Sources de données et préfixes de champ du tableau de bord

Compatible avec :

Ce guide s'adresse aux analystes de sécurité et aux auteurs de tableaux de bord qui souhaitent interroger différentes sources de données lorsqu'ils créent des graphiques et des filtres personnalisés dans les tableaux de bord Google Security Operations. Il explique comment identifier le préfixe de champ YARA-L requis pour chaque source de données compatible, respecter les intervalles de temps de requête et écrire des requêtes de graphique valides. En suivant ces conseils, vous éviterez les erreurs de compilation des requêtes et les résultats de graphique vides. Des configurations de tableau de bord précises offrent une visibilité fiable sur la télémétrie de sécurité, l'efficacité de la détection et les opérations SOAR.

Terminologie clé

  • Préfixe de champ YARA-L : qualificatif ajouté au début d'un nom de champ (tel que case., detection. ou ingestion.) qui spécifie la source de données Google Security Operations sous-jacente ciblée par la requête.
  • Modèle de données unifié (UDM) : schéma standard de Google Security Operations qui structure et normalise les données brutes de télémétrie des événements liés à la sécurité. Les requêtes portant sur les données d'événement UDM n'utilisent pas de préfixe de champ.
  • Table de données (%) : ensemble de données tabulaires défini par l'utilisateur dans Google Security Operations, que vous référencez dans les requêtes YARA-L en ajoutant un signe de pourcentage (%) au nom de la table.

Cas d'utilisation courants

Les cas d'utilisation suivants illustrent la manière dont les auteurs de tableaux de bord appliquent les préfixes de champ YARA-L aux sources de données Google Security Operations.

Créer des graphiques opérationnels SOAR et de détection

  • Objectif : créez des graphiques de tableau de bord personnalisés qui suivent les requêtes SOAR ouvertes, les métriques d'exécution des playbooks ou les détections de règles au fil du temps à l'aide des préfixes case, playbook et detection.
  • Valeur : centralise les métriques de performances de détection et de réponse aux incidents, ainsi que la télémétrie des événements SIEM, dans un tableau de bord opérationnel unifié.

Configurer des filtres de tableau de bord pour plusieurs sources de données

  • Objectif : définissez des filtres au niveau du tableau de bord qui ciblent des sources de données spécifiques en indiquant les préfixes de champ requis.
  • Valeur : permet aux analystes de filtrer de manière dynamique plusieurs graphiques d'un tableau de bord sans modifier les requêtes de graphique YARA-L individuelles.

Avant de commencer

Avant de créer ou de modifier des graphiques et des filtres de tableau de bord, vérifiez les conditions suivantes :

  • Autorisations : pour ajouter ou modifier des graphiques et des filtres dans un tableau de bord, vous devez disposer de l'autorisation IAM chronicle.nativeDashboards.update. Pour en savoir plus sur les autorisations et le contrôle des accès aux tableaux de bord, consultez Gérer les graphiques dans les tableaux de bord et Contrôler l'accès aux tableaux de bord.
  • Points à prendre en compte concernant le RBAC des données : votre accès aux données de graphique sous-jacentes dépend des stratégies de contrôle des accès basé sur les rôles (RBAC) des données configurées pour votre rôle utilisateur. Pour en savoir plus, consultez Impact du RBAC des données.

Sélectionner et appliquer des préfixes de champ YARA-L dans les requêtes de tableau de bord

Lorsque vous créez une requête de graphique ou configurez un filtre de tableau de bord, vous devez sélectionner le préfixe correspondant à votre source de données cible et l'appliquer à chaque champ de la requête.

Identifier le préfixe requis pour votre source de données

Avant d'écrire votre requête, identifiez le préfixe YARA-L requis et l'intervalle de temps de requête compatible pour votre source de données. Si vous n'utilisez pas le préfixe requis, votre requête renvoie une erreur ou ne renvoie pas les données attendues.

Les tableaux de bord incluent les sources de données suivantes, chacune ayant sa propre limite de temps de requête et son propre préfixe YARA-L :

Source de données Intervalle de temps de la requête Préfixe YARA-L Schéma Exemples de tableaux de bord
Historique de la demande 365 jours case_history Champs (SOAR) | Modèle Exemples
Cas et alertes 365 jours case Champs (SOAR) | Modèle Exemples
Tables de données Aucune limite de temps autonome (régie par la source de données jointe) % Définie par l'utilisateur Exemples
Détections 365 jours detection Champs | Modèle Exemples
Graphique des entités 365 jours graph Champs | Modèle Exemples
Événements 90 jours no prefix Champs (UDM) | Modèle Exemples
Métriques d'ingestion 365 jours ingestion Champs | Modèle Exemples
IoCs 365 jours ioc Champs | Modèle Exemples
Playbooks 365 jours playbook Champs (SOAR) | Modèle Exemples
Ensembles de règles 365 jours ruleset Champs | Modèle Exemples
Règles Pas de limite de temps rules Champs | Modèle Exemples
Agent de tri et d'investigation 365 jours gemini_investigation, gemini_investigation_feedback Champs | Modèle Exemples

Appliquer les règles de syntaxe des préfixes à votre requête

Appliquez le format de préfixe approprié lorsque vous écrivez une requête YARA-L dans l'éditeur de requêtes de graphique ou que vous configurez un filtre de tableau de bord :

  1. Pour Événements (dans les requêtes de graphique YARA-L et les filtres de tableau de bord de base), saisissez directement le nom du champ du modèle de données unifié (UDM) sans préfixe (par exemple, metadata.event_type = "USER_LOGIN").
  2. Pour les sources de données préfixées (telles que les cas et les alertes, les détections ou les métriques d'ingestion, dans les requêtes de graphique YARA-L et les filtres de tableau de bord de base), ajoutez le préfixe de la source de données suivi d'un point à chaque nom de champ (par exemple, case.priority = "PRIORITY_HIGH" pour les cas et les alertes, ou detection.detection.rule_name pour les détections).
  3. Pour les tables de données (dans les requêtes de graphique YARA-L et les requêtes dynamiques dans les filtres avancés), ajoutez un signe de pourcentage (%) suivi du nom de la table de données et d'un point avant le nom de la colonne (par exemple, %allowlist.ip). Les filtres de tableau de bord de base (Field to filter) ne sont pas compatibles avec les tables de données.

Exemples et informations de référence

Utilisez les exemples de requêtes et les références de schéma suivants pour créer des requêtes YARA-L pour les graphiques de votre tableau de bord.

Requête d'événements sans préfixe

La requête suivante recherche des données d'événement UDM sans préfixe :

metadata.event_type = "USER_LOGIN"
security_result.action = "BLOCK"

match:
  principal.user.userid

outcome:
  $failed_logins = count(metadata.id)

Requête sur les cas et les alertes avec un préfixe

La requête suivante recherche les cas et les alertes à l'aide du préfixe case :

case.incident = true
case.priority = "PRIORITY_HIGH"

match:
  case.status

outcome:
  $open_cases = count(case.name)

Requête de tables de données avec un préfixe de signe de pourcentage (%)

La requête suivante filtre les événements de connexion UDM en les associant à une table de données personnalisée (%example_table) à l'aide du préfixe % :

metadata.event_type = "USER_LOGIN"
security_result.action = "ALLOW"
principal.user.userid = %example_table.uid

match:
  principal.user.userid

outcome:
  $login_count = count(metadata.id)

Modèles de requête et schémas supplémentaires

Pour obtenir des modèles de requête complets, des dictionnaires de champs et des exemples supplémentaires pour chaque source de données compatible, consultez la bibliothèque de requêtes du tableau de bord YARA-L 2.0.

Dépannage

Cette section décrit les limites de la plate-forme et fournit des solutions en libre-service pour les problèmes courants liés aux requêtes de tableau de bord.

Latence et limites

Lorsque vous créez des graphiques de tableau de bord, tenez compte des limites de service et des limites de conservation des données suivantes :

  • Limites de lignes : par défaut, les requêtes de graphique renvoient un maximum de 1 000 lignes. Pour les requêtes de tableaux de bord personnalisés, vous pouvez augmenter cette limite jusqu'à 10 000 lignes en ajoutant la section limit à votre requête YARA-L. Les requêtes de tableau de bord sélectionnées ne sont pas compatibles avec les limites de lignes personnalisées.
  • Intervalles de temps des requêtes : chaque source de données applique un intervalle de temps maximal pour les requêtes : 90 jours pour Événements, 365 jours pour toutes les autres sources de données préfixées (à l'exception de Règles) et aucune limite de temps pour Règles (qui filtre par code temporel de création de la règle rules.create_time). Les tables de données n'ont pas de limite de temps autonome. Lorsqu'elles sont interrogées avec une autre source de données, l'intervalle de temps de cette source de données s'applique.
  • Données historiques SOAR : les tableaux de bord permettent d'interroger les données des demandes SOAR générées à partir du 10 mai 2025.

Correction des erreurs

Utilisez le tableau suivant pour résoudre les problèmes courants lors de l'interrogation des sources de données du tableau de bord :

Problème Description Corriger
Champ non reconnu ou erreur de compilation La requête fait référence à un champ d'une source de données qui n'est pas un événement (comme priority ou rule_name) sans le préfixe requis. Ajoutez le préfixe de source de données requis et un point au nom du champ (par exemple, case.priority ou detection.detection.rule_name).
Résultats de graphique vide pour les règles actives Un graphique interrogeant le schéma rules ne renvoie aucun résultat lorsque la plage de dates est définie sur une période récente (par exemple, les 365 derniers jours). Étant donné que le schéma rules mappe la période du graphique à rules.create_time, définissez la période du graphique sur la limite maximale disponible (par exemple, 10 ans ou plus) pour inclure les règles actives créées précédemment.
Données de demande SOAR manquantes pour les dates antérieures Les requêtes qui utilisent les préfixes case, case_history ou playbook ne renvoient aucun enregistrement antérieur à mai 2025. Limitez la période de votre requête de tableau de bord aux dates à partir du 10 mai 2025.

Validation et test

Pour vérifier que votre requête utilise le bon préfixe et renvoie des données avant d'enregistrer un graphique, ouvrez la page Modifier le tableau de bord pour ajouter ou modifier un graphique, saisissez votre requête YARA-L dans l'éditeur de requêtes de graphique, sélectionnez une plage de dates dans l'intervalle compatible de la source de données, puis cliquez sur Exécuter la recherche. Vérifiez que l'aperçu tabulaire est renseigné avec les colonnes attendues avant de cliquer sur Ajouter au tableau de bord.

Étapes suivantes

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.