מקורות הנתונים של מרכז הבקרה והקידומות של השדות

נתמך ב:

המדריך הזה מיועד לאנליסטים של אבטחה ולכותבי לוחות בקרה שרוצים לשלוח שאילתות למקורות נתונים שונים כשהם יוצרים תרשימים ומסננים בהתאמה אישית בלוחות הבקרה של Google Security Operations. הוא מסביר איך לזהות את הקידומת הנדרשת של שדה YARA-L לכל מקור נתונים נתמך, להתייחס למרווחי הזמן של השאילתות ולכתוב שאילתות תקינות של תרשימים. כך תוכלו למנוע שגיאות בקומפילציה של שאילתות ותוצאות ריקות בתרשימים. הגדרות מדויקות של מרכז הבקרה מספקות תצוגה אמינה של נתוני הטלמטריה של האבטחה, יעילות הזיהוי ופעולות SOAR.

מונחים חשובים

  • קידומת של שדה YARA-L: מילה או צירוף מילים שמופיעים לפני שם של שדה (כמו case.,‏ detection. או ingestion.) ומציינים את מקור הנתונים הבסיסי של Google Security Operations שאליו מכוונת השאילתה.
  • מודל נתונים מאוחד (UDM): סכימת Google Security Operations הסטנדרטית שמבנה ומנרמל טלמטריה של אירועי אבטחה גולמיים. שאילתות על נתוני אירועים ב-UDM לא משתמשות בקידומת של שדה.
  • טבלת נתונים (%): קבוצת נתונים בטבלה שמוגדרת על ידי המשתמש ב-Google Security Operations, שאפשר להפנות אליה בשאילתות YARA-L על ידי הוספת סימן אחוז (%) לפני שם הטבלה.

תרחישים נפוצים לדוגמה

בדוגמאות הבאות לתרחישי שימוש אפשר לראות איך יוצרים לוחות בקרה שמשתמשים בקידומות של שדות YARA-L במקורות נתונים של Google Security Operations.

יצירת תרשימים תפעוליים של SOAR וזיהוי

  • יעד: ליצור תרשימים מותאמים אישית בלוח הבקרה כדי לעקוב אחרי מקרים פתוחים של SOAR, מדדי ביצוע של playbook או זיהויים של כללים לאורך זמן באמצעות הקידומות case,‏ playbook ו-detection.
  • Value: מרכז את מדדי הביצועים של זיהוי האירועים והתגובה אליהם, לצד נתוני הטלמטריה של אירועי SIEM, במרכז בקרה תפעולי מאוחד.

הגדרת מסננים בלוח הבקרה למקורות נתונים שונים

  • המטרה: להגדיר מסננים ברמת מרכז הבקרה שמטרגטים מקורות נתונים ספציפיים, על ידי ציון הקידומות של השדות הנדרשים.
  • ערך: מאפשר לאנליסטים לסנן באופן דינמי כמה תרשימים במרכז בקרה בלי לערוך שאילתות של תרשימי YARA-L בנפרד.

לפני שמתחילים

לפני שיוצרים או משנים תרשימים ומסננים במרכז הבקרה, צריך לוודא שהדרישות הבאות מתקיימות:

בחירה והחלה של קידומות שדות YARA-L בשאילתות בלוח הבקרה

כשיוצרים שאילתה של תרשים או מגדירים מסנן של מרכז בקרה, צריך לבחור את הקידומת שתואמת למקור הנתונים של היעד ולהחיל אותה על כל שדה בשאילתה.

זיהוי הקידומת הנדרשת למקור הנתונים

לפני שכותבים את השאילתה, צריך לזהות את הקידומת הנדרשת של YARA-L ואת מרווח הזמן הנתמך של השאילתה למקור הנתונים. אם לא תשתמשו בקידומת הנדרשת, השאילתה תחזיר שגיאה או לא תחזיר את הנתונים הצפויים.

לוחות הבקרה כוללים את מקורות הנתונים הבאים, שלכל אחד מהם יש מגבלת זמן שאילתה משלו וקידומת YARA-L משלו:

מקור הנתונים מרווח הזמן של השאילתה קידומת YARA-L סכימה דוגמאות למרכזי בקרה
היסטוריית בקשות התמיכה 365 ימים case_history שדות (SOAR) | תבנית דוגמאות
פניות והתראות 365 ימים case שדות (SOAR) | תבנית דוגמאות
טבלאות נתונים אין מגבלת זמן עצמאית (היא נקבעת על ידי מקור הנתונים המצורף) % בהגדרת המשתמש דוגמאות
זיהויים 365 ימים detection שדות | תבנית דוגמאות
תרשים ישויות 365 ימים graph שדות | תבנית דוגמאות
אירועים 90 ימים no prefix שדות (UDM) | תבנית דוגמאות
מדדי הטמעה 365 ימים ingestion שדות | תבנית דוגמאות
IoCs 365 ימים ioc שדות | תבנית דוגמאות
פלייבוקים 365 ימים playbook שדות (SOAR) | תבנית דוגמאות
קבוצות כללים 365 ימים ruleset שדות | תבנית דוגמאות
כללים ללא מגבלת זמן rules שדות | תבנית דוגמאות
סוכן למיון וחקירה 365 ימים gemini_investigation, gemini_investigation_feedback שדות | תבנית דוגמאות

החלת כללי תחביר של קידומות על השאילתה

כשכותבים שאילתת YARA-L בכלי לעריכת שאילתות של תרשים או כשמגדירים מסנן של מרכז בקרה, צריך להשתמש בפורמט הקידומת המתאים:

  1. בשביל אירועים (בשאילתות של תרשימי YARA-L ובמסננים בסיסיים של לוחות בקרה), מזינים את שם השדה של מודל הנתונים המאוחד (UDM) ישירות ללא קידומת (לדוגמה, metadata.event_type = "USER_LOGIN").
  2. במקורות נתונים עם קידומת (כמו Cases and alerts,‏ Detections או Ingestion metrics, בשאילתות של תרשימי YARA-L ובמסננים בסיסיים של לוחות בקרה), מוסיפים לפני כל שם שדה את הקידומת של מקור הנתונים ואחריה נקודה (לדוגמה, case.priority = "PRIORITY_HIGH" עבור Cases and alerts, או detection.detection.rule_name עבור Detections).
  3. בטבלאות נתונים (בשאילתות של תרשימי YARA-L ובשאילתות דינמיות במסננים מתקדמים), מוסיפים סימן אחוז (%) לפני שם טבלת הנתונים ונקודה לפני שם העמודה (לדוגמה, %allowlist.ip). מסננים בסיסיים של מרכז הבקרה (Field to filter) לא נתמכים בטבלאות נתונים.

דוגמאות ומידע נוסף

כדי ליצור שאילתות YARA-L לתרשימים במרכז הבקרה, אתם יכולים להשתמש בדוגמאות לשאילתות ובהפניות לסכימה שבהמשך.

שאילתת אירועים בלי קידומת

השאילתה הבאה מחפשת נתוני אירועים ב-UDM בלי קידומת:

metadata.event_type = "USER_LOGIN"
security_result.action = "BLOCK"

match:
  principal.user.userid

outcome:
  $failed_logins = count(metadata.id)

שאילתה על פניות והתראות עם קידומת

השאילתה הבאה מחפשת בקשות תמיכה והתראות באמצעות הקידומת case:

case.incident = true
case.priority = "PRIORITY_HIGH"

match:
  case.status

outcome:
  $open_cases = count(case.name)

שאילתה בטבלאות נתונים עם קידומת של סימן אחוז (%)

השאילתה הבאה מסננת אירועי התחברות ב-UDM על ידי צירוף שלהם לטבלת נתונים בהתאמה אישית (%example_table) באמצעות הקידומת %:

metadata.event_type = "USER_LOGIN"
security_result.action = "ALLOW"
principal.user.userid = %example_table.uid

match:
  principal.user.userid

outcome:
  $login_count = count(metadata.id)

תבניות וסכימות נוספות של שאילתות

בספריית השאילתות של מרכז הבקרה של YARA-L 2.0 יש תבניות שאילתות מלאות, מילוני שדות ודוגמאות נוספות לכל מקור נתונים נתמך.

פתרון בעיות

בקטע הזה מפורטות המגבלות של הפלטפורמה ומוצעים פתרונות בשירות עצמי לבעיות נפוצות בשאילתות של מרכז הבקרה.

זמן אחזור ומגבלות

כשיוצרים תרשימים בלוח הבקרה, חשוב לזכור את מגבלות השירות ואת גבולות שמירת הנתונים הבאים:

  • מגבלות על מספר השורות: כברירת מחדל, שאילתות של תרשימים מחזירות עד 1,000 שורות. בשאילתות של מרכז בקרה בהתאמה אישית, אפשר להגדיל את המגבלה הזו עד ל-10,000 שורות על ידי הוספת הקטע limit לשאילתת YARA-L. שאילתות של מרכזי בקרה שנבחרו על ידי המערכת לא תומכות במגבלות מותאמות אישית על מספר השורות.
  • מרווחי זמן של שאילתות: לכל מקור נתונים יש מרווח זמן מקסימלי לשאילתות: 90 ימים לאירועים, 365 ימים לכל שאר מקורות הנתונים עם הקידומת (חוץ מכללים), ואין מגבלת זמן לכללים (שמסננים לפי חותמת הזמן של יצירת הכלל rules.create_time). לטבלאות נתונים אין מגבלת זמן עצמאית. כששולחים שאילתה עם מקור נתונים אחר, חל מרווח הזמן של אותו מקור נתונים.
  • נתונים היסטוריים של SOAR: אפשר להריץ שאילתות בלוחות בקרה לגבי נתוני מקרים של SOAR שנוצרו ב-10 במאי 2025 או אחריו.

תיקון שגיאות

אתם יכולים להיעזר בטבלה הבאה כדי לפתור בעיות נפוצות שקשורות לשאילתות במקורות הנתונים של מרכז הבקרה:

הבעיה תיאור תיקון
שדה לא מזוהה או שגיאת קומפילציה השאילתה מפנה לשדה ממקור נתונים שאינו אירוע (כמו priority או rule_name) ללא התוספת לשם הנדרשת. מוסיפים לשם השדה את התחילית הנדרשת של מקור הנתונים ונקודה (לדוגמה, case.priority או detection.detection.rule_name).
תוצאות ריקות בתרשים של כללים פעילים תרשים ששולח שאילתה לסכימה rules לא מחזיר תוצאות כשטווח התאריכים מוגדר לחלון זמן מהתקופה האחרונה (למשל, 365 הימים האחרונים). מכיוון שהסכימה rules ממפה את חלון הזמן של התרשים ל-rules.create_time, צריך להגדיר את טווח התאריכים של התרשים למגבלה המקסימלית הזמינה (למשל, יותר מ-10 שנים) כדי לכלול כללים פעילים שנוצרו קודם לכן.
חסרים נתונים של פניות ב-SOAR בתאריכים ישנים יותר שאילתות שמשתמשות בקידומות case, case_history או playbook לא מחזירות רשומות לפני מאי 2025. הגבלת טווח התאריכים של השאילתה במרכז הבקרה לתאריכים החל מ-10 במאי 2025.

אימות ובדיקה

כדי לוודא שהשאילתה משתמשת בקידומת הנכונה ומחזירה נתונים לפני ששומרים תרשים, פותחים את הדף Edit Dashboard כדי להוסיף או לערוך תרשים, מזינים את שאילתת YARA-L בעורך השאילתות של התרשים, בוחרים טווח תאריכים בתוך המרווח הנתמך של מקור הנתונים ולוחצים על Run Search. לפני שלוחצים על Add to Dashboard, מוודאים שהתצוגה המקדימה בטבלה מאוכלסת בעמודות הצפויות.

המאמרים הבאים

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.