数据丰富化和别名设置概览
支持的平台：
Google SecOps
SIEM
本文档简要介绍了 Google Security Operations 在将原始日志转换为标准化的统一数据模型 (UDM) 事件后，如何丰富这些日志。Google SecOps 在数据提取和搜索期间提供不同的丰富功能。
注入期间的丰富化
- UDM 丰富：将来自上下文来源的规范化数据合并到 UDM 事件来源中，以创建单个丰富的 UDM 事件。这些流水线以近乎实时的方式运行，重新丰富化流水线则用于处理迟到的数据。
- 别名服务：跟踪用户和资产随时间的变化，通过使用别名合并多个 UDM 丰富数据，为 UDM 指标或事件添加情境。
搜索期间的丰富化
- 实体上下文图 (ECG)： 结合了客户日志数据、资产信息、用户身份和多个威胁情报来源，构建了有时限和无时限的实体以及计算属性（例如，普及率、首次发现时间或上次发现时间）。
- 数据表：充当包含已定义列的对照表。这些数据存储在行中，在查询时会与您的 UDM 事件联接。您可以在数据表中定义数据并管理其生命周期。
别名、UDM 丰富化和 ECG 均源自您解析的安全数据。
如需详细了解可提供情境数据的来源，请参阅以下主题：
- 使用实体数据模型注入数据
- 关键 UDM 字段：搜索别名即可查看重要的 UDM 字段。
查看事件
在事件查看器的 事件字段标签页中查看事件。此标签页以分层树状结构显示 UDM 事件字段，并标记为已选择。每个 UDM 字段都标有图标，用于指明该字段包含的是丰富型数据还是非丰富型数据。图标标签如下：
- U：未丰富字段在归一化过程中直接从原始原始日志中提取值。
- E：富化字段包含 Google SecOps 生成的值，用于提供有关您环境中的制品的其他背景信息。
富化字段会显示所有关联的来源，以帮助您进行验证、问题排查、审核和合规性检查。您还可以按丰富来源过滤字段，以优化视图。
支持的别名和 UDM 扩充功能
Google SecOps 支持对以下内容进行别名化和丰富：
- 资产
- 用户
- 进程
- 文件哈希元数据 (VirusTotal)
- 地理位置
- Cloud 资源
支持的心电图功能
Google SecOps 支持以下与 ECG 相关的搜索丰富功能：
- 普及率
- 首次出现时间和上次出现时间
- WHOIS 数据
- VirusTotal 关系数据
- Tor 退出节点 IP 地址
- Google Threat Intelligence IOC
- 安全浏览威胁列表
在提取和搜索期间进行丰富处理有助于您在检测、搜索和信息中心方面平衡延迟时间和准确性。UDM 扩充和别名化功能可直接将扩充内容写入 UDM 事件，从而简化用户体验。心电图和数据表可提供灵活性，并可应用于特定用例。
需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。