIEM, cliquez dans l'éditeur de requête.
2. Choisissez le dialecte de requête :
   • YL2 (par défaut) : utilisez la syntaxe standard de YARA-L 2.0 pour la recherche d'événements à grande vitesse, le filtrage d'entités et la corrélation comportementale.
   • SQL : le mode SQL (GoogleSQL) vous permet d'exécuter des requêtes compatibles avec BigQuery, de créer des jointures complexes entre plusieurs tables dans le graphique UDM et le graphique de contexte d'entité (ECG), et d'effectuer des agrégations avancées directement dans la console.

3. Saisissez votre requête dans l'éditeur de requête en tenant compte des points suivants :

   • Suggestion et saisie automatique : lorsque vous saisissez une requête avec l'option YL2, la fonction de suggestion et de saisie automatique suggère des champs valides en fonction de votre saisie.
   • Recherche UDM : si vous ne connaissez pas le nom ou la valeur exacts d'un champ lorsque vous rédigez une requête, vous pouvez utiliser la recherche UDM pour vous aider.
   • Erreurs de compilation de la syntaxe : si l'éditeur de requête détecte une erreur de compilation de la syntaxe, il affiche une ligne ondulée rouge directement sous le texte problématique. Pointez sur le texte souligné pour afficher la description de l'erreur spécifique. L'éditeur de requête ne met en évidence qu'une seule erreur à la fois. Vous devez donc les corriger les unes après les autres.

4. Définissez la période de la requête à l'aide des paramètres de période.

5. Si l'expression de requête est valide, cliquez sur Exécuter la recherche. Les résultats de recherche s'affichent.

6. Facultatif : Affinez les résultats en ajoutant manuellement d'autres filtres de recherche ou en utilisant la console, puis relancez la recherche.

Remarque : Vous pouvez également créer une requête dans la boîte de dialogue Gestionnaire de recherche. Les mêmes outils de modification des UDM, de suggestions automatiques et de saisie semi-automatique sont également disponibles.

Spécifier la période de votre recherche

Utilisez le menu Période pour spécifier la période de votre recherche.

La période maximale d'une recherche est toujours limitée par la configuration de conservation des journaux de votre locataire.

Plages de temps maximales :

• UDM : 365 jours.
• RAW : 365 jours.
• JOIN : pour les jointures internes, 90 jours. Pour les jointures internes sans condition de correspondance : 14 jours. Pour les jointures externes : 14 jours.
• STATISTIQUES : 90 jours.
• DEMANDE et HISTORIQUE DES DEMANDES : 90 jours, dans les limites de la durée de conservation des demandes ou du cycle de vie complet de l'historique des demandes.

Google SecOps évalue la configuration de votre requête de recherche et applique la plage de dates maximale en fonction du type et des conditions de recherche. (Par exemple, une requête STATS qui inclut une jointure externe aura une période maximale plus courte qu'une requête STATS qui n'inclut pas de jointure externe.)

Pour définir la période :

1. Sur la page Recherche SIEM, à côté de Période, sélectionnez le mode dans la liste.

   • Absolue : utilisez une plage de dates absolue pour sélectionner une heure de début et une heure de fin fixes.
   • Relative : utilisez une période relative pour effectuer une recherche en remontant dans le temps à partir de l'heure actuelle. L'heure à laquelle vous cliquez sur Exécuter la recherche est définie comme heure de fin de votre requête.

2. Si vous avez sélectionné Absolue, procédez comme suit :

   1. Cliquez sur calendar_month calendar pour ouvrir la boîte de dialogue Définir la plage de dates et d'heures.
   2. Effectuez l'une des opérations suivantes :
      • Pour configurer l'heure à l'aide de l'une des méthodes suivantes, sélectionnez l'onglet Plage :
        • Utiliser des préréglages : sélectionnez une plage prédéfinie dans la barre latérale, par exemple 3 derniers jours ou Toutes les données. L'option Toutes les périodes permet d'effectuer des recherches sur l'ensemble de votre période de conservation.
        • Sélectionner des dates : cliquez sur une date de début et une date de fin dans le calendrier.
        • Définir des heures : sélectionnez des heures spécifiques à l'aide des menus horaires situés sous les agendas.
      • Pour spécifier une plage de dates et d'heures en fonction d'un événement, cliquez sur l'onglet Heure de l'événement, sélectionnez une date dans l'agenda, puis configurez la période :
        • Heure exacte : cliquez sur le champ Événement pour sélectionner ou saisir l'heure précise à laquelle l'événement s'est produit.
        • Marge de temps : sélectionnez une plage de temps prédéfinie dans la liste.
   3. Cliquez sur Appliquer.

3. Si vous avez sélectionné Relative, procédez comme suit :

   1. Saisissez un nombre entier dans le champ de texte.
   2. Sélectionnez une unité de temps dans le menu : Secondes, Minutes, Heures, Jours, Semaines, Mois ou Années.

Utiliser les suggestions automatiques pour créer des requêtes

Lorsque vous rédigez une requête, l'éditeur de requête fournit des suggestions automatiques pour vous aider à la créer efficacement.

Parcourir et sélectionner des suggestions

Lorsque vous saisissez du texte, une liste s'affiche avec des suggestions de champs correspondant à votre texte, y compris les options suivantes :

• Sélectionnez un champ : utilisez les touches Flèche vers le haut ou Flèche vers le bas pour parcourir la liste, puis appuyez sur Entrée pour sélectionner un champ.
• Afficher les métadonnées : après avoir mis en surbrillance une suggestion à l'aide des touches fléchées Haut ou Bas, cliquez sur chevron_right pour afficher la description du champ.
• Remplir les champs de manière incrémentielle : l'éditeur suggère les enfants immédiats du champ actuel et masque le préfixe saisi pour économiser de l'espace à l'écran. Ces suggestions sont suivies de tous les autres champs correspondants, par ordre alphabétique.
• Opérateurs et valeurs complets : une fois que vous avez sélectionné un champ, l'éditeur suggère des opérateurs valides (tels que =, !=) en fonction du type de données du champ. Pour les champs énumérés, l'éditeur affiche des suggestions pour toutes les valeurs valides (par exemple, NETWORK_EVENT) après que vous avez saisi un opérateur et une double guillemet (").

Comprendre le classement des suggestions

L'éditeur de requête organise les suggestions en trois catégories pour vous aider à trouver rapidement les champs :

1. Champs récemment utilisés : les sept premières suggestions sont basées sur les champs que vous avez utilisés récemment et qui correspondent au champ que vous avez saisi. Cette liste est enregistrée dans l'historique des sessions de votre navigateur sur les pages Recherche SIEM, Règles et détections et Tableaux de bord. Vider le cache ou changer de navigateur réinitialise cet historique.
2. Enfants immédiats : l'ensemble de suggestions suivant n'affiche que les enfants de premier niveau du champ actuel.
3. Correspondances globales : la dernière section affiche tous les champs correspondants par ordre alphabétique.

Gérer les paramètres de suggestion automatique

Pour gérer globalement la façon dont Google SecOps affiche les suggestions automatiques, procédez comme suit :

1. Cliquez sur l'avatar de votre profil, puis sélectionnez Préférences utilisateur dans la liste. La boîte de dialogue Préférences utilisateur s'affiche.

2. Dans la boîte de dialogue, cliquez sur Suggestion automatique.

3. Pour contrôler les suggestions automatiques affichées dans l'éditeur de requête, ajustez les paramètres suivants :

   • Activer les suggestions lors de la saisie : active la saisie semi-automatique.
   • Classer les champs récemment utilisés en premier : affiche les champs que vous avez utilisés le plus récemment en haut de la liste.
   • Suggérer des champs enfants immédiats : complète les champs imbriqués de manière incrémentielle, un nœud enfant à la fois.
   • Suggérer tous les chemins disponibles : affiche les chemins complets et développés pour toutes les suggestions de champs imbriqués.

4. Cliquez sur Enregistrer.

Trouver un champ UDM pour une requête de recherche (recherche UDM)

Lorsque vous rédigez une requête de recherche, vous ne connaissez peut-être pas le nom ou la valeur exacts du champ UDM à inclure. La fonctionnalité Recherche UDM vous permet de trouver rapidement un nom de champ UDM contenant une chaîne de texte dans le nom ou stockant une valeur de chaîne spécifique. Vous pouvez sélectionner un ou plusieurs résultats renvoyés par la recherche UDM et les utiliser comme point de départ pour une requête de recherche, les ajouter à une requête existante ou les enregistrer dans le presse-papiers.

Remarque : La recherche UDM n'est pas conçue pour rechercher d'autres types de données, tels que les octets, les valeurs booléennes ou les valeurs numériques.

Pour utiliser la recherche UDM, procédez comme suit :

1. Sur la page Recherche SIEM, cliquez sur Recherche UDM. La boîte de dialogue Recherche UDM s'ouvre.

2. Sélectionnez une ou les deux options Correspondance suivantes pour spécifier le champ de données à rechercher :

   • Champs UDM : recherchez du texte correspondant aux noms de champs, par exemple network.dns.questions.name ou principal.ip.
   • Valeurs : recherchez des chaînes de texte dans les valeurs de journaux stockées, par exemple dns ou google.com.

3. Cliquez dans le champ de recherche Saisissez la chaîne exacte pour laquelle vous recherchez une correspondance, puis saisissez la chaîne pour laquelle vous recherchez une correspondance. À mesure que vous saisissez du texte, les résultats de recherche s'affichent dans la boîte de dialogue.

   Les résultats varient lorsque vous effectuez une mise en correspondance sur des champs UDM ou des valeurs, comme suit :

   • La recherche avec les noms des champs UDM Correspondance renvoie une correspondance exacte trouvée n'importe où dans la définition du schéma.

     

     Figure 2. Recherchez les noms des champs UDM Correspondance dans la boîte de dialogue Recherche UDM.

   • La recherche avec les valeurs Correspondance sur interroge la télémétrie des journaux ingérés et renvoie deux types de résultats :

     • Correspondances de valeurs exactes : pour les champs de texte courants (tels que les applications, les noms d'hôte, les URL, les adresses IP et les noms d'utilisateur), la recherche UDM affiche la valeur correspondante complète avec votre chaîne de recherche en jaune, ainsi que le dernier code temporel d'ingestion du journal.

     • Correspondances de valeurs possibles : pour les champs contenant du texte long, complexe ou non structuré (comme les lignes de commande, les descriptions, les champs de détection et les champs personnalisés), la recherche UDM indique que le terme de recherche apparaît dans ce champ de votre télémétrie historique. Au lieu d'afficher une seule valeur complète, le résultat affiche le nom du champ UDM suivi de (Possible value match).

     

     Figure 3. Recherchez des valeurs avec Correspondance exacte dans la boîte de dialogue Recherche UDM.

4. Dans la liste des résultats, vous pouvez effectuer les actions suivantes :

   • Cliquez sur le nom d'un champ UDM pour afficher sa description.
   • Sélectionnez un ou plusieurs résultats en cochant la case à côté du nom du champ UDM.
   • Cliquez sur le bouton Réinitialiser pour désélectionner tous les champs sélectionnés dans la liste des résultats.

5. Effectuez l'une des opérations suivantes :

   • Pour copier les résultats sélectionnés dans le presse-papiers, cliquez sur Copier l'UDM. Vous pouvez ensuite fermer la boîte de dialogue Recherche UDM et coller le contenu du presse-papiers dans l'éditeur de requête.

   • Pour ajouter les résultats sélectionnés à la requête dans l'éditeur de requête, cliquez sur Ajouter à la recherche. Google SecOps convertit ensuite les résultats sélectionnés en requête de recherche sous la forme d'un nom de champ UDM ou d'une paire nom-valeur.

     Si vous ajoutez plusieurs résultats, Google SecOps ajoute chacun d'eux à la fin de la requête existante dans l'éditeur de requête à l'aide de l'opérateur OR.

     La chaîne de requête ajoutée est différente selon le type de correspondance renvoyé par UDM Lookup :

     • Si le résultat correspond à une chaîne de texte dans un nom de champ UDM, le nom complet du champ UDM est ajouté à la requête. Exemple :

       principal.artifact.network.dhcp.client_hostname

     • Si le résultat est une correspondance de valeur exacte, la paire nom-valeur contient une condition d'égalité exacte avec la valeur complète.

     • Si le résultat est une correspondance de valeur possible, la paire nom-valeur contient le nom du champ UDM et une expression régulière non sensible à la casse contenant votre terme de recherche.

6. Si nécessaire, modifiez la requête dans l'éditeur de requête.

Comportement de recherche et couverture des champs de la recherche UDM

La recherche UDM vous aide à découvrir les noms de champs et à rechercher des valeurs historiques dans vos données de journaux ingérées. Cette section explique comment fonctionne la recherche dans les deux modes, fournit des exemples de requêtes et décrit les limites de couverture des champs.

Modes de recherche : champs UDM ou valeurs

La recherche UDM propose deux modes de recherche distincts :

• Mode "Champs UDM" : Correspondance sur Champs UDM recherche la définition du schéma UDM pour vous aider à trouver le bon chemin d'accès au champ. Vous trouverez des noms de champs pour tous les types de données, y compris les champs de texte (principal.hostname), les ports numériques (target.port), les indicateurs booléens (security_result.is_alert) et les catégories d'événements (metadata.event_type).

  Par exemple, si vous saisissez port, les champs network.ip_port, principal.port, target.port et src.port s'affichent.

• Mode Valeurs : Correspondance > Valeurs recherche des valeurs de texte correspondantes dans vos journaux d'événements ingérés :

  • Correspondance exacte de la valeur : pour les identifiants et les champs de texte courants (tels que les noms d'hôte, les adresses IP, les domaines et les noms d'utilisateur), la recherche UDM trouve la valeur exacte dans vos données et génère une condition d'égalité (par exemple, principal.hostname = "example.com").
  • Correspondance de valeur possible (expression régulière) : pour les textes longs, les lignes de commande, les URL, les clés de registre et les chemins d'accès aux fichiers, la recherche UDM renvoie une correspondance de valeur possible avec une expression régulière (par exemple, principal.process.command_line = /powershell/ NOCASE).

Lacunes de couverture des champs et comment effectuer une recherche directement

Lorsque vous effectuez une recherche par valeurs, la recherche UDM examine les champs de texte dans les données d'événement brutes non enrichies. Certains types de données et champs d'identifiants à volume élevé ne renvoient pas de correspondances en mode Valeurs. Pour rechercher ces champs, saisissez votre expression directement dans l'éditeur de requête.

Cette section inclut les éléments suivants :

• Champs numériques, booléens, d'horodatage et d'octets
• Champs d'identifiant exclus
• Champs avec des valeurs possibles correspondantes (expressions régulières)
• Champs enrichis et graphique des entités

Champs numériques, booléens, de code temporel et d'octets

La recherche de valeurs de recherche UDM ne renvoie pas de résultats pour les types de données non textuels. Pour effectuer une recherche sur ces champs, saisissez la condition directement dans la barre de recherche :

Catégorie de champ	Exemples de champs UDM	Exemple de recherche directe
Numéros de port et codes d'état	network.ip_port, principal.port, target.port, network.http.response_code	network.ip_port = 443 network.http.response_code = 403
Métriques et scores de risque	security_result.risk_score, network.sent_bytes, network.received_bytes	security_result.risk_score >= 80 network.sent_bytes > 50000000
Options booléennes	security_result.is_alert, network.dns.answers.is_authoritative	security_result.is_alert = true
Énumérations prédéfinies	metadata.event_type, network.ip_protocol	metadata.event_type = "USER_LOGIN" network.ip_protocol = "TCP"
Codes temporels	metadata.event_timestamp.seconds, metadata.ingested_timestamp	Filtrez à l'aide du menu Période ou de la requête : metadata.event_timestamp.seconds > 1700000000
ID des événements (octets bruts)	metadata.id	metadata.id = "..."
Coordonnées géographiques	principal.location.latitude, principal.location.longitude	Filtrer par champs de localisation régionale : principal.location.country_or_region = "US"

Champs d'identifiant exclus

Les champs de suivi de session et à forte entropie suivants ne renvoient aucun résultat lorsque vous effectuez une recherche par Valeurs :

Catégorie de champ exclu	Champs UDM	Exemple de recherche directe
ID des processus	*.pid (par exemple, principal.process.pid, target.process.pid), *.product_specific_process_id	target.process.pid = "4128"
ID de session et de connexion	network.session_id, network.parent_session_id, metadata.product_log_id	network.session_id = "sess-9481"
ID des règles de détection	security_result.rule_id	security_result.rule_id = "rule_suspicious_login"
ID de ressource et d'élément	*.resource.id (y compris les ARN et URI cloud), *.asset_id	target.resource.id = "arn:aws:s3:::my-bucket"
Étiquettes d'ingestion	metadata.base_labels.*, metadata.enrichment_labels.*	metadata.base_labels.log_types = "WINEVTLOG"

Champs avec des correspondances de valeurs possibles (expressions régulières)

Pour les champs contenant des chaînes longues et complexes avec de nombreux séparateurs de chemin d'accès ou arguments, la recherche UDM renvoie une expression régulière Correspondance de valeur possible (/.../ NOCASE) plutôt qu'une correspondance exacte de la valeur complète :

• Lignes de commande : principal.process.command_line, target.process.command_line
• Chemins d'accès aux fichiers : principal.process.file.full_path, target.file.full_path
• URL Web et réseau : principal.url, target.url, network.http.referral_url
• Clés de registre : principal.registry.registry_key, target.registry.registry_key
• Descriptions au format libre : metadata.description, security_result.description, security_result.summary
• Chaînes User-Agent : network.http.user_agent
• Champs personnalisés dynamiques : additional.fields.value.*

Champs enrichis et graphique des entités

La recherche UDM cible les données de journaux brutes ingérées après le 10 août 2023. Elle ne renvoie pas de valeurs provenant des éléments suivants :

• Enrichissements en aval : par exemple, la résolution de la localisation GeoIP, les données WHOIS, les verdicts de navigation sécurisée ou les scores VirusTotal. Pour les rechercher, filtrez directement sur le chemin du champ enrichi (par exemple, target.ip_geo_artifact.country_or_region = "US").
• Objets Entity Graph : données dans l'espace de noms graph.*.
• Données historiques antérieures à la date limite : journaux ingérés avant le 10 août 2023. Pour rechercher des données plus anciennes, utilisez des requêtes de recherche directes sur la page Recherche.

Utiliser des tableaux de données dans une recherche

Vous pouvez utiliser la fonctionnalité Tableaux de données dans une recherche. Cela vous permet d'utiliser vos propres bases de données d'informations sur les menaces existantes en association avec une recherche pour identifier les menaces dans votre entreprise.

Par exemple, si vous disposez d'une base de données appelée suspicious avec une colonne d'adresses IP que vous savez problématiques, vous pouvez faire référence à cette base de données dans la requête de recherche au lieu de saisir manuellement des adresses IP individuelles dans la requête :

  events:
      $e.principal.ip in %suspicious.ip

Vous pouvez affiner vos résultats en recherchant des métadonnées spécifiques en plus des adresses IP. Par exemple, vous pouvez vous intéresser spécifiquement aux modifications apportées aux ressources utilisateur :

  events:
      $e.metadata.event_type = "USER_RESOURCE_UPDATE_CONTENT"
      $e.principal.ip in %suspicious.ip

Vous pouvez affiner une recherche par rapport à des champs UDM interdépendants et effectuer une correspondance avec plusieurs colonnes de tableau de données. L'exemple suivant recherche les événements NETWORK_CONNECTION pour lesquels le résultat de sécurité est ALLOW. Il fait ensuite correspondre ces événements à la colonne hostnames et à la colonne ip du tableau de données badApps.

events:
  $e.metadata.event_type = "NETWORK_CONNECTION"
  $e.security_result.action = "ALLOW"
  $e.target.asset.asset_id = $assetid

  // Event hostname matches at least one value in table column hostname.
  $e.target.hostname in %badApps.hostname

  // Event IP matches at least one value in table column ip.
  $e.target.ip in %badApps.ip

Afficher les lignes d'un tableau de données dans une recherche

Lorsque vous utilisez une table de données dans une recherche YARA-L 2.0, les résultats font référence aux lignes de la table de données associées aux événements correspondants. Ces résultats s'affichent dans le panneau Événements. L'état actuel du tableau de données et de ses lignes s'affiche lorsque vous consultez les résultats.

Utilisez le Gestionnaire de colonnes pour sélectionner les colonnes et le tableau de données à afficher dans les résultats.

Pour en savoir plus, consultez Utiliser des tableaux de données.

Comprendre le processus d'exécution des requêtes

Si la requête dans l'éditeur de requête est valide, la console Google SecOps active le bouton Exécuter la recherche.

Une fois que vous avez cliqué sur Exécuter la recherche, la requête en cours s'affiche avec une icône d'état circulaire.

Pendant qu'une recherche est en cours, vous pouvez exécuter d'autres recherches (simultanément) dans l'éditeur de requête, avec certaines limites. Google SecOps continue d'exécuter vos recherches précédentes et exécute les nouvelles recherches en parallèle.

Important : Les recherches simultanées et les résultats stockés nécessitent que la fonctionnalité d'historique des recherches soit active. Si vous avez déjà désactivé l'historique des recherches, vous pouvez le réactiver en cliquant sur Historique > Activer l'historique des recherches.

Les requêtes terminées sont affichées avec une icône en forme de coche verte et un compteur indiquant le nombre d'événements renvoyés par la requête.

Cliquez sur une requête terminée pour afficher les résultats. Les résultats de la recherche s'affichent sous l'éditeur de requête.

Les résultats de recherche sont mis en cache et n'incluent que les données disponibles au moment de l'exécution de la requête.

Gérer votre historique des recherches

Votre historique des recherches est enregistré dans votre compte Google SecOps.

Important : Les recherches simultanées et les résultats stockés nécessitent que la fonctionnalité d'historique des recherches soit active.

• Pour gérer votre historique des recherches, sur la page Recherche SIEM, cliquez sur Historique pour ouvrir la boîte de dialogue et procédez comme suit :

  • Affichez la liste de toutes les recherches de votre historique.
  • Cliquez sur un élément de la liste pour le charger dans l'éditeur de requête.
  • Saisissez un terme dans la barre de recherche pour trouver une recherche dans votre historique.
  • Filtrez les recherches en cliquant sur Filtre  à côté de la barre de recherche, puis filtrez les recherches par Langue (avec les filtres YL2 et SQL) AND Type de recherche (avec les filtres UDM, Journal brut et Statistiques).
  • Afficher ou non les résultats stockés des recherches terminées et en cours (à l'aide de la case à cocher Afficher uniquement les résultats stockés des recherches terminées et en cours).
  • Effacez l'historique des recherches.
    • Pour effacer l'historique des recherches, cliquez sur  Plus, puis sélectionnez Effacer l'historique.

  • Désactiver ou réactiver l'historique des recherches :

    • Pour désactiver l'historique des recherches, cliquez sur Désactiver l'historique des recherches, puis sélectionnez Désactiver uniquement pour désactiver l'historique des recherches ou Désactiver et effacer pour désactiver l'historique des recherches et supprimer l'historique des recherches enregistré.

    • Si vous avez déjà désactivé l'historique des recherches, vous pouvez le réactiver en cliquant sur Activer l'historique des recherches.

• Pour supprimer une recherche spécifique de votre historique des recherches, consultez Supprimer une recherche enregistrée.

Enregistrer et utiliser une requête de métriques

Remarque : Cette fonctionnalité est couverte par les Conditions des offres avant disponibilité générale des Conditions spécifiques du service Google Security Operations. Les fonctionnalités pré-DG (avant disponibilité générale) sont susceptibles de présenter une compatibilité limitée, et les modifications apportées à ces fonctionnalités peuvent ne pas être compatibles avec d'autres versions avant disponibilité générale. Pour en savoir plus, consultez les Consignes relatives aux services d'assistance technique Google SecOps et les Conditions spécifiques aux services Google SecOps.
Si cette fonctionnalité n'est pas visible dans votre environnement, consultez Gérer les fonctionnalités en avant-première ou contactez votre administrateur système.

Google SecOps classe les requêtes de métriques avec le badge STATS.

• Pour enregistrer une recherche en tant que métrique, cliquez sur Plus  à côté de Exécuter la recherche, puis sur Enregistrer en tant que métrique. La page Règles et détections s'ouvre et affiche votre requête de métriques dans l'onglet Métriques. Vous pouvez ensuite enregistrer la métrique ou la désactiver. Une fois enregistrée, une requête de métrique ne peut plus être modifiée ni supprimée. Vous pouvez désactiver les métriques à tout moment.

Vous pouvez utiliser une requête de métriques pour établir des schémas de comportement typiques et identifier les activités aberrantes. Si vous avez une requête de métriques dans l'éditeur de requête qui suit les tendances opérationnelles critiques, cliquez sur Plus > Enregistrer en tant que métrique. La requête est alors enregistrée en tant que métrique de série temporelle continue, qui peut être intégrée à des tableaux de bord personnalisés ou référencée dans des alertes de seuil.

Exemple de requête de métriques :

metric metric_1784196814306 {
  (metadata.event_type = "NETWORK_FLOW" OR
  metadata.event_type = "NETWORK_CONNECTION" OR
  metadata.event_type = "NETWORK_DNS" OR
  metadata.event_type = "NETWORK_HTTP")

  outcome:
  $timestamp = timestamp.get_timestamp(metadata.event_timestamp.seconds)
  $hostname = principal.hostname
  $event_type = metadata.event_type
  $user = principal.user.userid
  $principal_process = principal.process.file.full_path
  $principal_cmdline = principal.process.command_line
  $target_process = target.process.file.full_path
  $target_cmdline = target.process.command_line
  $target_url = target.url
  $target_ip = target.ip[0]
  order:
  $timestamp
  }

Gérer vos recherches (Gestionnaire de recherches)

Utilisez la boîte de dialogue Gestionnaire de recherche pour gérer vos recherches.

• Pour ouvrir le Gestionnaire de recherche, cliquez sur Gestionnaire de recherche sur la page Recherche SIEM.

Badges de type "Recherche"

L'onglet Enregistrées du Gestionnaire de recherche liste toutes les recherches enregistrées et affiche un badge avec le type de recherche : UDM, RAW, JOIN, STATS, CASE et CASE HISTORY.

Actions du Gestionnaire des recherches

Dans l'onglet Enregistrés, vous pouvez effectuer les actions suivantes :

• Filtrer les recherches enregistrées : cliquez sur Filtrer à côté de la barre de recherche, puis filtrez les recherches par Source (Définition de Google SecOps, Créé par moi et Partagé avec moi) AND Langue (YL2 et SQL).
• Trier les recherches : cliquez sur list_arrow Trier à côté de la barre de recherche, puis triez les résultats par Nom (A-Z), Nom (Z-A), Du plus ancien au plus récent ou Du plus récent au plus ancien.
• Ajouter une recherche : cliquez sur add_2 Ajouter à côté de la barre de recherche, puis créez une recherche dans la zone Recherche UDM adjacente. La zone Recherche UDM est compatible avec les mêmes outils de modification, de suggestion et de saisie semi-automatique de l'UDM que lorsque vous créez une requête manuellement dans l'éditeur de requête.
• Partager ou supprimer les recherches que vous avez créées
• Modifier une recherche que vous avez créée : lorsqu'une recherche est sélectionnée dans l'onglet Enregistrées, la zone RECHERCHE affiche la requête, ainsi que les zones Titre et Description. La zone Recherche UDM est compatible avec les mêmes outils de modification, de suggestion et de saisie semi-automatique de l'UDM que lorsque vous créez une requête manuellement dans l'éditeur de requête.

Enregistrer une recherche

Les recherches enregistrées et l'historique des recherches :

• stockées dans votre compte Google SecOps.
• Elles ne sont visibles et accessibles que par l'utilisateur individuel, sauf si vous utilisez la fonctionnalité Partager une recherche pour partager votre recherche avec votre organisation.

Pour enregistrer une recherche :

1. Sur la page Recherche SIEM, effectuez l'une des opérations suivantes :

   • Si l'éditeur de requête contient une requête valide, cliquez sur Plus  à côté de Exécuter la recherche, puis sur Enregistrer la recherche. La boîte de dialogue Gestionnaire de recherche s'ouvre.
   • Cliquez sur Search Manager. La boîte de dialogue Gestionnaire de recherche s'ouvre.

2. Dans le champ Titre, saisissez un nom pour la recherche. Google vous recommande de donner à votre recherche enregistrée un nom pertinent et une description en texte brut de ce que vous recherchez.

3. Facultatif : Dans la zone Description, saisissez une description de la recherche.

4. Facultatif : Spécifiez des variables d'espace réservé au format ${<variable name>} en utilisant le même format que celui utilisé pour les variables dans YARA-L. Si vous ajoutez une variable à une recherche, vous devez également inclure un prompt pour aider l'utilisateur à comprendre les informations à saisir avant d'exécuter la recherche. Toutes les variables doivent être renseignées avant d'exécuter une recherche.

   Par exemple, vous pouvez ajouter metadata.vendor_name = ${vendor_name} à votre recherche. Pour ${vendor_name}, vous devez ajouter une invite pour les futurs utilisateurs, comme Enter the name of the vendor for your search. Chaque fois qu'un utilisateur chargera cette recherche à l'avenir, il sera invité à saisir le nom du fournisseur avant d'exécuter la recherche.

5. Lorsque vous avez terminé, cliquez sur Enregistrer les modifications.

• Pour afficher les recherches enregistrées, cliquez sur Gestionnaire de recherches, puis sur l'onglet Enregistrées.

Récupérer et exécuter une recherche enregistrée

Pour récupérer et exécuter une recherche enregistrée, procédez comme suit :

1. Sur la page Recherche SIEM, cliquez sur Gestionnaire de recherches, puis sélectionnez une recherche dans la liste Enregistrées à gauche.
2. Facultatif : Pour supprimer une recherche, cliquez sur Plus, puis sélectionnez Supprimer la recherche. Vous ne pouvez supprimer que les recherches que vous avez créées.
3. Vous pouvez modifier le nom et la description de la recherche. Lorsque vous avez terminé, cliquez sur Enregistrer les modifications.
4. Cliquez sur Charger la recherche. La recherche est chargée dans le champ de recherche principal.
5. Cliquez sur Exécuter la recherche.

Supprimer une recherche enregistrée

Vous ne pouvez supprimer que les recherches que vous avez créées.

Pour supprimer une recherche enregistrée :

1. Sur la page Recherche SIEM, cliquez sur Gestionnaire de recherches, puis sélectionnez une recherche dans la liste Enregistrées à gauche.
2. Cliquez sur  Plus, puis sélectionnez Supprimer la recherche.
3. Cliquez sur Supprimer la recherche.

Partager une recherche ou arrêter de la partager

Les recherches partagées vous permettent de partager des recherches avec votre équipe. Vous ne pouvez pas partager de contenu avec une seule personne. Si vous partagez votre recherche, elle est partagée avec l'ensemble de votre organisation.

Vous ne pouvez pas modifier une recherche partagée que vous n'avez pas créée.

Pour partager une recherche :

1. Sur la page SIEM Search (Recherche SIEM), cliquez sur Search Manager (Gestionnaire de recherche), puis sélectionnez une recherche dans la liste Saved (Enregistrées) à gauche.
2. Cliquez sur la recherche que vous souhaitez partager.
3. Cliquez sur  Plus à droite de la recherche. Une boîte de dialogue s'affiche et vous propose de partager votre recherche.
4. Cliquez sur Partager avec votre organisation. Une boîte de dialogue s'affiche et indique "Les membres de votre organisation pourront voir votre recherche. Voulez-vous vraiment partager ?".
5. Cliquez sur Partager.

Si vous souhaitez que la recherche ne soit visible que par vous, cliquez sur  Plus, puis sur Arrêter le partage. Si vous arrêtez de la partager, vous seul pourrez utiliser cette recherche.

Résultats de recherche : présentation

Lorsque vous cliquez sur Exécuter la recherche sur la page Recherche SIEM, Google Security Operations évalue votre requête dans votre environnement, puis catégorise et affiche les résultats sous l'éditeur de requête.

Les éléments d'interface utilisateur pour les résultats de recherche varient en fonction du type de recherche (qui sont, selon leurs badges : UDM, RAW, JOIN, STATS, CASE ou CASE HISTORY).

La page Recherche SIEM affiche les onglets suivants pour les résultats de recherche :

• Résultats : affichés pour tous les types de recherche.
• Alertes et détections : ne s'affiche que pour les résultats de recherche UDM, RAW et JOIN.
• Présentation : affichée uniquement pour les résultats de recherche UDM, RAW et JOIN.
• Visualiser : affiché uniquement pour les résultats de recherche de statistiques.

Le titre de chaque onglet de résultats inclut le nombre entre parenthèses (par exemple, Résultats (1 118) ou Résultats (100 000+) si le nombre de résultats dépasse le maximum spécifié, soit 100 000 dans cet exemple).

En cliquant sur les onglets, vous pouvez modifier instantanément l'affichage de votre espace de travail tout en conservant votre requête de recherche et votre plage de dates.

Afficher et gérer les informations dans l'onglet "Résultats"

L'onglet Résultats est votre espace de travail principal pour afficher et gérer les résultats de recherche. Vous pouvez utiliser l'onglet Résultats pour :

• Analyse approfondie des journaux
• Afficher la télémétrie brute
• Générer des tableaux croisés dynamiques à partir de données d'événements
• Analyser les distributions de valeurs de champ à haute fréquence
• Exporter des données dans des fichiers CSV

L'onglet Résultats inclut les éléments suivants, selon le type de recherche :

• Panneaux à onglets contenant les graphiques suivants :
  • Graphique Activité au fil du temps : affiché pour les résultats de recherche UDM, JOIN, CASE et CASE HISTORY.
  • Graphique Tendance au fil du temps : affiché pour les résultats de recherche bruts.
  • Onglet Prévalence : affiché pour les résultats de recherche UDM.
  • Tableau Carte de densité d'activité : affiché pour les résultats de recherche UDM.
• Volet Agrégations : affiché pour tous les types de résultats de recherche.

• Panneaux contenant les tableaux suivants, selon le type de recherche :

  • Sous-onglet Tableau croisé dynamique et tableau Événements : affichés uniquement pour les résultats de recherche UDM. Le tableau Événements affiche la télémétrie des événements UDM normalisés et les enregistrements bruts du journal correspondant à votre requête au cours de la période sélectionnée. Le sous-onglet Tableau croisé dynamique vous permet de créer et d'utiliser un tableau croisé dynamique pour effectuer un regroupement et une synthèse mathématiques multidimensionnels (sum, count, avg, stddev) sur les résultats des événements.
  • Journaux bruts : affichés uniquement pour les résultats de recherche bruts.
  • Statistiques : ne s'affiche que pour les résultats de recherche STATS.
  • Jointures : affiché uniquement pour les résultats de recherche JOIN.
  • Demandes : affiché uniquement pour les résultats de recherche CASE.
  • Historique des cas : affiché uniquement pour les résultats de recherche de type "CAS" et "HISTORIQUE DES CAS".

  Pour en savoir plus sur les fonctions et outils compatibles avec ces tableaux, consultez Utiliser des outils courants pour les tableaux. Les fonctions prises en charge incluent la gestion des colonnes du tableau affiché dans l'onglet, le téléchargement des résultats de recherche, etc.

Conseil : Cliquez sur Options d'affichage pour masquer ou afficher les graphiques et le panneau Agrégations.

Utiliser le graphique "Activité au fil du temps"

L'onglet Activité au fil du temps inclut un graphique (histogramme) du volume d'événements et d'alertes au fil du temps.

Remarque : L'onglet Activité au fil du temps ne s'affiche que pour les résultats de recherche UDM, JOIN, CASE et HISTORIQUE DES CAS.

La largeur de chaque barre dépend de l'intervalle de temps recherché. Par exemple, chaque barre représente 10 minutes lorsque la recherche porte sur 24 heures de données. Ce graphique est mis à jour de manière dynamique à mesure que vous modifiez la recherche existante.

Remarque La période de recherche maximale est de 365 jours pour les recherches YARA-L 2.0 et de 90 jours pour les recherches SQL, de l'heure de début à l'heure de fin.

Le graphique est compatible avec les éléments suivants :

• Ajustement de la plage horaire : faites glisser les curseurs sur la timeline pour réduire instantanément la fenêtre temporelle visible. La grille de résultats et le panneau Agrégations sont mis à jour sans réexécuter la requête sur le backend.
• Afficher les événements et les alertes pour la période d'une seule barre : cliquez sur une barre pour limiter la période du graphique, du panneau Agrégations et de l'onglet Détections à celle de cette barre. Cette action permet de créer un filtre, qui s'affiche à côté du bouton Ajouter un filtre filter_list. Pour afficher à nouveau tous les résultats, supprimez le filtre.
• Pop-up "Détails" : lorsque vous cliquez sur l'une des barres, un pop-up s'ouvre et affiche l'heure, ainsi que les valeurs pour Événements interrogés, Événements filtrés, Alertes interrogées et Alertes filtrées.

Utiliser le graphique "Tendance au fil du temps"

L'onglet Tendance au fil du temps inclut un graphique (histogramme) du volume de journaux bruts au fil du temps. La largeur de chaque barre verticale est ajustée de manière dynamique en fonction de votre période de recherche globale (par exemple, chaque barre peut représenter 10 minutes pour une période de recherche de 24 heures).

Remarque : L'onglet Tendance au fil du temps ne s'affiche que pour les résultats de recherche BRUTS.

Le graphique est compatible avec les éléments suivants :

• Ajustement de la plage horaire : faites glisser les curseurs sur la timeline pour réduire instantanément la fenêtre temporelle visible. La grille de résultats et le panneau Agrégations sont mis à jour sans réexécuter la requête sur le backend.
• Affichez le nombre de journaux analysés, non analysés et inconnus détectés dans la période d'une seule barre : Inconnu signifie qu'un ou plusieurs journaux ont été détectés à ce moment-là, mais que leur nombre est indéterminé. Cliquez sur une barre pour affiner la plage de temps du graphique et du panneau Agrégations. Cette action permet de créer un filtre, qui s'affiche à côté du bouton Ajouter un filtre filter_list. Pour afficher à nouveau tous les résultats, supprimez le filtre.
• Pop-up "Détails" : lorsque vous cliquez sur l'une des barres, un pop-up s'ouvre et affiche l'heure, ainsi que les valeurs pour Événements interrogés, Événements filtrés, Alertes interrogées et Alertes filtrées.

Utiliser l'onglet "Prévalence"

L'onglet Prévalence ne s'affiche que si votre recherche inclut un domaine.

L'onglet Prévalence affiche la prévalence des domaines associés à votre recherche dans votre entreprise. Il combine une liste de domaines à faible prévalence avec un graphique interactif. Cet onglet ne s'affiche que si votre recherche UDM inclut un domaine.

Remarque : L'onglet Prévalence ne s'affiche que pour les résultats de recherche UDM.

La liste des domaines à faible prévalence comprend les colonnes suivantes :

• Domaines à faible prévalence : affiche les noms de domaine associés à vos résultats de recherche. Cliquez sur arrow_upward pour trier les domaines par ordre alphabétique (de Z à A) et sur arrow_downward pour les trier par ordre alphabétique (de A à Z).

• Prévalence ≤ 10 : affiche le nombre total d'occurrences pour chaque domaine dont la prévalence est inférieure ou égale à 10. Cliquez sur arrow_upward pour trier les nombres par ordre décroissant et sur arrow_downward pour les trier par ordre croissant.

Dans le graphique, pointez sur un cercle pour afficher le domaine spécifique et affiner votre recherche aux événements associés à ce domaine uniquement.

Utiliser l'onglet "Carte de densité d'activité"

L'onglet Heat map d'activité affiche les données d'événement dans une grille chronologique visuelle pour mettre en évidence les périodes où les événements sont les plus concentrés au cours de la période donnée. L'axe Y affiche les dates de votre période de recherche, et l'axe X affiche l'heure de la journée par intervalles d'une heure (de 00h00 à 23h00).

Remarque : L'onglet Carte de densité d'activité ne s'affiche que pour les résultats de recherche UDM.

Une légende de dégradé de couleurs indique le volume d'événements au cours d'une heure spécifique. Les couleurs claires indiquent moins d'événements, tandis que les couleurs foncées indiquent une densité plus élevée. Vous pouvez également ajuster l'indicateur de densité pour afficher ou masquer les créneaux horaires en ajustant le curseur horizontal. Cliquez sur les flèches vers le haut ou vers le bas dans le panneau latéral pour parcourir les dates et ajuster la période spécifique.

Utiliser le panneau "Agrégations" pour affiner les résultats de recherche

Le panneau Agrégations récapitule les valeurs à haute fréquence, que vous pouvez utiliser pour affiner vos résultats de recherche.

Remarque : Le panneau Agrégations s'affiche pour tous les types de résultats de recherche.

Le panneau Agrégations comprend deux listes réductibles : Champs UDM (liste des champs UDM correspondants) et une autre liste de champs qui dépend du type de recherche (par exemple, Champs de journal pour les recherches de journaux bruts, Champs de statistiques, Champs de requête, etc.). Pour les recherches UDM, le panneau Agrégations contient la liste Champs UDM et la liste Champs regroupés.

Pour épingler un champ en haut de la liste Agrégrations, pointez sur un champ, puis cliquez sur l'icône Conserver Conserver.

Vous pouvez rechercher des champs ou des valeurs de champ spécifiques à l'aide du champ de recherche du panneau.

Chaque champ affiche le "nombre de correspondances", c'est-à-dire le nombre d'enregistrements qui ont la même valeur pour ce champ. Le contenu des listes est trié par ordre décroissant du nombre de correspondances, puis par ordre alphabétique pour un même nombre de correspondances. Vous pouvez rechercher des champs dans les listes et développer un élément de champ.

Pour filtrer les résultats de recherche avec des agrégations, procédez comme suit :

1. Dans le panneau Agrégations, sélectionnez un champ dans une liste pour afficher les valeurs de la liste pour ce champ.

2. Sélectionnez une valeur dans la liste, puis cliquez sur more_vert Plus.

3. Sélectionnez une option de filtrage :

   • Afficher uniquement : le tableau adjacent correspondant est mis à jour pour n'afficher que les enregistrements correspondants, et le filtre = "value" s'affiche à côté du bouton Ajouter un filtre filter_list.
   • Filtrer : le tableau adjacent correspondant est mis à jour avec les enregistrements correspondants filtrés, et le filtre != "value" s'affiche à côté du bouton filter_list Ajouter un filtre.
   • Copier : copie la paire champ/valeur dans votre presse-papiers.

   

   Figure 4. Exemple de filtrage de champs à l'aide du panneau Agrégations.

   

   Figure 5 : bouton filter_list Ajouter un filtre avec deux filtres existants (un affiché et un dans la liste + 1 autre).

4. Facultatif : Si vous avez sélectionné Afficher uniquement ou Filtrer à l'étape précédente et que vous souhaitez intégrer automatiquement le filtre dans l'éditeur de requête et relancer la recherche, cliquez sur Appliquer à la recherche et exécuter.

Utiliser des champs groupés dans le panneau "Agrégations" de l'onglet "Résultats"

Le panneau Agrégations pour les recherches UDM inclut la liste Champs groupés. Les champs regroupés agissent comme des alias de catégorie puissants qui combinent les champs UDM associés sans que vous ayez à saisir chacun d'eux séparément. Pour en savoir plus sur les champs groupés, consultez Rechercher des champs groupés.

Alias du champ groupé	Champs UDM associés inclus dans l'alias
domain	about.administrative_domain about.asset.network_domain network.dns.questions.name network.dns_domain principal.administrative_domain principal.asset.network_domain target.administrative_domain target.asset.hostname target.asset.network_domain target.hostname
email	intermediary.user.email_addresses network.email.from network.email.to principal.user.email_addresses security_result.about.user.email_addresses target.user.email_addresses
file_path	principal.file.full_path principal.process.file.full_path principal.process.parent_process.file.full_path target.file.full_path target.process.file.full_path target.process.parent_process.file.full_path
hash	about.file.md5 about.file.sha1 about.file.sha256 principal.process.file.md5 principal.process.file.sha1 principal.process.file.sha256 security_result.about.file.sha256 target.file.md5 target.file.sha1 target.file.sha256 target.process.file.md5 target.process.file.sha1 target.process.file.sha256
hostname	intermediary.hostname observer.hostname principal.asset.hostname principal.hostname src.asset.hostname src.hostname target.asset.hostname target.hostname
ip	intermediary.ip observer.ip principal.artifact.ip principal.asset.ip principal.ip src.artifact.ip src.asset.ip src.ip target.artifact.ip target.asset.ip target.ip
namespace	principal.namespace src.namespace target.namespace
process_id	principal.process.parent_process.pid principal.process.parent_process.product_specific_process_id principal.process.pid principal.process.product_specific_process_id target.process.parent_process.pid target.process.parent_process.product_specific_process_id target.process.pid target.process.product_specific_process_id
user	about.user.userid observer.user.userid principal.user.user_display_name principal.user.userid principal.user.windows_sid src.user.userid target.user.user_display_name target.user.userid target.user.windows_sid

Utiliser le panneau "Événements"

Utilisez le panneau Événements pour afficher, trier et gérer les événements qui correspondent à votre recherche UDM.

Pour en savoir plus sur les fonctions et outils compatibles avec le panneau Événements, consultez Utiliser des outils courants pour les tableaux. Les fonctions prises en charge incluent la gestion des colonnes du tableau affiché dans l'onglet, le téléchargement des résultats de recherche, etc.

Par défaut, après avoir effectué une recherche, le tableau Événements affiche des colonnes clés (appelées champs rapides), par exemple État de l'événement, Code temporel, Type (udm.metadata.event_type), Résumé, Utilisateur (udm.principal.user.userid ou target.user.userid), Nom d'hôte (udm.principal.hostname ou target.hostname). En fonction de la portée de votre requête et de la source du journal, le tableau peut également afficher de manière dynamique des champs rapides pertinents tels que Action (udm.security_result.action).

Remarque : Pour les événements associés à des alertes, la colonne État de l'événement affiche un chip Alerte, avec un nombre si plusieurs alertes s'appliquent.

Examiner les détails précis d'un événement unique (corrélation entre l'Observateur d'événements et les journaux bruts)

• Pour examiner les détails précis d'un événement, cliquez sur la ligne correspondante. La Visionneuse d'événements s'ouvre.

  Pour en savoir plus, consultez Utiliser l'observateur d'événements pour les résultats UDM et RAW.

Onglet "Croisé" : créez un tableau croisé dynamique.

Vous pouvez utiliser un tableau croisé dynamique pour regrouper et synthétiser des données multidimensionnelles dans vos résultats de recherche.

Pour ouvrir et configurer un tableau croisé dynamique, procédez comme suit :

1. Effectuez une recherche UDM.
2. Dans l'onglet Résultats, cliquez sur le sous-onglet Tableau croisé dynamique. Le panneau Paramètres du tableau croisé dynamique s'ouvre.

3. Sous Grouper par, cliquez sur Ajouter Champ pour sélectionner jusqu'à cinq champs UDM pour le regroupement des lignes. Des options de transformation spéciales s'affichent en fonction du type de champ :

   • Champs de chaîne : option permettant de forcer la mise en minuscules. Vous pouvez afficher les résultats en utilisant la capitalisation par défaut ou en utilisant uniquement des minuscules en sélectionnant Minuscules dans le menu.
   • Champs de nom d'hôte :
     • Domaine enregistré : n'affiche que le nom de domaine enregistré (par exemple, google.com, nytimes.com, youtube.com).
     • Domaine principal de niveau N : spécifiez le niveau du domaine à afficher. Par exemple, si vous utilisez la valeur 1, seul le domaine de premier niveau s'affiche (par exemple, com, gov ou edu). Si vous utilisez la valeur 3, les deux niveaux suivants des noms de domaine s'affichent (par exemple, google.co.uk).
   • Champs d'adresse IP : critère de regroupement par longueur du préfixe CIDR en bits. Vous pouvez spécifier une valeur comprise entre 1 et 32 pour les adresses IPv4. Pour les adresses IPv6, vous pouvez spécifier des valeurs jusqu'à 128.
   • Champs de code temporel : option permettant de regrouper les données par résolution temporelle (millisecondes, secondes, minutes, heures, jours).

4. Sous Valeurs, spécifiez une valeur pour votre tableau croisé dynamique à partir de la liste des champs de vos résultats. Vous pouvez spécifier jusqu'à cinq valeurs.

5. Pour chaque champ que vous spécifiez pour Valeurs, vous devez sélectionner l'une des options Synthétiser par suivantes :

   • Moyenne
   • Nombre
   • Nombre de valeurs distinctes
   • Max
   • Min
   • Somme
   • Stddev (écart-type)

   Les options Synthétiser ne sont pas universellement compatibles avec les champs Grouper par. Par exemple, les options Somme, Moyenne, Écart-type, Min et Max ne peuvent être appliquées qu'aux champs numériques. Si vous tentez d'associer une option Résumer incompatible à un champ Regrouper par, un message d'erreur s'affiche.

   Spécifiez une valeur Nombre d'événements pour renvoyer le nombre d'événements identifiés pour cette recherche et ce tableau croisé dynamique.

6. Sous Trier par, spécifiez un ou plusieurs champs UDM, puis sélectionnez un ou plusieurs tris à l'aide des options Croissant ou Décroissant.

7. Lorsque vous êtes prêt, cliquez sur Appliquer. Les résultats s'affichent dans le panneau Table croisée dynamique.

8. Facultatif : Pour télécharger et enregistrer le contenu du tableau croisé dynamique, consultez Télécharger les résultats de recherche à partir d'un tableau.

Utiliser le panneau "Journaux bruts"

Utilisez le panneau Journaux bruts pour afficher, trier et gérer les journaux qui correspondent à votre recherche, qui évalue la télémétrie des journaux bruts et non analysés. L'objectif principal du diagnostic est de surveiller l'état de l'ingestion et de l'analyse, c'est-à-dire de surveiller le nombre de journaux analysés par rapport au nombre de journaux non analysés par rapport au nombre inconnu (ce qui signifie qu'un ou plusieurs journaux ont été détectés à un moment donné, mais que leur nombre est indéterminé).

Pour en savoir plus sur les fonctions et outils compatibles avec cet onglet, consultez Utiliser des outils courants pour les tableaux. Les fonctions prises en charge incluent la gestion des colonnes du tableau affiché dans l'onglet, le téléchargement des résultats de recherche, etc.

Inspecter les détails précis d'un seul journal brut (observateur d'événements et corrélation des journaux bruts)

• Pour examiner en détail un seul journal brut, cliquez sur la ligne. La Visionneuse d'événements s'ouvre.

  Pour en savoir plus, consultez Utiliser l'observateur d'événements pour les résultats UDM et RAW.

Utiliser le panneau "Statistiques"

Utilisez le panneau Statistiques pour afficher, trier et gérer les statistiques correspondant à votre recherche.

Le panneau Statistiques n'est compatible qu'avec un sélecteur de colonnes , qui vous permet d'ajouter ou de supprimer des colonnes.

Pour en savoir plus sur les fonctions et outils compatibles avec cet onglet, consultez Utiliser des outils courants pour les tableaux. Les fonctions compatibles incluent le téléchargement des résultats de recherche, etc.

Utiliser le panneau "Jointures"

Utilisez le panneau Jointures pour afficher, trier et gérer les éléments correspondant à votre recherche.

Pour en savoir plus sur les fonctions et outils compatibles avec cet onglet, consultez Utiliser des outils courants pour les tableaux. Les fonctions prises en charge incluent la gestion des colonnes du tableau affiché dans l'onglet, le téléchargement des résultats de recherche, etc.

Utiliser le panneau "Demandes"

Utilisez le panneau Demandes pour afficher, trier et gérer les demandes qui correspondent à votre recherche.

Pour en savoir plus sur les fonctions et outils compatibles avec cet onglet, consultez Utiliser des outils courants pour les tableaux. Les fonctions prises en charge incluent la gestion des colonnes du tableau affiché dans l'onglet, le téléchargement des résultats de recherche, etc.

Utiliser le panneau "Historique des demandes"

Utilisez le panneau Historique des demandes pour afficher, trier et gérer l'historique des demandes correspondant à votre recherche.

Pour en savoir plus sur les fonctions et outils compatibles avec cet onglet, consultez Utiliser des outils courants pour les tableaux. Les fonctions prises en charge incluent la gestion des colonnes du tableau affiché dans l'onglet, le téléchargement des résultats de recherche, etc.

Utiliser l'Observateur d'événements pour les résultats UDM et RAW

• Pour examiner les détails précis d'un événement ou d'un journal brut, cliquez sur une ligne du tableau Événements ou Journaux bruts. La Visionneuse d'événements s'ouvre.

L'Observateur d'événements comprend les onglets suivants :

• Champs d'événement
• Journal brut
• Alertes : affichées uniquement pour les résultats UDM du tableau Événements
• Entités

Utiliser l'onglet "Champs d'événement"

Par défaut, l'onglet Champs d'événement affiche les champs d'événement UDM dans une structure arborescente hiérarchique, intitulée Sélectionné.

Utilisez l'onglet Champs d'événement pour effectuer les opérations suivantes :

• Affichez la définition d'un champ. Pointez sur le nom du champ pour afficher sa définition.
• Épinglez un champ pour y accéder rapidement. Dans la liste Sélectionné, sélectionnez un champ, puis cliquez sur Conserver Épingler. Le champ s'affiche alors dans la liste Épinglé. Les champs restent dans la liste Sélectionnés, et leur hiérarchie dans la liste Épinglée est indiquée sous forme de notation délimitée par des points avec le préfixe udm (par exemple, udm.metadata.event_type).
• Ajoutez des colonnes ou copiez plusieurs champs. Cochez la case à côté d'un nœud ou d'un champ, puis sélectionnez Ajouter aux colonnes ou Copier.

• Effectuez les actions suivantes :

  • Filtres : appliquez les filtres suivants aux éléments sélectionnés (check_box) dans la liste Sélectionnés :
    • Champs
      • Afficher les champs non enrichis
      • Afficher les champs enrichis
      • Afficher d'autres champs
      • Afficher les champs extraits
    • Sources de journaux d'enrichissement : les options disponibles dépendent de l'événement.
  • Copier : pour copier les champs et les valeurs UDM sélectionnés dans le presse-papiers du système.
  • Ajouter aux colonnes : ajoutez le champ UDM en tant que colonne.

Chaque champ UDM est associé à une icône indiquant s'il contient des données enrichies ou non enrichies. Voici les libellés des icônes :

• U : les champs non enrichis contiennent des valeurs renseignées lors du processus de normalisation à l'aide des données du journal brut d'origine.

• E : les champs enrichis contiennent des valeurs que Google SecOps renseigne pour fournir un contexte supplémentaire sur les artefacts dans un environnement client. Pour en savoir plus, consultez Enrichir les données d'événements et d'entités avec Google SecOps.

  L'affichage de chaque champ enrichi peut montrer toutes les sources associées. Ces informations sont utiles pour la validation et le dépannage. Elles peuvent également être requises à des fins d'audit et de conformité. Vous pouvez également filtrer les champs en fonction de leur source d'enrichissement.

Figure 6. Champs UDM enrichis et non enrichis dans l'onglet Champs d'événement de la Visionneuse d'événements, avec les sources des champs enrichis.

Figure 7. Utilisez le filtre de l'onglet Champs d'événement pour afficher ou masquer des champs en fonction de différents attributs.

Utiliser l'onglet "Journal brut"

L'onglet Journal brut affiche la signature brute d'origine dans l'un des formats suivants :

• Brut
• JSON
• XML
• CSV
• Hex/ASCII

Utiliser l'onglet "Alertes"

L'onglet Alertes affiche les alertes associées à l'événement.

L'onglet Alertes ne s'affiche que pour les résultats UDM du tableau Événements.

Utiliser l'onglet "Entités"

L'onglet Entités affiche les entités associées à l'événement.

Cliquez sur une entité pour afficher la boîte de dialogue Contexte de l'entité, qui peut inclure les éléments suivants :

• Nom de l'élément
• Première occurrence
• Dernière occurrence
• Adresses IP
• Adresses MAC
• Nombre d'alertes
• Nombre d'alertes le plus élevé par règle
• Graphique à barres des alertes au fil du temps
• Lien Ouvrir "Alertes et IOC"
• Lien Afficher dans l'onglet "Alertes"

Afficher et gérer les informations dans l'onglet "Alertes et détections"

Utilisez l'onglet Alertes et détections pour :

• Traque des menaces dans toutes les exécutions de règles
• Comparaison des déclencheurs d'alertes exploitables et des précurseurs comportementaux à faible bruit
• Délimiter les incidents dans une vue consolidée

L'onglet Alertes et détections affiche les alertes et les détections qui correspondent à vos critères de recherche actifs. En combinant les alertes et les détections dans un même onglet, vous pouvez examiner les alertes de gravité élevée en même temps que les correspondances de règles comportementales sous-jacentes. Vous pouvez ainsi découvrir des précurseurs à faible bruit qui n'ont pas franchi le seuil d'alerte de manière indépendante.

Les alertes sont des événements UDM et des données de télémétrie de connecteurs tiers tagués avec des seuils d'alerte ou des notifications de gravité élevée. Le nombre d'alertes affiche la télémétrie des journaux UDM qui a déclenché une règle d'alerte (alert_state = "ALERTING"), ainsi que les notifications de haute priorité ingérées à partir de connecteurs de sécurité tiers (tels que les Webhooks CrowdStrike ou SOAR).

Les détections sont toutes les sorties d'exécution de règles avec (ALERTING) et sans (NOT_ALERTING) alerte générées par les règles YARA-L 2.0 dans votre environnement. Cet onglet affiche les résultats d'exécution complets des règles générés par votre moteur de détection YARA-L 2.0 pour les règles déclenchant des alertes et celles qui n'en déclenchent pas. Chaque alerte générée par une règle est également une détection (ALERTING), mais le nombre de détections inclut également tous les hits de règles informatifs, en arrière-plan ou non alertants (NOT_ALERTING).

Le nombre indiqué dans l'en-tête de l'onglet classe les correspondances d'exécution des règles par état d'alerte. Par exemple, si l'en-tête de l'onglet est Alertes (43) et Détections (0), cela signifie qu'il y a 43 correspondances où alerting_rule = true et zéro exécution de règle non déclenchée (NOT_ALERTING).

L'onglet Alertes et détections comprend les panneaux suivants :

• Graphique "Tendance au fil du temps"
• Panneau "Agrégations"
• Panneau "Détections"

Conseil : Cliquez sur Options d'affichage pour masquer ou afficher le graphique et le panneau Agrégations.

Utiliser le graphique "Tendance au fil du temps"

L'onglet Tendance au fil du temps de l'onglet Alertes et détections inclut un graphique (histogramme) du volume de détection au fil du temps. La largeur de chaque barre verticale est ajustée de manière dynamique en fonction de votre période de recherche globale (par exemple, chaque barre peut représenter 10 minutes pour une période de recherche de 24 heures).

Le graphique regroupe toutes les correspondances d'exécution des règles au fil du temps dans une seule série agrégée intitulée Détections.

Remarque : L'en-tête de l'onglet affiche les valeurs de décompte et divise les résultats par état d'alerte (par exemple, Alertes (43) et Détections (0)), tandis que le graphique Tendance au fil du temps regroupe toutes les occurrences de détection sous forme de barres Détections.

Le graphique est compatible avec les éléments suivants :

• Ajustement de la plage horaire : faites glisser les curseurs sur la timeline pour réduire instantanément la fenêtre temporelle visible. La grille de résultats et les agrégations sont mises à jour sans réexécuter la requête sur le backend.
• Afficher les agrégations et les détections pour la période d'une seule barre : cliquez sur une barre pour limiter la période du graphique, de l'onglet Agrégations et de l'onglet Détections à celle de cette barre. Cette action permet de créer un filtre, qui s'affiche à côté du bouton Ajouter un filtre filter_list. Supprimez le filtre pour afficher à nouveau tous les résultats.
• Pop-up "Détails" : lorsque vous cliquez sur l'une des barres, une boîte de dialogue s'ouvre et affiche l'heure, ainsi que les valeurs pour Détections interrogées et Détections filtrées.

Utiliser le panneau "Aggregations" pour affiner les détections

Le contenu du panneau Agrégations de l'onglet Alertes et détections résume les valeurs des résultats de détection à haute fréquence, que vous pouvez utiliser pour affiner vos résultats de recherche.

Le panneau Agrégations comprend trois listes réductibles : Champs de détection, Champs UDM (liste des champs UDM correspondants) et Champs d'entité.

Chaque champ affiche le nombre de correspondances, c'est-à-dire le nombre de détections d'alertes qui ont la même valeur pour ce champ. Le contenu des listes est trié par ordre décroissant du nombre de correspondances, puis par ordre alphabétique pour un même nombre de correspondances. Vous pouvez rechercher des champs dans les listes et développer un élément de champ.

Pour épingler un champ en haut de la liste Agrégrations, pointez dessus, puis cliquez sur l'icône Conserver Conserver.

Rechercher les résultats de la détection des alertes dans le panneau "Agrégations"

Vous pouvez rechercher des champs ou des valeurs de champ spécifiques à l'aide du champ de recherche du panneau Agrégations. Cela peut vous aider à vous concentrer sur les alertes qui vous intéressent le plus.

Voici les principaux attributs d'alerte permettant de filtrer les alertes dans le panneau Agrégations :

• Cas
• Nom
• Priorité
• Gravité
• État
• Verdict

Filtrer les résultats de détection des alertes dans le panneau "Agrégations"

Pour filtrer les résultats de la détection des alertes avec des agrégations, procédez comme suit :

1. Dans le panneau Agrégations, sélectionnez un champ dans une liste pour afficher la liste des valeurs correspondantes.

2. Sélectionnez une valeur dans cette liste, puis cliquez sur more_vert Plus.

3. Sélectionnez une option de filtrage :

   • Afficher uniquement : le tableau Détections est mis à jour pour n'afficher que les alertes correspondantes, et le filtre = "value" s'affiche à côté du bouton filter_list Ajouter un filtre.
   • Filtrer : le tableau Détections est mis à jour, les alertes correspondantes étant filtrées. Le filtre != "value" s'affiche à côté du bouton filter_list Ajouter un filtre.
   • Supérieur à (pour les champs entiers uniquement) : le tableau Détections est mis à jour pour afficher les alertes dont la valeur est supérieure à celle indiquée. Le filtre > "value" s'affiche à côté du bouton filter_list Ajouter un filtre.
   • Supérieur ou égal à (pour les champs entiers uniquement) : le tableau Détections est mis à jour pour afficher les alertes dont la valeur est supérieure ou égale à celle indiquée. Le filtre >= "value" s'affiche à côté du bouton filter_list Ajouter un filtre.
   • Inférieur à (pour les champs entiers uniquement) : le tableau Détections est mis à jour pour afficher les alertes dont la valeur est inférieure à celle indiquée. Le filtre < "value" s'affiche à côté du bouton filter_list Ajouter un filtre.
   • Inférieur ou égal à (pour les champs entiers uniquement) : le tableau Détections est mis à jour pour afficher les alertes dont la valeur est inférieure ou égale à celle indiquée. Le filtre <= "value" s'affiche à côté du bouton filter_list Ajouter un filtre.
   • Copier : copie la paire champ/valeur dans votre presse-papiers.

• Pour supprimer un filtre et mettre à jour les résultats de détection des alertes, supprimez le filtre affiché à côté du bouton filter_list Ajouter un filtre.

Utiliser le panneau "Détections"

Utilisez le panneau Détections pour afficher, trier et gérer les éléments qui correspondent à votre recherche.

Pour en savoir plus sur les fonctions et outils compatibles avec cet onglet, consultez Utiliser des outils courants pour les tableaux. Les fonctions prises en charge incluent la gestion des colonnes du tableau affiché dans l'onglet, le téléchargement des résultats de recherche, etc.

Inspecter les détails précis d'une seule alerte (outil d'affichage des alertes)

• Pour examiner les détails précis d'une alerte, cliquez sur une ligne du tableau Détections. La visionneuse d'alertes s'ouvre.

Le lecteur d'alertes comprend les onglets suivants :

• Champs de détection
• Détails
• Variables

• Entités
  
  

• Pour accéder à une autre page de la console Google SecOps contenant des informations sur l'alerte, cliquez sur Afficher les détails.

Utiliser l'onglet "Champs de détection"

Par défaut, l'onglet Champs de détection affiche les champs de détection dans une structure arborescente hiérarchique, intitulée Sélectionnés.

L'onglet Champs de détection vous permet d'effectuer les opérations suivantes :

• Affichez la définition d'un champ. Pointez sur le nom du champ pour afficher sa définition.
• Épinglez un champ pour y accéder rapidement. Dans la liste Sélectionné, sélectionnez un champ, puis cliquez sur Conserver Épingler. Le champ s'affiche alors dans la liste Épinglé. Les champs restent dans la liste Sélectionnés, et leur hiérarchie dans la liste Épinglée est indiquée sous forme de notation délimitée par des points avec le préfixe collection (par exemple, collection.created_time).
• Ajoutez des colonnes ou copiez plusieurs champs. Cochez la case à côté d'un nœud ou d'un champ, puis sélectionnez Ajouter aux colonnes ou Copier.

• Effectuez les actions suivantes :

  • Appliquez des filtres à la liste Sélectionnés.
  • Ajouter aux colonnes : ajoutez le champ en tant que colonne.
  • Copier : permet de copier les champs et les valeurs sélectionnés dans le presse-papiers du système.

Utiliser l'onglet "Détails"

L'onglet Détails affiche les détails de l'alerte. L'ensemble des champs de détails varie en fonction de l'alerte spécifique.

Exemples de champs de détails :

• Nom (toujours une alerte)
• Type
• Gravité
• Score de risque
• État
• Priorité
• Détectée
• Période de détection
• Création
• Règle
• Ensemble de règles
• Description
• Tags

Utiliser l'onglet "Variables"

L'onglet Variables affiche le champ, le type et la valeur de chaque variable associée à l'alerte.

Utiliser l'onglet "Entités"

L'onglet Entités ne s'affiche que lorsqu'une entité est associée à l'alerte.

L'onglet Entités affiche les entités associées à l'alerte.

Cliquez sur une entité pour afficher la boîte de dialogue Contexte de l'entité, qui peut inclure les éléments suivants :

• Nom de l'élément
• Première occurrence
• Dernière occurrence
• Adresses IP
• Adresses MAC
• Nombre d'alertes
• Nombre d'alertes le plus élevé par règle
• Graphique à barres des alertes au fil du temps
• Lien Ouvrir "Alertes et IOC"
• Lien Afficher dans l'onglet "Alertes"

Afficher et gérer les informations dans l'onglet "Aperçu"

Utilisez l'onglet Aperçu pour effectuer les actions suivantes :

• Consulter l'historique des entités (Première vue, Dernière vue, Adresses MAC)
• Vérifiez si les indicateurs observés correspondent à des alertes ou des cas d'opérations de sécurité actifs.

L'onglet Présentation affiche le graphique contextuel des entités (ECG) consolidé, les détails des composants ou des utilisateurs, ainsi qu'un aperçu de l'enquête pour les indicateurs de compromission (IOC) ou les entités correspondant à votre fenêtre de recherche active. Les informations présentées varient en fonction du type d'informations.

L'onglet Présentation affiche des informations sur l'entité dans l'un des types d'informations prédéfinis suivants :

• Détails du composant
• Informations sur le domaine
• Détails du fichier
• Détails de l'adresse IP
• Informations utilisateur

Afficher les détails de l'élément dans l'onglet "Aperçu"

Lorsque la requête inclut une condition qui renvoie un composant spécifique (par exemple, principal.hostname="laptop-will" ou principal.ip="10.0.0.76"), l'onglet Présentation affiche la vue Composant avec des informations dans les panneaux suivants :

• Résumé de la recherche : affiche les informations suivantes :
  • Détails sur l'entité, y compris l'adresse IP et l'adresse MAC associées à l'élément au cours de la période de recherche. L'adresse IP et l'adresse MAC peuvent également être utilisées pour identifier une entité. Vous pouvez cliquer dessus pour afficher des informations supplémentaires dans le lecteur d'entités. Il indique également la première et la dernière fois que le composant a été vu dans votre entreprise. Vous pouvez cliquer sur l'un ou l'autre des codes temporels (premier ou dernier) pour effectuer une nouvelle recherche à cette heure.
  • Des informations sur les alertes, y compris un graphique indiquant le nombre d'alertes impliquant l'entité au cours de la période de recherche. Le panneau liste également un sous-ensemble de règles avec le plus grand nombre d'alertes.
  • Cliquez sur Ouvrir les alertes et les IOC pour afficher toutes les alertes générées au cours de la même période de recherche.
  • Cliquez sur Afficher dans l'onglet "Alertes" pour accéder à l'onglet Alertes et détections de cette page et lancer une nouvelle recherche sur l'entité sélectionnée.
  • Cliquez sur l'une des barres du graphique pour accéder à l'onglet Alertes et détections de cette page et lancer une nouvelle recherche sur l'entité sélectionnée, en utilisant la période de la barre sur laquelle vous avez cliqué.
  • Cliquez sur le lien Afficher plus pour ouvrir la vue Champs d'entité et afficher tous les champs d'entité associés au composant. Pour copier un champ d'entité dans le presse-papiers, cochez la case à côté du champ d'entité, cliquez sur Afficher les actions, puis sur Copier l'entité. Cochez la case en haut de la page pour sélectionner toutes les entités.
• IOC pertinents : affiche les IOC associés au composant. Les IOC auxquels est attribué un niveau de gravité plus élevé s'affichent en premier. Cliquez sur le nom de l'IOC pour ouvrir le lecteur d'entités à droite.
• Entités associées : affiche les autres entités auxquelles cet élément est associé, comme les utilisateurs qui se sont connectés à l'élément. Le panneau affiche le type d'entité, la date de sa première apparition dans l'environnement et la date de sa dernière apparition. Il affiche également tous les espaces de noms associés à un composant. Cliquez sur une entité pour ouvrir le panneau Contexte de l'entité. Cliquez sur Afficher toute la période pour afficher les entités associées sur toute la période disponible, et non sur la plage spécifiée dans la recherche UDM.
• Contexte de l'entité : affiche des informations sur l'entité que vous avez sélectionnée dans le panneau Entités associées. Ce panneau affiche différentes informations selon le type d'entité que vous avez sélectionné dans le panneau Entités associées (par exemple, un utilisateur ou un domaine).

Afficher les détails du domaine dans l'onglet "Aperçu"

Lorsque la requête inclut une condition qui spécifie un domaine particulier, par exemple target.hostname="example.com", l'onglet Vue d'ensemble affiche les détails du domaine avec des informations dans les panneaux suivants :

• Résumé de la recherche : affiche les informations suivantes :
  • Des informations sur le domaine, y compris les informations WHOIS associées au domaine enregistré, la première fois qu'il a été détecté dans votre entreprise et la dernière fois (la plus récente) qu'il a été détecté. Cliquez sur Contexte VT pour afficher les informations sur le domaine provenant de VirusTotal.
  • Des informations sur les alertes, y compris un graphique indiquant le nombre d'alertes impliquant l'entité au cours de la période de recherche. Le panneau liste également un sous-ensemble de règles avec le plus grand nombre d'alertes.
  • Cliquez sur Ouvrir les alertes et les IOC pour afficher toutes les alertes générées au cours de la même période de recherche.
  • Cliquez sur Afficher dans l'onglet "Alertes" pour accéder à l'onglet Alertes et détections sur cette page et lancer une nouvelle recherche sur l'entité sélectionnée.
  • Cliquez sur l'une des barres du graphique pour accéder à l'onglet Alertes et détections de cette page et lancer une nouvelle recherche sur l'entité sélectionnée, en utilisant la période de la barre sur laquelle vous avez cliqué.
  • Cliquez sur le lien Afficher plus pour ouvrir la vue Champs d'entité et afficher tous les champs d'entité associés au domaine. Pour copier un champ d'entité dans le presse-papiers, cochez la case à côté du champ d'entité, cliquez sur Afficher les actions, puis sur Copier l'entité. Cochez la case en haut de la page pour sélectionner toutes les entités.
• Adresses IP résolues : affiche toutes les adresses IP résolues qui ont été observées dans votre entreprise pour le nom de domaine complet (FQDN). Par exemple, si vous recherchez target.hostname="test.altostrat.com", les résultats de recherche peuvent afficher deux adresses IP résolues (198.51.100.81 et 203.0.113.81).
• Sous-domaines et domaines frères : affiche tous les sous-domaines associés qui ont été détectés dans votre entreprise pour un nom de domaine complet donné. De nombreux pirates informatiques utilisent le même domaine et sous-domaine pour leurs attaques. Par exemple, si vous recherchez target.hostname="sandbox.altostrat.com", ce panneau affiche deux sous-domaines, test.sandbox.altostrat.com et staging.sandbox.altostrat.com.
• Prévalence des composants : indique le nombre de composants de votre entreprise qui se sont connectés au domaine pendant toute la période des données stockées dans votre compte Google Security Operations. Chaque barre du graphique représente le nombre d'éléments uniques de votre entreprise qui se sont connectés au domaine au cours d'une journée UTC. Si vous pointez sur une barre, les entités associées s'affichent pour le jour UTC représenté par la barre. Cliquez sur le nom de l'entité pour afficher son récapitulatif et son aperçu dans le panneau contextuel de l'entité qui s'affiche à droite. Cliquez sur Afficher les événements pour afficher les événements liés à l'entité sélectionnée dans l'onglet "Événements de recherche".
• Entités associées : affiche les autres entités auxquelles ce domaine est associé, comme les composants ayant contacté ce domaine. La liste inclut le type d'entité, la date de sa première apparition dans votre entreprise et la date de sa dernière apparition. Cliquez sur une entité pour ouvrir le panneau Contexte de l'entité.
• Contexte de l'entité : affiche des informations sur l'entité que vous avez sélectionnée dans le panneau Entités associées. Ce panneau affiche différentes informations selon le type d'entité que vous avez sélectionné dans le panneau Entités associées (par exemple, une adresse IP ou un domaine).

Afficher les détails du fichier

Lorsque la requête inclut une condition qui renvoie un seul fichier, par exemple principal.process.file.md5="a00000a75f2a35130aa7a7aaa09aaa7a", l'onglet Vue d'ensemble affiche les détails du fichier avec des informations dans les panneaux suivants :

• Résumé de la recherche : affiche les informations suivantes :
  • Détails sur le fichier, y compris les valeurs de hachage, la taille du fichier, la première fois qu'il a été détecté dans votre entreprise et la dernière fois (la plus récente) qu'il a été détecté. Cliquez sur Contexte VT pour afficher des informations sur le fichier provenant de VirusTotal.
  • Des informations sur les alertes, y compris un graphique indiquant le nombre d'alertes impliquant l'entité au cours de la période de recherche. Le panneau liste également un sous-ensemble de règles avec le plus grand nombre d'alertes.
  • Cliquez sur Ouvrir les alertes et les IOC pour afficher toutes les alertes générées au cours de la même période de recherche.
  • Cliquez sur Afficher dans l'onglet "Alertes" pour accéder à l'onglet Alertes et détections sur cette page et lancer une nouvelle recherche sur l'entité sélectionnée.
  • Cliquez sur l'une des barres du graphique pour accéder à l'onglet Alertes et détections de cette page et lancer une nouvelle recherche sur l'entité sélectionnée, en utilisant la période de la barre sur laquelle vous avez cliqué.
  • Cliquez sur le lien Afficher plus pour ouvrir la vue Champs d'entité et afficher tous les champs d'entité associés au fichier. Pour copier un champ d'entité dans le presse-papiers, cochez la case à côté du champ d'entité, cliquez sur Afficher les actions, puis sur Copier l'entité. Cochez la case en haut de la page pour sélectionner toutes les entités.
• IOC pertinents : affiche les IOC associés au fichier. Les IOC auxquels est attribué un niveau de gravité plus élevé s'affichent en premier. Cliquez sur le nom de l'IOC pour ouvrir le lecteur d'entités à droite.
• Prévalence des composants : indique le nombre de composants de votre entreprise associés au fichier pour toute la période de données stockée dans votre compte Google SecOps.
• Entités associées : affiche les autres entités auxquelles ce fichier est associé, comme un composant sur lequel ce fichier a été exécuté ou les utilisateurs qui ont accédé au fichier. La liste inclut le type d'entité, la date à laquelle elle a été vue pour la première fois dans votre entreprise et la date à laquelle elle a été vue pour la dernière fois. Cliquez sur une entité pour ouvrir le panneau Contexte de l'entité.
• Propriétés et métadonnées VirusTotal : affiche des informations sur le fichier provenant de la base de données VirusTotal. Cliquez sur Afficher plus pour ouvrir une boîte de dialogue VirusTotal et afficher des informations supplémentaires sur le fichier.
• Entités associées : affiche différentes informations selon le type d'entité que vous avez sélectionné dans le panneau Entités associées (par exemple, utilisateur ou composant).
• Contexte de l'entité : affiche des informations sur l'entité que vous avez sélectionnée dans le panneau Entités associées. Ce panneau affiche différentes informations selon le type d'entité que vous avez sélectionné dans le panneau Entités associées (par exemple, utilisateur ou composant).

Afficher les détails de l'adresse IP dans l'onglet "Aperçu"

Lorsque la requête inclut une condition qui renvoie une adresse IP externe spécifique, par exemple target.ip="203.0.113.254", l'onglet Présentation affiche les détails de l'adresse IP avec des informations dans les panneaux suivants :

• Résumé de la recherche : affiche les informations suivantes :
  • Informations sur l'adresse IP, y compris la première et la dernière fois qu'elle a été détectée dans votre entreprise. Cliquez sur Contexte VT pour afficher les informations disponibles sur cette adresse IP dans VirusTotal.
  • Des informations sur les alertes, y compris un graphique indiquant le nombre d'alertes impliquant l'entité au cours de la période de recherche. Le panneau liste également un sous-ensemble de règles avec le plus grand nombre d'alertes.
  • Cliquez sur Ouvrir les alertes et les IOC pour afficher toutes les alertes générées au cours de la même période de recherche.
  • Cliquez sur Afficher dans l'onglet "Alertes" pour accéder à l'onglet Alertes et détections sur cette page et lancer une nouvelle recherche sur l'entité sélectionnée.
  • Cliquez sur l'une des barres du graphique pour accéder à l'onglet Alertes et détections de cette page et lancer une nouvelle recherche sur l'entité sélectionnée, en utilisant la période de la barre sur laquelle vous avez cliqué.
  • Cliquez sur le lien Afficher plus pour ouvrir la vue Champs d'entité et afficher tous les champs d'entité associés à l'adresse IP. Pour copier un champ d'entité dans le presse-papiers, cochez la case à côté du champ d'entité, cliquez sur Afficher les actions, puis sur Copier l'entité. Cochez la case en haut de la page pour sélectionner toutes les entités.
• IOC pertinents : affiche les IOC associés à l'adresse IP. Les IOC auxquels est attribué un niveau de gravité plus élevé s'affichent en premier. Cliquez sur le nom de l'IOC pour ouvrir le lecteur d'entités à droite.
• Prévalence des composants : indique le nombre de composants de votre entreprise qui se sont connectés à l'adresse IP au cours de la période spécifiée dans la recherche UDM.
• Entités associées : affiche les autres entités auxquelles cette adresse IP est associée, comme les domaines auxquels l'adresse IP est enregistrée. La liste inclut le type d'entité, la date de sa première apparition dans votre entreprise et la date de sa dernière apparition. Cliquez sur une entité pour ouvrir le panneau Contexte de l'entité.
• Contexte de l'entité : affiche des informations sur l'entité que vous avez sélectionnée dans le panneau Entités associées. Ce panneau affiche différentes informations selon le type d'entité que vous avez sélectionné dans le panneau Entités associées (par exemple, un domaine ou un composant). Si le lien s'affiche, cliquez sur Contexte VT pour afficher les informations sur l'entité provenant de VirusTotal.

Afficher les détails de l'utilisateur dans l'onglet "Aperçu"

Lorsque la requête inclut une condition qui renvoie un utilisateur spécifique, par exemple principal.user.userid="alice", l'onglet Vue d'ensemble affiche les détails de l'utilisateur avec des informations dans les panneaux suivants :

• Résumé de la recherche : affiche les informations suivantes :
  • Détails sur l'entité, y compris le nom complet, la date et l'heure de la première et de la dernière apparition dans votre entreprise, le titre et l'adresse e-mail.
  • Des informations sur les alertes, y compris un graphique indiquant le nombre d'alertes impliquant l'entité au cours de la période de recherche. Le panneau liste également un sous-ensemble de règles avec le plus grand nombre d'alertes.
  • Cliquez sur Ouvrir les alertes et les IOC pour afficher toutes les alertes générées au cours de la même période de recherche.
  • Cliquez sur Afficher dans l'onglet "Alertes" pour accéder à l'onglet Alertes et détections sur cette page et lancer une nouvelle recherche sur l'entité sélectionnée.
  • Cliquez sur l'une des barres du graphique pour accéder à l'onglet Alertes et détections de cette page et lancer une nouvelle recherche sur l'entité sélectionnée, en utilisant la période de la barre sur laquelle vous avez cliqué.
  • Cliquez sur le lien Afficher plus pour ouvrir la vue Champs d'entité et afficher tous les champs d'entité associés à l'utilisateur. Pour copier un champ d'entité dans le presse-papiers, cochez la case à côté du champ d'entité, cliquez sur Afficher les actions, puis sur Copier l'entité. Cochez la case en haut de la page pour sélectionner toutes les entités.
• Entités associées : affiche les entités auxquelles cet utilisateur est associé, comme les domaines qu'il a contactés ou les composants auxquels il a accédé. La liste inclut le type d'entité, la date de sa première apparition dans votre entreprise et la date de sa dernière apparition. Cliquez sur une entité pour ouvrir le panneau Contexte de l'entité.
• Contexte de l'entité : affiche des informations sur l'entité que vous sélectionnez dans le panneau Entités associées. Les informations de ce panneau varient en fonction du type d'entité (par exemple, un composant ou un domaine).

Afficher et gérer les informations dans l'onglet "Visualiser"

Utilisez l'onglet Visualiser pour transformer les données de vos résultats de recherche STATS en graphique, en diagramme ou en tableau.

Utiliser des outils courants pour les tableaux

Sur la page Recherche SIEM, la plupart des panneaux contenant un seul tableau sont compatibles avec les mêmes fonctions et outils courants.

Cette section décrit les fonctions et outils courants suivants :

• Champ de recherche. Utilisez le champ de recherche pour trouver les résultats correspondants dans le tableau adjacent.
• Gérer les colonnes des tableaux et partager des ensembles de colonnes (Gestionnaire de colonnes)
•  Bouton Retour à la ligne automatique – Supprimer le retour à la ligne automatique. Il est utile de renvoyer le texte à la ligne pour afficher des chaînes longues entières dans une colonne.
• Télécharger les résultats de recherche à partir d'un tableau
• L'outil Lignes par page se trouve en bas du tableau. Vous pouvez utiliser cet outil pour améliorer la stabilité et les performances du navigateur lors du chargement d'un grand nombre d'enregistrements de résultats (lignes). Google SecOps fournit des résultats de recherche paginés. Dans la liste Lignes par page du tableau Événements, sélectionnez le nombre de lignes à afficher par page (entre 25 et 1 000 événements).

Gérer les colonnes des tableaux et partager des ensembles de colonnes (gestionnaire de colonnes)

Pour utiliser une vue cohérente lorsque vous analysez des données d'événement, vous pouvez créer, enregistrer et partager des ensembles de colonnes personnalisés pour les tableaux suivants sur la page Recherche SIEM :

• Dans le panneau Résultats, pour les tableaux suivants : Événements, Journaux bruts, Jointures
• Dans l'onglet Alertes et détections, pour le tableau Détections.

Pour utiliser cette fonctionnalité, votre compte utilisateur ou votre rôle Identity and Access Management doit disposer des cinq autorisations suivantes :

• chronicle.googleapis.com/savedColumnSets.create
• chronicle.googleapis.com/savedColumnSets.update
• chronicle.googleapis.com/savedColumnSets.delete
• chronicle.googleapis.com/savedColumnSets.list
• chronicle.googleapis.com/savedColumnSets.get

Remarque : L'onglet Statistiques n'est compatible qu'avec un sélecteur de colonnes , qui vous permet uniquement d'ajouter ou de supprimer des colonnes. L'onglet Statistiques n'est pas compatible avec la fonctionnalité Gestionnaire de colonnes.

Créer un ensemble de colonnes

La procédure de création d'un ensemble de colonnes varie légèrement selon le tableau que vous utilisez.

Pour créer un ensemble de colonnes pour les tables Événements, Journaux bruts ou Jointures, procédez comme suit :

1. Cliquez sur Colonnes pour ouvrir le Gestionnaire de colonnes.
2. Cliquez sur l'icône filter_alt Filtrer pour indiquer si les colonnes non applicables doivent être affichées.
3. Cliquez sur le bouton Afficher la sélection pour n'afficher que les colonnes sélectionnées dans l'onglet Colonnes d'événements.
4. Dans l'onglet Colonnes d'événements, ajoutez ou supprimez des colonnes pour votre ensemble de colonnes. Vous pouvez parcourir ou rechercher des champs dans des sections réductibles (qui varient en fonction du type de résultat de recherche). Par exemple, Champs rapides (les champs les plus courants par type de données), Champs groupés, Tous les champs d'événement et Tous les champs d'entité. Cochez ou décochez les cases pour afficher ou masquer des colonnes.
5. Organisez les colonnes, puis cliquez sur Enregistrer. La boîte de dialogue Enregistrer l'ensemble de colonnes s'ouvre.
6. Sélectionnez l'une des options suivantes :
   • Enregistrer : saisissez un nouveau nom pour votre ensemble de colonnes.
   • Remplacer : si vous avez modifié un ensemble enregistré précédemment, vous pouvez écraser l'ensemble existant avec vos modifications.
7. Cliquez sur Enregistrer. L'ensemble de colonnes est listé dans l'onglet Ensembles de colonnes.

Pour créer un ensemble de colonnes pour la table Détections :

1. Cliquez sur Colonnes pour ouvrir le Gestionnaire de colonnes.
2. Cliquez sur l'icône filter_alt Filtrer pour indiquer si les colonnes non applicables doivent être affichées.

3. Dans la liste Type de tableau, sélectionnez le type de tableau pour lequel vous souhaitez créer un ensemble de colonnes :

   • Détections
   • Événements
   • Entités (Affichez les colonnes en développant les lignes du tableau.)

   Les modifications apportées à un type de tableau spécifique ne s'appliquent qu'aux tableaux et sous-tableaux de ce type.

4. Cliquez sur le bouton Afficher la sélection pour n'afficher que les colonnes sélectionnées dans l'onglet correspondant (Colonnes des détections, Colonnes des événements ou Colonnes des entités).

5. Dans l'onglet correspondant, ajoutez ou supprimez des colonnes pour votre ensemble de colonnes. Vous pouvez parcourir ou rechercher des champs dans des sections réductibles (qui varient en fonction du type de résultat de recherche). Cochez ou décochez les cases pour afficher ou masquer des colonnes.

6. Organisez les colonnes, puis cliquez sur Enregistrer. La boîte de dialogue Enregistrer l'ensemble de colonnes s'ouvre.

7. Sélectionnez l'une des options suivantes :

   • Enregistrer : saisissez un nouveau nom pour votre ensemble de colonnes.
   • Remplacer : si vous avez modifié un ensemble enregistré précédemment, vous pouvez écraser l'ensemble existant avec vos modifications.

8. Cliquez sur Enregistrer. L'ensemble de colonnes est listé dans l'onglet Ensembles de colonnes.

Partager un ensemble de colonnes

Pour partager un ensemble de colonnes avec tous les autres utilisateurs de votre locataire Google SecOps :

1. Cliquez sur Colonnes pour ouvrir le Gestionnaire de colonnes.
2. Dans l'onglet Colonnes d'événements, ajoutez ou supprimez des colonnes pour votre ensemble de colonnes. Vous pouvez parcourir ou rechercher des champs dans des sections réductibles (qui varient en fonction du type de résultat de recherche). Par exemple, Champs rapides (les champs les plus courants par type de données), Champs groupés, Tous les champs d'événement et Tous les champs d'entité. Cochez ou décochez les cases pour afficher ou masquer des colonnes.
3. Organisez les colonnes, puis cliquez sur Partager. La boîte de dialogue Partager l'ensemble de colonnes s'ouvre.
4. Sélectionnez l'une des options suivantes :
   • Partager le nouvel ensemble : saisissez un nouveau nom pour l'ensemble de colonnes à partager.
   • Partager un ensemble existant : sélectionnez un ensemble précédemment enregistré dans la liste.
5. Cliquez sur Partager. L'ensemble de colonnes est listé dans l'onglet Ensembles de colonnes avec le badge PARTAGÉ.

Charger un ensemble de colonnes enregistré

Pour charger un ensemble de colonnes enregistré :

1. Cliquez sur Colonnes pour ouvrir le Gestionnaire de colonnes.
2. Sélectionnez l'onglet Ensembles de colonnes.
3. Sélectionnez l'ensemble de colonnes à charger, puis cliquez sur Appliquer.

Supprimer un ensemble de colonnes enregistré

Pour supprimer un ensemble de colonnes enregistré :

1. Cliquez sur Colonnes pour ouvrir le Gestionnaire de colonnes.
2. Sélectionnez l'onglet Ensembles de colonnes.
3. Sélectionnez l'ensemble de colonnes, puis cliquez sur Plus > Supprimer.

Télécharger les résultats de recherche à partir d'un tableau

Vous pouvez télécharger et enregistrer un fichier CSV contenant le contenu d'un tableau affiché sur la page Recherche SIEM. Pour le tableau Événements ou un tableau croisé dynamique, vous pouvez également regrouper les journaux bruts d'origine. Vous obtenez ainsi une corrélation précise entre les enregistrements UDM analysés et leur télémétrie source. Cette fonctionnalité est conçue pour les équipes qui ont besoin d'un traitement d'analyse externe, de journaux d'audit pour la conformité où vous devez préserver la relation entre les données normalisées et l'ingestion d'origine, ou d'une corrélation externe.

Pour télécharger les résultats de recherche (jusqu'au nombre maximal de résultats de recherche spécifié) à partir du tableau Événements :

1. Facultatif : Utilisez le Gestionnaire de colonnes pour spécifier les champs UDM à inclure dans le fichier CSV. La colonne Journal brut est ajoutée en fonction de votre sélection.

2. Cliquez sur Télécharger en haut du tableau, puis sélectionnez l'une des options suivantes :

   • Télécharger au format CSV : permet de télécharger les événements correspondants (et selon le nombre exact d'événements spécifiés qui s'affiche).
   • Télécharger au format CSV (avec les journaux bruts) : permet de télécharger les événements correspondants et d'ajouter les chaînes de journaux bruts d'origine sous forme de colonne dédiée à côté de chaque enregistrement UDM normalisé (et en fonction du nombre exact d'événements spécifiés).

3. Enregistrez le fichier.

Pour télécharger les résultats de recherche (jusqu'au nombre maximal de résultats de recherche spécifié) à partir des tableaux de l'onglet Résultat, à l'exception du panneau Événements ou Tableau croisé dynamique :

1. Cliquez sur Télécharger en haut du tableau, puis sélectionnez Télécharger au format CSV. Les résultats correspondants sont alors téléchargés (selon le nombre exact d'événements spécifiés qui s'affiche).
2. Enregistrez le fichier.

Pour télécharger les résultats de recherche (jusqu'au nombre maximal de résultats de recherche spécifié) à partir du tableau Détections :

1. Cliquez sur Télécharger en haut du tableau, puis sélectionnez Télécharger au format CSV. Les résultats correspondants sont alors téléchargés (selon le nombre exact d'événements spécifiés qui s'affiche).
2. Enregistrez le fichier.

Champs acceptés lors de l'enregistrement d'un fichier CSV

Vous pouvez télécharger les champs suivants dans un fichier CSV depuis la plate-forme :

• user
• hostname
• process name
• timestamp
• raw log : valide uniquement lorsque les journaux bruts sont activés pour le client
• Tous les champs commençant par udm.additional

Types de champs valides lors de l'enregistrement d'un fichier CSV

Vous pouvez télécharger les types de champs suivants dans un fichier CSV :

• double
• float
• int32
• uint32
• int64
• uint64
• bool
• string
• enum
• bytes
• google.protobuf.Timestamp
• google.protobuf.Duration

Champs non compatibles lors de l'enregistrement d'un fichier CSV

Les champs qui répondent à l'un des critères suivants ne peuvent pas être téléchargés au format CSV :

• Type de champ : types de données définis en tant que message ou groupe dans le fichier proto UDM.
• Profondeur des champs : champs imbriqués sur plus de 10 niveaux.

• Champs spécifiques de l'UI : les champs suivants affichés dans l'UI ne sont pas compatibles avec le téléchargement direct :

  • Champs d'événement :

    • Statut de l'événement
    • Résumé de l'événement

    • Type d'événement

      Remarque : Pour télécharger le type d'événement, sélectionnez le champ metadata.event_type dans le Gestionnaire de colonnes.

  • Graphique du contexte des entités :

    • Première occurrence
    • Dernière occurrence
    • Horodatage

  • Recherche unifiée :

    • Code d'instance

Limites et quotas

Google SecOps applique des limites aux requêtes de recherche pour assurer la stabilité de la plate-forme et des performances cohérentes dans les interfaces programmatiques et Web. Ces limites s'appliquent aux API Backstory et Chronicle.

Quotas de recherche et d'API

Les limites suivantes s'appliquent au nombre de requêtes de recherche et d'opérations simultanées par locataire :

• Requêtes par heure (RPH) : limite de 1 000 RPH pour l'interface de la console Web et de 2 000 RPH pour l'accès à l'API programmatique.

• Requêtes simples (portant sur une période de moins de 24 heures, une seule source, sans statistiques) : limite de simultanéité maximale de 180 requêtes simultanées par locataire.

  Si votre pool de requêtes simples simultanées est épuisé, vos opérations seront automatiquement transférées vers votre quota de requêtes complexes disponible.

• Requêtes complexes (portant sur plus de 24 heures, multisources ou incluant des statistiques) : limite de simultanéité maximale de 180 requêtes simultanées par locataire.

• Limite de requêtes pour les champs UDM : une requête unique ne peut référencer qu'un maximum de 100 champs UDM dans le prompt.

Erreurs de quota

Lorsqu'une limite est atteinte, l'interface Web affiche une notification d'erreur de quota persistante. Pour l'accès programmatique, les appels d'API (tels que instances.udmSearch) renvoient une erreur d'état HTTP 429 RESOURCE_EXHAUSTED contenant un message google.rpc.QuotaFailure qui détaille la limite spécifique que vous avez dépassée.

Limites de l'ensemble de résultats et d'affichage

Pour assurer la stabilité cohérente de la plate-forme et des temps de réponse rapides dans les interfaces Web et d'API, Google SecOps applique les limites suivantes :

Rechercher un type ou une source de données	Nombre maximal de résultats renvoyés	Comportement d'affichage de la console Web
Recherche d'événements UDM (Résultats > Événements)	1 000 000 d'enregistrements	Affiche les derniers enregistrements sur plusieurs lignes (de 25 à 1 000 par page).Utilisez Paramètres de recherche  > Nombre maximal de résultats à renvoyer pour ajuster la limite du backend (de 1 à 1 000 000, 30 000 par défaut).
Graphique contextuel des entités et aperçu (Aperçu)	1 000 000 d'enregistrements	Elles sont organisées dans des vues Période définie et Période indéfinie indépendantes dans l'onglet Vue d'ensemble, avec une pagination distincte. L'onglet Période définie affiche les entités pour lesquelles une période a été définie. L'onglet Intemporel affiche les entités qui ne sont pas associées à une plage de dates spécifique.
Tables de données et jointures	1 000 000 d'enregistrements	Les lignes corrélées s'affichent dans le panneau Résultats > Événements en fonction de la configuration du Gestionnaire de colonnes.
Cas et historique des cas	1 000 000 d'enregistrements	Directement dans les panneaux Demandes et Historique des demandes.Dans le contexte Vue d'ensemble ou à l'aide de requêtes Rechercher des demandes.
Statistiques (Résultats > Statistiques)	100 000 enregistrements (UI et API d'opération de longue durée uniquement)	Les graphiques affichent les valeurs les plus élevées pour une meilleure lisibilité et un avertissement s'affiche lorsque les limites visuelles sont dépassées.
Agréger les données croisées (Résultats > Croiser)	100 000 enregistrements	Les graphiques affichent les valeurs les plus élevées pour une meilleure lisibilité et un avertissement s'affiche lorsque les limites visuelles sont dépassées.
Détections de règles (Alertes et détections)	100 000 enregistrements	Elles s'affichent directement dans l'onglet combiné Alertes et détections.

Optimiser et affiner vos résultats de recherche

Cette section décrit les limites et les attentes en termes de performances, et fournit des solutions en libre-service aux problèmes courants liés à la page Recherche SIEM dans Google Security Operations.

Optimisation des performances et bonnes pratiques

Pour optimiser la vitesse des requêtes et minimiser les risques de délai avant expiration :

• Réduisez d'abord votre période : le temps est le filtre le plus efficace. Interroger la fenêtre exacte de deux heures d'un incident est exponentiellement plus rapide que de rechercher une fenêtre de 30 jours.
• Interrogez les champs UDM exacts au lieu des alias groupés : bien que les champs groupés (ip = "1.2.3.4") soient pratiques, ils obligent le moteur à vérifier plus de 15 champs sous-jacents (principal.ip, target.ip, observer.ip). Si vous savez qu'une adresse IP appartient au serveur de destination, interrogez directement target.ip = "1.2.3.4".
• Évitez les caractères génériques en début d'expression régulière : les requêtes commençant par un caractère générique (principal.hostname = /.*server-.*/) empêchent les recherches d'index et forcent les analyses complètes de tables. Ancrez votre expression régulière chaque fois que possible (principal.hostname = /^prod-server-.*/).
• Exploitez les métadonnées indexées : filtrez par metadata.event_type (NETWORK_CONNECTION, PROCESS_LAUNCH, USER_LOGIN) ou metadata.log_type au début de votre chaîne AND pour éliminer instantanément les sources de journaux non pertinentes.
• Utilisez limit: N pour un échantillonnage rapide des données et des aperçus rapides : vous pouvez ajouter le mot clé limit: N directement à votre requête (par exemple, metadata.event_type = "USER_LOGIN" limit: 50) pour un échantillonnage rapide des données et des aperçus rapides.

Bonnes pratiques pour les recherches larges

Si votre recherche est trop large, Google SecOps affiche un message d'avertissement indiquant que tous les résultats de recherche ne peuvent pas être affichés. Dans ce cas, le système ne récupère que les résultats les plus récents, dans la limite de recherche d'un million d'événements et de 1 000 alertes. Toutefois, il peut exister de nombreux autres événements et alertes correspondants qui ne sont pas affichés.

Pour obtenir tous les résultats pertinents, affinez votre recherche en appliquant des filtres supplémentaires. Par exemple :

• Réduisez la période pour diminuer la taille du jeu de données.
• Utilisez des requêtes de recherche ou des filtres spécifiques plutôt que des termes généraux.
• Lorsque vous avez besoin de résultats pour un seul champ, interrogez les champs UDM précis plutôt que les champs regroupés.

Déboguer et affiner les requêtes

Cette section explique comment déboguer et affiner les requêtes.

Afficher les erreurs d'exécution

Si votre requête renvoie une erreur, le message d'erreur d'exécution spécifique s'affiche de manière persistante dans le panneau Résultats. Cet affichage permanent permet de conserver le contexte de l'erreur visible, ce qui vous aide à la résoudre.

Limiter vos résultats de recherche

Vous pouvez limiter les résultats de recherche en ajoutant le mot clé limit avec le nombre maximal de résultats de recherche que vous souhaitez afficher. Cela est utile pour générer des aperçus rapides des données, optimiser les performances ou lorsque vous n'avez besoin que d'un sous-ensemble des résultats. Par exemple, si vous ajoutez limit: 25 à votre recherche, les résultats sont limités à 25.

Remarque : Vous pouvez également ajouter le mot clé limit aux tableaux de bord personnalisés.

Examiner des ensembles de données volumineux

Google SecOps permet de renvoyer et de parcourir jusqu'à un million de résultats. Cela vous permet d'examiner de grands ensembles de données directement dans l'interface Web sans exporter les résultats. Pour les recherches volumineuses, les champs visibles sont limités par défaut.

Remarque : Une fois les résultats chargés, vous pouvez appliquer des filtres pour affiner les données sans relancer la recherche. Cela vous permet d'affiner rapidement les ensembles de résultats.

Limites de résultats pour les sources de données

Le tableau suivant indique le nombre maximal de résultats renvoyés pour chaque source de données :

Type de recherche ou source de données	Nombre maximal d'événements ou de lignes dans les résultats de recherche
UDM	1 000 000
ECG	1 000 000
Tableau de données	1 000 000
Jointure UDM à UDM	1 000 000
Joindre UDM à ECG	1 000 000
Jointure entre l'UDM et la table de données	1 000 000
Demandes et historique des demandes	1 000 000
Statistiques	100 000
Détections	100 000

Remarque : Les limites sont les mêmes, que vous utilisiez la plate-forme ou l'API. Pour en savoir plus sur les limites de l'API, consultez API de recherche asynchrone.

Ajouter un filtre pour affiner votre requête

Pour ajouter un filtre afin d'affiner votre requête :

1. Sur la page Recherche SIEM, cliquez sur filter_listAjouter un filtre. Une boîte de dialogue s'ouvre, vous permettant de sélectionner un champ et d'afficher (=) ou de filtrer (!=) les valeurs de champ.

2. Configurez les paramètres de la boîte de dialogue.

   

   Figure 8. Exemple de boîte de dialogue de filtre.

3. Cliquez sur Appliquer. Le filtre s'affiche à côté du bouton filter_list Ajouter un filtre, et les résultats de recherche sont filtrés en conséquence.

4. Facultatif : Effectuez l'une des opérations suivantes :

   • Si vous souhaitez intégrer automatiquement le filtre dans l'éditeur de requête et exécuter la recherche, cliquez sur Appliquer à la recherche et exécuter.
   • Si vous souhaitez supprimer le filtre, cliquez sur Effacer.

Remarque : Le bouton Effacer n'est disponible qu'avant que vous cliquiez sur Appliquer à la recherche et exécuter.

Dépannage

Si vous recevez un message d'erreur générique, tel que Error: Search has encountered an error and could not load data, procédez comme suit pour résoudre le problème :

• Connectez-vous à Google SecOps depuis un autre réseau. Par exemple, utilisez une VM cloud pour identifier les éventuels problèmes de réseau.
• Assurez-vous que les appels d'API Chronicle sont autorisés par la configuration, la règle ou le pare-feu du proxy de votre organisation.
• Vérifiez qu'aucune limite de données n'est configurée pour les appels de l'API Search, car les recherches peuvent renvoyer de grands ensembles de données.
• Vérifiez si des délais d'attente sont configurés. Les requêtes de recherche peuvent s'exécuter de manière asynchrone et nécessiter plus de temps pour renvoyer les données. Si des délais avant expiration sont définis, assurez-vous qu'ils sont suffisamment longs (60 minutes, par exemple) avant que la requête n'expire.

Si l'erreur persiste, contactez l'assistance client.

Étapes suivantes

Pour en savoir plus sur les requêtes de recherche, consultez les ressources suivantes :

• Comprendre la syntaxe de recherche contient des détails et des exemples sur la syntaxe YL2 nécessaire pour construire et interroger des valeurs de données, des séquences d'échappement et des opérateurs dans l'éditeur de requête.
• Bonnes pratiques pour le Réseau de Recherche
• Recherchez des cas et l'historique des cas dans la recherche unifiée.
• Générez des requêtes de recherche UDM avec Gemini.
• Utilisez des données enrichies par le contexte dans la recherche.

Pour en savoir plus sur les résultats de recherche, consultez les ressources suivantes :

• Examiner une entité à l'aide de la recherche UDM
• Examiner les détections dans la recherche explique comment utiliser l'onglet Alertes et détections de la page Recherche SIEM.
• Comprendre la disponibilité des données pour la recherche décrit le cycle de vie de l'ingestion de données, y compris le flux de données de bout en bout et la latence, et explique comment ces facteurs ont un impact sur la disponibilité des données récemment ingérées pour les requêtes et l'analyse.
• L'article Comparaison entre les résultats de recherche UDM et les résultats de règles explique comment comparer les résultats des requêtes de recherche UDM avec les règles de détection en direct.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.