Fontes de dados do painel e prefixos de campo

Compatível com:

Este guia é destinado a analistas de segurança e criadores de painéis que querem consultar diferentes fontes de dados ao criar gráficos e filtros personalizados nos painéis do Google Security Operations. Ele explica como identificar o prefixo de campo YARA-L necessário para cada fonte de dados compatível, respeitar os intervalos de tempo de consulta e escrever consultas de gráficos válidas. Seguindo estas orientações, você evita erros de compilação de consultas e resultados vazios de gráficos. Configurações precisas de painel fornecem visibilidade confiável da telemetria de segurança, da eficácia da detecção e das operações de SOAR.

Terminologia importante

  • Prefixo de campo YARA-L: um qualificador adicionado ao início de um nome de campo (como case., detection. ou ingestion.) que especifica qual fonte de dados do Google Security Operations é o destino da consulta.
  • Modelo de dados unificado (UDM): o esquema padrão do Google Security Operations que estrutura e normaliza a telemetria de ocorrência de segurança brutas. As consultas em dados de eventos da UDM não usam um prefixo de campo.
  • Tabela de dados (%): um conjunto de dados tabular definido pelo usuário no Google Security Operations que você referencia em consultas YARA-L adicionando um sinal de porcentagem (%) ao nome da tabela.

Casos de uso comuns

Os casos de uso a seguir ilustram como os autores de painéis aplicam prefixos de campo YARA-L em fontes de dados do Google Security Operations.

Criar gráficos operacionais de SOAR e detecção

  • Objetivo: criar gráficos de painel personalizados que rastreiam casos abertos do SOAR, métricas de execução de playbook ou detecções de regras ao longo do tempo usando os prefixos case, playbook e detection.
  • Valor: centraliza as métricas de performance de resposta a incidentes e detecção, além da telemetria de eventos do SIEM, em um painel operacional unificado.

Configurar filtros de painel em várias fontes de dados

  • Objetivo: definir filtros no nível do painel que segmentam fontes de dados específicas, especificando os prefixos de campo necessários.
  • Valor: permite que os analistas filtrem dinamicamente vários gráficos em um painel sem editar consultas individuais de gráficos da YARA-L.

Antes de começar

Antes de criar ou modificar gráficos e filtros do painel, confirme os seguintes requisitos:

  • Permissões: para adicionar ou editar gráficos e filtros em um painel, você precisa ter a permissão chronicle.nativeDashboards.update do IAM. Para mais informações sobre permissões de painel e controle de acesso, consulte Gerenciar gráficos em painéis e Controlar o acesso a painéis.
  • Considerações sobre o RBAC de dados: seu acesso aos dados do gráfico depende das políticas de controle de acesso baseado em papéis de dados (RBAC de dados) configuradas para sua função do usuário. Para mais detalhes, consulte Impacto do RBAC de dados.

Selecionar e aplicar prefixos de campo YARA-L em consultas de painel

Ao criar uma consulta de gráfico ou configurar um filtro de painel, selecione o prefixo que corresponde à fonte de dados de destino e aplique-o a todos os campos da consulta.

Identificar o prefixo necessário para sua fonte de dados

Antes de escrever a consulta, identifique o prefixo YARA-L necessário e o intervalo de tempo de consulta compatível para sua fonte de dados. Se você não usar o prefixo obrigatório, a consulta vai retornar um erro ou não vai retornar os dados esperados.

Os painéis incluem as seguintes fontes de dados, cada uma com o próprio limite de tempo de consulta e prefixo YARA-L:

Fonte de dados Intervalo de tempo da consulta Prefixo YARA-L Esquema Exemplos de painéis
Histórico do caso 365 dias case_history Campos (SOAR) | Modelo Exemplos
Casos e alertas 365 dias case Campos (SOAR) | Modelo Exemplos
Tabela de dados Sem limite de tempo independente (regido pela fonte de dados unida) % Definido pelo usuário Exemplos
Detecções 365 dias detection Campos | Modelo Exemplos
Gráfico de entidade 365 dias graph Campos | Modelo Exemplos
Eventos 90 dias no prefix Campos (UDM) | Modelo Exemplos
Métricas de ingestão 365 dias ingestion Campos | Modelo Exemplos
IoCs 365 dias ioc Campos | Modelo Exemplos
Playbooks 365 dias playbook Campos (SOAR) | Modelo Exemplos
Conjuntos de regras 365 dias ruleset Campos | Modelo Exemplos
Regras Sem limite de tempo rules Campos | Modelo Exemplos
Agente de triagem e investigação 365 dias gemini_investigation, gemini_investigation_feedback Campos | Modelo Exemplos

Aplicar regras de sintaxe de prefixo à consulta

Aplique o formato de prefixo adequado ao escrever uma consulta YARA-L no editor de consultas de gráfico ou ao configurar um filtro de painel:

  1. Para Eventos (em consultas de gráfico YARA-L e filtros básicos de painel), insira o nome do campo do Modelo de Dados Unificado (UDM) diretamente sem um prefixo (por exemplo, metadata.event_type = "USER_LOGIN").
  2. Para fontes de dados com prefixo (como "Casos e alertas", "Detecções" ou "Métricas de ingestão", em consultas de gráficos YARA-L e filtros básicos de painel), adicione o prefixo da fonte de dados seguido de um ponto a cada nome de campo (por exemplo, case.priority = "PRIORITY_HIGH" para "Casos e alertas" ou detection.detection.rule_name para "Detecções").
  3. Para tabelas de dados (em consultas de gráfico YARA-L e consultas dinâmicas em filtros avançados), adicione um sinal de porcentagem (%) seguido pelo nome da tabela de dados e um ponto antes do nome da coluna (por exemplo, %allowlist.ip). Os filtros básicos de painel (Field to filter) não são compatíveis com tabelas de dados.

Exemplos e informações de referência

Use os exemplos de consulta e as referências de esquema a seguir para criar consultas YARA-L para os gráficos do painel.

Consulta de eventos sem um prefixo

A consulta a seguir pesquisa dados de eventos da UDM sem um prefixo:

metadata.event_type = "USER_LOGIN"
security_result.action = "BLOCK"

match:
  principal.user.userid

outcome:
  $failed_logins = count(metadata.id)

Consulta de casos e alertas com um prefixo

A consulta a seguir pesquisa casos e alertas usando o prefixo case:

case.incident = true
case.priority = "PRIORITY_HIGH"

match:
  case.status

outcome:
  $open_cases = count(case.name)

Consulta de tabelas de dados com um prefixo de sinal de porcentagem (%)

A consulta a seguir filtra eventos de login da UDM unindo-os a uma tabela de dados personalizada (%example_table) usando o prefixo %:

metadata.event_type = "USER_LOGIN"
security_result.action = "ALLOW"
principal.user.userid = %example_table.uid

match:
  principal.user.userid

outcome:
  $login_count = count(metadata.id)

Outros modelos e esquemas de consulta

Para ver modelos de consulta completos, dicionários de campos e outros exemplos para cada fonte de dados compatível, consulte a biblioteca de consultas do painel do YARA-L 2.0.

Solução de problemas

Nesta seção, descrevemos os limites da plataforma e fornecemos correções de autoatendimento para problemas comuns de consulta do painel.

Latência e limites

Ao criar gráficos de painel, lembre-se dos seguintes limites de serviço e limites de retenção de dados:

  • Limites de linhas: por padrão, as consultas de gráficos retornam no máximo 1.000 linhas. Para consultas de painel personalizadas, é possível aumentar esse limite para até 10.000 linhas adicionando a seção limit à consulta YARA-L. As consultas de painel selecionadas não aceitam limites de linhas personalizados.
  • Intervalos de tempo de consulta: cada fonte de dados aplica um intervalo de tempo de consulta máximo: 90 dias para Eventos, 365 dias para todas as outras fontes de dados prefixadas (exceto Regras) e sem limite de tempo para Regras (que filtra pelo carimbo de data/hora de criação da regra rules.create_time). As tabelas de dados não têm um limite de tempo independente. Quando consultadas com outra fonte de dados, o intervalo de tempo dessa fonte de dados é aplicado.
  • Dados históricos do SOAR: os painéis permitem consultar dados de casos do SOAR gerados a partir de 10 de maio de 2025.

Correção de erros

Use a tabela a seguir para resolver problemas comuns ao consultar fontes de dados do painel:

Problema Descrição Correção
Campo não reconhecido ou erro de compilação A consulta faz referência a um campo de uma fonte de dados que não é de dados de eventos (como priority ou rule_name) sem o prefixo obrigatório. Adicione o prefixo obrigatório da fonte de dados e um ponto ao nome do campo (por exemplo, case.priority ou detection.detection.rule_name).
Resultados de gráfico vazio para regras ativas Um gráfico que consulta o esquema rules não retorna resultados quando o período é definido como uma janela recente, como os últimos 365 dias. Como o esquema rules mapeia o período do gráfico para rules.create_time, defina o período do gráfico como o limite máximo disponível (como mais de 10 anos) para incluir regras ativas criadas anteriormente.
Dados de caso do SOAR ausentes para datas mais antigas As consultas que usam os prefixos case, case_history ou playbook não retornam registros anteriores a maio de 2025. Restrinja o período da consulta do painel para datas a partir de 10 de maio de 2025.

Validação e teste

Para verificar se a consulta usa o prefixo correto e retorna dados antes de salvar um gráfico, abra a página Editar painel para adicionar ou editar um gráfico, insira a consulta YARA-L no editor de consultas de gráfico, selecione um período dentro do intervalo compatível com a fonte de dados e clique em Executar pesquisa. Confirme se a prévia tabular é preenchida com as colunas esperadas antes de clicar em Adicionar ao painel.

A seguir

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.