Comprendre la recherche

Compatible avec :

Google SecOps SIEM

Ce guide s'adresse aux analystes de sécurité qui souhaitent interroger, corréler et analyser les données de sécurité de leur entreprise dans Google Security Operations à l'aide de la page Recherche SIEM. La page Recherche SIEM sert de hub de navigation central pour tous les flux de données compatibles. Elle intègre des sources supplémentaires de télémétrie et de posture. Ce guide contient des instructions et des explications sur toutes les fonctions et fonctionnalités de base de la page Recherche SIEM.

Terminologie clé

• Modèle de données unifié (UDM, Unified Data Model) : format de données standardisé utilisé dans Google SecOps pour représenter de manière cohérente les événements de sécurité provenant de différentes sources.
• Événement : un événement est généré à partir d'une source de journaux bruts ingérée dans Google SecOps et traitée par le processus d'ingestion et de normalisation de Google SecOps. Plusieurs événements peuvent être générés à partir d'un seul enregistrement de source de journaux bruts. Un événement représente un ensemble de points de données pertinents pour la sécurité, générés à partir de ce journal brut. Dans le contexte de la page Recherche SIEM, les événements sont des données de télémétrie d'événements UDM normalisées et des enregistrements de journaux bruts correspondant à votre requête de recherche.
• Alerte : dans le contexte de la page Recherche SIEM, une alerte est définie comme une détection de règle pour laquelle les alertes sont activées. Pour en savoir plus, consultez Exécuter une règle sur des données en direct.
• Journaux bruts : télémétrie de journaux bruts non analysés. L'objectif principal du diagnostic est de surveiller l'état de l'ingestion et de l'analyse syntaxique.
• Jointures : les jointures corrèlent et combinent les données brutes de plusieurs sources en fonction de valeurs de champ communes. En associant des événements, des entités et d'autres données connexes, vous pouvez examiner des scénarios d'attaque complexes. Vous pouvez rechercher des jointures statistiques, qui nécessitent une section de correspondance pour agréger les résultats, ou des jointures de données, qui récupèrent les données complètes d'événement ou d'entité et les affichent sans aucune agrégation. Pour en savoir plus, consultez Appliquer des jointures dans la recherche et les tableaux de bord et Implémenter des jointures sans section de correspondance.
• Statistiques : événements UDM dont les résultats sont regroupés pour une analyse statistique. Pour en savoir plus, consultez Analyser les données de recherche avec des statistiques.
• Cas et historiques des cas : cas de sécurité et journaux d'audit de l'historique des cas, que vous pouvez mettre en corrélation avec d'autres données de sécurité. Pour en savoir plus, consultez Présentation des demandes de recherche.
• Entity Context Graph (ECG) : base de données de graphes dans Google SecOps qui stocke les enregistrements d'entités avec état (tels que les éléments, les utilisateurs et les indicateurs de menace) pour les corréler avec les journaux d'événements de sécurité. Pour en savoir plus, consultez Présentation d'Entity Context Graph.
• Barre de requête en langage naturel : barre située en haut de la page Recherche SIEM, où vous pouvez saisir une instruction de recherche en langage naturel.
• Éditeur de requête : zone de la page Recherche SIEM située sous la barre de requête en langage naturel, où vous créez manuellement des requêtes et où le code de la requête s'affiche.

Avant de commencer

Les autorisations et rôles standards de Google SecOps Search doivent être attribués à votre compte utilisateur pour que vous puissiez exécuter des requêtes et afficher les détails des détections.

Pour les fonctionnalités de recherche avancée suivantes, votre compte utilisateur ou votre rôle Identity and Access Management doit disposer d'autorisations précises supplémentaires, en fonction de la fonctionnalité utilisée :

• Les détails d'événement enrichis ou étendus nécessitent chronicle.events.fetchEnrichedEvent.
• Pour enregistrer des recherches et modifier des vues de recherche, vous devez disposer des autorisations chronicle.savedSearches.update et chronicle.searchViews.update.
• Pour afficher les analyseurs syntaxiques de journaux et le schéma, vous devez disposer des autorisations chronicle.parsers.list et chronicle.parsers.get.
• La recherche dans l'historique des cas nécessite chronicle.cases.get et chronicle.cases.list.
• Pour créer, partager, modifier et gérer des ensembles de colonnes personnalisés enregistrés dans votre organisation, vous devez disposer des cinq autorisations suivantes : chronicle.googleapis.com/savedColumnSets.create, chronicle.googleapis.com/savedColumnSets.update, chronicle.googleapis.com/savedColumnSets.delete, chronicle.googleapis.com/savedColumnSets.list et chronicle.googleapis.com/savedColumnSets.get.

Ouvrir la page de recherche

Pour ouvrir la page Recherche SIEM, procédez comme suit :

1. Connectez-vous à Google SecOps.
2. Dans la barre de navigation, cliquez sur Investigation > Recherche SIEM.

Figure 1 : Exemple de page Recherche SIEM utilisée pour explorer les tendances des événements.

Remarque : Sur les systèmes qui utilisent le contrôle RBAC des données, vous ne pouvez voir que les données qui correspondent à vos niveaux d'accès. Pour en savoir plus, consultez Impact du RBAC des données sur la recherche.

Application du champ d'application du contrôle RBAC des données

Le moteur de recherche Google SecOps applique strictement le filtrage de l'étendue du contrôle des accès basé sur les rôles (RBAC des données) dans tous les onglets. Vous ne verrez que les événements UDM, les journaux bruts, les alertes, les détections et les cas qui correspondent explicitement aux niveaux d'accès aux données attribués à votre rôle utilisateur.

Configurer les paramètres généraux de la page de recherche

Les paramètres généraux de la page Recherche SIEM sont spécifiques à l'utilisateur.

Vous pouvez configurer les paramètres généraux suivants pour la page Recherche SIEM :

• Spécifier le nombre maximal de résultats de recherche
• Choisir le comportement de réduction de l'éditeur de requête

Spécifier le nombre maximal de résultats de recherche

Pour spécifier le nombre maximal de résultats de recherche, procédez comme suit :

1. Sur la page Recherche SIEM, cliquez sur Paramètres Paramètres, puis sélectionnez Nombre maximal de résultats.

2. Sélectionnez l'option Nombre maximal de résultats à renvoyer. Les options sont 1k, 30k, 100k, 1M et custom (qui peut prendre des valeurs comprises entre 1 et 1M). La valeur par défaut est 30k.

   Conseil : Les requêtes s'exécutent généralement plus rapidement lorsque vous choisissez un ensemble de résultats plus petit.

3. Cliquez sur Appliquer.

Choisissez le comportement de réduction de l'éditeur de requête

Vous pouvez configurer l'éditeur de requête pour qu'il se réduise automatiquement après l'exécution d'une recherche, afin de maximiser l'espace d'écran disponible pour afficher les résultats de recherche. Le paramètre Par défaut laisse l'éditeur de requête développé après l'exécution d'une recherche.

Pour activer la fonctionnalité de réduction automatique, procédez comme suit :

1. Sur la page Recherche SIEM, cliquez sur Paramètres Paramètres, puis sélectionnez Éditeur de requête.
2. Dans la boîte de dialogue Éditeur de requête, sélectionnez Réduire automatiquement l'éditeur de requête.

Créer une requête de recherche

Les sections suivantes expliquent comment créer une requête de recherche.

Vous pouvez créer une requête de recherche à l'aide de l'une des méthodes suivantes :

• Saisissez votre requête de recherche en langage naturel et utilisez Gemini pour générer la requête dans le dialecte YARA-L 2.0. Vous devez utiliser l'anglais.
• Créez manuellement votre requête dans l'éditeur de requêtes à l'aide du dialecte YARA-L 2.0 ou SQL (GoogleSQL).

Remarque : Une recherche UDM est limitée à 100 champs UDM par requête. Une expression de recherche UDM se compose d'un champ UDM à rechercher, d'un opérateur et d'une valeur de données à rechercher. Les requêtes UDM sont basées sur les champs définis dans la documentation de référence du dictionnaire de champs UDM. Vous pouvez parcourir et sélectionner ces champs UDM à l'aide de Filtres ou de Recherche dans les journaux bruts.

Générer une requête en langage naturel

Pour générer une requête en langage naturel, procédez comme suit :

1. Sur la page Recherche SIEM, cliquez sur la barre de requête en langage naturel de recherche et saisissez une instruction de recherche en anglais.

   Voici des exemples d'énoncés qui peuvent générer une recherche utile :

   • network connections from 10.5.4.3 to google.com
   • failed user logins over the last 3 days
   • emails with file attachments sent to [e-mail] or [e-mail]
   • all Cloud service accounts created yesterday
   • outbound network traffic from 10.16.16.16 or 10.17.17.17
   • all network connections to facebook.com or tiktok.com
   • service accounts created in Google Cloud yesterday
   • Windows executables modified between 8 AM and 1 PM on May 1, 2026
   • all activity from winword.exe on lab-pc
   • scheduled tasks created or modified on exchange01 during the last week
   • email messages that contain PDF attachments
   • emails sent by or sent from [e-mail] on July 1
   • any files with the hash 44d88612fea8a8f36de82e1278abb02f
   • all activity associated with user "[e-mail]"

Si l'instruction de recherche inclut un terme basé sur le temps, les paramètres de période sont automatiquement ajustés pour correspondre. Par exemple, cela s'appliquerait aux recherches avec les termes suivants :

• yesterday
• within the last 5 days
• on July 1, 2026

2. Cliquez sur Générer une requête. Si Gemini peut interpréter l'instruction de recherche, il génère une requête valide dans le dialecte YARA-L 2.0 et l'affiche dans l'éditeur de requête. Si l'énoncé de recherche ne peut pas être interprété, un message s'affiche vous demandant de reformuler votre requête. Si l'expression de requête est valide, le bouton Exécuter la recherche devient disponible.

3. Facultatif : Ajustez la période de recherche à l'aide des paramètres de période.

4. Cliquez sur Exécuter la recherche. Les résultats de recherche s'affichent.

5. Facultatif : Affinez les résultats en ajoutant manuellement des filtres de recherche supplémentaires ou en utilisant la barre de requête en langage naturel, puis relancez la recherche.

Créer une requête manuellement dans l'éditeur de requête

Pour en savoir plus sur les différents types de requêtes compatibles avec la page Recherche SIEM et sur la syntaxe permettant de les créer, consultez les documents suivants :

• Pour en savoir plus sur la syntaxe de recherche YARA-L 2.0, consultez Comprendre la syntaxe de recherche.
• Pour savoir comment créer des requêtes de jointure, consultez Appliquer des jointures dans la recherche et les tableaux de bord et Implémenter des jointures sans section de correspondance.
• Pour savoir comment créer des requêtes statistiques, consultez Analyser les données de recherche avec des statistiques.
• Pour savoir comment créer des requêtes sur l'historique des demandes, consultez Rechercher des demandes et leur historique sur la page de recherche.

Pour construire une requête manuellement, procédez comme suit :

1. Sur la page Recherche SIEM, cliquez dans l'éditeur de requête.
2. Choisissez le dialecte de la requête :
   • YL2 (par défaut) : utilisez la syntaxe YARA-L 2.0 standard pour la recherche d'événements, le filtrage d'entités et la corrélation comportementale à grande vitesse.
   • SQL : le mode SQL (GoogleSQL) vous permet d'exécuter des requêtes compatibles avec BigQuery, de créer des jointures multitables complexes entre l'UDM et le graphe de contexte d'entité (ECG), et d'effectuer des agrégations avancées directement dans la console.

3. Saisissez votre requête dans l'éditeur de requête en tenant compte des points suivants :

   • Suggestion et saisie automatique : lorsque vous saisissez une requête avec l'option YL2, la fonction de suggestion et de saisie automatique suggère des champs valides en fonction de votre saisie.
   • Recherche UDM : si vous ne connaissez pas le nom ou la valeur exacte d'un champ lorsque vous écrivez une requête, vous pouvez utiliser la recherche UDM pour vous aider.
   • Erreurs de compilation de la syntaxe : si l'éditeur de requête détecte une erreur de compilation de la syntaxe, il affiche une ligne ondulée rouge directement sous le texte problématique. Pointez sur le texte souligné pour afficher la description de l'erreur spécifique. L'éditeur de requête ne met en évidence qu'une seule erreur à la fois. Vous devez donc corriger les erreurs de manière séquentielle.

4. Définissez la période de la requête à l'aide des paramètres de période.

5. Si l'expression de requête est valide, cliquez sur Exécuter la recherche. Les résultats de recherche s'affichent.

6. Facultatif : Affinez les résultats en ajoutant manuellement d'autres filtres de recherche ou en utilisant la console, puis relancez la recherche.

Remarque : Vous pouvez également créer une requête dans la boîte de dialogue Gestionnaire de recherche. Les mêmes outils de modification de l'UDM, de suggestion automatique et de saisie semi-automatique sont également disponibles.

Spécifier la période de votre recherche

Utilisez le menu Période pour spécifier la période de votre recherche.

La période maximale d'une recherche est toujours limitée par la configuration de conservation des journaux de votre locataire.

Plages de temps maximales :

• UDM : 365 jours.
• RAW : 365 jours.
• JOIN : pour les jointures internes : 90 jours. Pour les jointures internes sans condition de correspondance : 14 jours. Pour les jointures externes : 14 jours.
• STATISTIQUES : 90 jours.
• CASE et CASE HISTORY : 90 jours, dans la limite de la durée de conservation des demandes ou du cycle de vie complet de l'historique des demandes.
• ECG : 365 jours.

Google SecOps évalue la configuration de votre requête de recherche et applique la plage de dates maximale en fonction du type et des conditions de recherche. (Par exemple, une requête STATS incluant une jointure externe aura une période maximale plus courte qu'une requête STATS n'incluant pas de jointure externe.)

Pour définir la période, procédez comme suit :

1. Sur la page Recherche SIEM, à côté de Période, sélectionnez le mode dans la liste.

   • Absolue : utilisez une période absolue pour sélectionner une heure de début et une heure de fin fixes.
   • Relative : utilisez une période relative pour effectuer une recherche en remontant dans le temps à partir de l'heure actuelle. L'heure à laquelle vous cliquez sur Lancer la recherche est définie comme l'heure de fin de votre requête.

2. Si vous avez sélectionné Absolu, procédez comme suit :

   1. Cliquez sur calendar_month calendar pour ouvrir la boîte de dialogue Définir la date et la période.
   2. Effectuez l'une des opérations suivantes :
      • Pour configurer l'heure à l'aide de l'une des méthodes suivantes, sélectionnez l'onglet Plage :
        • Utiliser des préréglages : sélectionnez une période prédéfinie dans la barre latérale, par exemple 3 derniers jours ou Toute la période. L'option Toutes les périodes permet d'effectuer des recherches sur l'ensemble de votre période de conservation.
        • Sélectionner des dates : cliquez sur une date de début et une date de fin dans le calendrier.
        • Définir des heures : sélectionnez des heures spécifiques à l'aide des menus d'heure situés sous les agendas.
      • Pour spécifier une plage de dates et d'heures en fonction d'un événement, cliquez sur l'onglet Heure de l'événement, sélectionnez une date dans l'agenda, puis configurez la période :
        • Heure exacte : cliquez sur le champ Événement pour sélectionner ou saisir l'heure précise à laquelle l'événement s'est produit.
        • Marge de temps : sélectionnez une période prédéfinie dans la liste.
   3. Cliquez sur Appliquer.

3. Si vous avez sélectionné Relative, procédez comme suit :

   1. Saisissez un entier dans le champ de texte.
   2. Sélectionnez une unité de temps dans le menu : Secondes, Minutes, Heures, Jours, Semaines, Mois ou Années.

Utiliser les suggestions automatiques pour créer des requêtes

Lorsque vous rédigez une requête, l'éditeur de requête fournit des suggestions automatiques pour vous aider à la créer efficacement.

Parcourir et sélectionner des suggestions

Lorsque vous saisissez du texte, une liste s'affiche avec des suggestions de champs correspondant à votre texte, y compris les options suivantes :

• Sélectionnez un champ : utilisez les touches Flèche vers le haut ou Flèche vers le bas pour parcourir la liste, puis appuyez sur Entrée pour sélectionner un champ.
• Afficher les métadonnées : après avoir utilisé les touches fléchées Haut ou Bas pour mettre en surbrillance une suggestion, cliquez sur chevron_right pour afficher la description du champ.
• Remplir les champs de manière incrémentielle : l'éditeur suggère les enfants immédiats du champ actuel et masque le préfixe saisi pour économiser de l'espace à l'écran. Ces suggestions sont suivies de tous les autres champs correspondants, par ordre alphabétique.
• Opérateurs et valeurs complets : une fois que vous avez sélectionné un champ, l'éditeur suggère des opérateurs valides (tels que =, !=) en fonction du type de données du champ. Pour les champs énumérés, l'éditeur affiche des suggestions pour toutes les valeurs valides (par exemple, NETWORK_EVENT) après que vous avez saisi un opérateur et un guillemet (").

Comprendre le classement des suggestions

L'éditeur de requête organise les suggestions en trois catégories pour vous aider à trouver rapidement des champs :

1. Champs récemment utilisés : les sept premières suggestions sont basées sur les champs que vous avez utilisés récemment et qui correspondent au champ que vous avez saisi. Cette liste est enregistrée dans l'historique des sessions de votre navigateur sur les pages Recherche SIEM, Règles et détections et Tableaux de bord. Si vous videz le cache ou changez de navigateur, cet historique est réinitialisé.
2. Enfants immédiats : l'ensemble de suggestions suivant n'affiche que les enfants de premier niveau du champ actuel.
3. Correspondances globales : la dernière section affiche tous les champs correspondants par ordre alphabétique.

Gérer les paramètres de suggestion automatique

Pour gérer de manière globale la façon dont Google SecOps affiche les suggestions automatiques, procédez comme suit :

1. Cliquez sur l'avatar de votre profil, puis sélectionnez Préférences utilisateur dans la liste. La boîte de dialogue Préférences utilisateur s'affiche.

2. Dans la boîte de dialogue, cliquez sur Suggestion automatique.

3. Pour contrôler les suggestions automatiques affichées dans l'éditeur de requête, ajustez les paramètres suivants :

   • Activer les suggestions lors de la saisie : active la suggestion automatique.
   • Classer les champs récemment utilisés en premier : affiche les champs que vous avez utilisés le plus récemment en haut de la liste.
   • Suggérer des champs enfants immédiats : complète les champs imbriqués de manière incrémentielle, un nœud enfant à la fois.
   • Suggérer tous les chemins disponibles : affiche les chemins d'accès complets et développés pour toutes les suggestions de champs imbriqués.

4. Cliquez sur Enregistrer.

Trouver un champ UDM pour une requête de recherche (recherche UDM)

Lorsque vous écrivez une requête de recherche, vous ne connaissez peut-être pas le nom ou la valeur exacts du champ UDM à inclure. La fonctionnalité Recherche UDM vous permet de trouver rapidement un nom de champ UDM contenant une chaîne de texte dans le nom ou stockant une valeur de chaîne spécifique. Vous pouvez sélectionner un ou plusieurs résultats renvoyés par la recherche UDM et les utiliser comme point de départ pour une requête de recherche, les ajouter à une requête existante ou les enregistrer dans le presse-papiers.

Remarque : La recherche UDM n'est pas destinée à être utilisée pour rechercher d'autres types de données, tels que des octets, des valeurs booléennes ou des valeurs numériques.

Pour utiliser la recherche UDM, procédez comme suit :

1. Sur la page Recherche SIEM, cliquez sur Recherche UDM. La boîte de dialogue Recherche UDM s'ouvre.

2. Sélectionnez l'une des options Correspondance sur suivantes, ou les deux, pour spécifier le champ d'application des données à rechercher :

   • Champs UDM : recherchez du texte correspondant à des noms de champs, par exemple network.dns.questions.name ou principal.ip.
   • Valeurs : recherchez des chaînes de texte dans les valeurs de journaux stockées, par exemple dns ou google.com.

3. Cliquez dans le champ de recherche Saisissez la chaîne exacte pour laquelle vous recherchez une correspondance, puis saisissez la chaîne à rechercher. À mesure que vous saisissez du texte, les résultats de recherche s'affichent dans la boîte de dialogue.

   Les résultats varient selon que la correspondance porte sur des champs UDM ou des valeurs :

   • La recherche avec Correspondance sur Champs UDM renvoie une correspondance exacte trouvée n'importe où dans la définition du schéma.

     

     Figure 2. Recherchez les noms des champs UDM Correspondance dans la boîte de dialogue Recherche UDM.

   • La recherche avec Correspondance sur Valeurs recherche dans la télémétrie des journaux ingérés et renvoie deux types de résultats :

     • Correspondances de valeurs exactes : pour les champs de texte courants (tels que les applications, les noms d'hôte, les URL, les adresses IP et les noms d'utilisateur), la recherche UDM affiche la valeur correspondante complète avec votre chaîne de recherche en jaune, ainsi que le dernier code temporel d'ingestion du journal.

     • Correspondances de valeurs possibles : pour les champs contenant du texte long, complexe ou non structuré (comme les lignes de commande, les descriptions, les champs de détection et les champs personnalisés), la recherche UDM indique que le terme de recherche apparaît dans ce champ de votre historique de télémétrie. Au lieu d'afficher une seule valeur complète, le résultat affiche le nom du champ UDM suivi de (Possible value match).

     

     Figure 3. Recherchez avec Correspondance sur Valeurs dans la boîte de dialogue Recherche UDM.

4. Dans la liste des résultats, vous pouvez effectuer les actions suivantes :

   • Cliquez sur le nom d'un champ UDM pour afficher sa description.
   • Sélectionnez un ou plusieurs résultats en cochant la case à côté du nom du champ UDM.
   • Cliquez sur le bouton Réinitialiser pour désélectionner tous les champs sélectionnés dans la liste des résultats.

5. Effectuez l'une des opérations suivantes :

   • Pour copier les résultats sélectionnés dans le presse-papiers, cliquez sur Copier l'UDM. Vous pouvez ensuite fermer la boîte de dialogue Recherche UDM et coller le contenu du presse-papiers dans l'éditeur de requête.

   • Pour ajouter les résultats sélectionnés à la requête dans l'éditeur de requête, cliquez sur Ajouter à la recherche. Google SecOps convertit ensuite les résultats sélectionnés en requête de recherche sous la forme d'un nom de champ UDM ou d'une paire nom-valeur.

     Si vous ajoutez plusieurs résultats, Google SecOps ajoute chacun d'eux à la fin de la requête existante dans l'éditeur de requête à l'aide de l'opérateur OR.

     La chaîne de requête ajoutée est différente selon le type de correspondance renvoyé par UDM Lookup :

     • Si le résultat correspond à une chaîne de texte dans un nom de champ UDM, le nom complet du champ UDM est ajouté à la requête. Exemple :

       principal.artifact.network.dhcp.client_hostname

     • Si le résultat est une correspondance de valeur exacte, la paire nom-valeur contient une condition d'égalité exacte avec la valeur complète.

     • Si le résultat est une correspondance de valeur possible, la paire nom-valeur contient le nom du champ UDM et une expression régulière non sensible à la casse contenant votre terme de recherche.

6. Si nécessaire, modifiez la requête dans l'éditeur de requête.

Comportement de recherche et couverture des champs de la recherche UDM

La recherche UDM vous aide à découvrir les noms de champs et à rechercher des valeurs historiques dans vos données de journaux ingérées. Cette section explique comment fonctionne la recherche dans les deux modes, fournit des exemples de requêtes et décrit les limites de couverture des champs.

Modes de recherche : champs UDM ou valeurs

La recherche UDM propose deux modes de recherche distincts :

• Mode Champs UDM : Correspondance sur Champs UDM recherche la définition du schéma UDM pour vous aider à localiser le bon chemin d'accès au champ. Vous pouvez trouver des noms de champs dans tous les types de données, y compris les champs de texte (principal.hostname), les ports numériques (target.port), les options booléennes (security_result.is_alert) et les catégories d'événements (metadata.event_type).

  Exemple : Si vous saisissez port, des champs tels que network.ip_port, principal.port, target.port et src.port s'affichent.

• Mode Valeurs : Correspondance > Valeurs recherche des valeurs de texte correspondantes dans vos journaux d'événements ingérés :

  • Correspondance exacte de la valeur : pour les identifiants et les champs de texte courants (tels que les noms d'hôte, les adresses IP, les domaines et les noms d'utilisateur), la recherche UDM trouve la valeur exacte dans vos données et génère une condition d'égalité (par exemple, principal.hostname = "example.com").
  • Correspondance de valeur possible (expression régulière) : pour les textes longs, les lignes de commande, les URL, les clés de registre et les chemins d'accès aux fichiers, la recherche UDM renvoie une correspondance de valeur possible avec une expression régulière (par exemple, principal.process.command_line = /powershell/ NOCASE).

Lacunes de couverture des champs et comment effectuer une recherche directement

Lorsque vous effectuez une recherche par valeurs, la recherche UDM examine les champs de texte dans les données d'événement brutes non enrichies. Certains types de données et champs d'identifiants à volume élevé ne renvoient pas de correspondances en mode Valeurs. Pour rechercher ces champs, saisissez votre expression directement dans l'éditeur de requête.

Cette section comprend les éléments suivants :

• Champs numériques, booléens, d'horodatage et d'octets
• Champs d'identifiant exclus
• Champs avec des correspondances de valeurs possibles (expressions régulières)
• Champs enrichis et graphique des entités

Champs numériques, booléens, d'horodatage et d'octets

La recherche de valeurs de recherche UDM ne renvoie pas de correspondances pour les types de données non textuels. Pour effectuer une recherche sur ces champs, écrivez la condition directement dans la barre de recherche :

Catégorie de champ	Exemples de champs UDM	Exemple de recherche directe
Numéros de port et codes d'état	network.ip_port, principal.port, target.port, network.http.response_code	network.ip_port = 443 network.http.response_code = 403
Métriques et scores de risque	security_result.risk_score, network.sent_bytes, network.received_bytes	security_result.risk_score >= 80 network.sent_bytes > 50000000
Options booléennes	security_result.is_alert, network.dns.answers.is_authoritative	security_result.is_alert = true
Énumérations prédéfinies	metadata.event_type, network.ip_protocol	metadata.event_type = "USER_LOGIN" network.ip_protocol = "TCP"
Codes temporels	metadata.event_timestamp.seconds, metadata.ingested_timestamp	Filtrez à l'aide du menu Période ou de la requête : metadata.event_timestamp.seconds > 1700000000
ID des événements (octets bruts)	metadata.id	metadata.id = "..."
Coordonnées géographiques	principal.location.latitude, principal.location.longitude	Filtrer par champs de zone géographique régionale : principal.location.country_or_region = "US"

Champs d'identifiant exclus

Les champs de suivi de session et à forte entropie suivants ne renvoient aucun résultat lorsque vous effectuez une recherche par Valeurs :

Catégorie de champ exclue	Champs UDM	Exemple de recherche directe
ID de processus	*.pid (par exemple, principal.process.pid, target.process.pid), *.product_specific_process_id	target.process.pid = "4128"
ID de session et de connexion	network.session_id, network.parent_session_id, metadata.product_log_id	network.session_id = "sess-9481"
ID des règles de détection	security_result.rule_id	security_result.rule_id = "rule_suspicious_login"
ID de ressources et d'assets	*.resource.id (y compris les ARN et les URI cloud), *.asset_id	target.resource.id = "arn:aws:s3:::my-bucket"
Étiquettes d'ingestion	metadata.base_labels.*, metadata.enrichment_labels.*	metadata.base_labels.log_types = "WINEVTLOG"

Champs avec des correspondances de valeurs possibles (expressions régulières)

Pour les champs contenant des chaînes longues et complexes avec de nombreux séparateurs de chemin ou arguments, la recherche UDM renvoie une expression régulière de correspondance de valeur possible (/.../ NOCASE) plutôt qu'une correspondance exacte de valeur complète :

• Lignes de commande : principal.process.command_line, target.process.command_line
• Chemins d'accès aux fichiers : principal.process.file.full_path, target.file.full_path
• URL Web et réseau : principal.url, target.url, network.http.referral_url
• Clés de registre : principal.registry.registry_key, target.registry.registry_key
• Descriptions de forme libre : metadata.description, security_result.description, security_result.summary
• Chaînes User-Agent : network.http.user_agent
• Champs personnalisés dynamiques : additional.fields.value.*

Champs enrichis et graphique des entités

La recherche UDM cible les données de journaux brutes ingérées après le 10 août 2023. Elle ne renvoie pas les valeurs des éléments suivants :

• Enrichissements en aval : par exemple, résolution de la localisation GeoIP, données WHOIS, verdicts de navigation sécurisée ou scores VirusTotal. Pour les rechercher, filtrez directement sur le chemin du champ enrichi (par exemple, target.ip_geo_artifact.country_or_region = "US").
• Objets Entity Graph : données de l'espace de noms graph.*.
• Données historiques avant la date limite : journaux ingérés avant le 10 août 2023. Pour rechercher des données plus anciennes, utilisez des requêtes de recherche directe sur la page Recherche.

Utiliser des tableaux de données dans une recherche

Vous pouvez utiliser la fonctionnalité Tableaux de données dans une recherche. Cela vous permet d'utiliser vos propres bases de données d'informations sur les menaces existantes en association avec une recherche pour identifier les menaces dans votre entreprise.

Par exemple, si vous disposez d'une base de données appelée suspicious avec une colonne d'adresses IP que vous savez problématiques, vous pouvez faire référence à cette base de données dans la requête de recherche au lieu de saisir manuellement des adresses IP individuelles dans la requête :

  events:
      $e.principal.ip in %suspicious.ip

Vous pouvez affiner vos résultats en recherchant des métadonnées spécifiques en plus des adresses IP. Par exemple, vous pouvez vous intéresser spécifiquement aux modifications apportées aux ressources utilisateur :

  events:
      $e.metadata.event_type = "USER_RESOURCE_UPDATE_CONTENT"
      $e.principal.ip in %suspicious.ip

Vous pouvez affiner une recherche par rapport à des champs UDM interdépendants et effectuer une correspondance avec plusieurs colonnes de tableau de données. L'exemple suivant recherche les événements NETWORK_CONNECTION pour lesquels le résultat de sécurité est ALLOW. Il met ensuite en correspondance ces événements avec la colonne hostnames et la colonne ip de la table de données badApps.

events:
  $e.metadata.event_type = "NETWORK_CONNECTION"
  $e.security_result.action = "ALLOW"
  $e.target.asset.asset_id = $assetid

  // Event hostname matches at least one value in table column hostname.
  $e.target.hostname in %badApps.hostname

  // Event IP matches at least one value in table column ip.
  $e.target.ip in %badApps.ip

Afficher les lignes d'un tableau de données dans une recherche

Lorsque vous utilisez une table de données dans une recherche YARA-L 2.0, les résultats font référence aux lignes de la table de données qui sont associées aux événements correspondants. Ces résultats s'affichent dans le panneau Événements. L'état actuel du tableau de données et de ses lignes s'affiche lorsque vous consultez les résultats.

Utilisez le Gestionnaire de colonnes pour sélectionner les colonnes et le tableau de données à afficher dans les résultats.

Pour en savoir plus, consultez Utiliser des tableaux de données.

Comprendre le processus d'exécution des requêtes

Si la requête dans l'éditeur de requête est valide, la console Google SecOps active le bouton Exécuter la recherche.

Une fois que vous avez cliqué sur Exécuter la recherche, la requête en cours s'affiche avec une icône d'état circulaire.

Pendant qu'une recherche est en cours, vous pouvez exécuter d'autres recherches (simultanément) dans l'éditeur de requête, avec certaines limites. Google SecOps continue d'exécuter vos recherches précédentes et exécute les nouvelles recherches en parallèle.

Important : Les recherches simultanées et les résultats stockés nécessitent que la fonctionnalité d'historique des recherches soit active. Si vous avez déjà désactivé l'historique des recherches, vous pouvez le réactiver en cliquant sur Historique > Activer l'historique des recherches.

Les requêtes terminées sont affichées avec une icône de coche verte, ainsi qu'un compteur indiquant le nombre d'événements renvoyés par la requête.

Cliquez sur une requête terminée pour afficher les résultats. Les résultats de la recherche s'affichent sous l'éditeur de requête.

Les résultats de recherche sont mis en cache et n'incluent que les données disponibles au moment de l'exécution de la requête.

Gérer l'historique de vos recherches

Votre historique de recherche est enregistré dans votre compte Google SecOps.

Important : Les recherches simultanées et les résultats stockés nécessitent que la fonctionnalité d'historique des recherches soit active.

• Pour gérer votre historique des recherches, sur la page Recherche SIEM, cliquez sur Historique pour ouvrir la boîte de dialogue et procédez comme suit :

  • Affichez la liste de toutes les recherches de votre historique.
  • Cliquez sur un élément de la liste pour le charger dans l'éditeur de requête.
  • Saisissez un terme dans la barre de recherche pour trouver une recherche dans votre historique.
  • Filtrez les recherches en cliquant sur Filtrer à côté de la barre de recherche, puis filtrez les recherches par Langue (contenant les filtres YL2 et SQL) AND Type de recherche (contenant les filtres UDM, Journal brut et Statistiques).
  • Afficher uniquement les résultats stockés des recherches terminées et en cours ou non (à l'aide de la case à cocher Afficher uniquement les résultats stockés des recherches terminées et en cours).
  • Effacer l'historique des recherches
    • Pour effacer l'historique des recherches, cliquez sur Plus, puis sélectionnez Effacer l'historique.

  • Pour désactiver ou réactiver l'historique des recherches :

    • Pour désactiver l'historique des recherches, cliquez sur Désactiver l'historique des recherches, puis sélectionnez Désactiver uniquement pour désactiver l'historique des recherches ou Désactiver et effacer pour désactiver l'historique des recherches et supprimer l'historique des recherches enregistré.

    • Si vous avez déjà désactivé l'historique de la Recherche, vous pouvez le réactiver en cliquant sur Activer l'historique de la Recherche.

• Pour supprimer une recherche spécifique de votre historique des recherches, consultez Supprimer une recherche enregistrée.

Enregistrer et utiliser une requête de métriques

Remarque : Cette fonctionnalité est couverte par les Conditions des offres pré-DG des Conditions spécifiques du service Google Security Operations. Les fonctionnalités pré-DG (avant disponibilité générale) sont susceptibles de présenter une compatibilité limitée, et les modifications apportées à ces fonctionnalités peuvent ne pas être compatibles avec d'autres versions avant disponibilité générale. Pour en savoir plus, consultez les Instructions relatives aux services d'assistance technique Google SecOps et les Conditions spécifiques du service Google SecOps.
Si cette fonctionnalité n'est pas visible dans votre environnement, consultez Gérer les fonctionnalités en preview ou contactez votre administrateur système.

Google SecOps classe les requêtes de métriques avec le badge STATS.

• Pour enregistrer une recherche en tant que métrique, cliquez sur Plus à côté de Lancer la recherche, puis sur Enregistrer en tant que métrique. La page Règles et détections s'ouvre et affiche votre requête de métriques dans l'onglet Métriques. Vous pouvez ensuite enregistrer la métrique ou la désactiver. Une fois enregistrée, une requête de métrique ne peut plus être modifiée ni supprimée. Vous pouvez désactiver les métriques à tout moment.

Vous pouvez utiliser une requête de métriques pour établir des schémas de comportement typiques et identifier les activités aberrantes. Si vous avez une requête de métriques dans l'éditeur de requête qui suit des tendances opérationnelles critiques, cliquez sur Plus > Enregistrer en tant que métrique. La requête est alors enregistrée en tant que métrique de série temporelle continue, qui peut être intégrée à des tableaux de bord personnalisés ou référencée dans des alertes de seuil.

Exemple de requête de métriques :

metric metric_1784196814306 {
  (metadata.event_type = "NETWORK_FLOW" OR
  metadata.event_type = "NETWORK_CONNECTION" OR
  metadata.event_type = "NETWORK_DNS" OR
  metadata.event_type = "NETWORK_HTTP")

  outcome:
  $timestamp = timestamp.get_timestamp(metadata.event_timestamp.seconds)
  $hostname = principal.hostname
  $event_type = metadata.event_type
  $user = principal.user.userid
  $principal_process = principal.process.file.full_path
  $principal_cmdline = principal.process.command_line
  $target_process = target.process.file.full_path
  $target_cmdline = target.process.command_line
  $target_url = target.url
  $target_ip = target.ip[0]
  order:
  $timestamp
  }

Gérer vos recherches (Search Manager)

Utilisez la boîte de dialogue Gestionnaire de recherches pour gérer vos recherches.

• Pour ouvrir le gestionnaire de recherches, sur la page Recherche SIEM, cliquez sur Gestionnaire de recherches.

Badges de type "Recherche"

L'onglet Enregistré du Gestionnaire de recherches liste toutes les recherches enregistrées et affiche un badge indiquant le type de recherche : UDM, BRUT, JOIN, STATS, CAS, HISTORIQUE DES CAS et ECG.

Actions du Gestionnaire des recherches

Dans l'onglet Enregistrés, vous pouvez effectuer les actions suivantes :

• Filtrer les recherches enregistrées : cliquez sur Filtrer à côté de la barre de recherche, puis filtrez les recherches par Source (Définition de Google SecOps, Créé par moi et Partagé avec moi) AND Langue (YL2 et SQL).
• Trier les recherches : cliquez sur list_arrow Trier à côté de la barre de recherche, puis triez par Nom (A-Z), Nom (Z-A), Du plus ancien au plus récent ou Du plus récent au plus ancien.
• Ajouter une recherche : cliquez sur add_2 Ajouter à côté de la barre de recherche, puis créez une recherche dans la zone Recherche UDM adjacente. La zone Recherche UDM est compatible avec les mêmes outils de modification, de suggestion et de saisie semi-automatique de l'UDM que lorsque vous créez une requête manuellement dans l'éditeur de requête.
• Partager ou supprimer des recherches que vous avez créées.
• Modifier une recherche que vous avez créée : lorsqu'une recherche est sélectionnée dans l'onglet Enregistrées, la zone RECHERCHE affiche la requête, ainsi que les zones Titre et Description. La zone Recherche UDM est compatible avec les mêmes outils de modification, de suggestion et de saisie semi-automatique de l'UDM que lorsque vous créez une requête manuellement dans l'éditeur de requête.

Enregistrer une recherche

Les recherches enregistrées et l'historique des recherches sont :

• Stockées avec votre compte Google SecOps.
• Seul l'utilisateur individuel peut les consulter et y accéder, sauf si vous utilisez la fonctionnalité Partager une recherche pour partager votre recherche avec votre organisation.

Pour enregistrer une recherche :

1. Sur la page Recherche SIEM, effectuez l'une des opérations suivantes :

   • Si une requête valide est présente dans l'éditeur de requête, cliquez sur Plus à côté de Lancer la recherche, puis sur Enregistrer la recherche. La boîte de dialogue Gestionnaire de recherche s'ouvre.
   • Cliquez sur Search Manager. La boîte de dialogue Gestionnaire de recherche s'ouvre.

2. Dans le champ Titre, saisissez un nom pour la recherche. Google vous recommande de donner à votre recherche enregistrée un nom pertinent et une description en texte brut de ce que vous recherchez.

3. Facultatif : Dans la zone Description, saisissez une description de la recherche.

4. Facultatif : spécifiez des variables d'espace réservé au format ${<variable name>} en utilisant le même format que celui utilisé pour les variables dans YARA-L. Si vous ajoutez une variable à une recherche, vous devez également inclure une invite pour aider l'utilisateur à comprendre les informations requises à saisir avant d'exécuter la recherche. Toutes les variables doivent être renseignées avant d'exécuter une recherche.

   Par exemple, vous pouvez ajouter metadata.vendor_name = ${vendor_name} à votre recherche. Pour ${vendor_name}, vous devez ajouter une invite pour les futurs utilisateurs, comme Enter the name of the vendor for your search. Chaque fois qu'un utilisateur chargera cette recherche à l'avenir, il sera invité à saisir le nom du fournisseur avant d'exécuter la recherche.

5. Cliquez sur Enregistrer les modifications lorsque vous avez terminé.

• Pour afficher les recherches enregistrées, cliquez sur Gestionnaire de recherches, puis sur l'onglet Enregistrées.

Récupérer et exécuter une recherche enregistrée

Pour récupérer et exécuter une recherche enregistrée, procédez comme suit :

1. Sur la page Recherche SIEM, cliquez sur Gestionnaire de recherche, puis sélectionnez une recherche dans la liste *Enregistrées à gauche.
2. Facultatif : Supprimez une recherche en cliquant sur Plus, puis en sélectionnant Supprimer la recherche. Vous ne pouvez supprimer que les recherches que vous avez créées.
3. Vous pouvez modifier le nom et la description de la recherche. Lorsque vous avez terminé, cliquez sur Enregistrer les modifications.
4. Cliquez sur Charger la recherche. La recherche est chargée dans le champ de recherche principal.
5. Cliquez sur Exécuter la recherche.

Supprimer une recherche enregistrée

Vous ne pouvez supprimer que les recherches que vous avez créées.

Pour supprimer une recherche enregistrée :

1. Sur la page Recherche SIEM, cliquez sur Gestionnaire de recherches, puis sélectionnez une recherche dans la liste Enregistrées à gauche.
2. Cliquez sur  Plus, puis sélectionnez Supprimer la recherche.
3. Cliquez sur Supprimer la recherche.

Partager une recherche ou arrêter de la partager

Les recherches partagées vous permettent de partager des recherches avec votre équipe. Vous ne pouvez pas partager de contenu avec une seule personne. Si vous partagez votre recherche, elle est partagée avec l'ensemble de votre organisation.

Vous ne pouvez pas modifier une recherche partagée que vous n'avez pas créée.

Pour partager une recherche :

1. Sur la page Recherche SIEM, cliquez sur Gestionnaire de recherche, puis sélectionnez une recherche dans la liste Enregistrées à gauche.
2. Cliquez sur la recherche que vous souhaitez partager.
3. Cliquez sur Plus à droite de la recherche. Une boîte de dialogue s'affiche avec l'option permettant de partager votre recherche.
4. Cliquez sur Partager avec votre organisation. Une boîte de dialogue s'affiche et indique "Les membres de votre organisation pourront voir votre recherche. Voulez-vous vraiment partager ?".
5. Cliquez sur Partager.

Si vous souhaitez que la recherche ne soit visible que par vous, cliquez sur Plus, puis sur Arrêter le partage. Si vous arrêtez de la partager, vous seul pourrez utiliser cette recherche.

Résultats de recherche : présentation

Lorsque vous cliquez sur Exécuter la recherche sur la page Recherche SIEM, Google Security Operations évalue votre requête dans votre environnement, puis classe et affiche les résultats sous l'éditeur de requête.

Les éléments d'interface utilisateur pour les résultats de recherche varient en fonction du type de recherche (qui sont, selon leurs badges : UDM, RAW, JOIN, STATS, CASE ou CASE HISTORY).

La page Recherche SIEM affiche les onglets suivants pour les résultats de recherche :

• Résultats : affichés pour tous les types de recherche.
• Alertes et détections : affiché uniquement pour les résultats de recherche UDM, RAW et JOIN.
• Présentation : s'affiche uniquement pour les résultats de recherche UDM, RAW et JOIN.
• Visualiser : affiché uniquement pour les résultats de recherche de statistiques.

Le titre de chaque onglet de résultats inclut le nombre entre parenthèses, par exemple Résultats (1 118) ou Résultats (100 000+) si le nombre de résultats dépasse le maximum spécifié (dans ce cas, 100 000).

En cliquant sur les onglets, vous pouvez instantanément changer de vue dans votre espace de travail tout en conservant votre requête de recherche et votre période.

Afficher et gérer les informations dans l'onglet "Résultats"

L'onglet Résultats est votre espace de travail principal pour afficher et gérer les résultats de recherche. Vous pouvez utiliser l'onglet Résultats pour :

• Analyse approfondie des journaux
• Afficher la télémétrie brute
• Générer des tableaux croisés dynamiques à partir de données d'événement
• Analyser les distributions de valeurs de champ à haute fréquence
• Exporter des données dans des fichiers CSV

L'onglet Résultats inclut les éléments suivants, selon le type de recherche :

• Panneaux à onglets avec les graphiques suivants :
  • Graphique Activité au fil du temps : affiché pour les résultats de recherche UDM, JOIN, CASE, CASE HISTORY et ECG.
  • Graphique Tendance au fil du temps : affiché pour les résultats de recherche bruts.
  • Onglet Prévalence : affiché pour les résultats de recherche UDM.
  • Tableau Carte de densité d'activité : affiché pour les résultats de recherche UDM.
• Panneau Agrégations : affiché pour tous les types de résultats de recherche.

• Panneaux contenant les tableaux suivants, selon le type de recherche :

  • Tableau Événements et sous-onglet Tableau croisé dynamique : affichés uniquement pour les résultats de recherche UDM. Le tableau Événements affiche la télémétrie des événements UDM normalisés et les enregistrements de journaux bruts correspondant à votre requête au cours de la période sélectionnée. Le sous-onglet Tableau croisé dynamique vous permet de créer et d'utiliser un tableau croisé dynamique pour effectuer un regroupement et une synthèse mathématiques multidimensionnels (sum, count, avg, stddev) sur les résultats des événements.
  • Journaux bruts : affichés uniquement pour les résultats de recherche bruts.
  • Stats : affiché uniquement pour les résultats de recherche STATS.
  • Jointures : affiché uniquement pour les résultats de recherche JOIN.
  • Demandes : affiché uniquement pour les résultats de recherche CASE.
  • Historique des cas : affiché uniquement pour les résultats de recherche de type "CAS" et "HISTORIQUE DES CAS".
  • Données temporelles et Données intemporelles : affichées uniquement pour les résultats de recherche ECG.

  Pour en savoir plus sur les fonctions et les outils compatibles avec ces tables, consultez Utiliser des outils courants pour les tables. Les fonctions disponibles incluent la gestion des colonnes du tableau affiché dans l'onglet, le téléchargement des résultats de recherche et plus encore.

Conseil : Cliquez sur Options d'affichage pour masquer ou afficher les graphiques et le panneau Agrégations.

Utiliser le graphique "Activité au fil du temps"

L'onglet Activité au fil du temps inclut un graphique (histogramme) du volume d'événements et d'alertes au fil du temps.

Remarque : L'onglet Activité au fil du temps ne s'affiche que pour les résultats de recherche UDM, JOIN, CASE et HISTORIQUE DES CAS.

La largeur de chaque barre dépend de l'intervalle de temps recherché. Par exemple, chaque barre représente 10 minutes lorsque la recherche couvre 24 heures de données. Ce graphique est mis à jour de manière dynamique lorsque vous modifiez la recherche existante.

Remarque : La période de recherche maximale est de 365 jours pour les recherches YARA-L 2.0 et de 90 jours pour les recherches SQL, de l'heure de début à l'heure de fin.

Le graphique est compatible avec les éléments suivants :

• Ajustement de la période : faites glisser les curseurs sur la chronologie pour affiner instantanément la période visible. La grille de résultats et le panneau Agrégations sont mis à jour sans réexécuter la requête sur le backend.
• Afficher les événements et les alertes pour la période d'une seule barre : cliquez sur une barre pour limiter le champ d'application du graphique, du panneau Agrégations et de l'onglet Détections à la période de cette barre. Cette action crée un filtre, qui s'affiche à côté du bouton filter_list Ajouter un filtre. Pour afficher à nouveau tous les résultats, supprimez le filtre.
• Pop-up "Détails" : lorsque vous cliquez sur l'une des barres, un pop-up s'ouvre et affiche l'heure, ainsi que les valeurs pour Événements interrogés, Événements filtrés, Alertes interrogées et Alertes filtrées.

Utiliser le graphique "Évolution au fil du temps"

L'onglet Évolution au fil du temps inclut un graphique (un histogramme) du volume de journaux bruts au fil du temps. La largeur de chaque barre verticale s'ajuste de manière dynamique en fonction de votre fenêtre de recherche globale (par exemple, chaque barre peut représenter 10 minutes pour une fenêtre de recherche de 24 heures).

Remarque : L'onglet Tendance au fil du temps ne s'affiche que pour les résultats de recherche BRUTS.

Le graphique est compatible avec les éléments suivants :

• Ajustement de la plage horaire : faites glisser les curseurs sur la timeline pour réduire instantanément la fenêtre temporelle visible. La grille de résultats et le panneau Agrégations sont mis à jour sans réexécuter la requête sur le backend.
• Affichez le nombre de journaux analysés, non analysés et inconnus détectés dans la période d'une seule barre : Inconnu signifie qu'un ou plusieurs journaux ont été détectés à ce moment-là, mais que leur nombre est indéterminé. Cliquez sur une barre pour limiter le graphique et le panneau Agrégations à la période de cette barre. Cette action permet de créer un filtre, qui s'affiche à côté du bouton Ajouter un filtre filter_list. Pour afficher à nouveau tous les résultats, supprimez le filtre.
• Pop-up de détails : cliquez sur l'une des barres pour ouvrir un pop-up contenant l'heure et les valeurs des champs Événements interrogés, Événements filtrés, Alerte interrogée et Alertes filtrées.

Utiliser l'onglet "Prévalence"

L'onglet Prévalence ne s'affiche que si votre recherche inclut un domaine.

L'onglet Prévalence affiche la prévalence des domaines associés à votre recherche dans votre entreprise. Il combine une liste de domaines à faible prévalence avec un graphique interactif. Cet onglet ne s'affiche que si votre recherche UDM inclut un domaine.

Remarque : L'onglet Prévalence ne s'affiche que pour les résultats de recherche UDM.

La liste des domaines à faible prévalence comprend les colonnes suivantes :

• Domaines à faible prévalence : affiche les noms de domaine associés à vos résultats de recherche. Cliquez sur arrow_upward pour trier les domaines par ordre alphabétique (de Z à A) et sur arrow_downward pour les trier par ordre alphabétique (de A à Z).

• Prévalence ≤ 10 : affiche le nombre total d'occurrences pour chaque domaine dont la prévalence est inférieure ou égale à 10. Cliquez sur arrow_upward pour trier les nombres par ordre numérique décroissant et sur arrow_downward pour les trier par ordre croissant.

Dans le graphique, pointez sur un cercle pour afficher le domaine spécifique et affiner votre recherche aux événements associés à ce domaine uniquement.

Utiliser l'onglet "Carte de densité d'activité"

L'onglet Heat map d'activité affiche les données d'événement dans une grille chronologique visuelle pour mettre en évidence les périodes où les événements sont les plus concentrés au cours de la période donnée. L'axe Y affiche les dates de votre période de recherche, et l'axe X affiche l'heure de la journée par intervalles d'une heure (de 00h00 à 23h00).

Remarque : L'onglet Carte de densité d'activité ne s'affiche que pour les résultats de recherche UDM.

Une légende de dégradé de couleurs indique le volume d'événements au cours d'une heure spécifique. Les couleurs claires indiquent moins d'événements, tandis que les couleurs foncées indiquent une densité plus élevée. Vous pouvez également ajuster l'indicateur de densité pour afficher ou masquer les créneaux horaires en ajustant le curseur horizontal. Cliquez sur les flèches vers le haut ou vers le bas dans le panneau latéral pour parcourir les dates et ajuster la période spécifique.

Utiliser le panneau "Agrégations" pour affiner les résultats de recherche

Le panneau Agrégations récapitule les valeurs à haute fréquence, que vous pouvez utiliser pour affiner vos résultats de recherche.

Remarque : Le panneau Agrégations s'affiche pour tous les types de résultats de recherche.

Le panneau Agrégations comprend deux listes réductibles : Champs UDM (qui est une liste de champs UDM correspondants) et une autre liste de champs qui dépend du type de recherche (par exemple, Champs de journal pour les recherches de journaux bruts, Champs de statistiques, Champs de cas, etc.). Pour les recherches UDM, le panneau Agrégations contient la liste Champs UDM et la liste Champs regroupés.

Pour épingler un champ en haut de la liste Agrégrations, pointez sur un champ, puis cliquez sur l'icône Conserver Conserver.

Vous pouvez rechercher des champs ou des valeurs de champ spécifiques à l'aide du champ de recherche du panneau.

Chaque champ affiche le "nombre de correspondances", c'est-à-dire le nombre d'enregistrements ayant la même valeur pour ce champ. Le contenu des listes est trié par ordre décroissant du nombre de correspondances, puis par ordre alphabétique pour un même nombre de correspondances. Vous pouvez rechercher des champs dans les listes et développer un élément de champ.

Pour filtrer les résultats de recherche avec des agrégations, procédez comme suit :

1. Dans le panneau Agrégations, sélectionnez un champ dans une liste pour afficher les valeurs de liste de ce champ.

2. Sélectionnez une valeur dans la liste, puis cliquez sur more_vert Plus.

3. Sélectionnez une option de filtrage :

   • Afficher uniquement : le tableau adjacent correspondant est mis à jour pour n'afficher que les enregistrements correspondants, et le filtre = "value" s'affiche à côté du bouton Ajouter un filtre filter_list.
   • Exclure : le tableau adjacent correspondant est mis à jour avec les enregistrements correspondants exclus, et le filtre != "value" s'affiche à côté du bouton Ajouter un filtre filter_list.
   • Copier : copie la paire champ/valeur dans votre presse-papiers.

   

   Figure 4. Exemple de filtrage de champs à l'aide du panneau Agrégations.

   

   Figure 5 : bouton filter_list Ajouter un filtre avec deux filtres existants (un affiché et un dans la liste + 1 autre).

4. Facultatif : Si vous avez sélectionné Afficher uniquement ou Exclure à l'étape précédente et que vous souhaitez intégrer automatiquement le filtre dans l'éditeur de requête et relancer la recherche, cliquez sur Appliquer à la recherche et exécuter.

Utiliser des champs groupés dans le panneau "Agrégations" de l'onglet "Résultats"

Le panneau Agrégations pour les recherches UDM inclut la liste Champs groupés. Les champs regroupés agissent comme des alias de catégorie puissants qui combinent des champs UDM associés sans que vous ayez à les saisir séparément. Pour en savoir plus sur les champs groupés, consultez Rechercher des champs groupés.

Alias du champ groupé	Champs UDM associés inclus dans l'alias
domain	about.administrative_domain about.asset.network_domain network.dns.questions.name network.dns_domain principal.administrative_domain principal.asset.network_domain target.administrative_domain target.asset.hostname target.asset.network_domain target.hostname
email	intermediary.user.email_addresses network.email.from network.email.to principal.user.email_addresses security_result.about.user.email_addresses target.user.email_addresses
file_path	principal.file.full_path principal.process.file.full_path principal.process.parent_process.file.full_path target.file.full_path target.process.file.full_path target.process.parent_process.file.full_path
hash	about.file.md5 about.file.sha1 about.file.sha256 principal.process.file.md5 principal.process.file.sha1 principal.process.file.sha256 security_result.about.file.sha256 target.file.md5 target.file.sha1 target.file.sha256 target.process.file.md5 target.process.file.sha1 target.process.file.sha256
hostname	intermediary.hostname observer.hostname principal.asset.hostname principal.hostname src.asset.hostname src.hostname target.asset.hostname target.hostname
ip	intermediary.ip observer.ip principal.artifact.ip principal.asset.ip principal.ip src.artifact.ip src.asset.ip src.ip target.artifact.ip target.asset.ip target.ip
namespace	principal.namespace src.namespace target.namespace
process_id	principal.process.parent_process.pid principal.process.parent_process.product_specific_process_id principal.process.pid principal.process.product_specific_process_id target.process.parent_process.pid target.process.parent_process.product_specific_process_id target.process.pid target.process.product_specific_process_id
user	about.user.userid observer.user.userid principal.user.user_display_name principal.user.userid principal.user.windows_sid src.user.userid target.user.user_display_name target.user.userid target.user.windows_sid

Utiliser le panneau "Événements"

Utilisez le panneau Événements pour afficher, trier et gérer les événements qui correspondent à votre recherche UDM.

Pour en savoir plus sur les fonctions et les outils compatibles avec le panneau Événements, consultez Utiliser des outils courants pour les tables. Les fonctions prises en charge incluent la gestion des colonnes du tableau affiché dans l'onglet, le téléchargement des résultats de recherche, etc.

Par défaut, après avoir effectué une recherche, le tableau Événements affiche les colonnes clés (appelées champs rapides), par exemple État de l'événement, Code temporel, Type (udm.metadata.event_type), Résumé, Utilisateur (udm.principal.user.userid ou target.user.userid), Nom d'hôte (udm.principal.hostname ou target.hostname). En fonction du champ d'application de votre requête et de la source du journal, le tableau peut également afficher de manière dynamique des champs rapides pertinents tels que Action (udm.security_result.action).

Remarque : Pour les événements associés à des alertes, la colonne État de l'événement affiche un chip Alerte, avec un nombre lorsque plusieurs alertes s'appliquent.

Examiner les détails précis d'un événement unique (corrélation entre l'Observateur d'événements et les journaux bruts)

• Pour examiner les détails d'un événement, cliquez sur la ligne correspondante. La Visionneuse d'événements s'ouvre.

  Pour en savoir plus, consultez Utiliser la visionneuse d'événements pour les résultats UDM et RAW.

Onglet "Croisé" : créez un tableau croisé dynamique.

Vous pouvez utiliser un tableau croisé dynamique pour effectuer des regroupements et des synthèses mathématiques multidimensionnels sur vos résultats de recherche.

Pour ouvrir et configurer un tableau croisé dynamique, procédez comme suit :

1. Effectuer une recherche UDM
2. Dans l'onglet Résultats, cliquez sur le sous-onglet Tableau croisé dynamique. Le panneau Paramètres du tableau croisé dynamique s'ouvre.

3. Sous Grouper par, cliquez sur Ajouter Champ pour sélectionner jusqu'à cinq champs UDM pour le regroupement des lignes. Des options de transformation spéciales s'affichent en fonction du type de champ :

   • Champs de chaîne : option permettant de forcer la mise en minuscules. Vous pouvez afficher les résultats en utilisant la casse par défaut ou en utilisant uniquement des minuscules en sélectionnant Minuscules dans le menu.
   • Champs de nom d'hôte :
     • Domaine enregistré : n'affiche que le nom de domaine enregistré (par exemple, google.com, nytimes.com, youtube.com).
     • Domaine principal de niveau N : spécifiez le niveau du domaine à afficher. Par exemple, si vous utilisez la valeur 1, seul le domaine de premier niveau s'affiche (par exemple, com, gov ou edu). Si vous utilisez la valeur 3, les deux niveaux suivants des noms de domaine s'affichent (par exemple, google.co.uk).
   • Champs d'adresse IP : critère de regroupement par longueur du préfixe CIDR en bits. Vous pouvez spécifier une valeur comprise entre 1 et 32 pour les adresses IPv4. Pour les adresses IPv6, vous pouvez spécifier des valeurs allant jusqu'à 128.
   • Champs de code temporel : option permettant de regrouper les données par résolution temporelle (millisecondes, secondes, minutes, heures, jours).

4. Sous Valeurs, spécifiez une valeur pour votre tableau croisé dynamique à partir de la liste des champs de vos résultats. Vous pouvez spécifier jusqu'à cinq valeurs.

5. Pour chaque champ que vous spécifiez pour Valeurs, vous devez sélectionner l'une des options Synthétiser via suivantes :

   • Avg (moyenne)
   • Nombre
   • Nombre distinct
   • Max
   • Min
   • Somme
   • Stddev (écart-type)

   Les options Synthétiser ne sont pas universellement compatibles avec les champs Grouper par. Par exemple, les options Somme, Moyenne, Écart-type, Min et Max ne peuvent être appliquées qu'aux champs numériques. Si vous tentez d'associer une option Résumer incompatible à un champ Regrouper par, un message d'erreur s'affiche.

   Spécifiez une valeur Nombre d'événements pour renvoyer le nombre d'événements identifiés pour cette recherche et ce tableau croisé dynamique.

6. Sous Trier par, spécifiez un ou plusieurs champs UDM, puis sélectionnez un ou plusieurs tris à l'aide des options Croissant ou Décroissant.

7. Cliquez sur Appliquer lorsque vous êtes prêt. Les résultats s'affichent dans le panneau Pivot.

8. Facultatif : Pour télécharger et enregistrer le contenu du tableau croisé dynamique, consultez Télécharger les résultats de recherche d'un tableau.

Utiliser le panneau "Journaux bruts"

Utilisez le panneau Journaux bruts pour afficher, trier et gérer les journaux correspondant à votre recherche, qui évalue la télémétrie des journaux bruts non analysés. L'objectif principal du diagnostic est de surveiller l'état de l'ingestion et de l'analyse, c'est-à-dire de surveiller le nombre de journaux analysés par rapport au nombre de journaux non analysés par rapport au nombre inconnu (ce qui signifie qu'un ou plusieurs journaux ont été détectés à un moment donné, mais que leur nombre est indéterminé).

Pour en savoir plus sur les fonctions et les outils compatibles avec cet onglet, consultez Utiliser des outils courants pour les tables. Les fonctions prises en charge incluent la gestion des colonnes du tableau affiché dans l'onglet, le téléchargement des résultats de recherche, etc.

Inspecter les détails précis d'un seul journal RAW (corrélation entre la Visionneuse d'événements et le journal RAW)

• Pour inspecter les détails d'un seul journal brut, cliquez sur la ligne correspondante. La Visionneuse d'événements s'ouvre.

  Pour en savoir plus, consultez Utiliser l'observateur d'événements pour les résultats UDM et RAW.

Utiliser le panneau "Statistiques"

Utilisez le panneau Statistiques pour afficher, trier et gérer les statistiques correspondant à votre recherche.

Le panneau Statistiques n'accepte qu'un sélecteur de colonnes qui vous permet d'ajouter ou de supprimer des colonnes.

Pour en savoir plus sur les fonctions et les outils compatibles avec cet onglet, consultez Utiliser des outils courants pour les tables. Les fonctions compatibles incluent le téléchargement des résultats de recherche, entre autres.

Utiliser le panneau "Jointures"

Utilisez le panneau Jointures pour afficher, trier et gérer les éléments qui correspondent à votre recherche.

Pour en savoir plus sur les fonctions et les outils compatibles avec cet onglet, consultez Utiliser des outils courants pour les tables. Les fonctions disponibles incluent la gestion des colonnes du tableau affiché dans l'onglet, le téléchargement des résultats de recherche et plus encore.

Utiliser le panneau "Demandes"

Utilisez le panneau Demandes pour afficher, trier et gérer les demandes qui correspondent à votre recherche.

Pour en savoir plus sur les fonctions et les outils compatibles avec cet onglet, consultez Utiliser des outils courants pour les tables. Les fonctions prises en charge incluent la gestion des colonnes du tableau affiché dans l'onglet, le téléchargement des résultats de recherche, etc.

Utiliser le panneau "Historique des demandes"

Utilisez le panneau Historique des demandes pour afficher, trier et gérer les historiques des demandes qui correspondent à votre recherche.

Pour en savoir plus sur les fonctions et outils compatibles avec cet onglet, consultez Utiliser des outils courants pour les tableaux. Les fonctions disponibles incluent la gestion des colonnes du tableau affiché dans l'onglet, le téléchargement des résultats de recherche et plus encore.

Utiliser les panneaux "Données temporelles" et "Données intemporelles"

Utilisez les panneaux Données temporelles et Données intemporelles pour afficher, trier et gérer les résultats des recherches d'ECG. Le panneau Données temporelles affiche les résultats pour les entités qui ont une période définie, c'est-à-dire qu'elles ont une valeur pour metadata.interval.end_time lors de l'ingestion. Le panneau Données intemporelles affiche les résultats pour les entités qui n'ont pas de période définie, c'est-à-dire qui n'ont pas de valeur pour metadata.interval.end_time.

Important : La base de données ECG stocke séparément les entités temporelles et intemporelles. Lorsque vous effectuez une recherche ECG, Google SecOps crée une union des datastores temporels et intemporels, et renvoie les meilleurs résultats de chacun d'eux, jusqu'au nombre maximal de résultats configuré. Les données des entités temporelles sont triées en fonction du code temporel le plus récent, mais l'ordre des données des entités intemporelles ne peut pas être connu. Il est donc possible que l'interface n'affiche que des entités intemporelles, ou uniquement des entités temporelles, ou un mélange différent de ces deux types d'entités chaque fois que la requête est exécutée.

Utiliser l'Observateur d'événements pour les résultats UDM et RAW

• Pour examiner les détails précis d'un événement ou d'un journal brut, cliquez sur une ligne du tableau Événements ou Journaux bruts. La Visionneuse d'événements s'ouvre.

L'Observateur d'événements comprend les onglets suivants :

• Champs d'événement
• Journal brut
• Alertes : affichées uniquement pour les résultats UDM de la table Événements
• Entités

Utiliser l'onglet "Champs d'événement"

Par défaut, l'onglet Champs d'événement affiche les champs d'événement UDM dans une structure arborescente hiérarchique, intitulée Sélectionné.

Utilisez l'onglet Champs d'événement pour effectuer les opérations suivantes :

• Afficher une définition de champ. Passez le pointeur sur le nom du champ pour afficher sa définition.
• Épinglez un champ pour y accéder rapidement. Dans la liste Sélectionné, sélectionnez un champ, puis cliquez sur Conserver Épingler. Le champ s'affiche alors dans la liste Épinglés. Les champs restent dans la liste Sélectionnés, et leur hiérarchie dans la Liste épinglée est affichée dans une notation délimitée par des points avec le préfixe udm (par exemple, udm.metadata.event_type).
• Ajoutez des colonnes ou copiez plusieurs champs. Cochez la case à côté d'un nœud ou d'un champ, puis sélectionnez Ajouter aux colonnes ou Copier.

• Effectuez les actions suivantes :

  • Filtres : appliquez les filtres suivants aux éléments sélectionnés (check_box) dans la liste Sélectionnés :
    • Champs
      • Afficher les champs non enrichis
      • Afficher les champs enrichis
      • Afficher d'autres champs
      • Afficher les champs extraits
    • Sources de journaux d'enrichissement : les options disponibles dépendent de l'événement.
  • Copier : pour copier les champs et les valeurs UDM sélectionnés dans le presse-papiers du système.
  • Ajouter aux colonnes : ajoutez le champ UDM en tant que colonne.

Chaque champ UDM est associé à une icône indiquant s'il contient des données enrichies ou non. Voici les libellés des icônes :

• U : les champs non enrichis contiennent des valeurs renseignées lors du processus de normalisation à l'aide des données du journal brut d'origine.

• E : les champs enrichis contiennent des valeurs que Google SecOps renseigne pour fournir un contexte supplémentaire sur les artefacts dans un environnement client. Pour en savoir plus, consultez Enrichir les données d'événements et d'entités avec Google SecOps.

  L'affichage de chaque champ enrichi peut montrer toutes les sources associées. Ces informations sont utiles pour la validation et le dépannage, et peuvent être requises à des fins d'audit et de conformité. Vous pouvez également filtrer les champs en fonction de leur source d'enrichissement.

Figure 6. Champs UDM enrichis et non enrichis dans l'onglet Champs d'événement de la visionneuse d'événements, affichant les sources des champs enrichis.

Figure 7. Utilisez le filtre de l'onglet Champs d'événement pour afficher ou masquer des champs en fonction de différents attributs.

Utiliser l'onglet "Journal brut"

L'onglet Journal brut affiche la signature brute d'origine dans l'un des formats suivants :

• Brut
• JSON
• XML
• CSV
• Hex/ASCII

Utiliser l'onglet "Alertes"

L'onglet Alertes affiche les alertes associées à l'événement.

L'onglet Alertes ne s'affiche que pour les résultats UDM de la table Événements.

Utiliser l'onglet "Entités"

L'onglet Entités affiche les entités associées à l'événement.

Cliquez sur une entité pour afficher la boîte de dialogue Contexte de l'entité, qui peut inclure les éléments suivants :

• Nom de l'élément
• Première occurrence
• Dernière occurrence
• Adresses IP
• Adresses MAC
• Nombre d'alertes
• Nombre d'alertes le plus élevé par règle
• Graphique à barres des alertes au fil du temps
• Ouvrir le lien "Alertes et IOC"
• Lien Afficher dans l'onglet "Alertes"

Afficher et gérer les informations dans l'onglet "Alertes et détections"

Utilisez l'onglet Alertes et détections pour :

• Traque des menaces dans toutes les exécutions de règles
• Comparaison des déclencheurs d'alertes exploitables et des précurseurs comportementaux à faible bruit
• Définir le périmètre des incidents dans une vue consolidée

L'onglet Alertes et détections affiche les alertes et les détections qui correspondent à vos critères de recherche actifs. En combinant les alertes et les détections dans un seul onglet, vous pouvez inspecter les alertes de gravité élevée en même temps que les correspondances de règles comportementales sous-jacentes pour découvrir les précurseurs à faible bruit qui n'ont pas franchi le seuil d'alerte de manière indépendante.

Les alertes sont des événements UDM et des données de télémétrie de connecteurs tiers associés à des seuils d'alerte ou à des notifications de gravité élevée. Le nombre d'alertes affiche la télémétrie des journaux UDM qui a déclenché une règle d'alerte (alert_state = "ALERTING"), ainsi que les notifications de haute priorité ingérées à partir de connecteurs de sécurité tiers (tels que les Webhooks CrowdStrike ou SOAR).

Les détections sont toutes les sorties d'exécution de règles avec (ALERTING) et sans (NOT_ALERTING) alerte générées par les règles YARA-L 2.0 dans votre environnement. Cet onglet affiche les résultats d'exécution complets des règles générés par votre moteur de détection YARA-L 2.0 pour les règles déclenchant des alertes et celles qui n'en déclenchent pas. Chaque alerte générée par une règle est également une détection (ALERTING), mais le nombre de détections inclut également tous les hits de règles informatifs, en arrière-plan ou non alertants (NOT_ALERTING).

Le nombre indiqué dans l'en-tête de l'onglet classe les correspondances d'exécution des règles par état d'alerte. Par exemple, si l'en-tête de l'onglet est Alertes (43) et Détection (0), cela signifie qu'il y a 43 correspondances où alerting_rule = true et zéro exécution de règle sans alerte (NOT_ALERTING).

L'onglet Alertes et détections comprend les panneaux suivants :

• Graphique Évolution au fil du temps
• Panneau Agrégations
• Panneau "Détections"

Conseil : Cliquez sur Options d'affichage pour masquer ou afficher le graphique et le panneau Agrégations.

Utiliser le graphique "Tendance au fil du temps"

L'onglet Évolution au fil du temps de l'onglet Alertes et détections inclut un graphique (un histogramme) du volume de détections au fil du temps. La largeur de chaque barre verticale s'ajuste de manière dynamique en fonction de votre fenêtre de recherche globale (par exemple, chaque barre peut représenter 10 minutes pour une fenêtre de recherche de 24 heures).

Le graphique regroupe toutes les correspondances d'exécution de règles au fil du temps sous une seule série agrégée intitulée Détections.

Remarque : L'en-tête de l'onglet affiche les valeurs de décompte et divise les résultats par état d'alerte (par exemple, Alertes (43) et Détections (0)), tandis que le graphique Tendance au fil du temps regroupe toutes les occurrences de détection sous forme de barres Détections.

Le graphique est compatible avec les éléments suivants :

• Ajustement de la plage horaire : faites glisser les curseurs sur la timeline pour réduire instantanément la fenêtre temporelle visible. La grille de résultats et les agrégations sont mises à jour sans réexécuter la requête sur le backend.
• Afficher les agrégations et les détections pour la période d'une seule barre : cliquez sur une barre pour limiter le graphique, l'onglet Agrégations et l'onglet Détections à la période de cette barre. Cette action permet de créer un filtre, qui s'affiche à côté du bouton Ajouter un filtre filter_list. Supprimez le filtre pour afficher à nouveau tous les résultats.
• Pop-up "Détails" : lorsque vous cliquez sur l'une des barres, une boîte de dialogue s'ouvre et affiche l'heure, ainsi que les valeurs pour Détections interrogées et Détections filtrées.

Utiliser le panneau "Aggregations" pour affiner les détections

Le contenu du panneau Agrégations de l'onglet Alertes et détections résume les valeurs des résultats de détection à haute fréquence, que vous pouvez utiliser pour affiner vos résultats de recherche.

Le panneau Agrégations comprend trois listes réductibles : Champs de détection, Champs UDM (qui est une liste de champs UDM correspondants) et Champs d'entité.

Chaque champ affiche le nombre de correspondances, c'est-à-dire le nombre de détections d'alertes qui ont la même valeur pour ce champ. Le contenu des listes est trié par ordre décroissant du nombre de correspondances, puis par ordre alphabétique pour un même nombre de correspondances. Vous pouvez rechercher des champs dans les listes et développer un élément de champ.

Pour épingler un champ en haut de la liste Agrégrations, pointez dessus, puis cliquez sur l'icône Conserver Conserver.

Rechercher les résultats de détection d'alertes dans le panneau "Agrégations"

Vous pouvez rechercher des champs ou des valeurs de champ spécifiques à l'aide du champ de recherche Rechercher du panneau Agrégations. Cela peut vous aider à vous concentrer sur les alertes qui vous intéressent le plus.

Voici les principaux attributs d'alerte permettant de filtrer les alertes dans le panneau Agrégations :

• Cas
• Nom
• Priorité
• Gravité
• État
• Verdict

Filtrer les résultats de détection des alertes dans le panneau "Agrégations"

Pour filtrer les résultats de la détection des alertes avec des agrégations, procédez comme suit :

1. Dans le panneau Agrégations, sélectionnez un champ dans une liste pour afficher la liste des valeurs de ce champ.

2. Sélectionnez une valeur dans cette liste, puis cliquez sur more_vert Plus.

3. Sélectionnez une option de filtrage :

   • Afficher uniquement : le tableau Détections est mis à jour pour n'afficher que les alertes correspondantes, et le filtre = "value" s'affiche à côté du bouton filter_list Ajouter un filtre.
   • Exclure : le tableau Détections est mis à jour avec les alertes correspondantes exclues, et le filtre != "value" s'affiche à côté du bouton Ajouter un filtre filter_list.
   • Supérieur à (pour les champs d'entiers uniquement) : le tableau Détections est mis à jour pour afficher les alertes dont la valeur est supérieure à celle-ci, et le filtre > "value" s'affiche à côté du bouton Ajouter un filtre filter_list.
   • Supérieur ou égal à (pour les champs entiers uniquement) : le tableau Détections est mis à jour pour afficher les alertes dont la valeur est supérieure ou égale à celle indiquée. Le filtre >= "value" s'affiche à côté du bouton filter_list Ajouter un filtre.
   • Inférieur à (pour les champs d'entiers uniquement) : le tableau Détections est mis à jour pour afficher les alertes dont la valeur est inférieure à celle-ci, et le filtre < "value" s'affiche à côté du bouton filter_list Ajouter un filtre.
   • Inférieur ou égal à (pour les champs entiers uniquement) : le tableau Détections est mis à jour pour afficher les alertes dont la valeur est inférieure ou égale à celle indiquée. Le filtre <= "value" s'affiche à côté du bouton filter_list Ajouter un filtre.
   • Copier : copie la paire champ-valeur dans votre presse-papiers.

• Pour supprimer un filtre et mettre à jour les résultats de détection des alertes, supprimez le filtre affiché à côté du bouton filter_list Ajouter un filtre.

Utiliser le panneau "Détections"

Utilisez le panneau Détections pour afficher, trier et gérer les éléments correspondant à votre recherche.

Pour en savoir plus sur les fonctions et les outils compatibles avec cet onglet, consultez Utiliser des outils courants pour les tables. Les fonctions disponibles incluent la gestion des colonnes du tableau affiché dans l'onglet, le téléchargement des résultats de recherche et plus encore.

Inspecter les détails précis d'une seule alerte (visionneuse d'alertes)

• Pour inspecter les détails d'une seule alerte, cliquez sur une ligne du tableau Détections. La visionneuse d'alertes s'ouvre.

Le lecteur d'alertes comprend les onglets suivants :

• Champs de détection
• Détails
• Variables

• Entités
  
  

• Pour accéder à une autre page de la console Google SecOps contenant des informations sur l'alerte, cliquez sur Afficher les détails.

Utiliser l'onglet "Champs de détection"

Par défaut, l'onglet Champs de détection affiche les champs de détection dans une structure arborescente hiérarchique, intitulée Sélectionné.

Utilisez l'onglet Champs de détection pour effectuer les opérations suivantes :

• Afficher une définition de champ. Pointez sur le nom du champ pour afficher sa définition.
• Épinglez un champ pour y accéder rapidement. Dans la liste Sélectionné, sélectionnez un champ, puis cliquez sur Conserver Épingler. Le champ s'affiche alors dans la liste Épinglé. Les champs restent dans la liste Sélectionnés, et leur hiérarchie dans la liste des champs épinglés est affichée dans une notation délimitée par des points avec le préfixe collection (par exemple, collection.created_time).
• Ajoutez des colonnes ou copiez plusieurs champs. Cochez la case à côté d'un nœud ou d'un champ, puis sélectionnez Ajouter aux colonnes ou Copier.

• Effectuez les actions suivantes :

  • Appliquez des filtres à la liste Sélectionnés.
  • Ajouter aux colonnes : ajoutez le champ en tant que colonne.
  • Copier : pour copier les champs et les valeurs sélectionnés dans le presse-papiers du système.

Utiliser l'onglet "Détails"

L'onglet Détails affiche les détails de l'alerte. L'ensemble des champs de détails varie en fonction de l'alerte spécifique.

Exemples de champs d'informations :

• Nom (toujours "Alerte")
• Type
• Gravité
• Score de risque
• État
• Priorité
• Détectée
• Période de détection
• Création
• Règle
• Ensemble de règles
• Description
• Tags

Utiliser l'onglet "Variables"

L'onglet Variables affiche le champ, le type et la valeur de chaque variable associée à l'alerte.

Utiliser l'onglet "Entités"

L'onglet Entités ne s'affiche que lorsqu'une entité est associée à l'alerte.

L'onglet Entités affiche les entités associées à l'alerte.

Cliquez sur une entité pour afficher la boîte de dialogue Contexte de l'entité, qui peut inclure les éléments suivants :

• Nom de l'élément
• Première occurrence
• Dernière occurrence
• Adresses IP
• Adresses MAC
• Nombre d'alertes
• Nombre d'alertes le plus élevé par règle
• Graphique à barres des alertes au fil du temps
• Ouvrir le lien "Alertes et IOC"
• Lien Afficher dans l'onglet "Alertes"

Afficher et gérer les informations dans l'onglet "Aperçu"

Utilisez l'onglet Aperçu pour effectuer les actions suivantes :

• Vérifiez l'historique de l'entité (Première détection, Dernière détection, Adresses MAC).
• Vérifiez si les indicateurs observés correspondent à des alertes ou des cas d'opérations de sécurité actifs.

L'onglet Aperçu affiche le graphique de contexte d'entité (ECG) consolidé, les détails de l'élément ou de l'utilisateur, et l'aperçu de l'investigation pour les indicateurs de compromission (IOC) ou les entités correspondant à votre fenêtre de recherche active. Les informations présentées varient en fonction du type d'informations.

L'onglet Aperçu affiche les informations sur l'entité dans l'un des types d'informations prédéfinis suivants :

• Détails de l'asset
• Informations sur le domaine
• Détails du fichier
• Détails de l'adresse IP
• Informations utilisateur

Afficher les détails de l'élément dans l'onglet "Aperçu"

Lorsque la requête inclut une condition qui renvoie un asset spécifique (par exemple, principal.hostname="laptop-will" ou principal.ip="10.0.0.76"), l'onglet Aperçu affiche la vue de l'asset avec des informations dans les panneaux suivants :

• Résumé de la recherche : affiche les informations suivantes :
  • Détails sur l'entité, y compris l'adresse IP et l'adresse MAC associées à l'élément au cours de la période de recherche. L'adresse IP et l'adresse MAC peuvent également être utilisées pour identifier une entité. Vous pouvez cliquer dessus pour afficher des informations supplémentaires dans l'outil de visualisation des entités. Il affiche également la première fois que l'élément a été vu dans votre entreprise et la dernière fois (la plus récente). Vous pouvez cliquer sur l'un ou l'autre des codes temporels (premier ou dernier) pour effectuer une nouvelle recherche à cette heure.
  • Détails sur les alertes, y compris un graphique indiquant le nombre d'alertes impliquant l'entité au cours de la période de recherche. Le panneau liste également un sous-ensemble de règles avec le plus grand nombre d'alertes.
  • Cliquez sur Ouvrir les alertes et les IOC pour afficher toutes les alertes générées au cours de la même période de recherche.
  • Cliquez sur Afficher dans l'onglet "Alertes" pour accéder à l'onglet Alertes et détections de cette page et lancer une nouvelle recherche sur l'entité sélectionnée.
  • Cliquez sur l'une des barres du graphique pour accéder à l'onglet Alertes et détections de cette page et lancer une nouvelle recherche sur l'entité sélectionnée, en utilisant la période de la barre sur laquelle vous avez cliqué.
  • Cliquez sur le lien Afficher plus pour ouvrir la vue Champs d'entité et afficher tous les champs d'entité associés à l'élément. Pour copier un champ d'entité dans le presse-papiers, cochez la case à côté du champ d'entité, cliquez sur Afficher les actions, puis sur Copier l'entité. Cochez la case en haut de la page pour sélectionner toutes les entités.
• IOC pertinents : affiche les IOC associés à l'élément. Les IOC auxquels est attribué un niveau de gravité plus élevé s'affichent en premier. Cliquez sur le nom de l'IOC pour ouvrir l'outil de visualisation d'entités à droite.
• Entités associées : affiche les autres entités auxquelles cet élément est associé, comme les utilisateurs qui se sont connectés à l'élément. Le panneau affiche le type d'entité, la date de sa première occurrence dans l'environnement et la date de sa dernière occurrence (la plus récente). Il affiche également tous les espaces de noms associés à un asset. Cliquez sur une entité pour ouvrir le panneau Contexte de l'entité. Cliquez sur Afficher toutes les périodes pour afficher les entités associées sur l'ensemble de la période disponible, et non sur la plage spécifiée dans la recherche UDM.
• Contexte de l'entité : affiche des détails sur l'entité que vous avez sélectionnée dans le panneau Entités associées. Ce panneau affiche différentes informations selon le type d'entité que vous avez sélectionné dans le panneau Entités associées (par exemple, un utilisateur ou un domaine).

Afficher les détails du domaine dans l'onglet "Aperçu"

Lorsque la requête inclut une condition qui spécifie un domaine particulier, par exemple target.hostname="example.com", l'onglet Vue d'ensemble affiche les détails du domaine avec des informations dans les panneaux suivants :

• Résumé de la recherche : affiche les informations suivantes :
  • Des informations sur le domaine, y compris les informations WHOIS associées au domaine enregistré, la première fois qu'il a été détecté dans votre entreprise et la dernière fois (la plus récente) qu'il a été détecté. Cliquez sur Contexte VT pour afficher les informations sur le domaine fournies par VirusTotal.
  • Détails sur les alertes, y compris un graphique indiquant le nombre d'alertes impliquant l'entité au cours de la période de recherche. Le panneau liste également un sous-ensemble de règles avec le plus grand nombre d'alertes.
  • Cliquez sur Ouvrir les alertes et les IOC pour afficher toutes les alertes générées au cours de la même période de recherche.
  • Cliquez sur Afficher dans l'onglet "Alertes" pour passer à l'onglet Alertes et détections sur cette page et lancer une nouvelle recherche sur l'entité sélectionnée.
  • Cliquez sur l'une des barres du graphique pour passer à l'onglet Alertes et détections de cette page et lancer une nouvelle recherche sur l'entité sélectionnée, en utilisant la période de la barre sur laquelle vous avez cliqué.
  • Cliquez sur le lien Afficher plus pour ouvrir la vue Champs d'entité et afficher tous les champs d'entité associés au domaine. Pour copier un champ d'entité dans le presse-papiers, cochez la case à côté du champ d'entité, cliquez sur Afficher les actions, puis sur Copier l'entité. Cochez la case en haut pour sélectionner toutes les entités.
• Adresses IP résolues : affiche toutes les adresses IP résolues qui ont été observées dans votre entreprise pour le nom de domaine complet (FQDN). Par exemple, si vous recherchez target.hostname="test.altostrat.com", les résultats de recherche peuvent afficher deux adresses IP résolues (198.51.100.81 et 203.0.113.81).
• Sous-domaines et domaines frères : affiche tous les sous-domaines associés qui ont été vus dans votre entreprise pour un nom de domaine complet donné. De nombreux pirates informatiques utilisent le même domaine et sous-domaine pour leurs attaques. Par exemple, si vous recherchez target.hostname="sandbox.altostrat.com", ce panneau affiche deux sous-domaines, test.sandbox.altostrat.com et staging.sandbox.altostrat.com.
• Prévalence des éléments : affiche le nombre d'éléments de votre entreprise qui se sont connectés au domaine pendant toute la période des données stockées dans votre compte Google Security Operations. Chaque barre du graphique représente le nombre d'éléments uniques de votre entreprise qui se sont connectés au domaine au cours d'une journée UTC. Pointez sur une barre pour afficher les entités associées au jour UTC représenté par la barre. Cliquez sur le nom de l'entité pour afficher son récapitulatif et son aperçu dans le panneau contextuel de l'entité qui s'affiche à droite. Cliquez sur Afficher les événements pour afficher les événements liés à l'entité sélectionnée dans l'onglet "Événements de recherche".
• Entités associées : affiche les autres entités auxquelles ce domaine est associé, comme les composants ayant contacté ce domaine. La liste inclut le type d'entité, la date de sa première occurrence dans votre entreprise et la date de sa dernière occurrence (la plus récente). Cliquez sur une entité pour ouvrir le panneau Contexte de l'entité.
• Contexte de l'entité : affiche des détails sur l'entité que vous avez sélectionnée dans le panneau Entités associées. Ce panneau affiche différentes informations en fonction du type d'entité que vous avez sélectionné dans le panneau Entités associées (par exemple, une adresse IP ou un domaine).

Afficher les détails du fichier

Lorsque la requête inclut une condition qui renvoie un seul fichier, par exemple principal.process.file.md5="a00000a75f2a35130aa7a7aaa09aaa7a", l'onglet Aperçu affiche les détails du fichier avec des informations dans les panneaux suivants :

• Résumé de la recherche : affiche les informations suivantes :
  • Détails sur le fichier, y compris les valeurs de hachage, la taille du fichier, la première fois qu'il a été détecté dans votre entreprise et la dernière fois (la plus récente) qu'il a été détecté. Cliquez sur Contexte VT pour afficher des informations sur le fichier provenant de VirusTotal.
  • Des informations sur les alertes, y compris un graphique indiquant le nombre d'alertes impliquant l'entité au cours de la période de recherche. Le panneau liste également un sous-ensemble de règles avec le plus grand nombre d'alertes.
  • Cliquez sur Ouvrir les alertes et les IOC pour afficher toutes les alertes générées au cours de la même période de recherche.
  • Cliquez sur Afficher dans l'onglet "Alertes" pour passer à l'onglet Alertes et détections sur cette page et lancer une nouvelle recherche sur l'entité sélectionnée.
  • Cliquez sur l'une des barres du graphique pour passer à l'onglet Alertes et détections de cette page et lancer une nouvelle recherche sur l'entité sélectionnée, en utilisant la période de la barre sur laquelle vous avez cliqué.
  • Cliquez sur le lien Afficher plus pour ouvrir la vue Champs d'entité et afficher tous les champs d'entité associés au fichier. Pour copier un champ d'entité dans le presse-papiers, cochez la case à côté du champ d'entité, cliquez sur Afficher les actions, puis sur Copier l'entité. Cochez la case en haut de la page pour sélectionner toutes les entités.
• IOC pertinents : affiche les IOC associés au fichier. Les IOC auxquels une gravité plus élevée est attribuée sont affichés en premier. Cliquez sur le nom de l'IOC pour ouvrir l'outil de visualisation des entités à droite.
• Prévalence des composants : indique le nombre de composants de votre entreprise associés au fichier pour toute la période de données stockée dans votre compte Google SecOps.
• Entités associées : affiche les autres entités auxquelles ce fichier est associé, comme un composant sur lequel ce fichier a été exécuté ou les utilisateurs qui ont accédé au fichier. La liste inclut le type d'entité, la date de sa première occurrence dans votre entreprise et la date de sa dernière occurrence. Cliquez sur une entité pour ouvrir le panneau Contexte de l'entité.
• Propriétés et métadonnées VirusTotal : affiche des informations sur le fichier provenant de la base de données VirusTotal. Cliquez sur Afficher plus pour ouvrir une boîte de dialogue VirusTotal et afficher des informations supplémentaires sur le fichier.
• Entités associées : affiche différentes informations en fonction du type d'entité que vous avez sélectionné dans le panneau Entités associées (par exemple, utilisateur ou élément).
• Contexte de l'entité : affiche des informations sur l'entité que vous avez sélectionnée dans le panneau Entités associées. Ce panneau affiche différentes informations en fonction du type d'entité que vous avez sélectionné dans le panneau Entités associées (par exemple, un utilisateur ou un élément).

Afficher les détails de l'adresse IP dans l'onglet "Aperçu"

Lorsque la requête inclut une condition qui renvoie une adresse IP externe spécifique, par exemple target.ip="203.0.113.254", l'onglet Présentation affiche les détails de l'adresse IP avec des informations dans les panneaux suivants :

• Résumé de la recherche : affiche les informations suivantes :
  • Informations sur l'adresse IP, y compris la première et la dernière fois qu'elle a été détectée dans votre entreprise. Cliquez sur Contexte VT pour afficher les informations disponibles sur cette adresse IP à partir de VirusTotal.
  • Des informations sur les alertes, y compris un graphique indiquant le nombre d'alertes impliquant l'entité au cours de la période de recherche. Le panneau liste également un sous-ensemble de règles avec le plus grand nombre d'alertes.
  • Cliquez sur Ouvrir les alertes et les IOC pour afficher toutes les alertes générées au cours de la même période de recherche.
  • Cliquez sur Afficher dans l'onglet "Alertes" pour passer à l'onglet Alertes et détections sur cette page et lancer une nouvelle recherche sur l'entité sélectionnée.
  • Cliquez sur l'une des barres du graphique pour accéder à l'onglet Alertes et détections de cette page et lancer une nouvelle recherche sur l'entité sélectionnée, en utilisant la période de la barre sur laquelle vous avez cliqué.
  • Cliquez sur le lien Afficher plus pour ouvrir la vue Champs d'entité et afficher tous les champs d'entité associés à l'adresse IP. Pour copier un champ d'entité dans le presse-papiers, cochez la case à côté du champ d'entité, cliquez sur Afficher les actions, puis sur Copier l'entité. Cochez la case en haut pour sélectionner toutes les entités.
• IOC pertinents : affiche les IOC associés à l'adresse IP. Les IOC auxquels est attribué un niveau de gravité plus élevé s'affichent en premier. Cliquez sur le nom de l'IOC pour ouvrir l'outil de visualisation des entités à droite.
• Prévalence des éléments : indique le nombre d'éléments de votre entreprise qui se sont connectés à l'adresse IP au cours de la période spécifiée dans la recherche UDM.
• Entités associées : affiche les autres entités auxquelles cette adresse IP est associée, telles que les domaines auxquels l'adresse IP est enregistrée. La liste inclut le type d'entité, la date de sa première apparition dans votre entreprise et la date de sa dernière apparition. Cliquez sur une entité pour ouvrir le panneau Contexte de l'entité.
• Contexte de l'entité : affiche des informations sur l'entité que vous avez sélectionnée dans le panneau Entités associées. Ce panneau affiche différentes informations en fonction du type d'entité que vous avez sélectionné dans le panneau Entités associées (par exemple, domaine ou élément). Si le lien s'affiche, cliquez sur Contexte VT pour afficher les informations sur l'entité provenant de VirusTotal.

Afficher les détails de l'utilisateur dans l'onglet "Aperçu"

Lorsque la requête inclut une condition qui renvoie un utilisateur spécifique, par exemple principal.user.userid="alice", l'onglet Vue d'ensemble affiche les détails de l'utilisateur avec des informations dans les panneaux suivants :

• Résumé de la recherche : affiche les informations suivantes :
  • Détails sur l'entité, y compris le nom complet, la date et l'heure de la première et de la dernière apparition dans votre entreprise, le titre et l'adresse e-mail.
  • Des informations sur les alertes, y compris un graphique indiquant le nombre d'alertes impliquant l'entité au cours de la période de recherche. Le panneau liste également un sous-ensemble de règles avec le plus grand nombre d'alertes.
  • Cliquez sur Ouvrir les alertes et les IOC pour afficher toutes les alertes générées au cours de la même période de recherche.
  • Cliquez sur Afficher dans l'onglet "Alertes" pour passer à l'onglet Alertes et détections sur cette page et lancer une nouvelle recherche sur l'entité sélectionnée.
  • Cliquez sur l'une des barres du graphique pour accéder à l'onglet Alertes et détections de cette page et lancer une nouvelle recherche sur l'entité sélectionnée, en utilisant la période de la barre sur laquelle vous avez cliqué.
  • Cliquez sur le lien Afficher plus pour ouvrir la vue Champs d'entité et afficher tous les champs d'entité associés à l'utilisateur. Pour copier un champ d'entité dans le presse-papiers, cochez la case à côté du champ d'entité, cliquez sur Afficher les actions, puis sur Copier l'entité. Cochez la case en haut pour sélectionner toutes les entités.
• Entités associées : affiche les entités auxquelles cet utilisateur est associé, telles que les domaines contactés par l'utilisateur ou les éléments auxquels il a accédé. La liste inclut le type d'entité, la date de sa première occurrence dans votre entreprise et la date de sa dernière occurrence (la plus récente). Cliquez sur une entité pour ouvrir le panneau Contexte de l'entité.
• Contexte de l'entité : affiche des détails sur l'entité que vous sélectionnez dans le panneau Entités associées. Les informations de ce panneau varient en fonction du type d'entité (par exemple, un composant ou un domaine).

Afficher et gérer les informations dans l'onglet "Visualiser"

Utilisez l'onglet Visualiser pour transformer les données de vos résultats de recherche STATS en graphique, en diagramme ou en tableau.

Utiliser des outils courants pour les tableaux

Sur la page Recherche SIEM, la plupart des panneaux contenant un seul tableau acceptent les mêmes fonctions et outils courants.

Cette section décrit les fonctions et outils courants suivants :

• Champ de recherche. Utilisez le champ de recherche pour trouver les résultats correspondants dans le tableau adjacent.
• Gérer les colonnes des tableaux et partager des ensembles de colonnes (gestionnaire de colonnes)
•  Bouton Retour à la ligne automatique – Supprimer le retour à la ligne automatique. Il est utile de renvoyer le texte à la ligne pour afficher l'intégralité des chaînes longues dans une colonne.
• Télécharger les résultats de recherche à partir d'un tableau
• L'outil Lignes par page se trouve en bas du tableau. Vous pouvez utiliser cet outil pour améliorer la stabilité et les performances du navigateur lors du chargement d'un grand nombre d'enregistrements de résultats (lignes). Google SecOps fournit des résultats de recherche paginés. Utilisez la liste Lignes par page du tableau Événements pour sélectionner le nombre de lignes à afficher par page (de 10 à 1 000 événements).

Gérer les colonnes des tableaux et partager des ensembles de colonnes (gestionnaire de colonnes)

Pour utiliser une vue cohérente lors de l'analyse des données d'événement, vous pouvez créer, enregistrer et partager des ensembles de colonnes personnalisés pour les tableaux suivants sur la page Recherche SIEM :

• Dans le panneau Résultats, pour les tableaux suivants : Événements, Journaux bruts, Jointures
• Dans l'onglet Alertes et détections, pour le tableau Détections.

Pour utiliser cette fonctionnalité, votre compte utilisateur ou votre rôle Identity and Access Management doit disposer des cinq autorisations suivantes :

• chronicle.googleapis.com/savedColumnSets.create
• chronicle.googleapis.com/savedColumnSets.update
• chronicle.googleapis.com/savedColumnSets.delete
• chronicle.googleapis.com/savedColumnSets.list
• chronicle.googleapis.com/savedColumnSets.get

Remarque : L'onglet Statistiques n'est compatible qu'avec un sélecteur de colonnes , qui vous permet uniquement d'ajouter ou de supprimer des colonnes. L'onglet Statistiques n'est pas compatible avec la fonctionnalité Gestionnaire de colonnes.

Créer un ensemble de colonnes

La procédure de création d'un ensemble de colonnes diffère légèrement selon le tableau que vous utilisez.

Pour créer un ensemble de colonnes pour la table Événements, Journaux bruts ou Jointures, procédez comme suit :

1. Cliquez sur Colonnes pour ouvrir le gestionnaire de colonnes.
2. Cliquez sur l'icône filter_alt Filtrer pour indiquer si vous souhaitez afficher les colonnes non applicables.
3. Cliquez sur le bouton Afficher la sélection pour n'afficher que les colonnes sélectionnées dans l'onglet Colonnes d'événements.
4. Dans l'onglet Colonnes d'événements, ajoutez ou supprimez des colonnes pour votre ensemble de colonnes. Vous pouvez parcourir ou rechercher des champs dans des sections réductibles (qui varient en fonction du type de résultat de recherche). Par exemple, Champs rapides (les champs les plus courants par type de données), Champs groupés, Tous les champs d'événement et Tous les champs d'entité. Cochez ou décochez les cases pour afficher ou masquer des colonnes.
5. Organisez les colonnes, puis cliquez sur Enregistrer. La boîte de dialogue Enregistrer l'ensemble de colonnes s'ouvre.
6. Sélectionnez l'une des options suivantes :
   • Enregistrer : saisissez un nouveau nom pour votre ensemble de colonnes.
   • Remplacer : si vous avez modifié un ensemble précédemment enregistré, vous pouvez écraser l'ensemble existant avec vos modifications.
7. Cliquez sur Enregistrer. L'ensemble de colonnes est listé dans l'onglet Ensembles de colonnes.

Pour créer un ensemble de colonnes pour la table Detections, procédez comme suit :

1. Cliquez sur Colonnes pour ouvrir le Gestionnaire de colonnes.
2. Cliquez sur l'icône filter_alt Filtrer pour indiquer si les colonnes non applicables doivent être affichées.

3. Dans la liste Type de tableau, sélectionnez le type de tableau pour lequel vous souhaitez créer un ensemble de colonnes :

   • Détections
   • Événements
   • Entités (afficher les colonnes en développant les lignes de la table)

   Les modifications apportées à un type de tableau spécifique ne s'appliquent qu'aux tableaux et sous-tableaux de ce type.

4. Cliquez sur le bouton Afficher la sélection pour n'afficher que les colonnes sélectionnées dans l'onglet correspondant (Colonnes des détections, Colonnes des événements ou Colonnes des entités).

5. Dans l'onglet correspondant, ajoutez ou supprimez des colonnes pour votre ensemble de colonnes. Vous pouvez parcourir ou rechercher des champs dans des sections réductibles (qui varient en fonction du type de résultat de recherche). Cochez ou décochez les cases pour afficher ou masquer des colonnes.

6. Organisez les colonnes, puis cliquez sur Enregistrer. La boîte de dialogue Enregistrer l'ensemble de colonnes s'ouvre.

7. Sélectionnez l'une des options suivantes :

   • Enregistrer : saisissez un nouveau nom pour votre ensemble de colonnes.
   • Remplacer : si vous avez modifié un ensemble précédemment enregistré, vous pouvez écraser l'ensemble existant avec vos modifications.

8. Cliquez sur Enregistrer. L'ensemble de colonnes est listé dans l'onglet Ensembles de colonnes.

Partager un ensemble de colonnes

Pour partager un ensemble de colonnes avec tous les autres utilisateurs de votre locataire Google SecOps :

1. Cliquez sur Colonnes pour ouvrir le Gestionnaire de colonnes.
2. Dans l'onglet Colonnes d'événements, ajoutez ou supprimez des colonnes de votre ensemble de colonnes. Vous pouvez parcourir ou rechercher des champs dans des sections réductibles (qui varient en fonction du type de résultat de recherche). Par exemple, Champs rapides (les champs les plus courants par type de données), Champs groupés, Tous les champs d'événement et Tous les champs d'entité. Cochez ou décochez les cases pour afficher ou masquer des colonnes.
3. Organisez les colonnes, puis cliquez sur Partager. La boîte de dialogue Partager l'ensemble de colonnes s'ouvre.
4. Sélectionnez l'une des options suivantes :
   • Partager le nouvel ensemble : saisissez un nouveau nom pour l'ensemble de colonnes à partager.
   • Partager un ensemble existant : sélectionnez un ensemble précédemment enregistré dans la liste.
5. Cliquez sur Partager. L'ensemble de colonnes est listé dans l'onglet Ensembles de colonnes avec le badge PARTAGÉ.

Charger un ensemble de colonnes enregistré

Pour charger un ensemble de colonnes enregistré :

1. Cliquez sur Colonnes pour ouvrir le gestionnaire de colonnes.
2. Sélectionnez l'onglet Ensembles de colonnes.
3. Sélectionnez l'ensemble de colonnes à charger, puis cliquez sur Appliquer.

Supprimer un ensemble de colonnes enregistré

Pour supprimer un ensemble de colonnes enregistré, procédez comme suit :

1. Cliquez sur Colonnes pour ouvrir le gestionnaire de colonnes.
2. Sélectionnez l'onglet Ensembles de colonnes.
3. Sélectionnez l'ensemble de colonnes, puis cliquez sur Plus > Supprimer.

Télécharger les résultats de recherche d'un tableau

Vous pouvez télécharger et enregistrer un fichier CSV contenant le contenu d'un tableau affiché sur la page Recherche SIEM. Pour le tableau Événements ou un tableau croisé dynamique, vous pouvez également regrouper les journaux bruts d'origine, ce qui vous permet d'établir une corrélation précise entre les enregistrements UDM analysés et leur télémétrie source. Cette fonctionnalité est conçue pour les équipes qui ont besoin d'un traitement d'analyse externe, de pistes d'audit pour la conformité (où vous devez préserver la relation entre les données normalisées et l'ingestion d'origine) ou d'une corrélation externe.

Pour télécharger les résultats de recherche (jusqu'au nombre maximal de résultats de recherche spécifié) à partir du tableau Événements :

1. Facultatif : utilisez le gestionnaire de colonnes pour spécifier les champs UDM à inclure dans le fichier CSV. La colonne Journal brut est ajoutée en fonction de votre sélection.

2. Cliquez sur Télécharger en haut du tableau, puis sélectionnez l'une des options suivantes :

   • Télécharger au format CSV : télécharge les événements correspondants (et en fonction du nombre exact d'événements spécifiés affiché).
   • Télécharger au format CSV (avec les journaux bruts) : télécharge les événements correspondants et ajoute les chaînes de journaux non analysées d'origine sous la forme d'une colonne dédiée à côté de chaque enregistrement UDM normalisé (et en fonction du nombre exact d'événements spécifiés affichés).

3. Enregistrez le fichier.

Pour télécharger les résultats de recherche (jusqu'au nombre maximal de résultats de recherche spécifié) à partir des tableaux de l'onglet Résultat, à l'exception du panneau Événements ou Tableau croisé dynamique :

1. Cliquez sur Télécharger en haut du tableau, puis sélectionnez Télécharger au format CSV. Cela télécharge les résultats correspondants (et selon le nombre exact d'événements spécifiés affiché).
2. Enregistrez le fichier.

Pour télécharger les résultats de recherche (jusqu'au nombre maximal de résultats de recherche spécifié) à partir du tableau Détections :

1. Cliquez sur Télécharger en haut du tableau, puis sélectionnez Télécharger au format CSV. Les résultats correspondants sont alors téléchargés (selon le nombre exact d'événements spécifiés qui s'affiche).
2. Enregistrez le fichier.

Champs acceptés lors de l'enregistrement d'un fichier CSV

Vous pouvez télécharger les champs suivants dans un fichier CSV depuis la plate-forme :

• user
• hostname
• process name
• timestamp
• raw log : valide uniquement lorsque les journaux bruts sont activés pour le client
• Tous les champs commençant par udm.additional

Types de champs valides lors de l'enregistrement d'un fichier CSV

Vous pouvez télécharger les types de champs suivants dans un fichier CSV :

• double
• float
• int32
• uint32
• int64
• uint64
• bool
• string
• enum
• bytes
• google.protobuf.Timestamp
• google.protobuf.Duration

Champs non compatibles lors de l'enregistrement d'un fichier CSV

Les champs répondant à l'un des critères suivants ne peuvent pas être téléchargés au format CSV :

• Type de champ : types de données définis en tant que message ou groupe dans le fichier proto UDM.
• Profondeur des champs : champs imbriqués sur plus de 10 niveaux.

• Champs spécifiques de l'UI : les champs suivants affichés dans l'UI ne sont pas compatibles avec le téléchargement direct :

  • Champs d'événement :

    • Statut de l'événement
    • Résumé de l'événement

    • Type d'événement

      Remarque : Pour télécharger le type d'événement, sélectionnez le champ metadata.event_type dans le Gestionnaire de colonnes.

  • Graphique contextuel des entités :

    • Première occurrence
    • Dernière occurrence
    • Horodatage

  • Recherche unifiée :

    • Code d'instance

Limites et quotas

Google SecOps applique des limites aux requêtes de recherche pour assurer la stabilité de la plate-forme et des performances cohérentes dans les interfaces programmatiques et Web. Ces limites s'appliquent aux API Backstory et Chronicle.

Quotas de recherche et d'API

Les limites suivantes s'appliquent au nombre de requêtes de recherche et d'opérations simultanées par locataire :

• Requêtes par heure (RPH) : limite de 1 000 RPH pour l'interface de la console Web ; limite de 2 000 RPH pour l'accès programmatique à l'API.

• Requêtes simples (portant sur une période de moins de 24 heures, une seule source, sans statistiques) : limite de simultanéité maximale de 180 requêtes simultanées par locataire.

  Si votre pool de requêtes simples simultanées est épuisé, vos opérations seront automatiquement transférées vers votre quota de requêtes complexes disponible.

• Requêtes complexes (couvrant plus de 24 heures, multisources ou incluant des statistiques) : limite de simultanéité maximale de 180 requêtes simultanées par locataire.

• Limite de requêtes pour les champs UDM : une requête unique ne peut référencer qu'un maximum de 100 champs UDM dans le prompt.

Erreurs de quota

Lorsqu'une limite est atteinte, l'interface Web affiche une notification d'erreur de quota persistante. Pour l'accès programmatique, les appels d'API (tels que instances.udmSearch) renvoient une erreur d'état HTTP 429 RESOURCE_EXHAUSTED contenant un message google.rpc.QuotaFailure qui détaille la limite spécifique que vous avez dépassée.

Limites de l'ensemble de résultats et d'affichage

Utilisez Paramètres de recherche  > Nombre maximal de résultats à renvoyer pour ajuster la limite du backend (de 1 à 1 000 000, 30 000 par défaut).

Pour assurer la stabilité cohérente de la plate-forme et des temps de réponse rapides dans les interfaces Web et d'API, Google SecOps applique les limites suivantes :

Rechercher un type ou une source de données	Nombre maximal de résultats renvoyés	Comportement d'affichage de la console Web
Recherche d'événements UDM	1 000 000 d'enregistrements	Directement dans le panneau Événements de l'onglet Résultats. Affiche les derniers enregistrements sur des lignes paginées (de 10 à 1 000 par page).
Tables de données et jointures	1 000 000 d'enregistrements	Les lignes corrélées s'affichent dans le panneau Événements de l'onglet Résultats en fonction de la configuration du Gestionnaire de colonnes.
Cas et historique des cas	1 000 000 d'enregistrements	Ils s'affichent directement dans les panneaux Cas et Historique des cas de l'onglet Résultats. Affiché dans le contexte Vue d'ensemble ou à l'aide de requêtes Rechercher des demandes.
Statistiques	100 000 enregistrements (UI et API d'opération de longue durée uniquement)	Ils s'affichent directement dans le panneau Statistiques de l'onglet Résultats. Les graphiques affichent les valeurs les plus élevées pour une meilleure lisibilité. Un avertissement s'affiche lorsque les limites visuelles sont dépassées.
Agrégations de tableaux croisés dynamiques (Résultats > Tableau croisé dynamique)	100 000 enregistrements	Les graphiques affichent les valeurs les plus élevées pour une meilleure lisibilité et un avertissement s'affiche lorsque les limites visuelles sont dépassées.
Détections de règles	100 000 enregistrements	Elles s'affichent directement dans l'onglet combiné Alertes et détections.
Graphique de contexte d'entité (ECG)	1 000 000 d'enregistrements	Affichées dans les panneaux Données temporelles et Données intemporelles de l'onglet Résultats. Le tableau du panneau Données temporelles affiche les entités pour lesquelles une période est définie. Le tableau de l'onglet Données intemporelles affiche les entités pour lesquelles aucune période n'est définie. Il est possible que l'interface n'affiche que des entités intemporelles, que des entités temporelles ou une combinaison différente de ces deux types d'entités à chaque exécution de la requête. Pour en savoir plus, consultez Utiliser les panneaux "Données temporelles" et "Données intemporelles".

Optimiser et affiner vos résultats de recherche

Cette section décrit les limites et les attentes en termes de performances, et fournit des solutions en libre-service pour les problèmes courants liés à la page Recherche SIEM dans Google Security Operations.

Optimisation des performances et bonnes pratiques

Pour optimiser la vitesse des requêtes et minimiser les risques de délai d'expiration :

• Réduisez d'abord la période : le temps est le filtre le plus efficace. Interroger la fenêtre exacte de deux heures d'un incident est exponentiellement plus rapide que de rechercher une fenêtre de 30 jours.
• Interrogez des champs UDM exacts au lieu d'alias groupés : bien que les champs groupés (ip = "1.2.3.4") soient pratiques, ils obligent le moteur à vérifier plus de 15 champs sous-jacents (principal.ip, target.ip, observer.ip). Si vous savez qu'une adresse IP appartient au serveur de destination, interrogez directement target.ip = "1.2.3.4".
• Évitez les caractères génériques en début d'expression régulière : les requêtes commençant par un caractère générique (principal.hostname = /.*server-.*/) empêchent les recherches d'index et forcent les analyses complètes de tables. Ancrez votre expression régulière chaque fois que possible (principal.hostname = /^prod-server-.*/).
• Exploitez les métadonnées indexées : filtrez par metadata.event_type (NETWORK_CONNECTION, PROCESS_LAUNCH, USER_LOGIN) ou metadata.log_type au début de votre chaîne AND pour éliminer instantanément les sources de journaux non pertinentes.
• Utilisez limit: N pour un échantillonnage rapide des données et des aperçus rapides : vous pouvez ajouter le mot clé limit: N directement à votre requête (par exemple, metadata.event_type = "USER_LOGIN" limit: 50) pour un échantillonnage rapide des données et des aperçus rapides.

Bonnes pratiques pour les recherches larges

Si votre recherche est trop large, Google SecOps affiche un message d'avertissement indiquant que tous les résultats de recherche ne peuvent pas être affichés. Dans ce cas, le système ne récupère que les résultats les plus récents, dans la limite de recherche d'un million d'événements et de 1 000 alertes. Toutefois, il peut exister de nombreux autres événements et alertes correspondants qui ne sont pas affichés.

Pour obtenir tous les résultats pertinents, affinez votre recherche en appliquant des filtres supplémentaires. Par exemple :

• Réduisez la période pour réduire la taille de l'ensemble de données.
• Utilisez des requêtes de recherche ou des filtres spécifiques au lieu de termes généraux.
• Interrogez des champs UDM précis plutôt que des champs regroupés lorsque vous avez besoin de résultats pour un seul champ.

Déboguer et affiner les requêtes

Cette section explique comment déboguer et affiner les requêtes.

Afficher les erreurs d'exécution

Si votre requête renvoie une erreur, le message d'erreur d'exécution spécifique s'affiche de manière persistante dans le panneau Résultats. Cet affichage persistant garantit que le contexte de l'erreur reste visible, ce qui vous aide à résoudre l'erreur.

Limiter vos résultats de recherche

Vous pouvez limiter les résultats de recherche en ajoutant le mot clé limit avec le nombre maximal de résultats de recherche que vous souhaitez afficher. Cela est utile pour générer des aperçus rapides des données, optimiser les performances ou lorsque vous n'avez besoin que d'un sous-ensemble des résultats. Par exemple, si vous ajoutez limit: 25 à votre recherche, les résultats sont limités à 25 maximum.

Remarque : Vous pouvez également ajouter le mot clé limit aux tableaux de bord personnalisés.

Examiner des ensembles de données volumineux

Google SecOps permet de renvoyer jusqu'à un million de résultats et de les parcourir. Cela vous permet d'examiner de grands ensembles de données directement dans l'interface Web sans exporter les résultats. Pour les recherches volumineuses, les champs visibles sont limités par défaut.

Remarque : Une fois les résultats chargés, vous pouvez appliquer des filtres pour affiner les données sans relancer la recherche. Cela vous permet d'affiner rapidement les ensembles de résultats.

Limites de résultats pour les sources de données

Le tableau suivant indique le nombre maximal de résultats renvoyés pour chaque source de données :

Type de recherche ou source de données	Nombre maximal d'événements ou de lignes dans les résultats de recherche
UDM	1 000 000
ECG	1 000 000
Tableau de données	1 000 000
Jointure UDM à UDM	1 000 000
Joindre UDM à ECG	1 000 000
Jointure entre l'UDM et la table de données	1 000 000
Demandes et historique des demandes	1 000 000
Statistiques	100 000
Détections	100 000

Remarque : Les limites sont les mêmes, que vous utilisiez la plate-forme ou l'API. Pour en savoir plus sur les limites de l'API, consultez API de recherche asynchrone.

Ajouter un filtre pour affiner votre requête

Pour ajouter un filtre afin d'affiner votre requête, procédez comme suit :

1. Sur la page Recherche SIEM, cliquez sur filter_listAjouter un filtre. Une boîte de dialogue s'ouvre, vous permettant de sélectionner un champ et d'afficher (=) ou de filtrer (!=) les valeurs de champ.

2. Configurez les paramètres de la boîte de dialogue.

   

   Figure 8. Exemple de boîte de dialogue de filtre.

3. Cliquez sur Appliquer. Le filtre s'affiche à côté du bouton filter_list Ajouter un filtre, et les résultats de recherche sont filtrés en conséquence.

4. Facultatif : Effectuez l'une des opérations suivantes :

   • Si vous souhaitez intégrer automatiquement le filtre dans l'éditeur de requête et exécuter la recherche, cliquez sur Appliquer à la recherche et exécuter.
   • Si vous souhaitez supprimer le filtre, cliquez sur Effacer.

Remarque : Le bouton Effacer n'est disponible qu'avant de cliquer sur Appliquer à la recherche et exécuter.

Dépannage

Si vous recevez un message d'erreur générique, tel que Error: Search has encountered an error and could not load data, procédez comme suit pour résoudre le problème :

• Connectez-vous à Google SecOps à partir d'un autre réseau. Par exemple, utilisez une VM cloud pour identifier les problèmes de réseau.
• Assurez-vous que les appels d'API Chronicle sont autorisés par la configuration ou la règle de pare-feu ou de proxy de votre organisation.
• Vérifiez qu'aucune limite de données n'est configurée pour les appels d'API Search, car les recherches peuvent renvoyer des ensembles de données volumineux.
• Vérifiez si des délais avant expiration sont configurés. Les requêtes de recherche peuvent s'exécuter de manière asynchrone et nécessiter plus de temps pour renvoyer des données. Si des délais avant expiration sont définis, assurez-vous qu'ils sont suffisamment longs (60 minutes, par exemple) avant que la requête n'expire.

Si l'erreur persiste, contactez l'assistance client.

Étapes suivantes

Pour en savoir plus sur les requêtes de recherche, consultez les ressources suivantes :

• Comprendre la syntaxe de recherche contient des détails et des exemples sur la syntaxe YL2 nécessaire pour construire et interroger des valeurs de données, des caractères d'échappement et des opérateurs dans l'éditeur de requête.
• Bonnes pratiques pour le Réseau de Recherche
• Effectuer une recherche dans les cas et l'historique des cas dans la recherche unifiée
• Générer des requêtes de recherche UDM avec Gemini
• Utilisez des données enrichies par le contexte dans la recherche.

Pour en savoir plus sur les résultats de recherche, consultez les ressources suivantes :

• Examiner une entité à l'aide de la recherche UDM
• Examiner les détections dans la recherche décrit comment utiliser l'onglet Alertes et détections de la page Recherche SIEM.
• La page Comprendre la disponibilité des données pour la recherche détaille le cycle de vie de l'ingestion des données, y compris le flux de données de bout en bout et la latence, ainsi que l'impact de ces facteurs sur la disponibilité des données récemment ingérées pour les requêtes et l'analyse.
• La section Recherche UDM par rapport aux résultats des règles décrit comment comparer les résultats des requêtes de recherche UDM avec les règles de détection en direct.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.