Rechercher

Compatible avec:

Google SecOps SIEM

La fonction de recherche vous permet de rechercher des événements et des alertes UDM (Unified Data Model) dans votre instance Google Security Operations à l'aide de la syntaxe YARA-L 2.0. La recherche inclut diverses options qui vous aident à parcourir vos données UDM. Vous pouvez rechercher des événements UDM individuels et des groupes d'événements UDM associés à des termes de recherche partagés.

Remarque :La recherche UDM n'est pas compatible avec les recherches d'événements d'entité UDM.

Sur les systèmes qui utilisent le RBAC de données, vous ne pouvez voir que les données qui correspondent à vos champs d'application. Pour en savoir plus, consultez Impact du RBAC sur les données dans la recherche.

Pour les clients Google SecOps, les alertes peuvent également être ingérées à partir de connecteurs et de webhooks. Vous pouvez également utiliser la recherche pour trouver ces alertes.

Pour en savoir plus sur les UDM, consultez Mettre en forme les données de journal sous forme d'UDM et Liste des champs UDM.

Accéder à la recherche

Vous pouvez accéder à la recherche Google SecOps à l'aide des options suivantes:

• Cliquez sur Rechercher dans la barre de navigation.

• Saisissez un champ UDM valide dans n'importe quel champ de recherche de Google SecOps, puis appuyez sur Ctrl+Entrée.

Pour obtenir la liste de tous les champs UDM valides, consultez la liste des champs UDM.

Figure 1 : Rechercher

Effectuer une recherche

Cette section explique comment utiliser la fonctionnalité de recherche Google SecOps.

Les requêtes UDM sont basées sur des champs UDM, qui sont tous listés dans la liste des champs du modèle de données unifié. Vous pouvez également afficher les champs UDM dans le contexte des recherches à l'aide de filtres ou de la recherche de journaux bruts.

Pour saisir une recherche dans le champ Rechercher, procédez comme suit : Lorsque vous avez terminé de saisir votre recherche, cliquez sur Exécuter la recherche. Vous pouvez ajuster le nombre d'événements renvoyés en cliquant sur Plus, puis en sélectionnant Paramètres de recherche. L'interface utilisateur de Google SecOps ne vous permet de saisir qu'une expression de recherche valide. Vous pouvez également ajuster la plage de données à rechercher en ouvrant la fenêtre de la période.

1. Pour rechercher des événements, saisissez un nom de champ UDM dans le champ de recherche. L'interface utilisateur inclut la saisie automatique et affiche les champs UDM valides en fonction de ce que vous avez saisi.

2. Une fois que vous avez saisi un champ UDM valide, sélectionnez un opérateur valide. L'interface utilisateur affiche les opérateurs valides disponibles en fonction du champ UDM que vous avez saisi. Les opérateurs suivants sont acceptés :

   • <, >
   • <=, >=
   • =, !=
   • nocase : compatible avec les chaînes

3. Une fois que vous avez saisi un champ et un opérateur UDM valides, saisissez les données de journal correspondantes que vous recherchez. Les types de données suivants sont acceptés:

   • Valeurs énumérées:l'interface utilisateur affiche une liste de valeurs énumérées valides pour un champ UDM donné.

   Par exemple (utilisez des guillemets doubles et tout en majuscules): metadata.event_type = "NETWORK_CONNECTION"

   • Valeurs supplémentaires:vous pouvez utiliser "field[key] = value" pour rechercher des événements dans les champs supplémentaires et les libellés.

   Par exemple : additional.fields["key"]="value"

   • Valeurs booléennes:vous pouvez utiliser true ou false (tous les caractères sont insensibles à la casse et le mot clé n'est pas mis entre guillemets).

   Par exemple : network.dns.response = true

   • Entiers

   Par exemple : target.port = 443

   • Valeurs à virgule flottante:pour les champs UDM de type float, saisissez une valeur à virgule flottante, par exemple 3.1. Vous pouvez également saisir un entier, tel que 3, ce qui équivaut à saisir 3.0.

   Par exemple, security_result.about.asset.vulnerabilities.cvss_base_score = 3.1 ou security_result.about.asset.vulnerabilities.cvss_base_score = 3.

   • Expressions régulières : (l'expression régulière doit être placée entre des caractères barre oblique (/))

   Par exemple : principal.ip = /10.*/

   Pour en savoir plus sur les expressions régulières, consultez la page sur les expressions régulières.

   • Chaînes

   Par exemple (vous devez utiliser des guillemets doubles): metadata.product_name = "Google Cloud VPC Flow Logs"

4. Vous pouvez utiliser l'opérateur nocase pour rechercher n'importe quelle combinaison de versions majuscules et minuscules d'une chaîne donnée:

   • principal.hostname != "http-server" nocase
   • principal.hostname = "JDoe" nocase
   • principal.hostname = /dns-server-[0-9]+/ nocase

5. Les barres obliques inverses et les guillemets doubles dans les chaînes doivent être échappés à l'aide d'un caractère barre oblique inverse. Exemple :

   • principal.process.file.full_path = "C:\\Program Files (x86)\\Google\\Application\\chrome.exe"
   • target.process.command_line = "cmd.exe /c \"c:\\program files\\a.exe\""

6. Vous pouvez utiliser des expressions booléennes pour affiner davantage la plage de données affichées. Les exemples suivants illustrent certains types d'expressions booléennes acceptées (les opérateurs booléens AND, OR et NOT peuvent être utilisés):

   • A AND B
   • A OR B
   • (A OR B) AND (B OR C) AND (C OR NOT D)

   Les exemples suivants montrent comment la syntaxe réelle peut apparaître:

   Événements de connexion au serveur Finance:

   metadata.event_type = "USER_LOGIN" and target.hostname = "finance-svr"

   Exemple d'utilisation d'une expression régulière pour rechercher l'exécution de l'outil psexec.exe sous Windows.

   target.process.command_line = /\bpsexec(.exe)?\b/ nocase

   Exemple d'utilisation de l'opérateur supérieur à (>) pour rechercher des connexions pour lesquelles plus de 10 Mo de données ont été envoyés.

   metadata.event_type = "NETWORK_CONNECTION" and network.sent_bytes > 10000000

   Exemple d'utilisation de plusieurs conditions pour rechercher Winword qui lance cmd.exe ou powershell.exe.

       metadata.event_type = "PROCESS_LAUNCH" and
       principal.process.file.full_path = /winword/ and
       (target.process.file.full_path = /cmd.exe/ or
       target.process.file.full_path = /powershell.exe/)

7. Vous pouvez également rechercher des paires clé-valeur spécifiques dans les champs Additional (Supplémentaire) et Label (Libellé).

   Les champs Additional (Supplémentaire) et Label (Libellé) sont utilisés comme "tout capturer" personnalisable pour les données d'événement qui ne rentrent pas dans un champ UDM standard. Les champs supplémentaires peuvent contenir plusieurs paires clé-valeur. Les champs Étiquette ne peuvent contenir qu'une seule paire clé-valeur. Toutefois, chaque instance du champ ne contient qu'une seule clé et une seule valeur. La clé doit se trouver entre les crochets et la valeur doit être à droite.

   Les exemples suivants montrent comment rechercher des événements contenant des paires clé-valeur spécifiées:

       additional.fields["pod_name"] = "kube-scheduler"
       metadata.ingestion_labels["MetadataKeyDeletion"] = "startup-script"

   L'exemple suivant montre comment utiliser l'opérateur AND avec des recherches de paires clé-valeur:

       additional.fields["pod_name"] = "kube-scheduler" AND additional.fields["pod_name1"] = "kube-scheduler1"

   Vous pouvez utiliser la syntaxe suivante pour rechercher tous les événements contenant la clé spécifiée (quelle que soit la valeur) :

       additional.fields["pod_name"] != ""

   Vous pouvez également utiliser des expressions régulières et l'opérateur nocase:

       additional.fields["pod_name"] = /br/
       additional.fields["pod_name"] = bar nocase

8. Vous pouvez également utiliser des commentaires par blocs et sur une seule ligne.

   L'exemple suivant montre comment utiliser un commentaire de bloc:

       additional.fields["pod_name"] = "kube-scheduler"
       /*
       Block comments can span
       multiple lines.
       */
       AND additional.fields["pod_name1"] = "kube-scheduler1"

   L'exemple suivant montre comment utiliser un commentaire sur une seule ligne:

       additional.fields["pod_name"] != "" // my single-line comment

9. Cliquez sur Exécuter la recherche pour lancer votre recherche et afficher les résultats dans le tableau "Chronologie des événements" sur la page Rechercher.

10. Facultatif: affinez les résultats en ajoutant des champs UDM supplémentaires manuellement ou à l'aide de l'interface utilisateur.

Paramètres de recherche

Vous pouvez définir le nombre maximal de résultats de votre recherche dans les paramètres de recherche UDM. Ces paramètres sont spécifiques à l'utilisateur.

1. Cliquez sur Paramètres de recherche dans le menu Plus à côté de Exécuter la recherche.

2. Sélectionnez Nombre maximal de résultats à renvoyer. Les options sont 1K, 10K, 100K, 1M et custom, qui peuvent prendre des valeurs comprises entre 1 et 1M. La valeur par défaut est 1M. Les requêtes s'exécutent généralement plus rapidement lorsque vous choisissez une taille de jeu de résultats plus petite.

La recherche renvoie trop de résultats

Si votre recherche est trop large, Google SecOps affiche un message d'avertissement indiquant que tous les résultats de recherche ne peuvent pas être affichés.

Dans ce cas, le système ne récupère que les résultats les plus récents, jusqu'à la limite de recherche de 1 million d'événements et de 1 000 alertes. Toutefois, il peut y avoir beaucoup plus d'événements et d'alertes correspondants qui ne s'affichent pas.

Pour vous assurer d'obtenir tous les résultats pertinents, envisagez d'affiner votre recherche en appliquant des filtres supplémentaires. Restreindre le champ de recherche permet de réduire la taille du jeu de données à une taille gérable et d'améliorer la précision. Nous vous recommandons d'ajuster et de relancer la recherche jusqu'à ce que les résultats respectent la limite d'affichage du système.

La page des résultats de recherche affiche les 10 000 résultats les plus récents. Vous pouvez filtrer et affiner les résultats de recherche pour afficher les résultats plus anciens au lieu de modifier et d'exécuter à nouveau la recherche.

Remarque :Certaines recherches n'affichent pas les événements UDM avec le type d'événement GENERIC_EVENT. Notez que ces types d'événements peuvent être absents des résultats de recherche.

Rechercher dans des champs groupés

Les champs groupés sont des alias de groupes de champs UDM associés. Vous pouvez les utiliser pour interroger plusieurs champs UDM en même temps sans saisir chaque champ individuellement.

L'exemple suivant montre comment saisir une requête pour faire correspondre les champs UDM courants susceptibles de contenir l'adresse IP spécifiée:

    ip = "1.2.3.4"

Vous pouvez faire correspondre un champ groupé à l'aide d'une expression régulière et de l'opérateur nocase. Les listes de références sont également acceptées. Les champs groupés peuvent également être utilisés en combinaison avec des champs UDM standards, comme illustré dans l'exemple suivant:

    ip = "5.6.7.8" AND metadata.event_type = "NETWORK_CONNECTION"

Les champs regroupés figurent dans une section distincte de Agrégations.

Remarque :Les recherches de champs UDM groupés prennent généralement plus de temps que les recherches de champs UDM individuels.

Types de champs UDM groupés

Vous pouvez effectuer une recherche dans tous les champs UDM regroupés suivants:

Nom du champ groupé	Champs UDM associés
domaine	about.administrative_domain about.asset.network_domain network.dns.questions.name network.dns_domain principal.administrative_domain principal.asset.network_domain target.administrative_domain target.asset.hostname target.asset.network_domain target.hostname
e-mail	intermediary.user.email_addresses network.email.from network.email.to principal.user.email_addresses security_result.about.user.email_addresses target.user.email_addresses
file_path	principal.file.full_path principal.process.file.full_path principal.process.parent_process.file.full_path target.file.full_path target.process.file.full_path target.process.parent_process.file.full_path
hash	about.file.md5 about.file.sha1 about.file.sha256 principal.process.file.md5 principal.process.file.sha1 principal.process.file.sha256 security_result.about.file.sha256 target.file.md5 target.file.sha1 target.file.sha256 target.process.file.md5 target.process.file.sha1 target.process.file.sha256
nom d'hôte	intermediary.hostname observer.hostname principal.asset.hostname principal.hostname src.asset.hostname src.hostname target.asset.hostname target.hostname
ip	intermediary.ip observer.ip principal.artifact.ip principal.asset.ip principal.ip src.artifact.ip src.asset.ip src.ip target.artifact.ip target.asset.ip target.ip
espace de noms	principal.namespace src.namespace target.namespace
process_id	principal.process.parent_process.pid principal.process.parent_process.product_specific_process_id principal.process.pid principal.process.product_specific_process_id target.process.parent_process.pid target.process.parent_process.product_specific_process_id target.process.pid target.process.product_specific_process_id
utilisateur	about.user.userid observer.user.userid principal.user.user_display_name principal.user.userid principal.user.windows_sid src.user.userid target.user.user_display_name target.user.userid target.user.windows_sid

Trouver un champ UDM pour une requête de recherche

Lorsque vous rédigez une requête de recherche, vous ne savez peut-être pas quel champ UDM inclure. La recherche UDM vous permet de trouver rapidement un nom de champ UDM contenant une chaîne de texte dans le nom ou qui stocke une valeur de chaîne spécifique. La fonction de recherche UDM n'est pas destinée à rechercher d'autres types de données, tels que les octets, les valeurs booléennes ou les valeurs numériques. Vous sélectionnez un ou plusieurs résultats renvoyés par la recherche UDM comme point de départ d'une requête de recherche.

Pour utiliser la recherche UDM, procédez comme suit:

1. Sur la page Rechercher, saisissez une chaîne de texte dans le champ Rechercher des champs UDM par valeur, puis cliquez sur Recherche UDM.

2. Dans la boîte de dialogue Recherche UDM, sélectionnez une ou plusieurs des options suivantes pour spécifier la portée des données à rechercher:

   • Champs UDM : recherchez du texte dans les noms de champs UDM (par exemple, network.dns.questions.name ou principal.ip).
   • Valeurs : recherchez du texte dans les valeurs attribuées aux champs UDM (par exemple, dns ou google.com).
   Important :Cette fonctionnalité effectue une mise en correspondance des valeurs textuelles appliquées aux chaînes, à la fois aux noms de champs UDM et aux valeurs de champ de chaîne.

3. Saisissez ou modifiez la chaîne dans le champ de recherche. À mesure que vous saisissez du texte, les résultats de recherche s'affichent dans la boîte de dialogue.

   Les résultats sont légèrement différents lorsque vous effectuez une recherche dans Champs UDM par rapport à Valeurs. Lorsque vous recherchez du texte dans Valeurs, les résultats s'affichent comme suit:

   • Si la chaîne est trouvée au début ou à la fin de la valeur, elle est mise en surbrillance dans le résultat, avec le nom du champ UDM et l'heure à laquelle le journal a été ingéré.
   • Si la chaîne de texte est trouvée ailleurs dans la valeur, le résultat affiche le nom du champ UDM et le texte Correspondance de valeur possible.

   

   Figure 2. Rechercher des valeurs dans la table de correspondance UDM

   • Lorsque vous recherchez une chaîne de texte dans les noms de champs UDM, la recherche UDM renvoie une correspondance exacte trouvée à n'importe quel endroit du nom.

   

   Figure 3. Rechercher dans les champs UDM dans la recherche UDM

4. Dans la liste des résultats, vous pouvez effectuer les opérations suivantes:

   • Cliquez sur le nom d'un champ UDM pour afficher sa description.

   • Sélectionnez un ou plusieurs résultats en cochant la case située à gauche de chaque nom de champ UDM.

   • Cliquez sur le bouton Réinitialiser pour désélectionner tous les champs sélectionnés dans la liste des résultats.

5. Pour ajouter les résultats sélectionnés au champ Rechercher, cliquez sur Ajouter à la recherche.

   Vous pouvez copier le résultat sélectionné à l'aide du bouton Copier la UDM, fermer la boîte de dialogue Recherche de la UDM et coller la chaîne de requête de recherche dans le champ Rechercher.

   Google SecOps convertit le résultat sélectionné en chaîne de requête de recherche en tant que nom de champ UDM ou paire nom-valeur. Si vous ajoutez plusieurs résultats, chacun d'eux est ajouté à la fin d'une requête existante dans le champ de recherche à l'aide de l'opérateur OR.

   La chaîne de requête ajoutée est différente selon le type de correspondance renvoyé par la recherche UDM.

   • Si le résultat correspond à une chaîne de texte dans un nom de champ UDM, le nom complet du champ UDM est ajouté à la requête. En voici un exemple :

   principal.artifact.network.dhcp.client_hostname

   • Si le résultat correspond à une chaîne de texte au début ou à la fin d'une valeur, la paire nom-valeur contient le nom du champ UDM et la valeur complète dans le résultat. Voici quelques exemples:

   metadata.log_type = "PCAP_DNS"

   network.dns.answers.name = "dns-A901F3j.hat.example.com"

   • Si le résultat inclut le texte Correspondance de valeur possible, la paire nom-valeur contient le nom du champ UDM et une expression régulière contenant le terme de recherche. En voici un exemple :

   principal.process.file.full_path = /google/ NOCASE

6. Modifiez la requête de recherche pour l'adapter à votre cas d'utilisation. La chaîne de requête générée par la recherche UDM sert de point de départ pour saisir une requête de recherche complète.

Récapitulatif du comportement de la recherche UDM

Cette section fournit plus d'informations sur les fonctionnalités de recherche UDM.

• La recherche UDM recherche les données ingérées après le 10 août 2023. Les données ingérées avant cette date ne sont pas recherchées. Elle renvoie les résultats trouvés dans les champs UDM non enrichis. Elle ne renvoie pas de correspondances pour les champs enrichis. Pour en savoir plus sur les champs enrichis et non enrichis, consultez Afficher les événements dans l'Afficheur d'événements.
• Les recherches utilisant la recherche UDM ne sont pas sensibles à la casse. Le terme hostname renvoie le même résultat que HostName.
• Les traits d'union (-) et les traits de soulignement (_) dans une chaîne de texte de requête sont ignorés lors de la recherche dans Valeurs. Les chaînes de texte dns-l et dnsl renvoient toutes les deux la valeur dns-l.

• Lorsque vous recherchez des valeurs, la recherche UDM ne renvoie aucune correspondance dans les cas suivants:

  Correspondances dans les champs UDM suivants:	metadata.product_log_id network.session_id security_result.rule_id network.parent_session_id
  Correspondances dans les champs UDM avec un chemin d'accès complet se terminant par l'une des valeurs suivantes:	.pid Par exemple, target.process.pid. .asset_id Par exemple, principal.asset_id. .product_specific_process_id Par exemple, principal.process.product_specific_process_id. .resource.id Par exemple, principal.resource.id.

  • Lorsque vous recherchez des valeurs, la recherche UDM affiche le message Possible value match (Correspondance de valeur possible) dans les résultats lorsqu'une correspondance est trouvée dans les cas suivants:

  Correspondances dans les champs UDM suivants:	metadata.description security_result.description security_result.detection_fields.value security_result.summary network.http.user_agent
  Correspond aux champs avec un chemin d'accès complet se terminant par l'une des valeurs suivantes:	.command_line Par exemple, principal.process.command_line. .file.full_path Par exemple, principal.process.file.full_path. .labels.value Par exemple, src.labels.value. .registry.registry_key Par exemple, principal.registry.registry_key. .url Par exemple, principal.url.
  Correspond aux champs avec un chemin d'accès complet commençant par les valeurs suivantes:	additional.fields.value. Par exemple, additional.fields.value.null_value.

Afficher les alertes dans la recherche

Pour afficher les alertes, cliquez sur l'onglet Alertes, situé à côté de l'onglet Événements, en haut à droite de la page Recherche.

Affichage des alertes

Google SecOps évalue les événements renvoyés dans la recherche par rapport aux événements existants pour les alertes dans l'environnement client. Lorsqu'un événement de requête de recherche correspond à un événement présent dans une alerte, il s'affiche dans la chronologie de l'alerte et dans le tableau des alertes qui en résulte.

Définition des événements et des alertes

Un événement est généré à partir d'une source de journaux brute qui est ingérée dans Google SecOps et traitée par le processus d'ingestion et de normalisation de Google SecOps. Plusieurs événements peuvent être générés à partir d'un seul enregistrement de source de journal brut. Un événement représente un ensemble de points de données pertinents pour la sécurité générés à partir de ce journal brut.

Dans la recherche, une alerte est définie comme une détection de règle YARA-L avec l'alerte activée. Pour en savoir plus, consultez la section Exécuter une règle par rapport aux données en temps réel.

D'autres sources de données peuvent être ingérées dans Google SecOps en tant qu'alertes, telles que les alertes Crowdstrike Falcon. Ces alertes ne s'affichent pas dans la recherche, sauf si elles sont traitées par le moteur de détection Google SecOps en tant que règle YARA-L.

Les événements associés à une ou plusieurs alertes sont marqués d'un chip Alerte dans la chronologie des événements. Si plusieurs alertes sont associées à la chronologie, le chip affiche le nombre d'alertes associées.

La chronologie affiche les 1 000 alertes les plus récentes récupérées à partir des résultats de recherche. Lorsque la limite de 1 000 alertes est atteinte, aucune alerte n'est plus récupérée. Pour vous assurer d'afficher tous les résultats pertinents pour votre recherche, affinez-la à l'aide de filtres.

Enquêter sur une alerte

Pour savoir comment utiliser le graphique des alertes et les détails des alertes pour examiner une alerte, suivez la procédure décrite dans Examiner une alerte.

Utiliser des listes de référence dans les recherches

Le processus d'application des listes de référence dans les règles peut également être utilisé dans la recherche. Vous pouvez inclure jusqu'à sept listes dans une même requête de recherche. Tous les types de listes de référence (chaîne, expression régulière, CIDR) sont acceptés.

Vous pouvez créer des listes de toutes les variables que vous souhaitez suivre. Par exemple, vous pouvez créer une liste d'adresses IP suspectes:

// Field value exists in reference list
principal.ip IN %suspicious_ips

Vous pouvez également utiliser plusieurs listes à l'aide de AND ou OR:

// multiple lists can be used with AND or OR
principal.ip IN %suspicious_ips AND
principal.hostname IN %suspicious_hostnames

Affiner les résultats de recherche

Vous pouvez utiliser l'interface utilisateur de la recherche pour filtrer et affiner les résultats au lieu de modifier et d'exécuter à nouveau la recherche.

Graphique chronologique

Le graphique des chronologies fournit une représentation graphique du nombre d'événements et d'alertes qui se produisent chaque jour et qui sont affichés par la recherche en cours. Les événements et les alertes s'affichent sur le même graphique chronologique, disponible dans les onglets Événements et Alertes.

La largeur de chaque barre dépend de l'intervalle de temps recherché. Par exemple, chaque barre représente 10 minutes lorsque la recherche couvre 24 heures de données. Ce graphique est mis à jour de manière dynamique à mesure que vous modifiez la recherche existante.

Remarque :La période maximale de recherche est de 90 jours, de l'heure de début à l'heure de fin.

Ajustement de la période

Vous pouvez ajuster la période du graphique en déplaçant les curseurs blancs vers la gauche ou vers la droite pour vous concentrer sur la période qui vous intéresse. Lorsque vous ajustez la période, les tables "Champs UDM", "Valeurs UDM" et "Événements" sont mises à jour pour refléter la sélection actuelle. Vous pouvez également cliquer sur une seule barre du graphique pour n'afficher que les événements de cette période.

Une fois la période définie, les cases à cocher Événements filtrés et Événements de requête s'affichent, ce qui vous permet de limiter davantage les types d'événements affichés.

Figure 4. Graphique des chronologies des événements avec commandes de plage temporelle

Modifier la recherche UDM avec des agrégations

Les agrégations vous permettent d'affiner davantage votre recherche UDM. Vous pouvez faire défiler la liste des champs UDM ou rechercher des champs ou des valeurs UDM spécifiques à l'aide du champ de recherche. Les champs UDM listés ici sont associés aux listes d'événements existantes générées par votre recherche UDM. Chaque champ UDM inclut le nombre d'événements de votre recherche UDM actuelle qui incluent également cette donnée. La liste des champs UDM affiche le nombre total de valeurs uniques dans un champ. Cette fonctionnalité vous permet de rechercher des types de données de journaux spécifiques qui pourraient vous intéresser.

Les champs UDM sont listés dans l'ordre suivant:

1. Champs avec le nombre d'événements le plus élevé au nombre d'événements le plus faible.
2. Les champs ne comportant qu'une seule valeur sont toujours les derniers.
3. Les champs ayant exactement le même nombre total d'événements sont triés par ordre alphabétique de A à Z.

Remarque :Pour chaque champ UDM, vous pouvez afficher les 30 premières et les 30 dernières valeurs.

Figure 5. Agrégations.

Modifier les agrégations

Si vous sélectionnez une valeur de champ UDM dans la liste "Agrégations" et cliquez sur l'icône de menu, vous pouvez afficher uniquement les événements qui incluent également cette valeur de champ UDM ou l'exclure. Si le champ UDM stocke des valeurs entières (par exemple, target.port), des options de filtrage par <,>,<=,>= s'affichent également. Les options de filtre réduisent la liste des événements affichés.

Vous pouvez également épingler des champs (à l'aide de l'icône en forme de punaise) dans les agrégations pour les enregistrer en tant que favoris. Elles s'affichent en haut de la liste "Agrégations".

Figure 6. Exemple: sélectionnez "Afficher uniquement".

Ces filtres UDM supplémentaires sont également ajoutés au champ "Filtrer les événements". Le champ "Filtrer les événements" vous permet de suivre les champs UDM supplémentaires que vous avez ajoutés à la recherche et de les supprimer si nécessaire.

Lorsque vous cliquez sur Appliquer à la recherche et exécuter, les événements affichés sont filtrés en fonction de ces filtres supplémentaires, et le champ de recherche principal en haut de la page est mis à jour. La recherche est automatiquement exécutée à nouveau à l'aide des mêmes paramètres de date et d'heure.

Remarque :Pour obtenir de meilleurs résultats, nous vous recommandons d'affiner votre recherche autant que possible afin d'améliorer la précision et de réduire les temps de recherche.

Figure 7. Filtrez les événements.

Si vous cliquez sur Ajouter un filtre, une fenêtre s'ouvre et vous permet de sélectionner d'autres champs UDM.

Figure 8. Fenêtre "Filtrer les événements".

Afficher les événements dans le tableau "Événements"

Tous ces filtres et commandes mettent à jour la liste des événements affichés dans le tableau "Événements". Cliquez sur l'un des événements listés pour ouvrir l'observateur de journaux, dans lequel vous pouvez examiner le journal brut et l'enregistrement UDM de cet événement. Si vous cliquez sur le code temporel d'un événement, vous pouvez également accéder à la vue associée pour l'asset, l'adresse IP, le domaine, le hachage ou l'utilisateur. Vous pouvez également utiliser le champ de recherche en haut du tableau pour rechercher un événement spécifique.

Remarque :Le tableau "Événements" n'affiche que les 10 000 événements les plus récents en fonction des filtres appliqués.

Afficher les alertes dans le tableau "Alertes"

Pour afficher les alertes, cliquez sur l'onglet Alertes à droite de l'onglet Événements. Vous pouvez utiliser les agrégations pour trier les alertes par:

• Cas
• Nom
• Priorité
• Gravité
• État
• Évaluation

Vous pouvez ainsi vous concentrer sur les alertes qui vous intéressent le plus.

Les alertes s'affichent sur la même période que les événements dans l'onglet "Événements". Cela vous permet de voir le lien entre les événements et les alertes.

Si vous souhaitez en savoir plus sur une alerte spécifique, cliquez dessus. Une page d'informations détaillées s'ouvre, contenant des informations plus détaillées sur cette alerte.

Afficher les événements dans l'Observateur d'événements

Si vous maintenez le pointeur sur un événement dans le tableau "Événements", l'icône de l'outil d'affichage des événements s'affiche à droite de l'événement mis en surbrillance. Cliquez dessus pour ouvrir le Visionneuse d'événements.

La fenêtre "Journal brut" affiche le signe brut d'origine dans l'un des formats suivants:

• Brut
• JSON
• XML
• CSV
• Hexa/ASCII

La fenêtre UDM affiche l'enregistrement UDM structuré. Vous pouvez maintenir le pointeur sur l'un des champs UDM pour afficher sa définition. Si vous cochez la case des champs UDM, d'autres options s'affichent:

• Copiez l'enregistrement UDM. Sélectionnez un ou plusieurs champs UDM, puis l'option Copier la stratégie UDM dans la liste Afficher les actions. Les champs et les valeurs UDM sont copiés dans le presse-papiers du système.

• Ajouter les champs UDM en tant que colonnes: sélectionnez l'option Ajouter des colonnes dans la liste Afficher les actions.

Chaque champ UDM est associé à une icône indiquant s'il contient des données enrichies ou non. Les libellés des icônes sont les suivants:

• U: les champs non enrichis contiennent des valeurs renseignées lors du processus de normalisation à l'aide des données du journal brut d'origine.

• E: Les champs enrichis contiennent des valeurs que Google SecOps renseigne pour fournir un contexte supplémentaire sur les artefacts dans un environnement client. Pour en savoir plus, consultez Comment Google SecOps enrichit les données sur les événements et les entités.

  

Figure 9 : Champs UDM dans l'Observateur d'événements.

Utiliser l'option "Colonnes" pour la recherche

Utilisez l'option Colonnes pour personnaliser les colonnes affichées dans le tableau "Événements". Le menu Colonnes s'affiche et propose différentes options en fonction des types d'événements renvoyés par la recherche.

Enregistrer l'ensemble de colonnes

Vous pouvez éventuellement enregistrer l'ensemble de colonnes que vous avez sélectionné ici en cliquant sur Enregistrer. Attribuez un nom à l'ensemble de colonnes sélectionnées, puis cliquez à nouveau sur Enregistrer. Vous pouvez charger un ensemble de colonnes enregistrées en cliquant sur Charger, puis en sélectionnant l'ensemble de colonnes enregistrées dans la liste.

Remarque:Si vous sélectionnez Télécharger au format CSV (y compris les journaux bruts), vous pouvez mettre en corrélation les événements UDM normalisés avec les journaux bruts à partir desquels ils ont été générés.

Remarque:Si vous sélectionnez Télécharger au format CSV (y compris les journaux bruts), vous pouvez mettre en corrélation les événements UDM normalisés avec les journaux bruts à partir desquels ils ont été générés.

Pour télécharger les événements affichés, cliquez sur Plus, puis sélectionnez Télécharger au format CSV. Tous les résultats de recherche seront téléchargés, jusqu'à un million d'événements. L'interface utilisateur indique le nombre d'événements qu'elle téléchargera.

Figure 10 : Rechercher dans les colonnes

Utiliser le tableau croisé dynamique pour analyser les événements

Le tableau croisé dynamique vous permet d'analyser les événements à l'aide d'expressions et de fonctions par rapport aux résultats de la recherche.

Pour ouvrir et configurer le tableau croisé dynamique, procédez comme suit:

1. Effectuez une recherche.

2. Cliquez sur l'onglet Tableau croisé dynamique pour ouvrir le tableau croisé dynamique.

3. Spécifiez une valeur Grouper par pour regrouper les événements par champ UDM spécifique. Vous pouvez afficher les résultats en majuscules par défaut ou en minuscules uniquement en sélectionnant minuscules dans le menu. Cette option n'est disponible que pour les champs de chaîne. Vous pouvez spécifier jusqu'à cinq valeurs Regrouper par en cliquant sur Ajouter un champ.

   Si la valeur Grouper par correspond à l'un des champs de nom d'hôte, vous disposez d'options de transformation supplémentaires:

   • Domaine principal de niveau N : sélectionnez le niveau du domaine à afficher. Par exemple, si vous utilisez la valeur 1, seul le domaine de premier niveau s'affiche (par exemple, com, gov ou edu). Si vous utilisez la valeur 3, les deux niveaux suivants des noms de domaine s'affichent (par exemple, google.co.uk).
   • Obtenir le domaine enregistré : affiche uniquement le nom de domaine enregistré (par exemple, google.com, nytimes.com et youtube.com).

   Si la valeur Grouper par est l'un des champs d'adresse IP, vous disposez d'autres options de transformation:

   • (IP) Longueur du préfixe CIDR en bits : vous pouvez spécifier une valeur comprise entre 1 et 32 pour les adresses IPv4. Pour les adresses IPv6, vous pouvez spécifier des valeurs jusqu'à 128.

   Si la valeur Grouper par inclut un code temporel, vous disposez d'options de transformation supplémentaires:

   • (Temps) Résolution en millisecondes
   • (Temps) Résolution en secondes
   • (Temps) Résolution en minutes
   • (Heure) Résolution en heures
   • (Temps) Résolution en jours

4. Spécifiez une valeur pour votre pivot dans la liste des champs de vos résultats. Vous pouvez spécifier jusqu'à cinq valeurs. Après avoir spécifié un champ, vous devez sélectionner une option Récapitulatif. Vous pouvez résumer les informations en utilisant les options suivantes:

   • pondérée
   • count
   • count distinct
   • moyenne
   • stddev
   • min
   • max

5. Spécifiez la valeur Nombre d'événements pour renvoyer le nombre d'événements identifiés pour cette recherche et ce tableau croisé dynamique spécifiques.

   Les options Récapituler ne sont pas universellement compatibles avec les champs Regrouper par. Par exemple, les options sum (somme), average (moyenne), stddev (écart-type), min (valeur minimale) et max (valeur maximale) ne peuvent être appliquées qu'aux champs numériques. Si vous essayez d'associer une option Récapituler incompatible avec un champ Regrouper par, un message d'erreur s'affiche.

6. Spécifiez un ou plusieurs champs UDM, puis sélectionnez un ou plusieurs trieurs à l'aide de l'option Ordonner par.

7. Lorsque vous êtes prêt, cliquez sur Appliquer. Les résultats s'affichent dans le tableau croisé dynamique.

8. Facultatif: Pour télécharger le tableau croisé dynamique, cliquez sur Plus, puis sélectionnez Télécharger au format CSV. Si vous n'avez pas sélectionné de pivot, cette option est désactivée.

Présentation des recherches enregistrées et de l'historique des recherches

Cliquez sur Gestionnaire de recherche pour récupérer les recherches enregistrées et consulter votre historique de recherche. Sélectionnez une recherche enregistrée pour afficher des informations supplémentaires, y compris le titre et la description.

Les recherches enregistrées et l'historique des recherches sont:

• stockées dans votre compte Google SecOps ;

• Visibles et accessibles uniquement par l'utilisateur individuel, sauf si vous utilisez la fonctionnalité Partager une recherche pour partager votre recherche avec votre organisation.

Enregistrer une recherche

Pour enregistrer une recherche, procédez comme suit:

1. Sur la page Recherche, cliquez sur Plus à côté de Exécuter la recherche, puis sur Enregistrer la recherche pour l'utiliser plus tard. La boîte de dialogue Gestionnaire de recherche s'ouvre. Nous vous recommandons de donner à votre recherche enregistrée un nom pertinent et une description en texte brut de ce que vous recherchez. Vous pouvez également créer une recherche dans la boîte de dialogue Gestionnaire de recherche en cliquant sur Ajouter. Les outils standards de modification et de finalisation des UDM sont également disponibles ici.

2. Facultatif: spécifiez des variables d'espace réservé au format ${<variable name>} en utilisant le même format que celui utilisé pour les variables dans YARA-L. Si vous ajoutez une variable à une recherche, vous devez également inclure une invite pour aider l'utilisateur à comprendre les informations requises à saisir avant d'exécuter la recherche. Toutes les variables doivent être renseignées avec des valeurs avant l'exécution d'une recherche.

   Par exemple, vous pouvez ajouter metadata.vendor_name = ${vendor_name} à votre recherche. Pour ${vendor_name}, vous devez ajouter une invite pour les futurs utilisateurs, comme Enter the name of the vendor for your search. Chaque fois qu'un utilisateur charge cette recherche à l'avenir, il est invité à saisir le nom du fournisseur avant d'exécuter la recherche.

3. Lorsque vous avez terminé, cliquez sur Enregistrer les modifications.

4. Pour afficher les recherches enregistrées, cliquez sur Gestionnaire de recherche, puis sur l'onglet Enregistrées.

Récupérer une recherche enregistrée

Pour récupérer et exécuter une recherche enregistrée, procédez comme suit:

1. Dans la boîte de dialogue Gestionnaire de recherche, sélectionnez une recherche enregistrée dans la liste de gauche. Ces recherches enregistrées sont enregistrées dans votre compte Google SecOps.

2. (Facultatif) Supprimez une recherche en cliquant sur Plus, puis en sélectionnant Supprimer la recherche. Vous ne pouvez supprimer que les recherches que vous avez créées.

3. Vous pouvez modifier le nom et la description de la recherche. Cliquez sur Enregistrer les modifications lorsque vous avez terminé.

4. Cliquez sur Charger la recherche. La recherche est chargée dans le champ de recherche principal.

5. Cliquez sur Exécuter la recherche pour afficher les événements associés à cette recherche.

Récupérer une recherche de votre historique des recherches

Pour récupérer et exécuter une recherche à partir de votre historique des recherches, procédez comme suit:

1. Dans le Gestionnaire de recherche, cliquez sur Historique.

2. Sélectionnez une recherche dans votre historique. Votre historique des recherches est enregistré dans votre compte Google SecOps. Vous pouvez supprimer une recherche en cliquant sur Supprimer.

3. Cliquez sur Charger la recherche. La recherche est chargée dans le champ de recherche principal.

4. Cliquez sur Exécuter la recherche pour afficher les événements associés à cette recherche.

Effacer, désactiver ou activer l'historique des recherches

Pour effacer, désactiver ou activer l'historique des recherches, procédez comme suit:

1. Dans le Gestionnaire de recherche, cliquez sur l'onglet Historique.

2. Cliquez sur Plus.

3. Sélectionnez Effacer l'historique pour effacer l'historique des recherches.

4. Cliquez sur Désactiver l'historique pour désactiver l'historique des recherches. Vous avez le choix entre:

   • Désactivation uniquement : désactivez l'historique des recherches.

   • Désactiver et effacer : désactivez l'historique des recherches et supprimez l'historique des recherches enregistré.

5. Si vous avez déjà désactivé l'historique des recherches, vous pouvez le réactiver en cliquant sur Activer l'historique des recherches.

6. Cliquez sur Fermer pour quitter le Gestionnaire de recherche.

Partager une recherche

Les recherches partagées vous permettent de partager des recherches avec votre équipe. Dans l'onglet Enregistrées, vous pouvez partager ou supprimer des recherches. Vous pouvez également filtrer vos recherches en cliquant sur filter_altFiltrer à côté de la barre de recherche, puis en les triant par Tout afficher, Définie par Google SecOps, Par moi ou Partagée.

Vous ne pouvez pas modifier une recherche partagée qui ne vous appartient pas.

Remarque :Vous ne pouvez pas partager avec une seule personne. Si vous partagez votre recherche, elle sera partagée avec l'ensemble de votre organisation.

1. Cliquez sur Enregistré.
2. Cliquez sur la recherche que vous souhaitez partager.
3. Cliquez sur Plus à droite de la recherche. Une boîte de dialogue s'affiche avec l'option permettant de partager votre recherche.
4. Cliquez sur Partager avec votre organisation.
5. Une boîte de dialogue s'affiche, indiquant que le partage de votre recherche sera visible par les membres de votre organisation. Voulez-vous vraiment partager ? Cliquez sur Partager,

Si vous ne souhaitez que vous-même puissiez voir la recherche, cliquez sur Plus, puis sur Arrêter le partage. Si vous arrêtez de la partager, vous seul pourrez utiliser cette recherche.

Champs UDM pouvant ou non être téléchargés au format CSV à partir de la plate-forme

Les champs UDM compatibles et non compatibles pour le téléchargement sont indiqués dans les sous-sections suivantes.

Champs pris en charge

Vous pouvez télécharger les champs suivants dans un fichier CSV à partir de la plate-forme:

• utilisateur

• nom d'hôte

• nom du processus

• type d'événement

• timestamp

• journal brut (valable uniquement lorsque les journaux bruts sont activés pour le client)

• Tous les champs commençant par "udm.additional"

Types de champs valides

Vous pouvez télécharger les types de champs suivants dans un fichier CSV:

• double

• float

• int32

• uint32

• int64

• uint64

• Bool

• chaîne

• énum

• bytes

• google.protobuf.Timestamp

• google.protobuf.Duration

Champs non compatibles

Les champs commençant par "udm" (et non udm.additional) et répondant à l'une des conditions suivantes ne peuvent pas être téléchargés au format CSV:

• L'imbrication du champ est supérieure à 10 niveaux dans le protocole udm.

• Le type de données est "Message" ou "Groupe".

Étape suivante

Pour savoir comment utiliser les données enrichies de contexte dans la recherche, consultez Utiliser les données enrichies de contexte dans la recherche.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.