Melakukan penelusuran log mentah

Didukung di:

Google SecOps SIEM

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Operasi Keamanan Google. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat panduan Layanan Dukungan Teknis Google Security Operations dan Persyaratan Khusus Layanan Google Security Operations.

Catatan: Fitur ini mungkin tidak tersedia untuk semua pelanggan di semua wilayah.

Anda dapat menggunakan Google Security Operations untuk menelusuri log mentah di akun Google Security Operations dan mendapatkan konteks yang relevan dengan peristiwa dan entitas terkait.

Penelusuran log mentah menunjukkan korelasi antara peristiwa mentah dan peristiwa UDM yang dihasilkan menggunakan log mentah tersebut. Penelusuran log mentah membantu Anda memahami cara pemisahan dan normalisasi kolom log serta membantu Anda menyelidiki kesenjangan dalam proses normalisasi.

Setelah Anda menyelesaikan penelusuran log mentah, setiap baris log mentah yang cocok akan diganti dengan peristiwa dan entitas yang terdapat dalam baris log. Jumlah peristiwa dan entity yang diekstrak dari setiap baris log dibatasi hingga maksimum 10.

Untuk melakukan penelusuran log mentah, ikuti langkah-langkah berikut:

1. Buka Investigasi > Penelusuran SIEM.

2. Di kolom penelusuran, tambahkan awalan raw = ke penelusuran Anda dan tempatkan istilah penelusuran dalam tanda kutip (misalnya, raw = "example.com").

3. Pilih penelusuran log mentah dari opsi menu. Google Security Operations menemukan log mentah, peristiwa UDM, dan entitas terkait. Anda juga dapat menjalankan penelusuran yang sama (raw = "example.com") dari halaman Penelusuran UDM.

Anda dapat menggunakan filter cepat yang sama dengan yang digunakan untuk menyaring hasil penelusuran UDM. Pilih filter yang ingin diterapkan ke hasil log mentah untuk menyaringnya lebih lanjut.

Mengoptimalkan kueri log mentah

Penelusuran log mentah biasanya lebih lambat daripada penelusuran UDM. Untuk meningkatkan performa penelusuran, batasi jumlah data yang Anda gunakan untuk menjalankan kueri dengan mengubah setelan penelusuran:

• Pemilih rentang waktu: Membatasi rentang waktu data yang digunakan untuk menjalankan kueri.
• Pemilih Sumber Log: Membatasi penelusuran log mentah Anda hanya ke log dari sumber tertentu, bukan semua sumber log Anda. Dari menu Sumber log, pilih satu atau beberapa sumber log (defaultnya adalah semua).
• Ekspresi reguler: Gunakan ekspresi reguler. Misalnya, raw = /goo\w{3}.com/ akan cocok dengan google.com, goodle.com, goog1e.com untuk lebih membatasi cakupan penelusuran log mentah Anda.

Tren dari waktu ke waktu

Gunakan grafik tren untuk memahami distribusi log mentah selama waktu penelusuran Anda. Anda dapat menerapkan filter pada grafik untuk mencari log yang diuraikan dan log mentah.

Hasil log mentah

Saat Anda menjalankan penelusuran log mentah, hasilnya adalah kombinasi peristiwa dan entity UDM yang dihasilkan oleh log mentah yang cocok dengan penelusuran Anda, beserta log mentah. Anda dapat menjelajahi hasil penelusuran lebih lanjut dengan mengklik salah satu hasil:

• Peristiwa atau entitas UDM: Jika Anda mengklik peristiwa atau entitas UDM, Google Security Operations akan menampilkan peristiwa dan entitas terkait, beserta log mentah yang terkait dengan item tersebut.

• Log mentah: Jika Anda mengklik log mentah, Google Security Operations akan menampilkan seluruh baris log mentah, beserta sumber untuk log tersebut.