Mengonfigurasi filter dasbor

Didukung di:

Dokumen ini menjelaskan cara menerapkan filter ke kolom sumber data untuk menyaring data yang ditampilkan dalam diagram yang berlaku.

Tambahkan filter

Untuk menambahkan filter, lakukan langkah-langkah berikut:

  1. Di halaman Edit Dasbor, klik Filter untuk menambahkan filter.

  2. Di jendela Kelola filter, klik Tambahkan untuk menambahkan filter baru.

  3. Di kolom Kolom yang akan difilter, masukkan kolom yang ingin Anda gunakan untuk memfilter data. Untuk mengetahui informasi selengkapnya tentang sumber data dan kolom yang didukung, lihat Sumber data yang didukung.

  4. Di kolom Nama filter, masukkan nama untuk filter.

  5. Di kolom Terapkan ke, pilih diagram tempat filter harus diterapkan.

  6. Opsional: Tetapkan nilai default untuk filter.

  7. Klik Selesai untuk menambahkan filter dan menutup jendela Kelola filter.

Pemfilteran lanjutan

Google Security Operations menyediakan Pemfilteran Lanjutan dalam platform dasbor bawaannya. Tidak seperti filter dasar, yang terikat pada kolom tertentu, filter lanjutan beroperasi sebagai variabel kueri, yang juga dikenal sebagai token. Kemampuan ini memungkinkan analis keamanan menyuntikkan nilai dinamis, ekspresi reguler yang kompleks, atau logika boolean langsung ke kueri YARA-L saat runtime.

Fitur utama

  • Pemfilteran Fleksibel: Gunakan satu input filter (misalnya, $token$) untuk memfilter secara bersamaan berdasarkan beberapa kolom di beberapa diagram dalam dasbor.
  • Opsi Dropdown Dinamis: Isi pilihan filter secara dinamis menggunakan hasil kueri YARA-L terpisah. Hal ini memastikan bahwa pengguna selalu memilih dari data terbaru.
  • Pemformatan Fleksibel: Tentukan awalan, akhiran, dan pemisah kustom (misalnya, / untuk ekspresi reguler atau , untuk klausa IN) untuk memformat nilai yang dipilih pengguna sebelum disisipkan ke dalam kueri.
  • Nilai Default: Konfigurasi nilai default untuk memastikan dasbor dimuat dengan data secara langsung dan untuk mendukung Laporan terjadwal otomatis yang tidak memerlukan interaksi pengguna.
  • Dukungan Multi-Pilihan: Memungkinkan pengguna memilih beberapa nilai untuk satu token, yang digabungkan oleh pemisah yang ditentukan pengguna.

Keamanan dan izin

Pemfilteran lanjutan menggunakan izin Kontrol Akses Berbasis Peran (RBAC) yang ada dan tidak memerlukan izin baru. Izin Identity and Access Management (IAM) berikut relevan:

Izin IAM Tujuan
nativedashboards.update Membuat dan mengonfigurasi Filter Lanjutan dalam dasbor.
nativeDashboards.get Melihat dasbor dan menggunakan kontrol input filter.
dashboardQueries.execute Jalankan kueri akhir yang telah diselesaikan dengan token yang diganti.

Untuk Penerapan RBAC Data, kueri yang digunakan untuk mengisi dropdown dinamis dieksekusi dalam konteks pengguna yang melihat. Hal ini memastikan bahwa pengguna hanya melihat nilai (seperti IP tertentu) yang aksesnya mereka miliki.

Mengonfigurasi dan menggunakan filter lanjutan

Bagian berikut menjelaskan secara mendetail proses penyiapan dan penggunaan filter lanjutan dalam dasbor Google SecOps.

Membuat filter lanjutan baru

Untuk membuat filter lanjutan baru, lakukan langkah berikut:

  1. Buka dialog Kelola Filter di dasbor.
  2. Pilih , lalu Filter Lanjutan sebagai Jenis Filter.
  3. Masukkan Nama Filter (label) dan Variabel Token (misalnya, token).
    • Batasan Sintaksis Variabel Token: Nama Variabel Token hanya mengizinkan karakter alfanumerik dan garis bawah (^[a-zA-Z0-9_]+$).
    • Keunikan: Nama token harus unik. Konflik akan mencegah penyimpanan filter.
  4. Pilih Buat dari Kueri (hasil YARA-L dinamis) atau Entri Manual (daftar statis).
    1. Jika Buat dari Kueri dipilih:
      1. Masukkan kueri dan tentukan Rentang Waktu.
      2. Klik Run Search.
      3. Pilih kolom dari menu drop-down Pilih Kolom.
      4. Pilih nilai dari menu drop-down Preview Filter Dropdown.
    2. Jika Entri manual dipilih, ketik nilai di kolom Entri Manual, lalu klik Tambahkan.
  5. Pilih Awalan dan Akhiran untuk membungkus nilai untuk logika tertentu, seperti ekspresi reguler.
    • Jika token digunakan dalam pembatas ekspresi reguler dalam kueri YARA-L (misalnya, principal.ip = /$token$/), Anda biasanya tidak perlu menentukan Awalan atau Akhiran.
    • Jika token digunakan tanpa pembatas ekspresi reguler, tetapi dimaksudkan untuk berfungsi sebagai ekspresi reguler yang berlabuh (misalnya, principal.ip = $token$), tetapkan Awalan ke /^ dan Akhiran ke $/.
  6. Aktifkan tombol Izinkan Pemilihan Beberapa Opsi untuk menentukan Pemisah (misalnya, | untuk logika ekspresi reguler OR).
  7. Pilih Nilai Default dari menu drop-down.
  8. Centang atau batalkan centang kotak Terapkan Awalan/Akhiran untuk Nilai Default.
  9. Klik Done.

Menggunakan token dalam kueri diagram

Pembuat dasbor harus memasukkan token secara manual, yang diapit dalam simbol $, ke dalam kueri diagram.

Contoh:

  • principal.hostname = $hostname$
  • re.regex(target.ip, $ip_regex$)

Untuk validasi token, banner peringatan berwarna kuning akan ditampilkan jika kueri menggunakan token yang tidak ditentukan. Dalam kasus seperti itu, sistem memperlakukan token sebagai string literal.

Perilaku default saat dimuat

Filter Lanjutan di dasbor Google SecOps beroperasi secara eksklusif melalui penggantian string. Tidak seperti filter standar, sistem tidak menafsirkan logika untuk Anda, tetapi melakukan "cari dan ganti" $token$ Anda dengan nilai yang dipilih sebelum kueri dikompilasi. Kueri berfungsi sebagai template, dan pengguna bertanggung jawab untuk memastikan kueri akhir yang diganti tokennya secara sintaksis sudah benar.

Nilai default dan validitas kueri

Karena sistem tidak otomatis mengabaikan token jika tidak ada input yang diberikan, Anda harus menentukan Nilai Default yang mempertahankan struktur kueri yang valid untuk pemuatan awal dan Laporan Terjadwal.

Berikut adalah contoh konfigurasi Nilai Default yang efektif:

Kasus Penggunaan Konteks Kueri Konfigurasi Nilai Default Logika yang dihasilkan
Pencocokan Persis principal.hostname = $host$ Salah: Membiarkan hasil kosong akan menghasilkan sintaksis yang tidak valid (principal.hostname = ). Benar: Gunakan placeholder yang mempertahankan sintaksis yang valid. Contoh dengan default kosong: Gagal karena principal.hostname = adalah YARA-L yang tidak valid.
Pencocokan Persis principal.hostname = "$host$" Biarkan kosong Berhasil: Dievaluasi menjadi principal.hostname = "", yang tidak menampilkan hasil, tetapi valid secara sintaksis.
Karakter Pengganti (Tampilkan Semua) principal.hostname = /.*$host$.*/ .* Berhasil: Dievaluasi menjadi principal.hostname = /.*/, ekspresi reguler "catch-all" yang menampilkan semua hasil.
Ekspresi Reguler (Tampilkan Semua) principal.hostname = $host$ /.*/ Berhasil: Mengevaluasi ke principal.hostname = /.*/, yang cocok dengan semua nama host.
Jangkar Ekspresi Reguler metadata.product_name = /^$token$$/ .* Berhasil: Dievaluasi menjadi metadata.product_name = /^.*$/ saat dimuat, cocok dengan semua produk.
Bilangan Bulat (Tampilkan Semua) principal.host = $token$ 0 or 1=1 Berhasil: Dievaluasi menjadi principal.host = 0 or 1=1, sehingga menampilkan semua hasil secara efektif.
Bilangan Bulat (Tampilkan Semua) cast.as_string(principal.host) = $token$ /.*/ Berhasil: Dievaluasi menjadi cast.as_string(principal.host) = /.*/, yang cocok dengan semua representasi string bilangan bulat host.
Token pilihan tunggal dengan logika default semua $log = metadata.log_type \n $log = if($log$ = "", metadata.log_type, $log$)\n match: $log Biarkan Kosong (dengan Awalan: ", Akhiran: ") Berhasil: Dengan default kosong, $log menjadi "". Pernyataan if menjadi $log = if("" = "", metadata.log_type, ""), yang disederhanakan menjadi $log = metadata.log_type. Kemudian, kueri akan mencocokkan semua jenis log.
Nilai Default Spesifik Tunggal $et = metadata.event_type \n $et = $et2$ \n match: $et EMAIL_TRANSACTION (dengan Awalan: ", Akhiran: ") Berhasil: Dievaluasi menjadi $et = "EMAIL_TRANSACTION" saat dimuat, membatasi hasil default ke kategori peristiwa tertentu.
Ekspresi Reguler Multi-pilihan $log = metadata.log_type \n $log = $logs$ \n match: $log .* (dengan Awalan: /, Akhiran: /, Pemisah: |) Berhasil: Dievaluasi menjadi $log = /.*/ saat dimuat, cocok dengan semua jenis log. Memilih beberapa nilai (misalnya, DNS, DHCP) akan dievaluasi menjadi $log = /DNS|DHCP/.
Default Selalu Benar (Tampilkan Semua) $et = metadata.event_type \n $et = $et4$ \n match: $et "USER_LOGIN" or 1=1 (dengan Pembatas: " or metadata.event_type = ", Terapkan Awalan/Akhiran untuk Nilai Default: tidak dicentang) Berhasil: Dievaluasi menjadi $et = "USER_LOGIN" or 1=1 saat dimuat, yang cocok dengan semua peristiwa. Memilih opsi tertentu akan menggantikan string dengan klausa kesamaan OR eksplisit.
Penyisipan Klausa Lengkap (Pilihan ganda) $et$ \n $et = metadata.event_type \n match: $et Kosongkan (dengan Awalan: metadata.event_type = ", Akhiran: ", Pembatas: " or metadata.event_type = ", Terapkan Awalan/Akhiran untuk Nilai Default: tidak dicentang) Berhasil: Token itu sendiri menyuntikkan seluruh predikat kolom target. Memilih USER_LOGIN dan NETWORK_DNS akan meluas menjadi metadata.event_type = "USER_LOGIN" or metadata.event_type = "NETWORK_DNS".
Regex Default Catch-All $pet = metadata.product_event_type \n $pet = $pet$ \n match: $pet /.*/ (dengan Awalan: ", Akhiran: ", Terapkan Awalan/Akhiran untuk Nilai Default: tidak dicentang) Berhasil: Dievaluasi menjadi $pet = /.*/ saat dimuat, yang cocok dengan semua jenis peristiwa produk. Memilih nilai tertentu akan menerapkan tanda petik (misalnya, $pet = "USER_LOGIN").

Pertimbangan sintaksis untuk filter lanjutan

Sistem tidak melakukan pelepasan otomatis untuk karakter khusus (seperti tanda petik atau garis miring). Selalu pastikan Awalan, Akhiran, dan Pemisah yang dikonfigurasi sesuai dengan sintaksis bahasa kueri (YARA-L) yang Anda gunakan.

Spesifikasi API

Untuk mengetahui spesifikasi API mendetail, lihat AdvancedFilterConfig.

Mengelola filter waktu global

Filter waktu global berlaku untuk semua diagram, terlepas dari sumber data diagram.

Untuk memilih diagram yang dapat diterapkan filter waktu global, lakukan tindakan berikut:

  1. Di halaman Edit Dasbor, klik Filter untuk menambahkan filter.

  2. Di jendela Kelola filter, pilih Filter waktu global dari daftar filter.

  3. Klik tombol untuk memastikan filter waktu global diaktifkan.

  4. Di kolom Terapkan ke, pilih diagram untuk menerapkan filter waktu global.

  5. Di kolom Tetapkan nilai default, tetapkan rentang waktu untuk melihat data, menggunakan nilai absolut atau relatif.

  6. Klik Selesai untuk mengaktifkan filter dan menutup jendela Kelola Filter.

Menerapkan filter dasbor

Untuk menerapkan filter, lakukan hal berikut:

  1. Di halaman Edit Dasbor, klik Kembali > Filter untuk melihat filter dasbor.

  2. Di jendela Filter dasbor, pilih filter yang Anda buat.

  3. Masukkan nilai untuk kolom yang dipilih.

  4. Klik Terapkan. Diagram yang menerapkan filter akan di-refresh dengan data baru.

Mengubah filter waktu global

Saat Anda membuka dasbor, filter waktu global diterapkan pada diagram yang berlaku dengan rentang waktu default.

Untuk mengubah nilai filter waktu global, lakukan hal berikut:

  1. Klik Jadwalkan.

  2. Dalam dialog Filter Waktu Global, pilih operator past atau between.

  3. Pilih rentang tanggal.

  4. Klik Terapkan. Diagram yang dipilih diperbarui dengan data baru berdasarkan filter waktu global.

Memahami operator Past

Operator past menghitung waktu mulai berdasarkan nilai dan unit yang Anda berikan. Waktu berakhir selalu merupakan waktu saat ini.

Penghitungan waktu mulai bergantung pada unit:

  • Detik, Menit, Jam: Satuan ini menghitung waktu mulai dengan mengurangi jumlah detik, menit, atau jam yang tepat dari stempel waktu saat ini.
  • Hari, Minggu, Bulan, Tahun: Satuan ini menyelaraskan waktu mulai ke awal periode saat ini atau sebelumnya (misalnya, awal hari atau bulan saat ini).

Tabel berikut menunjukkan contoh berdasarkan stempel waktu saat ini 13.13 pada 2 Juli 2025:

Nilai Unit Waktu mulai filter
n Detik 13:13:00 2 Juli 2025 dikurangi n detik
n Menit 13.13.00 2 Juli 2025 dikurangi n menit
n Jam 13.13.00 2 Juli 2025 dikurangi n jam
1 Hari 00.00.00 2 Juli 2025 (awal hari ini)
2 Hari 00.00.00 1 Juli 2025 (awal hari sebelumnya)
1 Minggu 00.00.00 pada hari pertama minggu saat ini. Hari pertama dalam seminggu bergantung pada setelan lokal sistem Anda.
1 Bulan 00.00.00 1 Juli 2025 (awal bulan ini)
2 Bulan 00.00.00 1 Juni 2025 (awal bulan sebelumnya)
1 Tahun 00.00.00 1 Januari 2025 (awal tahun berjalan)
2 Tahun 00.00.00 1 Januari 2024 (awal tahun sebelumnya)

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.