UDM 搜索最佳实践
本文档介绍了 Google 针对使用 UDM Search 进行搜索推荐的最佳实践。如果 UDM 搜索未谨慎构建，则可能需要大量计算资源才能完成。性能还取决于 Google 安全运营实例中数据的大小和复杂程度。
UDM 搜索的基本构建
每个条件都必须采用 udm-field operator value 格式。
例如：principal.hostname = "win-server"。
优化 UDM 搜索的时间范围
请始终尽可能缩小时间范围，只保留必要的信息。Google 安全运维部门可以注入大量数据，因此在执行搜索时限制数据的广度可以显著提高搜索性能。
将正则表达式与 UDM 搜索搭配使用
您可以在执行 UDM 搜索时使用正则表达式：
- 请使用
AND、OR和NOT。 - 如果没有其他运算符，则假定为
AND。 - 使用括号可修改优先级顺序。括号中最多只能使用 169 个逻辑运算符（
OR、AND和NOT）。 - 字段运算符可能包括：
= != >= > < <=
或者，您也可以使用参考列表。
将 nocase 用作搜索修饰符
nocase 可用作修饰符来忽略大小写。
例如，以下搜索无效：
target.user.userid = "TIM.SMITH" nocase
正则表达式不适用于枚举字段
您不能对枚举字段（具有一系列预定义值的字段），例如 metadata.event_type 或 network.ip_protocol，使用正则表达式。
例如，以下搜索无效：
metadata.eventtype = /NETWORK*/
不过，以下搜索是有效的（与上面尝试的搜索大致相同）：
(metadata.event_type = "NETWORK_CONNECTION" or
metadata.event_type = "NETWORK_DHCP")
在“事件”字段中使用 any 和 all 运算符
在 UDM 搜索中，某些字段被标记为重复，这意味着它们是值列表或其他类型的消息。与 YARA-L 不同，默认情况下，UDM 搜索中的重复字段始终使用 any 运算符处理，并且没有在搜索中指定 all 的选项。
使用 any 运算符时，如果重复字段中的任何值满足条件，则谓词的评估结果为 true。例如，如果您搜索 principal.ip != "1.2.3.4"，并且搜索结果中的事件同时包含 principal.ip = "1.2.3.4" 和 principal.ip = "5.6.7.8"，则搜索结果会生成匹配项。这样，搜索范围会扩大到包含与任一运算符匹配的结果，而不是与所有运算符匹配的结果。
重复字段中的每个元素都是单独处理的。如果在搜索结果中的事件中找到重复字段，系统会针对该字段中的每个元素评估事件。这可能会导致意外行为，尤其是在使用 != 运算符进行搜索时。
使用 any 运算符时，如果重复字段中的任何值满足条件，则谓词的评估结果为 true。
时间戳使用 Unix 纪元时间
时间戳字段使用 Unix 纪元时间（自 1970 年 1 月 1 日星期四 00:00:00 以来经过的秒数）进行匹配。
搜索特定时间戳时，以下时间戳（以公元纪年时间表示）有效：
metadata.ingested_timestamp.seconds = 1660784400
以下时间戳无效：
metadata.ingested_timestamp = "2022-08-18T01:00:00Z"
某些字段会从过滤条件中排除，包括：
metadata.idmetadata.product_log_id*.timestamp
由于这些字段通常具有唯一值，因此在 UDM 搜索界面中显示这些字段会产生的“噪声”多于价值。