UDM 検索の期間を使用してクエリを管理する

以下でサポートされています。

Google Security Operations では、アカウントに保存されているエンタープライズ データを最大 1 年間検索できます。また、複数の UDM 検索クエリを実行し、後でそれらのクエリの結果を取得して共有できるツールも多数用意されています。

UDM を使用して最大 1 年間のデータを確認する

UDM 検索は、最大 1 年間の UDM データに対して実行できます。UDM 検索の期間を調整する手順は次のとおりです。

  1. [調査] > [SIEM 検索] に移動します。
  2. 時間選択ツールのフィールドをクリックして、時間選択ツールのダイアログを開きます。
  3. [範囲] タブ（デフォルトのタブ）で、[直近 5 分間]～ [昨年] のいずれかのオプションを選択して期間を調整します。
  4. [開始] フィールドと [終了] フィールドを使用して、より具体的な期間（11 月の最初の 2 週間など）を選択します。
  5. 03:00 や 08:30 など、特定の開始時間と終了時間を選択して時間を調整します。
  6. [適用]、[検索を実行] の順にクリックします。

同時実行検索を実行して検索クエリを管理する

同時実行の検索と保存された結果を使用するには、検索履歴機能が有効になっている必要があります。検索履歴がオンになっていることを確認するには、次の手順を行います。

  1. [調査] > [SIEM 検索] に移動します。

  2. [履歴] をクリックします。[検索履歴が無効になっています] というメッセージが表示された場合は、次のステップに進みます。このメッセージが表示されない場合は、アカウントで検索履歴がすでに有効になっています。

  3. more_vert をクリックし、[検索履歴を有効にする] を選択します。

検索クエリを管理する

複数の UDM 検索を実行したり、以前のクエリ検索結果を取得したり、クエリ結果をチームの他のメンバーと共有したりできます。

  • 複数の UDM 検索を実行する: 検索クエリの処理中に、クエリエディタで追加の検索を実行できます。Google Security Operations は、以前の検索の実行を継続し、新しい検索を並行して実行します。

  • クエリ結果を表示する: クエリ履歴をスクロールして、クエリの実行から 24 時間以内の検索結果を選択します。[履歴] をクリックし、リストからクエリを選択します。

    進行中のクエリには、円形のステータス アイコンが表示されます。完了したクエリには、緑色のチェックマーク アイコンと、クエリによって返されたイベント数を示すカウンタが表示されます。完了したクエリをクリックして結果を表示します。これらの結果はキャッシュに保存され、クエリの実行時に利用可能なデータのみが含まれます。ただし、[ キャッシュに保存済み ] [再実行] をクリックすると、最新のデータに対してクエリを実行できます。この新しい実行は検索履歴に追加され、クエリが完了すると結果が利用可能になります。

  • クエリ結果を共有する: クエリ結果の URL をコピーして、他のユーザーと共有します。

    検索結果が保存されると、検索を実行したユーザーの RBAC スコープも一緒に保存されます。これらの結果を別のユーザーが表示すると、閲覧者の RBAC スコープが保存されているスコープと比較されます。閲覧者のスコープがより制限されている場合は、エラーが表示され、結果を表示できません。

    保存された検索結果は、クエリの実行後 24 時間で期限切れになります。ただし、検索クエリは [履歴] ペインで引き続きご利用いただけます。検索を再実行できます。結果は、クエリの実行時間から最大 24 時間利用できます。