地图和模型提醒

支持：

本文档介绍了如何为事件映射和建模提醒。 默认情况下，系统不会映射和建模提醒，而这是正确分析安全数据的必要步骤。此流程在 Google Security Operations 平台的映射和建模部分中进行。

映射活动

以下使用情形概述了如何映射事件：

  1. 在案例界面中的活动标签页中，选择一个活动，然后依次点击 设置 活动配置。
  2. 依次选择建模 地图和建模。对于此使用情形，请使用预定义的系列 MailRelayOrTAP 映射您的数据，以用于电子邮件监控事件。

了解映射层次结构

您可以在以下三个级别之一配置映射和建模。映射是从上往下继承的，因此您在较高级别应用的任何映射都会自动应用于其下的所有级别。

  • 来源：您之前提供的来源的名称，该来源注入了数据并创建了提醒。例如，您的来源可能名为 Email Connector。在此级别，您只需映射 Time 字段，该字段在所有阶段中都是通用的。如果您现在执行映射，后续阶段（产品 -“邮件”和事件 -“可疑电子邮件”）会自动沿用相同的映射。
  • 产品：产品是指从特定来源（例如邮件）提取数据的应用。例如，单个连接器可以从多个来源注入数据。如果您在此级别进行映射，所有后续事件都会沿用相同的映射。
  • 事件：这是您之前定义的 event_name，例如可疑电子邮件。在本例中，事件就是电子邮件本身。
  • 对于此使用情形，请在 Product 级层映射所有相关字段，并将每个字段分配给代码中的相应字段。
目标字段 字段值 提取的字段 转换函数
DestinationUserName event["destinationUserName"] TO_STRING收到电子邮件的人员的电子邮件地址。
SourceUserName event["sourceUserName"] EXTRACT_BY_REGEX 格式：

[\w\.-]+@[\w\.-]+
 发送电子邮件的人员的电子邮件地址
EmailSubject event["subject"] TO_STRING 电子邮件主题
DestinationURL event["found_url"] TO_STRING 在电子邮件正文中找到的网址
StartTime event["startTime"] FROM_UNIXTIME_STRING_OR_LONG 收到电子邮件的开始时间。
EndTime event["endTime"] FROM_UNIXTIME_STRING_OR_LONG 收到电子邮件的结束时间。

模拟和查看已映射的提醒

映射完案例后，模拟提醒以查看映射结果，如下所示：

  1. 在提醒的概览标签页上，点击 更多，然后选择将提醒作为测试用例提取。 新的模拟提醒会显示为支持请求队列中的支持请求。所有模拟的案例都会在案例名称旁边标记 Test。
  2. 依次点击 more_vert 更多 > 显示结果，即可查看每个已映射的电子邮件消息实参。
  3. 可选：点击探索，以直观呈现这些实体及其关系。
  4. 完成连接器映射和建模后，启用连接器以开始自动提取提醒：
    1. 前往连接器页面。
    2. 点击切换开关，将其切换到开启位置
    3. 点击保存。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。