Informazioni sulla ricerca

Supportato in:

Google SecOps SIEM

Questa guida è rivolta agli analisti della sicurezza che vogliono eseguire query, correlare e analizzare i dati di sicurezza della propria azienda in Google Security Operations utilizzando la pagina Ricerca SIEM. La pagina Ricerca SIEM funge da hub di navigazione centrale in tutti gli stream di dati supportati e integra ulteriori fonti di telemetria e postura. Questa guida contiene istruzioni e spiegazioni di tutte le funzioni e funzionalità di base della pagina Ricerca SIEM.

Terminologia chiave

• Unified Data Model (UDM): un formato di dati standardizzato utilizzato in Google SecOps per rappresentare in modo coerente gli eventi di sicurezza provenienti da varie origini.
• Evento: un evento viene generato da un'origine log non elaborata importata in Google SecOps ed elaborata dal processo di importazione e normalizzazione di Google SecOps. Da un singolo record di origine log grezzo possono essere generati più eventi. Un evento rappresenta un insieme di punti dati relativi alla sicurezza generati da quel log non elaborato. Nel contesto della pagina Ricerca SIEM, gli eventi sono la telemetria degli eventi UDM normalizzata e i record dei log non elaborati che corrispondono alla query di ricerca.
• Avviso: nel contesto della pagina Ricerca SIEM, un avviso è definito come un rilevamento di regole con avvisi abilitati. Per saperne di più, consulta Esecuzione di una regola sui dati in tempo reale.
• Log non elaborati: telemetria dei log non elaborati e non analizzati. L'obiettivo diagnostico principale è monitorare l'integrità dell'importazione e dell'analisi.
• Join: i join correlano e combinano i dati non elaborati provenienti da più origini in base a valori di campo comuni. Collegando eventi, entità e altri dati correlati, puoi indagare su scenari di attacco complessi. Puoi cercare join statistici, che richiedono una sezione di corrispondenza per aggregare i risultati, o unioni dei dati, che recuperano i dati completi di eventi o entità e li visualizzano senza alcuna aggregazione. Per saperne di più, vedi Applicare i join nella ricerca e nelle dashboard e Implementare i join senza una sezione di corrispondenza.
• Statistiche: eventi UDM con i risultati raggruppati per l'analisi statistica. Per saperne di più, consulta Analizza i dati di ricerca con le statistiche.
• Richieste e cronologie delle richieste: richieste di sicurezza e log di controllo della cronologia delle richieste, che puoi correlare con altri dati sulla sicurezza. Per saperne di più, consulta Panoramica delle richieste di ricerca.
• Entity Context Graph (ECG): un database di grafici all'interno di Google SecOps che archivia i record delle entità stateful (come asset, utenti e indicatori di minacce) per la correlazione con i log degli eventi di sicurezza. Per saperne di più, consulta Panoramica del grafico del contesto delle entità.
• Barra delle query in linguaggio naturale: la barra nella parte superiore della pagina Ricerca SIEM, dove puoi inserire un'istruzione di ricerca utilizzando il linguaggio naturale.
• Editor di query: la casella nella pagina Ricerca SIEM sotto la barra delle query in linguaggio naturale, in cui crei manualmente le query e in cui viene visualizzato il codice delle query.

Prima di iniziare

Per eseguire query e visualizzare i dettagli del rilevamento, devi disporre delle autorizzazioni e dei ruoli standard di Google SecOps Search assegnati al tuo account utente.

Per le seguenti funzionalità di ricerca avanzata, il tuo account utente o il tuo ruolo Identity and Access Management deve disporre di autorizzazioni granulari aggiuntive, a seconda della funzionalità utilizzata:

• I dettagli degli eventi arricchiti o estesi richiedono chronicle.events.fetchEnrichedEvent.
• Il salvataggio delle ricerche e la modifica delle visualizzazioni di ricerca richiedono chronicle.savedSearches.update e chronicle.searchViews.update.
• La visualizzazione dei parser e dello schema dei log richiede chronicle.parsers.list e chronicle.parsers.get.
• La ricerca nella cronologia delle richieste richiede chronicle.cases.get e chronicle.cases.list.
• La creazione, la condivisione, la modifica e la gestione dei set di colonne personalizzate salvati nella tua organizzazione richiedono tutte e cinque le seguenti autorizzazioni: chronicle.googleapis.com/savedColumnSets.create, chronicle.googleapis.com/savedColumnSets.update, chronicle.googleapis.com/savedColumnSets.delete, chronicle.googleapis.com/savedColumnSets.list e chronicle.googleapis.com/savedColumnSets.get.

Apri la pagina di ricerca

Per aprire la pagina Ricerca SIEM, segui questi passaggi:

1. Accedi a Google SecOps.
2. Nella barra di navigazione, fai clic su Indagine > Ricerca SIEM.

Figura 1. Esempio della pagina Ricerca SIEM utilizzata per esplorare le tendenze degli eventi.

Nota: sui sistemi che utilizzano l'RBAC dei dati, puoi visualizzare solo i dati che corrispondono ai tuoi ambiti. Per saperne di più, consulta l'impatto del RBAC dei dati sulla ricerca.

Applicazione dell'ambito RBAC dei dati

Il motore di ricerca Google SecOps applica rigorosamente il filtro dell'ambito del controllo degli accessi basato sui ruoli (RBAC dei dati) in tutte le schede. Visualizzerai solo eventi UDM, log non elaborati, avvisi, rilevamenti e richieste che corrispondono esplicitamente agli ambiti di dati assegnati al tuo ruolo utente.

Configura le impostazioni generali per la pagina di ricerca

Le impostazioni generali della pagina Ricerca SIEM sono specifiche per l'utente.

Puoi configurare le seguenti impostazioni generali per la pagina Ricerca SIEM:

• Specificare il numero massimo di risultati di ricerca
• Scegli il comportamento di compressione per l'editor di query

Specifica il numero massimo di risultati di ricerca

Per specificare il numero massimo di risultati di ricerca, segui questi passaggi:

1. Nella pagina Ricerca SIEM, fai clic su Impostazioni Impostazioni e seleziona Risultati massimi.

2. Seleziona l'opzione Numero massimo di risultati da restituire. Le opzioni sono 1k, 30k, 100k, 1M e custom (che può assumere valori compresi tra 1 e 1M). Il valore predefinito è 30k.

   Suggerimento: le query vengono in genere eseguite più rapidamente quando scegli un set di risultati più piccolo.

3. Fai clic su Applica.

Scegli il comportamento di compressione dell'editor di query

Puoi configurare l'editor di query in modo che si comprima automaticamente dopo l'esecuzione di una ricerca, per massimizzare lo spazio sullo schermo disponibile per la visualizzazione dei risultati di ricerca. L'impostazione Predefinito lascia l'editor di query espanso dopo l'esecuzione di una ricerca.

Per attivare la funzionalità di compressione automatica, segui questi passaggi:

1. Nella pagina Ricerca SIEM, fai clic su Impostazioni Impostazioni e seleziona Editor di query.
2. Nella finestra di dialogo Editor di query, seleziona Comprimi automaticamente l'editor di query.

Crea una query di ricerca

Le sezioni seguenti descrivono come creare una query di ricerca.

Puoi creare una query di ricerca utilizzando uno dei seguenti metodi:

• Inserisci la tua istruzione di ricerca in linguaggio naturale e utilizza Gemini per generare la query nel dialetto YARA-L 2.0. Devi utilizzare l'inglese.
• Crea manualmente la query nell'editor di query utilizzando il dialetto YARA-L 2.0 o SQL (GoogleSQL).

Nota: una ricerca UDM è limitata a 100 campi UDM per singola query. Un'espressione di ricerca UDM è composta da un campo UDM in cui eseguire la ricerca, un operatore e un valore di dati da cercare. Le query UDM si basano sui campi definiti nel dizionario dei campi UDM. Puoi sfogliare e selezionare questi campi UDM utilizzando i filtri o la ricerca nei log non elaborati.

Genera una query utilizzando il linguaggio naturale

Per generare una query utilizzando il linguaggio naturale, completa i seguenti passaggi:

1. Nella pagina SIEM Search, fai clic sulla barra di ricerca query in linguaggio naturale e inserisci un'istruzione di ricerca in inglese.

   Le seguenti affermazioni sono esempi che potrebbero generare una ricerca utile:

   • network connections from 10.5.4.3 to google.com
   • failed user logins over the last 3 days
   • emails with file attachments sent to [e-mail] or [e-mail]
   • all Cloud service accounts created yesterday
   • outbound network traffic from 10.16.16.16 or 10.17.17.17
   • all network connections to facebook.com or tiktok.com
   • service accounts created in Google Cloud yesterday
   • Windows executables modified between 8 AM and 1 PM on May 1, 2026
   • all activity from winword.exe on lab-pc
   • scheduled tasks created or modified on exchange01 during the last week
   • email messages that contain PDF attachments
   • emails sent by or sent from [e-mail] on July 1
   • any files with the hash 44d88612fea8a8f36de82e1278abb02f
   • all activity associated with user "[e-mail]"

Se l'istruzione di ricerca include un termine basato sul tempo, i parametri dell'intervallo di tempo vengono regolati automaticamente in modo che corrispondano. Ad esempio, questo si applica alle ricerche con i seguenti termini:

• yesterday
• within the last 5 days
• on July 1, 2026

2. Fai clic su Genera query. Se Gemini riesce a interpretare l'istruzione di ricerca, genera una query valida nel dialetto YARA-L 2.0 e la visualizza nell'editor di query. Se l'istruzione di ricerca non può essere interpretata, viene visualizzato un messaggio che ti chiede di provare a porre la domanda in un altro modo. Se l'espressione di query è valida, il pulsante Esegui ricerca diventa disponibile.

3. (Facoltativo) Modifica l'intervallo di tempo della ricerca utilizzando i parametri Intervallo di tempo.

4. Fai clic su Esegui ricerca. Vengono visualizzati i risultati di ricerca.

5. (Facoltativo) Restringi i risultati aggiungendo manualmente altri filtri di ricerca o utilizzando la barra delle query in linguaggio naturale ed esegui di nuovo la ricerca.

Costruire una query manualmente nell'editor di query

Per informazioni sui diversi tipi di query supportati dalla pagina Ricerca SIEM e sulla sintassi per crearle, consulta i seguenti documenti:

• Per informazioni dettagliate sulla sintassi di ricerca YARA-L 2.0, consulta Comprendi la sintassi di ricerca.
• Per informazioni sulla creazione di query di join, consulta Applicare i join nella ricerca e nelle dashboard e Implementare i join senza una sezione di corrispondenza.
• Per informazioni sulla creazione di query statistiche (STATS), consulta Analizza i dati di ricerca con le statistiche.
• Per informazioni sulla creazione di query sulla cronologia delle richieste, consulta Cerca richieste e cronologia delle richieste dalla pagina di ricerca.

Per creare una query manualmente, completa i seguenti passaggi:

1. Nella pagina SIEM Search, fai clic nell'editor di query.
2. Scegli il dialetto della query:
   • YL2 (impostazione predefinita): utilizza la sintassi standard di YARA-L 2.0 per la ricerca di eventi ad alta velocità, il filtro delle entità e la correlazione comportamentale.
   • SQL: la modalità SQL (GoogleSQL) consente di eseguire query compatibili con BigQuery, creare join complessi di più tabelle in UDM ed Entity Context Graph (ECG) ed eseguire aggregazioni avanzate direttamente nella console.

3. Digita la query nell'editor di query e tieni presente quanto segue:

   • Suggerimento e completamento automatici: quando digiti una query con l'opzione YL2, la funzionalità di suggerimento e completamento automatici suggerisce campi validi in base al tuo input.
   • Ricerca UDM: se non conosci il nome o il valore esatto del campo quando scrivi una query, puoi utilizzare Ricerca UDM.
   • Errori di compilazione della sintassi: se l'editor di query rileva un errore di compilazione della sintassi, visualizza una linea rossa ondulata direttamente sotto il testo problematico. Passa il mouse sopra il testo sottolineato per visualizzare la descrizione specifica dell'errore. L'editor di query evidenzia un solo errore alla volta, il che significa che devi correggerli in sequenza.

4. Imposta l'intervallo di tempo per la query utilizzando i parametri Intervallo di tempo.

5. Se l'espressione di query è valida, fai clic su Esegui ricerca. Vengono visualizzati i risultati di ricerca.

6. (Facoltativo) Restringi i risultati aggiungendo manualmente altri filtri di ricerca o utilizzando la console ed esegui di nuovo la ricerca.

Nota: puoi anche creare una nuova query dalla finestra di dialogo Gestione ricerche. Sono disponibili anche gli stessi strumenti di modifica UDM e di suggerimento e completamento automatici.

Specifica il periodo di tempo per la ricerca

Utilizza il menu Intervallo di tempo per specificare il periodo di tempo per la ricerca.

L'intervallo di tempo massimo di una ricerca è sempre limitato dalla configurazione di conservazione dei log del tuo tenant.

Intervalli di tempo massimi:

• UDM: 365 giorni.
• RAW: 365 giorni.
• JOIN: per gli inner join, 90 giorni. Per i join interni senza una condizione di corrispondenza: 14 giorni. Per i join esterni: 14 giorni.
• STATS: 90 giorni.
• CASE e CASE HISTORY: 90 giorni, limitati dai limiti di conservazione delle richieste o da un ciclo di vita completo della cronologia delle richieste.
• ECG: 365 giorni.

Google SecOps valuta la configurazione della query di ricerca e applica l'intervallo di tempo massimo in base al tipo di ricerca e alle condizioni di ricerca. Ad esempio, una query STATS che include un outer join avrà un intervallo di tempo massimo inferiore a quello di una query STATS che non include un outer join.

Per impostare l'intervallo di tempo:

1. Nella pagina Ricerca SIEM, accanto a Intervallo di tempo, seleziona la modalità dall'elenco

   • Assoluto: utilizza un intervallo di tempo assoluto per selezionare un'ora di inizio e di fine fissa.
   • Relativo: utilizza un intervallo di tempo relativo per eseguire ricerche a ritroso a partire dall'ora attuale. L'ora in cui fai clic su Esegui ricerca viene impostata come ora di fine della query.

2. Se hai selezionato Assoluto, segui questi passaggi:

   1. Fai clic su calendar_month calendario per aprire la finestra di dialogo Imposta intervallo di date e ore.
   2. Esegui una delle seguenti operazioni:
      • Per configurare l'ora utilizzando uno dei seguenti metodi, seleziona la scheda Intervallo:
        • Utilizza i preset: seleziona un intervallo preimpostato dalla barra laterale, ad esempio Ultimi 3 giorni o Dall'inizio. Le ricerche Tutto il periodo vengono eseguite nell'intero periodo di conservazione.
        • Seleziona date: fai clic su una data di inizio e una data di fine sul calendario.
        • Imposta gli orari: seleziona orari specifici utilizzando i menu degli orari sotto i calendari.
      • Per specificare un intervallo di date e ore in base a un evento, fai clic sulla scheda Ora evento, seleziona una data sul calendario e configura l'intervallo di tempo:
        • Ora esatta: fai clic sul campo Evento per selezionare o inserire l'ora specifica in cui si è verificato l'evento.
        • Tempo cuscinetto: seleziona un intervallo di tempo predefinito dall'elenco.
   3. Fai clic su Applica.

3. Se hai selezionato Relativo, procedi nel seguente modo:

   1. Inserisci un numero intero nel campo di testo.
   2. Seleziona un'unità di tempo dal menu: Secondi, Minuti, Ore, Giorni, Settimane, Mesi o Anni.

Utilizza i suggerimenti automatici per creare query

Quando scrivi una query, l'editor di query fornisce suggerimenti automatici per aiutarti a creare la query in modo efficiente.

Naviga e seleziona i suggerimenti

Mentre digiti, viene visualizzato un elenco con suggerimenti per i campi che corrispondono al testo, tra cui le seguenti opzioni:

• Seleziona un campo: utilizza i tasti freccia Su o Giù per scorrere l'elenco e premi Invio per selezionare un campo.
• Visualizza i metadati: dopo aver utilizzato i tasti Freccia su o Freccia giù per evidenziare un suggerimento, fai clic su chevron_right per visualizzare la descrizione del campo.
• Completare i campi in modo incrementale: l'editor suggerisce i campi secondari immediati del campo corrente e nasconde il prefisso digitato per risparmiare spazio sullo schermo. Questi suggerimenti sono seguiti da tutti gli altri campi corrispondenti in ordine alfabetico.
• Operatori e valori completi: dopo aver selezionato un campo, l'editor suggerisce operatori validi (ad esempio =, !=) in base al tipo di dati del campo. Per i campi enumerati, l'editor visualizza i suggerimenti per tutti i valori validi (ad esempio NETWORK_EVENT) dopo aver digitato un operatore e le virgolette doppie (").

Informazioni sul ranking dei suggerimenti

L'editor di query organizza i suggerimenti in tre categorie per aiutarti a trovare rapidamente i campi:

1. Campi utilizzati di recente: i primi sette suggerimenti si basano sui campi che hai utilizzato di recente e che corrispondono al campo digitato. Questo elenco viene salvato nella cronologia delle sessioni del browser nelle pagine Ricerca SIEM, Regole e rilevamenti e Dashboard. Se svuoti la cache o cambi browser, la cronologia viene reimpostata.
2. Campi secondari immediati: il successivo insieme di suggerimenti mostra solo i campi secondari di primo livello del campo corrente.
3. Corrispondenze globali: l'ultima sezione mostra tutti i campi corrispondenti in ordine alfabetico.

Gestisci le impostazioni dei suggerimenti automatici

Per gestire a livello globale il modo in cui Google SecOps visualizza i suggerimenti automatici, segui questi passaggi:

1. Fai clic sull'avatar del tuo profilo e seleziona Preferenze utente dall'elenco. Viene visualizzata la finestra di dialogo Preferenze utente.

2. Nella finestra di dialogo, fai clic su Suggerimento automatico.

3. Per controllare i suggerimenti automatici mostrati nell'editor di query, modifica le seguenti impostazioni:

   • Attiva i suggerimenti durante la digitazione: attiva i suggerimenti automatici.
   • Classifica prima i campi utilizzati di recente: mostra i campi utilizzati più di recente all'inizio dell'elenco
   • Suggerisci campi secondari immediati: completa i campi nidificati in modo incrementale, un nodo secondario alla volta.
   • Suggerisci tutti i percorsi disponibili: mostra i percorsi completi ed espansi per tutti i suggerimenti di campi nidificati

4. Fai clic su Salva.

Trova un campo UDM per una query di ricerca (ricerca UDM)

Quando scrivi una query di ricerca, potresti non conoscere il nome o il valore esatto del campo UDM da includere. La funzionalità Ricerca UDM ti consente di trovare rapidamente il nome di un campo UDM che contiene una stringa di testo nel nome o che memorizza un valore di stringa specifico. Puoi selezionare uno o più risultati restituiti dalla ricerca UDM e utilizzarli come punto di partenza per una query di ricerca, aggiungerli a una query esistente o salvarli negli appunti.

Nota: la ricerca UDM non è destinata alla ricerca di altri tipi di dati, come byte, booleani o numerici.

Per utilizzare la ricerca UDM:

1. Nella pagina SIEM Search, fai clic su UDM Lookup. Si apre la finestra di dialogo Ricerca UDM.

2. Seleziona una o entrambe le seguenti opzioni Corrispondenza su per specificare l'ambito dei dati da cercare:

   • Campi UDM: cerca il testo corrispondente ai nomi dei campi, ad esempio network.dns.questions.name o principal.ip.
   • Valori: cerca stringhe di testo all'interno dei valori dei log archiviati, ad esempio dns o google.com.

3. Fai clic sul campo Cerca Inserisci la stringa esatta per la corrispondenza e inserisci la stringa per la corrispondenza. Mentre digiti, i risultati di ricerca vengono visualizzati nella finestra di dialogo.

   I risultati variano in base alla corrispondenza con i campi UDM rispetto ai valori, come segue:

   • La ricerca con Corrispondenza attiva per i nomi dei campi UDM restituisce una corrispondenza esatta trovata in qualsiasi punto della definizione dello schema.

     

     Figura 2. Cerca con i nomi dei campi UDM di Corrispondenza attiva nella finestra di dialogo Ricerca UDM.

   • La ricerca con Corrispondenza con Valori esegue ricerche nella telemetria dei log importati e restituisce due tipi di risultati:

     • Corrispondenze di valore completo: per i campi di testo comuni (come applicazioni, nomi host, URL, indirizzi IP e nomi utente), UDM Lookup mostra il valore di corrispondenza completo con la stringa di ricerca evidenziata in giallo, insieme al timestamp di importazione dei log più recente.

     • Possibili corrispondenze di valori: per i campi che contengono testo lungo, complesso o non strutturato (come righe di comando, descrizioni, campi di rilevamento e campi personalizzati), la ricerca UDM indica che il termine di ricerca appare in quel campo nella telemetria storica. Anziché mostrare un unico valore completo, il risultato mostra il nome del campo UDM seguito da (Possible value match).

     

     Figura 3. Cerca con Corrispondenza attiva Valori nella finestra di dialogo Ricerca UDM.

4. Nell'elenco dei risultati, puoi eseguire le seguenti operazioni:

   • Fai clic sul nome di un campo UDM per visualizzarne la descrizione.
   • Seleziona uno o più risultati facendo clic sulla casella di controllo accanto al nome del campo UDM.
   • Fai clic sul pulsante Reimposta per deselezionare tutti i campi selezionati nell'elenco dei risultati.

5. Esegui una delle seguenti operazioni:

   • Per copiare i risultati selezionati negli appunti, fai clic su Copia UDM. Puoi quindi chiudere la finestra di dialogo Ricerca UDM e incollare i contenuti degli appunti nell'editor di query.

   • Per aggiungere i risultati selezionati alla query nell'editor di query, fai clic su Aggiungi alla ricerca. Google SecOps converte quindi i risultati selezionati in una query di ricerca come nome del campo UDM o coppia nome-valore.

     Se aggiungi più risultati, Google SecOps aggiunge ogni risultato alla fine della query esistente nell'editor di query utilizzando l'operatore OR.

     La stringa di query aggiunta è diversa a seconda del tipo di corrispondenza restituito dalla ricerca UDM:

     • Se il risultato corrisponde a una stringa di testo nel nome di un campo UDM, il nome completo del campo UDM viene aggiunto alla query. Ad esempio:

       principal.artifact.network.dhcp.client_hostname

     • Se il risultato è una corrispondenza del valore completo, la coppia chiave-valore contiene una condizione di uguaglianza esatta con il valore completo.

     • Se il risultato è una Corrispondenza di valori possibili, la coppia nome-valore contiene il nome del campo UDM e un'espressione regolare senza distinzione tra maiuscole e minuscole contenente il termine di ricerca.

6. Se necessario, modifica la query nell'editor di query.

Comportamento di ricerca e copertura dei campi della ricerca UDM

UDM Lookup ti aiuta a scoprire i nomi dei campi e a cercare valori storici nei dati dei log importati. Questa sezione spiega come funziona la ricerca in entrambe le modalità, fornisce esempi di query e descrive i limiti di copertura dei campi.

Modalità di ricerca: campi UDM e valori

La ricerca UDM offre due modalità di ricerca distinte:

• Modalità Campi UDM: Corrispondenza su Campi UDM esegue la ricerca nella definizione dello schema UDM per aiutarti a individuare il percorso del campo corretto. Puoi trovare i nomi dei campi in tutti i tipi di dati, inclusi i campi di testo (principal.hostname), le porte numeriche (target.port), i flag booleani (security_result.is_alert) e le categorie di eventi (metadata.event_type).

  Esempio: se digiti port, vengono visualizzati campi come network.ip_port, principal.port, target.port e src.port.

• Modalità Valori: Corrispondenza attiva Valori cerca nei log eventi importati i valori di testo corrispondenti:

  • Corrispondenza esatta del valore: per gli identificatori e i campi di testo comuni (come nomi host, indirizzi IP, domini e nomi utente), la ricerca UDM trova il valore esatto nei dati e genera una condizione di uguaglianza (ad esempio, principal.hostname = "example.com").
  • Corrispondenza del valore possibile (espressione regolare): per testi lunghi, righe di comando, URL, chiavi del registry e percorsi dei file, la ricerca UDM restituisce una Corrispondenza del valore possibile con un'espressione regolare (ad esempio, principal.process.command_line = /powershell/ NOCASE).

Lacune nella copertura dei campi e come eseguire ricerche direttamente

Quando esegui la ricerca per Valori, la ricerca UDM cerca i campi di testo nei dati sugli eventi non elaborati e non arricchiti. Alcuni tipi di dati e campi identificatore con un volume elevato non restituiscono corrispondenze in modalità Valori. Per cercare questi campi, inserisci l'espressione direttamente nell'editor di query.

Questa sezione include:

• Campi numerici, booleani, timestamp e byte
• Campi identificatore esclusi
• Campi con possibili corrispondenze di valori (espressioni regolari)
• Campi arricchiti e grafico entità

Campi numerici, booleani, timestamp e byte

La ricerca dei valori di ricerca UDM non restituisce corrispondenze per i tipi di dati non di testo. Per eseguire la ricerca in questi campi, scrivi la condizione direttamente nella barra di ricerca:

Categoria del campo	Esempi di campi UDM	Esempio di ricerca diretta
Numeri di porta e codici di stato	network.ip_port, principal.port, target.port, network.http.response_code	network.ip_port = 443 network.http.response_code = 403
Metriche e scoring del rischio	security_result.risk_score, network.sent_bytes, network.received_bytes	security_result.risk_score >= 80 network.sent_bytes > 50000000
Flag booleani	security_result.is_alert, network.dns.answers.is_authoritative	security_result.is_alert = true
Enum predefiniti	metadata.event_type, network.ip_protocol	metadata.event_type = "USER_LOGIN" network.ip_protocol = "TCP"
Timestamp	metadata.event_timestamp.seconds, metadata.ingested_timestamp	Filtra utilizzando il menu Intervallo di tempo o la query: metadata.event_timestamp.seconds > 1700000000
ID evento (byte non elaborati)	metadata.id	metadata.id = "..."
Coordinate geografiche	principal.location.latitude, principal.location.longitude	Filtra per campi di località regionali: principal.location.country_or_region = "US"

Campi identificatore esclusi

I seguenti campi di monitoraggio delle sessioni e ad alta entropia non restituiscono corrispondenze quando si esegue la ricerca per Valori:

Categoria di campi esclusi	Campi UDM	Esempio di ricerca diretta
ID di processo	*.pid (ad esempio principal.process.pid, target.process.pid), *.product_specific_process_id	target.process.pid = "4128"
ID sessione e connessione	network.session_id, network.parent_session_id, metadata.product_log_id	network.session_id = "sess-9481"
ID delle regole di rilevamento	security_result.rule_id	security_result.rule_id = "rule_suspicious_login"
ID risorsa e asset	*.resource.id (inclusi ARN e URI cloud), *.asset_id	target.resource.id = "arn:aws:s3:::my-bucket"
Etichette di importazione	metadata.base_labels.*, metadata.enrichment_labels.*	metadata.base_labels.log_types = "WINEVTLOG"

Campi con possibili corrispondenze di valori (espressioni regolari)

Per i campi che contengono stringhe lunghe e complesse con molti separatori di percorso o argomenti, la ricerca UDM restituisce un'espressione regolare Possibile corrispondenza del valore (/.../ NOCASE) anziché una corrispondenza esatta del valore completo:

• Righe di comando: principal.process.command_line, target.process.command_line
• Percorsi dei file: principal.process.file.full_path, target.file.full_path
• URL web e di rete: principal.url, target.url, network.http.referral_url
• Chiavi del registry: principal.registry.registry_key, target.registry.registry_key
• Descrizioni in formato libero: metadata.description, security_result.description, security_result.summary
• Stringhe dello user agent: network.http.user_agent
• Campi personalizzati dinamici: additional.fields.value.*

Campi con informazioni aggiuntive e grafico entità

La ricerca UDM cerca i dati dei log non elaborati inseriti dopo il 10 agosto 2023. Non restituisce valori da:

• Arricchimenti downstream: ad esempio risoluzione della posizione GeoIP, dati WHOIS, verdetti di Navigazione sicura o punteggi di VirusTotal. Per eseguire la ricerca, filtra direttamente il percorso del campo arricchito (ad esempio, target.ip_geo_artifact.country_or_region = "US").
• Oggetti Entity Graph: dati nello spazio dei nomi graph.*.
• Dati storici precedenti alla data limite: log inseriti prima del 10 agosto 2023. Per cercare dati meno recenti, utilizza le query di ricerca diretta nella pagina Cerca.

Utilizzare le tabelle di dati in una ricerca

Puoi utilizzare la funzionalità tabelle dati in una ricerca. In questo modo puoi utilizzare i tuoi database esistenti di informazioni sulle minacce in combinazione con una ricerca per individuare le minacce nella tua azienda.

Ad esempio, se hai un database denominato suspicious con una colonna di indirizzi IP che sai essere problematici, puoi fare riferimento a quel database nella query di ricerca anziché inserire manualmente i singoli indirizzi IP nella query:

  events:
      $e.principal.ip in %suspicious.ip

Puoi restringere i risultati cercando metadati specifici oltre agli indirizzi IP. Ad esempio, potresti essere particolarmente interessato alle modifiche alle risorse utente:

  events:
      $e.metadata.event_type = "USER_RESOURCE_UPDATE_CONTENT"
      $e.principal.ip in %suspicious.ip

Puoi restringere una ricerca in base a campi UDM correlati e trovare corrispondenze con più colonne della tabella di dati. L'esempio seguente cerca gli eventi NETWORK_CONNECTION in cui il risultato della sicurezza è ALLOW. Poi confronta questi eventi con la colonna hostnames e la colonna ip nella tabella dei dati badApps.

events:
  $e.metadata.event_type = "NETWORK_CONNECTION"
  $e.security_result.action = "ALLOW"
  $e.target.asset.asset_id = $assetid

  // Event hostname matches at least one value in table column hostname.
  $e.target.hostname in %badApps.hostname

  // Event IP matches at least one value in table column ip.
  $e.target.ip in %badApps.ip

Visualizzare le righe della tabella di dati in una ricerca

Quando utilizzi una tabella di dati in una ricerca YARA-L 2.0, i risultati fanno riferimento alle righe della tabella di dati collegate agli eventi corrispondenti. Questi risultati vengono visualizzati nel riquadro Eventi. Quando visualizzi i risultati, viene mostrato lo stato corrente della tabella di dati e delle relative righe.

Utilizza Gestione colonne per selezionare la tabella di dati e le colonne da visualizzare nei risultati.

Per saperne di più, consulta Utilizza le tabelle di dati.

Informazioni sul processo di esecuzione delle query

Se la query nell'editor di query è valida, la console Google SecOps attiva il pulsante Esegui ricerca.

Dopo aver fatto clic su Esegui ricerca, la query in corso viene visualizzata con un'icona di stato circolare.

Mentre è in corso una ricerca, puoi eseguire ricerche aggiuntive (simultanee) nell'editor di query con alcune limitazioni. Google SecOps continua a eseguire le ricerche precedenti ed esegue le nuove ricerche in parallelo.

Importante: per le ricerche simultanee e i risultati memorizzati è necessario che la funzionalità della cronologia delle ricerche sia attiva. Se in precedenza hai disattivato la cronologia delle ricerche, puoi riattivarla facendo clic su Cronologia > Attiva la cronologia delle ricerche.

Le query completate vengono visualizzate con un'icona con un segno di spunta verde, insieme a un contatore che indica il numero di eventi restituiti dalla query.

Fai clic su una query completata per visualizzare i risultati. I risultati di ricerca vengono visualizzati sotto l'editor di query.

I risultati di ricerca vengono memorizzati nella cache e includono solo i dati disponibili al momento dell'esecuzione della query.

Gestire la cronologia delle ricerche

La cronologia delle ricerche viene salvata nel tuo account Google SecOps.

Importante: per le ricerche simultanee e i risultati memorizzati è necessario che la funzionalità della cronologia della Ricerca sia attiva.

• Per gestire la cronologia delle ricerche, nella pagina Ricerca SIEM, fai clic su Cronologia per aprire la finestra di dialogo e procedi come segue:

  • Visualizza un elenco di tutte le ricerche nella cronologia.
  • Fai clic su un elemento dell'elenco per caricarlo nell'editor di query.
  • Digita nella barra di ricerca per trovare una ricerca nella cronologia.
  • Filtra le ricerche facendo clic su Filtra accanto alla barra di ricerca e filtra le ricerche per Lingua, che contiene i filtri YL2 e SQL AND Tipo di ricerca, che contiene i filtri UDM, Log non elaborato e Statistiche.
  • Mostra o meno solo i risultati archiviati completati e in corso (utilizzando la casella di controllo Mostra solo risultati archiviati completati e in corso).
  • Cancellare la cronologia delle ricerche.
    • Per cancellare la cronologia delle ricerche, fai clic su Altro e seleziona Cancella cronologia.

  • Disattivare o riattivare la cronologia delle ricerche:

    • Per disattivare la cronologia delle ricerche, fai clic su Disattiva la cronologia delle ricerche e poi seleziona Solo disattivazione per disattivare la cronologia delle ricerche oppure Disattiva ed elimina per disattivare la cronologia delle ricerche ed eliminare quella salvata.

    • Se in precedenza hai disattivato la cronologia delle ricerche, puoi riattivarla facendo clic su Attiva la cronologia delle ricerche.

• Per eliminare una singola ricerca dalla cronologia delle ricerche, consulta Elimina una ricerca salvata.

Salvare e utilizzare una query sulle metriche

Nota: questa funzionalità è coperta dai Termini delle Offerte pre-GA dei Termini di servizio specifici di Google Security Operations. Le funzionalità pre-GA potrebbero avere supporto limitato e le modifiche alle funzionalità pre-GA potrebbero non essere compatibili con altre versioni pre-GA. Per saperne di più, consulta le linee guida per i servizi di assistenza tecnica di Google SecOps e i Termini di servizio specifici di Google SecOps.
Se questa funzionalità non è visibile nel tuo ambiente, consulta Gestire le funzionalità di anteprima o contatta l'amministratore di sistema.

Google SecOps classifica le query sulle metriche con il badge STATS.

• Per salvare una ricerca come metrica, fai clic su Altro accanto a Esegui ricerca e poi su Salva come metrica. Si apre la pagina Regole e rilevamenti, che mostra la query delle metriche nella scheda Metriche. Puoi quindi salvare la metrica o disattivarla. Dopo aver salvato una query di metrica, non è possibile modificarla o eliminarla. Le metriche possono essere disabilitate in qualsiasi momento.

Puoi utilizzare una query sulle metriche per stabilire i pattern di comportamento tipici e identificare le attività anomale. Se nell'editor di query hai una query sulle metriche che monitora tendenze operative critiche, fai clic su Altro > Salva come metrica. In questo modo, la query viene salvata come metrica di serie temporali continua che può essere incorporata in dashboard personalizzate o a cui è possibile fare riferimento negli avvisi di soglia.

Query di esempio per le metriche:

metric metric_1784196814306 {
  (metadata.event_type = "NETWORK_FLOW" OR
  metadata.event_type = "NETWORK_CONNECTION" OR
  metadata.event_type = "NETWORK_DNS" OR
  metadata.event_type = "NETWORK_HTTP")

  outcome:
  $timestamp = timestamp.get_timestamp(metadata.event_timestamp.seconds)
  $hostname = principal.hostname
  $event_type = metadata.event_type
  $user = principal.user.userid
  $principal_process = principal.process.file.full_path
  $principal_cmdline = principal.process.command_line
  $target_process = target.process.file.full_path
  $target_cmdline = target.process.command_line
  $target_url = target.url
  $target_ip = target.ip[0]
  order:
  $timestamp
  }

Gestisci le tue ricerche (Search Manager)

Utilizza la finestra di dialogo Gestione ricerche per gestire le ricerche.

• Per aprire Search Manager, nella pagina Pagine di ricerca SIEM, fai clic su Search Manager.

Badge per tipo di ricerca

La scheda Salvate in Gestione ricerche elenca tutte le ricerche salvate e mostra un badge con il tipo di ricerca: UDM, RAW, JOIN, STATS, CASE, CASE HISTORY ed ECG.

Azioni di Search Manager

Nella scheda Salvati puoi eseguire le seguenti azioni:

• Filtra le ricerche salvate: fai clic su Filtra accanto alla barra di ricerca e filtra le ricerche per Origine, che contiene: Definito da Google SecOps, Creato da me e Condiviso con me AND Lingua, che contiene: YL2 e SQL.
• Ordina le ricerche: fai clic su list_arrow Ordina accanto alla barra di ricerca e ordina per Nome (A-Z), Nome (Z-A), Dal meno recente al più recente o Dal più recente al meno recente.
• Aggiungi una ricerca: fai clic su add_2 Aggiungi accanto alla barra di ricerca e crea una nuova ricerca nella casella Ricerca UDM adiacente. La casella Ricerca UDM supporta gli stessi strumenti di modifica UDM e di suggerimento e completamento automatici di quando crei una query manualmente nell'editor di query.
• Condividere o eliminare le ricerche create da te.
• Modificare una ricerca creata da te: quando una ricerca viene selezionata nella scheda Salvate, la casella CERCA mostra la query, insieme alle caselle Titolo e Descrizione. La casella Ricerca UDM supporta gli stessi strumenti di modifica, suggerimento automatico e completamento automatico di UDM di quando crei una query manualmente nell'editor di query.

Salva una ricerca

Le ricerche salvate e la cronologia delle ricerche sono:

• Memorizzati con il tuo account Google SecOps.
• Visualizzabile e accessibile solo dal singolo utente, a meno che non utilizzi la funzionalità Condividi una ricerca per condividere la ricerca con la tua organizzazione.

Per salvare una ricerca, segui questi passaggi:

1. Nella pagina SIEM Search, esegui una delle seguenti operazioni:

   • Se nell'editor di query è presente una query valida, fai clic su Altro accanto a Esegui ricerca e poi su Salva ricerca. Si apre la finestra di dialogo Search Manager.
   • Fai clic su Search Manager. Si apre la finestra di dialogo Search Manager.

2. Nella casella Titolo, inserisci un nome per la ricerca. Google consiglia di assegnare alla ricerca salvata un nome significativo e una descrizione in formato testo semplice di ciò che stai cercando.

3. (Facoltativo) Nella casella Descrizione, inserisci una descrizione della ricerca.

4. (Facoltativo) Specifica le variabili segnaposto nel formato ${<variable name>} utilizzando lo stesso formato utilizzato per le variabili in YARA-L. Se aggiungi una variabile a una ricerca, devi includere anche un prompt per aiutare l'utente a capire le informazioni richieste da inserire prima di eseguire la ricerca. Tutte le variabili devono essere compilate con i valori prima dell'esecuzione di una ricerca.

   Ad esempio, potresti aggiungere metadata.vendor_name = ${vendor_name} alla tua ricerca. Per ${vendor_name}, devi aggiungere un prompt per i futuri utenti, ad esempio Enter the name of the vendor for your search. Ogni volta che un utente carica questa ricerca in futuro, gli viene chiesto di inserire il nome del fornitore prima di eseguire la ricerca.

5. Al termine, fai clic su Salva modifiche.

• Per visualizzare le ricerche salvate, fai clic su Gestore ricerche e poi sulla scheda Salvate.

Recupera ed esegui una ricerca salvata

Per recuperare ed eseguire una ricerca salvata:

1. Nella pagina Ricerca SIEM, fai clic su Gestione ricerche e seleziona una ricerca dall'elenco *Salvate a sinistra.
2. (Facoltativo) Elimina una ricerca facendo clic su Altro e selezionando Elimina ricerca. Puoi eliminare solo le ricerche create da te.
3. Puoi modificare il nome della ricerca e la descrizione. Al termine, fai clic su Salva modifiche.
4. Fai clic su Carica ricerca. La ricerca viene caricata nel campo di ricerca principale.
5. Fai clic su Esegui ricerca.

Elimina una ricerca salvata

Puoi eliminare solo le ricerche create da te.

Per eliminare una ricerca salvata:

1. Nella pagina Ricerca SIEM, fai clic su Gestione ricerche e seleziona una ricerca dall'elenco *Salvate a sinistra.
2. Fai clic su Altro e seleziona Elimina ricerca.
3. Fai clic su Elimina ricerca.

Condividi una ricerca o interrompi la condivisione

Le ricerche condivise ti consentono di condividere le ricerche con il tuo team. Non puoi condividere con una sola persona. Se condividi la ricerca, questa viene condivisa con l'intera organizzazione.

Non puoi modificare una ricerca condivisa di cui non sei l'autore.

Per condividere una ricerca, segui questi passaggi:

1. Nella pagina Ricerca SIEM, fai clic su Gestione ricerche e seleziona una ricerca dall'elenco *Salvate a sinistra.
2. Fai clic sulla ricerca che vuoi condividere.
3. Fai clic su Altro sul lato destro della ricerca. Viene visualizzata una finestra di dialogo con l'opzione per condividere la ricerca.
4. Fai clic su Condividi con la tua organizzazione. Viene visualizzata una finestra di dialogo con il messaggio "La condivisione della ricerca sarà visibile alle persone della tua organizzazione. Vuoi condividere?".
5. Fai clic su Condividi.

Se vuoi che la ricerca sia visibile solo a te, fai clic su Altro e poi su Interrompi condivisione. Se interrompi la condivisione, solo tu potrai utilizzare questa ricerca.

Risultati di ricerca: panoramica

Quando fai clic su Esegui ricerca nella pagina Ricerca SIEM, Google Security Operations valuta la query nel tuo ambiente, quindi classifica e visualizza i risultati sotto l'editor di query.

Gli elementi dell'interfaccia utente per i risultati di ricerca variano a seconda del tipo di ricerca (che, in base ai badge, sono: UDM, RAW, JOIN, STATS, CASE o CASE HISTORY).

La pagina Ricerca SIEM mostra le seguenti schede per i risultati di ricerca:

• Risultati: visualizzati per tutti i tipi di ricerca.
• Avvisi e rilevamenti: visualizzati solo per i risultati di ricerca UDM, RAW e JOIN.
• Panoramica: visualizzata solo per i risultati di ricerca UDM, RAW e JOIN.
• Visualizza: visualizzato solo per i risultati di ricerca STATISTICHE.

Il titolo di ogni scheda dei risultati include il conteggio tra parentesi, ad esempio Risultati (1118) o Risultati (100.000+) se il numero di risultati supera il massimo specificato (in questo caso 100.000).

Se fai clic tra le schede, la visualizzazione dello spazio di lavoro cambia immediatamente, mantenendo invariati la query di ricerca e l'intervallo di tempo.

Visualizza e gestisci le informazioni nella scheda Risultati

La scheda Risultati è il tuo workspace principale per visualizzare e gestire i risultati di ricerca. Puoi utilizzare la scheda Risultati per:

• Ricerca approfondita nei log
• Visualizzazione della telemetria non elaborata
• Generare tabelle pivot dai dati sugli eventi
• Analisi delle distribuzioni dei valori dei campi ad alta frequenza
• Esportazione dei dati in file CSV

La scheda Risultati include i seguenti elementi, a seconda del tipo di ricerca:

• Pannelli a schede con i seguenti grafici:
  • Grafico Attività nel tempo: visualizzato per i risultati di ricerca UDM, JOIN, CASE, CASE HISTORY ed ECG.
  • Grafico Trend nel tempo: visualizzato per i risultati di ricerca RAW.
  • Scheda Prevalenza: visualizzata per i risultati di ricerca UDM.
  • Tabella Mappa termica dell'attività: visualizzata per i risultati di ricerca UDM.
• Riquadro Aggregazioni: visualizzato per tutti i tipi di risultati di ricerca.

• Riquadri con le seguenti tabelle, in base al tipo di ricerca:

  • Tabella Eventi e sottoscheda Pivot: visualizzate solo per i risultati di ricerca UDM. La tabella Eventi mostra la telemetria degli eventi UDM normalizzati e i record dei log non elaborati corrispondenti alla query nell'intervallo di tempo selezionato. La scheda secondaria Pivot ti consente di creare e utilizzare una tabella pivot per eseguire raggruppamenti e riepiloghi matematici multidimensionali (sum, count, avg, stddev) sui risultati degli eventi.
  • Log non elaborati: visualizzati solo per i risultati di ricerca RAW.
  • Statistiche: visualizzate solo per i risultati di ricerca STATS.
  • Join: visualizzato solo per i risultati di ricerca JOIN.
  • Casi: visualizzati solo per i risultati di ricerca CASE.
  • Cronologia delle richieste: visualizzata solo per i risultati di ricerca di RICHIESTE e CRONOLOGIA DELLE RICHIESTE.
  • Dati temporizzati e Dati senza tempo: visualizzati solo per i risultati di ricerca ECG.

  Per informazioni sulle funzioni e sugli strumenti supportati per queste tabelle, consulta Utilizza strumenti comuni per le tabelle. Le funzioni supportate includono la gestione delle colonne nella tabella visualizzata dalla scheda, il download dei risultati di ricerca e altro ancora.

Suggerimento: fai clic su Opzioni di visualizzazione per nascondere o mostrare i grafici e il pannello Aggregazioni.

Utilizza il grafico Attività nel tempo

La scheda Attività nel tempo include un grafico (un istogramma) del volume di eventi e avvisi nel tempo.

Nota: la scheda Attività nel tempo viene visualizzata solo per i risultati di ricerca UDM, JOIN, CASE e CASE HISTORY.

La larghezza di ogni barra dipende dall'intervallo di tempo cercato. Ad esempio, ogni barra rappresenta 10 minuti quando la ricerca copre 24 ore di dati. Questo grafico viene aggiornato in modo dinamico man mano che modifichi la ricerca esistente.

Nota: la finestra di ricerca massima è di 365 giorni per le ricerche YARA-L 2.0 e di 90 giorni per le ricerche SQL, dall'ora di inizio a quella di fine.

Il grafico supporta quanto segue:

• Regolazione dell'intervallo di tempo: trascina i controlli del cursore sulla sequenza temporale per restringere istantaneamente la finestra temporale visibile. La griglia dei risultati e il riquadro Aggregazioni vengono aggiornati senza eseguire nuovamente la query sul backend.
• Visualizza gli eventi e gli avvisi per la finestra temporale di una singola barra: fai clic su una barra per restringere il focus del grafico, del riquadro Aggregazioni e della scheda Rilevamenti alla finestra temporale di quella barra. Questa azione crea un filtro, che viene visualizzato accanto al pulsante Aggiungi filtro filter_list. Per visualizzare di nuovo tutti i risultati, elimina il filtro.
• Popup dei dettagli: se fai clic su una delle barre, si apre un popup con l'ora e i valori di Eventi oggetto di query, Eventi filtrati, Avvisi oggetto di query e Avvisi filtrati.

Utilizzare il grafico Tendenza nel tempo

La scheda Tendenza nel tempo include un grafico (un istogramma) del volume dei log non elaborati nel tempo. La larghezza di ogni barra verticale viene scalata dinamicamente in base alla finestra di ricerca complessiva (ad esempio, ogni barra potrebbe rappresentare 10 minuti per una finestra di ricerca di 24 ore).

Nota: la scheda Tendenza nel tempo viene visualizzata solo per i risultati di ricerca RAW.

Il grafico supporta quanto segue:

• Regolazione dell'intervallo di tempo: trascina i controlli del cursore sulla sequenza temporale per restringere immediatamente la finestra temporale visibile. La griglia dei risultati e il riquadro Aggregazioni vengono aggiornati senza eseguire nuovamente la query sul backend.
• Visualizza quanti log analizzati, non analizzati e sconosciuti sono stati rilevati nella finestra temporale di una singola barra: Sconosciuto significa che in quel momento sono stati rilevati uno o più log, ma il numero è indeterminato. Fai clic su una barra per restringere il focus del grafico e del riquadro Aggregazioni alla finestra temporale di quella barra. Viene creato un filtro, che viene visualizzato accanto al pulsante filter_list Aggiungi filtro. Per visualizzare di nuovo tutti i risultati, elimina il filtro.
• Popup dei dettagli: se fai clic su una delle barre, si apre un popup con l'ora e i valori per Eventi oggetto di query, Eventi filtrati, Avviso oggetto di query e Avvisi filtrati.

Utilizza la scheda Prevalenza

La scheda Prevalenza viene visualizzata solo se la ricerca include un dominio.

La scheda Prevalenza mostra la prevalenza dei domini associati alla tua ricerca all'interno della tua azienda. Combina un elenco di domini a bassa prevalenza con un grafico interattivo. La scheda viene visualizzata solo se la ricerca UDM include un dominio.

Nota: la scheda Prevalenza viene visualizzata solo per i risultati di ricerca UDM.

L'elenco dei domini a bassa prevalenza include le seguenti colonne:

• Domini a bassa prevalenza: mostra i nomi di dominio associati ai risultati di ricerca. Fai clic su arrow_upward per ordinare i domini in ordine alfabetico (dalla Z alla A) e su arrow_downward per ordinarli in ordine alfabetico (dalla A alla Z).

• Prevalenza ≤ 10: mostra il numero totale di occorrenze per ogni dominio con una prevalenza pari o inferiore a 10. Fai clic su Freccia su per ordinare i conteggi numericamente in ordine decrescente e su Freccia giù per l'ordine crescente.

Nel grafico, tieni il puntatore sopra un cerchio per visualizzare il dominio specifico e restringere la ricerca agli eventi associati solo a quel dominio.

Utilizza la scheda Mappa termica dell'attività

La scheda Mappa termica delle attività mostra i dati sugli eventi in una griglia visiva della sequenza temporale per evidenziare dove sono più concentrati gli eventi nell'intervallo di tempo specificato. L'asse Y mostra le date all'interno del periodo di tempo della ricerca, mentre l'asse X mostra l'ora del giorno a intervalli orari (dalle 00:00 alle 23:00).

Nota: la scheda Mappa termica dell'attività viene visualizzata solo per i risultati di ricerca UDM.

Una legenda con mappa a gradiente di colore indica il volume di eventi in un'ora specifica, dove i colori più chiari indicano un numero inferiore di eventi e i colori più scuri indicano una densità maggiore. Puoi anche regolare l'indicatore di densità per visualizzare o nascondere gli slot orari regolando il cursore orizzontale. Fai clic sulle frecce su o giù nel riquadro laterale per scorrere le date e regolare la finestra temporale specifica.

Utilizza il riquadro Aggregazioni per perfezionare i risultati di ricerca

Il riquadro Aggregazioni riassume i valori ad alta frequenza, che puoi utilizzare per perfezionare i risultati di ricerca.

Nota :il riquadro Aggregazioni viene visualizzato per tutti i tipi di risultati di ricerca.

Il riquadro Aggregazioni include due elenchi comprimibili: Campi UDM (che è un elenco di campi UDM corrispondenti) e un altro elenco di campi in base al tipo di ricerca (ad esempio, Campi log per le ricerche di log non elaborati, Campi statistiche, Campi caso e così via). Per le ricerche UDM, il riquadro Aggregazioni contiene l'elenco Campi UDM e l'elenco Campi raggruppati.

Per bloccare un campo in cima all'elenco Aggregazioni, tieni il puntatore su un campo e fai clic sull'icona keep Mantieni.

Puoi cercare campi o valori di campo specifici utilizzando il campo di ricerca del pannello.

Ogni campo mostra il "conteggio delle corrispondenze", ovvero il numero di record che hanno lo stesso valore per quel campo. I contenuti degli elenchi sono ordinati dal numero di corrispondenze più alto a quello più basso e in ordine alfabetico all'interno dello stesso numero di corrispondenze. Puoi cercare i campi negli elenchi ed espandere un elemento del campo.

Per filtrare i risultati di ricerca con le aggregazioni:

1. Nel riquadro Aggregazioni, seleziona un campo da un elenco per visualizzare i valori dell'elenco per quel campo.

2. Seleziona un valore dall'elenco e fai clic su more_vert Altro.

3. Seleziona un'opzione di filtro:

   • Mostra solo: la tabella adiacente corrispondente viene aggiornata per mostrare solo i record corrispondenti e il filtro = "value" viene visualizzato accanto al pulsante filter_list Aggiungi filtro.
   • Filtra: la tabella adiacente corrispondente viene aggiornata con i record corrispondenti filtrati e il filtro != "value" viene visualizzato accanto al pulsante filter_list Aggiungi filtro.
   • Copia: copia la coppia campo-valore negli appunti.

   

   Immagine 4. Esempio di filtraggio dei campi utilizzando il riquadro Aggregazioni.

   

   Figura 5. filter_list Pulsante Aggiungi filtro con due filtri esistenti (uno mostrato e uno nell'elenco +1 altro).

4. (Facoltativo) Se hai selezionato Mostra solo o Filtra nel passaggio precedente e vuoi incorporare automaticamente il filtro nell'editor di query ed eseguire di nuovo la ricerca, fai clic su Applica alla ricerca ed esegui.

Utilizzare i campi raggruppati nel riquadro Aggregazioni della scheda Risultati

Il riquadro Aggregazioni per le ricerche UDM include l'elenco Campi raggruppati. I campi raggruppati fungono da alias di categoria efficaci che combinano i campi UDM correlati senza richiedere di digitare ciascuno separatamente. Per saperne di più sui campi raggruppati, consulta Cerca campi raggruppati.

Alias del campo raggruppato	Campi UDM associati inclusi nell'alias
domain	about.administrative_domain about.asset.network_domain network.dns.questions.name network.dns_domain principal.administrative_domain principal.asset.network_domain target.administrative_domain target.asset.hostname target.asset.network_domain target.hostname
email	intermediary.user.email_addresses network.email.from network.email.to principal.user.email_addresses security_result.about.user.email_addresses target.user.email_addresses
file_path	principal.file.full_path principal.process.file.full_path principal.process.parent_process.file.full_path target.file.full_path target.process.file.full_path target.process.parent_process.file.full_path
hash	about.file.md5 about.file.sha1 about.file.sha256 principal.process.file.md5 principal.process.file.sha1 principal.process.file.sha256 security_result.about.file.sha256 target.file.md5 target.file.sha1 target.file.sha256 target.process.file.md5 target.process.file.sha1 target.process.file.sha256
hostname	intermediary.hostname observer.hostname principal.asset.hostname principal.hostname src.asset.hostname src.hostname target.asset.hostname target.hostname
ip	intermediary.ip observer.ip principal.artifact.ip principal.asset.ip principal.ip src.artifact.ip src.asset.ip src.ip target.artifact.ip target.asset.ip target.ip
namespace	principal.namespace src.namespace target.namespace
process_id	principal.process.parent_process.pid principal.process.parent_process.product_specific_process_id principal.process.pid principal.process.product_specific_process_id target.process.parent_process.pid target.process.parent_process.product_specific_process_id target.process.pid target.process.product_specific_process_id
user	about.user.userid observer.user.userid principal.user.user_display_name principal.user.userid principal.user.windows_sid src.user.userid target.user.user_display_name target.user.userid target.user.windows_sid

Utilizza il riquadro Eventi

Utilizza il riquadro Eventi per visualizzare, ordinare e gestire gli eventi che corrispondono alla tua ricerca UDM.

Per informazioni sulle funzioni e sugli strumenti supportati per il riquadro Eventi, vedi Utilizzare strumenti comuni per le tabelle. Le funzioni supportate includono la gestione delle colonne nella tabella visualizzata dalla scheda, il download dei risultati di ricerca e altro ancora.

Per impostazione predefinita, dopo aver eseguito una ricerca, la tabella Eventi mostra le colonne chiave (denominate campi rapidi), ad esempio Stato evento, Timestamp, Tipo (udm.metadata.event_type), Riepilogo, Utente (udm.principal.user.userid o target.user.userid), Nome host (udm.principal.hostname o target.hostname). A seconda dell'ambito della query e dell'origine log, la tabella può anche mostrare dinamicamente campi rapidi pertinenti come Azione (udm.security_result.action).

Nota: per gli eventi associati agli avvisi, la colonna Stato evento mostra un chip Avviso con un conteggio quando vengono applicati più avvisi.

Esaminare i dettagli granulari di un singolo evento (Visualizzatore eventi e correlazione dei log non elaborati)

• Per esaminare i dettagli granulari di un singolo evento, fai clic sulla riga. Si apre il Visualizzatore eventi.

  Per saperne di più, consulta Utilizza il visualizzatore di eventi per i risultati UDM e RAW.

Scheda Pivot: crea una tabella pivot

Puoi utilizzare una tabella pivot per eseguire raggruppamenti e riepiloghi matematici multidimensionali sui risultati di ricerca.

Per aprire e configurare una tabella pivot:

1. Esegui una ricerca UDM.
2. Nella scheda Risultati, fai clic sulla scheda secondaria Pivot. Si apre il riquadro Impostazioni tabella pivot.

3. In Raggruppa per, fai clic su Aggiungi campo per selezionare fino a cinque campi UDM per il raggruppamento delle righe. Vengono visualizzate opzioni di trasformazione speciali in base al tipo di campo:

   • Campi stringa: opzione per forzare l'uso delle lettere minuscole. Puoi visualizzare i risultati utilizzando la capitalizzazione Predefinita o solo le lettere minuscole selezionando Minuscole dal menu.
   • Campi del nome host:
     • Dominio registrato: mostra solo il nome di dominio registrato (ad esempio google.com, nytimes.com, youtube.com).
     • Dominio di livello N principale: specifica il livello del dominio da visualizzare. Ad esempio, l'utilizzo di un valore pari a 1 mostra solo il dominio di primo livello (ad esempio com, gov o edu). L'utilizzo di un valore pari a 3 mostra i due livelli successivi dei nomi di dominio (ad esempio google.co.uk).
   • Campi IP: opzione per raggruppare in base alla lunghezza del prefisso CIDR in bit. Puoi specificare un valore compreso tra 1 e 32 per gli indirizzi IPv4. Per gli indirizzi IPv6, puoi specificare valori fino a 128.
   • Campi timestamp: opzione per raggruppare in base alla risoluzione temporale (millisecondi, secondi, minuti, ore, giorni).

4. In Valori, specifica un valore per il pivot dall'elenco dei campi nei risultati. Puoi specificare fino a cinque valori.

5. Per ogni campo specificato per Valori, devi selezionare una delle seguenti opzioni Riepiloga per:

   • Avg (media)
   • Conteggio
   • Conteggio valori distinti
   • Max
   • Min
   • Somma
   • Stddev (deviazione standard)

   Le opzioni Riepiloga non sono universalmente compatibili con i campi Raggruppa per. Ad esempio, le opzioni Somma, Media, Deviazione standard, Min e Max possono essere applicate solo ai campi numerici. Se provi ad associare un'opzione Riepiloga incompatibile a un campo Raggruppa per, riceverai un messaggio di errore.

   Specifica un valore di Conteggio eventi per restituire il numero di eventi identificati per questa particolare ricerca e tabella pivot.

6. In Ordina per, specifica uno o più campi UDM e seleziona uno o più ordinamenti utilizzando l'opzione Crescente o Decrescente.

7. Quando è tutto pronto, fai clic su Applica. I risultati vengono visualizzati nel riquadro Pivot.

8. (Facoltativo) Per scaricare e salvare i contenuti della tabella pivot, consulta Scaricare i risultati di ricerca da una tabella.

Utilizza il riquadro Log non elaborati

Utilizza il riquadro Log non elaborati per visualizzare, ordinare e gestire i log che corrispondono alla tua ricerca, che valuta la telemetria dei log non elaborati e non analizzati. L'obiettivo diagnostico principale è monitorare l'integrità dell'importazione e dell'analisi, ovvero monitorare quanti log sono stati analizzati rispetto a quanti non sono stati analizzati rispetto a quelli sconosciuti (ovvero che uno o più log sono stati rilevati in un determinato momento, ma il numero è sconosciuto).

Per informazioni sulle funzioni e sugli strumenti supportati per questa scheda, consulta Utilizza strumenti comuni per le tabelle. Le funzioni supportate includono la gestione delle colonne nella tabella visualizzata dalla scheda, il download dei risultati di ricerca e altro ancora.

Esamina i dettagli granulari di un singolo log non elaborato (visualizzatore eventi e correlazione dei log non elaborati)

• Per esaminare i dettagli granulari di un singolo log non elaborato, fai clic sulla riga. Si apre il Visualizzatore eventi.

  Per saperne di più, consulta Utilizza il visualizzatore di eventi per i risultati UDM e RAW.

Utilizza il riquadro Statistiche

Utilizza il riquadro Statistiche per visualizzare, ordinare e gestire le statistiche corrispondenti alla tua ricerca.

Il riquadro Statistiche supporta solo un Selettore di colonne in cui puoi aggiungere o rimuovere colonne.

Per informazioni sulle funzioni e sugli strumenti supportati per questa scheda, consulta Utilizza strumenti comuni per le tabelle. Le funzioni supportate includono il download dei risultati di ricerca e altro ancora.

Utilizza il riquadro Join

Utilizza il riquadro Join per visualizzare, ordinare e gestire gli elementi che corrispondono alla tua ricerca.

Per informazioni sulle funzioni e sugli strumenti supportati per questa scheda, consulta Utilizza strumenti comuni per le tabelle. Le funzioni supportate includono la gestione delle colonne nella tabella visualizzata dalla scheda, il download dei risultati di ricerca e altro ancora.

Utilizza il riquadro Richieste

Utilizza il riquadro Richieste per visualizzare, ordinare e gestire le richieste corrispondenti alla tua ricerca.

Per informazioni sulle funzioni e sugli strumenti supportati per questa scheda, consulta Utilizza strumenti comuni per le tabelle. Le funzioni supportate includono la gestione delle colonne nella tabella visualizzata dalla scheda, il download dei risultati di ricerca e altro ancora.

Utilizzare il riquadro Cronologia richieste

Utilizza il riquadro Cronologia casi per visualizzare, ordinare e gestire le cronologie dei casi che corrispondono alla tua ricerca.

Per informazioni sulle funzioni e sugli strumenti supportati per questa scheda, consulta Utilizza strumenti comuni per le tabelle. Le funzioni supportate includono la gestione delle colonne nella tabella visualizzata dalla scheda, il download dei risultati di ricerca e altro ancora.

Utilizza i riquadri Dati con data e ora e Dati senza data e ora

Utilizza i riquadri Dati con timestamp e Dati senza timestamp per visualizzare, ordinare e gestire i risultati delle ricerche ECG. Il riquadro Dati temporizzati mostra i risultati per le entità che hanno un intervallo di tempo definito, ovvero un valore per metadata.interval.end_time durante l'importazione. Il riquadro Dati senza limiti di tempo mostra i risultati per le entità che non hanno un intervallo di tempo definito, ovvero non hanno un valore per metadata.interval.end_time.

Importante: il database ECG memorizza le entità temporizzate e senza tempo separatamente. Quando esegui una ricerca ECG, Google SecOps crea un'unione dei datastore con e senza tempo e restituisce i risultati principali di ciascuno, fino al numero massimo di risultati configurato. I dati delle entità con timestamp vengono ordinati in base al timestamp più recente, ma l'ordine dei dati delle entità senza timestamp non può essere noto. Pertanto, è possibile che l'interfaccia mostri solo entità senza tempo, solo entità con tempo o una combinazione diversa di entrambe ogni volta che viene eseguita la query.

Utilizza il visualizzatore eventi per i risultati UDM e RAW

• Per esaminare i dettagli granulari di un singolo evento o log non elaborato, fai clic su una riga della tabella Eventi o Log non elaborati. Si apre il Visualizzatore eventi.

Il Visualizzatore eventi include le seguenti schede:

• Campi degli eventi
• Log non elaborato
• Avvisi: visualizzati solo per i risultati UDM della tabella Eventi
• Entità

Utilizza la scheda Campi evento

Per impostazione predefinita, la scheda Campi evento mostra i campi evento UDM in una struttura ad albero gerarchica, denominata Selezionati.

Utilizza la scheda Campi evento per:

• Visualizza la definizione di un campo. Passa il puntatore del mouse sul nome del campo per visualizzarne la definizione.
• Fissa un campo per accedervi rapidamente. Nell'elenco Selezionati, seleziona un campo e fai clic su Mantieni blocco. Il campo viene quindi visualizzato nell'elenco Fissati. I campi rimangono nell'elenco Selezionati e la loro gerarchia nell'elenco Aggiunti viene mostrata con la notazione delimitata da punti con il prefisso udm (ad esempio, udm.metadata.event_type).
• Aggiungi alle colonne o copia più campi. Seleziona la casella di controllo accanto a un nodo o a un campo, quindi scegli Aggiungi alle colonne o Copia.

• Esegui le seguenti azioni:

  • Filtri: applica i seguenti filtri agli elementi selezionati (check_box) nell'elenco Selezionati:
    • Campi
      • Mostra campi senza informazioni aggiuntive
      • Mostra campi con informazioni aggiuntive
      • Mostra campi aggiuntivi
      • Mostra campi estratti
    • Origini log arricchimento: le opzioni disponibili dipendono dall'evento.
  • Copia: per copiare i campi e i valori UDM selezionati negli appunti di sistema.
  • Aggiungi alle colonne: aggiungi il campo UDM come colonna.

Ogni campo UDM è contrassegnato da un'icona che indica se il campo contiene dati arricchiti o non arricchiti. Le etichette delle icone sono le seguenti:

• U: i campi non arricchiti contengono valori compilati durante il processo di normalizzazione utilizzando i dati del log non elaborato originale.

• E: i campi arricchiti contengono valori che Google SecOps compila per fornire un contesto aggiuntivo sugli artefatti in un ambiente del cliente. Per saperne di più, vedi Arricchire i dati di eventi ed entità con Google SecOps.

  La visualizzazione di ogni campo con informazioni aggiuntive può mostrare tutte le fonti associate. Queste informazioni sono utili per la convalida e la risoluzione dei problemi e potrebbero essere necessarie per scopi di controllo e conformità. Puoi anche filtrare i campi in base alla loro origine di arricchimento.

Immagine 6. Campi UDM con e senza informazioni aggiuntive nella scheda Campi evento del Visualizzatore eventi, che mostrano le origini dei campi con informazioni aggiuntive.

Immagine 7. Utilizza il filtro nella scheda Campi evento per mostrare o nascondere i campi in base a vari attributi.

Utilizza la scheda Log non elaborato

La scheda Log non elaborato mostra l'accesso non elaborato originale in uno dei seguenti formati:

• Dati
• JSON
• XML
• CSV
• Hex/ASCII

Utilizza la scheda Avvisi

La scheda Avvisi mostra gli avvisi associati all'evento.

La scheda Avvisi viene visualizzata solo per i risultati UDM della tabella Eventi.

Utilizza la scheda Entità

La scheda Entità mostra le entità associate all'evento.

Fai clic su un'entità per visualizzare la finestra di dialogo Contesto entità, che può includere i seguenti elementi:

• Nome risorsa
• Prima visualizzazione
• Ultima visualizzazione
• Indirizzi IP
• Indirizzi MAC
• Numero di avvisi
• Numero più alto di avvisi per regola
• Grafico a barre degli avvisi nel tempo
• Link Apri Avvisi e IOC
• Link Visualizza nella scheda degli avvisi

Visualizza e gestisci le informazioni nella scheda Avvisi e rilevamenti

Utilizza la scheda Avvisi e rilevamenti per:

• Ricerca delle minacce in tutte le esecuzioni delle regole
• Confronto tra trigger di avvisi azionabili e precursori comportamentali a basso rumore
• Definizione dei confini degli incidenti in un'unica visualizzazione consolidata

La scheda Avvisi e rilevamenti mostra sia gli avvisi che i rilevamenti che corrispondono ai criteri di ricerca nell'attività attivi. Combinando avvisi e rilevamenti in un'unica scheda, puoi esaminare gli avvisi di gravità elevata insieme ai risultati delle regole comportamentali sottostanti per scoprire precursori a basso rumore che non hanno superato la soglia di avviso in modo indipendente.

Gli avvisi sono eventi UDM e dati di telemetria dei connettori di terze parti contrassegnati con soglie di avviso o notifiche di gravità elevata. Il conteggio degli avvisi mostra la telemetria dei log UDM che ha attivato una regola di avviso (alert_state = "ALERTING"), insieme alle notifiche ad alta priorità importate dai connettori di sicurezza di terze parti (come i webhook CrowdStrike o SOAR).

I rilevamenti sono tutti gli output di esecuzione delle regole di avviso (ALERTING) e non di avviso (NOT_ALERTING) generati dalle regole YARA-L 2.0 nel tuo ambiente. La scheda mostra gli output di esecuzione completi delle regole generati dal motore di rilevamento YARA-L 2.0 per i risultati delle regole con e senza avvisi. Ogni avviso generato da una regola è anche un rilevamento (ALERTING), ma il conteggio dei Rilevamenti include anche tutti gli hit delle regole informative, di background o non di avviso (NOT_ALERTING).

Il conteggio nell'intestazione della scheda classifica le corrispondenze di esecuzione delle regole in base allo stato dell'avviso. Ad esempio, se l'intestazione della scheda è Avvisi (43) e rilevamenti (0), significa che esistono 43 corrispondenze in cui alerting_rule = true e zero esecuzioni di regole non di avviso (NOT_ALERTING).

La scheda Avvisi e rilevamenti include i seguenti riquadri:

• Grafico Tendenza nel tempo
• Riquadro Aggregazioni
• Riquadro Rilevamenti

Suggerimento: fai clic su Opzioni di visualizzazione per nascondere o mostrare il grafico e il riquadro Aggregazioni.

Utilizza il grafico Tendenza nel tempo

La scheda Trend over time (Tendenza nel tempo) nella scheda Alerts & Detections (Avvisi e rilevamenti) include un grafico (un istogramma) del volume di rilevamento nel tempo. La larghezza di ogni barra verticale viene scalata dinamicamente in base alla finestra di ricerca complessiva (ad esempio, ogni barra potrebbe rappresentare 10 minuti per una finestra di ricerca di 24 ore).

Il grafico raggruppa tutte le corrispondenze di esecuzione delle regole nel tempo in un'unica serie aggregata denominata Rilevamenti.

Nota: l'intestazione della scheda mostra i valori dei conteggi e divide i risultati in base allo stato degli avvisi (ad esempio, Avvisi (43) e Rilevamento (0)), mentre il grafico Tendenza nel tempo aggrega tutte le occorrenze di rilevamento come barre Rilevamenti.

Il grafico supporta quanto segue:

• Regolazione dell'intervallo di tempo: trascina i controlli del cursore sulla sequenza temporale per restringere immediatamente la finestra temporale visibile. La griglia dei risultati e gli aggregati vengono aggiornati senza eseguire nuovamente la query sul backend.
• Visualizza le aggregazioni e i rilevamenti per la finestra temporale di una singola barra: fai clic su una barra per restringere l'attenzione del grafico, della scheda Aggregazioni e della scheda Rilevamenti alla finestra temporale di quella barra. Viene creato un filtro, che viene visualizzato accanto al pulsante filter_list Aggiungi filtro. Elimina il filtro per visualizzare di nuovo tutti i risultati.
• Popup Dettagli: se fai clic su una delle barre, si apre una finestra di dialogo con l'ora e i valori per Rilevamenti eseguiti con query e Rilevamenti filtrati.

Utilizza il riquadro Aggregazioni per perfezionare i rilevamenti

I contenuti del riquadro Aggregazioni nella scheda Avvisi e rilevamenti riepilogano i valori dei risultati di rilevamento ad alta frequenza, che puoi utilizzare per perfezionare i risultati di ricerca.

Il riquadro Aggregazioni include tre elenchi comprimibili: Campi di rilevamento, Campi UDM (che è un elenco di campi UDM corrispondenti) e Campi entità.

Ogni campo mostra il "conteggio corrispondenze", ovvero il numero di rilevamenti di avvisi che hanno lo stesso valore per quel campo. I contenuti degli elenchi sono ordinati dal numero di corrispondenze più alto a quello più basso e in ordine alfabetico all'interno dello stesso numero di corrispondenze. Puoi cercare i campi negli elenchi ed espandere un elemento di campo.

Puoi bloccare un campo nella parte superiore dell'elenco Aggregazioni passando il puntatore sopra un campo e facendo clic sull'icona Mantieni Mantieni.

Cerca i risultati del rilevamento degli avvisi nel riquadro Aggregazioni

Puoi cercare campi o valori di campo specifici utilizzando il campo di ricerca Cerca del riquadro Aggregazioni. In questo modo, puoi concentrarti sugli avvisi più importanti per te.

Di seguito sono riportati gli attributi chiave degli avvisi per filtrarli nel riquadro Aggregazioni:

• Richiesta
• Nome
• Priorità
• Gravità
• Stato
• Esito

Filtrare i risultati del rilevamento degli avvisi nel riquadro Aggregazioni

Per filtrare i risultati del rilevamento degli avvisi con le aggregazioni, segui questi passaggi:

1. Nel riquadro Aggregazioni, seleziona un campo da un elenco per visualizzare un elenco di valori per quel campo.

2. Seleziona un valore dall'elenco e fai clic su more_vert Altro.

3. Seleziona un'opzione di filtro:

   • Mostra solo: la tabella Rilevamenti viene aggiornata per visualizzare solo gli avvisi corrispondenti e il filtro = "value" viene visualizzato accanto al pulsante filter_list Aggiungi filtro.
   • Filtra: la tabella Rilevamenti viene aggiornata con gli avvisi corrispondenti filtrati e il filtro != "value" viene visualizzato accanto al pulsante filter_list Aggiungi filtro.
   • Maggiore di (solo per i campi interi): la tabella Rilevamenti viene aggiornata per mostrare gli avvisi con un valore maggiore di questo e il filtro > "value" viene visualizzato accanto al pulsante filter_list Aggiungi filtro.
   • Maggiore o uguale a (solo per i campi di numeri interi): la tabella Rilevamenti viene aggiornata per visualizzare gli avvisi con un valore maggiore o uguale a questo e il filtro >= "value" viene visualizzato accanto al pulsante Aggiungi filtro filter_list.
   • Minore di (solo per i campi di numeri interi): la tabella Rilevamenti viene aggiornata per visualizzare gli avvisi con un valore inferiore a questo e il filtro < "value" viene visualizzato accanto al pulsante Aggiungi filtro filter_list.
   • Minore o uguale a (solo per i campi interi): la tabella Rilevamenti viene aggiornata per mostrare gli avvisi con un valore minore o uguale a questo e il filtro <= "value" viene visualizzato accanto al pulsante filter_list Aggiungi filtro.
   • Copia: copia la coppia campo-valore negli appunti.

• Per eliminare un filtro e aggiornare i risultati del rilevamento degli avvisi, elimina il filtro visualizzato accanto al pulsante filter_list Aggiungi filtro.

Utilizzare il riquadro Rilevamenti

Utilizza il riquadro Rilevamenti per visualizzare, ordinare e gestire gli elementi che corrispondono alla tua ricerca.

Per informazioni sulle funzioni e sugli strumenti supportati per questa scheda, consulta Utilizza strumenti comuni per le tabelle. Le funzioni supportate includono la gestione delle colonne nella tabella visualizzata dalla scheda, il download dei risultati di ricerca e altro ancora.

Esaminare i dettagli granulari di un singolo avviso (Visualizzatore avvisi)

• Per esaminare i dettagli granulari di un singolo avviso, fai clic su una riga della tabella Rilevamenti. Si apre il Visualizzatore avvisi.

Il Visualizzatore avvisi include le seguenti schede:

• Campi di rilevamento
• Dettagli
• Variabili

• Entità
  
  

• Per andare a un'altra pagina della console Google SecOps con i dettagli dell'avviso, fai clic su Visualizza dettagli.

Utilizza la scheda Detection Fields (Campi di rilevamento)

Per impostazione predefinita, la scheda Campi di rilevamento mostra i campi di rilevamento in una struttura ad albero gerarchica, etichettata come Selezionati.

Utilizza la scheda Campi di rilevamento per:

• Visualizza la definizione di un campo. Tieni il puntatore sul nome del campo per visualizzarne la definizione.
• Fissa un campo per accedervi rapidamente. Nell'elenco Selezionati, seleziona un campo e fai clic su Mantieni blocco. Il campo viene quindi visualizzato nell'elenco Bloccati. I campi rimangono nell'elenco Selezionati e la loro gerarchia nell'elenco Aggiunti viene mostrata con la notazione delimitata da punti con il prefisso collection (ad esempio, collection.created_time).
• Aggiungi alle colonne o copia più campi. Seleziona la casella di controllo accanto a un nodo o a un campo, quindi scegli Aggiungi alle colonne o Copia.

• Esegui le seguenti azioni:

  • Applica i filtri all'elenco Selezionati.
  • Aggiungi alle colonne: aggiungi il campo come colonna.
  • Copia: per copiare i campi e i valori selezionati negli appunti di sistema.

Utilizzare la scheda Dettagli

La scheda Dettagli mostra i dettagli dell'avviso. Il set di campi di dettaglio varia a seconda dell'avviso specifico.

Campi dei dettagli di esempio:

• Nome (sempre avviso)
• Tipo
• Gravità
• Scoring del rischio
• Stato
• Priorità
• Rilevato
• Finestra di rilevamento
• Creato
• Regola
• Serie di regole
• Descrizione
• Tag

Utilizza la scheda Variabili

La scheda Variabili mostra il campo, il tipo e il valore di ogni variabile associata all'avviso.

Utilizza la scheda Entità

La scheda Entità viene visualizzata solo quando è presente un'entità associata all'avviso.

La scheda Entità mostra le entità associate all'avviso.

Fai clic su un'entità per visualizzare la finestra di dialogo Contesto entità, che può includere i seguenti elementi:

• Nome risorsa
• Prima visualizzazione
• Ultima visualizzazione
• Indirizzi IP
• Indirizzi MAC
• Numero di avvisi
• Numero più alto di avvisi per regola
• Grafico a barre degli avvisi nel tempo
• Link Apri Avvisi e IOC
• Link Visualizza nella scheda degli avvisi

Visualizzare e gestire le informazioni nella scheda Panoramica

Utilizza la scheda Panoramica per:

• Controlla la cronologia delle entità (Primo rilevamento, Ultimo rilevamento, Indirizzi MAC)
• Verifica se gli indicatori osservati si sovrappongono ad avvisi o casi di operazioni di sicurezza attivi

La scheda Panoramica mostra il grafico del contesto dell'entità (ECG) consolidato, i dettagli dell'asset o dell'utente e la panoramica dell'indagine per gli indicatori di compromissione (IOC) o le entità che corrispondono alla finestra di ricerca attiva. Le informazioni presentate variano a seconda del tipo di informazioni.

La scheda Panoramica mostra le informazioni sull'entità in uno dei seguenti tipi di informazioni predefiniti:

• Dettagli degli asset
• Dettagli del dominio
• Dettagli del file
• Dettagli IP
• Dettagli utente

Visualizza i dettagli dell'asset nella scheda Panoramica

Quando la query include una condizione che restituisce un asset specifico, ad esempio principal.hostname="laptop-will" o principal.ip="10.0.0.76", la scheda Panoramica mostra la visualizzazione asset con le informazioni nei seguenti riquadri:

• Riepilogo della ricerca: mostra le seguenti informazioni:
  • Dettagli sull'entità, inclusi l'indirizzo IP e l'indirizzo MAC associati all'asset durante l'intervallo di tempo della ricerca. L'indirizzo IP e l'indirizzo MAC possono essere utilizzati anche per identificare un'entità e possono essere selezionati per visualizzare informazioni aggiuntive nel visualizzatore di entità. Mostra anche la prima volta che l'asset è stato rilevato nella tua azienda e l'ultima volta (più recente) che è stato rilevato. Puoi fare clic su uno dei timestamp (primo o ultimo) per eseguire una nuova ricerca utilizzando l'ora corrispondente.
  • Dettagli sugli avvisi, incluso un grafico che mostra il numero di avvisi che hanno coinvolto l'entità nell'intervallo di tempo della ricerca. Il riquadro elenca anche un sottoinsieme di regole con il maggior numero di avvisi.
  • Fai clic su Apri avvisi e IOC per visualizzare tutti gli avvisi generati nello stesso intervallo di tempo di ricerca.
  • Fai clic su Visualizza nella scheda Avvisi per passare alla scheda Avvisi e rilevamenti in questa pagina e avviare una nuova ricerca per l'entità selezionata.
  • Fai clic su una delle barre del grafico per passare alla scheda Avvisi e rilevamenti di questa pagina e avvia una nuova ricerca sull'entità selezionata, utilizzando l'intervallo di tempo della barra su cui hai fatto clic.
  • Fai clic sul link Visualizza altro per aprire la visualizzazione Campi entità e visualizzare tutti i campi entità associati all'asset. Per copiare un campo entità negli appunti, fai clic sulla casella di controllo accanto al campo entità, poi su Visualizza azioni e infine su Copia entità. Fai clic sulla casella di controllo in alto per selezionare tutte le entità.
• IOC pertinenti: mostra gli IOC associati all'asset. Gli IOC a cui è stata assegnata una gravità maggiore vengono visualizzati per primi. Se fai clic sul nome dell'indicatore di compromissione, si apre il visualizzatore di entità a destra.
• Entità associate: mostra altre entità a cui è correlato questo asset, ad esempio gli utenti che hanno eseguito l'accesso all'asset. Il riquadro mostra il tipo di entità, la prima volta che è stata rilevata nell'ambiente e l'ultima volta (più recente) che è stata rilevata. Mostra anche gli spazi dei nomi associati a una risorsa. Fai clic su un'entità per aprire il riquadro Contesto entità. Fai clic su Mostra tutto il tempo per visualizzare le entità associate nell'intero periodo di tempo disponibile, anziché nell'intervallo specificato nella ricerca UDM.
• Contesto dell'entità: mostra i dettagli dell'entità selezionata nel riquadro Entità associate. Questo riquadro mostra informazioni diverse a seconda del tipo di entità selezionata nel riquadro Entità associate (ad esempio, utente o dominio).

Visualizza i dettagli del dominio nella scheda Panoramica

Quando la query include una condizione che specifica un dominio specifico, ad esempio target.hostname="example.com", la scheda Panoramica mostra i dettagli del Dominio con informazioni nei seguenti riquadri:

• Riepilogo della ricerca: mostra le seguenti informazioni:
  • Dettagli sul dominio, tra cui le informazioni WHOIS associate al dominio registrato, la prima volta che è stato visualizzato nella tua azienda e l'ultima (più recente) volta che è stato visualizzato. Fai clic su Contesto VT per visualizzare le informazioni sul dominio di VirusTotal.
  • Dettagli sugli avvisi, incluso un grafico che mostra il numero di avvisi che hanno coinvolto l'entità nell'intervallo di tempo della ricerca. Il riquadro elenca anche un sottoinsieme di regole con il maggior numero di avvisi.
  • Fai clic su Apri avvisi e IOC per visualizzare tutti gli avvisi generati nello stesso intervallo di tempo della ricerca.
  • Fai clic su Visualizza nella scheda Avvisi per passare alla scheda Avvisi e rilevamenti in questa pagina e avviare una nuova ricerca per l'entità selezionata.
  • Fai clic su una delle barre del grafico per passare alla scheda Avvisi e rilevamenti in questa pagina e avviare una nuova ricerca per l'entità selezionata, utilizzando l'intervallo di tempo della barra su cui hai fatto clic.
  • Fai clic sul link Visualizza altro per aprire la visualizzazione Campi entità e visualizzare tutti i campi entità associati al dominio. Per copiare un campo entità negli appunti, fai clic sulla casella di controllo accanto al campo entità, fai clic su Visualizza azioni e poi su Copia entità. Fai clic sulla casella di controllo in alto per selezionare tutte le entità.
• IP risolti: mostra tutti gli indirizzi IP risolti che sono stati visualizzati nella tua impresa per il nome di dominio completo (FQDN). Ad esempio, se cerchi target.hostname="test.altostrat.com", i risultati di ricerca potrebbero mostrare due indirizzi IP risolti (198.51.100.81 e 203.0.113.81).
• Sottodomini e domini di pari livello: mostra tutti i sottodomini associati che sono stati visualizzati nella tua azienda per un determinato FQDN. Molti aggressori utilizzano lo stesso dominio e sottodominio per i loro attacchi. Ad esempio, se cerchi target.hostname="sandbox.altostrat.com", questo riquadro mostra due sottodomini, test.sandbox.altostrat.com e staging.sandbox.altostrat.com.
• Prevalenza degli asset: mostra il numero di asset della tua azienda che si sono connessi al dominio per l'intero periodo di tempo dei dati archiviati nel tuo account Google Security Operations. Ogni barra del grafico rappresenta il numero di asset univoci della tua azienda che si sono connessi al dominio in un giorno UTC. Se passi il mouse sopra una barra, vengono visualizzate le entità correlate nel giorno UTC rappresentato dalla barra. Fai clic sul nome dell'entità per visualizzare il riepilogo e la panoramica dell'entità nel riquadro contestuale dell'entità visualizzato a destra. Fai clic su Visualizza eventi per visualizzare gli eventi correlati all'entità selezionata nella scheda degli eventi di ricerca.
• Entità associate: mostra altre entità a cui questo dominio è correlato, ad esempio gli asset che hanno contattato questo dominio. L'elenco include il tipo di entità, la prima volta che è stata rilevata nella tua azienda e l'ultima volta (più recente) che è stata rilevata. Fai clic su un'entità per aprire il riquadro Contesto entità.
• Contesto dell'entità: mostra i dettagli dell'entità selezionata nel riquadro Entità associate. Questo riquadro mostra informazioni diverse a seconda del tipo di entità selezionata nel riquadro Entità associate (ad esempio, indirizzo IP o dominio).

Visualizza i dettagli del file

Quando la query include una condizione che restituisce un singolo file, ad esempio principal.process.file.md5="a00000a75f2a35130aa7a7aaa09aaa7a", la scheda Panoramica mostra i dettagli del file con le informazioni nei seguenti riquadri:

• Riepilogo della ricerca: mostra le seguenti informazioni:
  • Dettagli sul file, inclusi valori hash, dimensioni del file, la prima volta che è stato visto nella tua azienda e l'ultima (più recente) volta che è stato visto. Fai clic su Contesto VT per visualizzare le informazioni sul file di VirusTotal.
  • Dettagli sugli avvisi, incluso un grafico che mostra il numero di avvisi che hanno coinvolto l'entità nell'intervallo di tempo della ricerca. Il riquadro elenca anche un sottoinsieme di regole con il maggior numero di avvisi.
  • Fai clic su Apri avvisi e IOC per visualizzare tutti gli avvisi generati nello stesso intervallo di tempo della ricerca.
  • Fai clic su Visualizza nella scheda Avvisi per passare alla scheda Avvisi e rilevamenti in questa pagina e avviare una nuova ricerca per l'entità selezionata.
  • Fai clic su una delle barre del grafico per passare alla scheda Avvisi e rilevamenti in questa pagina e avviare una nuova ricerca sull'entità selezionata, utilizzando l'intervallo di tempo della barra su cui hai fatto clic.
  • Fai clic sul link Visualizza altro per aprire la visualizzazione Campi entità e visualizzare tutti i campi entità associati al file. Per copiare un campo entità negli appunti, fai clic sulla casella di controllo accanto al campo entità, poi su Visualizza azioni e infine su Copia entità. Fai clic sulla casella di controllo in alto per selezionare tutte le entità.
• IOC pertinenti: mostra gli IOC associati al file. Gli IOC a cui è stata assegnata una gravità maggiore vengono visualizzati per primi. Se fai clic sul nome dell'indicatore di compromissione, si apre il visualizzatore di entità a destra.
• Prevalenza degli asset: mostra il numero di asset nella tua azienda associati al file per l'intero periodo di tempo dei dati memorizzati nel tuo account Google SecOps.
• Entità associate: mostra altre entità a cui questo file è correlato, ad esempio un asset in cui è stato eseguito il file o gli utenti che hanno avuto accesso al file. L'elenco include il tipo di entità, la prima volta che è stata rilevata nella tua azienda e l'ultima volta (più recente) che è stata rilevata. Fai clic su un'entità per aprire il riquadro Contesto entità.
• Proprietà e metadati di VirusTotal: visualizza le informazioni sul file dal database di VirusTotal. Fai clic su Visualizza altro per aprire una finestra di dialogo di VirusTotal e visualizzare ulteriori informazioni sul file.
• Entità associate: mostra informazioni diverse a seconda del tipo di entità selezionato nel riquadro Entità associate (ad esempio, utente o asset).
• Contesto dell'entità: mostra i dettagli dell'entità selezionata nel riquadro Entità associate. Questo riquadro mostra informazioni diverse a seconda del tipo di entità selezionata nel riquadro Entità associate (ad esempio, utente o asset).

Visualizza i dettagli dell'IP nella scheda Panoramica

Quando la query include una condizione che restituisce un indirizzo IP esterno specifico, ad esempio target.ip="203.0.113.254", la scheda Panoramica mostra i dettagli dell'IP con informazioni nei seguenti riquadri:

• Riepilogo della ricerca: mostra le seguenti informazioni:
  • Dettagli sull'indirizzo IP, tra cui la prima volta che è stato rilevato nella tua azienda e l'ultima (più recente). Fai clic su Contesto VT per visualizzare le informazioni disponibili su questo indirizzo IP da VirusTotal.
  • Dettagli sugli avvisi, incluso un grafico che mostra il numero di avvisi che hanno coinvolto l'entità nell'intervallo di tempo della ricerca. Il riquadro elenca anche un sottoinsieme di regole con il maggior numero di avvisi.
  • Fai clic su Apri avvisi e IOC per visualizzare tutti gli avvisi generati nello stesso intervallo di tempo della ricerca.
  • Fai clic su Visualizza nella scheda Avvisi per passare alla scheda Avvisi e rilevamenti in questa pagina e avviare una nuova ricerca per l'entità selezionata.
  • Fai clic su una delle barre del grafico per passare alla scheda Avvisi e rilevamenti in questa pagina e avviare una nuova ricerca per l'entità selezionata, utilizzando l'intervallo di tempo della barra su cui hai fatto clic.
  • Fai clic sul link Visualizza altro per aprire la visualizzazione Campi entità e visualizzare tutti i campi entità associati all'indirizzo IP. Per copiare un campo entità negli appunti, fai clic sulla casella di controllo accanto al campo entità, fai clic su Visualizza azioni e poi su Copia entità. Fai clic sulla casella di controllo in alto per selezionare tutte le entità.
• IOC pertinenti: visualizza gli IOC associati all'indirizzo IP. Gli IOC con una gravità più elevata vengono visualizzati per primi. Se fai clic sul nome dell'indicatore di compromissione, si apre il visualizzatore di entità a destra.
• Prevalenza degli asset: mostra il numero di asset della tua azienda che si sono connessi all'indirizzo IP nel periodo di tempo specificato nella ricerca UDM.
• Entità associate: mostra altre entità a cui è correlato questo indirizzo IP, ad esempio i domini a cui è registrato l'indirizzo IP. L'elenco include il tipo di entità, la prima volta che è stata rilevata nella tua azienda e l'ultima volta (più recente) che è stata rilevata. Fai clic su un'entità per aprire il riquadro Contesto entità.
• Contesto dell'entità: mostra i dettagli dell'entità selezionata nel riquadro Entità associate. Questo riquadro mostra informazioni diverse a seconda del tipo di entità selezionato nel riquadro Entità associate (ad esempio, dominio o asset). Se il link viene visualizzato, fai clic su Contesto VT per visualizzare le informazioni sull'entità da VirusTotal.

Visualizza i dettagli dell'utente nella scheda Panoramica

Quando la query include una condizione che restituisce un utente specifico, ad esempio principal.user.userid="alice", la scheda Panoramica mostra i dettagli dell'utente con informazioni nei seguenti pannelli:

• Riepilogo della ricerca: mostra le seguenti informazioni:
  • Dettagli sull'entità, tra cui il nome completo, la prima volta che è stata rilevata nella tua azienda e l'ultima (più recente), il titolo e l'indirizzo email.
  • Dettagli sugli avvisi, incluso un grafico che mostra il numero di avvisi che hanno coinvolto l'entità nell'intervallo di tempo della ricerca. Il riquadro elenca anche un sottoinsieme di regole con il maggior numero di avvisi.
  • Fai clic su Apri avvisi e IOC per visualizzare tutti gli avvisi generati nello stesso intervallo di tempo della ricerca.
  • Fai clic su Visualizza nella scheda Avvisi per passare alla scheda Avvisi e rilevamenti in questa pagina e avviare una nuova ricerca per l'entità selezionata.
  • Fai clic su una delle barre del grafico per passare alla scheda Avvisi e rilevamenti in questa pagina e avviare una nuova ricerca sull'entità selezionata, utilizzando l'intervallo di tempo della barra su cui hai fatto clic.
  • Fai clic sul link Visualizza altro per aprire la visualizzazione Campi entità e visualizzare tutti i campi entità associati all'utente. Per copiare un campo entità negli appunti, fai clic sulla casella di controllo accanto al campo entità, poi su Visualizza azioni e infine su Copia entità. Fai clic sulla casella di controllo in alto per selezionare tutte le entità.
• Entità associate: mostra le entità a cui questo utente è correlato, ad esempio i domini contattati dall'utente o gli asset a cui ha avuto accesso. L'elenco include il tipo di entità, la prima volta che è stata visualizzata nella tua azienda e l'ultima volta (più recente) che è stata visualizzata. Fai clic su un'entità per aprire il riquadro Contesto entità.
• Contesto dell'entità: mostra i dettagli dell'entità selezionata nel riquadro Entità associate. Le informazioni contenute in questo riquadro variano a seconda del tipo di entità (ad esempio, asset o dominio).

Visualizza e gestisci le informazioni nella scheda Visualizza

Utilizza la scheda Visualizza per trasformare i dati dei risultati di ricerca di STATS in un diagramma, un grafico o una tabella.

Utilizzare gli strumenti comuni per le tabelle

Nella pagina Ricerca SIEM, la maggior parte dei riquadri che contengono una singola tabella supporta le stesse funzioni e gli stessi strumenti comuni.

Questa sezione descrive le seguenti funzioni e strumenti comuni:

• Casella di ricerca. Utilizza la casella di ricerca per trovare i risultati corrispondenti nella tabella adiacente.
• Gestisci le colonne delle tabelle e condividi i set di colonne (Gestore colonne).
• Pulsante Testo a capo - Annulla testo a capo. È utile andare a capo per visualizzare intere stringhe lunghe in una colonna.
• Scarica i risultati di ricerca da una tabella.
• Strumento Righe per pagina nella parte inferiore della tabella. Puoi utilizzare questo strumento per migliorare la stabilità e le prestazioni del browser durante il caricamento di un numero elevato di record dei risultati (righe). Google SecOps fornisce risultati di ricerca impaginati. Utilizza l'elenco Righe per pagina nella tabella Eventi per selezionare il numero di righe da visualizzare per pagina (da 10 a 1000 eventi).

Gestisci le colonne delle tabelle e condividi i set di colonne (Gestore colonne)

Per utilizzare una visualizzazione coerente durante l'analisi dei dati sugli eventi, puoi creare, salvare e condividere insiemi di colonne personalizzati per le seguenti tabelle nella pagina Ricerca SIEM:

• Nel riquadro Risultati, per le seguenti tabelle: Eventi, Log grezzi, Join
• Nella scheda Avvisi e rilevamenti, per la tabella Rilevamenti.

Per utilizzare questa funzionalità, il tuo account utente o il tuo ruolo Identity and Access Management deve disporre di tutte e cinque le seguenti autorizzazioni:

• chronicle.googleapis.com/savedColumnSets.create
• chronicle.googleapis.com/savedColumnSets.update
• chronicle.googleapis.com/savedColumnSets.delete
• chronicle.googleapis.com/savedColumnSets.list
• chronicle.googleapis.com/savedColumnSets.get

Nota: la scheda Statistiche supporta solo un Selettore colonne in cui puoi solo aggiungere o rimuovere colonne. La scheda Statistiche non supporta la funzionalità Gestione colonne.

Crea un set di colonne

I passaggi per creare un insieme di colonne variano leggermente a seconda della tabella con cui stai lavorando.

Per creare un set di colonne per la tabella Eventi, Log non elaborati o Join, segui questi passaggi:

1. Fai clic su Colonne per aprire Gestore colonne.
2. Fai clic sull'icona filter_alt Filtro per specificare se mostrare le colonne non applicabili.
3. Fai clic sul pulsante di attivazione/disattivazione Mostra selezionati per visualizzare solo le colonne selezionate nella scheda Colonne eventi.
4. Nella scheda Colonne eventi, aggiungi o rimuovi colonne per il tuo set di colonne. Puoi sfogliare o cercare i campi nelle sezioni comprimibili (che variano a seconda del tipo di risultato di ricerca), ad esempio Campi rapidi (i campi più comuni per tipo di dati), Campi raggruppati, Tutti i campi evento e Tutti i campi entità. Attiva o disattiva le caselle di controllo per mostrare o nascondere le colonne.
5. Disponi le colonne e poi fai clic su Salva. Si apre la finestra di dialogo Salva set di colonne.
6. Seleziona una delle seguenti opzioni:
   • Salva: inserisci un nuovo nome per l'insieme di colonne.
   • Sostituisci: se hai modificato un insieme salvato in precedenza, puoi sovrascrivere l'insieme esistente con le modifiche.
7. Fai clic su Salva. Il set di colonne è elencato nella scheda Set di colonne.

Per creare un set di colonne per la tabella Rilevamenti, segui questi passaggi:

1. Fai clic su Colonne per aprire Gestore colonne.
2. Fai clic sull'icona filter_alt Filtro per specificare se mostrare le colonne non applicabili.

3. Dall'elenco Tipo di tabella, seleziona il tipo di tabella per cui vuoi creare un insieme di colonne:

   • Rilevamenti
   • Eventi
   • Entità (visualizza le colonne espandendo le righe della tabella).

   Le modifiche apportate a un tipo di tabella specifico verranno applicate solo alle tabelle e alle sottotabelle di quel tipo.

4. Fai clic sul pulsante di attivazione/disattivazione Mostra selezionati per visualizzare solo le colonne selezionate nella scheda corrispondente (Colonne rilevamenti, Colonne eventi o Colonne entità).

5. Nella scheda corrispondente, aggiungi o rimuovi le colonne per il tuo set di colonne. Puoi sfogliare o cercare i campi nelle sezioni comprimibili (che variano a seconda del tipo di risultato di ricerca). Attiva o disattiva le caselle di controllo per mostrare o nascondere le colonne.

6. Disponi le colonne e poi fai clic su Salva. Si apre la finestra di dialogo Salva set di colonne.

7. Seleziona una delle seguenti opzioni:

   • Salva: inserisci un nuovo nome per l'insieme di colonne.
   • Sostituisci: se hai modificato un insieme salvato in precedenza, puoi sovrascrivere l'insieme esistente con le modifiche.

8. Fai clic su Salva. Il set di colonne è elencato nella scheda Set di colonne.

Condividi un set di colonne

Per condividere un set di colonne con tutti gli altri utenti nel tuo tenant Google SecOps:

1. Fai clic su Colonne per aprire Gestore colonne.
2. Nella scheda Colonne eventi, aggiungi o rimuovi colonne per il set di colonne. Puoi sfogliare o cercare campi in sezioni comprimibili (che variano a seconda del tipo di risultato di ricerca), ad esempio Campi rapidi (i campi più comuni per tipo di dati), Campi raggruppati, Tutti i campi evento e Tutti i campi entità. Attiva o disattiva le caselle di controllo per mostrare o nascondere le colonne.
3. Disponi le colonne e poi fai clic su Condividi. Si apre la finestra di dialogo Condividi set di colonne.
4. Seleziona una delle seguenti opzioni:
   • Condividi come nuovo: inserisci un nuovo nome per il set di colonne da condividere.
   • Condividi esistente: seleziona un set salvato in precedenza dall'elenco.
5. Fai clic su Condividi. Il set di colonne è elencato nella scheda Set di colonne con un badge CONDIVISO.

Carica un set di colonne salvato

Per caricare un insieme di colonne salvato:

1. Fai clic su Colonne per aprire Gestore colonne.
2. Seleziona la scheda Set di colonne.
3. Seleziona il set di colonne da caricare e fai clic su Applica.

Eliminare un set di colonne salvato

Per eliminare un insieme di colonne salvato:

1. Fai clic su Colonne per aprire Gestore colonne.
2. Seleziona la scheda Set di colonne.
3. Seleziona il set di colonne, fai clic su Altro > Elimina.

Scarica i risultati di ricerca da una tabella

Puoi scaricare e salvare un file CSV contenente i contenuti di una tabella visualizzata nella pagina Ricerca SIEM. Per la tabella Eventi o una tabella pivot, è disponibile anche un'opzione per raggruppare i log non elaborati originali, che consente di ottenere una correlazione precisa tra i record UDM analizzati e la telemetria di origine. Questa funzionalità è progettata per i team che richiedono l'elaborazione di analisi esterne, tracce di audit per la conformità in cui è necessario preservare la relazione tra i dati normalizzati e l'importazione originale o la correlazione esterna.

Per scaricare i risultati di ricerca (fino al numero massimo di risultati di ricerca specificato) dalla tabella Eventi:

1. (Facoltativo) Utilizza Gestore colonne per specificare i campi UDM da includere nel file CSV. La colonna Log non elaborato viene aggiunta in base alla tua selezione.

2. Fai clic su Scarica nella parte superiore della tabella e seleziona una delle seguenti opzioni:

   • Scarica come CSV: scarica gli eventi corrispondenti (e in base al numero esatto visualizzato di eventi specificati).
   • Scarica come CSV (con log non elaborati): scarica gli eventi corrispondenti e aggiunge le stringhe di log originali non analizzate come colonna dedicata accanto a ogni record UDM normalizzato (e in base al numero esatto visualizzato di eventi specificati).

3. Salva il file.

Per scaricare i risultati di ricerca (fino al numero massimo di risultati di ricerca specificato) dalle tabelle della scheda Risultato, diverse dal riquadro Eventi o dal riquadro Pivot:

1. Fai clic su Scarica nella parte superiore della tabella e seleziona Scarica come CSV. In questo modo vengono scaricati i risultati corrispondenti (e in base al numero esatto visualizzato di eventi specificati).
2. Salva il file.

Per scaricare i risultati di ricerca (fino al numero massimo di risultati di ricerca specificato) dalla tabella Rilevamenti:

1. Fai clic su Scarica nella parte superiore della tabella e seleziona Scarica come CSV. Vengono scaricati i risultati corrispondenti (e in base al numero esatto visualizzato di eventi specificati).
2. Salva il file.

Campi supportati durante il salvataggio di un file CSV

Puoi scaricare i seguenti campi in un file CSV dalla piattaforma:

• user
• hostname
• process name
• timestamp
• raw log: Valido solo se i log non elaborati sono attivati per il cliente
• Tutti i campi che iniziano con udm.additional

Tipi di campi validi per il salvataggio di un file CSV

Puoi scaricare i seguenti tipi di campi in un file CSV:

• double
• float
• int32
• uint32
• int64
• uint64
• bool
• string
• enum
• bytes
• google.protobuf.Timestamp
• google.protobuf.Duration

Campi non supportati durante il salvataggio di un file CSV

I campi che soddisfano uno dei seguenti criteri non possono essere scaricati in formato CSV:

• Tipo di campo: tipi di dati definiti come messaggio o gruppo nel proto UDM.
• Profondità dei campi: campi nidificati su più di 10 livelli.

• Campi specifici della UI: i seguenti campi visualizzati nella UI non sono supportati per il download diretto:

  • Campi evento:

    • Stato evento
    • Event Summary

    • Tipo di evento

      Nota: per scaricare il tipo di evento, seleziona il campo metadata.event_type in Gestione colonne.

  • Grafico del contesto entità:

    • Prima visualizzazione
    • Ultima visualizzazione
    • Timestamp

  • Ricerca federata:

    • Codice istanza

Limiti e quote

Google SecOps applica limiti alle query di ricerca per garantire la stabilità della piattaforma e prestazioni coerenti tra le interfacce web e programmatiche. Questi limiti si applicano sia alle API Backstory sia alle API Chronicle.

Quote di ricerca e API

I seguenti limiti si applicano al numero di query di ricerca e di operazioni simultanee per tenant:

• Query all'ora (QPH): limite dell'interfaccia della console web di 1000 QPH; limite di accesso all'API programmatica di 2000 QPH.

• Query semplici (che coprono meno di 24 ore, una sola origine, nessuna statistica): limite di concorrenza massimo di 180 query simultanee per tenant.

  Se il pool di concorrenza per le query semplici si esaurisce, le operazioni verranno automaticamente trasferite nella quota disponibile per le query complesse.

• Query complesse (che coprono un periodo di tempo superiore a 24 ore, con più origini o che includono statistiche): limite massimo di contemporaneità di 180 query simultanee per tenant.

• Limite di prompt dei campi UDM: una singola query può fare riferimento a un massimo di 100 campi UDM all'interno del prompt.

Errori di quota

Quando viene raggiunto un limite, l'interfaccia web mostra una notifica di errore di quota persistente. Per l'accesso programmatico, le chiamate API (ad esempio instances.udmSearch) restituiscono un errore di stato HTTP 429 RESOURCE_EXHAUSTED contenente un messaggio google.rpc.QuotaFailure che descrive in dettaglio il limite specifico che hai superato.

Limiti per i risultati e la visualizzazione

Utilizza Impostazioni di ricerca  > Numero massimo di risultati da restituire per modificare il limite di backend (da 1 a 1.000.000, valore predefinito 30.000).

Per garantire una stabilità della piattaforma coerente e tempi di risposta rapidi nelle interfacce web e API, Google SecOps applica i seguenti limiti:

Tipo di ricerca o origine dati	Numero massimo di risultati restituiti	Comportamento di visualizzazione della console web
Ricerca di eventi UDM	1.000.000 di record	Visualizzati direttamente nel riquadro Eventi all'interno della scheda Risultati. Mostra i record più recenti nelle righe paginate (da 10 a 1000 per pagina).
Tabelle di dati e unioni	1.000.000 di record	Le righe correlate vengono visualizzate nel riquadro Eventi all'interno della scheda Risultati in base alla configurazione di Gestione colonne.
Richieste e cronologia delle richieste	1.000.000 di record	Visualizzati direttamente nei riquadri Richieste e Cronologia delle richieste all'interno della scheda Risultati. Visualizzati nel contesto della Panoramica o utilizzando le query di Ricerca casi.
Statistiche	100.000 record (solo API UI e operazione a lunga esecuzione)	Visualizzati direttamente nel riquadro Statistiche all'interno della scheda Risultati. I grafici visualizzano i valori principali per una maggiore leggibilità e mostrano un avviso quando vengono superati i limiti visivi.
Aggregazioni pivot (Risultati > Pivot)	100.000 record	I grafici mostrano i valori principali per una migliore leggibilità; viene visualizzato un avviso quando vengono superati i limiti visivi.
Rilevamenti delle regole	100.000 record	Visualizzati direttamente nella scheda combinata Avvisi e rilevamenti.
Entity Context Graph (ECG)	1.000.000 di record	Visualizzati nei riquadri Dati con timestamp e Dati senza timestamp nella scheda Risultati. La tabella nel riquadro Dati temporizzati mostra le entità con un intervallo di tempo definito. La tabella nella scheda Dati senza limiti di tempo mostra le entità che non hanno un intervallo di tempo definito. È possibile che l'interfaccia mostri solo entità senza tempo, solo entità temporizzate o un mix diverso di queste ogni volta che viene eseguita la query. Per saperne di più, consulta Utilizza i riquadri Dati temporizzati e Dati senza tempo.

Ottimizzare e perfezionare i risultati di ricerca

Questa sezione descrive le limitazioni e le aspettative relative al rendimento e fornisce soluzioni self-service per i problemi comuni con la pagina Ricerca SIEM in Google Security Operations.

Ottimizzazione delle prestazioni e best practice

Per ottimizzare la velocità delle query e ridurre al minimo i rischi di timeout:

• Restringi innanzitutto l'intervallo di tempo: il tempo è il filtro più efficace. L'esecuzione di query sulla finestra esatta di 2 ore di un incidente è esponenzialmente più veloce rispetto alla ricerca in una finestra di 30 giorni.
• Esegui query sui campi UDM esatti anziché sugli alias raggruppati: sebbene i campi raggruppati (ip = "1.2.3.4") siano pratici, costringono il motore a controllare più di 15 campi sottostanti (principal.ip, target.ip, observer.ip). Se sai che un indirizzo IP appartiene al server di destinazione, esegui query direttamente su target.ip = "1.2.3.4".
• Evita i caratteri jolly iniziali nelle espressioni regolari: le query che iniziano con un carattere jolly (principal.hostname = /.*server-.*/) impediscono le ricerche nell'indice e forzano le scansioni complete della tabella. Ancora l'espressione regolare quando possibile (principal.hostname = /^prod-server-.*/).
• Sfrutta i metadati indicizzati: filtra per metadata.event_type (NETWORK_CONNECTION, PROCESS_LAUNCH, USER_LOGIN) o metadata.log_type all'inizio della catena AND per eliminare immediatamente le origini log non pertinenti.
• Utilizza limit: N per il campionamento dei dati rapido e le anteprime veloci: puoi aggiungere la parola chiave limit: N direttamente alla query (ad esempio, metadata.event_type = "USER_LOGIN" limit: 50) per il campionamento dei dati rapido e le anteprime veloci.

Best practice per le ricerche generiche

Se la ricerca è troppo ampia, Google SecOps mostra un messaggio di avviso che indica che non è possibile mostrare tutti i risultati di ricerca. In questi casi, il sistema recupera solo i risultati più recenti, fino al limite di ricerca di un milione di eventi e 1000 avvisi. Tuttavia, potrebbero esserci molti altri eventi e avvisi corrispondenti che non vengono visualizzati.

Per acquisire tutti i risultati pertinenti, perfeziona la ricerca applicando filtri aggiuntivi, ad esempio:

• Restringi l'intervallo di tempo per ridurre le dimensioni del set di dati.
• Utilizza query di ricerca o filtri specifici anziché termini generici.
• Esegui query sui campi UDM precisi anziché su quelli raggruppati quando hai bisogno dei risultati per un singolo campo.

Esegui il debug e perfeziona le query

Questa sezione descrive come eseguire il debug e perfezionare le query.

Visualizzare gli errori di runtime

Se la query restituisce un errore, il messaggio di errore di runtime specifico viene visualizzato in modo permanente nel riquadro Risultati. Questa visualizzazione persistente garantisce che il contesto dell'errore rimanga visibile, aiutandoti a risolvere il problema.

Limitare i risultati di ricerca

Puoi limitare i risultati di ricerca aggiungendo la parola chiave limit con il numero massimo di risultati di ricerca che vuoi visualizzare. Questa opzione è utile per generare anteprime rapide dei dati, ottimizzare le prestazioni o quando hai bisogno solo di un sottoinsieme dei risultati. Ad esempio, se aggiungi limit: 25 alla ricerca, i risultati vengono limitati a un massimo di 25.

Nota :puoi anche aggiungere la parola chiave limit alle dashboard personalizzate.

Esamina set di dati di grandi dimensioni

Google SecOps supporta la restituzione e la navigazione fino a 1 milione di risultati. In questo modo puoi esaminare set di dati di grandi dimensioni direttamente nell'interfaccia web senza esportare i risultati. Per le ricerche di grandi dimensioni, i campi visibili sono limitati per impostazione predefinita.

Nota: dopo il caricamento dei risultati, puoi applicare filtri per perfezionare i dati senza eseguire nuovamente la ricerca. In questo modo puoi restringere rapidamente i set di risultati.

Limiti dei risultati per le origini dati

La tabella seguente elenca il numero massimo di risultati restituiti per ogni origine dati:

Tipo di ricerca o origine dati	Numero massimo di eventi o righe nei risultati di ricerca
UDM	1.000.000
ECG	1.000.000
Tabella dati	1.000.000
Unione UDM-UDM	1.000.000
Unione di UDM ed ECG	1.000.000
Unione UDM alla tabella dati	1.000.000
Richieste e cronologia delle richieste	1.000.000
Statistiche	100.000
Rilevamenti	100.000

Nota: i limiti sono gli stessi, indipendentemente dal fatto che utilizzi la piattaforma o l'API. Per informazioni sui limiti delle API, consulta API di ricerca asincrona.

Aggiungi un filtro per perfezionare la query

Per aggiungere un filtro per perfezionare la query:

1. Nella pagina Ricerca SIEM, fai clic su filter_listAggiungi filtro. Si apre una finestra di dialogo che ti consente di selezionare un campo e mostrare (=) o filtrare (!=) i valori del campo.

2. Configura i parametri della finestra di dialogo.

   

   Immagine 8. Esempio della finestra di dialogo del filtro.

3. Fai clic su Applica. Il filtro viene visualizzato accanto al pulsante filter_list Aggiungi filtro e i risultati di ricerca vengono filtrati di conseguenza.

4. (Facoltativo) Esegui una delle seguenti operazioni:

   • Se vuoi incorporare automaticamente il filtro nell'editor di query ed eseguire la ricerca, fai clic su Applica alla ricerca ed esegui.
   • Se vuoi eliminare il filtro, fai clic su Cancella.

Nota: il pulsante Cancella è disponibile solo prima di fare clic su Applica a ricerca ed esecuzione.

Risoluzione dei problemi

Se ricevi un messaggio di errore generico, ad esempio Error: Search has encountered an error and could not load data, segui questi passaggi per risolvere il problema:

• Connettiti a Google SecOps da un'altra rete. Ad esempio, utilizza una VM cloud per identificare eventuali problemi di rete.
• Assicurati che le chiamate API Chronicle siano consentite dalla configurazione o dalla policy del firewall o del proxy della tua organizzazione.
• Verifica che non sia configurato alcun limite di dati per le chiamate all'API Search, poiché le ricerche possono restituire set di dati di grandi dimensioni.
• Verifica se sono stati configurati timeout. Le query di ricerca possono essere eseguite in modo asincrono e possono richiedere più tempo per restituire i dati. Se sono impostati timeout, assicurati che consentano una durata sufficiente, ad esempio 60 minuti, prima che la query scada.

Se l'errore persiste, contatta il supporto clienti.

Passaggi successivi

Per saperne di più sulle query di ricerca, consulta le seguenti risorse:

• Informazioni sulla sintassi di ricerca contiene dettagli ed esempi sulla sintassi YL2 necessaria per creare ed eseguire query su valori di dati, escape e operatori nell'editor di query.
• Best practice per la Ricerca.
• Cerca richieste e cronologia delle richieste nella ricerca unificata.
• Genera query di ricerca UDM con Gemini.
• Utilizza i dati arricchiti dal contesto nella ricerca.

Per saperne di più sui risultati di ricerca, consulta le seguenti risorse:

• Indagare su un'entità utilizzando la ricerca UDM.
• Esamina i rilevamenti nella ricerca descrive come utilizzare la scheda Avvisi e rilevamenti nella pagina Ricerca SIEM.
• Comprendere la disponibilità dei dati per la ricerca descrive in dettaglio il ciclo di vita dell'acquisizione dei importazione dati, inclusi il flusso di dati end-to-end e la latenza, e il modo in cui questi fattori influiscono sulla disponibilità dei dati acquisiti di recente per le query e l'analisi.
• Ricerca UDM rispetto ai risultati delle regole descrive come confrontare i risultati delle query di ricerca UDM con le regole di rilevamento in tempo reale.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.