Filtre dados na pesquisa de registos não processados

Compatível com:

Google secops SIEM

A pesquisa de registos não processados permite-lhe examinar os registos não processados. Quando executa uma pesquisa, o Google Security Operations examina primeiro os dados de segurança que foram carregados e analisados. Se não encontrar as informações que procura, pode usar a pesquisa de registos não processados para examinar os registos não processados.

Use a pesquisa de registos não processados para investigar artefactos que aparecem nos registos, mas não são indexados, incluindo:

• Nomes de utilizadores
• Nomes de ficheiros
• Chaves de registo
• Argumentos da linha de comandos
• Dados não processados relacionados com pedidos HTTP
• Nomes de domínios baseados em expressões regulares
• Nomes e moradas de recursos

Para usar a pesquisa de registos não processados no Google SecOps, faça o seguinte:

1. Na barra de pesquisa, introduza a string de pesquisa ou as expressões regulares e, de seguida, clique em Pesquisar.

2. No menu, selecione Pesquisa de registos não processados para apresentar as opções de pesquisa.

3. Especifique a Hora de início e a Hora de fim (a predefinição é 1 semana) e clique em Pesquisar.

   A vista Pesquisa de registos não processados apresenta eventos de dados não processados. Pode filtrar os resultados por DNS, Webproxy, EDR e Alert.

   Nota: estes filtros não se aplicam a tipos de eventos, como GENERIC, EMAIL e USER.

   Pode usar expressões regulares para pesquisar e encontrar conjuntos de strings de carateres nos seus dados de segurança através do Google SecOps. As expressões regulares permitem restringir a pesquisa através de fragmentos de informações, em vez de usar um nome de domínio completo, por exemplo.

   As seguintes opções de filtragem processual estão disponíveis na vista Pesquisa de registos não processados:

   • Tipo de evento do produto

     Nota: existem inconsistências conhecidas entre a forma como os eventos são apresentados nas visualizações na página Raw Log Search antiga da consola SecOps:
     ● Visualização Raw Log:
        apresenta o Event type com base no valor event_log_type não processado.
        Por exemplo FILE_COPY.
     ● Vista Campos de eventos da UDM:
        apresenta o campo metadata.event_type com base no valor event_log_type.
        Por exemplo FILE_COPY.
     ● Vista de filtragem processual:
        apresenta o campo Tipo de evento com base no valor network.application_protocol.
        Por exemplo DNS.
     

   • Origem do registo

   • Estado da ligação de rede

   • TLD

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.