在“哈希”视图中过滤数据

支持的平台：

Google SecOps SIEM

“哈希”视图允许您根据文件的哈希值来搜索和调查文件。

打开“哈希”视图

您可以通过以下方式打开“哈希”视图：

• 直接搜索文件哈希值
• 在“资产”视图中查看基于进程或基于文件的事件时，切换到“哈希”视图

直接搜索文件哈希值

如需直接打开“哈希”视图，请执行以下操作：

1. 在 Google Security Operations 搜索字段中输入哈希值。点击搜索。

2. 从哈希菜单中选择哈希值。即会显示“哈希”视图。

从“资产”视图导航到“哈希”视图

您也可以在调查“资产”视图中的资产时转到“哈希”视图。

1. 搜索资产并在“资产”视图中查看。即会显示“资产”视图。

2. 在左侧的时间轴标签页中，滚动到 进程或文件修改，例如 PROCESS_LAUNCH。

   注意：如果您无法在“事件”列中找到 PROCESS_LAUNCH，请将左上角的开始日期更改为当前日期的前几天。此外，将右上角的“时间”滑块滑动到“1 天”。此操作将刷新时间轴面板并显示其他必需事件。

3. 展开文件可查看详细信息并进行调查。

4. 您可以在以下位置打开文件的哈希视图： 素材资源视图。即会显示“哈希”视图。

“哈希”视图中的“过滤”选项

“哈希”视图中提供了以下“过程过滤”选项：

• 资产
• 事件类型
• 日志源
• PID
• 进程名称