Cerca richieste ed entità

Supportato in:

La funzione Ricerca SOAR ti aiuta a individuare rapidamente richieste o entità specifiche in Google Security Operations. Google SecOps conserva record dettagliati di tutte le richieste e le entità nel tuo ambiente, consentendo un rapido accesso ai dati di indagine pertinenti.

Supporta ricerche di testo libero e basate su campi in tutti i dati indicizzati nell'ultimo anno, inclusi metadati delle richieste, avvisi, eventi, porte e sequenze temporali delle richieste. Puoi cercare richieste o entità.

Puoi anche cercare le richieste utilizzando la funzionalità di ricerca SIEM. Per saperne di più, consulta Cerca richieste e cronologia delle richieste.

Esplora le opzioni di Ricerca SOAR

Puoi cercare richieste o entità dall'interfaccia Ricerca SOAR, utilizzando i filtri per perfezionare i risultati ed eseguire azioni su una o più richieste.

Cerca richieste

Per impostazione predefinita, il menu accanto alla barra di ricerca principale è impostato per la ricerca delle richieste. Ogni risultato include dettagli come avvisi, entità, approfondimenti e attività della bacheca delle richieste associati.

Per cercare le richieste:

  1. Vai a Indagine > Ricerca SOAR.
  2. Inserisci i criteri di ricerca:
    • Ricerca di testo libero: nella barra di ricerca principale, inserisci parole chiave o frasi correlate alla richiesta.
    • Ricerca basata su campi: utilizza i filtri dei campi disponibili per perfezionare la ricerca in base a criteri specifici, ad esempio:
      • CaseIds
      • TicketIds
      • Ports
      • AlertName
  3. Seleziona l'intervallo di tempo appropriato utilizzando il selettore della data accanto alla barra di ricerca.
  4. Fai clic su una richiesta per visualizzare maggiori dettagli, generare report o eseguire azioni.

Esempi di ricerche di richieste

  • Esegui una query per caseids:180,181 per restituire dati di richieste specifici. Fai clic su un ID per accedere alla schermata Dettagli richiesta.
  • Esegui una query per Ports:663,770: per restituire tutti gli avvisi che includono queste porte.
  • Esegui una query per Entity:10.210.1.13 per restituire tutte le richieste che hanno questo indirizzo IP 10.210.1.13 come entità.
  • Esegui una query per AlertName:IRC Connections per restituire tutte le richieste con un nome di avviso corrispondente.

Cerca entità

Ogni entità nei risultati di ricerca include il tipo di entità, il livello di rischio, località, ambiente e conteggio delle richieste. Un'entità può essere associata a più richieste.

Per cercare le entità:

  1. Vai a Indagine > Ricerca SOAR.
  2. Nel menu accanto alla barra di ricerca, seleziona Entità.
  3. Inserisci i criteri di ricerca:
    • Ricerca di testo libero: nella barra di ricerca principale, inserisci parole chiave o frasi correlate all'entità.
    • Ricerca basata su campi: utilizza i filtri dei campi disponibili per perfezionare la ricerca in base a criteri specifici, ad esempio Contiene o È uguale a
  4. Fai clic su un'entità nei risultati per visualizzare il contesto, le richieste correlate e il log dell'entità.

Esempi di ricerca per entità

  • Quando esegui una ricerca per Entità, puoi utilizzare la ricerca di testo libero. Ad esempio, una ricerca di testo libero per Chronicle restituisce tutte le entità che contengono questa parola. I risultati di ricerca mostrano i dettagli chiave di ogni entità, tra cui: Rischio, Località, Ambiente e conteggio delle richieste.
  • Fai clic sulla singola entità per accedere alla pagina Dettagli entità per ulteriori informazioni.

Utilizza i filtri per perfezionare i risultati di ricerca

I filtri ti consentono di restringere i risultati di ricerca selezionando attributi specifici.

Per utilizzare i filtri, fai clic su Applica per aggiornare i risultati o su Cancella per reimpostare i filtri sui valori predefiniti.

Cerca filtri delle richieste

Quando cerchi le richieste, puoi filtrare in base a:

  • Stato: seleziona le opzioni Aperta e Chiusa in base alle esigenze. Questa selezione restituisce richieste aperte, chiuse o entrambi i tipi di richieste.
  • Ambiente: filtra in base ad ambienti specifici.
  • Tag: filtra in base ai tag assegnati alle richieste.
  • Utenti assegnati: seleziona gli utenti di sistema richiesti a cui sono assegnate le richieste.
  • Risultati categoria: filtra in base ai risultati assegnati alle richieste.
  • Porte: filtra in base alle porte di origine e di destinazione coinvolte nelle richieste.
  • Prodotti: filtra in base ai prodotti integrati.
  • Origine richiesta: filtra in base all'origine delle richieste.
  • Fase richiesta: filtra in base alle fasi della richiesta in base alla metodologia SOC.
  • Tipi di avviso: filtra in base ai tipi di avviso associati alle richieste.
  • Priorità: filtra in base alle priorità richieste assegnate alle richieste.
  • Importanza: filtra per mostrare le richieste contrassegnate come importanti (True) o meno (False).
  • È un incidente: filtra per mostrare le richieste contrassegnate come incidenti (True) o meno (False).

Cerca filtri delle entità

Se cerchi entità, puoi filtrare i risultati in base ai seguenti criteri:

  • Reti: filtra in base alle reti organizzative richieste di le entità.
  • Ambienti: filtra in base agli ambienti richiesti correlati alle le entità.
  • Tipo: filtra in base al tipo di entità.
  • È sospetta: filtra per mostrare le richieste contrassegnate come sospette (True) o meno (False).
  • È interna: filtra per mostrare le entità interne o esterne (True) o meno (False).
  • È arricchita: filtra per mostrare le entità arricchite dal sistema (True) o meno (False).

Esegui azioni sulle richieste

Puoi eseguire azioni singole o collettive sulle richieste selezionate direttamente dai risultati di ricerca.

  1. Nei risultati di ricerca, seleziona la casella di controllo accanto a una o più richieste.
  2. Fai clic su lists Menu e scegli un'azione:
    • Esporta in CSV: scarica i dati delle richieste selezionate come file CSV.
    • Chiudi richiesta: chiude le richieste aperte selezionate.
    • Riapri richiesta: riapre le richieste chiuse selezionate.
    • Modifica priorità: modifica la priorità delle richieste aperte selezionate.
    • Assegna richiesta: riassegna le richieste aperte selezionate a un altro utente.
    • Aggiungi tag: aggiunge tag alle richieste aperte selezionate.
    • Unisci richieste: unisce le richieste selezionate in una richiesta principale.
    • Modifica fase: aggiorna la fase corrente delle richieste selezionate.


Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.