Entender a pesquisa

Compatível com:

Google SecOps SIEM

Este guia é destinado a analistas de segurança que querem consultar, correlacionar e analisar dados de segurança em toda a empresa no Google Security Operations usando a página Pesquisa do SIEM. A página Pesquisa do SIEM serve como seu hub de navegação central em todos os fluxos de dados compatíveis e integra outras fontes de telemetria e postura. Este guia contém instruções e explicações de todas as funções e recursos básicos da página Pesquisa do SIEM.

Terminologia importante

• Modelo de dados unificado (UDM): um formato de dados padronizado usado no Google SecOps para representar eventos de segurança de várias fontes de maneira consistente.
• Evento: um evento é gerado de uma fonte de registro bruta que é ingerida no Google SecOps e processada pelo processo de ingestão e normalização do Google SecOps. Vários eventos podem ser gerados de um único registro de origem de registro bruto. Um evento representa um conjunto de pontos de dados relevantes para a segurança gerados desse registro bruto. No contexto da página Pesquisa do SIEM, os eventos são telemetria de eventos da UDM normalizada e registros de registros brutos que correspondem à sua consulta de pesquisa.
• Alerta: no contexto da página Pesquisa do SIEM, um alerta é definido como uma detecção de regra com alertas ativados. Para saber mais, consulte Como executar uma regra em dados em tempo real.
• Registros brutos: telemetria de registro bruta e não analisada. O objetivo principal do diagnóstico é monitorar a integridade da ingestão e da análise.
• Junções: correlacionam e combinam dados brutos de várias fontes com base em valores de campo comuns. Ao vincular eventos, entidades e outros dados relacionados, é possível investigar cenários de ataque complexos. É possível pesquisar combinações estatísticas, que exigem uma seção de correspondência para agregar resultados, ou combinações de dados, que recuperam os dados completos do evento ou da entidade e os exibem sem nenhuma agregação. Para mais informações, consulte Aplicar junções em pesquisas e painéis e Implementar junções sem uma seção de correspondência.
• Estatísticas: eventos de UDM com os resultados agrupados para análise estatística. Para mais informações, consulte Analisar dados de pesquisa com estatísticas.
• Casos e históricos de casos: casos de segurança e registros de auditoria de casos históricos, que podem ser correlacionados com outros dados de segurança. Para mais informações, consulte Visão geral da pesquisa de casos.
• Gráfico de contexto de entidade (ECG, na sigla em inglês): um banco de dados de gráficos no Google SecOps que armazena registros de entidades com estado (como recursos, usuários e indicadores de ameaças) para correlação com registros de ocorrência de segurança. Para mais informações, consulte Visão geral do gráfico de contexto da entidade.
• Barra de consulta em linguagem natural: a barra na parte de cima da página Pesquisa do SIEM, em que você pode inserir uma instrução de pesquisa usando linguagem natural.
• Editor de consultas: a caixa na página Pesquisa do SIEM abaixo da barra de consultas em linguagem natural, em que você cria consultas manualmente e onde o código da consulta é exibido.

Antes de começar

É preciso ter as permissões e os papéis padrão da Pesquisa do Google SecOps atribuídos à sua conta de usuário para executar consultas e ver detalhes de detecção.

Para os seguintes recursos de pesquisa avançada, sua conta de usuário ou função do Identity and Access Management precisa ter permissões granulares adicionais, dependendo do recurso usado:

• Os detalhes de eventos enriquecidos ou estendidos precisam de chronicle.events.fetchEnrichedEvent.
• Para salvar pesquisas e editar visualizações de pesquisa, é preciso ter chronicle.savedSearches.update e chronicle.searchViews.update.
• Para ver analisadores de registros e necessidades de esquema, você precisa das permissões chronicle.parsers.list e chronicle.parsers.get.
• A pesquisa no histórico de casos precisa de chronicle.cases.get e chronicle.cases.list.
• Para criar, compartilhar, modificar e gerenciar conjuntos de colunas personalizadas salvos na sua organização, é necessário ter as cinco permissões a seguir: chronicle.googleapis.com/savedColumnSets.create, chronicle.googleapis.com/savedColumnSets.update, chronicle.googleapis.com/savedColumnSets.delete, chronicle.googleapis.com/savedColumnSets.list e chronicle.googleapis.com/savedColumnSets.get.

Abra a página de pesquisa

Para abrir a página Pesquisa do SIEM, faça o seguinte:

1. Faça login no Google SecOps.
2. Na barra de navegação, clique em Investigação > Pesquisa do SIEM.

Figura 1. Exemplo da página Pesquisa do SIEM usada para analisar tendências de eventos.

Observação: em sistemas que usam o RBAC de dados, só é possível ver os dados que correspondem aos seus escopos. Para mais informações, consulte Impacto do RBAC de dados na Pesquisa.

Aplicação do escopo do RBAC de dados

O mecanismo de pesquisa do Google SecOps aplica estritamente a filtragem de escopo do controle de acesso baseado em função (RBAC de dados) em todas as guias. Você só vai ver eventos da UDM, registros brutos, alertas, detecções e casos que correspondem explicitamente aos escopos de dados atribuídos à sua função do usuário.

Definir as configurações gerais da página de pesquisa

As configurações gerais da página Pesquisa do SIEM são específicas do usuário.

É possível definir as seguintes configurações gerais para a página Pesquisa do SIEM:

• Especificar o número máximo de resultados da pesquisa
• Escolher o comportamento de recolhimento do editor de consultas

Especificar o número máximo de resultados da pesquisa

Para especificar o número máximo de resultados da pesquisa, faça o seguinte:

1. Na página Pesquisa do SIEM, clique em configurações Configurações e selecione Resultados máximos.

2. Selecione a opção Número máximo de resultados a serem retornados. As opções são 1k, 30k, 100k, 1M e custom (que podem assumir valores entre 1 e 1M). O valor padrão é 30k.

   Dica: as consultas geralmente são executadas mais rápido quando você escolhe um tamanho menor de conjunto de resultados.

3. Clique em Aplicar.

Escolha o comportamento de recolhimento do editor de consultas

É possível configurar o editor de consultas para ser fechado automaticamente depois que você fizer uma pesquisa, maximizando o espaço de tela disponível para visualizar os resultados da pesquisa. A configuração Padrão deixa o editor de consultas aberto após a execução de uma pesquisa.

Para ativar o recurso de recolhimento automático, siga estas etapas:

1. Na página Pesquisa do SIEM, clique em Configurações Configurações e selecione Editor de consultas.
2. Na caixa de diálogo Editor de consultas, selecione Fechar automaticamente o editor de consultas.

Criar uma consulta de pesquisa

As seções a seguir descrevem como criar uma consulta de pesquisa.

É possível criar uma consulta de pesquisa usando um dos seguintes métodos:

• Insira sua instrução de pesquisa em linguagem natural e use o Gemini para gerar a consulta no dialeto YARA-L 2.0. Use o inglês.
• Crie sua consulta manualmente no editor de consultas usando o dialeto YARA-L 2.0 ou SQL (GoogleSQL).

Observação: uma pesquisa do UDM é limitada a 100 campos do UDM por consulta. Uma expressão de pesquisa de UDM consiste em um campo de UDM para pesquisar, um operador e um valor de dados para pesquisar. As consultas de UDM são baseadas em campos definidos na referência do dicionário de campos de UDM. É possível navegar e selecionar esses campos do UDM usando Filtros ou Pesquisa de registro bruto.

Gerar uma consulta usando linguagem natural

Para gerar uma consulta usando linguagem natural, siga estas etapas:

1. Na página Pesquisa do SIEM, clique na barra de consulta em linguagem natural e digite uma instrução de pesquisa em inglês.

   As seguintes instruções são exemplos que podem gerar uma pesquisa útil:

   • network connections from 10.5.4.3 to google.com
   • failed user logins over the last 3 days
   • emails with file attachments sent to [e-mail] or [e-mail]
   • all Cloud service accounts created yesterday
   • outbound network traffic from 10.16.16.16 or 10.17.17.17
   • all network connections to facebook.com or tiktok.com
   • service accounts created in Google Cloud yesterday
   • Windows executables modified between 8 AM and 1 PM on May 1, 2026
   • all activity from winword.exe on lab-pc
   • scheduled tasks created or modified on exchange01 during the last week
   • email messages that contain PDF attachments
   • emails sent by or sent from [e-mail] on July 1
   • any files with the hash 44d88612fea8a8f36de82e1278abb02f
   • all activity associated with user "[e-mail]"

Se a instrução de pesquisa incluir um termo baseado em tempo, os parâmetros de período serão ajustados automaticamente para corresponder. Por exemplo, isso se aplicaria a pesquisas com os seguintes termos:

• yesterday
• within the last 5 days
• on July 1, 2026

2. Clique em Gerar consulta. Se o Gemini conseguir interpretar a instrução de pesquisa, ele vai gerar uma consulta válida no dialeto YARA-L 2.0 e mostrar no editor de consultas. Se a declaração de pesquisa não puder ser interpretada, você vai receber uma mensagem pedindo para tentar de outra forma. Se a expressão de consulta for válida, o botão Executar pesquisa vai ficar disponível.

3. Opcional: ajuste o período de pesquisa usando os parâmetros de período.

4. Clique em Executar pesquisa. Os resultados da pesquisa são exibidos.

5. Opcional: restrinja os resultados adicionando mais filtros de pesquisa manualmente ou usando a barra de consulta de linguagem natural e execute a pesquisa novamente.

Criar uma consulta manualmente no editor de consultas

Para informações sobre os diferentes tipos de consultas compatíveis com a página Pesquisa do SIEM e a sintaxe para criá-las, consulte os seguintes documentos:

• Para detalhes sobre a sintaxe de pesquisa do YARA-L 2.0, consulte Entender a sintaxe de pesquisa.
• Para saber como criar consultas de mesclagem, consulte Aplicar mesclagens na pesquisa e nos painéis e Implementar mesclagens sem uma seção de correspondência.
• Para saber como criar consultas estatísticas (STATS), consulte Analisar dados de pesquisa com estatísticas.
• Para saber como criar consultas de histórico de casos, consulte Pesquisar casos e histórico de casos na página de pesquisa.

Para criar uma consulta manualmente, siga estas etapas:

1. Na página Pesquisa do SIEM, clique no editor de consultas.
2. Escolha o dialeto da consulta:
   • YL2 (padrão): use a sintaxe padrão da YARA-L 2.0 para busca de eventos de alta velocidade, filtragem de entidades e correlação comportamental.
   • SQL: o modo SQL (GoogleSQL) permite executar consultas compatíveis com o BigQuery, criar junções complexas de várias tabelas na UDM e no Entity Context Graph (ECG) e realizar agregações avançadas diretamente no console.

3. Digite a consulta no editor de consultas e considere o seguinte:

   • Sugestão e preenchimento automáticos: ao digitar uma consulta com a opção YL2, o recurso de sugestão e preenchimento automáticos sugere campos válidos com base na sua entrada.
   • Pesquisa de UDM: se você não souber o nome ou o valor exato do campo ao escrever uma consulta, use a Pesquisa de UDM para ajudar.
   • Erros de compilação de sintaxe: se o editor de consultas detectar um erro de compilação de sintaxe, ele vai mostrar uma linha ondulada vermelha diretamente abaixo do texto problemático. Passe o cursor sobre o texto sublinhado para ver a descrição do erro específico. O editor de consultas destaca apenas um erro por vez, o que significa que você precisa corrigir os erros sequencialmente.

4. Defina o período da consulta usando os parâmetros de período.

5. Se a expressão de consulta for válida, clique em Executar pesquisa. Os resultados da pesquisa são exibidos.

6. Opcional: restrinja os resultados adicionando mais filtros de pesquisa manualmente ou usando o console e execute a pesquisa novamente.

Observação: também é possível criar uma consulta na caixa de diálogo Gerenciador de pesquisa. As mesmas ferramentas de edição de UDM e de sugestão e conclusão automática também estão disponíveis lá.

Especifique o período da sua pesquisa

Use o menu Período para especificar o período da sua pesquisa.

O período máximo de uma pesquisa é sempre limitado pela configuração de retenção de registros do locatário.

Intervalos máximos de tempo:

• UDM: 365 dias.
• RAW: 365 dias.
• JOIN: para mesclagens internas: 90 dias. Para mesclagens internas sem uma condição de correspondência: 14 dias. Para junções externas: 14 dias.
• STATS: 90 dias.
• CASE e CASE HISTORY: 90 dias, limitados pelos limites de retenção de casos ou por um ciclo de vida completo do histórico de casos.
• ECG: 365 dias.

O Google SecOps avalia a configuração da sua consulta de pesquisa e aplica o período máximo com base no tipo e nas condições da pesquisa. Por exemplo, uma consulta STATS que inclui uma junção externa tem um período máximo menor do que uma consulta STATS que não inclui uma junção externa.

Para definir o período, faça o seguinte:

1. Na página Pesquisa do SIEM, ao lado de Período, selecione o modo na lista.

   • Absoluto: use um período absoluto para selecionar um horário de início e término fixo.
   • Relativo: use um período relativo para pesquisar para trás a partir do horário atual. O momento em que você clica em Executar pesquisa é definido como o horário de término da consulta.

2. Se você selecionou Absoluto, faça o seguinte:

   1. Clique em calendar_month calendar para abrir a caixa de diálogo Definir data e período.
   2. Siga uma destas opções:
      • Para configurar o tempo usando um dos métodos a seguir, selecione a guia Intervalo:
        • Usar predefinições: selecione um período predefinido na barra lateral, como Últimos 3 dias ou Todo o período. Todo o período pesquisa em todo o período de armazenamento.
        • Selecionar datas: clique em uma data de início e uma de término no calendário.
        • Definir horários: selecione horários específicos usando os menus de horário abaixo das agendas.
      • Para especificar um período com base em um evento, clique na guia Horário do evento, selecione uma data no calendário e configure o período:
        • Horário exato: clique no campo Evento para selecionar ou inserir o horário específico em que o evento ocorreu.
        • Buffer de tempo: selecione um período predefinido na lista.
   3. Clique em Aplicar.

3. Se você selecionou Relativa, faça o seguinte:

   1. Insira um número inteiro no campo de texto.
   2. Selecione uma unidade de tempo no menu: Segundos, Minutos, Horas, Dias, Semanas, Meses ou Anos.

Usar sugestões automáticas para criar consultas

Ao escrever uma consulta, o editor de consultas oferece sugestões automáticas para ajudar você a criar a consulta de maneira eficiente.

Navegar e selecionar sugestões

Conforme você digita, uma lista aparece com sugestões de campos que correspondem ao texto, incluindo as seguintes opções:

• Selecionar um campo: use as teclas de seta para cima ou para baixo para navegar pela lista e pressione Enter para selecionar um campo.
• Ver metadados: depois de usar as teclas de seta Para cima ou Para baixo para destacar uma sugestão, clique em chevron_right para ver a descrição do campo.
• Preencher campos de forma incremental: o editor sugere os filhos imediatos do campo atual e oculta o prefixo digitado para economizar espaço na tela. Essas sugestões são seguidas por todos os outros campos correspondentes em ordem alfabética.
• Operadores e valores completos: depois que você seleciona um campo, o editor sugere operadores válidos (como =, !=) com base no tipo de dados do campo. Para campos enumerados, o editor mostra sugestões de todos os valores válidos (por exemplo, NETWORK_EVENT) depois que você digita um operador e aspas duplas (").

Entender a classificação de sugestões

O editor de consultas organiza as sugestões em três categorias para ajudar você a encontrar campos rapidamente:

1. Campos usados recentemente: as sete primeiras sugestões são baseadas em campos que você usou recentemente e que correspondem ao campo digitado. Essa lista é salva no histórico da sessão do navegador nas páginas Pesquisa do SIEM, Regras e detecções e Painéis. Limpar o cache ou mudar de navegador redefine esse histórico.
2. Filhos imediatos: o próximo conjunto de sugestões mostra apenas os filhos de primeiro nível do campo atual.
3. Correspondências globais: a seção final mostra todos os campos correspondentes em ordem alfabética.

Gerenciar as configurações de sugestão automática

Para gerenciar globalmente como o Google SecOps mostra sugestões automáticas, faça o seguinte:

1. Clique no avatar do seu perfil e selecione Preferências do usuário na lista. A caixa de diálogo User Preferences vai aparecer.

2. Na caixa de diálogo, clique em Sugestão automática.

3. Para controlar as sugestões automáticas que aparecem no editor de consultas, ajuste as seguintes configurações:

   • Ativar sugestões ao digitar: ativa a sugestão automática.
   • Classificar os campos usados recentemente primeiro: mostra os campos usados recentemente na parte de cima da lista.
   • Sugerir campos filhos imediatos: preenche os campos aninhados de forma incremental, um nó filho por vez.
   • Sugerir todos os caminhos disponíveis: mostra os caminhos completos e expandidos para todas as sugestões de campos aninhados.

4. Clique em Salvar.

Encontrar um campo da UDM para uma consulta de pesquisa (pesquisa da UDM)

Ao escrever uma consulta de pesquisa, talvez você não saiba o nome ou o valor exato do campo do UDM a ser incluído. O recurso Pesquisa de UDM permite encontrar rapidamente um nome de campo de UDM que contenha uma string de texto no nome ou que armazene um valor de string específico. É possível selecionar um ou mais resultados retornados pela pesquisa de UDM e usá-los como ponto de partida para uma consulta de pesquisa, anexar os resultados a uma consulta atual ou salvá-los na área de transferência.

Observação: a pesquisa de UDM não foi criada para pesquisar outros tipos de dados, como bytes, booleanos ou numéricos.

Para usar a pesquisa de UDM, faça o seguinte:

1. Na página Pesquisa do SIEM, clique em Pesquisa de UDM. A caixa de diálogo Pesquisa de UDM é aberta.

2. Selecione uma ou ambas as opções de Correspondência em para especificar o escopo dos dados a serem pesquisados:

   • Campos de UDM: pesquise texto que corresponda a nomes de campos, por exemplo, network.dns.questions.name ou principal.ip.
   • Valores: pesquise strings de texto em valores de registro armazenados, por exemplo, dns ou google.com.

3. Clique no campo pesquisar Insira a string exata para a correspondência e digite a string que você quer encontrar. Conforme você digita, os resultados da pesquisa aparecem na caixa de diálogo.

   Os resultados variam ao fazer a correspondência em Campos do UDM em comparação com Valores da seguinte maneira:

   • A pesquisa com nomes de campos de UDM de correspondência retorna uma correspondência exata encontrada em qualquer lugar na definição do esquema.

     

     Figura 2. Pesquise com os nomes dos campos de UDM de correspondência na caixa de diálogo Pesquisa de UDM.

   • A pesquisa com Corresponder em Valores pesquisa a telemetria de registros ingeridos e retorna dois tipos de resultados:

     • Correspondências de valor total: para campos de texto comuns (como aplicativos, nomes de host, URLs, endereços IP e nomes de usuário), a pesquisa da UDM mostra o valor correspondente completo com a string de pesquisa destacada em amarelo, além do carimbo de data/hora mais recente da ingestão de registros.

     • Possíveis correspondências de valor: para campos que contêm texto longo, complexo ou não estruturado (como linhas de comando, descrições, campos de detecção e campos personalizados), a pesquisa de UDM indica que o termo de pesquisa aparece nesse campo na telemetria histórica. Em vez de mostrar um único valor completo, o resultado exibe o nome do campo UDM seguido por (Possible value match).

     

     Figura 3. Pesquise com Valores de Correspondência na caixa de diálogo Pesquisa de UDM.

4. Na lista de resultados, você pode fazer o seguinte:

   • Clique no nome de um campo do UDM para ver uma descrição dele.
   • Selecione um ou mais resultados clicando na caixa de seleção ao lado do nome do campo do UDM.
   • Clique no botão Redefinir para desmarcar todos os campos selecionados na lista de resultados.

5. Escolha uma destas opções:

   • Para copiar os resultados selecionados para a área de transferência, clique em Copiar UDM. Em seguida, feche a caixa de diálogo Pesquisa de UDM e cole o conteúdo da área de transferência no editor de consultas.

   • Para anexar os resultados selecionados à consulta no editor, clique em Anexar à pesquisa. Em seguida, o Google SecOps converte os resultados selecionados em uma consulta de pesquisa como o nome do campo UDM ou um par nome-valor.

     Se você anexar vários resultados, o Google SecOps vai adicionar cada resultado ao final da consulta atual no editor de consultas usando o operador OR.

     A string de consulta anexada é diferente dependendo do tipo de correspondência retornado pela pesquisa de UDM:

     • Se o resultado corresponder a uma string de texto em um nome de campo UDM, o nome completo do campo UDM será anexado à consulta. Exemplo:

       principal.artifact.network.dhcp.client_hostname

     • Se o resultado for uma correspondência de valor total, o par nome-valor vai conter uma condição de igualdade exata com o valor total.

     • Se o resultado for uma Correspondência de valor possível, o par nome-valor vai conter o nome do campo da UDM e uma expressão regular sem distinção entre maiúsculas e minúsculas que contém o termo de pesquisa.

6. Se necessário, edite a consulta no editor de consultas.

Comportamento de pesquisa e cobertura de campo da pesquisa de UDM

A pesquisa de UDM ajuda a descobrir nomes de campos e pesquisar valores históricos nos dados de registro ingeridos. Nesta seção, explicamos como a pesquisa funciona nos dois modos, mostramos exemplos de consulta e descrevemos os limites de cobertura de campo.

Modos de pesquisa: campos versus valores do UDM

A pesquisa do UDM oferece dois modos de pesquisa distintos:

• Modo de campos de UDM: a opção Corresponder em campos de UDM pesquisa a definição do esquema de UDM para ajudar você a localizar o caminho correto do campo. É possível encontrar nomes de campos em todos os tipos de dados, incluindo campos de texto (principal.hostname), portas numéricas (target.port), flags booleanas (security_result.is_alert) e categorias de eventos (metadata.event_type).

  Exemplo: digitar port mostra campos como network.ip_port, principal.port, target.port e src.port.

• Modo de valores: a opção Corresponder em Valores pesquisa os registros de eventos ingeridos em busca de valores de texto correspondentes:

  • Correspondência de valor exato: para identificadores comuns e campos de texto (como nomes de host, endereços IP, domínios e nomes de usuário), a pesquisa de UDM encontra o valor exato nos dados e gera uma condição de igualdade (por exemplo, principal.hostname = "example.com").
  • Possível correspondência de valor (expressão regular): para textos longos, linhas de comando, URLs, chaves de registro e caminhos de arquivo, a pesquisa da UDM retorna uma Possível correspondência de valor com uma expressão regular (por exemplo, principal.process.command_line = /powershell/ NOCASE).

Lacunas na cobertura de campo e como pesquisar diretamente

Ao pesquisar por Valores, a pesquisa do UDM procura campos de texto em dados de eventos brutos e não enriquecidos. Alguns tipos de dados e campos de identificador de alto volume não retornam correspondências no modo Valores. Para pesquisar esses campos, insira sua expressão diretamente no editor de consultas.

Esta seção inclui o seguinte:

• Campos numéricos, booleanos, de carimbo de data/hora e de bytes
• Campos de identificador excluídos
• Campos com possíveis correspondências de valor (expressões regulares)
• Campos enriquecidos e gráfico de entidade

Campos numéricos, booleanos, de carimbo de data/hora e de bytes

A pesquisa de valor de pesquisa de UDM não retorna correspondências para tipos de dados que não são de texto. Para pesquisar nesses campos, escreva a condição diretamente na barra de pesquisa:

Categoria do campo	Exemplo de campos de UDM	Exemplo de pesquisa direta
Números de porta e códigos de status	network.ip_port, principal.port, target.port, network.http.response_code	network.ip_port = 443 network.http.response_code = 403
Métricas e pontuações de risco	security_result.risk_score, network.sent_bytes, network.received_bytes	security_result.risk_score >= 80 network.sent_bytes > 50000000
Sinalizações booleanas	security_result.is_alert, network.dns.answers.is_authoritative	security_result.is_alert = true
Tipos enumerados predefinidos	metadata.event_type, network.ip_protocol	metadata.event_type = "USER_LOGIN" network.ip_protocol = "TCP"
Carimbos de data/hora	metadata.event_timestamp.seconds, metadata.ingested_timestamp	Filtre usando o menu Período ou a consulta: metadata.event_timestamp.seconds > 1700000000
IDs de eventos (bytes brutos)	metadata.id	metadata.id = "..."
Coordenadas geográficas	principal.location.latitude, principal.location.longitude	Filtrar por campos de local regional: principal.location.country_or_region = "US"

Campos identificadores excluídos

Os seguintes campos de alta entropia e rastreamento de sessão não retornam correspondências ao pesquisar por Valores:

Categoria de campo excluída	Campos do UDM	Exemplo de pesquisa direta
IDs de processos	*.pid (por exemplo, principal.process.pid, target.process.pid), *.product_specific_process_id	target.process.pid = "4128"
IDs de sessão e conexão	network.session_id, network.parent_session_id, metadata.product_log_id	network.session_id = "sess-9481"
IDs de regras de detecção	security_result.rule_id	security_result.rule_id = "rule_suspicious_login"
IDs de recursos e recursos	*.resource.id (incluindo ARNs e URIs de nuvem), *.asset_id	target.resource.id = "arn:aws:s3:::my-bucket"
Rótulos de ingestão	metadata.base_labels.*, metadata.enrichment_labels.*	metadata.base_labels.log_types = "WINEVTLOG"

Campos com possíveis correspondências de valor (expressões regulares)

Para campos que contêm strings longas e complexas com muitos separadores de caminho ou argumentos, a pesquisa de UDM retorna uma expressão regular de possível correspondência de valor (/.../ NOCASE) em vez de uma correspondência exata de valor completo:

• Linhas de comando: principal.process.command_line, target.process.command_line
• Caminhos de arquivo: principal.process.file.full_path, target.file.full_path
• URLs da Web e de rede: principal.url, target.url, network.http.referral_url
• Chaves do Registro: principal.registry.registry_key, target.registry.registry_key
• Descrições de formato livre: metadata.description, security_result.description, security_result.summary
• Strings de user agent: network.http.user_agent
• Campos personalizados dinâmicos: additional.fields.value.*

Campos enriquecidos e gráfico de entidade

A pesquisa de UDM busca dados de registro brutos ingeridos após 10 de agosto de 2023. Ele não retorna valores de:

• Enriquecimentos downstream: como resolução de localização GeoIP, dados WHOIS, vereditos da Navegação segura ou pontuações do VirusTotal. Para pesquisar esses dados, filtre diretamente no caminho do campo enriquecido (por exemplo, target.ip_geo_artifact.country_or_region = "US").
• Objetos do Entity Graph: dados no namespace graph.*.
• Dados históricos anteriores ao corte: registros ingeridos antes de 10 de agosto de 2023. Para pesquisar dados mais antigos, use consultas de pesquisa direta na página Pesquisar.

Usar tabelas de dados em uma pesquisa

Você pode usar o recurso de tabelas de dados em uma pesquisa. Isso permite que você use seus próprios bancos de dados de informações de ameaças em conjunto com uma pesquisa para buscar ameaças na sua empresa.

Por exemplo, se você tiver um banco de dados chamado suspicious com uma coluna de endereços IP que você sabe que são problemáticos, é possível referenciar esse banco de dados na consulta de pesquisa, em vez de inserir manualmente endereços IP individuais na consulta:

  events:
      $e.principal.ip in %suspicious.ip

Para restringir os resultados, pesquise metadados específicos além de endereços IP. Por exemplo, você pode estar especificamente preocupado com mudanças nos recursos do usuário:

  events:
      $e.metadata.event_type = "USER_RESOURCE_UPDATE_CONTENT"
      $e.principal.ip in %suspicious.ip

É possível restringir uma pesquisa em campos de UDM inter-relacionados e fazer correspondências com várias colunas de tabelas de dados. O exemplo a seguir pesquisa eventos NETWORK_CONNECTION em que o resultado de segurança é ALLOW. Em seguida, ele corresponde esses eventos à coluna hostnames e à coluna ip na tabela de dados badApps.

events:
  $e.metadata.event_type = "NETWORK_CONNECTION"
  $e.security_result.action = "ALLOW"
  $e.target.asset.asset_id = $assetid

  // Event hostname matches at least one value in table column hostname.
  $e.target.hostname in %badApps.hostname

  // Event IP matches at least one value in table column ip.
  $e.target.ip in %badApps.ip

Ver linhas da tabela de dados em uma pesquisa

Quando você usa uma tabela de dados em uma pesquisa do YARA-L 2.0, os resultados fazem referência às linhas da tabela de dados que estão vinculadas aos eventos correspondentes. Esses resultados são exibidos no painel Eventos. O estado atual da tabela de dados e as linhas dela são mostrados quando você visualiza os resultados.

Use o Gerenciador de colunas para selecionar quais tabelas e colunas de dados serão exibidas nos resultados.

Para mais informações, consulte Usar tabelas de dados.

Entender o processo de execução de consultas

Se a consulta no editor for válida, o console do Google SecOps vai ativar o botão Executar pesquisa.

Depois de clicar em Executar pesquisa, a consulta em andamento vai aparecer com um ícone de status circular.

Enquanto uma pesquisa está em andamento, é possível executar outras pesquisas (simultâneas) no editor de consultas com algumas limitações. O Google SecOps continua executando as pesquisas anteriores e as novas em paralelo.

Importante: as pesquisas simultâneas e os resultados armazenados exigem que o recurso de histórico da Pesquisa esteja ativo. Se você já tiver desativado o histórico da Pesquisa, poderá ativá-lo novamente clicando em Histórico > Ativar histórico da Pesquisa.

As consultas concluídas são mostradas com um ícone de marca de seleção verde e um contador que indica o número de eventos retornados pela consulta.

Clique em uma consulta concluída para exibir os resultados. Os resultados da pesquisa são exibidos abaixo do editor de consultas.

Os resultados da pesquisa são armazenados em cache e incluem apenas os dados disponíveis no momento da execução da consulta.

Gerenciar o histórico da Pesquisa

Seu histórico da Pesquisa é salvo na sua conta do Google SecOps.

Importante: as pesquisas simultâneas e os resultados armazenados exigem que o recurso de histórico da Pesquisa esteja ativo.

• Para gerenciar seu histórico de pesquisa, na página Pesquisa do SIEM, clique em Histórico para abrir a caixa de diálogo e faça o seguinte:

  • Confira uma lista de todas as pesquisas no seu histórico.
  • Clique em um item da lista para carregá-lo no editor de consultas.
  • Digite na barra de pesquisa para encontrar uma pesquisa no seu histórico.
  • Para filtrar as pesquisas, clique em Filtro ao lado da barra de pesquisa e filtre por Idioma, que contém: filtros YL2 e SQL AND Tipo de pesquisa, que contém: filtros UDM, Registro bruto e Estatísticas.
  • Mostrar ou não apenas os resultados armazenados concluídos e em andamento (usando a caixa de seleção Mostrar apenas resultados armazenados concluídos e em andamento).
  • Limpar o histórico da Pesquisa.
    • Para limpar o histórico da Pesquisa, clique em Mais e selecione Limpar histórico.

  • Desativar ou reativar o histórico de pesquisa:

    • Para desativar o histórico da Pesquisa, clique em Desativar o histórico da Pesquisa e selecione Apenas desativar para desativar o histórico da Pesquisa ou Desativar e limpar para desativar o histórico da Pesquisa e excluir o histórico da Pesquisa salvo.

    • Se você já tiver desativado o histórico da Pesquisa, clique em Ativar o histórico da Pesquisa para ativar de novo.

• Para excluir uma pesquisa individual do histórico, consulte Excluir uma pesquisa salva.

Salvar e usar uma consulta de métricas

Observação: esse recurso é coberto pelos Termos de produtos e recursos em pré-GA dos Termos específicos de serviço do Google Security Operations. Os recursos pré-GA podem ter suporte limitado, e as mudanças realizadas podem não ser compatíveis com outras versões pré-GA. Para mais informações, consulte as diretrizes do serviço de suporte técnico do Google SecOps e os Termos específicos de serviço do Google SecOps.
Se esse recurso não estiver visível no seu ambiente, consulte Gerenciar recursos de visualização ou entre em contato com o administrador do sistema.

O Google SecOps classifica as consultas de métricas com o selo STATS.

• Para salvar uma pesquisa como uma métrica, clique em Mais ao lado de Executar pesquisa e clique em Salvar como métrica. A página Regras e detecções é aberta, mostrando sua consulta de métricas na guia Métricas. Depois, salve ou desative a métrica. Depois de salva, uma consulta de métrica não pode ser editada nem excluída. É possível desativar métricas a qualquer momento.

É possível usar uma consulta de métricas para estabelecer padrões de comportamento típicos e identificar atividades atípicas. Se você tiver uma consulta de métricas no editor de consultas que rastreia tendências operacionais críticas, clique em Mais > Salvar como métrica. Isso salva a consulta como uma métrica de série temporal contínua que pode ser incorporada a painéis personalizados ou referenciada em alertas de limite.

Exemplo de consulta de métricas:

metric metric_1784196814306 {
  (metadata.event_type = "NETWORK_FLOW" OR
  metadata.event_type = "NETWORK_CONNECTION" OR
  metadata.event_type = "NETWORK_DNS" OR
  metadata.event_type = "NETWORK_HTTP")

  outcome:
  $timestamp = timestamp.get_timestamp(metadata.event_timestamp.seconds)
  $hostname = principal.hostname
  $event_type = metadata.event_type
  $user = principal.user.userid
  $principal_process = principal.process.file.full_path
  $principal_cmdline = principal.process.command_line
  $target_process = target.process.file.full_path
  $target_cmdline = target.process.command_line
  $target_url = target.url
  $target_ip = target.ip[0]
  order:
  $timestamp
  }

Gerenciar suas pesquisas (Gerenciador de Pesquisas)

Use a caixa de diálogo Gerenciador de pesquisas para gerenciar suas pesquisas.

• Para abrir o Gerenciador de pesquisas, na página Pesquisa do SIEM, clique em Gerenciador de pesquisas.

Selos de tipo de pesquisa

A guia Salvas no Gerenciador de pesquisas lista todas as pesquisas salvas e mostra um selo com o tipo de pesquisa: UDM, RAW, JOIN, STATS, CASE, CASE HISTORY e ECG.

Ações do Gerenciador de Pesquisa

Na guia Salvos, você pode realizar as seguintes ações:

• Filtrar pesquisas salvas: clique em Filtrar ao lado da barra de pesquisa e filtre as pesquisas por Origem, que contém: Definido pelo Google SecOps, Criado por mim e Compartilhado comigo AND Idioma, que contém: YL2 e SQL.
• Classificar pesquisas: clique em list_arrow Classificar ao lado da barra de pesquisa e classifique por Nome (A - Z), Nome (Z - A), Mais antigas - Mais recentes ou Mais recentes - Mais antigas.
• Adicionar uma pesquisa: clique em add_2 Adicionar ao lado da barra de pesquisa e crie uma nova pesquisa na caixa Pesquisa da UDM ao lado. A caixa Pesquisa de UDM é compatível com as mesmas ferramentas de edição de UDM e de sugestão e preenchimento automáticos que você usa ao criar uma consulta manualmente no editor de consultas.
• Compartilhe ou exclua as pesquisas que você criou.
• Editar uma pesquisa criada por você: quando uma pesquisa é selecionada na guia Salvas, a caixa PESQUISAR mostra a consulta, além das caixas Título e Descrição. A caixa Pesquisa do UDM oferece suporte às mesmas ferramentas de edição do UDM, sugestão automática e conclusão que você usa ao criar uma consulta manualmente no editor de consultas.

Salvar uma pesquisa

As pesquisas salvas e o histórico da Pesquisa são:

• Armazenados na sua conta do Google SecOps.
• Só podem ser visualizadas e acessadas pelo usuário individual, a menos que você use o recurso Compartilhar uma pesquisa para compartilhar sua pesquisa com a organização.

Para salvar uma pesquisa, faça o seguinte:

1. Na página Pesquisa do SIEM, siga um destes procedimentos:

   • Se houver uma consulta válida no editor de consultas, clique em Mais ao lado de Executar pesquisa e clique em Salvar pesquisa. A caixa de diálogo Gerenciador de pesquisa será aberta.
   • Clique em Search Manager. A caixa de diálogo Gerenciador de pesquisa será aberta.

2. Na caixa Título, digite um nome para a pesquisa. O Google recomenda dar à sua pesquisa salva um nome significativo e uma descrição em texto simples do que você está procurando.

3. Opcional: na caixa Descrição, insira uma descrição para a pesquisa.

4. Opcional: especifique variáveis de marcador de posição no formato ${<variable name>} usando o mesmo formato usado para variáveis no YARA-L. Se você adicionar uma variável a uma pesquisa, também precisará incluir um comando para ajudar o usuário a entender as informações necessárias para inserir antes de executar a pesquisa. Todas as variáveis precisam ser preenchidas com valores antes de uma pesquisa ser executada.

   Por exemplo, você pode adicionar metadata.vendor_name = ${vendor_name} à sua pesquisa. Para ${vendor_name}, é preciso adicionar uma solicitação para usuários futuros, como Enter the name of the vendor for your search. Cada vez que um usuário carregar essa pesquisa no futuro, ele vai precisar inserir o nome do fornecedor antes de executar a pesquisa.

5. Clique em Salvar edições quando terminar.

• Para ver as pesquisas salvas, clique em Gerenciador de pesquisas e, em seguida, na guia Salvas.

Recuperar e executar uma pesquisa salva

Para recuperar e executar uma pesquisa salva, faça o seguinte:

1. Na página Pesquisa do SIEM, clique em Gerenciador de pesquisas e selecione uma pesquisa na lista *Salvas à esquerda.
2. Opcional: exclua uma pesquisa clicando em Mais e selecionando Excluir pesquisa. Só é possível excluir pesquisas criadas por você.
3. É possível mudar o nome e a descrição da pesquisa. Clique em Salvar edições quando terminar.
4. Clique em Carregar pesquisa. A pesquisa é carregada no campo de pesquisa principal.
5. Clique em Executar pesquisa.

Excluir uma pesquisa salva

Só é possível excluir as pesquisas que você criou.

Para excluir uma pesquisa salva, faça o seguinte:

1. Na página Pesquisa do SIEM, clique em Gerenciador de pesquisas e selecione uma pesquisa na lista *Salvas à esquerda.
2. Clique em Mais e selecione Excluir pesquisa.
3. Clique em Excluir pesquisa.

Compartilhar ou parar de compartilhar uma pesquisa

Com as pesquisas compartilhadas, você pode compartilhar pesquisas com sua equipe. Não é possível compartilhar com apenas uma pessoa. Se você compartilhar, ela será compartilhada com toda a organização.

Não é possível editar uma pesquisa compartilhada que não foi criada por você.

Para compartilhar uma pesquisa, faça o seguinte:

1. Na página Pesquisa do SIEM, clique em Gerenciador de pesquisas e selecione uma pesquisa na lista *Salvas à esquerda.
2. Clique na pesquisa que você quer compartilhar.
3. Clique em Mais no lado direito da pesquisa. Uma caixa de diálogo com a opção de compartilhar sua pesquisa aparece.
4. Clique em Compartilhar com sua organização. Uma caixa de diálogo vai aparecer com a mensagem "Ao compartilhar sua pesquisa, ela vai ficar visível para as pessoas na sua organização. Tem certeza de que quer compartilhar?".
5. Clique em Compartilhar.

Se você quiser que a pesquisa fique visível apenas para você, clique em Mais e em Parar de compartilhar. Se você parar de compartilhar, só vai poder usar esta pesquisa.

Resultados da pesquisa: visão geral

Quando você clica em Executar pesquisa na página Pesquisa do SIEM, o Google Security Operations avalia sua consulta em todo o ambiente e categoriza e exibe os resultados abaixo do editor de consultas.

Os elementos da interface dos resultados da pesquisa variam de acordo com o tipo de pesquisa (que são, de acordo com os selos: UDM, RAW, JOIN, STATS, CASE ou CASE HISTORY).

A página Pesquisa do SIEM exibe as seguintes guias para os resultados da pesquisa:

• Resultados: exibidos para todos os tipos de pesquisa.
• Alertas e detecções: exibido apenas para resultados de pesquisa UDM, RAW e JOIN.
• Visão geral: exibida apenas para resultados da pesquisa de UDM, RAW e JOIN.
• Visualizar: exibido apenas para resultados da pesquisa de STATS.

O título de cada guia de resultados inclui a contagem entre parênteses, por exemplo, Resultados (1.118) ou Resultados (mais de 100.000) se o número de resultados exceder o máximo especificado (neste caso, 100 mil).

Ao clicar nas guias, você muda instantaneamente a visualização do espaço de trabalho, preservando a consulta de pesquisa e o período.

Ver e gerenciar informações na guia "Resultados"

A guia Resultados é seu espaço de trabalho principal para visualizar e gerenciar os resultados da pesquisa. Você pode usar a guia Resultados para:

• Análise detalhada de registros
• Como visualizar a telemetria bruta
• Gerar tabelas dinâmicas com dados de eventos
• Analisar distribuições de valores de campo de alta frequência
• Exportar dados para arquivos CSV

A guia Resultados inclui os seguintes elementos, dependendo do tipo de pesquisa:

• Painéis com guias e os seguintes gráficos:
  • Gráfico Atividade ao longo do tempo: mostrado para resultados de pesquisa de UDM, JOIN, CASE, CASE HISTORY e ECG.
  • Gráfico Tendência ao longo do tempo: exibido para resultados de pesquisa RAW.
  • Guia Prevalência: exibida para resultados da pesquisa de UDM.
  • Tabela Mapa de calor da atividade: exibida para os resultados da pesquisa de UDM.
• Painel Agregações: aparece para todos os tipos de resultados da pesquisa.

• Painéis com as seguintes tabelas, de acordo com o tipo de pesquisa:

  • Tabela Eventos e subguia Tabela dinâmica: exibidas apenas para resultados da pesquisa UDM. A tabela Eventos mostra a telemetria de eventos normalizada do UDM e os registros brutos que correspondem à sua consulta no período selecionado. A subguia Pivot permite criar e usar uma tabela dinâmica para realizar agrupamentos e resumos matemáticos multidimensionais (sum, count, avg, stddev) nos resultados do evento.
  • Registros brutos: exibidos apenas para resultados da pesquisa RAW.
  • Estatísticas: exibidas apenas para resultados da pesquisa de ESTATÍSTICAS.
  • Junções: exibidas apenas para resultados da pesquisa de JOIN.
  • Casos: exibidos apenas para resultados da pesquisa CASE.
  • Histórico de caso: exibido apenas para resultados de pesquisa de CASO e HISTÓRICO DE CASO.
  • Dados temporais e Dados atemporais: exibidos apenas para resultados da pesquisa de eletrocardiograma.

  Para informações sobre as funções e ferramentas compatíveis com essas tabelas, consulte Usar ferramentas comuns para tabelas. As funções disponíveis incluem gerenciar as colunas na tabela que a guia mostra, baixar resultados da pesquisa e muito mais.

Dica: clique em Opções de visualização para ocultar ou mostrar os gráficos e o painel Agregações.

Usar o gráfico "Atividade ao longo do tempo"

A guia Atividade ao longo do tempo inclui um gráfico (um histograma) do volume de eventos e alertas ao longo do tempo.

Observação: a guia Atividade ao longo do tempo é exibida apenas para os resultados da pesquisa de UDM, JOIN, CASE e CASE HISTORY.

A largura de cada barra depende do intervalo de tempo pesquisado. Por exemplo, cada barra representa 10 minutos quando a pesquisa abrange 24 horas de dados. Esse gráfico é atualizado dinamicamente conforme você modifica a pesquisa.

Observação :a janela de pesquisa máxima é de até 365 dias para pesquisas YARA-L 2.0 e 90 dias para pesquisas SQL, do horário de início ao de término.

O gráfico oferece suporte para:

• Ajuste do período: arraste os controles deslizantes na linha do tempo para restringir instantaneamente a janela de tempo visível. A grade de resultados e o painel Agregações são atualizados sem executar a consulta novamente no back-end.
• Ver os eventos e alertas de um único período de tempo de barra: clique em uma barra para restringir o foco do gráfico, do painel Agregações e da guia Detecções ao período de tempo dessa barra. Isso cria um filtro, que é exibido ao lado do botão filter_list Adicionar filtro. Para mostrar todos os resultados novamente, exclua o filtro.
• Pop-up de detalhes: ao clicar em uma das barras, um pop-up é aberto com o horário e os valores de Eventos consultados, Eventos filtrados, Alertas consultados e Alertas filtrados.

Usar o gráfico de tendência ao longo do tempo

A guia Tendência ao longo do tempo inclui um gráfico (um histograma) do volume de registros brutos ao longo do tempo. A largura de cada barra vertical é dimensionada dinamicamente com base na sua janela de pesquisa geral. Por exemplo, cada barra pode representar 10 minutos para uma janela de pesquisa de 24 horas.

Observação: a guia Tendência ao longo do tempo é exibida apenas para resultados de pesquisa RAW.

O gráfico é compatível com o seguinte:

• Ajuste do período: arraste os controles deslizantes na linha do tempo para reduzir a janela de tempo visível instantaneamente. A grade de resultados e o painel Agregações são atualizados sem executar novamente a consulta no back-end.
• Confira quantos registros analisados, não analisados e desconhecidos foram detectados em uma única janela de tempo de barra: Desconhecido significa que um ou mais registros foram detectados no momento, mas o número é indeterminado. Clique em uma barra para restringir o foco do gráfico e do painel Agregações à janela de tempo dessa barra. Isso cria um filtro, que é exibido ao lado do botão filter_list Adicionar filtro. Para mostrar todos os resultados novamente, exclua o filtro.
• Pop-up de detalhes: ao clicar em uma das barras, um pop-up é aberto com a hora e os valores de Eventos consultados, Eventos filtrados, Alertas consultados e Alertas filtrados.

Usar a guia "Prevalência"

A guia Prevalência só aparece se a pesquisa incluir um domínio.

A guia Prevalência mostra a prevalência dos domínios associados à sua pesquisa na empresa. Ele combina uma lista de domínios de baixa prevalência com um gráfico interativo. A guia só vai aparecer se a pesquisa de UDM incluir um domínio.

Observação: a guia Prevalência é mostrada apenas para resultados da pesquisa do UDM.

A lista de domínios de baixa prevalência inclui as seguintes colunas:

• Domínios de baixa prevalência: mostra os nomes de domínio associados aos seus resultados da pesquisa. Clique em arrow_upward para classificar os domínios em ordem alfabética (Z a A) e em arrow_downward para ordem alfabética (A a Z).

• Prevalência ≤ 10: mostra a contagem total de ocorrências de cada domínio com uma prevalência de 10 ou menos. Clique em arrow_upward para classificar as contagens numericamente em ordem decrescente e em arrow_downward para ordem crescente.

No gráfico, mantenha o ponteiro sobre um círculo para exibir o domínio específico e restringir sua pesquisa apenas aos eventos associados a esse domínio.

Usar a guia "Mapa de calor da atividade"

A guia Mapa de calor de atividade mostra dados de eventos em uma grade de linha do tempo visual para destacar onde eles estão mais concentrados no período especificado. O eixo Y mostra as datas dentro do período da pesquisa, e o eixo X mostra a hora do dia em intervalos de uma hora (de 00:00 a 23:00).

Observação: a guia Mapa de calor da atividade é exibida apenas para os resultados da pesquisa de UDM.

Uma legenda de gradiente de cor indica o volume de eventos em uma hora específica, em que as cores mais claras indicam menos eventos e as mais escuras indicam uma densidade maior. Também é possível ajustar o indicador de densidade para mostrar ou ocultar os intervalos de hora ajustando o controle deslizante horizontal. Clique nas setas para cima ou para baixo no painel lateral para rolar as datas e ajustar o período específico.

Usar o painel "Agregações" para refinar os resultados da pesquisa

O painel Agregações resume os valores de alta frequência, que podem ser usados para refinar os resultados da pesquisa.

Observação: o painel Agregações aparece para todos os tipos de resultados da pesquisa.

O painel Agregações inclui duas listas que podem ser recolhidas: Campos de UDM (que é uma lista de campos de UDM correspondentes) e outra lista de campos que está de acordo com o tipo de pesquisa (por exemplo, Campos de registro para pesquisas de registro bruto, Campos de estatísticas, Campos de caso e assim por diante). Para pesquisas de UDM, o painel Agregações contém a lista Campos de UDM e a lista Campos agrupados.

Para fixar um campo na parte de cima da lista Agregações, mantenha o ponteiro sobre um campo e clique no ícone keep Manter.

É possível pesquisar campos ou valores de campo específicos usando o campo Pesquisar do painel.

Cada campo mostra a "contagem de correspondências", ou seja, o número de registros que têm o mesmo valor para esse campo. O conteúdo das listas é classificado do maior para o menor número de correspondências e em ordem alfabética dentro do mesmo número de correspondências. Você pode pesquisar campos nas listas e abrir um item de campo.

Para filtrar os resultados da pesquisa com agregações, faça o seguinte:

1. No painel Agregações, selecione um campo em uma lista para exibir os valores da lista para esse campo.

2. Selecione um valor na lista e clique em more_vert Mais.

3. Selecione uma opção de filtro:

   • Mostrar somente: a tabela adjacente correspondente é atualizada para mostrar apenas os registros correspondentes, e o filtro = "value" aparece ao lado do botão filter_list Adicionar filtro.
   • Filtrar: a tabela adjacente correspondente é atualizada com os registros correspondentes filtrados, e o filtro != "value" é exibido ao lado do botão Adicionar filtro de filter_list.
   • Copiar: copia o par campo-valor para a área de transferência.

   

   Figura 4. Exemplo de filtragem de campos usando o painel Agregações.

   

   Figura 5.Botão Adicionar filtro filter_list com dois filtros (um mostrado e outro na lista +1).

4. Opcional: se você selecionou Mostrar apenas ou Filtrar na etapa anterior e quer incorporar automaticamente o filtro ao editor de consultas e executar a pesquisa novamente, clique em Aplicar à pesquisa e executar.

Usar campos agrupados no painel "Agregações" da guia "Resultados"

O painel Agregações para pesquisas de UDM inclui a lista Campos agrupados. Os campos agrupados funcionam como aliases de categoria avançados que combinam campos de UDM relacionados sem que você precise digitar cada um separadamente. Para mais informações sobre campos agrupados, consulte Pesquisar campos agrupados.

Alias de campo agrupado	Campos de UDM associados incluídos no alias
domain	about.administrative_domain about.asset.network_domain network.dns.questions.name network.dns_domain principal.administrative_domain principal.asset.network_domain target.administrative_domain target.asset.hostname target.asset.network_domain target.hostname
email	intermediary.user.email_addresses network.email.from network.email.to principal.user.email_addresses security_result.about.user.email_addresses target.user.email_addresses
file_path	principal.file.full_path principal.process.file.full_path principal.process.parent_process.file.full_path target.file.full_path target.process.file.full_path target.process.parent_process.file.full_path
hash	about.file.md5 about.file.sha1 about.file.sha256 principal.process.file.md5 principal.process.file.sha1 principal.process.file.sha256 security_result.about.file.sha256 target.file.md5 target.file.sha1 target.file.sha256 target.process.file.md5 target.process.file.sha1 target.process.file.sha256
hostname	intermediary.hostname observer.hostname principal.asset.hostname principal.hostname src.asset.hostname src.hostname target.asset.hostname target.hostname
ip	intermediary.ip observer.ip principal.artifact.ip principal.asset.ip principal.ip src.artifact.ip src.asset.ip src.ip target.artifact.ip target.asset.ip target.ip
namespace	principal.namespace src.namespace target.namespace
process_id	principal.process.parent_process.pid principal.process.parent_process.product_specific_process_id principal.process.pid principal.process.product_specific_process_id target.process.parent_process.pid target.process.parent_process.product_specific_process_id target.process.pid target.process.product_specific_process_id
user	about.user.userid observer.user.userid principal.user.user_display_name principal.user.userid principal.user.windows_sid src.user.userid target.user.user_display_name target.user.userid target.user.windows_sid

Usar o painel "Eventos"

Use o painel Eventos para ver, classificar e gerenciar os eventos que correspondem à sua pesquisa de UDM.

Para informações sobre as funções e ferramentas compatíveis com o painel Eventos, consulte Usar ferramentas comuns para tabelas. As funções disponíveis incluem gerenciar as colunas na tabela exibida pela guia, fazer o download dos resultados da pesquisa e muito mais.

Por padrão, depois que você faz uma pesquisa, a tabela Eventos mostra colunas principais (chamadas de campos rápidos), por exemplo, Status do evento, Carimbo de data/hora, Tipo (udm.metadata.event_type), Resumo, Usuário (udm.principal.user.userid ou target.user.userid), Nome do host (udm.principal.hostname ou target.hostname). Dependendo do escopo da consulta e da origem do registro, a tabela também pode mostrar dinamicamente campos rápidos relevantes, como Ação (udm.security_result.action).

Observação: para eventos associados a alertas, a coluna Status do evento mostra um ícone Alerta, com uma contagem quando vários alertas se aplicam.

Inspecionar detalhes granulares de um único evento (correlação entre o Visualizador de Eventos e o registro bruto)

• Para inspecionar detalhes granulares de um único evento, clique na linha. O Visualizador de eventos é aberto.

  Para mais informações, consulte Usar o Visualizador de Eventos para resultados de UDM e RAW.

Guia "Tabela dinâmica": crie uma tabela dinâmica.

Você pode usar uma tabela dinâmica para realizar agrupamentos e resumos matemáticos multidimensionais nos resultados da pesquisa.

Para abrir e configurar uma tabela dinâmica, faça o seguinte:

1. Faça uma pesquisa do UDM.
2. Na guia Resultados, clique na subguia Dinâmica. O painel Configurações de tabela dinâmica é aberto.

3. Em Agrupar por, clique em Adicionar Campo para selecionar até cinco campos da UDM para agrupar linhas. As opções de transformação especial aparecem com base no tipo de campo:

   • Campos de string: opção para forçar letras minúsculas. É possível exibir os resultados usando a capitalização Padrão ou apenas letras minúsculas selecionando Letras minúsculas no menu.
   • Campos de nome do host:
     • Domínio registrado: mostra apenas o nome de domínio registrado (como google.com, nytimes.com, youtube.com).
     • Maior domínio de nível N: especifique qual nível do domínio será mostrado. Por exemplo, usar o valor 1 mostra apenas o domínio de nível superior (como com, gov ou edu). Usar o valor 3 mostra os dois níveis seguintes dos nomes de domínio (como google.co.uk).
   • Campos de IP: opção de agrupar por tamanho do prefixo CIDR em bits. É possível especificar de 1 a 32 para endereços IPv4. Para endereços IPv6, é possível especificar valores de até 128.
   • Campos de carimbo de data/hora: opção de agrupar por resolução de tempo (milissegundos, segundos, minutos, horas, dias).

4. Em Valores, especifique um valor para o pivô na lista de campos dos resultados. É possível especificar até cinco valores.

5. Para cada campo especificado em Valores, selecione uma das seguintes opções em Resumir por:

   • Média
   • Count
   • Contagem distinta
   • Max
   • Min
   • Soma
   • Stddev (desvio padrão)

   As opções de Resumo não são universalmente compatíveis com os campos Agrupar por. Por exemplo, as opções Soma, Média, Desvio padrão, Mínimo e Máximo só podem ser aplicadas a campos numéricos. Se você tentar associar uma opção de Resumo incompatível a um campo Agrupar por, uma mensagem de erro será exibida.

   Especifique um valor de Contagem de eventos para retornar o número de eventos identificados para essa pesquisa e tabela dinâmica específicas.

6. Em Ordenar por, especifique um ou mais campos do UDM e selecione uma ou mais classificações usando a opção Crescente ou Decrescente.

7. Clique em Aplicar quando terminar. Os resultados são exibidos no painel Pivot.

8. Opcional: para baixar e salvar o conteúdo da tabela dinâmica, consulte Baixar resultados da pesquisa de uma tabela.

Usar o painel "Registros brutos"

Use o painel Registros brutos para ver, classificar e gerenciar os registros que correspondem à sua pesquisa, que avalia a telemetria de registros brutos e não analisados. O principal objetivo do diagnóstico é monitorar a integridade da ingestão e da análise, ou seja, monitorar quantos registros foram analisados, quantos não foram analisados e quantos são desconhecidos (o que significa que um ou mais registros foram detectados em um determinado momento, mas o número é indeterminado).

Para informações sobre as funções e ferramentas compatíveis com essa guia, consulte Usar ferramentas comuns para tabelas. As funções disponíveis incluem gerenciar as colunas na tabela exibida pela guia, fazer o download dos resultados da pesquisa e muito mais.

Inspecionar detalhes granulares de um único registro bruto (correlação entre o Visualizador de Eventos e o registro bruto)

• Para inspecionar detalhes granulares de um único registro bruto, clique na linha. O Visualizador de Eventos será aberto.

  Para mais informações, consulte Usar o Visualizador de Eventos para resultados de UDM e RAW.

Usar o painel "Estatísticas"

Use o painel Estatísticas para ver, classificar e gerenciar as estatísticas que correspondem à sua pesquisa.

O painel Estatísticas é compatível apenas com um Seletor de colunas em que é possível adicionar ou remover colunas.

Para informações sobre as funções e ferramentas compatíveis com essa guia, consulte Usar ferramentas comuns para tabelas. As funções compatíveis incluem o download de resultados da pesquisa e muito mais.

Usar o painel "Mesclagens"

Use o painel Participações para ver, classificar e gerenciar os itens que correspondem à sua pesquisa.

Para informações sobre as funções e ferramentas compatíveis com essa guia, consulte Usar ferramentas comuns para tabelas. As funções disponíveis incluem gerenciar as colunas na tabela exibida pela guia, fazer o download dos resultados da pesquisa e muito mais.

Usar o painel "Casos"

Use o painel Casos para visualizar, ordenar e gerenciar os casos que correspondem à sua pesquisa.

Para informações sobre as funções e ferramentas compatíveis com essa guia, consulte Usar ferramentas comuns para tabelas. As funções disponíveis incluem gerenciar as colunas na tabela que a guia mostra, baixar resultados da pesquisa e muito mais.

Usar o painel "Histórico do caso"

Use o painel Histórico de casos para ver, classificar e gerenciar os históricos de casos que correspondem à sua pesquisa.

Para informações sobre as funções e ferramentas compatíveis com essa guia, consulte Usar ferramentas comuns para tabelas. As funções disponíveis incluem gerenciar as colunas na tabela que a guia mostra, fazer o download dos resultados da pesquisa e muito mais.

Usar os painéis "Dados com carimbo de data/hora" e "Dados sem carimbo de data/hora"

Use os painéis Dados com carimbo de data/hora e Dados sem carimbo de data/hora para visualizar, classificar e gerenciar os resultados das pesquisas de ECG. O painel Dados cronometrados mostra resultados para entidades que têm um período definido, ou seja, um valor para metadata.interval.end_time durante a ingestão. O painel Dados atemporais mostra resultados para entidades que não têm um período definido, ou seja, não têm valor para metadata.interval.end_time.

Importante: o banco de dados de ECG armazena entidades com e sem tempo separadamente. Quando você executa uma pesquisa de ECG, o Google SecOps cria uma união dos repositórios de dados temporais e atemporais e retorna os principais resultados de cada um, até o número máximo configurado. Os dados das entidades com carimbo de data/hora são classificados de acordo com o carimbo mais recente, mas não é possível saber a ordem dos dados das entidades sem carimbo de data/hora. Portanto, é possível que a interface mostre apenas entidades atemporais, apenas entidades com tempo ou uma combinação diferente delas a cada vez que a consulta é executada.

Usar o Visualizador de Eventos para resultados de UDM e RAW

• Para inspecionar detalhes granulares de um único evento ou registro bruto, clique em uma linha da tabela Eventos ou Registros brutos. O Visualizador de eventos é aberto.

O Visualizador de eventos inclui as seguintes guias:

• Campos de evento
• Registro bruto
• Alertas: exibidos apenas para resultados de UDM da tabela Eventos.
• Entidades

Usar a guia "Campos de evento"

Por padrão, a guia Campos de evento mostra os campos de evento do UDM em uma estrutura de árvore hierárquica, que é rotulada como Selecionado.

Use a guia Campos de evento para fazer o seguinte:

• Ver uma definição de campo. Mantenha o ponteiro sobre o nome do campo para ver a definição.
• Fixe um campo para acesso rápido. Na lista Selecionados, selecione um campo e clique em manter fixado. O campo aparece na lista Fixado. Os campos permanecem na lista Selecionados, e a hierarquia deles na Lista fixada é mostrada em notação delimitada por pontos com o prefixo udm (por exemplo, udm.metadata.event_type).
• Adicione às colunas ou copie vários campos. Marque a caixa de seleção ao lado de um nó ou campo e escolha Adicionar às colunas ou Copiar.

• Execute estas ações:

  • Filtros: aplique os seguintes filtros aos itens selecionados (check_box) na lista Selecionados:
    • Campos
      • Mostrar campos não enriquecidos
      • Mostrar campos enriquecidos
      • Mostrar campos adicionais
      • Mostrar campos extraídos
    • Fontes de registros de enriquecimento: as opções disponíveis dependem do evento.
  • Copiar: para copiar os campos e valores de UDM selecionados para a área de transferência do sistema.
  • Adicionar às colunas: adicione o campo UDM como uma coluna.

Cada campo da UDM é rotulado com um ícone que indica se ele contém dados enriquecidos ou não enriquecidos. Os rótulos dos ícones são os seguintes:

• U: os campos não enriquecidos contêm valores preenchidos durante o processo de normalização usando dados do registro bruto original.

• E: os campos enriquecidos contêm valores que o Google SecOps preenche para fornecer mais contexto sobre artefatos em um ambiente do cliente. Para mais informações, consulte Enriquecer dados de eventos e entidades com o Google SecOps.

  A exibição de cada campo enriquecido pode mostrar todas as fontes associadas. Essas informações são úteis para validação e solução de problemas, e podem ser necessárias para fins de auditoria e compliance. Também é possível filtrar campos de acordo com a fonte de enriquecimento.

Figura 6. Campos de UDM enriquecidos e não enriquecidos na guia Campos de evento do Visualizador de eventos, mostrando as fontes dos campos enriquecidos.

Figura 7. Use o filtro na guia Campos de evento para mostrar ou ocultar campos de acordo com vários atributos.

Usar a guia "Registro bruto"

A guia Registro bruto mostra o login bruto original em qualquer um dos seguintes formatos:

• Sem formatação
• JSON
• XML
• CSV
• Hex/ASCII

Usar a guia "Alertas"

A guia Alertas mostra os alertas associados ao evento.

A guia Alertas só aparece para resultados da UDM na tabela Eventos.

Usar a guia "Entidades"

A guia Entidades mostra as entidades associadas ao evento.

Clique em uma entidade para exibir a caixa de diálogo Contexto da entidade, que pode incluir os seguintes itens:

• Nome do recurso
• Primeira visualização
• Última visualização
• Endereços IP
• Endereços MAC
• Número de alertas
• Maior número de alertas por regra
• Gráfico de barras de alertas ao longo do tempo
• Link Abrir Alertas e IOCs
• Link Exibir na guia Alertas

Ver e gerenciar informações na guia "Alertas e detecções"

Use a guia Alertas e detecções para:

• Caça a ameaças em todas as execuções de regras
• Comparação de gatilhos de alertas úteis com precursores comportamentais de baixo ruído
• Definição dos limites do incidente em uma visualização consolidada

A guia Alertas e detecções mostra os alertas e as detecções que correspondem aos seus critérios de busca de atividade ativos. Ao combinar alertas e detecções em uma única guia, é possível inspecionar alertas de alta gravidade ao lado de ocorrências de regras comportamentais subjacentes para descobrir precursores de baixo ruído que não ultrapassaram o limite de alerta de forma independente.

Os alertas são eventos de UDM e telemetria de conectores de terceiros marcados com limites de alerta ou notificações de alta gravidade. A contagem de Alertas mostra a telemetria de registro de UDM que acionou uma regra de alerta (alert_state = "ALERTING"), além de notificações de alta prioridade ingeridas de conectores de segurança de terceiros (como webhooks do CrowdStrike ou do SOAR).

As detecções são todas as saídas de execução de regras de alerta (ALERTING) e não alerta (NOT_ALERTING) geradas pelas regras YARA-L 2.0 em todo o ambiente. A guia mostra as saídas de execução de regras abrangentes geradas pelo seu mecanismo de detecção YARA-L 2.0 em hits de regras de alerta e não alerta. Cada alerta gerado por regra também é uma detecção (ALERTING), mas a contagem de Detecções também inclui todas as correspondências de regras informativas, em segundo plano ou que não geram alertas (NOT_ALERTING).

A contagem no cabeçalho da guia categoriza as correspondências de execução de regras por status do alerta. Por exemplo, se o cabeçalho da guia for Alertas (43) e Detecção (0), isso significa que há 43 correspondências em que alerting_rule = true e zero execuções de regras de alerta sem alerta (NOT_ALERTING).

A guia Alertas e detecções inclui os seguintes painéis:

• Gráfico de tendência ao longo do tempo
• Painel Agregações
• Painel Detecções

Dica: clique em Opções de visualização para ocultar ou mostrar o gráfico e o painel Agregações.

Usar o gráfico de tendência ao longo do tempo

A guia Tendência ao longo do tempo na guia Alertas e detecções inclui um gráfico (um histograma) do volume de detecção ao longo do tempo. A largura de cada barra vertical é dimensionada dinamicamente com base na janela de pesquisa geral (por exemplo, cada barra pode representar 10 minutos para uma janela de pesquisa de 24 horas).

O gráfico agrupa todas as correspondências de execução de regras ao longo do tempo em uma única série agregada chamada Detecções.

Observação: o cabeçalho da guia mostra os valores de contagem e divide as descobertas por estado de alerta (por exemplo, Alertas (43) e detecção (0)), enquanto o gráfico Tendência ao longo do tempo agrega todas as ocorrências de detecção como barras de Detecções.

O gráfico é compatível com o seguinte:

• Ajuste do período: arraste os controles deslizantes na linha do tempo para reduzir a janela de tempo visível instantaneamente. A grade de resultados e as agregações são atualizadas sem que a consulta seja executada novamente no back-end.
• Ver as agregações e detecções de uma única janela de tempo de uma barra: clique em uma barra para restringir o foco do gráfico, a guia Agregações e a guia Detecções à janela de tempo dessa barra. Isso cria um filtro, que é exibido ao lado do botão filter_list Adicionar filtro. Exclua o filtro para mostrar todos os resultados novamente.
• Pop-up de detalhes: clicar em uma das barras abre uma caixa de diálogo com o horário e os valores de Detecções consultadas e Detecções filtradas.

Usar o painel "Agregações" para refinar as detecções

O conteúdo do painel Agregações na guia Alertas e detecções resume os valores de resultados de detecção de alta frequência, que podem ser usados para refinar os resultados da pesquisa.

O painel Agregações inclui três listas recolhíveis: Campos de detecção, Campos de UDM (uma lista de campos de UDM correspondentes) e Campos de entidade.

Cada campo mostra a "contagem de correspondências", ou seja, o número de detecções de alerta que têm o mesmo valor para esse campo. O conteúdo das listas é classificado do maior para o menor número de correspondências e em ordem alfabética dentro do mesmo número de correspondências. Você pode pesquisar campos nas listas e expandir um item de campo.

Para fixar um campo na parte de cima da lista Agregações, mantenha o ponteiro sobre um campo e clique no ícone keep Manter.

Pesquisar resultados de detecção de alertas no painel "Agregações"

É possível pesquisar campos ou valores de campo específicos usando o campo Pesquisar do painel Agregações. Isso ajuda você a se concentrar nos alertas mais importantes.

Confira a seguir os principais atributos de alerta para filtrar alertas no painel Agregações:

• Caso
• Nome
• Prioridade
• Gravidade
• Status
• Veredito

Filtrar resultados de detecção de alertas no painel "Agregações"

Para filtrar os resultados da detecção de alertas com agregações, faça o seguinte:

1. No painel Agregações, selecione um campo em uma lista para exibir uma lista de valores para esse campo.

2. Selecione um valor na lista e clique em more_vert Mais.

3. Selecione uma opção de filtro:

   • Mostrar apenas: a tabela Detecções é atualizada para mostrar apenas os alertas correspondentes, e o filtro = "value" é exibido ao lado do botão Adicionar filtro filter_list.
   • Filtrar: a tabela Detecções é atualizada com os alertas correspondentes filtrados, e o filtro != "value" é mostrado ao lado do botão filter_list Adicionar filtro.
   • Maior que (somente para campos de números inteiros): a tabela Detecções é atualizada para mostrar alertas com um valor maior que esse, e o filtro > "value" é exibido ao lado do botão filter_list Adicionar filtro.
   • Maior ou igual a (somente para campos de números inteiros): a tabela Detecções é atualizada para mostrar alertas com um valor maior ou igual a esse, e o filtro >= "value" aparece ao lado do botão filter_list Adicionar filtro.
   • Menor que (somente para campos de números inteiros): a tabela Detecções é atualizada para mostrar alertas com um valor menor que esse, e o filtro < "value" é exibido ao lado do botão filter_list Adicionar filtro.
   • Menor ou igual a (somente para campos inteiros): a tabela Detecções é atualizada para exibir alertas com um valor menor ou igual a esse, e o filtro <= "value" é exibido ao lado do botão Adicionar filtro filter_list.
   • Copiar: copia o par de campo-valor para a área de transferência.

• Para excluir um filtro e atualizar os resultados da detecção de alertas, exclua o filtro que aparece ao lado do botão filter_list Adicionar filtro.

Usar o painel "Detecções"

Use o painel Detecções para visualizar, classificar e gerenciar os itens que correspondem à sua pesquisa.

Para informações sobre as funções e ferramentas compatíveis com essa guia, consulte Usar ferramentas comuns para tabelas. As funções disponíveis incluem gerenciar as colunas na tabela exibida pela guia, fazer o download dos resultados da pesquisa e muito mais.

Inspecionar detalhes granulares de um único alerta (Visualizador de alertas)

• Para inspecionar detalhes granulares de um único alerta, clique em uma linha da tabela Detecções. O Visualizador de alertas é aberto.

O Visualizador de alertas inclui as seguintes guias:

• Campos de detecção
• Detalhes
• Variáveis

• Entidades
  
  

• Para acessar outra página no console do Google SecOps com detalhes do alerta, clique em Ver detalhes.

Usar a guia "Campos de detecção"

Por padrão, a guia Campos de detecção mostra os campos de detecção em uma estrutura de árvore hierárquica, que é rotulada como Selecionado.

Use a guia Campos de detecção para fazer o seguinte:

• Ver uma definição de campo. Mantenha o ponteiro sobre o nome do campo para ver a definição.
• Fixe um campo para acesso rápido. Na lista Selecionados, selecione um campo e clique em manter fixado. O campo aparece na lista Fixado. Os campos permanecem na lista Selecionados, e a hierarquia deles na Lista fixada é mostrada em notação delimitada por pontos com o prefixo collection (por exemplo, collection.created_time).
• Adicione às colunas ou copie vários campos. Marque a caixa de seleção ao lado de um nó ou campo e escolha Adicionar às colunas ou Copiar.

• Execute estas ações:

  • Aplique filtros à lista Selecionados.
  • Adicionar às colunas: adicione o campo como uma coluna.
  • Copiar: para copiar os campos e valores selecionados para a área de transferência do sistema.

Usar a guia "Detalhes"

A guia Detalhes mostra os detalhes do alerta. O conjunto de campos de detalhes varia de acordo com o alerta específico.

Exemplos de campos de detalhes:

• Nome (sempre Alerta)
• Tipo
• Gravidade
• Pontuação de risco
• Status
• Prioridade
• Detectado
• Janela de detecção
• Criado
• Regra
• Conjunto de regras
• Descrição
• Tags

Usar a guia "Variáveis"

A guia Variáveis mostra o campo, o tipo e o valor de cada variável associada ao alerta.

Usar a guia "Entidades"

A guia Entidades só aparece quando há uma entidade associada ao alerta.

A guia Entidades mostra as entidades associadas ao alerta.

Clique em uma entidade para exibir a caixa de diálogo Contexto da entidade, que pode incluir os seguintes itens:

• Nome do recurso
• Primeira visualização
• Última visualização
• Endereços IP
• Endereços MAC
• Número de alertas
• Maior número de alertas por regra
• Gráfico de barras de alertas ao longo do tempo
• Link Abrir Alertas e IOCs
• Link Exibir na guia Alertas

Ver e gerenciar informações na guia "Visão geral"

Use a guia Visão geral para fazer o seguinte:

• Verifique o histórico da entidade (Primeira visualização, Última visualização, Endereços MAC)
• Verifique se os indicadores observados se sobrepõem a casos ou alertas ativos de operações de segurança

A guia Visão geral mostra o gráfico de contexto de entidade (ECG) consolidado, detalhes de ativos ou usuários e uma visão geral da investigação de indicadores de comprometimento (IOCs) ou entidades que correspondem à sua janela de pesquisa ativa. As informações apresentadas variam de acordo com o tipo de informação.

A guia Visão geral mostra informações da entidade em um dos seguintes tipos de informações predefinidos:

• Detalhes do recurso
• Detalhes do domínio
• Detalhes do arquivo
• Detalhes do IP
• Detalhes do usuário

Conferir os detalhes do recurso na guia "Visão geral"

Quando a consulta inclui uma condição que retorna um recurso específico, por exemplo, principal.hostname="laptop-will" ou principal.ip="10.0.0.76", a guia Visão geral mostra a Visualização de recursos com informações nos seguintes painéis:

• Resumo da pesquisa: exibe as seguintes informações:
  • Detalhes sobre a entidade, incluindo o endereço IP e o endereço MAC associados ao recurso durante o período da pesquisa. O endereço IP e o endereço MAC também podem ser usados para identificar uma entidade e podem ser clicados para mostrar mais informações no visualizador de entidades. Ele também mostra a primeira vez que o recurso foi visto na empresa e quando ele foi visto pela última vez (mais recentemente). Clique em qualquer uma das marcações de tempo (primeira ou última) para fazer uma nova pesquisa usando esse horário.
  • Detalhes sobre alertas, incluindo um gráfico que mostra o número de alertas que envolveram a entidade no período de pesquisa. O painel também lista um subconjunto de regras com o maior número de alertas.
  • Clique em Abrir alertas e IOCs para conferir todos os alertas gerados durante o mesmo período de pesquisa.
  • Clique em Ver na guia "Alertas" para alternar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada.
  • Clique em uma das barras do gráfico para alternar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada, usando o período da barra clicada.
  • Clique no link Ver mais para abrir a visualização Campos da entidade e mostrar todos os campos da entidade associados ao recurso. Para copiar um campo de entidade para a área de transferência, clique na caixa de seleção ao lado do campo de entidade, clique em Ver ações e em Copiar entidade. Clique na caixa de seleção na parte de cima para selecionar todas as entidades.
• IOCs relevantes: mostra os IOCs associados ao recurso. Os IOCs com maior gravidade são exibidos primeiro. Ao clicar no nome do IOC, o visualizador de entidades é aberto à direita.
• Entidades associadas: mostra outras entidades relacionadas a esse recurso, como usuários que fizeram login nele. O painel mostra o tipo de entidade, quando ela foi vista pela primeira vez no ambiente e quando foi vista pela última vez (mais recentemente). Ele também exibe todos os namespaces associados a um recurso. Clique em uma entidade para abrir o painel Contexto da entidade. Clique em Mostrar todo o período para exibir as entidades associadas em todo o período disponível, em vez do intervalo especificado na pesquisa do UDM.
• Contexto da entidade: mostra detalhes sobre a entidade selecionada no painel Entidades associadas. Esse painel mostra informações diferentes dependendo do tipo de entidade selecionada no painel Entidades associadas (por exemplo, usuário ou domínio).

Confira os detalhes do domínio na guia "Visão geral"

Quando a consulta inclui uma condição que especifica um domínio específico, por exemplo, target.hostname="example.com", a guia Visão geral mostra os detalhes do Domínio com informações nos seguintes painéis:

• Resumo da pesquisa: mostra as seguintes informações:
  • Detalhes sobre o domínio, incluindo as informações do WHOIS associadas ao domínio registrado, a primeira vez que ele foi visto na empresa e a última vez (mais recente) que ele foi visto. Clique em Contexto do VT para ver informações sobre o domínio do VirusTotal.
  • Detalhes sobre alertas, incluindo um gráfico que mostra o número de alertas que envolveram a entidade no período de pesquisa. O painel também lista um subconjunto de regras com o maior número de alertas.
  • Clique em Abrir alertas e IOCs para conferir todos os alertas gerados durante o mesmo período de pesquisa.
  • Clique em Ver na guia "Alertas" para mudar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada.
  • Clique em uma das barras do gráfico para mudar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada, usando o período da barra clicada.
  • Clique no link Ver mais para abrir a visualização Campos de entidade e mostrar todos os campos de entidade associados ao domínio. Para copiar um campo de entidade para a área de transferência, clique na caixa de seleção ao lado do campo de entidade, clique em Ver ações e em Copiar entidade. Clique na caixa de seleção na parte de cima para selecionar todas as entidades.
• IPs resolvidos: mostra todos os endereços IP resolvidos que foram detectados na sua empresa para o nome de domínio totalmente qualificado (FQDN). Por exemplo, se você pesquisar target.hostname="test.altostrat.com", os resultados da pesquisa poderão mostrar dois endereços IP resolvidos (198.51.100.81 e 203.0.113.81).
• Subdomínios e domínios irmãos: exibe todos os subdomínios associados que foram vistos na sua empresa para um determinado FQDN. Muitos adversários usam o mesmo domínio e subdomínio para os ataques. Por exemplo, se você pesquisar target.hostname="sandbox.altostrat.com", esse painel vai mostrar dois subdomínios, test.sandbox.altostrat.com e staging.sandbox.altostrat.com.
• Prevalência de recursos: mostra o número de recursos na sua empresa que se conectaram ao domínio durante todo o período dos dados armazenados na sua conta do Google Security Operations. Cada barra do gráfico representa o número de recursos exclusivos na sua empresa que se conectaram ao domínio em um dia UTC. Passe o cursor sobre uma barra para exibir as entidades relacionadas no dia UTC representado pela barra. Clique no nome da entidade para ver o resumo e a visão geral dela no painel de contexto da entidade exibido à direita. Clique em Ver eventos para conferir os eventos relacionados à entidade selecionada na guia "Eventos de pesquisa".
• Entidades associadas: mostra outras entidades relacionadas a esse domínio, como recursos que entraram em contato com ele. A lista inclui o tipo de entidade, quando ela foi vista pela primeira vez na empresa e quando foi vista pela última vez (mais recentemente). Clique em uma entidade para abrir o painel Contexto da entidade.
• Contexto da entidade: mostra detalhes sobre a entidade selecionada no painel Entidades associadas. Esse painel mostra informações diferentes dependendo do tipo de entidade selecionado no painel Entidades associadas (por exemplo, endereço IP ou domínio).

Ver os detalhes do arquivo

Quando a consulta inclui uma condição que retorna um único arquivo, por exemplo, principal.process.file.md5="a00000a75f2a35130aa7a7aaa09aaa7a", a guia Visão geral mostra os detalhes do Arquivo com informações nos seguintes painéis:

• Resumo da pesquisa: mostra as seguintes informações:
  • Detalhes sobre o arquivo, incluindo valores de hash, tamanho do arquivo, a primeira vez em que ele foi visto na empresa e a última vez (mais recente) em que ele foi visto. Clique em Contexto do VT para ver informações sobre o arquivo do VirusTotal.
  • Detalhes sobre alertas, incluindo um gráfico que mostra o número de alertas que envolveram a entidade no período da pesquisa. O painel também lista um subconjunto de regras com o maior número de alertas.
  • Clique em Abrir alertas e IOCs para conferir todos os alertas gerados durante o mesmo período de pesquisa.
  • Clique em Ver na guia "Alertas" para mudar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada.
  • Clique em uma das barras do gráfico para alternar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada, usando o período da barra clicada.
  • Clique no link Ver mais para abrir a visualização Campos de entidade e mostrar todos os campos de entidade associados ao arquivo. Para copiar um campo de entidade para a área de transferência, clique na caixa de seleção ao lado do campo de entidade, clique em Ver ações e em Copiar entidade. Clique na caixa de seleção na parte de cima para selecionar todas as entidades.
• IOCs relevantes: mostra os IOCs associados ao arquivo. Os IOCs com maior gravidade aparecem primeiro. Clique no nome do IOC para abrir o visualizador de entidades à direita.
• Prevalência de ativos: mostra o número de ativos na sua empresa associados ao arquivo durante todo o período dos dados armazenados no seu repositório de dados do Google SecOps.
• Entidades associadas: mostra outras entidades relacionadas ao arquivo, como um recurso em que ele foi executado ou usuários que acessaram o arquivo. A lista inclui o tipo de entidade, quando ela foi vista pela primeira vez na empresa e quando foi vista pela última vez (mais recentemente). Clique em uma entidade para abrir o painel Contexto da entidade.
• Propriedades e metadados do VirusTotal: mostra informações sobre o arquivo do banco de dados do VirusTotal. Clique em Ver mais para abrir uma caixa de diálogo do VirusTotal e mostrar mais informações sobre o arquivo.
• Entidades associadas: mostra informações diferentes dependendo do tipo de entidade selecionada no painel Entidades associadas (por exemplo, usuário ou recurso).
• Contexto da entidade: mostra detalhes sobre a entidade selecionada no painel Entidades associadas. Esse painel mostra informações diferentes dependendo do tipo de entidade selecionado no painel Entidades associadas (por exemplo, usuário ou recurso).

Ver os detalhes do IP na guia "Visão geral"

Quando a consulta inclui uma condição que retorna um endereço IP externo específico, por exemplo, target.ip="203.0.113.254", a guia Visão geral mostra os detalhes de IP com informações nos seguintes painéis:

• Resumo da pesquisa: exibe as seguintes informações:
  • Detalhes sobre o endereço IP, incluindo a primeira e a última vez (mais recente) que ele foi visto na sua empresa. Clique em Contexto do VT para ver as informações disponíveis sobre esse endereço IP no VirusTotal.
  • Detalhes sobre alertas, incluindo um gráfico que mostra o número de alertas que envolveram a entidade no período da pesquisa. O painel também lista um subconjunto de regras com o maior número de alertas.
  • Clique em Abrir alertas e IOCs para conferir todos os alertas gerados durante o mesmo período de pesquisa.
  • Clique em Ver na guia "Alertas" para mudar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada.
  • Clique em uma das barras do gráfico para alternar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada, usando o período da barra clicada.
  • Clique no link Ver mais para abrir a visualização Campos de entidade e mostrar todos os campos de entidade associados ao endereço IP. Para copiar um campo de entidade para a área de transferência, clique na caixa de seleção ao lado do campo de entidade, clique em Ver ações e em Copiar entidade. Clique na caixa de seleção na parte de cima para selecionar todas as entidades.
• IOCs relevantes: mostra IOCs associados ao endereço IP. Os IOCs com maior gravidade são exibidos primeiro. Ao clicar no nome do IOC, o visualizador de entidades é aberto à direita.
• Prevalência de recursos: mostra o número de recursos na sua empresa que se conectaram ao endereço IP durante o período especificado na pesquisa do UDM.
• Entidades associadas: mostra outras entidades relacionadas a esse endereço IP, como domínios em que o endereço IP está registrado. A lista inclui o tipo de entidade, quando ela foi vista pela primeira vez na empresa e quando foi vista pela última vez (mais recentemente). Clique em uma entidade para abrir o painel Contexto da entidade.
• Contexto da entidade: mostra detalhes sobre a entidade selecionada no painel Entidades associadas. Esse painel mostra informações diferentes dependendo do tipo de entidade selecionado no painel Entidades associadas (por exemplo, domínio ou recurso). Se o link for exibido, clique em Contexto do VT para ver informações sobre a entidade do VirusTotal.

Ver os detalhes do usuário na guia "Visão geral"

Quando a consulta inclui uma condição que retorna um usuário específico, por exemplo, principal.user.userid="alice", a guia Visão geral mostra os detalhes do usuário com informações nos seguintes painéis:

• Resumo da pesquisa: mostra as seguintes informações:
  • Detalhes sobre a entidade, incluindo o nome completo, a primeira vez que ela foi vista na sua empresa e a última vez (mais recente), o cargo e o endereço de e-mail.
  • Detalhes sobre alertas, incluindo um gráfico que mostra o número de alertas que envolveram a entidade no período da pesquisa. O painel também lista um subconjunto de regras com o maior número de alertas.
  • Clique em Abrir alertas e IOCs para conferir todos os alertas gerados durante o mesmo período de pesquisa.
  • Clique em Ver na guia "Alertas" para mudar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada.
  • Clique em uma das barras do gráfico para alternar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada, usando o período da barra clicada.
  • Clique no link Ver mais para abrir a visualização Campos de entidade e mostrar todos os campos de entidade associados ao usuário. Para copiar um campo de entidade para a área de transferência, clique na caixa de seleção ao lado dele, em Ver ações e em Copiar entidade. Clique na caixa de seleção na parte de cima para selecionar todas as entidades.
• Entidades associadas: mostra as entidades relacionadas ao usuário, como domínios que ele contatou ou recursos que ele acessou. A lista inclui o tipo de entidade, quando ela foi vista pela primeira vez na sua empresa e quando foi vista pela última vez (mais recentemente). Clique em uma entidade para abrir o painel Contexto da entidade.
• Contexto da entidade: mostra detalhes sobre a entidade selecionada no painel Entidades associadas. As informações nesse painel são diferentes dependendo do tipo de entidade (por exemplo, recurso ou domínio).

Ver e gerenciar informações na guia "Visualizar"

Use a guia Visualizar para transformar os dados dos resultados da pesquisa de ESTATÍSTICAS em um gráfico ou uma tabela.

Usar ferramentas comuns para tabelas

Na página Pesquisa do SIEM, a maioria dos painéis que contêm uma única tabela oferece suporte às mesmas funções e ferramentas comuns.

Esta seção descreve as seguintes funções e ferramentas comuns:

• Caixa de pesquisa. Use a caixa de pesquisa para encontrar resultados correspondentes na tabela ao lado.
• Gerenciar colunas da tabela e compartilhar conjuntos de colunas (gerenciador de colunas).
• Botão Ajustar texto - Remover ajuste de texto. É útil ajustar o texto para ver strings longas inteiras em uma coluna.
• Baixar os resultados da pesquisa de uma tabela.
• A ferramenta Linhas por página na parte de baixo da tabela. Você pode usar essa ferramenta para melhorar a estabilidade e o desempenho do navegador ao carregar um grande número de registros de resultados (linhas). O Google SecOps fornece resultados da pesquisa paginados. Use a lista Linhas por página na tabela Eventos para selecionar o número de linhas que vão aparecer por página (de 10 a 1.000 eventos).

Gerenciar colunas de tabela e compartilhar conjuntos de colunas (Gerenciador de colunas)

Para usar uma visualização consistente ao analisar dados de eventos, crie, salve e compartilhe conjuntos de colunas personalizados para as seguintes tabelas na página Pesquisa do SIEM:

• No painel Resultados, para as seguintes tabelas: Eventos, Registros brutos, Junções
• Na guia Alertas e detecções, para a tabela Detecções.

Para usar essa funcionalidade, sua conta de usuário ou papel do Identity and Access Management precisa ter todas as cinco permissões a seguir:

• chronicle.googleapis.com/savedColumnSets.create
• chronicle.googleapis.com/savedColumnSets.update
• chronicle.googleapis.com/savedColumnSets.delete
• chronicle.googleapis.com/savedColumnSets.list
• chronicle.googleapis.com/savedColumnSets.get

Observação: a guia Estatísticas só aceita um Seletor de colunas em que é possível apenas adicionar ou remover colunas. A guia Estatísticas não é compatível com a funcionalidade Gerenciador de colunas.

Criar um conjunto de colunas

As etapas para criar um conjunto de colunas variam um pouco dependendo da tabela com que você está trabalhando.

Para criar um conjunto de colunas para a tabela Eventos, Registros brutos ou Mesclagens, faça o seguinte:

1. Clique em Colunas para abrir o Gerenciador de colunas.
2. Clique no ícone filter_alt Filtrar para especificar se as colunas não aplicáveis devem ser mostradas.
3. Clique no botão Mostrar selecionados para exibir apenas as colunas selecionadas na guia Colunas de eventos.
4. Na guia Colunas de eventos, adicione ou remova colunas do seu conjunto. É possível navegar ou pesquisar campos em seções que podem ser recolhidas (que variam de acordo com o tipo de resultado da pesquisa), por exemplo, Campos rápidos (os campos mais comuns por tipo de dados), Campos agrupados, Todos os campos de evento e Todos os campos de entidade. Marque ou desmarque as caixas de seleção para mostrar ou ocultar colunas.
5. Organize as colunas e clique em Salvar. A caixa de diálogo Salvar conjunto de colunas será aberta.
6. Selecione uma destas opções:
   • Salvar: insira um novo nome para o conjunto de colunas.
   • Substituir: se você modificou um conjunto salvo anteriormente, pode substituir o conjunto atual pelas suas mudanças.
7. Clique em Salvar. O conjunto de colunas é listado na guia Conjuntos de colunas.

Para criar um conjunto de colunas para a tabela Detecções, faça o seguinte:

1. Clique em Colunas para abrir o Gerenciador de colunas.
2. Clique no ícone filter_alt Filtrar para especificar se as colunas não aplicáveis serão mostradas.

3. Na lista Tipo de tabela, selecione o tipo de tabela para o qual você quer criar um conjunto de colunas:

   • Detecções
   • Eventos
   • Entidades (expanda as linhas da tabela para ver as colunas).

   As mudanças feitas em um determinado tipo de tabela só se aplicam a tabelas e subtabelas desse tipo.

4. Clique na chave Mostrar selecionados para exibir apenas as colunas selecionadas na guia correspondente (Colunas de detecções, Colunas de eventos ou Colunas de entidades).

5. Na guia correspondente, adicione ou remova colunas do conjunto. Você pode navegar ou pesquisar campos em seções recolhíveis, que variam de acordo com o tipo de resultado da pesquisa. Marque ou desmarque as caixas de seleção para mostrar ou ocultar colunas.

6. Organize as colunas e clique em Salvar. A caixa de diálogo Salvar conjunto de colunas será aberta.

7. Selecione uma das seguintes opções:

   • Salvar: insira um novo nome para o conjunto de colunas.
   • Substituir: se você modificou um conjunto salvo anteriormente, pode substituir o conjunto atual pelas suas mudanças.

8. Clique em Salvar. O conjunto de colunas é listado na guia Conjuntos de colunas.

Compartilhar um conjunto de colunas

Para compartilhar um conjunto de colunas com todos os outros usuários no seu locatário do Google SecOps:

1. Clique em Colunas para abrir o Gerenciador de colunas.
2. Na guia Colunas de eventos, adicione ou remova colunas do seu conjunto. É possível navegar ou pesquisar campos em seções recolhíveis (que variam de acordo com o tipo de resultado da pesquisa), por exemplo, Campos rápidos (os campos mais comuns por tipo de dados), Campos agrupados, Todos os campos de evento e Todos os campos de entidade. Marque ou desmarque as caixas de seleção para mostrar ou ocultar colunas.
3. Organize as colunas e clique em Compartilhar. A caixa de diálogo Compartilhar conjunto de colunas é aberta.
4. Selecione uma destas opções:
   • Compartilhar novo: insira um novo nome para o conjunto de colunas a ser compartilhado.
   • Compartilhar existente: selecione um conjunto salvo anteriormente na lista.
5. Clique em Compartilhar. O conjunto de colunas é listado na guia Conjuntos de colunas com um selo COMPARTILHADO.

Carregar um conjunto de colunas salvo

Para carregar um conjunto salvo de colunas, faça o seguinte:

1. Clique em Colunas para abrir o Gerenciador de colunas.
2. Selecione a guia Conjuntos de colunas.
3. Selecione o conjunto de colunas que você quer carregar e clique em Aplicar.

Excluir um conjunto de colunas salvo

Para excluir um conjunto salvo de colunas, faça o seguinte:

1. Clique em Colunas para abrir o Gerenciador de colunas.
2. Selecione a guia Conjuntos de colunas.
3. Selecione o conjunto de colunas e clique em Mais > Excluir.

Fazer o download dos resultados da pesquisa de uma tabela

É possível baixar e salvar um arquivo CSV com o conteúdo de uma tabela exibida na página Pesquisa do SIEM. Para a tabela Eventos ou uma tabela dinâmica, também há uma opção para agrupar os registros brutos originais, o que oferece uma correlação precisa entre os registros UDM analisados e a telemetria de origem. Esse recurso foi projetado para equipes que precisam de processamento de análise externa, trilhas de auditoria para compliance em que é necessário preservar a relação entre os dados normalizados e a ingestão original ou correlação externa.

Para baixar os resultados da pesquisa (até o número máximo especificado) na tabela Eventos:

1. Opcional: use o Gerenciador de colunas para especificar quais campos do UDM serão incluídos no CSV. A coluna Registro bruto é anexada com base na sua seleção.

2. Clique em Fazer download na parte de cima da tabela e selecione uma das seguintes opções:

   • Fazer o download como CSV: baixa os eventos correspondentes (e de acordo com o número exato exibido de eventos especificados).
   • Baixar como CSV (com registros brutos): faz o download dos eventos correspondentes e adiciona as strings de registro originais não analisadas como uma coluna dedicada ao lado de cada registro UDM normalizado (e de acordo com o número exato exibido de eventos especificados).

3. Salve o arquivo.

Para baixar os resultados da pesquisa (até o número máximo especificado) de tabelas na guia Resultado, exceto no painel Eventos ou Dinâmica:

1. Clique em Fazer download na parte de cima da tabela e selecione Fazer download como CSV. Isso baixa os resultados correspondentes e, de acordo com o número exato mostrado, os eventos especificados.
2. Salve o arquivo.

Para baixar os resultados da pesquisa (até o número máximo especificado de resultados da pesquisa) da tabela Detecções:

1. Clique em Fazer o download na parte de cima da tabela e selecione Fazer o download como CSV. Isso faz o download dos resultados correspondentes (e de acordo com o número exato de eventos especificados).
2. Salve o arquivo.

Campos aceitos ao salvar um CSV

É possível baixar os seguintes campos em um arquivo CSV na plataforma:

• user
• hostname
• process name
• timestamp
• raw log: válido apenas quando os registros brutos estão ativados para o cliente.
• Todos os campos que começam com udm.additional

Tipos de campo válidos ao salvar um CSV

É possível baixar os seguintes tipos de campos para um arquivo CSV:

• double
• float
• int32
• uint32
• int64
• uint64
• bool
• string
• enum
• bytes
• google.protobuf.Timestamp
• google.protobuf.Duration

Campos não aceitos ao salvar um CSV

Os campos que atendem a qualquer um dos seguintes critérios não podem ser baixados em CSV:

• Tipo de campo: tipos de dados definidos como uma mensagem ou um grupo no proto da UDM.
• Profundidade do campo: campos aninhados com mais de 10 níveis de profundidade.

• Campos específicos da interface: os campos a seguir mostrados na UI não estão disponíveis para download direto:

  • Campos de evento:

    • Status do evento
    • Resumo do evento

    • Tipo de evento

      Observação: para fazer o download do tipo de evento, selecione o campo metadata.event_type no Gerenciador de colunas.

  • Gráfico de contexto de entidade:

    • Visto pela primeira vez
    • Visto pela última vez
    • Carimbo de data/hora

  • Pesquisa federada:

    • Código da instância

Limites e cotas

O Google SecOps aplica limites às consultas de pesquisa para garantir a estabilidade da plataforma e a performance consistente em interfaces programáticas e da Web. Esses limites se aplicam às APIs do Backstory e do Chronicle.

Cotas de pesquisa e API

Os limites a seguir se aplicam ao número de consultas de pesquisa e operações simultâneas por locatário:

• Consultas por hora (QPH): limite de 1.000 QPH para a interface do console da Web e de 2.000 QPH para o acesso programático à API.

• Consultas simples (com duração < 24 horas, fonte única, sem estatísticas): limite máximo de simultaneidade de 180 consultas simultâneas por locatário.

  Se o pool de simultaneidade de consultas simples se esgotar, suas operações vão transbordar automaticamente para a cota de consultas complexas disponível.

• Consultas complexas (com duração de mais de 24 horas, de várias fontes ou incluindo estatísticas): limite máximo de simultaneidade de 180 consultas simultâneas por locatário.

• Limite de comandos de campo da UDM: uma única consulta pode referenciar no máximo 100 campos da UDM no comando.

Erros de cota

Quando um limite é atingido, a interface da Web mostra uma notificação de erro de cota persistente. Para acesso programático, as chamadas de API (como instances.udmSearch) retornam um erro de status HTTP 429 RESOURCE_EXHAUSTED com uma mensagem google.rpc.QuotaFailure que detalha o limite específico que você excedeu.

Limites de exibição e conjunto de resultados

Use Configurações de pesquisa  > Máximo de resultados a serem retornados para ajustar o limite do back-end (de 1 a 1.000.000, padrão 30.000).

Para garantir a estabilidade consistente da plataforma e tempos de resposta rápidos em interfaces da Web e de API, o Google SecOps aplica os seguintes limites:

Tipo de pesquisa ou fonte de dados	Número máximo de resultados retornados	Comportamento de exibição do console da Web
Pesquisa de eventos do UDM	1.000.000 de registros	Mostrados diretamente no painel Eventos na guia Resultados. Mostra os registros mais recentes em linhas paginadas (de 10 a 1.000 por página).
Tabelas de dados e mesclagens	1.000.000 de registros	As linhas correlacionadas aparecem no painel Eventos dentro da guia Resultados com base na configuração do Gerenciador de colunas.
Casos e histórico de casos	1.000.000 de registros	Aparecem diretamente nos painéis Casos e Histórico de casos na guia Resultados. Aparecem no contexto de Visão geral ou usando consultas de Pesquisar casos.
Estatísticas	100.000 registros (somente UI e API de operação de longa duração)	Mostradas diretamente no painel Estatísticas na guia Resultados. Os gráficos mostram os valores principais para facilitar a leitura e exibem um aviso quando os limites visuais são excedidos.
Agregações de tabela dinâmica (Resultados > Tabela dinâmica)	100.000 registros	Os gráficos mostram os valores principais para facilitar a leitura e exibem um aviso quando os limites visuais são excedidos.
Detecções de regras	100.000 registros	Aparecem diretamente na guia combinada Alertas e detecções.
Gráfico de contexto da entidade (ECG)	1.000.000 de registros	Eles aparecem nos painéis Dados temporais e Dados atemporais na guia Resultados. A tabela no painel Dados cronometrados mostra as entidades que têm um período definido. A tabela na guia Dados sem período mostra as entidades que não têm um período definido. É possível que a interface mostre apenas entidades atemporais, apenas entidades com tempo ou uma combinação diferente delas a cada vez que a consulta é executada. Para mais informações, consulte Usar os painéis "Dados com carimbo de data/hora" e "Dados sem carimbo de data/hora".

Otimizar e refinar os resultados da pesquisa

Nesta seção, descrevemos as limitações e expectativas de desempenho e fornecemos correções de autoatendimento para problemas comuns com a página Pesquisa do SIEM no Google Security Operations.

Otimização de desempenho e práticas recomendadas

Para otimizar a velocidade da consulta e minimizar os riscos de tempo limite:

• Primeiro, restrinja o período: o tempo é o filtro mais eficaz. Consultar a janela exata de duas horas de um incidente é exponencialmente mais rápido do que pesquisar um período de 30 dias.
• Consulte campos exatos da UDM em vez de aliases agrupados: embora os campos agrupados (ip = "1.2.3.4") sejam convenientes, eles forçam o mecanismo a verificar mais de 15 campos subjacentes (principal.ip, target.ip, observer.ip). Se você souber que um endereço IP pertence ao servidor de destino, consulte target.ip = "1.2.3.4" diretamente.
• Evite caracteres curinga no início de expressões regulares: consultas que começam com um caractere curinga (principal.hostname = /.*server-.*/) impedem pesquisas de índice e forçam verificações completas de tabelas. Ancore sua expressão regular sempre que possível (principal.hostname = /^prod-server-.*/).
• Aproveite os metadados indexados: filtre por metadata.event_type (NETWORK_CONNECTION, PROCESS_LAUNCH, USER_LOGIN) ou metadata.log_type no início da cadeia AND para remover instantaneamente as origens de registro irrelevantes.
• Use limit: N para amostragem rápida de dados e visualizações rápidas: adicione a palavra-chave limit: N diretamente à sua consulta (por exemplo, metadata.event_type = "USER_LOGIN" limit: 50) para amostragem rápida de dados e visualizações rápidas.

Práticas recomendadas para pesquisas amplas

Se a pesquisa for muito ampla, o Google SecOps vai mostrar uma mensagem de aviso indicando que nem todos os resultados da pesquisa podem ser mostrados. Nesses casos, o sistema recupera apenas os resultados mais recentes, até o limite de pesquisa de um milhão de eventos e mil alertas. No entanto, pode haver muitos outros eventos e alertas correspondentes que não são mostrados.

Para capturar todos os resultados relevantes, refine sua pesquisa aplicando outros filtros, por exemplo:

• Reduza o intervalo de tempo para diminuir o tamanho do conjunto de dados.
• Use consultas de pesquisa ou filtros específicos em vez de termos gerais.
• Consulte campos de UDM precisos em vez de campos agrupados quando precisar de resultados para um único campo.

Depurar e refinar consultas

Nesta seção, descrevemos como depurar e refinar consultas.

Ver erros de tempo de execução

Se a consulta retornar um erro, a mensagem de erro de tempo de execução específica vai aparecer de forma persistente no painel Resultados. Essa exibição persistente garante que o contexto do erro permaneça visível, ajudando você a resolver o problema.

Limitar os resultados da pesquisa

É possível limitar os resultados da pesquisa adicionando a palavra-chave limit com o número máximo de resultados que você quer mostrar. Isso é útil para gerar visualizações rápidas de dados, otimizar o desempenho ou quando você só precisa de um subconjunto dos resultados. Por exemplo, se você adicionar limit: 25 à sua pesquisa, os resultados serão limitados a um máximo de 25.

Observação: também é possível adicionar a palavra-chave limit a painéis personalizados.

Investigar conjuntos de dados grandes

O Google SecOps permite retornar e navegar por até 1 milhão de resultados. Isso permite investigar grandes conjuntos de dados diretamente na interface da Web sem exportar resultados. Para pesquisas grandes, os campos visíveis são limitados por padrão.

Observação: depois que os resultados forem carregados, você poderá aplicar filtros para refinar os dados sem precisar executar a pesquisa novamente. Isso ajuda a restringir os conjuntos de resultados rapidamente.

Limites de resultados para fontes de dados

A tabela a seguir lista o número máximo de resultados retornados para cada fonte de dados:

Tipo de pesquisa ou fonte de dados	Número máximo de eventos ou linhas nos resultados da pesquisa
UDM	1.000.000
ECG	1.000.000
Tabela de dados	1.000.000
Mesclagem de UDM para UDM	1.000.000
Junção de UDM e ECG	1.000.000
União de UDM com tabela de dados	1.000.000
Casos e histórico de casos	1.000.000
Estatísticas	100.000
Detecções	100.000

Observação: os limites são os mesmos, seja usando a plataforma ou a API. Consulte APIs de pesquisa assíncronas para informações sobre os limites da API.

Adicionar um filtro para refinar sua consulta

Para adicionar um filtro e refinar sua consulta, faça o seguinte:

1. Na página Pesquisa do SIEM, clique em filter_listAdicionar filtro. Uma caixa de diálogo é aberta para que você selecione um campo e mostre (=) ou filtre (!=) os valores dele.

2. Configure os parâmetros da caixa de diálogo.

   

   Figura 8. Exemplo da caixa de diálogo de filtro.

3. Clique em Aplicar. O filtro aparece ao lado do botão filter_list Adicionar filtro, e os resultados da pesquisa são filtrados de acordo.

4. Opcional: faça o seguinte:

   • Se quiser incorporar automaticamente o filtro ao editor de consultas e executar a pesquisa, clique em Aplicar à pesquisa e executar.
   • Se quiser excluir o filtro, clique em Limpar.

Observação: o botão Limpar só fica disponível antes de você clicar em Aplicar para pesquisar e executar.

Solução de problemas

Se você receber uma mensagem de erro genérica, como Error: Search has encountered an error and could not load data, siga estas etapas para resolver o problema:

• Conecte-se ao Google SecOps de outra rede. Por exemplo, use uma VM na nuvem para ajudar a identificar problemas de rede.
• Verifique se as chamadas da API Chronicle são permitidas pela configuração ou política de firewall ou proxy da sua organização.
• Verifique se não há um limite de dados configurado para as chamadas da API Search, já que as pesquisas podem retornar grandes conjuntos de dados.
• Verifique se há tempos limite configurados. As consultas de pesquisa podem ser executadas de forma assíncrona e podem exigir mais tempo para retornar dados. Se os tempos limite estiverem definidos, verifique se eles permitem uma duração suficiente, como 60 minutos, antes que a consulta atinja o tempo limite.

Se o erro persistir, entre em contato com o suporte ao cliente.

A seguir

Para mais informações sobre consultas de pesquisa, consulte:

• Entender a sintaxe de pesquisa contém detalhes e exemplos sobre a sintaxe YL2 necessária para criar e consultar valores de dados, escapes e operadores no editor de consultas.
• Práticas recomendadas de pesquisa.
• Pesquisar casos e histórico de casos na pesquisa unificada.
• Gerar consultas de pesquisa do UDM com o Gemini.
• Usar dados enriquecidos com contexto na pesquisa.

Para mais informações sobre os resultados da pesquisa, consulte:

• Investigue uma entidade usando a pesquisa UDM.
• Investigar detecções na Pesquisa descreve como usar a guia Alertas e detecções na página Pesquisa do SIEM.
• Entender a disponibilidade de dados para pesquisa detalha o ciclo de vida da ingestão de dados, incluindo o fluxo de dados e a latência de ponta a ponta, e como esses fatores afetam a disponibilidade de dados ingeridos recentemente para consulta e análise.
• Comparação da pesquisa de UDM com os resultados das regras descreve como comparar os resultados da consulta de pesquisa de UDM com as regras de detecção em tempo real.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.