此页面由 Cloud Translation API 翻译。

使用“原始日志扫描”功能搜索原始日志

支持的平台：

Google SecOps SIEM

当您进行搜索时，Google 安全运维团队会先检查已提取、解析和规范化的安全数据。如果您在规范化数据中找不到您要搜索的信息，则可以使用 RAW 日志扫描来检查未解析的原始日志。您还可以使用正则表达式更仔细地检查原始日志。

您可以使用“原始日志扫描”功能来调查日志中有日志但尚未编入索引的工件，具体包括：

原始日志扫描

如需使用原始日志扫描，请在着陆页或菜单栏中的搜索字段中输入搜索字符串（例如，MD5 哈希）。至少输入 4 个字符（包括通配符）。如果 Google 安全运营团队找不到搜索字符串，则会打开原始日志扫描选项。指定开始时间和结束时间（默认为 1 周），然后点击搜索。

从着陆页扫描原始日志

系统会显示与搜索字符串关联的事件。点击箭头按钮即可打开关联的原始日志。

您也可以点击“日志来源”下拉菜单，然后选择要发送到 Google Security Operations 以搜索的一个或多个数据源。默认设置为全部。

您可以使用正则表达式在 Google Security Operations 中搜索和匹配安全数据中的字符串集。与使用完整的域名（例如）相反，正则表达式可让您使用信息片段来缩小搜索范围。

如需使用正则表达式语法执行搜索，请在搜索字段中输入正则表达式，勾选以正则表达式形式运行查询复选框，然后点击搜索。正则表达式的长度必须介于 4 到 66 个字符之间。

原始日志扫描作为正则表达式运行

Google 安全运营团队的正则表达式基础架构基于 Google RE2（一个开源正则表达式引擎）。Google 安全运营团队使用相同的正则表达式语法。如需了解详情，请参阅 RE2 文档。

下表突出显示了可用于搜索的一些常见正则表达式语法。

以下示例说明了如何使用此语法来搜索数据：

本部分提供了可与 Google Security Operations 原始日志扫描搭配使用的正则表达式查询字符串，以便查找通常受监控的 Windows 事件。这些示例假设 Windows 日志消息采用 JSON 格式。

如需详细了解受监控的 Windows 事件 ID，请参阅 Microsoft 文档中的要监控的事件主题。提供的示例遵循这些使用场景中所述的类似模式。

用例：返回事件 ID 为 1150 或 1151 且 ThreatID 9092 的事件
正则表达式字符串	(?:\"EventID\"\:\s)(?:1150\|1151).(?:\"ThreadID\"\:\s*9092)
匹配的值	"EventID":1150 <...任意数量的字符...> "ThreadID":9092 and "EventID":1151 <...任意数量的字符...glt; "ThreadID":9092

这些正则表达式查询字符串通过 EventID 特性标识常见的账号管理事件。

这些正则表达式查询字符串使用 EventID 和 LogonType 特性标识成功登录事件的类型。

这些正则表达式查询字符串通过 EventID 和 LogonType 特性标识成功登录事件的类型。

这些正则表达式查询字符串通过 EventID 特性标识某些进程和服务事件。

这些正则表达式查询字符串通过 EventID 特性标识不同类型的进程和服务相关事件。