管理属性元数据

支持范围：

本文档介绍了如何使用属性元数据来更改系统呈现事件字段的方式以及这些字段显示的类别，例如案例概览 > 事件字段和实体屏幕 > 丰富字段。例如，您可以配置属性元数据，以便系统将以 VT_ 前缀开头的所有事件或丰富字段分组到 VirusTotal 类别中。

您可以在创建元数据属性后对其进行验证。 

添加房源元数据

如需添加属性元数据，请按以下步骤操作：

  1. 依次前往设置 > 调查 > 属性元数据。
  2. 点击 添加。
  3. 添加以下必填信息：
    • 系统名称：原始字段的名称。
    • 显示名称：字段在屏幕上的显示方式。
    • 组名称：字段所在的组或类别的名称。
    • 前缀：用于对多个字段进行分组的前缀。
    • 剪裁前缀：从字段名称中移除前缀。
      例如，如果您定义并剪裁 VT_ 前缀，系统会将 VT_department 显示为部门。
    • 已显示：在页面上显示该字段。
    • 已突出显示：在页面的突出显示部分中显示该字段。
  4. 点击添加。

验证属性元数据

您可以通过两种方式验证属性元数据，具体取决于您是否使用了前缀。

在没有前缀的情况下进行验证

如需验证不带前缀的属性元数据，请按以下步骤操作：

  1. 为不带前缀的特定字段添加属性元数据，然后点击 添加。
  2. 依次前往支持请求 > 提醒事件标签页。
  3. 点击查看更多。Category File（类别文件）会显示在侧边抽屉式导航栏中。

使用前缀进行验证

如需使用前缀验证属性元数据，请按以下步骤操作：

  1. 为多个字段（包括 VT_ 前缀）添加属性元数据，然后点击保存。
  2. 在案例概览或提醒概览标签页中，前往案例 > 实体重要信息 widget。
  3. 点击某个实体，打开实体详情页面。

使用场景

本部分介绍了一些应用场景，展示了系统在管理和显示案例内事件方面的灵活性。

设置事件在案例中的默认显示方式

在 Google SecOps 中，案例包含一部分提醒。这些提醒可让您访问事件，其中包括描述事件的特定字段。如需对此进行测试，请创建一个新支持请求：
  1. 依次选择案例 > 添加 > 模拟案例。
  2. 在您首选的环境中创建新的检测到恶意软件支持请求。如果您没有其他用例，请使用默认环境。
  3. 在案例说明中，选择发现病毒提醒，然后选择事件标签页。系统会显示一个事件，名称同样为发现病毒。
  4. 点击发现病毒事件，查看字段列表。
  5. 滚动找到与活动日期相关的字段。

修改事件在案例中的显示方式

您可以修改事件外观、重命名字段并对其进行分组。 如需修改事件的外观，您需要更新属性元数据。 以下示例介绍了将以下字段重新配置为以西班牙语显示的步骤。
  1. 打开一个新的浏览器标签页，然后依次点击设置 > 调查 > 属性元数据。
  2. 点击添加添加，然后根据下表重新定义显示名称字段值。

  3. 重新配置以下字段，使其以西班牙语显示：

    • date_hour
    • date_mday
    • date_minute
    • date_month
    • date_second
    • date_wday
    • date_year
    • date_zone

    从下列选项中选择一项：

    • 已显示：在活动说明中显示该字段。
    • 已突出显示：将字段移至专门的突出显示字段组。
    系统名称 显示名称 群组名称 显示 高亮显示
    date_hour Hora Fecha del evento 是 是
    date_mday Día del mes Fecha del evento 是 否
    date_minute Minuto Fecha del evento 是 是
    date_month Mes Fecha del evento 是 否
    date_second Segunda Fecha del evento 否 否
    date_wday Día de la semana Fecha del evento 否 否
    date_year Año Fecha del evento 否 否
    date_zone Zona horaria Fecha del evento 是 否



需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。