Google Security Operations 事件架构

在 BigQuery 中,名为事件的表用于存储 UDM 事件记录。

hour_time_bucket 字段将分区标识为 metadata.event_timestamp UDM 字段中的小时。hour_time_bucket 字段中的值是每小时的时间戳,格式为:<YYYY-MM-DD HH:MM:SS UTC>。下面是一些示例:

  • 2022-05-20 00:00:00(世界协调时间)
  • 2022 年 5 月 20 日 01:00:00(世界协调时间)
  • 2022 年 5 月 20 日 02:00:00(世界协调时间)
  • 2022-05-20 03:00:00 UTC

例如,值 2022-05-20 00:00:00 UTC 标记了 event_timestamp 介于 2022-05-20 00:00:00 UTC 到 2022-05-20 00:59:59 UTC 的数据。如需了解详情,请参阅 查询分区表

数据显示在 events 表中所需的时间取决于 metadata.event_timestamp、 当该事件被注入 Google Security Operations SIEM 时,metadata.ingested_timestamp

下表总结了数据在 Google Security Operations 收到后显示在 events 表中所需的时间:

  • 如果差值小于 2 小时,那么数据会显示为大约 提取后 2 小时。
  • 如果时差在 2 小时到 24 小时之间,则最多可能需要 4 小时 在提取后显示的数据
  • 如果相差超过 24 小时,则最多可能需要 5 天才能将数据 会在提取后显示

events 表架构会定期更改。如需查看该表的相关信息,请执行以下操作: 包括当前架构,请参阅有关获取表信息的 BigQuery 说明。

如需访问 events 架构,请执行以下操作:

  1. 打开 Google Cloud 控制台,然后选择 Google 安全运营代表提供给您的 Google 安全运营项目 ID。
  2. 选择 BigQuery >BigQuery Studio >datalake >事件

    BigQuery 中事件表中的字段列表

    图:BigQuery 中的 events

用于信息中心的 Events 数据模型

在 Google Security Operations 嵌入式信息中心内,您会看到一个名为 UDM 事件的数据结构。这是在 BigQuery 中为 events 表创建的 Looker 数据模型。

该表格包含最常用的 UDM 字段。并未包含所有 UDM 字段。如果缺少 UDM 字段,您需要将 个性化信息中心,请与您的 Google Security Operations 代表联系。

如需查看此探索中的字段,请执行以下步骤:

  1. 在导航栏中,点击信息中心
  2. 创建新的信息中心(点击添加 > 新建)或修改现有信息中心。
  3. 添加功能块。
  4. 如果系统提示,请选择可视化作为类型。
  5. 在表列表中,选择 UDM 事件
  6. 浏览字段列表。

    Google Security Operations 信息中心内的字段列表

    图:Google Security Operations 事件数据模型中的字段列表

后续步骤