Memahami penelusuran

Didukung di:

Google SecOps SIEM

Panduan ini ditujukan untuk analis keamanan yang ingin mengkueri, menghubungkan, dan menganalisis data keamanan di seluruh perusahaan mereka dalam Google Security Operations menggunakan halaman SIEM Search. Halaman SIEM Search berfungsi sebagai hub navigasi pusat di semua aliran data yang didukung, dan mengintegrasikan sumber postur dan telemetri tambahan. Panduan ini berisi petunjuk dan penjelasan tentang semua fungsi dan fitur dasar halaman Penelusuran SIEM.

Terminologi utama

• Model Data Terpadu (UDM): Format data standar yang digunakan dalam Google SecOps untuk merepresentasikan peristiwa keamanan dari berbagai sumber secara konsisten.
• Peristiwa: Peristiwa dihasilkan dari sumber log mentah yang diserap ke Google SecOps dan diproses oleh proses penyerapan dan normalisasi Google SecOps. Beberapa peristiwa dapat dihasilkan dari satu data sumber log mentah. Peristiwa mewakili sekumpulan titik data yang relevan dengan keamanan yang dihasilkan dari log mentah tersebut. Dalam konteks halaman SIEM Search, peristiwa adalah telemetri peristiwa UDM yang dinormalisasi dan data log mentah yang cocok dengan kueri penelusuran Anda.
• Notifikasi: Dalam konteks halaman Penelusuran SIEM, notifikasi didefinisikan sebagai deteksi aturan dengan notifikasi diaktifkan. Untuk mempelajari lebih lanjut, lihat menjalankan aturan terhadap data langsung.
• Log mentah: Telemetri log mentah yang belum diurai. Tujuan diagnostik utamanya adalah memantau kondisi penyerapan dan penguraian.
• Gabungan: Gabungan menghubungkan dan menggabungkan data mentah dari beberapa sumber berdasarkan nilai kolom umum. Dengan menautkan peristiwa, entity, dan data lain yang terkait, Anda dapat menyelidiki skenario serangan yang kompleks. Anda dapat menelusuri penggabungan statistik, yang memerlukan bagian kecocokan untuk menggabungkan hasil, atau penggabungan data, yang mengambil data peristiwa atau entitas lengkap dan menampilkannya tanpa agregasi apa pun. Untuk mengetahui informasi selengkapnya, lihat Menerapkan penggabungan dalam penelusuran dan dasbor dan Menerapkan penggabungan tanpa bagian kecocokan.
• Statistik: Peristiwa UDM dengan hasil yang dikelompokkan untuk analisis statistik. Untuk mengetahui informasi selengkapnya, lihat Menganalisis data penelusuran dengan statistik.
• Kasus dan histori kasus: Kasus keamanan dan log audit histori kasus, yang dapat Anda korelasikan dengan data keamanan lainnya. Untuk mengetahui informasi selengkapnya, lihat Ringkasan kasus penelusuran.
• Entity Context Graph (ECG): Database grafik dalam Google SecOps yang menyimpan data entity stateful (seperti aset, pengguna, dan indikator ancaman) untuk korelasi dengan log peristiwa keamanan. Untuk mengetahui informasi selengkapnya, lihat Ringkasan Entity Context Graph.
• Kolom kueri bahasa alami: Kolom di bagian atas halaman SIEM Search, tempat Anda dapat memasukkan pernyataan penelusuran menggunakan bahasa alami.
• Editor kueri: Kotak di Halaman Penelusuran SIEM di bawah kolom kueri bahasa alami, tempat Anda membuat kueri secara manual dan tempat kode kueri ditampilkan.

Sebelum memulai

Anda harus memiliki izin dan peran Penelusuran Google SecOps standar yang ditetapkan ke akun pengguna Anda untuk menjalankan kueri dan melihat detail deteksi.

Untuk fitur penelusuran lanjutan berikut, akun pengguna atau peran Identity and Access Management Anda harus memiliki izin terperinci tambahan, bergantung pada fitur yang digunakan:

• Detail acara yang diperkaya atau diperluas memerlukan chronicle.events.fetchEnrichedEvent.
• Menyimpan penelusuran dan mengedit tampilan penelusuran memerlukan chronicle.savedSearches.update dan chronicle.searchViews.update.
• Melihat parser log dan skema memerlukan chronicle.parsers.list dan chronicle.parsers.get.
• Menelusuri Histori Kasus memerlukan chronicle.cases.get dan chronicle.cases.list.
• Penelusuran SQL (khususnya saran kueri otomatis di editor kueri) memerlukan chronicle.queries.suggestSql saat menggunakan peran IAM kustom.
• Peringkat penggunaan historis untuk saran otomatis kolom UDM di editor kueri memerlukan chronicle.instances.suggestQueryFields saat menggunakan peran IAM kustom.
• Untuk membuat, membagikan, mengubah, dan mengelola kumpulan kolom kustom yang disimpan di seluruh organisasi, Anda memerlukan kelima izin berikut: chronicle.googleapis.com/savedColumnSets.create, chronicle.googleapis.com/savedColumnSets.update, chronicle.googleapis.com/savedColumnSets.delete, chronicle.googleapis.com/savedColumnSets.list, dan chronicle.googleapis.com/savedColumnSets.get.

Membuka halaman Penelusuran

Untuk membuka halaman SIEM Search, lakukan hal berikut:

1. Login ke Google SecOps.
2. Di menu navigasi, klik Investigation > SIEM Search.

Gambar 1. Contoh halaman SIEM Search yang digunakan untuk menjelajahi tren peristiwa—dalam Mode lanjutan.

Catatan: Di sistem yang menggunakan RBAC data, Anda hanya dapat melihat data yang cocok dengan cakupan Anda. Untuk mengetahui informasi selengkapnya, lihat dampak RBAC data terhadap Penelusuran.

Penerapan cakupan RBAC Data

Mesin Penelusuran Google SecOps menerapkan pemfilteran cakupan Role-Based Access Control (RBAC data) secara ketat di semua tab. Anda hanya akan melihat peristiwa UDM, log mentah, pemberitahuan, deteksi, dan kasus yang secara eksplisit cocok dengan cakupan data yang ditetapkan ke peran pengguna Anda.

Mengonfigurasi setelan umum untuk halaman Penelusuran

Setelan umum halaman SIEM Search bersifat khusus pengguna.

Anda dapat mengonfigurasi setelan umum berikut untuk halaman SIEM Search:

• Menentukan jumlah maksimum hasil penelusuran
• Memilih perilaku penciutan untuk editor kueri

Menentukan jumlah maksimum hasil penelusuran

Untuk menentukan jumlah maksimum hasil penelusuran, lakukan hal berikut:

1. Di halaman SIEM Search, klik settings Settings, lalu pilih Maximum Results.

2. Pilih opsi Jumlah Hasil Maksimum yang Akan Ditampilkan. Opsinya adalah 1k, 30k, 100k, 1M, dan custom (yang dapat mengambil nilai antara 1 dan 1M). Nilai defaultnya adalah 30k.

   Tips: Kueri biasanya berjalan lebih cepat jika Anda memilih ukuran set hasil yang lebih kecil.

3. Klik Terapkan.

Memilih perilaku penciutan editor kueri

Anda dapat mengonfigurasi editor kueri agar otomatis diciutkan setelah menjalankan penelusuran—untuk memaksimalkan ruang layar yang tersedia untuk melihat hasil penelusuran. Setelan Default akan membiarkan editor kueri diperluas setelah menjalankan penelusuran.

Untuk mengaktifkan fitur ciutkan otomatis, ikuti langkah-langkah berikut:

1. Di halaman SIEM Search, klik settings Settings, lalu pilih Editor Kueri.
2. Dalam dialog Query Editor, pilih Auto-Collapse Query Editor.

Memilih mode eksekusi penelusuran

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Google Security Operations. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat Panduan Layanan Dukungan Teknis Google SecOps dan Persyaratan Khusus Layanan Google SecOps.
Jika fitur ini tidak terlihat di lingkungan Anda, lihat Mengelola fitur pratinjau atau hubungi administrator sistem Anda.

Google SecOps dapat menjalankan penelusuran dalam salah satu mode berikut, yang dapat Anda pilih di editor kueri:

• Mode Dasar: Gunakan Mode Dasar (mode default) untuk pengambilan peristiwa dan iterasi kueri yang cepat.
• Mode Lanjutan: Gunakan Mode Lanjutan untuk alur kerja penelusuran standar dan untuk analisis multidimensi yang komprehensif.

Halaman SIEM Search menampilkan lebih sedikit tab dan widget dalam Basic Mode dibandingkan dengan Mode lanjutan. Jika Anda menjalankan penelusuran dalam Mode Dasar dan mengidentifikasi peristiwa mencurigakan di tab Hasil, Anda dapat beralih ke Mode Lanjutan dan menjalankan ulang kueri untuk memeriksa diagram linimasa, heatmap aktivitas, skor prevalensi, dan deteksi yang berkorelasi.

Untuk mengetahui informasi selengkapnya tentang kedua mode tersebut, lihat Memahami mode eksekusi penelusuran.

Tabel berikut menjelaskan skenario penggunaan yang direkomendasikan untuk Mode Dasar dan Mode Lanjutan:

Skenario	Mode yang direkomendasikan	Alasan
Perburuan ancaman awal dan pengujian hipotesis	Mode Dasar	Uji hipotesis indikator di seluruh periode waktu yang luas tanpa menunggu histogram linimasa.
Triase telemetri bervolume tinggi	Mode Dasar	Membuat kueri sumber data bervolume tinggi (seperti log AWS VPC Flow, firewall, proxy, atau Sysmon) dengan latensi minimal.
Formulasi kueri dan penyesuaian filter	Mode Dasar	Lakukan iterasi pada sintaksis UDM, ekspresi reguler, daftar referensi, dan filter tabel data sebelum menjalankan audit yang komprehensif.
Rekonstruksi linimasa insiden	Mode Lanjutan	Gunakan linimasa distribusi peristiwa visual dan peta panas aktivitas untuk mengidentifikasi lonjakan temporal.
Analisis kelangkaan dan anomali indikator	Mode Lanjutan	Periksa skor prevalensi perusahaan untuk mengevaluasi apakah artefak yang diamati bersifat umum atau merupakan pencilan.
Validasi deteksi	Mode Lanjutan	Memverifikasi apakah peristiwa tertentu memicu aturan pemberitahuan YARA-L 2.0 yang berkorelasi.

Membuat kueri penelusuran

Bagian berikut menjelaskan cara membuat kueri penelusuran.

Anda dapat membuat kueri penelusuran menggunakan salah satu metode berikut:

• Masukkan pernyataan penelusuran Anda dalam bahasa alami dan gunakan Gemini untuk membuat kueri dalam dialek YARA-L 2.0. Anda harus menggunakan bahasa Inggris.
• Buat kueri secara manual di editor kueri menggunakan dialek YARA-L 2.0 atau SQL (GoogleSQL).

Catatan: Penelusuran UDM dibatasi hingga 100 kolom UDM per kueri tunggal. Ekspresi penelusuran UDM terdiri dari kolom UDM yang akan ditelusuri, operator, dan nilai data yang akan ditelusuri. Kueri UDM didasarkan pada kolom yang ditentukan dalam referensi kamus kolom UDM. Anda dapat menjelajahi dan memilih kolom UDM ini menggunakan Filter atau Penelusuran Log Mentah.

Membuat kueri menggunakan bahasa alami

Untuk membuat kueri menggunakan bahasa alami, selesaikan langkah-langkah berikut:

1. Di halaman SIEM Search, klik search natural language query bar dan masukkan pernyataan penelusuran dalam bahasa Inggris.

   Pernyataan berikut adalah contoh yang dapat menghasilkan penelusuran yang berguna:

   • network connections from 10.5.4.3 to google.com
   • failed user logins over the last 3 days
   • emails with file attachments sent to [e-mail] or [e-mail]
   • all Cloud service accounts created yesterday
   • outbound network traffic from 10.16.16.16 or 10.17.17.17
   • all network connections to facebook.com or tiktok.com
   • service accounts created in Google Cloud yesterday
   • Windows executables modified between 8 AM and 1 PM on May 1, 2026
   • all activity from winword.exe on lab-pc
   • scheduled tasks created or modified on exchange01 during the last week
   • email messages that contain PDF attachments
   • emails sent by or sent from [e-mail] on July 1
   • any files with the hash 44d88612fea8a8f36de82e1278abb02f
   • all activity associated with user "[e-mail]"

Jika pernyataan penelusuran menyertakan istilah berbasis waktu, parameter Rentang Waktu akan otomatis disesuaikan agar cocok. Misalnya, hal ini akan berlaku untuk penelusuran dengan istilah berikut:

• yesterday
• within the last 5 days
• on July 1, 2026

2. Klik Generate Query. Jika Gemini dapat menafsirkan pernyataan penelusuran, Gemini akan membuat kueri yang valid dalam dialek YARA-L 2.0 dan menampilkannya di editor kueri. Jika pernyataan penelusuran tidak dapat ditafsirkan, Anda akan melihat pesan yang meminta Anda untuk mencoba bertanya dengan cara lain. Jika ekspresi kueri valid, tombol Run Search akan tersedia.

3. Opsional: Sesuaikan rentang waktu penelusuran menggunakan parameter Time Range.

4. Opsional: Ubah kueri yang dihasilkan di editor kueri.

5. Pilih mode eksekusi penelusuran: Mode Dasar atau Mode Lanjutan.

6. Klik Run Search. Hasil penelusuran akan ditampilkan.

7. Opsional: Persempit hasil dengan menambahkan filter penelusuran tambahan secara manual atau menggunakan kolom kueri bahasa alami, lalu jalankan penelusuran lagi.

Membuat kueri secara manual di editor kueri

Untuk mengetahui informasi tentang berbagai jenis kueri yang didukung halaman SIEM Search dan sintaksis untuk membuatnya, lihat dokumen berikut:

• Untuk mengetahui detail tentang sintaksis penelusuran YARA-L 2.0, lihat Memahami sintaksis penelusuran.
• Untuk mengetahui informasi tentang cara membuat kueri Join, lihat Menerapkan join dalam penelusuran dan dasbor dan Menerapkan join tanpa bagian kecocokan.
• Untuk mengetahui informasi tentang cara membuat kueri statistik (STATS), lihat Menganalisis data penelusuran dengan statistik.
• Untuk mengetahui informasi tentang cara membuat kueri Histori Kasus, lihat Menelusuri kasus dan histori kasus dari halaman Penelusuran.
• Untuk mengetahui informasi tentang cara memproyeksikan atau mengecualikan kolom tertentu dalam hasil kueri, lihat Mengontrol output kueri dengan select dan unselect serta Mengontrol kolom dengan kata kunci select dan unselect.

Untuk membuat kueri secara manual, selesaikan langkah-langkah berikut:

1. Di halaman SIEM Search, klik di editor kueri.
2. Pilih dialek kueri:
   • YL2 (default): Menggunakan sintaksis YARA-L 2.0 standar untuk perburuan peristiwa berkecepatan tinggi, pemfilteran entitas, dan korelasi perilaku.
   • SQL: Mode SQL (GoogleSQL) memungkinkan Anda menjalankan kueri yang kompatibel dengan BigQuery, membangun gabungan multi-tabel yang kompleks di seluruh UDM dan Entity Context Graph (ECG), serta melakukan agregasi lanjutan langsung di konsol.

3. Ketik kueri Anda di editor kueri dan pertimbangkan hal berikut:

   • Saran dan pelengkapan otomatis: Saat Anda mengetik kueri dengan opsi YL2, fitur saran dan pelengkapan otomatis akan menyarankan kolom yang valid berdasarkan input Anda.
   • UDM Lookup: Jika Anda tidak mengetahui nama atau nilai kolom yang tepat saat menulis kueri, Anda dapat menggunakan UDM Lookup untuk membantu.
   • Error kompilasi sintaksis: Jika editor kueri mendeteksi error kompilasi sintaksis, editor kueri akan menampilkan garis bergelombang merah tepat di bawah teks yang bermasalah. Arahkan kursor ke teks yang digarisbawahi untuk melihat deskripsi error tertentu. Editor kueri hanya menandai satu error dalam satu waktu, yang berarti Anda harus memperbaiki error secara berurutan.

4. Tetapkan rentang waktu untuk kueri menggunakan parameter Rentang Waktu.

5. Pilih mode eksekusi penelusuran: Mode Dasar atau Mode Lanjutan.

6. Jika ekspresi kueri valid, klik Run Search. Hasil penelusuran akan ditampilkan.

7. Opsional: Persempit hasil dengan menambahkan filter penelusuran tambahan secara manual atau menggunakan konsol, lalu jalankan penelusuran lagi.

Catatan: Anda juga dapat membuat kueri baru dari dalam dialog Search Manager. Alat pengeditan UDM serta saran dan penyelesaian otomatis yang sama juga tersedia di sana.

Menentukan jangka waktu untuk penelusuran Anda

Gunakan menu Rentang Waktu untuk menentukan jangka waktu penelusuran Anda.

Rentang waktu maksimum penelusuran selalu dibatasi oleh konfigurasi retensi log tenant Anda.

Rentang waktu maksimum:

• UDM: 365 hari.
• RAW: 365 hari.
• JOIN: Untuk inner join: 90 hari. Untuk inner join tanpa kondisi pencocokan: 14 hari. Untuk outer join: 14 hari.
• STATS: 90 hari.
• KASUS dan HISTORI KASUS: 90 hari, dibatasi oleh batas retensi kasus atau siklus proses histori kasus penuh.
• ECG: 365 hari.

Google SecOps mengevaluasi konfigurasi kueri penelusuran Anda dan menerapkan rentang waktu maksimum berdasarkan jenis penelusuran dan kondisi penelusuran. (Misalnya, kueri STATS yang menyertakan outer join akan memiliki rentang waktu maksimum yang lebih kecil daripada kueri STATS yang tidak menyertakan outer join.)

Untuk menetapkan rentang waktu, lakukan tindakan berikut:

1. Di halaman SIEM Search, di samping Rentang Waktu, dari daftar, pilih mode:

   • Absolute: Gunakan rentang waktu absolut untuk memilih waktu mulai dan akhir yang tetap.
   • Relatif: Gunakan rentang waktu relatif untuk menelusuri mundur dari waktu saat ini. Waktu saat Anda mengklik Jalankan Penelusuran ditetapkan sebagai waktu akhir untuk kueri Anda.

2. Jika Anda memilih Absolute, lakukan tindakan berikut:

   1. Klik calendar_month calendar untuk membuka dialog Set Date and Time Range.
   2. Lakukan salah satu langkah berikut:
      • Untuk mengonfigurasi waktu menggunakan salah satu metode berikut, pilih tab Range:
        • Menggunakan preset: Pilih rentang preset dari sidebar, seperti 3 Hari Terakhir atau Sepanjang Waktu. Sepanjang Waktu menelusuri seluruh periode retensi Anda.
        • Pilih tanggal: Klik tanggal mulai dan tanggal akhir di kalender.
        • Setel waktu: Pilih waktu tertentu menggunakan menu waktu di bawah kalender.
      • Untuk menentukan rentang tanggal dan waktu berdasarkan peristiwa, klik tab Event Time, pilih tanggal di kalender, dan konfigurasikan jangka waktu:
        • Waktu persis: Klik kolom Peristiwa untuk memilih atau memasukkan waktu spesifik terjadinya peristiwa.
        • Time buffer: Pilih rentang waktu yang telah ditentukan dari daftar.
   3. Klik Terapkan.

3. Jika Anda memilih Relative, lakukan tindakan berikut:

   1. Masukkan bilangan bulat di kolom teks.
   2. Pilih satuan waktu dari menu: Detik, Menit, Jam, Hari, Minggu, Bulan, atau Tahun.

Menggunakan saran otomatis untuk membuat kueri

Saat Anda menulis kueri, editor kueri akan memberikan saran otomatis untuk membantu Anda membuat kueri secara efisien.

Membuka dan memilih saran

Saat Anda mengetik, daftar akan muncul dengan saran kolom yang cocok dengan teks Anda, yang mencakup opsi berikut:

• Pilih kolom: Gunakan tombol panah Atas atau Bawah untuk menjelajahi daftar, lalu tekan Enter untuk memilih kolom.
• Melihat metadata: Setelah Anda menggunakan tombol panah Atas atau Bawah untuk menandai saran, klik chevron_right untuk melihat deskripsi kolom.
• Lengkapi kolom secara bertahap: Editor menyarankan turunan langsung dari kolom saat ini dan menyembunyikan awalan yang diketik untuk menghemat ruang layar. Saran ini diikuti oleh semua kolom lain yang cocok dalam urutan abjad.
• Operator dan nilai lengkap: Setelah Anda memilih kolom, editor akan menyarankan operator yang valid (seperti =, !=) berdasarkan jenis data kolom. Untuk kolom yang dihitung, editor menampilkan saran untuk semua nilai yang valid (misalnya, NETWORK_EVENT) setelah Anda mengetik operator dan tanda petik ganda (").

Memahami peringkat saran

Editor kueri mengatur saran ke dalam tiga kategori berbeda, dalam urutan berikut, untuk membantu Anda menemukan kolom UDM yang relevan:

1. Kolom yang baru-baru ini dan sering digunakan: Menampilkan hingga tujuh kolom yang cocok berdasarkan sesi browser aktif dan histori penggunaan kueri selama 30 hari di halaman Penelusuran SIEM, Aturan & Deteksi, dan Dasbor. Saran dalam kategori ini diprioritaskan dalam urutan berikut:

   • Histori browser terbaru: Kolom yang baru-baru ini Anda masukkan atau pilih di editor kueri (hingga 100 kolom UDM valid terbaru). Kolom yang cocok akan muncul terlebih dahulu, diurutkan berdasarkan seberapa baru Anda menggunakannya. Daftar ini disimpan di penyimpanan lokal browser Anda di seluruh login. Menghapus cache browser atau beralih browser akan mereset histori ini.

   • Penggunaan historis (30 hari terakhir): Kolom yang diekstrak dari kueri yang Anda dan organisasi Anda jalankan selama 30 hari terakhir (termasuk penelusuran UDM, kueri dasbor, pengujian aturan, dan retrohunt). Data penggunaan ini diperbarui setiap 8 jam. Hal ini berada di luar cakupan pemfilteran RBAC data karena menyajikan nama kolom skema UDM turunan, bukan peristiwa log, dan mengisolasi label kustom dan kolom yang diekstrak (additional.*, extracted.*) ke tenant Anda. Penggunaan historis mengikuti hierarki dua tingkat yang ketat:

     1. Penggunaan tingkat pengguna: Kolom yang paling sering Anda gunakan selama 30 hari terakhir, diurutkan berdasarkan jumlah penggunaan dalam urutan menurun.
     2. Penggunaan tingkat tenant: Kolom yang paling sering digunakan oleh semua pengguna di seluruh tenant Anda selama 30 hari terakhir, diurutkan berdasarkan jumlah penggunaan dalam urutan menurun. Jika kolom sudah muncul dalam daftar penggunaan tingkat pengguna, peringkat tingkat penggunanya akan diprioritaskan.

     Saat memfilter saran penggunaan historis saat Anda memasukkan teks, editor akan memberi peringkat kolom yang cocok berdasarkan kualitas kecocokan sebelum memutuskan hasil imbang menggunakan hierarki penggunaan: 1. Kecocokan persis: Mencocokkan seluruh nama kolom UDM (misalnya, ip). 2. Kecocokan token persis: Mencocokkan segmen lengkap nama kolom (misalnya, principal.ip atau target.ip saat Anda memasukkan ip). 3. Pencocokan awalan: Cocok dengan awal nama kolom. 4. Pencocokan awalan token: Mencocokkan awal segmen dalam nama kolom. 5. Substring match: Muncul di mana saja dalam nama kolom (misalnya, principal.hostname saat Anda memasukkan ip, karena principal berisi ip).

2. Turunan langsung: Menampilkan node turunan tingkat pertama dari jalur kolom saat ini dalam urutan alfabet, tidak termasuk kolom yang sudah tercantum dalam saran penggunaan teratas.

3. Global matches: Menampilkan semua kolom UDM yang cocok dan tersisa dalam urutan abjad.

Catatan: Peran Google SecOps yang telah ditetapkan (Admin, Editor, Viewer, Limited Viewer, dan Restricted Data Access Viewer) mencakup izin chronicle.instances.suggestQueryFields yang diperlukan untuk mengambil saran penggunaan historis 30 hari. Jika Anda menggunakan peran IAM kustom, tambahkan chronicle.instances.suggestQueryFields ke peran tersebut; tanpa izin ini, editor kueri akan kembali memberi peringkat saran hanya menggunakan histori penjelajahan terbaru.

Catatan: Kolom dari tabel data tidak disertakan dalam peringkat berbasis penggunaan atau keterkinian karena tabel data tidak memiliki skema UDM tetap. Sebagai gantinya, kolom tabel data akan muncul dalam urutan abjad di bagian Global matches.

Mengelola setelan saran otomatis

Untuk mengelola cara Google SecOps menampilkan saran otomatis secara global, lakukan hal berikut:

1. Klik avatar profil Anda, lalu pilih User Preferences dari daftar. Dialog User Preferences akan muncul.

2. Dalam dialog, klik Saran otomatis.

3. Untuk mengontrol saran otomatis yang ditampilkan di editor kueri, sesuaikan setelan berikut:

   • Enable suggestions while typing: Mengaktifkan saran otomatis.
   • Rank recently used fields first: Menampilkan kolom yang paling baru dan sering digunakan (berdasarkan histori sesi browser, penggunaan tingkat pengguna, dan penggunaan tingkat tenant) di bagian atas daftar.
   • Suggest immediate child fields: Melengkapi kolom bertingkat secara bertahap, satu node turunan dalam satu waktu.
   • Suggest all available paths: Menampilkan jalur lengkap yang diperluas untuk semua saran kolom bertingkat.

4. Klik Simpan.

Mengontrol output kueri dengan select dan unselect

Anda dapat menggunakan kata kunci select dan unselect dalam kueri penelusuran YARA-L 2.0 untuk memproyeksikan atau mengecualikan kolom peristiwa UDM dan Entity Context Graph (ECG) tertentu langsung dari penyimpanan, sehingga mengurangi ukuran payload respons dan meningkatkan latensi kueri:

• select: Hanya menampilkan kolom leaf dan variabel outcome yang ditentukan, beserta kolom metadata wajib.
• unselect: Menampilkan semua kolom kecuali kolom leaf dan variabel outcome yang ditentukan.

Kueri yang tidak menyertakan select atau unselect akan menampilkan payload entity dan UDM lengkap. Proyeksi kolom selektif berlaku untuk penelusuran peristiwa UDM mandiri dan entitas ECG mandiri; penggabungan multi-peristiwa, penggabungan entitas UDM, dan kueri gabungan tidak terpengaruh. Untuk contoh sintaksis tambahan, lihat Mengontrol kolom dengan kata kunci select dan unselect.

Kolom yang didukung dan wajib diisi

• Kolom yang didukung: Tentukan variabel outcome atau jalur kolom leaf lengkap untuk peristiwa UDM (misalnya, principal.hostname, target.ip, security_result.severity) dan entity ECG (misalnya, graph.entity.hostname, graph.entity.ip, graph.metadata.entity_type, graph.relations.entity_type).
• Kolom wajib diisi: Untuk mempertahankan identitas peristiwa, urutan linimasa, dan interval validitas entitas, Google SecOps selalu menampilkan kolom metadata inti berikut, meskipun Anda menghilangkannya dari select atau menyertakannya dalam unselect:
  • Peristiwa UDM: metadata.id, metadata.event_timestamp, metadata.enrichment_state
  • ECG entities: graph.metadata.entity_type, graph.metadata.interval.start_time
• Kolom peta dan pengindeksan daftar berulang: Proyeksi dan pengecualian kolom beroperasi di tingkat penampung untuk kolom peta (additional.fields dan extracted.fields) dan daftar berulang, bukan memfilter kunci peta individual atau posisi array tunggal:
  • Dengan select: Menentukan kunci peta (seperti select: additional.fields["env"] atau extracted.fields["src"]) atau indeks daftar (seperti select: principal.ip[0] atau about[0].file.md5) akan menampilkan seluruh peta (additional.fields atau extracted.fields) atau seluruh kolom atau subkolom berulang di semua elemen daftar.
  • Dengan unselect: Menentukan kunci peta (seperti unselect: additional.fields["env"]) atau indeks daftar (seperti unselect: principal.ip[0] atau about[0].file.md5) akan mengecualikan seluruh peta (menghapus semua kunci lain dalam peta tersebut) atau mengecualikan kolom atau subkolom berulang di semua elemen daftar, bukan hanya indeks 0. Jangan sertakan kunci apa pun dari additional.fields atau extracted.fields di unselect jika Anda memerlukan kunci lain dari peta tersebut.

Dampak pada hasil penelusuran, UI, dan API

Penggunaan select atau unselect akan memengaruhi hasil penelusuran di seluruh antarmuka web Google SecOps, Chronicle API (udmSearch dan StreamSearch), serta Search API operasi yang berjalan lama (LRO) (PaginatedSearchResults). Fitur ini tidak didukung di Backstory API lama.

• Tabel peristiwa, Pengelola Kolom, dan Agregasi: Hanya kolom yang diproyeksikan (bersama dengan Stempel waktu dan Status Peristiwa) yang tersedia untuk dilihat, digabungkan, difilter, atau ditambahkan sebagai kolom.
• Penampil Peristiwa: Hanya menampilkan kolom UDM dan entity yang diproyeksikan bersama log mentah, dan menonaktifkan Tambahkan ke Kolom untuk kolom yang tidak diproyeksikan.
• Pengurutan: Anda hanya dapat mengurutkan hasil pada kolom yang diproyeksikan, kolom metadata wajib (metadata.event_timestamp dan metadata.enrichment_state), dan kolom cepat gabungan (Hostname, IP, dan User) saat kolom dasarnya diproyeksikan. Dalam permintaan API, menetapkan sort_column ke kolom yang tidak diproyeksikan atau dikecualikan akan menampilkan error INVALID_ARGUMENT (400).

Contoh

• Hanya sertakan kolom peristiwa UDM tertentu (select):

  principal.hostname != "" and target.ip != ""
  select: principal.hostname, principal.ip, target.ip, security_result.severity
  

• Hanya sertakan kolom entity ECG tertentu (select):

  graph.entity.hostname != ""
  select: graph.entity.hostname, graph.entity.ip, graph.entity.asset.asset_id
  

• Mengecualikan kolom tertentu (unselect):

  metadata.event_type = "NETWORK_HTTP" and principal.hostname != ""
  unselect: target.hostname, target.ip, security_result.category_details
  

Menemukan kolom UDM untuk kueri penelusuran (Pencarian UDM)

Saat menulis kueri penelusuran, Anda mungkin tidak mengetahui nama atau nilai kolom UDM yang tepat untuk disertakan. Fitur UDM Lookup memungkinkan Anda menemukan nama kolom UDM dengan cepat yang berisi string teks dalam nama atau yang menyimpan nilai string tertentu. Anda dapat memilih satu atau beberapa hasil yang ditampilkan oleh Pencarian UDM dan menggunakan hasil tersebut sebagai titik awal untuk kueri penelusuran, menambahkan hasil ke kueri yang ada, atau menyimpan hasil ke papan klip.

Catatan: Pencarian UDM tidak dimaksudkan untuk digunakan untuk menelusuri jenis data lain, seperti byte, boolean, atau numerik.

Untuk menggunakan Pencarian UDM, lakukan hal berikut:

1. Di halaman SIEM Search, klik UDM Lookup. Dialog UDM Lookup akan terbuka.

2. Pilih salah satu atau kedua opsi Match On berikut, untuk menentukan cakupan data yang akan ditelusuri:

   • Kolom UDM: Menelusuri teks yang cocok dengan nama kolom, misalnya, network.dns.questions.name atau principal.ip.
   • Values: Menelusuri string teks di dalam nilai log yang disimpan, misalnya, dns atau google.com.

3. Klik kolom search Enter exact string to match on, lalu masukkan string yang akan dicocokkan. Saat Anda mengetik, hasil penelusuran akan muncul dalam dialog.

   Hasilnya bervariasi saat mencocokkan Kolom UDM versus Nilai sebagai berikut:

   • Penelusuran dengan nama Kolom UDM Match On akan menampilkan pencocokan persis yang ditemukan di mana saja dalam definisi skema.

     

     Gambar 2. Telusuri dengan nama Match On UDM Fields di dialog UDM Lookup.

   • Penelusuran dengan Match On Values akan menelusuri telemetri log yang diserap dan menampilkan dua jenis hasil:

     • Pencocokan nilai penuh: Untuk kolom teks umum (seperti aplikasi, nama host, URL, alamat IP, dan nama pengguna), Penelusuran UDM menampilkan nilai pencocokan lengkap dengan string penelusuran Anda yang ditandai dengan warna kuning, beserta stempel waktu penyerapan log terbaru.

     • Kemungkinan kecocokan nilai: Untuk kolom yang berisi teks panjang, kompleks, atau tidak terstruktur (seperti command line, deskripsi, kolom deteksi, dan kolom kustom), Pencarian UDM menunjukkan bahwa istilah penelusuran muncul di kolom tersebut dalam telemetri historis Anda. Alih-alih menampilkan satu nilai penuh, hasilnya akan menampilkan nama kolom UDM yang diikuti dengan (Possible value match).

     

     Gambar 3. Telusuri dengan Match On Values di dialog UDM Lookup.

4. Dalam daftar hasil, Anda dapat melakukan hal berikut:

   • Klik nama kolom UDM untuk melihat deskripsi kolom tersebut.
   • Pilih satu atau beberapa hasil dengan mengklik kotak centang di samping nama kolom UDM.
   • Klik tombol Reset untuk membatalkan pilihan semua kolom yang dipilih dalam daftar hasil.

5. Lakukan salah satu hal berikut:

   • Untuk menyalin hasil yang dipilih ke papan klip, klik Copy UDM. Kemudian, Anda dapat menutup dialog UDM Lookup dan menempelkan konten papan klip ke editor kueri.

   • Untuk menambahkan hasil yang dipilih ke kueri di editor kueri, klik Append to search. Google SecOps kemudian mengonversi hasil yang dipilih menjadi kueri penelusuran sebagai nama kolom UDM atau pasangan nama-nilai.

     Jika Anda menambahkan beberapa hasil, Google SecOps akan menambahkan setiap hasil ke akhir kueri yang ada di editor kueri menggunakan operator OR.

     String kueri yang ditambahkan berbeda-beda, bergantung pada jenis kecocokan yang ditampilkan oleh Pencarian UDM:

     • Jika hasilnya cocok dengan string teks dalam nama kolom UDM, nama kolom UDM lengkap akan ditambahkan ke kueri. Contoh:

       principal.artifact.network.dhcp.client_hostname

     • Jika hasilnya adalah pencocokan nilai penuh, pasangan nama-nilai berisi kondisi kesetaraan yang sama persis dengan nilai penuh.

     • Jika hasilnya adalah Possible value match, pasangan nilai nama berisi nama kolom UDM dan ekspresi reguler yang tidak peka huruf besar/kecil yang berisi istilah penelusuran Anda.

6. Edit kueri di editor kueri jika diperlukan.

Perilaku penelusuran dan cakupan kolom Pencarian UDM

UDM Lookup membantu Anda menemukan nama kolom dan menelusuri nilai historis di seluruh data log yang diserap. Bagian ini menjelaskan cara kerja penelusuran di kedua mode, memberikan contoh kueri, dan menjelaskan batas cakupan kolom.

Mode penelusuran: Kolom versus Nilai UDM

Penelusuran UDM menyediakan dua mode penelusuran yang berbeda:

• Mode Kolom UDM: Match On UDM Fields menelusuri definisi skema UDM untuk membantu Anda menemukan jalur kolom yang benar. Anda dapat menemukan nama kolom di semua jenis data, termasuk kolom teks (principal.hostname), port numerik (target.port), flag boolean (security_result.is_alert), dan kategori peristiwa (metadata.event_type).

  Contoh: Mengetik port akan menampilkan kolom seperti network.ip_port, principal.port, target.port, dan src.port.

• Mode Values: Match On Values menelusuri log peristiwa yang diserap untuk menemukan nilai teks yang cocok:

  • Kecocokan nilai persis: Untuk ID umum dan kolom teks (seperti nama host, alamat IP, domain, dan nama pengguna), Penelusuran UDM menemukan nilai persis dalam data Anda dan menghasilkan kondisi kesetaraan (misalnya, principal.hostname = "example.com").
  • Kemungkinan kecocokan nilai (Ekspresi reguler): Untuk teks panjang, command line, URL, kunci registry, dan jalur file, Penelusuran UDM menampilkan Kemungkinan kecocokan nilai dengan ekspresi reguler (misalnya, principal.process.command_line = /powershell/ NOCASE).

Celah cakupan kolom dan cara menelusuri secara langsung

Saat menelusuri berdasarkan Values, Pencarian UDM akan menelusuri kolom teks dalam data peristiwa mentah yang tidak diperkaya. Jenis data tertentu dan kolom ID bervolume tinggi tidak menampilkan kecocokan dalam mode Nilai. Untuk menelusuri kolom ini, masukkan ekspresi Anda langsung di editor kueri.

Bagian ini meliputi:

• Kolom numerik, boolean, stempel waktu, dan byte
• Kolom ID yang dikecualikan
• Kolom dengan kemungkinan kecocokan nilai (ekspresi reguler)
• Kolom yang diperkaya dan Grafik Entity

Kolom numerik, boolean, stempel waktu, dan byte

Penelusuran nilai Pencarian UDM tidak menampilkan kecocokan untuk jenis data non-teks. Untuk menelusuri kolom ini, tulis kondisi langsung di kotak penelusuran:

Kategori kolom	Contoh kolom UDM	Contoh penelusuran langsung
Nomor port dan kode status	network.ip_port, principal.port, target.port, network.http.response_code	network.ip_port = 443 network.http.response_code = 403
Metrik dan skor risiko	security_result.risk_score, network.sent_bytes, network.received_bytes	security_result.risk_score >= 80 network.sent_bytes > 50000000
Flag Boolean	security_result.is_alert, network.dns.answers.is_authoritative	security_result.is_alert = true
Enum yang telah ditentukan sebelumnya	metadata.event_type, network.ip_protocol	metadata.event_type = "USER_LOGIN" network.ip_protocol = "TCP"
Stempel waktu	metadata.event_timestamp.seconds, metadata.ingested_timestamp	Filter menggunakan menu Rentang Waktu atau kueri: metadata.event_timestamp.seconds > 1700000000
ID Peristiwa (byte mentah)	metadata.id	metadata.id = "..."
Koordinat geografis	principal.location.latitude, principal.location.longitude	Filter menurut kolom lokasi regional: principal.location.country_or_region = "US"

Kolom ID yang dikecualikan

Kolom pelacakan sesi dan entropi tinggi berikut tidak menampilkan kecocokan saat menelusuri menurut Nilai:

Kategori kolom yang dikecualikan	Kolom UDM	Contoh penelusuran langsung
ID Proses	*.pid (misalnya principal.process.pid, target.process.pid), *.product_specific_process_id	target.process.pid = "4128"
ID sesi dan koneksi	network.session_id, network.parent_session_id, metadata.product_log_id	network.session_id = "sess-9481"
ID aturan deteksi	security_result.rule_id	security_result.rule_id = "rule_suspicious_login"
ID aset dan resource	*.resource.id (termasuk ARN dan URI cloud), *.asset_id	target.resource.id = "arn:aws:s3:::my-bucket"
Label penyerapan	metadata.base_labels.*, metadata.enrichment_labels.*	metadata.base_labels.log_types = "WINEVTLOG"

Kolom dengan kemungkinan kecocokan nilai (ekspresi reguler)

Untuk kolom yang berisi string panjang dan kompleks dengan banyak pemisah jalur atau argumen, Pencarian UDM menampilkan ekspresi reguler Kemungkinan kecocokan nilai (/.../ NOCASE), bukan kecocokan nilai penuh yang sama persis:

• Command line: principal.process.command_line, target.process.command_line
• File paths: principal.process.file.full_path, target.file.full_path
• URL web dan jaringan: principal.url, target.url, network.http.referral_url
• Kunci registry: principal.registry.registry_key, target.registry.registry_key
• Deskripsi bentuk bebas: metadata.description, security_result.description, security_result.summary
• String Agen Pengguna: network.http.user_agent
• Kolom kustom dinamis: additional.fields.value.*

Kolom yang diperkaya dan Grafik Entity

UDM Lookup menelusuri data log mentah yang diserap setelah 10 Agustus 2023. Fungsi ini tidak menampilkan nilai dari:

• Pengayaan downstream: Seperti resolusi lokasi GeoIP, data WHOIS, verdict Safe Browsing, atau skor VirusTotal. Untuk menelusurinya, filter langsung di jalur kolom yang diperkaya (misalnya, target.ip_geo_artifact.country_or_region = "US").
• Objek Grafik Entity: Data di namespace graph.*.
• Data historis sebelum batas waktu: Log yang diserap sebelum 10 Agustus 2023. Untuk menelusuri data lama, gunakan kueri penelusuran langsung di halaman Penelusuran.

Menggunakan tabel data dalam penelusuran

Anda dapat menggunakan fitur tabel data dalam penelusuran. Hal ini memungkinkan Anda menggunakan database informasi ancaman yang sudah ada bersama dengan penelusuran untuk memburu ancaman di perusahaan Anda.

Misalnya, jika Anda memiliki database bernama suspicious dengan kolom alamat IP yang Anda ketahui bermasalah, Anda dapat mereferensikan database tersebut dalam kueri penelusuran, bukan memasukkan alamat IP satu per satu secara manual dalam kueri:

  events:
      $e.principal.ip in %suspicious.ip

Anda dapat mempersempit hasil dengan menelusuri metadata tertentu selain alamat IP, misalnya, Anda mungkin secara khusus memperhatikan perubahan pada resource pengguna:

  events:
      $e.metadata.event_type = "USER_RESOURCE_UPDATE_CONTENT"
      $e.principal.ip in %suspicious.ip

Anda dapat mempersempit penelusuran terhadap kolom UDM yang saling terkait dan mencocokkan dengan beberapa kolom tabel data. Contoh berikut menelusuri peristiwa NETWORK_CONNECTION yang hasil keamanannya adalah ALLOW. Kemudian, peristiwa tersebut dicocokkan dengan kolom hostnames dan kolom ip dalam tabel data badApps.

events:
  $e.metadata.event_type = "NETWORK_CONNECTION"
  $e.security_result.action = "ALLOW"
  $e.target.asset.asset_id = $assetid

  // Event hostname matches at least one value in table column hostname.
  $e.target.hostname in %badApps.hostname

  // Event IP matches at least one value in table column ip.
  $e.target.ip in %badApps.ip

Melihat baris tabel data dalam penelusuran

Saat Anda menggunakan tabel data dalam penelusuran YARA-L 2.0, hasilnya akan merujuk ke baris tabel data yang ditautkan ke peristiwa yang cocok. Hasil ini ditampilkan di panel Peristiwa. Status tabel data saat ini dan barisnya ditampilkan saat Anda melihat hasilnya.

Gunakan Pengelola Kolom untuk memilih tabel dan kolom data yang akan ditampilkan dalam hasil.

Untuk mengetahui informasi selengkapnya, lihat Menggunakan tabel data.

Memahami proses eksekusi kueri

Jika kueri di editor kueri valid, konsol Google SecOps akan mengaktifkan tombol Run Search.

Setelah Anda mengklik Run Search, kueri yang sedang diproses akan ditampilkan dengan ikon status lingkaran.

Saat penelusuran sedang berlangsung, Anda dapat menjalankan penelusuran tambahan (serentak) di editor kueri dengan beberapa batasan. Google SecOps akan terus menjalankan penelusuran Anda sebelumnya dan menjalankan penelusuran baru secara paralel.

Penting: Penelusuran serentak dan hasil tersimpan memerlukan fitur histori penelusuran agar aktif. Jika sebelumnya Anda telah menonaktifkan histori penelusuran, Anda dapat mengaktifkannya lagi dengan mengklik Histori > Aktifkan histori penelusuran.

Kueri yang selesai ditampilkan dengan ikon tanda centang hijau, beserta penghitung yang menunjukkan jumlah peristiwa yang ditampilkan oleh kueri.

Klik kueri yang telah selesai untuk menampilkan hasilnya. Hasil penelusuran ditampilkan di bawah editor kueri.

Hasil penelusuran di-cache dan hanya menyertakan data yang tersedia pada waktu kueri dijalankan.

Mengelola histori penelusuran Anda

Histori penelusuran Anda disimpan ke akun Google SecOps Anda.

Penting: Penelusuran serentak dan hasil yang disimpan memerlukan fitur histori penelusuran agar aktif.

• Untuk mengelola histori penelusuran, di halaman SIEM Search, klik History untuk membuka dialog dan lakukan hal berikut:

  • Melihat daftar semua penelusuran di histori Anda.
  • Klik item dari daftar untuk memuatnya ke editor kueri.
  • Ketik di kotak penelusuran untuk menemukan penelusuran di histori Anda.
  • Filter penelusuran dengan mengklik Filter di samping kotak penelusuran dan filter penelusuran menurut Bahasa—berisi: Filter YL2 dan SQL AND Jenis penelusuran—berisi: Filter UDM, Log mentah, dan Statistik.
  • Hanya menampilkan hasil tersimpan yang sedang diproses dan yang sudah selesai atau tidak (menggunakan kotak centang Hanya Tampilkan Hasil Tersimpan yang Sedang Diproses & yang Sudah Selesai).
  • Menghapus histori penelusuran.
    • Untuk menghapus histori penelusuran, klik Lainnya, lalu pilih Hapus Histori.

  • Menonaktifkan histori penelusuran atau mengaktifkan kembali histori penelusuran:

    • Untuk memilih tidak menggunakan histori penelusuran, klik Pilih tidak menggunakan histori penelusuran, lalu pilih Pilih Tidak Menggunakan Saja untuk menonaktifkan histori penelusuran, atau Pilih Tidak Menggunakan dan Hapus untuk menonaktifkan histori penelusuran dan menghapus histori penelusuran yang disimpan.

    • Jika sebelumnya Anda telah menonaktifkan histori penelusuran, Anda dapat mengaktifkannya lagi dengan mengklik Aktifkan histori penelusuran.

• Untuk menghapus penelusuran satu per satu dari histori penelusuran Anda, lihat Menghapus penelusuran tersimpan.

Catatan: Histori penelusuran mencatat mode eksekusi penelusuran (Mode Dasar atau Mode Lanjutan) untuk setiap kueri dan memulihkan mode tersebut saat Anda menjalankan ulang penelusuran dari dialog Histori. Untuk mengetahui informasi selengkapnya, lihat Memahami mode eksekusi penelusuran.

Menyimpan dan menggunakan kueri metrik

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Google Security Operations. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat Panduan Layanan Dukungan Teknis Google SecOps dan Persyaratan Khusus Layanan Google SecOps.
Jika fitur ini tidak terlihat di lingkungan Anda, lihat Mengelola fitur pratinjau atau hubungi administrator sistem Anda.

Google SecOps mengklasifikasikan kueri metrik dengan badge STATS.

• Untuk menyimpan penelusuran sebagai metrik, klik More di samping Run Search, lalu klik Save as Metric. Halaman Rules & Detections akan terbuka, menampilkan kueri metrik Anda di tab Metrics. Kemudian, Anda dapat menyimpan metrik atau menonaktifkannya. Setelah disimpan, kueri metrik tidak dapat diedit atau dihapus. Metrik dapat dinonaktifkan kapan saja.

Anda dapat menggunakan kueri metrik untuk menetapkan pola perilaku umum dan mengidentifikasi aktivitas yang tidak biasa. Jika Anda memiliki kueri metrik di editor kueri yang melacak tren operasional penting, klik More > Save as Metric. Tindakan ini akan menyimpan kueri sebagai metrik deret waktu berkelanjutan yang dapat disematkan ke dasbor kustom atau direferensikan dalam pemberitahuan nilai minimum.

Contoh kueri metrik:

metric metric_1784196814306 {
  (metadata.event_type = "NETWORK_FLOW" OR
  metadata.event_type = "NETWORK_CONNECTION" OR
  metadata.event_type = "NETWORK_DNS" OR
  metadata.event_type = "NETWORK_HTTP")

  outcome:
  $timestamp = timestamp.get_timestamp(metadata.event_timestamp.seconds)
  $hostname = principal.hostname
  $event_type = metadata.event_type
  $user = principal.user.userid
  $principal_process = principal.process.file.full_path
  $principal_cmdline = principal.process.command_line
  $target_process = target.process.file.full_path
  $target_cmdline = target.process.command_line
  $target_url = target.url
  $target_ip = target.ip[0]
  order:
  $timestamp
  }

Mengelola penelusuran Anda (Pengelola Penelusuran)

Gunakan dialog Search Manager untuk mengelola penelusuran Anda.

• Untuk membuka Search Manager, di halaman SIEM Search, klik Search Manager.

Badge jenis penelusuran

Tab Saved di Search Manager mencantumkan semua penelusuran tersimpan dan menampilkan badge dengan jenis penelusuran: UDM, RAW, JOIN, STATS, CASE, CASE HISTORY, dan ECG.

Tindakan Pengelola Penelusuran

Di tab Disimpan, Anda dapat melakukan tindakan berikut:

• Memfilter penelusuran yang disimpan: Klik Filter di samping kotak penelusuran dan filter penelusuran menurut Sumber—berisi: Ditentukan Google SecOps, Dibuat oleh saya, dan Dibagikan kepada saya AND Bahasa—berisi: YL2 dan SQL.
• Mengurutkan penelusuran: Klik list_arrow Urutkan di samping kotak penelusuran dan urutkan menurut Nama (A - Z), Nama (Z - A), Terlama - Terbaru, atau Terbaru - Terlama.
• Menambahkan penelusuran: Klik add_2 Add di samping kotak penelusuran dan buat penelusuran baru di kotak UDM Search yang berdekatan. Kotak UDM Search mendukung alat pengeditan UDM serta saran dan pelengkapan otomatis yang sama seperti saat Anda membuat kueri secara manual di editor kueri.
• Membagikan atau menghapus penelusuran yang Anda buat.
• Mengedit penelusuran yang Anda buat: Saat penelusuran dipilih di tab Saved, kotak SEARCH akan menampilkan kueri, beserta kotak Title dan kotak Description. Kotak UDM Search mendukung alat pengeditan UDM serta saran dan pelengkapan otomatis yang sama seperti saat Anda membuat kueri secara manual di editor kueri.

Menyimpan penelusuran

Penelusuran tersimpan dan histori penelusuran:

• Disimpan dengan akun Google SecOps Anda.
• Hanya dapat dilihat dan diakses oleh pengguna perorangan, kecuali jika Anda menggunakan fitur Bagikan penelusuran untuk membagikan penelusuran kepada organisasi Anda.

Untuk menyimpan penelusuran, lakukan hal berikut:

1. Di halaman SIEM Search, lakukan salah satu tindakan berikut:

   • Jika ada kueri yang valid di editor kueri, klik More di samping Run Search, lalu klik Save search. Dialog Search Manager akan terbuka.
   • Klik Search Manager. Dialog Search Manager akan terbuka.

2. Di kotak Judul, masukkan nama untuk penelusuran. Google merekomendasikan untuk memberi nama yang bermakna pada penelusuran tersimpan dan deskripsi teks biasa tentang hal yang Anda telusuri.

3. Opsional: Di kotak Deskripsi, masukkan deskripsi untuk penelusuran.

4. Opsional: Tentukan variabel placeholder dalam format ${<variable name>} menggunakan format yang sama seperti yang digunakan untuk variabel di YARA-L. Jika Anda menambahkan variabel ke penelusuran, Anda juga harus menyertakan perintah untuk membantu pengguna memahami informasi yang diperlukan untuk dimasukkan sebelum menjalankan penelusuran. Semua variabel harus diisi dengan nilai sebelum penelusuran dijalankan.

   Misalnya, Anda dapat menambahkan metadata.vendor_name = ${vendor_name} ke penelusuran Anda. Untuk ${vendor_name}, Anda perlu menambahkan perintah untuk pengguna mendatang, seperti Enter the name of the vendor for your search. Setiap kali pengguna memuat penelusuran ini di masa mendatang, mereka akan diminta untuk memasukkan nama vendor sebelum menjalankan penelusuran.

5. Klik Simpan Hasil Edit setelah selesai.

• Untuk melihat penelusuran tersimpan, klik Search Manager, lalu klik tab Saved.

Mengambil dan menjalankan penelusuran tersimpan

Untuk mengambil dan menjalankan penelusuran tersimpan, lakukan tindakan berikut:

1. Di halaman SIEM Search, klik Search Manager, lalu pilih penelusuran dari daftar *Saved di sebelah kiri.
2. Opsional: Hapus penelusuran dengan mengklik Lainnya, lalu pilih Hapus Penelusuran. Anda hanya dapat menghapus penelusuran yang Anda buat.
3. Anda dapat mengubah nama penelusuran dan deskripsinya. Klik Simpan hasil edit setelah selesai.
4. Klik Muat penelusuran. Penelusuran dimuat ke kolom penelusuran utama.
5. Pilih mode eksekusi penelusuran: Mode Dasar atau Mode Lanjutan.
6. Klik Run Search.

Menghapus penelusuran tersimpan

Anda hanya dapat menghapus penelusuran yang Anda buat.

Untuk menghapus penelusuran tersimpan, lakukan hal berikut:

1. Di halaman SIEM Search, klik Search Manager, lalu pilih penelusuran dari daftar *Saved di sebelah kiri.
2. Klik Lainnya, lalu pilih Hapus Penelusuran.
3. Klik Hapus Penelusuran.

Membagikan penelusuran atau berhenti membagikannya

Penelusuran bersama memungkinkan Anda berbagi penelusuran dengan tim. Anda tidak dapat berbagi hanya dengan satu orang. Jika Anda membagikan penelusuran, penelusuran tersebut akan dibagikan kepada seluruh organisasi Anda.

Anda tidak dapat mengedit penelusuran bersama yang tidak Anda buat.

Untuk membagikan penelusuran, lakukan tindakan berikut:

1. Di halaman SIEM Search, klik Search Manager dan pilih penelusuran dari daftar *Saved di sebelah kiri.
2. Klik penelusuran yang ingin Anda bagikan.
3. Klik Lainnya di sisi kanan penelusuran. Dialog dengan opsi untuk membagikan penelusuran Anda akan muncul.
4. Klik Bagikan dengan Organisasi Anda. Dialog akan muncul yang bertuliskan "Membagikan penelusuran Anda akan terlihat oleh orang-orang di organisasi Anda. Yakin ingin berbagi?".
5. Klik Bagikan.

Jika Anda ingin penelusuran hanya dapat dilihat oleh Anda, klik Lainnya, lalu klik Berhenti Berbagi. Jika berbagi dihentikan, hanya Anda yang dapat menggunakan penelusuran ini.

Hasil penelusuran—ringkasan

Saat Anda mengklik Run Search di halaman SIEM Search, Google Security Operations akan mengevaluasi kueri Anda di seluruh lingkungan, serta mengategorikan dan menampilkan hasilnya di bawah editor kueri.

Elemen UI untuk hasil penelusuran bervariasi bergantung pada hal berikut:

• Jenis penelusuran (yang, menurut badge-nya: UDM, RAW, JOIN, STATS, CASE, atau CASE HISTORY).
• Mode eksekusi penelusuran (Mode Dasar atau Mode Lanjutan). Saat Anda menjalankan penelusuran dalam Mode Dasar, halaman Penelusuran SIEM hanya menampilkan tab Hasil dan menyembunyikan tab Pemberitahuan & Deteksi, Ringkasan, dan Visualisasikan. Untuk mengetahui informasi selengkapnya, lihat Memahami mode eksekusi penelusuran.

Halaman SIEM Search menampilkan tab berikut untuk hasil penelusuran:

• Hasil: Ditampilkan untuk semua jenis penelusuran.
• Alerts & Detections: Hanya ditampilkan untuk hasil penelusuran UDM, RAW, dan JOIN.
• Ringkasan: Hanya ditampilkan untuk hasil penelusuran UDM, RAW, dan JOIN.
• Visualisasikan: Hanya ditampilkan untuk hasil penelusuran STATS.

Judul setiap tab hasil menyertakan jumlah dalam tanda kurung, misalnya, Results (1,118)—atau Results (100,000+) jika jumlah hasil melebihi maksimum yang ditentukan (dalam hal ini 100 ribu).

Mengklik di antara tab akan langsung mengubah tampilan ruang kerja Anda sekaligus mempertahankan kueri penelusuran dan rentang waktu Anda.

Melihat dan mengelola informasi di tab Hasil

Tab Hasil berfungsi sebagai ruang kerja utama Anda untuk melihat dan mengelola hasil penelusuran. Anda dapat menggunakan tab Hasil untuk:

• Perburuan log mendalam
• Melihat telemetri mentah
• Membuat tabel pivot dari data peristiwa
• Menganalisis distribusi nilai kolom frekuensi tinggi
• Mengekspor data ke file CSV

Tab Hasil mencakup elemen berikut, bergantung pada jenis penelusuran:

• Panel tab dengan diagram berikut:
  • Diagram Activity Over Time: Ditampilkan untuk hasil penelusuran UDM, JOIN, CASE, CASE HISTORY, dan ECG.
  • Diagram Tren dari Waktu ke Waktu: Ditampilkan untuk hasil penelusuran RAW.
  • Tab Prevalence: Ditampilkan untuk hasil penelusuran UDM.
  • Tabel Peta panas aktivitas: Ditampilkan untuk hasil penelusuran UDM.
• Panel Aggregations: Ditampilkan untuk semua jenis hasil penelusuran.

• Panel dengan tabel berikut, sesuai dengan jenis penelusuran:

  • Tabel Events dan sub-tab Pivot: Hanya ditampilkan untuk hasil penelusuran UDM. Tabel Events menampilkan telemetri peristiwa UDM yang dinormalisasi dan data log mentah yang cocok dengan kueri Anda dalam jangka waktu yang dipilih. Sub-tab Pivot memungkinkan Anda membuat dan menggunakan tabel pivot untuk melakukan pengelompokan dan ringkasan matematika multidimensi (sum, count, avg, stddev) pada hasil peristiwa.
  • Raw Logs: Hanya ditampilkan untuk hasil penelusuran RAW.
  • Stats: Hanya ditampilkan untuk hasil penelusuran STATS.
  • Gabungan: Hanya ditampilkan untuk hasil penelusuran GABUNGAN.
  • Kasus: Hanya ditampilkan untuk hasil penelusuran CASE.
  • Histori Kasus: Hanya ditampilkan untuk hasil penelusuran KASUS dan HISTORI KASUS.
  • Data Berwaktu dan Data Tanpa Batas Waktu: Hanya ditampilkan untuk hasil penelusuran EKG.

  Untuk mengetahui informasi tentang fungsi dan alat yang didukung untuk tabel ini, lihat Menggunakan alat umum untuk tabel. Fungsi yang didukung mencakup mengelola kolom dalam tabel yang ditampilkan tab, mendownload hasil penelusuran, dan lainnya.

Tips: Klik View Options untuk menyembunyikan atau menampilkan diagram dan panel Aggregations.

Catatan: Dalam Basic Mode, diagram linimasa, tab Prevalence, dan tabel Activity heatmap akan dilewati dan disembunyikan untuk mempercepat pengambilan peristiwa, tetapi panel Events dan panel Aggregations tetap aktif. Untuk mengetahui informasi selengkapnya, lihat Memahami mode eksekusi penelusuran.

Menggunakan diagram Aktivitas dari Waktu ke Waktu

Tab Activity Over Time menyertakan diagram (histogram) volume peristiwa dan pemberitahuan dari waktu ke waktu.

Catatan: Tab Activity Over Time hanya ditampilkan untuk hasil penelusuran UDM, JOIN, CASE, dan CASE HISTORY.

Lebar setiap batang bergantung pada interval waktu yang ditelusuri. Misalnya, setiap batang mewakili 10 menit saat penelusuran mencakup data selama 24 jam. Diagram ini diperbarui secara dinamis saat Anda mengubah penelusuran yang ada.

Catatan: Jendela penelusuran maksimum adalah hingga 365 hari untuk penelusuran YARA-L 2.0 dan 90 hari untuk penelusuran SQL, dari waktu mulai hingga waktu berakhir.

Diagram ini mendukung hal berikut:

• Penyesuaian rentang waktu: Tarik kontrol penggeser pada linimasa untuk mempersempit periode waktu yang terlihat secara instan. Petak hasil dan panel Aggregations akan diperbarui tanpa menjalankan ulang kueri terhadap backend.
• Melihat peristiwa dan pemberitahuan untuk jangka waktu satu batang: Klik batang untuk mempersempit fokus diagram, panel Agregasi, dan tab Deteksi ke jangka waktu batang tersebut. Tindakan ini akan membuat filter, yang ditampilkan di samping tombol filter_list Tambahkan filter. Untuk menampilkan semua hasil lagi, hapus filter.
• Popup detail: Mengklik salah satu batang akan membuka popup yang berisi waktu, serta nilai untuk Peristiwa yang Dikueri, Peristiwa yang Difilter, Notifikasi yang Dikueri, dan Notifikasi yang Difilter.

Menggunakan diagram Tren dari Waktu ke Waktu

Tab Trend Over Time menyertakan diagram (histogram) volume log mentah dari waktu ke waktu. Lebar setiap batang vertikal diskalakan secara dinamis berdasarkan keseluruhan periode penelusuran Anda (misalnya, setiap batang mungkin mewakili 10 menit untuk periode penelusuran 24 jam).

Catatan: Tab Tren dari Waktu ke Waktu hanya ditampilkan untuk hasil penelusuran RAW.

Diagram ini mendukung hal berikut:

• Penyesuaian rentang waktu: Tarik kontrol penggeser pada linimasa untuk mempersempit periode waktu yang terlihat secara instan. Petak hasil dan panel Aggregations akan diperbarui tanpa menjalankan ulang kueri terhadap backend.
• Melihat jumlah log terurai, tidak terurai, dan tidak diketahui yang terdeteksi dalam jangka waktu satu batang: Tidak diketahui berarti satu atau beberapa log terdeteksi pada saat itu, tetapi jumlahnya tidak diketahui. Klik batang untuk mempersempit fokus diagram dan panel Aggregations ke jendela waktu batang tersebut. Tindakan ini akan membuat filter, yang ditampilkan di samping tombol filter_list Tambahkan filter. Untuk menampilkan semua hasil lagi, hapus filter.
• Popup detail: Mengklik salah satu batang akan membuka popup yang berisi waktu, serta nilai untuk Peristiwa yang Dikueri, Peristiwa yang Difilter, Notifikasi yang Dikueri, dan Notifikasi yang Difilter.

Menggunakan tab Prevalensi

Tab Prevalensi hanya muncul jika penelusuran Anda menyertakan domain.

Tab Prevalence menampilkan prevalensi domain yang terkait dengan penelusuran Anda dalam perusahaan. Dasbor ini menggabungkan daftar domain prevalensi rendah dengan diagram interaktif. Tab ini hanya muncul jika penelusuran UDM Anda menyertakan domain.

Catatan: Tab Prevalensi hanya ditampilkan untuk hasil penelusuran UDM.

Daftar domain prevalensi rendah mencakup kolom berikut:

• Domain dengan prevalensi rendah: Menampilkan nama domain yang terkait dengan hasil penelusuran Anda. Klik arrow_upward untuk mengurutkan domain menurut abjad (Z ke A), dan arrow_downward untuk mengurutkan menurut abjad (A ke Z).

• Prevalensi ≤ 10: Menampilkan total jumlah kemunculan untuk setiap domain dengan prevalensi 10 atau kurang. Klik arrow_upward untuk mengurutkan jumlah secara numerik dalam urutan menurun, dan arrow_downward untuk urutan menaik.

Pada diagram, tahan kursor ke lingkaran untuk menampilkan domain tertentu dan mempersempit penelusuran ke peristiwa yang terkait dengan domain tersebut saja.

Menggunakan tab Peta panas aktivitas

Tab Heatmap aktivitas menampilkan data peristiwa dalam petak linimasa visual untuk menyoroti tempat peristiwa paling terkonsentrasi selama rentang waktu tertentu. Sumbu Y menampilkan tanggal dalam jangka waktu penelusuran Anda, dan sumbu X menampilkan waktu dalam interval per jam (dari 00.00 hingga 23.00).

Catatan: Tab Activity heatmap hanya ditampilkan untuk hasil penelusuran UDM.

Legenda gradasi warna menunjukkan volume peristiwa dalam jam tertentu, dengan warna yang lebih terang menunjukkan lebih sedikit peristiwa dan warna yang lebih gelap menunjukkan kepadatan yang lebih tinggi. Anda juga dapat menyesuaikan indikator kepadatan untuk melihat atau menyembunyikan slot per jam dengan menyesuaikan penggeser horizontal. Klik panah atas atau bawah di panel samping untuk men-scroll tanggal dan menyesuaikan periode waktu tertentu.

Menggunakan panel Agregasi untuk menyaring hasil penelusuran

Panel Aggregations merangkum nilai frekuensi tinggi, yang dapat Anda gunakan untuk menyaring hasil penelusuran.

Catatan: Panel Aggregations ditampilkan untuk semua jenis hasil penelusuran.

Panel Aggregations mencakup dua daftar yang dapat diciutkan: UDM Fields (yang merupakan daftar kolom UDM yang cocok) dan daftar kolom lain yang sesuai dengan jenis penelusuran (misalnya, Log Fields untuk penelusuran log mentah, Stats Fields, Case Fields, dan sebagainya). Untuk penelusuran UDM, panel Aggregations berisi daftar UDM Fields dan daftar Grouped Fields.

Untuk menyematkan kolom ke bagian atas daftar Aggregations, tahan kursor di atas kolom, lalu klik ikon keep Keep.

Anda dapat menelusuri kolom atau nilai kolom tertentu menggunakan kolom searchSearch di panel.

Setiap kolom menampilkan "jumlah kecocokan", yaitu jumlah data yang memiliki nilai yang sama untuk kolom tersebut. Konten daftar diurutkan dari jumlah kecocokan tertinggi hingga terendah, dan dalam urutan abjad dalam jumlah kecocokan yang sama. Anda dapat menelusuri daftar untuk menemukan kolom dan meluaskan item kolom.

Untuk memfilter hasil penelusuran dengan agregasi, lakukan hal berikut:

1. Di panel Aggregations, pilih kolom dari daftar untuk menampilkan nilai daftar untuk kolom tersebut.

2. Pilih nilai dari daftar, lalu klik more_vert Lainnya.

3. Pilih opsi filter:

   • Tampilkan saja: Tabel yang berdekatan dan sesuai akan diperbarui untuk hanya menampilkan data yang cocok, dan filter = "value" akan ditampilkan di samping tombol filter_list Tambahkan filter.
   • Filter out: Tabel yang berdekatan dan sesuai akan diperbarui dengan data yang cocok yang difilter, dan filter != "value" akan ditampilkan di samping tombol filter_list Add filter.
   • Copy: Menyalin pasangan nilai kolom ke papan klip Anda.

   

   Gambar 4. Contoh pemfilteran kolom menggunakan panel Aggregations.

   

   Gambar 5. Tombol Add filter filter_list dengan dua filter yang ada (satu ditampilkan dan satu lagi dalam daftar +1 More).

4. Opsional: Jika Anda memilih Hanya tampilkan atau Filter di langkah sebelumnya dan ingin otomatis menyertakan filter ke dalam editor kueri dan menjalankan penelusuran lagi, klik Terapkan ke penelusuran dan jalankan.

Menggunakan kolom yang dikelompokkan di panel Aggregations pada tab Results

Panel Aggregations untuk penelusuran UDM menyertakan daftar Grouped Fields. Kolom yang dikelompokkan berfungsi sebagai alias kategori yang efektif, yang menggabungkan kolom UDM terkait tanpa mengharuskan Anda mengetik setiap kolom secara terpisah. Untuk mengetahui informasi selengkapnya tentang kolom yang dikelompokkan, lihat Menelusuri kolom yang dikelompokkan.

Alias kolom yang dikelompokkan	Kolom UDM terkait yang disertakan dalam alias
domain	about.administrative_domain about.asset.network_domain network.dns.questions.name network.dns_domain principal.administrative_domain principal.asset.network_domain target.administrative_domain target.asset.hostname target.asset.network_domain target.hostname
email	intermediary.user.email_addresses network.email.from network.email.to principal.user.email_addresses security_result.about.user.email_addresses target.user.email_addresses
file_path	principal.file.full_path principal.process.file.full_path principal.process.parent_process.file.full_path target.file.full_path target.process.file.full_path target.process.parent_process.file.full_path
hash	about.file.md5 about.file.sha1 about.file.sha256 principal.process.file.md5 principal.process.file.sha1 principal.process.file.sha256 security_result.about.file.sha256 target.file.md5 target.file.sha1 target.file.sha256 target.process.file.md5 target.process.file.sha1 target.process.file.sha256
hostname	intermediary.hostname observer.hostname principal.asset.hostname principal.hostname src.asset.hostname src.hostname target.asset.hostname target.hostname
ip	intermediary.ip observer.ip principal.artifact.ip principal.asset.ip principal.ip src.artifact.ip src.asset.ip src.ip target.artifact.ip target.asset.ip target.ip
namespace	principal.namespace src.namespace target.namespace
process_id	principal.process.parent_process.pid principal.process.parent_process.product_specific_process_id principal.process.pid principal.process.product_specific_process_id target.process.parent_process.pid target.process.parent_process.product_specific_process_id target.process.pid target.process.product_specific_process_id
user	about.user.userid observer.user.userid principal.user.user_display_name principal.user.userid principal.user.windows_sid src.user.userid target.user.user_display_name target.user.userid target.user.windows_sid

Menggunakan panel Peristiwa

Gunakan panel Events untuk melihat, mengurutkan, dan mengelola peristiwa yang cocok dengan penelusuran UDM Anda.

Untuk mengetahui informasi tentang fungsi dan alat yang didukung untuk panel Peristiwa, lihat Menggunakan alat umum untuk tabel. Fungsi yang didukung mencakup mengelola kolom dalam tabel yang ditampilkan tab, mendownload hasil penelusuran, dan lainnya.

Secara default, setelah Anda menjalankan penelusuran, tabel Peristiwa akan menampilkan kolom utama (disebut sebagai kolom cepat), misalnya, Status Peristiwa, Stempel waktu, Jenis (udm.metadata.event_type), Ringkasan, Pengguna (udm.principal.user.userid atau target.user.userid), Nama host (udm.principal.hostname atau target.hostname). Bergantung pada cakupan kueri dan sumber log Anda, tabel juga dapat menampilkan kolom cepat yang relevan secara dinamis seperti Tindakan (udm.security_result.action).

Catatan: Untuk peristiwa yang terkait dengan pemberitahuan, kolom Status Peristiwa menampilkan chip Pemberitahuan—dengan jumlah jika ada beberapa pemberitahuan yang berlaku.

Memeriksa detail terperinci dari satu peristiwa (Penampil Peristiwa dan korelasi log mentah)

• Untuk memeriksa detail terperinci dari satu peristiwa, klik barisnya. Event Viewer akan terbuka.

  Untuk mengetahui informasi selengkapnya, lihat Menggunakan Penampil Peristiwa untuk hasil UDM dan RAW.

Tab pivot—membuat tabel pivot

Anda dapat menggunakan tabel pivot untuk melakukan pengelompokan dan ringkasan matematika multidimensi terhadap hasil penelusuran.

Untuk membuka dan mengonfigurasi tabel pivot, lakukan hal berikut:

1. Menjalankan penelusuran UDM.
2. Di tab Results, klik subtab Pivot. Panel Setelan Pivot akan terbuka.

3. Di bagian Group By, klik add Field untuk memilih hingga lima kolom UDM untuk pengelompokan baris. Opsi transformasi khusus akan muncul berdasarkan jenis kolom:

   • Kolom string: Opsi untuk memaksa penggunaan huruf kecil. Anda dapat menampilkan hasil menggunakan kapitalisasi Default atau hanya menggunakan huruf kecil dengan memilih Lowercase dari menu.
   • Kolom nama host:
     • Domain terdaftar: Hanya menampilkan nama domain terdaftar (seperti google.com, nytimes.com, youtube.com).
     • Domain tingkat N teratas: Tentukan tingkat domain yang akan ditampilkan. Misalnya, menggunakan nilai 1 hanya akan menampilkan domain level teratas (seperti com, gov, atau edu). Menggunakan nilai 3 akan menampilkan dua tingkat nama domain berikutnya (seperti google.co.uk).
   • Kolom IP: Opsi untuk mengelompokkan menurut panjang awalan CIDR dalam bit. Anda dapat menentukan 1 hingga 32 untuk alamat IPv4. Untuk alamat IPv6, Anda dapat menentukan nilai hingga 128.
   • Kolom stempel waktu: Opsi untuk mengelompokkan menurut resolusi waktu (milidetik, detik, menit, jam, hari).

4. Di bagian Values, tentukan nilai untuk pivot Anda dari daftar kolom di hasil Anda. Anda dapat menentukan hingga lima nilai.

5. Untuk setiap kolom yang Anda tentukan untuk Values, Anda harus memilih salah satu opsi Summarize By berikut:

   • Avg (rata-rata)
   • Jumlah
   • Count distinct
   • Max
   • Min
   • Jumlah
   • Stddev (simpangan baku)

   Opsi Ringkas tidak kompatibel secara universal dengan kolom Kelompokkan menurut. Misalnya, opsi Sum, Avg, Stddev, Min, dan Max hanya dapat diterapkan ke kolom numerik. Jika Anda mencoba mengaitkan opsi Ringkas yang tidak kompatibel dengan kolom Kelompokkan Menurut, Anda akan menerima pesan error.

   Tentukan nilai Event count untuk menampilkan jumlah peristiwa yang diidentifikasi untuk penelusuran dan tabel pivot tertentu ini.

6. Di bagian Order by, tentukan satu atau beberapa kolom UDM dan pilih satu atau beberapa pengurutan menggunakan opsi Ascending atau Descending.

7. Klik Terapkan jika Anda sudah siap. Hasilnya ditampilkan di panel Pivot.

8. Opsional: Untuk mendownload dan menyimpan konten tabel pivot, lihat Mendownload hasil penelusuran dari tabel.

Menggunakan panel Log Mentah

Gunakan panel Raw Logs untuk melihat, mengurutkan, dan mengelola log yang cocok dengan penelusuran Anda, yang mengevaluasi telemetri log mentah yang belum diurai. Tujuan diagnostik utamanya adalah memantau kondisi penyerapan dan penguraian, yaitu memantau jumlah log yang diuraikan versus jumlah log yang tidak diuraikan versus tidak diketahui (yang berarti satu atau beberapa log terdeteksi pada waktu tertentu, tetapi jumlahnya tidak diketahui).

Untuk mengetahui informasi tentang fungsi dan alat yang didukung untuk tab ini, lihat Menggunakan alat umum untuk tabel. Fungsi yang didukung mencakup mengelola kolom dalam tabel yang ditampilkan tab, mendownload hasil penelusuran, dan lainnya.

Memeriksa detail terperinci dari satu log mentah (Penampil Peristiwa dan korelasi log mentah)

• Untuk memeriksa detail terperinci dari satu log mentah, klik di baris. Event Viewer akan terbuka.

  Untuk mengetahui informasi selengkapnya, lihat Menggunakan Penampil Peristiwa untuk hasil UDM dan RAW.

Menggunakan panel Stats

Gunakan panel Statistik untuk melihat, mengurutkan, dan mengelola statistik yang cocok dengan penelusuran Anda.

Panel Stats hanya mendukung Pemilih Kolom tempat Anda dapat menambahkan atau menghapus kolom.

Untuk mengetahui informasi tentang fungsi dan alat yang didukung untuk tab ini, lihat Menggunakan alat umum untuk tabel. Fungsi yang didukung mencakup mendownload hasil penelusuran, dan lainnya.

Menggunakan panel Gabungan

Gunakan panel Gabungan untuk melihat, mengurutkan, dan mengelola item yang cocok dengan penelusuran Anda.

Untuk mengetahui informasi tentang fungsi dan alat yang didukung untuk tab ini, lihat Menggunakan alat umum untuk tabel. Fungsi yang didukung mencakup mengelola kolom dalam tabel yang ditampilkan tab, mendownload hasil penelusuran, dan lainnya.

Menggunakan panel Kasus

Gunakan panel Kasus untuk melihat, mengurutkan, dan mengelola kasus yang cocok dengan penelusuran Anda.

Untuk mengetahui informasi tentang fungsi dan alat yang didukung untuk tab ini, lihat Menggunakan alat umum untuk tabel. Fungsi yang didukung mencakup mengelola kolom dalam tabel yang ditampilkan tab, mendownload hasil penelusuran, dan lainnya.

Menggunakan panel Histori Kasus

Gunakan panel Histori Kasus untuk melihat, mengurutkan, dan mengelola histori kasus yang cocok dengan penelusuran Anda.

Untuk mengetahui informasi tentang fungsi dan alat yang didukung untuk tab ini, lihat Menggunakan alat umum untuk tabel. Fungsi yang didukung mencakup mengelola kolom dalam tabel yang ditampilkan tab, mendownload hasil penelusuran, dan lainnya.

Menggunakan panel Data Berwaktu dan Data Tanpa Batas Waktu

Gunakan panel Data Berwaktu dan Data Tanpa Batas Waktu untuk melihat, mengurutkan, dan mengelola hasil dari penelusuran ECG. Panel Timed Data menampilkan hasil untuk entity yang memiliki rentang waktu yang ditentukan—yaitu, entity yang memiliki nilai untuk metadata.interval.end_time selama penyerapan. Panel Timeless Data menampilkan hasil untuk entity yang tidak memiliki rentang waktu yang ditentukan—yaitu, tidak memiliki nilai untuk metadata.interval.end_time.

Penting: Database ECG menyimpan entitas berjangka waktu dan tanpa batas waktu secara terpisah. Saat Anda menjalankan penelusuran ECG, Google SecOps akan membuat gabungan penyimpanan data berjangka waktu dan tidak berjangka waktu, serta menampilkan hasil teratas dari masing-masing penyimpanan data, hingga jumlah hasil maksimum yang dikonfigurasi. Data entitas berstempel waktu diurutkan menurut stempel waktu terbaru, tetapi urutan data entitas tanpa stempel waktu tidak dapat diketahui. Oleh karena itu, antarmuka mungkin hanya menampilkan entity tanpa batas waktu, atau hanya entity berbatas waktu, atau kombinasi yang berbeda dari keduanya setiap kali kueri dijalankan.

Menggunakan Penampil Peristiwa untuk hasil UDM dan RAW

• Untuk memeriksa detail terperinci dari satu peristiwa atau log mentah, klik baris di tabel Events atau tabel Raw Logs. Event Viewer akan terbuka.

Event Viewer mencakup tab berikut:

• Kolom Peristiwa
• Log Raw
• Alerts: Hanya ditampilkan untuk hasil UDM dari tabel Events
• Entity

Menggunakan tab Event Fields

Secara default, tab Event Fields menampilkan kolom peristiwa UDM dalam struktur hierarkis, yang diberi label Selected.

Gunakan tab Kolom Peristiwa untuk melakukan hal berikut:

• Melihat definisi kolom. Tahan kursor di atas nama kolom untuk melihat definisinya.
• Sematkan kolom untuk akses cepat. Di daftar Selected, pilih kolom, lalu klik keep pin. Kolom tersebut kemudian akan ditampilkan di daftar Disematkan. Kolom tetap berada dalam daftar Selected, dan hierarkinya dalam Pinned list ditampilkan dalam notasi yang dibatasi titik dengan awalan udm (misalnya, udm.metadata.event_type).
• Tambahkan ke kolom atau salin beberapa kolom. Centang kotak di samping node atau kolom, lalu pilih Tambahkan ke Kolom atau Salin.

• Melakukan tindakan berikut:

  • Filter: Terapkan filter berikut ke item yang dipilih (check_box) dalam daftar Dipilih:
    • Kolom
      • Tampilkan kolom yang tidak diperkaya
      • Tampilkan kolom yang diperkaya
      • Tampilkan kolom tambahan
      • Tampilkan kolom yang diekstrak
    • Sumber Log Pengayaan: Opsi yang tersedia bergantung pada peristiwa.
  • Salin: Untuk menyalin kolom UDM dan nilai UDM yang dipilih ke papan klip sistem.
  • Add to Columns: Menambahkan kolom UDM sebagai kolom.

Setiap kolom UDM diberi label dengan ikon yang menunjukkan apakah kolom tersebut berisi data yang diperkaya atau tidak diperkaya. Label ikonnya adalah sebagai berikut:

• U: Kolom yang tidak diperkaya berisi nilai yang diisi selama proses normalisasi menggunakan data dari log mentah asli.

• E: Kolom yang diperkaya berisi nilai yang diisi oleh Google SecOps untuk memberikan konteks tambahan tentang artefak di lingkungan pelanggan. Untuk mengetahui informasi selengkapnya, lihat Memperkaya data peristiwa dan entity dengan Google SecOps.

  Tampilan setiap kolom yang diperkaya dapat menampilkan semua sumber terkait. Informasi ini berguna untuk validasi dan pemecahan masalah, serta mungkin diperlukan untuk tujuan audit dan kepatuhan. Anda juga dapat memfilter kolom menurut sumber pengayaannya.

Gambar 6. Kolom UDM yang diperkaya dan tidak diperkaya di tab Event Fields di Penampil acara, yang menampilkan sumber kolom yang diperkaya.

Gambar 7. Gunakan filter di tab Kolom Peristiwa untuk menampilkan atau menyembunyikan kolom sesuai dengan berbagai atribut.

Menggunakan tab Log Mentah

Tab Raw Log menampilkan tanda mentah asli dalam salah satu format berikut:

• Mentah
• JSON
• XML
• CSV
• Hex/ASCII

Menggunakan tab Pemberitahuan

Tab Alerts menampilkan pemberitahuan yang terkait dengan peristiwa.

Tab Alerts hanya ditampilkan untuk hasil UDM dari tabel Events.

Menggunakan tab Entities

Tab Entitas menampilkan entitas yang terkait dengan peristiwa.

Klik entity untuk menampilkan dialog Entity context, yang dapat menyertakan item berikut:

• Nama aset
• Pertama kali dilihat
• Terakhir kali dilihat
• Alamat IP
• Alamat MAC
• Jumlah pemberitahuan
• Jumlah pemberitahuan tertinggi berdasarkan aturan
• Grafik batang pemberitahuan dari waktu ke waktu
• Link Buka Pemberitahuan & IOC
• Link Lihat di Tab Pemberitahuan

Melihat dan mengelola informasi di tab Pemberitahuan & Deteksi

Catatan: Tab Alerts & Detections hanya ditampilkan saat Anda menjalankan penelusuran dalam Mode lanjutan. Dalam Mode Dasar, Google SecOps mengabaikan korelasi deteksi dan menyembunyikan tab ini. Untuk mengetahui informasi selengkapnya, lihat Memahami mode eksekusi penelusuran.

Gunakan tab Alerts & Detections untuk:

• Perburuan ancaman di semua eksekusi aturan
• Membandingkan pemicu pemberitahuan yang dapat ditindaklanjuti dengan prekursor perilaku yang minim gangguan
• Menentukan cakupan batas insiden dalam satu tampilan gabungan

Tab Alerts & Detections menampilkan pemberitahuan dan deteksi yang cocok dengan kriteria penelusuran aktif Anda. Dengan menggabungkan pemberitahuan dan deteksi dalam satu tab, Anda dapat memeriksa pemberitahuan tingkat keparahan tinggi bersama dengan kecocokan aturan perilaku yang mendasarinya untuk mengungkap prekursor dengan derau rendah yang tidak melewati batas pemberitahuan secara independen.

Notifikasi adalah peristiwa UDM dan telemetri konektor pihak ketiga yang diberi tag dengan nilai minimum pemberitahuan atau notifikasi tingkat keparahan tinggi. Jumlah Alerts menampilkan telemetri log UDM yang memicu aturan pemberitahuan (alert_state = "ALERTING"), beserta notifikasi prioritas tinggi yang diserap dari konektor keamanan pihak ketiga (seperti CrowdStrike atau webhook SOAR).

Deteksi adalah semua output eksekusi aturan pemberitahuan (ALERTING) dan non-pemberitahuan (NOT_ALERTING) yang dihasilkan oleh aturan YARA-L 2.0 di seluruh lingkungan Anda. Tab ini menampilkan output eksekusi aturan komprehensif yang dihasilkan oleh mesin deteksi YARA-L 2.0 di seluruh kecocokan aturan pemberitahuan dan non-pemberitahuan. Setiap pemberitahuan yang dihasilkan aturan juga merupakan deteksi (ALERTING), tetapi jumlah Deteksi juga mencakup semua hit aturan yang bersifat informasi, latar belakang, atau non-pemberitahuan (NOT_ALERTING).

Jumlah di header tab mengategorikan kecocokan eksekusi aturan berdasarkan status pemberitahuan. Misalnya, jika header tab adalah Alerts (43) & Detection (0), ini berarti ada 43 kecocokan dengan alerting_rule = true dan nol eksekusi aturan non-pemberitahuan (NOT_ALERTING).

Tab Alerts & Detections mencakup panel berikut:

• Diagram Tren dari waktu ke waktu
• Panel Aggregations
• Panel Deteksi

Tips: Klik View Options untuk menyembunyikan atau menampilkan diagram dan panel Aggregations.

Menggunakan diagram Tren dari waktu ke waktu

Tab Trend over time di tab Alerts & Detections menyertakan diagram (histogram) volume deteksi dari waktu ke waktu. Lebar setiap batang vertikal diskalakan secara dinamis berdasarkan keseluruhan periode penelusuran Anda (misalnya, setiap batang mungkin mewakili 10 menit untuk periode penelusuran 24 jam).

Diagram ini mengelompokkan semua kecocokan eksekusi aturan di seluruh waktu dalam satu deret gabungan berlabel Detections.

Catatan: Header tab menampilkan nilai jumlah dan membagi temuan berdasarkan status pemberitahuan (misalnya, Pemberitahuan (43) & Deteksi (0)), sedangkan diagram Tren dari waktu ke waktu menggabungkan semua kemunculan deteksi sebagai batang Deteksi.

Diagram ini mendukung hal berikut:

• Penyesuaian rentang waktu: Tarik kontrol penggeser pada linimasa untuk mempersempit periode waktu yang terlihat secara instan. Petak hasil dan agregasi diperbarui tanpa menjalankan ulang kueri terhadap backend.
• Melihat agregasi dan deteksi untuk jendela waktu satu batang: Klik batang untuk mempersempit fokus diagram, tab Agregasi, dan tab Deteksi ke jendela waktu batang tersebut. Tindakan ini akan membuat filter, yang ditampilkan di samping tombol filter_list Tambahkan filter. Hapus filter untuk menampilkan semua hasil lagi.
• Popup detail: Mengklik salah satu batang akan membuka dialog yang berisi waktu, serta nilai untuk Deteksi yang Dikueri dan Deteksi yang Difilter.

Menggunakan panel Agregasi untuk menyaring deteksi

Isi panel Aggregations di tab Alerts & Detections merangkum nilai hasil deteksi frekuensi tinggi, yang dapat Anda gunakan untuk menyaring hasil penelusuran.

Panel Aggregations mencakup tiga daftar yang dapat diciutkan: Detection fields, UDM fields (yang merupakan daftar kolom UDM yang cocok), dan Entity Fields.

Setiap kolom menampilkan "jumlah kecocokan", yaitu jumlah deteksi pemberitahuan yang memiliki nilai yang sama untuk kolom tersebut. Konten daftar diurutkan dari jumlah kecocokan tertinggi hingga terendah, dan dalam urutan abjad dalam jumlah kecocokan yang sama. Anda dapat menelusuri daftar untuk menemukan kolom dan meluaskan item kolom.

Anda dapat menyematkan kolom ke bagian atas daftar Aggregations dengan mengarahkan kursor ke kolom dan mengklik ikon keep Keep.

Menelusuri hasil deteksi pemberitahuan di panel Aggregations

Anda dapat menelusuri kolom atau nilai kolom tertentu menggunakan searchkolom penelusuran di panel Aggregations. Tindakan ini dapat membantu Anda berfokus pada pemberitahuan yang paling penting bagi Anda.

Berikut adalah atribut pemberitahuan utama untuk memfilter pemberitahuan di panel Aggregations:

• Kasus
• Nama
• Prioritas
• Keparahan
• Status
• Putusan

Memfilter hasil deteksi pemberitahuan di panel Aggregations

Untuk memfilter hasil deteksi pemberitahuan dengan agregasi, lakukan hal berikut:

1. Di panel Aggregations, pilih kolom dari daftar untuk menampilkan daftar nilai untuk kolom tersebut.

2. Pilih nilai dari daftar tersebut, lalu klik more_vert Lainnya.

3. Pilih opsi filter:

   • Tampilkan saja: Tabel Deteksi diperbarui untuk menampilkan hanya pemberitahuan yang cocok, dan filter = "value" ditampilkan di samping tombol filter_list Tambahkan filter.
   • Filter out: Tabel Detections akan diperbarui dengan pemberitahuan yang cocok yang difilter, dan filter != "value" akan ditampilkan di samping tombol Add filter filter_list.
   • Greater than (hanya untuk kolom bilangan bulat): Tabel Detections akan diperbarui untuk menampilkan pemberitahuan dengan nilai yang lebih besar dari nilai ini, dan filter > "value" akan ditampilkan di samping tombol filter_list Add filter.
   • Greater than or equal to (hanya untuk kolom bilangan bulat): Tabel Detections akan diperbarui untuk menampilkan pemberitahuan dengan nilai yang lebih besar dari atau sama dengan nilai ini, dan filter >= "value" akan ditampilkan di samping tombol filter_list Add filter.
   • Less than (hanya untuk kolom bilangan bulat): Tabel Detections akan diperbarui untuk menampilkan pemberitahuan dengan nilai yang lebih kecil dari nilai ini, dan filter < "value" akan ditampilkan di samping tombol filter_list Add filter.
   • Less than or equal to (hanya untuk kolom bilangan bulat): Tabel Detections diperbarui untuk menampilkan pemberitahuan dengan nilai yang kurang dari atau sama dengan nilai ini, dan filter <= "value" ditampilkan di samping tombol filter_list Add filter.
   • Copy: Menyalin pasangan nilai kolom ke papan klip Anda.

• Untuk menghapus filter dan memperbarui hasil deteksi pemberitahuan, hapus filter yang ditampilkan di samping tombol filter_list Tambahkan filter.

Menggunakan panel Deteksi

Gunakan panel Deteksi untuk melihat, mengurutkan, dan mengelola item yang cocok dengan penelusuran Anda.

Untuk mengetahui informasi tentang fungsi dan alat yang didukung untuk tab ini, lihat Menggunakan alat umum untuk tabel. Fungsi yang didukung mencakup mengelola kolom dalam tabel yang ditampilkan tab, mendownload hasil penelusuran, dan lainnya.

Memeriksa detail terperinci dari satu pemberitahuan (Alert Viewer)

• Untuk memeriksa detail terperinci dari satu pemberitahuan, klik baris di tabel Detections. Alert Viewer akan terbuka.

Alert Viewer mencakup tab berikut:

• Kolom Deteksi
• Detail
• Variabel

• Entity
  
  

• Untuk membuka halaman lain di konsol Google SecOps yang berisi detail pemberitahuan, klik View details.

Menggunakan tab Detection Fields

Secara default, tab Detection Fields menampilkan kolom deteksi dalam struktur hierarki, yang diberi label Selected.

Gunakan tab Detection Fields untuk melakukan hal berikut:

• Melihat definisi kolom. Tahan kursor di atas nama kolom untuk melihat definisinya.
• Sematkan kolom untuk akses cepat. Di daftar Selected, pilih kolom, lalu klik keep pin. Kolom tersebut kemudian akan ditampilkan di daftar Disematkan. Kolom tetap berada dalam daftar Selected, dan hierarkinya dalam Pinned list ditampilkan dalam notasi yang dibatasi titik dengan awalan collection (misalnya, collection.created_time).
• Tambahkan ke kolom atau salin beberapa kolom. Centang kotak di samping node atau kolom, lalu pilih Tambahkan ke Kolom atau Salin.

• Melakukan tindakan berikut:

  • Terapkan filter ke daftar Dipilih.
  • Tambahkan ke Kolom: Menambahkan kolom sebagai kolom.
  • Salin: Untuk menyalin kolom dan nilai yang dipilih ke papan klip sistem.

Menggunakan tab Detail

Tab Detail menampilkan detail notifikasi. Kumpulan kolom detail bervariasi sesuai dengan notifikasi tertentu.

Contoh kolom detail:

• Nama (selalu Alert)
• Jenis
• Keparahan
• Skor Risiko
• Status
• Prioritas
• Terdeteksi
• Periode deteksi
• Dibuat
• Aturan
• Set Aturan
• Deskripsi
• Tag

Menggunakan tab Variabel

Tab Variabel menampilkan kolom, jenis, dan nilai setiap variabel yang terkait dengan pemberitahuan.

Menggunakan tab Entities

Tab Entitas hanya ditampilkan jika ada entitas yang terkait dengan notifikasi.

Tab Entities menampilkan entitas yang terkait dengan pemberitahuan.

Klik entity untuk menampilkan dialog Entity context, yang dapat menyertakan item berikut:

• Nama aset
• Pertama kali dilihat
• Terakhir kali dilihat
• Alamat IP
• Alamat MAC
• Jumlah pemberitahuan
• Jumlah pemberitahuan tertinggi berdasarkan aturan
• Grafik batang pemberitahuan dari waktu ke waktu
• Link Buka Pemberitahuan & IOC
• Link Lihat di Tab Pemberitahuan

Melihat dan mengelola informasi di tab Ringkasan

Catatan: Tab Ringkasan hanya ditampilkan saat Anda menjalankan penelusuran dalam Mode Lanjutan. Dalam Mode Dasar, Google SecOps mengabaikan resolusi Entity Context Graph (ECG) dan menyembunyikan tab ini. Untuk mengetahui informasi selengkapnya, lihat Memahami mode eksekusi penelusuran.

Gunakan tab Ringkasan untuk melakukan hal berikut:

• Memeriksa histori entitas (Pertama kali terlihat, Terakhir terlihat, Alamat MAC)
• Memverifikasi apakah indikator yang diamati tumpang-tindih dengan kasus atau pemberitahuan operasi keamanan aktif

Tab Ringkasan menampilkan Entity Context Graph (ECG) gabungan, detail aset atau pengguna, dan ringkasan investigasi untuk indikator penyusupan (IOC) atau entity yang cocok dengan periode penelusuran aktif Anda. Informasi yang ditampilkan bervariasi bergantung pada jenis informasi.

Tab Ringkasan menampilkan informasi entity dalam salah satu jenis informasi yang telah ditentukan berikut:

• Detail aset
• Detail domain
• Detail file
• Detail IP
• Detail pengguna

Melihat detail Aset di tab Ringkasan

Jika kueri menyertakan kondisi yang menampilkan aset tertentu—misalnya, principal.hostname="laptop-will" atau principal.ip="10.0.0.76"—tab Ringkasan akan menampilkan Tampilan Aset dengan informasi di panel berikut:

• Ringkasan penelusuran: Menampilkan informasi berikut:
  • Detail tentang entitas, termasuk alamat IP dan alamat MAC yang terkait dengan aset selama rentang waktu penelusuran. Alamat IP dan alamat MAC juga dapat digunakan untuk mengidentifikasi entity dan dapat diklik untuk menampilkan informasi tambahan di penampil entity. Alat ini juga menampilkan pertama kali aset terlihat di perusahaan Anda dan kapan terakhir kali (paling baru) terlihat. Anda dapat mengklik salah satu stempel waktu (pertama atau terakhir) untuk menjalankan penelusuran baru menggunakan waktu tersebut.
  • Detail tentang pemberitahuan, termasuk grafik yang menunjukkan jumlah pemberitahuan yang melibatkan entity dalam rentang waktu penelusuran. Panel ini juga mencantumkan subset aturan dengan jumlah pemberitahuan tertinggi.
  • Klik Open Alerts & IOCs untuk melihat semua pemberitahuan yang dihasilkan selama rentang waktu penelusuran yang sama.
  • Klik View in Alerts Tab untuk beralih ke tab Alerts & Detections di halaman ini dan memulai penelusuran baru terhadap entity yang dipilih.
  • Klik salah satu batang pada diagram untuk beralih ke tab Alerts & Detections di halaman ini dan memulai penelusuran baru terhadap entitas yang dipilih, menggunakan rentang waktu batang yang diklik.
  • Klik link View more untuk membuka tampilan Entity fields dan menampilkan semua kolom entity yang terkait dengan aset. Untuk menyalin kolom entity ke papan klip, klik kotak centang di samping kolom entity, klik View actions, lalu klik Copy entity. Klik kotak centang di bagian atas untuk memilih semua entitas.
• IOC yang Relevan: Menampilkan IOC yang terkait dengan aset. IOC yang diberi tingkat keparahan lebih tinggi akan ditampilkan terlebih dahulu. Mengklik nama IOC akan membuka penampil entity di sebelah kanan.
• Entitas Terkait: Menampilkan entitas lain yang terkait dengan aset ini, seperti pengguna yang login ke aset. Panel ini menampilkan jenis entity, kapan entity pertama kali terlihat di lingkungan, dan kapan entity terakhir (paling baru) terlihat. Tabel ini juga menampilkan namespace apa pun yang terkait dengan aset. Klik entity untuk membuka panel Entity context. Klik Tampilkan sepanjang waktu untuk menampilkan entitas terkait selama seluruh jangka waktu yang tersedia, bukan rentang yang ditentukan dalam penelusuran UDM.
• Entity context: Menampilkan detail tentang entity yang Anda pilih di panel Associated Entities. Panel ini menampilkan informasi yang berbeda, bergantung pada jenis entitas yang Anda pilih di panel Entitas terkait (misalnya, pengguna atau domain).

Melihat Detail domain di tab Ringkasan

Jika kueri menyertakan kondisi yang menentukan domain tertentu, misalnya, target.hostname="example.com", tab Ringkasan akan menampilkan detail Domain dengan informasi di panel berikut:

• Ringkasan penelusuran: Menampilkan informasi berikut:
  • Detail tentang domain, termasuk informasi WHOIS yang terkait dengan domain terdaftar, pertama kali domain tersebut terlihat di perusahaan Anda, dan terakhir kali (terbaru) domain tersebut terlihat. Klik VT Context untuk melihat informasi tentang domain dari VirusTotal.
  • Detail tentang pemberitahuan, termasuk grafik yang menunjukkan jumlah pemberitahuan yang melibatkan entity dalam rentang waktu penelusuran. Panel ini juga mencantumkan subset aturan dengan jumlah pemberitahuan tertinggi.
  • Klik Open Alerts & IOCs untuk melihat semua pemberitahuan yang dihasilkan selama rentang waktu penelusuran yang sama.
  • Klik View In Alerts Tab untuk beralih ke tab Alerts & Detections di halaman ini dan memulai penelusuran baru terhadap entity yang dipilih.
  • Klik salah satu batang pada diagram untuk beralih ke tab Alerts & Detections di halaman ini dan memulai penelusuran baru terhadap entitas yang dipilih, menggunakan rentang waktu batang yang diklik.
  • Klik link View more untuk membuka tampilan Entity fields dan menampilkan semua kolom entity yang terkait dengan domain. Untuk menyalin kolom entity ke papan klip, klik kotak centang di samping kolom entity, klik View actions, lalu klik Copy entity. Klik kotak centang di bagian atas untuk memilih semua entitas.
• IP yang Diselesaikan: Menampilkan semua alamat IP yang diselesaikan yang telah terlihat di perusahaan Anda untuk nama domain yang sepenuhnya memenuhi syarat (FQDN). Misalnya, jika Anda menelusuri target.hostname="test.altostrat.com", hasil penelusuran mungkin menampilkan dua alamat IP yang di-resolve (198.51.100.81 dan 203.0.113.81).
• Subdomain dan domain selevel: Menampilkan semua subdomain terkait yang telah terlihat di perusahaan Anda untuk FQDN tertentu. Banyak musuh menggunakan domain dan subdomain yang sama untuk serangan mereka. Misalnya, jika Anda menelusuri target.hostname="sandbox.altostrat.com", panel ini akan menampilkan dua subdomain, test.sandbox.altostrat.com dan staging.sandbox.altostrat.com.
• Prevalensi Aset: Menampilkan jumlah aset di perusahaan Anda yang telah terhubung ke domain selama seluruh jangka waktu data yang disimpan di penyimpanan data Google Security Operations Anda. Setiap batang grafik mewakili jumlah aset unik di perusahaan Anda yang telah terhubung ke domain pada hari UTC. Mengarahkan kursor ke batang akan menampilkan entitas terkait pada hari UTC yang diwakili oleh batang tersebut. Klik nama entity untuk melihat ringkasan dan ringkasan entity di panel konteks entity yang ditampilkan di sebelah kanan. Klik View events untuk melihat peristiwa yang terkait dengan entitas yang dipilih di tab peristiwa penelusuran.
• Entitas Terkait: Menampilkan entitas lain yang terkait dengan domain ini, seperti aset yang telah menghubungi domain ini. Daftar ini mencakup jenis entitas, kapan entitas tersebut pertama kali terlihat di perusahaan Anda, dan kapan entitas tersebut terakhir (paling baru) terlihat. Klik entity untuk membuka panel Entity context.
• Entity context: Menampilkan detail tentang entity yang Anda pilih di panel Associated Entities. Panel ini menampilkan informasi yang berbeda, bergantung pada jenis entitas yang Anda pilih di panel Associated Entities (misalnya, alamat IP atau domain).

Melihat detail File

Jika kueri menyertakan kondisi yang menampilkan satu file, misalnya principal.process.file.md5="a00000a75f2a35130aa7a7aaa09aaa7a", tab Ringkasan akan menampilkan detail File dengan informasi di panel berikut:

• Ringkasan penelusuran: Menampilkan informasi berikut:
  • Detail tentang file, termasuk nilai hash, ukuran file, pertama kali file tersebut terlihat di perusahaan Anda, dan terakhir kali (terbaru) file tersebut terlihat. Klik VT Context untuk melihat informasi tentang file dari VirusTotal.
  • Detail tentang pemberitahuan, termasuk diagram yang menunjukkan jumlah pemberitahuan yang melibatkan entity dalam rentang waktu penelusuran. Panel ini juga mencantumkan subset aturan dengan jumlah pemberitahuan tertinggi.
  • Klik Open Alerts & IOCs untuk melihat semua pemberitahuan yang dihasilkan selama rentang waktu penelusuran yang sama.
  • Klik View In Alerts Tab untuk beralih ke tab Alerts & Detections di halaman ini dan memulai penelusuran baru terhadap entity yang dipilih.
  • Klik salah satu batang pada diagram untuk beralih ke tab Alerts & Detections di halaman ini dan memulai penelusuran baru terhadap entitas yang dipilih, menggunakan rentang waktu batang yang diklik.
  • Klik link View more untuk membuka tampilan Entity fields dan menampilkan semua kolom entity yang terkait dengan file. Untuk menyalin kolom entity ke papan klip, klik kotak centang di samping kolom entity, klik View actions, lalu klik Copy entity. Klik kotak centang di bagian atas untuk memilih semua entitas.
• IOC yang Relevan: Menampilkan IOC yang terkait dengan file. IOC yang diberi tingkat keparahan lebih tinggi akan ditampilkan terlebih dahulu. Mengklik nama IOC akan membuka penampil entity di sebelah kanan.
• Prevalensi Aset: Menampilkan jumlah aset di perusahaan Anda yang terkait dengan file selama seluruh jangka waktu data yang disimpan di akun Google SecOps Anda.
• Entitas Terkait: Menampilkan entitas lain yang terkait dengan file ini, seperti aset tempat file ini dieksekusi atau pengguna yang mengakses file tersebut. Daftar ini mencakup jenis entitas, kapan entitas tersebut pertama kali terlihat di perusahaan Anda, dan kapan entitas tersebut terakhir (paling baru) terlihat. Klik entity untuk membuka panel Entity context.
• Properti & metadata VirusTotal: Menampilkan informasi tentang file dari database VirusTotal. Klik Lihat lainnya untuk membuka dialog VirusTotal dan menampilkan informasi tambahan tentang file.
• Entitas Terkait: Menampilkan informasi yang berbeda bergantung pada jenis entitas yang Anda pilih di panel Entitas Terkait (misalnya, pengguna atau aset).
• Entity context: Menampilkan detail tentang entity yang Anda pilih di panel Associated Entities. Panel ini menampilkan informasi yang berbeda-beda, bergantung pada jenis entitas yang Anda pilih di panel Associated Entities (misalnya, pengguna atau aset).

Melihat detail IP di tab Ringkasan

Jika kueri menyertakan kondisi yang menampilkan alamat IP eksternal tertentu, misalnya, target.ip="203.0.113.254", tab Overview akan menampilkan detail IP dengan informasi di panel berikut:

• Ringkasan penelusuran: Menampilkan informasi berikut:
  • Detail tentang alamat IP, termasuk pertama kali alamat IP tersebut terlihat di perusahaan Anda dan terakhir kali (terbaru) alamat IP tersebut terlihat. Klik VT Context untuk melihat informasi yang tersedia tentang alamat IP ini dari VirusTotal.
  • Detail tentang pemberitahuan, termasuk grafik yang menunjukkan jumlah pemberitahuan yang melibatkan entity dalam rentang waktu penelusuran. Panel ini juga mencantumkan subset aturan dengan jumlah pemberitahuan tertinggi.
  • Klik Open Alerts & IOCs untuk melihat semua pemberitahuan yang dihasilkan selama rentang waktu penelusuran yang sama.
  • Klik View In Alerts Tab untuk beralih ke tab Alerts & Detections di halaman ini dan memulai penelusuran baru terhadap entity yang dipilih.
  • Klik salah satu batang pada diagram untuk beralih ke tab Alerts & Detections di halaman ini dan memulai penelusuran baru terhadap entitas yang dipilih, menggunakan rentang waktu batang yang diklik.
  • Klik link View more untuk membuka tampilan Entity fields dan menampilkan semua kolom entity yang terkait dengan alamat IP. Untuk menyalin kolom entity ke papan klip, klik kotak centang di samping kolom entity, klik View actions, lalu klik Copy entity. Klik kotak centang di bagian atas untuk memilih semua entitas.
• IOC yang Relevan: Menampilkan IOC yang terkait dengan alamat IP. IOC yang diberi tingkat keparahan lebih tinggi akan ditampilkan terlebih dahulu. Mengklik nama IOC akan membuka penampil entity di sebelah kanan.
• Prevalensi Aset: Menampilkan jumlah aset di perusahaan Anda yang telah terhubung ke alamat IP selama jangka waktu yang ditentukan dalam penelusuran UDM.
• Associated Entities: Menampilkan entitas lain yang terkait dengan alamat IP ini, seperti domain tempat alamat IP didaftarkan. Daftar ini mencakup jenis entitas, kapan entitas tersebut pertama kali terlihat di perusahaan Anda, dan kapan entitas tersebut terakhir (paling baru) terlihat. Klik entity untuk membuka panel Entity context.
• Entity context: Menampilkan detail tentang entity yang Anda pilih di panel Associated Entities. Panel ini menampilkan informasi yang berbeda, bergantung pada jenis entitas yang Anda pilih di panel Associated Entities (misalnya, domain atau aset). Jika link ditampilkan, klik VT Context untuk melihat informasi tentang entity dari VirusTotal.

Melihat Detail pengguna di tab Ringkasan

Jika kueri menyertakan kondisi yang menampilkan pengguna tertentu, misalnya principal.user.userid="alice", tab Overview akan menampilkan detail User dengan informasi di panel berikut:

• Ringkasan penelusuran: Menampilkan informasi berikut:
  • Detail tentang entitas, termasuk nama lengkap, pertama kali terlihat di perusahaan Anda dan terakhir kali (terbaru) terlihat, jabatan, dan alamat email.
  • Detail tentang pemberitahuan, termasuk grafik yang menunjukkan jumlah pemberitahuan yang melibatkan entity dalam rentang waktu penelusuran. Panel ini juga mencantumkan subset aturan dengan jumlah pemberitahuan tertinggi.
  • Klik Open Alerts & IOCs untuk melihat semua pemberitahuan yang dihasilkan selama rentang waktu penelusuran yang sama.
  • Klik View In Alerts Tab untuk beralih ke tab Alerts & Detections di halaman ini dan memulai penelusuran baru terhadap entity yang dipilih.
  • Klik salah satu batang pada diagram untuk beralih ke tab Alerts & Detections di halaman ini dan memulai penelusuran baru terhadap entitas yang dipilih, menggunakan rentang waktu batang yang diklik.
  • Klik link View more untuk membuka tampilan Entity fields dan menampilkan semua kolom entity yang terkait dengan pengguna. Untuk menyalin kolom entity ke papan klip, klik kotak centang di samping kolom entity, klik View actions, lalu klik Copy entity. Klik kotak centang di bagian atas untuk memilih semua entitas.
• Entitas terkait: Menampilkan entitas yang terkait dengan pengguna ini, seperti domain yang dihubungi pengguna atau aset yang diakses pengguna. Daftar ini mencakup jenis entitas, kapan entitas tersebut pertama kali terlihat di perusahaan Anda, dan kapan entitas tersebut terakhir (paling baru) terlihat. Klik entity untuk membuka panel Entity context.
• Entity context: Menampilkan detail tentang entity yang Anda pilih di panel Associated Entities. Informasi di panel ini berbeda-beda, bergantung pada jenis entitas (misalnya, aset atau domain).

Melihat dan mengelola informasi di tab Visualisasikan

Gunakan tab Visualisasikan untuk mengubah data dari hasil penelusuran STATS menjadi diagram, grafik, atau tabel.

Menggunakan alat umum untuk tabel

Di halaman SIEM Search, sebagian besar panel yang berisi satu tabel mendukung fungsi dan alat umum yang sama.

Bagian ini menjelaskan fungsi dan alat umum berikut:

• Kotak penelusuran. Gunakan kotak penelusuran untuk menemukan hasil yang cocok di tabel yang berdekatan.
• Mengelola kolom tabel dan membagikan set kolom (Pengelola Kolom).
• Tombol Gabungkan Teks - Batalkan Penggabungan Teks. Membungkus teks berguna untuk melihat seluruh string panjang dalam kolom.
• Mendownload hasil penelusuran dari tabel.
• Alat Baris per halaman di bagian bawah tabel. Anda dapat menggunakan alat ini untuk meningkatkan stabilitas dan performa browser saat memuat sejumlah besar data hasil (baris). Google SecOps menyediakan hasil penelusuran yang diberi nomor halaman. Gunakan daftar Baris per halaman, di tabel Peristiwa, untuk memilih jumlah baris yang akan ditampilkan per halaman (10 hingga 1.000 peristiwa).

Mengelola kolom tabel dan membagikan set kolom (Pengelola Kolom)

Untuk menggunakan tampilan yang konsisten saat menganalisis data peristiwa, Anda dapat membuat, menyimpan, dan membagikan kumpulan kolom kustom untuk tabel berikut di halaman Penelusuran SIEM:

• Di panel Results, untuk tabel berikut: Events, Raw Logs, Joins
• Di tab Alerts & Detections, untuk tabel Detections.

Untuk menggunakan fungsi ini, akun pengguna atau peran Identity and Access Management Anda harus memiliki kelima izin berikut:

• chronicle.googleapis.com/savedColumnSets.create
• chronicle.googleapis.com/savedColumnSets.update
• chronicle.googleapis.com/savedColumnSets.delete
• chronicle.googleapis.com/savedColumnSets.list
• chronicle.googleapis.com/savedColumnSets.get

Catatan: Tab Stats hanya mendukung Pemilih Kolom yang hanya dapat Anda gunakan untuk menambahkan atau menghapus kolom. Tab Stats tidak mendukung fungsi Column Manager.

Membuat set kolom

Langkah-langkah untuk membuat kumpulan kolom sedikit berbeda, bergantung pada tabel yang Anda gunakan.

Untuk membuat set kolom untuk tabel Events, Raw Logs, atau Joins, lakukan hal berikut:

1. Klik Kolom untuk membuka Pengelola Kolom.
2. Klik ikon filter_alt Filter untuk menentukan apakah akan menampilkan kolom yang tidak berlaku.
3. Klik tombol Tampilkan yang dipilih untuk hanya menampilkan kolom yang dipilih di tab Kolom Peristiwa.
4. Di tab Events Columns, tambahkan atau hapus kolom untuk kumpulan kolom Anda. Anda dapat menjelajahi atau menelusuri kolom penelusuran di seluruh bagian yang dapat diciutkan (yang bervariasi bergantung pada jenis hasil penelusuran)—misalnya, Kolom cepat (kolom paling umum per jenis data), Kolom yang Dikelompokkan, Semua Kolom Peristiwa, dan Semua Kolom Entitas. Centang kotak untuk menampilkan atau menyembunyikan kolom.
5. Atur kolom, lalu klik Simpan. Dialog Save Column Set akan terbuka.
6. Pilih salah satu opsi berikut:
   • Simpan: Masukkan nama baru untuk kumpulan kolom Anda.
   • Ganti: Jika telah mengubah kumpulan yang disimpan sebelumnya, Anda dapat menimpa kumpulan yang ada dengan perubahan Anda.
7. Klik Simpan. Set kolom tercantum di tab Columns Sets.

Untuk membuat kumpulan kolom untuk tabel Detections, lakukan hal berikut:

1. Klik Kolom untuk membuka Pengelola Kolom.
2. Klik ikon filter_alt Filter untuk menentukan apakah akan menampilkan kolom yang tidak berlaku.

3. Dari daftar Table Type, pilih jenis tabel yang ingin Anda buatkan kumpulan kolomnya:

   • Deteksi
   • Peristiwa
   • Entitas (Lihat kolom dengan meluaskan baris tabel.)

   Perubahan yang dibuat pada jenis tabel tertentu hanya akan berlaku untuk tabel dan subtabel dari jenis tersebut.

4. Klik tombol Tampilkan yang dipilih untuk hanya menampilkan kolom yang dipilih di tab yang sesuai (Kolom Deteksi, Kolom Peristiwa, atau Kolom Entitas).

5. Di tab yang sesuai, tambahkan atau hapus kolom untuk kumpulan kolom Anda. Anda dapat menjelajahi atau menelusuri kolom di seluruh bagian yang dapat diciutkan (yang bervariasi bergantung pada jenis hasil penelusuran). Centang kotak untuk menampilkan atau menyembunyikan kolom.

6. Atur kolom, lalu klik Simpan. Dialog Save Column Set akan terbuka.

7. Pilih salah satu opsi berikut:

   • Simpan: Masukkan nama baru untuk kumpulan kolom Anda.
   • Ganti: Jika telah mengubah kumpulan yang disimpan sebelumnya, Anda dapat menimpa kumpulan yang ada dengan perubahan Anda.

8. Klik Simpan. Set kolom tercantum di tab Columns Sets.

Membagikan set kolom

Untuk membagikan kumpulan kolom kepada semua pengguna lain di tenant Google SecOps Anda:

1. Klik Kolom untuk membuka Pengelola Kolom.
2. Di tab Events Columns, tambahkan atau hapus kolom untuk kumpulan kolom Anda. Anda dapat menjelajahi atau menelusuri kolom di seluruh bagian yang dapat diciutkan (yang bervariasi bergantung pada jenis hasil penelusuran)—misalnya, Kolom cepat (kolom paling umum per jenis data), Kolom yang dikelompokkan, Semua kolom peristiwa, dan Semua kolom entitas. Centang kotak untuk menampilkan atau menyembunyikan kolom.
3. Atur kolom, lalu klik Bagikan. Dialog Share Column Set akan terbuka.
4. Pilih salah satu opsi berikut:
   • Bagikan Baru: Masukkan nama baru untuk set kolom yang akan dibagikan.
   • Bagikan yang Ada: Pilih set yang disimpan sebelumnya dari daftar.
5. Klik Bagikan. Set kolom tercantum di tab Columns Sets dengan badge SHARED.

Memuat set kolom tersimpan

Untuk memuat kumpulan kolom yang disimpan, lakukan tindakan berikut:

1. Klik Kolom untuk membuka Pengelola Kolom.
2. Pilih tab Columns Sets.
3. Pilih set kolom yang akan dimuat, lalu klik Apply.

Menghapus kumpulan kolom tersimpan

Untuk menghapus kumpulan kolom tersimpan, lakukan tindakan berikut:

1. Klik Kolom untuk membuka Pengelola Kolom.
2. Pilih tab Columns Sets.
3. Pilih kumpulan kolom, klik Lainnya > Hapus.

Mendownload hasil penelusuran dari tabel

Anda dapat mendownload dan menyimpan file CSV yang berisi konten tabel yang ditampilkan di halaman SIEM Search. Untuk tabel Events atau tabel pivot, ada juga opsi untuk menggabungkan log mentah asli, yang memberi Anda korelasi yang tepat antara data UDM yang diuraikan dan telemetri sumbernya. Fitur ini dirancang untuk tim yang memerlukan pemrosesan analisis eksternal, jejak audit untuk kepatuhan yang mengharuskan Anda mempertahankan hubungan antara data yang dinormalisasi dan penyerapan asli, atau korelasi eksternal.

Untuk mendownload hasil penelusuran (hingga jumlah maksimum hasil penelusuran yang ditentukan) dari tabel Peristiwa:

1. Opsional: Gunakan Column Manager untuk menentukan kolom UDM yang akan disertakan dalam CSV. Kolom Raw Log ditambahkan berdasarkan pilihan Anda.

2. Klik Download di bagian atas tabel, lalu pilih salah satu opsi berikut:

   • Download sebagai CSV: Mendownload peristiwa yang cocok (dan sesuai dengan jumlah persis peristiwa yang ditentukan yang ditampilkan).
   • Download as CSV (with raw logs): Mendownload peristiwa yang cocok dan menambahkan string log asli yang belum diurai sebagai kolom khusus di samping setiap data UDM yang dinormalisasi (dan sesuai dengan jumlah persis peristiwa yang ditentukan yang ditampilkan).

3. Simpan file.

Untuk mendownload hasil penelusuran (hingga jumlah maksimum hasil penelusuran yang ditentukan) dari tabel di tab Hasil, selain panel Peristiwa atau panel Pivot:

1. Klik Download di bagian atas tabel, lalu pilih Download sebagai CSV. Tindakan ini akan mendownload hasil yang cocok (dan sesuai dengan jumlah persis peristiwa yang ditentukan yang ditampilkan).
2. Simpan file.

Untuk mendownload hasil penelusuran (hingga jumlah maksimum hasil penelusuran yang ditentukan) dari tabel Detections:

1. Klik Download di bagian atas tabel, lalu pilih Download sebagai CSV. Tindakan ini akan mendownload hasil yang cocok (dan sesuai dengan jumlah persis peristiwa yang ditentukan yang ditampilkan).
2. Simpan file.

Kolom yang didukung saat menyimpan CSV

Anda dapat mendownload kolom berikut ke file CSV dari platform:

• user
• hostname
• process name
• timestamp
• raw log: Hanya valid jika log mentah diaktifkan untuk pelanggan
• Semua kolom yang diawali dengan udm.additional

Jenis kolom yang valid saat menyimpan CSV

Anda dapat mendownload jenis kolom berikut ke file CSV:

• double
• float
• int32
• uint32
• int64
• uint64
• bool
• string
• enum
• bytes
• google.protobuf.Timestamp
• google.protobuf.Duration

Kolom yang tidak didukung saat menyimpan CSV

Kolom yang memenuhi salah satu kriteria berikut tidak dapat didownload ke CSV:

• Jenis kolom: Jenis data yang ditentukan sebagai Pesan atau Grup di proto UDM.
• Kedalaman kolom: Kolom bertingkat lebih dari 10 tingkat.

• Kolom UI tertentu: Kolom berikut yang ditampilkan di UI tidak didukung untuk didownload langsung:

  • Kolom Peristiwa:

    • Status Peristiwa
    • Ringkasan Peristiwa

    • Jenis Peristiwa

      Catatan: Untuk mendownload Jenis Peristiwa, pilih kolom metadata.event_type di Pengelola Kolom.

  • Grafik Konteks Entity:

    • Pertama Terlihat
    • Terakhir Terlihat
    • Stempel waktu

  • Penelusuran Gabungan:

    • Kode Instance

Batas dan kuota

Google SecOps menerapkan batasan pada kueri penelusuran untuk memastikan stabilitas platform dan performa yang konsisten di seluruh antarmuka web dan terprogram. Batasan ini berlaku untuk Backstory API dan Chronicle API.

Kuota penelusuran dan API

Batasan berikut berlaku untuk jumlah kueri penelusuran dan operasi simultan per tenant:

• Kueri per jam (QPH): Batas antarmuka konsol web sebesar 1.000 QPH; batas akses API terprogram sebesar 2.000 QPH.

• Kueri sederhana (mencakup < 24 jam, satu sumber, tanpa statistik): Batas serentak maksimum 180 kueri simultan per tenant.

  Jika pool konkurensi kueri sederhana habis, operasi Anda akan otomatis dialihkan ke kuota kueri kompleks yang tersedia.

• Kueri kompleks (mencakup > 24 jam, multi-sumber, atau menyertakan statistik): Batas konkurensi maksimum 180 kueri simultan per tenant.

• Batas prompt kolom UDM: Satu kueri dibatasi untuk mereferensikan maksimum 100 kolom UDM di dalam prompt.

Error kuota

Saat batas tercapai, antarmuka web akan menampilkan notifikasi error kuota persisten. Untuk akses terprogram, panggilan API (seperti instances.udmSearch) menampilkan error status HTTP 429 RESOURCE_EXHAUSTED yang berisi pesan google.rpc.QuotaFailure yang menjelaskan batas spesifik yang Anda lampaui.

Batas kumpulan hasil dan tampilan

Gunakan Setelan Penelusuran  > Hasil Maksimum yang Ditampilkan untuk menyesuaikan batas backend (1 hingga 1.000.000, default 30.000).

Untuk memastikan stabilitas platform yang konsisten dan waktu respons yang cepat di seluruh antarmuka web dan API, Google SecOps menerapkan batasan berikut:

Jenis penelusuran atau sumber data	Jumlah maksimum hasil yang ditampilkan	Perilaku tampilan konsol web
Penelusuran peristiwa UDM	1.000.000 data	Ditampilkan langsung di panel Events di dalam tab Results. Menampilkan data terbaru di seluruh baris yang diberi nomor halaman (10 hingga 1.000 per halaman).
Tabel Data dan Penggabungan	1.000.000 data	Baris yang berkorelasi akan muncul di panel Peristiwa di dalam tab Hasil berdasarkan konfigurasi Pengelola Kolom.
Kasus dan Histori Kasus	1.000.000 data	Ditampilkan langsung di panel Cases dan Case History di dalam tab Results. Ditampilkan dalam konteks Ringkasan atau menggunakan kueri Telusuri Kasus.
Statistik	100.000 data (khusus UI dan API operasi yang berjalan lama)	Ditampilkan langsung di panel Stats di dalam tab Results. Diagram merender nilai teratas agar mudah dibaca; menampilkan pemberitahuan peringatan saat melebihi batas visual.
Agregasi pivot (Results > Pivot)	100.000 data	Diagram merender nilai teratas agar mudah dibaca; menampilkan pemberitahuan peringatan saat melebihi batas visual.
Deteksi aturan	100.000 data	Ditampilkan langsung di tab gabungan Pemberitahuan & Deteksi.
Entity Context Graph (ECG)	1.000.000 data	Ditampilkan di panel Timed Data dan Timeless Data di dalam tab Results. Tabel di panel Data Berwaktu menampilkan entitas yang memiliki rentang waktu yang ditentukan. Tabel di tab Timeless Data menampilkan entitas yang tidak memiliki rentang waktu yang ditentukan. Antarmuka mungkin hanya menampilkan entitas tanpa waktu, atau hanya entitas dengan waktu, atau kombinasi yang berbeda dari keduanya setiap kali kueri dijalankan. Untuk mengetahui informasi selengkapnya, lihat Menggunakan panel Data Berwaktu dan Data Tanpa Batas Waktu.

Memahami mode eksekusi penelusuran

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Google Security Operations. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat Panduan Layanan Dukungan Teknis Google SecOps dan Persyaratan Khusus Layanan Google SecOps.
Jika fitur ini tidak terlihat di lingkungan Anda, lihat Mengelola fitur pratinjau atau hubungi administrator sistem Anda.

Bagian ini menjelaskan dua mode eksekusi penelusuran secara mendetail.

Perbedaan antara Mode Dasar dan Mode Lanjutan

Tabel berikut menunjukkan perbedaan antara Mode Dasar dan Mode Lanjutan di halaman Penelusuran SIEM:

Kemampuan atau dimensi	Mode Dasar	Mode Lanjutan
Tab hasil yang terlihat	Hanya Hasil	Results, Alerts & Detections, Overview, dan Visualize
Diagram linimasa	Tersembunyi (melewati agregasi bucket)	Ditampilkan (diagram Activity Over Time dan Trend Over Time, tab Prevalence, dan tabel Activity heatmap—yaitu, dengan jumlah peristiwa, jumlah pemberitahuan, penggabungan, dan diagram ECG)
Penskoran prevalensi	Diabaikan	Aktif (menghitung prevalensi perusahaan)
Deteksi yang berkorelasi	Diabaikan	Diaktifkan (menghubungkan deteksi YARA-L 2.0 yang dipicu)
Entity Context Graph (ECG)	Diabaikan	Aktif
Profil latensi relatif	Waktu tunggu minimal untuk masukan interaktif	Waktu tunggu standar untuk menghitung pengayaan lengkap

Memahami perbedaan backend antara Mode Dasar dan Mode Lanjutan

Mode Dasar mempercepat investigasi ancaman interaktif, validasi hipotesis, dan analisis log ad hoc dengan mendedikasikan resource komputasi secara eksklusif untuk pengambilan peristiwa mentah dan agregasi kolom. Mode Dasar menggunakan pipeline eksekusi jalur cepat yang disederhanakan yang mengabaikan langkah-langkah pengayaan sekunder selama eksekusi penelusuran. Pendekatan ini mengurangi waktu tunggu penelusuran end-to-end sekaligus mempertahankan fidelitas data penuh dan paritas sintaksis kueri.

Dalam Mode Lanjutan, Google SecOps menghitung analisis tambahan bersama dengan pengambilan peristiwa inti, termasuk agregasi bucket linimasa, penskoran prevalensi indikator lintas perusahaan, deteksi YARA-L 2.0 dan korelasi pemberitahuan, serta resolusi Entity Context Graph (ECG). Meskipun pengayaan ini berguna untuk kesadaran situasional yang luas, pipeline pengayaan sekunder ini menambah latensi pemrosesan dan rendering saat Anda menelusuri telemetri bervolume tinggi.

Pengoptimalan backend dan UI dalam Mode Dasar

Saat Anda menjalankan kueri dalam Mode Dasar, Google SecOps mengoptimalkan eksekusi penelusuran backend dan rendering frontend sebagai berikut:

• Eksekusi backend jalur cepat:
  • Mengabaikan penghitungan prevalensi: Penelusuran dalam Mode Lanjutan mengevaluasi prevalensi historis untuk indikator (seperti domain, alamat IP, dan hash file) di seluruh perusahaan Anda. Mode Dasar melewati penghitungan tambahan ini, sehingga mengurangi waktu pemrosesan hingga 20 detik pada aliran peristiwa bervolume tinggi.
  • Menonaktifkan pengayaan deteksi: Backend menetapkan batas korelasi deteksi ke nol, sehingga menghilangkan pencarian sekunder terhadap mesin aturan selama pengambilan peristiwa.
  • Memangkas agregasi linimasa: Google SecOps melewati penghitungan histogram yang dikelompokkan secara terperinci, mengabaikan tugas agregasi linimasa, dan menstreaming peristiwa yang cocok langsung ke klien.
• Antarmuka yang disederhanakan:
  • Presentasi tab terfokus: Antarmuka hasil hanya menampilkan tab Results dan menyembunyikan tab Alerts & Detections, Overview, dan Visualize untuk menghilangkan latensi peralihan tab.
  • Widget diagram tersembunyi: Diagram linimasa dan panel visual yang dapat diciutkan (diagram Activity Over Time dan Trend Over Time, tab Prevalence, dan tabel Activity heatmap) otomatis disembunyikan untuk memaksimalkan ruang layar vertikal untuk panel Events dan Penampil acara.
  • Paritas agregasi kolom: Panel Agregasi tetap aktif dan interaktif, sehingga Anda dapat memeriksa jumlah distribusi nilai, menerapkan filter Tampilkan hanya atau Filter, dan mempersempit subset hasil tanpa keluar dari Mode Dasar.

Detail UI dan alur kerja untuk mode eksekusi penelusuran

Daftar berikut menjelaskan cara mode eksekusi penelusuran ditampilkan di UI dan alur kerja:

• Preferensi browser persisten: Google SecOps menyimpan mode eksekusi penelusuran yang dipilih di penyimpanan lokal browser Anda (searchMode) di seluruh pemuatan ulang, tab, dan sesi browser. Misalnya, jika Anda memilih Mode Dasar, penelusuran berikutnya akan terus berjalan dalam Mode Dasar hingga Anda beralih mode.
• Status URL yang dapat dibagikan: Mode eksekusi penelusuran yang aktif ditampilkan dalam parameter kueri URL halaman (&searchMode=SEARCH_MODE, dengan SEARCH_MODE adalah FAST untuk Mode Dasar atau ADVANCED untuk Mode Lanjutan). Saat Anda membagikan URL investigasi kepada anggota tim, mode eksekusi penelusuran yang ditentukan dalam URL yang dibagikan akan lebih diprioritaskan daripada mode eksekusi penelusuran yang dipilih di browser pengguna target.
• Pelacakan histori penelusuran: Setiap kueri yang dijalankan dalam dialog History akan mencatat mode eksekusi penelusurannya. Memilih dan menjalankan ulang kueri dari History akan otomatis memulihkan mode eksekusi penelusuran yang digunakan saat kueri dijalankan.

Mengoptimalkan dan menyaring hasil penelusuran Anda

Bagian ini menguraikan batasan dan ekspektasi performa, serta memberikan perbaikan mandiri untuk masalah umum pada halaman Penelusuran SIEM di Google Security Operations.

Tips: Untuk mempercepat pengambilan peristiwa interaktif dan iterasi kueri saat Anda tidak memerlukan diagram linimasa, penskoran prevalensi, atau korelasi deteksi, pilih Basic Mode di editor kueri. Untuk mengetahui informasi selengkapnya, lihat Memahami mode eksekusi penelusuran.

Pengoptimalan performa dan praktik terbaik

Untuk mengoptimalkan kecepatan kueri dan meminimalkan risiko waktu tunggu habis:

• Persempit periode waktu Anda terlebih dahulu: Waktu adalah filter yang paling efektif. Membuat kueri jendela 2 jam yang tepat dari suatu insiden berjalan jauh lebih cepat daripada menelusuri jendela 30 hari.
• Buat kueri kolom UDM yang tepat, bukan alias yang dikelompokkan: Meskipun kolom yang dikelompokkan (ip = "1.2.3.4") praktis, kolom tersebut memaksa mesin untuk memeriksa 15+ kolom yang mendasarinya (principal.ip, target.ip, observer.ip). Jika Anda tahu bahwa alamat IP adalah milik server tujuan, buat kueri target.ip = "1.2.3.4" secara langsung.
• Hindari karakter pengganti di awal dalam ekspresi reguler: Kueri yang dimulai dengan karakter pengganti (principal.hostname = /.*server-.*/) mencegah pencarian indeks dan memaksa pemindaian tabel penuh. Tambahkan karakter anchor ke ekspresi reguler Anda jika memungkinkan (principal.hostname = /^prod-server-.*/).
• Manfaatkan metadata yang diindeks: Filter menurut metadata.event_type (NETWORK_CONNECTION, PROCESS_LAUNCH, USER_LOGIN) atau metadata.log_type di awal rantai AND Anda untuk langsung memangkas sumber log yang tidak relevan.
• Gunakan limit: N untuk pengambilan sampel data yang cepat dan pratinjau cepat: Anda dapat menambahkan kata kunci limit: N langsung ke kueri (misalnya, metadata.event_type = "USER_LOGIN" limit: 50) untuk pengambilan sampel data yang cepat dan pratinjau cepat.
• Gunakan select dan unselect untuk mengurangi ukuran payload: Proyeksikan hanya kolom leaf yang Anda butuhkan atau kecualikan kolom besar yang tidak diperlukan untuk meningkatkan latensi kueri. Untuk mengetahui detailnya, lihat Mengontrol output kueri dengan select dan unselect.

Praktik terbaik untuk penelusuran luas

Jika penelusuran Anda terlalu luas, Google SecOps akan menampilkan pesan peringatan yang menunjukkan bahwa tidak semua hasil penelusuran dapat ditampilkan. Dalam kasus tersebut, sistem hanya mengambil hasil terbaru, hingga batas penelusuran satu juta peristiwa dan 1.000 notifikasi. Namun, mungkin ada lebih banyak peristiwa dan pemberitahuan yang cocok yang tidak ditampilkan.

Untuk mendapatkan semua hasil yang relevan, persempit penelusuran Anda dengan menerapkan filter tambahan, misalnya:

• Persempit rentang waktu untuk mengurangi ukuran set data.
• Gunakan kueri atau filter penelusuran tertentu, bukan istilah yang luas.
• Buat kueri kolom UDM yang tepat, bukan kolom yang dikelompokkan, saat Anda memerlukan hasil untuk satu kolom.

Men-debug dan menyaring kueri

Bagian ini menjelaskan cara men-debug dan menyaring kueri.

Melihat error runtime

Jika kueri Anda menampilkan error, pesan error runtime tertentu akan muncul secara persisten di panel Results. Tampilan persisten ini memastikan konteks error tetap terlihat, sehingga membantu Anda memecahkan masalah dan menyelesaikan error.

Membatasi hasil penelusuran

Anda dapat membatasi hasil penelusuran dengan menambahkan kata kunci limit dengan jumlah maksimum hasil penelusuran yang ingin ditampilkan. Hal ini berguna untuk membuat pratinjau data yang cepat, pengoptimalan performa, atau saat Anda hanya memerlukan subset hasil. Misalnya, jika Anda menambahkan limit: 25 ke penelusuran, hasil penelusuran akan dibatasi hingga maksimum 25.

Catatan: Anda juga dapat menambahkan kata kunci limit ke dasbor kustom.

Menyelidiki set data besar

Google SecOps mendukung pengembalian dan navigasi hingga 1 juta hasil. Dengan begitu, Anda dapat menyelidiki set data besar langsung di antarmuka web tanpa mengekspor hasilnya. Untuk penelusuran besar, kolom yang terlihat dibatasi secara default.

Catatan: Setelah hasil dimuat, Anda dapat menerapkan filter untuk menyaring data tanpa menjalankan ulang penelusuran. Hal ini membantu Anda mempersempit set hasil dengan cepat.

Batas hasil untuk sumber data

Tabel berikut mencantumkan jumlah maksimum hasil yang ditampilkan untuk setiap sumber data:

Jenis penelusuran atau Sumber data	Jumlah maksimum peristiwa atau baris dalam hasil penelusuran
UDM	1.000.000
ECG	1.000.000
Tabel data	1.000.000
Penggabungan UDM ke UDM	1.000.000
Penggabungan UDM ke ECG	1.000.000
Penggabungan UDM ke Tabel data	1.000.000
Kasus dan histori kasus	1.000.000
Statistik	100.000
Deteksi	100.000

Catatan: Batasnya sama, baik Anda menggunakan platform maupun API. Lihat Asynchronous Search API untuk mengetahui informasi tentang batas API.

Tambahkan filter untuk mempertajam kueri Anda

Untuk menambahkan filter guna menyaring kueri, lakukan tindakan berikut:

1. Di halaman SIEM Search, klik filter_listAdd filter. Dialog akan terbuka dan memungkinkan Anda memilih kolom, serta menampilkan (=) atau memfilter (!=) nilai kolom.

2. Konfigurasikan parameter dialog.

   

   Gambar 8. Contoh dialog filter.

3. Klik Terapkan. Filter akan ditampilkan di samping tombol filter_list Tambahkan filter dan hasil penelusuran akan difilter sesuai dengan filter tersebut.

4. Opsional: Lakukan salah satu tindakan berikut:

   • Jika Anda ingin otomatis memasukkan filter ke dalam editor kueri dan menjalankan penelusuran, klik Apply to search and run.
   • Jika Anda ingin menghapus filter, klik Hapus.

Catatan: Tombol Clear hanya tersedia sebelum Anda mengklik Apply to search and run.

Pemecahan masalah

Jika Anda menerima pesan error umum, seperti Error: Search has encountered an error and could not load data, lakukan langkah-langkah berikut untuk menyelesaikan masalah:

• Hubungkan ke Google SecOps dari jaringan lain. Misalnya, gunakan VM cloud untuk membantu mengidentifikasi masalah jaringan.
• Pastikan panggilan Chronicle API diizinkan oleh konfigurasi atau kebijakan firewall atau proxy organisasi Anda.
• Pastikan tidak ada batas data yang dikonfigurasi untuk panggilan Search API, karena penelusuran dapat menampilkan set data yang besar.
• Periksa apakah ada waktu tunggu yang dikonfigurasi. Kueri penelusuran dapat berjalan secara asinkron dan dapat memerlukan lebih banyak waktu untuk menampilkan data. Jika waktu tunggu ditetapkan, pastikan durasinya cukup, misalnya 60 menit, sebelum waktu tunggu kueri habis.

Jika error tetap berlanjut, hubungi Dukungan Pelanggan.

Langkah berikutnya

Untuk mengetahui informasi selengkapnya tentang kueri penelusuran, lihat referensi berikut:

• Memahami sintaksis penelusuran berisi detail dan contoh sintaksis YL2 yang diperlukan untuk membuat dan mengkueri nilai data, escape, dan operator di editor kueri.
• Praktik terbaik penelusuran.
• Menelusuri kasus dan histori kasus di penelusuran terpadu.
• Membuat kueri Penelusuran UDM dengan Gemini.
• Menggunakan data yang diperkaya konteks dalam penelusuran.

Untuk mengetahui informasi selengkapnya tentang hasil penelusuran, lihat referensi berikut:

• Menyelidiki entitas menggunakan penelusuran UDM.
• Menyelidiki deteksi di Penelusuran menjelaskan cara menggunakan tab Alerts & Detections di halaman SIEM Search.
• Memahami ketersediaan data untuk penelusuran menjelaskan siklus proses penyerapan data, termasuk aliran data dan latensi menyeluruh, serta pengaruh faktor-faktor ini terhadap ketersediaan data yang baru diserap untuk pembuatan kueri dan analisis.
• Penelusuran UDM dibandingkan dengan hasil aturan menjelaskan cara membandingkan hasil kueri penelusuran UDM dengan aturan deteksi langsung.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.