Origini dati e prefissi dei campi della dashboard

Supportato in:

Questa guida è rivolta agli analisti della sicurezza e agli autori di dashboard che vogliono eseguire query su diverse origini dati durante la creazione di grafici e filtri personalizzati nelle dashboard di Google Security Operations. Spiega come identificare il prefisso del campo YARA-L richiesto per ogni origine dati supportata, rispettare gli intervalli di tempo delle query e scrivere query del grafico valide. Se segui queste indicazioni, puoi evitare errori di compilazione delle query e risultati vuoti nei grafici. Configurazioni accurate della dashboard forniscono una visibilità affidabile sulla telemetria della sicurezza, sull'efficacia del rilevamento e sulle operazioni SOAR.

Terminologia chiave

  • Prefisso del campo YARA-L: un qualificatore anteposto a un nome di campo (ad esempio case., detection. o ingestion.) che specifica l'origine dati Google Security Operations sottostante a cui è indirizzata la query.
  • Unified Data Model (UDM): lo schema standard di Google Security Operations che struttura e normalizza la telemetria degli eventi di sicurezza non elaborati. Le query sui dati sugli eventi UDM non utilizzano un prefisso del campo.
  • Tabella di dati (%): un set di dati tabulare definito dall'utente in Google Security Operations a cui fai riferimento nelle query YARA-L anteponendo un segno di percentuale (%) al nome della tabella.

Casi d'uso comuni

I seguenti casi d'uso illustrano come gli autori delle dashboard applicano i prefissi dei campi YARA-L alle origini dati di Google Security Operations.

Crea grafici operativi SOAR e di rilevamento

  • Obiettivo: crea grafici della dashboard personalizzati che monitorano i casi SOAR aperti, le metriche di esecuzione dei playbook o i rilevamenti delle regole nel tempo utilizzando i prefissi case, playbook e detection.
  • Valore: centralizza le metriche sul rendimento del rilevamento e della risposta agli incidenti insieme alla telemetria degli eventi SIEM in una dashboard operativa unificata.

Configura i filtri della dashboard tra le origini dati

  • Obiettivo: definire filtri a livello di dashboard che hanno come target origini dati specifiche specificando i prefissi dei campi richiesti.
  • Valore: consente agli analisti di filtrare dinamicamente più grafici in una dashboard senza modificare le singole query dei grafici YARA-L.

Prima di iniziare

Prima di creare o modificare i grafici e i filtri della dashboard, verifica i seguenti requisiti:

  • Autorizzazioni: per aggiungere o modificare grafici e filtri in una dashboard, devi disporre dell'autorizzazione IAM chronicle.nativeDashboards.update. Per saperne di più sulle autorizzazioni e controllo dell'accesso alle dashboard, consulta Gestisci i grafici nelle dashboard e Controlla l'accesso alle dashboard.
  • Considerazioni sul controllo degli accessi basato su ruoli (RBAC) dei dati: l'accesso ai dati dei grafici sottostanti dipende dalle policy di controllo degli accessi basato su ruoli (RBAC) dei dati configurate per il tuo ruolo utente. Per maggiori dettagli, consulta Impatto del RBAC dei dati.

Selezionare e applicare i prefissi dei campi YARA-L nelle query della dashboard

Quando crei una query per un grafico o configuri un filtro della dashboard, devi selezionare il prefisso corrispondente all'origine dati di destinazione e applicarlo a ogni campo della query.

Identifica il prefisso richiesto per l'origine dati

Prima di scrivere la query, identifica il prefisso YARA-L richiesto e l'intervallo di tempo della query supportato per l'origine dati. Se non utilizzi il prefisso obbligatorio, la query restituisce un errore o non restituisce i dati previsti.

Le dashboard includono le seguenti origini dati, ciascuna con il proprio limite di tempo per le query e il prefisso YARA-L:

Origine dati Intervallo di tempo della query Prefisso YARA-L Schema Esempi di dashboard
Cronologia della richiesta 365 giorni case_history Campi (SOAR) | Modello Esempi
Casi e avvisi 365 giorni case Campi (SOAR) | Modello Esempi
Tabelle dati Nessun limite di tempo autonomo (regolato dall'origine dati unita) % Definito dall'utente Esempi
Rilevamenti 365 giorni detection Campi | Modello Esempi
Grafico entità 365 giorni graph Campi | Modello Esempi
Eventi 90 giorni no prefix Campi (UDM) | Modello Esempi
Metriche di importazione 365 giorni ingestion Campi | Modello Esempi
IoCs 365 giorni ioc Campi | Modello Esempi
Playbook 365 giorni playbook Campi (SOAR) | Modello Esempi
Set di regole 365 giorni ruleset Campi | Modello Esempi
Regole Nessun limite di tempo rules Campi | Modello Esempi
Agente di triage e indagine 365 giorni gemini_investigation, gemini_investigation_feedback Campi | Modello Esempi

Applica le regole di sintassi dei prefissi alla query

Applica il formato del prefisso appropriato quando scrivi una query YARA-L nell'editor di query del grafico o configuri un filtro della dashboard:

  1. Per Eventi (nelle query dei grafici YARA-L e nei filtri di base della dashboard), inserisci il nome del campo Unified Data Model (UDM) direttamente senza prefisso (ad esempio, metadata.event_type = "USER_LOGIN").
  2. Per le origini dati con prefisso (ad esempio Casi e avvisi, Rilevamenti o Metriche di importazione, nelle query dei grafici YARA-L e nei filtri di base della dashboard), anteponi il prefisso dell'origine dati seguito da un punto a ogni nome campo (ad esempio, case.priority = "PRIORITY_HIGH" per Casi e avvisi o detection.detection.rule_name per Rilevamenti).
  3. Per le tabelle di dati (nelle query dei grafici YARA-L e nelle query dinamiche nei filtri avanzati), anteponi un segno di percentuale (%) seguito dal nome della tabella di dati e un punto prima del nome della colonna (ad esempio, %allowlist.ip). I filtri di base della dashboard (Field to filter) non sono supportati per le tabelle di dati.

Esempi e informazioni di riferimento

Utilizza i seguenti esempi di query e riferimenti allo schema per creare query YARA-L per i grafici della dashboard.

Query sugli eventi senza prefisso

La seguente query cerca i dati degli eventi UDM senza prefisso:

metadata.event_type = "USER_LOGIN"
security_result.action = "BLOCK"

match:
  principal.user.userid

outcome:
  $failed_logins = count(metadata.id)

Query su casi e avvisi con un prefisso

La seguente query cerca richieste e avvisi utilizzando il prefisso case:

case.incident = true
case.priority = "PRIORITY_HIGH"

match:
  case.status

outcome:
  $open_cases = count(case.name)

Query delle tabelle di dati con un prefisso con il segno di percentuale (%)

La seguente query filtra gli eventi di accesso UDM unendoli a una tabella di dati personalizzati (%example_table) utilizzando il prefisso %:

metadata.event_type = "USER_LOGIN"
security_result.action = "ALLOW"
principal.user.userid = %example_table.uid

match:
  principal.user.userid

outcome:
  $login_count = count(metadata.id)

Modelli e schemi di query aggiuntivi

Per modelli di query completi, dizionari dei campi ed esempi aggiuntivi per ogni origine dati supportata, consulta la libreria di query della dashboard YARA-L 2.0.

Risoluzione dei problemi

Questa sezione descrive i limiti della piattaforma e fornisce correzioni self-service per i problemi comuni relativi alle query della dashboard.

Latenza e limiti

Quando crei i grafici della dashboard, tieni presente i seguenti limiti di servizio e di conservazione dei dati:

  • Limiti di righe: per impostazione predefinita, le query dei grafici restituiscono un massimo di 1000 righe. Per le query della dashboard personalizzata, puoi aumentare questo limite fino a 10.000 righe aggiungendo la sezione limit alla query YARA-L. Le query della dashboard selezionata non supportano i limiti di righe personalizzati.
  • Intervalli di tempo delle query: ogni origine dati applica un intervallo di tempo massimo per le query: 90 giorni per Eventi, 365 giorni per tutte le altre origini dati con prefisso (ad eccezione di Regole) e nessun limite di tempo per Regole (che filtra in base al timestamp di creazione della regola rules.create_time). Le Tabelle dati non hanno un limite di tempo autonomo; se vengono interrogate con un'altra origine dati, viene applicato l'intervallo di tempo di quest'ultima.
  • Dati storici di SOAR: le dashboard supportano l'esecuzione di query sui dati dei case SOAR generati a partire dal 10 maggio 2025.

Correzione degli errori

Utilizza la tabella seguente per risolvere i problemi comuni durante l'esecuzione di query sulle origini dati della dashboard:

Problema Descrizione Correggi
Errore di compilazione o campo non riconosciuto La query fa riferimento a un campo di un'origine dati non relativa agli eventi (ad esempio priority o rule_name) senza il prefisso richiesto. Anteponi il prefisso dell'origine dati richiesto e un punto al nome del campo (ad esempio, case.priority o detection.detection.rule_name).
Risultati del grafico vuoti per le regole attive Un grafico che esegue query sullo schema rules non restituisce risultati quando l'intervallo di tempo è impostato su una finestra recente (ad esempio gli ultimi 365 giorni). Poiché lo schema rules mappa la finestra temporale del grafico su rules.create_time, imposta l'intervallo di tempo del grafico sul limite massimo disponibile (ad esempio 10 anni o più) per includere le regole attive create in precedenza.
Dati delle richieste SOAR mancanti per date precedenti Le query che utilizzano i prefissi case, case_history o playbook non restituiscono record precedenti a maggio 2025. Limita l'intervallo di tempo della query della dashboard alle date a partire dal 10 maggio 2025.

Convalida e test

Per verificare che la query utilizzi il prefisso corretto e restituisca i dati prima di salvare un grafico, apri la pagina Modifica dashboard per aggiungere o modificare un grafico, inserisci la query YARA-L nell'editor di query del grafico, seleziona un intervallo di tempo all'interno dell'intervallo supportato dell'origine dati e fai clic su Esegui ricerca. Prima di fare clic su Aggiungi alla dashboard, verifica che l'anteprima tabellare venga compilata con le colonne previste.

Passaggi successivi

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.