Google Security Operations 事件架构

在 BigQuery 中，名为事件的表用于存储 UDM 事件记录。

hour_time_bucket 字段将分区标识为 metadata.event_timestamp UDM 字段中的小时。hour_time_bucket 字段中的值是每小时的时间戳，格式为：<YYYY-MM-DD HH:MM:SS UTC>。下面是一些示例：

  • 2022-05-20 00:00:00（世界协调时间）
  • 2022 年 5 月 20 日 01:00:00（世界协调时间）
  • 2022 年 5 月 20 日 02:00:00（世界协调时间）
  • 2022-05-20 03:00:00 UTC

例如，值 2022-05-20 00:00:00 UTC 标记了 event_timestamp 介于 2022-05-20 00:00:00 UTC 到 2022-05-20 00:59:59 UTC 的数据。如需了解详情，请参阅 查询分区表。

数据显示在 events 表中所需的时间取决于 metadata.event_timestamp、 当该事件被注入 Google Security Operations SIEM 时，metadata.ingested_timestamp。

下表总结了数据在 Google Security Operations 收到后显示在 events 表中所需的时间：

  • 如果差值小于 2 小时，那么数据会显示为大约 提取后 2 小时。
  • 如果时差在 2 小时到 24 小时之间，则最多可能需要 4 小时 在提取后显示的数据
  • 如果相差超过 24 小时，则最多可能需要 5 天才能将数据 会在提取后显示

events 表架构会定期更改。如需查看该表的相关信息，请执行以下操作： 包括当前架构，请参阅有关获取表信息的 BigQuery 说明。

如需访问 events 架构，请执行以下操作：

  1. 打开 Google Cloud 控制台，然后选择 Google 安全运营代表提供给您的 Google 安全运营项目 ID。

  2. 选择 BigQuery >BigQuery Studio >datalake >事件。

    BigQuery 中事件表中的字段列表

    图：BigQuery 中的 events 表

用于信息中心的 Events 数据模型

在 Google Security Operations 嵌入式信息中心内，您会看到一个名为 UDM 事件的数据结构。这是在 BigQuery 中为 events 表创建的 Looker 数据模型。

该表格包含最常用的 UDM 字段。并未包含所有 UDM 字段。如果缺少 UDM 字段，您需要将 个性化信息中心，请与您的 Google Security Operations 代表联系。

如需查看此探索中的字段，请执行以下步骤：

  1. 在导航栏中，点击信息中心。
  2. 创建新的信息中心（点击添加 > 新建）或修改现有信息中心。
  3. 添加功能块。
  4. 如果系统提示，请选择可视化作为类型。
  5. 在表列表中，选择 UDM 事件。

  6. 浏览字段列表。

    Google Security Operations 信息中心内的字段列表

    图：Google Security Operations 事件数据模型中的字段列表

后续步骤