Entender a pesquisa

Compatível com:

Google SecOps SIEM

Este guia é destinado a analistas de segurança que querem consultar, correlacionar e analisar dados de segurança em toda a empresa no Google Security Operations usando a página Pesquisa do SIEM. A página Pesquisa do SIEM serve como um hub de navegação central em todos os fluxos de dados compatíveis e integra outras fontes de telemetria e postura. Este guia contém instruções e explicações de todas as funções e recursos básicos da página Pesquisa do SIEM.

Terminologia importante

• Modelo de dados unificado (UDM): um formato de dados padronizado usado no Google SecOps para representar eventos de segurança de várias fontes de maneira consistente.
• Evento: um evento é gerado de uma origem do registro bruta que é ingerida no Google SecOps e processada pelo processo de ingestão e normalização do Google SecOps. Vários eventos podem ser gerados de um único registro de origem de registro bruto. Um evento representa um conjunto de pontos de dados relevantes para a segurança gerados desse registro bruto. No contexto da página Pesquisa do SIEM, os eventos são telemetria de eventos da UDM normalizada e registros de registros brutos que correspondem à sua consulta de pesquisa.
• Alerta: no contexto da página Pesquisa do SIEM, um alerta é definido como uma detecção de regra com alertas ativados. Para saber mais, consulte executar uma regra em dados ativos.
• Registros brutos: telemetria de registros brutos e não analisados. O objetivo principal do diagnóstico é monitorar a integridade da ingestão e da análise.
• Junções: correlacionam e combinam dados brutos de várias fontes com base em valores de campo comuns. Ao vincular eventos, entidades e outros dados relacionados, é possível investigar cenários de ataque complexos. Você pode pesquisar junções estatísticas, que exigem uma seção de correspondência para agregar resultados, ou junções de dados, que recuperam os dados completos de eventos ou entidades e os mostram sem agregação. Para mais informações, consulte Aplicar junções em pesquisas e painéis e Implementar junções sem uma seção de correspondência.
• Estatísticas: eventos da UDM com os resultados agrupados para análise estatística. Para mais informações, consulte Analisar dados de pesquisa com estatísticas.
• Casos e históricos de casos: casos de segurança e registros de auditoria de casos históricos, que podem ser correlacionados com outros dados de segurança. Para mais informações, consulte Visão geral da pesquisa de casos.
• Barra de consulta em linguagem natural: a barra na parte de cima da página Pesquisa do SIEM, em que você pode inserir uma instrução de pesquisa usando linguagem natural.
• Editor de consultas: a caixa na página Pesquisa do SIEM abaixo da barra de consultas em linguagem natural, em que você cria consultas manualmente e onde o código da consulta é exibido.

Antes de começar

Você precisa ter as permissões e funções padrão da pesquisa do Google SecOps atribuídas à sua conta de usuário para executar consultas e ver detalhes de detecção.

Para os seguintes recursos de pesquisa avançada, sua conta de usuário ou função do Identity and Access Management precisa ter permissões granulares adicionais, dependendo do recurso usado:

• Os detalhes de eventos enriquecidos ou estendidos precisam de chronicle.events.fetchEnrichedEvent.
• Para salvar pesquisas e editar visualizações de pesquisa, é preciso ter chronicle.savedSearches.update e chronicle.searchViews.update.
• Para ver analisadores de registros e necessidades de esquema, você precisa das permissões chronicle.parsers.list e chronicle.parsers.get.
• Para pesquisar o histórico de casos, é necessário ter chronicle.cases.get e chronicle.cases.list.
• Para criar, compartilhar, modificar e gerenciar conjuntos de colunas personalizadas salvos em toda a organização, são necessárias as cinco permissões a seguir: chronicle.googleapis.com/savedColumnSets.create, chronicle.googleapis.com/savedColumnSets.update, chronicle.googleapis.com/savedColumnSets.delete, chronicle.googleapis.com/savedColumnSets.list e chronicle.googleapis.com/savedColumnSets.get.

Abra a página de pesquisa

Para abrir a página Pesquisa do SIEM, faça o seguinte:

1. Faça login no Google SecOps.
2. Na barra de navegação, clique em Investigação > Pesquisa do SIEM.

Figura 1. Exemplo da página Pesquisa do SIEM usada para analisar tendências de eventos.

Observação: em sistemas que usam o RBAC de dados, só é possível ver dados que correspondem aos seus escopos. Para mais informações, consulte Impacto do RBAC de dados na Pesquisa.

Aplicação do escopo do RBAC de dados

O mecanismo de pesquisa do Google SecOps aplica estritamente a filtragem de escopo do controle de acesso baseado em função (RBAC de dados) em todas as guias. Você só vai ver eventos da UDM, registros brutos, alertas, detecções e casos que correspondem explicitamente aos escopos de dados atribuídos à sua função do usuário.

Configurar as configurações gerais da página de pesquisa

As configurações gerais da página Pesquisa do SIEM são específicas do usuário.

É possível configurar as seguintes opções gerais para a página Pesquisa do SIEM:

• Especificar o número máximo de resultados da pesquisa
• Escolher o comportamento de recolhimento do editor de consultas

Especificar o número máximo de resultados da pesquisa

Para especificar o número máximo de resultados da pesquisa, faça o seguinte:

1. Na página Pesquisa do SIEM, clique em configurações Configurações e selecione Resultados máximos.

2. Selecione a opção Número máximo de resultados a serem retornados. As opções são 1k, 30k, 100k, 1M e custom (que pode assumir valores entre 1 e 1M). O valor padrão é 30k.

   Dica: as consultas geralmente são executadas mais rápido quando você escolhe um tamanho menor de conjunto de resultados.

3. Clique em Aplicar.

Escolher o comportamento de recolhimento do editor de consultas

É possível configurar o editor de consultas para que ele seja fechado automaticamente depois que você faz uma pesquisa, maximizando o espaço da tela disponível para visualizar os resultados. A configuração Padrão deixa o editor de consultas aberto depois de executar uma pesquisa.

Para ativar o recurso de recolhimento automático, siga estas etapas:

1. Na página Pesquisa do SIEM, clique em configurações Configurações e selecione Editor de consultas.
2. Na caixa de diálogo Editor de consultas, selecione Fechar automaticamente o editor de consultas.

Criar uma consulta de pesquisa

As seções a seguir descrevem como criar uma consulta de pesquisa.

É possível criar uma consulta de pesquisa usando um dos seguintes métodos:

• Insira sua instrução de pesquisa em linguagem natural e use o Gemini para gerar a consulta no dialeto YARA-L 2.0. Você precisa usar o inglês.
• Crie manualmente sua consulta no editor de consultas usando o dialeto YARA-L 2.0 ou SQL (GoogleSQL).

Observação: uma pesquisa do UDM é limitada a 100 campos do UDM por consulta. Uma expressão de pesquisa da UDM consiste em um campo da UDM para pesquisar, um operador e um valor de dados a ser pesquisado. As consultas da UDM são baseadas em campos definidos na referência do dicionário de campos da UDM. É possível navegar e selecionar esses campos da UDM usando Filtros ou Pesquisa de registros brutos.

Gerar uma consulta usando linguagem natural

Para gerar uma consulta usando linguagem natural, siga estas etapas:

1. Na página Pesquisa do SIEM, clique na barra de consulta em linguagem natural e digite uma instrução de pesquisa em inglês.

   Confira exemplos de declarações que podem gerar uma pesquisa útil:

   • network connections from 10.5.4.3 to google.com
   • failed user logins over the last 3 days
   • emails with file attachments sent to [e-mail] or [e-mail]
   • all Cloud service accounts created yesterday
   • outbound network traffic from 10.16.16.16 or 10.17.17.17
   • all network connections to facebook.com or tiktok.com
   • service accounts created in Google Cloud yesterday
   • Windows executables modified between 8 AM and 1 PM on May 1, 2026
   • all activity from winword.exe on lab-pc
   • scheduled tasks created or modified on exchange01 during the last week
   • email messages that contain PDF attachments
   • emails sent by or sent from [e-mail] on July 1
   • any files with the hash 44d88612fea8a8f36de82e1278abb02f
   • all activity associated with user "[e-mail]"

Se a instrução de pesquisa incluir um termo baseado em tempo, os parâmetros de período serão ajustados automaticamente para corresponder. Por exemplo, isso se aplicaria a pesquisas com os seguintes termos:

• yesterday
• within the last 5 days
• on July 1, 2026

2. Clique em Gerar consulta. Se o Gemini conseguir interpretar a instrução de pesquisa, ele vai gerar uma consulta válida no dialeto YARA-L 2.0 e mostrar no editor de consultas. Se a declaração de pesquisa não puder ser interpretada, uma mensagem vai pedir para você tentar de outra forma. Se a expressão de consulta for válida, o botão Executar pesquisa vai ficar disponível.

3. Opcional: ajuste o período de pesquisa usando os parâmetros de período.

4. Clique em Executar pesquisa. Os resultados da pesquisa são exibidos.

5. Opcional: restrinja os resultados adicionando mais filtros de pesquisa manualmente ou usando a barra de consulta de linguagem natural e execute a pesquisa novamente.

Criar uma consulta manualmente no editor de consultas

Para informações sobre os diferentes tipos de consultas que a página Pesquisa do SIEM aceita e a sintaxe para construí-las, consulte os seguintes documentos:

• Para detalhes sobre a sintaxe de pesquisa do YARA-L 2.0, consulte Entender a sintaxe de pesquisa.
• Para informações sobre como criar consultas de junção, consulte Aplicar junções em pesquisas e painéis e Implementar junções sem uma seção de correspondência.
• Para informações sobre como criar consultas estatísticas (STATS), consulte Analisar dados de pesquisa com estatísticas.
• Para informações sobre como criar consultas de histórico de casos, consulte Pesquisar casos e histórico de casos na página de pesquisa.

Para criar uma consulta manualmente, siga estas etapas:

1. Na página Pesquisa do SIEM, clique no editor de consultas.
2. Escolha o dialeto de consulta:
   • YL2 (padrão): use a sintaxe padrão da YARA-L 2.0 para busca de eventos de alta velocidade, filtragem de entidades e correlação comportamental.
   • SQL: o modo SQL (GoogleSQL) permite executar consultas compatíveis com o BigQuery, criar junções complexas de várias tabelas na UDM e no Entity Context Graph (ECG) e realizar agregações avançadas diretamente no console.

3. Digite sua consulta no editor de consultas e considere o seguinte:

   • Sugestão e preenchimento automáticos: ao digitar uma consulta com a opção YL2, o recurso de sugestão e preenchimento automáticos sugere campos válidos com base na sua entrada.
   • Pesquisa de UDM: se você não souber o nome ou o valor exato do campo ao escrever uma consulta, use a Pesquisa de UDM para ajudar.
   • Erros de compilação de sintaxe: se o editor de consultas detectar um erro de compilação de sintaxe, ele vai mostrar uma linha vermelha ondulada diretamente abaixo do texto problemático. Passe o cursor sobre o texto sublinhado para ver a descrição específica do erro. O editor de consultas destaca apenas um erro por vez, o que significa que você precisa corrigir os erros em sequência.

4. Defina o período da consulta usando os parâmetros de período.

5. Se a expressão de consulta for válida, clique em Executar pesquisa. Os resultados da pesquisa são exibidos.

6. Opcional: restrinja os resultados adicionando mais filtros de pesquisa manualmente ou usando o console e execute a pesquisa novamente.

Observação: também é possível criar uma consulta na caixa de diálogo Gerenciador de pesquisa. As mesmas ferramentas de edição de UDM e de sugestão e conclusão automática também estão disponíveis lá.

Especifique o período da sua pesquisa

Use o menu Período para especificar o período da sua pesquisa.

O período máximo de uma pesquisa é sempre limitado pela configuração de retenção de registros do seu locatário.

Intervalos máximos de tempo:

• UDM: 365 dias.
• RAW: 365 dias.
• JOIN: para junções internas, 90 dias. Para junções internas sem uma condição de correspondência: 14 dias. Para junções externas: 14 dias.
• ESTATÍSTICAS: 90 dias.
• CASO e HISTÓRICO DE CASO: 90 dias, limitados pelos limites de retenção de caso ou por um ciclo de vida completo do histórico de caso.

O Google SecOps avalia a configuração da sua consulta de pesquisa e aplica o período máximo com base no tipo e nas condições da pesquisa. Por exemplo, uma consulta STATS que inclui uma junção externa tem um período máximo menor do que uma consulta STATS que não inclui uma junção externa.

Para definir o período, faça o seguinte:

1. Na página Pesquisa do SIEM, ao lado de Período, selecione o modo na lista.

   • Absoluto: use um período absoluto para selecionar um horário de início e término fixo.
   • Relativo: use um período relativo para pesquisar para trás a partir do horário atual. O horário em que você clica em Executar pesquisa é definido como o horário de término da consulta.

2. Se você selecionou Absoluto, faça o seguinte:

   1. Clique em calendar_month calendar para abrir a caixa de diálogo Definir período e intervalo de datas.
   2. Faça uma das seguintes ações:
      • Para configurar o tempo usando um dos seguintes métodos, selecione a guia Intervalo:
        • Usar predefinições: selecione um período predefinido na barra lateral, como Últimos 3 dias ou Todo o período. As pesquisas de Todo o período abrangem todo o período de armazenamento.
        • Selecionar datas: clique em uma data de início e uma de término no calendário.
        • Definir horários: selecione horários específicos usando os menus abaixo das agendas.
      • Para especificar um período com base em um evento, clique na guia Horário do evento, selecione uma data no calendário e configure o período:
        • Horário exato: clique no campo Evento para selecionar ou inserir o horário específico em que o evento ocorreu.
        • Intervalo de tempo: selecione um período predefinido na lista.
   3. Clique em Aplicar.

3. Se você selecionou Relativa, faça o seguinte:

   1. Insira um número inteiro no campo de texto.
   2. Selecione uma unidade de tempo no menu: Segundos, Minutos, Horas, Dias, Semanas, Meses ou Anos.

Usar sugestões automáticas para criar consultas

Ao escrever uma consulta, o editor de consultas oferece sugestões automáticas para ajudar você a criar a consulta de maneira eficiente.

Navegar e selecionar sugestões

Conforme você digita, uma lista aparece com sugestões de campos que correspondem ao seu texto, incluindo as seguintes opções:

• Selecionar um campo: use as teclas de seta para cima ou para baixo para navegar pela lista e pressione Enter para selecionar um campo.
• Ver metadados: depois de usar as teclas de seta Para cima ou Para baixo para destacar uma sugestão, clique em chevron_right para ver a descrição do campo.
• Preencher campos de forma incremental: o editor sugere os filhos imediatos do campo atual e oculta o prefixo digitado para economizar espaço na tela. Essas sugestões são seguidas por todos os outros campos correspondentes em ordem alfabética.
• Operadores e valores completos: depois de selecionar um campo, o editor sugere operadores válidos (como =, !=) com base no tipo de dados do campo. Para campos enumerados, o editor mostra sugestões de todos os valores válidos (por exemplo, NETWORK_EVENT) depois que você digita um operador e aspas duplas (").

Entender a classificação de sugestões

O editor de consultas organiza as sugestões em três categorias para ajudar você a encontrar campos rapidamente:

1. Campos usados recentemente: as sete principais sugestões são baseadas em campos que você usou recentemente e que correspondem ao campo digitado. Essa lista é salva no histórico da sessão do navegador nas páginas Pesquisa do SIEM, Regras e detecções e Painéis. Limpar o cache ou mudar de navegador redefine esse histórico.
2. Filhos imediatos: o próximo conjunto de sugestões mostra apenas os filhos de primeiro nível do campo atual.
3. Correspondências globais: a seção final mostra todos os campos correspondentes em ordem alfabética.

Gerenciar configurações de sugestão automática

Para gerenciar globalmente como o Google SecOps mostra sugestões automáticas, faça o seguinte:

1. Clique no avatar do seu perfil e selecione Preferências do usuário na lista. A caixa de diálogo Preferências do usuário vai aparecer.

2. Na caixa de diálogo, clique em Sugestão automática.

3. Para controlar as sugestões automáticas mostradas no editor de consultas, ajuste as seguintes configurações:

   • Ativar sugestões ao digitar: ativa a sugestão automática.
   • Classificar os campos recentemente usados primeiro: mostra os campos usados mais recentemente na parte de cima da lista.
   • Sugerir campos filhos imediatos: preenche campos aninhados de forma incremental, um nó filho por vez.
   • Sugerir todos os caminhos disponíveis: mostra os caminhos completos e expandidos para todas as sugestões de campos aninhados.

4. Clique em Salvar.

Encontrar um campo da UDM para uma consulta de pesquisa (pesquisa da UDM)

Ao escrever uma consulta de pesquisa, talvez você não saiba o nome ou valor exato do campo UDM a ser incluído. Com o recurso Pesquisa de UDM, você encontra rapidamente um nome de campo de UDM que contém uma string de texto no nome ou armazena um valor de string específico. Você pode selecionar um ou mais resultados retornados pela pesquisa de UDM e usá-los como ponto de partida para uma consulta de pesquisa, anexar os resultados a uma consulta existente ou salvar os resultados na área de transferência.

Observação: a pesquisa de UDM não foi criada para pesquisar outros tipos de dados, como bytes, booleanos ou numéricos.

Para usar a pesquisa de UDM, faça o seguinte:

1. Na página Pesquisa do SIEM, clique em Pesquisa da UDM. A caixa de diálogo Pesquisa de UDM é aberta.

2. Selecione uma ou ambas as opções de Correspondência em a seguir para especificar o escopo dos dados a serem pesquisados:

   • Campos de UDM: pesquise texto que corresponda a nomes de campos, por exemplo, network.dns.questions.name ou principal.ip.
   • Valores: pesquise strings de texto em valores de registros armazenados, por exemplo, dns ou google.com.

3. Clique no campo pesquisar Insira a string exata para a correspondência e digite a string. Conforme você digita, os resultados da pesquisa aparecem na caixa de diálogo.

   Os resultados variam quando a correspondência é feita em Campos do UDM em vez de Valores, da seguinte forma:

   • A pesquisa com os nomes de Campos de UDM em Corresponder em retorna uma correspondência exata encontrada em qualquer lugar na definição do esquema.

     

     Figura 2. Pesquise com os nomes dos campos de UDM Corresponder em na caixa de diálogo Pesquisa de UDM.

   • A pesquisa com Corresponder em Valores pesquisa a telemetria de registros ingeridos e retorna dois tipos de resultados:

     • Correspondências de valor total: para campos de texto comuns (como aplicativos, nomes de host, URLs, endereços IP e nomes de usuário), a pesquisa da UDM mostra o valor correspondente completo com a string de pesquisa destacada em amarelo, além do carimbo de data/hora mais recente da ingestão de registros.

     • Possíveis correspondências de valor: para campos que contêm texto longo, complexo ou não estruturado (como linhas de comando, descrições, campos de detecção e campos personalizados), a pesquisa do UDM indica que o termo de pesquisa aparece nesse campo na sua telemetria histórica. Em vez de mostrar um único valor completo, o resultado exibe o nome do campo UDM seguido por (Possible value match).

     

     Figura 3. Pesquise com Corresponder em Valores na caixa de diálogo Pesquisa do UDM.

4. Na lista de resultados, você pode fazer o seguinte:

   • Clique no nome de um campo da UDM para ver a descrição dele.
   • Marque a caixa de seleção ao lado do nome do campo da UDM para selecionar um ou mais resultados.
   • Clique no botão Redefinir para desmarcar todos os campos selecionados na lista de resultados.

5. Escolha uma destas opções:

   • Para copiar os resultados selecionados para a área de transferência, clique em Copiar UDM. Em seguida, feche a caixa de diálogo Pesquisa do UDM e cole o conteúdo da área de transferência no editor de consultas.

   • Para anexar os resultados selecionados à consulta no editor, clique em Anexar à pesquisa. Em seguida, o Google SecOps converte os resultados selecionados em uma consulta de pesquisa como o nome do campo UDM ou um par nome-valor.

     Se você anexar vários resultados, o Google SecOps vai adicionar cada um ao final da consulta atual no editor de consultas usando o operador OR.

     A string de consulta anexada é diferente dependendo do tipo de correspondência retornada pela pesquisa da UDM:

     • Se o resultado corresponder a uma string de texto em um nome de campo da UDM, o nome completo do campo da UDM será anexado à consulta. Exemplo:

       principal.artifact.network.dhcp.client_hostname

     • Se o resultado for uma correspondência de valor total, o par nome-valor vai conter uma condição de igualdade exata com o valor total.

     • Se o resultado for uma Correspondência de valor possível, o par nome-valor vai conter o nome do campo da UDM e uma expressão regular sem distinção entre maiúsculas e minúsculas que contém o termo de pesquisa.

6. Edite a consulta no editor de consultas, se necessário.

Comportamento de pesquisa e cobertura de campo da pesquisa do UDM

A pesquisa do UDM ajuda você a descobrir nomes de campos e pesquisar valores históricos nos dados de registros ingeridos. Esta seção explica como a pesquisa funciona nos dois modos, oferece exemplos de consultas e descreve os limites de cobertura de campo.

Modos de pesquisa: campos x valores do UDM

A pesquisa do UDM oferece dois modos de pesquisa distintos:

• Modo de campos de UDM: a opção Corresponder em campos de UDM pesquisa a definição do esquema de UDM para ajudar você a localizar o caminho correto do campo. É possível encontrar nomes de campos em todos os tipos de dados, incluindo campos de texto (principal.hostname), portas numéricas (target.port), flags booleanas (security_result.is_alert) e categorias de eventos (metadata.event_type).

  Exemplo: digitar port mostra campos como network.ip_port, principal.port, target.port e src.port.

• Modo de valores: Corresponder a Valores pesquisa nos seus registros de eventos ingeridos valores de texto correspondentes:

  • Correspondência de valor exato: para identificadores e campos de texto comuns (como nomes de host, endereços IP, domínios e nomes de usuário), a pesquisa de UDM encontra o valor exato nos seus dados e gera uma condição de igualdade (por exemplo, principal.hostname = "example.com").
  • Possível correspondência de valor (expressão regular): para textos longos, linhas de comando, URLs, chaves de registro e caminhos de arquivo, a pesquisa da UDM retorna uma Possível correspondência de valor com uma expressão regular (por exemplo, principal.process.command_line = /powershell/ NOCASE).

Lacunas de cobertura de campo e como pesquisar diretamente

Ao pesquisar por Valores, a pesquisa do UDM procura campos de texto em dados de eventos brutos e não enriquecidos. Alguns tipos de dados e campos de identificador de alto volume não retornam correspondências no modo Valores. Para pesquisar esses campos, insira sua expressão diretamente no editor de consultas.

Esta seção inclui o seguinte:

• Campos numéricos, booleanos, de carimbo de data/hora e de bytes
• Campos de identificador excluídos
• Campos com possíveis correspondências de valor (expressões regulares)
• Campos enriquecidos e gráfico de entidade

Campos numéricos, booleanos, de carimbo de data/hora e de bytes

A pesquisa de valores de pesquisa da UDM não retorna correspondências para tipos de dados que não são de texto. Para pesquisar nesses campos, escreva a condição diretamente na barra de pesquisa:

Categoria do campo	Exemplo de campos de UDM	Exemplo de pesquisa direta
Números de porta e códigos de status	network.ip_port, principal.port, target.port, network.http.response_code	network.ip_port = 443 network.http.response_code = 403
Métricas e pontuações de risco	security_result.risk_score, network.sent_bytes, network.received_bytes	security_result.risk_score >= 80 network.sent_bytes > 50000000
Sinalizações booleanas	security_result.is_alert, network.dns.answers.is_authoritative	security_result.is_alert = true
Enums predefinidos	metadata.event_type, network.ip_protocol	metadata.event_type = "USER_LOGIN" network.ip_protocol = "TCP"
Carimbos de data/hora	metadata.event_timestamp.seconds, metadata.ingested_timestamp	Filtre usando o menu Período ou a consulta: metadata.event_timestamp.seconds > 1700000000
IDs de eventos (bytes brutos)	metadata.id	metadata.id = "..."
Coordenadas geográficas	principal.location.latitude, principal.location.longitude	Filtrar por campos de local regional: principal.location.country_or_region = "US"

Campos de identificador excluídos

Os seguintes campos de alta entropia e rastreamento de sessão não retornam correspondências ao pesquisar por Valores:

Categoria de campo excluída	Campos de UDM	Exemplo de pesquisa direta
IDs de processos	*.pid (por exemplo, principal.process.pid, target.process.pid), *.product_specific_process_id	target.process.pid = "4128"
IDs de sessão e conexão	network.session_id, network.parent_session_id, metadata.product_log_id	network.session_id = "sess-9481"
IDs de regras de detecção	security_result.rule_id	security_result.rule_id = "rule_suspicious_login"
IDs de recursos e recursos	*.resource.id (incluindo ARNs e URIs da nuvem), *.asset_id	target.resource.id = "arn:aws:s3:::my-bucket"
Rótulos de ingestão	metadata.base_labels.*, metadata.enrichment_labels.*	metadata.base_labels.log_types = "WINEVTLOG"

Campos com possíveis correspondências de valor (expressões regulares)

Para campos que contêm strings longas e complexas com muitos separadores de caminho ou argumentos, a pesquisa do UDM retorna uma expressão regular Possível correspondência de valor (/.../ NOCASE) em vez de uma correspondência exata de valor completo:

• Linhas de comando: principal.process.command_line, target.process.command_line
• Caminhos de arquivo: principal.process.file.full_path, target.file.full_path
• URLs da Web e de rede: principal.url, target.url, network.http.referral_url
• Chaves do registro: principal.registry.registry_key, target.registry.registry_key
• Descrições de formato livre: metadata.description, security_result.description, security_result.summary
• Strings de user agent: network.http.user_agent
• Campos personalizados dinâmicos: additional.fields.value.*

Campos enriquecidos e gráfico de entidade

A pesquisa UDM procura dados de registros brutos ingeridos após 10 de agosto de 2023. Ele não retorna valores de:

• Enriquecimentos downstream: como resolução de local GeoIP, dados WHOIS, veredictos do Navegação Segura ou pontuações do VirusTotal. Para pesquisar esses dados, filtre diretamente no caminho do campo enriquecido (por exemplo, target.ip_geo_artifact.country_or_region = "US").
• Objetos do gráfico de entidades: dados no namespace graph.*.
• Dados históricos anteriores ao corte: registros ingeridos antes de 10 de agosto de 2023. Para pesquisar dados mais antigos, use consultas de pesquisa direta na página Pesquisa.

Usar tabelas de dados em uma pesquisa

Você pode usar o recurso tabelas de dados em uma pesquisa. Assim, você pode usar seus próprios bancos de dados de informações de ameaças com uma pesquisa para procurar ameaças na sua empresa.

Por exemplo, se você tiver um banco de dados chamado suspicious com uma coluna de endereços IP que você sabe que são problemáticos, poderá referenciar esse banco de dados na consulta de pesquisa em vez de inserir manualmente endereços IP individuais na consulta:

  events:
      $e.principal.ip in %suspicious.ip

Você pode restringir os resultados pesquisando metadados específicos além de endereços IP. Por exemplo, talvez você esteja preocupado com mudanças nos recursos do usuário:

  events:
      $e.metadata.event_type = "USER_RESOURCE_UPDATE_CONTENT"
      $e.principal.ip in %suspicious.ip

É possível restringir uma pesquisa em campos relacionados da UDM e fazer a correspondência com várias colunas da tabela de dados. O exemplo a seguir pesquisa eventos NETWORK_CONNECTION em que o resultado de segurança é ALLOW. Em seguida, ele corresponde esses eventos à coluna hostnames e à coluna ip na tabela de dados badApps.

events:
  $e.metadata.event_type = "NETWORK_CONNECTION"
  $e.security_result.action = "ALLOW"
  $e.target.asset.asset_id = $assetid

  // Event hostname matches at least one value in table column hostname.
  $e.target.hostname in %badApps.hostname

  // Event IP matches at least one value in table column ip.
  $e.target.ip in %badApps.ip

Ver linhas da tabela de dados em uma pesquisa

Quando você usa uma tabela de dados em uma pesquisa YARA-L 2.0, os resultados fazem referência às linhas da tabela de dados vinculadas aos eventos correspondentes. Esses resultados são exibidos no painel Eventos. O estado atual da tabela de dados e das linhas é mostrado quando você visualiza os resultados.

Use o Gerenciador de colunas para selecionar quais tabelas de dados e colunas serão mostradas nos resultados.

Para mais informações, consulte Usar tabelas de dados.

Entender o processo de execução de consultas

Se a consulta no editor de consultas for válida, o console do Google SecOps vai ativar o botão Executar pesquisa.

Depois de clicar em Executar pesquisa, a consulta em andamento vai aparecer com um ícone de status circular.

Enquanto uma pesquisa está em andamento, é possível executar outras pesquisas (simultâneas) no editor de consultas com algumas limitações. O Google SecOps continua executando suas pesquisas anteriores e as novas em paralelo.

Importante: para fazer pesquisas simultâneas e armazenar resultados, o recurso de histórico de pesquisa precisa estar ativo. Se você já desativou o histórico de pesquisa, clique em Histórico > Ativar o histórico de pesquisa.

As consultas concluídas são mostradas com um ícone de marca de seleção verde e um contador que indica o número de eventos retornados pela consulta.

Clique em uma consulta concluída para mostrar os resultados. Os resultados da pesquisa são mostrados abaixo do editor de consultas.

Os resultados da pesquisa são armazenados em cache e incluem apenas os dados disponíveis no momento da execução da consulta.

Gerenciar o histórico de pesquisa

Seu histórico de pesquisa é salvo na sua conta do Google SecOps.

Importante: para fazer pesquisas simultâneas e armazenar resultados, o recurso de histórico da Pesquisa precisa estar ativo.

• Para gerenciar seu histórico de pesquisa, na página Pesquisa do SIEM, clique em Histórico para abrir a caixa de diálogo e faça o seguinte:

  • Confira uma lista de todas as pesquisas no seu histórico.
  • Clique em um item da lista para carregá-lo no editor de consultas.
  • Digite na barra de pesquisa para encontrar uma pesquisa no seu histórico.
  • Para filtrar as pesquisas, clique em Filtro ao lado da barra de pesquisa e filtre por Idioma, que contém: filtros YL2 e SQL AND Tipo de pesquisa, que contém: filtros UDM, Registro bruto e Estatísticas.
  • Mostrar ou não apenas os resultados armazenados concluídos e em andamento (usando a caixa de seleção Mostrar apenas resultados armazenados concluídos e em andamento).
  • Limpe o histórico de pesquisa.
    • Para limpar o histórico de pesquisa, clique em Mais e selecione Limpar histórico.

  • Desativar ou reativar o histórico de pesquisa:

    • Para desativar o histórico de pesquisa, clique em Desativar o histórico de pesquisa e selecione Desativar apenas para desativar o histórico de pesquisa ou Desativar e limpar para desativar o histórico de pesquisa e excluir o histórico salvo.

    • Se você já tiver desativado o histórico da Pesquisa, clique em Ativar o histórico da Pesquisa para ativar de novo.

• Para excluir uma pesquisa individual do histórico, consulte Excluir uma pesquisa salva.

Salvar e usar uma consulta de métricas

Observação: esse recurso é coberto pelos Termos de produtos pré-GA dos Termos específicos de serviço do Google Security Operations. Os recursos pré-GA podem ter suporte limitado, e as mudanças realizadas podem não ser compatíveis com outras versões pré-GA. Para mais informações, consulte as diretrizes do serviço de suporte técnico do Google SecOps e os Termos específicos de serviço do Google SecOps.
Se esse recurso não estiver visível no seu ambiente, consulte Gerenciar recursos de visualização ou entre em contato com o administrador do sistema.

O Google SecOps classifica as consultas de métricas com o selo STATS.

• Para salvar uma pesquisa como métrica, clique em Mais ao lado de Executar pesquisa e clique em Salvar como métrica. A página Regras e detecções é aberta, mostrando sua consulta de métricas na guia Métricas. Depois, salve ou desative a métrica. Depois de salva, uma consulta de métrica não pode ser editada nem excluída. As métricas podem ser desativadas a qualquer momento.

É possível usar uma consulta de métricas para estabelecer padrões de comportamento típicos e identificar atividades atípicas. Se você tiver uma consulta de métricas no editor de consultas que rastreia tendências operacionais críticas, clique em Mais > Salvar como métrica. Isso salva a consulta como uma métrica de série temporal contínua que pode ser incorporada a painéis personalizados ou referenciada em alertas de limite.

Exemplo de consulta de métricas:

metric metric_1784196814306 {
  (metadata.event_type = "NETWORK_FLOW" OR
  metadata.event_type = "NETWORK_CONNECTION" OR
  metadata.event_type = "NETWORK_DNS" OR
  metadata.event_type = "NETWORK_HTTP")

  outcome:
  $timestamp = timestamp.get_timestamp(metadata.event_timestamp.seconds)
  $hostname = principal.hostname
  $event_type = metadata.event_type
  $user = principal.user.userid
  $principal_process = principal.process.file.full_path
  $principal_cmdline = principal.process.command_line
  $target_process = target.process.file.full_path
  $target_cmdline = target.process.command_line
  $target_url = target.url
  $target_ip = target.ip[0]
  order:
  $timestamp
  }

Gerenciar suas pesquisas (Gerenciador de pesquisas)

Use a caixa de diálogo Gerenciador de pesquisas para gerenciar suas pesquisas.

• Para abrir o Gerenciador de pesquisas, na página Pesquisa do SIEM, clique em Gerenciador de pesquisas.

Selos de tipo de pesquisa

A guia Salvas no Gerenciador de pesquisas lista todas as pesquisas salvas e mostra um selo com o tipo de pesquisa: UDM, RAW, JOIN, STATS, CASE e CASE HISTORY.

Ações do Gerenciador de pesquisas

Na guia Salvos, você pode fazer o seguinte:

• Filtrar pesquisas salvas: clique em Filtrar ao lado da barra de pesquisa e filtre as pesquisas por Origem, que contém: Definido pelo Google SecOps, Criado por mim e Compartilhado comigo AND Idioma, que contém: YL2 e SQL.
• Ordenar pesquisas: clique em list_arrow Ordenar ao lado da barra de pesquisa e ordene por Nome (A - Z), Nome (Z - A), Mais antigas - Mais recentes ou Mais recentes - Mais antigas.
• Adicionar uma pesquisa: clique em add_2 Adicionar ao lado da barra de pesquisa e crie uma nova pesquisa na caixa Pesquisa da UDM ao lado. A caixa Pesquisa do UDM oferece suporte às mesmas ferramentas de edição do UDM, sugestão automática e conclusão que você usa ao criar uma consulta manualmente no editor de consultas.
• Compartilhe ou exclua as pesquisas que você criou.
• Editar uma pesquisa criada por você: quando uma pesquisa é selecionada na guia Salvas, a caixa PESQUISAR mostra a consulta, junto com as caixas Título e Descrição. A caixa Pesquisa do UDM oferece suporte às mesmas ferramentas de edição do UDM, sugestão automática e conclusão que você usa ao criar uma consulta manualmente no editor de consultas.

Salvar uma pesquisa

As pesquisas salvas e o histórico da Pesquisa são:

• Armazenados com sua conta do Google SecOps.
• Só podem ser vistos e acessados pelo usuário individual, a menos que você use o recurso Compartilhar uma pesquisa para compartilhar sua pesquisa com a organização.

Para salvar uma pesquisa, faça o seguinte:

1. Na página Pesquisa do SIEM, faça o seguinte:

   • Se houver uma consulta válida no editor de consultas, clique em Mais ao lado de Executar pesquisa e clique em Salvar pesquisa. A caixa de diálogo Gerenciador de pesquisa é aberta.
   • Clique em Search Manager. A caixa de diálogo Gerenciador de pesquisa é aberta.

2. Na caixa Título, insira um nome para a pesquisa. O Google recomenda dar à sua pesquisa salva um nome significativo e uma descrição em texto simples do que você está procurando.

3. Opcional: na caixa Descrição, insira uma descrição para a pesquisa.

4. Opcional: especifique variáveis de marcador de posição no formato ${<variable name>} usando o mesmo formato usado para variáveis em YARA-L. Se você adicionar uma variável a uma pesquisa, também precisará incluir um comando para ajudar o usuário a entender as informações necessárias antes de executar a pesquisa. Todas as variáveis precisam ser preenchidas com valores antes de uma pesquisa ser executada.

   Por exemplo, você pode adicionar metadata.vendor_name = ${vendor_name} à sua pesquisa. Para ${vendor_name}, adicione uma solicitação para futuros usuários, como Enter the name of the vendor for your search. Cada vez que um usuário carregar essa pesquisa no futuro, ele vai precisar inserir o nome do fornecedor antes de executar a pesquisa.

5. Clique em Salvar edições quando terminar.

• Para ver as pesquisas salvas, clique em Gerenciador de pesquisas e na guia Salvas.

Recuperar e executar uma pesquisa salva

Para recuperar e executar uma pesquisa salva, faça o seguinte:

1. Na página Pesquisa do SIEM, clique em Gerenciador de pesquisas e selecione uma pesquisa na lista Salvas à esquerda.
2. Opcional: para excluir uma pesquisa, clique em Mais e selecione Excluir pesquisa. Só é possível excluir pesquisas criadas por você.
3. É possível mudar o nome e a descrição da pesquisa. Clique em Salvar edições quando terminar.
4. Clique em Carregar pesquisa. A pesquisa é carregada no campo de pesquisa principal.
5. Clique em Executar pesquisa.

Excluir uma pesquisa salva

Só é possível excluir pesquisas criadas por você.

Para excluir uma pesquisa salva, faça o seguinte:

1. Na página Pesquisa do SIEM, clique em Gerenciador de pesquisas e selecione uma pesquisa na lista Salvas à esquerda.
2. Clique em Mais e selecione Excluir pesquisa.
3. Clique em Excluir pesquisa.

Compartilhar ou parar de compartilhar uma pesquisa

Com as pesquisas compartilhadas, você pode compartilhar pesquisas com sua equipe. Não é possível compartilhar com apenas uma pessoa. Se você compartilhar, ela será compartilhada com toda a organização.

Não é possível editar uma pesquisa compartilhada que não foi criada por você.

Para compartilhar uma pesquisa, faça o seguinte:

1. Na página Pesquisa do SIEM, clique em Gerenciador de pesquisas e selecione uma pesquisa na lista Salvas à esquerda.
2. Clique na pesquisa que você quer compartilhar.
3. Clique em Mais no lado direito da pesquisa. Uma caixa de diálogo com a opção de compartilhar sua pesquisa aparece.
4. Clique em Compartilhar com sua organização. Uma caixa de diálogo vai aparecer com a mensagem "Sua pesquisa será visível para as pessoas da sua organização. Tem certeza de que quer compartilhar?".
5. Clique em Compartilhar.

Se você quiser que a pesquisa fique visível apenas para você, clique em Mais e em Parar de compartilhar. Se você parar de compartilhar, só vai poder usar esta pesquisa.

Resultados da pesquisa: visão geral

Quando você clica em Executar pesquisa na página Pesquisa do SIEM, o Google Security Operations avalia sua consulta em todo o ambiente, categoriza e mostra os resultados abaixo do editor de consultas.

Os elementos da interface dos resultados da pesquisa variam de acordo com o tipo de pesquisa (que são, de acordo com os selos: UDM, RAW, JOIN, STATS, CASE ou CASE HISTORY).

A página Pesquisa do SIEM mostra as seguintes guias para resultados da pesquisa:

• Resultados: aparecem em todos os tipos de pesquisa.
• Alertas e detecções: exibido apenas para resultados de pesquisa UDM, RAW e JOIN.
• Visão geral: exibida apenas para resultados de pesquisa UDM, RAW e JOIN.
• Visualizar: exibido apenas para resultados da pesquisa de ESTATÍSTICAS.

O título de cada guia de resultados inclui a contagem entre parênteses, por exemplo, Resultados (1.118) ou Resultados (mais de 100.000) se o número de resultados exceder o máximo especificado (neste caso, 100 mil).

Ao clicar entre as guias, a visualização do espaço de trabalho muda instantaneamente, preservando a consulta de pesquisa e o período.

Ver e gerenciar informações na guia "Resultados"

A guia Resultados é seu espaço de trabalho principal para visualizar e gerenciar os resultados da pesquisa. Você pode usar a guia Resultados para:

• Análise detalhada de registros
• Como acessar a telemetria bruta
• Gerar tabelas dinâmicas com dados de eventos
• Analisar distribuições de valores de campos de alta frequência
• Exportar dados para arquivos CSV

A guia Resultados inclui os seguintes elementos, dependendo do tipo de pesquisa:

• Painéis com guias e os seguintes gráficos:
  • Gráfico Atividade ao longo do tempo: mostrado para resultados de pesquisa de UDM, JOIN, CASE e HISTÓRICO DE CASO.
  • Gráfico Tendência ao longo do tempo: mostrado para resultados de pesquisa RAW.
  • Guia Prevalência: mostrada para resultados da pesquisa de UDM.
  • Tabela Mapa de calor da atividade: mostrada para resultados da pesquisa do UDM.
• Painel Agregações: aparece para todos os tipos de resultados da pesquisa.

• Painéis com as seguintes tabelas, de acordo com o tipo de pesquisa:

  • Tabela Eventos e subguia Tabela dinâmica: exibidas apenas para resultados da pesquisa UDM. A tabela Eventos mostra a telemetria de eventos do UDM normalizada e os registros de log brutos que correspondem à sua consulta no período selecionado. A subguia Tabela dinâmica permite criar e usar uma tabela dinâmica para realizar agrupamentos e resumos matemáticos multidimensionais (sum, count, avg, stddev) nos resultados de eventos.
  • Registros brutos: exibidos apenas para resultados da pesquisa RAW.
  • Estatísticas: exibidas apenas para resultados da pesquisa de ESTATÍSTICAS.
  • Junções: mostradas apenas para resultados da pesquisa de junção.
  • Casos: exibidos apenas para resultados da pesquisa de CASE.
  • Histórico de caso: exibido apenas para resultados de pesquisa de CASO e HISTÓRICO DE CASO.

  Para informações sobre as funções e ferramentas compatíveis com essas tabelas, consulte Usar ferramentas comuns para tabelas. As funções disponíveis incluem gerenciar as colunas na tabela exibida pela guia, fazer o download dos resultados da pesquisa e muito mais.

Dica: clique em Opções de visualização para ocultar ou mostrar os gráficos e o painel Agregações.

Usar o gráfico "Atividade ao longo do tempo"

A guia Atividade ao longo do tempo inclui um gráfico (um histograma) do volume de eventos e alertas ao longo do tempo.

Observação: a guia Atividade ao longo do tempo é mostrada apenas para resultados de pesquisa de UDM, JOIN, CASE e CASE HISTORY.

A largura de cada barra depende do intervalo de tempo pesquisado. Por exemplo, cada barra representa 10 minutos quando a pesquisa abrange 24 horas de dados. Esse gráfico é atualizado dinamicamente conforme você modifica a pesquisa.

Observação: o período máximo de pesquisa é de até 365 dias para pesquisas com YARA-L 2.0 e 90 dias para pesquisas com SQL, do início ao fim.

O gráfico oferece suporte para:

• Ajuste do período: arraste os controles deslizantes na linha do tempo para reduzir a janela de tempo visível instantaneamente. A grade de resultados e o painel Agregações são atualizados sem executar a consulta novamente no back-end.
• Ver os eventos e alertas de um único período de tempo de barra: clique em uma barra para restringir o foco do gráfico, do painel Agregações e da guia Detecções ao período de tempo dessa barra. Isso cria um filtro, que é exibido ao lado do botão filter_list Adicionar filtro. Para mostrar todos os resultados novamente, exclua o filtro.
• Pop-up de detalhes: ao clicar em uma das barras, um pop-up é aberto com o horário e os valores de Eventos consultados, Eventos filtrados, Alertas consultados e Alertas filtrados.

Usar o gráfico de tendência ao longo do tempo

A guia Tendência ao longo do tempo inclui um gráfico (um histograma) do volume de registros brutos ao longo do tempo. A largura de cada barra vertical é ajustada dinamicamente com base na sua janela de pesquisa geral. Por exemplo, cada barra pode representar 10 minutos para uma janela de pesquisa de 24 horas.

Observação: a guia Tendência ao longo do tempo é exibida apenas para resultados de pesquisa RAW.

O gráfico oferece suporte para:

• Ajuste do período: arraste os controles deslizantes na linha do tempo para reduzir a janela de tempo visível instantaneamente. A grade de resultados e o painel Agregações são atualizados sem executar a consulta novamente no back-end.
• Veja quantos registros analisados, não analisados e desconhecidos foram detectados no período de uma única barra: Desconhecido significa que um ou mais registros foram detectados no momento, mas sem número determinado. Clique em uma barra para restringir o foco do gráfico e do painel Agregações ao período dessa barra. Isso cria um filtro, que é exibido ao lado do botão filter_list Adicionar filtro. Para mostrar todos os resultados novamente, exclua o filtro.
• Pop-up de detalhes: ao clicar em uma das barras, um pop-up é aberto com a hora e os valores de Eventos consultados, Eventos filtrados, Alertas consultados e Alertas filtrados.

Usar a guia "Prevalência"

A guia Prevalência só aparece se a pesquisa incluir um domínio.

A guia Prevalência mostra a prevalência dos domínios associados à sua pesquisa na empresa. Ele combina uma lista de domínios de baixa prevalência com um gráfico interativo. A guia só aparece se a pesquisa de UDM incluir um domínio.

Observação: a guia Prevalência é mostrada apenas para resultados da pesquisa do UDM.

A lista de domínios de baixa prevalência inclui as seguintes colunas:

• Domínios de baixa prevalência: mostra os nomes de domínio associados aos seus resultados da pesquisa. Clique em arrow_upward para classificar os domínios em ordem alfabética (Z a A) e em arrow_downward para ordem alfabética (A a Z).

• Prevalência ≤ 10: mostra a contagem total de ocorrências de cada domínio com uma prevalência de 10 ou menos. Clique em arrow_upward para classificar as contagens numericamente em ordem decrescente e em arrow_downward para ordem crescente.

No gráfico, mantenha o ponteiro sobre um círculo para mostrar o domínio específico e restringir sua pesquisa apenas aos eventos associados a ele.

Usar a guia "Mapa de calor da atividade"

A guia Mapa de calor de atividade mostra dados de eventos em uma grade de linha do tempo visual para destacar onde eles estão mais concentrados no período especificado. O eixo Y mostra as datas dentro do período da pesquisa, e o eixo X mostra a hora do dia em intervalos de uma hora (de 00:00 a 23:00).

Observação: a guia Mapa de calor da atividade é mostrada apenas para resultados da pesquisa de UDM.

Uma legenda de gradiente de cores indica o volume de eventos em uma hora específica. Cores mais claras indicam menos eventos, e cores mais escuras indicam uma densidade maior. Você também pode ajustar o indicador de densidade para mostrar ou ocultar os intervalos por hora movendo o controle deslizante horizontal. Clique nas setas para cima ou para baixo no painel lateral para rolar as datas e ajustar o período específico.

Usar o painel "Agregações" para refinar os resultados da pesquisa

O painel Agregações resume valores de alta frequência, que podem ser usados para refinar os resultados da pesquisa.

Observação: o painel Agregações aparece para todos os tipos de resultados da pesquisa.

O painel Agregações inclui duas listas recolhíveis: Campos de UDM (uma lista de campos de UDM correspondentes) e outra lista de campos de acordo com o tipo de pesquisa (por exemplo, Campos de registro para pesquisas de registros brutos, Campos de estatísticas, Campos de caso e assim por diante). Para pesquisas de UDM, o painel Agregações contém a lista Campos de UDM e a lista Campos agrupados.

Para fixar um campo na parte de cima da lista Agregações, passe o cursor sobre ele e clique no ícone manter Manter.

É possível pesquisar campos ou valores de campo específicos usando o campo Pesquisar do painel.

Cada campo mostra a "contagem de correspondências", ou seja, o número de registros que têm o mesmo valor para esse campo. O conteúdo das listas é classificado do maior para o menor número de correspondências e em ordem alfabética dentro do mesmo número de correspondências. Você pode pesquisar campos nas listas e abrir um item de campo.

Para filtrar os resultados da pesquisa com agregações, faça o seguinte:

1. No painel Agregações, selecione um campo em uma lista para mostrar os valores dele.

2. Selecione um valor na lista e clique em more_vert Mais.

3. Selecione uma opção de filtro:

   • Mostrar somente: a tabela adjacente correspondente é atualizada para mostrar apenas os registros correspondentes, e o filtro = "value" aparece ao lado do botão filter_list Adicionar filtro.
   • Filtrar: a tabela adjacente correspondente é atualizada com os registros correspondentes filtrados, e o filtro != "value" é mostrado ao lado do botão filter_list Adicionar filtro.
   • Copiar: copia o par campo-valor para a área de transferência.

   

   Figura 4. Exemplo de filtragem de campos usando o painel Agregações.

   

   Figura 5: botão filter_list Adicionar filtro com dois filtros atuais (um mostrado e outro na lista +1 mais).

4. Opcional: se você selecionou Mostrar apenas ou Filtrar na etapa anterior e quer incorporar automaticamente o filtro ao editor de consultas e executar a pesquisa novamente, clique em Aplicar à pesquisa e executar.

Usar campos agrupados no painel "Agregações" da guia "Resultados"

O painel Agregações para pesquisas da UDM inclui a lista Campos agrupados. Os campos agrupados funcionam como aliases de categoria eficientes que combinam campos de UDM relacionados sem exigir que você digite cada um separadamente. Para mais informações sobre campos agrupados, consulte Pesquisar campos agrupados.

Alias de campo agrupado	Campos de UDM associados incluídos no alias
domain	about.administrative_domain about.asset.network_domain network.dns.questions.name network.dns_domain principal.administrative_domain principal.asset.network_domain target.administrative_domain target.asset.hostname target.asset.network_domain target.hostname
email	intermediary.user.email_addresses network.email.from network.email.to principal.user.email_addresses security_result.about.user.email_addresses target.user.email_addresses
file_path	principal.file.full_path principal.process.file.full_path principal.process.parent_process.file.full_path target.file.full_path target.process.file.full_path target.process.parent_process.file.full_path
hash	about.file.md5 about.file.sha1 about.file.sha256 principal.process.file.md5 principal.process.file.sha1 principal.process.file.sha256 security_result.about.file.sha256 target.file.md5 target.file.sha1 target.file.sha256 target.process.file.md5 target.process.file.sha1 target.process.file.sha256
hostname	intermediary.hostname observer.hostname principal.asset.hostname principal.hostname src.asset.hostname src.hostname target.asset.hostname target.hostname
ip	intermediary.ip observer.ip principal.artifact.ip principal.asset.ip principal.ip src.artifact.ip src.asset.ip src.ip target.artifact.ip target.asset.ip target.ip
namespace	principal.namespace src.namespace target.namespace
process_id	principal.process.parent_process.pid principal.process.parent_process.product_specific_process_id principal.process.pid principal.process.product_specific_process_id target.process.parent_process.pid target.process.parent_process.product_specific_process_id target.process.pid target.process.product_specific_process_id
user	about.user.userid observer.user.userid principal.user.user_display_name principal.user.userid principal.user.windows_sid src.user.userid target.user.user_display_name target.user.userid target.user.windows_sid

Usar o painel "Eventos"

Use o painel Eventos para ver, classificar e gerenciar os eventos que correspondem à sua pesquisa de UDM.

Para informações sobre as funções e ferramentas compatíveis com o painel Eventos, consulte Usar ferramentas comuns para tabelas. As funções disponíveis incluem gerenciar as colunas na tabela exibida pela guia, fazer o download dos resultados da pesquisa e muito mais.

Por padrão, depois que você faz uma pesquisa, a tabela Eventos mostra colunas principais (chamadas de campos rápidos), por exemplo, Status do evento, Carimbo de data/hora, Tipo (udm.metadata.event_type), Resumo, Usuário (udm.principal.user.userid ou target.user.userid), Nome do host (udm.principal.hostname ou target.hostname). Dependendo do escopo da consulta e da origem do registro, a tabela também pode mostrar dinamicamente campos rápidos relevantes, como Ação (udm.security_result.action).

Observação: para eventos associados a alertas, a coluna Status do evento mostra um ícone Alerta, com uma contagem quando vários alertas se aplicam.

Inspecionar detalhes granulares de um único evento (Visualizador de eventos e correlação de registros brutos)

• Para inspecionar detalhes granulares de um único evento, clique na linha. O Visualizador de eventos é aberto.

  Para mais informações, consulte Usar o Visualizador de eventos para resultados da UDM e RAW.

Guia "Tabela dinâmica": crie uma tabela dinâmica

Você pode usar uma tabela dinâmica para realizar agrupamentos e resumos matemáticos multidimensionais nos resultados da pesquisa.

Para abrir e configurar uma tabela dinâmica, faça o seguinte:

1. Faça uma pesquisa do UDM.
2. Na guia Resultados, clique na subguia Tabela dinâmica. O painel Configurações de tabela dinâmica é aberto.

3. Em Agrupar por, clique em Adicionar Campo para selecionar até cinco campos da UDM para agrupar linhas. Opções especiais de transformação aparecem com base no tipo de campo:

   • Campos de string: opção para forçar o uso de letras minúsculas. Você pode mostrar os resultados usando a capitalização Padrão ou apenas letras minúsculas selecionando Minúsculas no menu.
   • Campos de nome do host:
     • Domínio registrado: mostra apenas o nome de domínio registrado (como google.com, nytimes.com, youtube.com).
     • Maior domínio de nível N: especifique qual nível do domínio será mostrado. Por exemplo, usar o valor 1 mostra apenas o domínio de nível superior (como com, gov ou edu). Usar o valor 3 mostra os dois níveis seguintes dos nomes de domínio (como google.co.uk).
   • Campos de IP: opção de agrupar por Tamanho do prefixo de CIDR em bits. É possível especificar de 1 a 32 para endereços IPv4. Para endereços IPv6, é possível especificar valores de até 128.
   • Campos de carimbo de data/hora: opção de agrupar por resolução de tempo (milissegundos, segundos, minutos, horas, dias).

4. Em Valores, especifique um valor para o pivô na lista de campos dos resultados. É possível especificar até cinco valores.

5. Para cada campo especificado em Valores, selecione uma das seguintes opções em Resumir por:

   • Média
   • Count
   • Contagem distinta
   • Max
   • Min
   • Soma
   • Stddev (desvio padrão)

   As opções de Resumir não são universalmente compatíveis com os campos Agrupar por. Por exemplo, as opções Soma, Média, Desvio padrão, Mínimo e Máximo só podem ser aplicadas a campos numéricos. Se você tentar associar uma opção Resumir incompatível a um campo Agrupar por, vai receber uma mensagem de erro.

   Especifique um valor de Contagem de eventos para retornar o número de eventos identificados para essa pesquisa e tabela dinâmica específicas.

6. Em Ordenar por, especifique um ou mais campos da UDM e selecione uma ou mais opções de classificação usando Crescente ou Decrescente.

7. Clique em Aplicar quando terminar. Os resultados são exibidos no painel Tabela dinâmica.

8. Opcional: para baixar e salvar o conteúdo da tabela dinâmica, consulte Baixar resultados da pesquisa de uma tabela.

Usar o painel "Registros brutos"

Use o painel Registros brutos para ver, classificar e gerenciar os registros que correspondem à sua pesquisa, que avalia a telemetria de registros brutos e não analisados. O objetivo principal do diagnóstico é monitorar a integridade da ingestão e da análise. Ou seja, monitorar quantos registros foram analisados em comparação com quantos não foram analisados e quantos são desconhecidos (o que significa que um ou mais registros foram detectados em um determinado momento, mas o número é indeterminado).

Para informações sobre as funções e ferramentas compatíveis com essa guia, consulte Usar ferramentas comuns para tabelas. As funções disponíveis incluem gerenciar as colunas na tabela exibida pela guia, fazer o download dos resultados da pesquisa e muito mais.

Inspecionar detalhes granulares de um único registro bruto (Visualizador de eventos e correlação de registros brutos)

• Para inspecionar detalhes granulares de um único registro bruto, clique na linha. O Visualizador de eventos é aberto.

  Para mais informações, consulte Usar o Visualizador de eventos para resultados da UDM e RAW.

Usar o painel "Estatísticas"

Use o painel Estatísticas para ver, classificar e gerenciar as estatísticas que correspondem à sua pesquisa.

O painel Estatísticas só aceita um Seletor de colunas , em que é possível adicionar ou remover colunas.

Para informações sobre as funções e ferramentas compatíveis com essa guia, consulte Usar ferramentas comuns para tabelas. As funções compatíveis incluem o download de resultados da pesquisa e muito mais.

Usar o painel "Junções"

Use o painel Junções para ver, classificar e gerenciar os itens que correspondem à sua pesquisa.

Para informações sobre as funções e ferramentas compatíveis com essa guia, consulte Usar ferramentas comuns para tabelas. As funções disponíveis incluem gerenciar as colunas na tabela exibida pela guia, fazer o download dos resultados da pesquisa e muito mais.

Usar o painel "Casos"

Use o painel Casos para ver, classificar e gerenciar os casos que correspondem à sua pesquisa.

Para informações sobre as funções e ferramentas compatíveis com essa guia, consulte Usar ferramentas comuns para tabelas. As funções disponíveis incluem gerenciar as colunas na tabela exibida pela guia, fazer o download dos resultados da pesquisa e muito mais.

Usar o painel "Histórico do caso"

Use o painel Histórico de casos para ver, classificar e gerenciar os históricos de casos que correspondem à sua pesquisa.

Para informações sobre as funções e ferramentas compatíveis com essa guia, consulte Usar ferramentas comuns para tabelas. As funções disponíveis incluem gerenciar as colunas na tabela exibida pela guia, fazer o download dos resultados da pesquisa e muito mais.

Usar o visualizador de eventos para resultados do UDM e RAW

• Para inspecionar detalhes granulares de um único evento ou registro bruto, clique em uma linha da tabela Eventos ou Registros brutos. O Visualizador de eventos é aberto.

O Visualizador de eventos inclui as seguintes guias:

• Campos de evento
• Registro bruto
• Alertas: exibidos apenas para resultados da UDM na tabela Eventos
• Entidades

Usar a guia "Campos de evento"

Por padrão, a guia Campos de evento mostra os campos de evento do UDM em uma estrutura de árvore hierárquica, que é rotulada como Selecionado.

Use a guia Campos de evento para fazer o seguinte:

• Ver uma definição de campo. Mantenha o ponteiro sobre o nome do campo para ver a definição.
• Fixe um campo para acesso rápido. Na lista Selecionado, escolha um campo e clique em manter fixar. O campo aparece na lista Fixado. Os campos permanecem na lista Selecionados, e a hierarquia deles na Lista fixada é mostrada em notação delimitada por pontos com o prefixo udm (por exemplo, udm.metadata.event_type).
• Adicione às colunas ou copie vários campos. Marque a caixa de seleção ao lado de um nó ou campo e escolha Adicionar às colunas ou Copiar.

• Execute estas ações:

  • Filtros: aplique os seguintes filtros aos itens selecionados (check_box) na lista Selecionados:
    • Campos
      • Mostrar campos não enriquecidos
      • Mostrar campos enriquecidos
      • Mostrar mais campos
      • Mostrar campos extraídos
    • Fontes de registros de enriquecimento: as opções disponíveis dependem do evento.
  • Copiar: para copiar os campos e valores do UDM selecionados para a área de transferência do sistema.
  • Adicionar às colunas: adicione o campo UDM como uma coluna.

Cada campo da UDM é rotulado com um ícone que indica se ele contém dados enriquecidos ou não enriquecidos. Os rótulos dos ícones são os seguintes:

• U: campos não enriquecidos contêm valores preenchidos durante o processo de normalização usando dados do registro bruto original.

• E: os campos enriquecidos contêm valores que o Google SecOps preenche para fornecer mais contexto sobre artefatos em um ambiente do cliente. Para mais informações, consulte Enriquecer dados de eventos e entidades com o Google SecOps.

  A exibição de cada campo enriquecido pode mostrar todas as fontes associadas. Essas informações são úteis para validação e solução de problemas, e podem ser necessárias para fins de auditoria e compliance. Também é possível filtrar campos de acordo com a origem do enriquecimento.

Figura 6. Campos de UDM enriquecidos e não enriquecidos na guia Campos de evento do Visualizador de eventos, mostrando fontes de campos enriquecidos.

Figura 7. Use o filtro na guia Campos de evento para mostrar ou ocultar campos de acordo com vários atributos.

Usar a guia "Registro bruto"

A guia Registro bruto mostra o login bruto original em qualquer um dos seguintes formatos:

• Sem formatação
• JSON
• XML
• CSV
• Hex/ASCII

Usar a guia "Alertas"

A guia Alertas mostra os alertas associados ao evento.

A guia Alertas só aparece para resultados da UDM na tabela Eventos.

Usar a guia "Entidades"

A guia Entidades mostra as entidades associadas ao evento.

Clique em uma entidade para mostrar a caixa de diálogo Contexto da entidade, que pode incluir os seguintes itens:

• Nome do recurso
• Primeira visualização
• Última visualização
• Endereços IP
• Endereços MAC
• Número de alertas
• Maior número de alertas por regra
• Gráfico de barras de alertas ao longo do tempo
• Link Abrir alertas e IOCs
• Link Ver na guia "Alertas"

Ver e gerenciar informações na guia "Alertas e detecções"

Use a guia Alertas e detecções para:

• Caça a ameaças em todas as execuções de regras
• Comparação de gatilhos de alertas úteis com precursores comportamentais de baixo ruído
• Definir os limites do incidente em uma visualização consolidada

A guia Alertas e detecções mostra alertas e detecções que correspondem aos seus critérios de pesquisa ativos. Ao combinar alertas e detecções em uma guia, é possível inspecionar alertas de alta gravidade ao lado de ocorrências de regras comportamentais subjacentes para descobrir precursores de baixo ruído que não ultrapassaram o limite de alerta de forma independente.

Os alertas são eventos da UDM e telemetria de conectores de terceiros marcados com limites de alerta ou notificações de alta gravidade. A contagem de Alertas mostra a telemetria de registros da UDM que acionou uma regra de alerta (alert_state = "ALERTING"), além de notificações de alta prioridade ingeridas de conectores de segurança de terceiros, como webhooks do CrowdStrike ou do SOAR.

As detecções são todas as saídas de execução de regras de alerta (ALERTING) e não alerta (NOT_ALERTING) geradas pelas regras YARA-L 2.0 em todo o ambiente. A guia mostra as saídas de execução de regras abrangentes geradas pelo seu mecanismo de detecção YARA-L 2.0 em hits de regras de alerta e não alerta. Todo alerta gerado por regra também é uma detecção (ALERTING), mas a contagem de Detecções também inclui todos os acertos de regras informativas, em segundo plano ou não alertas (NOT_ALERTING).

A contagem no cabeçalho da guia categoriza as correspondências de execução de regras por status do alerta. Por exemplo, se o cabeçalho da guia for Alertas (43) e detecção (0), isso significa que há 43 correspondências em que alerting_rule = true e zero execuções de regras não geradoras de alertas (NOT_ALERTING).

A guia Alertas e detecções inclui os seguintes painéis:

• Gráfico Tendência ao longo do tempo
• Painel Agregações
• Painel Detecções

Dica: clique em Opções de visualização para ocultar ou mostrar o gráfico e o painel Agregações.

Usar o gráfico de tendência ao longo do tempo

A guia Tendência ao longo do tempo na guia Alertas e detecções inclui um gráfico (um histograma) do volume de detecção ao longo do tempo. A largura de cada barra vertical é dimensionada dinamicamente com base na sua janela de pesquisa geral. Por exemplo, cada barra pode representar 10 minutos para uma janela de pesquisa de 24 horas.

O gráfico agrupa todas as correspondências de execução de regras ao longo do tempo em uma única série agregada chamada Detecções.

Observação: o cabeçalho da guia mostra os valores de contagem e divide as descobertas por estado de alerta (por exemplo, Alertas (43) e detecção (0)), enquanto o gráfico Tendência ao longo do tempo agrega todas as ocorrências de detecção como barras de Detecções.

O gráfico oferece suporte para:

• Ajuste do período: arraste os controles deslizantes na linha do tempo para reduzir a janela de tempo visível instantaneamente. A grade de resultados e as agregações são atualizadas sem executar a consulta novamente no back-end.
• Ver as agregações e detecções de uma única janela de tempo de barra: clique em uma barra para restringir o foco do gráfico e das guias Agregações e Detecções à janela de tempo dessa barra. Isso cria um filtro, que é exibido ao lado do botão filter_list Adicionar filtro. Exclua o filtro para mostrar todos os resultados novamente.
• Pop-up de detalhes: ao clicar em uma das barras, uma caixa de diálogo é aberta com a hora e os valores de Detecções consultadas e Detecções filtradas.

Usar o painel "Agregações" para refinar detecções

O conteúdo do painel Agregações na guia Alertas e detecções resume valores de resultados de detecção de alta frequência, que podem ser usados para refinar os resultados da pesquisa.

O painel Agregações inclui três listas recolhíveis: Campos de detecção, Campos de UDM (uma lista de campos de UDM correspondentes) e Campos de entidade.

Cada campo mostra a "contagem de correspondências", ou seja, o número de detecções de alertas que têm o mesmo valor para esse campo. O conteúdo das listas é classificado do maior para o menor número de correspondências e em ordem alfabética dentro do mesmo número de correspondências. Você pode pesquisar campos nas listas e abrir um item de campo.

Para fixar um campo na parte de cima da lista Agregações, passe o cursor sobre ele e clique no ícone manter Manter.

Pesquisar resultados de detecção de alertas no painel "Agregações"

Você pode pesquisar campos ou valores de campo específicos usando o campo Pesquisar do painel Agregações. Isso ajuda você a se concentrar nos alertas mais importantes.

Confira a seguir os principais atributos de alerta para filtrar alertas no painel Agregações:

• Caso
• Nome
• Prioridade
• Gravidade
• Status
• Veredito

Filtrar resultados de detecção de alertas no painel "Agregações"

Para filtrar os resultados da detecção de alertas com agregações, faça o seguinte:

1. No painel Agregações, selecione um campo em uma lista para mostrar uma lista de valores para esse campo.

2. Selecione um valor na lista e clique em more_vert Mais.

3. Selecione uma opção de filtro:

   • Mostrar apenas: a tabela Detecções é atualizada para mostrar apenas os alertas correspondentes, e o filtro = "value" aparece ao lado do botão filter_list Adicionar filtro.
   • Filtrar: a tabela Detecções é atualizada com os alertas correspondentes filtrados, e o filtro != "value" é mostrado ao lado do botão filter_list Adicionar filtro.
   • Maior que (somente para campos de números inteiros): a tabela Detecções é atualizada para mostrar alertas com um valor maior que esse, e o filtro > "value" aparece ao lado do botão filter_list Adicionar filtro.
   • Maior ou igual a (somente para campos de números inteiros): a tabela Detecções é atualizada para mostrar alertas com um valor maior ou igual a esse, e o filtro >= "value" aparece ao lado do botão filter_list Adicionar filtro.
   • Menor que (somente para campos de números inteiros): a tabela Detecções é atualizada para mostrar alertas com um valor menor que esse, e o filtro < "value" aparece ao lado do botão filter_list Adicionar filtro.
   • Menor ou igual a (somente para campos de números inteiros): a tabela Detecções é atualizada para mostrar alertas com um valor menor ou igual a esse, e o filtro <= "value" aparece ao lado do botão filter_list Adicionar filtro.
   • Copiar: copia o par campo-valor para a área de transferência.

• Para excluir um filtro e atualizar os resultados da detecção de alertas, exclua o filtro que aparece ao lado do botão filter_list Adicionar filtro.

Usar o painel "Detecções"

Use o painel Detecções para ver, classificar e gerenciar os itens que correspondem à sua pesquisa.

Para informações sobre as funções e ferramentas compatíveis com essa guia, consulte Usar ferramentas comuns para tabelas. As funções disponíveis incluem gerenciar as colunas na tabela exibida pela guia, fazer o download dos resultados da pesquisa e muito mais.

Inspecionar detalhes granulares de um único alerta (visualizador de alertas)

• Para inspecionar detalhes granulares de um único alerta, clique em uma linha da tabela Detecções. O Visualizador de alertas é aberto.

O Visualizador de alertas inclui as seguintes guias:

• Campos de detecção
• Detalhes
• Variáveis

• Entidades
  
  

• Para acessar outra página no console do Google SecOps com detalhes do alerta, clique em Ver detalhes.

Usar a guia "Campos de detecção"

Por padrão, a guia Campos de detecção mostra os campos em uma estrutura de árvore hierárquica, que é rotulada como Selecionado.

Use a guia Campos de detecção para fazer o seguinte:

• Ver uma definição de campo. Mantenha o ponteiro sobre o nome do campo para ver a definição.
• Fixe um campo para acesso rápido. Na lista Selecionado, escolha um campo e clique em manter fixar. O campo aparece na lista Fixado. Os campos permanecem na lista Selecionados, e a hierarquia deles na Lista fixada é mostrada em notação delimitada por pontos com o prefixo collection (por exemplo, collection.created_time).
• Adicione às colunas ou copie vários campos. Marque a caixa de seleção ao lado de um nó ou campo e escolha Adicionar às colunas ou Copiar.

• Execute estas ações:

  • Aplique filtros à lista Selecionados.
  • Adicionar a colunas: adiciona o campo como uma coluna.
  • Copiar: para copiar os campos e valores selecionados para a área de transferência do sistema.

Usar a guia "Detalhes"

A guia Detalhes mostra os detalhes do alerta. O conjunto de campos de detalhes varia de acordo com o alerta específico.

Exemplos de campos de detalhes:

• Nome (sempre alerta)
• Tipo
• Gravidade
• Pontuação de risco
• Status
• Prioridade
• Detectado
• Janela de detecção
• Criado
• Regra
• Conjunto de regras
• Descrição
• Tags

Usar a guia "Variáveis"

A guia Variáveis mostra o campo, o tipo e o valor de cada variável associada ao alerta.

Usar a guia "Entidades"

A guia Entidades só aparece quando há uma entidade associada ao alerta.

A guia Entidades mostra as entidades associadas ao alerta.

Clique em uma entidade para mostrar a caixa de diálogo Contexto da entidade, que pode incluir os seguintes itens:

• Nome do recurso
• Primeira visualização
• Última visualização
• Endereços IP
• Endereços MAC
• Número de alertas
• Maior número de alertas por regra
• Gráfico de barras de alertas ao longo do tempo
• Link Abrir alertas e IOCs
• Link Ver na guia "Alertas"

Ver e gerenciar informações na guia "Visão geral"

Use a guia Visão geral para fazer o seguinte:

• Verificar o histórico da entidade (Primeira vez visto, Última vez visto, Endereços MAC)
• Verifique se os indicadores observados se sobrepõem a casos ou alertas ativos de operações de segurança

A guia Visão geral mostra o gráfico de contexto de entidade (ECG) consolidado, detalhes de ativos ou usuários e uma visão geral da investigação de indicadores de comprometimento (IOCs) ou entidades que correspondem à sua janela de pesquisa ativa. As informações apresentadas variam de acordo com o tipo.

A guia Visão geral mostra informações da entidade em um dos seguintes tipos de informações predefinidos:

• Detalhes do recurso
• Detalhes do domínio
• Detalhes do arquivo
• Detalhes do IP
• Detalhes do usuário

Conferir os detalhes do recurso na guia "Visão geral"

Quando a consulta inclui uma condição que retorna um recurso específico, por exemplo, principal.hostname="laptop-will" ou principal.ip="10.0.0.76", a guia Visão geral mostra a Visualização de recursos com informações nos seguintes painéis:

• Resumo da pesquisa: mostra as seguintes informações:
  • Detalhes sobre a entidade, incluindo o endereço IP e o endereço MAC associados ao recurso durante o período da pesquisa. O endereço IP e o endereço MAC também podem ser usados para identificar uma entidade e podem ser clicados para mostrar mais informações no visualizador de entidades. Ele também mostra a primeira vez que o recurso foi visto na sua empresa e quando foi visto pela última vez (mais recentemente). Clique em qualquer uma das marcações de tempo (primeira ou última) para fazer uma nova pesquisa usando esse horário.
  • Detalhes sobre alertas, incluindo um gráfico que mostra o número de alertas que envolveram a entidade no período de pesquisa. O painel também lista um subconjunto de regras com o maior número de alertas.
  • Clique em Abrir alertas e IOCs para conferir todos os alertas gerados durante o mesmo período de pesquisa.
  • Clique em Ver na guia "Alertas" para mudar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada.
  • Clique em uma das barras do gráfico para mudar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada, usando o período da barra clicada.
  • Clique no link Ver mais para abrir a visualização Campos da entidade e mostrar todos os campos da entidade associados ao recurso. Para copiar um campo de entidade para a área de transferência, clique na caixa de seleção ao lado dele, em Ver ações e em Copiar entidade. Clique na caixa de seleção na parte de cima para selecionar todas as entidades.
• IOCs relevantes: mostra os IOCs associados ao recurso. Os IOCs com maior gravidade aparecem primeiro. Ao clicar no nome do IOC, o visualizador de entidades é aberto à direita.
• Entidades associadas: mostra outras entidades relacionadas ao recurso, como usuários que fizeram login nele. O painel mostra o tipo de entidade, quando ela foi vista pela primeira vez no ambiente e quando foi vista pela última vez (mais recentemente). Ele também mostra os namespaces associados a um recurso. Clique em uma entidade para abrir o painel Contexto da entidade. Clique em Mostrar todo o período para exibir as entidades associadas em todo o período disponível, em vez do intervalo especificado na pesquisa do UDM.
• Contexto da entidade: mostra detalhes sobre a entidade selecionada no painel Entidades associadas. Esse painel mostra informações diferentes dependendo do tipo de entidade selecionada no painel Entidades associadas (por exemplo, usuário ou domínio).

Confira os detalhes do domínio na guia "Visão geral"

Quando a consulta inclui uma condição que especifica um domínio específico, por exemplo, target.hostname="example.com", a guia Visão geral mostra os detalhes do Domínio com informações nos seguintes painéis:

• Resumo da pesquisa: mostra as seguintes informações:
  • Detalhes sobre o domínio, incluindo as informações do WHOIS associadas ao domínio registrado, a primeira vez que ele foi visto na sua empresa e a última vez (mais recente) que ele foi visto. Clique em Contexto do VT para ver informações sobre o domínio do VirusTotal.
  • Detalhes sobre alertas, incluindo um gráfico que mostra o número de alertas que envolveram a entidade no período de pesquisa. O painel também lista um subconjunto de regras com o maior número de alertas.
  • Clique em Abrir alertas e IOCs para conferir todos os alertas gerados durante o mesmo período de pesquisa.
  • Clique em Ver na guia "Alertas" para mudar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada.
  • Clique em uma das barras do gráfico para mudar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada, usando o período da barra clicada.
  • Clique no link Ver mais para abrir a visualização Campos de entidade e mostrar todos os campos de entidade associados ao domínio. Para copiar um campo de entidade para a área de transferência, clique na caixa de seleção ao lado dele, em Ver ações e em Copiar entidade. Clique na caixa de seleção na parte de cima para selecionar todas as entidades.
• IPs resolvidos: mostra todos os endereços IP resolvidos que foram detectados na sua empresa para o nome de domínio totalmente qualificado (FQDN). Por exemplo, se você pesquisar target.hostname="test.altostrat.com", os resultados da pesquisa poderão mostrar dois endereços IP resolvidos (198.51.100.81 e 203.0.113.81).
• Subdomínios e domínios irmãos: mostra todos os subdomínios associados que foram vistos na sua empresa para um determinado FQDN. Muitos adversários usam o mesmo domínio e subdomínio para os ataques. Por exemplo, se você pesquisar target.hostname="sandbox.altostrat.com", esse painel vai mostrar dois subdomínios, test.sandbox.altostrat.com e staging.sandbox.altostrat.com.
• Prevalência de recursos: mostra o número de recursos na sua empresa que se conectaram ao domínio durante todo o período dos dados armazenados na sua conta do Google Security Operations. Cada barra do gráfico representa o número de recursos únicos na sua empresa que se conectaram ao domínio em um dia UTC. Ao passar o cursor sobre uma barra, as entidades relacionadas aparecem no dia UTC representado por ela. Clique no nome da entidade para ver o resumo e a visão geral dela no painel de contexto à direita. Clique em Ver eventos para conferir os eventos relacionados à entidade selecionada na guia "Eventos de pesquisa".
• Entidades associadas: mostra outras entidades relacionadas a esse domínio, como recursos que entraram em contato com ele. A lista inclui o tipo de entidade, quando ela foi vista pela primeira vez na sua empresa e quando foi vista pela última vez (mais recentemente). Clique em uma entidade para abrir o painel Contexto da entidade.
• Contexto da entidade: mostra detalhes sobre a entidade selecionada no painel Entidades associadas. Esse painel mostra informações diferentes dependendo do tipo de entidade selecionada no painel Entidades associadas (por exemplo, endereço IP ou domínio).

Ver os detalhes do arquivo

Quando a consulta inclui uma condição que retorna um único arquivo, por exemplo, principal.process.file.md5="a00000a75f2a35130aa7a7aaa09aaa7a", a guia Visão geral mostra os detalhes do Arquivo com informações nos seguintes painéis:

• Resumo da pesquisa: mostra as seguintes informações:
  • Detalhes sobre o arquivo, incluindo valores de hash, tamanho do arquivo, a primeira vez que ele foi visto na sua empresa e a última vez (mais recente) que ele foi visto. Clique em Contexto do VT para conferir informações sobre o arquivo do VirusTotal.
  • Detalhes sobre alertas, incluindo um gráfico que mostra o número de alertas que envolveram a entidade no período de pesquisa. O painel também lista um subconjunto de regras com o maior número de alertas.
  • Clique em Abrir alertas e IOCs para conferir todos os alertas gerados durante o mesmo período de pesquisa.
  • Clique em Ver na guia "Alertas" para mudar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada.
  • Clique em uma das barras do gráfico para mudar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada, usando o período da barra clicada.
  • Clique no link Ver mais para abrir a visualização Campos de entidade e mostrar todos os campos de entidade associados ao arquivo. Para copiar um campo de entidade para a área de transferência, clique na caixa de seleção ao lado dele, em Ver ações e em Copiar entidade. Clique na caixa de seleção na parte de cima para selecionar todas as entidades.
• IOCs relevantes: mostra os IOCs associados ao arquivo. Os IOCs com maior gravidade aparecem primeiro. Ao clicar no nome do IOC, o visualizador de entidades é aberto à direita.
• Prevalência de recursos: mostra o número de recursos na sua empresa associados ao arquivo durante todo o período dos dados armazenados na sua conta do Google SecOps.
• Entidades associadas: mostra outras entidades relacionadas ao arquivo, como um recurso em que ele foi executado ou usuários que acessaram o arquivo. A lista inclui o tipo de entidade, quando ela foi vista pela primeira vez na sua empresa e quando foi vista pela última vez (mais recentemente). Clique em uma entidade para abrir o painel Contexto da entidade.
• Propriedades e metadados do VirusTotal: mostra informações sobre o arquivo do banco de dados do VirusTotal. Clique em Ver mais para abrir uma caixa de diálogo do VirusTotal e mostrar mais informações sobre o arquivo.
• Entidades associadas: mostra informações diferentes dependendo do tipo de entidade selecionada no painel Entidades associadas (por exemplo, usuário ou recurso).
• Contexto da entidade: mostra detalhes sobre a entidade selecionada no painel Entidades associadas. Esse painel mostra informações diferentes dependendo do tipo de entidade selecionada no painel Entidades associadas (por exemplo, usuário ou recurso).

Ver os detalhes do IP na guia "Visão geral"

Quando a consulta inclui uma condição que retorna um endereço IP externo específico, por exemplo, target.ip="203.0.113.254", a guia Visão geral mostra os detalhes de IP com informações nos seguintes painéis:

• Resumo da pesquisa: mostra as seguintes informações:
  • Detalhes sobre o endereço IP, incluindo a primeira e a última vez (mais recente) que ele foi visto na sua empresa. Clique em Contexto do VT para ver as informações disponíveis sobre esse endereço IP no VirusTotal.
  • Detalhes sobre alertas, incluindo um gráfico que mostra o número de alertas que envolveram a entidade no período de pesquisa. O painel também lista um subconjunto de regras com o maior número de alertas.
  • Clique em Abrir alertas e IOCs para conferir todos os alertas gerados durante o mesmo período de pesquisa.
  • Clique em Ver na guia "Alertas" para mudar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada.
  • Clique em uma das barras do gráfico para mudar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada, usando o período da barra clicada.
  • Clique no link Ver mais para abrir a visualização Campos de entidade e mostrar todos os campos de entidade associados ao endereço IP. Para copiar um campo de entidade para a área de transferência, clique na caixa de seleção ao lado do campo de entidade, clique em Ver ações e em Copiar entidade. Clique na caixa de seleção na parte de cima para selecionar todas as entidades.
• IOCs relevantes: mostra IOCs associados ao endereço IP. Os IOCs com maior gravidade aparecem primeiro. Ao clicar no nome do IOC, o visualizador de entidades é aberto à direita.
• Prevalência de recursos: mostra o número de recursos na sua empresa que se conectaram ao endereço IP durante o período especificado na pesquisa do UDM.
• Entidades associadas: mostra outras entidades relacionadas a esse endereço IP, como domínios em que o endereço IP está registrado. A lista inclui o tipo de entidade, quando ela foi vista pela primeira vez na sua empresa e quando foi vista pela última vez (mais recentemente). Clique em uma entidade para abrir o painel Contexto da entidade.
• Contexto da entidade: mostra detalhes sobre a entidade selecionada no painel Entidades associadas. Esse painel mostra informações diferentes dependendo do tipo de entidade selecionada no painel Entidades associadas (por exemplo, domínio ou recurso). Se o link aparecer, clique em Contexto do VT para ver informações sobre a entidade do VirusTotal.

Ver os detalhes do usuário na guia "Visão geral"

Quando a consulta inclui uma condição que retorna um usuário específico, por exemplo, principal.user.userid="alice", a guia Visão geral mostra os detalhes do usuário com informações nos seguintes painéis:

• Resumo da pesquisa: mostra as seguintes informações:
  • Detalhes sobre a entidade, incluindo nome completo, primeira vez em que ela foi vista na empresa e a última vez (mais recente) em que ela foi vista, título e endereço de e-mail.
  • Detalhes sobre alertas, incluindo um gráfico que mostra o número de alertas que envolveram a entidade no período de pesquisa. O painel também lista um subconjunto de regras com o maior número de alertas.
  • Clique em Abrir alertas e IOCs para conferir todos os alertas gerados durante o mesmo período de pesquisa.
  • Clique em Ver na guia "Alertas" para mudar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada.
  • Clique em uma das barras do gráfico para mudar para a guia Alertas e detecções nesta página e iniciar uma nova pesquisa na entidade selecionada, usando o período da barra clicada.
  • Clique no link Ver mais para abrir a visualização Campos de entidade e mostrar todos os campos de entidade associados ao usuário. Para copiar um campo de entidade para a área de transferência, clique na caixa de seleção ao lado dele, em Ver ações e em Copiar entidade. Clique na caixa de seleção na parte de cima para selecionar todas as entidades.
• Entidades associadas: mostra entidades relacionadas ao usuário, como domínios com que ele entrou em contato ou recursos que ele acessou. A lista inclui o tipo de entidade, quando ela foi vista pela primeira vez na sua empresa e quando foi vista pela última vez (mais recentemente). Clique em uma entidade para abrir o painel Contexto da entidade.
• Contexto da entidade: mostra detalhes sobre a entidade selecionada no painel Entidades associadas. As informações nesse painel variam de acordo com o tipo de entidade (por exemplo, ativo ou domínio).

Ver e gerenciar informações na guia "Visualizar"

Use a guia Visualizar para transformar os dados dos resultados da pesquisa de ESTATÍSTICAS em um gráfico ou uma tabela.

Usar ferramentas comuns para tabelas

Na página Pesquisa do SIEM, a maioria dos painéis que contêm uma única tabela oferece suporte às mesmas funções e ferramentas comuns.

Esta seção descreve as seguintes funções e ferramentas comuns:

• Caixa de pesquisa. Use a caixa de pesquisa para encontrar resultados correspondentes na tabela ao lado.
• Gerenciar colunas da tabela e compartilhar conjuntos de colunas (gerenciador de colunas).
• Botão Ajustar texto - Remover ajuste de texto. É útil quebrar o texto para ver strings longas inteiras em uma coluna.
• Baixar resultados da pesquisa de uma tabela.
• A ferramenta Linhas por página na parte de baixo da tabela. Você pode usar essa ferramenta para melhorar a estabilidade e a performance do navegador ao carregar um grande número de registros de resultados (linhas). O Google SecOps fornece resultados de pesquisa paginados. Use a lista Linhas por página na tabela Eventos para selecionar o número de linhas que serão exibidas por página (de 25 a 1.000 eventos).

Gerenciar colunas da tabela e compartilhar conjuntos de colunas (gerenciador de colunas)

Para usar uma visualização consistente ao analisar dados de eventos, crie, salve e compartilhe conjuntos de colunas personalizadas para as seguintes tabelas na página Pesquisa do SIEM:

• No painel Resultados, para as seguintes tabelas: Eventos, Registros brutos, Junções
• Na guia Alertas e detecções, para a tabela Detecções.

Para usar essa funcionalidade, sua conta de usuário ou papel do Identity and Access Management precisa ter todas as cinco permissões a seguir:

• chronicle.googleapis.com/savedColumnSets.create
• chronicle.googleapis.com/savedColumnSets.update
• chronicle.googleapis.com/savedColumnSets.delete
• chronicle.googleapis.com/savedColumnSets.list
• chronicle.googleapis.com/savedColumnSets.get

Observação: a guia Estatísticas só é compatível com um Seletor de colunas em que é possível apenas adicionar ou remover colunas. A guia Estatísticas não é compatível com a funcionalidade Gerenciador de colunas.

Criar um conjunto de colunas

As etapas para criar um conjunto de colunas variam um pouco dependendo da tabela com que você está trabalhando.

Para criar um conjunto de colunas para a tabela Eventos, Registros brutos ou Junções, faça o seguinte:

1. Clique em Colunas para abrir o Gerenciador de colunas.
2. Clique no ícone filter_alt Filtrar para especificar se as colunas não aplicáveis devem ser mostradas.
3. Clique na opção Mostrar selecionados para exibir apenas as colunas selecionadas na guia Colunas de eventos.
4. Na guia Colunas de eventos, adicione ou remova colunas do conjunto. Você pode navegar ou pesquisar campos em seções recolhíveis, que variam de acordo com o tipo de resultado da pesquisa. Por exemplo, Campos rápidos (os campos mais comuns por tipo de dados), Campos agrupados, Todos os campos de evento e Todos os campos de entidade. Marque ou desmarque as caixas de seleção para mostrar ou ocultar colunas.
5. Organize as colunas e clique em Salvar. A caixa de diálogo Salvar conjunto de colunas será aberta.
6. Selecione uma das seguintes opções:
   • Salvar: insira um novo nome para o conjunto de colunas.
   • Substituir: se você modificou um conjunto salvo anteriormente, pode substituir o conjunto atual pelas suas mudanças.
7. Clique em Salvar. O conjunto de colunas é listado na guia Conjuntos de colunas.

Para criar um conjunto de colunas para a tabela Detections, faça o seguinte:

1. Clique em Colunas para abrir o Gerenciador de colunas.
2. Clique no ícone filter_alt Filtrar para especificar se as colunas não aplicáveis devem ser mostradas.

3. Na lista Tipo de tabela, selecione o tipo de tabela para o qual você quer criar um conjunto de colunas:

   • Detecções
   • Eventos
   • Entidades (expanda as linhas da tabela para ver as colunas).

   As mudanças feitas em um tipo específico de tabela só se aplicam a tabelas e subtabelas desse tipo.

4. Clique na chave Mostrar selecionados para exibir apenas as colunas selecionadas na guia correspondente (Colunas de detecções, Colunas de eventos ou Colunas de entidades).

5. Na guia correspondente, adicione ou remova colunas do conjunto. Você pode navegar ou pesquisar campos em seções recolhíveis, que variam de acordo com o tipo de resultado da pesquisa. Marque ou desmarque as caixas de seleção para mostrar ou ocultar colunas.

6. Organize as colunas e clique em Salvar. A caixa de diálogo Salvar conjunto de colunas será aberta.

7. Selecione uma das seguintes opções:

   • Salvar: insira um novo nome para o conjunto de colunas.
   • Substituir: se você modificou um conjunto salvo anteriormente, pode substituir o conjunto atual pelas suas mudanças.

8. Clique em Salvar. O conjunto de colunas é listado na guia Conjuntos de colunas.

Compartilhar um conjunto de colunas

Para compartilhar um conjunto de colunas com todos os outros usuários no seu locatário do Google SecOps:

1. Clique em Colunas para abrir o Gerenciador de colunas.
2. Na guia Colunas de eventos, adicione ou remova colunas do conjunto. Você pode navegar ou pesquisar campos em seções recolhíveis (que variam dependendo do tipo de resultado da pesquisa), por exemplo, Campos rápidos (os campos mais comuns por tipo de dados), Campos agrupados, Todos os campos de eventos e Todos os campos de entidades. Marque ou desmarque as caixas de seleção para mostrar ou ocultar colunas.
3. Organize as colunas e clique em Compartilhar. A caixa de diálogo Compartilhar conjunto de colunas é aberta.
4. Selecione uma das seguintes opções:
   • Compartilhar novo: insira um novo nome para o conjunto de colunas a ser compartilhado.
   • Compartilhar existente: selecione um conjunto salvo anteriormente na lista.
5. Clique em Compartilhar. O conjunto de colunas é listado na guia Conjuntos de colunas com um selo COMPARTILHADO.

Carregar um conjunto de colunas salvo

Para carregar um conjunto salvo de colunas, faça o seguinte:

1. Clique em Colunas para abrir o Gerenciador de colunas.
2. Selecione a guia Conjuntos de colunas.
3. Selecione o conjunto de colunas a ser carregado e clique em Aplicar.

Excluir um conjunto de colunas salvo

Para excluir um conjunto salvo de colunas, faça o seguinte:

1. Clique em Colunas para abrir o Gerenciador de colunas.
2. Selecione a guia Conjuntos de colunas.
3. Selecione o conjunto de colunas e clique em Mais > Excluir.

Baixar resultados da pesquisa de uma tabela

Você pode baixar e salvar um arquivo CSV com o conteúdo de uma tabela exibida na página Pesquisa do SIEM. Para a tabela Eventos ou uma tabela dinâmica, também há uma opção para agrupar os registros brutos originais, o que oferece uma correlação precisa entre os registros UDM analisados e a telemetria de origem. Esse recurso foi criado para equipes que precisam de processamento de análise externa, trilhas de auditoria para compliance em que é necessário preservar a relação entre dados normalizados e ingestão original ou correlação externa.

Para baixar os resultados da pesquisa (até o número máximo especificado de resultados da pesquisa) da tabela Eventos:

1. Opcional: use o Gerenciador de colunas para especificar quais campos da UDM incluir no CSV. A coluna Registro bruto é anexada com base na sua seleção.

2. Clique em Baixar na parte de cima da tabela e selecione uma das seguintes opções:

   • Fazer o download como CSV: baixa os eventos correspondentes (e de acordo com o número exato de eventos especificados).
   • Baixar como CSV (com registros brutos): faz o download dos eventos correspondentes e adiciona as strings de registro originais não analisadas como uma coluna dedicada ao lado de cada registro UDM normalizado (e de acordo com o número exato exibido de eventos especificados).

3. Salve o arquivo.

Para baixar os resultados da pesquisa (até o número máximo especificado de resultados da pesquisa) das tabelas na guia Resultado, exceto o painel Eventos ou Tabela dinâmica:

1. Clique em Fazer o download na parte de cima da tabela e selecione Fazer o download como CSV. Isso baixa os resultados correspondentes e, de acordo com o número exato mostrado, os eventos especificados.
2. Salve o arquivo.

Para baixar os resultados da pesquisa (até o número máximo especificado de resultados da pesquisa) da tabela Detecções:

1. Clique em Fazer o download na parte de cima da tabela e selecione Fazer o download como CSV. Isso baixa os resultados correspondentes e, de acordo com o número exato mostrado, os eventos especificados.
2. Salve o arquivo.

Campos aceitos ao salvar um CSV

É possível baixar os seguintes campos para um arquivo CSV na plataforma:

• user
• hostname
• process name
• timestamp
• raw log: válido apenas quando os registros brutos estão ativados para o cliente
• Todos os campos que começam com udm.additional

Tipos de campo válidos ao salvar um CSV

É possível baixar os seguintes tipos de campos para um arquivo CSV:

• double
• float
• int32
• uint32
• int64
• uint64
• bool
• string
• enum
• bytes
• google.protobuf.Timestamp
• google.protobuf.Duration

Campos sem suporte ao salvar um CSV

Não é possível baixar para CSV os campos que atendem a qualquer um dos seguintes critérios:

• Tipo de campo: tipos de dados definidos como uma mensagem ou um grupo no proto da UDM.
• Profundidade do campo: campos aninhados com mais de 10 níveis de profundidade.

• Campos específicos da interface: os seguintes campos mostrados na UI não são compatíveis com o download direto:

  • Campos de evento:

    • Status do evento
    • Resumo do evento

    • Tipo de evento

      Observação: para baixar o tipo de evento, selecione o campo metadata.event_type no Gerenciador de colunas.

  • Gráfico de contexto da entidade:

    • Visto pela primeira vez
    • Visto pela última vez
    • Carimbo de data/hora

  • Pesquisa federada:

    • Código da instância

Limites e cotas

O Google SecOps aplica limites às consultas de pesquisa para garantir a estabilidade da plataforma e a performance consistente em interfaces programáticas e da Web. Esses limites se aplicam às APIs do Backstory e do Chronicle.

Cotas de pesquisa e de API

Os seguintes limites se aplicam ao número de consultas de pesquisa e operações simultâneas por locatário:

• Consultas por hora (QPH): limite de 1.000 QPH para a interface do console da Web e de 2.000 QPH para o acesso programático à API.

• Consultas simples (abrangendo menos de 24 horas, uma única fonte, sem estatísticas): limite máximo de simultaneidade de 180 consultas simultâneas por locatário.

  Se o pool de simultaneidade de consultas simples se esgotar, suas operações vão transbordar automaticamente para a cota de consultas complexas disponível.

• Consultas complexas (que abrangem mais de 24 horas, de várias fontes ou que incluem estatísticas): limite máximo de simultaneidade de 180 consultas simultâneas por locatário.

• Limite de comandos de campo da UDM: uma única consulta pode referenciar no máximo 100 campos da UDM no comando.

Erros de cota

Quando um limite é atingido, a interface da Web mostra uma notificação de erro de cota persistente. Para acesso programático, as chamadas de API (como instances.udmSearch) retornam um erro de status HTTP 429 RESOURCE_EXHAUSTED que contém uma mensagem google.rpc.QuotaFailure com detalhes sobre o limite específico que você excedeu.

Limites de exibição e conjunto de resultados

Para garantir a estabilidade consistente da plataforma e tempos de resposta rápidos em interfaces da Web e de API, o Google SecOps aplica os seguintes limites:

Tipo de pesquisa ou fonte de dados	Número máximo de resultados retornados	Comportamento de exibição do console da Web
Pesquisa de eventos do UDM (Resultados > Eventos)	1.000.000 de registros	Mostra os registros mais recentes em linhas paginadas (de 25 a 1.000 por página). Use Configurações de pesquisa  > Número máximo de resultados a serem retornados para ajustar o limite de back-end (de 1 a 1.000.000, padrão 30.000).
Gráfico de contexto e visão geral da entidade (Visão geral)	1.000.000 de registros	Organizadas em visualizações independentes Com período e Sem período na guia Visão geral com paginação separada. A guia Com tempo mostra entidades com um período definido. A guia Sem período mostra entidades que não têm um período específico.
Tabelas de dados e junções	1.000.000 de registros	As linhas correlacionadas aparecem no painel Resultados > Eventos com base na configuração do Gerenciador de colunas.
Casos e histórico de casos	1.000.000 de registros	Diretamente nos painéis Casos e Histórico de casos.No contexto de Visão geral ou usando consultas de Pesquisar casos.
Estatísticas (Resultados > Estatísticas)	100.000 registros (somente UI e na API de operação de longa duração)	Os gráficos renderizam os principais valores para facilitar a leitura e mostram um aviso quando os limites visuais são excedidos.
Agregações de tabela dinâmica (Resultados > Tabela dinâmica)	100.000 registros	Os gráficos renderizam os principais valores para facilitar a leitura e mostram um aviso quando os limites visuais são excedidos.
Detecções de regras (Alertas e detecções)	100.000 registros	Diretamente na guia combinada Alertas e detecções.

Otimizar e refinar seus resultados da pesquisa

Esta seção descreve as limitações e expectativas de desempenho e oferece correções de autoatendimento para problemas comuns com a página Pesquisa do SIEM no Google Security Operations.

Otimização de performance e práticas recomendadas

Para otimizar a velocidade da consulta e minimizar os riscos de tempo limite:

• Primeiro, reduza o período: o tempo é o filtro mais eficaz. Consultar a janela exata de duas horas de um incidente é exponencialmente mais rápido do que pesquisar um período de 30 dias.
• Consulte campos exatos da UDM em vez de aliases agrupados: embora os campos agrupados (ip = "1.2.3.4") sejam convenientes, eles forçam o mecanismo a verificar mais de 15 campos subjacentes (principal.ip, target.ip, observer.ip). Se você souber que um endereço IP pertence ao servidor de destino, consulte target.ip = "1.2.3.4" diretamente.
• Evite caracteres curinga no início das expressões regulares: consultas que começam com um caractere curinga (principal.hostname = /.*server-.*/) impedem pesquisas de índice e forçam verificações completas de tabelas. Ancore sua expressão regular sempre que possível (principal.hostname = /^prod-server-.*/).
• Aproveite os metadados indexados: filtre por metadata.event_type (NETWORK_CONNECTION, PROCESS_LAUNCH, USER_LOGIN) ou metadata.log_type no início da sua cadeia AND para remover fontes de registros irrelevantes instantaneamente.
• Use limit: N para amostragem rápida de dados e visualizações rápidas: adicione a palavra-chave limit: N diretamente à sua consulta (por exemplo, metadata.event_type = "USER_LOGIN" limit: 50) para amostragem rápida de dados e visualizações rápidas.

Práticas recomendadas para pesquisas amplas

Se a pesquisa for muito ampla, o Google SecOps vai mostrar uma mensagem de aviso indicando que nem todos os resultados podem ser mostrados. Nesses casos, o sistema recupera apenas os resultados mais recentes, até o limite de pesquisa de um milhão de eventos e mil alertas. No entanto, pode haver muito mais eventos e alertas correspondentes que não são mostrados.

Para capturar todos os resultados relevantes, refine sua pesquisa aplicando outros filtros, por exemplo:

• Reduza o intervalo de tempo para diminuir o tamanho do conjunto de dados.
• Use consultas de pesquisa ou filtros específicos em vez de termos gerais.
• Consulte campos de UDM precisos em vez de campos agrupados quando precisar de resultados para um único campo.

Depurar e refinar consultas

Esta seção descreve como depurar e refinar consultas.

Ver erros de ambiente de execução

Se a consulta retornar um erro, a mensagem específica de erro de execução vai aparecer de forma persistente no painel Resultados. Essa exibição persistente garante que o contexto do erro permaneça visível, ajudando você a resolver o problema.

Limitar os resultados da pesquisa

É possível limitar os resultados da pesquisa adicionando a palavra-chave limit com o número máximo de resultados que você quer mostrar. Isso é útil para gerar prévias rápidas de dados, otimização de performance ou quando você precisa apenas de um subconjunto dos resultados. Por exemplo, se você adicionar limit: 25 à sua pesquisa, os resultados serão limitados a um máximo de 25.

Observação: você também pode adicionar a palavra-chave limit aos painéis personalizados.

Investigar conjuntos de dados grandes

O Google SecOps permite retornar e navegar por até 1 milhão de resultados. Isso permite investigar grandes conjuntos de dados diretamente na interface da Web sem exportar resultados. Em pesquisas grandes, os campos visíveis são limitados por padrão.

Observação: depois que os resultados forem carregados, você poderá aplicar filtros para refinar os dados sem precisar executar a pesquisa novamente. Isso ajuda você a restringir os conjuntos de resultados rapidamente.

Limites de resultados para fontes de dados

A tabela a seguir lista o número máximo de resultados retornados para cada fonte de dados:

Tipo de pesquisa ou fonte de dados	Número máximo de eventos ou linhas nos resultados da pesquisa
UDM	1.000.000
ECG	1.000.000
Tabela de dados	1.000.000
Junção de UDM com UDM	1.000.000
Junção de UDM e ECG	1.000.000
Mesclagem da UDM com a tabela de dados	1.000.000
Casos e histórico de casos	1.000.000
Estatísticas	100.000
Detecções	100.000

Observação: os limites são os mesmos, seja usando a plataforma ou a API. Consulte APIs de pesquisa assíncronas para informações sobre os limites da API.

Adicionar um filtro para refinar sua consulta

Para adicionar um filtro e refinar sua consulta, faça o seguinte:

1. Na página Pesquisa do SIEM, clique em filter_listAdicionar filtro. Uma caixa de diálogo é aberta para que você selecione um campo e mostre (=) ou filtre (!=) os valores dele.

2. Configure os parâmetros da caixa de diálogo.

   

   Figura 8. Exemplo da caixa de diálogo de filtro.

3. Clique em Aplicar. O filtro aparece ao lado do botão filter_list Adicionar filtro, e os resultados da pesquisa são filtrados de acordo com ele.

4. Opcional: faça o seguinte:

   • Se quiser incorporar automaticamente o filtro ao editor de consultas e executar a pesquisa, clique em Aplicar à pesquisa e executar.
   • Se quiser excluir o filtro, clique em Limpar.

Observação: o botão Limpar só fica disponível antes de você clicar em Aplicar à pesquisa e execução.

Solução de problemas

Se você receber uma mensagem de erro genérica, como Error: Search has encountered an error and could not load data, siga estas etapas para resolver o problema:

• Conecte-se ao Google SecOps de outra rede. Por exemplo, use uma VM na nuvem para ajudar a identificar problemas de rede.
• Verifique se as chamadas da API Chronicle são permitidas pela configuração ou política de firewall ou proxy da sua organização.
• Verifique se não há um limite de dados configurado para as chamadas da API Search, já que as pesquisas podem retornar grandes conjuntos de dados.
• Verifique se há tempos limite configurados. As consultas de pesquisa podem ser executadas de forma assíncrona e exigir mais tempo para retornar dados. Se os tempos limite estiverem definidos, verifique se eles permitem uma duração suficiente, como 60 minutos, antes que a consulta atinja o tempo limite.

Se o erro persistir, entre em contato com o suporte ao cliente.

A seguir

Para mais informações sobre consultas de pesquisa, consulte:

• Entender a sintaxe de pesquisa contém detalhes e exemplos sobre a sintaxe YL2 necessária para criar e consultar valores de dados, escapes e operadores no editor de consultas.
• Práticas recomendadas de pesquisa.
• Pesquisar casos e o histórico deles na pesquisa unificada.
• Gerar consultas de pesquisa da UDM com o Gemini.
• Usar dados enriquecidos com contexto na pesquisa.

Para mais informações sobre os resultados da pesquisa, consulte:

• Investigue uma entidade usando a pesquisa UDM.
• Investigar detecções na Pesquisa descreve como usar a guia Alertas e detecções na página Pesquisa do SIEM.
• Entenda a disponibilidade de dados para pesquisa detalha o ciclo de vida da ingestão de dados, incluindo o fluxo de dados e a latência de ponta a ponta, e como esses fatores afetam a disponibilidade de dados ingeridos recentemente para consulta e análise.
• Comparação da pesquisa de UDM com os resultados das regras descreve como comparar os resultados da consulta de pesquisa de UDM com as regras de detecção em tempo real.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.