Informazioni sulla ricerca

Supportato in:

Google SecOps SIEM

Questa guida è rivolta agli analisti della sicurezza che vogliono eseguire query, correlare e analizzare i dati di sicurezza della propria azienda in Google Security Operations utilizzando la pagina Ricerca SIEM. La pagina Ricerca SIEM funge da hub di navigazione centrale in tutti gli stream di dati supportati e integra ulteriori fonti di telemetria e postura. Questa guida contiene istruzioni e spiegazioni di tutte le funzioni e le funzionalità di base della pagina SIEM Search.

Terminologia chiave

• Unified Data Model (UDM): un formato di dati standardizzato utilizzato in Google SecOps per rappresentare in modo coerente gli eventi di sicurezza provenienti da varie origini.
• Evento: un evento viene generato da un'origine log non elaborata importata in Google SecOps ed elaborata dal processo di importazione e normalizzazione di Google SecOps. Da un singolo record di origine log grezzo possono essere generati più eventi. Un evento rappresenta un insieme di punti dati pertinenti per la sicurezza generati dal log non elaborato. Nel contesto della pagina Ricerca SIEM, gli eventi sono telemetria degli eventi UDM normalizzata e record di log non elaborati che corrispondono alla query di ricerca.
• Avviso: nel contesto della pagina Ricerca SIEM, un avviso è definito come un rilevamento di regole con avvisi abilitati. Per saperne di più, vedi Eseguire una regola sui dati live.
• Log non elaborati: telemetria dei log non elaborati e non analizzati. L'obiettivo diagnostico principale è monitorare l'integrità dell'importazione e dell'analisi.
• Join: i join correlano e combinano i dati non elaborati provenienti da più origini in base a valori di campo comuni. Collegando eventi, entità e altri dati correlati, puoi esaminare scenari di attacco complessi. Puoi cercare join statistici, che richiedono una sezione di corrispondenza per aggregare i risultati, oppure join di dati, che recuperano i dati completi di eventi o entità e li visualizzano senza alcuna aggregazione. Per saperne di più, vedi Applicare i join nella ricerca e nelle dashboard e Implementare i join senza una sezione di corrispondenza.
• Statistiche: eventi UDM con i risultati raggruppati per l'analisi statistica. Per saperne di più, consulta Analizzare i dati di ricerca con le statistiche.
• Casi e cronologia dei casi: casi di sicurezza e log di controllo dei casi storici, che puoi correlare ad altri dati di sicurezza. Per saperne di più, consulta Panoramica delle richieste di ricerca.
• Barra di query in linguaggio naturale: la barra nella parte superiore della pagina Ricerca SIEM, in cui puoi inserire un'istruzione di ricerca utilizzando il linguaggio naturale.
• Editor di query: la casella nella pagina Ricerca SIEM sotto la barra delle query in linguaggio naturale, in cui crei manualmente le query e viene visualizzato il codice della query.

Prima di iniziare

Per eseguire query e visualizzare i dettagli del rilevamento, devi disporre di autorizzazioni e ruoli standard di Google SecOps Search assegnati al tuo account utente.

Per le seguenti funzionalità di ricerca avanzata, il tuo account utente o il tuo ruolo Identity and Access Management deve disporre di autorizzazioni granulari aggiuntive, a seconda della funzionalità utilizzata:

• I dettagli dell'evento arricchiti o estesi richiedono chronicle.events.fetchEnrichedEvent.
• Il salvataggio delle ricerche e la modifica delle visualizzazioni di ricerca richiedono chronicle.savedSearches.update e chronicle.searchViews.update.
• La visualizzazione dei parser e dello schema dei log richiede chronicle.parsers.list e chronicle.parsers.get.
• La ricerca nella cronologia delle richieste richiede chronicle.cases.get e chronicle.cases.list.
• La creazione, la condivisione, la modifica e la gestione dei set di colonne personalizzate salvati nella tua organizzazione richiedono tutte e cinque le seguenti autorizzazioni: chronicle.googleapis.com/savedColumnSets.create, chronicle.googleapis.com/savedColumnSets.update, chronicle.googleapis.com/savedColumnSets.delete, chronicle.googleapis.com/savedColumnSets.list e chronicle.googleapis.com/savedColumnSets.get.

Apri la pagina di ricerca

Per aprire la pagina SIEM Search:

1. Accedi a Google SecOps.
2. Nella barra di navigazione, fai clic su Indagine > Ricerca SIEM.

Figura 1. Esempio della pagina SIEM Search utilizzata per esplorare le tendenze degli eventi.

Nota :sui sistemi che utilizzano l'RBAC dei dati, puoi visualizzare solo i dati che corrispondono ai tuoi ambiti. Per saperne di più, consulta Impatto di RBAC dei dati sulla ricerca.

Applicazione dell'ambito RBAC dei dati

Il motore di ricerca Google SecOps applica rigorosamente il filtro dell'ambito del controllo degli accessi basato sui ruoli (RBAC dei dati) in tutte le schede. Visualizzerai solo eventi UDM, log non elaborati, avvisi, rilevamenti e richieste che corrispondono esplicitamente agli ambiti di dati assegnati al tuo ruolo utente.

Configurare le impostazioni generali per la pagina di ricerca

Le impostazioni generali della pagina Ricerca SIEM sono specifiche per l'utente.

Puoi configurare le seguenti impostazioni generali per la pagina Ricerca SIEM:

• Specificare il numero massimo di risultati di ricerca
• Scegliere il comportamento di compressione per l'editor di query

Specifica il numero massimo di risultati di ricerca

Per specificare il numero massimo di risultati di ricerca:

1. Nella pagina SIEM Search, fai clic su Impostazioni Impostazioni e seleziona Risultati massimi.

2. Seleziona l'opzione Numero massimo di risultati da restituire. Le opzioni sono 1k, 30k, 100k, 1M e custom (che può assumere valori compresi tra 1 e 1M). Il valore predefinito è 30k.

   Suggerimento: le query vengono in genere eseguite più rapidamente quando scegli un set di risultati più piccolo.

3. Fai clic su Applica.

Scegli il comportamento di compressione dell'editor di query

Puoi configurare l'editor di query in modo che si comprima automaticamente dopo l'esecuzione di una ricerca, in modo da massimizzare lo spazio sullo schermo disponibile per la visualizzazione dei risultati di ricerca. L'impostazione Predefinito lascia espanso l'editor di query dopo l'esecuzione di una ricerca.

Per attivare la funzionalità di compressione automatica, segui questi passaggi:

1. Nella pagina Ricerca SIEM, fai clic su Impostazioni Impostazioni e seleziona Editor di query.
2. Nella finestra di dialogo Editor di query, seleziona Comprimi automaticamente l'editor di query.

Crea una query di ricerca

Le sezioni seguenti descrivono come creare una query di ricerca.

Puoi creare una query di ricerca utilizzando uno dei seguenti metodi:

• Inserisci la tua istruzione di ricerca in linguaggio naturale e utilizza Gemini per generare la query nel dialetto YARA-L 2.0. Devi utilizzare l'inglese.
• Crea manualmente la query nell'editor di query utilizzando il dialetto YARA-L 2.0 o SQL (GoogleSQL).

Nota: una ricerca UDM è limitata a 100 campi UDM per singola query. Un'espressione di ricerca UDM è composta da un campo UDM in cui eseguire la ricerca, un operatore e un valore di dati da cercare. Le query UDM si basano sui campi definiti nel riferimento al dizionario dei campi UDM. Puoi sfogliare e selezionare questi campi UDM utilizzando i filtri o la ricerca nei log non elaborati.

Generare una query utilizzando il linguaggio naturale

Per generare una query utilizzando il linguaggio naturale, completa i seguenti passaggi:

1. Nella pagina SIEM Search, fai clic sulla barra di ricerca query in linguaggio naturale e inserisci un'istruzione di ricerca in inglese.

   Le seguenti istruzioni sono esempi che potrebbero generare una ricerca utile:

   • network connections from 10.5.4.3 to google.com
   • failed user logins over the last 3 days
   • emails with file attachments sent to [e-mail] or [e-mail]
   • all Cloud service accounts created yesterday
   • outbound network traffic from 10.16.16.16 or 10.17.17.17
   • all network connections to facebook.com or tiktok.com
   • service accounts created in Google Cloud yesterday
   • Windows executables modified between 8 AM and 1 PM on May 1, 2026
   • all activity from winword.exe on lab-pc
   • scheduled tasks created or modified on exchange01 during the last week
   • email messages that contain PDF attachments
   • emails sent by or sent from [e-mail] on July 1
   • any files with the hash 44d88612fea8a8f36de82e1278abb02f
   • all activity associated with user "[e-mail]"

Se l'istruzione di ricerca include un termine basato sul tempo, i parametri dell'intervallo di tempo vengono regolati automaticamente in modo che corrispondano. Ad esempio, questo si applicherebbe alle ricerche con i seguenti termini:

• yesterday
• within the last 5 days
• on July 1, 2026

2. Fai clic su Genera query. Se Gemini riesce a interpretare l'istruzione di ricerca, genera una query valida nel dialetto YARA-L 2.0 e la visualizza nell'editor di query. Se l'istruzione di ricerca non può essere interpretata, viene visualizzato un messaggio che ti chiede di provare a porre la domanda in un altro modo. Se l'espressione di query è valida, il pulsante Esegui ricerca diventa disponibile.

3. (Facoltativo) Modifica l'intervallo di tempo della ricerca utilizzando i parametri Intervallo di tempo.

4. Fai clic su Esegui ricerca. Vengono visualizzati i risultati di ricerca.

5. (Facoltativo) Restringi i risultati aggiungendo manualmente altri filtri di ricerca o utilizzando la barra delle query in linguaggio naturale ed esegui di nuovo la ricerca.

Costruire una query manualmente nell'editor di query

Per informazioni sui diversi tipi di query supportati dalla pagina Ricerca SIEM e sulla sintassi per crearle, consulta i seguenti documenti:

• Per informazioni dettagliate sulla sintassi di ricerca YARA-L 2.0, consulta Comprendere la sintassi di ricerca.
• Per informazioni sulla creazione di query di join, consulta Applicare i join nella ricerca e nelle dashboard e Implementare i join senza una sezione di corrispondenza.
• Per informazioni sulla creazione di query statistiche (STATS), consulta Analizzare i dati di ricerca con le statistiche.
• Per informazioni sulla creazione di query della cronologia delle richieste, consulta Cerca richieste e cronologia delle richieste dalla pagina di ricerca.

Per creare una query manualmente, completa i seguenti passaggi:

1. Nella pagina SIEM Search, fai clic nell'editor di query.
2. Scegli il dialetto della query:
   • YL2 (impostazione predefinita): utilizza la sintassi standard di YARA-L 2.0 per la ricerca di eventi ad alta velocità, il filtro delle entità e la correlazione comportamentale.
   • SQL: la modalità SQL (GoogleSQL) consente di eseguire query compatibili con BigQuery, creare join complessi di più tabelle in UDM e nel grafico del contesto delle entità (ECG) ed eseguire aggregazioni avanzate direttamente nella console.

3. Digita la query nell'editor di query e tieni presente quanto segue:

   • Suggerimento e completamento automatici: quando digiti una query con l'opzione YL2, la funzionalità di suggerimento e completamento automatici suggerisce campi validi in base all'input.
   • Ricerca UDM: se non conosci il nome o il valore esatto del campo quando scrivi una query, puoi utilizzare Ricerca UDM.
   • Errori di compilazione della sintassi: se l'editor di query rileva un errore di compilazione della sintassi, visualizza una linea ondulata rossa direttamente sotto il testo problematico. Passa il mouse sopra il testo sottolineato per visualizzare la descrizione specifica dell'errore. L'editor di query evidenzia un solo errore alla volta, il che significa che devi correggerli in sequenza.

4. Imposta l'intervallo di tempo per la query utilizzando i parametri Intervallo di tempo.

5. Se l'espressione della query è valida, fai clic su Esegui ricerca. Vengono visualizzati i risultati di ricerca.

6. (Facoltativo) Restringi i risultati aggiungendo manualmente altri filtri di ricerca o utilizzando la console ed esegui di nuovo la ricerca.

Nota: puoi anche creare una nuova query dalla finestra di dialogo Gestione ricerche. Sono disponibili anche gli stessi strumenti di modifica e completamento automatico degli UDM.

Specifica il periodo di tempo per la ricerca

Utilizza il menu Intervallo di tempo per specificare il periodo di tempo per la ricerca.

L'intervallo di tempo massimo di una ricerca è sempre limitato dalla configurazione di conservazione dei log del tuo tenant.

Intervalli di tempo massimi:

• UDM: 365 giorni.
• RAW: 365 giorni.
• JOIN: per i join interni: 90 giorni. Per i join interni senza una condizione di corrispondenza: 14 giorni. Per i join esterni: 14 giorni.
• STATISTICHE: 90 giorni.
• RICHIESTA e STORICO RICHIESTE: 90 giorni, limitati dai limiti di conservazione delle richieste o da un ciclo di vita completo dello storico richieste.

Google SecOps valuta la configurazione della query di ricerca e applica l'intervallo di tempo massimo in base al tipo di ricerca e alle condizioni di ricerca. Ad esempio, una query STATS che include un outer join avrà un intervallo di tempo massimo inferiore a una query STATS che non include un outer join.

Per impostare l'intervallo di tempo:

1. Nella pagina SIEM Search (Ricerca SIEM), accanto a Time Range (Intervallo di tempo), seleziona la modalità dall'elenco.

   • Assoluto: utilizza un intervallo di tempo assoluto per selezionare un'ora di inizio e di fine fissa.
   • Relativo: utilizza un intervallo di tempo relativo per eseguire ricerche a ritroso a partire dall'ora attuale. L'ora in cui fai clic su Esegui ricerca viene impostata come ora di fine della query.

2. Se hai selezionato Assoluto:

   1. Fai clic su calendar_month calendar per aprire la finestra di dialogo Imposta intervallo di date e ore.
   2. Esegui una delle seguenti operazioni:
      • Per configurare l'ora utilizzando uno dei seguenti metodi, seleziona la scheda Intervallo:
        • Utilizza i preset: seleziona un intervallo preimpostato dalla barra laterale, ad esempio Ultimi 3 giorni o Dall'inizio. Le ricerche Tutto il periodo vengono eseguite nell'intero periodo di conservazione.
        • Seleziona date: fai clic su una data di inizio e una data di fine sul calendario.
        • Imposta orari: seleziona orari specifici utilizzando i menu degli orari sotto i calendari.
      • Per specificare un intervallo di date e ore in base a un evento, fai clic sulla scheda Ora evento, seleziona una data sul calendario e configura l'intervallo di tempo:
        • Ora esatta: fai clic sul campo Evento per selezionare o inserire l'ora specifica in cui si è verificato l'evento.
        • Buffer di tempo: seleziona un intervallo di tempo predefinito dall'elenco.
   3. Fai clic su Applica.

3. Se hai selezionato Relativo:

   1. Inserisci un numero intero nel campo di testo.
   2. Seleziona un'unità di tempo dal menu: Secondi, Minuti, Ore, Giorni, Settimane, Mesi o Anni.

Utilizzare i suggerimenti automatici per creare query

Quando scrivi una query, l'editor di query fornisce suggerimenti automatici per aiutarti a creare la query in modo efficiente.

Navigare e selezionare i suggerimenti

Mentre digiti, viene visualizzato un elenco con suggerimenti per i campi che corrispondono al testo, tra cui le seguenti opzioni:

• Seleziona un campo: utilizza i tasti freccia Su o Giù per scorrere l'elenco e premi Invio per selezionare un campo.
• Visualizzare i metadati: dopo aver utilizzato i tasti freccia Su o Giù per evidenziare un suggerimento, fai clic sul segno di spunta chevron_right per visualizzare la descrizione del campo.
• Completare i campi in modo incrementale: l'editor suggerisce i campi secondari immediati del campo corrente e nasconde il prefisso digitato per risparmiare spazio sullo schermo. Questi suggerimenti sono seguiti da tutti gli altri campi corrispondenti in ordine alfabetico.
• Operatori e valori completi: dopo aver selezionato un campo, l'editor suggerisce operatori validi (ad esempio =, !=) in base al tipo di dati del campo. Per i campi enumerati, l'editor mostra suggerimenti per tutti i valori validi (ad esempio NETWORK_EVENT) dopo che hai digitato un operatore e le virgolette doppie (").

Informazioni sul ranking dei suggerimenti

L'editor di query organizza i suggerimenti in tre categorie per aiutarti a trovare rapidamente i campi:

1. Campi utilizzati di recente: i primi sette suggerimenti si basano sui campi che hai utilizzato di recente e che corrispondono al campo digitato. Questo elenco viene salvato nella cronologia della sessione del browser nelle pagine Ricerca SIEM, Regole e rilevamenti e Dashboard. Se svuoti la cache o cambi browser, la cronologia viene reimpostata.
2. Elementi secondari immediati: il successivo insieme di suggerimenti mostra solo gli elementi secondari di primo livello del campo corrente.
3. Corrispondenze globali: la sezione finale mostra tutti i campi corrispondenti in ordine alfabetico.

Gestire le impostazioni dei suggerimenti automatici

Per gestire a livello globale la modalità di visualizzazione dei suggerimenti automatici di Google SecOps:

1. Fai clic sull'avatar del tuo profilo e seleziona Preferenze utente dall'elenco. Viene visualizzata la finestra di dialogo Preferenze utente.

2. Nella finestra di dialogo, fai clic su Suggerimento automatico.

3. Per controllare i suggerimenti automatici mostrati nell'editor di query, modifica le seguenti impostazioni:

   • Attiva i suggerimenti durante la digitazione: attiva il suggerimento automatico.
   • Classifica prima i campi utilizzati di recente: mostra i campi utilizzati più di recente all'inizio dell'elenco
   • Suggerisci campi secondari immediati: completa i campi nidificati in modo incrementale, un nodo secondario alla volta.
   • Suggerisci tutti i percorsi disponibili: mostra i percorsi completi ed espansi per tutti i suggerimenti di campi nidificati

4. Fai clic su Salva.

Trovare un campo UDM per una query di ricerca (ricerca UDM)

Quando scrivi una query di ricerca, potresti non conoscere il nome o il valore esatto del campo UDM da includere. La funzionalità Ricerca UDM ti consente di trovare rapidamente un nome di campo UDM che contiene una stringa di testo nel nome o che memorizza un valore di stringa specifico. Puoi selezionare uno o più risultati restituiti da Ricerca UDM e utilizzarli come punto di partenza per una query di ricerca, aggiungerli a una query esistente o salvarli negli appunti.

Nota: la ricerca UDM non è pensata per essere utilizzata per cercare altri tipi di dati, come byte, booleani o numerici.

Per utilizzare la ricerca UDM:

1. Nella pagina SIEM Search, fai clic su UDM Lookup. Si apre la finestra di dialogo Ricerca UDM.

2. Seleziona una o entrambe le seguenti opzioni Corrispondenza per specificare l'ambito dei dati da cercare:

   • Campi UDM: cerca il testo corrispondente ai nomi dei campi, ad esempio network.dns.questions.name o principal.ip.
   • Valori: cerca stringhe di testo all'interno dei valori dei log archiviati, ad esempio dns o google.com.

3. Fai clic sul campo Cerca Inserisci la stringa esatta per la corrispondenza e inserisci la stringa per la corrispondenza. Mentre digiti, i risultati di ricerca vengono visualizzati nella finestra di dialogo.

   I risultati variano quando la corrispondenza viene eseguita in base ai campi UDM anziché ai valori, come segue:

   • La ricerca con i nomi dei campi UDM di Corrispondenza restituisce una corrispondenza esatta trovata in qualsiasi punto della definizione dello schema.

     

     Figura 2. Esegui la ricerca con i nomi dei campi UDM in Corrispondenza con nella finestra di dialogo Ricerca UDM.

   • La ricerca con Corrispondenza su Valori esegue la ricerca nella telemetria dei log importati e restituisce due tipi di risultati:

     • Corrispondenze di valore completo: per i campi di testo comuni (come applicazioni, nomi host, URL, indirizzi IP e nomi utente), UDM Lookup mostra il valore di corrispondenza completo con la stringa di ricerca evidenziata in giallo, insieme al timestamp di importazione dei log più recente.

     • Possibili corrispondenze di valori: per i campi che contengono testo lungo, complesso o non strutturato (come righe di comando, descrizioni, campi di rilevamento e campi personalizzati), la ricerca UDM indica che il termine di ricerca viene visualizzato in quel campo nella telemetria storica. Anziché mostrare un unico valore completo, il risultato mostra il nome del campo UDM seguito da (Possible value match).

     

     Figura 3. Cerca con Corrispondenza con Valori nella finestra di dialogo Ricerca UDM.

4. Nell'elenco dei risultati, puoi:

   • Fai clic sul nome di un campo UDM per visualizzarne la descrizione.
   • Seleziona uno o più risultati facendo clic sulla casella di controllo accanto al nome del campo UDM.
   • Fai clic sul pulsante Reimposta per deselezionare tutti i campi selezionati nell'elenco dei risultati.

5. Esegui una delle seguenti operazioni:

   • Per copiare i risultati selezionati negli appunti, fai clic su Copia UDM. Puoi quindi chiudere la finestra di dialogo Ricerca UDM e incollare i contenuti degli appunti nell'editor di query.

   • Per aggiungere i risultati selezionati alla query nell'editor di query, fai clic su Aggiungi alla ricerca. Google SecOps converte quindi i risultati selezionati in una query di ricerca come nome del campo UDM o coppia nome-valore.

     Se aggiungi più risultati, Google SecOps aggiunge ogni risultato alla fine della query esistente nell'editor di query utilizzando l'operatore OR.

     La stringa di query aggiunta varia a seconda del tipo di corrispondenza restituita da Ricerca UDM:

     • Se il risultato corrisponde a una stringa di testo nel nome di un campo UDM, il nome completo del campo UDM viene aggiunto alla query. Ad esempio:

       principal.artifact.network.dhcp.client_hostname

     • Se il risultato è una corrispondenza di valore esatto, la coppia nome-valore contiene una condizione di uguaglianza esatta con il valore esatto.

     • Se il risultato è una Corrispondenza di valori possibili, la coppia nome-valore contiene il nome del campo UDM e un'espressione regolare senza distinzione tra maiuscole e minuscole contenente il termine di ricerca.

6. Se necessario, modifica la query nell'editor di query.

Comportamento di ricerca e copertura dei campi della ricerca UDM

UDM Lookup ti aiuta a scoprire i nomi dei campi e a cercare valori storici nei dati dei log importati. Questa sezione spiega come funziona la ricerca in entrambe le modalità, fornisce esempi di query e descrive i limiti di copertura dei campi.

Modalità di ricerca: campi UDM e valori

Ricerca UDM offre due modalità di ricerca distinte:

• Modalità Campi UDM: Corrispondenza su Campi UDM esegue la ricerca nella definizione dello schema UDM per aiutarti a individuare il percorso del campo corretto. Puoi trovare i nomi dei campi in tutti i tipi di dati, inclusi i campi di testo (principal.hostname), le porte numeriche (target.port), i flag booleani (security_result.is_alert) e le categorie di eventi (metadata.event_type).

  Esempio: se digiti port, vengono visualizzati campi come network.ip_port, principal.port, target.port e src.port.

• Modalità Valori: Corrispondenza con Valori cerca nei log eventi importati valori di testo corrispondenti:

  • Corrispondenza esatta del valore: per identificatori e campi di testo comuni (come nomi host, indirizzi IP, domini e nomi utente), UDM Lookup trova il valore esatto nei dati e genera una condizione di uguaglianza (ad esempio, principal.hostname = "example.com").
  • Corrispondenza di valori possibili (espressione regolare): per testi lunghi, righe di comando, URL, chiavi di registro e percorsi di file, la ricerca UDM restituisce una corrispondenza di valori possibili con un'espressione regolare (ad esempio, principal.process.command_line = /powershell/ NOCASE).

Lacune nella copertura dei campi e come eseguire ricerche direttamente

Quando esegui la ricerca per Valori, la ricerca UDM cerca i campi di testo nei dati sugli eventi non elaborati e non arricchiti. Alcuni tipi di dati e campi identificatori di grandi volumi non restituiscono corrispondenze nella modalità Valori. Per cercare questi campi, inserisci l'espressione direttamente nell'editor di query.

Questa sezione include:

• Campi numerici, booleani, timestamp e byte
• Campi identificatori esclusi
• Campi con possibili corrispondenze di valori (espressioni regolari)
• Campi arricchiti e grafico delle entità

Campi numerici, booleani, timestamp e byte

La ricerca del valore di ricerca UDM non restituisce corrispondenze per i tipi di dati non di testo. Per eseguire la ricerca in questi campi, scrivi la condizione direttamente nella barra di ricerca:

Categoria del campo	Campi UDM di esempio	Esempio di ricerca diretta
Numeri di porta e codici di stato	network.ip_port, principal.port, target.port, network.http.response_code	network.ip_port = 443 network.http.response_code = 403
Metriche e punteggi di rischio	security_result.risk_score, network.sent_bytes, network.received_bytes	security_result.risk_score >= 80 network.sent_bytes > 50000000
Flag booleani	security_result.is_alert, network.dns.answers.is_authoritative	security_result.is_alert = true
Enumerazioni predefinite	metadata.event_type, network.ip_protocol	metadata.event_type = "USER_LOGIN" network.ip_protocol = "TCP"
Timestamp	metadata.event_timestamp.seconds, metadata.ingested_timestamp	Filtra utilizzando il menu Intervallo di tempo o la query: metadata.event_timestamp.seconds > 1700000000
ID evento (byte non elaborati)	metadata.id	metadata.id = "..."
Coordinate geografiche	principal.location.latitude, principal.location.longitude	Filtra per campi di località regionali: principal.location.country_or_region = "US"

Campi identificatori esclusi

I seguenti campi di tracciamento delle sessioni e ad alta entropia non restituiscono corrispondenze quando si esegue la ricerca per Valori:

Categoria di campi esclusi	Campi UDM	Esempio di ricerca diretta
ID processo	*.pid (ad esempio principal.process.pid, target.process.pid), *.product_specific_process_id	target.process.pid = "4128"
ID sessione e connessione	network.session_id, network.parent_session_id, metadata.product_log_id	network.session_id = "sess-9481"
ID regola di rilevamento	security_result.rule_id	security_result.rule_id = "rule_suspicious_login"
ID risorsa e asset	*.resource.id (inclusi ARN e URI cloud), *.asset_id	target.resource.id = "arn:aws:s3:::my-bucket"
Etichette di importazione	metadata.base_labels.*, metadata.enrichment_labels.*	metadata.base_labels.log_types = "WINEVTLOG"

Campi con possibili corrispondenze di valori (espressioni regolari)

Per i campi che contengono stringhe lunghe e complesse con molti separatori di percorso o argomenti, la ricerca UDM restituisce un'espressione regolare Possible value match (/.../ NOCASE) anziché una corrispondenza esatta dell'intero valore:

• Righe di comando: principal.process.command_line, target.process.command_line
• Percorsi dei file: principal.process.file.full_path, target.file.full_path
• URL web e di rete: principal.url, target.url, network.http.referral_url
• Chiavi del registro: principal.registry.registry_key, target.registry.registry_key
• Descrizioni in formato libero: metadata.description, security_result.description, security_result.summary
• Stringhe User-Agent: network.http.user_agent
• Campi personalizzati dinamici: additional.fields.value.*

Campi arricchiti e grafico delle entità

La ricerca UDM cerca i dati dei log non elaborati inseriti dopo il 10 agosto 2023. Non restituisce valori da:

• Arricchimenti downstream: ad esempio risoluzione della posizione GeoIP, dati WHOIS, verdetti di Navigazione sicura o punteggi VirusTotal. Per eseguire la ricerca, filtra direttamente il percorso del campo arricchito (ad esempio, target.ip_geo_artifact.country_or_region = "US").
• Oggetti Entity Graph: dati nello spazio dei nomi graph.*.
• Dati storici precedenti alla data limite: log inseriti prima del 10 agosto 2023. Per cercare dati meno recenti, utilizza le query di ricerca diretta nella pagina Cerca.

Utilizzare le tabelle di dati in una ricerca

Puoi utilizzare la funzionalità tabelle di dati in una ricerca. In questo modo puoi utilizzare i tuoi database esistenti di informazioni sulle minacce in combinazione con una ricerca per individuare le minacce nella tua azienda.

Ad esempio, se hai un database chiamato suspicious con una colonna di indirizzi IP che sai essere problematici, puoi fare riferimento a questo database nella query di ricerca anziché inserire manualmente i singoli indirizzi IP nella query:

  events:
      $e.principal.ip in %suspicious.ip

Puoi restringere i risultati cercando metadati specifici oltre agli indirizzi IP. Ad esempio, potresti essere interessato in modo specifico alle modifiche alle risorse utente:

  events:
      $e.metadata.event_type = "USER_RESOURCE_UPDATE_CONTENT"
      $e.principal.ip in %suspicious.ip

Puoi restringere una ricerca in base a campi UDM correlati e trovare corrispondenze con più colonne della tabella di dati. I seguenti esempi cercano eventi NETWORK_CONNECTION in cui il risultato di sicurezza è ALLOW. Poi confronta questi eventi con la colonna hostnames e la colonna ip nella tabella dei dati badApps.

events:
  $e.metadata.event_type = "NETWORK_CONNECTION"
  $e.security_result.action = "ALLOW"
  $e.target.asset.asset_id = $assetid

  // Event hostname matches at least one value in table column hostname.
  $e.target.hostname in %badApps.hostname

  // Event IP matches at least one value in table column ip.
  $e.target.ip in %badApps.ip

Visualizzare le righe della tabella di dati in una ricerca

Quando utilizzi una tabella di dati in una ricerca YARA-L 2.0, i risultati fanno riferimento alle righe della tabella di dati collegate agli eventi corrispondenti. Questi risultati vengono visualizzati nel riquadro Eventi. Quando visualizzi i risultati, viene mostrato lo stato attuale della tabella di dati e delle relative righe.

Utilizza Gestione colonne per selezionare la tabella di dati e le colonne da visualizzare nei risultati.

Per saperne di più, vedi Utilizzare le tabelle di dati.

Informazioni sul processo di esecuzione delle query

Se la query nell'editor di query è valida, la console Google SecOps attiva il pulsante Esegui ricerca.

Dopo aver fatto clic su Esegui ricerca, la query in corso viene visualizzata con un'icona di stato circolare.

Mentre è in corso una ricerca, puoi eseguire ricerche aggiuntive (simultanee) nell'editor di query con alcune limitazioni. Google SecOps continua a eseguire le ricerche precedenti ed esegue le nuove ricerche in parallelo.

Importante :le ricerche simultanee e i risultati memorizzati richiedono che la funzionalità della cronologia delle ricerche sia attiva. Se in precedenza hai disattivato la cronologia delle ricerche, puoi riattivarla facendo clic su Cronologia > Attiva la cronologia delle ricerche.

Le query completate vengono visualizzate con un'icona a forma di segno di spunta verde e un contatore che indica il numero di eventi restituiti dalla query.

Fai clic su una query completata per visualizzare i risultati. I risultati di ricerca vengono visualizzati sotto l'editor di query.

I risultati di ricerca vengono memorizzati nella cache e includono solo i dati disponibili al momento dell'esecuzione della query.

Gestire la cronologia delle ricerche

La cronologia delle ricerche viene salvata nel tuo account Google SecOps.

Importante: le ricerche simultanee e i risultati memorizzati richiedono che la funzionalità della cronologia della Ricerca sia attiva.

• Per gestire la cronologia delle ricerche, nella pagina Ricerca SIEM, fai clic su Cronologia per aprire la finestra di dialogo e svolgere le seguenti operazioni:

  • Visualizza un elenco di tutte le ricerche nella cronologia.
  • Fai clic su un elemento dell'elenco per caricarlo nell'editor di query.
  • Digita nella barra di ricerca per trovare una ricerca nella cronologia.
  • Filtra le ricerche facendo clic su Filtra accanto alla barra di ricerca e filtra le ricerche per Lingua, che contiene i filtri YL2 e SQL AND Tipo di ricerca, che contiene i filtri UDM, Log grezzo e Statistiche.
  • Mostra o meno solo i risultati archiviati completati e in corso (utilizzando la casella di controllo Mostra solo risultati archiviati completati e in corso).
  • Cancella la cronologia delle ricerche.
    • Per cancellare la cronologia delle ricerche, fai clic su Altro e seleziona Cancella cronologia.

  • Disattivare o riattivare la cronologia delle ricerche:

    • Per disattivare la cronologia delle ricerche, fai clic su Disattiva la cronologia delle ricerche e poi seleziona Solo disattivazione per disattivare la cronologia delle ricerche oppure Disattiva ed elimina per disattivare la cronologia delle ricerche ed eliminare quella salvata.

    • Se in precedenza hai disattivato la cronologia delle ricerche, puoi riattivarla facendo clic su Attiva la cronologia delle ricerche.

• Per eliminare una singola ricerca dalla cronologia delle ricerche, consulta Eliminare una ricerca salvata.

Salvare e utilizzare una query sulle metriche

Nota: questa funzionalità è coperta dai Termini delle offerte pre-GA dei Termini di servizio specifici per Google Security Operations. Le funzionalità pre-GA potrebbero avere supporto limitato e le modifiche alle funzionalità pre-GA potrebbero non essere compatibili con altre versioni pre-GA. Per saperne di più, consulta le linee guida per i servizi di assistenza tecnica di Google SecOps e i Termini di servizio specifici di Google SecOps.
Se questa funzionalità non è visibile nel tuo ambiente, consulta Gestire le funzionalità di anteprima o contatta l'amministratore di sistema.

Google SecOps classifica le query delle metriche con il badge STATISTICHE.

• Per salvare una ricerca come metrica, fai clic su Altro accanto a Esegui ricerca e poi su Salva come metrica. Si apre la pagina Regole e rilevamenti, che mostra la query delle metriche nella scheda Metriche. Puoi quindi salvare la metrica o disattivarla. Dopo aver salvato una query metrica, non è possibile modificarla o eliminarla. Le metriche possono essere disattivate in qualsiasi momento.

Puoi utilizzare una query sulle metriche per stabilire i pattern di comportamento tipici e identificare le attività anomale. Se nell'editor di query hai una query sulle metriche che monitora le tendenze operative critiche, fai clic su Altro > Salva come metrica. In questo modo, la query viene salvata come metrica di serie temporale continua che può essere incorporata in dashboard personalizzate o a cui si può fare riferimento negli avvisi di soglia.

Query di esempio per le metriche:

metric metric_1784196814306 {
  (metadata.event_type = "NETWORK_FLOW" OR
  metadata.event_type = "NETWORK_CONNECTION" OR
  metadata.event_type = "NETWORK_DNS" OR
  metadata.event_type = "NETWORK_HTTP")

  outcome:
  $timestamp = timestamp.get_timestamp(metadata.event_timestamp.seconds)
  $hostname = principal.hostname
  $event_type = metadata.event_type
  $user = principal.user.userid
  $principal_process = principal.process.file.full_path
  $principal_cmdline = principal.process.command_line
  $target_process = target.process.file.full_path
  $target_cmdline = target.process.command_line
  $target_url = target.url
  $target_ip = target.ip[0]
  order:
  $timestamp
  }

Gestire le ricerche (Search Manager)

Utilizza la finestra di dialogo Gestione ricerche per gestire le ricerche.

• Per aprire Search Manager, fai clic su Search Manager nella pagina SIEM Search.

Badge di tipo ricerca

La scheda Salvate in Search Manager elenca tutte le ricerche salvate e mostra un badge con il tipo di ricerca: UDM, NON ELABORATA, JOIN, STATISTICHE, CASE e CASE HISTORY.

Azioni di Search Manager

Nella scheda Salvati puoi eseguire le seguenti azioni:

• Filtra le ricerche salvate: fai clic su Filtra accanto alla barra di ricerca e filtra le ricerche per Origine, che contiene: Definito da Google SecOps, Creato da me e Condiviso con me AND Lingua, che contiene: YL2 e SQL.
• Ordina ricerche: fai clic su list_arrow Ordina accanto alla barra di ricerca e ordina per Nome (A-Z), Nome (Z-A), Dal meno recente al più recente o Dal più recente al meno recente.
• Aggiungi una ricerca: fai clic su add_2 Aggiungi accanto alla barra di ricerca e crea una nuova ricerca nella casella Ricerca UDM adiacente. La casella Ricerca UDM supporta gli stessi strumenti di modifica, suggerimento automatico e completamento automatico di UDM di quando crei una query manualmente nell'editor di query.
• Condividere o eliminare le ricerche che hai creato.
• Modificare una ricerca creata da te: quando una ricerca viene selezionata nella scheda Salvate, la casella CERCA mostra la query, insieme alle caselle Titolo e Descrizione. La casella Ricerca UDM supporta gli stessi strumenti di modifica, suggerimento automatico e completamento automatico di UDM di quando crei una query manualmente nell'editor di query.

Salvare una ricerca

Le ricerche salvate e la cronologia della Ricerca:

• Memorizzati con il tuo account Google SecOps.
• Visualizzabile e accessibile solo dal singolo utente, a meno che non utilizzi la funzionalità Condividi una ricerca per condividere la ricerca con la tua organizzazione.

Per salvare una ricerca:

1. Nella pagina SIEM Search, esegui una delle seguenti operazioni:

   • Se nell'editor di query è presente una query valida, fai clic su Altro accanto a Esegui ricerca e poi su Salva ricerca. Si apre la finestra di dialogo Search Manager.
   • Fai clic su Search Manager. Si apre la finestra di dialogo Search Manager.

2. Nella casella Titolo, inserisci un nome per la ricerca. Google consiglia di assegnare alla ricerca salvata un nome significativo e una descrizione in formato testo semplice di ciò che stai cercando.

3. (Facoltativo) Nella casella Descrizione, inserisci una descrizione della ricerca.

4. (Facoltativo) Specifica le variabili segnaposto nel formato ${<variable name>} utilizzando lo stesso formato utilizzato per le variabili in YARA-L. Se aggiungi una variabile a una ricerca, devi includere anche un prompt per aiutare l'utente a capire le informazioni richieste da inserire prima di eseguire la ricerca. Tutte le variabili devono essere compilate con i valori prima dell'esecuzione di una ricerca.

   Ad esempio, potresti aggiungere metadata.vendor_name = ${vendor_name} alla tua ricerca. Per ${vendor_name}, devi aggiungere un prompt per i futuri utenti, ad esempio Enter the name of the vendor for your search. Ogni volta che un utente carica questa ricerca in futuro, gli viene chiesto di inserire il nome del fornitore prima di eseguire la ricerca.

5. Al termine, fai clic su Salva modifiche.

• Per visualizzare le ricerche salvate, fai clic su Gestore ricerche e poi sulla scheda Salvate.

Recuperare ed eseguire una ricerca salvata

Per recuperare ed eseguire una ricerca salvata:

1. Nella pagina SIEM Search (Ricerca SIEM), fai clic su Search Manager (Gestione ricerche) e seleziona una ricerca dall'elenco *Saved (Salvate) a sinistra.
2. (Facoltativo) Elimina una ricerca facendo clic su Altro e selezionando Elimina ricerca. Puoi eliminare solo le ricerche di cui sei l'autore.
3. Puoi modificare il nome della ricerca e la descrizione. Al termine, fai clic su Salva modifiche.
4. Fai clic su Carica ricerca. La ricerca viene caricata nel campo di ricerca principale.
5. Fai clic su Esegui ricerca.

Eliminare una ricerca salvata

Puoi eliminare solo le ricerche di cui sei l'autore.

Per eliminare una ricerca salvata:

1. Nella pagina SIEM Search (Ricerca SIEM), fai clic su Search Manager (Gestione ricerche) e seleziona una ricerca dall'elenco *Saved (Salvate) a sinistra.
2. Fai clic su Altro e seleziona Elimina ricerca.
3. Fai clic su Elimina ricerca.

Condividere una ricerca o interrompere la condivisione

Le ricerche condivise ti consentono di condividere le ricerche con il tuo team. Non puoi condividere con una sola persona. Se condividi la ricerca, questa viene condivisa con l'intera organizzazione.

Non puoi modificare una ricerca condivisa che non hai creato.

Per condividere una ricerca:

1. Nella pagina SIEM Search (Ricerca SIEM), fai clic su Search Manager (Gestione ricerche) e seleziona una ricerca dall'elenco *Saved (Salvate) a sinistra.
2. Fai clic sulla ricerca che vuoi condividere.
3. Fai clic su Altro sul lato destro della ricerca. Viene visualizzata una finestra di dialogo con l'opzione per condividere la ricerca.
4. Fai clic su Condividi con la tua organizzazione. Viene visualizzata una finestra di dialogo con il messaggio "La condivisione della ricerca sarà visibile agli utenti della tua organizzazione. Vuoi condividere?".
5. Fai clic su Condividi.

Se vuoi che la ricerca sia visibile solo a te, fai clic su Altro e poi su Interrompi condivisione. Se interrompi la condivisione, solo tu potrai utilizzare questa ricerca.

Risultati di ricerca: panoramica

Quando fai clic su Esegui ricerca nella pagina Ricerca SIEM, Google Security Operations valuta la query nel tuo ambiente, classifica e visualizza i risultati sotto l'editor di query.

Gli elementi dell'interfaccia utente per i risultati di ricerca variano a seconda del tipo di ricerca (che, in base ai badge, sono: UDM, RAW, JOIN, STATS, CASE o CASE HISTORY).

La pagina Ricerca SIEM mostra le seguenti schede per i risultati di ricerca:

• Risultati: visualizzati per tutti i tipi di ricerca.
• Avvisi e rilevamenti: visualizzati solo per i risultati di ricerca UDM, RAW e JOIN.
• Panoramica: visualizzata solo per i risultati di ricerca UDM, RAW e JOIN.
• Visualizza: visualizzato solo per i risultati di ricerca STATISTICHE.

Il titolo di ogni scheda dei risultati include il conteggio tra parentesi, ad esempio Risultati (1118) o Risultati (100.000+) se il numero di risultati supera il massimo specificato (in questo caso 100.000).

Se fai clic tra le schede, la visualizzazione dello spazio di lavoro cambia immediatamente, mantenendo invariati la query di ricerca e l'intervallo di tempo.

Visualizzare e gestire le informazioni nella scheda Risultati

La scheda Risultati è il tuo workspace principale per visualizzare e gestire i risultati di ricerca. Puoi utilizzare la scheda Risultati per:

• Ricerca approfondita nei log
• Visualizzazione della telemetria non elaborata
• Generare tabelle pivot dai dati sugli eventi
• Analisi delle distribuzioni dei valori dei campi ad alta frequenza
• Esportare i dati in file CSV

La scheda Risultati include i seguenti elementi, a seconda del tipo di ricerca:

• Pannelli a schede con i seguenti grafici:
  • Grafico Attività nel tempo: visualizzato per i risultati di ricerca UDM, JOIN, CASE e CASE HISTORY.
  • Grafico Tendenza nel tempo: visualizzato per i risultati di ricerca RAW.
  • Scheda Prevalenza: visualizzata per i risultati di ricerca UDM.
  • Tabella Mappa termica dell'attività: visualizzata per i risultati di ricerca UDM.
• Riquadro Aggregazioni: visualizzato per tutti i tipi di risultati di ricerca.

• Pannelli con le seguenti tabelle, a seconda del tipo di ricerca:

  • Tabella Eventi e scheda secondaria Pivot: visualizzate solo per i risultati della ricerca UDM. La tabella Eventi mostra la telemetria degli eventi UDM normalizzati e i record di log non elaborati corrispondenti alla query all'interno dell'intervallo di tempo selezionato. La scheda secondaria Pivot ti consente di creare e utilizzare una tabella pivot per eseguire raggruppamenti e riepiloghi matematici multidimensionali (sum, count, avg, stddev) sui risultati degli eventi.
  • Log non elaborati: visualizzati solo per i risultati di ricerca RAW.
  • Statistiche: visualizzate solo per i risultati di ricerca STATISTICHE.
  • Abbonati: visualizzato solo per i risultati di ricerca JOIN.
  • Richieste: visualizzato solo per i risultati di ricerca CASE.
  • Cronologia delle richieste: visualizzato solo per i risultati di ricerca di CASE e CASE HISTORY.

  Per informazioni sulle funzioni e sugli strumenti supportati per queste tabelle, consulta Utilizzare strumenti comuni per le tabelle. Le funzioni supportate includono la gestione delle colonne nella tabella visualizzata dalla scheda, il download dei risultati di ricerca e altro ancora.

Suggerimento: fai clic su Opzioni di visualizzazione per nascondere o mostrare i grafici e il pannello Aggregazioni.

Utilizzare il grafico Attività nel tempo

La scheda Attività nel tempo include un grafico (un istogramma) del volume di eventi e avvisi nel tempo.

Nota: la scheda Attività nel tempo viene visualizzata solo per i risultati di ricerca UDM, JOIN, CASE e CASE HISTORY.

La larghezza di ogni barra dipende dall'intervallo di tempo cercato. Ad esempio, ogni barra rappresenta 10 minuti quando la ricerca copre 24 ore di dati. Questo grafico viene aggiornato in modo dinamico man mano che modifichi la ricerca esistente.

Nota :la finestra di ricerca massima è di 365 giorni per le ricerche YARA-L 2.0 e di 90 giorni per le ricerche SQL, dall'ora di inizio all'ora di fine.

Il grafico supporta quanto segue:

• Regolazione dell'intervallo di tempo: trascina i controlli del cursore sulla sequenza temporale per restringere immediatamente la finestra temporale visibile. La griglia dei risultati e il riquadro Aggregazioni vengono aggiornati senza eseguire nuovamente la query sul backend.
• Visualizza gli eventi e gli avvisi per la finestra temporale di una singola barra: fai clic su una barra per restringere il focus del grafico, del riquadro Aggregazioni e della scheda Rilevamenti alla finestra temporale di quella barra. Questa azione crea un filtro, che viene visualizzato accanto al pulsante Aggiungi filtro filter_list. Per visualizzare di nuovo tutti i risultati, elimina il filtro.
• Popup Dettagli: se fai clic su una delle barre, si apre un popup con l'ora e i valori per Eventi sottoposti a query, Eventi filtrati, Avvisi sottoposti a query e Avvisi filtrati.

Utilizzare il grafico Tendenza nel tempo

La scheda Tendenza nel tempo include un grafico (un istogramma) del volume dei log non elaborati nel tempo. La larghezza di ogni barra verticale viene scalata dinamicamente in base alla finestra di ricerca complessiva (ad esempio, ogni barra potrebbe rappresentare 10 minuti per una finestra di ricerca di 24 ore).

Nota: la scheda Tendenza nel tempo viene visualizzata solo per i risultati di ricerca RAW.

Il grafico supporta quanto segue:

• Regolazione dell'intervallo di tempo: trascina i controlli del cursore sulla sequenza temporale per restringere immediatamente la finestra temporale visibile. La griglia dei risultati e il riquadro Aggregazioni vengono aggiornati senza eseguire nuovamente la query sul backend.
• Visualizza quanti log analizzati, non analizzati e sconosciuti sono stati rilevati nella finestra temporale di una singola barra: Sconosciuto significa che in quel momento sono stati rilevati uno o più log, ma il numero è indeterminato. Fai clic su una barra per restringere il focus del grafico e del riquadro Aggregazioni alla finestra temporale di quella barra. Questa azione crea un filtro, che viene visualizzato accanto al pulsante Aggiungi filtro filter_list. Per visualizzare di nuovo tutti i risultati, elimina il filtro.
• Popup Dettagli: se fai clic su una delle barre, si apre un popup con l'ora e i valori per Eventi sottoposti a query, Eventi filtrati, Avviso sottoposto a query e Avvisi filtrati.

Utilizzare la scheda Prevalenza

La scheda Prevalenza viene visualizzata solo se la ricerca include un dominio.

La scheda Prevalenza mostra la prevalenza dei domini associati alla tua ricerca all'interno della tua azienda. Combina un elenco di domini a bassa prevalenza con un grafico interattivo. La scheda viene visualizzata solo se la ricerca UDM include un dominio.

Nota: la scheda Prevalenza viene visualizzata solo per i risultati di ricerca UDM.

L'elenco dei domini a bassa prevalenza include le seguenti colonne:

• Domini a bassa prevalenza: mostra i nomi di dominio associati ai tuoi risultati di ricerca. Fai clic su arrow_upward per ordinare i domini in ordine alfabetico (dalla Z alla A) e su arrow_downward per ordinarli in ordine alfabetico (dalla A alla Z).

• Prevalenza ≤ 10: mostra il conteggio totale delle occorrenze per ogni dominio con una prevalenza pari o inferiore a 10. Fai clic su Freccia su per ordinare i conteggi numericamente in ordine decrescente e su Freccia giù per l'ordine crescente.

Nel grafico, tieni il puntatore sopra un cerchio per visualizzare il dominio specifico e restringere la ricerca agli eventi associati solo a quel dominio.

Utilizzare la scheda Mappa termica dell'attività

La scheda Mappa termica dell'attività mostra i dati sugli eventi in una griglia della cronologia visiva per evidenziare dove gli eventi sono più concentrati nell'intervallo di tempo specificato. L'asse Y mostra le date all'interno del periodo di tempo della ricerca, mentre l'asse X mostra l'ora del giorno a intervalli orari (dalle 00:00 alle 23:00).

Nota: la scheda Mappa termica dell'attività viene visualizzata solo per i risultati di ricerca UDM.

Una legenda della mappa a gradiente di colore indica il volume di eventi in un'ora specifica, dove i colori più chiari indicano un numero inferiore di eventi e i colori più scuri indicano una densità maggiore. Puoi anche regolare l'indicatore di densità per visualizzare o nascondere gli slot orari regolando il cursore orizzontale. Fai clic sulle frecce su o giù nel riquadro laterale per scorrere le date e regolare la finestra temporale specifica.

Utilizzare il riquadro Aggregazioni per perfezionare i risultati di ricerca

Il riquadro Aggregazioni riepiloga i valori ad alta frequenza, che puoi utilizzare per perfezionare i risultati di ricerca.

Nota :il riquadro Aggregazioni viene visualizzato per tutti i tipi di risultati di ricerca.

Il riquadro Aggregazioni include due elenchi comprimibili: Campi UDM (un elenco di campi UDM corrispondenti) e un altro elenco di campi in base al tipo di ricerca (ad esempio, Campi log per le ricerche nei log non elaborati, Campi statistiche, Campi richiesta e così via). Per le ricerche UDM, il riquadro Aggregazioni contiene l'elenco Campi UDM e l'elenco Campi raggruppati.

Per bloccare un campo nella parte superiore dell'elenco Aggregazioni, tieni il puntatore sopra un campo e fai clic sull'icona Mantieni Mantieni.

Puoi cercare campi o valori di campo specifici utilizzando il campo di ricerca del pannello.

Ogni campo mostra il "conteggio delle corrispondenze", ovvero il numero di record che hanno lo stesso valore per quel campo. I contenuti degli elenchi sono ordinati dal numero più alto al più basso di corrispondenze e in ordine alfabetico all'interno dello stesso numero di corrispondenze. Puoi cercare i campi negli elenchi ed espandere un elemento di campo.

Per filtrare i risultati di ricerca con le aggregazioni:

1. Nel riquadro Aggregazioni, seleziona un campo da un elenco per visualizzare i valori dell'elenco per quel campo.

2. Seleziona un valore dall'elenco e fai clic su more_vert Altro.

3. Seleziona un'opzione di filtro:

   • Mostra solo: la tabella adiacente corrispondente viene aggiornata per mostrare solo i record corrispondenti e il filtro = "value" viene visualizzato accanto al pulsante filter_list Aggiungi filtro.
   • Filtra: la tabella adiacente corrispondente viene aggiornata con i record corrispondenti filtrati e il filtro != "value" viene visualizzato accanto al pulsante filter_list Aggiungi filtro.
   • Copia: copia la coppia campo-valore negli appunti.

   

   Immagine 4. Esempio di filtraggio dei campi utilizzando il riquadro Aggregazioni.

   

   Figura 5. filter_list Pulsante Aggiungi filtro con due filtri esistenti (uno mostrato e uno nell'elenco +1 altro).

4. (Facoltativo) Se hai selezionato Mostra solo o Filtra nel passaggio precedente e vuoi incorporare automaticamente il filtro nell'editor di query ed eseguire di nuovo la ricerca, fai clic su Applica alla ricerca ed esegui.

Utilizzare i campi raggruppati nel riquadro Aggregazioni della scheda Risultati

Il riquadro Aggregazioni per le ricerche UDM include l'elenco Campi raggruppati. I campi raggruppati fungono da alias di categoria efficaci che combinano i campi UDM correlati senza richiedere di digitare ciascuno separatamente. Per saperne di più sui campi raggruppati, consulta Cercare campi raggruppati.

Alias del campo raggruppato	Campi UDM associati inclusi nell'alias
domain	about.administrative_domain about.asset.network_domain network.dns.questions.name network.dns_domain principal.administrative_domain principal.asset.network_domain target.administrative_domain target.asset.hostname target.asset.network_domain target.hostname
email	intermediary.user.email_addresses network.email.from network.email.to principal.user.email_addresses security_result.about.user.email_addresses target.user.email_addresses
file_path	principal.file.full_path principal.process.file.full_path principal.process.parent_process.file.full_path target.file.full_path target.process.file.full_path target.process.parent_process.file.full_path
hash	about.file.md5 about.file.sha1 about.file.sha256 principal.process.file.md5 principal.process.file.sha1 principal.process.file.sha256 security_result.about.file.sha256 target.file.md5 target.file.sha1 target.file.sha256 target.process.file.md5 target.process.file.sha1 target.process.file.sha256
hostname	intermediary.hostname observer.hostname principal.asset.hostname principal.hostname src.asset.hostname src.hostname target.asset.hostname target.hostname
ip	intermediary.ip observer.ip principal.artifact.ip principal.asset.ip principal.ip src.artifact.ip src.asset.ip src.ip target.artifact.ip target.asset.ip target.ip
namespace	principal.namespace src.namespace target.namespace
process_id	principal.process.parent_process.pid principal.process.parent_process.product_specific_process_id principal.process.pid principal.process.product_specific_process_id target.process.parent_process.pid target.process.parent_process.product_specific_process_id target.process.pid target.process.product_specific_process_id
user	about.user.userid observer.user.userid principal.user.user_display_name principal.user.userid principal.user.windows_sid src.user.userid target.user.user_display_name target.user.userid target.user.windows_sid

Utilizzare il riquadro Eventi

Utilizza il riquadro Eventi per visualizzare, ordinare e gestire gli eventi che corrispondono alla tua ricerca UDM.

Per informazioni sulle funzioni e sugli strumenti supportati per il riquadro Eventi, vedi Utilizzare strumenti comuni per le tabelle. Le funzioni supportate includono la gestione delle colonne nella tabella visualizzata dalla scheda, il download dei risultati di ricerca e altro ancora.

Per impostazione predefinita, dopo aver eseguito una ricerca, la tabella Eventi mostra le colonne chiave (denominate campi rapidi), ad esempio Stato evento, Timestamp, Tipo (udm.metadata.event_type), Riepilogo, Utente (udm.principal.user.userid o target.user.userid), Nome host (udm.principal.hostname o target.hostname). A seconda dell'ambito della query e dell'origine log, la tabella può anche mostrare dinamicamente campi rapidi pertinenti come Azione (udm.security_result.action).

Nota: per gli eventi associati agli avvisi, la colonna Stato evento mostra un chip Avviso, con un conteggio quando si applicano più avvisi.

Esamina i dettagli granulari di un singolo evento (visualizzatore eventi e correlazione dei log non elaborati)

• Per esaminare i dettagli granulari di un singolo evento, fai clic sulla riga. Si apre il Visualizzatore eventi.

  Per saperne di più, vedi Utilizzare il visualizzatore eventi per i risultati UDM e RAW.

Scheda Pivot: crea una tabella pivot

Puoi utilizzare una tabella pivot per eseguire raggruppamenti e riepiloghi matematici multidimensionali in base ai risultati di ricerca.

Per aprire e configurare una tabella pivot:

1. Esegui una ricerca UDM.
2. Nella scheda Risultati, fai clic sulla scheda secondaria Pivot. Si apre il riquadro Impostazioni tabella pivot.

3. In Raggruppa per, fai clic su Aggiungi campo per selezionare fino a cinque campi UDM per il raggruppamento delle righe. Vengono visualizzate opzioni di trasformazione speciali in base al tipo di campo:

   • Campi stringa: opzione per forzare le lettere minuscole. Puoi visualizzare i risultati utilizzando la capitalizzazione Predefinita o solo le lettere minuscole selezionando Minuscole dal menu.
   • Campi del nome host:
     • Dominio registrato: mostra solo il nome di dominio registrato (ad esempio google.com, nytimes.com, youtube.com).
     • Dominio di livello N principale: specifica il livello del dominio da visualizzare. Ad esempio, l'utilizzo di un valore pari a 1 mostra solo il dominio di primo livello (ad esempio com, gov o edu). L'utilizzo di un valore pari a 3 mostra i due livelli successivi dei nomi di dominio (ad esempio google.co.uk).
   • Campi IP: opzione per raggruppare in base alla lunghezza del prefisso CIDR in bit. Puoi specificare da 1 a 32 per gli indirizzi IPv4. Per gli indirizzi IPv6, puoi specificare valori fino a 128.
   • Campi timestamp: opzione per raggruppare in base alla risoluzione temporale (millisecondi, secondi, minuti, ore, giorni).

4. Nella sezione Valori, specifica un valore per la tabella pivot dall'elenco dei campi nei risultati. Puoi specificare fino a cinque valori.

5. Per ogni campo specificato per Valori, devi selezionare una delle seguenti opzioni Riepiloga per:

   • Media
   • Conteggio
   • Conteggio valori distinti
   • Max
   • Min
   • Somma
   • Stddev (deviazione standard)

   Le opzioni Riassumi non sono universalmente compatibili con i campi Raggruppa per. Ad esempio, le opzioni Somma, Media, Deviazione standard, Min e Max possono essere applicate solo ai campi numerici. Se tenti di associare un'opzione Riepiloga incompatibile a un campo Raggruppa per, ricevi un messaggio di errore.

   Specifica un valore di Conteggio eventi per restituire il numero di eventi identificati per questa particolare ricerca e tabella pivot.

6. In Ordina per, specifica uno o più campi UDM e seleziona uno o più ordinamenti utilizzando l'opzione Crescente o Decrescente.

7. Quando è tutto pronto, fai clic su Applica. I risultati vengono visualizzati nel riquadro Pivot.

8. (Facoltativo) Per scaricare e salvare i contenuti della tabella pivot, consulta Scaricare i risultati di ricerca da una tabella.

Utilizzare il riquadro Log non elaborati

Utilizza il riquadro Log non elaborati per visualizzare, ordinare e gestire i log che corrispondono alla tua ricerca, che valuta la telemetria dei log non elaborati e non analizzati. L'obiettivo diagnostico principale è monitorare l'integrità dell'importazione e dell'analisi, ovvero monitorare quanti log sono stati analizzati rispetto a quanti non sono stati analizzati rispetto a quelli sconosciuti (il che significa che uno o più log sono stati rilevati in un determinato momento, ma il numero è indeterminato).

Per informazioni sulle funzioni e sugli strumenti supportati per questa scheda, consulta Utilizzare strumenti comuni per le tabelle. Le funzioni supportate includono la gestione delle colonne nella tabella visualizzata dalla scheda, il download dei risultati di ricerca e altro ancora.

Esamina i dettagli granulari di un singolo log non elaborato (visualizzatore eventi e correlazione dei log non elaborati)

• Per esaminare i dettagli granulari di un singolo log non elaborato, fai clic sulla riga. Si apre il Visualizzatore eventi.

  Per saperne di più, vedi Utilizzare il visualizzatore eventi per i risultati UDM e RAW.

Utilizzare il riquadro Statistiche

Utilizza il riquadro Statistiche per visualizzare, ordinare e gestire le statistiche che corrispondono alla tua ricerca.

Il riquadro Statistiche supporta solo un Selettore colonne in cui puoi aggiungere o rimuovere colonne.

Per informazioni sulle funzioni e sugli strumenti supportati per questa scheda, consulta Utilizzare strumenti comuni per le tabelle. Le funzioni supportate includono il download dei risultati di ricerca e altro ancora.

Utilizzare il riquadro Join

Utilizza il riquadro Join per visualizzare, ordinare e gestire gli elementi che corrispondono alla tua ricerca.

Per informazioni sulle funzioni e sugli strumenti supportati per questa scheda, consulta Utilizzare strumenti comuni per le tabelle. Le funzioni supportate includono la gestione delle colonne nella tabella visualizzata dalla scheda, il download dei risultati di ricerca e altro ancora.

Utilizzare il riquadro Casi

Utilizza il riquadro Casi per visualizzare, ordinare e gestire i casi che corrispondono alla tua ricerca.

Per informazioni sulle funzioni e sugli strumenti supportati per questa scheda, consulta Utilizzare strumenti comuni per le tabelle. Le funzioni supportate includono la gestione delle colonne nella tabella visualizzata dalla scheda, il download dei risultati di ricerca e altro ancora.

Utilizzare il riquadro Cronologia richieste

Utilizza il riquadro Cronologia casi per visualizzare, ordinare e gestire le cronologie dei casi che corrispondono alla tua ricerca.

Per informazioni sulle funzioni e sugli strumenti supportati per questa scheda, consulta Utilizzare strumenti comuni per le tabelle. Le funzioni supportate includono la gestione delle colonne nella tabella visualizzata dalla scheda, il download dei risultati di ricerca e altro ancora.

Utilizzare il visualizzatore eventi per i risultati UDM e RAW

• Per esaminare i dettagli granulari di un singolo evento o log non elaborato, fai clic su una riga della tabella Eventi o Log non elaborati. Si apre il Visualizzatore eventi.

Il Visualizzatore eventi include le seguenti schede:

• Campi evento
• Log non elaborato
• Avvisi: visualizzati solo per i risultati UDM della tabella Eventi
• Entità

Utilizza la scheda Campi evento

Per impostazione predefinita, la scheda Campi evento mostra i campi evento UDM in una struttura ad albero gerarchica, etichettata come Selezionati.

Utilizza la scheda Campi evento per:

• Visualizza la definizione di un campo. Tieni il puntatore sopra il nome del campo per visualizzarne la definizione.
• Fissa un campo per accedervi rapidamente. Nell'elenco Selezionati, seleziona un campo e fai clic su Mantieni blocca. Il campo viene quindi visualizzato nell'elenco Bloccati. I campi rimangono nell'elenco Selezionati e la loro gerarchia nell'elenco Aggiunti viene mostrata con la notazione delimitata da punti con il prefisso udm (ad esempio, udm.metadata.event_type).
• Aggiungi alle colonne o copia più campi. Seleziona la casella di controllo accanto a un nodo o a un campo, quindi scegli Aggiungi a Colonne o Copia.

• Esegui le seguenti azioni:

  • Filtri: applica i seguenti filtri agli elementi selezionati (check_box) nell'elenco Selezionati:
    • Campi
      • Mostra campi senza informazioni aggiuntive
      • Mostra campi con informazioni aggiuntive
      • Mostra campi aggiuntivi
      • Mostra campi estratti
    • Origini log arricchimento: le opzioni disponibili dipendono dall'evento.
  • Copia: per copiare i campi e i valori UDM selezionati negli appunti di sistema.
  • Aggiungi a Colonne: aggiungi il campo UDM come colonna.

Ogni campo UDM è etichettato con un'icona che indica se contiene dati arricchiti o non arricchiti. Le etichette delle icone sono le seguenti:

• U: i campi non arricchiti contengono valori compilati durante il processo di normalizzazione utilizzando i dati del log non elaborato originale.

• E: i campi arricchiti contengono valori compilati da Google SecOps per fornire un contesto aggiuntivo sugli artefatti in un ambiente cliente. Per saperne di più, vedi Arricchire i dati di eventi ed entità con Google SecOps.

  La visualizzazione di ogni campo arricchito può mostrare tutte le fonti associate. Queste informazioni sono utili per la convalida e la risoluzione dei problemi e potrebbero essere necessarie ai fini di audit e conformità. Puoi anche filtrare i campi in base all'origine dell'arricchimento.

Immagine 6. Campi UDM arricchiti e non arricchiti nella scheda Campi evento del Visualizzatore eventi, che mostra le origini dei campi arricchiti.

Immagine 7. Utilizza il filtro nella scheda Campi evento per mostrare o nascondere i campi in base a vari attributi.

Utilizzare la scheda Log non elaborato

La scheda Log non elaborato mostra l'accesso non elaborato originale in uno dei seguenti formati:

• Dati
• JSON
• XML
• CSV
• Esadecimale/ASCII

Utilizzare la scheda Avvisi

La scheda Avvisi mostra gli avvisi associati all'evento.

La scheda Avvisi viene visualizzata solo per i risultati UDM della tabella Eventi.

Utilizzare la scheda Entità

La scheda Entità mostra le entità associate all'evento.

Fai clic su un'entità per visualizzare la finestra di dialogo Contesto entità, che può includere i seguenti elementi:

• Nome risorsa
• Prima visualizzazione
• Ultima visualizzazione
• Indirizzi IP
• Indirizzi MAC
• Numero di avvisi
• Numero più alto di avvisi per regola
• Grafico a barre degli avvisi nel tempo
• Link Apri avvisi e IOC
• Link Visualizza nella scheda degli avvisi

Visualizzare e gestire le informazioni nella scheda Avvisi e rilevamenti

Utilizza la scheda Avvisi e rilevamenti per:

• Ricerca delle minacce in tutte le esecuzioni delle regole
• Confronto tra trigger di avvisi azionabili e precursori comportamentali a basso rumore
• Definizione dei limiti degli incidenti in un'unica visualizzazione consolidata

La scheda Avvisi e rilevamenti mostra sia gli avvisi sia i rilevamenti che corrispondono ai tuoi criteri di ricerca attivi. Combinando avvisi e rilevamenti in un'unica scheda, puoi esaminare gli avvisi di gravità elevata insieme ai risultati delle regole comportamentali sottostanti per scoprire precursori a basso rumore che non hanno superato la soglia di avviso in modo indipendente.

Gli avvisi sono eventi UDM e dati di telemetria del connettore di terze parti taggati con soglie di avviso o notifiche di gravità elevata. Il conteggio Avvisi mostra la telemetria dei log UDM che ha attivato una regola di avviso (alert_state = "ALERTING"), insieme alle notifiche ad alta priorità inserite dai connettori di sicurezza di terze parti (come CrowdStrike o webhook SOAR).

I rilevamenti sono tutti gli output di esecuzione delle regole di avviso (ALERTING) e non di avviso (NOT_ALERTING) generati dalle regole YARA-L 2.0 nel tuo ambiente. La scheda mostra gli output di esecuzione completi delle regole generati dal motore di rilevamento YARA-L 2.0 per i risultati delle regole con e senza avvisi. Ogni avviso generato da una regola è anche un rilevamento (ALERTING), ma il conteggio dei Rilevamenti include anche tutti gli hit delle regole informative, di background o non di avviso (NOT_ALERTING).

Il conteggio nell'intestazione della scheda classifica le corrispondenze di esecuzione delle regole in base allo stato dell'avviso. Ad esempio, se l'intestazione della scheda è Avvisi (43) e rilevamento (0), significa che ci sono 43 corrispondenze in cui alerting_rule = true e zero esecuzioni di regole non di avviso (NOT_ALERTING).

La scheda Avvisi e rilevamenti include i seguenti riquadri:

• Grafico Tendenza nel tempo
• Pannello Aggregazioni
• Pannello Rilevamenti

Suggerimento: fai clic su Opzioni di visualizzazione per nascondere o mostrare il grafico e il pannello Aggregazioni.

Utilizzare il grafico Tendenza nel tempo

La scheda Tendenza nel tempo nella scheda Avvisi e rilevamenti include un grafico (un istogramma) del volume di rilevamento nel tempo. La larghezza di ogni barra verticale viene scalata dinamicamente in base alla finestra di ricerca complessiva (ad esempio, ogni barra potrebbe rappresentare 10 minuti per una finestra di ricerca di 24 ore).

Il grafico raggruppa tutte le corrispondenze di esecuzione delle regole nel tempo in un'unica serie aggregata etichettata Rilevamenti.

Nota: l'intestazione della scheda mostra i valori di conteggio e divide i risultati in base allo stato dell'avviso (ad esempio Avvisi (43) e Rilevamento (0)), mentre il grafico Tendenza nel tempo aggrega tutte le occorrenze di rilevamento come barre Rilevamenti.

Il grafico supporta quanto segue:

• Regolazione dell'intervallo di tempo: trascina i controlli del cursore sulla sequenza temporale per restringere immediatamente la finestra temporale visibile. La griglia dei risultati e gli aggregati vengono aggiornati senza eseguire nuovamente la query sul backend.
• Visualizza le aggregazioni e i rilevamenti per la finestra temporale di una singola barra: fai clic su una barra per restringere il focus del grafico, della scheda Aggregazioni e della scheda Rilevamenti alla finestra temporale di quella barra. Questa azione crea un filtro, che viene visualizzato accanto al pulsante Aggiungi filtro filter_list. Elimina il filtro per visualizzare di nuovo tutti i risultati.
• Popup Dettagli: se fai clic su una delle barre, si apre una finestra di dialogo con l'ora e i valori per Rilevamenti eseguiti con query e Rilevamenti filtrati.

Utilizzare il riquadro Aggregazioni per perfezionare i rilevamenti

I contenuti del riquadro Aggregazioni nella scheda Avvisi e rilevamenti riepilogano i valori dei risultati di rilevamento ad alta frequenza, che puoi utilizzare per perfezionare i risultati di ricerca.

Il riquadro Aggregazioni include tre elenchi comprimibili: Campi di rilevamento, Campi UDM (un elenco di campi UDM corrispondenti) e Campi entità.

Ogni campo mostra il "conteggio corrispondenze", ovvero il numero di rilevamenti di avvisi che hanno lo stesso valore per quel campo. I contenuti degli elenchi sono ordinati dal numero più alto al più basso di corrispondenze e in ordine alfabetico all'interno dello stesso numero di corrispondenze. Puoi cercare i campi negli elenchi ed espandere un elemento di campo.

Puoi bloccare un campo nella parte superiore dell'elenco Aggregazioni passando il puntatore sopra un campo e facendo clic sull'icona Mantieni Mantieni.

Risultati del rilevamento degli avvisi di ricerca nel riquadro Aggregazioni

Puoi cercare campi o valori di campo specifici utilizzando il campo di ricerca del riquadro Aggregazioni. In questo modo, puoi concentrarti sugli avvisi più importanti per te.

Di seguito sono riportati gli attributi chiave degli avvisi per filtrare gli avvisi nel riquadro Aggregazioni:

• Richiesta
• Nome
• Priorità
• Gravità
• Stato
• Esito

Filtrare i risultati del rilevamento degli avvisi nel riquadro Aggregazioni

Per filtrare i risultati del rilevamento degli avvisi con le aggregazioni:

1. Nel riquadro Aggregazioni, seleziona un campo da un elenco per visualizzare un elenco di valori per quel campo.

2. Seleziona un valore dall'elenco e fai clic su more_vert Altro.

3. Seleziona un'opzione di filtro:

   • Mostra solo: la tabella Rilevamenti viene aggiornata per mostrare solo gli avvisi corrispondenti e il filtro = "value" viene visualizzato accanto al pulsante filter_list Aggiungi filtro.
   • Filtra: la tabella Rilevamenti viene aggiornata con gli avvisi corrispondenti filtrati e il filtro != "value" viene visualizzato accanto al pulsante filter_list Aggiungi filtro.
   • Maggiore di (solo per i campi interi): la tabella Rilevamenti viene aggiornata per mostrare gli avvisi con un valore maggiore di questo e il filtro > "value" viene visualizzato accanto al pulsante filter_list Aggiungi filtro.
   • Maggiore o uguale a (solo per i campi interi): la tabella Rilevamenti viene aggiornata per mostrare gli avvisi con un valore maggiore o uguale a questo e il filtro >= "value" viene visualizzato accanto al pulsante filter_list Aggiungi filtro.
   • Minore di (solo per i campi interi): la tabella Rilevamenti viene aggiornata per mostrare gli avvisi con un valore inferiore a questo e il filtro < "value" viene visualizzato accanto al pulsante filter_list Aggiungi filtro.
   • Minore o uguale a (solo per i campi interi): la tabella Rilevamenti viene aggiornata per mostrare gli avvisi con un valore minore o uguale a questo e il filtro <= "value" viene visualizzato accanto al pulsante filter_list Aggiungi filtro.
   • Copia: copia la coppia campo-valore negli appunti.

• Per eliminare un filtro e aggiornare i risultati del rilevamento degli avvisi, elimina il filtro visualizzato accanto al pulsante filter_list Aggiungi filtro.

Utilizzare il riquadro Rilevamenti

Utilizza il riquadro Rilevamenti per visualizzare, ordinare e gestire gli elementi che corrispondono alla tua ricerca.

Per informazioni sulle funzioni e sugli strumenti supportati per questa scheda, consulta Utilizzare strumenti comuni per le tabelle. Le funzioni supportate includono la gestione delle colonne nella tabella visualizzata dalla scheda, il download dei risultati di ricerca e altro ancora.

Esaminare i dettagli granulari di un singolo avviso (visualizzatore avvisi)

• Per esaminare i dettagli granulari di un singolo avviso, fai clic su una riga della tabella Rilevamenti. Si apre il Visualizzatore avvisi.

Il Visualizzatore avvisi include le seguenti schede:

• Campi di rilevamento
• Dettagli
• Variabili

• Entità
  
  

• Per andare a un'altra pagina della console Google SecOps con i dettagli dell'avviso, fai clic su Visualizza dettagli.

Utilizzare la scheda Campi di rilevamento

Per impostazione predefinita, la scheda Campi di rilevamento mostra i campi di rilevamento in una struttura ad albero gerarchica, etichettata come Selezionati.

Utilizza la scheda Campi di rilevamento per:

• Visualizza la definizione di un campo. Tieni il puntatore sopra il nome del campo per visualizzarne la definizione.
• Fissa un campo per accedervi rapidamente. Nell'elenco Selezionati, seleziona un campo e fai clic su Mantieni blocca. Il campo viene quindi visualizzato nell'elenco Bloccati. I campi rimangono nell'elenco Selezionati e la loro gerarchia nell'elenco Aggiunti viene mostrata con la notazione delimitata da punti con il prefisso collection (ad esempio, collection.created_time).
• Aggiungi alle colonne o copia più campi. Seleziona la casella di controllo accanto a un nodo o a un campo, quindi scegli Aggiungi a Colonne o Copia.

• Esegui le seguenti azioni:

  • Applica i filtri all'elenco Selezionati.
  • Aggiungi a Colonne: aggiungi il campo come colonna.
  • Copia: per copiare i campi e i valori selezionati negli appunti di sistema.

Utilizzare la scheda Dettagli

La scheda Dettagli mostra i dettagli dell'avviso. Il set di campi di dettaglio varia a seconda dell'avviso specifico.

Campi dei dettagli di esempio:

• Nome (sempre avviso)
• Tipo
• Gravità
• Punteggio di rischio
• Stato
• Priorità
• Rilevata
• Finestra di rilevamento
• Creato
• Regola
• Serie di regole
• Descrizione
• Tag

Utilizzare la scheda Variabili

La scheda Variabili mostra il campo, il tipo e il valore di ogni variabile associata all'avviso.

Utilizzare la scheda Entità

La scheda Entità viene visualizzata solo quando è presente un'entità associata all'avviso.

La scheda Entità mostra le entità associate all'avviso.

Fai clic su un'entità per visualizzare la finestra di dialogo Contesto entità, che può includere i seguenti elementi:

• Nome risorsa
• Prima visualizzazione
• Ultima visualizzazione
• Indirizzi IP
• Indirizzi MAC
• Numero di avvisi
• Numero più alto di avvisi per regola
• Grafico a barre degli avvisi nel tempo
• Link Apri avvisi e IOC
• Link Visualizza nella scheda degli avvisi

Visualizzare e gestire le informazioni nella scheda Panoramica

Utilizza la scheda Panoramica per:

• Controlla la cronologia delle entità (Primo rilevamento, Ultimo rilevamento, Indirizzi MAC)
• Verifica se gli indicatori osservati si sovrappongono a casi o avvisi di operazioni di sicurezza attivi

La scheda Panoramica mostra il grafico del contesto dell'entità (ECG) consolidato, i dettagli dell'asset o dell'utente e la panoramica dell'indagine per gli indicatori di compromissione (IOC) o le entità che corrispondono alla finestra di ricerca attiva. Le informazioni presentate variano a seconda del tipo di informazioni.

La scheda Panoramica mostra le informazioni sull'entità in uno dei seguenti tipi di informazioni predefiniti:

• Dettagli asset
• Dettagli del dominio
• Dettagli del file
• Dettagli IP
• Dettagli utente

Visualizza i dettagli dell'asset nella scheda Panoramica

Quando la query include una condizione che restituisce un asset specifico, ad esempio principal.hostname="laptop-will" o principal.ip="10.0.0.76", la scheda Panoramica mostra la visualizzazione asset con le informazioni nei seguenti riquadri:

• Riepilogo della ricerca: mostra le seguenti informazioni:
  • Dettagli sull'entità, inclusi l'indirizzo IP e l'indirizzo MAC associati all'asset durante l'intervallo di tempo della ricerca. L'indirizzo IP e l'indirizzo MAC possono essere utilizzati anche per identificare un'entità e possono essere selezionati per visualizzare informazioni aggiuntive nel visualizzatore di entità. Mostra anche la prima volta che l'asset è stato visualizzato nella tua azienda e l'ultima volta che è stato visualizzato. Puoi fare clic sul primo o sull'ultimo timestamp per eseguire una nuova ricerca utilizzando quell'ora.
  • Dettagli sugli avvisi, incluso un grafico che mostra il numero di avvisi che hanno coinvolto l'entità nell'intervallo di tempo della ricerca. Il riquadro elenca anche un sottoinsieme di regole con il maggior numero di avvisi.
  • Fai clic su Apri avvisi e IOC per visualizzare tutti gli avvisi generati nello stesso intervallo di tempo di ricerca.
  • Fai clic su Visualizza nella scheda Avvisi per passare alla scheda Avvisi e rilevamenti di questa pagina e avviare una nuova ricerca nell'entità selezionata.
  • Fai clic su una delle barre del grafico per passare alla scheda Avvisi e rilevamenti di questa pagina e avvia una nuova ricerca sull'entità selezionata, utilizzando l'intervallo di tempo della barra su cui hai fatto clic.
  • Fai clic sul link Visualizza altro per aprire la visualizzazione Campi entità e visualizzare tutti i campi entità associati all'asset. Per copiare un campo entità negli appunti, fai clic sulla casella di controllo accanto al campo entità, fai clic su Visualizza azioni e poi su Copia entità. Fai clic sulla casella di controllo in alto per selezionare tutte le entità.
• IOC pertinenti: mostra gli IOC associati alla risorsa. Gli IOC a cui è stata assegnata una gravità maggiore vengono visualizzati per primi. Se fai clic sul nome dell'indicatore di compromissione, si apre il visualizzatore di entità a destra.
• Entità associate: mostra altre entità a cui è correlato questo asset, ad esempio gli utenti che hanno eseguito l'accesso all'asset. Il riquadro mostra il tipo di entità, la prima volta che è stata visualizzata nell'ambiente e l'ultima volta che è stata visualizzata (più di recente). Mostra anche gli spazi dei nomi associati a una risorsa. Fai clic su un'entità per aprire il riquadro Contesto entità. Fai clic su Mostra tutto il periodo di tempo per visualizzare le entità associate nell'intero periodo di tempo disponibile anziché nell'intervallo specificato nella ricerca UDM.
• Contesto entità: mostra i dettagli dell'entità selezionata nel riquadro Entità associate. Questo riquadro mostra informazioni diverse a seconda del tipo di entità selezionato nel riquadro Entità associate (ad esempio, utente o dominio).

Visualizza i dettagli del dominio nella scheda Panoramica

Quando la query include una condizione che specifica un dominio specifico, ad esempio target.hostname="example.com", la scheda Panoramica mostra i dettagli del Dominio con le informazioni nei seguenti riquadri:

• Riepilogo della ricerca: mostra le seguenti informazioni:
  • Dettagli sul dominio, tra cui le informazioni WHOIS associate al dominio registrato, la prima volta che è stato visualizzato nella tua azienda e l'ultima (più recente) volta che è stato visualizzato. Fai clic su Contesto VT per visualizzare le informazioni sul dominio di VirusTotal.
  • Dettagli sugli avvisi, incluso un grafico che mostra il numero di avvisi che hanno coinvolto l'entità nell'intervallo di tempo della ricerca. Il riquadro elenca anche un sottoinsieme di regole con il maggior numero di avvisi.
  • Fai clic su Apri avvisi e IOC per visualizzare tutti gli avvisi generati nello stesso intervallo di tempo di ricerca.
  • Fai clic su Visualizza nella scheda Avvisi per passare alla scheda Avvisi e rilevamenti di questa pagina e avviare una nuova ricerca sull'entità selezionata.
  • Fai clic su una delle barre del grafico per passare alla scheda Avvisi e rilevamenti di questa pagina e avvia una nuova ricerca sull'entità selezionata, utilizzando l'intervallo di tempo della barra su cui hai fatto clic.
  • Fai clic sul link Visualizza altro per aprire la visualizzazione Campi entità e visualizzare tutti i campi entità associati al dominio. Per copiare un campo entità negli appunti, fai clic sulla casella di controllo accanto al campo entità, fai clic su Visualizza azioni e poi su Copia entità. Fai clic sulla casella di controllo in alto per selezionare tutte le entità.
• IP risolti: mostra tutti gli indirizzi IP risolti che sono stati visualizzati nella tua impresa per il nome di dominio completo (FQDN). Ad esempio, se cerchi target.hostname="test.altostrat.com", i risultati di ricerca potrebbero mostrare due indirizzi IP risolti (198.51.100.81 e 203.0.113.81).
• Sottodomini e domini di pari livello: mostra tutti i sottodomini associati che sono stati visualizzati nella tua azienda per un determinato FQDN. Molti avversari utilizzano lo stesso dominio e sottodominio per i loro attacchi. Ad esempio, se cerchi target.hostname="sandbox.altostrat.com", questo pannello mostra due sottodomini, test.sandbox.altostrat.com e staging.sandbox.altostrat.com.
• Prevalenza degli asset: mostra il numero di asset nella tua azienda che si sono connessi al dominio per l'intero periodo di tempo dei dati memorizzati nel tuo account Google Security Operations. Ogni barra del grafico rappresenta il numero di asset unici nella tua azienda che si sono connessi al dominio in un giorno UTC. Se passi il mouse sopra una barra, vengono visualizzate le entità correlate nel giorno UTC rappresentato dalla barra. Fai clic sul nome dell'entità per visualizzare il riepilogo e la panoramica dell'entità nel riquadro contestuale dell'entità visualizzato a destra. Fai clic su Visualizza eventi per visualizzare gli eventi correlati all'entità selezionata nella scheda Eventi di ricerca.
• Entità associate: mostra altre entità a cui è correlato questo dominio, ad esempio asset che hanno contattato questo dominio. L'elenco include il tipo di entità, la prima volta che è stata visualizzata nella tua azienda e l'ultima volta (più recente) che è stata visualizzata. Fai clic su un'entità per aprire il riquadro Contesto entità.
• Contesto entità: mostra i dettagli dell'entità selezionata nel riquadro Entità associate. Questo riquadro mostra informazioni diverse a seconda del tipo di entità selezionato nel riquadro Entità associate (ad esempio, indirizzo IP o dominio).

Visualizzare i dettagli del file

Quando la query include una condizione che restituisce un singolo file, ad esempio principal.process.file.md5="a00000a75f2a35130aa7a7aaa09aaa7a", la scheda Panoramica mostra i dettagli del File con le informazioni nei seguenti riquadri:

• Riepilogo della ricerca: mostra le seguenti informazioni:
  • Dettagli sul file, inclusi valori hash, dimensioni del file, la prima volta che è stato visto nella tua azienda e l'ultima (più recente) volta che è stato visto. Fai clic su Contesto VT per visualizzare le informazioni sul file di VirusTotal.
  • Dettagli sugli avvisi, incluso un grafico che mostra il numero di avvisi che hanno coinvolto l'entità nell'intervallo di tempo della ricerca. Il riquadro elenca anche un sottoinsieme di regole con il maggior numero di avvisi.
  • Fai clic su Apri avvisi e IOC per visualizzare tutti gli avvisi generati nello stesso intervallo di tempo di ricerca.
  • Fai clic su Visualizza nella scheda Avvisi per passare alla scheda Avvisi e rilevamenti di questa pagina e avviare una nuova ricerca sull'entità selezionata.
  • Fai clic su una delle barre del grafico per passare alla scheda Avvisi e rilevamenti di questa pagina e avvia una nuova ricerca sull'entità selezionata, utilizzando l'intervallo di tempo della barra su cui hai fatto clic.
  • Fai clic sul link Visualizza altro per aprire la visualizzazione Campi entità e visualizzare tutti i campi entità associati al file. Per copiare un campo entità negli appunti, fai clic sulla casella di controllo accanto al campo entità, fai clic su Visualizza azioni e poi su Copia entità. Fai clic sulla casella di controllo in alto per selezionare tutte le entità.
• IOC pertinenti: mostra gli IOC associati al file. Gli IOC a cui è stata assegnata una gravità maggiore vengono visualizzati per primi. Se fai clic sul nome dell'indicatore di compromissione, si apre il visualizzatore di entità a destra.
• Prevalenza degli asset: mostra il numero di asset nella tua azienda associati al file per l'intero periodo di tempo dei dati memorizzati nel tuo account Google SecOps.
• Entità associate: mostra altre entità a cui questo file è correlato, ad esempio un asset in cui è stato eseguito il file o gli utenti che hanno avuto accesso al file. L'elenco include il tipo di entità, la prima volta che è stata visualizzata nella tua impresa e l'ultima volta che è stata visualizzata. Fai clic su un'entità per aprire il riquadro Contesto entità.
• Proprietà e metadati di VirusTotal: mostra informazioni sul file dal database di VirusTotal. Fai clic su Visualizza altro per aprire una finestra di dialogo di VirusTotal e visualizzare ulteriori informazioni sul file.
• Entità associate: mostra informazioni diverse a seconda del tipo di entità selezionato nel riquadro Entità associate (ad esempio, utente o asset).
• Contesto entità: mostra i dettagli dell'entità selezionata nel riquadro Entità associate. Questo riquadro mostra informazioni diverse a seconda del tipo di entità selezionato nel riquadro Entità associate (ad esempio, utente o asset).

Visualizza i dettagli dell'IP nella scheda Panoramica

Quando la query include una condizione che restituisce un indirizzo IP esterno specifico, ad esempio target.ip="203.0.113.254", la scheda Panoramica mostra i dettagli dell'IP con le informazioni nei seguenti riquadri:

• Riepilogo della ricerca: mostra le seguenti informazioni:
  • Dettagli sull'indirizzo IP, inclusi la prima volta che è stato visto nella tua organizzazione e l'ultima volta (la più recente). Fai clic su Contesto VT per visualizzare le informazioni disponibili su questo indirizzo IP da VirusTotal.
  • Dettagli sugli avvisi, incluso un grafico che mostra il numero di avvisi che hanno coinvolto l'entità nell'intervallo di tempo della ricerca. Il riquadro elenca anche un sottoinsieme di regole con il maggior numero di avvisi.
  • Fai clic su Apri avvisi e IOC per visualizzare tutti gli avvisi generati nello stesso intervallo di tempo di ricerca.
  • Fai clic su Visualizza nella scheda Avvisi per passare alla scheda Avvisi e rilevamenti di questa pagina e avviare una nuova ricerca sull'entità selezionata.
  • Fai clic su una delle barre del grafico per passare alla scheda Avvisi e rilevamenti di questa pagina e avvia una nuova ricerca sull'entità selezionata, utilizzando l'intervallo di tempo della barra su cui hai fatto clic.
  • Fai clic sul link Visualizza altro per aprire la visualizzazione Campi entità e visualizzare tutti i campi entità associati all'indirizzo IP. Per copiare un campo entità negli appunti, fai clic sulla casella di controllo accanto al campo entità, fai clic su Visualizza azioni e poi su Copia entità. Fai clic sulla casella di controllo in alto per selezionare tutte le entità.
• IOC pertinenti: mostra gli IOC associati all'indirizzo IP. Gli IOC a cui è stata assegnata una gravità maggiore vengono visualizzati per primi. Se fai clic sul nome dell'indicatore di compromissione, si apre il visualizzatore di entità a destra.
• Prevalenza degli asset: mostra il numero di asset nella tua azienda che si sono connessi all'indirizzo IP nel periodo di tempo specificato nella ricerca UDM.
• Entità associate: mostra altre entità a cui è correlato questo indirizzo IP, ad esempio i domini a cui è registrato l'indirizzo IP. L'elenco include il tipo di entità, la prima volta che è stata visualizzata nella tua azienda e l'ultima volta (più recente) che è stata visualizzata. Fai clic su un'entità per aprire il riquadro Contesto entità.
• Contesto entità: mostra i dettagli dell'entità selezionata nel riquadro Entità associate. Questo riquadro mostra informazioni diverse a seconda del tipo di entità selezionato nel riquadro Entità associate (ad esempio, dominio o asset). Se il link viene visualizzato, fai clic su Contesto VT per visualizzare le informazioni sull'entità da VirusTotal.

Visualizza i dettagli dell'utente nella scheda Panoramica

Quando la query include una condizione che restituisce un utente specifico, ad esempio principal.user.userid="alice", la scheda Panoramica mostra i dettagli dell'utente con informazioni nei seguenti pannelli:

• Riepilogo della ricerca: mostra le seguenti informazioni:
  • Dettagli sull'entità, tra cui nome completo, prima volta che è stata visualizzata nella tua organizzazione e ultima (più recente) volta che è stata visualizzata, titolo e indirizzo email.
  • Dettagli sugli avvisi, incluso un grafico che mostra il numero di avvisi che hanno coinvolto l'entità nell'intervallo di tempo della ricerca. Il riquadro elenca anche un sottoinsieme di regole con il maggior numero di avvisi.
  • Fai clic su Apri avvisi e IOC per visualizzare tutti gli avvisi generati nello stesso intervallo di tempo di ricerca.
  • Fai clic su Visualizza nella scheda Avvisi per passare alla scheda Avvisi e rilevamenti di questa pagina e avviare una nuova ricerca sull'entità selezionata.
  • Fai clic su una delle barre del grafico per passare alla scheda Avvisi e rilevamenti di questa pagina e avvia una nuova ricerca sull'entità selezionata, utilizzando l'intervallo di tempo della barra su cui hai fatto clic.
  • Fai clic sul link Visualizza altro per aprire la visualizzazione Campi entità e visualizzare tutti i campi entità associati all'utente. Per copiare un campo entità negli appunti, fai clic sulla casella di controllo accanto al campo entità, fai clic su Visualizza azioni e poi su Copia entità. Fai clic sulla casella di controllo in alto per selezionare tutte le entità.
• Entità associate: mostra le entità a cui questo utente è correlato, ad esempio i domini contattati dall'utente o gli asset a cui ha avuto accesso. L'elenco include il tipo di entità, la prima volta che è stata visualizzata nella tua azienda e l'ultima volta (più recente) che è stata visualizzata. Fai clic su un'entità per aprire il riquadro Contesto entità.
• Contesto entità: mostra i dettagli dell'entità selezionata nel riquadro Entità associate. Le informazioni in questo riquadro variano a seconda del tipo di entità (ad esempio asset o dominio).

Visualizzare e gestire le informazioni nella scheda Visualizza

Utilizza la scheda Visualizza per trasformare i dati dei risultati di ricerca STATS in un diagramma, un grafico o una tabella.

Utilizzare gli strumenti comuni per le tabelle

Nella pagina SIEM Search, la maggior parte dei riquadri contenenti una singola tabella supporta le stesse funzioni e gli stessi strumenti comuni.

Questa sezione descrive le seguenti funzioni e strumenti comuni:

• Casella di ricerca. Utilizza la casella di ricerca per trovare i risultati corrispondenti nella tabella adiacente.
• Gestisci le colonne delle tabelle e condividi i set di colonne (Gestore colonne).
• Pulsante Testo a capo - Annulla testo a capo. È utile andare a capo per visualizzare intere stringhe lunghe in una colonna.
• Scaricare i risultati di ricerca da una tabella.
• Strumento Righe per pagina nella parte inferiore della tabella. Puoi utilizzare questo strumento per migliorare la stabilità e le prestazioni del browser durante il caricamento di un numero elevato di record di risultati (righe). Google SecOps fornisce risultati di ricerca paginati. Utilizza l'elenco Righe per pagina nella tabella Eventi per selezionare il numero di righe da visualizzare per pagina (da 25 a 1000 eventi).

Gestire le colonne delle tabelle e condividere i set di colonne (Gestore colonne)

Per utilizzare una visualizzazione coerente durante l'analisi dei dati sugli eventi, puoi creare, salvare e condividere set di colonne personalizzati per le seguenti tabelle nella pagina Ricerca SIEM:

• Nel riquadro Risultati, per le seguenti tabelle: Eventi, Log grezzi, Join
• Nella scheda Avvisi e rilevamenti, per la tabella Rilevamenti.

Per utilizzare questa funzionalità, il tuo account utente o il tuo ruolo Identity and Access Management deve disporre di tutte e cinque le seguenti autorizzazioni:

• chronicle.googleapis.com/savedColumnSets.create
• chronicle.googleapis.com/savedColumnSets.update
• chronicle.googleapis.com/savedColumnSets.delete
• chronicle.googleapis.com/savedColumnSets.list
• chronicle.googleapis.com/savedColumnSets.get

Nota: la scheda Statistiche supporta solo un Selettore colonne in cui puoi solo aggiungere o rimuovere colonne. La scheda Statistiche non supporta la funzionalità Gestione colonne.

Crea un set di colonne

I passaggi per creare un insieme di colonne variano leggermente a seconda della tabella con cui stai lavorando.

Per creare un insieme di colonne per la tabella Eventi, Log grezzi o Join:

1. Fai clic su Colonne per aprire il Gestore colonne.
2. Fai clic sull'icona filter_alt Filtro per specificare se mostrare le colonne non applicabili.
3. Fai clic sul pulsante di attivazione/disattivazione Mostra selezionati per visualizzare solo le colonne selezionate nella scheda Colonne eventi.
4. Nella scheda Colonne eventi, aggiungi o rimuovi colonne per il tuo insieme di colonne. Puoi sfogliare o cercare campi in sezioni comprimibili (che variano a seconda del tipo di risultato di ricerca), ad esempio Campi rapidi (i campi più comuni per tipo di dati), Campi raggruppati, Tutti i campi evento e Tutti i campi entità. Attiva o disattiva le caselle di controllo per mostrare o nascondere le colonne.
5. Disponi le colonne e poi fai clic su Salva. Si apre la finestra di dialogo Salva set di colonne.
6. Seleziona una delle seguenti opzioni:
   • Salva: inserisci un nuovo nome per l'insieme di colonne.
   • Sostituisci: se hai modificato un insieme salvato in precedenza, puoi sovrascrivere quello esistente con le tue modifiche.
7. Fai clic su Salva. Il set di colonne è elencato nella scheda Set di colonne.

Per creare un insieme di colonne per la tabella Rilevamenti:

1. Fai clic su Colonne per aprire il Gestore colonne.
2. Fai clic sull'icona filter_alt Filtro per specificare se mostrare le colonne non applicabili.

3. Dall'elenco Tipo di tabella, seleziona il tipo di tabella per cui vuoi creare un insieme di colonne:

   • Rilevamenti
   • Eventi
   • Entità (visualizza le colonne espandendo le righe della tabella).

   Le modifiche apportate a un tipo di tabella specifico verranno applicate solo alle tabelle e alle sottotabelle di quel tipo.

4. Fai clic sul pulsante di attivazione/disattivazione Mostra selezionati per visualizzare solo le colonne selezionate nella scheda corrispondente (Colonne rilevamenti, Colonne eventi o Colonne entità).

5. Nella scheda corrispondente, aggiungi o rimuovi colonne per l'insieme di colonne. Puoi sfogliare o cercare campi in sezioni comprimibili (che variano a seconda del tipo di risultato di ricerca). Attiva o disattiva le caselle di controllo per mostrare o nascondere le colonne.

6. Disponi le colonne e poi fai clic su Salva. Si apre la finestra di dialogo Salva set di colonne.

7. Seleziona una delle seguenti opzioni:

   • Salva: inserisci un nuovo nome per l'insieme di colonne.
   • Sostituisci: se hai modificato un insieme salvato in precedenza, puoi sovrascrivere quello esistente con le tue modifiche.

8. Fai clic su Salva. Il set di colonne è elencato nella scheda Set di colonne.

Condividere un set di colonne

Per condividere un insieme di colonne con tutti gli altri utenti del tuo tenant Google SecOps:

1. Fai clic su Colonne per aprire il Gestore colonne.
2. Nella scheda Colonne eventi, aggiungi o rimuovi colonne per il tuo insieme di colonne. Puoi sfogliare o cercare campi in sezioni comprimibili (che variano a seconda del tipo di risultato di ricerca), ad esempio Campi rapidi (i campi più comuni per tipo di dati), Campi raggruppati, Tutti i campi evento e Tutti i campi entità. Attiva o disattiva le caselle di controllo per mostrare o nascondere le colonne.
3. Disponi le colonne e poi fai clic su Condividi. Si apre la finestra di dialogo Condividi set di colonne.
4. Seleziona una delle seguenti opzioni:
   • Condividi come nuovo: inserisci un nuovo nome per il set di colonne da condividere.
   • Condividi esistente: seleziona un set salvato in precedenza dall'elenco.
5. Fai clic su Condividi. Il set di colonne è elencato nella scheda Set di colonne con un badge CONDIVISO.

Caricare un set di colonne salvato

Per caricare un insieme di colonne salvato:

1. Fai clic su Colonne per aprire il Gestore colonne.
2. Seleziona la scheda Set di colonne.
3. Seleziona il set di colonne da caricare e fai clic su Applica.

Eliminare un set di colonne salvato

Per eliminare un insieme di colonne salvato:

1. Fai clic su Colonne per aprire il Gestore colonne.
2. Seleziona la scheda Set di colonne.
3. Seleziona il set di colonne, fai clic su Altro > Elimina.

Scaricare i risultati di ricerca da una tabella

Puoi scaricare e salvare un file CSV contenente i contenuti di una tabella visualizzata nella pagina SIEM Search. Per la tabella Eventi o una tabella pivot, è disponibile anche un'opzione per raggruppare i log non elaborati originali, che consente di ottenere una correlazione precisa tra i record UDM analizzati e la telemetria di origine. Questa funzionalità è pensata per i team che richiedono l'elaborazione di analisi esterne, audit trail per la conformità in cui è necessario preservare la relazione tra i dati normalizzati e l'importazione originale o la correlazione esterna.

Per scaricare i risultati di ricerca (fino al numero massimo specificato di risultati di ricerca) dalla tabella Eventi:

1. (Facoltativo) Utilizza Gestione colonne per specificare i campi UDM da includere nel file CSV. La colonna Log grezzo viene aggiunta in base alla tua selezione.

2. Fai clic su Scarica nella parte superiore della tabella e seleziona una delle seguenti opzioni:

   • Scarica come CSV: scarica gli eventi corrispondenti (e in base al numero esatto visualizzato di eventi specificati).
   • Scarica come CSV (con log non elaborati): scarica gli eventi corrispondenti e aggiunge le stringhe di log originali non analizzate come colonna dedicata accanto a ogni record UDM normalizzato (e in base al numero esatto visualizzato di eventi specificati).

3. Salva il file.

Per scaricare i risultati di ricerca (fino al numero massimo specificato di risultati di ricerca) dalle tabelle nella scheda Risultato, ad eccezione del riquadro Eventi o Pivot:

1. Fai clic su Scarica nella parte superiore della tabella e seleziona Scarica come CSV. Vengono scaricati i risultati corrispondenti (e in base al numero esatto visualizzato di eventi specificati).
2. Salva il file.

Per scaricare i risultati di ricerca (fino al numero massimo specificato di risultati di ricerca) dalla tabella Rilevamenti:

1. Fai clic su Scarica nella parte superiore della tabella e seleziona Scarica come CSV. Vengono scaricati i risultati corrispondenti (e in base al numero esatto visualizzato di eventi specificati).
2. Salva il file.

Campi supportati durante il salvataggio di un file CSV

Puoi scaricare i seguenti campi in un file CSV dalla piattaforma:

• user
• hostname
• process name
• timestamp
• raw log: Valido solo se i log non elaborati sono attivati per il cliente
• Tutti i campi che iniziano con udm.additional

Tipi di campi validi durante il salvataggio di un file CSV

Puoi scaricare i seguenti tipi di campi in un file CSV:

• double
• float
• int32
• uint32
• int64
• uint64
• bool
• string
• enum
• bytes
• google.protobuf.Timestamp
• google.protobuf.Duration

Campi non supportati durante il salvataggio di un file CSV

I campi che soddisfano uno dei seguenti criteri non possono essere scaricati in formato CSV:

• Tipo di campo: tipi di dati definiti come messaggio o gruppo nel proto UDM.
• Profondità dei campi: campi nidificati a più di 10 livelli di profondità.

• Campi specifici della UI: i seguenti campi visualizzati nella UI non sono supportati per il download diretto:

  • Campi evento:

    • Stato evento
    • Event Summary

    • Tipo di evento

      Nota: per scaricare il tipo di evento, seleziona il campo metadata.event_type in Gestione colonne.

  • Grafico del contesto entità:

    • Prima visualizzazione
    • Ultima visualizzazione
    • Timestamp

  • Ricerca federata:

    • Codice istanza

Limiti e quote

Google SecOps applica limiti alle query di ricerca per garantire la stabilità della piattaforma e un rendimento coerente nelle interfacce web e programmatiche. Questi limiti si applicano sia alle API Backstory che a quelle Chronicle.

Quote di ricerca e API

I seguenti limiti si applicano al numero di query di ricerca e operazioni simultanee per tenant:

• Query all'ora (QPH): limite dell'interfaccia della console web di 1000 QPH; limite di accesso all'API programmatica di 2000 QPH.

• Query semplici (che coprono meno di 24 ore, una sola origine, nessuna statistica): limite di concorrenza massimo di 180 query simultanee per tenant.

  Se il pool di concorrenza delle query semplici si esaurisce, le operazioni verranno automaticamente trasferite alla quota disponibile per le query complesse.

• Query complesse (che coprono più di 24 ore, multiorigine o che includono statistiche): limite di concorrenza massimo di 180 query simultanee per tenant.

• Limite di prompt dei campi UDM: una singola query può fare riferimento a un massimo di 100 campi UDM all'interno del prompt.

Errori di quota

Quando viene raggiunto un limite, l'interfaccia web mostra una notifica di errore di quota persistente. Per l'accesso programmatico, le chiamate API (ad esempio instances.udmSearch) restituiscono un errore di stato HTTP 429 RESOURCE_EXHAUSTED contenente un messaggio google.rpc.QuotaFailure che descrive in dettaglio il limite specifico che hai superato.

Limiti di visualizzazione e del set di risultati

Per garantire una stabilità della piattaforma coerente e tempi di risposta rapidi nelle interfacce web e API, Google SecOps applica i seguenti limiti:

Tipo di ricerca o origine dati	Numero massimo di risultati restituiti	Comportamento di visualizzazione della console web
Ricerca eventi UDM (Risultati > Eventi)	1.000.000 di record	Visualizza i record più recenti nelle righe paginate (da 25 a 1000 per pagina). Utilizza Impostazioni di ricerca  > Numero massimo di risultati da restituire per modificare il limite di backend (da 1 a 1.000.000, valore predefinito 30.000).
Grafico e panoramica del contesto entità (Panoramica)	1.000.000 di record	Organizzati in visualizzazioni indipendenti A tempo e Senza tempo all'interno della scheda Panoramica con paginazione separata. La scheda A tempo mostra le entità con un intervallo di tempo definito. La scheda Senza tempo mostra le entità che non hanno un intervallo di tempo specifico.
Tabelle di dati e unioni	1.000.000 di record	Le righe correlate vengono visualizzate nel pannello Risultati > Eventi in base alla configurazione di Gestione colonne.
Richieste e cronologia delle richieste	1.000.000 di record	Visualizzati direttamente nei riquadri Richieste e Cronologia delle richieste.Visualizzati nel contesto di Panoramica o utilizzando query di Ricerca richieste.
Statistiche (Risultati > Statistiche)	100.000 record (solo API UI e operazione a lunga esecuzione)	I grafici visualizzano i valori principali per una maggiore leggibilità e mostrano un avviso quando vengono superati i limiti visivi.
Aggregazioni pivot (Risultati > Pivot)	100.000 record	I grafici visualizzano i valori principali per una maggiore leggibilità e mostrano un avviso quando vengono superati i limiti visivi.
Rilevamenti delle regole (Avvisi e rilevamenti)	100.000 record	Visualizzati direttamente nella scheda combinata Avvisi e rilevamenti.

Ottimizzare e perfezionare i risultati di ricerca

Questa sezione descrive le limitazioni e le aspettative relative al rendimento e fornisce soluzioni self-service per i problemi comuni con la pagina Ricerca SIEM in Google Security Operations.

Ottimizzazione delle prestazioni e best practice

Per ottimizzare la velocità delle query e ridurre al minimo i rischi di timeout:

• Restringi prima la finestra temporale: il tempo è il filtro più efficace. L'interrogazione dell'intervallo esatto di 2 ore di un incidente viene eseguita in modo esponenzialmente più veloce rispetto alla ricerca in un intervallo di 30 giorni.
• Esegui query sui campi UDM esatti anziché sugli alias raggruppati: sebbene i campi raggruppati (ip = "1.2.3.4") siano pratici, costringono il motore a controllare più di 15 campi sottostanti (principal.ip, target.ip, observer.ip). Se sai che un indirizzo IP appartiene al server di destinazione, esegui query direttamente su target.ip = "1.2.3.4".
• Evita i caratteri jolly iniziali nelle espressioni regolari: le query che iniziano con un carattere jolly (principal.hostname = /.*server-.*/) impediscono le ricerche di indice e forzano le scansioni complete della tabella. Ancora l'espressione regolare quando possibile (principal.hostname = /^prod-server-.*/).
• Sfrutta i metadati indicizzati: filtra per metadata.event_type (NETWORK_CONNECTION, PROCESS_LAUNCH, USER_LOGIN) o metadata.log_type all'inizio della catena AND per eliminare immediatamente le origini log non pertinenti.
• Utilizza limit: N per il campionamento dei dati rapido e le anteprime veloci: puoi aggiungere la parola chiave limit: N direttamente alla query (ad esempio, metadata.event_type = "USER_LOGIN" limit: 50) per il campionamento dei dati rapido e le anteprime veloci.

Best practice per le ricerche generiche

Se la ricerca è troppo ampia, Google SecOps mostra un messaggio di avviso che indica che non è possibile mostrare tutti i risultati di ricerca. In questi casi, il sistema recupera solo i risultati più recenti, fino al limite di ricerca di un milione di eventi e 1000 avvisi. Tuttavia, potrebbero esserci molti altri eventi e avvisi corrispondenti che non vengono visualizzati.

Per acquisire tutti i risultati pertinenti, perfeziona la ricerca applicando filtri aggiuntivi, ad esempio:

• Restringi l'intervallo di tempo per ridurre le dimensioni del set di dati.
• Utilizza query di ricerca o filtri specifici anziché termini generici.
• Esegui query sui campi UDM precisi anziché su quelli raggruppati quando hai bisogno dei risultati per un singolo campo.

Eseguire il debug e perfezionare le query

Questa sezione descrive come eseguire il debug e perfezionare le query.

Visualizzare gli errori di runtime

Se la query restituisce un errore, il messaggio di errore di runtime specifico viene visualizzato in modo permanente nel riquadro Risultati. Questa visualizzazione persistente garantisce che il contesto dell'errore rimanga visibile, aiutandoti a risolvere il problema.

Limitare i risultati di ricerca

Puoi limitare i risultati di ricerca aggiungendo la parola chiave limit con il numero massimo di risultati di ricerca che vuoi visualizzare. Questo è utile per generare anteprime rapide di dati, ottimizzare il rendimento o quando hai bisogno solo di un sottoinsieme dei risultati. Ad esempio, se aggiungi limit: 25 alla ricerca, i risultati saranno limitati a un massimo di 25.

Nota :puoi anche aggiungere la parola chiave limit alle dashboard personalizzate.

Esaminare set di dati di grandi dimensioni

Google SecOps supporta la restituzione e la navigazione fino a 1 milione di risultati. In questo modo, puoi esaminare set di dati di grandi dimensioni direttamente nell'interfaccia web senza esportare i risultati. Per le ricerche di grandi dimensioni, i campi visibili sono limitati per impostazione predefinita.

Nota :dopo il caricamento dei risultati, puoi applicare filtri per perfezionare i dati senza eseguire di nuovo la ricerca. In questo modo puoi restringere rapidamente i set di risultati.

Limiti dei risultati per le origini dati

La tabella seguente elenca il numero massimo di risultati restituiti per ogni origine dati:

Tipo di ricerca o origine dati	Numero massimo di eventi o righe nei risultati di ricerca
UDM	1.000.000
ECG	1.000.000
Tabella dati	1.000.000
Unione UDM-UDM	1.000.000
Unione di UDM ed ECG	1.000.000
Unione UDM alla tabella dati	1.000.000
Richieste e cronologia delle richieste	1.000.000
Statistiche	100.000
Rilevamenti	100.000

Nota: i limiti sono gli stessi, indipendentemente dal fatto che utilizzi la piattaforma o l'API. Consulta la sezione API di ricerca asincrona per informazioni sui limiti dell'API.

Aggiungere un filtro per perfezionare la query

Per aggiungere un filtro per perfezionare la query:

1. Nella pagina Ricerca SIEM, fai clic su filter_listAggiungi filtro. Si apre una finestra di dialogo che ti consente di selezionare un campo e mostrare (=) o filtrare (!=) i valori del campo.

2. Configura i parametri della finestra di dialogo.

   

   Immagine 8. Esempio della finestra di dialogo del filtro.

3. Fai clic su Applica. Il filtro viene visualizzato accanto al pulsante filter_list Aggiungi filtro e i risultati di ricerca vengono filtrati di conseguenza.

4. (Facoltativo) Esegui una delle seguenti operazioni:

   • Se vuoi incorporare automaticamente il filtro nell'editor di query ed eseguire la ricerca, fai clic su Applica alla ricerca ed esegui.
   • Se vuoi eliminare il filtro, fai clic su Cancella.

Nota: il pulsante Cancella è disponibile solo prima di fare clic su Applica a ricerca ed esecuzione.

Risoluzione dei problemi

Se ricevi un messaggio di errore generico, ad esempio Error: Search has encountered an error and could not load data, segui questi passaggi per risolvere il problema:

• Connettiti a Google SecOps da un'altra rete. Ad esempio, utilizza una VM cloud per identificare eventuali problemi di rete.
• Assicurati che le chiamate API Chronicle siano consentite dalla configurazione o dalla policy del firewall o del proxy della tua organizzazione.
• Verifica che non sia configurato alcun limite di dati per le chiamate all'API Search, poiché le ricerche possono restituire set di dati di grandi dimensioni.
• Verifica la presenza di timeout configurati. Le query di ricerca possono essere eseguite in modo asincrono e potrebbero richiedere più tempo per restituire i dati. Se sono impostati timeout, assicurati che consentano una durata sufficiente, ad esempio 60 minuti, prima che la query scada.

Se l'errore persiste, contatta il supporto clienti.

Passaggi successivi

Per saperne di più sulle query di ricerca, consulta le seguenti risorse:

• Informazioni sulla sintassi di ricerca contiene dettagli ed esempi sulla sintassi YL2 necessaria per creare ed eseguire query su valori, caratteri di escape e operatori nell'editor di query.
• Best practice per la rete di ricerca.
• Cerca richieste e cronologia delle richieste nella ricerca unificata.
• Genera query di ricerca UDM con Gemini.
• Utilizzare dati arricchiti di contesto nella ricerca.

Per saperne di più sui risultati di ricerca, consulta le seguenti risorse:

• Indagare su un'entità utilizzando la ricerca UDM.
• Esamina i rilevamenti nella ricerca descrive come utilizzare la scheda Avvisi e rilevamenti nella pagina Ricerca SIEM.
• Comprendere la disponibilità dei dati per la ricerca descrive in dettaglio il ciclo di vita dell'acquisizione dei importazione dati, inclusi il flusso di dati end-to-end e la latenza, e il modo in cui questi fattori influiscono sulla disponibilità dei dati acquisiti di recente per le query e l'analisi.
• Ricerca UDM rispetto ai risultati delle regole descrive come confrontare i risultati della query di ricerca UDM con le regole di rilevamento in tempo reale.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.