Sumber data dasbor dan awalan kolom

Didukung di:

Google SecOps

Panduan ini ditujukan untuk analis keamanan dan pembuat dasbor yang ingin membuat kueri sumber data yang berbeda saat membuat diagram dan filter kustom di dasbor Google Security Operations. Panduan ini menjelaskan cara mengidentifikasi awalan kolom YARA-L yang diperlukan untuk setiap sumber data yang didukung, mematuhi interval waktu kueri, dan menulis kueri diagram yang valid. Dengan mengikuti panduan ini, Anda akan mencegah error kompilasi kueri dan hasil diagram kosong. Konfigurasi dasbor yang akurat memberikan visibilitas yang andal ke telemetri keamanan, efektivitas deteksi, dan operasi SOAR.

Terminologi utama

• Awalan kolom YARA-L: Penentu yang ditambahkan ke nama kolom (seperti case., detection., atau ingestion.) yang menentukan sumber data Google Security Operations yang mendasarinya yang ditargetkan oleh kueri.
• Model Data Terpadu (UDM): Skema Google Security Operations standar yang menyusun dan menormalisasi telemetri peristiwa keamanan mentah. Kueri terhadap data peristiwa UDM tidak menggunakan awalan kolom.
• Tabel data (%): Set data tabular yang ditentukan pengguna di Google Security Operations yang Anda rujuk dalam kueri YARA-L dengan menambahkan tanda persen (%) ke nama tabel.

Kasus penggunaan umum

Kasus penggunaan berikut mengilustrasikan cara penulis dasbor menerapkan awalan kolom YARA-L di seluruh sumber data Google Security Operations.

Membangun diagram deteksi dan SOAR operasional

• Tujuan: Membuat diagram dasbor kustom yang melacak kasus SOAR terbuka, metrik eksekusi playbook, atau deteksi aturan dari waktu ke waktu menggunakan awalan case, playbook, dan detection.
• Nilai: Memusatkan metrik performa deteksi dan respons insiden bersama telemetri peristiwa SIEM di dasbor operasional terpadu.

Mengonfigurasi filter dasbor di seluruh sumber data

• Tujuan: Menentukan filter tingkat dasbor yang menargetkan sumber data tertentu dengan menentukan awalan kolom yang diperlukan.
• Nilai: Memungkinkan analis memfilter beberapa diagram secara dinamis di seluruh dasbor tanpa mengedit kueri diagram YARA-L satu per satu.

Sebelum memulai

Sebelum membuat atau mengubah diagram dan filter dasbor, pastikan persyaratan berikut terpenuhi:

• Izin: Untuk menambahkan atau mengedit diagram dan filter di dasbor, Anda harus memiliki izin IAM chronicle.nativeDashboards.update. Untuk mengetahui informasi selengkapnya tentang izin dasbor dan kontrol akses, lihat Mengelola diagram di dasbor dan Mengontrol akses ke dasbor.
• Pertimbangan RBAC Data: Akses Anda ke data diagram yang mendasarinya bergantung pada kebijakan Role-Based Access Control Data (RBAC Data) yang dikonfigurasi untuk peran pengguna Anda. Untuk mengetahui detailnya, lihat Dampak RBAC data.

Memilih dan menerapkan awalan kolom YARA-L dalam kueri dasbor

Saat membuat kueri diagram atau mengonfigurasi filter dasbor, Anda harus memilih awalan yang sesuai dengan sumber data target dan menerapkannya ke setiap kolom dalam kueri.

Mengidentifikasi awalan yang diperlukan untuk sumber data Anda

Sebelum menulis kueri, identifikasi awalan YARA-L yang diperlukan dan interval waktu kueri yang didukung untuk sumber data Anda. Jika Anda tidak menggunakan awalan yang diperlukan, kueri akan menampilkan error atau gagal menampilkan data yang diharapkan.

Dasbor mencakup sumber data berikut, masing-masing dengan batas waktu kueri dan awalan YARA-L-nya sendiri:

Sumber data	Interval waktu kueri	Awalan YARA-L	Skema	Contoh dasbor
Histori kasus	365 hari	case_history	Kolom (SOAR) | Template	Contoh
Kasus dan pemberitahuan	365 hari	case	Kolom (SOAR) | Template	Contoh
Tabel data	Tidak ada batas waktu mandiri (diatur oleh sumber data gabungan)	%	Ditentukan pengguna	Contoh
Deteksi	365 hari	detection	Kolom | Template	Contoh
Grafik Entity	365 hari	graph	Kolom | Template	Contoh
Acara	90 hari	no prefix	Kolom (UDM) | Template	Contoh
Metrik penyerapan	365 hari	ingestion	Kolom | Template	Contoh
IoC	365 hari	ioc	Kolom | Template	Contoh
Playbook	365 hari	playbook	Kolom (SOAR) | Template	Contoh
Kumpulan aturan	365 hari	ruleset	Kolom | Template	Contoh
Aturan	Tidak ada batas waktu	rules	Kolom | Template	Contoh
Agent Penilai Tingkat Prioritas dan Penyelidikan	365 hari	gemini_investigation, gemini_investigation_feedback	Kolom | Template	Contoh

Catatan: Secara default, kueri diagram menampilkan batas 1.000 baris. Anda dapat menyesuaikan batas ini hingga 10.000 menggunakan bagian limit dalam kueri YARA-L. Penyesuaian ini hanya berlaku untuk kueri dasbor kustom, bukan untuk kueri pilihan.

Catatan: Dasbor mendukung kueri data kasus SOAR yang dibuat pada atau setelah 10 Mei 2025.

Menerapkan aturan sintaksis awalan ke kueri Anda

Terapkan format awalan yang sesuai saat menulis kueri YARA-L di editor kueri diagram atau mengonfigurasi filter dasbor:

1. Untuk Peristiwa (dalam kueri diagram YARA-L dan filter dasbor dasar), masukkan nama kolom Unified Data Model (UDM) secara langsung tanpa awalan (misalnya, metadata.event_type = "USER_LOGIN").
2. Untuk Sumber data berawalan (seperti Kasus dan pemberitahuan, Deteksi, atau Metrik penyerapan, dalam kueri diagram YARA-L dan filter dasbor dasar), tambahkan awalan sumber data diikuti dengan titik ke setiap nama kolom (misalnya, case.priority = "PRIORITY_HIGH" untuk Kasus dan pemberitahuan, atau detection.detection.rule_name untuk Deteksi).
3. Untuk Tabel data (dalam kueri diagram YARA-L dan kueri dinamis di filter lanjutan), tambahkan tanda persen (%) diikuti dengan nama tabel data dan titik sebelum nama kolom (misalnya, %allowlist.ip). Filter dasbor dasar (Field to filter) tidak didukung untuk tabel data.

Perhatian: Jika Anda menghilangkan awalan yang diperlukan untuk sumber data non-peristiwa atau menggabungkan awalan yang tidak kompatibel tanpa gabungan yang didukung, editor kueri akan menolak sintaksis atau menampilkan hasil kosong. Pastikan setiap kolom sumber data yang dirujuk dalam kueri Anda menggunakan awalan yang tercantum untuk sumber data tersebut.

Contoh dan informasi referensi

Gunakan contoh kueri dan referensi skema berikut untuk membuat kueri YARA-L untuk diagram dasbor Anda.

Kueri acara tanpa awalan

Kueri berikut menelusuri data peristiwa UDM tanpa awalan:

metadata.event_type = "USER_LOGIN"
security_result.action = "BLOCK"

match:
  principal.user.userid

outcome:
  $failed_logins = count(metadata.id)

Kueri kasus dan pemberitahuan dengan awalan

Kueri berikut menelusuri Kasus dan pemberitahuan menggunakan awalan case:

case.incident = true
case.priority = "PRIORITY_HIGH"

match:
  case.status

outcome:
  $open_cases = count(case.name)

Kueri tabel data dengan awalan tanda persen (%)

Kueri berikut memfilter peristiwa login UDM dengan menggabungkannya dengan tabel data kustom (%example_table) menggunakan awalan %:

metadata.event_type = "USER_LOGIN"
security_result.action = "ALLOW"
principal.user.userid = %example_table.uid

match:
  principal.user.userid

outcome:
  $login_count = count(metadata.id)

Template dan skema kueri tambahan

Untuk mengetahui template kueri lengkap, kamus kolom, dan contoh tambahan untuk setiap sumber data yang didukung, lihat pustaka kueri dasbor YARA-L 2.0.

Pemecahan masalah

Bagian ini menguraikan batasan platform dan memberikan perbaikan mandiri untuk masalah kueri dasbor umum.

Latensi dan batas

Saat membuat diagram dasbor, perhatikan batas layanan dan batas retensi data berikut:

• Batas baris: Secara default, kueri diagram menampilkan maksimum 1.000 baris. Untuk kueri dasbor kustom, Anda dapat meningkatkan batas ini hingga 10.000 baris dengan menambahkan bagian limit ke kueri YARA-L Anda. Kueri dasbor pilihan tidak mendukung batas baris kustom.
• Interval waktu kueri: Setiap sumber data menerapkan interval waktu kueri maksimum: 90 hari untuk Peristiwa, 365 hari untuk semua sumber data lain yang diawali (kecuali Aturan), dan tanpa batas waktu untuk Aturan (yang memfilter menurut stempel waktu pembuatan aturan rules.create_time). Tabel data tidak memiliki batas waktu mandiri; saat dikueri dengan sumber data lain, interval waktu sumber data tersebut akan berlaku.
• Data historis SOAR: Dasbor mendukung pembuatan kueri data kasus SOAR yang dibuat pada atau setelah 10 Mei 2025.

Perbaikan error

Gunakan tabel berikut untuk menyelesaikan masalah umum saat membuat kueri sumber data dasbor:

Masalah	Deskripsi	Perbaiki
Kolom tidak dikenali atau error kompilasi	Kueri mereferensikan kolom dari sumber data non-peristiwa (seperti priority atau rule_name) tanpa awalan yang diperlukan.	Tambahkan awalan sumber data yang diperlukan dan titik ke nama kolom (misalnya, case.priority atau detection.detection.rule_name).
Hasil diagram kosong untuk aturan aktif	Diagram yang membuat kueri skema rules tidak akan menampilkan hasil jika rentang waktu ditetapkan ke periode baru-baru ini (seperti 365 hari terakhir).	Karena skema rules memetakan jangka waktu diagram ke rules.create_time, tetapkan rentang waktu diagram ke batas maksimum yang tersedia (seperti 10+ tahun) untuk menyertakan aturan aktif yang dibuat sebelumnya.
Data kasus SOAR tidak ada untuk tanggal yang lebih lama	Kueri yang menggunakan awalan case, case_history, atau playbook tidak akan menampilkan data sebelum Mei 2025.	Batasi rentang waktu kueri dasbor Anda ke tanggal 10 Mei 2025 atau setelahnya.

Validasi dan pengujian

Untuk memastikan bahwa kueri Anda menggunakan awalan yang tepat dan menampilkan data sebelum menyimpan diagram, buka halaman Edit Dashboard untuk menambahkan atau mengedit diagram, masukkan kueri YARA-L Anda di editor kueri diagram, pilih rentang waktu dalam interval yang didukung sumber data, lalu klik Run Search. Pastikan pratinjau tabel diisi dengan kolom yang diharapkan sebelum Anda mengklik Tambahkan ke Dasbor.

Langkah berikutnya

• Mengelola diagram di dasbor
• Mengonfigurasi filter dasbor
• Library kueri dasbor YARA-L 2.0

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.