管理屬性中繼資料

支援的服務：

本文說明如何使用屬性中繼資料，變更系統呈現事件欄位的方式，以及事件欄位顯示的類別，例如「案件總覽」>「事件欄位」和「實體畫面」>「擴充欄位」。舉例來說，您可以設定屬性中繼資料，讓系統將所有以 VT_ 前置字元開頭的事件或擴充欄位，分組到「VirusTotal」VirusTotal類別。

建立中繼資料屬性後，您可以進行驗證。 

新增屬性中繼資料

如要新增屬性中繼資料，請按照下列步驟操作：

  1. 依序前往「設定」>「調查」>「屬性中繼資料」。
  2. 按一下「新增」圖示 。
  3. 新增下列必要資訊：
    • 系統名稱：原始欄位的名稱。
    • 顯示名稱：欄位在畫面上的顯示方式。
    • 群組名稱：欄位顯示的群組或類別名稱。
    • 前置字串：用於將多個欄位分組的前置字串。
    • Trim Prefix：從欄位名稱中移除前置字串。
      舉例來說，如果您定義並修剪 VT_ 前置字元，系統會將 VT_department 顯示為部門。
    • 顯示：在頁面上顯示欄位。
    • 醒目顯示：在頁面的「醒目顯示」部分顯示欄位。
  4. 按一下「 新增」。

驗證屬性中繼資料

你可以透過兩種方式驗證屬性中繼資料，具體取決於是否使用前置字元。

驗證時不使用前置字元

如要驗證不含前置字串的屬性中繼資料，請按照下列步驟操作：

  1. 為特定欄位新增屬性中繼資料 (不含前置字元)，然後按一下「Add」。
  2. 依序前往「案件」>「快訊事件」分頁。
  3. 按一下「查看更多」。側邊導覽匣中會顯示「Category File」。

使用前置字串驗證

如要使用前置字元驗證屬性中繼資料，請按照下列步驟操作：

  1. 為多個欄位新增屬性中繼資料，包括 VT_ 前置字元，然後按一下「Save」(儲存)。
  2. 在「案件總覽」或「警告總覽」分頁中，依序前往「案件」>「實體重點」小工具。
  3. 按一下實體，開啟「Entity Details」(實體詳細資料) 頁面。

用途

本節將說明一些用途，展示系統如何靈活管理及顯示案件中的事件。

設定案件中事件的預設顯示方式

在 Google SecOps 中，案件包含一部分的警示。這些快訊可讓您存取事件，包括描述事件的特定欄位。如要測試，請建立新案件：
  1. 依序選取「案件」>「新增」>「模擬案件」。
  2. 在偏好的環境中建立新的「偵測到惡意軟體」案件。如果沒有其他案例，請使用「Default Environment」。
  3. 在案件說明中，選取「Virus Found」快訊，然後選取「Events」分頁標籤。系統會顯示單一事件，名稱同樣是「Virus Found」。
  4. 按一下「Virus Found」事件，查看欄位清單。
  5. 捲動畫面，找出與活動日期相關的欄位。

修改案件中事件的外觀

您可以修改事件外觀、重新命名欄位，以及將欄位分組。 如要修改事件的外觀，請更新屬性中繼資料。以下範例說明如何重新設定下列欄位，使其以西班牙文顯示。
  1. 開啟新的瀏覽器分頁，然後依序點選「設定」>「調查」>「屬性中繼資料」。
  2. 按一下「新增」，然後根據下表重新定義「顯示名稱」欄位值。

  3. 重新設定下列欄位，以西班牙文顯示：

    • date_hour
    • date_mday
    • date_minute
    • date_month
    • date_second
    • date_wday
    • date_year
    • date_zone

    選取下列選項之一：

    • 顯示：在活動說明中顯示欄位。
    • 醒目顯示：將欄位移至醒目顯示欄位的專屬群組。
    系統名稱 顯示名稱 群組名稱 顯示 醒目顯示
    date_hour Hora Fecha del evento 是 是
    date_mday Día del mes Fecha del evento 是 否
    date_minute Minuto Fecha del evento 有 是
    date_month Mes Fecha del evento 是 否
    date_second Segunda Fecha del evento 無 無
    date_wday Día de la semana Fecha del evento 無 無
    date_year Año Fecha del evento 無 否
    date_zone Zona horaria Fecha del evento 是 否



還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。