Fuentes de datos del panel y prefijos de campo

Se admite en los siguientes sistemas operativos:

Esta guía está dirigida a analistas de seguridad y autores de paneles que desean consultar diferentes fuentes de datos cuando crean gráficos y filtros personalizados en los paneles de Google Security Operations. En él, se explica cómo identificar el prefijo de campo de YARA-L requerido para cada fuente de datos compatible, respetar los intervalos de tiempo de las consultas y escribir consultas de gráficos válidas. Si sigues esta guía, evitarás los errores de compilación de consultas y los resultados de gráficos vacíos. Las configuraciones precisas del panel proporcionan una visibilidad confiable de la telemetría de seguridad, la eficacia de la detección y las operaciones de SOAR.

Terminología clave

  • Prefijo de campo de YARA-L: Es un calificador que se antepone a un nombre de campo (como case., detection. o ingestion.) que especifica a qué fuente de datos subyacente de Google Security Operations se orienta la consulta.
  • Modelo de datos unificado (UDM): Es el esquema estándar de Google Security Operations que estructura y normaliza la telemetría de eventos de seguridad sin procesar. Las consultas de datos de eventos de UDM no usan un prefijo de campo.
  • Tabla de datos (%): Es un conjunto de datos tabulares definido por el usuario en Google Security Operations al que haces referencia en las consultas de YARA-L anteponiendo un signo de porcentaje (%) al nombre de la tabla.

Casos de uso habituales

En los siguientes casos de uso, se ilustra cómo los autores de paneles aplican prefijos de campos de YARA-L en las fuentes de datos de Google Security Operations.

Crea gráficos operativos de SOAR y detección

  • Objetivo: Crea gráficos personalizados en el panel que hagan un seguimiento de los casos de SOAR abiertos, las métricas de ejecución de la guía o las detecciones de reglas a lo largo del tiempo con los prefijos case, playbook y detection.
  • Valor: Centraliza las métricas de rendimiento de detección y respuesta ante incidentes junto con la telemetría de eventos de SIEM en un panel operativo unificado.

Configura filtros de paneles en todas las fuentes de datos

  • Objetivo: Define filtros a nivel del panel que segmenten fuentes de datos específicas indicando los prefijos de campo requeridos.
  • Valor: Permite que los analistas filtren de forma dinámica varios gráficos en un panel sin editar las consultas de gráficos de YARA-L individuales.

Antes de comenzar

Antes de crear o modificar los gráficos y filtros del panel, confirma los siguientes requisitos:

  • Permisos: Para agregar o editar gráficos y filtros en un panel, debes tener el permiso chronicle.nativeDashboards.update de IAM. Para obtener más información sobre los permisos y el control de acceso de los paneles, consulta Administra gráficos en paneles y Controla el acceso a los paneles.
  • Consideraciones sobre el RBAC de datos: Tu acceso a los datos subyacentes de los gráficos depende de las políticas de control de acceso basado en roles de datos (RBAC de datos) configuradas para tu rol de usuario. Para obtener más detalles, consulta Impacto del RBAC de datos.

Selecciona y aplica prefijos de campos de YARA-L en las consultas del panel

Cuando compilas una consulta de gráfico o configuras un filtro del panel, debes seleccionar el prefijo que corresponde a tu fuente de datos objetivo y aplicarlo a cada campo de la consulta.

Identifica el prefijo obligatorio para tu fuente de datos

Antes de escribir tu consulta, identifica el prefijo de YARA-L requerido y el intervalo de tiempo de consulta admitido para tu fuente de datos. Si no usas el prefijo obligatorio, tu consulta devolverá un error o no devolverá los datos esperados.

Los paneles incluyen las siguientes fuentes de datos, cada una con su propio límite de tiempo de consulta y prefijo de YARA-L:

Fuente de datos Intervalo de tiempo de la consulta Prefijo de YARA-L Esquema Ejemplos de paneles
Historial de casos 365 días case_history Campos (SOAR) | Plantilla Ejemplos
Casos y alertas 365 días case Campos (SOAR) | Plantilla Ejemplos
Tablas de datos Sin límite de tiempo independiente (regido por la fuente de datos unida) % Definido por el usuario Ejemplos
Detecciones 365 días detection Campos | Plantilla Ejemplos
Gráfico de entidades 365 días graph Campos | Plantilla Ejemplos
Eventos 90 días no prefix Campos (UDM) | Plantilla Ejemplos
Métricas de transferencia 365 días ingestion Campos | Plantilla Ejemplos
IoC 365 días ioc Campos | Plantilla Ejemplos
Guías 365 días playbook Campos (SOAR) | Plantilla Ejemplos
Conjuntos de reglas 365 días ruleset Campos | Plantilla Ejemplos
Reglas Sin límite de tiempo rules Campos | Plantilla Ejemplos
Agente de clasificación e investigación 365 días gemini_investigation, gemini_investigation_feedback Campos | Plantilla Ejemplos

Aplica las reglas de sintaxis de prefijo a tu búsqueda

Aplica el formato de prefijo adecuado cuando escribas una consulta de YARA-L en el editor de consultas de gráficos o cuando configures un filtro del panel:

  1. En Eventos (en las consultas de gráficos de YARA-L y los filtros básicos del panel), ingresa el nombre del campo del modelo de datos unificado (UDM) directamente sin un prefijo (por ejemplo, metadata.event_type = "USER_LOGIN").
  2. Para las fuentes de datos con prefijo (como casos y alertas, detecciones o métricas de transferencia, en las consultas de gráficos de YARA-L y los filtros básicos del panel), antepón el prefijo de la fuente de datos seguido de un punto a cada nombre de campo (por ejemplo, case.priority = "PRIORITY_HIGH" para casos y alertas, o detection.detection.rule_name para detecciones).
  3. Para las tablas de datos (en las consultas de gráficos de YARA-L y las consultas dinámicas en los filtros avanzados), antepón un signo de porcentaje (%) seguido del nombre de la tabla de datos y un punto antes del nombre de la columna (por ejemplo, %allowlist.ip). Los filtros básicos del panel (Field to filter) no son compatibles con las tablas de datos.

Ejemplos e información de referencia

Usa los siguientes ejemplos de consultas y referencias de esquemas para crear consultas de YARA-L para tus gráficos de panel.

Consulta de eventos sin prefijo

La siguiente consulta busca datos de eventos de UDM sin un prefijo:

metadata.event_type = "USER_LOGIN"
security_result.action = "BLOCK"

match:
  principal.user.userid

outcome:
  $failed_logins = count(metadata.id)

Consulta de casos y alertas con un prefijo

En la siguiente consulta, se buscan casos y alertas con el prefijo case:

case.incident = true
case.priority = "PRIORITY_HIGH"

match:
  case.status

outcome:
  $open_cases = count(case.name)

Consulta de tablas de datos con un prefijo de signo de porcentaje (%)

La siguiente consulta filtra los eventos de acceso de UDM uniéndolos con una tabla de datos personalizada (%example_table) con el prefijo %:

metadata.event_type = "USER_LOGIN"
security_result.action = "ALLOW"
principal.user.userid = %example_table.uid

match:
  principal.user.userid

outcome:
  $login_count = count(metadata.id)

Plantillas y esquemas de consultas adicionales

Para obtener plantillas de consulta completas, diccionarios de campos y ejemplos adicionales para cada fuente de datos compatible, consulta la biblioteca de consultas del panel de YARA-L 2.0.

Soluciona problemas

En esta sección, se describen los límites de la plataforma y se proporcionan soluciones de autoservicio para problemas comunes relacionados con las consultas de los paneles.

Latencia y límites

Cuando crees gráficos para el panel, ten en cuenta los siguientes límites del servicio y los límites de retención de datos:

  • Límites de filas: De forma predeterminada, las consultas de gráficos devuelven un máximo de 1,000 filas. En el caso de las consultas de paneles personalizados, puedes aumentar este límite hasta 10,000 filas agregando la sección limit a tu consulta de YARA-L. Las consultas del panel seleccionadas no admiten límites de filas personalizados.
  • Intervalos de tiempo de la consulta: Cada fuente de datos aplica un intervalo de tiempo máximo para la consulta: 90 días para Events, 365 días para todas las demás fuentes de datos con prefijo (excepto Rules) y sin límite de tiempo para Rules (que filtra por la marca de tiempo de creación de la regla rules.create_time). Las tablas de datos no tienen un límite de tiempo independiente; cuando se consultan con otra fuente de datos, se aplica el intervalo de tiempo de esa fuente de datos.
  • Datos históricos de SOAR: Los paneles admiten consultas de datos de casos de SOAR generados a partir del 10 de mayo de 2025.

Corrección de errores

Usa la siguiente tabla para resolver problemas habituales cuando consultes fuentes de datos del panel:

Problema Descripción Corrección
Error de compilación o campo no reconocido La consulta hace referencia a un campo de una fuente de datos que no es de eventos (como priority o rule_name) sin su prefijo obligatorio. Antepón el prefijo de la fuente de datos requerida y un punto al nombre del campo (por ejemplo, case.priority o detection.detection.rule_name).
Resultados de gráficos vacíos para reglas activas Un gráfico que consulta el esquema rules no devuelve resultados cuando el período se establece en una ventana reciente (como los últimos 365 días). Debido a que el esquema rules asigna la ventana de tiempo del gráfico a rules.create_time, establece el período del gráfico en el límite máximo disponible (como más de 10 años) para incluir las reglas activas creadas anteriormente.
Faltan datos de casos de SOAR para fechas anteriores Las búsquedas que usan los prefijos case, case_history o playbook no devuelven registros anteriores a mayo de 2025. Restringe el período de la consulta del panel a fechas posteriores al 10 de mayo de 2025.

Validación y prueba

Para verificar que tu consulta use el prefijo correcto y muestre datos antes de guardar un gráfico, abre la página Editar panel para agregar o editar un gráfico, ingresa tu consulta de YARA-L en el editor de consultas del gráfico, selecciona un período dentro del intervalo admitido de la fuente de datos y haz clic en Ejecutar búsqueda. Confirma que la vista previa tabular se complete con las columnas esperadas antes de hacer clic en Agregar al panel.

¿Qué sigue?

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.