ダッシュボードにグラフのビジュアリゼーションを追加する

グラフやその他のビジュアリゼーションをダッシュボードに追加するには、ビジュアリゼーションタイルを使用します。ビジュアリゼーションタイルは、タイルの作成時に選択した、関連する LookML ビュー（Explore）からのデータを表示します。このドキュメントの内容は次のとおりです。

ビジュアリゼーションタイルを使用して、グラフやその他のビジュアリゼーションを作成する方法。
特定のユースケースを満たすデータビジュアリゼーションの作成方法。

手順の概要

大まかには、次の操作を行ってダッシュボードでビジュアリゼーションを作成します。

ダッシュボードにビジュアリゼーションタイルを追加します。
[Explore] を選択します。Explore は新しいタイルの開始点であり、特定のデータモデルを表します。
ビジュアリゼーション用のデータフィールドを選択します。事前定義されたフィールドは、次のいずれかのタイプにグループ化されます。
- [ディメンション]: データを記述するデータの属性。例: 博物館の面積と建築材料は、博物館のデータセット内で異なるディメンションです。
- measure: 1 つ以上のディメンションの数値表現、またはデータの一意な属性（count や average など）。
- フィルタ限定のフィールド: フィルタでのみ使用できる、事前定義されたフィールド。
必要に応じて、カスタムフィールドを作成し、特定のユースケースをサポートするタイルに追加します。
以下を選択してタイルを構成します。
- ビジュアリゼーション: 選択したフィールドを視覚的に表示します。たとえば、折れ線グラフでは、時間の経過に伴う傾向を表示できます。
- フィルタ: 関心のあるデータのみを表示するようにビジュアリゼーションを制限します。Explore の任意のフィールドを、フィルタの作成に使用できます。
ビジュアリゼーションを実行して結果をプレビューします。
ビジュアリゼーションタイルを保存します。

このドキュメントの以降のセクションでは、ビジュアリゼーションタイルの各コンポーネントの構成方法について詳しく説明します。

例: データテーブルを作成する

次の手順では、ビジュアリゼーションタイルを使用してデータテーブルを作成する方法と、[タイルを編集] ダイアログに構成オプションを表示する方法について詳しく説明します。

[個人用ダッシュボード] または [共有ダッシュボード] からダッシュボードを選択し、 [ダッシュボードアクション] > [ダッシュボードの編集] をクリックします。
[追加] > [ビジュアリゼーション] をクリックします。
[Explore] データモデルを選択します。[タイルを編集] ダイアログが表示されます。
一意のタイル名を入力します。
[すべてのフィールド] で事前定義されたフィールド（[ディメンション] と [measure]）を選択します。通常、ビジュアリゼーションを作成するには、少なくとも 2 つのフィールドを選択する必要があります。選択したフィールドが [データ] セクションに表示されます。
必要に応じて、ビジュアリゼーションに必要なカスタムフィールドを作成して追加します。これらは [データ] セクションに表示されます。
[ビジュアリゼーション] セクションで、ビジュアリゼーションタイプとして [テーブル] を選択します。ビジュアリゼーションでは、選択したデータフィールドがテーブルに表示されます。
[フィルタ] セクションで、目的のデータのみを表示するようにビジュアリゼーションを制限するフィルタを定義します。Explore の任意のフィールドを、フィルタの作成に使用できます。
[データ] セクションで、次の操作を行います。
- [Explore のフィールドヘッダー] をクリックして、フィールドを昇順または降順で並べ替えます。
- ビジュアリゼーションに表示される行数を制限するには、[行数上限] を設定します。
[実行] をクリックすると、Google Security Operations SIEM データを使用してビジュアリゼーションがプレビューされます。
[Save] をクリックします。[ダッシュボード] に、新しく追加されたタイルが表示されます。

次の画像は、これらの手順を行う [タイルを編集] ダイアログ内の場所を示しています。

構成を使用した [タイルを編集] ダイアログ

構成を使用した [タイルを編集] ダイアログ

Explore のデータモデルを選択する

Google Security Operations SIEM には、ダッシュボードの構築に使用できる複数のデータモデルが用意されています。各データモデルは、UDM フィールドのサブセットを定義する Looker Explore です。

Explore は、新しいビジュアリゼーションタイルを作成する際の出発点です。特定のデータモデルを調べるように設計されています。ビジュアリゼーションタイルごとに 1 つのデータモデル Explore を選択します。

Google Security Operations SIEM には、次のデータモデルの Explore が用意されています。

[Entity Graph]
[IOC Matches]
[Ingestion Metric with Ingestion Stats]
[Ingestion Metrics]
[Ingestion Stats]
Rule Detections
[Rulesets with Detections]
[UDM Events]
[UDM Events Aggregates]

必要に応じて、作成されたタイルのみで使用するカスタムフィールドを作成できます。

グラフのビジュアリゼーション用のフィールドを選択する

タイルの Explore を選択すると、[Explore] ダイアログの [すべてのフィールド] タブに事前定義済みの UDM フィールドが表示されます。

[すべてのフィールド] タブでフィールドを選択すると、[使用中] タブと [データ] セクションの両方に表示されます。以下のサブセクションでは、グラフのビジュアリゼーションを作成するために選択できるフィールドの種類について説明します。

事前定義済み項目

Explore には、それぞれ異なる事前定義済みの UDM フィールドのセットが含まれています。タイルで使用できる事前定義済みのフィールドは、[Explore を選択] ダイアログで選択したデータモデルに固有のものです。

事前定義されたフィールドは、次のタイプにグループ化されます。

次元
メジャー
フィルタ限定フィールド

各フィールドの横にあるアイコンは、詳細情報と使用可能なオプション（[フィールドでフィルタ]、[ピボットデータ]、[集計]、[ビン]、[グループ化] など）を示します[情報] アイコンをクリックして、フィールドのヘルプテキストを表示します。これらのアイコンは、フィールドの上にポインタを置くと表示されます。詳細は、フィールド固有の情報およびアクションをご覧ください。

事前定義されたフィールドを使用して、カスタムディメンションの作成、カスタム measure の作成、表計算の作成、タイルへのフィルタの適用を行えます。

Explore に、サポートが終了したフィールドが含まれている可能性があります。サポート終了フィールドは、フィールド名の後の [D] で識別されます。

特定のデータモデルには、フィルタでのみ使用できる事前定義されたフィルタ限定フィールドが含まれています。データモデルのフィルタ限定フィールドには、次のフィールドタイプを 1 つ以上含めることができます。

UDM イベントなど、一部の Explore データモデルには、タイムスタンプを格納するフィールド（principal.artifact.first_seen_time や security_result.about.file.last_modification_time など）に、より詳細な measure が含まれています。

これらの measure は、タイムスタンプを時間、日、週、年など、より細かい単位に分割します。このモデルは、各単位の最小値と最大値も提示します。これにより、時間と時間の増加に基づいてイベント数を集計するより詳細なグラフを作成できます。

カスタムフィールド

カスタムフィールドは、タイルのデータモデルで使用できる事前定義されたフィールドを使用して作成するフィールドです。カスタムフィールドは、そのタイルでのみ使用できます。

次のタイプのカスタムフィールドを作成できます。

カスタムディメンション
カスタムメジャー
カスタムテーブル式

[タイルを編集] ダイアログでカスタムフィールドメニューにアクセスするには、[すべてのフィールド] の [+ 追加] > [カスタムフィールド] セクションをクリックします。次の画像は、メニューの場所を示しています。

カスタムディメンションを作成する

カスタムディメンションは、データの説明に役立つ一意の属性です。たとえば、ユーザーの姓と名の連結をカスタムディメンションとして指定できます。

タイルにカスタムディメンションを追加するには、次の手順を行います。

既存のダッシュボードを開いて編集するか、新しいダッシュボードを作成します。
編集するタイルを開きます。
[タイルを編集] ダイアログの [カスタムフィールド] セクションで、[+ 追加] > [カスタムディメンション] をクリックします。[カスタムディメンションを作成] ダイアログが表示されます。
[カスタムディメンションを作成] ダイアログで、次の操作を行います。
1. [式] フィールドに、Looker 関数と演算子を使用して値を定義する Looker 式を入力します。Looker 式エディタでは、フィールド名が提案され、使用する関数の構文ヘルプが表示されます。式の例を次に示します。
  - IOC フィード名と IOC 値を連結します。この例は、[IOC Matches] Explore でのみ使用できます。concat( ${ioc_matches.feed_name}, " | ", ${ioc_matches.ioc_value} )
  - 空ではない最初の値を返します。順序はホスト名、次に IP アドレスです。どちらも存在しない場合は、_ が表示されます。この例は、[Entity Graph] Explore でのみ使用できます。coalesce(${entity_graph.entity__asset__hostname}, ${entity_graph__entity__asset__ip.entity_graph__entity__asset__ip},"-")
2. [表示形式] メニューから表示形式を選択します。
3. [名前] フィールドにカスタムディメンション名を指定します。この値は、[すべてのフィールド] タブと [データ] テーブルに表示されます。
4. [+ 説明を追加] を選択して、[説明] フィールドに説明を追加します。
5. [保存] をクリックします。

[すべてのフィールド] タブには、[カスタムフィールド] セクション内にフィールドが表示されます。他のフィールドと同様に、カスタムディメンションを選択して、タイルへの追加や、タイルからの削除ができます。

カスタム measure を作成する

measure は、1 つ以上のディメンションの数値表現（またはデータの一意の属性）です（count や average など）。measure を使用すると、重要業績評価指標（KPI）を計算し、さまざまな集計属性を使用してデータを分析できます。

カスタム measure を使用すると、フィールドに対して特定の数値計算を定義できます。フィールドタイプに応じて、特定の種類の measure のみを使用できます。

タイルにカスタム measure を追加するには、次の手順を行います。

既存のダッシュボードを開いて編集するか、新しいダッシュボードを作成します。
編集するタイルを開きます。
[タイルを編集] ダイアログの [カスタムフィールド] セクションで、[+ 追加] をクリックして、[カスタム measure ] を選択します。[カスタム measure を作成] ダイアログが表示されます。
[カスタム measure を作成] ダイアログで、次の操作を行います。
1. [Field to measure] メニューからフィールドを選択します。
2. [measure タイプ] メニューから measure タイプを選択します。
3. [名前] フィールドに名前を指定します。名前がフィールドピッカーおよびデータテーブルに表示されます。
4. [フィルタ] タブで、次の操作を行います。
  1. フィルタ条件を追加するには、[フィルタ名] メニューからフィールドを選択します。フィルタ条件を追加または削除するには、との [フィルタ値] ボタンをそれぞれ使用します。
  2. [カスタムフィルタ] の横にある矢印を選択して、カスタムフィルタで使用可能な任意の Looker 関数と演算子を使用してカスタムフィルタ式を作成できます。Looker 式エディタでは、フィールド名が提案され、使用する関数の構文ヘルプが表示されます。式の例を次に示します。
    - 一意の値の IOC フィードログを測定します。この例は、[IOC Matches] Explore でのみ使用できます。${ioc_matches.feed_log_type} != ""
    - IOC の日バケット秒を測定します。${ioc_matches.day_bucket_seconds}
5. [フィールドの詳細] タブで、次の操作を行います。
  - [表示形式] メニューから表示形式を選択します。
  - 必要に応じて、[説明] フィールドに最大 255 文字の説明を追加して、他のユーザーにカスタムフィールドに関する追加情報を提供します。
6. [保存] をクリックします。

[すべてのフィールド] タブには、[カスタムフィールド] セクション内にフィールドが表示されます。他のフィールドと同様に、カスタムフィールドを選択してタイルに追加できます。

カスタム表計算を作成する

表計算を使用すると、アドホック指標を作成できます。これは、Google スプレッドシートなどのスプレッドシートツールの式に相当します。

Google Security Operations では、カスタム計算をタイルに追加することもできます。これらのカスタム表計算は、Looker 式を使用して作成されます。表計算は、[Explore] のフィールドを使用してのみ作成できます。

表計算を作成してタイルに追加するには、次の手順を実行します。

既存のダッシュボードを開いて編集するか、新しいダッシュボードを作成します。
編集するタイルを開きます。
[タイルを編集] ダイアログの [カスタムフィールド] セクションで、[+ 追加] > [表計算] をクリックします。[表計算を作成] ダイアログが表示されます。
[表計算を作成] ダイアログで、次の操作を行います。
1. [計算] メニューから計算の種類を選択します。[カスタム式] のオプションはデフォルトで表示されます。
2. フィールドに Looker 式を入力して、計算を定義します。表計算式の例を次に示します。
  - 次の式は、diff hours 関数を使用して 2 つのタイムスタンプの違いを示します。この例は、[Rule Detections] Explore でのみ使用できます。 diff_hours( ${rule_detections.detection__detection_timestamp_date}, ${rule_detections.detection__commit_timestamp_date} )
  - 次の式は IOC 値をカウントします。この例は、[IOC Matches] Explore でのみ使用できます。count(${ioc_matches.ioc_value})
3. [表示形式] メニューから表示形式を選択します。
4. [名前] フィールドに計算名を入力します。
5. [+ 説明を追加] を選択して、任意の説明を追加して、表計算の詳細情報を他のユーザーに提供します。
6. [保存] をクリックします。

[すべてのフィールド] タブには、[カスタムフィールド] セクション内にフィールドが表示されます。他のフィールドと同様に、カスタム計算フィールドを選択して、タイルへの追加や、タイルからの削除ができます。

ビジュアリゼーショングラフの種類を選択する

ビジュアリゼーションにより、データが視覚的に表示されるため、異常や傾向を特定できます。Google Security Operations SIEM ダッシュボードは、Looker のビジュアリゼーションを含む Looker テクノロジーをベースにしています。

Google Security Operations SIEM ダッシュボードで使用できるビジュアリゼーションタイプは次のとおりです。

[タイルを編集] ダイアログの [実行] ボタンを使用すると、選択したフィールドとビジュアリゼーションタイプを使用してプレビューを表示できます。[実行] をクリックしてタイル構成を調整し、変更した後にプレビューを更新します。

フィルタとして使用するフィールドを選択する

フィルタを使用すると、ビジュアリゼーションに表示されるデータを、関心のあるアイテムのみを表示するように制限できます。Explore データモデルでフィールドを使用してフィルタを作成します。

Google Security Operations SIEM ダッシュボードは、Looker フィルタを含む Looker テクノロジーをベースにしています。タイルには、次のタイプのフィルタを作成できます。

標準フィルタは、事前定義フィールドまたはカスタムフィールドを使用してフィルタを作成します。これらのフィルタは、[タイルを編集] ダイアログの [フィルタ] セクションを使用して定義します。
Looker 式を使用したカスタムフィルタ: 詳細なビジネスロジックを指定し、AND と OR の両方のロジックを組み合わせるか、または Looker 関数を使用します。[タイルを編集] ダイアログの [フィルタ] セクションで [カスタム式] ボタンをクリックします。

特定の事前定義されたフィールドがフィルタで使用できます。これらのフィールドは、データモデルに事前定義されたフィルタ限定フィールドが含まれている場合にのみ、[すべてのフィールド] セクションに表示されます。

タイルにフィルタを追加するには、次の手順を行います。

既存のダッシュボードを開いて編集するか、新しいダッシュボードを作成します。
編集するタイルを開きます。
[すべてのフィールド] セクションで、各フィールド名の横にある [フィールドでフィルタ] をクリックして、フィルタとして使用するフィールドを選択します。
[フィルタ] セクションで、次のいずれかを行います。
- [フィルタ] セクションに一覧表示されている各フィールドのフィルタ条件を定義します。
- [カスタム式] をクリックし、[カスタムフィルタ] フィールドに値を追加します。
[実行] をクリックして、ビジュアリゼーションのプレビューを更新します。

特定のユースケースを解決する例

次のセクションでは、特定のユースケースをサポートするビジュアリゼーションを作成する方法について説明します。

IOC タイプを表示するタイルを作成する

ダッシュボードにタイルを追加して、IOC タイプをモニタリングする手順は次のとおりです。

既存のダッシュボードを開いて編集するか、新しいダッシュボードを作成します。
[追加] > [ビジュアリゼーション] をクリックします。
[Explore を選択] ダイアログで、[IOC Matches] を選択します。
タイル名を入力します。
次の [ディメンション] を選択します。[IOC タイプ] と [Event Timestamp Date] > [Date]。
次の [measure] を選択します。[count]。
[使用中] タブで、[Date Event Timestamp Date] フィールドにポインタを合わせ、 [フィールドでフィルタ] を選択します。これにより、[フィルタ] セクションにフィールドが追加されます。
[フィルタ] セクションで、使用するフィルタ条件を適用します。
[ビジュアリゼーション] セクションで、[列] アイコンを選択します。
[データ] セクションで、次の操作を行います。
- [IOC Matches Count] ヘッダーをクリックして、フィールドを昇順または降順で並べ替えます。
- [行数上限] を 50 などの値に設定して、ビジュアリゼーションに表示される行数を制限します。
タイルを構成したら、[実行] をクリックし、Google Security Operations のデータを使用してビジュアリゼーションをプレビューします。プレビューは、イベントタイムスタンプの日付に対する IOC Matches によって [IOC タイプ] とともに表示されます。

次の画像は、この手順を使用して作成したグラフの例を示しています。
[保存] をクリックします。

[ダッシュボード] ページに、新しく追加されたタイルが表示されます。

列挙型フィールドでタイルを作成する

Google Security Operations SIEM 統合データモデルには、テキストと数値の両方として格納された値を持つ複数の列挙型フィールドが含まれます。各列挙型フィールドに関連付けられた値は、UDM フィールドリストで確認できます。

一部の Explore では、enum フィールドのテキスト値と数値が、個別のフィールドに保存されます。たとえば、フィールド metadata.event_type では、列挙値の 1 つは FILE_CREATION で、関連する数値は 14001 です。

Explore では、次のフィールドに metadata.event_type 値が格納されます。

metadata.event_type には数値 14001 が格納されます。
metadata.event_type_enum_name にはテキスト値 FILE_CREATION が格納されます。

タイルに列挙フィールドを追加する場合は、数値ではなくテキスト値を格納するフィールドを追加します。

次の手順で、列挙型フィールドを含むタイルをダッシュボードに追加します。

既存のダッシュボードを開いて編集するか、新しいダッシュボードを作成します。
[追加] > [ビジュアリゼーション] をクリックします。
[Explore を選択] ダイアログで [UDM Events] を選択します。
タイル名を入力します。
[フィールドの検索] で UDM フィールドを検索します（例: metadata.event_type）。
[ディメンション] で [metadata.event_type_enum_name] と [security_result.action_enum_name] を選択します。
[measure] から [count] を選択します。
[使用中] タブで、[security_result.action_enum_name] フィールドの上にポインタを置き、[フィールドでフィルタ] を選択します。これにより、選択したフィールドのフィルタが [フィルタ] セクションに表示されます。
[フィルタ] セクションで [等しい] を選択し、値として [ブロック] を選択します。
[ビジュアリゼーション] セクションで、[テーブル] アイコンを選択します。
[データ] セクションで、次の操作を行います。
- [UDM カウント] ヘッダーをクリックして、フィールドを昇順または降順で並べ替えます。
- [行数上限] を値（50 など）に設定して、ビジュアリゼーションに表示される行数を制限します。
[実行] をクリックすると、Google Security Operations データを使用してビジュアリゼーションがプレビューされます。プレビューに、[security_result.action_enum] の名前が [ブロック] である [metadata.event_type] 値が count 別に表示されます。

次の画像は、この手順を使用して作成したグラフの例を示しています。
[保存] をクリックします。

[ダッシュボード] ページに、新しく追加されたタイルが表示されます。

データテーブルでピボットを使用する

[ピボット] を使用すると、複数のディメンションでイベント数を表示できます。

次のタイルでは、metadata.event_type_enum_name フィールドと security_result_action_enum_name フィールドの値全体のイベント数が表示されます。この例では、ピボットが security_result_action_enum_name フィールドに適用されます。

ピボットを含むこのデータテーブルを作成するには、次の手順を行います。

既存のダッシュボードを開いて編集するか、新しいダッシュボードを作成します。
[追加] > [ビジュアリゼーション] をクリックします。
[Explore を選択] ダイアログで [UDM Events] を選択します。
タイル名を入力します。
[ディメンション] フィールド metadata.event_type_enum_name と security_result_action_enum_name を選択します。
[measure] フィールド Count を選択します。
[フィルタ] セクションで、次のフィルタを作成します。
- UDM metadata_event_timestamp は過去 2 時間です。
- UDM security_result.action_enum_name は null ではありません。
[使用中] タブで、次のフィールドが表示されていることを確認します。タイルがない場合は、前の手順を繰り返してタイルを構成します。
- metadata.event_timestamp
- metadata.event_type_enum_name - metadata
- security_result_action_enum_name - security_result
- Count
[データ] セクションで、security_result.action_enum_name 列見出しのアイコンをクリックし、[ピボット] を選択します。
グリッドに [データ] の新しい行が表示されます。
[ビジュアリゼーション] セクションで、[テーブル] アイコンを選択します。
[実行] をクリックしてビジュアリゼーションのプレビューを表示します。

次の画像は、[タイルを編集] ダイアログの構成オプションを示しています。

データテーブル内のピボットの構成オプション

データテーブル内のピボットの構成オプション

ピボットを日付フィールドで使用してタイムチャートを作成する

日付フィールドでピボットを使用して、タイムチャートを作成できます。次のタイルでは、security_result_action_enum_name フィールドの値の 1 時間ごとのイベント数が表示されます。

この例では、ピボットが security_result_action_enum_name フィールドに適用されます。フィルタでは日付の範囲が制限され、security_result_action_enum_name の値が null であるデータは除外されます。事前定義された metadata.event_timestamp Hour 日付フィールドを使用して、データを時間で分割します。

データフィールドでピボットを使用するには、次のようにします。

既存のダッシュボードを開いて編集するか、新しいダッシュボードを作成します。
[追加] > [ビジュアリゼーション] をクリックします。
[Explore を選択] ダイアログで [UDM Events] を選択します。
タイル名を入力します。
[ディメンション] フィールド（metadata.event_timestamp Hour と security_result_action_enum_name）を選択します。
[measure] フィールドを選択します。Count
[フィルタ] セクションで、次のフィルタを作成します。
- UDM metadata_event_timestamp は範囲内であり、開始日時と終了日時の両方を選択します。
- UDM security_result.action_enum_name は null ではありません。
[使用中] タブで、次のフィールドが表示されていることを確認します。タイルがない場合は、前の手順を繰り返してタイルを構成します。
- metadata.event_timestamp
- metadata.event_timestamp Hour - metadata
- security_result_action_enum_name - security_result
- Count
[データ] セクションで、security_result.action_enum_name 列見出しのアイコンをクリックし、[ピボット] を選択します。データグリッドに新しい行が表示されます。
[ビジュアリゼーション] セクションで、[テーブル] アイコンを選択します。
[実行] をクリックしてビジュアリゼーションのプレビューを表示します。