方法指南

进行调查

• 登录 Google Security Operations

  访问 Google Security Operations 应用。

• 查看信息中心

  查看 Google Security Operations 信息中心，以直观呈现您的企业的当前安全状态。

• 调查资产

  使用资源的主机名开始调查。

• 资源命名空间

  使用资源的命名空间开始调查。

• 调查 IP 地址

  使用 IP 地址开始调查。

• 调查网域

  使用域名开始调查。

• 调查用户

  使用用户信息（例如用户名或电子邮件地址）开始调查。

• 调查文件

  使用文件名或文件哈希值等文件信息开始调查。

• 搜索原始日志

  使用正则表达式关键字搜索原始日志开始调查。

过滤搜索结果

• 过程过滤概览

  使用过程过滤可缩小调查中返回的结果。

• 在“用户”视图中过滤数据

  通过在“用户”视图中缩小搜索结果的范围，集中精力调查。

• 在“规则检测”视图中过滤数据

  通过过滤“规则检测”视图中显示的检测结果来集中调查。

• 在“资产”视图中过滤数据

  在“资产”视图中缩小搜索结果的范围，集中精力调查。

• 在“网域”视图中过滤数据

  通过缩小“网域”视图中的搜索结果来缩小调查范围。

• 在“IP 地址”视图中过滤数据

  通过在“IP 地址”视图中缩小搜索结果范围，您可以重点调查。

• 在“哈希”视图中过滤数据

  通过在“哈希”视图中缩小搜索结果的范围，集中精力调查。

• 在“原始日志扫描”视图中过滤数据

  缩小原始日志搜索返回的搜索结果，集中调查。

使用规则监控事件

• 使用规则信息中心查看规则

  在规则信息中心内查看所有规则的状态。

• 针对历史数据运行规则

  使用 Retrohunt 针对历史数据运行现有规则。

• 查看旧版规则

  查看旧版规则。

• 使用规则编辑器管理规则

  使用规则编辑器创建和修改规则。

安装 Google Security Operations 转发器

• 在 Windows 上安装 Google Security Operations 转发器

  在 Microsoft Windows 上安装并运行 Google 安全运营转发器。

• 在 Linux 上安装 Google Security Operations 转发器

  在 Linux 环境中安装并运行 Google Security Operations 转发器。

使用统一数据模型

• 将事件格式设置为 UDM

  将原始日志事件转换为 Google Security Operations 统一数据模型 (UDM)。