ダッシュボードのデータソースとフィールドの接頭辞

以下でサポートされています。

このガイドは、Google Security Operations ダッシュボードでカスタムグラフとフィルタを作成する際に、さまざまなデータソースに対してクエリを実行するセキュリティ アナリストとダッシュボード作成者を対象としています。サポートされている各データソースに必要な YARA-L フィールド接頭辞を特定する方法、クエリの時間間隔を考慮する方法、有効なグラフクエリを作成する方法について説明します。このガイダンスに沿って操作すると、クエリのコンパイル エラーや空のグラフ結果を回避できます。ダッシュボードを正確に構成すると、セキュリティ テレメトリー、検出の有効性、SOAR オペレーションを確実に可視化できます。

主な用語

  • YARA-L フィールド接頭辞: クエリのターゲットとなる基盤となる Google Security Operations データソースを指定する、フィールド名の前に付加される修飾子（case.、detection.、ingestion. など）。
  • 統合データモデル（UDM）: 未加工のセキュリティ イベント テレメトリーを構造化して正規化する標準の Google Security Operations スキーマ。UDM イベントデータに対するクエリでは、フィールド接頭辞は使用されません。
  • データテーブル（%）: Google Security Operations のユーザー定義の表形式データセット。YARA-L クエリで参照するには、テーブル名の前にパーセント記号（%）を付けます。

一般的なユースケース

次のユースケースは、ダッシュボード作成者が Google Security Operations データソース全体に YARA-L フィールド接頭辞を適用する方法を示しています。

運用 SOAR と検出グラフを作成する

  • 目的: case、playbook、detection 接頭辞を使用して、オープンな SOAR ケース、ハンドブックの実行指標、ルールの検出を時系列で追跡するカスタム ダッシュボード グラフを作成します。
  • 価値: インシデント対応と検出パフォーマンスの指標を SIEM イベント テレメトリーとともに、統合された運用ダッシュボードに一元化します。

データソース間でダッシュボード フィルタを構成する

  • 目的: 必要なフィールド接頭辞を指定して、特定のデータソースをターゲットとするダッシュボード レベルのフィルタを定義します。
  • 値: アナリストは、個々の YARA-L グラフクエリを編集することなく、ダッシュボードの複数のグラフを動的にフィルタできます。

始める前に

ダッシュボードのグラフとフィルタを作成または変更する前に、次の要件を満たしていることを確認します。

  • 権限: ダッシュボードでグラフやフィルタを追加または編集するには、chronicle.nativeDashboards.update IAM 権限が必要です。ダッシュボードの権限とアクセス制御の詳細については、ダッシュボードでグラフを管理するとダッシュボードへのアクセスを制御するをご覧ください。
  • データ RBAC の考慮事項: 基盤となるグラフデータへのアクセスは、ユーザーロールに構成されているデータ ロールベース アクセス制御（データ RBAC）ポリシーによって異なります。詳細については、データ RBAC の影響をご覧ください。

ダッシュボード クエリで YARA-L フィールド接頭辞を選択して適用する

グラフクエリを作成するか、ダッシュボード フィルタを構成するときは、ターゲット データソースに対応する接頭辞を選択し、クエリ内のすべてのフィールドに適用する必要があります。

データソースに必要な接頭辞を特定する

クエリを作成する前に、データソースに必要な YARA-L 接頭辞とサポートされているクエリの時間間隔を特定します。必要な接頭辞を使用しない場合、クエリはエラーを返すか、期待されるデータを返しません。

ダッシュボードには次のデータソースが含まれています。各データソースには、独自のクエリ時間制限と YARA-L 接頭辞があります。

データソース クエリの時間間隔 YARA-L 接頭辞 スキーマ ダッシュボードの例
ケース履歴 365 日 case_history フィールド（SOAR） | テンプレート 例
ケースとアラート 365 日 case フィールド（SOAR） | テンプレート 例
データテーブル 単独の時間制限なし（結合されたデータソースによって制御される） % ユーザー定義 例
検出 365 日 detection フィールド | テンプレート 例
エンティティ グラフ 365 日 graph フィールド | テンプレート 例
イベント 90 日 no prefix フィールド（UDM） | テンプレート 例
Ingestion metrics 365 日 ingestion フィールド | テンプレート 例
IOC 365 日 ioc フィールド | テンプレート 例
ハンドブック 365 日 playbook フィールド（SOAR） | テンプレート 例
ルールセット 365 日 ruleset フィールド | テンプレート 例
ルール 時間制限なし rules フィールド | テンプレート 例
トリアージと調査のためのエージェント 365 日 gemini_investigation、gemini_investigation_feedback フィールド | テンプレート 例

クエリに接頭辞構文ルールを適用する

グラフクエリ エディタで YARA-L クエリを記述する場合、またはダッシュボード フィルタを構成する場合は、適切なプレフィックス形式を適用します。

  1. [イベント]（YARA-L グラフクエリと基本的なダッシュボード フィルタ）に、接頭辞なしで統合データモデル（UDM）フィールド名を直接入力します（例: metadata.event_type = "USER_LOGIN"）。
  2. 接頭辞付きのデータソース（YARA-L グラフクエリと基本ダッシュボード フィルタのケースとアラート、検出、取り込み指標など）の場合は、各フィールド名の前にデータソースの接頭辞とドットを追加します（たとえば、ケースとアラートの場合は case.priority = "PRIORITY_HIGH"、検出の場合は detection.detection.rule_name）。
  3. データテーブル（YARA-L グラフクエリと高度なフィルタの動的クエリ）の場合は、パーセント記号（%）の後にデータテーブル名とドットを付けて、列名の前に付加します（例: %allowlist.ip）。データテーブルでは、基本的なダッシュボード フィルタ（Field to filter）はサポートされていません。

例と参考情報

次のクエリの例とスキーマ リファレンスを使用して、ダッシュボード グラフの YARA-L クエリを作成します。

接頭辞のないイベントクエリ

次のクエリは、接頭辞なしで UDM イベントデータを検索します。

metadata.event_type = "USER_LOGIN"
security_result.action = "BLOCK"

match:
  principal.user.userid

outcome:
  $failed_logins = count(metadata.id)

接頭辞によるケースとアラートのクエリ

次のクエリは、case 接頭辞を使用してケースとアラートを検索します。

case.incident = true
case.priority = "PRIORITY_HIGH"

match:
  case.status

outcome:
  $open_cases = count(case.name)

パーセント記号（%）を接頭辞として使用するデータテーブル クエリ

次のクエリは、% 接頭辞を使用してカスタム データテーブル（%example_table）と結合することで、UDM ログイン イベントをフィルタします。

metadata.event_type = "USER_LOGIN"
security_result.action = "ALLOW"
principal.user.userid = %example_table.uid

match:
  principal.user.userid

outcome:
  $login_count = count(metadata.id)

追加のクエリ テンプレートとスキーマ

サポートされているすべてのデータソースの完全なクエリ テンプレート、フィールド辞書、その他の例については、YARA-L 2.0 ダッシュボード クエリ ライブラリをご覧ください。

トラブルシューティング

このセクションでは、プラットフォームの制限の概要と、一般的なダッシュボード クエリの問題に対するセルフサービス修正について説明します。

レイテンシと上限

ダッシュボード グラフを作成する際は、次のサービスの上限とデータ保持の境界に注意してください。

  • 行数の上限: デフォルトでは、グラフのクエリは最大 1,000 行を返します。カスタム ダッシュボードのクエリの場合、YARA-L クエリに limit セクションを追加することで、この上限を最大 10,000 行まで引き上げることができます。キュレートされたダッシュボード クエリは、カスタム行制限をサポートしていません。
  • クエリの時間間隔: 各データソースには、クエリの最大時間間隔が適用されます。イベントの場合は 90 日、他のすべての接頭辞付きデータソース（ルールを除く）の場合は 365 日、ルール（ルール作成タイムスタンプ rules.create_time でフィルタリング）の場合は時間制限なしです。データテーブルには、スタンドアロンの時間制限はありません。別のデータソースでクエリを実行すると、そのデータソースの時間間隔が適用されます。
  • SOAR の過去のデータ: ダッシュボードでは、2025 年 5 月 10 日以降に生成された SOAR ケースデータのクエリがサポートされています。

エラーの修正

次の表を使用して、ダッシュボード データソースのクエリ時に発生する一般的な問題を解決します。

問題 説明 修正
認識できないフィールドまたはコンパイル エラー クエリが、必須の接頭辞なしでイベント以外のデータソース（priority や rule_name など）のフィールドを参照している。 必要なデータソースの接頭辞とドットをフィールド名の先頭に付けます（例: case.priority、detection.detection.rule_name）。
有効なルールのグラフ結果が空 rules スキーマにクエリを実行するグラフで、期間が最近の期間（過去 365 日間など）に設定されている場合、結果が返されません。 rules スキーマはグラフの期間を rules.create_time にマッピングするため、グラフの期間を最大利用可能上限（10 年以上など）に設定して、以前に作成されたアクティブなルールを含めます。
古い日付の SOAR ケースデータが欠落している case、case_history、playbook の接頭辞を使用するクエリは、2025 年 5 月より前のレコードを返しません。 ダッシュボードのクエリの期間を 2025 年 5 月 10 日以降の日付に制限します。

検証とテスト

クエリが正しい接頭辞を使用し、グラフを保存する前にデータを返すことを確認するには、[ダッシュボードを編集] ページを開いてグラフを追加または編集し、グラフクエリエディタに YARA-L クエリを入力して、データソースのサポートされている間隔内の期間を選択し、[検索を実行] をクリックします。[ダッシュボードに追加] をクリックする前に、表形式のプレビューに想定される列が表示されていることを確認します。

次のステップ

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。