Entender a pesquisa

Compatível com:

Google SecOps SIEM

Este guia é destinado a analistas de segurança que querem consultar, correlacionar e analisar dados de segurança em toda a empresa no Google Security Operations usando a página Pesquisa do SIEM. A página Pesquisa do SIEM serve como seu hub de navegação central em todos os fluxos de dados compatíveis e integra outras fontes de telemetria e postura. Este guia contém instruções e explicações sobre todas as funções e recursos básicos da página Pesquisa do SIEM.

Terminologia importante

• Modelo de dados unificado (UDM): um formato de dados padronizado usado no Google SecOps para representar ocorrências de segurança de várias fontes de maneira consistente.
• Evento: um evento é gerado de uma fonte de registro bruta que é ingerida no Google SecOps e processada pelo processo de ingestão e normalização do Google SecOps. Vários eventos podem ser gerados de um único registro de origem de registro bruto. Um evento representa um conjunto de pontos de dados relevantes para a segurança que são gerados com base nesse registro bruto. No contexto da página Pesquisa do SIEM, os eventos são telemetria de eventos normalizada do UDM e registros brutos que correspondem à sua consulta de pesquisa.
• Alerta: no contexto da página Pesquisa do SIEM, um alerta é definido como uma detecção de regra com alertas ativados. Para saber mais, consulte Como executar uma regra em dados em tempo real.
• Registros brutos: telemetria de registro bruta e não analisada. O principal objetivo do diagnóstico é monitorar a ingestão e analisar a integridade.
• Junções: correlacionam e combinam dados brutos de várias fontes com base em valores de campo comuns. Ao vincular eventos, entidades e outros dados relacionados, é possível investigar cenários de ataque complexos. É possível pesquisar junções estatísticas, que exigem uma seção de correspondência para agregar resultados, ou combinações de dados, que recuperam os dados completos do evento ou da entidade e os mostram sem nenhuma agregação. Para mais informações, consulte Aplicar mesclagens na pesquisa e nos painéis e Implementar mesclagens sem uma seção de correspondência.
• Estatísticas: eventos de UDM com os resultados agrupados para análise estatística. Para mais informações, consulte Analisar dados de pesquisa com estatísticas.
• Casos e históricos de casos: casos de segurança e registros de auditoria de casos históricos, que podem ser correlacionados com outros dados de segurança. Para mais informações, consulte Visão geral dos casos de pesquisa.
• Gráfico de contexto de entidade (ECG, na sigla em inglês): um banco de dados de gráficos no Google SecOps que armazena registros de entidades com estado (como recursos, usuários e indicadores de ameaças) para correlação com registros de ocorrência de segurança. Para mais informações, consulte Visão geral do gráfico de contexto de entidade.
• Barra de consulta em linguagem natural: a barra na parte de cima da página Pesquisa do SIEM, em que é possível inserir uma instrução de pesquisa usando linguagem natural.
• Editor de consultas: a caixa na Página de pesquisa do SIEM abaixo da barra de consulta em linguagem natural, em que você cria consultas manualmente e em que o código da consulta é exibido.

Antes de começar

É preciso ter as permissões e os papéis padrão da Pesquisa do Google SecOps atribuídos à sua conta de usuário para executar consultas e ver detalhes de detecção.

Para os seguintes recursos de pesquisa avançada, sua conta de usuário ou papel do Identity and Access Management precisa ter outras permissões granulares, dependendo do recurso usado:

• Os detalhes de eventos enriquecidos ou estendidos precisam de chronicle.events.fetchEnrichedEvent.
• Para salvar pesquisas e editar visualizações de pesquisa, é necessário ter chronicle.savedSearches.update e chronicle.searchViews.update.
• A visualização de analisadores de registros e esquemas precisa de chronicle.parsers.list e chronicle.parsers.get.
• A pesquisa no histórico de casos precisa de chronicle.cases.get e chronicle.cases.list.
• A pesquisa SQL (especificamente as sugestões automáticas de consulta no editor de consultas) precisa de chronicle.queries.suggestSql ao usar papéis personalizados do IAM.
• A classificação de uso histórico para sugestões automáticas do campo UDM no editor de consultas precisa de chronicle.instances.suggestQueryFields ao usar papéis personalizados do IAM.
• Para criar, compartilhar, modificar e gerenciar conjuntos de colunas personalizadas salvos na sua organização, é necessário ter as cinco permissões a seguir: chronicle.googleapis.com/savedColumnSets.create, chronicle.googleapis.com/savedColumnSets.update, chronicle.googleapis.com/savedColumnSets.delete, chronicle.googleapis.com/savedColumnSets.list e chronicle.googleapis.com/savedColumnSets.get.

Abrir a página de pesquisa

Para abrir a página Pesquisa do SIEM, faça o seguinte:

1. Faça login no Google SecOps.
2. Na barra de navegação, clique em Investigação > Pesquisa do SIEM.

Figura 1. Exemplo da página Pesquisa do SIEM usada para analisar tendências de eventos.

Observação: em sistemas que usam o RBAC de dados, só é possível ver os dados que correspondem aos seus escopos. Para mais informações, consulte o impacto do RBAC de dados na Pesquisa.

Aplicação do escopo do RBAC de dados

O mecanismo de pesquisa do Google SecOps aplica estritamente a filtragem de escopo do controle de acesso baseado em função (RBAC de dados) em todas as guias. Você só vai ver eventos de UDM, registros brutos, alertas, detecções e casos que correspondam explicitamente aos escopos de dados atribuídos à sua função do usuário.

Definir as configurações gerais da página de pesquisa

As configurações gerais da página Pesquisa do SIEM são específicas do usuário.

É possível definir as seguintes configurações gerais para a página Pesquisa do SIEM:

• Especificar o número máximo de resultados da pesquisa
• Escolher o comportamento de recolhimento do editor de consultas

Especificar o número máximo de resultados da pesquisa

Para especificar o número máximo de resultados da pesquisa, faça o seguinte:

1. Na página Pesquisa do SIEM, clique em Configurações Configurações e selecione Máximo de resultados.

2. Selecione a opção Número máximo de resultados a serem retornados. As opções são 1k, 30k, 100k, 1M e custom (que podem assumir valores entre 1 e 1M). O valor padrão é 30k.

   Dica: as consultas geralmente são executadas mais rapidamente quando você escolhe um tamanho de conjunto de resultados menor.

3. Clique em Aplicar.

Escolha o comportamento de recolhimento do editor de consultas

É possível configurar o editor de consultas para ser recolhido automaticamente após uma pesquisa, maximizando o espaço de tela disponível para visualizar os resultados da pesquisa. A configuração Padrão deixa o editor de consultas aberto depois de uma pesquisa.

Para ativar o recurso de recolhimento automático, siga estas etapas:

1. Na página Pesquisa do SIEM, clique em settings Configurações e selecione Editor de consultas.
2. Na caixa de diálogo Editor de consultas, selecione Fechar automaticamente o editor de consultas.

Criar uma consulta de pesquisa

As seções a seguir descrevem como criar uma consulta de pesquisa.

É possível criar uma consulta de pesquisa usando um dos seguintes métodos:

• Insira sua instrução de pesquisa em linguagem natural e use o Gemini para gerar a consulta no dialeto YARA-L 2.0. Use o inglês.
• Crie manualmente sua consulta no editor de consultas usando o dialeto YARA-L 2.0 ou SQL (GoogleSQL).

Observação : uma pesquisa de UDM é limitada a 100 campos de UDM por consulta. Uma expressão de pesquisa do UDM consiste em um campo do UDM para pesquisar, um operador e um valor de dados para pesquisar. As consultas de UDM são baseadas em campos definidos na referência do dicionário de campos de UDM. É possível navegar e selecionar esses campos do UDM usando Filtros ou Pesquisa de registro bruto.

Gerar uma consulta usando linguagem natural

Para gerar uma consulta usando linguagem natural, siga estas etapas:

1. Na página Pesquisa do SIEM, clique na barra de consulta em linguagem natural de pesquisa e insira uma instrução de pesquisa em inglês.

   As seguintes instruções são exemplos que podem gerar uma pesquisa útil:

   • network connections from 10.5.4.3 to google.com
   • failed user logins over the last 3 days
   • emails with file attachments sent to [e-mail] or [e-mail]
   • all Cloud service accounts created yesterday
   • outbound network traffic from 10.16.16.16 or 10.17.17.17
   • all network connections to facebook.com or tiktok.com
   • service accounts created in Google Cloud yesterday
   • Windows executables modified between 8 AM and 1 PM on May 1, 2026
   • all activity from winword.exe on lab-pc
   • scheduled tasks created or modified on exchange01 during the last week
   • email messages that contain PDF attachments
   • emails sent by or sent from [e-mail] on July 1
   • any files with the hash 44d88612fea8a8f36de82e1278abb02f
   • all activity associated with user "[e-mail]"

Se a instrução de pesquisa incluir um termo baseado em tempo, os parâmetros de período serão ajustados automaticamente para corresponder. Por exemplo, isso se aplica a pesquisas com os seguintes termos:

• yesterday
• within the last 5 days
• on July 1, 2026

2. Clique em Gerar consulta. Se o Gemini conseguir interpretar a instrução de pesquisa, ele vai gerar uma consulta válida no dialeto YARA-L 2.0 e mostrá-la no editor de consultas. Se a declaração de pesquisa não puder ser interpretada, você vai receber uma mensagem pedindo para tentar de outra forma. Se a expressão de consulta for válida, o botão Executar pesquisa vai ficar disponível.

3. Opcional: ajuste o período de pesquisa usando os parâmetros de período.

4. Clique em Executar pesquisa. Os resultados da pesquisa são exibidos.

5. Opcional: restrinja os resultados adicionando mais filtros de pesquisa manualmente ou usando a barra de consulta de linguagem natural e execute a pesquisa novamente.

Criar uma consulta manualmente no editor de consultas

Para informações sobre os diferentes tipos de consultas compatíveis com a página Pesquisa do SIEM e a sintaxe para criá-las, consulte os seguintes documentos:

• Para detalhes sobre a sintaxe de pesquisa do YARA-L 2.0, consulte Entender a sintaxe de pesquisa.
• Para saber como criar consultas de mesclagem, consulte Aplicar mesclagens em pesquisas e painéis e Implementar mesclagens sem uma seção de correspondência.
• Para saber como criar consultas estatísticas (STATS), consulte Analisar dados de pesquisa com estatísticas.
• Para saber como criar consultas de histórico de casos, consulte Pesquisar casos e histórico de casos na página de pesquisa.
• Para saber como projetar ou excluir campos específicos nos resultados da consulta, consulte Controlar a saída da consulta com select e unselect e Controlar colunas com palavras-chave de seleção e desmarcação.

Para criar uma consulta manualmente, siga estas etapas:

1. Na página Pesquisa do SIEM, clique no editor de consultas.
2. Escolha o dialeto da consulta:
   • YL2 (padrão): use a sintaxe padrão do YARA-L 2.0 para busca de eventos de alta velocidade, filtragem de entidades e correlação comportamental.
   • SQL: o modo SQL (GoogleSQL) permite executar consultas compatíveis com o BigQuery, criar mesclagens complexas de várias tabelas no UDM e no Entity Context Graph (ECG) e realizar agregações avançadas diretamente no console.

3. Digite sua consulta no editor de consultas e considere o seguinte:

   • Sugestão e preenchimento automáticos: ao digitar uma consulta com a opção YL2, o recurso de sugestão e preenchimento automáticos sugere campos válidos com base na sua entrada.
   • Pesquisa de UDM: se você não souber o nome ou o valor exato do campo ao escrever uma consulta, use a Pesquisa de UDM para ajudar.
   • Erros de compilação de sintaxe: se o editor de consultas detectar um erro de compilação de sintaxe, ele vai mostrar uma linha vermelha ondulada diretamente abaixo do texto problemático. Passe o cursor sobre o texto sublinhado para ver a descrição do erro específico. O editor de consultas destaca apenas um erro por vez, o que significa que você precisa corrigir os erros sequencialmente.

4. Defina o período da consulta usando os parâmetros de período.

5. Se a expressão de consulta for válida, clique em Executar pesquisa. Os resultados da pesquisa são exibidos.

6. Opcional: restrinja os resultados adicionando mais filtros de pesquisa manualmente ou usando o console e execute a pesquisa novamente.

Observação: também é possível criar uma nova consulta na caixa de diálogo Gerenciador de pesquisa. As mesmas ferramentas de edição de UDM e de sugestão e preenchimento automáticos também estão disponíveis lá.

Especificar o período da pesquisa

Use o menu Período para especificar o período da pesquisa.

O período máximo de uma pesquisa é sempre limitado pela configuração de retenção de registros do locatário.

Períodos máximos:

• UDM: 365 dias.
• RAW: 365 dias.
• JOIN: para mesclagens internas: 90 dias. Para mesclagens internas sem uma condição de correspondência: 14 dias. Para mesclagens externas: 14 dias.
• STATS: 90 dias.
• CASE e CASE HISTORY: 90 dias, limitados pelos limites de retenção de casos ou por um ciclo de vida completo do histórico de casos.
• ECG: 365 dias.

O Google SecOps avalia a configuração da sua consulta de pesquisa e aplica o período máximo com base no tipo e nas condições da pesquisa. Por exemplo, uma consulta STATS que inclui uma mesclagem externa terá um período máximo menor do que uma consulta STATS que não inclui uma mesclagem externa.

Para definir o período, faça o seguinte:

1. Na página Pesquisa do SIEM, ao lado de Período, selecione o modo na lista.

   • Absoluto: use um período absoluto para selecionar um horário de início e término fixo.
   • Relativo: use um período relativo para pesquisar retroativamente a partir do horário atual. O horário em que você clica em Executar pesquisa é definido como o horário de término da consulta.

2. Se você selecionou Absoluto, faça o seguinte:

   1. Clique em calendar_month calendar para abrir a caixa de diálogo Definir data e período.
   2. Siga uma destas opções:
      • Para configurar o tempo usando um dos métodos a seguir, selecione a guia Intervalo:
        • Usar predefinições: selecione um período predefinido na barra lateral, como Últimos 3 dias ou Todo o período. Todo o período pesquisa em todo o período de armazenamento.
        • Selecionar datas: clique em uma data de início e uma de término no calendário.
        • Definir horários: selecione horários específicos usando os menus de horário abaixo das agendas.
      • Para especificar um período com base em um evento, clique na guia Horário do evento, selecione uma data no calendário e configure o período:
        • Horário exato: clique no campo Evento para selecionar ou inserir o horário específico em que o evento ocorreu.
        • Buffer de tempo: selecione um período predefinido na lista.
   3. Clique em Aplicar.

3. Se você selecionou Relativo, faça o seguinte:

   1. Insira um número inteiro no campo de texto.
   2. Selecione uma unidade de tempo no menu: Segundos, Minutos, Horas, Dias, Semanas, Meses ou Anos.

Usar sugestões automáticas para criar consultas

Quando você escreve uma consulta, o editor de consultas oferece sugestões automáticas para ajudar a criar a consulta de maneira eficiente.

Navegar e selecionar sugestões

Conforme você digita, uma lista aparece com sugestões de campos que correspondem ao seu texto, incluindo as seguintes opções:

• Selecionar um campo: use as setas para cima ou para baixo para navegar na lista e pressione Enter para selecionar um campo.
• Ver metadados: depois de usar as teclas de seta para cima ou para baixo para destacar uma sugestão, clique em chevron_right para ver a descrição do campo.
• Preencher campos de forma incremental: o editor sugere os filhos imediatos do campo atual e oculta o prefixo digitado para economizar espaço na tela. Essas sugestões são seguidas por todos os outros campos correspondentes em ordem alfabética.
• Operadores e valores completos: depois que você seleciona um campo, o editor sugere operadores válidos (como =, !=) com base no tipo de dados do campo. Para campos enumerados, o editor mostra sugestões de todos os valores válidos (por exemplo, NETWORK_EVENT) depois que você digita um operador e aspas duplas (").

Entender a classificação de sugestões

O editor de consultas organiza as sugestões em três categorias distintas, na seguinte ordem, para ajudar você a encontrar campos de UDM relevantes:

1. Campos usados recentemente e com frequência: mostra até os sete principais campos correspondentes com base na sessão ativa do navegador e no histórico de uso de consultas de 30 dias nas páginas Pesquisa do SIEM, Regras e detecções e Painéis. As sugestões nessa categoria são priorizadas na seguinte ordem:

   • Histórico recente do navegador: campos que você inseriu ou selecionou recentemente no editor de consultas (até os 100 campos de UDM válidos mais recentes). Os campos correspondentes aparecem primeiro, ordenados pelo uso mais recente. Essa lista é salva no armazenamento local do navegador em todos os logins. Limpar o processo de cache do navegador ou mudar de navegador redefine esse histórico.

   • Uso histórico (últimos 30 dias): campos extraídos de consultas que você e sua organização executaram nos últimos 30 dias (incluindo pesquisas de UDM, consultas de painel, testes de regras e retrohunts). Esses dados de uso são atualizados a cada 8 horas, estão fora do escopo da filtragem de RBAC de dados porque exibem nomes de campos de esquema de UDM derivados em vez de eventos de registro e isolam rótulos personalizados e campos extraídos (additional.*, extracted.*) para seu locatário. O uso histórico segue uma hierarquia estrita de dois níveis:

     1. Uso no nível do usuário: campos que você usou com mais frequência nos últimos 30 dias, classificados por contagem de uso em ordem decrescente.
     2. Uso no nível do locatário: campos usados com mais frequência por todos os usuários no seu locatário nos últimos 30 dias, classificados por contagem de uso em ordem decrescente. Se um campo já aparecer na lista de uso no nível do usuário, a classificação dele no nível do usuário terá precedência.

     Ao filtrar sugestões de uso histórico enquanto você digita o texto, o editor classifica os campos correspondentes por qualidade de correspondência antes de desempatar usando a hierarquia de uso: 1. Correspondência exata: corresponde ao nome completo do campo de UDM (por exemplo, ip). 2. Correspondência exata de token: corresponde a um segmento completo do nome do campo (por exemplo, principal.ip ou target.ip quando você digita ip). 3. Correspondência de prefixo: corresponde ao início do nome do campo. 4. Correspondência de prefixo de token: corresponde ao início de um segmento no nome do campo. 5. Correspondência de substring: aparece em qualquer lugar no nome do campo (por exemplo, principal.hostname quando você digita ip, porque principal contém ip).

2. Filhos imediatos: exibe os nós filhos de primeiro nível do caminho do campo atual em ordem alfabética, excluindo os campos já listados nas principais sugestões de uso.

3. Correspondências globais: exibe todos os campos de UDM correspondentes restantes em ordem alfabética.

Observação: os papéis predefinidos do Google SecOps (Admin, Editor, Viewer, Limited Viewer e Restricted Data Access Viewer) incluem a permissão chronicle.instances.suggestQueryFields necessária para recuperar sugestões de uso histórico de 30 dias. Se você usar um papel personalizado do IAM, adicione chronicle.instances.suggestQueryFields a ele. Sem essa permissão, o editor de consultas vai voltar a classificar as sugestões usando apenas o histórico de navegação recente.

Observação: os campos das tabelas de dados não são incluídos na classificação com base no uso ou no tempo para retorno, porque as tabelas de dados não têm um esquema UDM fixo. Em vez disso, os campos da tabela de dados aparecem em ordem alfabética na seção Correspondências globais.

Gerenciar as configurações de sugestão automática

Para gerenciar globalmente como o Google SecOps exibe sugestões automáticas, faça o seguinte:

1. Clique no avatar do seu perfil e selecione Preferências do usuário na lista. A caixa de diálogo User Preferences vai aparecer.

2. Na caixa de diálogo, clique em Sugestão automática.

3. Para controlar as sugestões automáticas mostradas no editor de consultas, ajuste as seguintes configurações:

   • Ativar sugestões ao digitar: ativa a sugestão automática.
   • Classificar os campos usados recentemente primeiro: mostra os campos usados com mais frequência e recentemente (com base no histórico de sessões do navegador, no uso no nível do usuário e no uso no nível do locatário) na parte de cima da lista.
   • Sugerir campos filhos imediatos: preenche campos aninhados de forma incremental, um nó filho por vez.
   • Sugerir todos os caminhos disponíveis: mostra os caminhos completos e expandidos para todas as sugestões de campos aninhados.

4. Clique em Salvar.

Controlar a saída da consulta com select e unselect

É possível usar as palavras-chave select e unselect em uma consulta de pesquisa do YARA-L 2.0 para projetar ou excluir campos específicos de eventos do UDM e do Gráfico de Contexto de Entidades (ECG, na sigla em inglês) diretamente do armazenamento, reduzindo o tamanho do payload de resposta e melhorando a latência da consulta:

• select: retorna apenas os campos de folha especificados e as variáveis outcome, além dos campos de metadados obrigatórios.
• unselect: retorna todos os campos, exceto os campos de folha especificados e as variáveis outcome.

As consultas que não incluem select ou unselect retornam payloads completos de UDM e entidade. A projeção de campo seletiva se aplica a pesquisas de eventos de UDM independentes e de entidades de ECG independentes. As mesclagens de vários eventos, as mesclagens de entidades de UDM e as consultas agregadas não são afetadas. Para mais exemplos de sintaxe, consulte Controlar colunas com palavras-chave de seleção e desmarcação.

Campos aceitos e obrigatórios

• Campos compatíveis: especifique variáveis outcome ou caminhos de campo de folha completos para eventos de UDM (por exemplo, principal.hostname, target.ip, security_result.severity) e entidades de ECG (por exemplo, graph.entity.hostname, graph.entity.ip, graph.metadata.entity_type, graph.relations.entity_type).
• Campos obrigatórios: para preservar a identidade do evento, a ordem da linha do tempo e os intervalos de validade da entidade, o Google SecOps sempre retorna os seguintes campos de metadados principais, mesmo que você os omita de select ou os inclua em unselect:
  • Eventos de UDM: metadata.id, metadata.event_timestamp, metadata.enrichment_state
  • Entidades de ECG: graph.metadata.entity_type, graph.metadata.interval.start_time
• Campos de mapa e indexação de lista repetida: a projeção e a exclusão de campos operam no nível do contêiner para campos de mapa (additional.fields e extracted.fields) e listas repetidas, em vez de filtrar chaves de mapa individuais ou posições de matriz únicas:
  • Com select: especificar uma chave de mapa (como select: additional.fields["env"] ou extracted.fields["src"]) ou um índice de lista (como select: principal.ip[0] ou about[0].file.md5) retorna o mapa inteiro (additional.fields ou extracted.fields) ou todo o campo ou subcampo repetido em todos os elementos da lista.
  • Com unselect: especificar uma chave de mapa (como unselect: additional.fields["env"]) ou um índice de lista (como unselect: principal.ip[0] ou about[0].file.md5) exclui todo o mapa (removendo todas as outras chaves desse mapa) ou exclui o campo repetido ou subcampo em todos os elementos da lista, não apenas no índice 0. Não inclua nenhuma chave de additional.fields ou extracted.fields em unselect se você precisar de outras chaves desse mapa.

Impacto nos resultados da pesquisa, UI e nas APIs

O uso de select ou unselect afeta os resultados da pesquisa na interface da Web do Google SecOps, na API Chronicle (udmSearch e StreamSearch) e na API Search Operations de longa duração (LRO) (PaginatedSearchResults). Ele não é compatível com a API Backstory legada.

• Tabela de eventos, Gerenciador de colunas e Agregações: somente os campos projetados (junto com Carimbo de data/hora e Status do evento) estão disponíveis para visualização, agregação, filtragem ou adição como colunas.
• Visualizador de eventos: mostra apenas os campos projetados de UDM e entidade ao lado do registro bruto e desativa a opção Adicionar às colunas para campos não projetados.
• Classificação: é possível classificar os resultados apenas em campos projetados, campos de metadados obrigatórios (metadata.event_timestamp e metadata.enrichment_state) e colunas rápidas compostas (Nome do host, IP e Usuário) quando os campos subjacentes são projetados. Nas solicitações de API, definir sort_column como um campo não projetado ou excluído retorna um erro INVALID_ARGUMENT (400).

Exemplos

• Incluir apenas campos de evento de UDM específicos (select):

  principal.hostname != "" and target.ip != ""
  select: principal.hostname, principal.ip, target.ip, security_result.severity
  

• Incluir apenas campos específicos da entidade de ECG (select):

  graph.entity.hostname != ""
  select: graph.entity.hostname, graph.entity.ip, graph.entity.asset.asset_id
  

• Excluir campos específicos (unselect):

  metadata.event_type = "NETWORK_HTTP" and principal.hostname != ""
  unselect: target.hostname, target.ip, security_result.category_details
  

Encontrar um campo de UDM para uma consulta de pesquisa (pesquisa de UDM)

Ao escrever uma consulta de pesquisa, talvez você não saiba o nome ou o valor exato do campo do UDM a ser incluído. O recurso Pesquisa de UDM permite encontrar rapidamente um nome de campo de UDM que contenha uma string de texto no nome ou que armazene um valor de string específico. É possível selecionar um ou mais resultados retornados pela pesquisa de UDM e usá-los como ponto de partida para uma consulta de pesquisa, anexá-los a uma consulta atual ou salvá-los na área de transferência.

Observação: a pesquisa de UDM não se destina a ser usada para pesquisar outros tipos de dados, como bytes, booleanos ou numéricos.

Para usar a pesquisa de UDM, faça o seguinte:

1. Na página Pesquisa do SIEM, clique em Pesquisa de UDM. A caixa de diálogo Pesquisa de UDM é aberta.

2. Selecione uma ou ambas as opções de Correspondência em para especificar o escopo dos dados a serem pesquisados:

   • Campos do UDM: pesquise nomes de campos que correspondam ao texto, por exemplo, network.dns.questions.name ou principal.ip.
   • Valores: pesquise strings de texto em valores de registro armazenados, por exemplo, dns ou google.com.

3. Clique no campo pesquisar Insira a string exata para a correspondência e digite a string que você quer encontrar. Conforme você digita, os resultados da pesquisa aparecem na caixa de diálogo.

   Os resultados variam ao fazer a correspondência em Campos do UDM em comparação com Valores da seguinte maneira:

   • A pesquisa com nomes de campos de UDM de correspondência retorna uma correspondência exata encontrada em qualquer lugar na definição do esquema.

     

     Figura 2. Pesquise com os nomes dos campos de UDM de correspondência na caixa de diálogo Pesquisa de UDM.

   • A pesquisa com Valores de correspondência pesquisa a telemetria de registro ingerida e retorna dois tipos de resultados:

     • Correspondências de valor completo: para campos de texto comuns (como aplicativos, nomes de host, URLs, endereços IP e nomes de usuário), a pesquisa de UDM exibe o valor de correspondência completo com a string de pesquisa destacada em amarelo, além do carimbo de data/hora de ingestão de registro mais recente.

     • Possíveis correspondências de valor: para campos que contêm texto longo, complexo ou não estruturado (como linhas de comando, descrições, campos de detecção e campos personalizados), a Pesquisa de UDM indica que o termo de pesquisa aparece nesse campo na telemetria histórica. Em vez de mostrar um único valor completo, o resultado exibe o nome do campo UDM seguido por (Possible value match).

     

     Figura 3. Pesquise com valores de correspondência na caixa de diálogo Pesquisa de UDM.

4. Na lista de resultados, você pode fazer o seguinte:

   • Clique no nome de um campo do UDM para ver uma descrição dele.
   • Selecione um ou mais resultados clicando na caixa de seleção ao lado do nome do campo do UDM.
   • Clique no botão Redefinir para desmarcar todos os campos selecionados na lista de resultados.

5. Escolha uma destas opções:

   • Para copiar os resultados selecionados para a área de transferência, clique em Copiar UDM. Em seguida, feche a caixa de diálogo Pesquisa de UDM e cole o conteúdo da área de transferência no editor de consultas.

   • Para adicionar os resultados selecionados à consulta no editor, clique em Adicionar à pesquisa. Em seguida, o Google SecOps converte os resultados selecionados em uma consulta de pesquisa como o nome do campo UDM ou um par de nome-valor.

     Se você anexar vários resultados, o Google SecOps vai adicionar cada resultado ao final da consulta atual no editor de consultas usando o operador OR.

     A string de consulta anexada é diferente dependendo do tipo de correspondência retornado pela pesquisa de UDM:

     • Se o resultado corresponder a uma string de texto em um nome de campo UDM, o nome completo do campo UDM será anexado à consulta. Exemplo:

       principal.artifact.network.dhcp.client_hostname

     • Se o resultado for uma correspondência de valor total, o par de nome-valor vai conter uma condição de igualdade exata com o valor total.

     • Se o resultado for uma correspondência de valor possível, o par de nome-valor vai conter o nome do campo de UDM e uma expressão regular que não diferencia maiúsculas de minúsculas contendo seu termo de pesquisa.

6. Se necessário, edite a consulta no editor de consultas.

Comportamento de pesquisa e cobertura de campo da pesquisa de UDM

A pesquisa de UDM ajuda a descobrir nomes de campos e pesquisar valores históricos nos dados de registro ingeridos. Nesta seção, explicamos como a pesquisa funciona nos dois modos, mostramos exemplos de consultas e descrevemos os limites de cobertura de campo.

Modos de pesquisa: campos versus valores do UDM

A pesquisa do UDM oferece dois modos de pesquisa distintos:

• Modo de campos de UDM: a opção Corresponder em campos de UDM pesquisa a definição do esquema de UDM para ajudar você a localizar o caminho correto do campo. É possível encontrar nomes de campos em todos os tipos de dados, incluindo campos de texto (principal.hostname), portas numéricas (target.port), flags booleanas (security_result.is_alert) e categorias de eventos (metadata.event_type).

  Exemplo: digitar port mostra campos como network.ip_port, principal.port, target.port e src.port.

• Modo de valores: a opção Corresponder em Valores pesquisa os registros de eventos ingeridos em busca de valores de texto correspondentes:

  • Correspondência de valor exato: para identificadores comuns e campos de texto (como nomes de host, endereços IP, domínios e nomes de usuário), a Pesquisa de UDM encontra o valor exato nos dados e gera uma condição de igualdade (por exemplo, principal.hostname = "example.com").
  • Correspondência de valor possível (expressão regular): para textos longos, linhas de comando, URLs, chaves de registro e caminhos de arquivo, a pesquisa de UDM retorna uma correspondência de valor possível com uma expressão regular (por exemplo, principal.process.command_line = /powershell/ NOCASE).

Lacunas na cobertura de campo e como pesquisar diretamente

Ao pesquisar por Valores, a Pesquisa de UDM busca campos de texto em dados de eventos brutos e não enriquecidos. Alguns tipos de dados e campos de identificador de alto volume não retornam correspondências no modo Valores. Para pesquisar esses campos, insira sua expressão diretamente no editor de consultas.

Esta seção inclui o seguinte:

• Campos numéricos, booleanos, de carimbo de data/hora e de bytes
• Campos identificadores excluídos
• Campos com possíveis correspondências de valor (expressões regulares)
• Campos enriquecidos e gráfico de entidade

Campos numéricos, booleanos, de carimbo de data/hora e de bytes

A pesquisa de valor de pesquisa de UDM não retorna correspondências para tipos de dados que não são de texto. Para pesquisar nesses campos, escreva a condição diretamente na barra de pesquisa:

Categoria do campo	Exemplos de campos de UDM	Exemplo de pesquisa direta
Números de porta e códigos de status	network.ip_port, principal.port, target.port, network.http.response_code	network.ip_port = 443 network.http.response_code = 403
Métricas e pontuações de risco	security_result.risk_score, network.sent_bytes, network.received_bytes	security_result.risk_score >= 80 network.sent_bytes > 50000000
Sinalizações booleanas	security_result.is_alert, network.dns.answers.is_authoritative	security_result.is_alert = true
Tipos enumerados predefinidos	metadata.event_type, network.ip_protocol	metadata.event_type = "USER_LOGIN" network.ip_protocol = "TCP"
Carimbos de data/hora	metadata.event_timestamp.seconds, metadata.ingested_timestamp	Filtre usando o menu Período ou a consulta: metadata.event_timestamp.seconds > 1700000000
IDs de eventos (bytes brutos)	metadata.id	metadata.id = "..."
Coordenadas geográficas	principal.location.latitude, principal.location.longitude	Filtrar por campos de localização regional: principal.location.country_or_region = "US"

Campos identificadores excluídos

Os seguintes campos de alta entropia e rastreamento de sessão não retornam correspondências ao pesquisar por Valores:

Categoria de campo excluída	Campos do UDM	Exemplo de pesquisa direta
IDs de processo	*.pid (por exemplo, principal.process.pid, target.process.pid), *.product_specific_process_id	target.process.pid = "4128"
IDs de sessão e conexão	network.session_id, network.parent_session_id, metadata.product_log_id	network.session_id = "sess-9481"
IDs de regras de detecção	security_result.rule_id	security_result.rule_id = "rule_suspicious_login"
IDs de recursos	*.resource.id (incluindo ARNs e URIs de nuvem), *.asset_id	target.resource.id = "arn:aws:s3:::my-bucket"
Rótulos de ingestão	metadata.base_labels.*, metadata.enrichment_labels.*	metadata.base_labels.log_types = "WINEVTLOG"

Campos com possíveis correspondências de valor (expressões regulares)

Para campos que contêm strings longas e complexas com muitos separadores de caminho ou argumentos, a pesquisa de UDM retorna uma expressão regular de possível correspondência de valor (/.../ NOCASE) em vez de uma correspondência exata de valor completo:

• Linhas de comando: principal.process.command_line, target.process.command_line
• Caminhos de arquivo: principal.process.file.full_path, target.file.full_path
• URLs da Web e de rede: principal.url, target.url, network.http.referral_url
• Chaves do registro: principal.registry.registry_key, target.registry.registry_key
• Descrições de formato livre: metadata.description, security_result.description, security_result.summary
• Strings de user agent: network.http.user_agent
• Campos personalizados dinâmicos: additional.fields.value.*

Campos enriquecidos e gráfico de entidade

A pesquisa de UDM busca dados de registro brutos ingeridos após 10 de agosto de 2023. Ela não retorna valores de:

• Enriquecimentos downstream: como resolução de localização GeoIP, dados WHOIS, vereditos da Navegação segura ou pontuações do VirusTotal. Para pesquisar esses campos, filtre diretamente no caminho do campo enriquecido (por exemplo, target.ip_geo_artifact.country_or_region = "US").
• Objetos do Entity Graph: dados no namespace graph.*.
• Dados históricos antes do limite: registros ingeridos antes de 10 de agosto de 2023. Para pesquisar dados mais antigos, use consultas de pesquisa direta na página Pesquisa.

Usar tabelas de dados em uma pesquisa

Você pode usar o recurso de tabelas de dados em uma pesquisa. Isso permite que você use seus próprios bancos de dados de informações de ameaças em conjunto com uma pesquisa para buscar ameaças na sua empresa.

Por exemplo, se você tiver um banco de dados chamado suspicious com uma coluna de endereços IP que você sabe que são problemáticos, é possível referenciar esse banco de dados na consulta de pesquisa em vez de inserir manualmente endereços IP individuais na consulta:

  events:
      $e.principal.ip in %suspicious.ip

É possível restringir os resultados pesquisando metadados específicos, além de endereços IP. Por exemplo, você pode estar especificamente preocupado com mudanças nos recursos do usuário:

  events:
      $e.metadata.event_type = "USER_RESOURCE_UPDATE_CONTENT"
      $e.principal.ip in %suspicious.ip

É possível restringir uma pesquisa em campos de UDM inter-relacionados e fazer a correspondência com várias colunas de tabelas de dados. O exemplo a seguir pesquisa eventos NETWORK_CONNECTION em que o resultado de segurança é ALLOW. Em seguida, ele corresponde esses eventos à coluna hostnames e à coluna ip na tabela de dados badApps.

events:
  $e.metadata.event_type = "NETWORK_CONNECTION"
  $e.security_result.action = "ALLOW"
  $e.target.asset.asset_id = $assetid

  // Event hostname matches at least one value in table column hostname.
  $e.target.hostname in %badApps.hostname

  // Event IP matches at least one value in table column ip.
  $e.target.ip in %badApps.ip

Ver linhas da tabela de dados em uma pesquisa

Quando você usa uma tabela de dados em uma pesquisa do YARA-L 2.0, os resultados fazem referência às linhas da tabela de dados que estão vinculadas aos eventos correspondentes. Esses resultados são exibidos no painel Eventos. O estado atual da tabela de dados e as linhas dela são mostrados quando você visualiza os resultados.

Use o Gerenciador de colunas para selecionar quais tabelas de dados e colunas serão exibidas nos resultados.

Para mais informações, consulte Usar tabelas de dados.

Entender o processo de execução de consultas

Se a consulta no editor for válida, o console do Google SecOps vai ativar o botão Executar pesquisa.

Depois que você clicar em Executar pesquisa, a consulta em andamento será exibida com um ícone de status circular.

Enquanto uma pesquisa está em andamento, é possível executar outras pesquisas (simultâneas) no editor de consultas com algumas limitações. O Google SecOps continua executando as pesquisas anteriores e as novas em paralelo.

Importante: as pesquisas simultâneas e os resultados armazenados exigem que o recurso de histórico da Pesquisa esteja ativado. Se você já desativou o histórico da Pesquisa, pode reativá-lo clicando em Histórico > Ativar histórico da Pesquisa.

As consultas concluídas são exibidas com um ícone de marca de seleção verde, além de um contador que indica o número de eventos retornados pela consulta.

Clique em uma consulta concluída para exibir os resultados. Os resultados da pesquisa são exibidos abaixo do editor de consultas.

Os resultados da pesquisa são armazenados em cache e incluem apenas os dados disponíveis no momento da execução da consulta.

Gerenciar o histórico da Pesquisa

Seu histórico da Pesquisa é salvo na sua conta do Google SecOps.

Importante: as pesquisas simultâneas e os resultados armazenados exigem que o recurso de histórico da Pesquisa esteja ativo.

• Para gerenciar seu histórico de pesquisa, na página Pesquisa do SIEM, clique em Histórico para abrir a caixa de diálogo e faça o seguinte:

  • Confira uma lista de todas as pesquisas no seu histórico.
  • Clique em um item da lista para carregá-lo no editor de consultas.
  • Digite na barra de pesquisa para encontrar uma pesquisa no seu histórico.
  • Filtre as pesquisas clicando em Filtro ao lado da barra de pesquisa e filtre as pesquisas por Idioma, que contém: filtros YL2 e SQL AND Tipo de pesquisa, que contém: filtros UDM, Registro bruto e Estatísticas.
  • Mostrar ou não apenas os resultados armazenados concluídos e em andamento (usando a caixa de seleção Mostrar apenas resultados armazenados concluídos e em andamento).
  • Limpar o histórico da Pesquisa.
    • Para limpar o histórico da Pesquisa, clique em Mais e selecione Limpar histórico.

  • Desativar ou reativar o histórico da Pesquisa:

    • Para desativar o histórico da Pesquisa, clique em Desativar histórico da Pesquisa e selecione Apenas desativar para desativar o histórico da Pesquisa ou Desativar e limpar para desativar o histórico da Pesquisa e excluir o histórico da Pesquisa salvo.

    • Se você tiver desativado o histórico da Pesquisa, clique em Ativar o histórico da Pesquisa para reativá-lo.

• Para excluir uma pesquisa individual do histórico da Pesquisa, consulte Excluir uma pesquisa salva.

Salvar e usar uma consulta de métricas

Observação: esse recurso é coberto pelos Termos de produtos e recursos em pré-GA dos Termos específicos de serviço do Google Security Operations. Os recursos pré-GA podem ter suporte limitado, e as mudanças realizadas podem não ser compatíveis com outras versões pré-GA. Para mais informações, consulte as diretrizes do serviço de suporte técnico do Google SecOps e os Termos específicos de serviço do Google SecOps.
Se esse recurso não estiver visível no seu ambiente, consulte Gerenciar recursos em fase de pré-lançamento ou entre em contato com o administrador do sistema.

O Google SecOps classifica as consultas de métricas com o selo STATS.

• Para salvar uma pesquisa como uma métrica, clique em Mais ao lado de Executar pesquisa e clique em Salvar como métrica. A página Regras e detecções é aberta, mostrando sua consulta de métricas na guia Métricas. Em seguida, salve ou desative a métrica. Depois de salva, a consulta de métrica não pode ser editada nem excluída. É possível desativar métricas a qualquer momento.

É possível usar uma consulta de métricas para estabelecer padrões de comportamento típicos e identificar atividades fora do comum. Se você tiver uma consulta de métricas no editor de consultas que rastreia tendências operacionais críticas, clique em Mais > Salvar como métrica. Isso salva a consulta como uma métrica de série temporal contínua que pode ser incorporada a painéis personalizados ou referenciada em alertas de limite.

Exemplo de consulta de métricas:

metric metric_1784196814306 {
  (metadata.event_type = "NETWORK_FLOW" OR
  metadata.event_type = "NETWORK_CONNECTION" OR
  metadata.event_type = "NETWORK_DNS" OR
  metadata.event_type = "NETWORK_HTTP")

  outcome:
  $timestamp = timestamp.get_timestamp(metadata.event_timestamp.seconds)
  $hostname = principal.hostname
  $event_type = metadata.event_type
  $user = principal.user.userid
  $principal_process = principal.process.file.full_path
  $principal_cmdline = principal.process.command_line
  $target_process = target.process.file.full_path
  $target_cmdline = target.process.command_line
  $target_url = target.url
  $target_ip = target.ip[0]
  order:
  $timestamp
  }

Gerenciar suas pesquisas (Gerenciador de Pesquisas)

Use a caixa de diálogo Gerenciador de pesquisa para gerenciar suas pesquisas.

• Para abrir o Gerenciador de Pesquisa, na página Pesquisa do SIEM, clique em Gerenciador de Pesquisa.

Selos de tipo de pesquisa

A guia Salvas no Gerenciador de pesquisas lista todas as pesquisas salvas e mostra um selo com o tipo de pesquisa: UDM, RAW, JOIN, STATS, CASE, CASE HISTORY e ECG.

Ações do Gerenciador de pesquisa

Na guia Salvos, você pode realizar as seguintes ações:

• Filtrar pesquisas salvas: clique em Filtrar ao lado da barra de pesquisa e filtre as pesquisas por Origem, que contém: Definido pelo Google SecOps, Criado por mim e Compartilhado comigo AND Idioma, que contém: YL2 e SQL.
• Classificar pesquisas: clique em list_arrow Classificar ao lado da barra de pesquisa e classifique por Nome (A - Z), Nome (Z - A), Mais antigas - Mais recentes ou Mais recentes - Mais antigas.
• Adicionar uma pesquisa: clique em add_2 Adicionar ao lado da barra de pesquisa e crie uma nova pesquisa na caixa Pesquisa de UDM adjacente. A caixa Pesquisa de UDM é compatível com as mesmas ferramentas de edição de UDM e de sugestão e preenchimento automáticos que você usa ao criar uma consulta manualmente no editor de consultas.
• Compartilhar ou excluir pesquisas que você criou.
• Editar uma pesquisa criada por você: quando uma pesquisa é selecionada na guia Salvas, a caixa PESQUISAR mostra a consulta, além das caixas Título e Descrição. A caixa Pesquisa de UDM é compatível com as mesmas ferramentas de edição de UDM e de sugestão e preenchimento automáticos que você usa ao criar uma consulta manualmente no editor de consultas.

Salvar uma pesquisa

As pesquisas salvas e o histórico da Pesquisa são:

• Armazenados na sua conta do Google SecOps.
• Só podem ser visualizadas e acessadas pelo usuário individual, a menos que você use o recurso Compartilhar uma pesquisa para compartilhar sua pesquisa com a organização.

Para salvar uma pesquisa, faça o seguinte:

1. Na página Pesquisa do SIEM, siga um destes procedimentos:

   • Se houver uma consulta válida no editor de consultas, clique em Mais ao lado de Executar pesquisa e clique em Salvar pesquisa. A caixa de diálogo Gerenciador de pesquisa será aberta.
   • Clique em Gerenciador de pesquisa. A caixa de diálogo Gerenciador de pesquisa será aberta.

2. Na caixa Título, digite um nome para a pesquisa. O Google recomenda dar à pesquisa salva um nome significativo e uma descrição em texto simples do que você está procurando.

3. Opcional: na caixa Descrição, insira uma descrição para a pesquisa.

4. Opcional: especifique variáveis de marcador de posição no formato ${<variable name>} usando o mesmo formato usado para variáveis no YARA-L. Se você adicionar uma variável a uma pesquisa, também precisará incluir um comando para ajudar o usuário a entender as informações necessárias para inserir antes de executar a pesquisa. Todas as variáveis precisam ser preenchidas com valores antes de uma pesquisa ser executada.

   Por exemplo, você pode adicionar metadata.vendor_name = ${vendor_name} à sua pesquisa. Para ${vendor_name}, é necessário adicionar uma solicitação para usuários futuros, como Enter the name of the vendor for your search. Sempre que um usuário carregar essa pesquisa no futuro, ele precisará inserir o nome do fornecedor antes de executá-la.

5. Clique em Salvar edições quando terminar.

• Para ver as pesquisas salvas, clique em Gerenciador de pesquisas e, em seguida, na guia Salvas.

Recuperar e executar uma pesquisa salva

Para recuperar e executar uma pesquisa salva, faça o seguinte:

1. Na página Pesquisa do SIEM, clique em Gerenciador de pesquisas e selecione uma pesquisa na lista *Salvas à esquerda.
2. Opcional: exclua uma pesquisa clicando em Mais e selecionando Excluir pesquisa. Só é possível excluir as pesquisas que você criou.
3. É possível mudar o nome e a descrição da pesquisa. Clique em Salvar edições quando terminar.
4. Clique em Carregar pesquisa. A pesquisa é carregada no campo de pesquisa principal.
5. Clique em Executar pesquisa.

Excluir uma pesquisa salva

Só é possível excluir as pesquisas que você criou.

Para excluir uma pesquisa salva, faça o seguinte:

1. Na página Pesquisa do SIEM, clique em Gerenciador de pesquisas e selecione uma pesquisa na lista *Salvas à esquerda.
2. Clique em Mais e selecione Excluir pesquisa.
3. Clique em Excluir pesquisa.

Compartilhar ou parar de compartilhar uma pesquisa

As pesquisas compartilhadas permitem que você compartilhe pesquisas com sua equipe. Não é possível compartilhar com apenas uma pessoa. Se você compartilhar sua pesquisa, ela será compartilhada com toda a organização.

Não é possível editar uma pesquisa compartilhada que não foi criada por você.

Para compartilhar uma pesquisa, faça o seguinte:

1. Na página Pesquisa do SIEM, clique em Gerenciador de pesquisas e selecione uma pesquisa na lista *Salvas à esquerda.
2. Clique na pesquisa que você quer compartilhar.
3. Clique em Mais no lado direito da pesquisa. Uma caixa de diálogo com a opção de compartilhar sua pesquisa vai aparecer.
4. Clique em Compartilhar com sua organização. Uma caixa de diálogo vai aparecer com a mensagem "O compartilhamento da sua pesquisa vai ficar visível para as pessoas na sua organização. Você quer mesmo compartilhar?".
5. Clique em Compartilhar.

Se você quiser que a pesquisa fique visível apenas para você, clique em Mais e em Parar de compartilhar. Se você parar de compartilhar, só vai poder usar esta pesquisa.

Resultados da pesquisa: visão geral

Quando você clica em Executar pesquisa na página Pesquisa do SIEM, o Google Security Operations avalia sua consulta em todo o ambiente e categoriza e exibe os resultados abaixo do editor de consultas.

Os elementos da interface para resultados da pesquisa variam de acordo com o tipo de pesquisa (que são, de acordo com os selos: UDM, RAW, JOIN, STATS, CASE ou CASE HISTORY).

A página Pesquisa do SIEM mostra as seguintes guias para os resultados da pesquisa:

• Resultados: exibidos para todos os tipos de pesquisa.
• Alertas e detecções: exibidos apenas para resultados da pesquisa de UDM, RAW e JOIN.
• Visão geral: exibida apenas para resultados da pesquisa de UDM, RAW e JOIN.
• Visualizar: exibido apenas para resultados da pesquisa de STATS.

O título de cada guia de resultados inclui a contagem entre parênteses, por exemplo, Resultados (1.118) ou Resultados (mais de 100.000) se o número de resultados exceder o máximo especificado (neste caso, 100 mil).

Ao clicar nas guias, você muda instantaneamente a visualização do espaço de trabalho, preservando a consulta de pesquisa e o período.

Ver e gerenciar informações na guia "Resultados"

A guia Resultados é o espaço de trabalho principal para visualizar e gerenciar os resultados da pesquisa. Você pode usar a guia Resultados para:

• Análise detalhada de registros
• Como visualizar a telemetria bruta
• Como gerar tabelas dinâmicas com base em dados de eventos
• Análise de distribuições de valores de campo de alta frequência
• Exportar dados para arquivos CSV

A guia Resultados inclui os seguintes elementos, dependendo do tipo de pesquisa:

• Painéis com guias e os seguintes gráficos:
  • Gráfico Atividade ao longo do tempo: exibido para resultados de pesquisa de UDM, JOIN, CASE, CASE HISTORY e ECG.
  • Gráfico Tendência ao longo do tempo: exibido para resultados de pesquisa RAW.
  • Guia Prevalência: exibida para resultados da pesquisa de UDM.
  • Tabela Mapa de calor da atividade: exibida para resultados da pesquisa de UDM.
• Painel Agregações: exibido para todos os tipos de resultados da pesquisa.

• Painéis com as seguintes tabelas, de acordo com o tipo de pesquisa:

  • Tabela Eventos e subguia Dinâmica: exibida apenas para resultados da pesquisa de UDM. A tabela Eventos mostra a telemetria de eventos normalizada do UDM e os registros brutos que correspondem à sua consulta no período selecionado. A subguia Pivot permite criar e usar uma tabela dinâmica para realizar agrupamentos e resumos matemáticos multidimensionais (sum, count, avg, stddev) nos resultados do evento.
  • Registros brutos: exibidos apenas para resultados da pesquisa RAW.
  • Estatísticas: exibidas apenas para resultados da pesquisa de ESTATÍSTICAS.
  • Junções: exibidas apenas para resultados da pesquisa de junção.
  • Casos: exibidos apenas para resultados da pesquisa CASE.
  • Histórico de casos: exibido apenas para resultados de pesquisa de CASO e HISTÓRICO DE CASOS.
  • Dados com marcação de tempo e Dados sem marcação de tempo: exibidos apenas para resultados da pesquisa de ECG.

  Para informações sobre as funções e ferramentas compatíveis com essas tabelas, consulte Usar ferramentas comuns para tabelas. As funções disponíveis incluem gerenciar as colunas na tabela que a guia mostra, baixar os resultados da pesquisa e muito mais.

Dica: clique em Opções de visualização para ocultar ou mostrar os gráficos e o painel Agregações.

Usar o gráfico "Atividade ao longo do tempo"

A guia Atividade ao longo do tempo inclui um gráfico (um histograma) do volume de eventos e alertas ao longo do tempo.

Observação: a guia Atividade ao longo do tempo é exibida apenas para os resultados da pesquisa de UDM, JOIN, CASE e CASE HISTORY.

A largura de cada barra depende do intervalo de tempo pesquisado. Por exemplo, cada barra representa 10 minutos quando a pesquisa abrange 24 horas de dados. Esse gráfico é atualizado dinamicamente conforme você modifica a pesquisa atual.

Observação : a janela de pesquisa máxima é de até 365 dias para pesquisas YARA-L 2.0 e 90 dias para pesquisas SQL, do horário de início ao de término.

O gráfico é compatível com o seguinte:

• Ajuste do período: arraste os controles deslizantes na linha do tempo para restringir instantaneamente a janela de tempo visível. A grade de resultados e o painel Agregações são atualizados sem executar novamente a consulta no back-end.
• Ver os eventos e alertas de uma única janela de tempo de uma barra: clique em uma barra para restringir o foco do gráfico, o painel Agregações e a guia Detecções à janela de tempo dessa barra. Isso cria um filtro, que é exibido ao lado do botão filter_list Adicionar filtro. Para mostrar todos os resultados novamente, exclua o filtro.
• Pop-up de detalhes: clique em uma das barras para abrir um pop-up com o horário e os valores de Eventos consultados, Eventos filtrados, Alertas consultados e Alertas filtrados.

Usar o gráfico de tendência ao longo do tempo

A guia Tendência ao longo do tempo inclui um gráfico (um histograma) do volume de registros brutos ao longo do tempo. A largura de cada barra vertical é dimensionada dinamicamente com base na janela de pesquisa geral (por exemplo, cada barra pode representar 10 minutos para uma janela de pesquisa de 24 horas).

Observação: a guia Tendência ao longo do tempo é exibida apenas para resultados de pesquisa RAW.

O gráfico é compatível com o seguinte:

• Ajuste do período: arraste os controles deslizantes na linha do tempo para restringir instantaneamente a janela de tempo visível. A grade de resultados e o painel Agregações são atualizados sem executar novamente a consulta no back-end.
• Confira quantos registros analisados, não analisados e desconhecidos foram detectados em uma única janela de tempo de barra: Desconhecido significa que um ou mais registros foram detectados no momento, mas o número é indeterminado. Clique em uma barra para restringir o foco do gráfico e do painel Agregações à janela de tempo dessa barra. Isso cria um filtro, que é exibido ao lado do botão filter_list Adicionar filtro. Para mostrar todos os resultados novamente, exclua o filtro.
• Pop-up de detalhes: clicar em uma das barras abre um pop-up com o horário e os valores de Eventos consultados, Eventos filtrados, Alerta consultado e Alertas filtrados.

Usar a guia "Prevalência"

A guia Prevalência só aparece se a pesquisa incluir um domínio.

A guia Prevalência mostra a prevalência de domínios associados à sua pesquisa na empresa. Ele combina uma lista de domínios de baixa prevalência com um gráfico interativo. A guia só vai aparecer se a pesquisa de UDM incluir um domínio.

Observação: a guia Prevalência é exibida apenas para resultados da pesquisa de UDM.

A lista de domínios de baixa prevalência inclui as seguintes colunas:

• Domínios de baixa prevalência: mostra os nomes de domínio associados aos resultados da pesquisa. Clique em arrow_upward para classificar os domínios em ordem alfabética (Z a A) e em arrow_downward para ordem alfabética (A a Z).

• Prevalência ≤ 10: mostra a contagem total de ocorrências para cada domínio com uma prevalência de 10 ou menos. Clique em arrow_upward para classificar as contagens numericamente em ordem decrescente e em arrow_downward para ordem crescente.

No gráfico, mantenha o ponteiro sobre um círculo para exibir o domínio específico e restringir sua pesquisa apenas aos eventos associados a esse domínio.

Usar a guia "Mapa de calor da atividade"

A guia Mapa de calor de atividades exibe dados de eventos em uma grade visual de linha do tempo para destacar onde os eventos estão mais concentrados no período especificado. O eixo Y mostra as datas no período da pesquisa, e o eixo X mostra a hora do dia em intervalos de uma hora (das 00h às 23h).

Observação: a guia Mapa de calor da atividade é exibida apenas para os resultados da pesquisa de UDM.

Uma legenda de gradiente de cor indica o volume de eventos em uma hora específica, em que as cores mais claras indicam menos eventos e as mais escuras indicam uma densidade maior. Também é possível ajustar o indicador de densidade para mostrar ou ocultar os intervalos de hora ajustando o controle deslizante horizontal. Clique nas setas para cima ou para baixo no painel lateral para percorrer as datas e ajustar o período específico.

Usar o painel "Agregações" para refinar os resultados da pesquisa

O painel Agregações resume os valores de alta frequência, que podem ser usados para refinar os resultados da pesquisa.

Observação: o painel Agregações é exibido para todos os tipos de resultados da pesquisa.

O painel Agregações inclui duas listas que podem ser recolhidas: Campos de UDM (que é uma lista de campos de UDM correspondentes) e outra lista de campos que está de acordo com o tipo de pesquisa (por exemplo, Campos de registro para pesquisas de registro bruto, Campos de estatísticas, Campos de caso e assim por diante). Para pesquisas de UDM, o painel Agregações contém a lista Campos de UDM e a lista Campos agrupados.

Para fixar um campo na parte de cima da lista Agregações, mantenha o ponteiro sobre um campo e clique no ícone keep Manter.

É possível pesquisar campos ou valores de campo específicos usando o campo de pesquisa do painel.

Cada campo mostra a "contagem de correspondências", ou seja, o número de registros que têm o mesmo valor para esse campo. O conteúdo das listas é classificado do maior para o menor número de correspondências e em ordem alfabética dentro do mesmo número de correspondências. É possível pesquisar campos nas listas e expandir um item de campo.

Para filtrar os resultados da pesquisa com agregações, faça o seguinte:

1. No painel Agregações, selecione um campo em uma lista para mostrar os valores dele.

2. Selecione um valor na lista e clique em more_vert Mais.

3. Selecione uma opção de filtro:

   • Mostrar apenas: a tabela adjacente correspondente é atualizada para exibir apenas os registros correspondentes, e o filtro = "value" é exibido ao lado do botão Adicionar filtro de filter_list.
   • Filtrar: a tabela adjacente correspondente é atualizada com os registros correspondentes filtrados, e o filtro != "value" é exibido ao lado do botão Adicionar filtro de filter_list.
   • Copiar: copia o par de campo-valor para a área de transferência.

   

   Figura 4. Exemplo de filtragem de campos usando o painel Agregações.

   

   Figura 5. Botão Adicionar filtro filter_list com dois filtros (um mostrado e outro na lista +1).

4. Opcional: se você selecionou Mostrar apenas ou Filtrar na etapa anterior e quer incorporar automaticamente o filtro ao editor de consultas e executar a pesquisa novamente, clique em Aplicar à pesquisa e executar.

Usar campos agrupados no painel "Agregações" da guia "Resultados"

O painel Agregações para pesquisas de UDM inclui a lista Campos agrupados. Os campos agrupados funcionam como aliases de categoria avançados que combinam campos de UDM relacionados sem que você precise digitar cada um separadamente. Para mais informações sobre campos agrupados, consulte Pesquisar campos agrupados.

Alias de campo agrupado	Campos de UDM associados incluídos no alias
domain	about.administrative_domain about.asset.network_domain network.dns.questions.name network.dns_domain principal.administrative_domain principal.asset.network_domain target.administrative_domain target.asset.hostname target.asset.network_domain target.hostname
email	intermediary.user.email_addresses network.email.from network.email.to principal.user.email_addresses security_result.about.user.email_addresses target.user.email_addresses
file_path	principal.file.full_path principal.process.file.full_path principal.process.parent_process.file.full_path target.file.full_path target.process.file.full_path target.process.parent_process.file.full_path
hash	about.file.md5 about.file.sha1 about.file.sha256 principal.process.file.md5 principal.process.file.sha1 principal.process.file.sha256 security_result.about.file.sha256 target.file.md5 target.file.sha1 target.file.sha256 target.process.file.md5 target.process.file.sha1 target.process.file.sha256
hostname	intermediary.hostname observer.hostname principal.asset.hostname principal.hostname src.asset.hostname src.hostname target.asset.hostname target.hostname
ip	intermediary.ip observer.ip principal.artifact.ip principal.asset.ip principal.ip src.artifact.ip src.asset.ip src.ip target.artifact.ip target.asset.ip target.ip
namespace	principal.namespace src.namespace target.namespace
process_id	principal.process.parent_process.pid principal.process.parent_process.product_specific_process_id principal.process.pid principal.process.product_specific_process_id target.process.parent_process.pid target.process.parent_process.product_specific_process_id target.process.pid target.process.product_specific_process_id
user	about.user.userid observer.user.userid principal.user.user_display_name principal.user.userid principal.user.windows_sid src.user.userid target.user.user_display_name target.user.userid target.user.windows_sid

Usar o painel "Eventos"

Use o painel Eventos para visualizar, classificar e gerenciar os eventos que correspondem à sua pesquisa de UDM.

Para informações sobre as funções e ferramentas compatíveis com o painel Eventos, consulte Usar ferramentas comuns para tabelas. As funções disponíveis incluem gerenciar as colunas na tabela que a guia mostra, baixar os resultados da pesquisa e muito mais.

Por padrão, depois de fazer uma pesquisa, a tabela Eventos mostra as colunas principais (chamadas de campos rápidos), por exemplo, Status do evento, Carimbo de data/hora, Tipo (udm.metadata.event_type), Resumo, Usuário (udm.principal.user.userid ou target.user.userid), Nome do host (udm.principal.hostname ou target.hostname). Dependendo do escopo da consulta e da origem do registro, a tabela também pode mostrar dinamicamente campos rápidos relevantes, como Ação (udm.security_result.action).

Observação: para eventos associados a alertas, a coluna Status do evento mostra um ícone Alerta, com uma contagem quando vários alertas se aplicam.

Inspecionar detalhes granulares de um único evento (Visualizador de Eventos e correlação de registros brutos)

• Para inspecionar detalhes granulares de um único evento, clique na linha. O Visualizador de Eventos é aberto.

  Para mais informações, consulte Usar o Visualizador de eventos para resultados de UDM e RAW.

Guia "Tabela dinâmica": crie uma tabela dinâmica.

Você pode usar uma tabela dinâmica para realizar agrupamentos e resumos matemáticos multidimensionais nos resultados da pesquisa.

Para abrir e configurar uma tabela dinâmica, faça o seguinte:

1. Executar uma pesquisa de UDM.
2. Na guia Resultados, clique na subguia Dinâmica. O painel Configurações de tabela dinâmica é aberto.

3. Em Agrupar por, clique em adicionar Campo para selecionar até cinco campos do UDM para agrupamento de linhas. As opções de transformação especial aparecem com base no tipo de campo:

   • Campos de string: opção para forçar letras minúsculas. É possível exibir os resultados usando a capitalização Padrão ou apenas letras minúsculas selecionando Letras minúsculas no menu.
   • Campos de nome do host:
     • Domínio registrado: mostra apenas o nome de domínio registrado (como google.com, nytimes.com, youtube.com).
     • Maior domínio de nível N: especifique qual nível do domínio será exibido. Por exemplo, usar um valor de 1 mostra apenas o domínio de nível superior (como com, gov ou edu). Usar um valor de 3 mostra os próximos dois níveis dos nomes de domínio (como google.co.uk).
   • Campos de IP: opção de agrupar por tamanho do prefixo CIDR em bits. É possível especificar de 1 a 32 para endereços IPv4. Para endereços IPv6, é possível especificar valores de até 128.
   • Campos de carimbo de data/hora: opção de agrupar por resolução de tempo (milissegundos, segundos, minutos, horas, dias).

4. Em Valores, especifique um valor para o pivô na lista de campos dos resultados. É possível especificar até cinco valores.

5. Para cada campo especificado em Valores, selecione uma das seguintes opções de Resumir por:

   • Avg (média)
   • Count
   • Contagem distinta
   • Max
   • Mín.
   • Soma
   • Stddev (desvio padrão)

   As opções Resumir não são universalmente compatíveis com os campos Agrupar por. Por exemplo, as opções Soma, Média, Desvio padrão, Mín. e Máx. só podem ser aplicadas a campos numéricos. Se você tentar associar uma opção de Resumo incompatível a um campo Agrupar por, uma mensagem de erro será exibida.

   Especifique um valor de Contagem de eventos para retornar o número de eventos identificados para essa pesquisa e tabela dinâmica específicas.

6. Em Ordenar por, especifique um ou mais campos do UDM e selecione uma ou mais classificações usando a opção Crescente ou Decrescente.

7. Clique em Aplicar quando estiver tudo pronto. Os resultados são exibidos no painel Pivot.

8. Opcional: para baixar e salvar o conteúdo da tabela dinâmica, consulte Baixar resultados da pesquisa de uma tabela.

Usar o painel "Registros brutos"

Use o painel Registros brutos para visualizar, classificar e gerenciar os registros que correspondem à sua pesquisa, que avalia a telemetria de registro bruta e não analisada. O principal objetivo do diagnóstico é monitorar a integridade da ingestão e da análise, ou seja, monitorar quantos registros foram analisados em comparação com quantos não foram analisados e quantos são desconhecidos (o que significa que um ou mais registros foram detectados em um determinado momento, mas o número é indeterminado).

Para informações sobre as funções e ferramentas compatíveis com essa guia, consulte Usar ferramentas comuns para tabelas. As funções disponíveis incluem gerenciar as colunas na tabela que a guia mostra, baixar os resultados da pesquisa e muito mais.

Inspecionar detalhes granulares de um único registro bruto (correlação entre o Visualizador de Eventos e o registro bruto)

• Para inspecionar detalhes granulares de um único registro bruto, clique na linha. O Visualizador de Eventos é aberto.

  Para mais informações, consulte Usar o Visualizador de eventos para resultados de UDM e RAW.

Usar o painel "Estatísticas"

Use o painel Estatísticas para ver, classificar e gerenciar as estatísticas que correspondem à sua pesquisa.

O painel Estatísticas é compatível apenas com um Seletor de colunas em que é possível adicionar ou remover colunas.

Para informações sobre as funções e ferramentas compatíveis com essa guia, consulte Usar ferramentas comuns para tabelas. As funções compatíveis incluem o download de resultados da pesquisa e muito mais.

Usar o painel "Mesclagens"

Use o painel Participações para visualizar, classificar e gerenciar os itens que correspondem à sua pesquisa.

Para informações sobre as funções e ferramentas compatíveis com essa guia, consulte Usar ferramentas comuns para tabelas. As funções disponíveis incluem gerenciar as colunas na tabela que a guia mostra, baixar os resultados da pesquisa e muito mais.

Usar o painel "Casos"

Use o painel Casos para visualizar, ordenar e gerenciar os casos que correspondem à sua pesquisa.

Para informações sobre as funções e ferramentas compatíveis com essa guia, consulte Usar ferramentas comuns para tabelas. As funções disponíveis incluem gerenciar as colunas na tabela que a guia mostra, baixar os resultados da pesquisa e muito mais.

Usar o painel "Histórico de casos"

Use o painel Histórico de casos para visualizar, classificar e gerenciar os históricos de casos que correspondem à sua pesquisa.

Para informações sobre as funções e ferramentas compatíveis com essa guia, consulte Usar ferramentas comuns para tabelas. As funções disponíveis incluem gerenciar as colunas na tabela que a guia mostra, baixar os resultados da pesquisa e muito mais.

Usar os painéis de dados com e sem marcação de tempo

Use os painéis Dados com carimbo de data/hora e Dados sem carimbo de data/hora para visualizar, classificar e gerenciar os resultados das pesquisas de ECG. O painel Dados cronometrados mostra resultados para entidades que têm um período definido, ou seja, têm um valor para metadata.interval.end_time durante a ingestão. O painel Dados atemporais mostra resultados para entidades que não têm um período definido, ou seja, não têm valor para metadata.interval.end_time.

Importante: o banco de dados de ECG armazena entidades com e sem marcação de tempo separadamente. Quando você executa uma pesquisa de ECG, o Google SecOps cria uma união dos repositórios de dados com e sem tempo e retorna os principais resultados de cada um, até o número máximo configurado. Os dados das entidades com carimbo de data/hora são classificados de acordo com o carimbo mais recente, mas não é possível saber a ordem dos dados das entidades sem carimbo de data/hora. Portanto, é possível que a interface mostre apenas entidades atemporais, apenas entidades temporais ou uma combinação diferente delas sempre que a consulta for executada.

Usar o Visualizador de Eventos para resultados de UDM e RAW

• Para inspecionar detalhes granulares de um único evento ou registro bruto, clique em uma linha da tabela Eventos ou Registros brutos. O Visualizador de Eventos é aberto.

O Visualizador de eventos inclui as seguintes guias:

• Campos de evento
• Registro bruto
• Alertas: exibidos apenas para resultados de UDM da tabela Eventos.
• Entidades

Usar a guia "Campos de evento"

Por padrão, a guia Campos de evento mostra os campos de evento do UDM em uma estrutura de árvore hierárquica, que é rotulada como Selecionado.

Use a guia Campos de evento para:

• Ver uma definição de campo. Mantenha o ponteiro sobre o nome do campo para ver a definição.
• Fixe um campo para acesso rápido. Na lista Selecionados, selecione um campo e clique em manter fixado. O campo vai aparecer na lista Fixado. Os campos permanecem na lista Selecionados, e a hierarquia deles na Lista fixada é mostrada em notação delimitada por pontos com o prefixo udm (por exemplo, udm.metadata.event_type).
• Adicione às colunas ou copie vários campos. Marque a caixa de seleção ao lado de um nó ou campo e escolha Adicionar às colunas ou Copiar.

• Execute estas ações:

  • Filtros: aplique os seguintes filtros aos itens selecionados (check_box) na lista Selecionados:
    • Campos
      • Mostrar campos não enriquecidos
      • Mostrar campos enriquecidos
      • Mostrar campos adicionais
      • Mostrar campos extraídos
    • Fontes de registro de enriquecimento: as opções disponíveis dependem do evento.
  • Copiar: para copiar os campos e valores de UDM selecionados para a área de transferência do sistema.
  • Adicionar às colunas: adicione o campo UDM como uma coluna.

Cada campo do UDM é rotulado com um ícone que indica se ele contém dados enriquecidos ou não. Os rótulos dos ícones são os seguintes:

• U: os campos não enriquecidos contêm valores preenchidos durante o processo de normalização usando dados do registro bruto original.

• E: os campos enriquecidos contêm valores que o Google SecOps preenche para fornecer mais contexto sobre artefatos em um ambiente do cliente. Para mais informações, consulte Enriquecer dados de eventos e entidades com o Google SecOps.

  A exibição de cada campo enriquecido pode mostrar todas as fontes associadas. Essas informações são úteis para validação e solução de problemas, além de serem necessárias para fins de auditoria e compliance. Também é possível filtrar campos de acordo com a fonte de enriquecimento.

Figura 6. Campos de UDM enriquecidos e não enriquecidos na guia Campos de evento do Visualizador de eventos, mostrando as fontes dos campos enriquecidos.

Figura 7. Use o filtro na guia Campos de evento para mostrar ou ocultar campos de acordo com vários atributos.

Usar a guia "Registro bruto"

A guia Registro bruto exibe o sinal bruto original em qualquer um dos seguintes formatos:

• Sem formatação
• JSON
• XML
• CSV
• Hexadecimal/ASCII

Usar a guia "Alertas"

A guia Alertas mostra os alertas associados ao evento.

A guia Alertas é exibida apenas para resultados de UDM da tabela Eventos.

Usar a guia "Entidades"

A guia Entidades mostra as entidades associadas ao evento.

Clique em uma entidade para exibir a caixa de diálogo Contexto da entidade, que pode incluir os seguintes itens:

• Nome do recurso
• Primeira visualização
• Última visualização
• Endereços IP
• Endereços MAC
• Número de alertas
• Maior número de alertas por regra
• Gráfico de barras de alertas ao longo do tempo
• Link Abrir Alertas e IOCs
• Link Exibir na guia Alertas

Ver e gerenciar informações na guia Alertas e detecções

Use a guia Alertas e detecções para:

• Busca de ameaças em todas as execuções de regras
• Comparação de acionadores de alerta acionáveis com precursores comportamentais de baixo ruído
• Definição dos limites do incidente em uma visualização consolidada

A guia Alertas e detecções mostra os alertas e as detecções que correspondem aos seus critérios de busca de atividade ativos. Ao combinar alertas e detecções em uma única guia, é possível inspecionar alertas de alta gravidade junto com as ocorrências de regras comportamentais subjacentes para descobrir precursores de baixo ruído que não ultrapassaram o limite de alerta de forma independente.

Os alertas são eventos de UDM e telemetria de conectores de terceiros marcados com limites de alerta ou notificações de alta gravidade. A contagem de Alertas mostra a telemetria de registros do UDM que acionou uma regra de alerta (alert_state = "ALERTING"), além de notificações de alta prioridade ingeridas de conectores de segurança de terceiros (como webhooks do CrowdStrike ou do SOAR).

As detecções são todas as saídas de execução de regras com (ALERTING) e sem (NOT_ALERTING) alertas geradas pelas regras YARA-L 2.0 no seu ambiente. A guia mostra os resultados abrangentes da execução de regras gerados pelo mecanismo de detecção do YARA-L 2.0 em ocorrências de regras com e sem alertas. Cada alerta gerado por regra também é uma detecção (ALERTING), mas a contagem de Detecções também inclui todas as ocorrências de regras informativas, em segundo plano ou que não geram alertas (NOT_ALERTING).

A contagem no cabeçalho da guia categoriza as correspondências de execução de regras por status de alerta. Por exemplo, se o cabeçalho da guia for Alertas (43) e Detecção (0), isso significa que há 43 correspondências em que alerting_rule = true e zero execuções de regras de alerta sem alerta (NOT_ALERTING).

A guia Alertas e detecções inclui os seguintes painéis:

• Gráfico de tendência ao longo do tempo
• Painel Agregações
• Painel Detecções

Dica: clique em Opções de visualização para ocultar ou mostrar o gráfico e o painel Agregações.

Usar o gráfico de tendência ao longo do tempo

A guia Tendência ao longo do tempo na guia Alertas e detecções inclui um gráfico (um histograma) do volume de detecção ao longo do tempo. A largura de cada barra vertical é dimensionada dinamicamente com base na janela de pesquisa geral (por exemplo, cada barra pode representar 10 minutos para uma janela de pesquisa de 24 horas).

O gráfico agrupa todas as correspondências de execução de regras ao longo do tempo em uma única série agregada chamada Detecções.

Observação: o cabeçalho da guia mostra os valores de contagem e divide as descobertas por estado de alerta (por exemplo, Alertas (43) e Detecção (0)), enquanto o gráfico Tendência ao longo do tempo agrega todas as ocorrências de detecção como barras de Detecções.

O gráfico é compatível com o seguinte:

• Ajuste do período: arraste os controles deslizantes na linha do tempo para restringir instantaneamente a janela de tempo visível. A grade de resultados e as agregações são atualizadas sem que a consulta seja executada novamente no back-end.
• Ver as agregações e detecções de uma única janela de tempo de uma barra: clique em uma barra para restringir o foco do gráfico, da guia Agregações e da guia Detecções à janela de tempo dessa barra. Isso cria um filtro, que é exibido ao lado do botão filter_list Adicionar filtro. Exclua o filtro para mostrar todos os resultados novamente.
• Pop-up de detalhes: clicar em uma das barras abre uma caixa de diálogo com o horário e os valores de Detecções consultadas e Detecções filtradas.

Usar o painel "Agregações" para refinar as detecções

O conteúdo do painel Agregações na guia Alertas e detecções resume os valores de resultados de detecção de alta frequência, que podem ser usados para refinar os resultados da pesquisa.

O painel Agregações inclui três listas que podem ser recolhidas: Campos de detecção, Campos de UDM (que é uma lista de campos de UDM correspondentes) e Campos de entidade.

Cada campo mostra a "contagem de correspondências", ou seja, o número de detecções de alerta que têm o mesmo valor para esse campo. O conteúdo das listas é classificado do maior para o menor número de correspondências e em ordem alfabética dentro do mesmo número de correspondências. É possível pesquisar campos nas listas e expandir um item de campo.

Para fixar um campo na parte de cima da lista Agregações, mantenha o ponteiro sobre ele e clique no ícone keep Manter.

Pesquisar resultados de detecção de alertas no painel "Agregações"

É possível pesquisar campos ou valores de campo específicos usando o campo de pesquisa do painel Agregações. Isso ajuda você a se concentrar nos alertas mais importantes.

Veja a seguir os principais atributos de alerta para filtrar alertas no painel Agregações:

• Caso
• Nome
• Prioridade
• Gravidade
• Status
• Veredito

Filtrar os resultados da detecção de alertas no painel "Agregações"

Para filtrar os resultados da detecção de alertas com agregações, faça o seguinte:

1. No painel Agregações, selecione um campo em uma lista para exibir uma lista de valores para esse campo.

2. Selecione um valor na lista e clique em more_vert Mais.

3. Selecione uma opção de filtro:

   • Mostrar apenas: a tabela Detecções é atualizada para mostrar apenas os alertas correspondentes, e o filtro = "value" é exibido ao lado do botão Adicionar filtro filter_list.
   • Filtrar: a tabela Detecções é atualizada com os alertas correspondentes filtrados, e o filtro != "value" é exibido ao lado do botão filter_list Adicionar filtro.
   • Maior que (somente para campos de números inteiros): a tabela Detecções é atualizada para mostrar alertas com um valor maior que esse, e o filtro > "value" é exibido ao lado do botão filter_list Adicionar filtro.
   • Maior ou igual a (somente para campos de números inteiros): a tabela Detecções é atualizada para exibir alertas com um valor maior ou igual a esse, e o filtro >= "value" é exibido ao lado do botão Adicionar filtro filter_list.
   • Menor que (somente para campos de números inteiros): a tabela Detecções é atualizada para mostrar alertas com um valor menor que esse, e o filtro < "value" é exibido ao lado do botão Adicionar filtro filter_list.
   • Menor ou igual a (somente para campos de números inteiros): a tabela Detecções é atualizada para exibir alertas com um valor menor ou igual a esse, e o filtro <= "value" é exibido ao lado do botão Adicionar filtro filter_list.
   • Copiar: copia o par de campo-valor para a área de transferência.

• Para excluir um filtro e atualizar os resultados da detecção de alertas, exclua o filtro exibido ao lado do botão Adicionar filtro filter_list.

Usar o painel "Detecções"

Use o painel Detecções para visualizar, classificar e gerenciar os itens que correspondem à sua pesquisa.

Para informações sobre as funções e ferramentas compatíveis com essa guia, consulte Usar ferramentas comuns para tabelas. As funções disponíveis incluem gerenciar as colunas na tabela que a guia mostra, baixar os resultados da pesquisa e muito mais.

Inspecionar detalhes granulares de um único alerta (Visualizador de alertas)

• Para inspecionar detalhes granulares de um único alerta, clique em uma linha da tabela Detecções. O Visualizador de alertas é aberto.

O Visualizador de alertas inclui as seguintes guias:

• Campos de detecção
• Detalhes
• Variáveis

• Entidades
  
  

• Para acessar outra página no console do Google SecOps com detalhes do alerta, clique em Ver detalhes.

Usar a guia "Campos de detecção"

Por padrão, a guia Campos de detecção mostra os campos de detecção em uma estrutura de árvore hierárquica, que é rotulada como Selecionado.

Use a guia Campos de detecção para fazer o seguinte:

• Ver uma definição de campo. Mantenha o ponteiro sobre o nome do campo para ver a definição.
• Fixe um campo para acesso rápido. Na lista Selecionados, selecione um campo e clique em manter fixado. O campo vai aparecer na lista Fixado. Os campos permanecem na lista Selecionados, e a hierarquia deles na Lista fixada é mostrada em notação delimitada por pontos com o prefixo collection (por exemplo, collection.created_time).
• Adicione às colunas ou copie vários campos. Marque a caixa de seleção ao lado de um nó ou campo e escolha Adicionar às colunas ou Copiar.

• Execute estas ações:

  • Aplique filtros à lista Selecionados.
  • Adicionar às colunas: adicione o campo como uma coluna.
  • Copiar: para copiar os campos e valores selecionados para a área de transferência do sistema.

Usar a guia "Detalhes"

A guia Detalhes mostra os detalhes do alerta. O conjunto de campos de detalhes varia de acordo com o alerta específico.

Exemplos de campos de detalhes:

• Nome (sempre Alerta)
• Tipo
• Gravidade
• Pontuação de risco
• Status
• Prioridade
• Detectado
• Janela de detecção
• Criado
• Regra
• Conjunto de regras
• Descrição
• Tags

Usar a guia "Variáveis"

A guia Variáveis mostra o campo, o tipo e o valor de cada variável associada ao alerta.

Usar a guia "Entidades"

A guia Entidades só aparece quando há uma entidade associada ao alerta.

A guia Entidades mostra as entidades associadas ao alerta.

Clique em uma entidade para exibir a caixa de diálogo Contexto da entidade, que pode incluir os seguintes itens:

• Nome do recurso
• Primeira visualização
• Última visualização
• Endereços IP
• Endereços MAC
• Número de alertas
• Maior número de alertas por regra
• Gráfico de barras de alertas ao longo do tempo
• Link Abrir Alertas e IOCs
• Link Exibir na guia Alertas

Ver e gerenciar informações na guia "Visão geral"

Use a guia Visão geral para fazer o seguinte:

• Verifique o histórico da entidade (Primeira visualização, Última visualização, Endereços MAC).
• Verificar se os indicadores observados se sobrepõem a casos ou alertas de operações de segurança ativos

A guia Visão geral mostra o Gráfico de Contexto de Entidade (ECG, na sigla em inglês) consolidado, detalhes do recurso ou do usuário e uma visão geral da investigação de indicadores de comprometimento (IOCs, na sigla em inglês) ou entidades que correspondem à janela de busca de atividade ativa. As informações apresentadas variam de acordo com o tipo de informação.

A guia Visão geral exibe informações da entidade em um dos seguintes tipos de informações predefinidos:

• Detalhes do recurso
• Detalhes do domínio
• Detalhes do arquivo
• Detalhes do IP
• Detalhes do usuário

Ver os detalhes do recurso na guia "Visão geral"

Quando a consulta inclui uma condição que retorna um recurso específico, por exemplo, principal.hostname="laptop-will" ou principal.ip="10.0.0.76", a guia Visão geral mostra a Visualização de recursos com informações nos seguintes painéis:

• Resumo da pesquisa: exibe as seguintes informações:
  • Detalhes sobre a entidade, incluindo o endereço IP e o endereço MAC associados ao recurso durante o período da pesquisa. O endereço IP e o endereço MAC também podem ser usados para identificar uma entidade e podem ser clicados para exibir mais informações no visualizador de entidades. Ele também mostra a primeira vez que o recurso foi visto na empresa e quando foi visto pela última vez (mais recentemente). Clique em qualquer um dos carimbos de data/hora (primeiro ou último) para executar uma nova pesquisa usando esse horário.
  • Detalhes sobre alertas, incluindo um gráfico que mostra o número de alertas que envolveram a entidade no período da pesquisa. O painel também lista um subconjunto de regras com o maior número de alertas.
  • Clique em Abrir alertas e IOCs para conferir todos os alertas gerados durante o mesmo período de pesquisa.
  • Clique em Ver na guia Alertas para alternar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada.
  • Clique em uma das barras do gráfico para alternar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada, usando o período da barra clicada.
  • Clique no link Ver mais para abrir a visualização Campos da entidade e mostrar todos os campos da entidade associados ao recurso. Para copiar um campo de entidade para a área de transferência, clique na caixa de seleção ao lado do campo de entidade, clique em Ver ações e em Copiar entidade. Clique na caixa de seleção na parte de cima para selecionar todas as entidades.
• IOCs relevantes: mostra os IOCs associados ao recurso. Os IOCs com maior gravidade são exibidos primeiro. Clique no nome do IOC para abrir o visualizador de entidades à direita.
• Entidades associadas: mostra outras entidades relacionadas a esse recurso, como usuários que fizeram login nele. O painel mostra o tipo de entidade, quando ela foi vista pela primeira vez no ambiente e quando foi vista pela última vez (mais recentemente). Ele também exibe todos os namespaces associados a um recurso. Clique em uma entidade para abrir o painel Contexto da entidade. Clique em Mostrar todo o período para exibir as entidades associadas durante todo o período disponível, em vez do intervalo especificado na pesquisa de UDM.
• Contexto da entidade: mostra detalhes sobre a entidade selecionada no painel Entidades associadas. Esse painel mostra informações diferentes dependendo do tipo de entidade selecionado no painel Entidades associadas (por exemplo, usuário ou domínio).

Confira os detalhes do domínio na guia "Visão geral"

Quando a consulta inclui uma condição que especifica um domínio específico, por exemplo, target.hostname="example.com", a guia Visão geral exibe os detalhes do Domínio com informações nos seguintes painéis:

• Resumo da pesquisa: exibe as seguintes informações:
  • Detalhes sobre o domínio, incluindo as informações do WHOIS associadas ao domínio registrado, a primeira vez que ele foi visto na empresa e a última vez (mais recente) que ele foi visto. Clique em Contexto do VT para ver informações sobre o domínio no VirusTotal.
  • Detalhes sobre alertas, incluindo um gráfico que mostra o número de alertas que envolveram a entidade no período da pesquisa. O painel também lista um subconjunto de regras com o maior número de alertas.
  • Clique em Abrir alertas e IOCs para conferir todos os alertas gerados durante o mesmo período de pesquisa.
  • Clique em Ver na guia "Alertas" para alternar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada.
  • Clique em uma das barras do gráfico para alternar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada, usando o período da barra clicada.
  • Clique no link Ver mais para abrir a visualização Campos de entidade e mostrar todos os campos de entidade associados ao domínio. Para copiar um campo de entidade para a área de transferência, clique na caixa de seleção ao lado do campo de entidade, clique em Ver ações e em Copiar entidade. Clique na caixa de seleção na parte de cima para selecionar todas as entidades.
• IPs resolvidos: exibe todos os endereços IP resolvidos que foram vistos na sua empresa para o nome de domínio totalmente qualificado (FQDN). Por exemplo, se você pesquisar target.hostname="test.altostrat.com", os resultados da pesquisa poderão exibir dois endereços IP resolvidos (198.51.100.81 e 203.0.113.81).
• Subdomínios e domínios irmãos: mostra todos os subdomínios associados que foram vistos na sua empresa para um determinado FQDN. Muitos adversários usam o mesmo domínio e subdomínio para os ataques. Por exemplo, se você pesquisar target.hostname="sandbox.altostrat.com", esse painel vai mostrar dois subdomínios, test.sandbox.altostrat.com e staging.sandbox.altostrat.com.
• Prevalência de recursos: mostra o número de recursos na sua empresa que se conectaram ao domínio durante todo o período dos dados armazenados na sua conta do Google Security Operations. Cada barra do gráfico representa o número de recursos exclusivos na sua empresa que se conectaram ao domínio em um dia UTC. Passe o cursor sobre uma barra para exibir as entidades relacionadas no dia UTC representado pela barra. Clique no nome da entidade para ver o resumo e a visão geral dela no painel de contexto da entidade exibido à direita. Clique em Ver eventos para conferir os eventos relacionados à entidade selecionada na guia de eventos de pesquisa.
• Entidades associadas: exibe outras entidades relacionadas a esse domínio, como recursos que entraram em contato com ele. A lista inclui o tipo de entidade, quando ela foi vista pela primeira vez na empresa e quando foi vista pela última vez (mais recentemente). Clique em uma entidade para abrir o painel Contexto da entidade.
• Contexto da entidade: mostra detalhes sobre a entidade selecionada no painel Entidades associadas. Esse painel exibe informações diferentes dependendo do tipo de entidade selecionado no painel Entidades associadas (por exemplo, endereço IP ou domínio).

Ver os detalhes do arquivo

Quando a consulta inclui uma condição que retorna um único arquivo, por exemplo, principal.process.file.md5="a00000a75f2a35130aa7a7aaa09aaa7a", a guia Visão geral mostra os detalhes do Arquivo com informações nos seguintes painéis:

• Resumo da pesquisa: exibe as seguintes informações:
  • Detalhes sobre o arquivo, incluindo valores de hash, tamanho do arquivo, a primeira vez em que ele foi visto na empresa e a última vez (mais recente) em que ele foi visto. Clique em Contexto do VT para ver informações sobre o arquivo do VirusTotal.
  • Detalhes sobre alertas, incluindo um gráfico que mostra o número de alertas que envolveram a entidade no período da pesquisa. O painel também lista um subconjunto de regras com o maior número de alertas.
  • Clique em Abrir alertas e IOCs para conferir todos os alertas gerados durante o mesmo período de pesquisa.
  • Clique em Ver na guia "Alertas" para alternar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada.
  • Clique em uma das barras do gráfico para alternar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada, usando o período da barra clicada.
  • Clique no link Ver mais para abrir a visualização Campos de entidade e mostrar todos os campos de entidade associados ao arquivo. Para copiar um campo de entidade para a área de transferência, clique na caixa de seleção ao lado do campo de entidade, clique em Ver ações e em Copiar entidade. Clique na caixa de seleção na parte de cima para selecionar todas as entidades.
• IOCs relevantes: mostra os IOCs associados ao arquivo. Os IOCs com maior gravidade são exibidos primeiro. Clique no nome do IOC para abrir o visualizador de entidades à direita.
• Prevalência de ativos: mostra o número de ativos na sua empresa associados ao arquivo durante todo o período dos dados armazenados no seu repositório de dados do Google SecOps.
• Entidades associadas: mostra outras entidades relacionadas a esse arquivo, como um recurso em que ele foi executado ou usuários que o acessaram. A lista inclui o tipo de entidade, quando ela foi vista pela primeira vez na empresa e quando foi vista pela última vez (mais recentemente). Clique em uma entidade para abrir o painel Contexto da entidade.
• Propriedades e metadados do VirusTotal: mostra informações sobre o arquivo do banco de dados do VirusTotal. Clique em Ver mais para abrir uma caixa de diálogo do VirusTotal e exibir mais informações sobre o arquivo.
• Entidades associadas: mostra informações diferentes dependendo do tipo de entidade selecionado no painel Entidades associadas (por exemplo, usuário ou recurso).
• Contexto da entidade: mostra detalhes sobre a entidade selecionada no painel Entidades associadas. Esse painel mostra informações diferentes dependendo do tipo de entidade selecionado no painel Entidades associadas (por exemplo, usuário ou recurso).

Ver os detalhes do IP na guia "Visão geral"

Quando a consulta inclui uma condição que retorna um endereço IP externo específico, por exemplo, target.ip="203.0.113.254", a guia Visão geral exibe os detalhes do IP com informações nos seguintes painéis:

• Resumo da pesquisa: exibe as seguintes informações:
  • Detalhes sobre o endereço IP, incluindo a primeira vez que ele foi visto na sua empresa e a última (mais recente). Clique em Contexto do VT para ver as informações disponíveis sobre esse endereço IP no VirusTotal.
  • Detalhes sobre alertas, incluindo um gráfico que mostra o número de alertas que envolveram a entidade no período da pesquisa. O painel também lista um subconjunto de regras com o maior número de alertas.
  • Clique em Abrir alertas e IOCs para conferir todos os alertas gerados durante o mesmo período de pesquisa.
  • Clique em Ver na guia "Alertas" para alternar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada.
  • Clique em uma das barras do gráfico para alternar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada, usando o período da barra clicada.
  • Clique no link Ver mais para abrir a visualização Campos de entidade e mostrar todos os campos de entidade associados ao endereço IP. Para copiar um campo de entidade para a área de transferência, clique na caixa de seleção ao lado do campo de entidade, clique em Ver ações e em Copiar entidade. Clique na caixa de seleção na parte de cima para selecionar todas as entidades.
• IOCs relevantes: mostra os IOCs associados ao endereço IP. Os IOCs com maior gravidade são exibidos primeiro. Clique no nome do IOC para abrir o visualizador de entidades à direita.
• Prevalência de recursos: mostra o número de recursos na sua empresa que se conectaram ao endereço IP durante o período especificado na pesquisa do UDM.
• Entidades associadas: exibe outras entidades relacionadas a esse endereço IP, como domínios em que o endereço IP está registrado. A lista inclui o tipo de entidade, quando ela foi vista pela primeira vez na empresa e quando foi vista pela última vez (mais recentemente). Clique em uma entidade para abrir o painel Contexto da entidade.
• Contexto da entidade: mostra detalhes sobre a entidade selecionada no painel Entidades associadas. Esse painel mostra informações diferentes dependendo do tipo de entidade selecionado no painel Entidades associadas (por exemplo, domínio ou recurso). Se o link for exibido, clique em Contexto do VT para ver informações sobre a entidade do VirusTotal.

Ver os detalhes do usuário na guia "Visão geral"

Quando a consulta inclui uma condição que retorna um usuário específico, por exemplo, principal.user.userid="alice", a guia Visão geral exibe os detalhes do Usuário com informações nos seguintes painéis:

• Resumo da pesquisa: exibe as seguintes informações:
  • Detalhes sobre a entidade, incluindo o nome completo, a primeira vez que ela foi vista na sua empresa e a última vez (mais recente), o cargo e o endereço de e-mail.
  • Detalhes sobre alertas, incluindo um gráfico que mostra o número de alertas que envolveram a entidade no período da pesquisa. O painel também lista um subconjunto de regras com o maior número de alertas.
  • Clique em Abrir alertas e IOCs para conferir todos os alertas gerados durante o mesmo período de pesquisa.
  • Clique em Ver na guia "Alertas" para alternar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada.
  • Clique em uma das barras do gráfico para alternar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada, usando o período da barra clicada.
  • Clique no link Ver mais para abrir a visualização Campos de entidade e mostrar todos os campos de entidade associados ao usuário. Para copiar um campo de entidade para a área de transferência, clique na caixa de seleção ao lado do campo de entidade, clique em Ver ações e em Copiar entidade. Clique na caixa de seleção na parte de cima para selecionar todas as entidades.
• Entidades associadas: exibe as entidades relacionadas ao usuário, como domínios que ele contatou ou recursos que ele acessou. A lista inclui o tipo de entidade, quando ela foi vista pela primeira vez na empresa e quando foi vista pela última vez (mais recentemente). Clique em uma entidade para abrir o painel Contexto da entidade.
• Contexto da entidade: mostra detalhes sobre a entidade selecionada no painel Entidades associadas. As informações nesse painel são diferentes dependendo do tipo de entidade (por exemplo, recurso ou domínio).

Ver e gerenciar informações na guia "Visualizar"

Use a guia Visualizar para transformar os dados dos resultados da pesquisa STATS em um gráfico ou uma tabela.

Usar ferramentas comuns para tabelas

Na página Pesquisa do SIEM, a maioria dos painéis que contêm uma única tabela oferece suporte às mesmas funções e ferramentas comuns.

Nesta seção, descrevemos as seguintes funções e ferramentas comuns:

• Caixa de pesquisa. Use a caixa de pesquisa para encontrar resultados correspondentes na tabela ao lado.
• Gerenciar colunas de tabela e compartilhar conjuntos de colunas (Gerenciador de colunas).
• Botão Ajustar texto - Desajustar texto. É útil ajustar o texto para ver strings longas inteiras em uma coluna.
• Fazer o download dos resultados da pesquisa de uma tabela.
• Ferramenta Linhas por página na parte de baixo da tabela. Use essa ferramenta para melhorar a estabilidade e o desempenho do navegador ao carregar um grande número de registros de resultados (linhas). O Google SecOps fornece resultados da pesquisa paginados. Use a lista Linhas por página na tabela Eventos para selecionar o número de linhas que vão aparecer por página (de 10 a 1.000 eventos).

Gerenciar colunas de tabela e compartilhar conjuntos de colunas (Gerenciador de colunas)

Para usar uma visualização consistente ao analisar dados de eventos, crie, salve e compartilhe conjuntos de colunas personalizados para as seguintes tabelas na página Pesquisa do SIEM:

• No painel Resultados, para as seguintes tabelas: Eventos, Registros brutos, Mesclagens
• Na guia Alertas e detecções, para a tabela Detecções.

Para usar essa funcionalidade, sua conta de usuário ou papel do Identity and Access Management precisa ter as cinco permissões a seguir:

• chronicle.googleapis.com/savedColumnSets.create
• chronicle.googleapis.com/savedColumnSets.update
• chronicle.googleapis.com/savedColumnSets.delete
• chronicle.googleapis.com/savedColumnSets.list
• chronicle.googleapis.com/savedColumnSets.get

Observação: a guia Estatísticas só aceita um Seletor de colunas em que é possível apenas adicionar ou remover colunas. A guia Estatísticas não é compatível com a funcionalidade Gerenciador de colunas.

Criar um conjunto de colunas

As etapas para criar um conjunto de colunas variam um pouco dependendo da tabela em que você está trabalhando.

Para criar um conjunto de colunas para a tabela Eventos, Registros brutos ou Mesclagens, faça o seguinte:

1. Clique em Colunas para abrir o Gerenciador de colunas.
2. Clique no ícone filter_alt Filtrar para especificar se as colunas não aplicáveis serão mostradas.
3. Clique no botão Mostrar selecionados para exibir apenas as colunas selecionadas na guia Colunas de eventos.
4. Na guia Colunas de eventos, adicione ou remova colunas do seu conjunto. É possível navegar ou pesquisar campos em seções recolhíveis (que variam de acordo com o tipo de resultado da pesquisa), por exemplo, Campos rápidos (os campos mais comuns por tipo de dados), Campos agrupados, Todos os campos de evento e Todos os campos de entidade. Marque ou desmarque as caixas de seleção para mostrar ou ocultar colunas.
5. Organize as colunas e clique em Salvar. A caixa de diálogo Salvar conjunto de colunas será aberta.
6. Selecione uma destas opções:
   • Salvar: insira um novo nome para o conjunto de colunas.
   • Substituir: se você tiver modificado um conjunto salvo anteriormente, poderá substituir o conjunto atual pelas mudanças.
7. Clique em Salvar. O conjunto de colunas é listado na guia Conjuntos de colunas.

Para criar um conjunto de colunas para a tabela Detecções, faça o seguinte:

1. Clique em Colunas para abrir o Gerenciador de colunas.
2. Clique no ícone filter_alt Filtrar para especificar se as colunas não aplicáveis serão mostradas.

3. Na lista Tipo de tabela, selecione o tipo de tabela para o qual você quer criar um conjunto de colunas:

   • Detecções
   • Eventos
   • Entidades (expanda as linhas da tabela para ver as colunas)

   As mudanças feitas em um determinado tipo de tabela só se aplicam a tabelas e subtabelas desse tipo.

4. Clique no botão Mostrar selecionados para exibir apenas as colunas selecionadas na guia correspondente (Colunas de detecções, Colunas de eventos ou Colunas de entidades).

5. Na guia correspondente, adicione ou remova colunas do seu conjunto. Você pode navegar ou pesquisar campos de pesquisa em seções que podem ser recolhidas (que variam de acordo com o tipo de resultado da pesquisa). Marque ou desmarque as caixas de seleção para mostrar ou ocultar colunas.

6. Organize as colunas e clique em Salvar. A caixa de diálogo Salvar conjunto de colunas será aberta.

7. Selecione uma das seguintes opções:

   • Salvar: insira um novo nome para o conjunto de colunas.
   • Substituir: se você tiver modificado um conjunto salvo anteriormente, poderá substituir o conjunto atual pelas mudanças.

8. Clique em Salvar. O conjunto de colunas é listado na guia Conjuntos de colunas.

Compartilhar um conjunto de colunas

Para compartilhar um conjunto de colunas com todos os outros usuários no seu locatário do Google SecOps:

1. Clique em Colunas para abrir o Gerenciador de colunas.
2. Na guia Colunas de eventos, adicione ou remova colunas do seu conjunto. É possível navegar ou pesquisar campos em seções recolhíveis (que variam de acordo com o tipo de resultado da pesquisa), por exemplo, Campos rápidos (os campos mais comuns por tipo de dados), Campos agrupados, Todos os campos de evento e Todos os campos de entidade. Marque ou desmarque as caixas de seleção para mostrar ou ocultar colunas.
3. Organize as colunas e clique em Compartilhar. A caixa de diálogo Compartilhar conjunto de colunas é aberta.
4. Selecione uma destas opções:
   • Compartilhar novo: insira um novo nome para o conjunto de colunas a ser compartilhado.
   • Compartilhar existente: selecione um conjunto salvo anteriormente na lista.
5. Clique em Compartilhar. O conjunto de colunas é listado na guia Conjuntos de colunas com um selo COMPARTILHADO.

Carregar um conjunto de colunas salvo

Para carregar um conjunto de colunas salvo, faça o seguinte:

1. Clique em Colunas para abrir o Gerenciador de colunas.
2. Selecione a guia Conjuntos de colunas.
3. Selecione o conjunto de colunas que você quer carregar e clique em Aplicar.

Excluir um conjunto de colunas salvo

Para excluir um conjunto de colunas salvo, faça o seguinte:

1. Clique em Colunas para abrir o Gerenciador de colunas.
2. Selecione a guia Conjuntos de colunas.
3. Selecione o conjunto de colunas e clique em Mais > Excluir.

Fazer o download dos resultados da pesquisa de uma tabela

É possível baixar e salvar um arquivo CSV com o conteúdo de uma tabela exibida na página Pesquisa do SIEM. Para a tabela Eventos ou uma tabela dinâmica, também há uma opção para agrupar os registros brutos originais, o que oferece uma correlação precisa entre os registros UDM analisados e a telemetria de origem. Esse recurso foi projetado para equipes que precisam de processamento de análise externa, trilhas de auditoria para compliance em que é necessário preservar a relação entre dados normalizados e ingestão original ou correlação externa.

Para baixar os resultados da pesquisa (até o número máximo especificado) na tabela Eventos:

1. Opcional: use o Gerenciador de colunas para especificar quais campos do UDM serão incluídos no CSV. A coluna Registro bruto é anexada com base na sua seleção.

2. Clique em Fazer download na parte de cima da tabela e selecione uma das seguintes opções:

   • Fazer o download como CSV: faz o download dos eventos correspondentes (e de acordo com o número exato exibido de eventos especificados).
   • Fazer o download como CSV (com registros brutos): faz o download dos eventos correspondentes e anexa strings de registro originais não analisadas como uma coluna dedicada ao lado de cada registro UDM normalizado (e de acordo com o número exato exibido de eventos especificados).

3. Salve o arquivo.

Para baixar os resultados da pesquisa (até o número máximo especificado) de tabelas na guia Resultado, exceto no painel Eventos ou Pivot:

1. Clique em Fazer download na parte de cima da tabela e selecione Fazer download como CSV. Isso faz o download dos resultados correspondentes (e de acordo com o número exato de eventos especificados).
2. Salve o arquivo.

Para fazer o download dos resultados da pesquisa (até o número máximo especificado) na tabela Detecções:

1. Clique em Fazer download na parte de cima da tabela e selecione Fazer download como CSV. Isso faz o download dos resultados correspondentes (e de acordo com o número exato de eventos especificados).
2. Salve o arquivo.

Campos aceitos ao salvar um CSV

É possível baixar os seguintes campos em um arquivo CSV na plataforma:

• user
• hostname
• process name
• timestamp
• raw log: válido apenas quando os registros brutos estão ativados para o cliente.
• Todos os campos que começam com udm.additional

Tipos de campo válidos ao salvar um CSV

É possível baixar os seguintes tipos de campo em um arquivo CSV:

• double
• float
• int32
• uint32
• int64
• uint64
• bool
• string
• enum
• bytes
• google.protobuf.Timestamp
• google.protobuf.Duration

Campos não compatíveis ao salvar um CSV

Os campos que atendem a qualquer um dos seguintes critérios não podem ser baixados em CSV:

• Tipo de campo: tipos de dados definidos como uma mensagem ou um grupo no proto do UDM.
• Profundidade do campo: campos aninhados com mais de 10 níveis de profundidade.

• Campos específicos da interface: os campos a seguir mostrados na UI não estão disponíveis para download direto:

  • Campos de evento:

    • Status do evento
    • Resumo do evento

    • Tipo de evento

      Observação: para fazer o download do tipo de evento, selecione o campo metadata.event_type no Gerenciador de colunas.

  • Gráfico de contexto de entidade:

    • Visto pela primeira vez
    • Visto pela última vez
    • Carimbo de data/hora

  • Pesquisa federada:

    • Código da instância

Limites e cotas

O Google SecOps impõe limites às consultas de pesquisa para garantir a estabilidade da plataforma e um desempenho consistente nas interfaces programáticas e da Web. Esses limites se aplicam às APIs Backstory e Chronicle.

Cotas de pesquisa e API

Os limites a seguir se aplicam ao número de consultas de pesquisa e operações simultâneas por locatário:

• Consultas por hora (QPH): limite de 1.000 QPH na interface do console da Web e de 2.000 QPH no acesso programático à API.

• Consultas simples (abrangendo < 24 horas, fonte única, sem estatísticas): limite máximo de simultaneidade de 180 consultas simultâneas por locatário.

  Se o pool de simultaneidade de consultas simples se esgotar, as operações vão transbordar automaticamente para a cota de consultas complexas disponível.

• Consultas complexas (com duração de mais de 24 horas, de várias fontes ou incluindo estatísticas): limite máximo de simultaneidade de 180 consultas simultâneas por locatário.

• Limite de comandos de campo da UDM: uma única consulta pode referenciar no máximo 100 campos da UDM no comando.

Erros de cota

Quando um limite é atingido, a interface da Web exibe uma notificação de erro de cota persistente. Para acesso programático, as chamadas de API (como instances.udmSearch) retornam um erro de status HTTP 429 RESOURCE_EXHAUSTED com uma mensagem google.rpc.QuotaFailure que detalha o limite específico que você excedeu.

Limites de exibição e conjunto de resultados

Use Configurações de pesquisa  > Máximo de resultados a serem retornados para ajustar o limite de back-end (de 1 a 1.000.000, padrão 30.000).

Para garantir a estabilidade consistente da plataforma e tempos de resposta rápidos nas interfaces da Web e da API, o Google SecOps aplica os seguintes limites:

Tipo de pesquisa ou fonte de dados	Número máximo de resultados retornados	Comportamento de exibição do console da Web
Pesquisa de eventos do UDM	1.000.000 registros	Mostrados diretamente no painel Eventos na guia Resultados. Mostra os registros mais recentes em linhas paginadas (de 10 a 1.000 por página).
Tabelas de dados e mesclagens	1.000.000 registros	As linhas correlacionadas aparecem no painel Eventos dentro da guia Resultados com base na configuração do Gerenciador de colunas.
Casos e histórico de casos	1.000.000 registros	Mostrados diretamente nos painéis Casos e Histórico de casos na guia Resultados. Aparecem no contexto Visão geral ou usando consultas de Pesquisar casos.
Estatísticas	100.000 registros (somente UI e API de operação de longa duração)	Mostradas diretamente no painel Estatísticas na guia Resultados. Os gráficos mostram os valores principais para facilitar a leitura e exibem um aviso quando os limites visuais são excedidos.
Agregações dinâmicas (Resultados > Dinâmica)	100.000 registros	Os gráficos mostram os valores principais para facilitar a leitura e exibem um aviso quando os limites visuais são excedidos.
Detecções de regras	100.000 registros	Aparecem diretamente na guia combinada Alertas e detecções.
Gráfico de contexto de entidade (ECG)	1.000.000 registros	Aparecem nos painéis Dados com marcação de tempo e Dados sem marcação de tempo na guia Resultados. A tabela no painel Dados cronometrados mostra as entidades que têm um período definido. A tabela na guia Dados sem período mostra as entidades que não têm um período definido. É possível que a interface mostre apenas entidades atemporais, apenas entidades temporais ou uma combinação diferente delas sempre que a consulta for executada. Para mais informações, consulte Usar os painéis de dados com e sem tempo.

Otimizar e refinar os resultados da pesquisa

Nesta seção, descrevemos as limitações e expectativas de desempenho e fornecemos correções de autoatendimento para problemas comuns com a página Pesquisa do SIEM no Google Security Operations.

Otimização de desempenho e práticas recomendadas

Para otimizar a velocidade da consulta e minimizar os riscos de tempo limite:

• Primeiro, restrinja o período: o tempo é o filtro mais eficaz. Consultar o período exato de duas horas de um incidente é exponencialmente mais rápido do que pesquisar um período de 30 dias.
• Consulte campos exatos do UDM em vez de aliases agrupados: embora os campos agrupados (ip = "1.2.3.4") sejam convenientes, eles forçam o mecanismo a verificar mais de 15 campos subjacentes (principal.ip, target.ip, observer.ip). Se você souber que um endereço IP pertence ao servidor de destino, consulte target.ip = "1.2.3.4" diretamente.
• Evite caracteres curinga no início de expressões regulares: consultas que começam com um caractere curinga (principal.hostname = /.*server-.*/) impedem pesquisas de índice e forçam verificações completas de tabelas. Ancore sua expressão regular sempre que possível (principal.hostname = /^prod-server-.*/).
• Aproveite os metadados indexados: filtre por metadata.event_type (NETWORK_CONNECTION, PROCESS_LAUNCH, USER_LOGIN) ou metadata.log_type no início da cadeia AND para remover instantaneamente as fontes de registro irrelevantes.
• Use limit: N para amostragem rápida de dados e visualizações rápidas: adicione a palavra-chave limit: N diretamente à consulta (por exemplo, metadata.event_type = "USER_LOGIN" limit: 50) para amostragem rápida de dados e visualizações rápidas.
• Use select e unselect para reduzir o tamanho do payload: projete apenas os campos de folha necessários ou exclua campos grandes desnecessários para melhorar a latência da consulta. Para mais detalhes, consulte Controlar a saída da consulta com select e unselect.

Práticas recomendadas para pesquisas amplas

Se a pesquisa for muito ampla, o Google SecOps vai mostrar uma mensagem de aviso indicando que não é possível mostrar todos os resultados da pesquisa. Nesses casos, o sistema recupera apenas os resultados mais recentes, até o limite de pesquisa de um milhão de eventos e mil alertas. No entanto, pode haver muitos outros eventos e alertas correspondentes que não são mostrados.

Para capturar todos os resultados relevantes, refine sua pesquisa aplicando outros filtros, por exemplo:

• Reduza o período para diminuir o tamanho do conjunto de dados.
• Use consultas de pesquisa ou filtros específicos em vez de termos amplos.
• Consulte campos de UDM precisos em vez de campos agrupados quando precisar de resultados para um único campo.

Depurar e refinar consultas

Nesta seção, descrevemos como depurar e refinar consultas.

Ver erros de tempo de execução

Se a consulta retornar um erro, a mensagem de erro de tempo de execução específica vai aparecer de forma persistente no painel Resultados. Essa exibição persistente garante que o contexto do erro permaneça visível, ajudando você a resolver o problema.

Limitar os resultados da pesquisa

É possível limitar os resultados da pesquisa adicionando a palavra-chave limit com o número máximo de resultados que você quer mostrar. Isso é útil para gerar visualizações rápidas de dados, otimizar o desempenho ou quando você só precisa de um subconjunto dos resultados. Por exemplo, se você adicionar limit: 25 à pesquisa, os resultados serão limitados a no máximo 25.

Observação: também é possível adicionar a palavra-chave limit a painéis personalizados.

Investigar conjuntos de dados grandes

O Google SecOps permite retornar e navegar por até 1 milhão de resultados. Isso permite investigar grandes conjuntos de dados diretamente na interface da Web sem exportar resultados. Para pesquisas grandes, os campos visíveis são limitados por padrão.

Observação: depois que os resultados forem carregados, você poderá aplicar filtros para refinar os dados sem executar a pesquisa novamente. Isso ajuda a restringir os conjuntos de resultados rapidamente.

Limites de resultados para fontes de dados

A tabela a seguir lista o número máximo de resultados retornados para cada fonte de dados:

Tipo de pesquisa ou fonte de dados	Número máximo de eventos ou linhas nos resultados da pesquisa
UDM	1.000.000
ECG	1.000.000
Tabela de dados	1.000.000
Mesclagem de UDM para UDM	1.000.000
Mesclagem de UDM para ECG	1.000.000
Mesclagem de UDM com tabela de dados	1.000.000
Casos e histórico de casos	1.000.000
Estatísticas	100.000
Detecções	100.000

Observação: os limites são os mesmos, seja usando a plataforma ou a API. Consulte APIs de pesquisa assíncrona para mais informações sobre os limites da API.

Adicionar um filtro para refinar sua consulta

Para adicionar um filtro e refinar sua consulta, faça o seguinte:

1. Na página Pesquisa do SIEM, clique em filter_listAdicionar filtro. Uma caixa de diálogo é aberta para que você selecione um campo e mostre (=) ou filtre (!=) os valores dele.

2. Configure os parâmetros da caixa de diálogo.

   

   Figura 8. Exemplo da caixa de diálogo de filtro.

3. Clique em Aplicar. O filtro aparece ao lado do botão filter_list Adicionar filtro, e os resultados da pesquisa são filtrados de acordo.

4. Opcional: siga uma destas opções:

   • Se quiser incorporar automaticamente o filtro ao editor de consultas e executar a pesquisa, clique em Aplicar à pesquisa e executar.
   • Se quiser excluir o filtro, clique em Limpar.

Observação: o botão Limpar só fica disponível antes de você clicar em Aplicar para pesquisar e executar.

Solução de problemas

Se você receber uma mensagem de erro genérica, como Error: Search has encountered an error and could not load data, siga estas etapas para resolver o problema:

• Conecte-se ao Google SecOps usando outra rede. Por exemplo, use uma VM na nuvem para ajudar a identificar problemas de rede.
• Verifique se as chamadas de API do Chronicle são permitidas pela configuração ou política de firewall ou proxy da sua organização.
• Verifique se não há limite de dados configurado para chamadas de API Search, já que as pesquisas podem retornar grandes conjuntos de dados.
• Verifique se há tempos limite configurados. As consultas de pesquisa podem ser executadas de forma assíncrona e exigir mais tempo para retornar dados. Se os tempos limite estiverem definidos, verifique se eles permitem uma duração suficiente, como 60 minutos, antes que a consulta expire.

Se o erro persistir, entre em contato com o suporte ao cliente.

A seguir

Para mais informações sobre consultas de pesquisa, consulte:

• Entender a sintaxe de pesquisa contém detalhes e exemplos sobre a sintaxe YL2 necessária para criar e consultar valores de dados, escapes e operadores no editor de consultas.
• Práticas recomendadas para a rede de pesquisa.
• Pesquisar casos e histórico de casos na pesquisa unificada.
• Gerar consultas de pesquisa do UDM com o Gemini.
• Usar dados enriquecidos com contexto na pesquisa.

Para mais informações sobre os resultados da pesquisa, consulte:

• Investigar uma entidade usando a pesquisa de UDM.
• Investigar detecções na Pesquisa descreve como usar a guia Alertas e detecções na página Pesquisa do SIEM.
• Entender a disponibilidade de dados para pesquisa detalha o ciclo de vida da ingestão de dados, incluindo o fluxo de dados e a latência de ponta a ponta, e como esses fatores afetam a disponibilidade de dados ingeridos recentemente para consulta e análise.
• Pesquisa de UDM em comparação com os resultados da regra descreve como comparar os resultados da consulta de pesquisa de UDM com as regras de detecção em tempo real.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.