Kontextangereicherte Daten in der Suche verwenden

Unterstützt in:

Um Sicherheitsanalysten bei einer Untersuchung zu unterstützen, nimmt Google Security Operations Kontextdaten aus verschiedenen Quellen auf, normalisiert die aufgenommenen Daten und stellt zusätzlichen Kontext zu Artefakten in einer Kundenumgebung bereit. In diesem Dokument finden Sie Beispiele dafür, wie Analysten kontextbezogen angereicherte Daten in der Suche verwenden können.

Weitere Informationen zur Datenanreicherung finden Sie unter So reichert Google SecOps Ereignis- und Entitätsdaten an.

Im folgenden Beispiel wird ein Prozessmodul gesucht, das eine kernel32.dll-Datei in einen bestimmten Prozess lädt.

metadata.event_type = "PROCESS_MODULE_LOAD" AND
target.file.file_type = "FILE_TYPE_PE_EXE" AND
target.file.pe_file.imports.library = "kernel32.dll"

Google SecOps reichert Ereignisse mit externen IP-Adressen mit Geolocation-Daten an. Dies liefert zusätzlichen Kontext bei einer Untersuchung. In diesem Dokument wird erläutert, wie Sie Felder mit geografischen Informationen für investigative Suchvorgänge verwenden können.

Auf UDM-Felder mit Geolocation-Informationen kann über die Suche zugegriffen werden, wie in den folgenden Beispielen gezeigt:

Nach Ländernamen suchen (country_or_region)

target.ip_geo_artifact.location.country_or_region = "Netherlands" OR
principal.ip_geo_artifact.location.country_or_region = "Netherlands"

Nach Bundesstaat suchen

target.ip_geo_artifact.location.state = "North Holland" OR
principal.ip_geo_artifact.location.state = "North Holland"

Nach Längen- und Breitengrad suchen

principal.location.region_latitude = 52.520588 AND principal.location.region_longitude = 4.788474

Nach nicht autorisierten Zielregionen suchen

metadata.event_type = "NETWORK_CONNECTION" AND
(
    target.ip_geo_artifact.location.country_or_region = "Cuba" OR
    target.ip_geo_artifact.location.country_or_region = "Iran" OR
    target.ip_geo_artifact.location.country_or_region = "North Korea" OR
    target.ip_geo_artifact.location.country_or_region = "Russia" OR
    target.ip_geo_artifact.location.country_or_region = "Syria"
)

Anhand der Autonomous System Number (ASN) suchen

metadata.event_type = "NETWORK_CONNECTION" AND
(
    target.ip_geo_artifact.network.asn = 33915
)

Nach Organisationsname

metadata.event_type = "NETWORK_CONNECTION" AND
(
    target.ip_geo_artifact.network.organization_name = "google"
)

Nach Name des Mobilfunkanbieters

metadata.event_type = "NETWORK_CONNECTION" AND
(
    target.ip_geo_artifact.network.carrier_name = "google llc"
)

Nach DNS-Domain

metadata.event_type = "NETWORK_CONNECTION" AND
(
    target.ip_geo_artifact.network.dns_domain = "lightower.net"
)

Mit Geolocation angereicherte Felder im UDM-Raster ansehen

Mit Geolocation angereicherte Felder werden in UDM-Tabellenansichten angezeigt, einschließlich der Ansichten in Search, Detection View, User View und Event Viewer.

Nächste Schritte

Informationen zur Verwendung angereicherter Daten mit anderen Google SecOps-Funktionen finden Sie unter:

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten