대시보드 데이터 소스 및 필드 접두사

다음에서 지원:

이 가이드는 Google Security Operations 대시보드에서 커스텀 차트와 필터를 만들 때 다양한 데이터 소스를 쿼리하려는 보안 분석가와 대시보드 작성자를 대상으로 합니다. 지원되는 각 데이터 소스에 필요한 YARA-L 필드 프리픽스를 식별하고, 쿼리 시간 간격을 준수하고, 유효한 차트 쿼리를 작성하는 방법을 설명합니다. 이 안내를 따르면 쿼리 컴파일 오류와 빈 차트 결과를 방지할 수 있습니다. 정확한 대시보드 구성은 보안 원격 분석, 감지 효과, SOAR 작업에 대한 안정적인 가시성을 제공합니다.

주요 용어

  • YARA-L 필드 프리픽스: 쿼리가 타겟팅하는 기본 Google Security Operations 데이터 소스를 지정하는 필드 이름 (예: case., detection., ingestion.) 앞에 추가되는 한정자입니다.
  • 통합 데이터 모델 (UDM): 원시 보안 이벤트 원격 분석을 구조화하고 정규화하는 표준 Google Security Operations 스키마입니다. UDM 이벤트 데이터에 대한 쿼리는 필드 프리픽스를 사용하지 않습니다.
  • 데이터 테이블 (%): 테이블 이름 앞에 퍼센트 기호 (%)를 추가하여 YARA-L 쿼리에서 참조하는 Google Security Operations의 사용자 정의 표 형식 데이터 세트입니다.

일반적인 사용 사례

다음 사용 사례는 대시보드 작성자가 Google Security Operations 데이터 소스 전반에 YARA-L 필드 프리픽스를 적용하는 방법을 보여줍니다.

운영 SOAR 및 감지 차트 빌드

  • 목표: case, playbook, detection 프리픽스를 사용하여 시간 경과에 따른 미해결 SOAR 케이스, 플레이북 실행 측정항목 또는 규칙 감지를 추적하는 커스텀 대시보드 차트를 만듭니다.
  • 가치: 통합 운영 대시보드에서 SIEM 이벤트 원격 분석과 함께 사고 대응 및 감지 실적 측정항목을 중앙 집중화합니다.

데이터 소스 전반에서 대시보드 필터 구성

  • 목표: 필수 필드 접두사를 지정하여 특정 데이터 소스를 타겟팅하는 대시보드 수준 필터를 정의합니다.
  • 값: 분석가가 개별 YARA-L 차트 쿼리를 수정하지 않고도 대시보드에서 여러 차트를 동적으로 필터링할 수 있습니다.

시작하기 전에

대시보드 차트 및 필터를 만들거나 수정하기 전에 다음 요구사항을 확인하세요.

  • 권한: 대시보드에서 차트와 필터를 추가하거나 수정하려면 chronicle.nativeDashboards.update IAM 권한이 있어야 합니다. 대시보드 권한 및 액세스 제어에 대한 자세한 내용은 대시보드에서 차트 관리 및 대시보드 액세스 제어를 참고하세요.
  • 데이터 RBAC 고려사항: 기본 차트 데이터에 대한 액세스 권한은 사용자 역할에 대해 구성된 데이터 역할 기반 액세스 제어 (데이터 RBAC) 정책에 따라 달라집니다. 자세한 내용은 데이터 RBAC의 영향을 참조하세요.

대시보드 쿼리에서 YARA-L 필드 접두사 선택 및 적용

차트 쿼리를 빌드하거나 대시보드 필터를 구성할 때는 대상 데이터 소스에 해당하는 프리픽스를 선택하고 쿼리의 모든 필드에 적용해야 합니다.

데이터 소스에 필요한 접두사 식별

쿼리를 작성하기 전에 데이터 소스에 필요한 YARA-L 접두사와 지원되는 쿼리 시간 간격을 확인하세요. 필수 프리픽스를 사용하지 않으면 쿼리에서 오류가 반환되거나 예상된 데이터가 반환되지 않습니다.

대시보드에는 다음 데이터 소스가 포함되며, 각 데이터 소스에는 자체 쿼리 시간 제한과 YARA-L 프리픽스가 있습니다.

데이터 소스 쿼리 시간 간격 YARA-L 접두사 스키마 대시보드 예시
케이스 기록 365일 case_history 필드 (SOAR) | 템플릿 예시
케이스 및 알림 365일 case 필드 (SOAR) | 템플릿 예시
데이터 테이블 독립형 시간 제한 없음 (조인된 데이터 소스에 의해 제어됨) % 사용자 정의 예시
감지 365일 detection 필드 | 템플릿 예시
항목 그래프 365일 graph 필드 | 템플릿 예시
이벤트 90일 no prefix 필드 (UDM) | 템플릿 예시
수집 측정항목 365일 ingestion 필드 | 템플릿 예시
IoCs 365일 ioc 필드 | 템플릿 예시
플레이북 365일 playbook 필드 (SOAR) | 템플릿 예시
규칙 집합 365일 ruleset 필드 | 템플릿 예시
규칙 시간 제한 없음 rules 필드 | 템플릿 예시
분류 및 조사 에이전트 365일 gemini_investigation, gemini_investigation_feedback 필드 | 템플릿 예시

쿼리에 접두사 문법 규칙 적용

차트 쿼리 편집기에서 YARA-L 쿼리를 작성하거나 대시보드 필터를 구성할 때 적절한 프리픽스 형식을 적용합니다.

  1. 이벤트 (YARA-L 차트 쿼리 및 기본 대시보드 필터)의 경우 프리픽스 없이 통합 데이터 모델 (UDM) 필드 이름을 직접 입력합니다 (예: metadata.event_type = "USER_LOGIN").
  2. 프리픽스가 지정된 데이터 소스 (예: YARA-L 차트 쿼리 및 기본 대시보드 필터의 케이스 및 알림, 감지 또는 수집 측정항목)의 경우 데이터 소스 프리픽스 뒤에 점을 각 필드 이름에 추가합니다 (예: 케이스 및 알림의 경우 case.priority = "PRIORITY_HIGH", 감지의 경우 detection.detection.rule_name).
  3. 데이터 테이블 (YARA-L 차트 쿼리 및 고급 필터의 동적 쿼리)의 경우 열 이름 앞에 퍼센트 기호 (%), 데이터 테이블 이름, 점을 차례로 추가합니다 (예: %allowlist.ip). 기본 대시보드 필터 (Field to filter)는 데이터 테이블에 지원되지 않습니다.

예시 및 참조 정보

다음 쿼리 예시와 스키마 참조를 사용하여 대시보드 차트의 YARA-L 쿼리를 구성합니다.

프리픽스가 없는 이벤트 쿼리

다음 쿼리는 프리픽스 없이 UDM 이벤트 데이터를 검색합니다.

metadata.event_type = "USER_LOGIN"
security_result.action = "BLOCK"

match:
  principal.user.userid

outcome:
  $failed_logins = count(metadata.id)

프리픽스를 사용한 케이스 및 알림 쿼리

다음 쿼리는 case 접두사를 사용하여 케이스와 알림을 검색합니다.

case.incident = true
case.priority = "PRIORITY_HIGH"

match:
  case.status

outcome:
  $open_cases = count(case.name)

퍼센트 기호 (%) 프리픽스가 있는 데이터 테이블 쿼리

다음 쿼리는 % 프리픽스를 사용하여 커스텀 데이터 테이블 (%example_table)과 조인하여 UDM 로그인 이벤트를 필터링합니다.

metadata.event_type = "USER_LOGIN"
security_result.action = "ALLOW"
principal.user.userid = %example_table.uid

match:
  principal.user.userid

outcome:
  $login_count = count(metadata.id)

추가 쿼리 템플릿 및 스키마

지원되는 모든 데이터 소스의 전체 쿼리 템플릿, 필드 사전, 추가 예시는 YARA-L 2.0 대시보드 쿼리 라이브러리를 참고하세요.

문제 해결

이 섹션에서는 플랫폼 한도를 간략히 설명하고 일반적인 대시보드 쿼리 문제에 대한 셀프 서비스 수정사항을 제공합니다.

지연 시간 및 한도

대시보드 차트를 빌드할 때는 다음 서비스 한도와 데이터 보관 기간 경계를 고려하세요.

  • 행 한도: 기본적으로 차트 쿼리는 최대 1,000개의 행을 반환합니다. 커스텀 대시보드 쿼리의 경우 YARA-L 쿼리에 limit 섹션을 추가하여 이 한도를 최대 10,000개 행까지 늘릴 수 있습니다. 선별된 대시보드 쿼리는 커스텀 행 한도를 지원하지 않습니다.
  • 쿼리 시간 간격: 각 데이터 소스는 최대 쿼리 시간 간격을 적용합니다. 이벤트의 경우 90일, 다른 모든 프리픽스 데이터 소스(규칙 제외)의 경우 365일, 규칙 (규칙 생성 타임스탬프 rules.create_time로 필터링)의 경우 시간 제한이 없습니다. 데이터 테이블에는 독립적인 시간 제한이 없습니다. 다른 데이터 소스와 함께 쿼리하면 해당 데이터 소스의 시간 간격이 적용됩니다.
  • SOAR 이전 데이터: 대시보드에서는 2025년 5월 10일 이후에 생성된 SOAR 케이스 데이터 쿼리를 지원합니다.

오류 해결

대시보드 데이터 소스를 쿼리할 때 발생하는 일반적인 문제를 해결하려면 다음 표를 사용하세요.

문제 설명 해결
인식할 수 없는 필드 또는 컴파일 오류 쿼리가 필수 프리픽스 없이 이벤트 데이터가 아닌 데이터 소스 (예: priority 또는 rule_name)의 필드를 참조합니다. 필드 이름에 필수 데이터 소스 접두사와 점을 추가합니다 (예: case.priority 또는 detection.detection.rule_name).
활성 규칙의 빈 차트 결과 기간이 최근 기간 (예: 지난 365일)으로 설정된 경우 rules 스키마를 쿼리하는 차트에서 결과가 반환되지 않습니다. rules 스키마는 차트 기간을 rules.create_time에 매핑하므로 이전에 생성된 활성 규칙을 포함하려면 차트 기간을 사용 가능한 최대 한도 (예: 10년 이상)로 설정하세요.
이전 날짜의 SOAR 케이스 데이터 누락 case, case_history 또는 playbook 접두사를 사용하는 쿼리는 2025년 5월 이전의 레코드를 반환하지 않습니다. 대시보드 쿼리 기간을 2025년 5월 10일 이후로 제한합니다.

검증 및 테스트

차트를 저장하기 전에 쿼리가 올바른 프리픽스를 사용하고 데이터를 반환하는지 확인하려면 대시보드 수정 페이지를 열어 차트를 추가하거나 수정하고, 차트 쿼리 편집기에 YARA-L 쿼리를 입력하고, 데이터 소스의 지원되는 간격 내에서 기간을 선택하고, 검색 실행을 클릭합니다. 대시보드에 추가를 클릭하기 전에 표 형식 미리보기가 예상 열로 채워져 있는지 확인합니다.

다음 단계

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.