Memahami penelusuran

Didukung di:

Google SecOps SIEM

Panduan ini ditujukan untuk analis keamanan yang ingin membuat kueri, menghubungkan, dan menganalisis data keamanan di seluruh perusahaan mereka dalam Google Security Operations menggunakan halaman SIEM Search. Halaman Penelusuran SIEM berfungsi sebagai hub navigasi pusat Anda di semua aliran data yang didukung, dan mengintegrasikan sumber telemetri dan postur keamanan tambahan. Panduan ini berisi petunjuk dan penjelasan tentang semua fungsi dan fitur dasar halaman Penelusuran SIEM.

Terminologi utama

• Model Data Terpadu (UDM): Format data standar yang digunakan dalam Google SecOps untuk merepresentasikan peristiwa keamanan dari berbagai sumber secara konsisten.
• Peristiwa: Peristiwa dihasilkan dari sumber log mentah yang diserap ke Google SecOps dan diproses oleh proses penyerapan dan normalisasi Google SecOps. Beberapa peristiwa dapat dihasilkan dari satu data sumber log mentah. Peristiwa mewakili sekumpulan titik data yang relevan dengan keamanan yang dihasilkan dari log mentah tersebut. Dalam konteks halaman Penelusuran SIEM, peristiwa adalah telemetri peristiwa UDM yang dinormalisasi dan catatan log mentah yang cocok dengan kueri penelusuran Anda.
• Pemberitahuan: Dalam konteks halaman Penelusuran SIEM, pemberitahuan didefinisikan sebagai deteksi aturan dengan pemberitahuan yang diaktifkan. Untuk mempelajari lebih lanjut, lihat menjalankan aturan terhadap data langsung.
• Log mentah: Telemetri log mentah yang belum diurai. Tujuan diagnostik utama adalah memantau kondisi penyerapan dan penguraian.
• Gabungan: Gabungan menghubungkan dan menggabungkan data mentah dari beberapa sumber berdasarkan nilai kolom umum. Dengan menautkan peristiwa, entity, dan data lain yang terkait, Anda dapat menyelidiki skenario serangan yang kompleks. Anda dapat menelusuri penggabungan statistik, yang memerlukan bagian kecocokan untuk menggabungkan hasil, atau penggabungan data, yang mengambil data peristiwa atau entitas lengkap dan menampilkannya tanpa agregasi apa pun. Untuk mengetahui informasi selengkapnya, lihat Menerapkan penggabungan dalam penelusuran dan dasbor dan Menerapkan penggabungan tanpa bagian kecocokan.
• Statistik: Peristiwa UDM dengan hasil yang dikelompokkan untuk analisis statistik. Untuk mengetahui informasi selengkapnya, lihat Menganalisis data penelusuran dengan statistik.
• Kasus dan histori kasus: Kasus keamanan dan log audit histori kasus, yang dapat Anda korelasikan dengan data keamanan lainnya. Untuk mengetahui informasi selengkapnya, lihat Ringkasan kasus penelusuran.
• Entity Context Graph (ECG): Database grafik dalam Google SecOps yang menyimpan data entity stateful (seperti aset, pengguna, dan indikator ancaman) untuk korelasi dengan log peristiwa keamanan. Untuk mengetahui informasi selengkapnya, lihat Ringkasan Entity Context Graph.
• Kotak kueri bahasa alami: Kotak di bagian atas halaman Penelusuran SIEM, tempat Anda dapat memasukkan pernyataan penelusuran menggunakan bahasa alami.
• Editor kueri: Kotak di halaman Penelusuran SIEM di bawah kolom kueri bahasa natural, tempat Anda membuat kueri secara manual dan tempat kode kueri ditampilkan.

Sebelum memulai

Anda harus memiliki izin dan peran Penelusuran Google SecOps standar yang ditetapkan ke akun pengguna Anda untuk menjalankan kueri dan melihat detail deteksi.

Untuk fitur penelusuran lanjutan berikut, akun pengguna atau peran Identity and Access Management Anda harus memiliki izin terperinci tambahan, bergantung pada fitur yang digunakan:

• Detail peristiwa yang diperkaya atau diperluas memerlukan chronicle.events.fetchEnrichedEvent.
• Menyimpan penelusuran dan mengedit tampilan penelusuran memerlukan chronicle.savedSearches.update dan chronicle.searchViews.update.
• Melihat parser log dan skema memerlukan chronicle.parsers.list dan chronicle.parsers.get.
• Menelusuri Histori Kasus memerlukan chronicle.cases.get dan chronicle.cases.list.
• Membuat, membagikan, mengubah, dan mengelola set kolom kustom tersimpan di seluruh organisasi Anda memerlukan kelima izin berikut: chronicle.googleapis.com/savedColumnSets.create, chronicle.googleapis.com/savedColumnSets.update, chronicle.googleapis.com/savedColumnSets.delete, chronicle.googleapis.com/savedColumnSets.list, dan chronicle.googleapis.com/savedColumnSets.get.

Membuka halaman Penelusuran

Untuk membuka halaman SIEM Search, lakukan hal berikut:

1. Login ke Google SecOps.
2. Di menu navigasi, klik Investigation > SIEM Search.

Gambar 1. Contoh halaman SIEM Search yang digunakan untuk mempelajari tren peristiwa.

Catatan: Di sistem yang menggunakan RBAC data, Anda hanya dapat melihat data yang cocok dengan cakupan Anda. Untuk mengetahui informasi selengkapnya, lihat dampak RBAC data pada Penelusuran.

Penerapan cakupan RBAC Data

Mesin Penelusuran Google SecOps menerapkan pemfilteran cakupan Role-Based Access Control (RBAC data) secara ketat di semua tab. Anda hanya akan melihat peristiwa UDM, log mentah, pemberitahuan, deteksi, dan kasus yang secara eksplisit cocok dengan cakupan data yang ditetapkan ke peran pengguna Anda.

Mengonfigurasi setelan umum untuk halaman Penelusuran

Setelan umum halaman SIEM Search bersifat khusus pengguna.

Anda dapat mengonfigurasi setelan umum berikut untuk halaman SIEM Search:

• Menentukan jumlah maksimum hasil penelusuran
• Memilih perilaku penciutan untuk editor kueri

Menentukan jumlah maksimum hasil penelusuran

Untuk menentukan jumlah maksimum hasil penelusuran, lakukan hal berikut:

1. Di halaman SIEM Search, klik setelan Setelan, lalu pilih Hasil Maksimum.

2. Pilih opsi Jumlah Hasil Maksimum yang Akan Ditampilkan. Opsinya adalah 1k, 30k, 100k, 1M, dan custom (yang dapat mengambil nilai antara 1 dan 1M). Nilai defaultnya adalah 30k.

   Tips: Kueri biasanya berjalan lebih cepat saat Anda memilih ukuran set hasil yang lebih kecil.

3. Klik Terapkan.

Memilih perilaku ciut editor kueri

Anda dapat mengonfigurasi editor kueri agar otomatis diciutkan setelah Anda menjalankan penelusuran—untuk memaksimalkan ruang layar yang tersedia untuk melihat hasil penelusuran. Setelan Default akan membiarkan editor kueri diperluas setelah menjalankan penelusuran.

Untuk mengaktifkan fitur ciut otomatis, ikuti langkah-langkah berikut:

1. Di halaman SIEM Search, klik settings Settings, lalu pilih Editor Kueri.
2. Dalam dialog Query Editor, pilih Auto-Collapse Query Editor.

Membuat kueri penelusuran

Bagian berikut menjelaskan cara membuat kueri penelusuran.

Anda dapat membuat kueri penelusuran menggunakan salah satu metode berikut:

• Masukkan pernyataan penelusuran Anda dalam bahasa alami dan gunakan Gemini untuk membuat kueri dalam dialek YARA-L 2.0. Anda harus menggunakan bahasa Inggris.
• Buat kueri Anda secara manual di editor kueri menggunakan dialek YARA-L 2.0 atau SQL (GoogleSQL).

Catatan: Penelusuran UDM dibatasi hingga 100 kolom UDM per kueri tunggal. Ekspresi penelusuran UDM terdiri dari kolom UDM yang akan ditelusuri, operator, dan nilai data yang akan ditelusuri. Kueri UDM didasarkan pada kolom yang ditentukan dalam referensi kamus kolom UDM. Anda dapat menjelajahi dan memilih kolom UDM ini menggunakan Filter atau Penelusuran Log Mentah.

Membuat kueri menggunakan bahasa alami

Untuk membuat kueri menggunakan bahasa alami, selesaikan langkah-langkah berikut:

1. Di halaman Penelusuran SIEM, klik kotak kueri bahasa alami penelusuran, lalu masukkan pernyataan penelusuran dalam bahasa Inggris.

   Pernyataan berikut adalah contoh yang dapat menghasilkan penelusuran yang berguna:

   • network connections from 10.5.4.3 to google.com
   • failed user logins over the last 3 days
   • emails with file attachments sent to [e-mail] or [e-mail]
   • all Cloud service accounts created yesterday
   • outbound network traffic from 10.16.16.16 or 10.17.17.17
   • all network connections to facebook.com or tiktok.com
   • service accounts created in Google Cloud yesterday
   • Windows executables modified between 8 AM and 1 PM on May 1, 2026
   • all activity from winword.exe on lab-pc
   • scheduled tasks created or modified on exchange01 during the last week
   • email messages that contain PDF attachments
   • emails sent by or sent from [e-mail] on July 1
   • any files with the hash 44d88612fea8a8f36de82e1278abb02f
   • all activity associated with user "[e-mail]"

Jika pernyataan penelusuran menyertakan istilah berbasis waktu, parameter Rentang Waktu akan otomatis disesuaikan agar cocok. Misalnya, hal ini akan berlaku untuk penelusuran dengan istilah berikut:

• yesterday
• within the last 5 days
• on July 1, 2026

2. Klik Buat Kueri. Jika Gemini dapat menafsirkan pernyataan penelusuran, Gemini akan membuat kueri yang valid dalam dialek YARA-L 2.0 dan menampilkannya di editor kueri. Jika pernyataan penelusuran tidak dapat ditafsirkan, Anda akan melihat pesan yang meminta Anda untuk mencoba bertanya dengan cara lain. Jika ekspresi kueri valid, tombol Run Search akan tersedia.

3. Opsional: Sesuaikan rentang waktu penelusuran menggunakan parameter Rentang Waktu.

4. Klik Run Search. Hasil penelusuran akan ditampilkan.

5. Opsional: Persempit hasil dengan menambahkan filter penelusuran tambahan secara manual atau menggunakan kolom kueri bahasa alami, lalu jalankan penelusuran lagi.

Membuat kueri secara manual di editor kueri

Untuk mengetahui informasi tentang berbagai jenis kueri yang didukung halaman Penelusuran SIEM dan sintaksis untuk menyusunnya, lihat dokumen berikut:

• Untuk mengetahui detail tentang sintaksis penelusuran YARA-L 2.0, lihat Memahami sintaksis penelusuran.
• Untuk mengetahui informasi tentang cara membuat kueri Join, lihat Menerapkan join dalam penelusuran dan dasbor dan Menerapkan join tanpa bagian match.
• Untuk mengetahui informasi tentang cara membuat kueri statistik (STATS), lihat Menganalisis data penelusuran dengan statistik.
• Untuk mengetahui informasi tentang cara membuat kueri Histori Kasus, lihat Menelusuri kasus dan histori kasus dari halaman Penelusuran.

Untuk membuat kueri secara manual, selesaikan langkah-langkah berikut:

1. Di halaman SIEM Search, klik di editor kueri.
2. Pilih dialek kueri:
   • YL2 (default): Gunakan sintaksis YARA-L 2.0 standar untuk perburuan peristiwa berkecepatan tinggi, pemfilteran entitas, dan korelasi perilaku.
   • SQL: Mode SQL (GoogleSQL) memungkinkan Anda menjalankan kueri yang kompatibel dengan BigQuery, membuat gabungan multi-tabel yang kompleks di seluruh UDM dan Entity Context Graph (ECG), serta melakukan agregasi lanjutan langsung di konsol.

3. Ketik kueri Anda di editor kueri dan pertimbangkan hal berikut:

   • Saran dan pelengkapan otomatis: Saat Anda mengetik kueri dengan opsi YL2, fitur saran dan pelengkapan otomatis akan menyarankan kolom yang valid berdasarkan input Anda.
   • UDM Lookup: Jika Anda tidak mengetahui nama atau nilai kolom yang tepat saat menulis kueri, Anda dapat menggunakan UDM Lookup untuk membantu.
   • Error kompilasi sintaksis: Jika editor kueri mendeteksi error kompilasi sintaksis, editor kueri akan menampilkan garis bergelombang merah tepat di bawah teks yang bermasalah. Arahkan kursor ke teks yang digarisbawahi untuk melihat deskripsi error tertentu. Editor kueri hanya menandai satu error dalam satu waktu, yang berarti Anda harus memperbaiki error secara berurutan.

4. Tetapkan rentang waktu untuk kueri menggunakan parameter Rentang Waktu.

5. Jika ekspresi kueri valid, klik Run Search. Hasil penelusuran akan ditampilkan.

6. Opsional: Persempit hasil dengan menambahkan filter penelusuran tambahan secara manual atau menggunakan konsol, lalu jalankan penelusuran lagi.

Catatan: Anda juga dapat membuat kueri baru dari dalam dialog Pengelola Penelusuran. Alat pengeditan UDM serta saran dan penyelesaian otomatis yang sama juga tersedia di sana.

Menentukan jangka waktu untuk penelusuran Anda

Gunakan menu Rentang Waktu untuk menentukan jangka waktu penelusuran Anda.

Rentang waktu maksimum penelusuran selalu dibatasi oleh konfigurasi retensi log tenant Anda.

Rentang waktu maksimum:

• UDM: 365 hari.
• RAW: 365 hari.
• JOIN: Untuk inner join: 90 hari. Untuk inner join tanpa kondisi pencocokan: 14 hari. Untuk outer join: 14 hari.
• STATISTIK: 90 hari.
• KASUS dan HISTORI KASUS: 90 hari, dibatasi oleh batas retensi kasus atau siklus proses histori kasus penuh.
• ECG: 365 hari.

Google SecOps mengevaluasi konfigurasi kueri penelusuran Anda dan menerapkan rentang waktu maksimum berdasarkan jenis penelusuran dan kondisi penelusuran. (Misalnya, kueri STATS yang menyertakan outer join akan memiliki rentang waktu maksimum yang lebih kecil daripada kueri STATS yang tidak menyertakan outer join.)

Untuk menetapkan rentang waktu, lakukan hal berikut:

1. Di halaman Penelusuran SIEM, di samping Rentang Waktu, pilih mode dari daftar

   • Absolut: Gunakan rentang waktu absolut untuk memilih waktu mulai dan akhir yang tetap.
   • Relatif: Gunakan rentang waktu relatif untuk menelusuri mundur dari waktu saat ini. Waktu saat Anda mengklik Jalankan Penelusuran ditetapkan sebagai waktu berakhir kueri Anda.

2. Jika Anda memilih Absolut, lakukan tindakan berikut:

   1. Klik calendar_month calendar untuk membuka dialog Tetapkan Rentang Tanggal dan Waktu.
   2. Lakukan salah satu langkah berikut:
      • Untuk mengonfigurasi waktu menggunakan salah satu metode berikut, pilih tab Range:
        • Gunakan preset: Pilih rentang preset dari sidebar, seperti 3 Hari Terakhir atau Semua Waktu. Penelusuran Sepanjang Waktu selama seluruh periode retensi data Anda.
        • Pilih tanggal: Klik tanggal mulai dan tanggal akhir di kalender.
        • Menetapkan waktu: Pilih waktu tertentu menggunakan menu waktu di bawah kalender.
      • Untuk menentukan rentang tanggal dan waktu berdasarkan peristiwa, klik tab Event Time, pilih tanggal di kalender, dan konfigurasikan jangka waktu:
        • Waktu persis: Klik kolom Peristiwa untuk memilih atau memasukkan waktu spesifik terjadinya peristiwa.
        • Buffer waktu: Pilih rentang waktu yang telah ditentukan dari daftar.
   3. Klik Terapkan.

3. Jika Anda memilih Relatif, lakukan tindakan berikut:

   1. Masukkan bilangan bulat di kolom teks.
   2. Pilih satuan waktu dari menu: Detik, Menit, Jam, Hari, Minggu, Bulan, atau Tahun.

Menggunakan saran otomatis untuk membuat kueri

Saat Anda menulis kueri, editor kueri memberikan saran otomatis untuk membantu Anda membuat kueri secara efisien.

Melihat dan memilih saran

Saat Anda mengetik, daftar akan muncul dengan saran kolom yang cocok dengan teks Anda, yang mencakup opsi berikut:

• Pilih kolom: Gunakan tombol panah Atas atau Bawah untuk menelusuri daftar, lalu tekan Enter untuk memilih kolom.
• Melihat metadata: Setelah Anda menggunakan tombol panah Atas atau Bawah untuk menandai saran, klik chevron_right untuk melihat deskripsi kolom.
• Lengkapi kolom secara bertahap: Editor menyarankan turunan langsung dari kolom saat ini dan menyembunyikan awalan yang diketik untuk menghemat ruang layar. Saran ini diikuti oleh semua kolom lain yang cocok dalam urutan abjad.
• Operator dan nilai lengkap: Setelah Anda memilih kolom, editor akan menyarankan operator yang valid (seperti =, !=) berdasarkan jenis data kolom. Untuk kolom yang dienumerasi, editor menampilkan saran untuk semua nilai yang valid (misalnya, NETWORK_EVENT) setelah Anda mengetik operator dan tanda petik ganda (").

Memahami peringkat saran

Editor kueri mengatur saran ke dalam tiga kategori untuk membantu Anda menemukan kolom dengan cepat:

1. Kolom yang baru-baru ini digunakan: Tujuh saran teratas didasarkan pada kolom yang baru-baru ini Anda gunakan yang cocok dengan kolom yang Anda ketik. Daftar ini disimpan di histori sesi browser Anda di halaman SIEM Search, Rules & Detections, dan Dashboards. Menghapus cache atau beralih browser akan mereset histori ini.
2. Turunan langsung: Kumpulan saran berikutnya hanya menampilkan turunan tingkat pertama dari kolom saat ini.
3. Kecocokan global: Bagian terakhir menampilkan semua kolom yang cocok menurut abjad.

Mengelola setelan saran otomatis

Untuk mengelola secara global cara Google SecOps menampilkan saran otomatis, lakukan hal berikut:

1. Klik avatar profil Anda, lalu pilih User Preferences dari daftar. Dialog User Preferences akan muncul.

2. Pada dialog, klik Saran otomatis.

3. Untuk mengontrol saran otomatis yang ditampilkan di editor kueri, sesuaikan setelan berikut:

   • Enable suggestions while typing: Mengaktifkan saran otomatis.
   • Urutkan kolom yang baru-baru ini digunakan terlebih dahulu: Menampilkan kolom yang terakhir Anda gunakan di bagian atas daftar
   • Suggest immediate child fields: Melengkapi kolom bertingkat secara bertahap, satu node turunan dalam satu waktu.
   • Suggest all available paths: Menampilkan jalur lengkap yang diperluas untuk semua saran kolom bertingkat

4. Klik Simpan.

Menemukan kolom UDM untuk kueri penelusuran (Pencarian UDM)

Saat menulis kueri penelusuran, Anda mungkin tidak mengetahui nama atau nilai kolom UDM yang tepat untuk disertakan. Fitur UDM Lookup memungkinkan Anda menemukan nama kolom UDM dengan cepat yang berisi string teks dalam nama atau yang menyimpan nilai string tertentu. Anda dapat memilih satu atau beberapa hasil yang ditampilkan oleh Penelusuran UDM dan menggunakan hasil tersebut sebagai titik awal untuk kueri penelusuran, menambahkan hasil ke kueri yang ada, atau menyimpan hasil ke papan klip.

Catatan: Pencarian UDM tidak dimaksudkan untuk digunakan untuk menelusuri jenis data lain, seperti byte, boolean, atau numerik.

Untuk menggunakan Pencarian UDM, lakukan hal berikut:

1. Di halaman SIEM Search, klik UDM Lookup. Dialog UDM Lookup akan terbuka.

2. Pilih salah satu atau kedua opsi Cocokkan Dengan berikut, untuk menentukan cakupan data yang akan ditelusuri:

   • Kolom UDM: Telusuri teks yang cocok dengan nama kolom, misalnya, network.dns.questions.name atau principal.ip.
   • Values: Menelusuri string teks di dalam nilai log yang disimpan, misalnya, dns atau google.com.

3. Klik kolom penelusuran Masukkan string yang sama persis untuk dicocokkan, lalu masukkan string yang akan dicocokkan. Saat Anda mengetik, hasil penelusuran akan muncul dalam dialog.

   Hasilnya bervariasi saat mencocokkan Kolom UDM versus Nilai sebagai berikut:

   • Penelusuran dengan nama Match On UDM Fields akan menampilkan pencocokan persis yang ditemukan di mana saja dalam definisi skema.

     

     Gambar 2. Telusuri dengan nama Match On UDM Fields di dialog UDM Lookup.

   • Penelusuran dengan Cocokkan dengan Nilai menelusuri telemetri log yang diserap dan menampilkan dua jenis hasil:

     • Kecocokan nilai penuh: Untuk kolom teks umum (seperti aplikasi, nama host, URL, alamat IP, dan nama pengguna), Penelusuran UDM menampilkan nilai kecocokan lengkap dengan string penelusuran Anda yang ditandai dengan warna kuning, beserta stempel waktu penyerapan log terbaru.

     • Kemungkinan kecocokan nilai: Untuk kolom yang berisi teks panjang, kompleks, atau tidak terstruktur (seperti command line, deskripsi, kolom deteksi, dan kolom kustom), Pencarian UDM menunjukkan bahwa istilah penelusuran muncul di kolom tersebut dalam telemetri historis Anda. Daripada menampilkan satu nilai lengkap, hasilnya menampilkan nama kolom UDM yang diikuti dengan (Possible value match).

     

     Gambar 3. Telusuri dengan Match On Values di dialog UDM Lookup.

4. Dalam daftar hasil, Anda dapat melakukan hal berikut:

   • Klik nama kolom UDM untuk melihat deskripsi kolom tersebut.
   • Pilih satu atau beberapa hasil dengan mengklik kotak centang di samping nama kolom UDM.
   • Klik tombol Reset untuk membatalkan pilihan semua kolom yang dipilih dalam daftar hasil.

5. Lakukan salah satu hal berikut:

   • Untuk menyalin hasil yang dipilih ke papan klip, klik Salin UDM. Kemudian, Anda dapat menutup dialog UDM Lookup dan menempelkan konten papan klip ke editor kueri.

   • Untuk menambahkan hasil yang dipilih ke kueri di editor kueri, klik Tambahkan ke penelusuran. Kemudian, Google SecOps mengonversi hasil yang dipilih menjadi kueri penelusuran sebagai nama kolom UDM atau pasangan nama-nilai.

     Jika Anda menambahkan beberapa hasil, Google SecOps akan menambahkan setiap hasil ke akhir kueri yang ada di editor kueri menggunakan operator OR.

     String kueri yang ditambahkan berbeda-beda, bergantung pada jenis kecocokan yang ditampilkan oleh Pencarian UDM:

     • Jika hasilnya cocok dengan string teks dalam nama kolom UDM, nama kolom UDM lengkap akan ditambahkan ke kueri. Contoh:

       principal.artifact.network.dhcp.client_hostname

     • Jika hasilnya adalah kecocokan nilai penuh, pasangan nama-nilai berisi kondisi kesetaraan yang tepat dengan nilai penuh.

     • Jika hasilnya adalah Possible value match, pasangan nilai nama berisi nama kolom UDM dan ekspresi reguler yang tidak peka huruf besar/kecil yang berisi istilah penelusuran Anda.

6. Edit kueri di editor kueri jika diperlukan.

Perilaku penelusuran dan cakupan kolom Pencarian UDM

Pencarian UDM membantu Anda menemukan nama kolom dan menelusuri nilai historis di seluruh data log yang diserap. Bagian ini menjelaskan cara kerja penelusuran di kedua mode, memberikan contoh kueri, dan menjelaskan batas cakupan kolom.

Mode penelusuran: Kolom versus Nilai UDM

Pencarian UDM menyediakan dua mode penelusuran yang berbeda:

• Mode Kolom UDM: Cocokkan Dengan Kolom UDM menelusuri definisi skema UDM untuk membantu Anda menemukan jalur kolom yang benar. Anda dapat menemukan nama kolom di semua jenis data, termasuk kolom teks (principal.hostname), port numerik (target.port), flag boolean (security_result.is_alert), dan kategori peristiwa (metadata.event_type).

  Contoh: Mengetik port akan menampilkan kolom seperti network.ip_port, principal.port, target.port, dan src.port.

• Mode nilai: Cocokkan Dengan Nilai menelusuri log peristiwa yang Anda masukkan untuk nilai teks yang cocok:

  • Pencocokan nilai persis: Untuk ID umum dan kolom teks (seperti nama host, alamat IP, domain, dan nama pengguna), Pencarian UDM menemukan nilai persis dalam data Anda dan menghasilkan kondisi kesetaraan (misalnya, principal.hostname = "example.com").
  • Possible value match (Ekspresi reguler): Untuk teks panjang, command line, URL, kunci registry, dan jalur file, Penelusuran UDM menampilkan Possible value match dengan ekspresi reguler (misalnya, principal.process.command_line = /powershell/ NOCASE).

Kesenjangan cakupan kolom dan cara menelusuri secara langsung

Saat menelusuri berdasarkan Nilai, Pencarian UDM akan menelusuri kolom teks dalam data peristiwa mentah yang tidak diperkaya. Jenis data tertentu dan kolom ID bervolume tinggi tidak menampilkan kecocokan dalam mode Nilai. Untuk menelusuri kolom ini, masukkan ekspresi Anda langsung di editor kueri.

Bagian ini meliputi:

• Kolom numerik, boolean, stempel waktu, dan byte
• Kolom ID yang dikecualikan
• Kolom dengan kemungkinan kecocokan nilai (ekspresi reguler)
• Kolom yang diperkaya dan Grafik Entity

Kolom numerik, boolean, stempel waktu, dan byte

Penelusuran nilai Pencarian UDM tidak menampilkan kecocokan untuk jenis data non-teks. Untuk menelusuri kolom ini, tulis kondisi langsung di kotak penelusuran:

Kategori kolom	Contoh kolom UDM	Contoh penelusuran langsung
Nomor port dan kode status	network.ip_port, principal.port, target.port, network.http.response_code	network.ip_port = 443 network.http.response_code = 403
Metrik dan skor risiko	security_result.risk_score, network.sent_bytes, network.received_bytes	security_result.risk_score >= 80 network.sent_bytes > 50000000
Flag Boolean	security_result.is_alert, network.dns.answers.is_authoritative	security_result.is_alert = true
Enum yang telah ditentukan sebelumnya	metadata.event_type, network.ip_protocol	metadata.event_type = "USER_LOGIN" network.ip_protocol = "TCP"
Stempel waktu	metadata.event_timestamp.seconds, metadata.ingested_timestamp	Memfilter menggunakan menu Rentang Waktu atau kueri: metadata.event_timestamp.seconds > 1700000000
ID Peristiwa (byte mentah)	metadata.id	metadata.id = "..."
Koordinat geografis	principal.location.latitude, principal.location.longitude	Filter menurut kolom lokasi regional: principal.location.country_or_region = "US"

Kolom ID yang dikecualikan

Kolom pelacakan sesi dan entropi tinggi berikut tidak menampilkan kecocokan saat menelusuri menurut Nilai:

Kategori kolom yang dikecualikan	Kolom UDM	Contoh penelusuran langsung
ID Proses	*.pid (misalnya principal.process.pid, target.process.pid), *.product_specific_process_id	target.process.pid = "4128"
ID sesi dan koneksi	network.session_id, network.parent_session_id, metadata.product_log_id	network.session_id = "sess-9481"
ID aturan deteksi	security_result.rule_id	security_result.rule_id = "rule_suspicious_login"
ID aset dan resource	*.resource.id (termasuk ARN dan URI cloud), *.asset_id	target.resource.id = "arn:aws:s3:::my-bucket"
Label penyerapan	metadata.base_labels.*, metadata.enrichment_labels.*	metadata.base_labels.log_types = "WINEVTLOG"

Kolom dengan kemungkinan kecocokan nilai (ekspresi reguler)

Untuk kolom yang berisi string panjang dan kompleks dengan banyak pemisah jalur atau argumen, Pencarian UDM menampilkan ekspresi reguler Kemungkinan kecocokan nilai (/.../ NOCASE), bukan kecocokan nilai penuh yang sama persis:

• Baris perintah: principal.process.command_line, target.process.command_line
• Jalur file: principal.process.file.full_path, target.file.full_path
• URL web dan jaringan: principal.url, target.url, network.http.referral_url
• Kunci registri: principal.registry.registry_key, target.registry.registry_key
• Deskripsi bentuk bebas: metadata.description, security_result.description, security_result.summary
• String User-Agent: network.http.user_agent
• Kolom kustom dinamis: additional.fields.value.*

Kolom yang diperkaya dan Grafik Entity

Pencarian UDM menelusuri data log mentah yang diserap setelah 10 Agustus 2023. Fungsi ini tidak menampilkan nilai dari:

• Pengayaan downstream: Seperti resolusi lokasi GeoIP, data WHOIS, verdict Safe Browsing, atau skor VirusTotal. Untuk menelusuri ini, filter langsung di jalur kolom yang diperkaya (misalnya, target.ip_geo_artifact.country_or_region = "US").
• Objek Entity Graph: Data di namespace graph.*.
• Data historis sebelum batas waktu: Log yang diserap sebelum 10 Agustus 2023. Untuk menelusuri data lama, gunakan kueri penelusuran langsung di halaman Penelusuran.

Menggunakan tabel data dalam penelusuran

Anda dapat menggunakan fitur tabel data dalam penelusuran. Dengan demikian, Anda dapat menggunakan database informasi ancaman yang sudah ada bersama dengan penelusuran untuk memburu ancaman di perusahaan Anda.

Misalnya, jika Anda memiliki database bernama suspicious dengan kolom alamat IP yang Anda ketahui bermasalah, Anda dapat mereferensikan database tersebut dalam kueri penelusuran, bukan memasukkan alamat IP satu per satu secara manual dalam kueri:

  events:
      $e.principal.ip in %suspicious.ip

Anda dapat mempersempit hasil dengan menelusuri metadata tertentu selain alamat IP, misalnya, Anda mungkin secara khusus memperhatikan perubahan pada resource pengguna:

  events:
      $e.metadata.event_type = "USER_RESOURCE_UPDATE_CONTENT"
      $e.principal.ip in %suspicious.ip

Anda dapat mempersempit penelusuran terhadap kolom UDM yang saling terkait dan mencocokkan dengan beberapa kolom tabel data. Contoh berikut menelusuri peristiwa NETWORK_CONNECTION yang hasil keamanannya adalah ALLOW. Kemudian, BigQuery mencocokkan peristiwa tersebut dengan kolom hostnames dan kolom ip dalam tabel data badApps.

events:
  $e.metadata.event_type = "NETWORK_CONNECTION"
  $e.security_result.action = "ALLOW"
  $e.target.asset.asset_id = $assetid

  // Event hostname matches at least one value in table column hostname.
  $e.target.hostname in %badApps.hostname

  // Event IP matches at least one value in table column ip.
  $e.target.ip in %badApps.ip

Melihat baris tabel data dalam penelusuran

Saat Anda menggunakan tabel data dalam penelusuran YARA-L 2.0, hasilnya akan merujuk pada baris tabel data yang ditautkan ke peristiwa yang cocok. Hasil ini ditampilkan di panel Peristiwa. Status tabel data dan barisnya saat ini ditampilkan saat Anda melihat hasilnya.

Gunakan Pengelola Kolom untuk memilih tabel dan kolom data yang akan ditampilkan dalam hasil.

Untuk mengetahui informasi selengkapnya, lihat Menggunakan tabel data.

Memahami proses eksekusi kueri

Jika kueri di editor kueri valid, konsol Google SecOps akan mengaktifkan tombol Run Search.

Setelah Anda mengklik Run Search, kueri yang sedang diproses akan ditampilkan dengan ikon status lingkaran.

Saat penelusuran sedang berlangsung, Anda dapat menjalankan penelusuran tambahan (serentak) di editor kueri dengan beberapa batasan. Google SecOps terus menjalankan penelusuran Anda sebelumnya dan menjalankan penelusuran baru secara paralel.

Penting: Penelusuran serentak dan hasil tersimpan memerlukan fitur histori penelusuran agar aktif. Jika sebelumnya Anda telah menonaktifkan histori penelusuran, Anda dapat mengaktifkannya lagi dengan mengklik Histori > Aktifkan histori penelusuran.

Kueri yang selesai ditampilkan dengan ikon tanda centang hijau, beserta penghitung yang menunjukkan jumlah peristiwa yang ditampilkan oleh kueri.

Klik kueri yang telah selesai untuk menampilkan hasilnya. Hasil penelusuran ditampilkan di bawah editor kueri.

Hasil penelusuran di-cache dan hanya menyertakan data yang tersedia pada waktu kueri dijalankan.

Mengelola histori penelusuran Anda

Histori penelusuran Anda disimpan ke akun Google SecOps Anda.

Penting: Penelusuran serentak dan hasil yang disimpan memerlukan fitur histori penelusuran agar aktif.

• Untuk mengelola histori penelusuran Anda, di halaman Penelusuran SIEM, klik Histori untuk membuka dialog dan lakukan hal berikut:

  • Melihat daftar semua penelusuran di histori Anda.
  • Klik item dari daftar untuk memuatnya ke editor kueri.
  • Ketik di kotak penelusuran untuk menemukan penelusuran di histori Anda.
  • Filter penelusuran dengan mengklik Filter di samping kotak penelusuran dan filter penelusuran menurut Bahasa—berisi: filter YL2 dan SQL AND Jenis penelusuran—berisi: filter UDM, Log mentah, dan Statistik.
  • Hanya menampilkan hasil tersimpan yang sedang diproses dan yang sudah selesai atau tidak (menggunakan kotak centang Hanya Tampilkan Hasil Tersimpan yang Sedang Diproses & yang Sudah Selesai).
  • Menghapus histori penelusuran.
    • Untuk menghapus histori penelusuran, klik Lainnya, lalu pilih Hapus Histori.

  • Menonaktifkan histori penelusuran atau mengaktifkan kembali histori penelusuran:

    • Untuk memilih tidak menggunakan histori penelusuran, klik Jangan gunakan histori penelusuran, lalu pilih Jangan Gunakan Saja untuk menonaktifkan histori penelusuran, atau Jangan Gunakan dan Hapus untuk menonaktifkan histori penelusuran dan menghapus histori penelusuran yang disimpan.

    • Jika sebelumnya Anda telah menonaktifkan histori penelusuran, Anda dapat mengaktifkannya lagi dengan mengklik Aktifkan histori penelusuran.

• Untuk menghapus penelusuran satu per satu dari histori penelusuran Anda, lihat Menghapus penelusuran tersimpan.

Menyimpan dan menggunakan kueri metrik

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Google Security Operations. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat panduan Layanan Dukungan Teknis Google SecOps dan Persyaratan Khusus Layanan Google SecOps.
Jika fitur ini tidak terlihat di lingkungan Anda, lihat Mengelola fitur pratinjau atau hubungi administrator sistem Anda.

Google SecOps mengklasifikasikan kueri metrik dengan badge STATS.

• Untuk menyimpan penelusuran sebagai metrik, klik More di samping Run Search, lalu klik Save as Metric. Halaman Rules & Detections akan terbuka, menampilkan kueri metrik Anda di tab Metrics. Kemudian, Anda dapat menyimpan metrik atau menonaktifkannya. Setelah disimpan, kueri metrik tidak dapat diedit atau dihapus. Metrik dapat dinonaktifkan kapan saja.

Anda dapat menggunakan kueri metrik untuk menetapkan pola perilaku umum dan mengidentifikasi aktivitas yang tidak biasa. Jika Anda memiliki kueri metrik di editor kueri yang melacak tren operasional penting, klik Lainnya > Simpan sebagai Metrik. Tindakan ini akan menyimpan kueri sebagai metrik deret waktu berkelanjutan yang dapat disematkan ke dasbor kustom atau direferensikan dalam pemberitahuan nilai minimum.

Contoh kueri metrik:

metric metric_1784196814306 {
  (metadata.event_type = "NETWORK_FLOW" OR
  metadata.event_type = "NETWORK_CONNECTION" OR
  metadata.event_type = "NETWORK_DNS" OR
  metadata.event_type = "NETWORK_HTTP")

  outcome:
  $timestamp = timestamp.get_timestamp(metadata.event_timestamp.seconds)
  $hostname = principal.hostname
  $event_type = metadata.event_type
  $user = principal.user.userid
  $principal_process = principal.process.file.full_path
  $principal_cmdline = principal.process.command_line
  $target_process = target.process.file.full_path
  $target_cmdline = target.process.command_line
  $target_url = target.url
  $target_ip = target.ip[0]
  order:
  $timestamp
  }

Mengelola penelusuran Anda (Pengelola Penelusuran)

Gunakan dialog Pengelola Penelusuran untuk mengelola penelusuran Anda.

• Untuk membuka Search Manager, di halaman SIEM Search, klik Search Manager.

Badge jenis penelusuran

Tab Saved di Search Manager mencantumkan semua penelusuran tersimpan dan menampilkan badge dengan jenis penelusuran: UDM, RAW, JOIN, STATS, CASE, CASE HISTORY, dan ECG.

Tindakan Pengelola Penelusuran

Di tab Disimpan, Anda dapat melakukan tindakan berikut:

• Memfilter penelusuran yang disimpan: Klik Filter di samping kotak penelusuran dan filter penelusuran berdasarkan Sumber—berisi: Ditentukan Google SecOps, Dibuat oleh saya, dan Dibagikan kepada saya AND Bahasa—berisi: YL2 dan SQL.
• Mengurutkan penelusuran: Klik list_arrow Urutkan di samping kotak penelusuran dan urutkan menurut Nama (A - Z), Nama (Z - A), Terlama - Terbaru, atau Terbaru - Terlama.
• Menambahkan penelusuran: Klik add_2 Tambahkan di samping kotak penelusuran dan buat penelusuran baru di kotak Penelusuran UDM yang berdekatan. Kotak Penelusuran UDM mendukung alat pengeditan UDM serta saran dan pelengkapan otomatis yang sama seperti saat Anda membuat kueri secara manual di editor kueri.
• Membagikan atau menghapus penelusuran yang Anda buat.
• Mengedit penelusuran yang dibuat oleh Anda: Saat penelusuran dipilih di tab Tersimpan, kotak PENELUSURAN akan menampilkan kueri, bersama dengan kotak Judul dan kotak Deskripsi. Kotak Penelusuran UDM mendukung alat pengeditan UDM, saran otomatis, dan penyelesaian yang sama seperti saat Anda membuat kueri secara manual di editor kueri.

Menyimpan penelusuran

Penelusuran tersimpan dan histori penelusuran adalah:

• Disimpan dengan akun Google SecOps Anda.
• Hanya dapat dilihat dan diakses oleh pengguna perorangan, kecuali jika Anda menggunakan fitur Bagikan penelusuran untuk membagikan penelusuran kepada organisasi Anda.

Untuk menyimpan penelusuran, lakukan hal berikut:

1. Di halaman SIEM Search, lakukan salah satu tindakan berikut:

   • Jika ada kueri yang valid di editor kueri, klik More di samping Run Search, lalu klik Save search. Dialog Search Manager akan terbuka.
   • Klik Search Manager. Dialog Search Manager akan terbuka.

2. Di kotak Judul, masukkan nama untuk penelusuran. Google merekomendasikan untuk memberi nama yang bermakna pada penelusuran tersimpan dan deskripsi teks biasa tentang apa yang Anda telusuri.

3. Opsional: Di kotak Deskripsi, masukkan deskripsi untuk penelusuran.

4. Opsional: Tentukan variabel placeholder dalam format ${<variable name>} menggunakan format yang sama seperti yang digunakan untuk variabel di YARA-L. Jika Anda menambahkan variabel ke penelusuran, Anda juga harus menyertakan perintah untuk membantu pengguna memahami informasi yang diperlukan untuk dimasukkan sebelum mereka menjalankan penelusuran. Semua variabel harus diisi dengan nilai sebelum penelusuran dijalankan.

   Misalnya, Anda dapat menambahkan metadata.vendor_name = ${vendor_name} ke penelusuran Anda. Untuk ${vendor_name}, Anda perlu menambahkan perintah untuk pengguna di masa mendatang, seperti Enter the name of the vendor for your search. Setiap kali pengguna memuat penelusuran ini pada masa mendatang, mereka akan diminta untuk memasukkan nama vendor sebelum menjalankan penelusuran.

5. Klik Simpan Hasil Edit setelah selesai.

• Untuk melihat penelusuran tersimpan, klik Pengelola Penelusuran, lalu klik tab Tersimpan.

Mengambil dan menjalankan penelusuran tersimpan

Untuk mengambil dan menjalankan penelusuran tersimpan, lakukan tindakan berikut:

1. Di halaman SIEM Search, klik Search Manager, lalu pilih penelusuran dari daftar *Saved di sebelah kiri.
2. Opsional: Hapus penelusuran dengan mengklik Lainnya, lalu memilih Hapus Penelusuran. Anda hanya dapat menghapus penelusuran yang Anda buat.
3. Anda dapat mengubah nama dan deskripsi penelusuran. Klik Simpan hasil edit setelah Anda selesai.
4. Klik Muat penelusuran. Penelusuran dimuat ke kolom penelusuran utama.
5. Klik Run Search.

Menghapus penelusuran tersimpan

Anda hanya dapat menghapus penelusuran yang Anda buat.

Untuk menghapus penelusuran tersimpan, lakukan langkah-langkah berikut:

1. Di halaman SIEM Search, klik Search Manager dan pilih penelusuran dari daftar *Saved di sebelah kiri.
2. Klik Lainnya, lalu pilih Hapus Penelusuran.
3. Klik Hapus Penelusuran.

Membagikan penelusuran atau berhenti membagikannya

Penelusuran bersama memungkinkan Anda membagikan penelusuran kepada tim Anda. Anda tidak dapat berbagi hanya dengan satu orang. Jika Anda membagikan penelusuran, penelusuran tersebut akan dibagikan kepada seluruh organisasi Anda.

Anda tidak dapat mengedit penelusuran bersama yang tidak Anda buat.

Untuk membagikan penelusuran, lakukan hal berikut:

1. Di halaman SIEM Search, klik Search Manager, lalu pilih penelusuran dari daftar *Saved di sebelah kiri.
2. Klik penelusuran yang ingin Anda bagikan.
3. Klik Lainnya di sisi kanan penelusuran. Dialog dengan opsi untuk membagikan penelusuran Anda akan muncul.
4. Klik Bagikan dengan Organisasi Anda. Dialog akan muncul yang bertuliskan "Penelusuran Anda yang dibagikan akan terlihat oleh orang-orang di organisasi Anda. Yakin ingin berbagi?".
5. Klik Bagikan.

Jika Anda ingin penelusuran hanya dapat dilihat oleh Anda, klik Lainnya, lalu klik Berhenti Berbagi. Jika berbagi dihentikan, hanya Anda yang dapat menggunakan penelusuran ini.

Hasil penelusuran—ringkasan

Saat Anda mengklik Run Search di halaman SIEM Search, Google Security Operations akan mengevaluasi kueri Anda di seluruh lingkungan Anda, lalu mengategorikan dan menampilkan hasilnya di bawah editor kueri.

Elemen UI untuk hasil penelusuran bervariasi bergantung pada jenis penelusuran (yang, menurut badge-nya: UDM, RAW, JOIN, STATS, CASE, atau CASE HISTORY).

Halaman SIEM Search menampilkan tab berikut untuk hasil penelusuran:

• Hasil: Ditampilkan untuk semua jenis penelusuran.
• Alerts & Detections: Hanya ditampilkan untuk hasil penelusuran UDM, RAW, dan JOIN.
• Ringkasan: Hanya ditampilkan untuk hasil penelusuran UDM, RAW, dan JOIN.
• Visualisasikan: Hanya ditampilkan untuk hasil penelusuran STATS.

Judul setiap tab hasil menyertakan jumlah dalam tanda kurung, misalnya, Results (1,118)—atau Results (100,000+) jika jumlah hasil melebihi maksimum yang ditentukan (dalam hal ini 100 ribu).

Mengklik tab akan langsung mengubah tampilan ruang kerja Anda sambil mempertahankan kueri penelusuran dan rentang waktu Anda.

Melihat dan mengelola informasi di tab Hasil

Tab Hasil berfungsi sebagai ruang kerja utama Anda untuk melihat dan mengelola hasil penelusuran. Anda dapat menggunakan tab Hasil untuk:

• Pembahasan mendalam tentang perburuan log
• Melihat telemetri mentah
• Membuat tabel pivot dari data peristiwa
• Menganalisis distribusi nilai kolom frekuensi tinggi
• Mengekspor data ke file CSV

Tab Hasil mencakup elemen berikut, bergantung pada jenis penelusuran:

• Panel bertab dengan diagram berikut:
  • Diagram Aktivitas dari Waktu ke Waktu: Ditampilkan untuk hasil penelusuran UDM, JOIN, CASE, CASE HISTORY, dan ECG.
  • Diagram Tren dari Waktu ke Waktu: Ditampilkan untuk hasil penelusuran RAW.
  • Tab Prevalensi: Ditampilkan untuk hasil penelusuran UDM.
  • Tabel Peta panas aktivitas: Ditampilkan untuk hasil penelusuran UDM.
• Panel Agregasi: Ditampilkan untuk semua jenis hasil penelusuran.

• Panel dengan tabel berikut, sesuai dengan jenis penelusuran:

  • Tabel Peristiwa dan sub-tab Pivot: Hanya ditampilkan untuk hasil penelusuran UDM. Tabel Peristiwa menampilkan telemetri peristiwa UDM yang dinormalisasi dan catatan log mentah yang cocok dengan kueri Anda dalam jangka waktu yang dipilih. Sub-tab Pivot memungkinkan Anda membuat dan menggunakan tabel pivot untuk melakukan pengelompokan dan ringkasan matematika multidimensi (sum, count, avg, stddev) pada hasil peristiwa.
  • Log Mentah: Hanya ditampilkan untuk hasil penelusuran RAW.
  • Statistik: Hanya ditampilkan untuk hasil penelusuran STATISTIK.
  • Gabungan: Hanya ditampilkan untuk hasil penelusuran GABUNGAN.
  • Kasus: Hanya ditampilkan untuk hasil penelusuran CASE.
  • Histori Kasus: Hanya ditampilkan untuk hasil penelusuran KASUS dan HISTORI KASUS.
  • Data Berjangka Waktu dan Data Abadi: Hanya ditampilkan untuk hasil penelusuran EKG.

  Untuk mengetahui informasi tentang fungsi dan alat yang didukung untuk tabel ini, lihat Menggunakan alat umum untuk tabel. Fungsi yang didukung mencakup mengelola kolom dalam tabel yang ditampilkan tab, mendownload hasil penelusuran, dan lainnya.

Tips: Klik Opsi Tampilan untuk menyembunyikan atau menampilkan diagram dan panel Penggabungan.

Menggunakan diagram Aktivitas dari Waktu ke Waktu

Tab Activity Over Time menyertakan diagram (histogram) volume peristiwa dan pemberitahuan dari waktu ke waktu.

Catatan: Tab Activity Over Time hanya ditampilkan untuk hasil penelusuran UDM, JOIN, CASE, dan CASE HISTORY.

Lebar setiap batang bergantung pada interval waktu yang ditelusuri. Misalnya, setiap batang mewakili 10 menit saat penelusuran mencakup data selama 24 jam. Diagram ini diperbarui secara dinamis saat Anda mengubah penelusuran yang ada.

Catatan: Periode penelusuran maksimum adalah hingga 365 hari untuk penelusuran YARA-L 2.0 dan 90 hari untuk penelusuran SQL, dari waktu mulai hingga waktu berakhir.

Diagram ini mendukung hal berikut:

• Penyesuaian rentang waktu: Tarik kontrol penggeser pada linimasa untuk mempersempit periode waktu yang terlihat secara instan. Petak hasil dan panel Aggregations akan diperbarui tanpa menjalankan ulang kueri terhadap backend.
• Melihat peristiwa dan pemberitahuan untuk rentang waktu satu batang: Klik batang untuk mempersempit fokus diagram, panel Agregasi, dan tab Deteksi ke rentang waktu batang tersebut. Tindakan ini akan membuat filter, yang ditampilkan di samping tombol filter_list Tambahkan filter. Untuk menampilkan semua hasil lagi, hapus filter.
• Pop-up detail: Mengklik salah satu batang akan membuka pop-up dengan waktu, dan nilai untuk Peristiwa yang Ditanyai, Peristiwa yang Difilter, Peringatan yang Ditanyai, dan Peringatan yang Difilter.

Menggunakan diagram Tren dari Waktu ke Waktu

Tab Trend Over Time menyertakan diagram (histogram) volume log mentah dari waktu ke waktu. Lebar setiap batang vertikal diskalakan secara dinamis berdasarkan rentang penelusuran keseluruhan Anda (misalnya, setiap batang dapat merepresentasikan 10 menit untuk rentang penelusuran 24 jam).

Catatan: Tab Tren dari Waktu ke Waktu hanya ditampilkan untuk hasil penelusuran RAW.

Diagram ini mendukung hal berikut:

• Penyesuaian rentang waktu: Tarik kontrol penggeser pada linimasa untuk mempersempit jendela waktu yang terlihat secara instan. Petak hasil dan panel Aggregations akan diperbarui tanpa menjalankan ulang kueri terhadap backend.
• Melihat jumlah log terurai, tidak terurai, dan tidak diketahui yang terdeteksi dalam jangka waktu satu batang: Tidak diketahui berarti satu atau beberapa log terdeteksi pada saat itu, tetapi jumlahnya tidak diketahui. Klik batang untuk mempersempit fokus diagram dan panel Aggregations ke jendela waktu batang tersebut. Tindakan ini akan membuat filter, yang ditampilkan di samping tombol filter_list Tambahkan filter. Untuk menampilkan semua hasil lagi, hapus filter.
• Pop-up detail: Mengklik salah satu batang akan membuka pop-up dengan waktu, dan nilai untuk Peristiwa yang Ditanyai, Peristiwa yang Difilter, Notifikasi yang Ditanyai, dan Notifikasi yang Difilter.

Menggunakan tab Prevalensi

Tab Prevalensi hanya muncul jika penelusuran Anda menyertakan domain.

Tab Prevalence menampilkan prevalensi domain yang terkait dengan penelusuran Anda dalam perusahaan Anda. Dasbor ini menggabungkan daftar domain prevalensi rendah dengan diagram interaktif. Tab ini hanya muncul jika penelusuran UDM Anda menyertakan domain.

Catatan: Tab Prevalence hanya ditampilkan untuk hasil penelusuran UDM.

Daftar domain prevalensi rendah mencakup kolom berikut:

• Domain dengan prevalensi rendah: Menampilkan nama domain yang terkait dengan hasil penelusuran Anda. Klik arrow_upward untuk mengurutkan domain menurut abjad (Z ke A), dan arrow_downward untuk menurut abjad (A ke Z).

• Prevalensi ≤ 10: Menampilkan total jumlah kemunculan untuk setiap domain dengan prevalensi 10 atau kurang. Klik arrow_upward untuk mengurutkan jumlah secara numerik dalam urutan menurun, dan arrow_downward untuk urutan menaik.

Pada diagram, tahan kursor ke lingkaran untuk menampilkan domain tertentu dan mempersempit penelusuran Anda ke peristiwa yang terkait dengan domain tersebut saja.

Menggunakan tab Peta panas aktivitas

Tab Heatmap aktivitas menampilkan data peristiwa dalam petak linimasa visual untuk menyoroti tempat peristiwa paling terkonsentrasi selama rentang waktu tertentu. Sumbu Y menampilkan tanggal dalam jangka waktu penelusuran Anda, dan sumbu X menampilkan waktu dalam interval per jam (dari 00.00 hingga 23.00).

Catatan: Tab Peta panas aktivitas hanya ditampilkan untuk hasil penelusuran UDM.

Legenda gradien warna menunjukkan volume peristiwa dalam jam tertentu, dengan warna yang lebih terang menunjukkan lebih sedikit peristiwa dan warna yang lebih gelap menunjukkan kepadatan yang lebih tinggi. Anda juga dapat menyesuaikan indikator kepadatan untuk melihat atau menyembunyikan slot per jam dengan menyesuaikan penggeser horizontal. Klik panah atas atau bawah di panel samping untuk men-scroll tanggal dan menyesuaikan jangka waktu tertentu.

Menggunakan panel Agregasi untuk menyaring hasil penelusuran

Panel Agregasi merangkum nilai frekuensi tinggi, yang dapat Anda gunakan untuk menyaring hasil penelusuran.

Catatan: Panel Penggabungan ditampilkan untuk semua jenis hasil penelusuran.

Panel Aggregations mencakup dua daftar yang dapat diciutkan: UDM Fields (yang merupakan daftar kolom UDM yang cocok) dan daftar kolom lain yang sesuai dengan jenis penelusuran (misalnya, Log Fields untuk penelusuran log mentah, Stats Fields, Case Fields, dan sebagainya). Untuk penelusuran UDM, panel Aggregations berisi daftar UDM Fields dan daftar Grouped Fields.

Untuk menyematkan kolom ke bagian atas daftar Aggregations, tahan kursor di atas kolom, lalu klik ikon keep Keep.

Anda dapat menelusuri kolom atau nilai kolom tertentu menggunakan kolom searchSearch di panel.

Setiap kolom menampilkan "jumlah kecocokan", yaitu jumlah data yang memiliki nilai yang sama untuk kolom tersebut. Konten daftar diurutkan dari jumlah kecocokan tertinggi hingga terendah, dan dalam urutan abjad dalam jumlah kecocokan yang sama. Anda dapat menelusuri daftar untuk menemukan kolom dan meluaskan item kolom.

Untuk memfilter hasil penelusuran dengan agregasi, lakukan hal berikut:

1. Di panel Aggregations, pilih kolom dari daftar untuk menampilkan nilai daftar untuk kolom tersebut.

2. Pilih nilai dari daftar, lalu klik more_vert Lainnya.

3. Pilih opsi filter:

   • Tampilkan hanya: Tabel yang berdekatan dan sesuai akan diperbarui untuk menampilkan hanya data yang cocok, dan filter = "value" ditampilkan di samping tombol filter_list Tambahkan filter.
   • Filter out: Tabel yang berdekatan akan diperbarui dengan mengecualikan data yang cocok, dan filter != "value" akan ditampilkan di samping tombol filter_list Add filter.
   • Salin: Menyalin pasangan nilai kolom ke papan klip Anda.

   

   Gambar 4. Contoh pemfilteran kolom menggunakan panel Agregasi.

   

   Gambar 5. Tombol filter_list Add filter dengan dua filter yang ada (satu ditampilkan dan satu lagi dalam daftar +1 More).

4. Opsional: Jika Anda memilih Hanya tampilkan atau Filter pada langkah sebelumnya dan ingin otomatis menyertakan filter ke dalam editor kueri dan menjalankan penelusuran lagi, klik Terapkan ke penelusuran dan jalankan.

Menggunakan kolom yang dikelompokkan di panel Aggregations pada tab Results

Panel Aggregations untuk penelusuran UDM menyertakan daftar Grouped Fields. Kolom yang dikelompokkan berfungsi sebagai alias kategori yang efektif, yang menggabungkan kolom UDM terkait tanpa mengharuskan Anda mengetik setiap kolom secara terpisah. Untuk mengetahui informasi selengkapnya tentang kolom yang dikelompokkan, lihat Menelusuri kolom yang dikelompokkan.

Alias kolom yang dikelompokkan	Kolom UDM terkait yang disertakan dalam alias
domain	about.administrative_domain about.asset.network_domain network.dns.questions.name network.dns_domain principal.administrative_domain principal.asset.network_domain target.administrative_domain target.asset.hostname target.asset.network_domain target.hostname
email	intermediary.user.email_addresses network.email.from network.email.to principal.user.email_addresses security_result.about.user.email_addresses target.user.email_addresses
file_path	principal.file.full_path principal.process.file.full_path principal.process.parent_process.file.full_path target.file.full_path target.process.file.full_path target.process.parent_process.file.full_path
hash	about.file.md5 about.file.sha1 about.file.sha256 principal.process.file.md5 principal.process.file.sha1 principal.process.file.sha256 security_result.about.file.sha256 target.file.md5 target.file.sha1 target.file.sha256 target.process.file.md5 target.process.file.sha1 target.process.file.sha256
hostname	intermediary.hostname observer.hostname principal.asset.hostname principal.hostname src.asset.hostname src.hostname target.asset.hostname target.hostname
ip	intermediary.ip observer.ip principal.artifact.ip principal.asset.ip principal.ip src.artifact.ip src.asset.ip src.ip target.artifact.ip target.asset.ip target.ip
namespace	principal.namespace src.namespace target.namespace
process_id	principal.process.parent_process.pid principal.process.parent_process.product_specific_process_id principal.process.pid principal.process.product_specific_process_id target.process.parent_process.pid target.process.parent_process.product_specific_process_id target.process.pid target.process.product_specific_process_id
user	about.user.userid observer.user.userid principal.user.user_display_name principal.user.userid principal.user.windows_sid src.user.userid target.user.user_display_name target.user.userid target.user.windows_sid

Menggunakan panel Peristiwa

Gunakan panel Events untuk melihat, mengurutkan, dan mengelola peristiwa yang cocok dengan penelusuran UDM Anda.

Untuk mengetahui informasi tentang fungsi dan alat yang didukung untuk panel Peristiwa, lihat Menggunakan alat umum untuk tabel. Fungsi yang didukung mencakup pengelolaan kolom dalam tabel yang ditampilkan tab, mendownload hasil penelusuran, dan lainnya.

Secara default, setelah Anda menjalankan penelusuran, tabel Peristiwa akan menampilkan kolom utama (disebut sebagai kolom cepat), misalnya, Status Peristiwa, Stempel waktu, Jenis (udm.metadata.event_type), Ringkasan, Pengguna (udm.principal.user.userid atau target.user.userid), Nama host (udm.principal.hostname atau target.hostname). Bergantung pada cakupan kueri dan sumber log Anda, tabel juga dapat menampilkan kolom cepat yang relevan secara dinamis seperti Tindakan (udm.security_result.action).

Catatan: Untuk peristiwa yang terkait dengan pemberitahuan, kolom Status Peristiwa menampilkan chip Pemberitahuan—dengan jumlah jika ada beberapa pemberitahuan yang berlaku.

Memeriksa detail terperinci dari satu peristiwa (Korelasi log mentah dan Penampil Peristiwa)

• Untuk memeriksa detail terperinci dari satu peristiwa, klik barisnya. Event Viewer akan terbuka.

  Untuk mengetahui informasi selengkapnya, lihat Menggunakan Event Viewer untuk hasil UDM dan RAW.

Tab pivot—membuat tabel pivot

Anda dapat menggunakan tabel pivot untuk melakukan pengelompokan dan ringkasan matematika multidimensi terhadap hasil penelusuran.

Untuk membuka dan mengonfigurasi tabel pivot, lakukan hal berikut:

1. Menjalankan penelusuran UDM.
2. Di tab Results, klik subtab Pivot. Panel Setelan Pivot akan terbuka.

3. Di bagian Group By, klik add Field untuk memilih hingga lima kolom UDM untuk pengelompokan baris. Opsi transformasi khusus muncul berdasarkan jenis kolom:

   • Kolom string: Opsi untuk menerapkan huruf kecil. Anda dapat menampilkan hasil menggunakan kapitalisasi Default atau hanya menggunakan huruf kecil dengan memilih Lowercase dari menu.
   • Kolom nama host:
     • Domain terdaftar: Hanya menampilkan nama domain terdaftar (seperti google.com, nytimes.com, youtube.com).
     • Domain tingkat N teratas: Tentukan tingkat domain yang akan ditampilkan. Misalnya, menggunakan nilai 1 hanya akan menampilkan domain tingkat teratas (seperti com, gov, atau edu). Menggunakan nilai 3 akan menampilkan dua tingkat nama domain berikutnya (seperti google.co.uk).
   • Kolom IP: Opsi untuk mengelompokkan menurut Panjang awalan CIDR dalam bit. Anda dapat menentukan 1 hingga 32 untuk alamat IPv4. Untuk alamat IPv6, Anda dapat menentukan nilai hingga 128.
   • Kolom stempel waktu: Opsi untuk mengelompokkan menurut resolusi waktu (milidetik, detik, menit, jam, hari).

4. Di bagian Nilai, tentukan nilai untuk perputaran dari daftar kolom dalam hasil Anda. Anda dapat menentukan hingga lima nilai.

5. Untuk setiap kolom yang Anda tentukan untuk Values, Anda harus memilih salah satu opsi Summarize By berikut:

   • Avg (rata-rata)
   • Jumlah
   • Count distinct
   • Max
   • Min
   • Jumlah
   • Stddev (simpangan baku)

   Opsi Ringkas tidak kompatibel secara universal dengan kolom Kelompokkan menurut. Misalnya, opsi Sum, Avg, Stddev, Min, dan Max hanya dapat diterapkan ke kolom numerik. Jika Anda mencoba mengaitkan opsi Ringkas yang tidak kompatibel dengan kolom Kelompokkan Menurut, Anda akan menerima pesan error.

   Tentukan nilai Event count untuk menampilkan jumlah peristiwa yang diidentifikasi untuk penelusuran dan tabel pivot tertentu ini.

6. Di bagian Urutkan menurut, tentukan satu atau beberapa kolom UDM dan pilih satu atau beberapa pengurutan menggunakan opsi Naik atau Turun.

7. Klik Terapkan jika Anda sudah siap. Hasilnya akan ditampilkan di panel Pivot.

8. Opsional: Untuk mendownload dan menyimpan konten tabel pivot, lihat Mendownload hasil penelusuran dari tabel.

Menggunakan panel Log Mentah

Gunakan panel Raw Logs untuk melihat, mengurutkan, dan mengelola log yang cocok dengan penelusuran Anda, yang mengevaluasi telemetri log mentah yang belum diurai. Tujuan diagnostik utama adalah memantau keandalan penyerapan dan penguraian—yaitu, memantau jumlah log yang diuraikan dibandingkan dengan jumlah log yang tidak diuraikan dibandingkan dengan tidak diketahui (yang berarti bahwa satu atau beberapa log terdeteksi pada waktu tertentu, tetapi jumlahnya tidak diketahui).

Untuk mengetahui informasi tentang fungsi dan alat yang didukung untuk tab ini, lihat Menggunakan alat umum untuk tabel. Fungsi yang didukung mencakup mengelola kolom dalam tabel yang ditampilkan tab, mendownload hasil penelusuran, dan lainnya.

Memeriksa detail terperinci dari satu log mentah (Penampil Peristiwa dan korelasi log mentah)

• Untuk memeriksa detail terperinci dari satu log mentah, klik di baris. Event Viewer akan terbuka.

  Untuk mengetahui informasi selengkapnya, lihat Menggunakan Event Viewer untuk hasil UDM dan RAW.

Menggunakan panel Statistik

Gunakan panel Statistik untuk melihat, mengurutkan, dan mengelola statistik yang cocok dengan penelusuran Anda.

Panel Statistik hanya mendukung Pemilih Kolom tempat Anda dapat menambahkan atau menghapus kolom.

Untuk mengetahui informasi tentang fungsi dan alat yang didukung untuk tab ini, lihat Menggunakan alat umum untuk tabel. Fungsi yang didukung mencakup mendownload hasil penelusuran, dan lainnya.

Menggunakan panel Gabungan

Gunakan panel Gabungan untuk melihat, mengurutkan, dan mengelola item yang cocok dengan penelusuran Anda.

Untuk mengetahui informasi tentang fungsi dan alat yang didukung untuk tab ini, lihat Menggunakan alat umum untuk tabel. Fungsi yang didukung mencakup pengelolaan kolom dalam tabel yang ditampilkan tab, mendownload hasil penelusuran, dan lainnya.

Menggunakan panel Kasus

Gunakan panel Kasus untuk melihat, mengurutkan, dan mengelola kasus yang cocok dengan penelusuran Anda.

Untuk mengetahui informasi tentang fungsi dan alat yang didukung untuk tab ini, lihat Menggunakan alat umum untuk tabel. Fungsi yang didukung mencakup pengelolaan kolom dalam tabel yang ditampilkan tab, mendownload hasil penelusuran, dan lainnya.

Menggunakan panel Histori Kasus

Gunakan panel Histori Kasus untuk melihat, mengurutkan, dan mengelola histori kasus yang cocok dengan penelusuran Anda.

Untuk mengetahui informasi tentang fungsi dan alat yang didukung untuk tab ini, lihat Menggunakan alat umum untuk tabel. Fungsi yang didukung mencakup mengelola kolom dalam tabel yang ditampilkan tab, mendownload hasil penelusuran, dan lainnya.

Menggunakan panel Data Berwaktu dan Data Tanpa Batas Waktu

Gunakan panel Data Berwaktu dan Data Tanpa Batas Waktu untuk melihat, mengurutkan, dan mengelola hasil dari penelusuran ECG. Panel Timed Data menampilkan hasil untuk entity yang memiliki rentang waktu yang ditentukan—yaitu, entity yang memiliki nilai untuk metadata.interval.end_time selama penyerapan. Panel Timeless Data menampilkan hasil untuk entity yang tidak memiliki rentang waktu yang ditentukan—yaitu, tidak memiliki nilai untuk metadata.interval.end_time.

Penting: Database ECG menyimpan entitas berjangka waktu dan tidak berjangka waktu secara terpisah. Saat Anda menjalankan penelusuran EKG, Google SecOps akan membuat gabungan penyimpanan data berjangka waktu dan abadi, lalu menampilkan hasil teratas dari masing-masing penyimpanan data, hingga jumlah hasil maksimum yang dikonfigurasi. Data entitas berwaktu diurutkan berdasarkan stempel waktu terbaru, tetapi urutan data entitas tanpa waktu tidak dapat diketahui. Oleh karena itu, antarmuka mungkin hanya menampilkan entity tanpa batas waktu, atau hanya entity berbatas waktu, atau kombinasi yang berbeda dari keduanya setiap kali kueri dijalankan.

Menggunakan Penampil Peristiwa untuk hasil UDM dan RAW

• Untuk memeriksa detail terperinci dari satu peristiwa atau log mentah, klik baris di tabel Events atau tabel Raw Logs. Event Viewer akan terbuka.

Event Viewer mencakup tab berikut:

• Kolom Peristiwa
• Log Mentah
• Pemberitahuan: Hanya ditampilkan untuk hasil UDM dari tabel Peristiwa
• Entitas

Menggunakan tab Kolom Peristiwa

Secara default, tab Event Fields menampilkan kolom peristiwa UDM dalam struktur hierarki hierarkis, yang diberi label Selected.

Gunakan tab Kolom Peristiwa untuk melakukan hal berikut:

• Melihat definisi kolom. Tahan kursor di atas nama kolom untuk melihat definisinya.
• Sematkan kolom untuk akses cepat. Di daftar Selected, pilih kolom, lalu klik keep pin. Kolom tersebut kemudian akan ditampilkan di daftar Disematkan. Kolom tetap berada dalam daftar Selected, dan hierarkinya dalam Pinned list ditampilkan dalam notasi yang dibatasi titik dengan awalan udm (misalnya, udm.metadata.event_type).
• Tambahkan ke kolom atau salin beberapa kolom. Centang kotak di samping node atau kolom, lalu pilih Tambahkan ke Kolom atau Salin.

• Melakukan tindakan berikut:

  • Filter: Terapkan filter berikut ke item yang dipilih (check_box) dalam daftar Dipilih:
    • Kolom
      • Tampilkan kolom yang tidak diperkaya
      • Tampilkan kolom yang diperkaya
      • Tampilkan kolom tambahan
      • Tampilkan kolom yang diekstrak
    • Sumber Log Pengayaan: Opsi yang tersedia bergantung pada peristiwa.
  • Salin: Untuk menyalin kolom UDM dan nilai UDM yang dipilih ke papan klip sistem.
  • Add to Columns: Menambahkan kolom UDM sebagai kolom.

Setiap kolom UDM diberi label dengan ikon yang menunjukkan apakah kolom tersebut berisi data yang diperkaya atau tidak diperkaya. Label ikonnya adalah sebagai berikut:

• U: Kolom yang tidak diperkaya berisi nilai yang diisi selama proses normalisasi menggunakan data dari log mentah asli.

• E: Kolom yang dipertkaya berisi nilai yang diisi oleh Google SecOps untuk memberikan konteks tambahan tentang artefak di lingkungan pelanggan. Untuk mengetahui informasi selengkapnya, lihat Memperkaya data peristiwa dan entity dengan Google SecOps.

  Tampilan setiap kolom yang diperkaya dapat menampilkan semua sumber terkait. Informasi ini berguna untuk validasi dan pemecahan masalah, serta mungkin diperlukan untuk tujuan audit dan kepatuhan. Anda juga dapat memfilter kolom sesuai dengan sumber pengayaannya.

Gambar 6. Kolom UDM yang diperkaya dan tidak diperkaya di tab Kolom Peristiwa pada Penampil Peristiwa, yang menampilkan sumber kolom yang diperkaya.

Gambar 7. Gunakan filter di tab Kolom Peristiwa untuk menampilkan atau menyembunyikan kolom menurut berbagai atribut.

Menggunakan tab Log Mentah

Tab Raw Log menampilkan tanda mentah asli dalam salah satu format berikut:

• Mentah
• JSON
• XML
• CSV
• Hex/ASCII

Menggunakan tab Pemberitahuan

Tab Pemberitahuan menampilkan pemberitahuan yang terkait dengan peristiwa.

Tab Pemberitahuan hanya ditampilkan untuk hasil UDM dari tabel Peristiwa.

Menggunakan tab Entitas

Tab Entitas menampilkan entitas yang terkait dengan peristiwa.

Klik entity untuk menampilkan dialog Entity context, yang dapat menyertakan item berikut:

• Nama aset
• Pertama kali dilihat
• Terakhir kali dilihat
• Alamat IP
• Alamat MAC
• Jumlah pemberitahuan
• Jumlah pemberitahuan tertinggi berdasarkan aturan
• Grafik batang pemberitahuan dari waktu ke waktu
• Link Buka Pemberitahuan & IOC
• Link Lihat di Tab Pemberitahuan

Melihat dan mengelola informasi di tab Pemberitahuan & Deteksi

Gunakan tab Alerts & Detections untuk:

• Perburuan ancaman di semua eksekusi aturan
• Membandingkan pemicu pemberitahuan yang dapat ditindaklanjuti dengan pendahulu perilaku yang tidak terlalu bising
• Menentukan cakupan batas insiden dalam satu tampilan gabungan

Tab Alerts & Detections menampilkan pemberitahuan dan deteksi yang cocok dengan kriteria penelusuran aktif Anda. Dengan menggabungkan pemberitahuan dan deteksi dalam satu tab, Anda dapat memeriksa pemberitahuan tingkat keparahan tinggi bersama dengan kecocokan aturan perilaku yang mendasarinya untuk mengungkap prekursor noise rendah yang tidak melewati batas pemberitahuan secara independen.

Pemberitahuan adalah peristiwa UDM dan telemetri konektor pihak ketiga yang diberi tag dengan pemberitahuan tingkat keparahan tinggi atau nilai minimum pemberitahuan. Jumlah Pemberitahuan menampilkan telemetri log UDM yang memicu aturan pemberitahuan (alert_state = "ALERTING"), beserta notifikasi prioritas tinggi yang diserap dari konektor keamanan pihak ketiga (seperti CrowdStrike atau webhook SOAR).

Deteksi adalah semua output eksekusi aturan yang menghasilkan pemberitahuan (ALERTING) dan tidak menghasilkan pemberitahuan (NOT_ALERTING) yang dihasilkan oleh aturan YARA-L 2.0 di seluruh lingkungan Anda. Tab ini menampilkan output eksekusi aturan komprehensif yang dihasilkan oleh mesin deteksi YARA-L 2.0 Anda di seluruh kecocokan aturan yang menghasilkan pemberitahuan dan yang tidak. Setiap pemberitahuan yang dihasilkan aturan juga merupakan deteksi (ALERTING), tetapi jumlah Deteksi juga mencakup semua hit aturan informasional, latar belakang, atau non-pemberitahuan (NOT_ALERTING).

Jumlah di header tab mengategorikan kecocokan eksekusi aturan menurut status pemberitahuan. Misalnya, jika header tab adalah Alerts (43) & Detection (0), berarti ada 43 kecocokan dengan alerting_rule = true dan nol eksekusi aturan non-pemberitahuan (NOT_ALERTING).

Tab Pemberitahuan & Deteksi mencakup panel berikut:

• Diagram Tren dari waktu ke waktu
• Panel Aggregations
• Panel Deteksi

Tips: Klik View Options untuk menyembunyikan atau menampilkan diagram dan panel Aggregations.

Menggunakan diagram Tren seiring waktu

Tab Trend over time di tab Alerts & Detections menyertakan diagram (histogram) volume deteksi dari waktu ke waktu. Lebar setiap batang vertikal diskalakan secara dinamis berdasarkan keseluruhan periode penelusuran Anda (misalnya, setiap batang mungkin mewakili 10 menit untuk periode penelusuran 24 jam).

Diagram mengelompokkan semua kecocokan eksekusi aturan dari waktu ke waktu dalam satu deret gabungan yang diberi label Deteksi.

Catatan: Header tab menampilkan nilai jumlah dan membagi temuan menurut status pemberitahuan (misalnya, Pemberitahuan (43) & Deteksi (0)), sedangkan diagram Tren dari waktu ke waktu menggabungkan semua kemunculan deteksi sebagai batang Deteksi.

Diagram ini mendukung hal berikut:

• Penyesuaian rentang waktu: Tarik kontrol penggeser di linimasa untuk mempersempit jendela waktu yang terlihat secara instan. Grid hasil dan agregasi akan diperbarui tanpa menjalankan ulang kueri terhadap backend.
• Melihat agregasi dan deteksi untuk jendela waktu satu batang: Klik batang untuk mempersempit fokus diagram, tab Agregasi, dan tab Deteksi ke jendela waktu batang tersebut. Tindakan ini akan membuat filter, yang ditampilkan di samping tombol filter_list Tambahkan filter. Hapus filter untuk menampilkan semua hasil lagi.
• Popup detail: Mengklik salah satu batang akan membuka dialog yang berisi waktu, serta nilai untuk Deteksi yang Dikueri dan Deteksi yang Difilter.

Menggunakan panel Agregasi untuk menyaring deteksi

Konten panel Aggregations di tab Alerts & Detections merangkum nilai hasil deteksi frekuensi tinggi, yang dapat Anda gunakan untuk menyaring hasil penelusuran.

Panel Agregasi mencakup tiga daftar yang dapat diciutkan: Kolom deteksi, Kolom UDM (yang merupakan daftar kolom UDM yang cocok), dan Kolom Entitas.

Setiap kolom menampilkan "jumlah kecocokan", yaitu jumlah deteksi pemberitahuan yang memiliki nilai yang sama untuk kolom tersebut. Konten daftar diurutkan dari jumlah kecocokan tertinggi hingga terendah, dan dalam urutan abjad dalam jumlah kecocokan yang sama. Anda dapat menelusuri daftar untuk menemukan kolom dan meluaskan item kolom.

Anda dapat menyematkan kolom ke bagian atas daftar Agregasi dengan menahan kursor di atas kolom dan mengklik ikon pertahankan Pertahankan.

Hasil deteksi peringatan penelusuran di panel Agregasi

Anda dapat menelusuri kolom atau nilai kolom tertentu menggunakan kolom penelusuran di panel Agregasi. Tindakan ini dapat membantu Anda berfokus pada pemberitahuan yang paling penting bagi Anda.

Berikut adalah atribut pemberitahuan utama untuk memfilter pemberitahuan di panel Penggabungan:

• Kasus
• Nama
• Prioritas
• Keparahan
• Status
• Putusan

Memfilter hasil deteksi pemberitahuan di panel Aggregations

Untuk memfilter hasil deteksi pemberitahuan dengan agregasi, lakukan hal berikut:

1. Di panel Aggregations, pilih kolom dari daftar untuk menampilkan daftar nilai untuk kolom tersebut.

2. Pilih nilai dari daftar tersebut, lalu klik more_vert Lainnya.

3. Pilih opsi filter:

   • Tampilkan saja: Tabel Deteksi diperbarui untuk menampilkan hanya pemberitahuan yang cocok, dan filter = "value" ditampilkan di samping tombol filter_list Tambahkan filter.
   • Filter out: Tabel Detections akan diperbarui dengan pemberitahuan yang cocok yang difilter, dan filter != "value" akan ditampilkan di samping tombol filter_list Add filter.
   • Greater than (hanya untuk kolom bilangan bulat): Tabel Detections akan diperbarui untuk menampilkan pemberitahuan dengan nilai yang lebih besar dari nilai ini, dan filter > "value" akan ditampilkan di samping tombol filter_list Add filter.
   • Lebih besar dari atau sama dengan (hanya untuk kolom bilangan bulat): Tabel Deteksi diperbarui untuk menampilkan pemberitahuan dengan nilai yang lebih besar dari atau sama dengan nilai ini, dan filter >= "value" ditampilkan di samping tombol filter_list Tambahkan filter.
   • Less than (hanya untuk kolom bilangan bulat): Tabel Detections diperbarui untuk menampilkan pemberitahuan dengan nilai yang lebih kecil dari nilai ini, dan filter < "value" ditampilkan di samping tombol filter_list Add filter.
   • Less than or equal to (hanya untuk kolom bilangan bulat): Tabel Detections akan diperbarui untuk menampilkan pemberitahuan dengan nilai yang kurang dari atau sama dengan nilai ini, dan filter <= "value" akan ditampilkan di samping tombol filter_list Add filter.
   • Salin: Menyalin pasangan nilai kolom ke papan klip Anda.

• Untuk menghapus filter dan memperbarui hasil deteksi pemberitahuan, hapus filter yang ditampilkan di samping tombol Tambahkan filter filter_list.

Menggunakan panel Deteksi

Gunakan panel Deteksi untuk melihat, mengurutkan, dan mengelola item yang cocok dengan penelusuran Anda.

Untuk mengetahui informasi tentang fungsi dan alat yang didukung untuk tab ini, lihat Menggunakan alat umum untuk tabel. Fungsi yang didukung mencakup mengelola kolom dalam tabel yang ditampilkan tab, mendownload hasil penelusuran, dan lainnya.

Memeriksa detail terperinci dari satu pemberitahuan (Alert Viewer)

• Untuk memeriksa detail terperinci dari satu pemberitahuan, klik baris tabel Detections. Alert Viewer akan terbuka.

Pelihat Notifikasi mencakup tab berikut:

• Kolom Deteksi
• Detail
• Variabel

• Entitas
  
  

• Untuk membuka halaman lain di konsol Google SecOps yang berisi detail pemberitahuan, klik View details.

Menggunakan tab Detection Fields

Secara default, tab Detection Fields menampilkan kolom deteksi dalam struktur hierarki, yang diberi label Selected.

Gunakan tab Detection Fields untuk melakukan hal berikut:

• Melihat definisi kolom. Tahan kursor di atas nama kolom untuk melihat definisinya.
• Sematkan kolom untuk akses cepat. Di daftar Dipilih, pilih kolom, lalu klik pertahankan pin. Kolom tersebut kemudian ditampilkan dalam daftar Disematkan. Kolom tetap berada dalam daftar Selected, dan hierarkinya dalam Pinned list ditampilkan dalam notasi yang dibatasi titik dengan awalan collection (misalnya, collection.created_time).
• Tambahkan ke kolom atau salin beberapa kolom. Centang kotak di samping node atau kolom, lalu pilih Tambahkan ke Kolom atau Salin.

• Melakukan tindakan berikut:

  • Terapkan filter ke daftar Dipilih.
  • Tambahkan ke Kolom: Menambahkan kolom sebagai kolom.
  • Salin: Untuk menyalin kolom dan nilai yang dipilih ke papan klip sistem.

Menggunakan tab Detail

Tab Detail menampilkan detail notifikasi. Kumpulan kolom detail bervariasi sesuai dengan notifikasi tertentu.

Contoh kolom detail:

• Nama (selalu Alert)
• Jenis
• Keparahan
• Skor Risiko
• Status
• Prioritas
• Terdeteksi
• Periode deteksi
• Dibuat
• Aturan
• Set Aturan
• Deskripsi
• Tag

Menggunakan tab Variabel

Tab Variabel menampilkan kolom, jenis, dan nilai setiap variabel yang terkait dengan pemberitahuan.

Menggunakan tab Entitas

Tab Entitas hanya ditampilkan jika ada entitas yang terkait dengan notifikasi.

Tab Entities menampilkan entity yang terkait dengan pemberitahuan.

Klik entity untuk menampilkan dialog Entity context, yang dapat menyertakan item berikut:

• Nama aset
• Pertama kali dilihat
• Terakhir kali dilihat
• Alamat IP
• Alamat MAC
• Jumlah pemberitahuan
• Jumlah pemberitahuan tertinggi berdasarkan aturan
• Grafik batang pemberitahuan dari waktu ke waktu
• Link Buka Pemberitahuan & IOC
• Link Lihat di Tab Pemberitahuan

Melihat dan mengelola informasi di tab Ringkasan

Gunakan tab Ringkasan untuk melakukan hal berikut:

• Memeriksa histori entitas (Pertama kali terlihat, Terakhir terlihat, Alamat MAC)
• Memverifikasi apakah indikator yang diamati tumpang-tindih dengan kasus atau pemberitahuan operasi keamanan aktif

Tab Ringkasan menampilkan Entity Context Graph (ECG) gabungan, detail aset atau pengguna, dan ringkasan investigasi untuk indikator penyusupan (IOC) atau entity yang cocok dengan periode penelusuran aktif Anda. Informasi yang ditampilkan bervariasi bergantung pada jenis informasi.

Tab Ringkasan menampilkan informasi entity dalam salah satu jenis informasi yang telah ditentukan berikut:

• Detail aset
• Detail domain
• Detail file
• Detail IP
• Detail pengguna

Melihat detail Aset di tab Ringkasan

Jika kueri menyertakan kondisi yang menampilkan aset tertentu—misalnya, principal.hostname="laptop-will" atau principal.ip="10.0.0.76"—tab Ringkasan akan menampilkan Tampilan Aset dengan informasi di panel berikut:

• Ringkasan penelusuran: Menampilkan informasi berikut:
  • Detail tentang entitas, termasuk alamat IP dan alamat MAC yang terkait dengan aset selama rentang waktu penelusuran. Alamat IP dan alamat MAC juga dapat digunakan untuk mengidentifikasi entitas dan dapat diklik untuk menampilkan informasi tambahan di penampil entitas. Alat ini juga menampilkan pertama kali aset terlihat di perusahaan Anda dan kapan aset tersebut terakhir (paling baru) terlihat. Anda dapat mengklik stempel waktu (pertama atau terakhir) untuk menjalankan penelusuran baru menggunakan waktu tersebut.
  • Detail tentang pemberitahuan, termasuk grafik yang menunjukkan jumlah pemberitahuan yang melibatkan entity dalam rentang waktu penelusuran. Panel ini juga mencantumkan subset aturan dengan jumlah pemberitahuan tertinggi.
  • Klik Buka Pemberitahuan & IOC untuk melihat semua pemberitahuan yang dihasilkan selama rentang waktu penelusuran yang sama.
  • Klik Lihat di Tab Pemberitahuan untuk beralih ke tab Pemberitahuan & Deteksi di halaman ini dan memulai penelusuran baru terhadap entitas yang dipilih.
  • Klik salah satu batang pada diagram untuk beralih ke tab Alerts & Detections di halaman ini dan memulai penelusuran baru terhadap entitas yang dipilih, menggunakan rentang waktu batang yang diklik.
  • Klik link Lihat lainnya untuk membuka tampilan Kolom entity dan menampilkan semua kolom entity yang terkait dengan aset. Untuk menyalin kolom entity ke papan klip, klik kotak centang di samping kolom entity, klik View actions, lalu klik Copy entity. Klik kotak centang di bagian atas untuk memilih semua entitas.
• IOC yang relevan: Menampilkan IOC yang terkait dengan aset. IOC dengan tingkat keparahan yang lebih tinggi akan ditampilkan terlebih dahulu. Mengklik nama IOC akan membuka penampil entity di sebelah kanan.
• Entitas Terkait: Menampilkan entitas lain yang terkait dengan aset ini, seperti pengguna yang login ke aset. Panel ini menampilkan jenis entity, kapan entity pertama kali terlihat di lingkungan, dan kapan entity terakhir (paling baru) terlihat. Panel ini juga menampilkan namespace yang terkait dengan aset. Klik entity untuk membuka panel Entity context. Klik Tampilkan semua waktu untuk menampilkan entity terkait selama seluruh jangka waktu yang tersedia, bukan rentang yang ditentukan dalam penelusuran UDM.
• Konteks entity: Menampilkan detail tentang entity yang Anda pilih di panel Entity Terkait. Panel ini menampilkan informasi yang berbeda, bergantung pada jenis entitas yang Anda pilih di panel Entitas terkait (misalnya, pengguna atau domain).

Melihat Detail domain di tab Ringkasan

Jika kueri menyertakan kondisi yang menentukan domain tertentu, misalnya, target.hostname="example.com", tab Ringkasan menampilkan detail Domain dengan informasi di panel berikut:

• Ringkasan penelusuran: Menampilkan informasi berikut:
  • Detail tentang domain, termasuk informasi WHOIS yang terkait dengan domain terdaftar, pertama kali domain tersebut terlihat di perusahaan Anda, dan terakhir kali (terbaru) domain tersebut terlihat. Klik VT Context untuk melihat informasi tentang domain dari VirusTotal.
  • Detail tentang pemberitahuan, termasuk grafik yang menunjukkan jumlah pemberitahuan yang melibatkan entity dalam rentang waktu penelusuran. Panel ini juga mencantumkan subset aturan dengan jumlah pemberitahuan tertinggi.
  • Klik Open Alerts & IOCs untuk melihat semua pemberitahuan yang dihasilkan selama rentang waktu penelusuran yang sama.
  • Klik Lihat di Tab Pemberitahuan untuk beralih ke tab Pemberitahuan & Deteksi di halaman ini dan memulai penelusuran baru terhadap entitas yang dipilih.
  • Klik salah satu batang pada diagram untuk beralih ke tab Alerts & Detections di halaman ini dan memulai penelusuran baru terhadap entitas yang dipilih, menggunakan rentang waktu batang yang diklik.
  • Klik link Lihat lainnya untuk membuka tampilan Kolom entitas dan menampilkan semua kolom entitas yang terkait dengan domain. Untuk menyalin kolom entitas ke papan klip, klik kotak centang di samping kolom entitas, klik Lihat tindakan, lalu klik Salin entitas. Klik kotak centang di bagian atas untuk memilih semua entitas.
• IP yang diselesaikan: Menampilkan semua alamat IP yang telah diselesaikan dan terlihat di perusahaan Anda untuk nama domain yang sepenuhnya memenuhi syarat (FQDN). Misalnya, jika Anda menelusuri target.hostname="test.altostrat.com", hasil penelusuran mungkin menampilkan dua alamat IP yang di-resolve (198.51.100.81 dan 203.0.113.81).
• Subdomain dan domain selevel: Menampilkan semua subdomain terkait yang telah terlihat di perusahaan Anda untuk FQDN tertentu. Banyak musuh menggunakan domain dan subdomain yang sama untuk serangan mereka. Misalnya, jika Anda menelusuri target.hostname="sandbox.altostrat.com", panel ini akan menampilkan dua subdomain, test.sandbox.altostrat.com dan staging.sandbox.altostrat.com.
• Prevalensi Aset: Menampilkan jumlah aset di perusahaan Anda yang telah terhubung ke domain selama seluruh jangka waktu data yang disimpan di akun Google Security Operations Anda. Setiap batang grafik mewakili jumlah aset unik di perusahaan Anda yang telah terhubung ke domain pada hari UTC. Mengarahkan kursor ke batang akan menampilkan entitas terkait pada hari UTC yang diwakili oleh batang tersebut. Klik nama entity untuk melihat ringkasan dan ringkasan entity di panel konteks entity yang ditampilkan di sebelah kanan. Klik View events untuk melihat peristiwa yang terkait dengan entity yang dipilih di tab peristiwa penelusuran.
• Entitas Terkait: Menampilkan entitas lain yang terkait dengan domain ini, seperti aset yang telah menghubungi domain ini. Daftar ini mencakup jenis entitas, kapan entitas tersebut pertama kali terlihat di perusahaan Anda, dan kapan entitas tersebut terakhir (paling baru) terlihat. Klik entity untuk membuka panel Konteks entity.
• Entity context: Menampilkan detail tentang entity yang Anda pilih di panel Associated Entities. Panel ini menampilkan informasi yang berbeda-beda bergantung pada jenis entitas yang Anda pilih di panel Entitas Terkait (misalnya, alamat IP atau domain).

Melihat detail File

Jika kueri menyertakan kondisi yang menampilkan satu file, misalnya principal.process.file.md5="a00000a75f2a35130aa7a7aaa09aaa7a", tab Ringkasan akan menampilkan detail File dengan informasi di panel berikut:

• Ringkasan penelusuran: Menampilkan informasi berikut:
  • Detail tentang file, termasuk nilai hash, ukuran file, pertama kali dilihat di perusahaan Anda, dan terakhir kali (paling baru) dilihat. Klik VT Context untuk melihat informasi tentang file dari VirusTotal.
  • Detail tentang pemberitahuan, termasuk diagram yang menunjukkan jumlah pemberitahuan yang melibatkan entity dalam rentang waktu penelusuran. Panel ini juga mencantumkan subset aturan dengan jumlah pemberitahuan tertinggi.
  • Klik Open Alerts & IOCs untuk melihat semua pemberitahuan yang dihasilkan selama rentang waktu penelusuran yang sama.
  • Klik Lihat di Tab Pemberitahuan untuk beralih ke tab Pemberitahuan & Deteksi di halaman ini dan memulai penelusuran baru terhadap entitas yang dipilih.
  • Klik salah satu batang pada diagram untuk beralih ke tab Alerts & Detections di halaman ini dan memulai penelusuran baru terhadap entitas yang dipilih, menggunakan rentang waktu batang yang diklik.
  • Klik link View more untuk membuka tampilan Entity fields dan menampilkan semua kolom entity yang terkait dengan file. Untuk menyalin kolom entitas ke papan klip, klik kotak centang di samping kolom entitas, klik Lihat tindakan, lalu klik Salin entitas. Klik kotak centang di bagian atas untuk memilih semua entitas.
• IOC yang relevan: Menampilkan IOC yang terkait dengan file. IOC dengan tingkat keparahan yang lebih tinggi akan ditampilkan terlebih dahulu. Mengklik nama IOC akan membuka penampil entity di sebelah kanan.
• Prevalensi Aset: Menampilkan jumlah aset di perusahaan Anda yang terkait dengan file selama seluruh jangka waktu data yang disimpan di akun Google SecOps Anda.
• Entitas Terkait: Menampilkan entitas lain yang terkait dengan file ini, seperti aset tempat file ini dieksekusi atau pengguna yang mengakses file tersebut. Daftar ini mencakup jenis entitas, kapan pertama kali terlihat di perusahaan Anda, dan kapan terakhir kali (paling baru) terlihat. Klik entity untuk membuka panel Konteks entity.
• Properti & metadata VirusTotal: Menampilkan informasi tentang file dari database VirusTotal. Klik Lihat lainnya untuk membuka dialog VirusTotal dan menampilkan informasi tambahan tentang file.
• Entitas Terkait: Menampilkan informasi yang berbeda-beda, bergantung pada jenis entitas yang Anda pilih di panel Entitas Terkait (misalnya, pengguna atau aset).
• Entity context: Menampilkan detail tentang entity yang Anda pilih di panel Associated Entities. Panel ini menampilkan informasi yang berbeda-beda, bergantung pada jenis entitas yang Anda pilih di panel Entitas Terkait (misalnya, pengguna atau aset).

Melihat detail IP di tab Ringkasan

Jika kueri menyertakan kondisi yang menampilkan alamat IP eksternal tertentu, misalnya, target.ip="203.0.113.254", tab Overview akan menampilkan detail IP dengan informasi di panel berikut:

• Ringkasan penelusuran: Menampilkan informasi berikut:
  • Detail tentang alamat IP, termasuk pertama kali alamat IP tersebut terlihat di perusahaan Anda dan terakhir kali (terbaru) alamat IP tersebut terlihat. Klik VT Context untuk melihat informasi yang tersedia tentang alamat IP ini dari VirusTotal.
  • Detail tentang pemberitahuan, termasuk grafik yang menunjukkan jumlah pemberitahuan yang melibatkan entity dalam rentang waktu penelusuran. Panel ini juga mencantumkan subset aturan dengan jumlah pemberitahuan tertinggi.
  • Klik Open Alerts & IOCs untuk melihat semua pemberitahuan yang dihasilkan selama rentang waktu penelusuran yang sama.
  • Klik Lihat di Tab Pemberitahuan untuk beralih ke tab Pemberitahuan & Deteksi di halaman ini dan memulai penelusuran baru terhadap entitas yang dipilih.
  • Klik salah satu batang pada diagram untuk beralih ke tab Alerts & Detections di halaman ini dan memulai penelusuran baru terhadap entitas yang dipilih, menggunakan rentang waktu batang yang diklik.
  • Klik link Lihat lainnya untuk membuka tampilan Kolom entitas dan menampilkan semua kolom entitas yang terkait dengan alamat IP. Untuk menyalin kolom entity ke papan klip, klik kotak centang di samping kolom entity, klik View actions, lalu klik Copy entity. Klik kotak centang di bagian atas untuk memilih semua entitas.
• IOC yang relevan: Menampilkan IOC yang terkait dengan alamat IP. IOC dengan tingkat keparahan yang lebih tinggi akan ditampilkan terlebih dahulu. Mengklik nama IOC akan membuka penampil entity di sebelah kanan.
• Prevalensi Aset: Menampilkan jumlah aset di perusahaan Anda yang telah terhubung ke alamat IP selama jangka waktu yang ditentukan dalam penelusuran UDM.
• Entitas Terkait: Menampilkan entitas lain yang terkait dengan alamat IP ini, seperti domain tempat alamat IP didaftarkan. Daftar ini mencakup jenis entitas, kapan pertama kali terlihat di perusahaan Anda, dan kapan terakhir (paling baru) terlihat. Klik entity untuk membuka panel Entity context.
• Entity context: Menampilkan detail tentang entity yang Anda pilih di panel Associated Entities. Panel ini menampilkan informasi yang berbeda, bergantung pada jenis entitas yang Anda pilih di panel Associated Entities (misalnya, domain atau aset). Jika link ditampilkan, klik Konteks VT untuk melihat informasi tentang entitas dari VirusTotal.

Melihat Detail pengguna di tab Ringkasan

Jika kueri menyertakan kondisi yang menampilkan pengguna tertentu, misalnya principal.user.userid="alice", tab Ringkasan akan menampilkan detail Pengguna dengan informasi di panel berikut:

• Ringkasan penelusuran: Menampilkan informasi berikut:
  • Detail tentang entitas, termasuk nama lengkap, pertama kali terlihat di perusahaan Anda dan terakhir kali (terbaru) terlihat, jabatan, dan alamat email.
  • Detail tentang pemberitahuan, termasuk grafik yang menunjukkan jumlah pemberitahuan yang melibatkan entity dalam rentang waktu penelusuran. Panel ini juga mencantumkan subset aturan dengan jumlah pemberitahuan tertinggi.
  • Klik Open Alerts & IOCs untuk melihat semua pemberitahuan yang dihasilkan selama rentang waktu penelusuran yang sama.
  • Klik Lihat di Tab Pemberitahuan untuk beralih ke tab Pemberitahuan & Deteksi di halaman ini dan memulai penelusuran baru terhadap entitas yang dipilih.
  • Klik salah satu batang pada diagram untuk beralih ke tab Alerts & Detections di halaman ini dan memulai penelusuran baru terhadap entitas yang dipilih, menggunakan rentang waktu batang yang diklik.
  • Klik link Lihat lainnya untuk membuka tampilan Kolom entitas dan menampilkan semua kolom entitas yang terkait dengan pengguna. Untuk menyalin kolom entitas ke papan klip, klik kotak centang di samping kolom entitas, klik Lihat tindakan, lalu klik Salin entitas. Klik kotak centang di bagian atas untuk memilih semua entitas.
• Entitas terkait: Menampilkan entitas yang terkait dengan pengguna ini, seperti domain yang dihubungi pengguna atau aset yang diakses pengguna. Daftar ini mencakup jenis entitas, kapan pertama kali terlihat di perusahaan Anda, dan kapan terakhir (paling baru) terlihat. Klik entity untuk membuka panel Entity context.
• Konteks entity: Menampilkan detail tentang entity yang Anda pilih di panel Entity Terkait. Informasi di panel ini berbeda-beda, bergantung pada jenis entitas (misalnya, aset atau domain).

Melihat dan mengelola informasi di tab Visualisasikan

Gunakan tab Visualisasikan untuk mengubah data dari hasil penelusuran STATS Anda menjadi diagram, grafik, atau tabel.

Menggunakan alat umum untuk tabel

Di halaman SIEM Search, sebagian besar panel yang berisi satu tabel mendukung fungsi dan alat umum yang sama.

Bagian ini menjelaskan fungsi dan alat umum berikut:

• Kotak penelusuran. Gunakan kotak penelusuran untuk menemukan hasil yang cocok di tabel yang berdekatan.
• Mengelola kolom tabel dan membagikan kumpulan kolom (Pengelola Kolom).
• Tombol Gabungkan Teks - Batalkan Penggabungan Teks. Membungkus teks berguna untuk melihat seluruh string panjang dalam kolom.
• Mendownload hasil penelusuran dari tabel.
• Alat Baris per halaman di bagian bawah tabel. Anda dapat menggunakan alat ini untuk meningkatkan stabilitas dan performa browser saat memuat sejumlah besar data hasil (baris). Google SecOps menyediakan hasil penelusuran yang diberi nomor halaman. Gunakan daftar Baris per halaman, di tabel Peristiwa, untuk memilih jumlah baris yang akan ditampilkan per halaman (10 hingga 1.000 peristiwa).

Mengelola kolom tabel dan membagikan set kolom (Pengelola Kolom)

Untuk menggunakan tampilan yang konsisten saat menganalisis data peristiwa, Anda dapat membuat, menyimpan, dan membagikan kumpulan kolom kustom untuk tabel berikut di halaman SIEM Search:

• Di panel Results, untuk tabel berikut: Events, Raw Logs, Joins
• Di tab Pemberitahuan & Deteksi, untuk tabel Deteksi.

Untuk menggunakan fungsi ini, akun pengguna atau peran Identity and Access Management Anda harus memiliki kelima izin berikut:

• chronicle.googleapis.com/savedColumnSets.create
• chronicle.googleapis.com/savedColumnSets.update
• chronicle.googleapis.com/savedColumnSets.delete
• chronicle.googleapis.com/savedColumnSets.list
• chronicle.googleapis.com/savedColumnSets.get

Catatan: Tab Stats hanya mendukung Pemilih Kolom yang hanya dapat Anda gunakan untuk menambahkan atau menghapus kolom. Tab Stats tidak mendukung fungsi Column Manager.

Membuat set kolom

Langkah-langkah untuk membuat kumpulan kolom sedikit berbeda, bergantung pada tabel yang Anda gunakan.

Untuk membuat set kolom untuk tabel Events, Raw Logs, atau Joins, lakukan hal berikut:

1. Klik Kolom untuk membuka Pengelola Kolom.
2. Klik ikon filter_alt Filter untuk menentukan apakah akan menampilkan kolom yang tidak berlaku.
3. Klik tombol Tampilkan yang dipilih untuk hanya menampilkan kolom yang dipilih di tab Kolom Peristiwa.
4. Di tab Events Columns, tambahkan atau hapus kolom untuk kumpulan kolom Anda. Anda dapat menjelajahi atau menelusuri kolom penelusuran di seluruh bagian yang dapat diciutkan (yang bervariasi bergantung pada jenis hasil penelusuran)—misalnya, Kolom cepat (kolom yang paling umum per jenis data), Kolom yang Dikelompokkan, Semua Kolom Peristiwa, dan Semua Kolom Entitas. Centang atau hapus centang kotak untuk menampilkan atau menyembunyikan kolom.
5. Atur kolom, lalu klik Simpan. Dialog Save Column Set akan terbuka.
6. Pilih salah satu opsi berikut:
   • Simpan: Masukkan nama baru untuk kumpulan kolom Anda.
   • Ganti: Jika Anda telah mengubah set yang disimpan sebelumnya, Anda dapat menimpa set yang ada dengan perubahan Anda.
7. Klik Simpan. Set kolom tercantum di tab Set Kolom.

Untuk membuat set kolom untuk tabel Deteksi, lakukan hal berikut:

1. Klik Kolom untuk membuka Pengelola Kolom.
2. Klik ikon filter_alt Filter untuk menentukan apakah akan menampilkan kolom yang tidak berlaku.

3. Dari daftar Table Type, pilih jenis tabel yang ingin Anda buatkan kumpulan kolomnya:

   • Deteksi
   • Peristiwa
   • Entitas (Lihat kolom dengan meluaskan baris tabel.)

   Perubahan yang dibuat pada jenis tabel tertentu hanya akan berlaku untuk tabel dan subtabel dari jenis tersebut.

4. Klik tombol Tampilkan yang dipilih untuk hanya menampilkan kolom yang dipilih di tab yang sesuai (Kolom Deteksi, Kolom Peristiwa, atau Kolom Entitas).

5. Di tab yang sesuai, tambahkan atau hapus kolom untuk kumpulan kolom Anda. Anda dapat menjelajahi atau menelusuri kolom di seluruh bagian yang dapat diciutkan (yang bervariasi bergantung pada jenis hasil penelusuran). Centang kotak untuk menampilkan atau menyembunyikan kolom.

6. Atur kolom, lalu klik Simpan. Dialog Save Column Set akan terbuka.

7. Pilih salah satu opsi berikut:

   • Simpan: Masukkan nama baru untuk kumpulan kolom Anda.
   • Ganti: Jika Anda telah mengubah set yang disimpan sebelumnya, Anda dapat menimpa set yang ada dengan perubahan Anda.

8. Klik Simpan. Set kolom tercantum di tab Set Kolom.

Membagikan set kolom

Untuk membagikan set kolom kepada semua pengguna lain di tenant Google SecOps Anda:

1. Klik Kolom untuk membuka Pengelola Kolom.
2. Di tab Events Columns, tambahkan atau hapus kolom untuk kumpulan kolom Anda. Anda dapat menjelajahi atau menelusuri kolom di seluruh bagian yang dapat diciutkan (yang bervariasi bergantung pada jenis hasil penelusuran)—misalnya, Kolom cepat (kolom paling umum per jenis data), Kolom yang dikelompokkan, Semua kolom peristiwa, dan Semua kolom entitas. Centang kotak untuk menampilkan atau menyembunyikan kolom.
3. Atur kolom, lalu klik Bagikan. Dialog Share Column Set akan terbuka.
4. Pilih salah satu opsi berikut:
   • Bagikan Baru: Masukkan nama baru untuk set kolom yang akan dibagikan.
   • Bagikan yang Ada: Pilih kumpulan yang sebelumnya disimpan dari daftar.
5. Klik Bagikan. Set kolom tercantum di tab Set Kolom dengan badge DIBAGIKAN.

Memuat set kolom yang disimpan

Untuk memuat kumpulan kolom tersimpan, lakukan tindakan berikut:

1. Klik Kolom untuk membuka Pengelola Kolom.
2. Pilih tab Columns Sets.
3. Pilih set kolom yang akan dimuat, lalu klik Terapkan.

Menghapus set kolom tersimpan

Untuk menghapus kumpulan kolom tersimpan, lakukan tindakan berikut:

1. Klik Kolom untuk membuka Pengelola Kolom.
2. Pilih tab Columns Sets.
3. Pilih kumpulan kolom, klik Lainnya > Hapus.

Mendownload hasil penelusuran dari tabel

Anda dapat mendownload dan menyimpan file CSV yang berisi konten tabel yang ditampilkan di halaman SIEM Search. Untuk tabel Events atau tabel pivot, ada juga opsi untuk menggabungkan log mentah asli, yang memberi Anda korelasi yang tepat antara data UDM yang diuraikan dan telemetri sumbernya. Fitur ini dirancang untuk tim yang memerlukan pemrosesan analisis eksternal, jalur audit untuk kepatuhan yang mengharuskan Anda mempertahankan hubungan antara data yang dinormalisasi dan penyerapan asli, atau korelasi eksternal.

Untuk mendownload hasil penelusuran (hingga jumlah maksimum hasil penelusuran yang ditentukan) dari tabel Events:

1. Opsional: Gunakan Pengelola Kolom untuk menentukan kolom UDM yang akan disertakan dalam CSV. Kolom Raw Log ditambahkan berdasarkan pilihan Anda.

2. Klik Download di bagian atas tabel, lalu pilih salah satu opsi berikut:

   • Download sebagai CSV: Mendownload peristiwa yang cocok (dan sesuai dengan jumlah pasti peristiwa yang ditentukan yang ditampilkan).
   • Download as CSV (with raw logs): Mendownload peristiwa yang cocok dan menambahkan string log asli yang belum diurai sebagai kolom khusus di samping setiap data UDM yang dinormalisasi (dan sesuai dengan jumlah persis peristiwa yang ditentukan yang ditampilkan).

3. Simpan file.

Untuk mendownload hasil penelusuran (hingga jumlah maksimum hasil penelusuran yang ditentukan) dari tabel di tab Result, selain panel Events atau panel Pivot:

1. Klik Download di bagian atas tabel, lalu pilih Download sebagai CSV. Tindakan ini akan mendownload hasil yang cocok (dan sesuai dengan jumlah persis peristiwa yang ditentukan yang ditampilkan).
2. Simpan file.

Untuk mendownload hasil penelusuran (hingga jumlah maksimum hasil penelusuran yang ditentukan) dari tabel Detections:

1. Klik Download di bagian atas tabel, lalu pilih Download sebagai CSV. Tindakan ini akan mendownload hasil yang cocok (dan sesuai dengan jumlah pasti peristiwa tertentu yang ditampilkan).
2. Simpan file.

Kolom yang didukung saat menyimpan CSV

Anda dapat mendownload kolom berikut ke file CSV dari platform:

• user
• hostname
• process name
• timestamp
• raw log: Hanya valid jika log mentah diaktifkan untuk pelanggan
• Semua kolom yang diawali dengan udm.additional

Jenis kolom yang valid saat menyimpan CSV

Anda dapat mendownload jenis kolom berikut ke file CSV:

• double
• float
• int32
• uint32
• int64
• uint64
• bool
• string
• enum
• bytes
• google.protobuf.Timestamp
• google.protobuf.Duration

Kolom yang tidak didukung saat menyimpan CSV

Kolom yang memenuhi salah satu kriteria berikut tidak dapat didownload ke CSV:

• Jenis kolom: Jenis data yang ditentukan sebagai Pesan atau Grup dalam proto UDM.
• Kedalaman kolom: Kolom yang bertingkat lebih dari 10 tingkat.

• Kolom UI tertentu: Kolom berikut yang ditampilkan di UI tidak didukung untuk download langsung:

  • Kolom Acara:

    • Status Peristiwa
    • Ringkasan Acara

    • Jenis Peristiwa

      Catatan: Untuk mendownload Jenis Peristiwa, pilih kolom metadata.event_type di Pengelola Kolom.

  • Grafik Konteks Entitas:

    • Pertama Terlihat
    • Terakhir Terlihat
    • Stempel waktu

  • Penelusuran Gabungan:

    • Kode Instance

Batas dan kuota

Google SecOps menerapkan batasan pada kueri penelusuran untuk memastikan stabilitas platform dan performa yang konsisten di seluruh antarmuka web dan terprogram. Batas ini berlaku untuk Backstory API dan Chronicle API.

Kuota Search dan API

Batas berikut berlaku untuk jumlah kueri penelusuran dan operasi serentak per tenant:

• Kueri per jam (QPH): Batas antarmuka konsol web sebesar 1.000 QPH; batas akses API terprogram sebesar 2.000 QPH.

• Kueri sederhana (mencakup < 24 jam, satu sumber, tanpa statistik): Batas konkurensi maksimum 180 kueri simultan per tenant.

  Jika pool konkurensi kueri sederhana habis, operasi Anda akan otomatis dialihkan ke kuota kueri kompleks yang tersedia.

• Kueri kompleks (mencakup > 24 jam, multi-sumber, atau menyertakan statistik): Batas konkurensi maksimum 180 kueri serentak per tenant.

• Batas perintah kolom UDM: Satu kueri dibatasi untuk mereferensikan maksimum 100 kolom UDM di dalam perintah.

Error kuota

Saat batas tercapai, antarmuka web akan menampilkan notifikasi error kuota persisten. Untuk akses terprogram, panggilan API (seperti instances.udmSearch) menampilkan error status HTTP 429 RESOURCE_EXHAUSTED yang berisi pesan google.rpc.QuotaFailure yang menjelaskan batas spesifik yang Anda lampaui.

Batas kumpulan hasil dan tampilan

Gunakan Setelan Penelusuran  > Hasil Maksimum yang Ditampilkan untuk menyesuaikan batas backend (1 hingga 1.000.000, default 30.000).

Untuk memastikan stabilitas platform yang konsisten dan waktu respons yang cepat di seluruh antarmuka web dan API, Google SecOps menerapkan batasan berikut:

Jenis penelusuran atau sumber data	Jumlah maksimum hasil yang ditampilkan	Perilaku tampilan konsol web
Penelusuran peristiwa UDM	1.000.000 data	Ditampilkan langsung di panel Events dalam tab Results. Menampilkan data terbaru di seluruh baris yang diberi nomor halaman (10 hingga 1.000 per halaman).
Tabel Data dan Penggabungan	1.000.000 data	Baris yang berkorelasi akan muncul di panel Events di dalam tab Results berdasarkan konfigurasi Column Manager.
Kasus dan Histori Kasus	1.000.000 data	Ditampilkan langsung di panel Cases dan Case History di dalam tab Results. Ditampilkan dalam konteks Ringkasan atau menggunakan kueri Telusuri Kasus.
Statistik	100.000 data (khusus UI dan API operasi yang berjalan lama)	Ditampilkan langsung di panel Stats dalam tab Results. Diagram merender nilai teratas agar mudah dibaca; menampilkan pemberitahuan peringatan saat melebihi batas visual.
Agregasi pivot (Results > Pivot)	100.000 data	Diagram merender nilai teratas agar mudah dibaca; menampilkan pemberitahuan peringatan saat melebihi batas visual.
Deteksi aturan	100.000 data	Ditampilkan langsung di tab gabungan Pemberitahuan & Deteksi.
Grafik Konteks Entity (ECG)	1.000.000 data	Ditampilkan di panel Data Berjangka Waktu dan Data Tanpa Batas Waktu di dalam tab Hasil. Tabel di panel Data Berjangka Waktu menampilkan entitas yang memiliki rentang waktu yang ditentukan. Tabel di tab Timeless Data menampilkan entitas yang tidak memiliki rentang waktu yang ditentukan. Antarmuka mungkin hanya menampilkan entitas tanpa waktu, atau hanya entitas dengan waktu, atau kombinasi yang berbeda dari keduanya setiap kali kueri dijalankan. Untuk mengetahui informasi selengkapnya, lihat Menggunakan panel Data Berwaktu dan Data Tanpa Batas Waktu.

Mengoptimalkan dan menyaring hasil penelusuran Anda

Bagian ini menguraikan batasan dan ekspektasi performa, serta memberikan perbaikan mandiri untuk masalah umum terkait halaman Penelusuran SIEM di Google Security Operations.

Pengoptimalan performa dan praktik terbaik

Untuk mengoptimalkan kecepatan kueri dan meminimalkan risiko waktu tunggu habis:

• Persempit rentang waktu Anda terlebih dahulu: Waktu adalah filter yang paling efektif. Membuat kueri jendela 2 jam yang tepat dari suatu insiden berjalan jauh lebih cepat daripada menelusuri jendela 30 hari.
• Buat kueri kolom UDM yang tepat, bukan alias yang dikelompokkan: Meskipun kolom yang dikelompokkan (ip = "1.2.3.4") praktis, kolom tersebut memaksa mesin untuk memeriksa 15+ kolom pokok (principal.ip, target.ip, observer.ip). Jika Anda tahu bahwa alamat IP adalah milik server tujuan, buat kueri target.ip = "1.2.3.4" secara langsung.
• Hindari karakter pengganti di awal ekspresi reguler: Kueri yang dimulai dengan karakter pengganti (principal.hostname = /.*server-.*/) mencegah pencarian indeks dan memaksa pemindaian tabel penuh. Tambahkan karakter anchor ke ekspresi reguler Anda jika memungkinkan (principal.hostname = /^prod-server-.*/).
• Manfaatkan metadata yang diindeks: Filter menurut metadata.event_type (NETWORK_CONNECTION, PROCESS_LAUNCH, USER_LOGIN) atau metadata.log_type di awal rantai AND Anda untuk langsung memangkas sumber log yang tidak relevan.
• Gunakan limit: N untuk sampling data cepat dan pratinjau singkat: Anda dapat menambahkan kata kunci limit: N langsung ke kueri (misalnya, metadata.event_type = "USER_LOGIN" limit: 50) untuk sampling data cepat dan pratinjau singkat.

Praktik terbaik untuk penelusuran luas

Jika penelusuran Anda terlalu luas, Google SecOps akan menampilkan pesan peringatan yang menunjukkan bahwa tidak semua hasil penelusuran dapat ditampilkan. Dalam kasus tersebut, sistem hanya mengambil hasil terbaru, hingga batas penelusuran satu juta peristiwa dan 1.000 notifikasi. Namun, mungkin ada lebih banyak peristiwa dan pemberitahuan yang cocok, tetapi tidak ditampilkan.

Untuk mendapatkan semua hasil yang relevan, perbaiki penelusuran Anda dengan menerapkan filter tambahan, misalnya:

• Persempit rentang waktu untuk mengurangi ukuran set data.
• Gunakan kueri penelusuran atau filter tertentu, bukan istilah yang luas.
• Buat kueri kolom UDM yang tepat, bukan kolom yang dikelompokkan, saat Anda memerlukan hasil untuk satu kolom.

Men-debug dan menyaring kueri

Bagian ini menjelaskan cara men-debug dan menyempurnakan kueri.

Melihat error runtime

Jika kueri Anda menampilkan error, pesan error runtime tertentu akan muncul secara persisten di panel Results. Tampilan persisten ini memastikan konteks error tetap terlihat, sehingga membantu Anda memecahkan masalah dan menyelesaikan error.

Membatasi hasil penelusuran

Anda dapat membatasi hasil penelusuran dengan menambahkan kata kunci limit dengan jumlah maksimum hasil penelusuran yang ingin Anda tampilkan. Cara ini berguna untuk membuat pratinjau cepat data, pengoptimalan performa, atau saat Anda hanya memerlukan subset hasil. Misalnya, jika Anda menambahkan limit: 25 ke penelusuran, hasil yang ditampilkan akan dibatasi hingga maksimum 25.

Catatan: Anda juga dapat menambahkan kata kunci limit ke dasbor kustom.

Menyelidiki set data besar

Google SecOps mendukung pengembalian dan navigasi hingga 1 juta hasil. Dengan begitu, Anda dapat menyelidiki set data besar langsung di antarmuka web tanpa mengekspor hasil. Untuk penelusuran besar, kolom yang terlihat dibatasi secara default.

Catatan: Setelah hasil dimuat, Anda dapat menerapkan filter untuk menyaring data tanpa menjalankan ulang penelusuran. Hal ini membantu Anda mempersempit kumpulan hasil dengan cepat.

Batas hasil untuk sumber data

Tabel berikut mencantumkan jumlah maksimum hasil yang ditampilkan untuk setiap sumber data:

Jenis penelusuran atau Sumber data	Jumlah maksimum peristiwa atau baris dalam hasil penelusuran
UDM	1.000.000
ECG	1.000.000
Tabel data	1.000.000
Penggabungan UDM ke UDM	1.000.000
Gabungan UDM ke EKG	1.000.000
Penggabungan UDM ke Tabel data	1.000.000
Kasus dan histori kasus	1.000.000
Statistik	100.000
Deteksi	100.000

Catatan: Batasnya sama, baik Anda menggunakan platform maupun API. Lihat Asynchronous Search API untuk mengetahui informasi tentang batas API.

Tambahkan filter untuk mempertajam kueri Anda

Untuk menambahkan filter guna mempertajam kueri, lakukan hal berikut:

1. Di halaman SIEM Search, klik filter_listAdd filter. Dialog akan terbuka dan memungkinkan Anda memilih kolom, serta menampilkan (=) atau memfilter (!=) nilai kolom.

2. Konfigurasikan parameter dialog.

   

   Gambar 8. Contoh dialog filter.

3. Klik Terapkan. Filter ditampilkan di samping tombol filter_list Tambahkan filter dan semua hasil penelusuran difilter sesuai dengan filter tersebut.

4. Opsional: Lakukan salah satu tindakan berikut:

   • Jika Anda ingin otomatis memasukkan filter ke dalam editor kueri dan menjalankan penelusuran, klik Apply to search and run.
   • Jika Anda ingin menghapus filter, klik Hapus.

Catatan: Tombol Hapus hanya tersedia sebelum Anda mengklik Terapkan untuk penelusuran dan jalankan.

Pemecahan masalah

Jika Anda menerima pesan error umum, seperti Error: Search has encountered an error and could not load data, lakukan langkah-langkah berikut untuk menyelesaikan masalah:

• Hubungkan ke Google SecOps dari jaringan lain. Misalnya, gunakan VM cloud untuk membantu mengidentifikasi masalah jaringan.
• Pastikan panggilan Chronicle API diizinkan oleh konfigurasi atau kebijakan firewall atau proxy organisasi Anda.
• Pastikan tidak ada batas data yang dikonfigurasi untuk panggilan Search API, karena penelusuran dapat menampilkan set data yang besar.
• Periksa apakah ada waktu tunggu yang dikonfigurasi. Kueri penelusuran dapat dijalankan secara asinkron dan mungkin memerlukan lebih banyak waktu untuk menampilkan data. Jika waktu tunggu ditetapkan, pastikan durasinya cukup, misalnya 60 menit, sebelum waktu tunggu kueri habis.

Jika error tetap berlanjut, hubungi Dukungan Pelanggan.

Langkah berikutnya

Untuk mengetahui informasi selengkapnya tentang kueri penelusuran, lihat referensi berikut:

• Memahami sintaksis penelusuran berisi detail dan contoh sintaksis YL2 yang diperlukan untuk membuat dan mengkueri nilai data, escape, dan operator di editor kueri.
• Praktik terbaik Penelusuran.
• Menelusuri kasus dan histori kasus dalam penelusuran terpadu.
• Membuat kueri Penelusuran UDM dengan Gemini.
• Gunakan data yang diperkaya konteks dalam penelusuran.

Untuk mengetahui informasi selengkapnya tentang hasil penelusuran, lihat artikel berikut:

• Menyelidiki entitas menggunakan penelusuran UDM.
• Menyelidiki deteksi di Penelusuran menjelaskan cara menggunakan tab Alerts & Detections di halaman SIEM Search.
• Memahami ketersediaan data untuk penelusuran menjelaskan siklus proses penyerapan data, termasuk alur dan latensi data menyeluruh, serta bagaimana faktor-faktor ini memengaruhi ketersediaan data yang baru diserap untuk pembuatan kueri dan analisis.
• Penelusuran UDM dibandingkan dengan hasil aturan menjelaskan cara membandingkan hasil kueri penelusuran UDM dengan aturan deteksi langsung.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.