הסבר על החיפוש

נתמך ב:

Google SecOps SIEM

המדריך הזה מיועד לאנליסטים בתחום האבטחה שרוצים לשלוח שאילתות, ליצור קורלציות ולנתח נתוני אבטחה בארגון שלהם ב-Google Security Operations באמצעות הדף SIEM Search. הדף SIEM Search משמש כמרכז הניווט הראשי בכל מקורות הנתונים הנתמכים, והוא משלב מקורות נוספים של טלמטריה ושל מצב האבטחה. המדריך הזה מכיל הוראות והסברים על כל הפונקציות והתכונות הבסיסיות של הדף SIEM Search.

מונחים חשובים

• מודל נתונים מאוחד (UDM): פורמט נתונים סטנדרטי שמשמש ב-Google SecOps לייצוג עקבי של אירועי אבטחה ממקורות שונים.
• אירוע: אירוע נוצר ממקור יומן גולמי שמוזן ל-Google SecOps ועובר עיבוד בתהליך ההזנה והנרמול של Google SecOps. יכול להיות שכמה אירועים יופקו מרשומה אחת של מקור יומן גולמי. אירוע מייצג קבוצה של נקודות על הגרף שרלוונטיות לאבטחה, שנוצרות מהיומן הגולמי הזה. בהקשר של הדף SIEM Search, אירועים הם טלמטריית אירועים מנורמלת של UDM ורשומות יומן גולמיות שתואמות לשאילתת החיפוש.
• התראה: בהקשר של הדף SIEM Search, התראה מוגדרת כזיהוי של כלל שהופעלה בו התראות. מידע נוסף זמין במאמר הפעלת כלל על נתונים בזמן אמת.
• יומנים גולמיים: נתוני טלמטריה גולמיים של יומנים שלא נותחו. מטרת האבחון העיקרית היא לעקוב אחרי תקינות ההטמעה והניתוח.
• צירופים: צירופים יוצרים קשר בין נתונים גולמיים ממקורות שונים ומשלבים אותם על סמך ערכי שדות משותפים. אתם יכולים לקשר בין אירועים, ישויות ונתונים אחרים שקשורים זה לזה כדי לחקור תרחישי תקיפה מורכבים. אתם יכולים לחפש איחודים סטטיסטיים, שדורשים קטע התאמה כדי לצבור תוצאות, או איחודי נתונים, שמאחזרים את נתוני האירוע או הישות המלאים ומציגים אותם ללא צבירה. מידע נוסף זמין במאמרים החלת איחודים בחיפוש ובמרכזי בקרה והטמעת איחודים בלי קטע התאמה.
• Statistics: אירועי UDM עם התוצאות שמקובצות לניתוח סטטיסטי. מידע נוסף זמין במאמר ניתוח נתוני חיפוש באמצעות נתונים סטטיסטיים.
• בקשות תמיכה והיסטוריית בקשות תמיכה: בקשות תמיכה בנושאי אבטחה ויומני ביקורת של היסטוריית בקשות תמיכה, שאפשר לקשר לנתוני אבטחה אחרים. מידע נוסף זמין במאמר סקירה כללית של בקשות חיפוש.
• ‫Entity Context Graph (ECG)‎: מסד נתונים של תרשימים ב-Google SecOps שמאחסן רשומות של ישויות עם שמירת מצב (כמו נכסים, משתמשים ואינדיקטורים לאיומים) לצורך התאמה עם יומני אירועי אבטחה. מידע נוסף זמין במאמר סקירה כללית על תרשים ההקשר של הישויות.
• סרגל השאילתות בשפה טבעית: הסרגל בחלק העליון של הדף SIEM Search, שבו אפשר להזין הצהרת חיפוש בשפה טבעית.
• עורך השאילתות: התיבה בדף חיפוש ב-SIEM מתחת לסרגל השאילתות בשפה טבעית, שבה יוצרים שאילתות באופן ידני ושבה מוצג קוד השאילתה.

לפני שמתחילים

כדי להריץ שאילתות ולראות את פרטי הזיהוי, צריך להקצות לחשבון המשתמש שלכם את ההרשאות והתפקידים הרגילים של Google SecOps Search.

כדי להשתמש בתכונות החיפוש המתקדם הבאות, לחשבון המשתמש או לתפקיד שלכם בניהול הזהויות והרשאות הגישה (IAM) צריכות להיות הרשאות מפורטות נוספות, בהתאם לתכונה שבה אתם משתמשים:

• כדי להעשיר או להרחיב את פרטי האירוע, צריך chronicle.events.fetchEnrichedEvent.
• כדי לשמור חיפושים ולערוך תצוגות חיפוש צריך הרשאות chronicle.savedSearches.update ו-chronicle.searchViews.update.
• כדי לצפות במנתחי היומנים ובסכימה, צריך את ההרשאות chronicle.parsers.list ו-chronicle.parsers.get.
• כדי לחפש בהיסטוריית הפניות צריך את chronicle.cases.get ו-chronicle.cases.list.
• כדי ליצור, לשתף, לשנות ולנהל קבוצות של עמודות בהתאמה אישית בארגון, צריך את כל חמש ההרשאות הבאות: chronicle.googleapis.com/savedColumnSets.create,‏ chronicle.googleapis.com/savedColumnSets.update,‏ chronicle.googleapis.com/savedColumnSets.delete,‏ chronicle.googleapis.com/savedColumnSets.list ו-chronicle.googleapis.com/savedColumnSets.get.

פותחים את דף החיפוש.

כדי לפתוח את הדף SIEM Search:

1. מתחברים ל-Google SecOps.
2. בסרגל הניווט, לוחצים על Investigation (חקירה) > SIEM Search (חיפוש SIEM).

איור 1. דוגמה לדף SIEM Search שמשמש לבדיקת מגמות של אירועים.

הערה: במערכות שמשתמשות ב-RBAC של נתונים, אפשר לראות רק נתונים שתואמים להיקפים שלכם. מידע נוסף זמין במאמר ההשפעה של בקרת גישה מבוססת-תפקידים (RBAC) על החיפוש.

אכיפת היקף ה-RBAC של הנתונים

מנוע החיפוש של Google SecOps אוכף בקפדנות את סינון ההיקף של בקרת גישה מבוססת-תפקיד (נתוני RBAC) בכל הכרטיסיות. יוצגו לכם רק אירועי UDM, יומנים גולמיים, התראות, זיהויים ומקרים שתואמים באופן מפורש להיקפי הנתונים שהוקצו לתפקיד המשתמש שלכם.

הגדרת הגדרות כלליות לדף החיפוש

ההגדרות הכלליות בדף חיפוש ב-SIEM הן ספציפיות למשתמש.

אפשר לקבוע את ההגדרות הכלליות הבאות בדף SIEM Search:

• מציינים את המספר המקסימלי של תוצאות החיפוש
• בחירת אופן הכיווץ של עורך השאילתות

ציון המספר המקסימלי של תוצאות החיפוש

כדי לציין את המספר המקסימלי של תוצאות החיפוש:

1. בדף SIEM Search, לוחצים על הגדרות הגדרות ובוחרים באפשרות Maximum Results.

2. בוחרים באפשרות Max Results to Return (מספר התוצאות המקסימלי להחזרה). האפשרויות הן 1k, ‏ 30k, ‏ 100k, ‏ 1M ו-custom (שמקבל ערכים בין 1 ל-1M). ערך ברירת המחדל הוא 30k.

   טיפ: בדרך כלל, שאילתות רצות מהר יותר כשבוחרים גודל קטן יותר של קבוצת תוצאות.

3. לוחצים על אישור.

בחירת התנהגות הכיווץ של כלי לעריכת שאילתות

אתם יכולים להגדיר את עורך השאילתות כך שיתכווץ אוטומטית אחרי שמריצים חיפוש, כדי להגדיל את שטח המסך שזמין לצפייה בתוצאות החיפוש. ההגדרה Default משאירה את עורך השאילתות מורחב אחרי הרצת חיפוש.

כדי להפעיל את התכונה "כיווץ אוטומטי":

1. בדף SIEM Search, לוחצים על הגדרות הגדרות ובוחרים באפשרות עורך השאילתות.
2. בתיבת הדו-שיח עורך השאילתות, בוחרים באפשרות Auto-Collapse Query Editor.

יצירת שאילתת חיפוש

בקטעים הבאים מוסבר איך ליצור שאילתת חיפוש.

אפשר ליצור שאילתת חיפוש באחת מהשיטות הבאות:

• מזינים את הצהרת החיפוש בשפה טבעית ומשתמשים ב-Gemini כדי ליצור את השאילתה בניב YARA-L 2.0. חובה להשתמש באנגלית.
• יוצרים את השאילתה באופן ידני בעורך השאילתות באמצעות ניב השפה YARA-L 2.0 או SQL (GoogleSQL).

הערה: חיפוש ב-UDM מוגבל ל-100 שדות UDM לכל שאילתה. ביטוי חיפוש ב-UDM מורכב משדה UDM לחיפוש, אופרטור וערך נתונים לחיפוש. שאילתות UDM מבוססות על שדות שמוגדרים במילון השדות של UDM. אתם יכולים לעיין בשדות ה-UDM האלה ולבחור אותם באמצעות מסננים או חיפוש ביומנים גולמיים.

יצירת שאילתה באמצעות שפה טבעית

כדי ליצור שאילתה באמצעות שפה טבעית:

1. בדף SIEM Search, לוחצים על סרגל השאילתות בשפה טבעית search ומזינים הצהרת חיפוש באנגלית.

   הנה כמה דוגמאות לחיפושים שיכולים להניב תוצאות שימושיות:

   • network connections from 10.5.4.3 to google.com
   • failed user logins over the last 3 days
   • emails with file attachments sent to [e-mail] or [e-mail]
   • all Cloud service accounts created yesterday
   • outbound network traffic from 10.16.16.16 or 10.17.17.17
   • all network connections to facebook.com or tiktok.com
   • service accounts created in Google Cloud yesterday
   • Windows executables modified between 8 AM and 1 PM on May 1, 2026
   • all activity from winword.exe on lab-pc
   • scheduled tasks created or modified on exchange01 during the last week
   • email messages that contain PDF attachments
   • emails sent by or sent from [e-mail] on July 1
   • any files with the hash 44d88612fea8a8f36de82e1278abb02f
   • all activity associated with user "[e-mail]"

אם הצהרת החיפוש כוללת מונח שמבוסס על זמן, הפרמטרים של טווח הזמן מותאמים אוטומטית בהתאם. לדוגמה, זה יחול על חיפושים עם המונחים הבאים:

• yesterday
• within the last 5 days
• on July 1, 2026

2. לוחצים על Generate Query. אם Gemini יכול לפרש את הצהרת החיפוש, הוא יוצר שאילתה תקינה בניב YARA-L 2.0 ומציג אותה בעורך השאילתות. אם אי אפשר לפרש את משפט החיפוש, תופיע הודעה עם בקשה לנסות לשאול בדרך אחרת. אם ביטוי השאילתה תקין, הלחצן הפעלת חיפוש יהיה זמין.

3. אופציונלי: משנים את טווח הזמן של החיפוש באמצעות הפרמטרים Time Range.

4. לוחצים על הפעלת החיפוש. תוצאות החיפוש מוצגות.

5. אופציונלי: כדי לצמצם את התוצאות, מוסיפים עוד מסנני חיפוש באופן ידני או באמצעות סרגל השאילתות בשפה טבעית ומריצים את החיפוש שוב.

יצירת שאילתה באופן ידני בעורך השאילתות

כדי לקבל מידע על סוגי השאילתות השונים שנתמכים בדף חיפוש SIEM ועל התחביר ליצירת השאילתות, אפשר לעיין במסמכים הבאים:

• לפרטים על תחביר החיפוש של YARA-L 2.0, ראו הסבר על תחביר החיפוש.
• למידע על בניית שאילתות Join, קראו את המאמרים החלת צירופים בחיפוש ובלוחות הבקרה והטמעת צירופים בלי קטע התאמה.
• מידע על יצירת שאילתות סטטיסטיות (STATS) זמין במאמר ניתוח נתוני חיפוש באמצעות סטטיסטיקה.
• במאמר חיפוש בקשות תמיכה והיסטוריית בקשות תמיכה בדף Search מוסבר איך יוצרים שאילתות של היסטוריית בקשות תמיכה.

כדי ליצור שאילתה באופן ידני:

1. בדף SIEM Search, לוחצים על עורך השאילתות.
2. בוחרים את הניב של השאילתה:
   • ‫YL2 (ברירת המחדל): שימוש בתחביר YARA-L 2.0 רגיל לחיפוש אירועים במהירות גבוהה, סינון ישויות וקורלציה התנהגותית.
   • ‫SQL: במצב SQL‏ (GoogleSQL) אפשר להריץ שאילתות שתואמות ל-BigQuery, ליצור צירופים מורכבים של כמה טבלאות ב-UDM וב-ECG, ולבצע צבירות מתקדמות ישירות במסוף.

3. מקלידים את השאילתה בעורך השאילתות, ומביאים בחשבון את הדברים הבאים:

   • הצעה והשלמה אוטומטית: כשמקלידים שאילתה עם האפשרות YL2, התכונה 'הצעה והשלמה אוטומטית' מציעה שדות תקינים על סמך הקלט.
   • UDM Lookup: אם אתם לא יודעים את השם או הערך המדויקים של השדה כשאתם כותבים שאילתה, אתם יכולים להשתמש ב-UDM Lookup כדי לקבל עזרה.
   • שגיאות בהידור התחביר: אם עורך השאילתות מזהה שגיאה בהידור התחביר, הוא מציג קו אדום מתפתל ישירות מתחת לטקסט הבעייתי. כדי לראות את התיאור הספציפי של השגיאה, מציבים את הסמן מעל הטקסט שמסומן בקו תחתון. עורך השאילתות מדגיש רק שגיאה אחת בכל פעם, ולכן צריך לתקן את השגיאות לפי הסדר.

4. מגדירים את טווח הזמן של השאילתה באמצעות הפרמטרים Time Range.

5. אם ביטוי השאילתה תקין, לוחצים על הפעלת החיפוש. תוצאות החיפוש מוצגות.

6. אופציונלי: כדי לצמצם את התוצאות, מוסיפים מסנני חיפוש נוספים באופן ידני או באמצעות המסוף ומריצים את החיפוש שוב.

הערה: אפשר גם ליצור שאילתה חדשה מתוך תיבת הדו-שיח מרכז השאילתות. גם שם זמינים אותם כלים לעריכת UDM ולהשלמה והצעות אוטומטיות.

מציינים את התקופה לחיפוש

בתפריט טווח תאריכים בוחרים את תקופת הזמן לחיפוש.

טווח הזמן המקסימלי של חיפוש תמיד מוגבל על ידי הגדרת שמירת היומנים של הדייר.

טווחי הזמן המקסימליים:

• ‫UDM: 365 ימים.
• ‫RAW: 365 ימים.
• ‫JOIN: לצירופים פנימיים: 90 ימים. לצירופים פנימיים ללא תנאי התאמה: 14 ימים. לצירופים חיצוניים: 14 ימים.
• ‫STATS: ‏90 ימים.
• CASE ו-CASE HISTORY: ‏90 ימים, בכפוף למגבלות השמירה של בקשות התמיכה או למחזור החיים המלא של היסטוריית בקשות התמיכה.
• ECG: 365 ימים.

מערכת Google SecOps מעריכה את ההגדרות של שאילתת החיפוש ומחילה את טווח התאריכים המקסימלי על סמך סוג החיפוש ותנאי החיפוש. (לדוגמה, שאילתת STATS שכוללת צירוף חיצוני תהיה עם טווח זמן מקסימלי קטן יותר משאילתת STATS שלא כוללת צירוף חיצוני).

כדי להגדיר את טווח התאריכים:

1. בדף SIEM Search, לצד טווח תאריכים, בוחרים את המצב מהרשימה

   • מוחלט: משתמשים בטווח זמן מוחלט כדי לבחור שעת התחלה ושעת סיום קבועות.
   • יחסי: משתמשים בטווח תאריכים יחסי כדי לחפש אחורה מהשעה הנוכחית. השעה שבה לוחצים על הפעלת החיפוש מוגדרת כשעת הסיום של השאילתה.

2. אם בחרתם באפשרות מוחלט, פועלים באופן הבא:

   1. לוחצים על calendar_month calendar כדי לפתוח את תיבת הדו-שיח הגדרת טווח תאריכים ושעות.
   2. מבצעים אחת מהפעולות הבאות:
      • כדי להגדיר את השעה באמצעות אחת מהשיטות הבאות, בוחרים בכרטיסייה טווח:
        • שימוש בהגדרות קבועות מראש: בוחרים טווח מוגדר מראש בסרגל הצד, כמו 3 הימים האחרונים או כל הזמנים. חיפושים All Time בכל תקופת השמירה.
        • בחירת תאריכים: לוחצים על תאריך התחלה ועל תאריך סיום ביומן.
        • הגדרת שעות: בוחרים שעות ספציפיות באמצעות תפריטי השעות שמתחת ליומנים.
      • כדי לציין טווח תאריכים ושעות על סמך אירוע, לוחצים על הכרטיסייה Event Time, בוחרים תאריך ביומן ומגדירים את מסגרת הזמן:
        • שעה מדויקת: לוחצים על השדה אירוע כדי לבחור או להזין את השעה הספציפית שבה האירוע התרחש.
        • זמן המתנה: בוחרים טווח זמן מוגדר מראש מהרשימה.
   3. לוחצים על אישור.

3. אם בחרתם באפשרות יחסי, אתם צריכים לבצע את הפעולות הבאות:

   1. מזינים מספר שלם בשדה הטקסט.
   2. בוחרים יחידת זמן מהתפריט: שניות, דקות, שעות, ימים, שבועות, חודשים או שנים.

שימוש בהצעות אוטומטיות ליצירת שאילתות

כשכותבים שאילתה, עורך השאילתות מציע הצעות אוטומטיות שיעזרו לכם ליצור את השאילתה ביעילות.

ניווט ובחירת הצעות

בזמן ההקלדה, תופיע רשימה עם הצעות לשדות שתואמים לטקסט שלכם, כולל האפשרויות הבאות:

• בחירת שדה: משתמשים במקשי החיצים למעלה או למטה כדי לנווט ברשימה, ולוחצים על Enter כדי לבחור שדה.
• הצגת מטא-נתונים: אחרי שמשתמשים במקשי החיצים למעלה או למטה כדי להדגיש הצעה, לוחצים על chevron_right כדי להציג את תיאור השדה.
• השלמת שדות באופן מצטבר: העורך מציע את צאצאי השדה הנוכחי ומסתיר את הקידומת שהוקלדה כדי לחסוך במקום במסך. אחרי ההצעות האלה מופיעים כל שאר השדות התואמים בסדר אלפביתי.
• השלמה של אופרטורים וערכים: אחרי שבוחרים שדה, העורך מציע אופרטורים תקינים (כמו =, !=) על סמך סוג הנתונים של השדה. בשדות מנויים, העורך מציג הצעות לכל הערכים התקפים (לדוגמה, NETWORK_EVENT) אחרי שמקלידים אופרטור ומרכאות כפולות (").

הסבר על דירוג ההצעות

כדי לעזור לכם למצוא שדות במהירות, הכלי לעריכת שאילתות מארגן את ההצעות בשלוש קטגוריות:

1. שדות שהשתמשתם בהם לאחרונה: שבע ההצעות הראשונות מבוססות על שדות שהשתמשתם בהם לאחרונה שתואמים לשדה שהקלדתם. הרשימה הזו נשמרת בהיסטוריית הסשנים בדפדפן בדפים SIEM Search,‏ Rules & Detections ו-Dashboards. אם תנקו את המטמון או תעברו לדפדפן אחר, ההיסטוריה הזו תתאפס.
2. רכיבים משניים מיידיים: קבוצת ההצעות הבאה מציגה רק את הרכיבים המשניים ברמה הראשונה של השדה הנוכחי.
3. התאמות גלובליות: בקטע האחרון מוצגים כל השדות התואמים בסדר אלפביתי.

ניהול ההגדרות של ההצעות האוטומטיות

כדי לנהל באופן גלובלי את האופן שבו Google SecOps מציג הצעות אוטומטיות, מבצעים את הפעולות הבאות:

1. לוחצים על האווטאר של הפרופיל ובוחרים באפשרות העדפות משתמש מהרשימה. מופיעה תיבת הדו-שיח User Preferences (העדפות משתמש).

2. בתיבת הדו-שיח, לוחצים על הצעה אוטומטית.

3. כדי לשלוט בהצעות האוטומטיות שמוצגות בעורך השאילתות, משנים את ההגדרות הבאות:

   • הפעלת ההצעות בזמן הקלדה: הפעלת ההשלמה האוטומטית.
   • הצגת השדות שהשתמשתם בהם לאחרונה בראש הרשימה
   • הצעת שדות צאצא מיידיים: השלמה של שדות מקוננים באופן מצטבר, צומת צאצא אחד בכל פעם.
   • הצעת כל הנתיבים הזמינים: הצגת הנתיבים המלאים והמורחבים של כל ההצעות לשדות מקוננים

4. לוחצים על Save.

חיפוש שדה UDM לשאילתת חיפוש (חיפוש UDM)

כשכותבים שאילתת חיפוש, יכול להיות שלא יודעים את השם או הערך המדויק של שדה ה-UDM שצריך לכלול. התכונה UDM Lookup מאפשרת למצוא במהירות שם של שדה UDM שמכיל מחרוזת טקסט בשם או שמאחסן ערך מחרוזת ספציפי. אתם יכולים לבחור תוצאה אחת או יותר שמוחזרת מ-UDM Lookup ולהשתמש בתוצאות כנקודת התחלה לשאילתת חיפוש, להוסיף את התוצאות לשאילתה קיימת או לשמור את התוצאות בלוח.

הערה: חיפוש ב-UDM לא מיועד לחיפוש של סוגי נתונים אחרים, כמו בייטים, ערכים בוליאניים או ערכים מספריים.

כדי להשתמש ב-UDM Lookup:

1. בדף SIEM Search, לוחצים על UDM Lookup. תיפתח תיבת הדו-שיח UDM Lookup.

2. בוחרים אחת מהאפשרויות הבאות של התאמה לפי או את שתיהן, כדי לציין את היקף הנתונים לחיפוש:

   • שדות UDM: חיפוש טקסט שתואם לשמות של שדות, לדוגמה, network.dns.questions.name או principal.ip.
   • ערכים: חיפוש מחרוזות טקסט בתוך ערכי יומן מאוחסנים, לדוגמה, dns או google.com.

3. לוחצים על השדה חיפוש הזנת מחרוזת מדויקת להתאמה ומזינים את המחרוזת להתאמה. בזמן ההקלדה, תוצאות החיפוש מופיעות בתיבת הדו-שיח.

   התוצאות שונות כשמבצעים התאמה לפי שדות UDM לעומת ערכים, באופן הבא:

   • חיפוש באמצעות Match On (התאמה לפי) שמות של UDM Fields (שדות UDM) מחזיר התאמה מדויקת שנמצאה בכל מקום בהגדרת הסכימה.

     

     איור 2. חיפוש באמצעות שמות של שדות UDM עם התאמה ל בתיבת הדו-שיח UDM Lookup.

   • כשמחפשים באמצעות Match On Values, המערכת מחפשת בנתוני הטלמטריה של היומנים שנקלטו ומחזירה שני סוגים של תוצאות:

     • התאמות של ערך מלא: בשדות טקסט נפוצים (כמו אפליקציות, שמות מארחים, כתובות URL, כתובות IP ושמות משתמשים), בכלי UDM Lookup מוצג הערך התואם המלא עם מחרוזת החיפוש שמודגשת בצהוב, לצד חותמת הזמן האחרונה של הכנסת היומן.

     • התאמות אפשריות של ערכים: בשדות שמכילים טקסט ארוך, מורכב או לא מובנה (כמו שורות פקודה, תיאורים, שדות זיהוי ושדות בהתאמה אישית), חיפוש ב-UDM מציין שמונח החיפוש מופיע בשדה הזה בנתוני הטלמטריה ההיסטוריים. במקום להציג ערך מלא אחד, התוצאה מציגה את שם השדה ב-UDM ואחריו (Possible value match).

     

     איור 3. מחפשים באמצעות Match On Values בתיבת הדו-שיח UDM Lookup.

4. ברשימת התוצאות, אתם יכולים לבצע את הפעולות הבאות:

   • כדי לראות תיאור של שדה UDM, לוחצים על השם שלו.
   • בוחרים תוצאה אחת או יותר על ידי לחיצה על תיבת הסימון לצד שם השדה ב-UDM.
   • כדי לבטל את הבחירה בכל השדות שנבחרו ברשימת התוצאות, לוחצים על הלחצן איפוס.

5. מבצעים אחת מהפעולות הבאות:

   • כדי להעתיק את התוצאות שנבחרו ללוח, לוחצים על העתקת UDM. אחר כך אפשר לסגור את תיבת הדו-שיח UDM Lookup ולהדביק את התוכן של הלוח בעורך השאילתות.

   • כדי לצרף את התוצאות שנבחרו לשאילתה בעורך השאילתות, לוחצים על צירוף לחיפוש. לאחר מכן, מערכת Google SecOps ממירה את התוצאות שנבחרו לשאילתת חיפוש בתור שם השדה של UDM או בתור צמד של שם וערך.

     אם מוסיפים כמה תוצאות, Google SecOps מוסיף כל תוצאה לסוף השאילתה הקיימת בעורך השאילתות באמצעות האופרטור OR.

     מחרוזת השאילתה שנוספת שונה בהתאם לסוג ההתאמה שמוחזרת על ידי UDM Lookup:

     • אם התוצאה תואמת למחרוזת טקסט בשם של שדה UDM, השם המלא של שדה ה-UDM מצורף לשאילתה. לדוגמה:

       principal.artifact.network.dhcp.client_hostname

     • אם התוצאה היא התאמה מלאה של הערך, צמד השם והערך מכיל תנאי שוויון מדויק עם הערך המלא.

     • אם התוצאה היא Possible value match, צמד השם והערך מכיל את שם השדה ב-UDM וביטוי רגולרי לא תלוי-רישיות שמכיל את מונח החיפוש.

6. אם צריך, עורכים את השאילתה בעורך השאילתות.

התנהגות החיפוש וכיסוי השדות ב-UDM Lookup

התכונה "חיפוש ב-UDM" עוזרת לכם למצוא שמות של שדות ולחפש ערכים היסטוריים בנתוני היומן שהוטמעו. בקטע הזה מוסבר איך החיפוש פועל בשני המצבים, מוצגות דוגמאות לשאילתות ומתוארים גבולות הכיסוי של השדות.

מצבי חיפוש: שדות UDM לעומת ערכים

ב-UDM Lookup יש שני מצבי חיפוש שונים:

• מצב שדות UDM: האפשרות התאמה לפי שדות UDM מחפשת בהגדרת הסכימה של UDM כדי לעזור לכם לאתר את נתיב השדה הנכון. אפשר למצוא שמות של שדות בכל סוגי הנתונים, כולל שדות טקסט (principal.hostname), יציאות מספריות (target.port), דגלים בוליאניים (security_result.is_alert) וקטגוריות של אירועים (metadata.event_type).

  דוגמה: אם מקלידים port, מוצגים שדות כמו network.ip_port, ‏ principal.port, ‏ target.port ו-src.port.

• מצב ערכים: האפשרות התאמה לפי ערכים מחפשת ערכי טקסט תואמים ביומני האירועים שהוטמעו:

  • התאמה מדויקת של ערכים: בשדות טקסט ובמזהים נפוצים (כמו שמות מארחים, כתובות IP, דומיינים ושמות משתמשים), UDM Lookup מוצא את הערך המדויק בנתונים ויוצר תנאי שוויון (לדוגמה, principal.hostname = "example.com").
  • התאמה אפשרית לערך (ביטוי רגולרי): עבור טקסט ארוך, שורות פקודה, כתובות URL, מפתחות רישום ונתיבי קבצים, הפונקציה UDM Lookup מחזירה התאמה אפשרית לערך עם ביטוי רגולרי (לדוגמה, principal.process.command_line = /powershell/ NOCASE).

פערים בכיסוי השדות ואיך לחפש ישירות

כשמחפשים לפי ערכים, הכלי UDM Lookup מחפש שדות טקסט בנתוני אירועים גולמיים שלא עברו העשרה. סוגי נתונים מסוימים ושדות מזהים עם נפח גבוה לא מחזירים התאמות במצב ערכים. כדי לחפש את השדות האלה, מזינים את הביטוי ישירות בעורך השאילתות.

הקטע הזה כולל את הפריטים הבאים:

• שדות מספריים, בוליאניים, של חותמות זמן ושל בייטים
• שדות מזהים מוחרגים
• שדות עם התאמות אפשריות של ערכים (ביטויים רגולריים)
• שדות מועשרים וגרף ישויות

שדות מספריים, בוליאניים, של חותמות זמן ושל בייטים

חיפוש ערך ב-UDM Lookup לא מחזיר התאמות לסוגי נתונים שהם לא טקסט. כדי לחפש בשדות האלה, כותבים את התנאי ישירות בשורת החיפוש:

קטגוריית שדה	שדות UDM לדוגמה	דוגמה לחיפוש ישיר
מספרי יציאות וקודי סטטוס	network.ip_port,‏ principal.port,‏ target.port,‏ network.http.response_code	network.ip_port = 443 network.http.response_code = 403
מדדים וציוני סיכון	security_result.risk_score, network.sent_bytes, network.received_bytes	security_result.risk_score >= 80 network.sent_bytes > 50000000
דגלים בוליאניים	security_result.is_alert, network.dns.answers.is_authoritative	security_result.is_alert = true
רשימות מוגדרות מראש	metadata.event_type, network.ip_protocol	metadata.event_type = "USER_LOGIN" network.ip_protocol = "TCP"
חותמות זמן	metadata.event_timestamp.seconds, metadata.ingested_timestamp	מסננים באמצעות התפריט טווח תאריכים או השאילתה: metadata.event_timestamp.seconds > 1700000000
מזהי אירועים (בייטים גולמיים)	metadata.id	metadata.id = "..."
קואורדינטות גיאוגרפיות	principal.location.latitude, principal.location.longitude	סינון לפי שדות של מיקום אזורי: principal.location.country_or_region = "US"

שדות מזהה מוחרגים

השדות הבאים של מעקב אחר סשנים ושל אנטרופיה גבוהה לא מחזירים התאמות כשמחפשים לפי ערכים:

קטגוריית שדות מוחרגים	שדות UDM	דוגמה לחיפוש ישיר
מזהי תהליכים	‫*.pid (לדוגמה, principal.process.pid,‏ target.process.pid),‏ *.product_specific_process_id	target.process.pid = "4128"
מזהי סשנים וחיבורים	network.session_id, network.parent_session_id, metadata.product_log_id	network.session_id = "sess-9481"
מזהי כללי הזיהוי	security_result.rule_id	security_result.rule_id = "rule_suspicious_login"
מזהי משאבים ומזהי נכסים	‫*.resource.id (כולל מזהי ARN ו-URI בענן), *.asset_id	target.resource.id = "arn:aws:s3:::my-bucket"
תוויות הטמעה	metadata.base_labels.*, metadata.enrichment_labels.*	metadata.base_labels.log_types = "WINEVTLOG"

שדות עם התאמות אפשריות לערכים (ביטויים רגולריים)

בשדות שמכילים מחרוזות ארוכות ומורכבות עם הרבה מפרידי נתיבים או ארגומנטים, החיפוש ב-UDM מחזיר ביטוי רגולרי של התאמה אפשרית לערך (/.../ NOCASE) במקום התאמה מדויקת לערך המלא:

• שורות פקודה: principal.process.command_line, target.process.command_line
• נתיבי קבצים: principal.process.file.full_path, target.file.full_path
• כתובות URL של אתרים ורשתות: principal.url, target.url, network.http.referral_url
• מפתחות רישום: principal.registry.registry_key, target.registry.registry_key
• תיאורים חופשיים: metadata.description, security_result.description, security_result.summary
• מחרוזות User-Agent: network.http.user_agent
• שדות דינמיים בהתאמה אישית: additional.fields.value.*

שדות מועשרים ו-Entity Graph

החיפוש ב-UDM מתבצע בנתוני יומן גולמיים שהוכנסו אחרי 10 באוגוסט 2023. היא לא מחזירה ערכים מהמקורות הבאים:

• העשרות במורד הזרם: כמו רזולוציית מיקום של GeoIP, נתוני WHOIS, פסיקות של גלישה בטוחה או ציוני VirusTotal. כדי לחפש אותם, מסננים ישירות את נתיב השדה המועשר (לדוגמה, target.ip_geo_artifact.country_or_region = "US").
• אובייקטים של תרשים ישויות: נתונים במרחב השמות graph.*.
• נתונים היסטוריים לפני המועד הקובע: יומנים שנוספו לפני 10 באוגוסט 2023. כדי לחפש נתונים ישנים יותר, צריך להשתמש בשאילתות חיפוש ישירות בדף חיפוש.

שימוש בטבלאות נתונים בחיפוש

אתם יכולים להשתמש בתכונה טבלאות נתונים בחיפוש. כך תוכלו להשתמש במסדי נתונים קיימים של מידע על איומים בשילוב עם חיפוש כדי לאתר איומים בארגון.

לדוגמה, אם יש לכם מסד נתונים בשם suspicious עם עמודה של כתובות IP שאתם יודעים שהן בעייתיות, אתם יכולים להפנות למסד הנתונים הזה בשאילתת החיפוש במקום להזין ידנית כתובות IP נפרדות בשאילתה:

  events:
      $e.principal.ip in %suspicious.ip

אתם יכולים לצמצם את התוצאות על ידי חיפוש של מטא-נתונים ספציפיים בנוסף לכתובות IP. לדוגמה, יכול להיות שאתם מתעניינים במיוחד בשינויים במשאבי המשתמשים:

  events:
      $e.metadata.event_type = "USER_RESOURCE_UPDATE_CONTENT"
      $e.principal.ip in %suspicious.ip

אתם יכולים לצמצם את החיפוש לפי שדות UDM קשורים ולהתאים לכמה עמודות בטבלת הנתונים. בדוגמאות הבאות לחיפושים מוצגים אירועים של NETWORK_CONNECTION שבהם תוצאת האבטחה היא ALLOW. לאחר מכן, המערכת מתאימה את האירועים האלה לעמודה hostnames ולעמודה ip בטבלת הנתונים badApps.

events:
  $e.metadata.event_type = "NETWORK_CONNECTION"
  $e.security_result.action = "ALLOW"
  $e.target.asset.asset_id = $assetid

  // Event hostname matches at least one value in table column hostname.
  $e.target.hostname in %badApps.hostname

  // Event IP matches at least one value in table column ip.
  $e.target.ip in %badApps.ip

הצגת שורות של טבלת נתונים בחיפוש

כשמשתמשים בטבלת נתונים בחיפוש ב-YARA-L 2.0, התוצאות מפנות לשורות בטבלת הנתונים שמקושרות לאירועים התואמים. התוצאות האלה מוצגות בחלונית האירועים. כשמציגים את התוצאות, מוצג המצב הנוכחי של טבלת הנתונים והשורות שלה.

בעזרת הכלי לניהול עמודות אפשר לבחור אילו עמודות וטבלאות נתונים יוצגו בתוצאות.

מידע נוסף זמין במאמר שימוש בטבלאות נתונים.

הסבר על תהליך הפעלת השאילתה

אם השאילתה בעורך השאילתות תקינה, הכפתור Run Search מופעל במסוף Google SecOps.

אחרי שלוחצים על הפעלת החיפוש, השאילתה שבתהליך מוצגת עם סמל סטטוס עגול.

בזמן שחיפוש מתבצע, אתם יכולים להריץ חיפושים נוספים (בו-זמנית) בעורך השאילתות, עם כמה מגבלות. ‫Google SecOps ממשיך להריץ את החיפושים הקודמים ומריץ את החיפושים החדשים במקביל.

חשוב: כדי לבצע חיפושים בו-זמנית ולשמור תוצאות, צריך להפעיל את תכונת היסטוריית החיפושים. אם השבתתם בעבר את היסטוריית החיפושים, אתם יכולים להפעיל אותה מחדש בלחיצה על היסטוריה > הסכמה להפעלת היסטוריית החיפושים.

שאילתות שהושלמו מוצגות עם סמל של סימן וי ירוק, וגם מונה שמציין את מספר האירועים שהוחזרו על ידי השאילתה.

לוחצים על שאילתה שהושלמה כדי להציג את התוצאות. תוצאות החיפוש מוצגות מתחת לעורך השאילתות.

תוצאות החיפוש נשמרות במטמון וכוללות רק את הנתונים שזמינים בזמן הרצת השאילתה.

ניהול היסטוריית החיפושים

היסטוריית החיפושים נשמרת בחשבון Google SecOps.

חשוב: כדי לבצע חיפושים בו-זמנית ולשמור תוצאות, צריך להפעיל את התכונה 'היסטוריית חיפושים'.

• כדי לנהל את היסטוריית החיפושים, בדף SIEM Search לוחצים על History כדי לפתוח את תיבת הדו-שיח, ואז מבצעים את הפעולות הבאות:

  • לצפות ברשימה של כל החיפושים בהיסטוריה.
  • לוחצים על פריט מהרשימה כדי לטעון אותו בעורך השאילתות.
  • כדי למצוא חיפוש בהיסטוריה, מקלידים בשורת החיפוש.
  • כדי לסנן את החיפושים, לוחצים על מסנן ליד שורת החיפוש ומסננים את החיפושים לפי שפה – כולל: מסנני YL2 ו-SQL AND סוג חיפוש – כולל: מסנני UDM, יומן גולמי ונתונים סטטיסטיים.
  • להציג רק תוצאות שמורות שהושלמו או שנמצאות בתהליך (באמצעות תיבת הסימון הצגת תוצאות שמורות שהושלמו או שנמצאות בתהליך בלבד).
  • לנקות את היסטוריית החיפושים.
    • כדי למחוק את היסטוריית החיפושים, לוחצים על אפשרויות נוספות ובוחרים באפשרות מחיקת ההיסטוריה.

  • כדי להפסיק או להפעיל מחדש את היסטוריית החיפושים:

    • כדי לבטל את ההסכמה לשמירת היסטוריית החיפושים, לוחצים על ביטול ההסכמה לשמירת היסטוריית החיפושים ובוחרים באפשרות ביטול ההסכמה בלבד כדי להשבית את היסטוריית החיפושים, או באפשרות ביטול ההסכמה ומחיקה כדי להשבית את היסטוריית החיפושים ולמחוק את היסטוריית החיפושים שנשמרה.

    • אם השבתתם בעבר את היסטוריית החיפושים, אתם יכולים להפעיל אותה שוב בלחיצה על הצטרפות להיסטוריית החיפושים.

• כדי למחוק חיפוש ספציפי מהיסטוריית החיפושים, אפשר לעיין במאמר בנושא מחיקת חיפוש שמור.

שמירה ושימוש בשאילתת מדדים

הערה: השימוש בתכונה הזו כפוף לתנאי השימוש במוצרים בגרסת טרום-GA בתנאים הספציפיים לשירות Google Security Operations. יכול להיות שהתמיכה בתכונות בגרסת טרום-GA תהיה מוגבלת, ושהשינויים בתכונות בגרסת טרום-GA לא יהיו תואמים לגרסאות אחרות של טרום-GA. מידע נוסף מופיע במאמר הנחיות לשירותי התמיכה הטכנית של Google SecOps ובמאמר התנאים הספציפיים לשירות Google SecOps.
אם התכונה הזו לא מופיעה בסביבה שלכם, עיינו במאמר ניהול תכונות בגרסת טרום-השקה (Preview) או פנו לאדמין.

מערכת Google SecOps מסווגת שאילתות של מדדים באמצעות התג STATS.

• כדי לשמור חיפוש כמדד, לוחצים על סמל האפשרויות הנוספות לצד הפעלת החיפוש ולוחצים על שמירה כמדד. הדף Rules & Detections נפתח, והשאילתה של המדדים מוצגת בכרטיסייה Metrics. אחר כך אפשר לשמור את המדד או להשבית אותו. אחרי ששומרים שאילתת מדדים, אי אפשר לערוך או למחוק אותה. אפשר להשבית את המדדים בכל שלב.

אתם יכולים להשתמש בשאילתת מדדים כדי לזהות דפוסי התנהגות אופייניים ופעילות חריגה. אם יש לכם שאילתת מדדים בעורך השאילתות שעוקבת אחרי מגמות תפעוליות קריטיות, לוחצים על סמל האפשרויות הנוספות > שמירה כמדד. השאילתה נשמרת כמדד רציף של סדרת זמנים שאפשר להטמיע במרכזי בקרה בהתאמה אישית או להפנות אליו בהתראות על סף.

שאילתת מדדים לדוגמה:

metric metric_1784196814306 {
  (metadata.event_type = "NETWORK_FLOW" OR
  metadata.event_type = "NETWORK_CONNECTION" OR
  metadata.event_type = "NETWORK_DNS" OR
  metadata.event_type = "NETWORK_HTTP")

  outcome:
  $timestamp = timestamp.get_timestamp(metadata.event_timestamp.seconds)
  $hostname = principal.hostname
  $event_type = metadata.event_type
  $user = principal.user.userid
  $principal_process = principal.process.file.full_path
  $principal_cmdline = principal.process.command_line
  $target_process = target.process.file.full_path
  $target_cmdline = target.process.command_line
  $target_url = target.url
  $target_ip = target.ip[0]
  order:
  $timestamp
  }

ניהול החיפושים (מנהל החיפושים)

משתמשים בתיבת הדו-שיח מנהל החיפושים כדי לנהל את החיפושים.

• כדי לפתוח את Search Manager, בדף SIEM Search לוחצים על Search Manager.

תגים של סוגי חיפושים

בכרטיסייה Saved במרכז ניהול החיפושים מופיעים כל החיפושים השמורים, ומוצג תג עם סוג החיפוש: UDM, ‏ RAW, ‏ JOIN, ‏ STATS, ‏ CASE, ‏ CASE HISTORY ו-ECG.

פעולות ב-Search Manager

בכרטיסייה Saved (שמורים), אפשר לבצע את הפעולות הבאות:

• סינון חיפושים שנשמרו: לוחצים על סינון לצד שורת החיפוש ומסננים חיפושים לפי מקור – מכיל: Google SecOps defined,‏ Authored by me ו-קבצים ששותפו איתי AND שפה – מכיל: YL2 ו-SQL.
• מיון חיפושים: לוחצים על list_arrow מיון ליד סרגל החיפוש וממיינים לפי שם (א' עד ת'), שם (ת' עד א'), הישנים ביותר עד החדשים ביותר או החדשים ביותר עד הישנים ביותר.
• הוספת חיפוש: לוחצים על add_2 הוספה לצד סרגל החיפוש ויוצרים חיפוש חדש בתיבה הסמוכה UDM Search. התיבה UDM Search תומכת באותם כלים לעריכת UDM ולהשלמה והצעה אוטומטיות כמו כשיוצרים שאילתה באופן ידני בעורך השאילתות.
• שיתוף או מחיקה של חיפושים שאתם יצרתם.
• עריכת חיפוש שיצרתם: כשבוחרים חיפוש בכרטיסייה שמורים, השאילתה מוצגת בתיבה חיפוש, לצד התיבות כותרת ותיאור. התיבה UDM Search תומכת באותם כלים לעריכת UDM ולהשלמה והצעה אוטומטיות כמו כשיוצרים שאילתה באופן ידני בעורך השאילתות.

שמירת חיפוש

החיפושים השמורים והיסטוריית החיפושים:

• מאוחסנים בחשבון Google SecOps.
• המידע גלוי ונגיש רק למשתמש הספציפי, אלא אם משתמשים בתכונה שיתוף חיפוש כדי לשתף את החיפוש עם הארגון.

כדי לשמור חיפוש:

1. בדף SIEM Search, מבצעים אחת מהפעולות הבאות:

   • אם יש שאילתה תקינה בעורך השאילתות, לוחצים על אפשרויות נוספות לצד הפעלת החיפוש ואז על שמירת החיפוש. תיפתח תיבת הדו-שיח Search Manager (ניהול החיפוש).
   • לוחצים על המרכז לניהול חיפושים. תיבת הדו-שיח מנהל החיפוש נפתחת.

2. בתיבה שם, מזינים שם לחיפוש. ‫Google ממליצה לתת לחיפוש השמור שם משמעותי ותיאור בטקסט פשוט של מה שאתם מחפשים.

3. אופציונלי: בתיבה תיאור, מזינים תיאור לחיפוש.

4. אופציונלי: מציינים משתני placeholder בפורמט ${<variable name>}, באותו פורמט שמשמש למשתנים ב-YARA-L. אם מוסיפים משתנה לחיפוש, צריך גם לכלול הנחיה שתעזור למשתמש להבין איזה מידע הוא צריך להזין לפני שהוא מריץ את החיפוש. צריך לאכלס את כל המשתנים בערכים לפני שמריצים חיפוש.

   לדוגמה, אפשר להוסיף את metadata.vendor_name = ${vendor_name} לחיפוש. בשביל ${vendor_name}, צריך להוסיף הנחיה למשתמשים עתידיים, כמו Enter the name of the vendor for your search. בכל פעם שמשתמש יטען את החיפוש הזה בעתיד, הוא יתבקש להזין את שם הספק לפני הפעלת החיפוש.

5. כשמסיימים, לוחצים על שמירת השינויים.

• כדי לראות את החיפושים השמורים, לוחצים על מנהל החיפושים ואז על הכרטיסייה שמורים.

אחזור והפעלה של חיפוש שמור

כדי לאחזר ולהריץ חיפוש שמור:

1. בדף SIEM Search (חיפוש SIEM), לוחצים על Search Manager (מרכז החיפושים) ובוחרים חיפוש מהרשימה *Saved (שמורים) בצד ימין.
2. אופציונלי: כדי למחוק חיפוש, לוחצים על עוד ובוחרים באפשרות מחיקת החיפוש. אפשר למחוק רק חיפושים שאתם יצרתם.
3. אפשר לשנות את השם והתיאור של החיפוש. כשמסיימים, לוחצים על שמירת השינויים.
4. לוחצים על טעינת החיפוש. החיפוש נטען בשדה החיפוש הראשי.
5. לוחצים על הפעלת החיפוש.

מחיקת חיפוש שמור

אפשר למחוק רק חיפושים שאתם יצרתם.

כדי למחוק חיפוש שמור:

1. בדף SIEM Search, לוחצים על Search Manager ובוחרים חיפוש מהרשימה Saved שמימין.
2. לוחצים על אפשרויות נוספות ובוחרים באפשרות מחיקת החיפוש.
3. לוחצים על מחיקת החיפוש.

איך משתפים חיפוש או מפסיקים לשתף אותו

חיפושים משותפים מאפשרים לכם לשתף חיפושים עם הצוות שלכם. אי אפשר לשתף עם אדם אחד בלבד. אם אתם משתפים את החיפוש, הוא משותף עם כל הארגון.

אי אפשר לערוך חיפוש משותף שלא אתם יצרתם.

כדי לשתף חיפוש:

1. בדף SIEM Search (חיפוש SIEM), לוחצים על Search Manager (ניהול חיפושים) ובוחרים חיפוש מהרשימה *Saved (שמורים) בצד ימין.
2. לוחצים על החיפוש שרוצים לשתף.
3. לוחצים על עוד בצד שמאל של החיפוש. מופיעה תיבת דו-שיח עם האפשרות לשתף את החיפוש.
4. לוחצים על שיתוף עם הארגון. מופיעה תיבת דו-שיח עם הכיתוב 'החיפוש ישותף עם אנשים בארגון שלך. בחרת לשתף. להמשיך?".
5. לוחצים על שיתוף.

אם רוצים שהחיפוש יהיה גלוי רק לכם, לוחצים על סמל האפשרויות הנוספות ואז על הפסקת השיתוף. אם תפסיקו את השיתוף, רק אתם תוכלו להשתמש בחיפוש הזה.

תוצאות חיפוש – סקירה כללית

כשלוחצים על הפעלת חיפוש בדף SIEM Search,‏ Google Security Operations מעריך את השאילתה בסביבה שלכם, מסווג את התוצאות ומציג אותן מתחת לכלי לעריכת שאילתות.

רכיבי ממשק המשתמש של תוצאות החיפוש משתנים בהתאם לסוג החיפוש (שמסומן בתגים הבאים: UDM,‏ RAW,‏ JOIN,‏ STATS,‏ CASE או CASE HISTORY).

בדף SIEM Search מוצגות הכרטיסיות הבאות של תוצאות החיפוש:

• תוצאות: מוצגות לכל סוגי החיפוש.
• ‫Alerts & Detections: מוצג רק בתוצאות חיפוש של UDM,‏ RAW ו-JOIN.
• סקירה כללית: מוצג רק בתוצאות חיפוש של UDM,‏ RAW ו-JOIN.
• Visualize: מוצג רק בתוצאות חיפוש של STATS.

הכותרת של כל כרטיסיית תוצאות כוללת את המספר בסוגריים, לדוגמה, תוצאות (1,118) – או תוצאות (100,000+) אם מספר התוצאות חורג מהמקסימום שצוין (במקרה הזה 100,000).

לחיצה על כרטיסיות שונות מעבירה באופן מיידי את התצוגה של סביבת העבודה, תוך שמירה על שאילתת החיפוש וטווח התאריכים.

הצגה וניהול של מידע בכרטיסייה "תוצאות"

הכרטיסייה תוצאות היא סביבת העבודה העיקרית שלכם לצפייה בתוצאות החיפוש ולניהול שלהן. בכרטיסייה תוצאות אפשר:

• חיפוש מעמיק ביומנים
• צפייה בנתוני טלמטריה גולמיים
• יצירת טבלאות צירים מנתוני אירועים
• ניתוח התפלגויות של ערכי שדות בתדירות גבוהה
• ייצוא נתונים לקובצי CSV

הכרטיסייה תוצאות כוללת את הרכיבים הבאים, בהתאם לסוג החיפוש:

• חלוניות עם כרטיסיות שכוללות את התרשימים הבאים:
  • תרשים Activity Over Time: מוצג בתוצאות החיפוש של UDM,‏ JOIN,‏ CASE,‏ CASE HISTORY ו-ECG.
  • תרשים מגמה לאורך זמן: מוצג בתוצאות חיפוש גולמיות.
  • הכרטיסייה שכיחות: מוצגת בתוצאות חיפוש UDM.
  • טבלת מפת חום של פעילות: מוצגת בתוצאות החיפוש ב-UDM.
• החלונית צבירות: מוצגת לכל סוגי תוצאות החיפוש.

• חלוניות עם הטבלאות הבאות, בהתאם לסוג החיפוש:

  • הטבלה אירועים וכרטיסיית המשנה ציר: מוצגות רק בתוצאות חיפוש ב-UDM. בטבלה אירועים מוצגים נתוני טלמטריה מנורמלים של אירועי UDM ורשומות יומן גולמיות שתואמות לשאילתה בחלון הזמן שנבחר. בכרטיסיית המשנה Pivot אפשר ליצור ולהשתמש בטבלת ציר כדי לבצע קיבוץ וסיכום מתמטיים רב-ממדיים (sum, count, avg, stddev) בתוצאות של האירוע.
  • יומנים גולמיים: מוצגים רק בתוצאות חיפוש גולמיות.
  • נתונים סטטיסטיים: מוצגים רק בתוצאות חיפוש של נתונים סטטיסטיים.
  • הצטרפויות: מוצג רק לגבי תוצאות חיפוש של הצטרפות.
  • פניות: מוצג רק בתוצאות חיפוש של פניות.
  • היסטוריית בקשות התמיכה: מוצגת רק בתוצאות החיפוש של CASE ו-CASE HISTORY.
  • נתונים מתוזמנים ונתונים לאורך זמן: מוצגים רק בתוצאות חיפוש של אק"ג.

  מידע על הפונקציות והכלים שנתמכים בטבלאות האלה זמין במאמר שימוש בכלים נפוצים לטבלאות. הפונקציות הנתמכות כוללות ניהול העמודות בטבלה שמוצגת בכרטיסייה, הורדת תוצאות החיפוש ועוד.

טיפ: לוחצים על אפשרויות תצוגה כדי להסתיר או לבטל את ההסתרה של התרשימים ושל החלונית צבירת נתונים.

שימוש בתרשים 'פעילות לאורך זמן'

הכרטיסייה Activity Over Time כוללת תרשים (היסטוגרמה) של נפח האירועים וההתראות לאורך זמן.

הערה: הכרטיסייה פעילות לאורך זמן מוצגת רק בתוצאות חיפוש של UDM,‏ JOIN,‏ CASE ו-CASE HISTORY.

הרוחב של כל עמודה תלוי במרווח הזמן שחיפשתם. לדוגמה, כל פס מייצג 10 דקות אם החיפוש מתפרס על 24 שעות של נתונים. התרשים הזה מתעדכן באופן דינמי כשמשנים את החיפוש הקיים.

הערה: חלון החיפוש המקסימלי הוא עד 365 ימים לחיפושים ב-YARA-L 2.0 ו-90 ימים לחיפושים ב-SQL, מתחילת הזמן ועד סוף הזמן.

התרשים תומך בפעולות הבאות:

• שינוי טווח תאריכים: גוררים את פקדי ההזזה בציר הזמן כדי לצמצם באופן מיידי את חלון הזמן שמוצג. רשת התוצאות והחלונית Aggregations מתעדכנות בלי להריץ מחדש את השאילתה בקצה העורפי.
• כדי לראות את האירועים וההתראות של חלון זמן של סרגל יחיד: לוחצים על סרגל כדי לצמצם את המיקוד של התרשים, של החלונית צבירות ושל הכרטיסייה זיהויים לחלון הזמן של הסרגל הזה. הפעולה הזו יוצרת מסנן, שמוצג לצד הלחצן הוספת מסנן filter_list. כדי להציג שוב את כל התוצאות, מוחקים את המסנן.
• חלון קופץ עם פרטים: לחיצה על אחד מהעמודות פותחת חלון קופץ עם השעה והערכים של אירועים שנשאלו, אירועים מסוננים, התראות שנשאלו והתראות מסוננות.

שימוש בתרשים "מגמה לאורך זמן"

הכרטיסייה מגמה לאורך זמן כוללת תרשים (היסטוגרמה) של נפח יומני הגולמיים לאורך זמן. הרוחב של כל עמודה אנכית משתנה באופן דינמי בהתאם לחלון החיפוש הכולל (לדוגמה, כל עמודה יכולה לייצג 10 דקות בחלון חיפוש של 24 שעות).

הערה: הכרטיסייה מגמת ההתעניינות לאורך זמן מוצגת רק בתוצאות חיפוש גולמיות.

התרשים תומך באפשרויות הבאות:

• שינוי טווח תאריכים: גוררים את פקדי ההזזה בציר הזמן כדי לצמצם באופן מיידי את חלון הזמן שמוצג. רשת התוצאות והחלונית Aggregations מתעדכנות בלי להריץ מחדש את השאילתה בקצה העורפי.
• כדי לראות כמה יומנים מפוענחים, לא מפוענחים ולא ידועים זוהו בחלון הזמן של פס יחיד: לא ידוע אומר שזוהו יומן אחד או יותר בזמן הזה, אבל המספר לא ידוע. לוחצים על עמודה כדי לצמצם את המיקוד של התרשים ושל החלונית Aggregations לחלון הזמן של אותה עמודה. הפעולה הזו יוצרת מסנן, שמוצג לצד הלחצן הוספת מסנן filter_list. כדי להציג שוב את כל התוצאות, מוחקים את המסנן.
• חלון קופץ עם פרטים: לחיצה על אחד מהעמודות פותחת חלון קופץ עם השעה והערכים של אירועים שנשאלו, אירועים מסוננים, התראות שנשאלו והתראות מסוננות.

שימוש בכרטיסייה "שכיחות"

הכרטיסייה שכיחות מופיעה רק אם החיפוש כולל דומיין.

בכרטיסייה שכיחות מוצגת השכיחות של דומיינים שמשויכים לחיפוש שלכם בארגון. הוא משלב רשימה של דומיינים עם שכיחות נמוכה עם תרשים אינטראקטיבי. הכרטיסייה מופיעה רק אם החיפוש ב-UDM כולל דומיין.

הערה: הכרטיסייה שכיחות מוצגת רק בתוצאות חיפוש ב-UDM.

רשימת הדומיינים עם שכיחות נמוכה כוללת את העמודות הבאות:

• דומיינים עם שכיחות נמוכה: שמות הדומיינים שמשויכים לתוצאות החיפוש. לוחצים על arrow_upward כדי למיין את הדומיינים בסדר אלפביתי (ת' עד א'), ועל arrow_downward כדי למיין בסדר אלפביתי (א' עד ת').

• שכיחות ≤ 10: מציג את מספר המקרים הכולל של כל דומיין עם שכיחות של 10 או פחות. לוחצים על arrow_upward כדי למיין את המספרים בסדר יורד, ועל arrow_downward כדי למיין אותם בסדר עולה.

בתרשים, מציבים את הסמן מעל עיגול כדי להציג את הדומיין הספציפי ולצמצם את החיפוש לאירועים שמשויכים לדומיין הזה בלבד.

שימוש בכרטיסייה "מפת חום של פעילות"

בכרטיסייה Activity heatmap מוצגים נתוני אירועים ברשת ויזואלית של ציר זמן, כדי להדגיש איפה האירועים הכי מרוכזים בטווח התאריכים הנתון. בציר Y מוצגים התאריכים בטווח הזמן של החיפוש, ובציר X מוצגת השעה ביום במרווחי שעה (מ-00:00 עד 23:00).

הערה: הכרטיסייה מפת חום של פעילות מוצגת רק בתוצאות חיפוש של UDM.

מקרא של טווח צבעים מציין את נפח האירועים בשעה מסוימת, כאשר צבעים בהירים יותר מציינים פחות אירועים וצבעים כהים יותר מציינים צפיפות גבוהה יותר. אפשר גם לשנות את אינדיקטור הצפיפות כדי להציג או להסתיר משבצות זמן שעתיות באמצעות הזזת הסליידר האופקי. לוחצים על החיצים למעלה או למטה בחלונית הצדדית כדי לגלול בין התאריכים ולשנות את חלון הזמן הספציפי.

שימוש בחלונית הצבירות כדי לצמצם את תוצאות החיפוש

בחלונית Aggregations מוצג סיכום של ערכים בתדירות גבוהה, שבעזרתו אפשר לצמצם את תוצאות החיפוש.

הערה: החלונית Aggregations מוצגת לכל סוגי תוצאות החיפוש.

החלונית Aggregations כוללת שתי רשימות שניתן לכווץ: UDM Fields (רשימה של שדות UDM תואמים) ורשימה נוספת של שדות בהתאם לסוג החיפוש (לדוגמה, Log Fields לחיפושים ביומנים גולמיים, Stats Fields,‏ Case Fields וכו'). בחיפושי UDM, החלונית Aggregations מכילה את הרשימה UDM Fields ואת הרשימה Grouped Fields.

כדי להצמיד שדה לראש הרשימה Aggregations, מעבירים את הסמן מעל השדה ולוחצים על הסמל keep Keep.

אפשר לחפש שדות ספציפיים או ערכי שדות באמצעות שדה החיפוש שבחלונית.

בכל שדה מוצג "מספר ההתאמות", כלומר מספר הרשומות שיש להן את אותו ערך בשדה הזה. התוכן של הרשימות ממוין מהמספר הגבוה ביותר של התאמות למספר הנמוך ביותר, ובסדר אלפביתי בתוך אותו מספר התאמות. אפשר לחפש שדות ברשימות ולהרחיב פריט של שדה.

כדי לסנן את תוצאות החיפוש באמצעות צבירות:

1. בחלונית Aggregations, בוחרים שדה מהרשימה כדי להציג את ערכי הרשימה של השדה הזה.

2. בוחרים ערך מהרשימה ולוחצים על more_vert סמל האפשרויות הנוספות.

3. בוחרים אפשרות סינון:

   • הצגה רק של: הטבלה הסמוכה המתאימה מתעדכנת כך שיוצגו בה רק רשומות תואמות, והמסנן = "value" מוצג לצד הלחצן הוספת מסנן filter_list.
   • סינון החוצה: הטבלה הסמוכה מתעדכנת בהתאם לרשומות התואמות שסוננו החוצה, והמסנן != "value" מוצג לצד הלחצן filter_list הוספת מסנן.
   • העתקה: העתקת צמד השדה והערך ללוח.

   

   איור 4. דוגמה לסינון שדות באמצעות החלונית Aggregations.

   

   איור 5. filter_list הלחצן הוספת מסנן עם שני מסננים קיימים (אחד מוצג ואחד ברשימה +1 More).

4. אופציונלי: אם בחרתם באפשרות הצגה רק של או סינון של בשלב הקודם ואתם רוצים לשלב את המסנן באופן אוטומטי בעורך השאילתות ולהריץ שוב את החיפוש, לוחצים על החלת המסנן על החיפוש והרצת החיפוש.

שימוש בשדות מקובצים בחלונית 'צבירות' בכרטיסייה 'תוצאות'

החלונית Aggregations (צבירות) לחיפושים ב-UDM כוללת את הרשימה Grouped Fields (שדות מקובצים). שדות מקובצים פועלים ככינויים חזקים לקטגוריות שמשלבים שדות UDM קשורים, בלי שתצטרכו להקליד כל אחד מהם בנפרד. מידע נוסף על שדות מקובצים זמין במאמר חיפוש שדות מקובצים.

כינוי של שדה מקובץ	שדות UDM משויכים שנכללים בכינוי
domain	about.administrative_domain about.asset.network_domain network.dns.questions.name network.dns_domain principal.administrative_domain principal.asset.network_domain target.administrative_domain target.asset.hostname target.asset.network_domain target.hostname
email	intermediary.user.email_addresses network.email.from network.email.to principal.user.email_addresses security_result.about.user.email_addresses target.user.email_addresses
file_path	principal.file.full_path principal.process.file.full_path principal.process.parent_process.file.full_path target.file.full_path target.process.file.full_path target.process.parent_process.file.full_path
hash	about.file.md5 about.file.sha1 about.file.sha256 principal.process.file.md5 principal.process.file.sha1 principal.process.file.sha256 security_result.about.file.sha256 target.file.md5 target.file.sha1 target.file.sha256 target.process.file.md5 target.process.file.sha1 target.process.file.sha256
hostname	intermediary.hostname observer.hostname principal.asset.hostname principal.hostname src.asset.hostname src.hostname target.asset.hostname target.hostname
ip	intermediary.ip observer.ip principal.artifact.ip principal.asset.ip principal.ip src.artifact.ip src.asset.ip src.ip target.artifact.ip target.asset.ip target.ip
namespace	principal.namespace src.namespace target.namespace
process_id	principal.process.parent_process.pid principal.process.parent_process.product_specific_process_id principal.process.pid principal.process.product_specific_process_id target.process.parent_process.pid target.process.parent_process.product_specific_process_id target.process.pid target.process.product_specific_process_id
user	about.user.userid observer.user.userid principal.user.user_display_name principal.user.userid principal.user.windows_sid src.user.userid target.user.user_display_name target.user.userid target.user.windows_sid

שימוש בחלונית Events (אירועים)

בחלונית Events אפשר לראות, למיין ולנהל את האירועים שתואמים לחיפוש ב-UDM.

במאמר שימוש בכלים נפוצים לטבלאות מוסבר על הפונקציות והכלים שנתמכים בחלונית אירועים. הפונקציות הנתמכות כוללות ניהול העמודות בטבלה שמוצגת בכרטיסייה, הורדת תוצאות החיפוש ועוד.

כברירת מחדל, אחרי שמריצים חיפוש, בטבלה אירועים מוצגות עמודות עיקריות (שנקראות שדות מהירים), למשל, סטטוס האירוע, חותמת זמן, סוג (udm.metadata.event_type), סיכום, משתמש (udm.principal.user.userid או target.user.userid), שם מארח (udm.principal.hostname או target.hostname). בהתאם להיקף השאילתה ולמקור היומן, הטבלה יכולה גם להציג באופן דינמי שדות מהירים רלוונטיים כמו פעולה (udm.security_result.action).

הערה: באירועים שמשויכים להתראות, בעמודה סטטוס האירוע מוצג צ'יפ התראה – עם ספירה כשחלות כמה התראות.

בדיקת פרטים ספציפיים של אירוע בודד (התאמה בין מציג האירועים לבין היומן הגולמי)

• כדי לבדוק פרטים ספציפיים של אירוע מסוים, לוחצים על השורה. מציג האירועים נפתח.

  מידע נוסף זמין במאמר שימוש ב-Event Viewer לתוצאות UDM ו-RAW.

כרטיסיית ציר – יצירת טבלת צירים

אתם יכולים להשתמש בטבלת ציר כדי לבצע קיבוץ וסיכום מתמטיים רב-ממדיים של תוצאות החיפוש.

כדי לפתוח ולהגדיר טבלת צירים:

1. מריצים חיפוש ב-UDM.
2. בכרטיסייה Results, לוחצים על כרטיסיית המשנה Pivot. החלונית Pivot Settings נפתחת.

3. בקטע קיבוץ לפי, לוחצים על add Field כדי לבחור עד חמישה שדות UDM לקיבוץ שורות. אפשרויות מיוחדות לטרנספורמציה מופיעות בהתאם לסוג השדה:

   • שדות מחרוזת: אפשרות לאלץ אותיות קטנות. אפשר להציג את התוצאות באמצעות ברירת המחדל של אותיות רישיות או באמצעות אותיות קטנות בלבד על ידי בחירה באפשרות אותיות קטנות מהתפריט.
   • שדות של שם מארח:
     • דומיין רשום: מוצג רק שם הדומיין הרשום (למשל google.com, nytimes.com, youtube.com).
     • דומיין ברמה N: מציינים איזו רמה של הדומיין להציג. לדוגמה, אם משתמשים בערך 1, מוצג רק הדומיין ברמה העליונה (כמו com,‏ gov או edu). אם משתמשים בערך 3, מוצגות שתי הרמות הבאות של שמות הדומיינים (כמו google.co.uk).
   • שדות IP: אפשרות לקבץ לפי אורך התחילית של CIDR בביטים. אפשר לציין ערך בין 1 ל-32 לכתובות IPv4. בכתובות IPv6, אפשר לציין ערכים של עד 128.
   • שדות של חותמות זמן: אפשרות לקבץ לפי רזולוציית זמן (אלפיות שנייה, שניות, דקות, שעות, ימים).

4. בקטע ערכים, מציינים ערך לציר מתוך רשימת השדות בתוצאות. אפשר לציין עד חמישה ערכים.

5. לכל שדה שמציינים בערכים, צריך לבחור אחת מהאפשרויות הבאות בסיכום לפי:

   • Avg (ממוצע)
   • מספר יחידות
   • ספירת ערכים ייחודיים
   • מקסימום
   • מינימום
   • Sum
   • ‫Stddev (סטיית תקן)

   האפשרויות של סיכום לא תמיד תואמות לשדות של קיבוץ לפי. לדוגמה, אפשר להחיל את האפשרויות Sum,‏ Avg,‏ Stddev,‏ Min ו-Max רק על שדות מספריים. אם תנסו לשייך אפשרות Summarize לא תואמת לשדה קיבוץ לפי, תופיע הודעת שגיאה.

   מציינים ערך של מספר אירועים כדי להחזיר את מספר האירועים שזוהו בחיפוש ובטבלת הצירים הספציפיים האלה.

6. בקטע Order by, מציינים שדה אחד או יותר של UDM ובוחרים מיון אחד או יותר באמצעות האפשרות Ascending או Descending.

7. כשמוכנים, לוחצים על אישור. התוצאות מוצגות בחלונית Pivot.

8. אופציונלי: כדי להוריד ולשמור את התוכן של טבלת הצירים, עיינו בקטע הורדת תוצאות חיפוש מטבלה.

שימוש בחלונית Raw Logs

בחלונית Raw Logs אפשר להציג, למיין ולנהל את היומנים שתואמים לחיפוש, שמעריך נתוני טלמטריה גולמיים ולא מנותחים של יומנים. המטרה העיקרית של האבחון היא מעקב אחרי תקינות ההטמעה והניתוח – כלומר, מעקב אחרי מספר היומנים שנותחו לעומת מספר היומנים שלא נותחו לעומת מספר היומנים הלא ידוע (שמשמעותו היא שזוהו יומן אחד או יותר בזמן מסוים, אבל המספר לא ידוע).

מידע על הפונקציות והכלים הנתמכים בכרטיסייה הזו זמין במאמר שימוש בכלים נפוצים לטבלאות. הפונקציות הנתמכות כוללות ניהול של העמודות בטבלה שמוצגת בכרטיסייה, הורדה של תוצאות החיפוש ועוד.

בדיקת פרטים מדויקים של יומן גולמי יחיד (כלי לצפייה באירועים ומתאם של יומן גולמי)

• כדי לבדוק פרטים ספציפיים של יומן גולמי אחד, לוחצים על השורה. מציג האירועים נפתח.

  מידע נוסף זמין במאמר שימוש בכלי Event Viewer ל-UDM ולתוצאות RAW.

שימוש בחלונית הנתונים הסטטיסטיים

אפשר להשתמש בחלונית נתונים סטטיסטיים כדי לראות, למיין ולנהל את הנתונים הסטטיסטיים שתואמים לחיפוש.

בחלונית נתונים סטטיסטיים יש רק בורר עמודות שבו אפשר להוסיף או להסיר עמודות.

מידע על הפונקציות והכלים שנתמכים בכרטיסייה הזו זמין במאמר שימוש בכלים נפוצים לטבלאות. הפונקציות הנתמכות כוללות הורדה של תוצאות החיפוש ועוד.

שימוש בחלונית Joins (צירופים)

בחלונית הצטרפות אפשר לראות, למיין ולנהל את הפריטים שתואמים לחיפוש.

מידע על הפונקציות והכלים הנתמכים בכרטיסייה הזו זמין במאמר שימוש בכלים נפוצים לטבלאות. הפונקציות הנתמכות כוללות ניהול של העמודות בטבלה שמוצגת בכרטיסייה, הורדה של תוצאות החיפוש ועוד.

שימוש בחלונית Cases (פניות)

משתמשים בחלונית מקרים כדי להציג, למיין ולנהל את המקרים שתואמים לחיפוש.

מידע על הפונקציות והכלים שנתמכים בכרטיסייה הזו זמין במאמר שימוש בכלים נפוצים לטבלאות. הפונקציות הנתמכות כוללות ניהול של העמודות בטבלה שמוצגת בכרטיסייה, הורדה של תוצאות החיפוש ועוד.

שימוש בחלונית Case History

משתמשים בחלונית היסטוריית הפניות כדי להציג, למיין ולנהל את היסטוריית הפניות שתואמת לחיפוש.

מידע על הפונקציות והכלים הנתמכים בכרטיסייה הזו זמין במאמר שימוש בכלים נפוצים לטבלאות. הפונקציות הנתמכות כוללות ניהול של העמודות בטבלה שמוצגת בכרטיסייה, הורדה של תוצאות החיפוש ועוד.

שימוש בחלוניות Timed Data (נתונים מתוזמנים) ו-Timeless Data (נתונים לא מתוזמנים)

אתם יכולים להשתמש בחלוניות נתונים עם חותמת זמן ונתונים ללא חותמת זמן כדי להציג, למיין ולנהל את התוצאות של חיפושי האק"ג. בחלונית Timed Data (נתונים מתוזמנים) מוצגות תוצאות של ישויות שיש להן טווח תאריכים מוגדר – כלומר, יש להן ערך ל-metadata.interval.end_time במהלך ההטמעה. בחלונית נתונים ללא הגבלת זמן מוצגות תוצאות של ישויות שאין להן טווח תאריכים מוגדר, כלומר אין להן ערך בשדה metadata.interval.end_time.

חשוב: במסד הנתונים של בדיקות האק"ג, ישויות עם חותמת זמן וישויות ללא חותמת זמן מאוחסנות בנפרד. כשמריצים חיפוש ECG,‏ Google SecOps יוצרת איחוד של מאגרי הנתונים עם חותמת זמן ומאגרי הנתונים ללא חותמת זמן, ומחזירה את התוצאות המובילות מכל אחד מהם, עד למספר התוצאות המקסימלי שהוגדר. הנתונים של הישויות עם חותמת הזמן ממוינים לפי חותמת הזמן האחרונה, אבל אי אפשר לדעת את הסדר של הנתונים של הישויות בלי חותמת זמן. לכן, יכול להיות שבממשק יוצגו רק ישויות נצחיות, או רק ישויות מתוזמנות, או שילוב שונה שלהן בכל פעם שהשאילתה מופעלת.

שימוש בכלי לבדיקת אירועים ב-UDM ובתוצאות RAW

• כדי לבדוק פרטים ספציפיים של אירוע בודד או של יומן גולמי, לוחצים על שורה בטבלה Events או בטבלה Raw Logs. Event Viewer (צפייה באירועים) ייפתח.

מציג האירועים כולל את הכרטיסיות הבאות:

• שדות של אירועים
• Raw Log
• ‫Alerts: מוצג רק לתוצאות UDM מהטבלה Events
• ישויות

שימוש בכרטיסייה "שדות של אירועים"

כברירת מחדל, בכרטיסייה Event Fields מוצגים שדות של אירועי UDM במבנה עץ היררכי, שמסומן בתווית Selected.

בכרטיסייה שדות אירועים אפשר לבצע את הפעולות הבאות:

• הצגת הגדרה של שדה. כדי לראות את ההגדרה של שדה, מציבים את הסמן מעל שם השדה.
• הצמדת שדה לגישה מהירה. ברשימה Selected, בוחרים שדה ולוחצים על keep pin. השדה יוצג ברשימה מוצמדים. השדות נשארים ברשימה Selected, וההיררכיה שלהם ברשימה Pinned list מוצגת בסימון מופרד בנקודות עם הקידומת udm (לדוגמה, udm.metadata.event_type).
• להוסיף לעמודות או להעתיק כמה שדות. מסמנים את התיבה לצד צומת או שדה, ואז בוחרים באפשרות הוספה לעמודות או העתקה.

• מבצעים את הפעולות הבאות:

  • מסננים: אפשר להחיל את המסננים הבאים על פריטים נבחרים (check_box) ברשימה נבחר:
    • שדות
      • הצגת שדות שלא הועשרו
      • הצגת שדות מועשרים
      • הצגת שדות נוספים
      • הצגת השדות שחולצו
    • מקורות יומן להוספת פרטים: האפשרויות הזמינות תלויות באירוע.
  • העתקה: כדי להעתיק את שדות ה-UDM וערכי ה-UDM שנבחרו ללוח של המערכת.
  • הוספה לעמודות: הוספת שדה ה-UDM כעמודה.

כל שדה UDM מסומן בסמל שמציין אם השדה מכיל נתונים מועשרים או לא מועשרים. אלה התוויות של הסמלים:

• ‫U: שדות לא מועשרים מכילים ערכים שאוכלסו במהלך תהליך הנורמליזציה באמצעות נתונים מהיומן הגולמי המקורי.

• ‫E: שדות מועשרים מכילים ערכים ש-Google SecOps מאכלסת כדי לספק הקשר נוסף לגבי פריטי מידע בסביבת הלקוח. מידע נוסף זמין במאמר בנושא העשרת נתונים של אירועים וישויות באמצעות Google SecOps.

  בכל שדה מועשר אפשר להציג את כל המקורות המשויכים. המידע הזה שימושי לצורך אימות ופתרון בעיות, ויכול להיות שיידרש למטרות ביקורת ותאימות. אפשר גם לסנן שדות לפי מקור ההעשרה שלהם.

איור 6. שדות UDM מועשרים ולא מועשרים בכרטיסייה Event Fields ב-Event Viewer, שמציגים מקורות של שדות מועשרים.

איור 7. אפשר להשתמש במסנן שבכרטיסייה Event Fields כדי להציג או להסתיר שדות לפי מאפיינים שונים.

שימוש בכרטיסייה 'יומן גולמי'

בכרטיסייה יומן גולמי מוצגות הכניסות המקוריות בפורמטים הבאים:

• ערכים גולמיים
• JSON
• XML
• CSV
• Hex/ASCII

שימוש בכרטיסייה "התראות"

בכרטיסייה התראות מוצגות ההתראות שמשויכות לאירוע.

הכרטיסייה התראות מוצגת רק לתוצאות של UDM מהטבלה אירועים.

שימוש בכרטיסייה 'ישויות'

בכרטיסייה ישויות מוצגות הישויות שמשויכות לאירוע.

לוחצים על ישות כדי להציג את תיבת הדו-שיח הקשר של הישות, שיכולה לכלול את הפריטים הבאים:

• שם הנכס
• הוצגה לראשונה
• נראה לאחרונה
• כתובות IP
• כתובות MAC
• מספר ההתראות
• מספר ההתראות הגבוה ביותר לפי כלל
• תרשים עמודות של התראות לאורך זמן
• הקישור Open Alerts & IOCs
• הקישור צפייה בכרטיסיית ההתראות

צפייה במידע וניהול שלו בכרטיסייה 'התראות וזיהויים'

בכרטיסייה התראות וזיהויים אפשר:

• איתור איומים בכל הפעלות הכללים
• השוואה בין טריגרים של התראות שניתן לפעול לפיהן לבין אירועים מקדימים התנהגותיים עם רמת רעש נמוכה
• הגדרת גבולות האירוע בתצוגה מאוחדת אחת

בכרטיסייה התראות וזיהויים מוצגות התראות וזיהויים שתואמים לקריטריוני החיפוש הפעילים. השילוב של התראות וזיהויים בכרטיסייה אחת מאפשר לבדוק התראות ברמת חומרה גבוהה לצד התאמות לכללי התנהגות בסיסיים, כדי לחשוף סימנים מקדימים עם רעש נמוך שלא חצו את סף ההתראה באופן עצמאי.

התראות הן אירועים ב-UDM וטלמטריה של מחברים של צד שלישי שתויגו עם ספי התראה או התראות ברמת חומרה גבוהה. בספירה Alerts מוצגים נתוני טלמטריה של יומני UDM שהפעילו כלל התראה (alert_state = "ALERTING"), יחד עם התראות בעדיפות גבוהה שנקלטו ממחברי אבטחה של צד שלישי (כמו CrowdStrike או SOAR webhooks).

זיהויים הם כל הפלטים של הפעלת כללים שיוצרים התראות (ALERTING) ושלא יוצרים התראות (NOT_ALERTING) שנוצרו על ידי כללי YARA-L 2.0 בסביבה שלכם. בכרטיסייה מוצגים הפלטים המלאים של הפעלת הכללים שנוצרו על ידי מנוע הזיהוי YARA-L 2.0, גם לגבי היטים של כללים שיוצרים התראות וגם לגבי היטים של כללים שלא יוצרים התראות. כל התראה שנוצרת על ידי כלל היא גם זיהוי (ALERTING), אבל המספר Detections כולל גם את כל ההתאמות לכללים שנותנים מידע, שפועלים ברקע או שלא יוצרים התראות (NOT_ALERTING).

המספר בכותרת הכרטיסייה מסווג את ההתאמות של הפעלת הכללים לפי סטטוס ההתראה. לדוגמה, אם כותרת הכרטיסייה היא Alerts (43) & Detection (0), זה אומר שיש 43 התאמות שבהן alerting_rule = true ואפס הרצות של כללים שלא מפעילים התראות (NOT_ALERTING).

הכרטיסייה התראות וזיהויים כוללת את החלוניות הבאות:

• תרשים מגמות השינוי לאורך זמן
• החלונית צבירות
• החלונית Detections

טיפ: לוחצים על אפשרויות תצוגה כדי להסתיר או לבטל את ההסתרה של התרשים ושל החלונית צבירת נתונים.

שימוש בתרשים של מגמת ההתעניינות לאורך זמן

הכרטיסייה Trend over time (מגמת השימוש לאורך זמן) בכרטיסייה Alerts & Detections (התראות וזיהויים) כוללת תרשים (היסטוגרמה) של נפח הזיהוי לאורך זמן. הרוחב של כל עמודה אנכית משתנה באופן דינמי בהתאם לחלון החיפוש הכולל (לדוגמה, כל עמודה יכולה לייצג 10 דקות בחלון חיפוש של 24 שעות).

בתרשים, כל ההתאמות של הפעלת הכללים לאורך זמן מקובצות בסדרה נצברת אחת עם התווית זיהויים.

הערה: בכותרת הכרטיסייה מוצגים ערכי הספירה והממצאים מחולקים לפי מצב ההתראה (לדוגמה, התראות (43) וזיהויים (0)), ואילו בתרשים מגמה לאורך זמן כל מופעי הזיהוי נצברים כעמודות זיהויים.

התרשים תומך באפשרויות הבאות:

• התאמת טווח הזמן: אפשר לגרור את אמצעי הבקרה של פס ההזזה בציר הזמן כדי לצמצם באופן מיידי את חלון הזמן שמוצג. רשת התוצאות והצבירות מתעדכנות בלי להריץ מחדש את השאילתה מול העורף.
• הצגת הצבירות והזיהויים של חלון זמן של עמודה אחת: לוחצים על עמודה כדי לצמצם את המיקוד של התרשים, הכרטיסייה Aggregations והכרטיסייה Detections לחלון הזמן של אותה עמודה. הפעולה הזו יוצרת מסנן שמוצג לצד הלחצן filter_list הוספת מסנן. כדי להציג שוב את כל התוצאות, צריך למחוק את המסנן.
• חלון קופץ עם פרטים: לחיצה על אחת מהעמודות פותחת תיבת דו-שיח עם השעה והערכים של זיהויים שנשלחה לגביהם שאילתה וזיהויים שסוננו.

שימוש בחלונית Aggregations כדי לצמצם את תוצאות הזיהוי

התוכן של החלונית Aggregations בכרטיסייה Alerts & Detections מסכם את הערכים של תוצאות הזיהוי בתדירות גבוהה, שבהם אתם יכולים להשתמש כדי לצמצם את תוצאות החיפוש.

החלונית Aggregations כוללת שלוש רשימות שניתן לכווץ: Detection fields,‏ UDM fields (רשימה של שדות UDM תואמים) ו-Entity Fields.

בכל שדה מוצג "מספר ההתאמות", כלומר מספר ההתראות שזוהו עם אותו ערך בשדה הזה. התוכן של הרשימות ממוין מהמספר הגבוה ביותר של התאמות למספר הנמוך ביותר, ובסדר אלפביתי בתוך אותו מספר התאמות. אפשר לחפש שדות ברשימות ולהרחיב פריט של שדה.

כדי להצמיד שדה לראש הרשימה Aggregations, מציבים את הסמן מעל השדה ולוחצים על הסמל שמירה Keep.

חיפוש תוצאות של זיהוי התראות בחלונית Aggregations

אפשר לחפש שדות ספציפיים או ערכים של שדות באמצעות שדה החיפוש בלוח צבירות. כך תוכלו להתמקד בהתראות שהכי חשובות לכם.

אלה מאפייני ההתראות העיקריים לסינון התראות בחלונית צבירות:

• גודל אות
• שם
• עדיפות
• חוּמרה
• סטטוס
• החלטה

סינון תוצאות של זיהוי התראות בחלונית Aggregations

כדי לסנן את תוצאות זיהוי ההתראות באמצעות צבירות, מבצעים את הפעולות הבאות:

1. בחלונית Aggregations, בוחרים שדה מהרשימה כדי להציג רשימה של ערכים בשדה הזה.

2. בוחרים ערך מהרשימה ולוחצים על more_vert סמל האפשרויות הנוספות.

3. בוחרים אפשרות סינון:

   • הצגה רק של: הטבלה Detections מתעדכנת כך שיוצגו בה רק התראות תואמות, והמסנן = "value" מוצג לצד הלחצן filter_list Add filter.
   • סינון: הטבלה זיהויים מתעדכנת וההתראות התואמות מסוננות, והמסנן != "value" מוצג לצד הלחצן filter_list הוספת מסנן.
   • גדול מ- (לשדות של מספרים שלמים בלבד): הטבלה זיהויים מתעדכנת ומוצגות בה התראות עם ערך שגדול מהערך הזה, והמסנן > "value" מוצג ליד הלחצן filter_list הוספת מסנן.
   • גדול או שווה ל- (רק לשדות של מספרים שלמים): הטבלה Detections מתעדכנת כך שיוצגו בה התראות עם ערך שגדול או שווה לערך הזה, והמסנן >= "value" מוצג לצד הכפתור filter_list Add filter.
   • פחות מ- (לשדות של מספרים שלמים בלבד): הטבלה זיהויים מתעדכנת ומוצגות בה התראות עם ערך נמוך מהערך הזה, והמסנן < "value" מוצג לצד הלחצן filter_list הוספת מסנן.
   • קטן או שווה ל- (לשדות של מספרים שלמים בלבד): הטבלה זיהויים מתעדכנת ומוצגות בה התראות עם ערך שקטן או שווה לערך הזה, והמסנן <= "value" מוצג לצד הלחצן filter_list הוספת מסנן.
   • העתקה: העתקת צמד השדה והערך ללוח.

• כדי למחוק מסנן ולעדכן את תוצאות הזיהוי של ההתראה, מוחקים את המסנן שמוצג ליד הלחצן filter_list הוספת מסנן.

שימוש בחלונית 'זיהויים'

בחלונית זיהויים אפשר לראות, למיין ולנהל את הפריטים שתואמים לחיפוש.

מידע על הפונקציות והכלים שנתמכים בכרטיסייה הזו זמין במאמר שימוש בכלים נפוצים לטבלאות. הפונקציות הנתמכות כוללות ניהול העמודות בטבלה שמוצגת בכרטיסייה, הורדת תוצאות החיפוש ועוד.

בדיקת פרטים ספציפיים של התראה יחידה (כלי לצפייה בהתראות)

• כדי לבדוק פרטים ספציפיים של התראה אחת, לוחצים על שורה בטבלה Detections (זיהויים). מציג ההתראות נפתח.

הכלי לצפייה בהתראות כולל את הכרטיסיות הבאות:

• שדות זיהוי
• פרטים
• משתנים

• ישויות
  
  

• כדי לעבור לדף אחר במסוף Google SecOps עם פרטי ההתראה, לוחצים על View details.

שימוש בכרטיסייה "שדות זיהוי"

כברירת מחדל, בכרטיסייה שדות זיהוי מוצגים שדות זיהוי במבנה עץ היררכי, שנקרא נבחרו.

בכרטיסייה Detection Fields אפשר לבצע את הפעולות הבאות:

• הצגת הגדרה של שדה. כדי לראות את ההגדרה של שדה, מציבים את הסמן מעל שם השדה.
• הצמדת שדה לגישה מהירה. ברשימה Selected, בוחרים שדה ולוחצים על keep pin. השדה מוצג ברשימה מוצמדים. השדות נשארים ברשימה Selected, וההיררכיה שלהם ברשימה Pinned list מוצגת בסימון מופרד בנקודות עם הקידומת collection (לדוגמה, collection.created_time).
• להוסיף לעמודות או להעתיק כמה שדות. מסמנים את התיבה לצד צומת או שדה, ואז בוחרים באפשרות הוספה לעמודות או העתקה.

• מבצעים את הפעולות הבאות:

  • מפעילים מסננים על הרשימה נבחרו.
  • הוספה לעמודות: הוספת השדה כעמודה.
  • העתקה: כדי להעתיק את השדות והערכים שנבחרו ללוח המערכת.

שימוש בכרטיסייה "פרטים"

בכרטיסייה פרטים מוצגים פרטי ההתראה. קבוצת השדות עם הפרטים משתנה בהתאם להתראה הספציפית.

דוגמאות לשדות פרטים:

• שם (תמיד התראה)
• סוג
• חוּמרה
• דירוג סיכונים
• סטטוס
• עדיפות
• זוהה
• חלון הזיהוי
• נוצר
• כלל
• קבוצת כללים
• תיאור
• תגים

שימוש בכרטיסייה "משתנים"

בכרטיסייה משתנים מוצגים השדה, הסוג והערך של כל משתנה שמשויך להתראה.

שימוש בכרטיסייה 'ישויות'

הכרטיסייה ישויות מוצגת רק אם יש ישות שמשויכת להתראה.

בכרטיסייה ישויות מוצגות הישויות שמשויכות להתראה.

לוחצים על ישות כדי להציג את תיבת הדו-שיח הקשר של הישות, שיכולה לכלול את הפריטים הבאים:

• שם הנכס
• הוצגה לראשונה
• נראה לאחרונה
• כתובות IP
• כתובות MAC
• מספר ההתראות
• מספר ההתראות הגבוה ביותר לפי כלל
• תרשים עמודות של התראות לאורך זמן
• הקישור Open Alerts & IOCs
• קישור לצפייה בכרטיסייה "התראות"

הצגה וניהול של מידע בכרטיסייה 'סקירה כללית'

בכרטיסייה סקירה כללית אפשר:

• בודקים את ההיסטוריה של הישות (נראתה לראשונה, נראתה לאחרונה, כתובות MAC)
• בודקים אם האינדיקטורים שנצפו חופפים למקרים או להתראות של פעולות אבטחה פעילות

בכרטיסייה סקירה כללית מוצג תרשים הקשר של הישות (ECG) המאוחד, פרטים על נכס או משתמש וסקירה כללית של החקירה לגבי אינדיקטורים לפריצה (IOC) או ישויות שתואמות לחלון החיפוש הפעיל. המידע שמוצג משתנה בהתאם לסוג המידע.

בכרטיסייה סקירה כללית מוצג מידע על הישות באחד מסוגי המידע המוגדרים מראש הבאים:

• פרטי הנכס
• פרטי הדומיין
• פרטי הקובץ
• פרטי כתובת ה-IP
• פרטי המשתמש

צפייה בפרטי הנכס בכרטיסייה 'סקירה כללית'

כשהשאילתה כוללת תנאי שמחזיר נכס ספציפי – לדוגמה, principal.hostname="laptop-will" או principal.ip="10.0.0.76" – בכרטיסייה סקירה כללית מוצגת תצוגת הנכס עם מידע בחלוניות הבאות:

• סיכום החיפוש: מציג את המידע הבא:
  • פרטים על הישות, כולל כתובת ה-IP וכתובת ה-MAC שמשויכות לנכס במהלך טווח הזמן של החיפוש. אפשר גם להשתמש בכתובת ה-IP ובכתובת ה-MAC כדי לזהות ישות, וללחוץ עליהן כדי להציג מידע נוסף בכלי להצגת ישויות. בנוסף, מוצגת הפעם הראשונה שבה הנכס נראה בארגון והפעם האחרונה שבה הוא נראה. אתם יכולים ללחוץ על אחת מחותמות הזמן (הראשונה או האחרונה) כדי להריץ חיפוש חדש לפי השעה הזו.
  • פרטים על התראות, כולל תרשים שמציג את מספר ההתראות שכללו את הישות בטווח תאריכים של החיפוש. בחלונית מופיעה גם קבוצת משנה של כללים עם מספר ההתראות הגבוה ביותר.
  • לוחצים על פתיחת התראות ו-IOC כדי לראות את כל ההתראות שנוצרו באותו טווח תאריכים של החיפוש.
  • לוחצים על הצגה בכרטיסייה 'התראות' כדי לעבור לכרטיסייה התראות וזיהויים בדף הזה ולהתחיל חיפוש חדש של הישות שנבחרה.
  • לוחצים על אחת מהעמודות בתרשים כדי לעבור לכרטיסייה Alerts & Detections בדף הזה ולהתחיל חיפוש חדש בישות שנבחרה, לפי טווח הזמן של העמודה שנלחצה.
  • לוחצים על הקישור הצגת פרטים נוספים כדי לפתוח את התצוגה שדות של ישויות ולהציג את כל השדות של הישויות שמשויכים לנכס. כדי להעתיק שדה של ישות ללוח, מסמנים את התיבה לצד השדה של הישות, לוחצים על הצגת פעולות ואז על העתקת ישות. כדי לבחור את כל הישויות, לוחצים על תיבת הסימון בחלק העליון של הדף.
• ‫Relevant IOCs: מציג את ה-IOC שמשויכים לנכס. אינדיקטורים לפריצה (IOC) עם רמת חומרה גבוהה יותר מוצגים קודם. לחיצה על שם ה-IOC פותחת את מציג הישויות משמאל.
• ישויות משויכות: מוצגות ישויות אחרות שהנכס הזה קשור אליהן, כמו משתמשים שנכנסו לנכס. בחלונית מוצגים סוג הישות, מתי היא זוהתה לראשונה בסביבה ומתי היא זוהתה לאחרונה. הוא גם מציג את כל מרחבי השמות שמשויכים לנכס. לוחצים על ישות כדי לפתוח את החלונית Entity context. לוחצים על הצגת כל הזמן כדי להציג את הישויות המשויכות לאורך כל התקופה הזמינה, ולא רק בטווח שצוין בחיפוש ב-UDM.
• הקשר של הישות: מוצגים פרטים על הישות שבחרתם בחלונית ישויות משויכות. בחלונית הזו מוצג מידע שונה בהתאם לסוג הישות שבחרתם בחלונית ישות משויכת (לדוגמה, משתמש או דומיין).

הצגת פרטי הדומיין בכרטיסייה "סקירה כללית"

אם השאילתה כוללת תנאי שמציין דומיין ספציפי, למשל target.hostname="example.com", בכרטיסייה סקירה כללית מוצגים הפרטים של הדומיין עם מידע בחלוניות הבאות:

• סיכום החיפוש: מציג את המידע הבא:
  • פרטים על הדומיין, כולל מידע WHOIS שמשויך לדומיין הרשום, הפעם הראשונה שבה הוא נצפה בארגון והפעם האחרונה (העדכנית) שבה הוא נצפה. לוחצים על VT Context כדי לראות מידע על הדומיין מ-VirusTotal.
  • פרטים על התראות, כולל תרשים שמציג את מספר ההתראות שקשורות לישות בטווח התאריכים של החיפוש. בחלונית מפורטות גם קבוצת משנה של כללים עם המספר הגבוה ביותר של התראות.
  • לוחצים על Open Alerts & IOCs (פתיחת התראות ו-IOC) כדי לראות את כל ההתראות שנוצרו במהלך אותו טווח זמן של החיפוש.
  • לוחצים על View In Alerts Tab כדי לעבור לכרטיסייה Alerts & Detections בדף הזה ולהתחיל חיפוש חדש בישות שנבחרה.
  • לוחצים על אחד מהעמודות בתרשים כדי לעבור לכרטיסייה התראות וזיהויים בדף הזה ולהתחיל חיפוש חדש של הישות שנבחרה, באמצעות טווח הזמן של העמודה שלחצתם עליה.
  • לוחצים על הקישור View more כדי לפתוח את התצוגה Entity fields ולהציג את כל שדות הישות שמשויכים לדומיין. כדי להעתיק שדה של ישות ללוח, מסמנים את התיבה לצד השדה של הישות, לוחצים על View actions ואז על Copy entity. לוחצים על תיבת הסימון בחלק העליון כדי לבחור את כל הישויות.
• כתובות IP שנפתרו: מוצגות כל כתובות ה-IP שנפתרו שנצפו בארגון שלכם עבור שם הדומיין שמוגדר במלואו (FQDN). לדוגמה, אם מחפשים את target.hostname="test.altostrat.com", יכול להיות שיוצגו בתוצאות החיפוש שתי כתובות IP שפוענחו (198.51.100.81 ו-203.0.113.81).
• תתי-דומיינים ודומיינים אחים: מציג את כל תתי-הדומיינים המשויכים שנראו בארגון שלכם עבור FQDN נתון. הרבה גורמים עוינים משתמשים באותו דומיין ותת-דומיין למתקפות שלהם. לדוגמה, אם מחפשים את target.hostname="sandbox.altostrat.com", בחלונית הזו מוצגים שני תת-דומיינים, test.sandbox.altostrat.com ו-staging.sandbox.altostrat.com.
• ‫Prevalence of Assets: מספר הנכסים בארגון שהתחברו לדומיין במהלך כל התקופה של הנתונים ששמורים בחשבון Google Security Operations. כל עמודה בתרשים מייצגת את מספר הנכסים הייחודיים בארגון שהתחברו לדומיין ביום UTC. כשמעבירים את העכבר מעל עמודה, מוצגות הישויות שקשורות ליום ב-UTC שמיוצג על ידי העמודה. לוחצים על שם הישות כדי לראות את הסיכום והסקירה הכללית של הישות בחלונית ההקשר של הישות שמוצגת בצד שמאל. לוחצים על הצגת אירועים כדי לראות את האירועים שקשורים לישות שנבחרה בכרטיסייה "חיפוש אירועים".
• ישויות משויכות: ישויות אחרות שהדומיין הזה קשור אליהן, כמו נכסים שיצרו קשר עם הדומיין הזה. הרשימה כוללת את סוג הישות, מתי היא זוהתה לראשונה בארגון ומתי היא זוהתה לאחרונה. לוחצים על ישות כדי לפתוח את החלונית הקשר של הישות.
• הקשר של הישות: מוצגים פרטים על הישות שבחרתם בחלונית ישויות משויכות. בחלונית הזו מוצג מידע שונה בהתאם לסוג הישות שבחרתם בחלונית Associated Entities (לדוגמה, כתובת IP או דומיין).

צפייה בפרטי הקובץ

כשהשאילתה כוללת תנאי שמחזיר קובץ אחד, למשל principal.process.file.md5="a00000a75f2a35130aa7a7aaa09aaa7a", בכרטיסייה Overview מוצגים פרטי ה-File עם מידע בחלוניות הבאות:

• סיכום החיפוש: מציג את המידע הבא:
  • פרטים על הקובץ, כולל ערכי הגיבוב, גודל הקובץ, הפעם הראשונה שבה הוא זוהה בארגון והפעם האחרונה (העדכנית ביותר) שבה הוא זוהה. לוחצים על VT Context כדי לראות מידע על הקובץ מ-VirusTotal.
  • פרטים על התראות, כולל תרשים שמציג את מספר ההתראות שקשורות לישות בטווח התאריכים של החיפוש. בחלונית מופיעה גם קבוצת משנה של כללים עם מספר ההתראות הגבוה ביותר.
  • לוחצים על Open Alerts & IOCs (פתיחת התראות ו-IOC) כדי לראות את כל ההתראות שנוצרו במהלך אותו טווח זמן של החיפוש.
  • לוחצים על View In Alerts Tab כדי לעבור לכרטיסייה Alerts & Detections בדף הזה ולהתחיל חיפוש חדש בישות שנבחרה.
  • לוחצים על אחד מהעמודות בתרשים כדי לעבור לכרטיסייה התראות וזיהויים בדף הזה ולהתחיל חיפוש חדש של הישות שנבחרה, באמצעות טווח הזמן של העמודה שלחצתם עליה.
  • לוחצים על הקישור View more כדי לפתוח את התצוגה Entity fields ולהציג את כל שדות הישות שמשויכים לקובץ. כדי להעתיק שדה של ישות ללוח, מסמנים את התיבה לצד השדה של הישות, לוחצים על הצגת פעולות ואז על העתקת ישות. לוחצים על תיבת הסימון בחלק העליון כדי לבחור את כל הישויות.
• רכיבי IOC רלוונטיים: רכיבי IOC שמשויכים לקובץ. אינדיקטורים לפריצה (IOC) עם רמת חומרה גבוהה יותר מוצגים קודם. לחיצה על שם ה-IOC פותחת את מציג הישויות משמאל.
• שכיחות הנכסים: מספר הנכסים בארגון שמשויכים לקובץ, לכל תקופת הזמן של הנתונים שמאוחסנים בחשבון Google SecOps.
• ישויות משויכות: ישויות אחרות שהקובץ הזה קשור אליהן, כמו נכס שבו הקובץ הופעל או משתמשים שניגשו לקובץ. הרשימה כוללת את סוג הישות, מתי היא נראתה לראשונה בארגון ומתי היא נראתה לאחרונה. לוחצים על ישות כדי לפתוח את החלונית הקשר הישות.
• מאפיינים ומטא-נתונים של VirusTotal: הצגת מידע על הקובץ ממסד הנתונים של VirusTotal. לוחצים על View more כדי לפתוח תיבת דו-שיח של VirusTotal ולהציג מידע נוסף על הקובץ.
• ישויות משויכות: הצגת מידע שונה בהתאם לסוג הישות שבחרתם בחלונית ישויות משויכות (לדוגמה, משתמש או נכס).
• הקשר הישות: פרטים על הישות שבחרתם בחלונית Associated Entities. בחלונית הזו מוצגים פרטים שונים בהתאם לסוג הישות שבחרתם בחלונית ישויות משויכות (לדוגמה, משתמש או נכס).

הצגת פרטי ה-IP בכרטיסייה "סקירה כללית"

כשהשאילתה כוללת תנאי שמחזיר כתובת IP חיצונית ספציפית, למשל target.ip="203.0.113.254", בכרטיסייה Overview מוצגים פרטי ה-IP עם מידע בחלוניות הבאות:

• סיכום החיפוש: מוצג בו המידע הבא:
  • פרטים על כתובת ה-IP, כולל הפעם הראשונה שבה היא נראתה בארגון והפעם האחרונה (הכי עדכנית) שבה היא נראתה. לוחצים על VT Context כדי לראות את המידע שזמין על כתובת ה-IP הזו מ-VirusTotal.
  • פרטים על התראות, כולל תרשים שמציג את מספר ההתראות שקשורות לישות בטווח התאריכים של החיפוש. בחלונית מפורטות גם קבוצת משנה של כללים עם המספר הגבוה ביותר של התראות.
  • לוחצים על Open Alerts & IOCs (פתיחת התראות ו-IOC) כדי לראות את כל ההתראות שנוצרו במהלך אותו טווח זמן של החיפוש.
  • לוחצים על View In Alerts Tab כדי לעבור לכרטיסייה Alerts & Detections בדף הזה ולהתחיל חיפוש חדש בישות שנבחרה.
  • לוחצים על אחת מהעמודות בתרשים כדי לעבור לכרטיסייה Alerts & Detections בדף הזה ולהתחיל חיפוש חדש בישות שנבחרה, לפי טווח הזמן של העמודה שנלחצה.
  • לוחצים על הקישור View more (הצגת פרטים נוספים) כדי לפתוח את התצוגה Entity fields (שדות ישות) ולהציג את כל שדות הישות שמשויכים לכתובת ה-IP. כדי להעתיק שדה של ישות ללוח, מסמנים את התיבה לצד השדה של הישות, לוחצים על View actions ואז על Copy entity. כדי לבחור את כל הישויות, לוחצים על תיבת הסימון בחלק העליון של הדף.
• רכיבי IOC רלוונטיים: מוצגים רכיבי IOC שמשויכים לכתובת ה-IP. אינדיקטורים לפריצה (IOC) עם רמת חומרה גבוהה יותר מוצגים קודם. לחיצה על שם ה-IOC פותחת את מציג הישויות משמאל.
• שכיחות הנכסים: מספר הנכסים בארגון שהתחברו לכתובת ה-IP במהלך התקופה שצוינה בחיפוש ב-UDM.
• ישויות משויכות: ישויות אחרות שכתובת ה-IP הזו קשורה אליהן, כמו דומיינים שכתובת ה-IP רשומה בהם. הרשימה כוללת את סוג הישות, מתי היא זוהתה לראשונה בארגון ומתי היא זוהתה לאחרונה. לוחצים על ישות כדי לפתוח את החלונית Entity context.
• הקשר הישות: מציג פרטים על הישות שבחרתם בחלונית Associated Entities. בחלונית הזו מוצג מידע שונה בהתאם לסוג הישות שבחרתם בחלונית Associated Entities (לדוגמה, דומיין או נכס). אם הקישור מוצג, לוחצים על VT Context כדי לראות מידע על הישות מ-VirusTotal.

הצגת פרטי המשתמש בכרטיסייה "סקירה כללית"

כשהשאילתה כוללת תנאי שמחזיר משתמש ספציפי, למשל principal.user.userid="alice", בכרטיסייה Overview מוצגים הפרטים של User עם מידע בחלוניות הבאות:

• סיכום החיפוש: מוצג בו המידע הבא:
  • פרטים על הישות, כולל השם המלא, הפעם הראשונה והפעם האחרונה (הכי עדכנית) שהיא נראתה בארגון, התפקיד וכתובת האימייל.
  • פרטים על התראות, כולל תרשים שמציג את מספר ההתראות שקשורות לישות בטווח התאריכים של החיפוש. בחלונית מופיעה גם קבוצת משנה של כללים עם מספר ההתראות הגבוה ביותר.
  • לוחצים על Open Alerts & IOCs (פתיחת התראות ו-IOC) כדי לראות את כל ההתראות שנוצרו במהלך אותו טווח זמן של החיפוש.
  • לוחצים על View In Alerts Tab כדי לעבור לכרטיסייה Alerts & Detections בדף הזה ולהתחיל חיפוש חדש בישות שנבחרה.
  • לוחצים על אחד מהעמודות בתרשים כדי לעבור לכרטיסייה התראות וזיהויים בדף הזה ולהתחיל חיפוש חדש של הישות שנבחרה, באמצעות טווח הזמן של העמודה שלחצתם עליה.
  • לוחצים על הקישור View more כדי לפתוח את התצוגה Entity fields ולהציג את כל שדות הישות שמשויכים למשתמש. כדי להעתיק שדה של ישות ללוח, מסמנים את התיבה לצד השדה של הישות, לוחצים על הצגת פעולות ואז על העתקת ישות. לוחצים על תיבת הסימון בחלק העליון כדי לבחור את כל הישויות.
• ישויות משויכות: מוצגות ישויות שהמשתמש הזה קשור אליהן, כמו דומיינים שהמשתמש יצר איתם קשר או נכסים שהמשתמש ניגש אליהם. הרשימה כוללת את סוג הישות, מתי היא זוהתה לראשונה בארגון ומתי היא זוהתה לאחרונה. לוחצים על ישות כדי לפתוח את החלונית Entity context.
• הקשר של הישות: מוצגים פרטים על הישות שבחרתם בחלונית ישויות משויכות. המידע בחלונית הזו משתנה בהתאם לסוג הישות (לדוגמה, נכס או דומיין).

הצגה וניהול של מידע בכרטיסייה "הצגה חזותית"

בכרטיסייה הצגה חזותית אפשר להפוך את הנתונים מתוצאות החיפוש של STATS לתרשים, לגרף או לטבלה.

שימוש בכלים נפוצים לטבלאות

בדף SIEM Search, רוב החלוניות שמכילות טבלה אחת תומכות באותן פונקציות וכלים נפוצים.

בקטע הזה מתוארות הפונקציות והכלים הנפוצים הבאים:

• תיבת החיפוש. משתמשים בתיבת החיפוש כדי למצוא תוצאות תואמות בטבלה הסמוכה.
• ניהול עמודות בטבלה ושיתוף קבוצות של עמודות (מנהל העמודות).
• הלחצן גלישת טקסט – ביטול גלישת טקסט. גלישת טקסט היא כלי שימושי כשרוצים לראות מחרוזות ארוכות בעמודה.
• הורדת תוצאות חיפוש מטבלה
• Rows per page בתחתית הטבלה. אתם יכולים להשתמש בכלי הזה כדי לשפר את היציבות והביצועים של הדפדפן כשנטען מספר גדול של רשומות תוצאות (שורות). ב-Google SecOps מוצגות תוצאות חיפוש עם מספור עמודים. משתמשים ברשימה שורות בכל דף בטבלה אירועים כדי לבחור את מספר השורות שיוצגו בכל דף (10 עד 1,000 אירועים).

ניהול עמודות בטבלה ושיתוף קבוצות של עמודות (הכלי לניהול עמודות)

כדי להשתמש בתצוגה עקבית כשמנתחים נתוני אירועים, אפשר ליצור, לשמור ולשתף קבוצות של עמודות בהתאמה אישית עבור הטבלאות הבאות בדף SIEM Search:

• בחלונית תוצאות, בטבלאות הבאות: אירועים, יומנים גולמיים, צירופים
• בטבלה Detections בכרטיסייה Alerts & Detections.

כדי להשתמש בפונקציונליות הזו, חשבון המשתמש או התפקיד שלכם בניהול זהויות והרשאות גישה (IAM) חייבים לכלול את כל חמש ההרשאות הבאות:

• chronicle.googleapis.com/savedColumnSets.create
• chronicle.googleapis.com/savedColumnSets.update
• chronicle.googleapis.com/savedColumnSets.delete
• chronicle.googleapis.com/savedColumnSets.list
• chronicle.googleapis.com/savedColumnSets.get

הערה: הכרטיסייה נתונים סטטיסטיים תומכת רק ב בורר עמודות שבו אפשר רק להוסיף או להסיר עמודות. הכרטיסייה נתונים סטטיסטיים לא תומכת בפונקציונליות של מנהל העמודות.

יצירת קבוצת עמודות

השלבים ליצירת קבוצת עמודות משתנים מעט בהתאם לטבלה שבה אתם משתמשים.

כדי ליצור קבוצת עמודות בטבלה אירועים, יומנים גולמיים או צירופים:

1. לוחצים על עמודות כדי לפתוח את כלי ניהול העמודות.
2. לוחצים על סמל filter_alt הסינון כדי לציין אם להציג עמודות שלא רלוונטיות.
3. לוחצים על המתג הצגת הנבחרים כדי להציג רק את העמודות שנבחרו בכרטיסייה עמודות אירועים.
4. בכרטיסייה עמודות של אירועים, מוסיפים עמודות לקבוצת העמודות או מסירים ממנה עמודות. אתם יכולים לעיין בשדות או לחפש אותם בקטעים שניתן לכווץ (הם משתנים בהתאם לסוג של תוצאת החיפוש) – לדוגמה, שדות מהירים (השדות הנפוצים ביותר לכל סוג נתונים), שדות מקובצים, כל שדות האירועים וכל שדות הישויות. מסמנים את תיבות הסימון כדי להציג או להסתיר עמודות.
5. מסדרים את העמודות ולוחצים על שמירה. תיפתח תיבת הדו-שיח שמירה של קבוצת העמודות.
6. בוחרים באחת מהאפשרויות הבאות:
   • שמירה: נותנים שם חדש לקבוצת העמודות.
   • החלפה: אם שיניתם קבוצה שכבר שמרתם, אתם יכולים להחליף את הקבוצה הקיימת בקבוצה עם השינויים.
7. לוחצים על Save. קבוצת העמודות מופיעה בכרטיסייה קבוצות של עמודות.

כדי ליצור קבוצת עמודות לטבלה Detections:

1. לוחצים על עמודות כדי לפתוח את מנהל העמודות.
2. לוחצים על סמל הסינון filter_alt כדי לציין אם להציג עמודות לא רלוונטיות.

3. ברשימה סוג הטבלה, בוחרים את סוג הטבלה שרוצים ליצור לה קבוצת עמודות:

   • זיהויים
   • אירועים
   • ישויות (כדי לראות את העמודות, צריך להרחיב את שורות הטבלה).

   שינויים שתבצעו בסוג מסוים של טבלה יחולו רק על טבלאות וטבלאות משנה מהסוג הזה.

4. לוחצים על המתג הצגת העמודות שנבחרו כדי להציג רק את העמודות שנבחרו בכרטיסייה המתאימה (עמודות של זיהויים, עמודות של אירועים או עמודות של ישויות).

5. בכרטיסייה המתאימה, מוסיפים או מסירים עמודות לקבוצת העמודות. אפשר לעיין בשדות או לחפש אותם בקטעים שניתנים לכיווץ (הקטעים משתנים בהתאם לסוג תוצאת החיפוש). מסמנים את תיבות הסימון כדי להציג או להסתיר עמודות.

6. מסדרים את העמודות ולוחצים על שמירה. תיפתח תיבת הדו-שיח שמירת קבוצת העמודות.

7. בוחרים באחת מהאפשרויות הבאות:

   • שמירה: נותנים שם חדש לקבוצת העמודות.
   • החלפה: אם שיניתם קבוצה שכבר שמרתם, אתם יכולים להחליף את הקבוצה הקיימת בקבוצה עם השינויים.

8. לוחצים על Save. קבוצת העמודות מופיעה בכרטיסייה קבוצות עמודות.

שיתוף של קבוצת עמודות

כדי לשתף קבוצת עמודות עם כל המשתמשים האחרים בדייר שלכם ב-Google SecOps:

1. לוחצים על עמודות כדי לפתוח את מנהל העמודות.
2. בכרטיסייה עמודות של אירועים, מוסיפים עמודות לקבוצת העמודות או מסירים ממנה עמודות. אפשר לעיין בשדות או לחפש אותם בקטעים שניתנים לכיווץ (הקטעים משתנים בהתאם לסוג תוצאת החיפוש) – למשל, שדות מהירים (השדות הנפוצים ביותר לפי סוג הנתונים), שדות מקובצים, כל שדות האירועים וכל שדות הישויות. מסמנים את תיבות הסימון כדי להציג או להסתיר עמודות.
3. מסדרים את העמודות ולוחצים על שיתוף. תיפתח תיבת הדו-שיח שיתוף של קבוצת עמודות.
4. בוחרים באחת מהאפשרויות הבאות:
   • שיתוף כחדש: מזינים שם חדש לקבוצת העמודות שרוצים לשתף.
   • שיתוף של קבוצה קיימת: בוחרים קבוצה שנשמרה בעבר מהרשימה.
5. לוחצים על שיתוף. קבוצת העמודות מופיעה בכרטיסייה קבוצות של עמודות עם התג משותף.

טעינה של קבוצת עמודות שמורה

כדי לטעון קבוצת עמודות שמורה, מבצעים את הפעולות הבאות:

1. לוחצים על עמודות כדי לפתוח את כלי ניהול העמודות.
2. לוחצים על הכרטיסייה קבוצות של עמודות.
3. בוחרים את קבוצת העמודות שרוצים לטעון ולוחצים על אישור.

מחיקה של קבוצת עמודות שמורה

כדי למחוק קבוצת עמודות שמורה:

1. לוחצים על עמודות כדי לפתוח את כלי ניהול העמודות.
2. לוחצים על הכרטיסייה קבוצות של עמודות.
3. בוחרים את קבוצת העמודות, לוחצים על עוד > מחיקה.

הורדת תוצאות חיפוש מטבלה

אתם יכולים להוריד ולשמור קובץ CSV שמכיל את התוכן של טבלה שמוצגת בדף חיפוש ב-SIEM. בטבלה Events או בטבלת צירים, יש גם אפשרות לאגד את היומנים הגולמיים המקוריים, וכך לקבל התאמה מדויקת בין רשומות UDM מנותחות לבין נתוני הטלמטריה שלהן במקור. התכונה הזו מיועדת לצוותים שנדרש להם עיבוד של ניתוח חיצוני, נתיבי ביקורת לצורך תאימות שבהם צריך לשמור על הקשר בין נתונים מנורמלים לבין נתונים מקוריים שנקלטים, או קורלציה חיצונית.

כדי להוריד את תוצאות החיפוש (עד המספר המקסימלי שצוין של תוצאות חיפוש) מהטבלה אירועים:

1. אופציונלי: משתמשים במנהל העמודות כדי לציין אילו שדות UDM לכלול בקובץ ה-CSV. העמודה Raw Log נוספת על סמך הבחירה שלכם.

2. לוחצים על הורדה בחלק העליון של הטבלה ובוחרים באחת מהאפשרויות הבאות:

   • הורדה כקובץ CSV: הורדת האירועים התואמים (בהתאם למספר המדויק של האירועים שצוינו).
   • הורדה כקובץ CSV (עם יומנים גולמיים): הורדה של האירועים התואמים והוספה של מחרוזות יומן מקוריות שלא עברו ניתוח כעמודה ייעודית לצד כל רשומה מנורמלת של UDM (בהתאם למספר המדויק של האירועים שצוינו).

3. שומרים את הקובץ.

כדי להוריד תוצאות חיפוש (עד המספר המקסימלי שצוין של תוצאות חיפוש) מטבלאות בכרטיסייה תוצאה, מלבד החלונית אירועים או החלונית Pivot:

1. לוחצים על הורדה בראש הטבלה ובוחרים באפשרות הורדה כקובץ CSV. הפעולה הזו מורידה את התוצאות התואמות (ובהתאם למספר המדויק שמוצג של האירועים שצוינו).
2. שומרים את הקובץ.

כדי להוריד את תוצאות החיפוש (עד המספר המקסימלי שצוין של תוצאות חיפוש) מהטבלה זיהויים:

1. לוחצים על הורדה בחלק העליון של הטבלה ובוחרים באפשרות הורדה כקובץ CSV. התוצאות התואמות יורדות (לפי המספר המדויק של האירועים שצוינו).
2. שומרים את הקובץ.

שדות נתמכים כששומרים קובץ CSV

אפשר להוריד מהפלטפורמה את השדות הבאים לקובץ CSV:

• user
• hostname
• process name
• timestamp
• ‫raw log: תקף רק כשהיומנים הגולמיים מופעלים אצל הלקוח
• כל השדות שמתחילים ב-udm.additional

סוגי שדות תקינים כששומרים קובץ CSV

אפשר להוריד את סוגי השדות הבאים לקובץ CSV:

• double
• float
• int32
• uint32
• int64
• uint64
• bool
• string
• enum
• bytes
• google.protobuf.Timestamp
• google.protobuf.Duration

שדות שלא נתמכים כששומרים קובץ CSV

אי אפשר להוריד לקובץ CSV שדות שעומדים באחד מהקריטריונים הבאים:

• סוג השדה: סוגי נתונים שמוגדרים כהודעה או כקבוצה ב-UDM proto.
• עומק השדה: שדות שמוטמעים ביותר מ-10 רמות.

• שדות ספציפיים בממשק המשתמש: השדות הבאים שמוצגים בממשק המשתמש לא נתמכים בהורדה ישירה:

  • שדות של אירועים:

    • סטטוס האירוע
    • סיכום האירוע

    • סוג האירוע

      הערה: כדי להוריד את סוג האירוע, בוחרים בשדה metadata.event_type בColumn Manager.

  • תרשים הקשר של ישויות:

    • נראה לראשונה
    • התחבר לאחרונה
    • חותמת הזמן

  • חיפוש מאוחד:

    • קוד המופע

מגבלות ומכסות

מערכת Google SecOps אוכפת מגבלות על שאילתות חיפוש כדי להבטיח את יציבות הפלטפורמה וביצועים עקביים בממשקים פרוגרמטיים ובממשקי אינטרנט. המגבלות האלה חלות גם על Backstory API וגם על Chronicle API.

מכסות לחיפוש ול-API

המגבלות הבאות חלות על מספר שאילתות החיפוש והפעולות בו-זמנית לכל דייר:

• שאילתות לשעה (QPH): המגבלה בממשק של מסוף האינטרנט היא 1,000 QPH, והמגבלה בגישה פרוגרמטית ל-API היא 2,000 QPH.

• שאילתות פשוטות (במשך פחות מ-24 שעות, ממקור יחיד, ללא נתונים סטטיסטיים): מגבלת מקסימום של 180 שאילתות בו-זמניות לכל דייר.

  אם מאגר המקבילות של השאילתות הפשוטות יתמלא, הפעולות יועברו אוטומטית למכסת השאילתות המורכבות שזמינה לכם.

• שאילתות מורכבות (שנמשכות יותר מ-24 שעות, מגיעות ממקורות מרובים או כוללות נתונים סטטיסטיים): מגבלת מקסימום של 180 שאילתות בו-זמניות לכל דייר.

• מגבלת ההנחיות לשדות UDM: שאילתה אחת מוגבלת להפניה ל-100 שדות UDM לכל היותר בתוך ההנחיה.

שגיאות הקשורות למכסות

כשמגיעים למגבלה, בממשק האינטרנט מוצגת הודעת שגיאה קבועה לגבי המכסה. בגישה פרוגרמטית, קריאות ל-API (כמו instances.udmSearch) מחזירות שגיאת סטטוס HTTP‏ 429 RESOURCE_EXHAUSTED שמכילה הודעת google.rpc.QuotaFailure עם פירוט של המגבלה הספציפית שחרגתם ממנה.

מגבלות על קבוצת התוצאות והתצוגה

כדי לשנות את המגבלה של הקצה העורפי (1 עד 1,000,000, ברירת המחדל היא 30,000), משתמשים בהגדרות החיפוש  > מספר התוצאות המקסימלי להחזרה.

כדי להבטיח יציבות עקבית של הפלטפורמה וזמני תגובה מהירים בממשקי האינטרנט וה-API, ‏ Google SecOps אוכפת את המגבלות הבאות:

חיפוש לפי סוג או מקור נתונים	המספר המקסימלי של תוצאות שמוחזרות	התנהגות התצוגה של מסוף האינטרנט
חיפוש אירועים ב-UDM	‫1,000,000 רשומות	הן מוצגות ישירות בחלונית אירועים שבכרטיסייה תוצאות. הצגת הרשומות האחרונות בשורות שמחולקות לדפים (10 עד 1,000 לדף).
טבלאות נתונים ואיחודים	‫1,000,000 רשומות	שורות עם קורלציה מופיעות בחלונית אירועים בכרטיסייה תוצאות, בהתאם להגדרות של מנהל העמודות.
פניות והיסטוריית פניות	‫1,000,000 רשומות	הן מופיעות ישירות בחלוניות Cases ו-Case History בכרטיסייה Results. מוצג בהקשר של סקירה כללית או באמצעות שאילתות של חיפוש אירועים.
נתונים סטטיסטיים	‫100,000 רשומות (ממשק משתמש ו-API של פעולות ממושכות בלבד)	מוצגים ישירות בחלונית נתונים סטטיסטיים בכרטיסייה תוצאות. התרשימים מציגים את הערכים המובילים כדי שיהיה קל לקרוא אותם. אם יש חריגה מהמגבלות החזותיות, מוצגת אזהרה.
צבירת נתונים בטבלת צירים (תוצאות > ציר)	‫100,000 רשומות	התרשימים מציגים את הערכים המובילים כדי שיהיה קל לקרוא אותם, ומוצגת אזהרה כשחורגים מהמגבלות החזותיות.
זיהויים של כללים	‫100,000 רשומות	הן מוצגות ישירות בכרטיסייה המשולבת התראות וזיהויים.
תרשים הקשר של ישויות (ECG)	‫1,000,000 רשומות	מוצגות בחלוניות נתונים מתוזמנים ונתונים לא מתוזמנים בכרטיסייה תוצאות. בטבלה בחלונית נתונים מתוזמנים מוצגות ישויות שהוגדר להן טווח זמן. בטבלה שבכרטיסייה Timeless Data (נתונים שלא מוגבלים בזמן) מוצגות ישויות שלא הוגדר להן טווח תאריכים. יכול להיות שבממשק יוצגו רק ישויות ללא תזמון, או רק ישויות עם תזמון, או שילוב אחר שלהן בכל פעם שהשאילתה תופעל. מידע נוסף זמין במאמר שימוש בחלוניות "נתונים עם חותמת זמן" ו"נתונים ללא חותמת זמן".

אופטימיזציה ושיפור של תוצאות החיפוש

בקטע הזה מפורטות מגבלות וציפיות לגבי הביצועים, ומוצעים פתרונות בשירות עצמי לבעיות נפוצות בדף SIEM Search ב-Google Security Operations.

אופטימיזציה של ביצועים ושיטות מומלצות

כדי לבצע אופטימיזציה של מהירות השאילתה ולצמצם את הסיכון לפסק זמן:

• קודם כל, צמצמו את חלון הזמן: זמן הוא המסנן הכי יעיל. שאילתה של חלון מדויק של שעתיים של תקרית רצה מהר יותר באופן אקספוננציאלי מאשר חיפוש של חלון של 30 יום.
• ביצוע שאילתות על שדות UDM מדויקים במקום על כינויים מקובצים: למרות ששדות מקובצים (ip = "1.2.3.4") נוחים, הם מחייבים את המנוע לבדוק יותר מ-15 שדות בסיסיים (principal.ip, ‏ target.ip, ‏ observer.ip). אם אתם יודעים שכתובת IP שייכת לשרת היעד, כדאי לבצע שאילתה ישירות על target.ip = "1.2.3.4".
• הימנעו משימוש בתווים כלליים לחיפוש בתחילת ביטויים רגולריים: שאילתות שמתחילות בתו כללי לחיפוש (principal.hostname = /.*server-.*/) מונעות חיפושים באינדקס ומאלצות סריקות מלאות של הטבלה. מומלץ לעגן את הביטוי הרגולרי בכל פעם שאפשר (principal.hostname = /^prod-server-.*/).
• שימוש במטא-נתונים שנוספו לאינדקס: סננו לפי metadata.event_type (NETWORK_CONNECTION, ‏ PROCESS_LAUNCH, ‏ USER_LOGIN) או metadata.log_type בשלב מוקדם בשרשרת AND כדי להסיר באופן מיידי מקורות יומנים לא רלוונטיים.
• משתמשים ב-limit: N לדגימת נתונים מהירה ולתצוגות מקדימות מהירות: אתם יכולים להוסיף את מילת המפתח limit: N ישירות לשאילתה (לדוגמה, metadata.event_type = "USER_LOGIN" limit: 50) כדי לדגום נתונים במהירות ולקבל תצוגות מקדימות מהירות.

שיטות מומלצות לחיפושים רחבים

אם החיפוש רחב מדי, Google SecOps מציגה הודעת אזהרה שמציינת שלא ניתן להציג את כל תוצאות החיפוש. במקרים כאלה, המערכת מאחזרת רק את התוצאות האחרונות, עד למגבלת החיפוש של מיליון אירועים ו-1,000 התראות. עם זאת, יכול להיות שיש עוד הרבה אירועים והתראות תואמים שלא מוצגים.

כדי לכלול את כל התוצאות הרלוונטיות, אפשר לצמצם את החיפוש באמצעות מסננים נוספים, לדוגמה:

• כדאי לצמצם את טווח הזמן כדי להקטין את גודל מערך הנתונים.
• במקום מונחים כלליים, כדאי להשתמש בשאילתות חיפוש או במסננים ספציפיים.
• אם אתם צריכים תוצאות לשדה אחד, שלחו שאילתה לשדות UDM מדויקים במקום לשדות מקובצים.

ניפוי באגים ושיפור של שאילתות

בקטע הזה מוסבר איך לנפות באגים בשאילתות ולשפר אותן.

צפייה בשגיאות בסביבת זמן הריצה

אם השאילתה מחזירה שגיאת זמן ריצה, הודעת השגיאה הספציפית מופיעה באופן קבוע בחלונית Results. התצוגה הקבועה הזו מבטיחה שהקשר השגיאה יישאר גלוי, ויעזור לכם לפתור את השגיאה.

צמצום תוצאות החיפוש

כדי להגביל את תוצאות החיפוש, אפשר להוסיף את מילת המפתח limit עם המספר המקסימלי של תוצאות החיפוש שרוצים להציג. האפשרות הזו שימושית ליצירת תצוגות מקדימות מהירות של נתונים, לאופטימיזציה של ביצועים או כשצריך רק קבוצת משנה של התוצאות. לדוגמה, אם מוסיפים limit: 25 לחיפוש, התוצאות מוגבלות ל-25 לכל היותר.

הערה: אפשר להוסיף את מילת המפתח limit גם למרכזי בקרה בהתאמה אישית.

בדיקת מערכי נתונים גדולים

ב-Google SecOps אפשר להחזיר עד מיליון תוצאות ולנווט ביניהן. כך אפשר לחקור קבוצות נתונים גדולות ישירות בממשק האינטרנט בלי לייצא את התוצאות. בחיפושים גדולים, השדות שמוצגים מוגבלים כברירת מחדל.

הערה: אחרי שהתוצאות נטענות, אפשר להחיל מסננים כדי לצמצם את הנתונים בלי להריץ מחדש את החיפוש. כך אפשר לצמצם במהירות את קבוצות התוצאות.

מגבלות על תוצאות במקורות נתונים

בטבלה הבאה מפורט המספר המקסימלי של תוצאות שמוחזרות לכל מקור נתונים:

סוג החיפוש או מקור הנתונים	מספר מקסימלי של אירועים או שורות בתוצאות החיפוש
UDM	1,000,000
ECG	1,000,000
טבלת נתונים	1,000,000
צירוף של UDM ל-UDM	1,000,000
הצטרפות של UDM ל-ECG	1,000,000
איחוד של טבלת UDM עם טבלת נתונים	1,000,000
פניות והיסטוריית פניות	1,000,000
נתונים סטטיסטיים	100,000
זיהויים	100,000

הערה: המגבלות זהות בין אם משתמשים בפלטפורמה או ב-API. מידע על מכסות בקשות ה-API זמין במאמר ממשקי API של חיפוש אסינכרוני.

הוספת מסנן לחידוד השאילתה

כדי להוסיף מסנן לצמצום השאילתה:

1. בדף SIEM Search (חיפוש SIEM), לוחצים על filter_listAdd filter (הוספת מסנן). תיבת דו-שיח נפתחת ומאפשרת לכם לבחור שדה, ולהציג (=) או לסנן (!=) ערכי שדות.

2. מגדירים את הפרמטרים של תיבת הדו-שיח.

   

   איור 8. דוגמה לתיבת הדו-שיח של המסנן.

3. לוחצים על אישור. המסנן מוצג לצד הלחצן filter_list הוספת מסנן, ותוצאות החיפוש מסוננות בהתאם.

4. אופציונלי: מבצעים אחת מהפעולות הבאות:

   • אם רוצים לשלב את המסנן אוטומטית בכלי לעריכת שאילתות ולהריץ את החיפוש, לוחצים על החלת המסנן על החיפוש והרצת החיפוש.
   • אם רוצים למחוק את המסנן, לוחצים על ניקוי.

הערה: הכפתור ניקוי זמין רק לפני שלוחצים על החלה על חיפוש והרצה.

פתרון בעיות

אם מופיעה הודעת שגיאה כללית, כמו Error: Search has encountered an error and could not load data, צריך לבצע את השלבים הבאים כדי לפתור את הבעיה:

• מתחברים ל-Google SecOps מרשת אחרת. לדוגמה, אפשר להשתמש במכונה וירטואלית בענן כדי לזהות בעיות ברשת.
• מוודאים שהקריאות ל-Chronicle API מותרות לפי המדיניות או ההגדרות של חומת האש או שרת ה-proxy של הארגון.
• מוודאים שלא הוגדרה מגבלת נתונים לקריאות ל-Search API, כי חיפושים יכולים להחזיר קבוצות נתונים גדולות.
• בודקים אם הוגדרו זמנים קצובים לתפוגה. אפשר להריץ שאילתות חיפוש באופן אסינכרוני, ויכול להיות שיידרש יותר זמן כדי לקבל את הנתונים. אם מוגדרים פסקי זמן, צריך לוודא שהם מאפשרים משך זמן מספיק, למשל 60 דקות, לפני שנגמר הזמן הקצוב לתפוגה של השאילתה.

אם השגיאה נמשכת, פנו לתמיכת הלקוחות.

המאמרים הבאים

מידע נוסף על שאילתות חיפוש זמין במאמרים הבאים:

• במאמר הסבר על תחביר החיפוש מפורטים דוגמאות לתחביר YL2 שנדרש כדי ליצור שאילתות על ערכי נתונים, תווי escape ואופרטורים בכלי לעריכת שאילתות.
• שיטות מומלצות לחיפוש
• חיפוש בקשות תמיכה והיסטוריית בקשות תמיכה בחיפוש המאוחד.
• יצירת שאילתות חיפוש ב-UDM באמצעות Gemini.
• שימוש בנתונים מועשרים בהקשר בחיפוש.

למידע נוסף על תוצאות החיפוש, אפשר לקרוא את המאמרים הבאים:

• חקירת ישות באמצעות חיפוש UDM
• במאמר בדיקת זיהויים בחיפוש מוסבר איך להשתמש בכרטיסייה התראות וזיהויים בדף חיפוש ב-SIEM.
• במאמר הסבר על זמינות הנתונים לחיפוש מפורט מחזור החיים של הטמעת הנתונים, כולל זרימת הנתונים מקצה לקצה והזמן שלוקח להם להגיע, ואיך הגורמים האלה משפיעים על הזמינות של נתונים שהוטמעו לאחרונה לצורך שאילתות וניתוח.
• במאמר השוואה בין תוצאות חיפוש ב-UDM לבין תוצאות של כללים מוסבר איך להשוות בין תוצאות של שאילתות חיפוש ב-UDM לבין כללי זיהוי פעילים.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.