Aggiungere una visualizzazione grafico a una dashboard

Per aggiungere un grafico o un'altra visualizzazione a una dashboard, utilizza un riquadro di visualizzazione. Il riquadro di visualizzazione mostra i dati della vista LookML associata, denominata Esplora, selezionato durante la creazione del riquadro. In questo documento vengono descritte le seguenti informazioni:

• Come creare grafici e altre visualizzazioni utilizzando il riquadro di visualizzazione.
• Come creare visualizzazioni dei dati che soddisfino casi d'uso specifici.

Panoramica del processo

A livello generale, esegui le seguenti azioni per creare una visualizzazione in una dashboard:

1. Aggiungi un riquadro di visualizzazione alla dashboard.
2. Seleziona Esplora. Un'esplorazione è un punto di partenza per il nuovo riquadro e rappresenta un modello di dati specifico.
3. Seleziona i campi di dati per la visualizzazione. I campi predefiniti sono raggruppati in uno dei seguenti tipi:
   • Dimensioni: attributi dei dati che li descrivono. Esempio: la metratura e il materiale da costruzione di un museo hanno dimensioni diverse all'interno di un set di dati di un museo.
   • Misure: rappresentazione numerica di una o più dimensioni o attributo univoco dei dati, come come conteggio o media.
   • Campi solo con filtro: campi predefiniti che possono essere utilizzati solo in un filtro.
4. Se vuoi, crea e aggiungi al riquadro campi personalizzati che supportano un caso d'uso specifico.
5. Configura il riquadro selezionando quanto segue:
   • Visualizzazione: mostra visivamente i campi selezionati. Ad esempio, un grafico a linee può mostrare le tendenze nel tempo.
   • Filtri: limita la visualizzazione in modo da mostrare solo i dati di tuo interesse. Qualsiasi campo di un'esplorazione può essere utilizzato per creare un filtro.
6. Esegui la visualizzazione per visualizzare l'anteprima dei risultati.
7. Salva il riquadro di visualizzazione.

Le sezioni seguenti di questo documento forniscono informazioni più dettagliate sulla configurazione di ciascun componente in un riquadro di visualizzazione.

Esempio: creare una tabella di dati

I passaggi seguenti forniscono ulteriori dettagli su come creare una tabella di dati utilizzando un riquadro di visualizzazione e mostrare le opzioni di configurazione nella finestra di dialogo Modifica riquadro.

1. In Dashboard personali o Dashboard condivise, seleziona una dashboard e quindi fai clic su Azioni dashboard > Modifica dashboard.
2. Fai clic su Aggiungi > Visualizzazione.
3. Seleziona un modello di dati Esplorazione. Viene visualizzata la finestra di dialogo Modifica riquadro.
4. Inserisci un nome univoco per il riquadro.
5. In Tutti i campi, seleziona i campi predefiniti: Dimensioni e Misure. In genere, per creare una visualizzazione devi scegliere almeno due campi. I campi selezionati vengono visualizzati nella sezione Dati.
6. Se vuoi, crea e aggiungi eventuali campi personalizzati necessari per la visualizzazione. Saranno visualizzati nella sezione Dati.
7. Nella sezione Visualizzazione, seleziona Tabella come tipo di visualizzazione. La visualizzazione mostra i campi di dati selezionati nella tabella.
8. Nella sezione Filtri, definisci i filtri che limitano i per mostrare solo i dati di interesse. Qualsiasi campo di un'esplorazione può essere utilizzato per creare un filtro.
9. Nella sezione Dati:
   • Fai clic su Esplora intestazione campo per ordinare i campi in ordine crescente o decrescente.
   • Imposta Limite di righe per limitare il numero di righe visualizzate nella visualizzazione.
10. Fai clic su Esegui per visualizzare l'anteprima della visualizzazione utilizzando i dati SIEM di Google Security Operations.
11. Fai clic su Salva. Viene visualizzata la dashboard con il riquadro appena aggiunto.

La seguente immagine identifica la posizione nella finestra di dialogo Modifica riquadro in cui esegui questi passaggi.

Finestra di dialogo Modifica riquadro con configurazione

Scegli un modello dei dati Esplora

La soluzione SIEM per le operazioni di sicurezza di Google fornisce diversi modelli di dati che puoi utilizzare per creare una dashboard. Ogni modello dei dati è un'esplorazione di Looker che definisce un sottoinsieme di campi UDM.

Un'esplorazione è il punto di partenza per la creazione di un nuovo riquadro di visualizzazione. È progettato per esplorare un determinato modello di dati. Seleziona un'esplorazione del modello di dati per ogni riquadro di visualizzazione.

Il SIEM di Google Security Operations fornisce le seguenti esplorazioni del modello di dati:

• Grafico entità
• Corrispondenze IOC
• Metrica relativa all'importazione con statistiche sull'importazione
• Metriche di importazione
• Statistiche di importazione
• Rilevamenti regole
• Set di regole con rilevamenti
• Eventi UDM
• Dati aggregati sugli eventi UDM

Se vuoi, puoi creare campi personalizzati da utilizzare solo con il riquadro in cui vengono creati.

Seleziona i campi per la visualizzazione del grafico

Dopo aver selezionato l'esplorazione per un riquadro, i campi UDM predefiniti vengono visualizzati nella scheda Tutti i campi della finestra di dialogo Esplora.

Dopo aver selezionato i campi dalla scheda Tutti i campi, questi vengono visualizzati sia nella scheda In uso sia nella sezione Dati. Le seguenti sottosezioni descrivono i tipi di campi che puoi scegliere per creare una visualizzazione del grafico.

Campi predefiniti

Ogni esplorazione include un insieme diverso di campi UDM predefiniti. I campi predefiniti disponibili nel riquadro sono specifici del modello di dati selezionato dalla finestra di dialogo Scegli un'esplorazione.

I campi predefiniti sono raggruppati nei seguenti tipi:

• Dimensioni
• Misure
• Campi solo con filtri

Le icone accanto a ogni campo mostrano ulteriori informazioni e indicano le opzioni disponibili. ad esempio Filtra per campo, Dati pivot, Aggrega, Cestino o Gruppo. Fai clic sull'icona Informazioni per visualizzare il testo della guida relativo al campo. Queste icone sono visibili quando tieni premuto il cursore sopra un campo. Per saperne di più, consulta Informazioni e azioni specifiche per i campi.

Puoi utilizzare i campi predefiniti per creare dimensioni personalizzate, misure personalizzate, calcoli di tabelle e applicare filtri al riquadro.

Un'esplorazione potrebbe includere campi deprecati che non sono più supportati. I campi deprecati sono identificati da un nome di campo seguito da [D].

Alcuni modelli di dati includono campi solo con filtri predefiniti che possono essere utilizzati solo in un filtro. I campi solo con filtri in un modello di dati possono includere uno o più tra i seguenti tipi di campi:

• Singoli campi UDM
• Campi UDM raggruppati

Alcuni modelli di dati di esplorazione, come gli eventi UDM, includono misure più granulari per i campi che memorizzano un timestamp (ad esempio principal.artifact.first_seen_time e security_result.about.file.last_modification_time).

Queste misure separano il timestamp in incrementi più granulari, come ora, giorno, settimana o anno. Il modello fornisce anche una misura minima e massima per ogni incremento. In questo modo puoi creare grafici più dettagliati che aggregano i conteggi degli eventi in base al tempo e agli incrementi di tempo.

Campi personalizzati

I campi personalizzati sono quelli che crei utilizzando i campi predefiniti disponibili nel modello di dati del riquadro. I campi personalizzati possono essere utilizzati solo in quel riquadro.

Puoi creare uno dei seguenti tipi di campi personalizzati:

• Dimensioni personalizzate
• Misure personalizzate
• Espressioni di tabelle personalizzate

Per accedere al menu dei campi personalizzati nella finestra di dialogo Modifica riquadro, fai clic su + Aggiungi in Tutti i campi > Campi personalizzati. La seguente immagine mostra la posizione del menu.

Creare una dimensione personalizzata

Le dimensioni personalizzate sono attributi univoci che ti aiutano a descrivere i dati. Ad esempio, la concatenazione del nome e del cognome di un utente può essere una dimensione personalizzata.

Per aggiungere dimensioni personalizzate a un riquadro, procedi nel seguente modo:

1. Apri una dashboard esistente da modificare o creane una nuova.
2. Apri un riquadro da modificare.
3. Nella sezione Campi personalizzati della finestra di dialogo Modifica riquadro, fai clic su + Aggiungi > Dimensione personalizzata. Viene visualizzata la finestra di dialogo Crea dimensione personalizzata.
4. Nella finestra di dialogo Crea dimensione personalizzata, procedi nel seguente modo:
   1. Nel campo Espressione, inserisci un'espressione di Looker che definisce il valore utilizzando qualsiasi funzione e operatore di Looker. L'editor di espressioni di Looker suggerisce i nomi dei campi e mostra la guida alla sintassi per tutte le funzioni utilizzate. Di seguito sono riportati alcuni esempi di espressioni:
      • Concatena il nome del feed IOC e il valore IOC. Puoi utilizzare questo esempio solo nell'esplorazione Corrispondenze IOC. concat( ${ioc_matches.feed_name}, " | ", ${ioc_matches.ioc_value} )
      • Restituisce il primo valore non vuoto. L'ordine è nome host e poi indirizzo IP. Se nessuna di queste opzioni esiste, mostra _. Puoi utilizzare questo esempio solo nell'esplorazione del grafico delle entità. coalesce(${entity_graph.entity__asset__hostname}, ${entity_graph__entity__asset__ip.entity_graph__entity__asset__ip},"-")
   2. Seleziona un formato dal menu Formato.
   3. Specifica il nome della dimensione personalizzata nel campo Nome. Questo valore verrà visualizzato nella scheda Tutti i campi e nella tabella Dati.
   4. Seleziona + Aggiungi descrizione per aggiungere una descrizione nel campo Descrizione.
   5. Fai clic su Salva.

La scheda Tutti i campi mostra il campo nella sezione Campi personalizzati. Come per gli altri campi, puoi selezionare una dimensione personalizzata per aggiungerla o rimuoverla dal riquadro.

Crea misure personalizzate

Le misure sono una rappresentazione numerica di una o più dimensioni (o attributi univoci dei dati), come un conteggio o una media. Le misure ti consentono di calcolare gli indicatori chiave di prestazione (KPI) e aiutano gli utenti ad analizzare i dati utilizzando diversi attributi aggregati.

Le misure personalizzate ti consentono di definire un calcolo numerico specifico per un campo. A seconda del tipo di campo, sono disponibili solo alcuni tipi di misure.

Per aggiungere una misura personalizzata a un riquadro:

1. Apri una dashboard esistente da modificare o creane una nuova.
2. Apri un riquadro da modificare.
3. Nella sezione Campi personalizzati della finestra di dialogo Modifica riquadro, fai clic su + Aggiungi. e seleziona Misura personalizzata. Viene visualizzata la finestra di dialogo Crea misura personalizzata.

4. Nella finestra di dialogo Crea misura personalizzata, procedi nel seguente modo:

   1. Seleziona un campo dal menu Campo da misurare.
   2. Seleziona un tipo di misura dal menu Tipo di misura.
   3. Specifica un nome nel campo Nome. Il nome viene visualizzato nel selettore campi e nella tabella dei dati.

   4. Nella scheda Filtri, segui questi passaggi:

      1. Per aggiungere una condizione di filtro, seleziona un campo dal menu Nome filtro. Puoi aggiungere o rimuovere condizioni di filtro utilizzando rispettivamente i pulsanti e Valore filtro.
      2. Puoi selezionare la freccia accanto a Filtro personalizzato per creare un filtro personalizzato utilizzando una qualsiasi Funzione e operatore di Looker che possono essere utilizzati in filtri personalizzati. L'editor di espressioni di Looker suggerisce i nomi dei campi e mostra la guida alla sintassi per tutte le funzioni utilizzate. Di seguito sono riportati alcuni esempi di espressioni:
         • Misura i log del feed IOC per valori univoci. Puoi utilizzare questo esempio solo nell'esplorazione Corrispondenze IOC. ${ioc_matches.feed_log_type} != ""
         • Misura i secondi del bucket giorno IOC: ${ioc_matches.day_bucket_seconds}

   5. Nella scheda Dettagli campo, segui questi passaggi:

      • Seleziona un formato dal menu Formato.
      • Se vuoi, aggiungi una descrizione di massimo 255 caratteri nel campo Descrizione per fornire agli altri utenti ulteriori dettagli sul campo personalizzato.

   6. Fai clic su Salva.

La scheda Tutti i campi mostra il campo nella sezione Campi personalizzati. Come per gli altri campi, puoi selezionare il campo personalizzato da aggiungere al riquadro.

Creare un calcolo tabulare personalizzato

I calcoli tabulari consentono di creare metriche ad hoc. Sono paragonabili alle formule disponibili nei fogli di calcolo, come Fogli Google.

Google Security Operations ti offre la possibilità di aggiungere calcoli personalizzati a un riquadro. Questi calcoli tabulari personalizzati vengono creati utilizzando espressioni Looker. Puoi creare calcoli tabulari utilizzando solo i campi dell'esplorazione.

Completa i seguenti passaggi per creare un calcolo tabulare e aggiungerlo a un riquadro:

1. Apri una dashboard esistente da modificare o creane una nuova.
2. Apri un riquadro da modificare.
3. Nella sezione Campi personalizzati della finestra di dialogo Modifica riquadro, fai clic su + Aggiungi > Calcolo tabella. Viene visualizzata la finestra di dialogo Crea calcolo tabulare.
4. Nella finestra di dialogo Crea calcolo tabulare, segui questi passaggi:
   1. Seleziona un tipo di calcolo dal menu Calcolo. Le opzioni disponibili per le espressioni personalizzate vengono visualizzate per impostazione predefinita.
   2. Inserisci un'espressione di Looker nel campo per definire un calcolo. Di seguito sono riportati alcuni esempi di espressioni di calcolo tabulare:
      • La seguente espressione utilizza la funzione diff hours per mostrare la differenza tra due timestamp. Puoi usare questo esempio solo nell'esplorazione Rilevamenti regole. diff_hours( ${rule_detections.detection__detection_timestamp_date}, ${rule_detections.detection__commit_timestamp_date} )
      • La seguente espressione conteggia i valori IOC. Puoi utilizzare questo esempio solo nell'esplorazione Partite IOC. count(${ioc_matches.ioc_value})
   3. Seleziona un formato dal menu Formato.
   4. Inserisci un nome per il calcolo nel campo Nome.
   5. Seleziona + Aggiungi descrizione per aggiungere una descrizione facoltativa che fornisca agli altri utenti un contesto più preciso sul calcolo tabulare.
   6. Fai clic su Salva.

La scheda Tutti i campi mostra il campo nella sezione Campi personalizzati. Come con altri campi, puoi selezionare il campo di calcolo personalizzato per aggiungerlo o rimuoverlo dal riquadro.

Seleziona il tipo di grafico di visualizzazione

Le visualizzazioni mostrano i dati in modo visivo per aiutarti a individuare anomalie e tendenze. La dashboard SIEM di Google Security Operations si basa sulla tecnologia Looker, incluse le visualizzazioni di Looker.

Di seguito sono riportati i tipi di visualizzazione che puoi utilizzare in Google Security Operations SIEM dashboard:

• Opzioni del grafico a colonne
• Opzioni del grafico a barre
• Opzioni del grafico a dispersione
• Opzioni del grafico a linee
• Opzioni del grafico ad area
• Opzioni del grafico box plot
• Opzioni del grafico a cascata
• Opzioni del grafico a torta
• Opzioni del grafico ad anello
• Opzioni del grafico a imbuto
• Opzioni del grafico a cronologia
• Opzioni per i grafici a valore singolo
• Opzioni del grafico Record singolo
• Opzioni dei grafici a tabella
• Opzioni dei grafici a tabella (legacy)
• Opzioni grafico nuvola di Word
• Opzioni dei grafici di Google Maps
• Opzioni per i grafici delle mappe
• Opzioni del grafico Mappa statica (regioni)
• Opzioni del grafico Mappa statica (punti)

Utilizzando il pulsante Esegui nella finestra di dialogo Modifica riquadro, puoi visualizzare un'anteprima utilizzando i campi e il tipo di visualizzazione selezionati. Aggiorna l'anteprima dopo aver aggiustato e modificato la configurazione del riquadro facendo clic su Esegui.

Seleziona i campi da utilizzare come filtri

I filtri ti consentono di limitare i dati mostrati nella visualizzazione in modo che mostrino solo gli elementi di interesse. Puoi creare filtri utilizzando i campi del modello dei dati Esplora.

La dashboard SIEM di Google Security Operations si basa sulla tecnologia Looker, inclusi i filtri di Looker. Puoi creare i seguenti tipi di filtri in un riquadro:

• I filtri standard creano filtri utilizzando campi predefiniti o personalizzati. Definisci questi filtri utilizzando la sezione Filtri della finestra di dialogo Modifica riquadro.
• Filtri personalizzati con Espressioni di Looker: specifica una logica di business dettagliata, combina entrambe AND e OR oppure utilizza le funzioni di Looker. Fai clic sull'espressione personalizzata. nella sezione Filtri della finestra di dialogo Modifica riquadro.

Alcuni campi predefiniti possono essere utilizzati in un filtro. Questi campi vengono visualizzati nella sezione Tutti i campi solo quando il modello dei dati include campi Solo filtro predefiniti.

Per aggiungere un filtro a un riquadro, procedi nel seguente modo:

1. Apri una dashboard da modificare o crea una nuova dashboard.
2. Apri un riquadro da modificare.
3. Nella sezione Tutti i campi, seleziona i campi da utilizzare come filtri facendo clic su Filtra per campo accanto a ciascun nome di campo.

4. Nella sezione Filtri, puoi:

   • Definisci le condizioni di filtro per ogni campo elencato nella sezione Filtri.
   • Fai clic su Espressione personalizzata e aggiungi valori nel campo Filtro personalizzato.

5. Fai clic su Esegui per aggiornare l'anteprima della visualizzazione.

Esempi che risolvono casi d'uso specifici

Le seguenti sezioni descrivono come creare visualizzazioni che supportano e casi d'uso specifici.

Creare un riquadro che mostri i tipi di IOC

Per aggiungere un riquadro alla dashboard al fine di monitorare i tipi di IOC, segui questi passaggi:

1. Apri una dashboard da modificare o crea una nuova dashboard.
2. Fai clic su Aggiungi > Visualizzazione.
3. Nella finestra di dialogo Scegli un'esplorazione, seleziona Partite IOC.
4. Inserisci un nome per il riquadro.
5. Seleziona le seguenti dimensioni: Tipo di IoT e Data e ora dell'evento > Data:
6. Seleziona le seguenti misure: Conteggio.
7. Nella scheda In uso, tieni il puntatore sopra Date Event Timestamp Date (Data Timestamp evento Data). campo, quindi seleziona Filtra per campo. In questo modo, il campo viene aggiunto alla sezione Filtri.
8. Nella sezione Filtri, applica le condizioni di filtro che vuoi utilizzare.
9. Nella sezione Visualizzazione, seleziona l'icona Colonna.

10. Nella sezione Dati, segui questi passaggi:

    • Fai clic sull'intestazione Conteggio corrispondenze Ioc per ordinare i campi in ordine crescente o decrescente.
    • Imposta il Limite di righe su un valore, ad esempio 50, per limitare le righe mostrate nella visualizzazione.

11. Dopo aver configurato il riquadro, fai clic su Esegui per visualizzare l'anteprima della visualizzazione. utilizzando i dati di Google Security Operations. L'anteprima viene visualizzata con i tipi di IOC in base alle corrispondenze degli IOC con la data del timestamp dell'evento.

    L'immagine seguente mostra un esempio del grafico creato seguendo questi passaggi.

    

12. Fai clic su Salva.

Viene visualizzata la pagina Dashboard con il riquadro appena aggiunto.

Creare un riquadro con campi enumerati

Il modello di dati unificato SIEM di Google Security Operations include più campi enumerati con memorizzati sia come testo che come numeri. I valori associati a ogni campo enum possono nell'elenco dei campi UDM.

In alcune esplorazioni, il valore di testo e il valore numerico del campo enum vengono memorizzati in campi distinti. Ad esempio, con il campo metadata.event_type uno dei valori dell'enum è FILE_CREATION e il numero correlato è 14001.

In un'esplorazione, i seguenti campi memorizzano i valori metadata.event_type:

• metadata.event_type memorizza il valore numerico 14001.
• metadata.event_type_enum_name memorizza il valore di testo FILE_CREATION.

Quando aggiungi un campo enumerato a un riquadro, aggiungi il campo che memorizza il valore di testo anziché il numero.

Segui le istruzioni riportate di seguito per aggiungere un riquadro con campi enumerati a una dashboard:

1. Apri una dashboard da modificare o crea una nuova dashboard.
2. Fai clic su Aggiungi > Visualizzazione.
3. Nella finestra di dialogo Scegli un'esplorazione, seleziona Eventi UDM.
4. Inserisci un nome per il riquadro.
5. In Trova un campo, cerca un campo UDM, ad esempio metadata.event_type.
6. In Dimensioni, seleziona metadata.event_type_enum_name e security_result.action_enum_name.
7. In Misurazioni, seleziona Conteggio.
8. Nella scheda In uso, tieni il puntatore sopra security_result.action_enum_name. campo, quindi seleziona Filtra per campo. Vengono visualizzati i filtri del campo selezionato nella sezione Filtri.
9. Nella sezione Filtri, seleziona è uguale a e poi BLOCCO come valori.
10. Nella sezione Visualizzazione, seleziona l'icona Tabella.

11. Nella sezione Dati, segui questi passaggi:

    • Fai clic sull'intestazione Conteggio UDM per ordinare i campi in ordine crescente o decrescente.
    • Imposta il Limite righe su un valore (ad esempio 50) per limitare le righe mostrate nella visualizzazione.

12. Fai clic su Esegui per visualizzare l'anteprima della visualizzazione utilizzando i dati di Google Security Operations. L'anteprima viene visualizzata con i valori metadata.event_type per numero dove il nome security_result.action_enum è BLOCK.

    L'immagine seguente mostra un esempio del grafico creato seguendo questi passaggi.

    

13. Fai clic su Salva.

Viene visualizzata la pagina Dashboard con il riquadro appena aggiunto.

Utilizzare un pivot in una tabella di dati

Puoi utilizzare un pivot per visualizzare i conteggi degli eventi in più dimensioni.

Il seguente riquadro mostra il conteggio degli eventi per i valori all'interno dei metadata.event_type_enum_name e security_result_action_enum_name campi. In questo esempio, viene applicato un pivot al campo security_result_action_enum_name.

Completa i seguenti passaggi per creare questa tabella di dati contenente un pivot:

1. Apri una dashboard esistente da modificare o creane una nuova.
2. Fai clic su Aggiungi > Visualizzazione.
3. Nella finestra di dialogo Scegli un'esplorazione, seleziona Eventi UDM.
4. Inserisci un nome per il riquadro.
5. Seleziona i campi Dimensione metadata.event_type_enum_name e security_result_action_enum_name.
6. Seleziona il campo Misura Count.
7. Nella sezione Filtro, crea i seguenti filtri:
   • UDM metadata_event_timestamp è nelle ultime 2 ore.
   • UDM security_result.action_enum_name non è null.
8. Nella scheda In uso, verifica che vengano visualizzati i seguenti campi. Se presente mancante, ripeti i passaggi precedenti per configurare il riquadro.
   • metadata.event_timestamp
   • metadata.event_type_enum_name - metadata
   • security_result_action_enum_name - security_result
   • Count
9. Nella sezione Dati, fai clic sull'icona nell'intestazione della colonna security_result.action_enum_name e poi seleziona Pivot.
10. Nella griglia viene visualizzata una nuova riga in Dati.
11. Nella sezione Visualizzazione, seleziona l'icona Tabella.
12. Fai clic su Esegui per visualizzare un'anteprima della visualizzazione.

L'immagine seguente mostra queste opzioni di configurazione nella finestra di dialogo Modifica riquadro.

Opzioni di configurazione per il pivot in una tabella di dati

Utilizzare un pivot con i campi delle date per creare un grafico a cronologia

Puoi utilizzare una tabella pivot con campi data per creare un grafico temporale. Le seguenti mostra il conteggio orario degli eventi per i valori nei campi security_result_action_enum_name.

In questo esempio, viene applicato un pivot al campo security_result_action_enum_name. Il filtro limita l'intervallo di date ed esclude i dati in cui il valore security_result_action_enum_name è null. Usa il campo data predefinito di metadata.event_timestamp Hour che esegue il partizionamento dei dati per ora.

Per utilizzare un pivot con i campi di dati:

1. Apri una dashboard da modificare o crea una nuova dashboard.
2. Fai clic su Aggiungi > Visualizzazione.
3. Nella finestra di dialogo Scegli un'esplorazione, seleziona Eventi UDM.
4. Inserisci un nome per il riquadro.
5. Seleziona i campi Dimensione: metadata.event_timestamp Hour e security_result_action_enum_name.
6. Seleziona il campo Misura: Count.
7. Nella sezione Filtro, crea i seguenti filtri:
   • UDM metadata_event_timestamp è nell'intervallo, quindi seleziona una data e un'ora di inizio e di fine.
   • UDM security_result.action_enum_name non è null.
8. Nella scheda In uso, verifica che vengano visualizzati i seguenti campi. Se presente mancante, ripeti i passaggi precedenti per configurare il riquadro.
   • metadata.event_timestamp
   • metadata.event_timestamp Hour - metadata
   • security_result_action_enum_name - security_result
   • Count
9. Nella sezione Dati, fai clic sull'icona . nell'intestazione della colonna security_result.action_enum_name, quindi seleziona Pivot. Nella griglia di dati viene visualizzata una nuova riga.
10. Nella sezione Visualizzazione, seleziona l'icona Tabella.
11. Fai clic su Esegui per visualizzare un'anteprima della visualizzazione.

L'immagine seguente mostra queste opzioni di configurazione nella finestra di dialogo Modifica riquadro.

Opzioni di configurazione per il pivot in un campo data

Creare un grafico con misure dettagliate dei timestamp

Puoi creare un grafico con i conteggi degli eventi per ogni tipo di log e i log meno recenti Timestamp (min) e più recente (max). Questo grafico utilizza il campo metadata.product_name per identificare il tipo di log.

Per creare un grafico con timestamp min o max:

1. Apri una dashboard esistente da modificare o crea una nuova dashboard.

2. Fai clic su Aggiungi > Visualizzazione.

3. Nella finestra di dialogo Scegli un'esplorazione, seleziona Eventi UDM.

4. Inserisci un nome per il riquadro.

5. Seleziona il campo Dimensione: metadata.product_name.

6. Seleziona i campi Misura: Count, metadata.event_timestamp (min) Date, metadata.event_timestamp (max) Date.

7. Fai clic su Esegui per visualizzare l'anteprima della visualizzazione. L'anteprima è visualizzata e mostrano metadata.event_timestamp (min) Date e metadata.event_timestamp (max) Date nel formato data.

8. Fai clic su Salva. Viene visualizzata la pagina Dashboard con il grafico appena aggiunto. Il grafico include le colonne metadata.product_name, UDM, metadata.event_timestamp (min) Date e metadata.event_timestamp (max) Date con valori.