利用搜索功能，调查检测结果

支持的平台：

本指南适用于希望在 Google Security Operations 搜索功能中查询、过滤和分析检测结果的安全分析师。借助此功能，您可以使用任何检测属性搜索所有会触发提醒的检测和不会触发提醒的检测，并获得全面的威胁调查工作流程。

常见使用场景

本部分列出了一些常见的使用场景。

基于实体的威胁搜寻

目标：在一段时间内，识别特定实体（例如，主 IP 地址或主机名）在不同规则中触发的所有检测。

价值：可帮助您识别在整个环境中持续生成提醒的受入侵实体。您无需手动检查各个规则，只需执行一次搜索，即可查看实体的可疑活动的完整范围。

精细的属性分析

目标：根据特定字段（例如特定网络连接类型或日志来源）而非仅根据规则名称来搜索检测结果。

值：可在检测字段中进行有针对性的搜索。由于多条规则可能会因类似的网络行为而触发，因此按特定属性进行搜索有助于您隔离相关安全发现结果，否则这些结果可能会分散在不同的规则集中。

突发事件范围识别

目标：量化特定事件在过去一个月内导致检测或提醒的次数。

价值：可帮助您了解特定威胁的频次和严重程度。这有助于您确定攻击的完整场景，并决定检测到的威胁是持续性威胁还是孤立的突发事件。

主要术语

  • SIEM 搜索：统一的多来源调查控制台，用于查询、关联和分析四个主要维度（事件、提醒、检测和支持请求）的安全遥测数据。
  • “提醒和检测”标签页：SIEM 搜索页面上的专用标签页，用于显示与有效搜索查询和时间范围匹配的所有提醒和非提醒 YARA-L 2.0 规则发现结果。
  • 检测结果：系统根据应用于原始日志和 UDM 事件的规则生成的安全发现结果。

准备工作

您必须拥有分配给用户账号的标准 SecOps 搜索权限和角色，才能执行查询和查看检测详情。

在 SIEM 搜索页面上，规则检测与原始日志遥测和 SOAR 案例原生集成。

当您输入任何搜索查询（例如 detection.detection.rule_name != "" 或 target.ip = "10.200.1.50"）并点击运行搜索后，搜索引擎会同时评估历史 UDM 事件（“事件”标签页）和规则执行输出（提醒和检测结果标签页）中的查询。

“结果”标签页和检测范围

控制台会显示三个标签页，其中包含实时记录数：

  • 事件
  • 提醒和检测
  • 支持请求

点击提醒和检测标签页后，工作区视图会发生变化，显示所选时间范围内与查询匹配的所有提醒和非提醒 YARA-L 2.0 检测结果。您无需执行单独的查询或切换到其他产品工具，即可在原始日志搜索（事件）和规则输出分析（检测）之间切换。

检测的全局范围控制

提醒和检测标签页会遵循顶部导航栏中配置的全局过滤条件。

  • 时间范围：调整绝对或相对时间选择器会立即根据 detection.created_time 过滤检测表。
  • 数据 RBAC 范围：如果您的账号受到数据基于角色的访问控制 (Data RBAC) 的限制，则提醒和检测标签页只会显示与遥测数据相关联的规则发现结果，而这些遥测数据与您分配的数据范围相匹配。

针对检测结果执行搜索

如需针对检测结果执行搜索，请执行以下操作：

  1. 登录 Google SecOps。
  2. 在控制台导航栏中，依次点击调查 > 搜索。
  3. 在查询编辑器中，输入检测查询（例如 detection.detection.rule_name != "" 或 detection.type = "GCTI_FINDING"）。
  4. 从时间范围选择器中选择调查时间范围，然后点击执行搜索。

  5. 在结果网格上方，点击检测结果 (count) 标签页标题，查看匹配的检测结果。

    您可以使用以下功能分析搜索结果：

    • “Detections”表格：显示所选检测的所有关联事件的详细视图，以便进行彻底调查。

    • “汇总”面板：通过对字段值进行分组来提供查询结果的摘要视图，以便您识别数据分布和模式。

    • 列管理器：通过允许您选择要显示的特定字段，自定义数据表界面。

    • CSV 下载：将当前结果集导出为逗号分隔值 (CSV) 文件，以供外部使用。

    • 分页：将大型结果集划分为可管理的小块，以优化渲染和导航，而不会使显示内容过多。

如需详细了解查询检测结果时可用的字段，请参阅检测结果架构参考文档。

搜索查询示例

本部分列出了用于搜索检测结果的示例查询。

  • 查找特定规则的所有检测结果：

      detection.detection.rule_name = ""

  • 查找所有会触发提醒的检测结果：

      detection.detection.alert_state = "ALERTING"

  • 查找所有中等严重程度的 GCTI 检测结果：

    
  detection.type = "GCTI_FINDING" AND detection.detection.severity = "MEDIUM"

  • 查找源自 SOAR 提醒或与 SOAR 提醒相关的所有检测结果：

    
  detection.id_namespace = "SOAR_ALERT"

  • 查找在特定时间之后创建的所有检测结果（精确到纳秒），且反馈优先级设置为“严重”：

    
  detection.created_time.nanos > 621828000 AND detection.feedback_summary.priority = "PRIORITY_CRITICAL"

  • 查找所有调查原因标记为恶意的检测结果：

    
  detection.investigation.reason = "REASON_MALICIOUS"

  • 基本检测搜索：

    
  detection.detection.rule_name != ""

  detection.detection.rule_type = "SINGLE_EVENT"

  detection.detection.rule_name = /.+/

  • 导出到数据表：

    
  detection.detection.rule_name = /.+/

  outcome:
    $x = detection.id
  export:
  %new_detection_table.write_row(
    testing: $x
  )

  • 统计查询（搜索汇总结果）：

    
  detection.detection.rule_name != ""
  match:
  detection.detection.rule_name
  outcome:
  $detection_count = count(detection.id)
  order:
  $detection_count desc

启用程序化 API

用于搜索检测结果的程序化 API 遵循与标准搜索操作相同的结构和工作流程。如需了解详情，请参阅异步搜索 API。

查询示例：


  google.cloud.chronicle.v1main.SearchRequest {
    parent: "projects/202560381606/locations/us/instances/ebdc4bb9-878b-11e7-8455-10604b7cb5c1"
    query: "detection.id != \"\""
    time_range: {
      start_time: {
        seconds: 1776338958
      }
      end_time: {
        seconds: 1776417358
      }
    }
    dialect: YL2
    result_limit: 3
  }

指定用于排序的集合数据中的字段时，请在字段名称前添加 detection 前缀。例如，使用 detection.id 而不是 collection.id。

查询示例：


  google.cloud.chronicle.v1main.ListSearchedResultsRequest {
    parent: "projects/202560381606/locations/us/instances/ebdc4bb9-878b-11e7-8455-10604b7cb5c1/searchSessions/s-lro-981b7e6b-4031-4e69-98f6-91029685786c"
    order_by: "detection.id"
  }

延迟和限制

  • 系统最多支持 10 万条检测结果的标准搜索，以及最多 10 万条统计信息搜索结果（仅限界面和长时间运行的操作 API）。

  • 查询支持的时间范围上限为一年。

  • 不支持涉及检测字段的联接。

  • 检测搜索受标准搜索限制和配额的约束。

  • 检测表仅显示与检测相关的事件和实体。

已知问题

在搜索检测结果时，结果表格中不会显示诉讼案名称。虽然您可以点击特定行以打开提醒查看器来查看支持请求名称，但无法直接按支持请求名称查询检测结果。例如，以下查询会返回空结果：


  detection.case_name != ""

问题排查

查看这些限制和配额，以排查平台行为方面的问题。

错误修正

您可以使用下表将具体问题与可行的修复措施相关联。

问题 说明 修复
超出结果数量上限 查询返回的结果超过 10 万个（对于统计查询，则为 1 万个）。 使用过滤条件优化搜索查询，或缩短时间范围以缩小数据集。
超出时间范围 搜索范围超过 365 天。 调整搜索参数中的开始时间和结束时间，使其跨度不超过一年。
API 排序错误 使用集合 proto 字段时，排序失败。 确保排序字段的前缀为 detection. 而不是 collection.。

验证和测试

如需确定检测搜索是否已启用，请检查在输入查询内容后，运行搜索按钮是否保持停用状态。如果显示，请与支持团队联系。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。已更新。请注意，此部分是我们遵循的基于用户历程的新文档模板的一部分。