אחזור יומני Python גולמיים
במאמר הזה מוסבר איך להשתמש בנקודת הקצה /api/external/v1/logging/python עם מסננים כדי לאחזר רק את נתוני היומן שאתם צריכים. במאמר מופיעה סקירה כללית של מסננים ספציפיים וכלליים של Google Security Operations, וגם דוגמאות לשאילתות לתרחישי שימוש נפוצים.
פרטים על /api/external/v1/logging/python ונקודות קצה אחרות של API מופיעים במסמכי התיעוד של Swagger שמותאמים לשפה שלכם.
סינון כדי לאחזר פרטים ספציפיים
אפשר להשתמש בשני סוגים של מסננים: מסננים ספציפיים ל-Google SecOps ומסננים כלליים.
מסננים ספציפיים ל-Google SecOps
-
labels.integration_name -
labels.integration_instance -
labels.integration_version -
labels.connector_name -
labels.connector_instance -
labels.action_name -
labels.job_name -
labels.correlation_id
מסננים כלליים של Google SecOps
מידע נוסף על מסנני יומן מובנים מופיע במאמר יצירת שאילתות באמצעות שפת השאילתות של Logging.
דוגמאות למסננים נפוצים
אתם יכולים להשתמש בדוגמאות שבקטע הזה כדי לאחזר מידע ספציפי.
גרסת השילוב
כדי לאחזר יומנים של גרסה ספציפית של שילוב, משתמשים במסננים הבאים:
labels.integration_name="INTEGRATION_NAME"AND labels.integration_version="INTEGRATION_NUMBER"
labels.integration_name="Exchange" AND labels.integration_version="19"
מופע שילוב
כדי לאחזר יומנים של מופע שילוב ספציפי, משתמשים במסנן הבא:
labels.integration_instance="INTEGRATION_NAME"labels.integration_instance="GoogleAlertCenter_1"
כל המחברים
כדי לאחזר יומנים של כל המחברים, משתמשים במסנן הבא עם הביטוי הרגולרי:
labels.connector_name=~"^."
מחבר ספציפי
כדי לאחזר יומנים של מחבר ספציפי, משתמשים במסנן הבא:
labels.connector_name="CONNECTOR_NAME"labels.connector_name="Exchange Mail Connector v2 with Oauth Authentication"
כל המשרות
כדי לאחזר יומנים של כל העבודות, משתמשים במסנן הבא עם הביטוי הרגולרי:
labels.job_name=~"^."
משרה ספציפית
כדי לאחזר יומנים של משימה ספציפית, משתמשים במסנן הבא:
labels.job_name="JOB_NAME"labels.job_name="Cases Collector"
כל הפעולות
כדי לאחזר יומנים של כל הפעולות, משתמשים במסנן הבא עם הביטוי הרגולרי:
labels.action_name=~"^."
פעולה ספציפית
כדי לאחזר יומנים לפעולה ספציפית, משתמשים במסנן הבא:
labels.action_name="ACTION_NAME"labels.action_name="Enrich Entities"
פעולות שנכשלו
כדי לאחזר יומנים של פעולה שנכשלה, משתמשים במסננים הבאים ביחד:
labels.action_name="ACTION_NAME" AND SEARCH("Result Value: False")labels.action_name="Enrich Entities" AND SEARCH("Result Value: False")
חיפוש
אפשר להשתמש באופרטור SEARCH לחיפושים של טקסט חופשי ולסינון לפי תוויות ספציפיות. הוא מאפשר לכם לחפש מילות מפתח, ביטויים או ערכים בשדות שונים של רשומות היומן, כולל תוויות. החיפוש מתבצע בכמה שדות ברשומה ביומן, ולכן הוא שימושי למציאת רשומות שמכילות טקסט ספציפי בכל אחד מהשדות. אפשר להשתמש באופרטור לחיפושים שרגישים לאותיות רישיות או לחיפושים שלא רגישים לאותיות רישיות.
כדי לבצע חיפוש, משתמשים במסנן הבא:
SEARCH("FREE_TEXT")לדוגמה:
SEARCH("Result Value: False") מחפש את הביטוי המדויק Result Value: False בכל שדה ברשומה ביומן.
לדוגמה:
SEARCH("Find my CASE SensiTive stRing") מבצע חיפוש תלוי אותיות רישיות של הביטוי Find my CASE SensiTive stRing.
טקסט ספציפי של ההודעה
משתמשים במסנן textPayload כדי לחפש בשדה textPayload של רשומת היומן, שהוא הגוף העיקרי של הודעת היומן. האפשרות הזו שימושית לסינון על סמך תוכן הטקסט בפועל של ההודעה ביומן.
כדי לאחזר יומנים של הודעה ספציפית, משתמשים במסנן הבא:
textPayload=~"FREE_TEXT"textPayload=~"Invalid JSON payload" מחפש רשומות ביומן שבהן המטען הייעודי (payload) מכיל את הביטוי Invalid JSON payload.
משימת איסוף של Siemplify Cases
כדי לאחזר יומנים של שגיאות בכלי לאיסוף בקשות, משתמשים במסננים הבאים ביחד:
textPayload=~(\\".\*----Cases Collector DB started---\*\\") AND severity>="Error"
שגיאות בחיבור לשרת
כדי לאחזר יומנים של שגיאות בשרת, משתמשים במסנן הבא:
textPayload=~"Internal Server Error"
מזהה קורלציה
כדי לאחזר יומנים של מזהה קורלציה, משתמשים במסנן הבא:
labels.correlation_id="CORRELATION_ID"labels.correlation_id="e4a0b1f4afeb43e5ab89dafb5c815fa7"
מסנן חותמות זמן
כדי לאחזר יומנים, צריך להשתמש בחותמות זמן בפורמט RFC 3339 או ISO 8601. בביטויי שאילתות, חותמות זמן בפורמט RFC 3339 יכולות לציין אזור זמן עם Z או ±hh:mm. כל חותמות הזמן מדויקות עד לרמת הננו-שנייה.
מידע נוסף זמין במאמר ערכים והמרות.
כדי לאחזר יומנים חדשים יותר מחותמת זמן ספציפית (UTC), משתמשים במסנן הבא:
timestamp>="ISO_8601_format"timestamp>="2023-12-02T21:28:23.045Z"
כדי לאחזר יומנים של יום מסוים, משתמשים במסננים הבאים ביחד:
timestamp>="YYYY-MM-DD"AND timestamp<"YYYY-MM-DD"
timestamp>="2023-12-01" AND timestamp<"2023-12-03"
הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.