Dashboard-Datenquellen und Feldpräfixe

Unterstützt in:

Dieser Leitfaden richtet sich an Sicherheitsanalysten und Dashboard-Autoren, die beim Erstellen benutzerdefinierter Diagramme und Filter in Google Security Operations-Dashboards verschiedene Datenquellen abfragen möchten. Es wird erläutert, wie Sie das erforderliche YARA-L-Feldpräfix für jede unterstützte Datenquelle ermitteln, Abfragezeitintervalle berücksichtigen und gültige Diagrammabfragen schreiben. Wenn Sie diese Anleitung befolgen, vermeiden Sie Fehler bei der Kompilierung von Abfragen und leere Diagrammergebnisse. Genaue Dashboardkonfigurationen bieten einen zuverlässigen Überblick über Sicherheitstelemetrie, Erkennungseffizienz und SOAR-Vorgänge.

Schlüsselterminologie

  • YARA-L-Feldpräfix: Ein Qualifizierer, der einem Feldnamen vorangestellt wird (z. B. case., detection. oder ingestion.) und angibt, auf welche zugrunde liegende Google Security Operations-Datenquelle die Abfrage abzielt.
  • Einheitliches Datenmodell (Unified Data Model, UDM): Das Standardschema von Google Security Operations, mit dem Telemetriedaten zu Sicherheitsereignissen strukturiert und normalisiert werden. Bei Abfragen von UDM-Ereignisdaten wird kein Feldpräfix verwendet.
  • Datentabelle (%): Ein benutzerdefiniertes tabellarisches Dataset in Google Security Operations, auf das Sie in YARA-L-Abfragen verweisen, indem Sie dem Tabellennamen ein Prozentzeichen (%) voranstellen.

Gängige Anwendungsfälle

In den folgenden Anwendungsfällen wird veranschaulicht, wie Dashboard-Autoren YARA-L-Feldpräfixe in Google Security Operations-Datenquellen anwenden.

Betriebliche SOAR- und Erkennungsdiagramme erstellen

  • Ziel: Erstellen Sie benutzerdefinierte Dashboard-Diagramme, mit denen Sie offene SOAR-Fälle, Messwerte zur Playbook-Ausführung oder Regelerkennungen im Zeitverlauf verfolgen können. Verwenden Sie dazu die Präfixe case, playbook und detection.
  • Wert: Zentralisiert Incident Response- und Erkennungs-Leistungsmesswerte zusammen mit SIEM-Ereignis-Telemetriedaten in einem einheitlichen Betriebs-Dashboard.

Dashboard-Filter für mehrere Datenquellen konfigurieren

  • Ziel: Filter auf Dashboard-Ebene definieren, die auf bestimmte Datenquellen abzielen, indem die erforderlichen Feldpräfixe angegeben werden.
  • Wert: Analysten können mehrere Diagramme in einem Dashboard dynamisch filtern, ohne einzelne YARA-L-Diagrammabfragen bearbeiten zu müssen.

Hinweis

Prüfen Sie vor dem Erstellen oder Ändern von Dashboard-Diagrammen und ‑Filtern, ob die folgenden Anforderungen erfüllt sind:

  • Berechtigungen: Zum Hinzufügen oder Bearbeiten von Diagrammen und Filtern in einem Dashboard benötigen Sie die IAM-Berechtigung chronicle.nativeDashboards.update. Weitere Informationen zu Dashboard-Berechtigungen und zur Zugriffssteuerung finden Sie unter Diagramme in Dashboards verwalten und Zugriff auf Dashboards steuern.
  • Überlegungen zur rollenbasierten Zugriffssteuerung (RBAC) für Daten: Ihr Zugriff auf die zugrunde liegenden Diagrammdaten hängt von den Richtlinien für die rollenbasierte Zugriffssteuerung (RBAC) für Daten ab, die für Ihre Nutzerrolle konfiguriert sind. Weitere Informationen finden Sie unter Auswirkungen der rollenbasierten Zugriffssteuerung für Daten.

YARA-L-Feldpräfixe in Dashboard-Abfragen auswählen und anwenden

Wenn Sie eine Diagrammabfrage erstellen oder einen Dashboardfilter konfigurieren, müssen Sie das Präfix auswählen, das Ihrer Zieldatenquelle entspricht, und es auf jedes Feld in der Abfrage anwenden.

Erforderliches Präfix für die Datenquelle ermitteln

Bevor Sie Ihre Abfrage schreiben, müssen Sie das erforderliche YARA‑L-Präfix und das unterstützte Abfragezeitintervall für Ihre Datenquelle ermitteln. Wenn Sie das erforderliche Präfix nicht verwenden, gibt Ihre Abfrage einen Fehler zurück oder es werden nicht die erwarteten Daten zurückgegeben.

Dashboards enthalten die folgenden Datenquellen, die jeweils ein eigenes Zeitlimit für Abfragen und ein eigenes YARA-L-Präfix haben:

Datenquelle Zeitintervall für Abfragen YARA-L-Präfix Schema Beispiele für Dashboards
Verlauf der Anfrage 365 Tage case_history Felder (SOAR) | Vorlage Beispiele
Fälle und Benachrichtigungen 365 Tage case Felder (SOAR) | Vorlage Beispiele
Datentabellen Kein eigenständiges Zeitlimit (wird von der verknüpften Datenquelle bestimmt) % Benutzerdefiniert Beispiele
Erkennungen 365 Tage detection Felder | Vorlage Beispiele
Entitätsdiagramm 365 Tage graph Felder | Vorlage Beispiele
Ereignisse 90 Tage no prefix Felder (UDM) | Vorlage Beispiele
Aufnahmemesswerte 365 Tage ingestion Felder | Vorlage Beispiele
IoCs 365 Tage ioc Felder | Vorlage Beispiele
Playbooks 365 Tage playbook Felder (SOAR) | Vorlage Beispiele
Regelsätze 365 Tage ruleset Felder | Vorlage Beispiele
Regeln Kein Zeitlimit rules Felder | Vorlage Beispiele
KI-Agent für Priorisierung und Untersuchung 365 Tage gemini_investigation, gemini_investigation_feedback Felder | Vorlage Beispiele

Regeln für die Präfixsyntax auf Ihre Abfrage anwenden

Wenden Sie das entsprechende Präfixformat an, wenn Sie eine YARA-L-Abfrage im Abfrageeditor für Diagramme schreiben oder einen Dashboardfilter konfigurieren:

  1. Geben Sie für Ereignisse (in YARA-L-Diagrammabfragen und grundlegenden Dashboard-Filtern) den Feldnamen des Unified Data Model (UDM) direkt ohne Präfix ein (z. B. metadata.event_type = "USER_LOGIN").
  2. Bei Datenquellen mit Präfix (z. B. Fälle und Benachrichtigungen, Erkennungen oder Aufnahmemesswerte in YARA-L-Diagrammabfragen und grundlegenden Dashboard-Filtern) stellen Sie jedem Feldnamen das Datenquellenpräfix gefolgt von einem Punkt voran (z. B. case.priority = "PRIORITY_HIGH" für Fälle und Benachrichtigungen oder detection.detection.rule_name für Erkennungen).
  3. Für Datentabellen (in YARA‑L‑Diagrammabfragen und dynamischen Abfragen in erweiterten Filtern) stellen Sie dem Spaltennamen ein Prozentzeichen (%), gefolgt vom Namen der Datentabelle und einem Punkt voran (z. B. %allowlist.ip). Einfache Dashboardfilter (Field to filter) werden für Datentabellen nicht unterstützt.

Beispiele und Referenzinformationen

Verwenden Sie die folgenden Beispielabfragen und Schemareferenzen, um YARA-L-Abfragen für Ihre Dashboard-Diagramme zu erstellen.

Ereignisabfrage ohne Präfix

Mit der folgenden Abfrage werden UDM-Ereignisdaten ohne Präfix durchsucht:

metadata.event_type = "USER_LOGIN"
security_result.action = "BLOCK"

match:
  principal.user.userid

outcome:
  $failed_logins = count(metadata.id)

Anfrage- und Benachrichtigungsabfrage mit einem Präfix

Mit der folgenden Abfrage werden Fälle und Benachrichtigungen mit dem Präfix case durchsucht:

case.incident = true
case.priority = "PRIORITY_HIGH"

match:
  case.status

outcome:
  $open_cases = count(case.name)

Datentabellenabfrage mit einem Prozentzeichen (%) als Präfix

Bei der folgenden Abfrage werden UDM-Anmeldeereignisse gefiltert, indem sie mit einer benutzerdefinierten Datentabelle (%example_table) mit dem Präfix % verknüpft werden:

metadata.event_type = "USER_LOGIN"
security_result.action = "ALLOW"
principal.user.userid = %example_table.uid

match:
  principal.user.userid

outcome:
  $login_count = count(metadata.id)

Zusätzliche Abfragevorlagen und Schemas

Vollständige Abfragevorlagen, Felddictionaries und zusätzliche Beispiele für jede unterstützte Datenquelle finden Sie in der YARA-L 2.0-Dashboard-Abfragebibliothek.

Fehlerbehebung

In diesem Abschnitt werden Plattformlimits beschrieben und Self-Service-Lösungen für häufige Probleme mit Dashboard-Abfragen bereitgestellt.

Latenz und Limits

Beachten Sie beim Erstellen von Dashboard-Diagrammen die folgenden Dienstlimits und Grenzen für die Datenaufbewahrung:

  • Zeilenlimits: Standardmäßig geben Diagrammabfragen maximal 1.000 Zeilen zurück. Bei benutzerdefinierten Dashboard-Abfragen können Sie dieses Limit auf bis zu 10.000 Zeilen erhöhen, indem Sie den Abschnitt limit zu Ihrer YARA-L-Abfrage hinzufügen. Benutzerdefinierte Zeilenlimits werden für Abfragen in kuratierten Dashboards nicht unterstützt.
  • Zeitintervalle für Abfragen: Für jede Datenquelle gilt ein maximales Zeitintervall für Abfragen: 90 Tage für Ereignisse, 365 Tage für alle anderen Datenquellen mit Präfix (außer Regeln) und kein Zeitlimit für Regeln (die nach dem Zeitstempel der Regelerstellung rules.create_time gefiltert werden). Für Datentabellen gilt kein eigenständiges Zeitlimit. Wenn sie mit einer anderen Datenquelle abgefragt werden, gilt das Zeitintervall dieser Datenquelle.
  • SOAR-Verlaufsdaten: Dashboards unterstützen die Abfrage von SOAR-Falldaten, die am oder nach dem 10. Mai 2025 generiert wurden.

Fehlerbehebung

In der folgenden Tabelle finden Sie Informationen zur Behebung häufiger Probleme beim Abfragen von Dashboard-Datenquellen:

Vorgang Beschreibung Beheben
Unbekanntes Feld oder Kompilierungsfehler Die Abfrage verweist auf ein Feld aus einer Nicht-Ereignisdatenquelle (z. B. priority oder rule_name) ohne das erforderliche Präfix. Stellen Sie dem Feldnamen das erforderliche Datenquellenpräfix und einen Punkt voran (z. B. case.priority oder detection.detection.rule_name).
Leere Diagrammergebnisse für aktive Regeln Ein Diagramm, in dem das rules-Schema abgefragt wird, gibt keine Ergebnisse zurück, wenn der Zeitraum auf einen aktuellen Zeitraum (z. B. die letzten 365 Tage) festgelegt ist. Da das Schema rules das Zeitfenster des Diagramms auf rules.create_time abbildet, legen Sie den Zeitraum des Diagramms auf das maximal verfügbare Limit fest (z. B. 10+ Jahre), um aktive Regeln einzubeziehen, die früher erstellt wurden.
Fehlende SOAR-Falldaten für ältere Daten Bei Abfragen mit den Präfixen case, case_history oder playbook werden keine Datensätze vor Mai 2025 zurückgegeben. Beschränken Sie den Zeitraum der Dashboard-Abfrage auf den 10. Mai 2025 oder später.

Validierung und Tests

Wenn Sie prüfen möchten, ob Ihre Abfrage das richtige Präfix verwendet und Daten zurückgibt, bevor Sie ein Diagramm speichern, öffnen Sie die Seite Dashboard bearbeiten, um ein Diagramm hinzuzufügen oder zu bearbeiten. Geben Sie Ihre YARA-L-Abfrage in den Diagramm-Abfrageeditor ein, wählen Sie einen Zeitraum innerhalb des unterstützten Intervalls der Datenquelle aus und klicken Sie auf Suche ausführen. Prüfen Sie, ob die Tabellenvorschau die erwarteten Spalten enthält, bevor Sie auf Zum Dashboard hinzufügen klicken.

Nächste Schritte

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten