Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

瞭解搜尋功能

支援的服務：

Google SecOps SIEM

本指南適用於資安分析師，說明如何使用 Google Security Operations 的「SIEM 搜尋」頁面，查詢、關聯及分析企業的資安資料。「SIEM 搜尋」頁面是所有支援資料串流的中央導覽中心，並整合了其他遙測和安全防護機制來源。本指南提供 SIEM 搜尋頁面所有基本功能和特色的操作說明和解釋。

重要術語

統合資料模型 (UDM)：Google SecOps 採用的標準化資料格式，用於一致呈現各種來源的安全性事件。
事件：事件是由原始記錄來源產生，並擷取至 Google SecOps，然後由 Google SecOps 的擷取和正規化程序處理。單一原始記錄來源記錄可產生多個事件。事件代表從原始記錄產生的一組安全性相關資料點。在「SIEM 搜尋」頁面中，事件是指標準化的 UDM 事件遙測資料，以及符合搜尋查詢的原始記錄。
快訊：在「SIEM 搜尋」頁面中，「快訊」是指啟用快訊的規則偵測。詳情請參閱「對即時資料執行規則」。
原始記錄：原始、未剖析的記錄遙測資料。診斷的主要目標是監控擷取和剖析健康狀態。
彙整：根據共同欄位值，彙整及合併多個來源的原始資料。您可以連結相關事件、實體和其他資料，調查複雜的攻擊情境。您可以搜尋統計 join (需要比對部分才能匯總結果)，或資料彙整 (擷取完整的事件或實體資料，並直接顯示，不進行任何匯總)。詳情請參閱「在搜尋和資訊主頁中套用彙整」和「在沒有比對區段的情況下實作彙整」。
統計資料：UDM 事件，結果會分組進行統計分析。詳情請參閱「使用統計資料分析搜尋資料」。
案件和案件記錄：安全性案件和歷史案件稽核記錄，可與其他安全性資料建立關聯。詳情請參閱「搜尋案件總覽」。
實體背景資訊圖 (ECG)：Google SecOps 中的圖形資料庫，可儲存有狀態的實體記錄 (例如資產、使用者和威脅指標)，以便與安全性事件記錄建立關聯。詳情請參閱「實體背景資訊圖總覽」。
自然語言查詢列：「SIEM 搜尋」頁面頂端的列，您可以在此使用自然語言輸入搜尋陳述式。
查詢編輯器：位於「SIEM 搜尋」頁面自然語言查詢列下方的方塊，可手動建構查詢，並顯示查詢程式碼。

事前準備

您的使用者帳戶必須具備標準 Google SecOps Search 權限和角色，才能執行查詢及查看偵測詳細資料。

如要使用下列進階搜尋功能，您的使用者帳戶或 Identity and Access Management 角色必須具備額外的精細權限，具體取決於使用的功能：

豐富或擴充的事件詳細資料需要 chronicle.events.fetchEnrichedEvent。
如要儲存搜尋和編輯搜尋檢視畫面，必須具備「chronicle.savedSearches.update」和「chronicle.searchViews.update」。
如要查看記錄剖析器和結構定義，必須具備 chronicle.parsers.list 和 chronicle.parsers.get。
搜尋案件記錄需要 chronicle.cases.get 和 chronicle.cases.list。
使用自訂 IAM 角色時，SQL 搜尋 (特別是查詢編輯器中的自動查詢建議) 需要 chronicle.queries.suggestSql。
使用自訂 IAM 角色時，查詢編輯器中的 UDM 欄位自動建議需要 chronicle.instances.suggestQueryFields，才能顯示歷來用量排名。
如要在整個組織中建立、共用、修改及管理已儲存的自訂欄組合，您必須具備下列五項權限：chronicle.googleapis.com/savedColumnSets.create、chronicle.googleapis.com/savedColumnSets.update、chronicle.googleapis.com/savedColumnSets.delete、chronicle.googleapis.com/savedColumnSets.list 和 chronicle.googleapis.com/savedColumnSets.get。

開啟「搜尋」頁面

如要開啟「SIEM Search」(SIEM 搜尋) 頁面，請按照下列步驟操作：

登入 Google SecOps。
在導覽列中，依序點選「調查」 >「SIEM 搜尋」。

圖 1.「SIEM 搜尋」頁面範例，用於探索事件趨勢。

強制執行資料 RBAC 範圍

Google SecOps 搜尋引擎會嚴格執行角色式存取控管 (資料 RBAC) 範圍篩選，適用於所有分頁。您只會看到與使用者角色所屬資料範圍明確相符的 UDM 事件、原始記錄、警告、偵測項目和案件。

設定搜尋網頁的一般設定

「SIEM Search」(SIEM 搜尋) 頁面的一般設定因使用者而異。

您可以在「SIEM Search」(SIEM 搜尋) 頁面調整下列一般設定：

指定搜尋結果數量上限
選擇查詢編輯器的收合行為

指定搜尋結果數量上限

如要指定搜尋結果數量上限，請按照下列步驟操作：

在「SIEM Search」頁面，按一下「settings」，然後選取「Maximum Results」。
選取「Max Results to Return」選項。選項包括 1k、30k、100k、1M 和 custom (可採用 1 至 1M 之間的值)。預設值為 30k。

提示： 選擇較小的結果集大小，通常可以加快查詢速度。
按一下「套用」。

選擇查詢編輯器的收合行為

您可以設定查詢編輯器，在執行搜尋後自動收合，盡可能騰出螢幕空間來查看搜尋結果。如果採用「預設」設定，查詢編輯器會在執行搜尋後保持展開狀態。

如要啟用自動收合功能，請按照下列步驟操作：

在「SIEM Search」(SIEM 搜尋) 頁面中，按一下「settings」 (設定)，然後選取「Query Editor」(查詢編輯器)。
在「查詢編輯器」對話方塊中，選取「自動收合查詢編輯器」。

建立搜尋查詢

以下各節將說明如何建立搜尋查詢。

您可以使用下列任一方法建立搜尋查詢：

以自然語言輸入搜尋陳述式，並使用 Gemini 生成 YARA-L 2.0 方言的查詢。請務必使用英文。
在查詢編輯器中手動建構查詢，使用 YARA-L 2.0 或 SQL (GoogleSQL) 方言。

使用自然語言生成查詢

如要使用自然語言生成查詢，請完成下列步驟：

在「SIEM 搜尋」頁面，點按搜尋 自然語言查詢列，然後輸入英文搜尋陳述式。

以下陳述式範例可能產生實用的搜尋結果：
- network connections from 10.5.4.3 to google.com
- failed user logins over the last 3 days
- emails with file attachments sent to john@example.com or jane@example.com
- all Cloud service accounts created yesterday
- outbound network traffic from 10.16.16.16 or 10.17.17.17
- all network connections to facebook.com or tiktok.com
- service accounts created in Google Cloud yesterday
- Windows executables modified between 8 AM and 1 PM on May 1, 2026
- all activity from winword.exe on lab-pc
- scheduled tasks created or modified on exchange01 during the last week
- email messages that contain PDF attachments
- emails sent by or sent from admin@acme.com on July 1
- any files with the hash 44d88612fea8a8f36de82e1278abb02f
- all activity associated with user "sam@acme.com"

如果搜尋陳述式包含時間相關字詞，系統會自動調整「Time Range」(時間範圍) 參數，以符合搜尋條件。舉例來說，這項政策適用於包含下列字詞的搜尋：

yesterday
within the last 5 days
on July 1, 2026

點選「生成查詢」，如果 Gemini 可以解讀搜尋陳述式，就會以 YARA-L 2.0 方言生成有效的查詢，並顯示在查詢編輯器中。如果系統無法解讀搜尋陳述式，就會顯示訊息，要求您嘗試以其他方式提問。如果查詢運算式有效，「執行搜尋」按鈕就會變成可用狀態。
選用：使用日期範圍參數調整搜尋時間範圍。
按一下「執行搜尋」。系統會顯示搜尋結果。
選用：手動新增其他搜尋篩選器，或使用自然語言查詢列縮小結果範圍，然後再次執行搜尋。

在查詢編輯器中手動建構查詢

如要瞭解 SIEM 搜尋頁面支援的不同查詢類型，以及建構查詢的語法，請參閱下列文件：

如要進一步瞭解 YARA-L 2.0 搜尋語法，請參閱「瞭解搜尋語法」。
如要瞭解如何建構 Join 查詢，請參閱「在搜尋和資訊主頁中套用彙整」和「在沒有比對區段的情況下實作彙整」。
如要瞭解如何建構統計 (STATS) 查詢，請參閱「使用統計資料分析搜尋資料」。
如要瞭解如何建立案件記錄查詢，請參閱「在『搜尋』頁面搜尋案件和案件記錄」。
如要瞭解如何在查詢結果中投影或排除特定欄位，請參閱「使用 select 和 unselect 控制查詢輸出」和「使用 select 和 unselect 關鍵字控制資料欄」。

如要手動建構查詢，請完成下列步驟：

在「SIEM Search」(SIEM 搜尋) 頁面中，按一下查詢編輯器。
選擇查詢方言：
- YL2 (預設)：使用標準 YARA-L 2.0 語法，快速搜尋事件、篩選實體及關聯行為。
- SQL：SQL (GoogleSQL) 模式可讓您執行與 BigQuery 相容的查詢、在 UDM 和實體內容圖 (ECG) 之間建立複雜的多資料表彙整，以及直接在控制台執行進階匯總。
在查詢編輯器中輸入查詢，並考量下列事項：
- 自動建議和自動完成：使用 YL2 選項輸入查詢時，自動建議和自動完成功能會根據輸入內容建議有效欄位。
- UDM 查詢：編寫查詢時，如果不知道確切的欄位名稱或值，可以使用「UDM 查詢」。
- 語法編譯錯誤：如果查詢編輯器偵測到語法編譯錯誤，會在有問題的文字下方直接顯示紅色波浪線。將滑鼠游標懸停在底線文字上，即可查看具體錯誤說明。查詢編輯器一次只會醒目顯示一個錯誤，因此您必須依序修正錯誤。
使用「日期範圍」參數設定查詢的日期範圍。
如果查詢運算式有效，請按一下「執行搜尋」。系統會顯示搜尋結果。
選用步驟：手動或使用控制台新增其他搜尋篩選器，然後再次執行搜尋，縮小結果範圍。

指定搜尋的時間範圍

使用「Time Range」(日期範圍) 選單，指定搜尋的時間範圍。

搜尋的日期範圍上限一律受限於租戶的記錄保留設定。

時間範圍上限：

UDM：365 天。
RAW：365 天。
JOIN：內部彙整為 90 天。沒有比對條件的內部彙整：14 天。外部彙整：14 天。
STATS：90 天。
CASE 和 CASE HISTORY：90 天，受限於案件保留限制或完整的案件記錄生命週期。
ECG：365 天。

Google SecOps 會評估搜尋查詢的設定，並根據搜尋類型和搜尋條件套用最大日期範圍。(舉例來說，包含外部彙整的 STATS 查詢，其日期範圍上限會小於不含外部彙整的 STATS 查詢)。

如要設定日期範圍，請按照下列步驟操作：

在「SIEM Search」頁面，從「日期範圍」旁的清單中選取模式
- 絕對：使用絕對日期範圍，選取固定的開始和結束時間。
- 相對：使用相對日期範圍，從目前時間往回搜尋。點選「執行搜尋」的時間會設為查詢的結束時間。
如果選取「絕對」，請執行下列操作：
1. 按一下 calendar_month calendar，開啟「Set Date and Time Range」(設定日期和日期範圍) 對話方塊。
2. 執行下列其中一項操作：
  - 如要使用下列任一方法設定時間，請選取「Range」(範圍) 分頁標籤：
    - 使用預設範圍：從側欄選取預設範圍，例如「過去 3 天」或「不限時間」。「不限時間」會搜尋整個保留期限。
    - 選取日期：在日曆上點選開始日期和結束日期。
    - 設定時間：使用日曆下方的時間選單選取特定時間。
  - 如要根據事件指定日期和時間範圍，請按一下「Event Time」(事件時間) 分頁標籤，在日曆上選取日期，然後設定時間範圍：
    - 確切時間：按一下「Event」(事件) 欄位，選取或輸入事件發生的確切時間。
    - 時間緩衝：從清單中選取預先定義的日期範圍。
3. 按一下「套用」。
如果選取「Relative」(相對)，請執行下列操作：
1. 在文字欄位中輸入整數。
2. 從選單中選取時間單位：「秒」、「分」、「時」、「天」、「週」、「月」或「年」。

使用自動建議功能建構查詢

編寫查詢時，查詢編輯器會提供自動建議，協助您有效率地建立查詢。

瀏覽及選取建議

輸入時，系統會顯示與文字相符的欄位建議清單，其中包含下列選項：

選取欄位：使用向上或向下方向鍵瀏覽清單，然後按下 Enter 鍵選取欄位。
查看中繼資料：使用向上或向下鍵醒目顯示建議後，按一下 chevron_right 即可查看欄位說明。
逐步填寫欄位：編輯器會建議目前欄位的直接子項，並隱藏輸入的前置字元，節省螢幕空間。這些建議後面會依字母順序顯示所有其他相符欄位。
完整運算子和值：選取欄位後，編輯器會根據欄位的資料類型，建議有效的運算子 (例如 =、!=)。對於列舉欄位，在您輸入運算子和雙引號 (") 後，編輯器會顯示所有有效值的建議 (例如 NETWORK_EVENT)。

瞭解建議排名

查詢編輯器會將建議分為三個不同類別，並依下列順序排列，協助您找到相關的 UDM 欄位：

最近和常用欄位：根據您在「SIEM 搜尋」、「規則與偵測」和「資訊主頁」頁面中的有效瀏覽器工作階段和 30 天查詢使用記錄，最多顯示前七個相符欄位。這類建議的優先順序如下：
- 最近的瀏覽器記錄：您最近在查詢編輯器中輸入或選取的欄位 (最多 100 個最近的有效 UDM 欄位)。相符的欄位會優先顯示，並依最近使用時間排序。這份清單會儲存在瀏覽器的本機儲存空間，即使登入其他帳戶也不會消失。清除瀏覽器快取或切換瀏覽器會重設這項記錄。
- 歷來用量 (過去 30 天)：從您和貴組織過去 30 天內執行的查詢 (包括 UDM 搜尋、資訊主頁查詢、規則測試和回溯搜尋) 擷取的欄位。這項用量資料每 8 小時重新整理一次，由於提供的是衍生 UDM 結構定義欄位名稱，而非記錄事件，因此不屬於資料 RBAC 篩選範圍，並會將自訂標籤和擷取的欄位 (additional.*、extracted.*) 隔離至您的租戶。歷史用量遵循嚴格的兩層階層：
  1. 使用者層級用量：過去 30 天內最常使用的欄位，依用量遞減排序。
  2. 租戶層級用量：過去 30 天內，租戶中所有使用者最常使用的欄位，依使用次數遞減排序。如果欄位已顯示在使用者層級用量清單中，則以使用者層級排名為準。
  在您輸入文字時，編輯器會篩選歷來用量建議，並依據比對品質為相符欄位排序，然後使用用量階層來打破平手： 1. 完全比對：比對整個 UDM 欄位名稱 (例如 ip)。 2. 完全比對權杖：比對欄位名稱的完整區段 (例如，輸入 ip 時，比對 principal.ip 或 target.ip)。 3. 前置字串比對：與欄位名稱的開頭相符。4. 權杖前置字串比對：比對欄位名稱中區隔的開頭。5. 子字串比對：出現在欄位名稱中的任何位置 (例如，輸入 ip 時會出現 principal.hostname，因為 principal 包含 ip)。
直接子項：依字母順序顯示目前欄位路徑的第一層子節點，但不包括已列在熱門使用建議中的欄位。
全域比對：依字母順序顯示所有剩餘的比對用 UDM 欄位。

管理自動建議設定

如要全域管理 Google SecOps 顯示自動建議的方式，請按照下列步驟操作：

按一下個人資料顯示圖片，然後從清單中選取「User Preferences」。「User Preferences」對話方塊隨即顯示。
在對話方塊中，按一下「自動建議」。
如要控管查詢編輯器中顯示的自動建議，請調整下列設定：
- 啟用輸入時的建議功能：啟用自動建議功能。
- 優先顯示近期使用的欄位：根據瀏覽器工作階段記錄、使用者層級用量和租戶層級用量，在清單頂端顯示最近和最常使用的欄位。
- 「Suggest immediate child fields」(直接建議子欄位)：一次補全一個子節點，逐步補全巢狀欄位。
- 建議所有可用路徑：顯示所有巢狀欄位建議的完整展開路徑。
按一下 [儲存]。

使用 `select` 和 `unselect` 控制查詢輸出

您可以在 YARA-L 2.0 搜尋查詢中使用 select 和 unselect 關鍵字，直接從儲存空間投影或排除特定 UDM 事件和實體內容圖 (ECG) 欄位，減少回應酬載大小並縮短查詢延遲時間：

select：僅傳回指定的葉欄位和 outcome 變數，以及必要的中繼資料欄位。
unselect：傳回除了指定葉欄位和 outcome 變數以外的所有欄位。

不含 select 或 unselect 的查詢會傳回完整的 UDM 和實體酬載。選擇性欄位投影適用於獨立 UDM 事件和獨立 ECG 實體搜尋，多事件彙整、UDM 實體彙整和匯總查詢則不受影響。如需更多語法範例，請參閱「使用 select 和 unselect 關鍵字控制資料欄」。

支援和必填欄位

支援的欄位：指定 UDM 事件 (例如 principal.hostname、target.ip、security_result.severity) 和 ECG 實體 (例如 graph.entity.hostname、graph.entity.ip、graph.metadata.entity_type、graph.relations.entity_type) 的 outcome 變數或完整葉欄位路徑。
必填欄位：為保留事件身分、時間軸順序和實體有效間隔，即使您在 select 中省略或在 unselect 中加入下列核心中繼資料欄位，Google SecOps 仍會傳回這些欄位：
- UDM 事件：metadata.id、metadata.event_timestamp、metadata.enrichment_state
- ECG 實體：graph.metadata.entity_type、graph.metadata.interval.start_time
對應欄位和重複清單索引：欄位投影和排除作業會在對應欄位 (additional.fields 和 extracted.fields) 和重複清單的容器層級執行，而非篩選個別對應鍵或單一陣列位置：
- 使用 select：指定對應鍵 (例如 select: additional.fields["env"] 或 extracted.fields["src"]) 或清單索引 (例如 select: principal.ip[0] 或 about[0].file.md5)，即可傳回整個對應 (additional.fields 或 extracted.fields)，或所有清單元素中的整個重複欄位或子欄位。
- 使用 unselect：指定對應鍵 (例如 unselect: additional.fields["env"]) 或清單索引 (例如 unselect: principal.ip[0] 或 about[0].file.md5) 會排除整個對應 (移除該對應中的所有其他鍵)，或排除所有清單元素中的重複欄位或子欄位，而不只是索引 0。如需 additional.fields 或 extracted.fields 的其他鍵，請勿在 unselect 中加入該對應的任何鍵。

對搜尋結果、使用者介面和 API 的影響

使用 select 或 unselect 會影響 Google SecOps 網頁介面、Chronicle API (udmSearch 和 StreamSearch) 和 Search 長時間執行的作業 (LRO) API (PaginatedSearchResults) 的搜尋結果。舊版 Backstory API 不支援這項功能。

事件表格、資料欄管理工具和匯總：只有投影欄位 (以及「時間戳記」和「事件狀態」) 可供查看、匯總、篩選或新增為資料欄。
事件檢視器：只顯示預測的 UDM 和實體欄位，以及原始記錄，並停用未預測欄位的「新增至資料欄」。
排序：只有在投影基礎欄位時，才能依投影欄位、必要中繼資料欄位 (metadata.event_timestamp 和 metadata.enrichment_state) 以及複合快速欄 (「Hostname」、「IP」和「User」) 排序結果。在 API 要求中，如果將 sort_column 設為未投影或排除的欄位，系統會傳回 INVALID_ARGUMENT (400) 錯誤。

範例

僅納入特定 UDM 事件欄位 (select)：

principal.hostname != "" and target.ip != ""
select: principal.hostname, principal.ip, target.ip, security_result.severity

僅納入特定心電圖實體欄位 (select)：

graph.entity.hostname != ""
select: graph.entity.hostname, graph.entity.ip, graph.entity.asset.asset_id

排除特定欄位 (unselect)：

metadata.event_type = "NETWORK_HTTP" and principal.hostname != ""
unselect: target.hostname, target.ip, security_result.category_details

尋找搜尋查詢的 UDM 欄位 (UDM 查詢)

編寫搜尋查詢時，您可能不知道要加入的確切 UDM 欄位名稱或值。UDM 查詢功能可讓您快速找到 UDM 欄位名稱，其中包含名稱中的文字字串，或儲存特定字串值。您可以選取一或多個 UDM 查詢傳回的結果，並將結果做為搜尋查詢的起點、將結果附加至現有查詢，或將結果儲存至剪貼簿。

如要使用 UDM 查詢，請按照下列步驟操作：

在「SIEM Search」頁面，點選「UDM Lookup」。「UDM Lookup」對話方塊隨即開啟。
選取下列其中一項或兩項「比對依據」選項，指定要搜尋的資料範圍：
- UDM 欄位：搜尋與欄位名稱相符的文字，例如 network.dns.questions.name 或 principal.ip。
- 值：搜尋儲存的記錄值中的文字字串，例如 dns 或 google.com。
按一下「搜尋」「輸入確切的比對字串」欄位，然後輸入要比對的字串。輸入時，搜尋結果會顯示在對話方塊中。

比對 UDM 欄位和值時，結果會有所不同，如下所示：
- 使用「Match On」UDM 欄位名稱搜尋時，系統會傳回在結構定義定義中找到的完全相符項目。
  
  圖 2：在「UDM Lookup」(UDM 查詢) 對話方塊中，使用「Match On」(比對依據) UDM 欄位名稱進行搜尋。
- 使用「Match On Values」(比對值) 搜尋，會搜尋擷取的記錄遙測資料，並傳回兩種類型的結果：
  - 完整值相符：對於常見的文字欄位 (例如應用程式、主機名稱、網址、IP 位址和使用者名稱)，UDM 查詢會顯示完整的相符值，並以黃色醒目顯示搜尋字串，以及最新的記錄擷取時間戳記。
  - 可能的值相符：如果欄位包含冗長、複雜或非結構化文字 (例如指令列、說明、偵測欄位和自訂欄位)，UDM 查詢會指出搜尋字詞出現在歷來遙測資料的該欄位中。結果不會顯示單一完整值，而是顯示 UDM 欄位名稱，後面接著 (Possible value match)。
  圖 3：在「UDM Lookup」(UDM 查詢) 對話方塊中，使用「Match On」(比對依據) 值進行搜尋。
在結果清單中，您可以執行下列操作：
- 按一下 UDM 欄位名稱，即可查看該欄位的說明。
- 勾選 UDM 欄位名稱旁的核取方塊，選取一或多個結果。
- 按一下「重設」按鈕，即可取消選取結果清單中所有選取的欄位。
執行下列其中一個步驟：
- 如要將所選結果複製到剪貼簿，請按一下「Copy UDM」(複製 UDM)。接著，您可以關閉「UDM Lookup」(UDM 查詢) 對話方塊，並將剪貼簿內容貼到查詢編輯器。
- 如要將所選結果附加至查詢編輯器中的查詢，請按一下「附加至搜尋」。Google SecOps 接著會將所選結果轉換為搜尋查詢，做為 UDM 欄位名稱或名稱/值組合。
  
  如果附加多個結果，Google SecOps 會使用 OR 運算子，將每個結果新增至查詢編輯器中現有查詢的結尾。
  
  附加的查詢字串會因 UDM Lookup 傳回的比對類型而異：
  - 如果結果與 UDM 欄位名稱中的文字字串相符，系統會將完整的 UDM 欄位名稱附加至查詢。例如：
    
    principal.artifact.network.dhcp.client_hostname
  - 如果結果是完整值比對，則名稱/值組合會包含與完整值完全相等的條件。
  - 如果結果是「Possible value match」(可能的值相符)，名稱/值組合會包含 UDM 欄位名稱，以及不區分大小寫、含有搜尋字詞的規則運算式。
視需要在查詢編輯器中編輯查詢。

UDM 查詢搜尋行為和欄位涵蓋範圍

UDM 查詢功能可協助您找出欄位名稱，並在擷取的記錄資料中搜尋歷來值。本節將說明這兩種模式的搜尋運作方式、提供查詢範例，以及說明欄位涵蓋範圍界線。

搜尋模式：UDM 欄位與值

UDM 查詢提供兩種不同的搜尋模式：

UDM 欄位模式：比對 UDM 欄位會搜尋 UDM 結構定義定義，協助您找出正確的欄位路徑。所有資料類型都有欄位名稱，包括文字欄位 (principal.hostname)、數值通訊埠 (target.port)、布林值旗標 (security_result.is_alert) 和事件類別 (metadata.event_type)。

範例：輸入 port 會顯示 network.ip_port、principal.port、target.port 和 src.port 等欄位。
值模式：比對值會在擷取的事件記錄中，搜尋相符的文字值：
- 完全比對值：如果是常見的 ID 和文字欄位 (例如主機名稱、IP 位址、網域和使用者名稱)，UDM 查詢功能會在資料中找出完全相符的值，並產生等式條件 (例如 principal.hostname = "example.com")。
- 可能的值比對 (規則運算式)：如果是長文字、指令列、網址、登錄機碼和檔案路徑，UDM 查詢會傳回可能的值比對和規則運算式 (例如 principal.process.command_line = /powershell/ NOCASE)。

欄位涵蓋範圍落差和直接搜尋方法

依「值」搜尋時，UDM 查詢會搜尋原始、未擴充事件資料中的文字欄位。在「值」模式中，某些資料類型和大量 ID 欄位不會傳回相符項目。如要搜尋這些欄位，請直接在查詢編輯器中輸入運算式。

這個部分包含以下項目：

數值、布林值、時間戳記和位元組欄位
排除的 ID 欄位
可能值相符的欄位 (規則運算式)
擴充欄位和實體圖表

數值、布林值、時間戳記和位元組欄位

UDM 查詢值搜尋不會傳回非文字資料類型的相符項目。如要搜尋這些欄位，請直接在搜尋列中輸入條件：

欄位類別	UDM 欄位範例	直接搜尋範例
通訊埠編號和狀態碼	`network.ip_port`、`principal.port`、`target.port`、`network.http.response_code`	`network.ip_port = 443` `network.http.response_code = 403`
指標和風險評分	`security_result.risk_score`、`network.sent_bytes`、`network.received_bytes`	`security_result.risk_score >= 80` `network.sent_bytes > 50000000`
布林值旗標	`security_result.is_alert`、`network.dns.answers.is_authoritative`	`security_result.is_alert = true`
預先定義的列舉	`metadata.event_type`、`network.ip_protocol`	`metadata.event_type = "USER_LOGIN"` `network.ip_protocol = "TCP"`
時間戳記	`metadata.event_timestamp.seconds`、`metadata.ingested_timestamp`	使用「日期範圍」選單或查詢進行篩選：`metadata.event_timestamp.seconds > 1700000000`
事件 ID (原始位元組)	`metadata.id`	`metadata.id = "..."`
地理座標	`principal.location.latitude`、`principal.location.longitude`	依區域位置欄位篩選：`principal.location.country_or_region = "US"`

排除的 ID 欄位

依「值」搜尋時，下列高熵和工作階段追蹤欄位不會傳回相符項目：

排除的欄位類別	UDM 欄位	直接搜尋範例
程序 ID	`.pid` (例如 `principal.process.pid`、`target.process.pid`)、`.product_specific_process_id`	`target.process.pid = "4128"`
工作階段和連線 ID	`network.session_id`、`network.parent_session_id`、`metadata.product_log_id`	`network.session_id = "sess-9481"`
偵測規則 ID	`security_result.rule_id`	`security_result.rule_id = "rule_suspicious_login"`
資源和資產 ID	`.resource.id` (包括雲端 ARN 和 URI)、`.asset_id`	`target.resource.id = "arn:aws:s3:::my-bucket"`
擷取標籤	`metadata.base_labels.`、`metadata.enrichment_labels.`	`metadata.base_labels.log_types = "WINEVTLOG"`

可能相符的值 (規則運算式) 欄位

如果欄位包含長而複雜的字串，且含有多個路徑分隔符或引數，UDM 查詢會傳回「可能的值相符」規則運算式 (/.../ NOCASE)，而非完全相符的值：

指令列：principal.process.command_line、target.process.command_line
檔案路徑：principal.process.file.full_path、target.file.full_path
網頁和網路網址：principal.url、target.url、network.http.referral_url
登錄機碼：principal.registry.registry_key、target.registry.registry_key
任意形式說明：metadata.description、security_result.description、security_result.summary
使用者代理程式字串：network.http.user_agent
動態自訂欄位：additional.fields.value.*

經過填充的欄位和實體圖表

UDM 查詢會搜尋 2023 年 8 月 10 日後擷取的原始記錄資料。不會傳回下列項目的值：

下游擴充：例如 GeoIP 位置解析、WHOIS 資料、安全瀏覽判定或 VirusTotal 分數。如要搜尋這些欄位，請直接在擴充欄位路徑 (例如 target.ip_geo_artifact.country_or_region = "US") 上篩選。
實體圖譜物件：graph.* 命名空間中的資料。
截止日期前的歷來資料：2023 年 8 月 10 日前擷取的記錄。如要搜尋較舊的資料，請在「搜尋」頁面直接使用搜尋查詢。

在搜尋中使用資料表

您可以在搜尋中使用資料表功能。這樣一來，您就能將現有的威脅資訊資料庫與搜尋功能搭配使用，在企業中搜尋威脅。

舉例來說，假設您有一個名為 suspicious 的資料庫，其中有一欄 IP 位址，而您知道這些位址有問題，則可以在搜尋查詢中參照該資料庫，而不必在查詢中手動輸入個別 IP 位址：

  events:
      $e.principal.ip in %suspicious.ip

除了 IP 位址外，您也可以搜尋特定中繼資料來縮小結果範圍，例如您可能特別關注使用者資源的變更：

  events:
      $e.metadata.event_type = "USER_RESOURCE_UPDATE_CONTENT"
      $e.principal.ip in %suspicious.ip

您可以縮小搜尋範圍，只搜尋相互關聯的 UDM 欄位，並比對多個資料表資料欄。以下範例會搜尋安全性結果為 ALLOW 的 NETWORK_CONNECTION 事件。然後將這些事件與 badApps 資料表中的 hostnames 欄和 ip 欄進行比對。

events:
  $e.metadata.event_type = "NETWORK_CONNECTION"
  $e.security_result.action = "ALLOW"
  $e.target.asset.asset_id = $assetid

  // Event hostname matches at least one value in table column hostname.
  $e.target.hostname in %badApps.hostname

  // Event IP matches at least one value in table column ip.
  $e.target.ip in %badApps.ip

在搜尋結果中查看資料表列

在 YARA-L 2.0 搜尋中使用資料表時，結果會參照與相符事件連結的資料表資料列。這些結果會顯示在「事件」面板中。查看結果時，系統會顯示資料表及其資料列的目前狀態。

使用資料欄管理工具，選取要在結果中顯示的資料表和資料欄。

詳情請參閱「使用資料表」。

瞭解查詢執行程序

如果查詢編輯器中的查詢有效，Google SecOps 控制台會啟用「執行搜尋」按鈕。

點選「執行搜尋」後，系統會顯示查詢進度，並附上圓形狀態圖示。

搜尋期間，您可以在查詢編輯器中執行其他 (並行) 搜尋，但有一些限制。Google SecOps 會繼續執行先前的搜尋，並同時執行新的搜尋。

完成的查詢會顯示綠色勾號圖示，以及查詢傳回的事件數量。

按一下已完成的查詢，即可顯示結果。搜尋結果會顯示在查詢編輯器下方。

搜尋結果會快取，且僅包含查詢執行時可用的資料。

管理 Google 搜尋記錄

搜尋記錄會儲存到 Google SecOps 帳戶。

如要管理搜尋記錄，請在「SIEM 搜尋」頁面點選「記錄」開啟對話方塊，然後執行下列操作：
- 查看所有搜尋記錄。
- 按一下清單中的項目，即可載入查詢編輯器。
- 在搜尋列中輸入內容，即可在記錄中尋找搜尋項目。
- 如要篩選搜尋結果，請按一下搜尋列旁的「篩選器」，然後依「語言」(包含「YL2」和「SQL」篩選器) AND「搜尋類型」(包含「UDM」、「原始記錄」和「統計資料」篩選器) 篩選搜尋結果。
- 是否僅顯示已完成和進行中的已儲存結果 (使用「僅顯示已完成和進行中的已儲存結果」核取方塊)。
- 清除 Google 搜尋記錄。
  - 如要清除搜尋記錄，請按一下「更多」圖示，然後選取「清除記錄」。
- 停用或重新啟用 Google 搜尋記錄：
  - 如要停用搜尋記錄，請按一下「停用搜尋記錄」，然後選取「僅停用」來停用搜尋記錄，或選取「停用並清除」來停用搜尋記錄並刪除已儲存的搜尋記錄。
  - 如果先前曾停用 Google 搜尋記錄，只要按一下「啟用搜尋記錄」，即可重新啟用。
如要從搜尋記錄中刪除個別搜尋項目，請參閱「刪除已儲存的搜尋」。

儲存及使用指標查詢

Google SecOps 會使用「STATS」徽章分類指標查詢。

如要將搜尋儲存為指標，請按一下「Run Search」(執行搜尋) 旁的「More」(更多)，然後點選「Save as Metric」(另存為指標)。「Rules & Detections」(規則和偵測) 頁面隨即開啟，並在「Metrics」(指標) 分頁中顯示指標查詢。接著，您可以儲存或停用指標。指標查詢儲存後就無法編輯或刪除，但可隨時停用。

您可以使用指標查詢建立一般行為模式，並找出異常活動。如果查詢編輯器中有指標查詢，可追蹤重要作業趨勢，請依序點選「更多」 >「另存為指標」。這項功能會將查詢儲存為連續時間序列指標，可嵌入自訂資訊主頁，或在門檻快訊中參照。

指標查詢範例：

metric metric_1784196814306 {
  (metadata.event_type = "NETWORK_FLOW" OR
  metadata.event_type = "NETWORK_CONNECTION" OR
  metadata.event_type = "NETWORK_DNS" OR
  metadata.event_type = "NETWORK_HTTP")

  outcome:
  $timestamp = timestamp.get_timestamp(metadata.event_timestamp.seconds)
  $hostname = principal.hostname
  $event_type = metadata.event_type
  $user = principal.user.userid
  $principal_process = principal.process.file.full_path
  $principal_cmdline = principal.process.command_line
  $target_process = target.process.file.full_path
  $target_cmdline = target.process.command_line
  $target_url = target.url
  $target_ip = target.ip[0]
  order:
  $timestamp
  }

管理搜尋 (搜尋管理員)

使用「Search Manager」對話方塊管理搜尋。

如要開啟「搜尋管理工具」，請在「SIEM 搜尋」頁面點選「搜尋管理工具」。

搜尋類型徽章

在「搜尋管理員」中，「已儲存」分頁會列出所有已儲存的搜尋，並顯示搜尋類型的徽章：UDM、RAW、JOIN、STATS、CASE、CASE HISTORY 和 ECG。

搜尋管理工具動作

在「已儲存」分頁中，您可以執行下列操作：

篩選已儲存的搜尋：按一下搜尋列旁的「篩選器」圖示，然後依下列條件篩選搜尋：來源 (包含「Google SecOps 定義」、「我編寫的」和「與我共用」) AND 語言 (包含「YL2」和「SQL」)。
排序搜尋：按一下搜尋列旁的「排序」圖示 list_arrow，然後依「名稱 (A - Z)」、「名稱 (Z - A)」、「由舊到新」或「由新到舊」排序。
新增搜尋：按一下搜尋列旁的「新增」圖示 add_2，然後在相鄰的「UDM 搜尋」方塊中建立新搜尋。「UDM Search」(UDM 搜尋) 方塊支援的 UDM 編輯、自動建議和自動完成工具，與在查詢編輯器中手動建構查詢時相同。
共用或刪除您建立的搜尋。
編輯您建立的搜尋：在「已儲存」分頁中選取搜尋後，「搜尋」方塊會顯示查詢，以及「標題」方塊和「說明」方塊。「UDM Search」(UDM 搜尋) 方塊支援的 UDM 編輯、自動建議和自動完成工具，與在查詢編輯器中手動建構查詢時相同。

儲存搜尋

已儲存的搜尋和搜尋記錄：

儲存在 Google SecOps 帳戶中。
只有個別使用者可以查看及存取，除非您使用「共用搜尋」功能與機構共用搜尋。

如要儲存搜尋，請按照下列步驟操作：

在「SIEM Search」(SIEM 搜尋) 頁面中，執行下列任一操作：
- 如果查詢編輯器中有有效的查詢，請按一下「執行搜尋」旁的「更多」圖示，然後按一下「儲存搜尋」。「搜尋管理員」對話方塊隨即開啟。
- 按一下「搜尋管理工具」。「搜尋管理員」對話方塊隨即開啟。
在「標題」方塊中輸入搜尋名稱。Google 建議您為儲存的搜尋設定有意義的名稱，並以純文字說明搜尋內容。
選用：在「說明」方塊中輸入搜尋說明。
選用：使用與 YARA-L 變數相同的格式，以 ${<variable name>} 格式指定預留位置變數。如果您在搜尋中加入變數，也必須加入提示，協助使用者瞭解執行搜尋前需要輸入的資訊。執行搜尋前，所有變數都必須填入值。

舉例來說，您可以在搜尋中加入 metadata.vendor_name = ${vendor_name}。針對 ${vendor_name}，您需要為日後的使用者新增提示，例如 Enter the name of the vendor for your search。日後每當使用者載入這項搜尋時，系統都會提示他們先輸入供應商名稱，再執行搜尋。
完成後，按一下「儲存編輯內容」。

如要查看已儲存的搜尋，請按一下「Search Manager」，然後點選「Saved」(已儲存) 分頁標籤。

擷取並執行已儲存的搜尋

如要擷取並執行已儲存的搜尋，請按照下列步驟操作：

在「SIEM Search」(SIEM 搜尋) 頁面中，點選「Search Manager」(搜尋管理工具)，然後從左側的「Saved」(已儲存) 清單中選取搜尋。
選用：如要刪除搜尋，請按一下「更多」圖示，然後選取「刪除搜尋」。您只能刪除自己建立的搜尋。
您可以變更搜尋名稱和說明。完成後，按一下「儲存編輯內容」。
按一下「載入搜尋」。搜尋字詞會載入主要搜尋欄位。
按一下「執行搜尋」。

刪除已儲存的搜尋

您只能刪除自己建立的搜尋。

如要刪除已儲存的搜尋，請按照下列步驟操作：

在「SIEM Search」(SIEM 搜尋) 頁面中，點選「Search Manager」(搜尋管理工具)，然後從左側的「Saved」(已儲存) 清單中選取搜尋。
按一下「更多」圖示，然後選取「刪除搜尋」。
按一下「刪除搜尋」。

您可以與團隊共用搜尋。你無法只與一位使用者分享。如果共用搜尋，整個機構都能使用。

您無法編輯他人建立的共用搜尋。

如要分享搜尋，請按照下列步驟操作：

在「SIEM Search」頁面，點選「Search Manager」，然後從左側的「Saved」清單選取搜尋。
按一下要分享的搜尋內容。
按一下搜尋列右側的「更多」圖示。系統會顯示對話方塊，提供分享搜尋結果的選項。
按一下「與貴機構共用」。畫面上會顯示對話方塊，告知「貴機構的使用者將可看到您分享的搜尋結果。確定要分享嗎？」。
按一下「共用」。

如果只想讓自己看到搜尋結果，請依序點選「更多」圖示和「停止共用」。如果停止共用，只有您能使用這項搜尋。

搜尋結果：總覽

在「SIEM Search」頁面點選「執行搜尋」後，Google Security Operations 會評估整個環境中的查詢，並在查詢編輯器下方分類及顯示結果。

搜尋結果的 UI 元素會因搜尋類型而異 (根據徽章，搜尋類型包括：UDM、RAW、JOIN、STATS、CASE 或 CASE HISTORY)。

「SIEM Search」頁面會顯示下列搜尋結果分頁：

結果：顯示所有搜尋類型的結果。
快訊和偵測：僅適用於 UDM、RAW 和 JOIN 搜尋結果。
總覽：僅顯示 UDM、RAW 和 JOIN 搜尋結果。
視覺化：僅顯示 STATS 搜尋結果。

每個結果分頁的標題都會在括號中顯示數量，例如「結果 (1,118)」，如果結果數量超過指定上限 (此處為 10 萬)，則會顯示「結果 (100,000+)」。

點選分頁即可立即切換工作區檢視畫面，同時保留搜尋查詢和日期範圍。

在「結果」分頁中查看及管理資訊

「結果」分頁是查看及管理搜尋結果的主要工作區。「結果」分頁的用途如下：

深入探索記錄
查看原始遙測資料
根據事件資料生成資料透視表
分析高頻率欄位值分布情形
將資料匯出為 CSV 檔案

「結果」分頁包含下列元素，具體取決於搜尋類型：

包含下列圖表的分頁面板：
- 「Activity Over Time」(活動趨勢) 圖表：顯示 UDM、JOIN、CASE、CASE HISTORY 和 ECG 搜尋結果。
- Trend Over Time 圖表：顯示原始搜尋結果。
- 「普及度」分頁：顯示 UDM 搜尋結果。
- 活動熱視圖表格：顯示 UDM 搜尋結果。
「Aggregations」(匯總) 面板：所有類型的搜尋結果都會顯示這個面板。
根據搜尋類型，面板會顯示下列表格：
- 「事件」表格和「資料透視」子標籤：僅顯示 UDM 搜尋結果。「事件」表格會顯示正規化的 UDM 事件遙測資料，以及所選時間範圍內符合查詢條件的原始記錄。在「透視」子標籤中，您可以建立及使用資料透視表，對事件結果執行多維度數學分組和摘要 (sum、count、avg、stddev)。
- 原始記錄檔：僅顯示原始搜尋結果。
- 統計資料：只會顯示在統計資料搜尋結果中。
- JOIN：只在 JOIN 搜尋結果中顯示。
- 案件：只在案件搜尋結果中顯示。
- 案件記錄：僅顯示「案件」和「案件記錄」的搜尋結果。
- 有時效性的資料和無時效性的資料：僅顯示在心電圖搜尋結果中。
如要瞭解這些表格支援的功能和工具，請參閱「使用表格的常用工具」。支援的功能包括管理分頁顯示的表格欄、下載搜尋結果等。

使用「活動變化趨勢」圖表

「Activity Over Time」(活動趨勢) 分頁包含事件和警告數量的趨勢圖表 (直方圖)。

每條長條的寬度取決於搜尋的時間間隔。舉例來說，如果搜尋範圍涵蓋 24 小時的資料，每個長條代表 10 分鐘。修改現有搜尋時，這個圖表會動態更新。

圖表支援下列項目：

調整時間範圍：拖曳時間軸上的滑桿控制項，即可立即縮小顯示的時間範圍。結果網格和「Aggregations」(匯總) 面板會更新，不必重新對後端執行查詢。
查看單一長條時間範圍內的事件和警示：點選長條，即可將圖表、「匯總」面板和「偵測」分頁的焦點縮小至該長條的時間範圍。系統會建立篩選器，並顯示在「篩選器清單」filter_list「新增篩選器」按鈕旁。如要再次顯示所有結果，請刪除篩選條件。
詳細資料彈出式視窗：點選其中一個長條，即可開啟彈出式視窗，其中包含時間，以及「查詢的事件」、「篩選的事件」、「查詢的快訊」和「篩選的快訊」的值。

使用「長期趨勢」圖表

「Trend Over Time」(長期趨勢) 分頁包含原始記錄量隨時間變化的圖表 (直方圖)。每個垂直長條的寬度會根據整體搜尋時間範圍動態調整 (例如，24 小時搜尋時間範圍內的每個長條可能代表 10 分鐘)。

圖表支援下列項目：

調整時間範圍：拖曳時間軸上的滑桿控制項，即可立即縮小顯示的時間範圍。結果網格和「Aggregations」(匯總) 面板會更新，不會對後端重新執行查詢。
查看在單一長條的時間範圍內，偵測到多少已剖析、未剖析和不明記錄：不明表示當時偵測到一或多筆記錄，但不確定具體數量。按一下長條，即可將圖表和「匯總」面板的焦點縮小至該長條的時間範圍。系統會建立篩選器，並顯示在「篩選器清單」filter_list「新增篩選器」按鈕旁。如要再次顯示所有結果，請刪除篩選器。
詳細資料彈出式視窗：點選任一長條，即可開啟彈出式視窗，其中會顯示時間，以及「查詢的事件」、「篩選出的事件」、「查詢的快訊」和「篩選出的快訊」的值。

使用「普及度」分頁

只有在搜尋包含網域時，系統才會顯示「普及度」分頁。

「普及度」分頁會顯示與搜尋相關的網域在企業內部的普及度。其中結合了低普及度網域清單和互動式圖表。只有在 UDM 搜尋包含網域時，才會顯示這個分頁。

低普及率網域清單包含下列資料欄：

普及度低的網域：顯示與搜尋結果相關聯的網域名稱。按一下 arrow_upward 即可依字母順序 (Z 到 A) 排序網域，按一下 arrow_downward 則可依字母順序 (A 到 Z) 排序。
普及度 ≤ 10：顯示普及度為 10 以下的每個網域總出現次數。按一下 arrow_upward，即可依數字遞減排序，按一下 arrow_downward 則可依數字遞增排序。

在圖表上，將滑鼠游標懸停在圓圈上，即可顯示特定網域，並將搜尋範圍縮小至僅與該網域相關的事件。

使用「活動熱視圖」分頁

「Activity heatmap」(活動熱視圖) 分頁會以視覺化時間軸格線顯示事件資料，醒目顯示指定日期範圍內事件最集中的位置。Y 軸會顯示搜尋時間範圍內的日期，X 軸則會顯示一天中的時間，以小時為間隔 (從 00:00 到 23:00)。

顏色漸層圖例代表特定小時內的事件量，顏色越淺表示事件越少，顏色越深表示密度越高。您也可以調整水平滑桿，調整密度指標，查看或隱藏每小時時段。按一下側邊面板上的向上或向下箭頭，即可捲動日期並調整特定時間範圍。

使用「匯總」面板縮小搜尋結果範圍

「匯總」面板會匯總高頻率值，您可以使用這些值來精細調整搜尋結果。

「匯總」面板包含兩個可收合的清單：「UDM 欄位」 (相符的 UDM 欄位清單)，以及另一個根據搜尋類型顯示的欄位清單 (例如原始記錄搜尋的「記錄欄位」、「統計資料欄位」、「案件欄位」等)。在 UDM 搜尋中，「匯總」面板會顯示「UDM 欄位」清單和「分組欄位」清單。

如要將欄位固定在「匯總」清單頂端，請將滑鼠游標懸停在欄位上，然後按一下「保留」圖示。

您可以使用面板的搜尋搜尋欄位，搜尋特定欄位或欄位值。

每個欄位都會顯示「相符計數」，也就是該欄位具有相同值的記錄數量。清單內容會依比對次數由高至低排序，比對次數相同時則依字母順序排列。您可以搜尋清單中的欄位，並展開欄位項目。

如要使用匯總功能篩選搜尋結果，請按照下列步驟操作：

在「Aggregations」(匯總) 面板中，從清單選取欄位，即可顯示該欄位的清單值。
從清單中選取值，然後按一下「more_vert」more_vert。
選取篩選器選項：
- 「Show only」：相鄰的對應表格會更新，只顯示相符的記錄，且 = "value" 篩選器會顯示在「filter_list」filter_list「Add filter」按鈕旁。
- 篩除：相鄰的對應表格會更新，篩除相符的記錄，且 != "value" 篩選器會顯示在 filter_list「新增篩選器」按鈕旁。
- 複製：將欄位值組合複製到剪貼簿。
圖 4：使用「匯總」面板篩選欄位的範例。

圖 5. filter_list「新增篩選器」按鈕，其中包含兩個現有篩選器 (一個顯示，另一個在「還有 1 個」清單中)。
選用：如果您在上一步選取「僅顯示」或「篩除」，並想自動將篩選器納入查詢編輯器，然後再次執行搜尋，請按一下「套用至搜尋並執行」。

在「結果」分頁的「匯總」面板中使用分組欄位

UDM 搜尋的「匯總」面板包含「分組欄位」清單。同組欄位可做為強大的類別別名，將相關的 UDM 欄位合併，您不必逐一輸入。如要進一步瞭解分組欄位，請參閱「搜尋分組欄位」。

分組欄位別名	別名中包含的相關聯 UDM 欄位
`domain`	`about.administrative_domain` `about.asset.network_domain` `network.dns.questions.name` `network.dns_domain` `principal.administrative_domain` `principal.asset.network_domain` `target.administrative_domain` `target.asset.hostname` `target.asset.network_domain` `target.hostname`
`email`	`intermediary.user.email_addresses` `network.email.from` `network.email.to` `principal.user.email_addresses` `security_result.about.user.email_addresses` `target.user.email_addresses`
`file_path`	`principal.file.full_path` `principal.process.file.full_path` `principal.process.parent_process.file.full_path` `target.file.full_path` `target.process.file.full_path` `target.process.parent_process.file.full_path`
`hash`	`about.file.md5` `about.file.sha1` `about.file.sha256` `principal.process.file.md5` `principal.process.file.sha1` `principal.process.file.sha256` `security_result.about.file.sha256` `target.file.md5` `target.file.sha1` `target.file.sha256` `target.process.file.md5` `target.process.file.sha1` `target.process.file.sha256`
`hostname`	`intermediary.hostname` `observer.hostname` `principal.asset.hostname` `principal.hostname` `src.asset.hostname` `src.hostname` `target.asset.hostname` `target.hostname`
`ip`	`intermediary.ip` `observer.ip` `principal.artifact.ip` `principal.asset.ip` `principal.ip` `src.artifact.ip` `src.asset.ip` `src.ip` `target.artifact.ip` `target.asset.ip` `target.ip`
`namespace`	`principal.namespace` `src.namespace` `target.namespace`
`process_id`	`principal.process.parent_process.pid` `principal.process.parent_process.product_specific_process_id` `principal.process.pid` `principal.process.product_specific_process_id` `target.process.parent_process.pid` `target.process.parent_process.product_specific_process_id` `target.process.pid` `target.process.product_specific_process_id`
`user`	`about.user.userid` `observer.user.userid` `principal.user.user_display_name` `principal.user.userid` `principal.user.windows_sid` `src.user.userid` `target.user.user_display_name` `target.user.userid` `target.user.windows_sid`

使用「事件」面板

使用「事件」面板，查看、排序及管理符合 UDM 搜尋條件的事件。

如要瞭解「事件」面板支援的功能和工具，請參閱「使用表格的常用工具」。支援的功能包括管理分頁顯示的表格欄、下載搜尋結果等。

根據預設，執行搜尋後，「事件」表格會顯示重要資料欄 (稱為「快速欄位」)，例如「事件狀態」、「時間戳記」、「類型」 (udm.metadata.event_type)、「摘要」、「使用者」 (udm.principal.user.userid 或 target.user.userid)、「主機名稱」 (udm.principal.hostname 或 target.hostname)。視查詢範圍和記錄來源而定，表格也會動態顯示相關的快速欄位，例如「動作」 (udm.security_result.action)。

檢查單一事件的詳細資料 (事件檢視器和原始記錄關聯)

如要查看單一事件的詳細資料，請按一下該資料列。「事件檢視器」隨即開啟。

詳情請參閱「使用事件檢視器查看 UDM 和原始結果」。

「資料透視」分頁：建立資料透視表

您可以使用資料透視表，對搜尋結果執行多維度數學分組和摘要。

如要開啟及設定資料透視表，請按照下列步驟操作：

執行 UDM 搜尋。
在「結果」分頁中，點選「資料透視」子標籤。「資料透視設定」面板隨即開啟。
在「分組依據」下方，按一下「新增欄位」，最多可選取五個 UDM 欄位進行資料列分組。系統會根據欄位類型顯示特殊轉換選項：
- 字串欄位：可強制使用小寫。您可以選擇使用「預設」大小寫顯示結果，或從選單中選取「小寫」，只使用小寫。
- 主機名稱欄位：
  - 註冊網域：只顯示註冊網域名稱 (例如 google.com、nytimes.com、youtube.com)。
  - 前 N 個層級的網域：指定要顯示的網域層級。舉例來說，如果使用 1 值，系統只會顯示頂層網域 (例如 com、gov 或 edu)。如果使用 3 值，系統會顯示網域名稱的下兩個層級 (例如 google.co.uk)。
- IP 欄位：可選擇依 CIDR 前置字串長度 (位元) 分組。IPv4 位址可指定 1 到 32。如果是 IPv6 位址，則可指定最多 128 個值。
- 時間戳記欄位：可選擇依時間解析度 (毫秒、秒、分鐘、小時、天) 分組。
在「值」下方，從結果的欄位清單中指定透視表的值。最多可指定五個值。
針對您為「值」指定的每個欄位，您必須選取下列其中一個「匯總依據」選項：
- Avg (平均)
- Count
- 不重複值的計數
- Max
- Min
- Sum
- Stddev (標準差)
「匯總」選項與「分組依據」欄位並非完全相容。舉例來說，「Sum」(總和)、「Avg」(平均值)、「Stddev」(標準差)、「Min」(最小值) 和「Max」(最大值) 選項只能套用至數值欄位。如果嘗試將不相容的「Summarize」(摘要) 選項與「Group By」(分組依據) 欄位建立關聯，系統會顯示錯誤訊息。

指定「事件計數」的值，傳回這項特定搜尋和資料透視表識別的事件數量。
在「Order by」下方，指定一或多個 UDM 欄位，然後使用「Ascending」或「Descending」選項選取一或多個排序方式。
準備就緒後，按一下「套用」。結果會顯示在「Pivot」(透視) 面板中。
選用：如要下載並儲存資料透視表的內容，請參閱「下載資料表中的搜尋結果」。

使用「原始記錄」面板

「原始記錄」面板會評估未剖析的原始記錄遙測資料，您可以使用這個面板查看、排序及管理符合搜尋條件的記錄。診斷的主要目標是監控擷取和剖析健康狀態，也就是監控已剖析和未剖析的記錄數量，以及「不明」記錄數量 (表示在特定時間偵測到一或多筆記錄，但不確定具體數量)。

如要瞭解這個分頁支援的功能和工具，請參閱「使用表格的常用工具」。支援的功能包括管理分頁顯示的表格欄、下載搜尋結果等。

檢查單一原始記錄的精細詳細資料 (事件檢視器和原始記錄關聯)

如要查看單一原始記錄的詳細資料，請按一下該資料列。「事件檢視器」隨即開啟。

詳情請參閱「使用事件檢視器查看 UDM 和原始結果」。

使用「統計資料」面板

使用「統計資料」面板，查看、排序及管理符合搜尋條件的統計資料。

「統計資料」面板僅支援「資料欄選取器」，您可以在其中新增或移除資料欄。

如要瞭解這個分頁支援的功能和工具，請參閱「使用表格的常用工具」。支援的功能包括下載搜尋結果等。

使用「Joins」(彙整) 面板

使用「Joins」(彙整) 面板，查看、排序及管理符合搜尋條件的項目。

如要瞭解這個分頁支援的功能和工具，請參閱「使用表格的常用工具」。支援的功能包括管理分頁顯示的表格欄、下載搜尋結果等。

使用「案件」面板

使用「案件」面板，查看、排序及管理符合搜尋條件的案件。

如要瞭解這個分頁支援的功能和工具，請參閱「使用表格的常用工具」。支援的功能包括管理分頁顯示的表格欄、下載搜尋結果等。

使用「案件記錄」面板

使用「Case History」(案件記錄) 面板，查看、排序及管理符合搜尋條件的案件記錄。

如要瞭解這個分頁支援的功能和工具，請參閱「使用表格的常用工具」。支援的功能包括管理分頁顯示的表格欄、下載搜尋結果等。

使用「有時效性的資料」和「無時效性的資料」面板

使用「有時間資料」和「無時間資料」面板，查看、排序及管理心電圖搜尋結果。「Timed Data」面板會顯示已定義日期範圍的實體結果，也就是在擷取期間具有 metadata.interval.end_time 值的實體。「Timeless Data」(不限時間資料) 面板會顯示未定義日期範圍 (即 metadata.interval.end_time 沒有值) 的實體結果。

使用事件檢視器查看 UDM 和原始結果

如要檢查單一事件或原始記錄的詳細資料，請按一下「Events」(事件) 表格或「Raw Logs」(原始記錄) 表格中的資料列。「事件檢視器」隨即開啟。

事件檢視器包含下列分頁：

事件欄位
原始記錄
警告：僅顯示「事件」表格中的 UDM 結果
實體

使用「事件欄位」分頁

根據預設，「Event Fields」(事件欄位) 分頁會以階層樹狀結構顯示 UDM 事件欄位，並標示為「Selected」(已選取)。

使用「Event Fields」(事件欄位) 分頁，即可執行下列操作：

查看欄位定義。將滑鼠游標懸停在欄位名稱上，即可查看定義。
固定欄位即可快速存取。在「Selected」清單中選取欄位，然後按一下「keep pin」。該欄位隨即會顯示在「Pinned」(已固定) 清單中。欄位會保留在「Selected」(已選取) 清單中，而「Pinned list」(已固定清單) 中的階層會以點分隔標記法顯示，並加上 udm 前置字元 (例如 udm.metadata.event_type)。
新增至資料欄或複製多個欄位。勾選節點或欄位旁的核取方塊，然後選擇「新增至資料欄」或「複製」。
執行下列動作：
- 篩選器：將下列篩選器套用至「已選取」清單中的所選項目 (check_box)：
  - 欄位
    - 顯示未經補充的欄位
    - 顯示經過補充的欄位
    - 顯示更多欄位
    - 顯示經過擷取的欄位
  - Enrichment Log Sources：可用選項取決於事件。
- 複製：將所選 UDM 欄位和 UDM 值複製到系統剪貼簿。
- 新增至資料欄：將 UDM 欄位新增為資料欄。

每個 UDM 欄位都會標示圖示，指出欄位是否包含擴充資料。圖示標籤如下：

U：未擴充欄位包含正規化程序中，使用原始記錄資料填入的值。
E：擴充欄位包含 Google SecOps 填入的值，可提供客戶環境中構件的其他背景資訊。詳情請參閱「使用 Google SecOps 擴充事件和實體資料」。

每個經過補充的欄位都會顯示所有相關聯的來源。這項資訊有助於驗證和疑難排解，也可能需要用於稽核和法規遵循。您也可以依據擴充來源篩選欄位。

經過充實和未經過充實的 UDM 欄位

圖 6：「事件檢視器」的「事件欄位」分頁中，經過補充和未經補充的 UDM 欄位，顯示經過補充的欄位來源。

在事件檢視器中篩選 UDM 欄位

圖 7.在「Event Fields」分頁中使用篩選器，根據各種屬性顯示或隱藏欄位。

使用「原始記錄」分頁

「Raw Log」(原始記錄) 分頁會以下列任一格式顯示原始記錄：

原始
JSON
XML
CSV
十六進位/ASCII

使用「快訊」分頁

「Alerts」(快訊) 分頁會顯示與事件相關聯的快訊。

只有「事件」表格中的 UDM 結果，才會顯示「警告」分頁。

使用「實體」分頁

「Entities」(實體) 分頁會顯示與事件相關聯的實體。

按一下實體，即可顯示「Entity context」(實體背景資訊) 對話方塊，其中可能包含下列項目：

資產名稱
首次出現時間
上次出現時間
IP 位址
MAC 位址
快訊數量
警告數量最多 (按規則)
快訊趨勢長條圖
開啟「快訊與 IOC」連結
「在『警告』分頁中查看」連結

在「警告和偵測」分頁查看及管理資訊

「快訊與偵測」分頁可用於：

針對所有規則執行作業進行威脅搜索
比較可採取行動的快訊觸發條件與低雜訊行為前兆
在單一整合檢視畫面中界定事件範圍

「Alerts & Detections」(警示和偵測) 分頁會顯示符合有效搜尋條件的警示和偵測結果。將警告和偵測結果整合在同一個分頁，您就能同時檢查高嚴重性警告和潛在行為規則命中，找出未單獨超過警告門檻的低雜訊前兆。

快訊是 UDM 事件和第三方連接器遙測資料，標有快訊門檻或高嚴重性通知。「警告」計數會顯示觸發警告規則的 UDM 記錄遙測資料 (alert_state = "ALERTING")，以及從第三方安全性連接器 (例如 CrowdStrike 或 SOAR Webhook) 擷取的高優先順序通知。

偵測是指 YARA-L 2.0 規則在整個環境中產生的所有警告 (ALERTING) 和非警告 (NOT_ALERTING) 規則執行輸出內容。這個分頁會顯示 YARA-L 2.0 偵測引擎產生的完整規則執行輸出內容，包括觸發警告和未觸發警告的規則。規則產生的每則快訊也都是偵測項目 (ALERTING)，但「偵測」計數也包含所有資訊、背景或非快訊規則命中 (NOT_ALERTING)。

分頁標題中的計數會依快訊狀態分類規則執行比對結果。舉例來說，如果分頁標題是「警告 (43) 和偵測 (0)」，代表有 43 個相符項目，其中 alerting_rule = true 和零個非警告 (NOT_ALERTING) 規則執行。

「快訊與偵測」分頁包含下列面板：

長期趨勢圖表
「Aggregations」(匯總) 面板
「偵測項目」面板

使用「趨勢變化」圖表

「快訊與偵測」分頁中的「長期趨勢」分頁包含偵測數量的長期趨勢圖表 (直方圖)。每個垂直長條的寬度會根據整體搜尋時間範圍動態調整 (例如，24 小時搜尋時間範圍內的每個長條可能代表 10 分鐘)。

圖表會將所有時間範圍內符合規則執行的項目，分組到標示為「偵測項目」的單一匯總序列。

圖表支援下列項目：

調整時間範圍：拖曳時間軸上的滑桿控制項，即可立即縮小顯示的時間範圍。結果網格和匯總資料會更新，不需重新對後端執行查詢。
查看單一長條時間範圍的匯總和偵測項目：點選長條，即可將圖表、「匯總」分頁和「偵測項目」分頁的焦點縮小至該長條的時間範圍。系統會建立篩選器，並顯示在「篩選器清單」filter_list「新增篩選器」按鈕旁。刪除篩選器，即可再次顯示所有結果。
詳細資料彈出式視窗：點選其中一個長條，會開啟一個對話方塊，顯示時間以及「查詢的偵測項目」和「篩選的偵測項目」的值。

使用「匯總」面板精細調整偵測結果

「快訊與偵測」分頁中的「匯總」面板會匯總高頻率偵測結果值，您可以使用這些值來精細調整搜尋結果。

「匯總」面板包含三個可收合的清單：「偵測欄位」、「UDM 欄位」 (相符的 UDM 欄位清單) 和「實體欄位」。

每個欄位都會顯示「相符項目數量」，也就是該欄位具有相同值的警告偵測數量。清單內容會依比對次數由高至低排序，比對次數相同時則依字母順序排列。您可以搜尋清單中的欄位，並展開欄位項目。

將滑鼠游標懸停在欄位上，然後按一下「保留」圖示，即可將欄位固定在「匯總」清單頂端。

在「匯總」面板中搜尋警示偵測結果

您可以使用「Aggregations」(匯總) 面板的搜尋搜尋欄位，搜尋特定欄位或欄位值。這樣一來，你就能專注於最重要的警示。

以下是「匯總」面板中用於篩選快訊的主要快訊屬性：

案件
名稱
優先順序
嚴重性
狀態
判定結果

在「匯總」面板中篩選快訊偵測結果

如要使用匯總功能篩選警告偵測結果，請按照下列步驟操作：

在「Aggregations」(匯總) 面板中，從清單選取欄位，即可查看該欄位的值清單。
從清單中選取值，然後按一下「more_vert」more_vert圖示 (更多)。
選取篩選器選項：
- 僅顯示：「偵測」表格會更新，僅顯示相符的快訊，且 = "value" 篩選器會顯示在「filter_list」filter_list「新增篩選器」按鈕旁。
- 篩除：「偵測」表格會更新，篩除相符的警示，並在「filter_list」filter_list「新增篩選器」按鈕旁顯示 != "value" 篩選器。
- 大於 (僅限整數欄位)：「偵測」表格會更新，顯示值大於這個值的警告，且 > "value" 篩選器會顯示在「filter_list」filter_list「新增篩選器」按鈕旁。
- 大於或等於 (僅限整數欄位)：「偵測」表格會更新，顯示值大於或等於這個值的快訊，且 >= "value" 篩選器會顯示在「filter_list」filter_list「新增篩選器」按鈕旁。
- 小於 (僅限整數欄位)：「偵測事件」表格會更新，顯示值小於此值的快訊，且 < "value" 篩選器會顯示在「filter_list」filter_list「新增篩選器」按鈕旁。
- 小於或等於 (僅限整數欄位)：「偵測」表格會更新，顯示值小於或等於這個值的快訊，且 <= "value" 篩選器會顯示在 filter_list「新增篩選器」按鈕旁。
- 複製：將欄位值組合複製到剪貼簿。

如要刪除篩選器並更新快訊偵測結果，請刪除「filter_list」「新增篩選器」按鈕旁邊顯示的篩選器。

使用「偵測」面板

使用「偵測項目」面板，查看、排序及管理符合搜尋條件的項目。

如要瞭解這個分頁支援的功能和工具，請參閱「使用表格的常用工具」。支援的功能包括管理分頁顯示的表格欄、下載搜尋結果等。

查看單一快訊的詳細資料 (快訊檢視器)

如要查看單一警告的詳細資料，請按一下「偵測項目」表格中的任一列。「Alert Viewer」隨即開啟。

「快訊檢視器」包含下列分頁：

偵測欄位
詳細資料
變數
實體
如要前往 Google SecOps 控制台的其他頁面查看警告詳細資料，請按一下「查看詳細資料」。

使用「偵測欄位」分頁

根據預設，「偵測欄位」分頁會以階層式樹狀結構顯示偵測欄位，並標示為「已選取」。

使用「偵測欄位」分頁，即可執行下列操作：

查看欄位定義。將滑鼠游標懸停在欄位名稱上，即可查看定義。
固定欄位即可快速存取。在「已選取」清單中選取欄位，然後按一下「保留固定」。該欄位就會顯示在「已固定」清單中。欄位會保留在「Selected」(已選取) 清單中，而「Pinned list」(已固定清單) 中的階層會以點分隔標記法顯示，並加上 collection 前置字元 (例如 collection.created_time)。
新增至資料欄或複製多個欄位。勾選節點或欄位旁的核取方塊，然後選擇「新增至資料欄」或「複製」。
執行下列動作：
- 對「已選取」清單套用篩選條件。
- 新增至資料欄：將欄位新增為資料欄。
- 複製：將所選欄位和值複製到系統剪貼簿。

使用「詳細資料」分頁

「詳細資料」分頁會顯示快訊詳細資料。詳細資料欄位組合會因特定警示而異。

範例詳細資料欄位：

名稱 (一律為「Alert」)
類型
嚴重性
風險評分
狀態
優先順序
已偵測到的整合
偵測時間範圍
建立時間
規則
規則集
說明
標記

使用「變數」分頁

「Variables」(變數) 分頁會顯示與快訊相關聯的每個變數的欄位、類型和值。

使用「實體」分頁

只有在有實體與快訊相關聯時，系統才會顯示「實體」分頁。

「Entities」(實體) 分頁會顯示與快訊相關聯的實體。

按一下實體，即可顯示「Entity context」(實體背景資訊) 對話方塊，其中可能包含下列項目：

資產名稱
首次出現時間
上次出現時間
IP 位址
MAC 位址
快訊數量
警告數量最多 (按規則)
快訊趨勢長條圖
開啟「快訊與 IOC」連結
「在『警告』分頁中查看」連結

在「總覽」分頁中查看及管理資訊

在「總覽」分頁中，您可以執行下列操作：

查看實體記錄 (首次偵測到、上次偵測到、MAC 位址)
確認觀察到的指標是否與進行中的資安營運案件或警示重疊

「總覽」分頁會顯示整合的實體背景資訊圖 (ECG)、資產或使用者詳細資料，以及與有效搜尋期間相符的入侵指標 (IOC) 或實體調查總覽。顯示的資訊會因資訊類型而異。

「Overview」(總覽) 分頁會顯示下列其中一種預先定義資訊類型的實體資訊：

素材資源詳細資料
網域詳細資料
檔案詳細資料
IP 詳細資料
使用者詳細資料

在「總覽」分頁中查看資產詳細資料

如果查詢包含傳回特定資產的條件 (例如 principal.hostname="laptop-will" 或 principal.ip="10.0.0.76")，「Overview」(總覽) 分頁會顯示「Asset View」(資產檢視畫面)，並在下列面板中顯示資訊：

搜尋摘要：顯示下列資訊：
- 實體的詳細資料，包括在搜尋日期範圍內與資產相關聯的 IP 位址和 MAC 位址。IP 位址和 MAC 位址也可用於識別實體，點選後可在實體檢視器中顯示其他資訊。此外，也會顯示資產首次和最近一次出現在企業中的時間。您可以點選任一時間戳記 (第一個或最後一個)，使用該時間執行新的搜尋。
- 快訊詳細資料，包括圖表，顯示在搜尋日期範圍內涉及該實體的快訊數量。此外，這個面板也會列出快訊數量最多的部分規則。
- 按一下「Open Alerts & IOCs」(開啟快訊和入侵指標)，查看在相同搜尋日期範圍內產生的所有快訊。
- 按一下「View in Alerts Tab」(在「快訊」分頁中查看)，切換至這個頁面的「Alerts & Detections」(快訊和偵測) 分頁，並針對所選實體開始新的搜尋。
- 按一下圖表中的任一長條，即可切換至這個頁面的「Alerts & Detections」(快訊和偵測) 分頁，並使用所選長條的日期範圍，針對所選實體開始新的搜尋。
- 按一下「View more」(查看更多) 連結，開啟「Entity fields」(實體欄位) 檢視畫面，並顯示與資產相關聯的所有實體欄位。如要將實體欄位複製到剪貼簿，請勾選實體欄位旁的核取方塊，然後依序按一下「View actions」(查看動作) 和「Copy entity」(複製實體)。按一下頂端的核取方塊，選取所有實體。
相關 IOC：顯示與資產相關聯的 IOC。嚴重性較高的 IOC 會優先顯示。按一下 IOC 名稱，右側會開啟實體檢視器。
相關聯實體：顯示與這項資產相關的其他實體，例如登入資產的使用者。面板會顯示實體類型、首次在環境中出現的時間，以及上次 (最近) 出現的時間。此外，也會顯示與資產相關聯的任何命名空間。按一下實體，開啟「Entity context」(實體背景資訊) 面板。按一下「Show all time」(顯示所有時間)，即可顯示整個可用時間範圍內的相關實體，而非 UDM 搜尋中指定的時間範圍。
實體背景資訊：顯示您在「Associated Entities」(相關聯實體) 面板中選取的實體詳細資料。這個面板會根據您在「Associated entities」(相關聯實體) 面板中選取的實體類型 (例如使用者或網域)，顯示不同的資訊。

在「總覽」分頁中查看網域詳細資料

如果查詢包含指定特定網域的條件 (例如 target.hostname="example.com")，「Overview」(總覽) 分頁會顯示「Domain」(網域) 詳細資料，並在下列面板中提供資訊：

搜尋摘要：顯示下列資訊：
- 網域的詳細資料，包括與註冊網域相關聯的 WHOIS 資訊、首次在企業中出現的時間，以及最後 (最近) 出現的時間。按一下「VT Context」，查看 VirusTotal 提供的網域資訊。
- 快訊詳細資料，包括圖表，顯示在搜尋日期範圍內涉及該實體的快訊數量。此外，這個面板也會列出快訊數量最多的部分規則。
- 按一下「Open Alerts & IOCs」(開啟快訊和入侵指標)，查看在相同搜尋日期範圍內產生的所有快訊。
- 按一下「View In Alerts Tab」，切換至這個頁面的「Alerts & Detections」分頁，並針對所選實體開始新的搜尋。
- 按一下圖表中的任一長條，即可切換至這個頁面的「Alerts & Detections」(快訊和偵測) 分頁，並使用所選長條的日期範圍，針對所選實體開始新的搜尋。
- 按一下「View more」(查看更多) 連結，開啟「Entity fields」(實體欄位) 檢視畫面，並顯示與網域相關聯的所有實體欄位。如要將實體欄位複製到剪貼簿，請勾選實體欄位旁的核取方塊，然後依序按一下「View actions」(查看動作) 和「Copy entity」(複製實體)。按一下頂端的核取方塊，選取所有實體。
已解析的 IP：顯示貴企業中完整網域名稱 (FQDN) 的所有已解析 IP 位址。舉例來說，如果您搜尋 target.hostname="test.altostrat.com"，搜尋結果可能會顯示兩個解析的 IP 位址 (198.51.100.81 和 203.0.113.81)。
子網域和同層網域：顯示企業中與指定 FQDN 相關聯的所有子網域。許多攻擊者會使用相同的網域和子網域發動攻擊。舉例來說，如果您搜尋 target.hostname="sandbox.altostrat.com"，這個面板會顯示兩個子網域：test.sandbox.altostrat.com 和 staging.sandbox.altostrat.com。
資產普及度：顯示在 Google Security Operations 帳戶儲存資料的整個時間範圍內，企業中連線至網域的資產數量。圖表中的每個長條代表在世界標準時間 (UTC) 的某一天，企業中連線至該網域的不重複資產數量。將滑鼠游標懸停在長條上，即可查看該長條代表的 UTC 日期相關實體。按一下實體名稱，即可在右側顯示的實體內容面板中，查看實體摘要和總覽。按一下「View events」(查看事件)，即可在「Search events」(搜尋事件) 分頁中查看與所選實體相關的事件。
相關聯實體：顯示與這個網域相關的其他實體，例如曾與這個網域通訊的資產。清單包含實體類型、首次在企業中出現的時間，以及上次 (最近) 出現的時間。按一下實體，開啟「Entity context」(實體內容) 面板。
實體背景資訊：顯示您在「Associated Entities」(相關聯實體) 面板中選取的實體詳細資料。這個面板會根據您在「Associated Entities」(相關聯實體) 面板中選取的實體類型 (例如 IP 位址或網域)，顯示不同的資訊。

查看檔案詳細資料

如果查詢包含傳回單一檔案的條件 (例如 principal.process.file.md5="a00000a75f2a35130aa7a7aaa09aaa7a")，「Overview」(總覽) 分頁會顯示「File」(檔案) 詳細資料，並在下列面板中提供資訊：

搜尋摘要：顯示下列資訊：
- 檔案詳細資料，包括雜湊值、檔案大小、首次在企業中出現的時間，以及上次 (最近) 出現的時間。按一下「VT Context」，查看 VirusTotal 提供的檔案資訊。
- 快訊詳細資料，包括圖表，顯示在搜尋日期範圍內涉及該實體的快訊數量。此外，這個面板也會列出快訊數量最多的部分規則。
- 按一下「Open Alerts & IOCs」(開啟快訊和入侵指標)，查看在相同搜尋日期範圍內產生的所有快訊。
- 按一下「View In Alerts Tab」，切換至這個頁面的「Alerts & Detections」分頁，並針對所選實體開始新的搜尋。
- 按一下圖表中的任一長條，即可切換至這個頁面的「Alerts & Detections」(快訊和偵測) 分頁，並使用所選長條的日期範圍，針對所選實體開始新的搜尋。
- 按一下「View more」(查看更多) 連結，開啟「Entity fields」(實體欄位) 檢視畫面，並顯示與檔案相關聯的所有實體欄位。如要將實體欄位複製到剪貼簿，請勾選實體欄位旁的核取方塊，然後依序按一下「View actions」(查看動作) 和「Copy entity」(複製實體)。按一下頂端的核取方塊，選取所有實體。
相關 IOC：顯示與檔案相關聯的 IOC。嚴重性較高的 IOC 會優先顯示。按一下 IOC 名稱，右側會開啟實體檢視器。
資產普及度：顯示貴企業中與檔案相關聯的資產數量，涵蓋 Google SecOps 帳戶中儲存資料的整個時間範圍。
相關聯實體：顯示與這個檔案相關的其他實體，例如執行這個檔案的資產，或存取這個檔案的使用者。清單包含實體類型、首次在企業中偵測到的時間，以及上次 (最近) 偵測到的時間。按一下實體，開啟「Entity context」(實體背景資訊) 面板。
VirusTotal 屬性和中繼資料：顯示 VirusTotal 資料庫中的檔案資訊。按一下「View more」(查看更多)，開啟 VirusTotal 對話方塊，並顯示檔案的其他資訊。
Associated Entities：根據您在「Associated Entities」面板中選取的實體類型 (例如使用者或資產)，顯示不同的資訊。
實體背景資訊：顯示您在「Associated Entities」(相關聯實體) 面板中選取的實體詳細資料。這個面板會根據您在「Associated Entities」(相關聯實體) 面板中選取的實體類型 (例如使用者或資產)，顯示不同的資訊。

在「總覽」分頁中查看 IP 詳細資料

如果查詢包含傳回特定外部 IP 位址的條件 (例如 target.ip="203.0.113.254")，「Overview」(總覽) 分頁會顯示「IP」詳細資料，並在下列面板中提供資訊：

搜尋摘要：顯示下列資訊：
- IP 位址的詳細資料，包括首次和最近一次在企業中偵測到的時間。按一下「VT Context」(VT 內容)，查看 VirusTotal 提供的這個 IP 位址相關資訊。
- 快訊詳細資料，包括圖表，顯示在搜尋日期範圍內涉及該實體的快訊數量。此外，這個面板也會列出快訊數量最多的部分規則。
- 按一下「Open Alerts & IOCs」(開啟快訊和入侵指標)，查看在相同搜尋日期範圍內產生的所有快訊。
- 按一下「View In Alerts Tab」，切換至這個頁面的「Alerts & Detections」分頁，並針對所選實體開始新的搜尋。
- 按一下圖表中的任一長條，即可切換至這個頁面的「Alerts & Detections」(快訊和偵測) 分頁，並使用所選長條的日期範圍，針對所選實體開始新的搜尋。
- 按一下「查看更多」連結，開啟「實體欄位」檢視畫面，並顯示與 IP 位址相關聯的所有實體欄位。如要將實體欄位複製到剪貼簿，請勾選實體欄位旁的核取方塊，然後依序點選「View actions」(查看動作) 和「Copy entity」(複製實體)。按一下頂端的核取方塊，選取所有實體。
相關 IOC：顯示與 IP 位址相關聯的 IOC。嚴重性較高的 IOC 會優先顯示。按一下 IOC 名稱，右側會開啟實體檢視器。
資產普及度：顯示在 UDM 搜尋中指定的時間範圍內，企業中連線至 IP 位址的資產數量。
相關聯實體：顯示與這個 IP 位址相關的其他實體，例如 IP 位址註冊的網域。清單包含實體類型、首次在企業中出現的時間，以及上次 (最近) 出現的時間。按一下實體，開啟「Entity context」(實體背景資訊) 面板。
實體背景資訊：顯示您在「Associated Entities」(相關聯實體) 面板中選取的實體詳細資料。這個面板會根據您在「Associated Entities」(相關聯實體) 面板中選取的實體類型 (例如網域或資產)，顯示不同的資訊。如果顯示連結，請按一下「VT Context」，查看 VirusTotal 提供的實體資訊。

在「總覽」分頁查看使用者詳細資料

如果查詢包含傳回特定使用者的條件 (例如 principal.user.userid="alice")，「Overview」(總覽) 分頁會顯示「User」(使用者) 詳細資料，並在下列面板中顯示資訊：

搜尋摘要：顯示下列資訊：
- 實體的詳細資料，包括全名、首次和最近一次在企業中出現的時間、職稱和電子郵件地址。
- 快訊詳細資料，包括圖表，顯示在搜尋日期範圍內涉及該實體的快訊數量。此外，這個面板也會列出快訊數量最多的部分規則。
- 按一下「Open Alerts & IOCs」(開啟快訊和入侵指標)，查看在相同搜尋日期範圍內產生的所有快訊。
- 按一下「View In Alerts Tab」，切換至這個頁面的「Alerts & Detections」分頁，並針對所選實體開始新的搜尋。
- 按一下圖表中的任一長條，即可切換至這個頁面的「Alerts & Detections」(快訊和偵測) 分頁，並使用所選長條的日期範圍，針對所選實體開始新的搜尋。
- 按一下「View more」(查看更多) 連結，開啟「Entity fields」(實體欄位) 檢視畫面，並顯示與使用者相關聯的所有實體欄位。如要將實體欄位複製到剪貼簿，請勾選實體欄位旁的核取方塊，然後依序按一下「View actions」(查看動作) 和「Copy entity」(複製實體)。按一下頂端的核取方塊，選取所有實體。
相關聯實體：顯示與這位使用者相關的實體，例如使用者聯絡的網域或存取的資產。清單包含實體類型、首次在企業中出現的時間，以及上次 (最近) 出現的時間。按一下實體，開啟「Entity context」(實體內容) 面板。
實體背景資訊：顯示您在「Associated Entities」(相關聯實體) 面板中選取的實體詳細資料。這個面板中的資訊會因實體類型 (例如資產或網域) 而異。

在「視覺化」分頁中查看及管理資訊

使用「視覺化」分頁，將 STATS 搜尋結果中的資料以圖表、圖形或表格呈現。

使用表格的常用工具

在「SIEM Search」頁面中，大多數包含單一表格的面板都支援相同的常用功能和工具。

本節說明下列常見函式和工具：

搜尋框。使用搜尋框，在相鄰的表格中尋找相符的結果。
管理表格資料欄及共用資料欄組合 (資料欄管理工具)。
「自動換行」和「取消自動換行」按鈕。自動換行功能可讓您查看欄中的完整長字串。
從表格下載搜尋結果。
表格底部的「每頁列數」工具。載入大量結果記錄 (資料列) 時，您可以使用這項工具提升瀏覽器穩定性和效能，Google SecOps 會提供分頁搜尋結果。在「事件」表格中，使用「每頁列數」清單選取每頁要顯示的列數 (10 到 1,000 個事件)。

管理表格資料欄及共用資料欄組合 (資料欄管理工具)

如要在分析事件資料時使用一致的檢視畫面，您可以在「SIEM 搜尋」頁面中，為下列資料表建立、儲存及共用自訂資料欄組合：

在「結果」面板中，針對下列資料表：「事件」、「原始記錄」、「彙整」
在「快訊與偵測」分頁的「偵測」表格中。

如要使用這項功能，您的使用者帳戶或 Identity and Access Management 角色必須具備下列五項權限：

chronicle.googleapis.com/savedColumnSets.create
chronicle.googleapis.com/savedColumnSets.update
chronicle.googleapis.com/savedColumnSets.delete
chronicle.googleapis.com/savedColumnSets.list
chronicle.googleapis.com/savedColumnSets.get

建立資料欄組合

建立資料欄組合的步驟會因使用的表格而略有不同。

如要為「事件」、「原始記錄」或「彙整」資料表建立資料欄組合，請按照下列步驟操作：

按一下「欄」，開啟「欄管理工具」。
按一下「篩選器」圖示 filter_alt，指定是否要顯示不適用的資料欄。
按一下「顯示所選項目」切換鈕，在「事件資料欄」分頁中只顯示所選資料欄。
在「事件欄」分頁中，新增或移除資料欄組合中的資料欄。您可以瀏覽或搜尋可收合區段中的搜尋欄位 (視搜尋結果類型而異)，例如「快速欄位」 (各資料類型最常見的欄位)、「分組欄位」、「所有事件欄位」和「所有實體欄位」。勾選或取消勾選核取方塊，即可顯示或隱藏資料欄。
排列資料欄，然後按一下「儲存」。「儲存資料欄組合」對話方塊隨即開啟。
選取下列其中一個選項：
- 儲存：輸入資料欄組合的新名稱。
- 取代：如果您修改了先前儲存的組合，可以使用變更覆寫現有組合。
按一下 [儲存]。「欄組合」分頁會列出該欄組合。

如要為「偵測」表格建立資料欄組合，請按照下列步驟操作：

按一下「欄」，開啟「欄管理工具」。
按一下「篩選器」圖示 filter_alt，指定是否要顯示不適用的資料欄。
在「表格類型」清單中，選取要建立資料欄組合的表格類型：
- 偵測
- 事件
- 實體 (展開表格資料列即可查看資料欄)
對特定資料表類型所做的變更，只會套用至該類型的資料表和子資料表。
按一下「顯示所選項目」切換鈕，即可在對應的分頁 (「偵測項目資料欄」、「事件資料欄」或「實體資料欄」) 中，只顯示所選資料欄。
在對應的分頁中，新增或移除資料欄組合中的資料欄。您可以瀏覽或搜尋可收合區段中的欄位 (視搜尋結果類型而定)。勾選或取消勾選核取方塊，即可顯示或隱藏資料欄。
排列資料欄，然後按一下「儲存」。「儲存資料欄組合」對話方塊隨即開啟。
選取下列選項之一：
- 儲存：輸入資料欄組合的新名稱。
- 取代：如果您修改了先前儲存的組合，可以使用變更覆寫現有組合。
按一下 [儲存]。「欄組合」分頁會列出該欄組合。

共用資料欄組合

如要與 Google SecOps 租戶中的所有其他使用者共用資料欄組合，請按照下列步驟操作：

按一下「欄」，開啟「欄管理工具」。
在「事件欄」分頁中，新增或移除資料欄組合中的資料欄。您可以瀏覽或搜尋可收合區段中的搜尋欄位 (視搜尋結果類型而定)，例如「快速欄位」 (各資料類型最常見的欄位)、「分組欄位」、「所有事件欄位」和「所有實體欄位」。勾選或取消勾選核取方塊，即可顯示或隱藏資料欄。
排列資料欄，然後按一下「共用」。「共用資料欄組合」對話方塊隨即開啟。
選取下列其中一個選項：
- 共用新的資料欄組合：輸入要共用的資料欄組合新名稱。
- 共用現有組合：從清單中選取先前儲存的組合。
按一下「分享」，資料欄組合會列在「資料欄組合」分頁中，並加上「共用」徽章。

載入已儲存的資料欄組合

如要載入已儲存的資料欄組合，請按照下列步驟操作：

按一下「欄」，開啟「欄管理工具」。
選取「欄組合」分頁標籤。
選取要載入的資料欄組合，然後按一下「套用」。

刪除已儲存的資料欄組合

如要刪除已儲存的資料欄組合，請按照下列步驟操作：

按一下「欄」，開啟「欄管理工具」。
選取「欄組合」分頁標籤。
選取資料欄組合，然後依序按一下「更多」圖示「刪除」。

下載資料表中的搜尋結果

您可以下載並儲存 CSV 檔案，其中包含「SIEM Search」頁面中顯示的表格內容。如果是「事件」資料表或資料透視表，您也可以選擇彙整原始記錄，精確找出剖析後的 UDM 記錄與來源遙測資料之間的關聯。這項功能適用於需要外部分析處理、稽核追蹤記錄以符合法規遵循要求 (必須保留正規化資料與原始擷取資料之間的關係)，或外部關聯性的團隊。

如要從「事件」表格下載搜尋結果 (最多可達指定的搜尋結果數量上限)，請按照下列步驟操作：

選用：使用資料欄管理工具，指定要納入 CSV 的 UDM 欄位。系統會根據您的選取項目，附加「Raw Log」(原始記錄) 欄。
按一下表格頂端的「下載」，然後選取下列其中一個選項：
- 以 CSV 格式下載：下載相符事件 (並根據顯示的指定事件確切數量)。
- 以 CSV 格式下載 (含原始記錄)：下載相符事件，並將原始未剖析的記錄字串附加為專用資料欄，放在每個標準化 UDM 記錄旁 (並根據顯示的指定事件確切數量)。
儲存檔案。

如要從「結果」分頁的表格 (不含「事件」面板或「資料透視」面板) 下載搜尋結果 (最多為指定的搜尋結果數量上限)，請按照下列步驟操作：

按一下表格頂端的「下載」，然後選取「下載為 CSV」。系統會下載相符結果 (並根據顯示的指定事件確切數量)。
儲存檔案。

如要從「偵測」表格下載搜尋結果 (最多為指定的搜尋結果數量上限)，請按照下列步驟操作：

按一下表格頂端的「下載」圖示，然後選取「下載為 CSV」。系統會下載相符結果 (並根據顯示的指定事件確切數量)。
儲存檔案。

儲存 CSV 時支援的欄位

您可以從平台將下列欄位下載為 CSV 檔案：

user
hostname
process name
timestamp
raw log：僅在客戶啟用原始記錄時有效
所有開頭為 udm.additional 的欄位

儲存 CSV 時有效的欄位類型

您可以將下列欄位類型下載為 CSV 檔案：

double
float
int32
uint32
int64
uint64
bool
string
enum
bytes
google.protobuf.Timestamp
google.protobuf.Duration

儲存 CSV 時不支援的欄位

符合下列任一條件的欄位無法下載為 CSV 檔案：

欄位類型：在 UDM proto 中定義為訊息或群組的資料類型。
欄位深度：欄位巢狀結構超過 10 層。
特定 UI 欄位：使用者介面中顯示的下列欄位不支援直接下載：
- 事件欄位：
  - 事件狀態
  - 活動摘要
  - 事件類型
    
    注意： 如要下載事件類型，請在「欄管理工具」中選取「metadata.event_type」欄位。
- 實體背景資訊圖：
  - 首次出現時間
  - 上次出現時間
  - 時間戳記
- 聯合搜尋：
  - 執行個體程式碼

限制與配額

Google SecOps 會對搜尋查詢設下限制，確保平台穩定，並在程式輔助和網頁介面中維持一致的效能。這些限制適用於 Backstory 和 Chronicle API。

搜尋和 API 配額

每個租戶的搜尋查詢和同時作業數量限制如下：

每小時查詢次數 (QPH)：網頁控制台介面限制為 1,000 QPH；程式輔助 API 存取限制為 2,000 QPH。
簡易查詢 (時間範圍 < 24 小時、單一來源、無統計資料)：每個租戶最多可同時執行 180 項查詢。

如果簡單查詢並行集區用盡，作業會自動溢出至可用的複雜查詢配額。
複雜查詢 (時間範圍超過 24 小時、多個來源或包含統計資料)：每個租戶最多可同時執行 180 項查詢。
UDM 欄位提示詞限制：單一查詢的提示詞最多只能參照 100 個 UDM 欄位。

配額錯誤

達到上限時，網頁介面會持續顯示配額錯誤通知。如果是透過程式輔助方式存取，API 呼叫 (例如 instances.udmSearch) 會傳回 HTTP 狀態 429 RESOURCE_EXHAUSTED 錯誤，其中包含 google.rpc.QuotaFailure 訊息，詳細說明您超過的特定限制。

結果集和顯示限制

依序點選「搜尋設定」>「要傳回的結果數量上限」，即可調整後端限制 (1 到 1,000,000，預設為 30,000)。

為確保平台穩定，並在網頁和 API 介面提供快速回應，Google SecOps 設有下列限制：

搜尋類型或資料來源	傳回的結果數量上限	網路控制台顯示行為
UDM 事件搜尋	1,000,000 筆記錄	直接顯示在「結果」分頁的「事件」面板中。顯示各分頁列的最新記錄 (每頁 10 到 1,000 筆)。
資料表和彙整	1,000,000 筆記錄	系統會根據「欄管理工具」設定，在「結果」分頁的「事件」面板中顯示相關資料列。
案件和案件記錄	1,000,000 筆記錄	直接顯示在「結果」分頁的「案件」和「案件記錄」面板中。顯示在「Overview」(總覽) 內容中，或使用「Search Cases」(搜尋案件) 查詢。
統計資料	100,000 筆記錄 (僅限 UI 和長時間執行的作業 API)	直接顯示在「結果」分頁的「統計資料」面板中。圖表會顯示前幾名的值，方便使用者閱讀；如果超過視覺限制，則會顯示警告通知。
透視匯總 (「結果」 >「透視」)	100,000 筆記錄	圖表會顯示前幾名的值，方便使用者閱讀；如果超過視覺限制，則會顯示警告通知。
規則偵測	100,000 筆記錄	直接顯示在合併的「快訊和偵測」分頁中。
實體背景資訊圖 (ECG)	1,000,000 筆記錄	顯示在「結果」分頁的「有時間資料」和「無時間資料」面板中。「Timed Data」(限時資料) 面板中的表格會顯示已定義日期範圍的實體。「Timeless Data」分頁中的表格會顯示未定義日期範圍的實體。每次執行查詢時，介面可能只會顯示無時間限制的實體、有時間限制的實體，或兩者的不同組合。詳情請參閱「使用『有時效性的資料』和『無時效性的資料』面板」。

最佳化及調整搜尋結果

本節概述效能限制和預期，並提供 Google Security Operations 中 SIEM 搜尋頁面常見問題的自助修正方法。

效能最佳化和最佳做法

如要提高查詢速度並盡可能降低逾時風險，請按照下列步驟操作：

先縮短時間範圍：時間是最有效的篩選條件。查詢事件發生的確切 2 小時時間範圍，速度會比搜尋 30 天時間範圍快上許多。
查詢確切的 UDM 欄位，而非分組別名：雖然分組欄位 (ip = "1.2.3.4") 很方便，但會強制引擎檢查 15 個以上的基礎欄位 (principal.ip、target.ip、observer.ip)。如果您知道 IP 位址屬於目的地伺服器，請直接查詢 target.ip = "1.2.3.4"。
避免在規則運算式中使用前置萬用字元：以萬用字元 (principal.hostname = /.*server-.*/) 開頭的查詢會導致無法查詢索引，並強制執行完整資料表掃描。盡可能錨定規則運算式 (principal.hostname = /^prod-server-.*/)。
運用已建立索引的中繼資料：在 AND 鏈結初期，依 metadata.event_type (NETWORK_CONNECTION、PROCESS_LAUNCH、USER_LOGIN) 或 metadata.log_type 篩選，立即排除不相關的記錄來源。
使用 limit: N 快速取樣資料和預覽：您可以直接在查詢中加入 limit: N 關鍵字 (例如 metadata.event_type = "USER_LOGIN" limit: 50)，快速取樣資料和預覽。
使用 select 和 unselect 縮減酬載大小：只投影所需的葉欄位，或排除不必要的大型欄位，縮短查詢延遲時間。詳情請參閱「使用 select 和 unselect 控制查詢輸出」。

廣泛搜尋的最佳做法

如果搜尋範圍太廣，Google SecOps 會顯示警告訊息，指出無法顯示所有搜尋結果。在這種情況下，系統只會擷取最新結果，最多可搜尋 100 萬個事件和 1,000 個警告。不過，可能還有許多相符的事件和快訊未顯示。

如要擷取所有相關結果，請套用其他篩選條件來縮小搜尋範圍，例如：

縮短日期範圍，縮減資料集大小。
使用具體的搜尋查詢或篩選條件，而非廣泛字詞。
如需單一欄位的結果，請查詢精確的 UDM 欄位，而非同組欄位。

偵錯及修正查詢

本節說明如何偵錯及修正查詢。

查看執行階段錯誤

如果查詢傳回錯誤，特定的執行階段錯誤訊息會持續顯示在「Results」(結果) 面板中。這項持續顯示功能可確保錯誤背景資訊保持可見，協助您排解及解決錯誤。

限制搜尋結果

您可以新增 limit 關鍵字，並指定要顯示的搜尋結果數量上限，藉此限制搜尋結果。這項功能適合用於快速預覽資料、最佳化效能，或只需要部分結果時。舉例來說，如果您在搜尋中加入 limit: 25，結果數量最多會限制為 25 個。

調查大型資料集

Google SecOps 最多可傳回及瀏覽 100 萬筆結果。這樣一來，您就能直接在網頁介面中調查大型資料集，不必匯出結果。根據預設，大型搜尋會限制顯示的欄位。

資料來源的結果限制

下表列出每個資料來源傳回的結果數量上限：

搜尋類型或資料來源	搜尋結果中的事件或資料列數量上限
UDM	1,000,000
ECG	1,000,000
資料表格	1,000,000
UDM 到 UDM 彙整	1,000,000
UDM 與 ECG 彙整	1,000,000
UDM 與資料表彙整	1,000,000
案件和案件記錄	1,000,000
統計資料	100,000
偵測項目	100,000

新增篩選器來修正查詢

如要新增篩選器來縮小查詢範圍，請按照下列步驟操作：

在「SIEM Search」(SIEM 搜尋) 頁面中，按一下「filter_list 新增篩選器」filter_list。對話方塊開啟後，您可以選取欄位，並顯示 (=) 或篩除 (!=) 欄位值。
設定對話方塊參數。

圖 8.篩選器對話方塊範例。
按一下 [套用]。篩選條件會顯示在「filter_list」filter_list「新增篩選條件」按鈕旁，搜尋結果也會據此篩選。
選用：執行下列任一操作：
- 如要自動將篩選器納入查詢編輯器並執行搜尋，請按一下「Apply to search and run」(套用至搜尋並執行)。
- 如要刪除篩選器，請按一下「清除」。

疑難排解

如果收到一般錯誤訊息 (例如 Error: Search has encountered an error and could not load data)，請按照下列步驟解決問題：

從其他網路連線至 Google SecOps。例如，使用雲端 VM 找出任何網路問題。
確認貴組織的防火牆或 Proxy 設定/政策允許 Chronicle API 呼叫。
確認未對 Search API 呼叫設定資料限制，因為搜尋可能會傳回大型資料集。
檢查是否設定了逾時。搜尋查詢可以非同步執行，可能需要較長時間才能傳回資料。如果設定了逾時，請確保時間長度足夠 (例如 60 分鐘)，以免查詢逾時。

如果錯誤持續發生，請聯絡客戶服務團隊。

後續步驟

如要進一步瞭解搜尋查詢，請參閱下列文章：

「瞭解搜尋語法」一文提供詳細資訊和範例，說明在查詢編輯器中建構及查詢資料值、逸出字元和運算子所需的 YL2 語法。
搜尋最佳做法。
在統一搜尋中搜尋案件和案件記錄。
使用 Gemini 生成 UDM 搜尋查詢。
在搜尋中使用脈絡豐富的資料。

如要進一步瞭解搜尋結果，請參閱下列文章：

使用 UDM 搜尋功能調查實體。
在搜尋中調查偵測結果：說明如何使用「SIEM 搜尋」頁面的「快訊和偵測」分頁。
瞭解搜尋資料可用性：詳細說明資料擷取生命週期，包括端對端資料流程和延遲時間，以及這些因素如何影響最近擷取的資料是否可用於查詢和分析。
UDM 搜尋與規則結果比較：說明如何比較 UDM 搜尋查詢結果與即時偵測規則。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。

瞭解搜尋功能

重要術語

事前準備

開啟「搜尋」頁面

強制執行資料 RBAC 範圍

設定搜尋網頁的一般設定

指定搜尋結果數量上限

選擇查詢編輯器的收合行為

建立搜尋查詢

使用自然語言生成查詢

在查詢編輯器中手動建構查詢

指定搜尋的時間範圍

使用自動建議功能建構查詢

瀏覽及選取建議

瞭解建議排名

管理自動建議設定

使用 select 和 unselect 控制查詢輸出

支援和必填欄位

對搜尋結果、使用者介面和 API 的影響

範例

尋找搜尋查詢的 UDM 欄位 (UDM 查詢)

UDM 查詢搜尋行為和欄位涵蓋範圍

搜尋模式：UDM 欄位與值

欄位涵蓋範圍落差和直接搜尋方法

數值、布林值、時間戳記和位元組欄位

排除的 ID 欄位

可能相符的值 (規則運算式) 欄位

經過填充的欄位和實體圖表

在搜尋中使用資料表

在搜尋結果中查看資料表列

瞭解查詢執行程序

管理 Google 搜尋記錄

儲存及使用指標查詢

管理搜尋 (搜尋管理員)

搜尋類型徽章

搜尋管理工具動作

儲存搜尋

擷取並執行已儲存的搜尋

刪除已儲存的搜尋

分享或停止分享搜尋結果

搜尋結果：總覽

在「結果」分頁中查看及管理資訊

使用「活動變化趨勢」圖表

使用「長期趨勢」圖表

使用「普及度」分頁

使用「活動熱視圖」分頁

使用「匯總」面板縮小搜尋結果範圍

在「結果」分頁的「匯總」面板中使用分組欄位

使用「事件」面板

檢查單一事件的詳細資料 (事件檢視器和原始記錄關聯)

「資料透視」分頁：建立資料透視表

使用「原始記錄」面板

檢查單一原始記錄的精細詳細資料 (事件檢視器和原始記錄關聯)

使用「統計資料」面板

使用「Joins」(彙整) 面板

使用「案件」面板

使用「案件記錄」面板

使用「有時效性的資料」和「無時效性的資料」面板

使用事件檢視器查看 UDM 和原始結果

使用「事件欄位」分頁

使用「原始記錄」分頁

使用「快訊」分頁

使用「實體」分頁

在「警告和偵測」分頁查看及管理資訊

使用「趨勢變化」圖表

使用「匯總」面板精細調整偵測結果

在「匯總」面板中搜尋警示偵測結果

在「匯總」面板中篩選快訊偵測結果

使用「偵測」面板

查看單一快訊的詳細資料 (快訊檢視器)

使用「偵測欄位」分頁

使用「詳細資料」分頁

使用「變數」分頁

使用「實體」分頁

在「總覽」分頁中查看及管理資訊

在「總覽」分頁中查看資產詳細資料

在「總覽」分頁中查看網域詳細資料

查看檔案詳細資料

在「總覽」分頁中查看 IP 詳細資料

在「總覽」分頁查看使用者詳細資料

使用 `select` 和 `unselect` 控制查詢輸出