Filtrar dados na visualização de verificação de registros brutos
A verificação de registro bruto permite examinar os registros brutos não analisados. Quando você executa uma pesquisa, o Google Security Operations primeiro examina os dados de segurança que foram ingeridos e analisados. Se as informações que você está procurando não forem encontradas, use a verificação de registro bruto para examinar os registros brutos não analisados. Você também pode usar expressões regulares para examinar melhor os registros brutos.
Use a verificação de registro bruto para investigar artefatos que aparecem nos registros, mas não são indexados, incluindo:
- Nomes de usuário
- Nomes de arquivos
- Chaves de registro
- Argumentos de linha de comando
- Dados brutos relacionados à solicitação HTTP
- Nomes de domínio com base em expressões regulares
- Nomes e endereços dos recursos
Para usar a Análise de registro bruto no Google Security Operations, siga estas etapas:
Digite uma string de pesquisa na barra de pesquisa da página de destino ou na barra de menu na parte de cima da interface do usuário do Google Security Operations. Clique em PESQUISAR.
Selecione Verificação de registro bruto no menu. O Google Security Operations abre as opções de verificação de registro bruto.
Especifique o horário de início e de término (o padrão é 1 semana) e clique em PESQUISAR.
Na visualização Pesquisa de registro bruto, os filtros são baseados em um conjunto limitado de eventos, como DNS, Webproxy, EDR e Alerta. Os filtros não incluem informações sobre outros tipos de eventos, como GERAL, EMAIL e USUÁRIO. A visualização de verificação de registros brutos é exibida.
Você pode usar expressões regulares para pesquisar e corresponder conjuntos de strings de caracteres nos seus dados de segurança usando as Operações de Segurança do Google. As expressões regulares permitem restringir a pesquisa usando fragmentos de informações, em vez de usar um nome de domínio completo, por exemplo.
As seguintes opções de filtragem procedural estão disponíveis na visualização de verificação de registros brutos:
- TIPO DE EVENTO
- ORIGEM DO REGISTRO
- STATUS DA CONEXÃO DE REDE
- TLD