Risultati della query nella console

Questa pagina descrive come creare e modificare i risultati di Security Command Center utilizzando il riquadro Editor di query nella pagina Risultati della console Google Cloud e Security Operations Console.

Utilizza le query per recuperare risultati specifici e filtrare quelli che vengono visualizzate nei risultati della query sui risultati.

Utilizzo dei risultati nelle console di Security Command Center Enterprise

Se sei un cliente di Security Command Center Enterprise, puoi gestire i risultati in due console:

  • Console Google Cloud: disponibile in tutti i livelli di servizio
  • Console Security Operations: disponibile solo nel livello Enterprise

Per ulteriori informazioni, vedi Console Security Command Center Enterprise.

Modificare le query sui risultati

Nel riquadro Editor di query puoi aggiungere filtri alle query. per selezionare i risultati in base alle proprietà o ai valori degli attributi. Puoi filtrare in base a elementi quali la presenza di valori, l'assenza di valori o la corrispondenza di una stringa parziale.

Per informazioni su come modificare una query dei risultati, fai clic sulla scheda la console che stai utilizzando.

Console Google Cloud

  1. Nella console Google Cloud, vai alla pagina Risultati di Security Command Center.

    Vai ai risultati

  2. Seleziona il tuo progetto o la tua organizzazione Google Cloud. Viene caricata la pagina Risultati con la query predefinita visualizzata nel Campo Anteprima query.
  3. A destra della sezione Anteprima query, fai clic su Modifica query per aprire il riquadro Editor query.
  4. Seleziona Aggiungi filtro per esplorare, cercare e aggiungere elementi predefiniti filtri di attributo alla query.

    5. La finestra di dialogo Seleziona filtro ti consente di scegliere i risultati supportati attributi e valori.

    1. Seleziona un attributo di risultato o digitane il nome nel Casella Cerca attributi dei risultati. Viene visualizzato un elenco degli attributi secondari disponibili.
    2. Seleziona un attributo secondario. Un campo di selezione mostra dove puoi creare l'istruzione di query utilizzando l'attributo secondario selezionato, un operatore di query e uno o più valori per l'attributo secondario.
    3. Seleziona l'operatore e uno o più valori per il sottoattributo dal riquadro. Per ulteriori informazioni sugli operatori di query e sulle funzioni che utilizzano, consulta Operatori di query nel menu Aggiungi filtri.
    4. Fai clic su Applica.

      La finestra di dialogo si chiude e la query viene aggiornata.

    5. Ripeti fino a quando la query sui risultati non contiene tutti gli attributi che ti interessano.

Quando lavori con Query Builder nella pagina Risultati, La sezione Filtri rapidi sia disattivata per evitare conflitti. tra i due.

Console operativa di sicurezza

  1. Nella console Security Operations, vai alla pagina Risultati. 
    https://CUSTOMER_SUBDOMAIN.backstory.chronicle.security/posture/findings

    Sostituisci CUSTOMER_SUBDOMAIN con il tuo identificatore specifico del cliente.

  2. Nel riquadro Editor di query, fai clic su Aggiungi filtro. L'opzione Aggiungi Viene visualizzata la finestra di dialogo di filtro. Questa finestra di dialogo ti consente di scegliere i risultati supportati attributi e valori.
  3. Nella casella Categoria, seleziona o inserisci un attributo risultato.
  4. Nella casella Nome attributo, seleziona o inserisci un attributo secondario.
  5. Nella casella Operatore, seleziona un'opzione di valutazione per i valori di l'attributo secondario selezionato. Per ulteriori informazioni sulla valutazione e gli operatori che puoi utilizzare, vedi Query nel menu Aggiungi filtri.
  6. Seleziona Applica.

    La finestra di dialogo si chiude e la query viene aggiornata.

  7. Ripeti questo processo finché la query sui risultati non contiene tutti gli attributi in base alle quali vuoi applicare un filtro.

    Per cancellare i filtri, fai clic su Reimposta.

In alternativa, puoi creare manualmente una query sui risultati nello stesso modo in cui crei un filtro dei risultati utilizzando l'API Security Command Center. Mentre digiti la query, viene visualizzato un menu di completamento automatico in cui puoi selezionare nomi, funzioni e valori dei filtri. Per aprire manualmente il menu di completamento automatico, premi Ctrl+Spazio.

Quando modifichi una query, l'editor evidenzia eventuali errori al suo interno, in modo che puoi correggere gli errori prima di inviare la query.

Operatori di query

Le istruzioni di query per i risultati di Security Command Center supportano supportati dalla maggior parte delle API Google Cloud.

Nell'elenco seguente viene illustrato l'utilizzo di vari operatori:

  • state="ACTIVE" AND NOT mute="MUTED"
  • create_time>"2023-08-15T19:05:32.428Z"
  • resource.parent_name:"prod"
  • severity="CRITICAL" OR severity="HIGH"

Il seguente elenco mostra tutti gli operatori e le funzioni supportati nelle istruzioni di query per i risultati:

  • Per le stringhe:
    • = per la piena uguaglianza
    • : per la corrispondenza parziale delle stringhe
  • Per i numeri:
    • <, >, <=, >= per le disuguaglianze
    • =, != per l'uguaglianza
  • Per i valori booleani:
    • = per l'uguaglianza
  • Per le relazioni logiche:
    • AND
    • OR
    • NOT o -
  • Per raggruppare le espressioni:
    • (, ) (parentesi tonde)
  • Per gli array:
    • contains(), una funzione per eseguire query sui risultati con un campo array che contiene almeno un elemento che corrisponde al filtro specificato
    • containsOnly(), un per eseguire query sui risultati con un campo array che contiene solo elementi che corrispondono al filtro specificato
  • Per gli indirizzi IP:
    • inIpRange(), una funzione per eseguire query sugli indirizzi IP all'interno di un intervallo CIDR specificato

Operatori di query nel menu Aggiungi filtri

Per informazioni sugli operatori di query utilizzati nel menu Aggiungi filtri, fai clic sulla scheda della console che stai utilizzando.

Console Google Cloud

Nel menu Aggiungi filtri dell'Editor di query nella console Google Cloud, gli operatori e le funzioni di query sono rappresentati da parole o frasi, ad esempio:

  • Uguale a: associa i risultati con questo esatto valore dell'attributo.
  • Non è uguale: corrisponde ai risultati che non hanno questo valore esatto dell'attributo.
  • Dopo: trova una corrispondenza tra i risultati e una data e ora di creazione o aggiornamento successiva a un'ora specificata.
  • Prima: associa i risultati a un'ora di creazione o aggiornamento prima del giorno a un determinato orario.
  • Contiene: associa i risultati con i valori degli attributi che contengono il testo nel campo Parola chiave.
  • Non contiene: abbina i risultati ai valori degli attributi che non contengono il testo inserito nel campo Parola chiave.
  • Per trovare attributi che contengono array:
    • Contiene qualsiasi: corrisponde ai risultati che hanno un valore array contenente qualsiasi testo inserito nel campo Parola chiave.
    • Contiene tutto: corrisponde ai risultati che hanno un valore array contenente tutto il testo inserito nel campo Parola chiave.
    • Non contiene: corrisponde ai risultati che non hanno un valore di array contenente il testo inserito nel campo Parola chiave.
    • Contiene solo: corrisponde ai risultati che hanno un attributo array contenente solo il valore inserito nel campo Parola chiave e nessun altro valore.
  • Per gli indirizzi IP:
    • Qualsiasi all'interno dell'intervallo IP: corrisponde ai risultati che abbiano un indirizzo IP in un intervallo CIDR specificato.
    • Non presenta alcun valore all'interno dell'intervallo IP: corrisponde ai risultati che avere un indirizzo IP non compreso in un intervallo CIDR specificato.

Console Security Operations

Nel menu Aggiungi filtri dell'Editor di query nella Console operazioni di sicurezza, gli operatori e le funzioni di query sono rappresentati da quanto segue:

  • Uguale a: corrisponde ai risultati con questo valore esatto dell'attributo.
  • È diverso: corrisponde ai risultati che non hanno questo attributo esatto valore.
  • Dopo: trova i risultati con una data di creazione o aggiornamento successiva a quella specificata.
  • Prima: abbina i risultati a una data di creazione o aggiornamento precedente a quella specificata.
  • Ha: abbina i risultati ai valori degli attributi che contengono il testo inserito nel campo Parola chiave.
  • Non contiene: abbina i risultati ai valori degli attributi che non contengono il testo inserito nel campo Parola chiave.
  • Maggiore di: trova una corrispondenza tra i risultati e i valori degli attributi superiori al valore specificato.
  • Minore di: corrisponde ai risultati con valori degli attributi inferiori a il valore specificato.
  • Qualsiasi all'interno dell'intervallo IP: corrisponde ai risultati che hanno un indirizzo IP in un intervallo CIDR specificato.
  • Non presenta alcun valore all'interno dell'intervallo IP: corrisponde ai risultati che hanno un IP non incluso in un intervallo CIDR specificato.

Funzioni di query

Una funzione di query fornisce valutazioni più complesse dei valori degli attributi rispetto agli operatori di query comuni.

La funzione contains

Utilizza la funzione contains per valutare gli attributi o i sottocampi degli attributi che possono comparire più volte nello stesso rilevamento.

Internamente, questi attributi o campi secondari degli attributi vengono archiviati di dati di una struttura di dati di tipo array, quindi chiamati attributi di tipo array.

Ad esempio, alcuni risultati possono fare riferimento a più connessioni di rete, pertanto l'attributo connections è di tipo array. Analogamente, alcuni risultati delle minacce possono riferirsi a più gli indirizzi IP come indicatori di compromissione, quindi ip_addresses dell'attributo indicator è un attributo di tipo array.

La funzione contains utilizza la seguente sintassi:

contains(ARRAY_ATTRIBUTE_NAME, SUBFILTER)

Sostituisci quanto segue:

  • ARRAY_ATTRIBUTE_NAME: il nome dell'attributo array-type memorizzato in un array. Se l'attributo di tipo array è un di un altro attributo, specifica il nome e il campo secondario dell'attributo separato da un punto.

    Nell'esempio seguente, l'attributo di tipo array ip_addresses è un sottocampo indicator, quindi entrambi sono specificati Posizione ARRAY_ATTRIBUTE_NAME:

    contains(indicator.ip_addresses, elem="192.0.2.80")

  • SUBFILTER: un'espressione che definisce come valutare ciascuna istanza dell'attributo di tipo array. Security Command Center standard operatori di query e istruzioni di valutazione sono supportati.

    Se il valore da verificare si trova in un sottocampo di un attributo di tipo array, specifica il nome del sottocampo a sinistra dell'espressione. Le seguenti La funzione contains valuta ogni elemento di un array di connections, che è un attributo di tipo array che contiene campi secondari. I valori per cui viene eseguita la query si trovano nel sottocampo destination_ip, che non è un campo di tipo array. I valori per cui eseguire la query sono specificati con il nome del sottocampo destination_ip anziché con il parametro elem.

    contains(connections, destination_ip="192.0.2.80")

    Se il sottocampo è l'attributo array-type, specifica l'attributo array-type a sinistra dell'espressione con il relativo elemento principale e utilizza il parametro elem a destra dell'espressione per specificare il valore da cercare. Ad esempio: la seguente funzione contains valuta ogni elemento di un array di ip_addresses, che è un campo secondario dell'attributo indicator. L'attributo indicator non è un campo di tipo array.

    contains(indicator.ip_addresses, elem="192.0.2.80")

La funzione contains nel menu Aggiungi filtro

Nel menu Aggiungi filtro, a seconda dell'attributo del risultato che che stai valutando, la funzione contains è elencata in modo esplicito oppure viene inclusa automaticamente quando selezioni un'altra opzione di filtro che lo richiede.

Ad esempio, per il sottocampo Indirizzi IP dell'attributo Indicator, puoi selezionare le seguenti opzioni di filtro:

  • Contiene un valore qualsiasi
  • Contiene tutte
  • Non contiene

Al contrario, se filtri in base al sottocampo IP di destinazione dell'attributo Connessioni e selezioni Qualsiasi nell'intervallo IP, le funzioni contains vengono aggiunte automaticamente all'istruzione di query, come mostrato nell'esempio seguente:

contains(connections, inIpRange(destination_ip, "2001:db8::/32"))

Per saperne di più sulla funzione contains, consulta Applicare filtri a campi di tipo array.

La funzione containsOnly

La funzione containsOnly consente di eseguire query sui risultati per attributi di tipo array o campi secondari che contengono solo i valori specificati nel filtro secondario e nessun altro.

La funzione containsOnly utilizza la seguente sintassi:

containsOnly(ARRAY_ATTRIBUTE_NAME,SUBFILTER)

Sostituisci quanto segue:

  • ARRAY_ATTRIBUTE_NAME: il nome dell'attributo array-type. Se l'attributo di tipo array è un sottocampo di un altro attributo, specifica il nome dell'attributo e il nome del sottocampo separati da un punto. Quando eseguono query utilizzando la console Google Cloud, questa funzione supporta gli array iam_bindings.member e iam_bindings.role attributi.

  • SUBFILTER: un'espressione che definisce come valutare ogni elemento dell'attributo array-type. Sono supportati gli operatori di query e le istruzioni di valutazione di Security Command Center standard.

Nel menu Aggiungi filtro, le seguenti opzioni di filtro utilizzano la funzione containsOnly:

  • Associazione IAM > Membro: seleziona solo i risultati che includono i valori specificati utenti, account di servizio o gruppi.

  • Associazione IAM > Ruolo: seleziona solo i risultati che includono il valore specificato ruoli.

L'esempio seguente mostra una query sui risultati nella console Google Cloud che restituisce risultati attivi e non disattivati per gli utenti del gruppo example-group:

state="ACTIVE"
  AND NOT mute="MUTED"
  AND containsOnly(iam_bindings,member="group:example-group@example.com")

La funzione inIpRange

La funzione inIpRange controlla se l'indirizzo IP in un attributo del risultato selezionato rientra in un intervallo di indirizzi IP specificato utilizzando la notazione CIDR (un intervallo CIDR). Quanto segue mostra la sintassi della funzione inIpRange:

inIpRange(ATTRIBUTE_WITH_IP, "CIDR_RANGE")

Nel menu Aggiungi filtro, le seguenti opzioni di filtro utilizzano la funzione inIpRange:

  • Qualsiasi all'interno dell'intervallo IP: seleziona solo i risultati che contengono indirizzi IP all'interno dell'intervallo specificato.
  • Non presenta alcun valore all'interno dell'intervallo IP: seleziona solo i risultati che non contenere indirizzi IP all'interno dell'intervallo specificato.

L'esempio seguente mostra una query sui risultati nella console Google Cloud che restituisce risultati attivi e non disattivati in cui il campo secondario caller_ip dell'oggetto access contiene un indirizzo IPv6 nell'intervallo CIDR di 2001:db8::/32:

state="ACTIVE"
AND NOT mute="MUTED"
AND inIpRange(access.caller_ip, "2001:db8::/32")

L'esempio seguente mostra una query sui risultati che restituisce risultati attivi e non disattivati in cui il campo secondario caller_ip dell'oggetto access non contiene un indirizzo IP nell'intervallo CIDR IPv4 di 192.0.2.0/24:

state="ACTIVE"
AND NOT mute="MUTED"
AND NOT inIpRange(access.caller_ip, "192.0.2.0/24")

Se un indirizzo IP si trova in un attributo che può apparire più volte in un rilevamento, utilizza la funzione contains con la funzione inIpRange per controllare ogni istanza dell'attributo per l'indirizzo IP. Ad esempio:

contains(connections, inIpRange(source_ip, "192.0.2.0/24"))

Per ulteriori informazioni sulla funzione contains(), consulta la sezione Funzione contains.

Trovare gli attributi per le query

Security Command Center seleziona i risultati da visualizzare valutando gli attributi di ogni risultato archiviato ai filtri degli attributi specificati nella query.

Puoi eseguire query sulla maggior parte degli attributi di ricerca. Alcuni attributi sono comuni a tutti i risultati. Altri attributi potrebbero essere specifici per un determinato problema di sicurezza, una categoria di risultati o un servizio di rilevamento.

Nel menu Aggiungi filtro del riquadro Editor di query, la proprietà le opzioni che puoi applicare a un filtro degli attributi sono diverse a seconda sul tipo di attributo selezionato e se quest'ultimo ha campi secondari o un array di valori.

Nel menu Aggiungi filtro, fai clic su uno dei seguenti attributi di primo livello per visualizzare i valori e i valori secondari che puoi utilizzare in una query sui risultati:

  • Risultato
  • Risorsa
  • Accesso (access)
  • Punteggio di esposizione all'attacco
  • Ripristino di emergenza backup
  • Conformità (compliances[])
  • Connessioni (connections[])
  • Contatti
  • Container
  • Database
  • Esfiltrazione (exfiltration)
  • File
  • Associazione IAM (iamBindings[])
  • Indicatore
  • Rootkit kernel
  • Kubernetes
  • MITRE ATT&CK (mitreAttack)
  • Processi (processes[])
  • Security posture
  • Protezione dei dati sensibili
  • Vulnerabilità