Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

瞭解搜尋功能

支援：

Google SecOps SIEM

本指南適用於資安分析師，說明如何使用 SIEM 搜尋頁面，在 Google Security Operations 中查詢、關聯及分析企業的資安資料。「SIEM Search」(SIEM 搜尋) 頁面是所有支援資料串流的中央導覽中心，並整合了其他遙測和安全防護機制來源。本指南提供操作說明，並解釋「SIEM Search」頁面的所有基本功能和特色。

重要術語

統合資料模型 (UDM)：Google SecOps 採用的標準化資料格式，用於一致呈現各種來源的安全性事件。
事件：事件是從擷取至 Google SecOps 的原始記錄來源產生，並由 Google SecOps 的擷取和正規化程序處理。單一原始記錄來源記錄可能會產生多個事件。事件代表一組從原始記錄產生的安全性相關資料點。在「SIEM 搜尋」頁面中，事件是指符合搜尋查詢的正規化 UDM 事件遙測資料和原始記錄。
快訊：在「SIEM 搜尋」頁面中，「快訊」是指已啟用快訊功能的規則偵測結果。詳情請參閱「針對即時資料執行規則」。
原始記錄：未剖析的原始記錄遙測資料。診斷的主要目標是監控擷取和剖析健康狀態。
彙整：根據共同欄位值，彙整及合併多個來源的原始資料。您可以連結相關事件、實體和其他資料，調查複雜的攻擊情境。您可以搜尋統計 join (需要比對部分才能匯總結果)，或資料彙整 (擷取完整事件或實體資料，並直接顯示，不進行任何匯總)。詳情請參閱「在搜尋和資訊主頁中套用彙整」和「在沒有比對區段的情況下實作彙整」。
統計資料：UDM 事件，結果會分組進行統計分析。詳情請參閱「使用統計資料分析搜尋資料」。
案件和案件記錄：安全性案件和歷史案件稽核記錄，可與其他安全性資料建立關聯。詳情請參閱「搜尋案件總覽」。
實體背景資訊圖 (ECG)：Google SecOps 中的圖形資料庫，可儲存有狀態的實體記錄 (例如資產、使用者和威脅指標)，以便與安全性事件記錄建立關聯。詳情請參閱「實體內容圖總覽」。
自然語言查詢列：「SIEM 搜尋」頁面頂端的列，您可以在此使用自然語言輸入搜尋陳述式。
查詢編輯器：位於「SIEM Search」(SIEM 搜尋) 頁面自然語言查詢列下方的方塊，您可以在這裡手動建構查詢，並顯示查詢程式碼。

事前準備

您必須為使用者帳戶指派標準的 Google SecOps Search 權限和角色，才能執行查詢及查看偵測詳細資料。

如要使用下列進階搜尋功能，您的使用者帳戶或 Identity and Access Management 角色必須具備額外的精細權限，具體取決於所使用的功能：

如要查看豐富或擴充的活動詳細資料，必須使用 chronicle.events.fetchEnrichedEvent。
儲存搜尋內容和編輯搜尋檢視畫面需要 chronicle.savedSearches.update 和 chronicle.searchViews.update。
查看記錄剖析器和結構定義需要 chronicle.parsers.list 和 chronicle.parsers.get。
如要搜尋案件記錄，必須具備 chronicle.cases.get 和 chronicle.cases.list。
使用自訂 IAM 角色時，SQL 搜尋 (特別是查詢編輯器中的自動查詢建議) 需要 chronicle.queries.suggestSql。
如要在整個機構中建立、共用、修改及管理已儲存的自訂欄組合，您必須具備下列所有五項權限：chronicle.googleapis.com/savedColumnSets.create、chronicle.googleapis.com/savedColumnSets.update、chronicle.googleapis.com/savedColumnSets.delete、chronicle.googleapis.com/savedColumnSets.list 和 chronicle.googleapis.com/savedColumnSets.get。

開啟「搜尋」頁面

如要開啟「SIEM Search」(SIEM 搜尋) 頁面，請按照下列步驟操作：

登入 Google SecOps。
在導覽列中，依序按一下「調查」>「SIEM 搜尋」。

圖 1. 「SIEM Search」頁面範例，用於探索事件趨勢。

強制執行資料 RBAC 範圍

Google SecOps 搜尋引擎會在所有分頁中，嚴格執行角色式存取控管 (資料 RBAC) 範圍篩選。您只會看到與指派給使用者角色的資料範圍明確相符的 UDM 事件、原始記錄、快訊、偵測項目和案件。

設定「搜尋」頁面的一般設定

「SIEM 搜尋」頁面的一般設定是使用者專屬設定。

您可以在「SIEM Search」(SIEM 搜尋) 頁面調整下列一般設定：

指定搜尋結果數量上限
選擇查詢編輯器的收合行為

指定搜尋結果數量上限

如要指定搜尋結果數量上限，請按照下列步驟操作：

在「SIEM Search」頁面，按一下「settings」「設定」，然後選取「Maximum Results」。
選取「Max Results to Return」選項。選項包括 1k、30k、100k、1M 和 custom (可採用 1 至 1M 之間的值)。預設值為 30k。

提示： 選擇較小的結果集大小，查詢通常會更快執行。
按一下「套用」。

選擇查詢編輯器的收合行為

您可以設定查詢編輯器，在執行搜尋後自動收合，盡可能騰出螢幕空間來查看搜尋結果。如果採用「預設」設定，查詢編輯器會在執行搜尋後保持展開狀態。

如要啟用自動摺疊功能，請按照下列步驟操作：

在「SIEM Search」(SIEM 搜尋) 頁面中，按一下「settings」圖示，然後選取「Query Editor」(查詢編輯器)。
在「查詢編輯器」對話方塊中，選取「自動收合查詢編輯器」。

建立搜尋查詢

以下各節說明如何建立搜尋查詢。

您可以使用下列任一方法建立搜尋查詢：

以自然語言輸入搜尋陳述式，並使用 Gemini 以 YARA-L 2.0 方言生成查詢。請務必使用英文。
在查詢編輯器中手動建構查詢，使用 YARA-L 2.0 或 SQL (GoogleSQL) 方言。

使用自然語言生成查詢

如要使用自然語言生成查詢，請完成下列步驟：

在「SIEM Search」頁面，點選搜尋 自然語言查詢列，然後輸入英文搜尋陳述式。

以下陳述式範例可能產生實用的搜尋結果：
- network connections from 10.5.4.3 to google.com
- failed user logins over the last 3 days
- emails with file attachments sent to john@example.com or jane@example.com
- all Cloud service accounts created yesterday
- outbound network traffic from 10.16.16.16 or 10.17.17.17
- all network connections to facebook.com or tiktok.com
- service accounts created in Google Cloud yesterday
- Windows executables modified between 8 AM and 1 PM on May 1, 2026
- all activity from winword.exe on lab-pc
- scheduled tasks created or modified on exchange01 during the last week
- email messages that contain PDF attachments
- emails sent by or sent from admin@acme.com on July 1
- any files with the hash 44d88612fea8a8f36de82e1278abb02f
- all activity associated with user "sam@acme.com"

如果搜尋陳述式包含時間相關字詞，系統會自動調整時間範圍參數，以符合搜尋條件。舉例來說，這項政策適用於包含下列字詞的搜尋：

yesterday
within the last 5 days
on July 1, 2026

按一下「產生查詢」。如果 Gemini 可以解讀搜尋陳述式，就會以 YARA-L 2.0 方言生成有效的查詢，並顯示在查詢編輯器中。如果系統無法解讀搜尋陳述式，就會顯示訊息，要求您嘗試以其他方式提問。如果查詢運算式有效，「執行搜尋」按鈕就會變成可用狀態。
選用：使用日期範圍參數調整搜尋時間範圍。
按一下「執行搜尋」。系統會顯示搜尋結果。
選用：手動新增其他搜尋篩選器，或使用自然語言查詢列縮小結果範圍，然後再次執行搜尋。

在查詢編輯器中手動建構查詢

如要瞭解 SIEM 搜尋頁面支援的不同查詢類型，以及建構查詢的語法，請參閱下列文件：

如要進一步瞭解 YARA-L 2.0 搜尋語法，請參閱「瞭解搜尋語法」。
如要瞭解如何建構 Join 查詢，請參閱「在搜尋和資訊主頁中套用彙整」和「在沒有比對區段的情況下實作彙整」。
如要瞭解如何建構統計 (STATS) 查詢，請參閱「使用統計資料分析搜尋資料」。
如要瞭解如何建立案件記錄查詢，請參閱「在『搜尋』頁面搜尋案件和案件記錄」。

如要手動建構查詢，請完成下列步驟：

在「SIEM Search」(SIEM 搜尋) 頁面中，按一下查詢編輯器。
選擇查詢方言：
- YL2 (預設)：使用標準 YARA-L 2.0 語法，快速搜尋事件、篩選實體及關聯行為。
- SQL：SQL (GoogleSQL) 模式可讓您執行與 BigQuery 相容的查詢、在 UDM 和實體關聯圖 (ECG) 之間建立複雜的多資料表彙整，以及直接在控制台中執行進階匯總。
在查詢編輯器中輸入查詢，並考量下列事項：
- 自動建議和自動完成：使用 YL2 選項輸入查詢時，自動建議和自動完成功能會根據輸入內容建議有效欄位。
- UDM 查詢：撰寫查詢時，如果您不知道確切的欄位名稱或值，可以使用 UDM 查詢輔助。
- 語法編譯錯誤：如果查詢編輯器偵測到語法編譯錯誤，會在有問題的文字下方直接顯示紅色波浪線。將滑鼠游標懸停在底線文字上，即可查看具體錯誤說明。查詢編輯器一次只會醒目顯示一個錯誤，因此您必須依序修正錯誤。
使用「日期範圍」參數設定查詢的日期範圍。
如果查詢運算式有效，請按一下「執行搜尋」。系統會顯示搜尋結果。
選用步驟：手動或使用控制台新增其他搜尋篩選器，縮小結果範圍，然後再次執行搜尋。

指定搜尋的時間範圍

使用「Time Range」(日期範圍) 選單，指定搜尋的時間範圍。

搜尋的日期範圍上限一律受限於租戶的記錄保留設定。

時間範圍上限：

UDM：365 天。
RAW：365 天。
JOIN：內部彙整為 90 天。沒有比對條件的內部 join：14 天。外部彙整：14 天。
STATS：90 天。
CASE 和 CASE HISTORY：90 天，受限於案件保留限制或完整案件記錄生命週期。
ECG：365 天。

Google SecOps 會評估搜尋查詢的設定，並根據搜尋類型和搜尋條件套用最大日期範圍。(舉例來說，包含外部彙整的 STATS 查詢，其日期範圍上限會小於不含外部彙整的 STATS 查詢)。

如要設定日期範圍，請按照下列步驟操作：

在「SIEM Search」(SIEM 搜尋) 頁面，從「日期範圍」(Time Range) 旁的清單中選取模式
- 絕對：使用絕對時間範圍選取固定開始和結束時間。
- 相對：使用相對時間範圍，從目前時間往回搜尋。您點選「執行搜尋」的時間會設為查詢的結束時間。
如果選取「絕對」，請執行下列操作：
1. 按一下 calendar_month calendar 開啟「設定日期和時間範圍」對話方塊。
2. 執行下列任一操作：
  - 如要使用下列任一方法設定時間，請選取「範圍」分頁標籤：
    - 使用預設範圍：從側欄選取預設範圍，例如「過去 3 天」或「不限時間」。「不限時間」：搜尋整個保留期間。
    - 選取日期：在日曆上按一下開始日期和結束日期。
    - 設定時間：使用日曆下方的時間選單選取特定時間。
  - 如要根據事件指定日期和時間範圍，請按一下「事件時間」分頁標籤，在日曆上選取日期，然後設定時間範圍：
    - 確切時間：按一下「事件」欄位，選取或輸入事件發生的確切時間。
    - 時間緩衝：從清單中選取預先定義的日期範圍。
3. 按一下「套用」。
如果選取「相對」，請執行下列操作：
1. 在文字欄位中輸入整數。
2. 從選單中選取時間單位：「秒」、「分鐘」、「小時」、「天」、「週」、「月」或「年」。

使用自動建議功能建構查詢

撰寫查詢時，查詢編輯器會自動提供建議，協助您有效率地建構查詢。

瀏覽及選取建議

輸入文字時，系統會顯示與文字相符的欄位建議清單，包括下列選項：

選取欄位：使用向上或向下鍵瀏覽清單，然後按 Enter 鍵選取欄位。
查看中繼資料：使用向上或向下鍵醒目顯示建議後，按一下 chevron_right 即可查看欄位說明。
逐步填寫欄位：編輯器會建議目前欄位的直接子項，並隱藏輸入的前置字元，以節省螢幕空間。這些建議下方會依字母順序顯示所有其他相符的欄位。
完成運算子和值：選取欄位後，編輯器會根據欄位的資料類型，建議有效的運算子 (例如 =、!=)。如果是列舉欄位，在您輸入運算子和雙引號 (") 後，編輯器會顯示所有有效值的建議 (例如 NETWORK_EVENT)。

瞭解建議排名

查詢編輯器會將建議分為三個類別，協助您快速找到欄位：

近期使用的欄位：系統會根據您近期使用過且與輸入內容相符的欄位，提供前七項建議。這份清單會儲存在 SIEM 搜尋、規則與偵測和資訊主頁頁面的瀏覽器工作階段記錄中。清除快取或切換瀏覽器會重設這項記錄。
直接子項：下一組建議只會顯示目前欄位的第一層子項。
全域比對：最後一個部分會依字母順序顯示所有相符的欄位。

管理自動建議設定

如要全域管理 Google SecOps 顯示自動建議的方式，請按照下列步驟操作：

按一下個人資料顯示圖片，然後從清單中選取「User Preferences」。系統會顯示「User Preferences」對話方塊。
在對話方塊中，按一下「自動建議」。
如要控管查詢編輯器中顯示的自動建議，請調整下列設定：
- 啟用輸入時的建議功能：啟用自動建議功能。
- 優先顯示近期使用的欄位：在清單頂端顯示最近使用的欄位
- 「Suggest immediate child fields」(直接建議子欄位)：一次補全一個子節點，逐步補全巢狀欄位。
- 建議所有可用路徑：顯示所有巢狀欄位建議的完整展開路徑
按一下 [儲存]。

找出搜尋查詢的 UDM 欄位 (UDM 查詢)

編寫搜尋查詢時，您可能不知道要加入的確切 UDM 欄位名稱或值。UDM 查詢功能可讓您快速找到 UDM 欄位名稱，其中包含名稱中的文字字串，或儲存特定字串值。您可以選取 UDM 查詢傳回的一或多個結果，並將結果做為搜尋查詢的起點、將結果附加至現有查詢，或將結果儲存至剪貼簿。

如要使用 UDM 查詢，請按照下列步驟操作：

在「SIEM Search」頁面，點選「UDM Lookup」。「UDM Lookup」對話方塊隨即開啟。
選取下列其中一項或兩項「比對依據」選項，指定要搜尋的資料範圍：
- UDM 欄位：搜尋與欄位名稱相符的文字，例如 network.dns.questions.name 或 principal.ip。
- 值：在儲存的記錄值中搜尋文字字串，例如 dns 或 google.com。
按一下「搜尋」「輸入確切的比對字串」欄位，然後輸入要比對的字串。輸入時，搜尋結果會顯示在對話方塊中。

比對 UDM 欄位和值時，結果會有所不同，如下所示：
- 使用「比對用 UDM 欄位」名稱搜尋時，系統會傳回在結構定義定義中找到的完全相符項目。
  
  圖 2：在「UDM Lookup」(UDM 查詢) 對話方塊中，使用「Match On」(比對依據) UDM 欄位名稱進行搜尋。
- 使用「Match On Values」(比對值) 搜尋時，系統會搜尋擷取的記錄遙測資料，並傳回兩種類型的結果：
  - 完全相符的值：對於常見的文字欄位 (例如應用程式、主機名稱、網址、IP 位址和使用者名稱)，UDM 查詢會顯示完全相符的值，並以黃色醒目顯示搜尋字串，以及最新的記錄擷取時間戳記。
  - 可能的值相符：如果欄位包含冗長、複雜或非結構化文字 (例如指令列、說明、偵測欄位和自訂欄位)，UDM 查詢會指出搜尋字詞出現在歷來遙測資料的該欄位中。結果會顯示 UDM 欄位名稱，後面接著 (Possible value match)，而不是顯示單一完整值。
  圖 3：在「UDM Lookup」(UDM 查詢) 對話方塊中，使用「Match On」(比對依據)「Values」(值) 進行搜尋。
在結果清單中，您可以執行下列操作：
- 按一下 UDM 欄位名稱，即可查看該欄位的說明。
- 勾選 UDM 欄位名稱旁的核取方塊，選取一或多個結果。
- 按一下「重設」按鈕，即可取消選取結果清單中所有選取的欄位。
執行下列其中一個步驟：
- 如要將所選結果複製到剪貼簿，請按一下「複製 UDM」。然後關閉「UDM 查詢」對話方塊，並將剪貼簿內容貼到查詢編輯器。
- 如要將所選結果附加到查詢編輯器中的查詢，請按一下「附加到搜尋」。接著，Google SecOps 會將所選結果轉換為搜尋查詢，做為 UDM 欄位名稱或名稱/值組合。
  
  如果附加多個結果，Google SecOps 會使用 OR 運算子，將每個結果新增至查詢編輯器中現有查詢的結尾。
  
  視 UDM 查詢傳回的相符類型而定，附加的查詢字串會有所不同：
  - 如果結果與 UDM 欄位名稱中的文字字串相符，系統會將完整的 UDM 欄位名稱附加至查詢。例如：
    
    principal.artifact.network.dhcp.client_hostname
  - 如果結果是完整值相符，則名稱/值組合會包含與完整值完全相等的條件。
  - 如果結果是「Possible value match」，名稱/值組合會包含 UDM 欄位名稱，以及不區分大小寫、含有搜尋字詞的規則運算式。
視需要編輯查詢編輯器中的查詢。

UDM 查詢搜尋行為和欄位涵蓋範圍

UDM Lookup 可協助您找出欄位名稱，並在已擷取的記錄資料中搜尋歷來值。本節將說明搜尋功能在兩種模式下的運作方式、提供查詢範例，並說明欄位涵蓋範圍界限。

搜尋模式：UDM 欄位與值

UDM 查詢提供兩種不同的搜尋模式：

UDM 欄位模式：「比對 UDM 欄位」會搜尋 UDM 結構定義定義，協助您找出正確的欄位路徑。所有資料類型都有欄位名稱，包括文字欄位 (principal.hostname)、數值通訊埠 (target.port)、布林值旗標 (security_result.is_alert) 和事件類別 (metadata.event_type)。

範例：輸入 port 後，系統會顯示 network.ip_port、principal.port、target.port 和 src.port 等欄位。
值模式：比對值會在擷取的事件記錄中，搜尋相符的文字值：
- 完全比對值：如果是常見的 ID 和文字欄位 (例如主機名稱、IP 位址、網域和使用者名稱)，UDM 查詢功能會在資料中找出完全相符的值，並產生等式條件 (例如 principal.hostname = "example.com")。
- 可能的值相符 (規則運算式)：針對長文字、指令列、網址、登錄機碼和檔案路徑，UDM 查詢會傳回「可能的值相符」和規則運算式 (例如 principal.process.command_line = /powershell/ NOCASE)。

欄位涵蓋範圍落差和直接搜尋方法

依「值」搜尋時，UDM 查詢會搜尋未經擴充的原始事件資料中的文字欄位。在「值」模式中，某些資料類型和高用量 ID 欄位不會傳回相符項目。如要搜尋這些欄位，請直接在查詢編輯器中輸入運算式。

這個部分包含以下項目：

數值、布林值、時間戳記和位元欄位
排除的 ID 欄位
可能值相符的欄位 (規則運算式)
擴充欄位和實體圖表

數字、布林值、時間戳記和位元組欄位

UDM 查詢值搜尋不會傳回非文字資料類型的相符項目。如要搜尋這些欄位，請直接在搜尋列中輸入條件：

欄位類別	UDM 欄位範例	直接搜尋範例
通訊埠編號和狀態碼	`network.ip_port`、`principal.port`、`target.port`、`network.http.response_code`	`network.ip_port = 443` `network.http.response_code = 403`
指標和風險評分	`security_result.risk_score`、`network.sent_bytes`、`network.received_bytes`	`security_result.risk_score >= 80` `network.sent_bytes > 50000000`
布林值旗標	`security_result.is_alert`、`network.dns.answers.is_authoritative`	`security_result.is_alert = true`
預先定義的列舉	`metadata.event_type`、`network.ip_protocol`	`metadata.event_type = "USER_LOGIN"` `network.ip_protocol = "TCP"`
時間戳記	`metadata.event_timestamp.seconds`、`metadata.ingested_timestamp`	使用「日期範圍」選單或查詢進行篩選：`metadata.event_timestamp.seconds > 1700000000`
事件 ID (原始位元組)	`metadata.id`	`metadata.id = "..."`
地理座標	`principal.location.latitude`、`principal.location.longitude`	依區域位置欄位篩選：`principal.location.country_or_region = "US"`

排除的 ID 欄位

依「值」搜尋時，下列高熵和工作階段追蹤欄位不會傳回相符結果：

排除的欄位類別	UDM 欄位	直接搜尋範例
程序 ID	`.pid` (例如 `principal.process.pid`、`target.process.pid`)、`.product_specific_process_id`	`target.process.pid = "4128"`
工作階段和連線 ID	`network.session_id`、`network.parent_session_id`、`metadata.product_log_id`	`network.session_id = "sess-9481"`
偵測規則 ID	`security_result.rule_id`	`security_result.rule_id = "rule_suspicious_login"`
資源和資產 ID	`.resource.id` (包括 Cloud ARN 和 URI)、`.asset_id`	`target.resource.id = "arn:aws:s3:::my-bucket"`
擷取標籤	`metadata.base_labels.`、`metadata.enrichment_labels.`	`metadata.base_labels.log_types = "WINEVTLOG"`

可能相符的值 (規則運算式)

如果欄位包含長而複雜的字串，其中有許多路徑分隔符或引數，UDM 查詢會傳回「可能的值相符」規則運算式 (/.../ NOCASE)，而非完全相符的值：

指令列：principal.process.command_line、target.process.command_line
檔案路徑：principal.process.file.full_path、target.file.full_path
網路和網路網址：principal.url、target.url、network.http.referral_url
登錄機碼：principal.registry.registry_key、target.registry.registry_key
自由形式說明：metadata.description、security_result.description、security_result.summary
User-Agent 字串：network.http.user_agent
動態自訂欄位：additional.fields.value.*

經過填充的欄位和實體圖表

UDM 查詢會搜尋 2023 年 8 月 10 日後擷取的原始記錄資料。不會傳回下列值：

下游擴充：例如 GeoIP 位置解析、WHOIS 資料、安全瀏覽判定或 VirusTotal 分數。如要搜尋這些欄位，請直接篩選擴充欄位路徑 (例如 target.ip_geo_artifact.country_or_region = "US")。
實體圖譜物件：graph.* 命名空間中的資料。
截止日期前的歷來資料：2023 年 8 月 10 日前擷取的記錄。如要搜尋較舊的資料，請在「搜尋」頁面直接使用搜尋查詢。

在搜尋中使用資料表

您可以在搜尋中使用資料表功能。這樣一來，您就能將現有的威脅資訊資料庫與搜尋功能搭配使用，在企業中搜尋威脅。

舉例來說，假設您有名為 suspicious 的資料庫，其中包含您認為有問題的 IP 位址欄，您可以在搜尋查詢中參照該資料庫，而不必在查詢中手動輸入個別 IP 位址：

  events:
      $e.principal.ip in %suspicious.ip

除了 IP 位址外，您也可以搜尋特定中繼資料來縮小結果範圍，例如您可能特別關注使用者資源的變更：

  events:
      $e.metadata.event_type = "USER_RESOURCE_UPDATE_CONTENT"
      $e.principal.ip in %suspicious.ip

您可以縮小搜尋範圍，只搜尋相互關聯的 UDM 欄位，並比對多個資料表資料欄。以下範例會搜尋安全性結果為 ALLOW 的 NETWORK_CONNECTION 事件。然後，系統會將這些事件與 badApps 資料表中的 hostnames 欄和 ip 欄進行比對。

events:
  $e.metadata.event_type = "NETWORK_CONNECTION"
  $e.security_result.action = "ALLOW"
  $e.target.asset.asset_id = $assetid

  // Event hostname matches at least one value in table column hostname.
  $e.target.hostname in %badApps.hostname

  // Event IP matches at least one value in table column ip.
  $e.target.ip in %badApps.ip

在搜尋結果中查看資料表列

在 YARA-L 2.0 搜尋中使用資料表時，結果會參照與相符事件連結的資料表資料列。這些結果會顯示在「事件」面板中。查看結果時，系統會顯示資料表和資料列的目前狀態。

使用資料欄管理工具，選取要在結果中顯示的資料表和資料欄。

詳情請參閱「使用資料表」。

瞭解查詢執行程序

如果查詢編輯器中的查詢有效，Google SecOps 控制台會啟用「執行搜尋」按鈕。

點選「執行搜尋」後，執行中的查詢會顯示圓形狀態圖示。

搜尋進行期間，您可以在查詢編輯器中執行額外的 (並行) 搜尋，但須遵守部分限制。Google SecOps 會繼續執行先前的搜尋，並同時執行新的搜尋。

完成的查詢會顯示綠色勾號圖示，以及查詢傳回的事件數量。

點選已完成的查詢即可顯示結果。搜尋結果會顯示在查詢編輯器下方。

搜尋結果會快取，且僅包含查詢執行時可用的資料。

管理 Google 搜尋記錄

Google 搜尋記錄會儲存到 Google SecOps 帳戶。

如要管理搜尋記錄，請在「SIEM 搜尋」頁面點選「記錄」開啟對話方塊，然後執行下列操作：
- 查看所有搜尋記錄。
- 按一下清單中的項目，即可將其載入查詢編輯器。
- 在搜尋列中輸入內容，即可在記錄中搜尋。
- 如要篩選搜尋結果，請按一下搜尋列旁的「篩選器」，然後依下列條件篩選：語言 (包含 YL2 和 SQL 篩選器) AND「搜尋類型」(包含 UDM、原始記錄和統計資料篩選器)。
- 是否僅顯示已完成和進行中的已儲存結果 (使用「僅顯示已完成和進行中的已儲存結果」核取方塊)。
- 清除 Google 搜尋記錄。
  - 如要清除搜尋記錄，請按一下「更多」圖示，然後選取「清除記錄」。
- 停用或重新啟用搜尋記錄：
  - 如要停用搜尋記錄，請按一下「停用搜尋記錄」，然後選取「僅停用」來停用搜尋記錄，或選取「停用並清除」來停用搜尋記錄並刪除已儲存的搜尋記錄。
  - 如果先前曾停用 Google 搜尋記錄，可以按一下「啟用搜尋記錄」，重新啟用這項功能。
如要刪除 Google 搜尋記錄中的個別搜尋項目，請參閱「刪除已儲存的搜尋」。

儲存及使用指標查詢

Google SecOps 會使用「STATS」徽章分類指標查詢。

如要將搜尋儲存為指標，請按一下「執行搜尋」旁邊的「更多」圖示，然後點選「另存為指標」。「Rules & Detections」(規則與偵測) 頁面隨即開啟，並在「Metrics」(指標) 分頁中顯示指標查詢。接著，您可以儲存或停用指標。指標查詢儲存後就無法編輯或刪除，但可隨時停用。

您可以使用指標查詢建立一般行為模式，並找出異常活動。如果查詢編輯器中有追蹤重要營運趨勢的指標查詢，請依序點選「更多」>「另存為指標」。這會將查詢儲存為連續時間序列指標，可嵌入自訂資訊主頁或在閾值快訊中參照。

指標查詢範例：

metric metric_1784196814306 {
  (metadata.event_type = "NETWORK_FLOW" OR
  metadata.event_type = "NETWORK_CONNECTION" OR
  metadata.event_type = "NETWORK_DNS" OR
  metadata.event_type = "NETWORK_HTTP")

  outcome:
  $timestamp = timestamp.get_timestamp(metadata.event_timestamp.seconds)
  $hostname = principal.hostname
  $event_type = metadata.event_type
  $user = principal.user.userid
  $principal_process = principal.process.file.full_path
  $principal_cmdline = principal.process.command_line
  $target_process = target.process.file.full_path
  $target_cmdline = target.process.command_line
  $target_url = target.url
  $target_ip = target.ip[0]
  order:
  $timestamp
  }

管理搜尋 (搜尋管理工具)

使用「搜尋管理員」對話方塊管理搜尋。

如要開啟「搜尋管理員」，請在「SIEM 搜尋」頁面中點選「搜尋管理員」。

搜尋類型徽章

「搜尋管理工具」的「已儲存」分頁會列出所有已儲存的搜尋，並顯示搜尋類型徽章：UDM、RAW、JOIN、STATS、CASE、CASE HISTORY 和 ECG。

搜尋管理工具動作

在「已儲存」分頁中，您可以執行下列操作：

篩選已儲存的搜尋：按一下搜尋列旁的「篩選器」圖示，然後依「來源」篩選搜尋，包括：「Google SecOps 定義」、「我編寫的」和「與我共用」AND「語言」，包括：「YL2」和「SQL」。
排序搜尋記錄：按一下搜尋列旁的 list_arrow「排序」，然後依「名稱 (A 到 Z)」、「名稱 (Z 到 A)」、「最舊到最新」或「最新到最舊」排序。
新增搜尋：按一下搜尋列旁的「新增」add_2，然後在旁邊的「UDM Search」(UDM 搜尋) 方塊中建構新的搜尋。「UDM Search」方塊支援的 UDM 編輯、自動建議和自動完成工具，與在查詢編輯器中手動建構查詢時相同。
分享或刪除您建立的搜尋。
編輯您建立的搜尋：在「已儲存」分頁中選取搜尋後，「搜尋」方塊會顯示查詢，以及「標題」方塊和「說明」方塊。「UDM Search」方塊支援的 UDM 編輯、自動建議和自動完成工具，與在查詢編輯器中手動建構查詢時相同。

儲存搜尋

已儲存的搜尋查詢和搜尋記錄：

儲存在 Google SecOps 帳戶中。
只有個別使用者可以查看及存取，除非您使用「共用搜尋」功能與機構共用搜尋。

如要儲存搜尋，請按照下列步驟操作：

在「SIEM Search」(SIEM 搜尋) 頁面中，執行下列任一操作：
- 如果查詢編輯器中有有效查詢，請按一下「執行搜尋」旁的「更多」圖示，然後按一下「儲存搜尋」。「搜尋管理員」對話方塊隨即開啟。
- 按一下「搜尋管理工具」。系統會開啟「搜尋管理工具」對話方塊。
在「標題」方塊中，輸入搜尋名稱。Google 建議您為儲存的搜尋設定有意義的名稱，並以純文字說明搜尋內容。
選用：在「說明」方塊中輸入搜尋說明。
選用：使用與 YARA-L 變數相同的格式，以 ${<variable name>} 格式指定預留位置變數。如果您在搜尋中加入變數，也必須加入提示，協助使用者瞭解執行搜尋前需要輸入的資訊。執行搜尋前，所有變數都必須填入值。

例如，您可以在搜尋中加入 metadata.vendor_name = ${vendor_name}。針對 ${vendor_name}，您需要為日後的使用者新增提示，例如 Enter the name of the vendor for your search。日後使用者每次載入這項搜尋時，系統都會提示他們輸入供應商名稱，然後再執行搜尋。
完成後，按一下「儲存編輯內容」。

如要查看已儲存的搜尋，請按一下「Search Manager」(搜尋管理員)，然後按一下「Saved」(已儲存) 分頁標籤。

擷取及執行已儲存的搜尋

如要擷取及執行已儲存的搜尋，請按照下列步驟操作：

在「SIEM Search」(SIEM 搜尋) 頁面中，按一下「Search Manager」(搜尋管理工具)，然後從左側的「Saved」(已儲存) 清單中選取搜尋。
選用：如要刪除搜尋，請依序點按「更多」和「刪除搜尋」。您只能刪除自己建立的搜尋。
您可以變更搜尋名稱和說明。完成後，按一下「儲存編輯內容」。
按一下「載入搜尋」。搜尋字詞會載入主要搜尋欄位。
按一下「執行搜尋」。

刪除已儲存的搜尋

您只能刪除自己建立的搜尋。

如要刪除已儲存的搜尋，請按照下列步驟操作：

在「SIEM Search」頁面，點選「Search Manager」，然後從左側的「Saved」清單選取搜尋。
按一下「更多」圖示，然後選取「刪除搜尋」。
按一下「刪除搜尋」。

透過共用搜尋，您可以與團隊分享搜尋內容。你無法只與一位使用者分享。如果共用搜尋，則會與整個機構共用。

您無法編輯自己不是作者的共用搜尋。

如要分享搜尋，請按照下列步驟操作：

在「SIEM Search」頁面，點按「搜尋管理員」，然後從左側的「已儲存」清單中選取搜尋。
按一下要分享的搜尋內容。
按一下搜尋結果右側的「更多」。系統會顯示對話方塊，並提供分享搜尋內容的選項。
按一下「與貴機構共用」。系統會顯示對話方塊，告知「貴機構的使用者都能看見您分享的搜尋內容。確定要分享嗎？」。
按一下「共用」。

如果只想讓自己看到搜尋結果，請依序點選「更多」圖示和「停止共用」。如果停止共用，只有您能使用這項搜尋。

搜尋結果總覽

在「SIEM Search」(SIEM 搜尋) 頁面按一下「Run Search」(執行搜尋) 時，Google Security Operations 會評估您環境中的查詢，並在查詢編輯器下方分類及顯示結果。

搜尋結果的使用者介面元素會因搜尋類型而異 (根據徽章，搜尋類型為：UDM、RAW、JOIN、STATS、CASE 或 CASE HISTORY)。

「SIEM 搜尋」頁面會顯示下列搜尋結果分頁：

結果：所有搜尋類型都會顯示。
警告與偵測項目：只會顯示 UDM、RAW 和 JOIN 搜尋結果。
總覽：僅顯示 UDM、原始和 JOIN 搜尋結果。
視覺化：僅適用於 STATS 搜尋結果。

每個結果分頁的標題都會在括號中顯示數量，例如「結果 (1,118)」，如果結果數量超過指定上限 (此處為 10 萬)，則會顯示「結果 (100,000+)」。

點選分頁標籤，即可立即切換工作區檢視畫面，同時保留搜尋查詢和日期範圍。

在「結果」分頁中查看及管理資訊

「結果」分頁是查看及管理搜尋結果的主要工作區。「結果」分頁的用途如下：

深入探索記錄搜尋
查看原始遙測資料
根據事件資料生成資料透視表
分析高頻率欄位值分布情形
將資料匯出為 CSV 檔案

視搜尋類型而定，「結果」分頁會顯示下列元素：

分頁面板，內含下列圖表：
- 「Activity Over Time」(活動趨勢) 圖表：顯示 UDM、JOIN、CASE、CASE HISTORY 和 ECG 搜尋結果。
- 隨時間變化的趨勢圖表：顯示原始搜尋結果。
- 普及度分頁：顯示 UDM 搜尋結果。
- 活動熱視圖表格：顯示 UDM 搜尋結果。
「Aggregations」面板：適用於所有類型的搜尋結果。
根據搜尋類型，面板會顯示下列表格：
- 「事件」表格和「資料透視表」子分頁：只會顯示 UDM 搜尋結果。「事件」表格會顯示正規化的 UDM 事件遙測資料，以及在所選時間範圍內符合查詢條件的原始記錄。在「Pivot」子標籤中，您可以建立及使用資料透視表，對事件結果執行多維度數學分組和摘要 (sum、count、avg、stddev)。
- 原始記錄：僅顯示原始搜尋結果。
- 統計資料：只會顯示在統計資料搜尋結果中。
- JOIN：只在 JOIN 搜尋結果中顯示。
- 案件：只在案件搜尋結果中顯示。
- 案件記錄：只會顯示案件和案件記錄的搜尋結果。
- 時間性資料和非時間性資料：只會顯示在心電圖搜尋結果中。
如要瞭解這些表格支援的函式和工具，請參閱「使用表格的常用工具」。支援的功能包括管理分頁顯示的表格欄、下載搜尋結果等。

使用「活動變化趨勢」圖表

「一段時間內的活動」分頁包含事件和快訊量隨時間變化的圖表 (直方圖)。

每個長條的寬度取決於搜尋的時間間隔。舉例來說，如果搜尋範圍涵蓋 24 小時的資料，則每個長條代表 10 分鐘。修改現有搜尋時，這個圖表會動態更新。

圖表支援下列項目：

調整時間範圍：拖曳時間軸上的滑桿控制項，即可立即縮小顯示的時間範圍。結果網格和「Aggregations」(匯總) 面板會更新，不必對後端重新執行查詢。
查看單一長條的時間範圍事件和快訊：按一下長條，即可將圖表、「彙整」面板和「偵測」分頁標籤的焦點縮小至該長條的時間範圍。系統會建立篩選器，並顯示在「篩選器清單」filter_list「新增篩選器」按鈕旁。如要再次顯示所有結果，請刪除篩選條件。
詳細資料彈出式視窗：點選其中一個長條，會開啟彈出式視窗，顯示時間以及「查詢的事件」、「篩選的事件」、「查詢的快訊」和「篩選的快訊」的值。

使用長期趨勢圖表

「一段時間內的趨勢」分頁包含一段時間內的原始記錄量圖表 (直方圖)。每個垂直長條的寬度會根據整體搜尋時間範圍動態調整 (例如，在 24 小時的搜尋時間範圍內，每個長條可能代表 10 分鐘)。

圖表支援下列項目：

調整時間範圍：拖曳時間軸上的滑桿控點，即可立即縮小顯示的時間範圍。結果網格和「Aggregations」(匯總) 面板會更新，不必對後端重新執行查詢。
查看單一長條時間範圍內偵測到的已剖析、未剖析和不明記錄數量：「不明」表示當時偵測到一或多筆記錄，但不確定具體數量。按一下長條，即可將圖表和「Aggregations」(匯總) 面板的焦點縮小至該長條的時間範圍。系統會建立篩選器，並顯示在「篩選器清單」filter_list「新增篩選器」按鈕旁邊。如要再次顯示所有結果，請刪除篩選條件。
詳細資料彈出式視窗：按一下其中一個長條，即可開啟彈出式視窗，其中會顯示時間，以及「查詢的事件」、「篩選的事件」、「查詢的快訊」和「篩選的快訊」值。

使用「普及率」分頁

只有在搜尋包含網域時，系統才會顯示「普遍程度」分頁。

「普及度」分頁會顯示與企業內搜尋相關聯的網域普及度。這份報表會列出低普及率網域，並提供互動式圖表。只有在 UDM 搜尋包含網域時，才會顯示這個分頁。

低普及度網域清單包含下列資料欄：

普及度偏低的網域：顯示與搜尋結果相關聯的網域名稱。按一下 arrow_upward 即可依字母順序 (Z 到 A) 排序網域，按一下 arrow_downward 則可依字母順序 (A 到 Z) 排序。
普及度 ≤ 10：顯示普及度為 10 以下的各網域總出現次數。按一下 arrow_upward 即可依數字遞減排序，按一下 arrow_downward 則可依數字遞增排序。

在圖表上，將滑鼠游標懸停在圓圈上，即可顯示特定網域，並將搜尋範圍縮小至僅與該網域相關聯的事件。

使用「活動熱視圖」分頁

「活動熱視圖」分頁會以時間軸格線顯示事件資料，突顯指定時間範圍內事件最集中的位置。Y 軸顯示搜尋時間範圍內的日期，X 軸則顯示一天中的時間，以小時為間隔 (從 00:00 到 23:00)。

顏色漸層圖例代表特定小時內的事件量，顏色越淺表示事件越少，顏色越深表示密度越高。你也可以調整密度指標的水平滑桿，顯示或隱藏每小時的時段。按一下側邊面板的向上或向下箭頭，即可捲動瀏覽日期，並調整特定時間範圍。

使用「匯總」面板修正搜尋結果

「匯總」面板會匯總高頻率值，您可以使用這些值來調整搜尋結果。

「匯總」面板包含兩個可收合的清單：「UDM 欄位」 (相符的 UDM 欄位清單) 和另一個依搜尋類型列出的欄位清單 (例如原始記錄搜尋的「記錄欄位」、「統計資料欄位」、「案件欄位」等)。如果是 UDM 搜尋，「匯總」面板會包含「UDM 欄位」清單和「分組欄位」清單。

如要將欄位固定在「彙整」清單頂端，請將游標懸停在欄位上，然後按一下「保留」圖示。

您可以使用面板的搜尋搜尋欄位，搜尋特定欄位或欄位值。

每個欄位都會顯示「相符計數」，也就是該欄位具有相同值的記錄數量。清單內容會依比對次數由高至低排序，比對次數相同時則依字母順序排列。您可以搜尋清單中的欄位，並展開欄位項目。

如要使用匯總篩選搜尋結果，請按照下列步驟操作：

在「匯總」面板中，從清單選取欄位，即可顯示該欄位的清單值。
從清單中選取值，然後按一下「more_vert」more_vert圖示 (更多)。
選取篩選器選項：
- 只顯示：相鄰的表格會更新，只顯示相符的記錄，且 = "value" 篩選器會顯示在「filter_list」filter_list「新增篩選器」按鈕旁。
- 篩除：相鄰的對應表格會更新，篩除相符的記錄，且 != "value" 篩選器會顯示在「篩選器清單」filter_list「新增篩選器」按鈕旁。
- 複製：將欄位值組合複製到剪貼簿。
圖 4：使用「匯總」面板篩選欄位的範例。

圖 5. filter_list「新增篩選器」按鈕，其中包含兩個現有篩選器 (一個顯示，另一個在「+1 More」清單中)。
選用：如果您在上一步選取「僅顯示」或「篩除」，且想自動將篩選器納入查詢編輯器並再次執行搜尋，請按一下「套用至搜尋並執行」。

在「結果」分頁的「匯總」面板中使用分組欄位

UDM 搜尋的「彙整」面板包含「同組欄位」清單。同組欄位可做為強大的類別別名，結合相關的 UDM 欄位，不必個別輸入每個欄位。如要進一步瞭解分組欄位，請參閱「搜尋分組欄位」。

分組欄位別名	別名中包含的相關聯 UDM 欄位
`domain`	`about.administrative_domain` `about.asset.network_domain` `network.dns.questions.name` `network.dns_domain` `principal.administrative_domain` `principal.asset.network_domain` `target.administrative_domain` `target.asset.hostname` `target.asset.network_domain` `target.hostname`
`email`	`intermediary.user.email_addresses` `network.email.from` `network.email.to` `principal.user.email_addresses` `security_result.about.user.email_addresses` `target.user.email_addresses`
`file_path`	`principal.file.full_path` `principal.process.file.full_path` `principal.process.parent_process.file.full_path` `target.file.full_path` `target.process.file.full_path` `target.process.parent_process.file.full_path`
`hash`	`about.file.md5` `about.file.sha1` `about.file.sha256` `principal.process.file.md5` `principal.process.file.sha1` `principal.process.file.sha256` `security_result.about.file.sha256` `target.file.md5` `target.file.sha1` `target.file.sha256` `target.process.file.md5` `target.process.file.sha1` `target.process.file.sha256`
`hostname`	`intermediary.hostname` `observer.hostname` `principal.asset.hostname` `principal.hostname` `src.asset.hostname` `src.hostname` `target.asset.hostname` `target.hostname`
`ip`	`intermediary.ip` `observer.ip` `principal.artifact.ip` `principal.asset.ip` `principal.ip` `src.artifact.ip` `src.asset.ip` `src.ip` `target.artifact.ip` `target.asset.ip` `target.ip`
`namespace`	`principal.namespace` `src.namespace` `target.namespace`
`process_id`	`principal.process.parent_process.pid` `principal.process.parent_process.product_specific_process_id` `principal.process.pid` `principal.process.product_specific_process_id` `target.process.parent_process.pid` `target.process.parent_process.product_specific_process_id` `target.process.pid` `target.process.product_specific_process_id`
`user`	`about.user.userid` `observer.user.userid` `principal.user.user_display_name` `principal.user.userid` `principal.user.windows_sid` `src.user.userid` `target.user.user_display_name` `target.user.userid` `target.user.windows_sid`

使用「事件」面板

使用「事件」面板查看、排序及管理符合 UDM 搜尋條件的事件。

如要瞭解「事件」面板支援的函式和工具，請參閱「使用表格的常用工具」。支援的功能包括管理分頁顯示的表格欄、下載搜尋結果等。

根據預設，執行搜尋後，「事件」表格會顯示重要資料欄 (稱為「快速欄位」)，例如「事件狀態」、「時間戳記」、「類型」 (udm.metadata.event_type)、「摘要」、「使用者」 (udm.principal.user.userid 或 target.user.userid)、「主機名稱」 (udm.principal.hostname 或 target.hostname)。視查詢範圍和記錄來源而定，表格也會動態顯示相關的快速欄位，例如「動作」 (udm.security_result.action)。

檢查單一事件的精細詳細資料 (事件檢視器和原始記錄關聯)

如要查看單一事件的詳細資料，請按一下該資料列。「事件檢視器」隨即開啟。

詳情請參閱「使用事件檢視器查看 UDM 和原始結果」。

「資料透視」分頁：建立資料透視表

您可以使用樞紐分析表，對搜尋結果執行多維度數學分組和摘要。

如要開啟及設定資料透視表，請按照下列步驟操作：

執行 UDM 搜尋。
在「結果」分頁中，點選「資料透視」子標籤。「樞紐設定」面板隨即開啟。
在「分組依據」下方，按一下「新增」「欄位」，選取最多五個 UDM 欄位進行列分組。系統會根據欄位類型顯示特殊轉換選項：
- 字串欄位：可強制使用小寫。您可以選取選單中的「預設」，以預設大寫格式顯示結果，也可以選取「小寫」，只顯示小寫格式。
- 主機名稱欄位：
  - 註冊網域：只顯示註冊網域名稱 (例如 google.com、nytimes.com、youtube.com)。
  - 前 N 個層級的網域：指定要顯示的網域層級。舉例來說，如果使用 1 值，系統只會顯示頂層網域 (例如 com、gov 或 edu)。如果使用 3 值，系統會顯示網域名稱的下兩個層級 (例如 google.co.uk)。
- IP 欄位：可選擇依 CIDR 前置字串長度 (位元) 分組。IPv4 位址可指定 1 到 32。如果是 IPv6 位址，則可指定最多 128 個值。
- 時間戳記欄位：可依時間解析度 (毫秒、秒、分鐘、小時、天) 分組。
在「值」下方，從結果的欄位清單中指定樞紐分析表的值。最多可指定五個值。
針對您為「值」指定的每個欄位，您必須選取下列其中一個「匯總依據」選項：
- 平均
- Count
- 不重複值的計數
- Max
- Min
- Sum
- Stddev (標準差)
「匯總」選項與「分組依據」欄位並非完全相容。例如，「Sum」(總和)、「Avg」(平均值)、「Stddev」(標準差)、「Min」(最小值) 和「Max」(最大值) 選項只能套用至數值欄位。如果嘗試將不相容的「摘要」選項與「依群組分頁」欄位建立關聯，就會收到錯誤訊息。

指定「事件計數」的值，傳回這項特定搜尋和資料透視表識別的事件數量。
在「Order by」(排序依據) 下方，指定一或多個 UDM 欄位，然後使用「Ascending」(遞增) 或「Descending」(遞減) 選項選取一或多個排序方式。
完成後，按一下「套用」。結果會顯示在「Pivot」(透視) 面板中。
選用：如要下載及儲存樞紐分析表內容，請參閱「從資料表下載搜尋結果」。

使用原始記錄面板

「原始記錄」面板會評估未剖析的原始記錄遙測資料，您可以使用這個面板查看、排序及管理符合搜尋條件的記錄。主要診斷目標是監控擷取和剖析健康狀態，也就是監控剖析的記錄數量與未剖析的記錄數量，以及不明記錄數量 (表示在特定時間偵測到一或多筆記錄，但不確定具體數量)。

如要瞭解這個分頁支援的功能和工具，請參閱「使用表格常用工具」。支援的功能包括管理分頁顯示的表格欄、下載搜尋結果等。

檢查單一原始記錄的精細詳細資料 (事件檢視器和原始記錄關聯性)

如要檢查單一原始記錄的精細詳細資料，請按一下該資料列。「事件檢視器」隨即開啟。

詳情請參閱「使用事件檢視器查看 UDM 和原始結果」。

使用「統計資料」面板

使用「統計資料」面板查看、排序及管理符合搜尋條件的統計資料。

「統計資料」面板僅支援「資料欄選取器」，您可以在其中新增或移除資料欄。

如要瞭解這個分頁支援的函式和工具，請參閱「使用表格的常用工具」。支援的功能包括下載搜尋結果等。

使用「Joins」(彙整) 面板

使用「Joins」面板，查看、排序及管理符合搜尋條件的項目。

如要瞭解這個分頁支援的功能和工具，請參閱「使用表格常用工具」。支援的功能包括管理分頁顯示的表格欄、下載搜尋結果等。

使用案件面板

使用「案件」面板查看、排序及管理符合搜尋條件的案件。

如要瞭解這個分頁支援的函式和工具，請參閱「使用表格的常用工具」。支援的功能包括管理分頁顯示的表格欄、下載搜尋結果等。

使用「案件記錄」面板

使用「案件記錄」面板，查看、排序及管理符合搜尋條件的案件記錄。

如要瞭解這個分頁支援的函式和工具，請參閱「使用表格的常用工具」。支援的功能包括管理分頁顯示的表格欄、下載搜尋結果等。

使用「有時間限制的資料」和「無時間限制的資料」面板

使用「有時間性的資料」和「無時間性的資料」面板，查看、排序及管理心電圖搜尋結果。「Timed Data」面板會顯示已定義日期範圍的實體結果，也就是在擷取期間具有 metadata.interval.end_time 值的實體。「無時間限制的資料」面板會顯示沒有定義日期範圍的實體結果，也就是沒有 metadata.interval.end_time 的值。

使用事件檢視器查看 UDM 和原始結果

如要檢查單一事件或原始記錄的精細詳細資料，請按一下「事件」表格或「原始記錄」表格中的資料列。「事件檢視器」隨即開啟。

事件檢視器包含下列分頁：

事件欄位
原始記錄檔
快訊：只會顯示「事件」表格中的 UDM 結果
實體

使用「事件欄位」分頁

根據預設，「Event Fields」(事件欄位) 分頁會以階層樹狀結構顯示 UDM 事件欄位，並標示為「Selected」(已選取)。

使用「Event Fields」(事件欄位) 分頁，即可執行下列操作：

查看欄位定義。將指標懸停在欄位名稱上，即可查看定義。
固定欄位即可快速存取。在「已選取」清單中選取欄位，然後按一下「保留固定」。該欄位隨即會顯示在「已釘選」清單中。欄位會保留在「已選取」清單中，而「已固定」清單中的階層會以點分隔標記法顯示，並加上 udm 前置字元 (例如 udm.metadata.event_type)。
新增至欄或複製多個欄位。勾選節點或欄位旁的核取方塊，然後選擇「新增至資料欄」或「複製」。
執行下列動作：
- 篩選器：將下列篩選器套用至「已選取」清單中的所選項目 (check_box)：
  - 欄位
    - 顯示未經補充的欄位
    - 顯示經過補充的欄位
    - 顯示更多欄位
    - 顯示經過擷取的欄位
  - 擴充記錄來源：可用選項取決於事件。
- 複製：將選取的 UDM 欄位和 UDM 值複製到系統剪貼簿。
- 新增至資料欄：將 UDM 欄位新增為資料欄。

每個 UDM 欄位都會標示圖示，指出欄位是否包含擴充資料。圖示標籤如下：

U：未經過擴充的欄位含有值，這些值是在正規化程序中，使用原始原始記錄的資料填入。
E：擴充欄位包含 Google SecOps 填入的值，可提供客戶環境中構件的其他背景資訊。詳情請參閱「使用 Google SecOps 擴充事件和實體資料」。

每個經過補充的欄位都可以顯示所有相關聯的來源。這項資訊有助於驗證和疑難排解，且可能需要用於稽核和法規遵循。您也可以依據擴充來源篩選欄位。

經過充實和未經過充實的 UDM 欄位

圖 6：「事件檢視器」的「事件欄位」分頁中，經過補充和未經補充的 UDM 欄位，顯示經過補充的欄位來源。

在事件檢視器中篩選 UDM 欄位

圖 7.在「事件欄位」分頁中使用篩選器，根據各種屬性顯示或隱藏欄位。

使用「原始記錄」分頁

「Raw Log」(原始記錄) 分頁會以下列任一格式顯示原始記錄：

原始
JSON
XML
CSV
十六進位/ASCII

使用「快訊」分頁

「快訊」分頁會顯示與事件相關的快訊。

只有「事件」表格中的 UDM 結果會顯示「快訊」分頁。

使用「實體」分頁

「實體」分頁會顯示與事件相關聯的實體。

按一下實體，即可顯示「Entity context」(實體背景資訊) 對話方塊，其中可能包含下列項目：

資產名稱
首次出現時間
上次出現時間
IP 位址
MAC 位址
快訊數量
警告數量最多 (按規則)
一段時間內的快訊長條圖
開啟「快訊與 IOC」連結
「在『警告』分頁中查看」連結

在「警告和偵測」分頁查看及管理資訊

「快訊與偵測」分頁可用於：

針對所有規則執行威脅搜索
比較可採取行動的警告觸發條件與低雜訊行為前兆
在單一整合檢視畫面中劃定事件範圍

「Alerts & Detections」(警示和偵測) 分頁會顯示符合有效搜尋條件的警示和偵測結果。將快訊和偵測結果合併在一個分頁中，您就能一併檢查高嚴重性快訊和基礎行為規則命中情形，找出未單獨跨越快訊門檻的低干擾前兆。

快訊是 UDM 事件和第三方連接器遙測資料，標記有快訊門檻或高嚴重性通知。「警告」計數會顯示觸發警告規則 (alert_state = "ALERTING") 的 UDM 記錄遙測資料，以及從第三方安全性連接器 (例如 CrowdStrike 或 SOAR Webhook) 擷取的高優先順序通知。

偵測是指 YARA-L 2.0 規則在整個環境中產生的所有警告 (ALERTING) 和非警告 (NOT_ALERTING) 規則執行輸出內容。這個分頁會顯示 YARA-L 2.0 偵測引擎產生的完整規則執行輸出內容，包括觸發警告和未觸發警告的規則。規則產生的每則警告也是偵測項目 (ALERTING)，但「偵測項目」計數也包含所有資訊、背景或非警告規則命中 (NOT_ALERTING)。

分頁標題中的計數會依據快訊狀態，將規則執行相符項目分類。舉例來說，如果分頁標題是「警告 (43) 和偵測 (0)」，表示有 43 個相符項目，其中 alerting_rule = true 和零個非警告規則 (NOT_ALERTING) 執行。

「Alerts & Detections」(警告和偵測) 分頁包含下列面板：

長期趨勢圖表
「匯總」面板
偵測面板

使用「趨勢變化」圖表

「警告和偵測」分頁中的「長期趨勢」分頁包含偵測數量的長期趨勢圖表 (直方圖)。每個垂直長條的寬度會根據整體搜尋視窗動態調整 (例如，如果搜尋視窗為 24 小時，每個長條可能代表 10 分鐘)。

圖表會將所有時間範圍內符合規則執行的項目，彙整成單一序列，並標示為「偵測項目」。

圖表支援下列項目：

調整時間範圍：拖曳時間軸上的滑桿控制項，即可立即縮小顯示的時間範圍。結果網格和匯總資料會更新，不需重新對後端執行查詢。
查看單一長條時間範圍的匯總和偵測項目：點選長條，即可將圖表、「匯總」分頁和「偵測項目」分頁的焦點縮小至該長條的時間範圍。系統會建立篩選器，並顯示在「篩選器清單」filter_list「新增篩選器」按鈕旁。刪除篩選器，即可再次顯示所有結果。
詳細資料彈出式視窗：點選其中一個長條，會開啟一個對話方塊，顯示時間以及「查詢的偵測項目」和「篩選的偵測項目」的值。

使用「匯總」面板精細調整偵測結果

「快訊與偵測」分頁中的「彙整」面板會摘要顯示高頻率的偵測結果值，可用於調整搜尋結果。

「匯總」面板包含三個可收合的清單：「偵測欄位」、「UDM 欄位」 (相符的 UDM 欄位清單) 和「實體欄位」。

每個欄位都會顯示「相符項目數量」，也就是該欄位具有相同值的警告偵測數量。清單內容會依比對次數由高至低排序，比對次數相同時則依字母順序排列。您可以在清單中搜尋欄位，並展開欄位項目。

將游標懸停在欄位上，然後按一下「保留」「保留」圖示，即可將欄位固定在「彙整」清單頂端。

在「匯總」面板中搜尋警示偵測結果

您可以使用「Aggregations」(匯總) 面板的「搜尋欄位」search，搜尋特定欄位或欄位值。這樣一來，你就能專注於最重要的警示。

以下是「匯總」面板中用於篩選警告的主要警告屬性：

案件
名稱
優先順序
嚴重性
狀態
判定結果

在「匯總」面板中篩選警告偵測結果

如要使用匯總功能篩選警告偵測結果，請按照下列步驟操作：

在「匯總」面板中，從清單選取欄位，即可查看該欄位的值清單。
從清單中選取值，然後按一下「更多」圖示 more_vert「更多」。
選取篩選器選項：
- 只顯示：「偵測結果」表格會更新，只顯示相符的快訊，且 = "value" 篩選器會顯示在「filter_list」filter_list「新增篩選器」按鈕旁。
- 篩除：「偵測」表格會更新，篩除相符的快訊，且 != "value" 篩選器會顯示在「篩選器清單」filter_list「新增篩選器」按鈕旁。
- 大於 (僅適用於整數欄位)：系統會更新「偵測結果」表格，顯示值大於此值的快訊，並在「filter_list」filter_list「新增篩選器」按鈕旁顯示 > "value" 篩選器。
- 大於或等於 (僅限整數欄位)：「偵測」表格會更新，顯示值大於或等於這個值的快訊，且 >= "value" 篩選器會顯示在「filter_list」filter_list「新增篩選器」按鈕旁。
- 小於 (僅限整數欄位)：「偵測」表格會更新，顯示值小於這個值的警告，且 < "value" 篩選器會顯示在「filter_list」filter_list「新增篩選器」按鈕旁。
- 小於或等於 (僅適用於整數字段)：系統會更新「偵測結果」表格，顯示值小於或等於這個值的快訊，且 <= "value" 篩選器會顯示在「篩選器清單」filter_list「新增篩選器」按鈕旁邊。
- 複製：將欄位值組合複製到剪貼簿。

如要刪除篩選器並更新快訊偵測結果，請刪除「filter_list」filter_list「新增篩選器」按鈕旁顯示的篩選器。

使用「偵測」面板

使用「偵測結果」面板查看、排序及管理符合搜尋條件的項目。

如要瞭解這個分頁支援的函式和工具，請參閱「使用表格的常用工具」。支援的功能包括管理分頁顯示的表格欄、下載搜尋結果等。

查看單一快訊的詳細資料 (快訊檢視器)

如要查看單一警告的精細詳細資料，請點擊「偵測項目」Detections資料表中的資料列。「Alert Viewer」隨即開啟。

快訊檢視器包含下列分頁：

偵測欄位
詳細資料
變數
實體
如要前往 Google SecOps 控制台的其他頁面查看警告詳細資料，請按一下「查看詳細資料」。

使用「偵測欄位」分頁

根據預設，「偵測欄位」分頁會以階層式樹狀結構顯示偵測欄位，並標示為「已選取」。

使用「偵測欄位」分頁，即可執行下列操作：

查看欄位定義。將指標懸停在欄位名稱上，即可查看定義。
固定欄位即可快速存取。在「已選取」清單中選取欄位，然後按一下「保留固定」。該欄位就會顯示在「已固定」清單中。欄位會保留在「已選取」清單中，並以點分隔的標記法顯示在「已釘選」清單中，且會加上 collection 前置字元 (例如 collection.created_time)。
新增至欄或複製多個欄位。勾選節點或欄位旁的核取方塊，然後選擇「新增至資料欄」或「複製」。
執行下列動作：
- 對「已選取」清單套用篩選條件。
- 新增至資料欄：將欄位新增為資料欄。
- 複製：將所選欄位和值複製到系統剪貼簿。

使用「詳細資料」分頁

「詳細資料」分頁會顯示快訊詳細資料。詳細資料欄位組合會因特定警示而異。

詳細資料欄位範例：

名稱 (一律為「Alert」)
類型
嚴重性
風險評分
狀態
優先順序
已偵測到的整合
偵測時間範圍
建立時間
規則
規則集
說明
標記

使用「變數」分頁

「Variables」分頁會顯示與快訊相關聯的每個變數的欄位、類型和值。

使用「實體」分頁

只有在快訊與實體相關聯時，系統才會顯示「實體」分頁。

「Entities」(實體) 分頁會顯示與快訊相關聯的實體。

按一下實體，即可顯示「Entity context」(實體背景資訊) 對話方塊，其中可能包含下列項目：

資產名稱
首次出現時間
上次出現時間
IP 位址
MAC 位址
快訊數量
警告數量最多 (按規則)
一段時間內的快訊長條圖
開啟「快訊與 IOC」連結
「在『警告』分頁中查看」連結

在「總覽」分頁中查看及管理資訊

在「總覽」分頁中，您可以執行下列操作：

查看實體記錄 (首次出現、上次出現、MAC 位址)
確認觀察到的指標是否與進行中的資安營運案件或警示重疊

「總覽」分頁會顯示整合的實體背景資訊圖 (ECG)、資產或使用者詳細資料，以及與有效搜尋時間範圍相符的入侵指標 (IOC) 或實體調查總覽。呈現的資訊會因資訊類型而異。

「Overview」(總覽) 分頁會以下列其中一種預先定義的資訊類型顯示實體資訊：

素材資源詳細資料
網域詳細資料
檔案詳細資料
IP 詳細資料
使用者詳細資料

在「總覽」分頁中查看資產詳細資料

如果查詢包含傳回特定資產的條件 (例如 principal.hostname="laptop-will" 或 principal.ip="10.0.0.76")，「總覽」分頁會顯示「資產檢視畫面」，並在下列面板中顯示資訊：

搜尋摘要：顯示下列資訊：
- 實體的詳細資料，包括在搜尋時間範圍內與資產相關聯的 IP 位址和 MAC 位址。IP 位址和 MAC 位址也可用來識別實體，點選後可在實體檢視器中顯示其他資訊。此外，也會顯示資產首次出現在企業中的時間，以及上次 (最近一次) 出現的時間。您可以點選任一時間戳記 (第一個或最後一個)，使用該時間執行新的搜尋。
- 快訊詳細資料，包括圖表，顯示在搜尋日期範圍內涉及該實體的快訊數量。面板也會列出快訊數量最多的規則子集。
- 按一下「Open Alerts & IOCs」(開啟快訊和入侵指標)，查看在相同搜尋日期範圍內產生的所有快訊。
- 按一下「在快訊分頁中查看」，即可切換至這個頁面的「快訊與偵測」分頁，並針對所選實體開始新的搜尋。
- 按一下圖表上的其中一個長條，即可切換至這個頁面的「快訊和偵測」分頁，並使用所點選長條的時間範圍，對所選實體展開新的搜尋。
- 按一下「View more」(查看更多) 連結，開啟「Entity fields」(實體欄位) 檢視畫面，並顯示與資產相關聯的所有實體欄位。如要將實體欄位複製到剪貼簿，請勾選實體欄位旁的核取方塊，然後依序點選「View actions」(查看動作) 和「Copy entity」(複製實體)。按一下頂端的核取方塊，選取所有實體。
相關 IOC：顯示與資產相關聯的 IOC。系統會優先顯示嚴重性較高的 IOC。按一下 IOC 名稱，右側會開啟實體檢視器。
Associated Entities：顯示與這項資產相關的其他實體，例如登入資產的使用者。面板會顯示實體類型、首次出現在環境中的時間，以及上次 (最近一次) 出現的時間。此外，也會顯示與資產相關聯的任何命名空間。按一下實體，開啟「Entity context」(實體背景資訊) 面板。點選「Show all time」(顯示所有時間)，即可顯示整個可用時間範圍內的相關實體，而非 UDM 搜尋中指定的時間範圍。
實體背景資訊：顯示您在「Associated Entities」(相關聯實體) 面板中選取的實體詳細資料。這個面板會根據您在「Associated entities」(相關聯實體) 面板中選取的實體類型 (例如使用者或網域)，顯示不同的資訊。

在「總覽」分頁中查看網域詳細資料

如果查詢包含指定特定網域的條件 (例如 target.hostname="example.com")，「總覽」分頁會顯示「網域」詳細資料，並在下列面板中提供資訊：

搜尋摘要：顯示下列資訊：
- 網域詳細資料，包括與註冊網域相關的 WHOIS 資訊、首次在企業中發現網域的時間，以及最近一次發現網域的時間。按一下「VT Context」，查看 VirusTotal 提供的網域資訊。
- 快訊詳細資料，包括圖表，顯示在搜尋日期範圍內涉及該實體的快訊數量。面板也會列出警報次數最多的部分規則。
- 按一下「Open Alerts & IOCs」(開啟快訊和入侵指標)，查看在相同搜尋日期範圍內產生的所有快訊。
- 按一下「View In Alerts Tab」(在「快訊」分頁中查看)，切換至這個頁面的「Alerts & Detections」(快訊和偵測) 分頁，並針對所選實體開始新的搜尋。
- 按一下圖表上的其中一個長條，即可切換至這個頁面的「快訊和偵測」分頁，並使用所點選長條的時間範圍，對所選實體展開新的搜尋。
- 按一下「查看更多」連結，開啟「實體欄位」檢視畫面，並顯示與網域相關聯的所有實體欄位。如要將實體欄位複製到剪貼簿，請勾選實體欄位旁的核取方塊，依序點按「查看動作」和「複製實體」。按一下頂端的核取方塊，選取所有實體。
已解析的 IP：顯示企業中完整網域名稱 (FQDN) 的所有已解析 IP 位址。舉例來說，如果搜尋 target.hostname="test.altostrat.com"，搜尋結果可能會顯示兩個已解析的 IP 位址 (198.51.100.81 和 203.0.113.81)。
子網域和同層網域：顯示企業中特定 FQDN 的所有相關子網域。許多攻擊者會使用相同的網域和子網域發動攻擊。舉例來說，如果您搜尋「target.hostname="sandbox.altostrat.com"」，這個面板會顯示兩個子網域：「test.sandbox.altostrat.com」和「staging.sandbox.altostrat.com」。
資產普及度：顯示在 Google Security Operations 帳戶儲存資料的整個時間範圍內，企業中連線至網域的資產數量。圖表的每個長條代表企業中連線至網域的不重複資產數量 (以世界標準時間為準)。將滑鼠游標懸停在長條上，即可查看該長條代表的世界標準時間日期相關實體。按一下實體名稱，即可在右側顯示的實體內容面板中，查看實體摘要和總覽。按一下「查看事件」，即可在「搜尋事件」分頁中查看與所選實體相關的事件。
相關聯實體：顯示與這個網域相關的其他實體，例如曾與這個網域通訊的資產。清單包含實體類型、首次在企業中出現的時間，以及上次 (最近) 出現的時間。按一下實體，開啟「Entity context」(實體內容) 面板。
實體背景資訊：顯示您在「Associated Entities」(相關聯實體) 面板中選取的實體詳細資料。這個面板會根據您在「關聯實體」面板中選取的實體類型 (例如 IP 位址或網域)，顯示不同資訊。

查看檔案詳細資料

如果查詢包含傳回單一檔案的條件 (例如 principal.process.file.md5="a00000a75f2a35130aa7a7aaa09aaa7a")，「Overview」(總覽) 分頁會顯示「File」(檔案) 詳細資料，並在下列面板中提供資訊：

搜尋摘要：顯示下列資訊：
- 檔案詳細資料，包括雜湊值、檔案大小、首次在企業中出現的時間，以及上次 (最近) 出現的時間。按一下「VT Context」，即可查看 VirusTotal 提供的檔案資訊。
- 快訊詳細資料，包括圖表，顯示在搜尋日期範圍內涉及該實體的快訊數量。面板也會列出警報次數最多的部分規則。
- 按一下「Open Alerts & IOCs」(開啟快訊和入侵指標)，查看在相同搜尋日期範圍內產生的所有快訊。
- 按一下「View In Alerts Tab」(在「快訊」分頁中查看)，切換至這個頁面的「Alerts & Detections」(快訊和偵測) 分頁，並針對所選實體開始新的搜尋。
- 按一下圖表中的任一長條，即可切換至這個頁面的「Alerts & Detections」(快訊和偵測) 分頁，並根據所選實體和點選長條的日期範圍，開始新的搜尋。
- 按一下「View more」(查看更多) 連結，開啟「Entity fields」(實體欄位) 檢視畫面，並顯示與檔案相關聯的所有實體欄位。如要將實體欄位複製到剪貼簿，請勾選實體欄位旁的核取方塊，然後依序點選「View actions」(查看動作) 和「Copy entity」(複製實體)。按一下頂端的核取方塊，選取所有實體。
相關 IOC：顯示與檔案相關聯的 IOC。嚴重性較高的 IOC 會優先顯示。按一下 IOC 名稱，右側會開啟實體檢視器。
資產普及率：顯示企業中與檔案相關聯的資產數量，時間範圍為 Google SecOps 帳戶中儲存資料的整個期間。
相關聯實體：顯示與這個檔案相關的其他實體，例如執行這個檔案的資產，或存取這個檔案的使用者。清單包含實體類型、首次在企業中偵測到的時間，以及上次 (最近) 偵測到的時間。按一下實體，開啟「實體內容」面板。
VirusTotal 屬性和中繼資料：顯示 VirusTotal 資料庫中的檔案資訊。按一下「查看更多」，開啟 VirusTotal 對話方塊，顯示檔案的額外資訊。
Associated Entities：根據您在「Associated Entities」面板中選取的實體類型 (例如使用者或資產)，顯示不同的資訊。
實體內容：顯示您在「關聯實體」面板中選取實體的詳細資料。這個面板會根據您在「Associated Entities」(相關聯實體) 面板中選取的實體類型 (例如使用者或資產)，顯示不同的資訊。

在「總覽」分頁中查看 IP 詳細資料

如果查詢包含傳回特定外部 IP 位址的條件 (例如 target.ip="203.0.113.254")，「總覽」分頁會顯示「IP」詳細資料，並在下列面板中提供相關資訊：

搜尋摘要：顯示下列資訊：
- IP 位址的詳細資料，包括首次出現在企業中的時間，以及上次 (最近) 出現的時間。按一下「VT Context」(VT 情境)，查看 VirusTotal 提供的 IP 位址相關資訊。
- 快訊詳細資料，包括圖表，顯示在搜尋日期範圍內涉及該實體的快訊數量。面板也會列出警報次數最多的部分規則。
- 按一下「Open Alerts & IOCs」(開啟快訊和入侵指標)，查看在相同搜尋日期範圍內產生的所有快訊。
- 按一下「View In Alerts Tab」(在「快訊」分頁中查看)，切換至這個頁面的「Alerts & Detections」(快訊和偵測) 分頁，並針對所選實體開始新的搜尋。
- 按一下圖表上的其中一個長條，即可切換至這個頁面的「快訊和偵測」分頁，並使用所點選長條的時間範圍，對所選實體展開新的搜尋。
- 按一下「查看更多」連結，開啟「實體欄位」檢視畫面，並顯示與 IP 位址相關聯的所有實體欄位。如要將實體欄位複製到剪貼簿，請勾選實體欄位旁的核取方塊，然後依序點選「View actions」(查看動作) 和「Copy entity」(複製實體)。按一下頂端的核取方塊，選取所有實體。
相關 IOC：顯示與 IP 位址相關聯的 IOC。系統會優先顯示嚴重性較高的 IOC。按一下 IOC 名稱，即可開啟右側的實體檢視器。
資產普及度：顯示企業中連線至 IP 位址的資產數量，時間範圍為 UDM 搜尋中指定的期間。
相關聯的實體：顯示與這個 IP 位址相關的其他實體，例如 IP 位址註冊的網域。清單包含實體類型、首次在企業中出現的時間，以及上次 (最近) 出現的時間。按一下實體，開啟「實體內容」面板。
實體背景資訊：顯示您在「Associated Entities」(相關聯實體) 面板中選取的實體詳細資料。這個面板會根據您在「Associated Entities」(相關聯實體) 面板中選取的實體類型 (例如網域或資產)，顯示不同的資訊。如果顯示連結，請按一下「VT Context」，查看 VirusTotal 提供的實體資訊。

在「總覽」分頁查看使用者詳細資料

如果查詢包含傳回特定使用者的條件 (例如 principal.user.userid="alice")，「Overview」(總覽) 分頁會顯示「User」(使用者) 詳細資料，並在下列面板中顯示資訊：

搜尋摘要：顯示下列資訊：
- 實體詳細資料，包括全名、首次出現在企業中的時間、上次 (最近) 出現的時間、職稱和電子郵件地址。
- 快訊詳細資料，包括圖表，顯示在搜尋日期範圍內涉及該實體的快訊數量。面板也會列出快訊數量最多的規則子集。
- 按一下「Open Alerts & IOCs」(開啟快訊和入侵指標)，查看在相同搜尋日期範圍內產生的所有快訊。
- 按一下「View In Alerts Tab」(在「快訊」分頁中查看)，切換至這個頁面的「Alerts & Detections」(快訊和偵測) 分頁，並針對所選實體開始新的搜尋。
- 按一下圖表中的任一長條，即可切換至這個頁面的「Alerts & Detections」(快訊和偵測) 分頁，並根據所選實體和點選長條的日期範圍，開始新的搜尋。
- 按一下「View more」(查看更多) 連結，開啟「Entity fields」(實體欄位) 檢視畫面，並顯示與使用者相關聯的所有實體欄位。如要將實體欄位複製到剪貼簿，請勾選實體欄位旁的核取方塊，然後依序點選「View actions」(查看動作) 和「Copy entity」(複製實體)。按一下頂端的核取方塊，選取所有實體。
相關聯實體：顯示與這位使用者相關的實體，例如使用者聯絡的網域或存取的資產。清單包含實體類型、首次在企業中出現的時間，以及上次 (最近) 出現的時間。按一下實體，開啟「實體內容」面板。
實體背景資訊：顯示您在「Associated Entities」(相關聯實體) 面板中選取的實體詳細資料。這個面板中的資訊會因實體類型 (例如資產或網域) 而異。

在「視覺化」分頁中查看及管理資訊

使用「視覺化」分頁，將 STATS 搜尋結果中的資料轉成圖表、圖形或表格。

使用表格的常用工具

在「SIEM Search」(SIEM 搜尋) 頁面中，大多數包含單一表格的面板都支援相同的常用功能和工具。

本節說明下列常見函式和工具：

搜尋框。使用搜尋框，在相鄰的表格中尋找相符結果。
管理表格資料欄及共用資料欄組合 (資料欄管理工具)。
「自動換行」和「取消自動換行」按鈕。自動換行功能可讓您在資料欄中查看完整的長字串。
從表格下載搜尋結果。
表格底部的「每頁列數」工具。載入大量結果記錄 (資料列) 時，您可以使用這項工具提升瀏覽器穩定性和效能，Google SecOps 會提供分頁搜尋結果。在「事件」表格中，使用「每頁顯示的列數」清單，選取每頁要顯示的列數 (10 到 1,000 個事件)。

管理表格欄並共用欄組合 (欄管理工具)

如要在分析事件資料時使用一致的檢視畫面，您可以為 SIEM 搜尋頁面上的下列表格建立、儲存及共用自訂資料欄組合：

在「結果」面板中，針對下列資料表：「事件」、「原始記錄」、「Joins」
在「快訊與偵測」分頁中，前往「偵測」表格。

如要使用這項功能，您的使用者帳戶或 Identity and Access Management 角色必須具備下列所有五項權限：

chronicle.googleapis.com/savedColumnSets.create
chronicle.googleapis.com/savedColumnSets.update
chronicle.googleapis.com/savedColumnSets.delete
chronicle.googleapis.com/savedColumnSets.list
chronicle.googleapis.com/savedColumnSets.get

建立資料欄組合

建立資料欄組合的步驟會因您使用的表格而略有不同。

如要為「事件」、「原始記錄」或「彙整」資料表建立資料欄組合，請按照下列步驟操作：

按一下「欄」，開啟「欄管理工具」。
按一下「篩選器」圖示 filter_alt，指定是否要顯示不適用的資料欄。
按一下「顯示所選項目」切換鈕，即可在「事件資料欄」分頁中只顯示所選資料欄。
在「事件欄」分頁中，新增或移除資料欄組合中的資料欄。您可以瀏覽或搜尋可收合區段中的欄位 (視搜尋結果類型而異)，例如「快速欄位」 (各資料類型最常見的欄位)、「分組欄位」、「所有事件欄位」和「所有實體欄位」。勾選或取消勾選核取方塊，即可顯示或隱藏資料欄。
排列欄，然後按一下「儲存」。系統會開啟「儲存資料欄組合」對話方塊。
選取下列其中一個選項：
- 儲存：輸入資料欄組合的新名稱。
- 取代：如果修改了先前儲存的設定，可以覆寫現有設定。
按一下 [儲存]。欄集會列在「欄集」分頁中。

如要為「偵測」表格建立資料欄集，請按照下列步驟操作：

按一下「欄」，開啟「欄管理工具」。
按一下「篩選器」filter_alt圖示，指定是否要顯示不適用的資料欄。
在「表格類型」清單中，選取要建立資料欄組合的表格類型：
- 偵測結果
- 事件
- 實體 (展開表格資料列即可查看資料欄。)
對指定資料表類型所做的變更，只會套用至該類型的資料表和子資料表。
按一下「顯示所選項目」切換鈕，即可在對應的分頁 (「偵測項目資料欄」、「事件資料欄」或「實體資料欄」) 中，只顯示所選資料欄。
在對應的分頁中，為欄組合新增或移除欄。您可以瀏覽或搜尋可收合區段中的欄位 (視搜尋結果類型而異)。勾選或取消勾選核取方塊，即可顯示或隱藏資料欄。
排列欄，然後按一下「儲存」。「儲存資料欄組合」對話方塊隨即開啟。
選取下列選項之一：
- 儲存：輸入資料欄組合的新名稱。
- 取代：如果修改了先前儲存的設定，可以覆寫現有設定。
按一下 [儲存]。「欄組合」分頁會列出該欄組合。

共用資料欄組合

如要與 Google SecOps 租戶中的所有其他使用者共用資料欄組合，請按照下列步驟操作：

按一下「欄」，開啟「欄管理工具」。
在「事件欄」分頁中，新增或移除資料欄組合中的資料欄。您可以瀏覽或搜尋可收合區段中的欄位 (視搜尋結果類型而定)，例如「快速欄位」 (每個資料類型最常見的欄位)、「分組欄位」、「所有事件欄位」和「所有實體欄位」。切換核取方塊即可顯示或隱藏資料欄。
排列資料欄，然後按一下「共用」。「共用資料欄組合」對話方塊隨即開啟。
選取下列其中一個選項：
- 共用新的資料欄組合：輸入要共用的資料欄組合新名稱。
- 共用現有組合：從清單中選取先前儲存的組合。
按一下「分享」，資料欄組合會列在「資料欄組合」分頁中，並加上「共用」徽章。

載入已儲存的資料欄組合

如要載入已儲存的資料欄組合，請按照下列步驟操作：

按一下「欄」，開啟「欄管理工具」。
選取「欄組合」分頁標籤。
選取要載入的欄集，然後按一下「套用」。

刪除已儲存的資料欄組合

如要刪除已儲存的資料欄組合，請按照下列步驟操作：

按一下「欄」，開啟「欄管理工具」。
選取「欄組合」分頁標籤。
選取資料欄組合，然後依序點選「更多」圖示「刪除」。

下載資料表中的搜尋結果

您可以下載並儲存 CSV 檔案，其中包含 SIEM 搜尋頁面中顯示的表格內容。對於「事件」表格或樞紐分析表，您也可以選擇將原始原始記錄組合在一起，這樣就能精確比對已剖析的 UDM 記錄及其來源遙測資料。這項功能適用於需要外部分析處理、稽核追蹤記錄以符合法規遵循要求 (必須保留正規化資料與原始擷取資料之間的關係)，或外部關聯性的團隊。

如要從「事件」表格下載搜尋結果 (最多可達指定的搜尋結果數量上限)，請按照下列步驟操作：

選用：使用資料欄管理工具，指定要納入 CSV 的 UDM 欄位。系統會根據您的選取項目附加「Raw Log」(原始記錄) 欄。
按一下表格頂端的「下載」，然後選取下列其中一個選項：
- 以 CSV 格式下載：下載相符的事件 (以及顯示的指定事件確切數量)。
- 以 CSV 格式下載 (含原始記錄)：下載相符事件，並將原始未剖析的記錄字串附加為專用資料欄，放在每個正規化 UDM 記錄旁 (並根據顯示的指定事件確切數量)。
儲存檔案。

如要從「結果」分頁的表格 (不含「事件」面板或「資料透視」面板) 下載搜尋結果 (最多為指定的搜尋結果數量上限)，請按照下列步驟操作：

按一下表格頂端的「下載」，然後選取「下載為 CSV」。系統會下載相符結果 (以及顯示的指定事件確切數量)。
儲存檔案。

如要從「偵測」表格下載搜尋結果 (最多為指定的搜尋結果數量上限)，請按照下列步驟操作：

按一下表格頂端的「下載」圖示，然後選取「下載為 CSV」。系統會下載相符結果 (以及顯示的指定事件確切數量)。
儲存檔案。

儲存 CSV 時支援的欄位

您可以從平台將下列欄位下載為 CSV 檔案：

user
hostname
process name
timestamp
raw log：僅在為客戶啟用原始記錄時有效
所有開頭為 udm.additional 的欄位

儲存 CSV 時的有效欄位類型

您可以將下列欄位類型下載為 CSV 檔案：

double
float
int32
uint32
int64
uint64
bool
string
enum
bytes
google.protobuf.Timestamp
google.protobuf.Duration

儲存 CSV 時不支援的欄位

如果欄位符合下列任一條件，就無法下載為 CSV 檔案：

欄位類型：在 UDM proto 中定義為訊息或群組的資料類型。
欄位深度：欄位巢狀結構超過 10 層。
特定 UI 欄位：使用者介面中顯示的下列欄位不支援直接下載：
- 事件欄位：
  - 事件狀態
  - 事件摘要
  - 事件類型
    
    注意： 如要下載事件類型，請在「欄管理工具」中選取「metadata.event_type」欄位。
- 實體背景資訊圖：
  - 首次出現時間
  - 上次出現時間
  - 時間戳記
- 聯合搜尋：
  - 執行個體程式碼

限制與配額

Google SecOps 會對搜尋查詢設下限制，確保平台穩定，並在程式輔助和網頁介面中維持一致的效能。這些限制適用於 Backstory 和 Chronicle API。

搜尋和 API 配額

每個租戶的搜尋查詢和並行作業數量有下列限制：

每小時查詢次數 (QPH)：網頁控制台介面限制為 1,000 QPH；程式輔助 API 存取限制為 2,000 QPH。
簡易查詢 (時間範圍 < 24 小時、單一來源、無統計資料)：每個租戶最多可同時執行 180 項查詢。

如果簡單查詢並行集區用盡，作業會自動溢出至可用的複雜查詢配額。
複雜查詢 (跨越 24 小時以上、多個來源，或包含統計資料)：每個租戶最多可同時進行 180 項查詢。
UDM 欄位提示詞限制：單一查詢的提示詞最多只能參照 100 個 UDM 欄位。

配額錯誤

達到上限時，網頁介面會持續顯示配額錯誤通知。如要透過程式輔助存取，API 呼叫 (例如 instances.udmSearch) 會傳回 HTTP 狀態 429 RESOURCE_EXHAUSTED 錯誤，其中包含 google.rpc.QuotaFailure 訊息，詳細說明您超出的具體限制。

結果集和顯示限制

依序點選「搜尋設定」>「要傳回的結果數量上限」，即可調整後端限制 (1 到 1,000,000，預設為 30,000)。

為確保平台穩定，並在網頁和 API 介面提供快速回應，Google SecOps 實施下列限制：

搜尋類型或資料來源	傳回的結果數量上限	網路控制台顯示行為
搜尋 UDM 事件	1,000,000 筆記錄	直接顯示在「結果」分頁的「事件」面板中。顯示分頁列中的最新記錄 (每頁 10 到 1,000 列)。
資料表和聯結	1,000,000 筆記錄	系統會根據資料欄管理工具設定，在「結果」分頁的「事件」面板中顯示相關資料列。
案件和案件記錄	1,000,000 筆記錄	直接顯示在「結果」分頁的「案件」和「案件記錄」面板中。在「總覽」環境中顯示，或使用「搜尋案件」查詢。
統計資料	100,000 筆記錄 (僅限 UI 和長時間執行的作業 API)	直接顯示在「結果」分頁的「統計資料」面板中。圖表會顯示最高值，方便您閱讀；如果超出視覺限制，系統會顯示警告訊息。
透視匯總 (依序點選「結果」 >「透視」)	100,000 筆記錄	圖表會顯示最高值，方便您閱讀；如果超出視覺限制，系統會顯示警告訊息。
規則偵測結果	100,000 筆記錄	直接顯示在合併的「快訊與偵測項目」分頁中。
實體脈絡圖 (ECG)	1,000,000 筆記錄	顯示在「結果」分頁中的「有時間限制的資料」和「無時間限制的資料」面板。「Timed Data」(時間範圍資料) 面板中的表格會顯示已定義日期範圍的實體。「Timeless Data」分頁中的表格會顯示未定義日期範圍的實體。介面可能只顯示無時間限制的實體，或只顯示有時間限制的實體，也可能在每次查詢時顯示不同的組合。詳情請參閱「使用時間資料和無時間資料面板」。

最佳化及調整搜尋結果

本節概述效能限制和預期，並提供 Google Security Operations 中 SIEM 搜尋頁面常見問題的自助修正方法。

效能最佳化和最佳做法

如要提升查詢速度並盡量減少逾時風險，請採取下列做法：

先縮小時間範圍：時間是最有效的篩選條件。查詢事件發生的確切 2 小時時間範圍，速度會比搜尋 30 天的時間範圍快上許多。
查詢確切的 UDM 欄位，而非分組別名：雖然分組欄位 (ip = "1.2.3.4") 很方便，但會強制引擎檢查 15 個以上的基礎欄位 (principal.ip、target.ip、observer.ip)。如果您知道 IP 位址屬於目的地伺服器，請直接查詢 target.ip = "1.2.3.4"。
避免在規則運算式中使用前置萬用字元：如果查詢開頭是萬用字元 (principal.hostname = /.*server-.*/)，系統就無法查詢索引，而必須掃描整張資料表。盡可能錨定規則運算式 (principal.hostname = /^prod-server-.*/)。
運用已建立索引的中繼資料：在 AND 鏈結中，盡早依 metadata.event_type (NETWORK_CONNECTION、PROCESS_LAUNCH、USER_LOGIN) 或 metadata.log_type 篩選，立即刪除不相關的記錄來源。
使用 limit: N 快速取樣資料並預覽：您可以將 limit: N 關鍵字直接加到查詢中 (例如 metadata.event_type = "USER_LOGIN" limit: 50)，快速取樣資料並預覽。

廣泛搜尋的最佳做法

如果搜尋範圍太廣，Google SecOps 會顯示警告訊息，指出無法顯示所有搜尋結果。在這種情況下，系統只會擷取最新結果，最多可搜尋 100 萬個事件和 1,000 個警告。不過，可能還有許多相符的事件和警示未顯示。

如要擷取所有相關結果，請套用其他篩選條件來修正搜尋範圍，例如：

縮短日期範圍，縮減資料集大小。
請使用特定搜尋查詢或篩選條件，而非廣泛的字詞。
如需單一欄位的結果，請查詢精確的 UDM 欄位，而非同組欄位。

偵錯及修正查詢

本節說明如何偵錯及修正查詢。

查看執行階段錯誤

如果查詢傳回錯誤，「Results」(結果) 面板會持續顯示特定執行階段錯誤訊息。這項持續顯示功能可確保錯誤內容保持可見，協助您排解及解決錯誤。

限制搜尋結果

您可以新增 limit 關鍵字，並指定要顯示的搜尋結果數量上限，藉此限制搜尋結果。這項功能適合用於快速預覽資料、最佳化效能，或只需要部分結果時。舉例來說，如果在搜尋查詢中加入 limit: 25，搜尋結果最多只會顯示 25 筆。

調查大型資料集

Google SecOps 最多可傳回及瀏覽 100 萬筆結果。這樣一來，您就能直接在網頁介面中調查大型資料集，不必匯出結果。如果搜尋範圍較大，系統預設會限制顯示的欄位。

資料來源的結果限制

下表列出每個資料來源傳回的結果數量上限：

搜尋類型或資料來源	搜尋結果中的活動或資料列數量上限
UDM	1,000,000
ECG	1,000,000
資料表格	1,000,000
UDM 對 UDM 聯結	1,000,000
UDM 至 ECG 的聯結	1,000,000
將 UDM 連結至資料表	1,000,000
充電盒和充電盒記錄	1,000,000
統計資料	100,000
偵測項目	100,000

新增篩選條件來修正查詢

如要新增篩選器來縮小查詢範圍，請按照下列步驟操作：

在「SIEM Search」(SIEM 搜尋) 頁面中，按一下「新增篩選條件」filter_list。系統會開啟對話方塊，讓您選取欄位，並顯示 (=) 或篩除 (!=) 欄位值。
設定對話方塊參數。

圖 8. 篩選器對話方塊範例。
按一下 [套用]。篩選條件會顯示在「filter_list」filter_list「新增篩選條件」按鈕旁邊，搜尋結果也會相應篩選。
選用：執行下列其中一項操作：
- 如要自動將篩選器併入查詢編輯器並執行搜尋，請按一下「套用至搜尋並執行」。
- 如要刪除篩選器，請按一下「清除」。

疑難排解

如果收到一般錯誤訊息 (例如 Error: Search has encountered an error and could not load data)，請按照下列步驟解決問題：

從其他網路連線至 Google SecOps。舉例來說，您可以使用雲端 VM 找出任何網路問題。
確認貴組織的防火牆或 Proxy 設定/政策允許 Chronicle API 呼叫。
確認搜尋 API 呼叫未設定資料限制，因為搜尋可能會傳回大型資料集。
檢查是否已設定逾時。搜尋查詢可以非同步執行，可能需要較多時間才能傳回資料。如果已設定逾時，請確保查詢逾時前有足夠的時間，例如 60 分鐘。

如果錯誤持續發生，請與客戶服務團隊聯絡。

後續步驟

如要進一步瞭解搜尋查詢，請參閱下列文章：

瞭解搜尋語法：提供 YL2 語法的詳細資料和範例，說明如何在查詢編輯器中建構及查詢資料值、逸出字元和運算子。
搜尋最佳做法。
在統一搜尋中搜尋案件和案件記錄。
使用 Gemini 生成 UDM 搜尋查詢。
在搜尋中使用脈絡豐富的資料。

如要進一步瞭解搜尋結果，請參閱下列文章：

使用 UDM 搜尋功能調查實體。
在「搜尋」中調查偵測結果：說明如何使用「SIEM 搜尋」頁面的「快訊和偵測」分頁。
瞭解搜尋資料可用性：詳細說明資料擷取生命週期，包括端對端資料流程和延遲時間，以及這些因素如何影響最近擷取的資料是否可用於查詢和分析。
UDM 搜尋與規則結果比較：說明如何比較 UDM 搜尋查詢結果與即時偵測規則。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。

瞭解搜尋功能

重要術語

事前準備

開啟「搜尋」頁面

強制執行資料 RBAC 範圍

設定「搜尋」頁面的一般設定

指定搜尋結果數量上限

選擇查詢編輯器的收合行為

建立搜尋查詢

使用自然語言生成查詢

在查詢編輯器中手動建構查詢

指定搜尋的時間範圍

使用自動建議功能建構查詢

瀏覽及選取建議

瞭解建議排名

管理自動建議設定

找出搜尋查詢的 UDM 欄位 (UDM 查詢)

UDM 查詢搜尋行為和欄位涵蓋範圍

搜尋模式：UDM 欄位與值

欄位涵蓋範圍落差和直接搜尋方法

數字、布林值、時間戳記和位元組欄位

排除的 ID 欄位

可能相符的值 (規則運算式)

經過填充的欄位和實體圖表

在搜尋中使用資料表

在搜尋結果中查看資料表列

瞭解查詢執行程序

管理 Google 搜尋記錄

儲存及使用指標查詢

管理搜尋 (搜尋管理工具)

搜尋類型徽章

搜尋管理工具動作

儲存搜尋

擷取及執行已儲存的搜尋

刪除已儲存的搜尋

分享或停止分享搜尋結果

搜尋結果總覽

在「結果」分頁中查看及管理資訊

使用「活動變化趨勢」圖表

使用長期趨勢圖表

使用「普及率」分頁

使用「活動熱視圖」分頁

使用「匯總」面板修正搜尋結果

在「結果」分頁的「匯總」面板中使用分組欄位

使用「事件」面板

檢查單一事件的精細詳細資料 (事件檢視器和原始記錄關聯)

「資料透視」分頁：建立資料透視表

使用原始記錄面板

檢查單一原始記錄的精細詳細資料 (事件檢視器和原始記錄關聯性)

使用「統計資料」面板

使用「Joins」(彙整) 面板

使用案件面板

使用「案件記錄」面板

使用「有時間限制的資料」和「無時間限制的資料」面板

使用事件檢視器查看 UDM 和原始結果

使用「事件欄位」分頁

使用「原始記錄」分頁

使用「快訊」分頁

使用「實體」分頁

在「警告和偵測」分頁查看及管理資訊

使用「趨勢變化」圖表

使用「匯總」面板精細調整偵測結果

在「匯總」面板中搜尋警示偵測結果

在「匯總」面板中篩選警告偵測結果

使用「偵測」面板

查看單一快訊的詳細資料 (快訊檢視器)

使用「偵測欄位」分頁

使用「詳細資料」分頁

使用「變數」分頁

使用「實體」分頁

在「總覽」分頁中查看及管理資訊

在「總覽」分頁中查看資產詳細資料

在「總覽」分頁中查看網域詳細資料

查看檔案詳細資料

在「總覽」分頁中查看 IP 詳細資料

在「總覽」分頁查看使用者詳細資料

在「視覺化」分頁中查看及管理資訊

使用表格的常用工具

管理表格欄並共用欄組合 (欄管理工具)

建立資料欄組合