資訊主頁資料來源和欄位前置字元
本指南適用於資安分析師和資訊主頁作者，說明如何在 Google Security Operations 資訊主頁建立自訂圖表和篩選器時，查詢不同的資料來源。說明如何找出各個支援資料來源所需的 YARA-L 欄位前置字元、遵守查詢時間間隔，以及編寫有效的圖表查詢。按照這項指引操作，即可避免查詢編譯錯誤和圖表結果空白。準確的資訊主頁設定可提供可靠的安全性遙測、偵測效力和 SOAR 作業可視性。
重要術語
- YARA-L 欄位前置字元：加在欄位名稱前方的限定符 (例如
case.、detection.或ingestion.)，用於指定查詢目標的基礎 Google Security Operations 資料來源。 - 統合式資料模型 (UDM)：標準 Google Security Operations 結構定義，可建構及正規化原始安全性事件遙測資料。針對 UDM 事件資料的查詢不使用欄位前置字元。
- 資料表 (
%)：Google Security Operations 中使用者定義的表格資料集，您可以在 YARA-L 查詢中參照該資料集，方法是在資料表名稱前加上百分比符號 (%)。
常見用途
以下應用情境說明資訊主頁作者如何在 Google Security Operations 資料來源中套用 YARA-L 欄位前置字元。
建立 SOAR 作業和偵測圖表
- 目標：使用
case、playbook和detection前置字元，建立自訂資訊主頁圖表，追蹤開放的 SOAR 案件、應對手冊執行指標或規則偵測。 - 價值：在統一的營運資訊主頁中，集中管理事件應變和偵測成效指標，以及 SIEM 事件遙測資料。
設定跨資料來源的資訊主頁篩選器
- 目標：定義資訊主頁層級篩選器，指定必要欄位前置字元，指定特定資料來源。
- 值：分析師可動態篩選資訊主頁中的多個圖表，不必編輯個別 YARA-L 圖表查詢。
事前準備
建立或修改資訊主頁圖表和篩選器前，請確認符合下列需求：
- 權限：如要在資訊主頁中新增或編輯圖表和篩選器，您必須具備
chronicle.nativeDashboards.updateIAM 權限。如要進一步瞭解資訊主頁權限和存取控管，請參閱「管理資訊主頁中的圖表」和「控管資訊主頁的存取權」。 - 資料 RBAC 注意事項：您對基礎圖表資料的存取權，取決於為使用者角色設定的資料角色式存取控管 (資料 RBAC) 政策。詳情請參閱「資料 RBAC 的影響」。
在資訊主頁查詢中選取並套用 YARA-L 欄位前置字元
建立圖表查詢或設定資訊主頁篩選器時，請務必選取與目標資料來源對應的前置字元，並套用至查詢中的每個欄位。
找出資料來源所需的前置字串
編寫查詢前，請先找出資料來源所需的 YARA-L 前置字元和支援的查詢時間間隔。如果未使用必要前置字元，查詢會傳回錯誤，或無法傳回預期資料。
資訊主頁包含下列資料來源，每個資料來源都有專屬的查詢時間限制和 YARA-L 前置字元：
| 資料來源 | 查詢時間間隔 | YARA-L 前置字串 | 結構定義 | 資訊主頁範例 |
|---|---|---|---|---|
| 客服案件歷史記錄 | 365 天 | case_history |
欄位 (SOAR) | 範本 | 範例 |
| 案件和警告 | 365 天 | case |
欄位 (SOAR) | 範本 | 範例 |
| 資料表 | 沒有獨立的時間限制 (由已加入的資料來源控管) | % |
使用者定義 | 範例 |
| 偵測項目 | 365 天 | detection |
欄位 | 範本 | 範例 |
| 實體圖形 | 365 天 | graph |
欄位 | 範本 | 範例 |
| 活動 | 90 天 | no prefix |
欄位 (UDM) | 範本 | 範例 |
| 擷取指標 | 365 天 | ingestion |
欄位 | 範本 | 範例 |
| 入侵指標 | 365 天 | ioc |
欄位 | 範本 | 範例 |
| 應對手冊 | 365 天 | playbook |
欄位 (SOAR) | 範本 | 範例 |
| 規則集 | 365 天 | ruleset |
欄位 | 範本 | 範例 |
| 規則 | 沒有時間限制 | rules |
欄位 | 範本 | 範例 |
| 分類與調查代理 | 365 天 | gemini_investigation、gemini_investigation_feedback |
欄位 | 範本 | 範例 |
在查詢中套用前置字元語法規則
在圖表查詢編輯器中編寫 YARA-L 查詢，或設定資訊主頁篩選器時，請套用適當的前置字元格式：
- 如果是「事件」 (在 YARA-L 圖表查詢和基本資訊主頁篩選器中)，請直接輸入 Unified Data Model (UDM) 欄位名稱，不加前置字元 (例如
metadata.event_type = "USER_LOGIN")。 - 如果是前置資料來源 (例如 YARA-L 圖表查詢和基本資訊主頁篩選器中的案件和快訊、偵測或擷取指標)，請在每個欄位名稱前加上資料來源前置字元，後面加上點號 (例如案件和快訊為
case.priority = "PRIORITY_HIGH"，偵測為detection.detection.rule_name)。 - 如果是「資料表」 (在 YARA-L 圖表查詢和進階篩選器中的動態查詢)，請在資料表名稱前加上百分比符號 (
%)，並在資料欄名稱前加上半形句號 (例如%allowlist.ip)。資料表不支援基本資訊主頁篩選器 (Field to filter)。
範例和參考資訊
請參考下列查詢範例和結構定義，為資訊主頁圖表建構 YARA-L 查詢。
不含前置字元的事件查詢
下列查詢會搜尋沒有前置字元的 UDM 事件資料：
metadata.event_type = "USER_LOGIN"
security_result.action = "BLOCK"
match:
principal.user.userid
outcome:
$failed_logins = count(metadata.id)
使用前置字串查詢案件和警示
下列查詢會使用 case 前置字串搜尋案件和快訊：
case.incident = true
case.priority = "PRIORITY_HIGH"
match:
case.status
outcome:
$open_cases = count(case.name)
以百分比符號 (%) 前置字串查詢資料表
下列查詢會使用 % 前置字串，將 UDM 登入事件與自訂資料表 (%example_table) 彙整，藉此篩選 UDM 登入事件：
metadata.event_type = "USER_LOGIN"
security_result.action = "ALLOW"
principal.user.userid = %example_table.uid
match:
principal.user.userid
outcome:
$login_count = count(metadata.id)
其他查詢範本和結構定義
如需完整的查詢範本、欄位字典，以及每個支援資料來源的其他範例，請參閱 YARA-L 2.0 資訊主頁查詢庫。
疑難排解
本節將概述平台限制，並提供常見資訊主頁查詢問題的自助修正方法。
延遲時間和限制
建立資訊主頁圖表時，請注意下列服務限制和資料保留期限：
- 列數限制：圖表查詢預設最多會傳回 1,000 列。如果是自訂資訊主頁查詢，您可以在 YARA-L 查詢中新增
limit區段，將這項限制提高至 10,000 列。精選資訊主頁查詢不支援自訂資料列限制。 - 查詢時間間隔：每個資料來源都會強制執行查詢時間間隔上限：事件為 90 天，所有其他前置資料來源 (規則除外) 為 365 天，規則則沒有時間限制 (依規則建立時間戳記
rules.create_time篩選)。資料表沒有獨立的時間限制；與其他資料來源一起查詢時，系統會套用該資料來源的時間間隔。 - SOAR 歷來資料：資訊主頁支援查詢 2025 年 5 月 10 日當天或之後產生的 SOAR 案件資料。
錯誤修正
查詢資訊主頁資料來源時，請參考下表解決常見問題：
| 問題 | 說明 | 修正 |
|---|---|---|
| 無法辨識的欄位或編譯錯誤 | 查詢參照非事件資料來源 (例如 priority 或 rule_name) 的欄位，但缺少必要的前置字元。 |
在欄位名稱前面加上必要的資料來源前置字元和半形句號 (例如 case.priority 或 detection.detection.rule_name)。 |
| 有效規則的空白圖表結果 | 如果將日期範圍設為近期 (例如過去 365 天)，查詢 rules 結構定義的圖表不會傳回任何結果。 |
由於 rules 結構定義會將圖表時間範圍對應至 rules.create_time，因此請將圖表日期範圍設為最大可用限制 (例如 10 年以上)，納入先前建立的有效規則。 |
| 缺少較早日期的 SOAR 案件資料 | 使用 case、case_history 或 playbook 前置字元的查詢不會傳回 2025 年 5 月之前的記錄。 |
將資訊主頁查詢日期範圍限制在 2025 年 5 月 10 日當天或之後。 |
驗證與測試
如要確認查詢使用正確的前置字元並傳回資料，請先開啟「編輯資訊主頁」頁面，新增或編輯圖表，在圖表查詢編輯器中輸入 YARA-L 查詢，選取資料來源支援的時間範圍，然後按一下「執行搜尋」，再儲存圖表。確認表格預覽畫面中填入預期的資料欄，然後按一下「Add to Dashboard」(新增至資訊主頁)。
後續步驟
還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。