UDM 搜索

借助 UDM 搜索功能，您可以在 Google Security Operations 实例中查找统一数据模型 (UDM) 事件和提醒。UDM 搜索提供多种搜索选项，可帮助您浏览 UDM 数据。您可以搜索单个 UDM 事件以及与共享搜索字词关联的 UDM 事件组。

对于 Google Security Operations 客户，还可以从connectors和网络钩子提取提醒。您也可以使用 UDM 搜索功能来查找这些提醒。

如需详细了解 UDM，请参阅将日志数据的格式设置为 UDM和统一数据模型字段列表。

使用 UDM 搜索

如需访问 Google Security Operations UDM 搜索，请点击导航栏中的搜索。您也可以在 Google Security Operations 中的任何搜索字段中输入有效的 UDM 字段，然后按 CTRL+Enter 键，以访问 UDM 搜索。

如需查看所有有效 UDM 字段的列表，请参阅统一数据模型字段列表。

图 1. UDM 搜索

图 2. 按 CTRL+Enter 打开的 UDM 搜索窗口

输入 UDM 搜索条件

完成以下步骤，以在 UDM 搜索字段中输入 UDM 搜索。 输入 UDM 搜索条件后，点击运行搜索。Google Security Operations 界面仅允许您输入有效的 UDM 搜索表达式。您还可以通过打开日期范围窗口调整要搜索的数据范围。

如果搜索范围太广，Google Security Operations 会返回一条警告消息，表明它无法显示所有搜索结果。请缩小搜索范围并再次运行。如果搜索范围太广，Google Security Operations 会返回搜索上限（100 万个事件和 1000 个提醒）的最新结果。可能有很多匹配的事件和提醒，但目前并未显示。分析结果时请注意这一点。 Google 建议应用其他过滤条件并运行原始搜索，直到您低于限制值。您可以应用其他过滤条件并重新运行原始搜索，直到低于限制值。

注意 ：某些 UDM 搜索不会显示事件类型为 GENERIC_EVENT 的 UDM 事件。请注意，这些类型的事件可能会显示在搜索结果中。

图 3. 运行搜索

UDM 查询基于 UDM 字段，统一数据模型字段列表中均列出了这些字段。您还可以使用过滤条件或原始日志搜索在搜索情境中查看 UDM 字段。

1. 要搜索事件，请在搜索字段中输入 UDM 字段名称。界面包含自动补全功能，并根据您输入的内容显示有效的 UDM 字段。

2. 输入有效的 UDM 字段后，请选择有效的运算符。界面会根据您输入的 UDM 字段显示可用的有效运算符。支持以下运算符：

   • <, >
   • <=, >=
   • =, !=
   • nocase - 支持字符串

3. 输入有效的 UDM 字段和运算符后，请输入要搜索的相应日志数据。支持以下数据类型：

   • 枚举值：界面显示给定 UDM 字段的有效枚举值的列表。

     例如（使用双引号和全部大写）：metadata.event_type = "NETWORK_CONNECTION"

   • 其他值：您可以使用“field[key] = value”在其他字段和标签字段中搜索事件。

     例如：additional.fields["key"]="value"

   • 布尔值：您可以使用 true 或 false（所有字符均不区分大小写，并且关键字未加引号）。

     例如：network.dns.response = true

   • 整数

     例如：target.port = 443

   • 浮点数：对于 float 类型的 UDM 字段，请输入浮点值，例如 3.1。您还可以输入一个整数（如 3），相当于输入 3.0。

     例如：security_result.about.asset.vulnerabilities.cvss_base_score = 3.1 或 security_result.about.asset.vulnerabilities.cvss_base_score = 3

   • 正则表达式：（正则表达式必须位于斜杠 (/) 字符内）

     例如：principal.ip = /10.*/

     如需详细了解正则表达式，请参阅正则表达式页面。

   • 字符串

     例如（必须使用双引号）：metadata.product_name = "Google Cloud VPC Flow Logs"

4. 您可以使用 nocase 运算符来搜索给定字符串的任意大小写形式组合：

   • principal.hostname != "http-server" nocase
   • principal.hostname = "JDoe" nocase
   • principal.hostname = /dns-server-[0-9]+/ nocase

5. 字符串中的反斜杠和双引号需要使用反斜杠字符进行转义。例如：

   • principal.process.file.full_path = "C:\\Program Files (x86)\\Google\\Application\\chrome.exe"
   • target.process.command_line = "cmd.exe /c \"c:\\program files\\a.exe\""

6. 您可以使用布尔表达式进一步缩小所显示数据的可能范围。以下示例展示了某些类型的受支持的布尔表达式（可以使用 AND、OR 和 NOT 布尔运算符）：

   • A AND B
   • A OR B
   • (A OR B) AND (B OR C) AND (C OR NOT D)

   以下示例展示了实际语法可能如下所示：

   登录财务服务器事件：

   metadata.event_type = "USER_LOGIN" and target.hostname = "finance-svr"

   在 Windows 中使用正则表达式搜索 psexec.exe 工具的执行情况示例。

   target.process.command_line = /\bpsexec(.exe)?\b/ nocase

   使用“超过”运算符 (>) 搜索发送超过 10 MB 数据的连接的示例。

   metadata.event_type = "NETWORK_CONNECTION" and network.sent_bytes > 10000000

   使用多个条件搜索 Winword 启动 cmd.exe 或 powershell.exe 的示例。

       metadata.event_type = "PROCESS_LAUNCH" and
       principal.process.file.full_path = /winword/ and
       (target.process.file.full_path = /cmd.exe/ or
       target.process.file.full_path = /powershell.exe/)

7. 您还可以使用 UDM 搜索在“其他”和“标签”字段中搜索特定键值对。

   对于不适合标准 UDM 字段的事件数据，“其他”和“标签”字段可用作自定义“综合”字段。其他字段可以包含多个键值对。标签字段只能包含一个键值对。但是，该字段的每个实例都只包含一个键和单个值。键需要位于方括号内，且值必须位于右侧。

   以下示例展示了如何搜索包含指定键值对的事件：

       additional.fields["pod_name"] = "kube-scheduler"
       metadata.ingestion_labels["MetadataKeyDeletion"] = "startup-script"

   以下示例展示了如何在键值对搜索中使用 AND 运算符：

       additional.fields["pod_name"] = "kube-scheduler" AND additional.fields["pod_name1"] = "kube-scheduler1"

   您可以使用以下语法搜索包含指定键（无论值是什么）的所有事件

       additional.fields["pod_name"] != ""

   您还可以使用正则表达式和 nocase 运算符：

       additional.fields["pod_name"] = /br/
       additional.fields["pod_name"] = bar nocase

8. 您还可以使用块注释和单行注释。

   以下示例展示了如何使用块注释：

       additional.fields["pod_name"] = "kube-scheduler"
       /*
       Block comments can span
       multiple lines.
       */
       AND additional.fields["pod_name1"] = "kube-scheduler1"

   以下示例展示了如何使用单行注释：

       additional.fields["pod_name"] != "" // my single-line comment

9. 点击运行搜索即可运行 UDM 搜索并显示结果。

10. 事件会显示在“事件时间轴”表格中的 UDM 搜索页面上。您可以手动添加其他 UDM 字段或使用界面，进一步缩小结果范围。

搜索已分组的字段

分组字段是相关 UDM 字段组的别名。您可以使用它们同时查询多个 UDM 字段，而无需单独输入每个字段。

以下示例展示了如何输入查询来匹配可能包含指定 IP 地址的常见 UDM 字段：

    ip = "1.2.3.4"

您可以使用正则表达式和 nocase 运算符来匹配已分组的字段。也支持参考列表。分组字段还可与常规 UDM 字段结合使用，如以下示例所示：

    ip = "5.6.7.8" AND metadata.event_type = "NETWORK_CONNECTION"

已分组的字段在快速过滤器中有一个单独的部分。

注意 ：搜索分组的 UDM 字段所用的时间通常比单个 UDM 字段长。

已分组的 UDM 字段类型

您可以在以下所有已分组的 UDM 字段中进行搜索：

分组字段名称	关联的 UDM 字段
网域	about.administrative_domain about.asset.network_domain network.dns.questions.name network.dns_domain principal.administrative_domain principal.asset.network_domain target.administrative_domain target.asset.hostname target.asset.network_domain target.hostname
电子邮件	intermediary.user.email_addresses network.email.from network.email.to principal.user.email_addresses security_result.about.user.email_addresses target.user.email_addresses
file_path	principal.file.full_path principal.process.file.full_path principal.process.parent_process.file.full_path target.file.full_path target.process.file.full_path target.process.parent_process.file.full_path
哈希	about.file.md5 about.file.sha1 about.file.sha256 principal.process.file.md5 principal.process.file.sha1 principal.process.file.sha256 security_result.about.file.sha256 target.file.md5 target.file.sha5file.sha1
主机名	intermediary.hostname observer.hostname principal.asset.hostname principal.hostname src.asset.hostname src.hostname target.asset.hostname target.hostname
IP	intermediary.ip observer.ip principal.artifact.ip principal.asset.ip principal.ip src.artifact.ip src.asset.ip src.ip target.artifact.ip target.asset.ip target.ip
命名空间	principal.namespace src.namespace target.namespace
process_id	principal.process.parent_process.pid principal.process.parent_process.product_specific_process_id principal.process.pid principal.process.product_specific_process_id target.process.parent_process.pid target.process.parent_process.product_specific_process_id target.process.pid product_specific_process_target.
用户	about.user.userid observer.user.userid principal.user.user_display_name principal.user.userid principal.user.windows_sid src.user.userid target.user.user_display_name target.user.userid target.user.windows_sid

查找搜索查询的 UDM 字段

编写 UDM 搜索查询时，您可能不知道要添加哪个 UDM 字段。借助 UDM 查找功能，您可以快速查找名称中包含文本字符串或存储特定字符串值的 UDM 字段名称。它不能用于搜索其他数据类型，例如字节、布尔值或数字。您可以选择 UDM 查询返回的一个或多个结果作为 UDM 搜索查询的起点。

如需使用 UDM 查找，请执行以下操作：

1. 在 UDM 搜索页面的 Find up UDM fields by value（按值查找 UDM 字段）字段中输入文本字符串，然后点击 UDM 查找。

2. 在 UDM Lookup 对话框中，选择以下一个或多个选项，以指定要搜索的数据范围：

   • UDM 字段：搜索 UDM 字段名称中的文本，例如 network.dns.questions.name 或 principal.ip。
   • Values：搜索分配给 UDM 字段的值中的文本，例如 dns 或 google.com。
   重要提示 ：此功能执行应用于字符串的文本值匹配，包括 UDM 字段名称和字符串字段值。

3. 在搜索字段中输入或修改字符串。在您输入的过程中，搜索结果会显示在对话框中

   在 UDM 字段与值中进行搜索时，结果略有不同。在“值”中搜索文本时，显示的结果如下所示：

   • 如果在值的开头或末尾找到该字符串，则会在结果中突出显示该字符串，还会突出显示 UDM 字段名称和提取日志的时间。
   • 如果在值的其他位置找到该文本字符串，则结果会显示 UDM 字段名称和文本可能的值匹配。

   

   在 UDM Lookup 中的值内搜索

   • 在 UDM 字段名称中搜索文本字符串时，UDM Lookup 会返回在名称中的任意位置找到的完全匹配项。

   

   在 UDM 查询内的 UDM 字段中搜索

4. 在结果列表中，您可以执行以下操作：

   • 点击某个 UDM 字段的名称可查看该字段的说明。

   • 点击每个 UDM 字段名称左侧的复选框，可选择一个或多个结果。

   • 点击重置按钮，以取消选中结果列表中的所有选定字段。

5. 如需将所选结果附加到 UDM 搜索字段，请点击附加到搜索按钮。

   您还可以使用 Copy UDM 按钮复制所选结果，然后关闭 UDM Lookup 对话框，并将搜索查询字符串粘贴到 UDM Search 字段。

   Google Security Operations 会将所选结果转换为 UDM 搜索查询字符串，作为 UDM 字段名称或名称-值对。如果您附加了多个结果，则系统会使用 OR 运算符将每个结果添加到 UDM 搜索字段中现有查询的末尾。

   附加的查询字符串因 UDM 查找返回的匹配类型而异。

   • 如果结果与 UDM 字段名称中的某个文本字符串匹配，系统会将完整的 UDM 字段名称附加到查询中。下面给出了一个示例：

     principal.artifact.network.dhcp.client_hostname

   • 如果结果与值开头或末尾的文本字符串匹配，则名称-值对包含结果中的 UDM 字段名称和完整值。以下是一些示例：

     metadata.log_type = "PCAP_DNS"

     network.dns.answers.name = "dns-A901F3j.hat.example.com"

   • 如果结果包含“可能的值匹配”文本，则名称-值对包含 UDM 字段名称和包含搜索字词的正则表达式。下面给出了一个示例：

     principal.process.file.full_path = /google/ NOCASE

6. 修改 UDM 搜索查询，以满足您的用例要求。UDM Lookup 生成的查询字符串是编写完整的 UDM 搜索查询的基础。

UDM 查询行为摘要

本部分详细介绍了 UDM 查找功能。

• UDM Lookup 会搜索 2023 年 8 月 10 日之后注入的数据。不会搜索在此之前注入的数据。它会返回在未丰富 UDM 字段中找到的结果。它不会返回扩充字段的匹配项。如需了解丰富字段和未丰富字段，请参阅在事件查看器中查看活动。
• 使用 UDM 查找进行搜索时不区分大小写。字词 hostname 返回的结果与 HostName 相同。
• 搜索值时，查询文本字符串中的连字符 (-) 和下划线 (_) 会被忽略。文本字符串 dns-l 和 dnsl 均返回值 dns-l。

• 搜索值时，在以下情况下，UDM Lookup 不会返回匹配项：

  以下 UDM 字段中的匹配项：	metadata.product_log_id network.session_id security_result.rule_id network.parent_session_id
  匹配 UDM 字段中的完整路径，路径以以下任一值结尾：	.pid 例如 target.process.pid。 .asset_id 例如 principal.asset_id。 .product_specific_process_id 例如 principal.process.product_specific_process_id。 .resource.id 例如 principal.resource.id。

• 搜索值时，如果遇到以下情况，UDM Lookup 会在结果中显示“可能的值匹配”消息：

  以下 UDM 字段中的匹配项：	metadata.description security_result.description security_result.detection_fields.value security_result.summary network.http.user_agent
  匹配以以下某个值结尾的完整路径的字段中：	.command_line 例如 principal.process.command_line。 .file.full_path 例如 principal.process.file.full_path。 .labels.value 例如 src.labels.value。 .registry.registry_key 例如 principal.registry.registry_key。 .url 例如 principal.url。
  匹配具有完整路径且以以下值开头的字段：	additional.fields.value. 例如 additional.fields.value.null_value。

在 UDM 搜索中查看提醒

如需查看提醒，请点击 UDM 搜索页面右上角事件标签页右侧的提醒标签页。

提醒的显示方式

Google Security Operations 会根据客户环境中的提醒存在的事件评估 UDM 搜索中返回的事件。当搜索查询事件与提醒中存在的事件匹配时，该事件就会显示在提醒时间轴和生成的提醒表格中。

事件和提醒的定义

事件由原始日志源生成，该日志源被提取到 Google Security Operations 中，并由 Google Security Operations 的提取和标准化流程进行处理。单个原始日志源记录可生成多个事件。事件表示从该原始日志生成的一组与安全相关的数据点。

在 UDM 搜索中，提醒是指启用了提醒的 YARA-L 规则检测。有关详情，请参阅针对实时数据运行规则。

其他数据源（例如 Crowdstrike Falcon 提醒）可以作为提醒提取到 Google Security Operations 中。这些提醒不会显示在 UDM 搜索中，除非 Google Security Operations 检测引擎将其作为 YARA-L 规则处理。

在事件时间轴中，与一个或多个提醒相关联的事件会使用提醒条状标签进行标记。如果时间轴有多个关联的提醒，该条状标签会显示关联提醒的数量。

时间轴显示从搜索结果中检索到的最近 1,000 条提醒。达到 1,000 限制后，将不再检索任何提醒。为确保您能看到与您的搜索相关的所有结果，请使用过滤条件缩小搜索范围。

如何调查提醒

如需了解如何使用提醒图表和提醒详细信息来调查提醒，请按照调查提醒中所述的步骤操作。

在 UDM 搜索中使用参考列表

在“规则”中应用参考文件列表的流程也可以在搜索中使用。单个搜索查询中最多可以包含七个列表。支持所有类型的引用列表（字符串、正则表达式、CIDR）。

您可以创建要跟踪的任何变量的列表。例如，您可以创建可疑 IP 地址列表：

// Field value exists in reference list
principal.ip IN %suspicious_ips

此外，您可以通过使用 AND 或 OR 来使用多个列表：

// multiple lists can be used with AND or OR
principal.ip IN %suspicious_ips AND
principal.hostname IN %suspicious_hostnames

优化搜索结果

除了修改 UDM 搜索并重新运行搜索，您还可以使用 UDM 搜索界面来过滤和优化结果。

时间轴图表

时间表图会以图形的方式呈现当前 UDM 搜索中显示的每天发生的事件数量和提醒数量。事件和提醒显示在同一时间表图上，事件和提醒标签页中均可找到该图表。

每个条形的宽度取决于搜索的时间间隔。例如，如果搜索跨越 24 小时的数据，每个条形代表 10 分钟。当您修改现有 UDM 搜索时，此图表会动态更新。

注意 ：您可以搜索的最长时间范围（从开始时间到结束时间）为 90 天。

时间范围调整

您可以通过左右移动白色滑块控件来调整时间范围和关注感兴趣的时间段，从而调整图表的时间范围。当您调整时间范围时，“UDM 字段”和“值”和“事件”表格也会更新以反映当前选择。您也可以点击图表上的单个条形，仅列出该时间段内的事件。

调整时间范围后，系统会显示过滤事件和查询事件复选框，让您可以进一步限制所显示的事件类型。

图 4. 包含时间范围控件的事件时间轴图表

使用快速过滤条件修改 UDM 搜索

使用快速过滤器，您可以进一步缩小 UDM 搜索范围。您可以滚动浏览 UDM 字段列表，也可以使用“搜索”字段搜索特定的 UDM 字段或值。此处列出的 UDM 字段与您的 UDM 搜索生成的现有活动列表相关联。每个 UDM 字段都会包含当前 UDM 搜索中相应数据对应的事件数量。UDM 字段列表显示了字段中唯一值的总数。借助此功能，您可以搜索可能更感兴趣的特定类型的日志数据。

UDM 字段按以下顺序列出：

1. 事件数从高到低的字段。
2. 只有 1 个值的字段始终位于最后。
3. 事件总数完全相同的字段将按字母顺序从 A 到 Z 排序。

注意 ：对于每个 UDM 字段，您可以查看前 30 个和后 30 个值。

图 5. 快速过滤器

修改快速过滤器

如果您在“快速过滤条件”列表中选择了某个 UDM 字段值并点击菜单图标，那么您可以选择仅显示包含该 UDM 字段值的事件，也可以选择过滤掉该 UDM 字段值。如果 UDM 字段存储的是整数值（例如：target.port），您还会看到按 <,>,<=,>= 过滤的选项。过滤选项可缩短显示的事件列表。

您还可以在快速过滤器中固定字段（使用图钉图标），以将其保存为收藏夹。它们会显示在“快速过滤器”列表的顶部。

图 6. 示例：选择“仅显示”

这些额外的 UDM 过滤条件也会添加到“过滤事件”字段中。“过滤事件”字段有助于您跟踪已添加到 UDM 搜索的其他 UDM 字段。您也可以根据需要快速移除这些额外的 UDM 字段。

图 7. 过滤事件

如果您点击左侧的“过滤事件”菜单图标或添加过滤条件，系统会打开一个窗口，供您选择其他 UDM 字段。

图 8. “过滤事件”窗口

当您点击应用于搜索并运行后，系统会将 UDM 字段添加到“过滤事件”字段，并根据这些额外的过滤条件过滤所显示的事件。您也可以点击 Apply to Search and Run，将这些内容添加到页面顶部的 UDM 搜索主字段。系统会自动使用相同的日期和时间参数再次执行搜索。Google 建议您先尽可能缩小搜索范围，然后再点击应用到搜索并运行。这有助于提高准确性并缩短搜索时间。

在“事件”表格中查看事件

所有这些过滤器和控件都会更新“事件”表格中显示的事件列表。点击列出的任一事件即可打开日志查看器，您可以在其中检查相应事件的原始日志和 UDM 记录。如果您点击事件的时间戳，您还可以导航到关联的资产、IP 地址、网域、哈希或用户视图。您还可以使用表格顶部的“搜索”字段查找特定事件。

注意 ：“事件”表格会根据已应用的所有过滤条件，仅显示 10,000 个最新事件。

在“提醒”表格中查看提醒

您可以通过点击事件标签页右侧的提醒标签页来查看提醒。您可以使用快速过滤条件按以下条件对提醒进行排序：

• 案例
• 名称
• 优先级
• 严重级别
• 状态
• 判定

这有助于您专注于对您而言最重要的提醒。

提醒的显示时间范围与事件在“事件”标签页中的事件相同。这有助于您了解事件与提醒之间的关联。

如果您想查看某条特定提醒的详细信息，请点击该提醒，随后系统会打开相应提醒的详细信息页面，其中包含有关该提醒的更深入信息。

在事件查看器中查看事件

如果您将指针悬停在“事件”表格中的某个事件上，则突出显示的事件的右侧会显示“打开事件查看器”图标。点击该图标以打开事件查看器。

“原始日志”窗口以以下任意格式显示原始原始符号：

• 原始
• JSON
• XML
• CSV
• 十六进制/ASCII

UDM 窗口会显示结构化 UDM 记录。您可以将鼠标指针悬停在任意 UDM 字段上，以查看 UDM 定义。选中 UDM 字段对应的复选框，即可看到更多选项：

• 您可以复制 UDM 记录。选择一个或多个 UDM 字段，然后从 View Actions 下拉菜单中选择 Copy UDM 选项。UDM 字段和 UDM 值会复制到系统剪贴板。

• 您可以在“事件”表格中将 UDM 字段添加为列，方法是从查看操作下拉菜单中选择添加列选项。

每个 UDM 字段都带有一个图标，指示该字段包含丰富数据还是未丰富数据。图标标签如下：

• U：未丰富字段包含在标准化过程中使用原始原始日志中的数据填充的值。

• E：丰富字段包含 Google Security Operations 填充的值，以提供有关客户环境中的工件的其他背景信息。如需了解详情，请参阅 Google Security Operations 如何丰富事件和实体数据。

  

图 9. 事件查看器中的 UDM 字段

使用 UDM 搜索的“列”选项

使用列选项可以调整要在“事件”表格中显示的信息列。此时会显示“列”菜单。根据 UDM 搜索返回的事件类型，可用的选项会有所不同。

您也可以点击保存，视需要保存在此处选择的一组列。为一组选定的列命名，然后再次点击保存。您可以点击加载并从列表中选择一组已保存的列，以加载一组已保存的列。

您还可以下载显示的活动，方法是点击三点状菜单，然后选择下载为 CSV 文件。此操作会下载所有搜索结果，最多可下载一百万个活动。界面上会显示将下载的活动数量。

图 10. UDM 搜索列

使用数据透视表分析事件

数据透视表可让您使用表达式和函数根据 UDM 搜索的结果来分析事件。

要打开并配置数据透视表，请完成以下步骤：

1. 运行 UDM 搜索。

2. 点击数据透视表标签页以打开数据透视表。

3. 指定 Group By 值，即可按特定的 UDM 字段对事件进行分组。您可以从菜单中选择小写，以使用默认的大小写形式显示结果，或仅使用小写形式显示结果。此选项仅适用于字符串字段。通过点击添加字段，您最多可以指定 5 个分组依据值。

   如果 Group By 值是某个主机名字段，则您将具有其他转换选项：

   • 顶级 N 级网域 - 选择要显示哪个级别的网域。例如，如果使用值为 1，则仅显示顶级域名（例如 com、gov 或 edu）；如果使用值为 3，则显示接下来的两级域名（例如 google.co.uk）。
   • 获取已注册的域名 - 仅显示已注册的域名（例如 google.com、nytimes.com 和 youtube.com）。

   如果 Group By 值是某个 IP 字段，则您可以使用其他转换选项：

   • (IP) CIDR 前缀长度（以位为单位）：您可以为 IPv4 地址指定 1 到 32 之间的值。对于 IPv6 地址，您最多可以指定 128 个值。

   如果 Group By 值包含时间戳，您将拥有其他转换选项：

   • （时间）分辨率（以毫秒为单位）
   • （时间）分辨率（以秒为单位）
   • （时间）分辨率（分钟）
   • （时间）分辨率（小时）
   • （时间）解决时间（天）

4. 从结果的字段列表中为数据透视指定一个值。您最多可以指定 5 个值。指定字段后，您必须选择摘要选项。您可以使用以下选项总结：

   • sum
   • count
   • 不同计数
   • 平均水平
   • stddev
   • 分钟
   • 最大值

   指定“事件数”的值，即可仅返回根据此特定 UDM 搜索和数据透视表识别的事件数量。

   汇总选项与分组依据字段并非普遍兼容。例如，sum、average、stddev、min 和 max 选项只能应用于数字字段。如果您尝试将不兼容的 Summarize 选项与 Group By 字段相关联，则会收到错误消息。

5. 指定一个或多个 UDM 字段，然后使用 Order By 选项选择一种或多种排序方式。

6. 完成上述操作后，点击应用。结果显示在数据透视表中。

7. （可选）如需下载数据透视表，请点击 ，然后选择下载为 CSV 文件。如果您未选择数据透视，则系统会停用此选项。

使用“快速搜索”功能执行搜索

1. 点击快速搜索以打开“快速搜索”窗口。此窗口会显示您保存的搜索和搜索记录。

2. 点击列出的任一搜索字词，将其加载到 UDM 搜索字段中。

3. 准备就绪后，点击运行搜索。

列出的搜索记录会保存到您的 Google Security Operations 账号。如果您需要修改任何已保存的搜索（例如重命名现有搜索）、删除已保存的搜索或从搜索记录中删除搜索记录，请点击查看所有搜索打开搜索管理器。

已保存的搜索和搜索记录概览

点击搜索管理器，使用搜索管理器检索已保存的搜索并查看搜索记录。已保存的搜索和搜索记录均存储在您的 Google Security Operations 账号名下。除非您使用共享搜索功能与您的组织共享搜索，否则只有个别用户可以查看和访问已保存的搜索和搜索记录。选择已保存的搜索即可查看更多信息，包括标题和说明。

保存搜索

要保存搜索，请执行以下操作：

1. 在 UDM 搜索页面，点击保存即可保存您的 UDM 搜索以供日后使用。系统随即会打开搜索管理器。Google 建议您为保存的搜索起一个有意义的名称，并提供关于搜索内容的纯文本说明。您也可以点击 ，在搜索管理器中创建新的 UDM 搜索。此处还提供了标准的 UDM 编辑和补全工具。

2. （可选）使用与 YARA-L 中变量相同的格式，以 $<variable name> 格式指定占位符变量。 如果您向 UDM 搜索添加变量，则还必须添加提示，以帮助用户了解在执行搜索之前需要输入哪些信息。必须先用值填充所有变量，然后才能运行搜索。

   例如，您可以在 UDM 搜索中添加 metadata.vendor_name = $vendor_name。对于 $vendor_name，您需要添加针对未来用户的提示，例如“输入供应商名称进行搜索”。以后用户每次加载此搜索时，系统都会提示他们输入供应商名称，然后才能运行搜索。

3. 完成后，点击保存修改。

4. 要查看已保存的搜索，请点击搜索管理器，然后点击已保存标签页。

检索已保存的搜索

要检索并运行已保存的搜索，请执行以下操作：

1. 在搜索管理器中，点击已保存标签页。

2. 从列表中选择已保存的搜索。这些已保存的搜索条目会保存到您的 Google Security Operations 账号。您可以点击 ，然后选择删除搜索来删除搜索。

3. 您可以更改搜索内容的名称和说明。完成后，点击保存修改。

4. 点击 Load Search。系统会将该搜索条件加载到 UDM 主搜索字段中。

5. 点击运行搜索查看与此搜索关联的事件。

从搜索记录中检索搜索内容

要从搜索记录中检索并运行搜索，请执行以下操作：

1. 在搜索管理器中，点击历史记录。

2. 从搜索记录中选择一项搜索。您的搜索记录会保存到您的 Google Security Operations 账号。您可以点击 删除搜索

3. 点击 Load Search。系统会将该搜索条件加载到 UDM 主搜索字段中。

4. 点击运行搜索查看与此搜索关联的事件。

清除、停用或启用搜索记录

要清除、停用或启用搜索记录，请执行以下操作：

1. 在搜索管理器中，点击历史记录标签页。

2. 点击

3. 选择清除历史记录可清除搜索记录。

4. 点击停用历史记录可停用搜索记录。您可以选择：

   • 仅限选择停用 - 停用搜索记录。

   • 选择停用并清除 - 停用搜索记录并删除已保存的搜索记录。

5. 如果您之前停用了搜索记录，可以通过点击启用搜索记录再次启用该功能。

6. 点击关闭即可退出搜索管理器。

分享搜索结果

通过共享搜索，您可以与团队的其他成员共享搜索结果。在已保存标签页中，您可以分享或删除搜索记录。您也可以点击搜索栏旁边的过滤图标来过滤搜索结果，并按全部显示、已定义 Google SecOps、由我编写或共享对搜索内容进行排序。

您无法修改他人的共享搜索。

注意 ：您不能只与一个人共享。如果您分享搜索结果，则它将与整个组织分享。

1. 点击已保存。
2. 点击要分享的搜索。
3. 点击搜索右侧的 。系统会显示一个对话框，其中包含用于共享搜索的选项。
4. 点击与您的单位共享。
5. 系统会显示一个对话框，显示 <您的组织> 中的人员将可以看到“共享您的搜索” 。确定要共享吗？点击分享。

如果想让搜索结果只有你自己可以看到，请点击 ，然后点击停止分享。如果您停止分享，则只有您可以使用此搜索。

后续步骤

如需了解如何在 UDM 搜索中使用经过情境增强的数据，请参阅在 UDM 搜索中使用情境增强数据。