Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

在搜尋功能調查偵測項目

支援的國家/地區：

Google SecOps SIEM

本指南適用於想要在 Google Security Operations Search 中查詢、篩選及分析偵測結果的資安分析師。這項功能可讓您使用任何偵測屬性，搜尋所有快訊和非快訊偵測結果，並取得威脅調查的整體工作流程。

常見用途

本節列出一些常見用途。

以實體為基礎的威脅搜尋

目標：找出特定實體 (例如主體 IP 位址或主機名稱) 在一段時間內，因不同規則而觸發的所有偵測結果。

價值：可協助您找出環境中持續產生快訊的遭入侵實體。不必手動檢查個別規則，只要執行一次搜尋，就能查看實體可疑活動的完整範圍。

精細屬性分析

目標：根據特定欄位 (例如特定網路連線類型或記錄來源) 搜尋偵測結果，而不只是規則名稱。

值：啟用偵測欄位中的目標搜尋功能。由於類似的網路行為可能會觸發多項規則，因此依特定屬性搜尋有助於找出相關安全發現項目，否則這些項目可能會埋藏在不同的規則集中。

識別事件範圍

目標：量化特定事件在過去一個月內導致偵測或警報的次數。

價值：瞭解特定威脅的頻率和嚴重程度。這有助於判斷攻擊的完整情境，並決定偵測結果是持續性威脅還是孤立事件。

重要術語

SIEM 搜尋：統一的多來源調查控制台，用於查詢、關聯及分析四個主要層面的安全遙測資料：事件、快訊、偵測和案件。
「快訊與偵測」分頁：SIEM 搜尋頁面上的專屬分頁，會顯示所有符合有效搜尋查詢和時間範圍的 YARA-L 2.0 規則發現項目 (包括快訊和非快訊)。
偵測結果：系統根據套用至原始記錄和 UDM 事件的規則，產生的安全發現。

事前準備

您必須具備指派給使用者帳戶的標準 SecOps Search 權限和角色，才能執行查詢及查看偵測詳細資料。

「警報和偵測」分頁在搜尋功能中的運作方式

在「SIEM 搜尋」頁面中，規則偵測結果會與原始記錄遙測資料和 SOAR 案件整合。

輸入任何搜尋查詢 (例如 detection.detection.rule_name != "" 或 target.ip = "10.200.1.50")，然後按一下「執行搜尋」，搜尋引擎就會同時評估歷史 UDM 事件 (「事件」分頁) 和規則執行輸出內容 (「快訊和偵測結果」分頁)。

結果分頁和偵測範圍

控制台會顯示三個分頁，並列出即時記錄數：

事件
快訊和偵測項目
案件

按一下「快訊和偵測」分頁標籤，工作區檢視畫面就會顯示所選時間範圍內，與查詢相符的所有 YARA-L 2.0 偵測結果，包括快訊和非快訊。您不必執行個別查詢，也不用切換至其他產品工具，即可在原始記錄搜尋 (事件) 和規則輸出分析 (偵測) 之間轉換。

偵測項目的全域範圍控制項

「警告與偵測」分頁會套用頂端導覽列中設定的全域篩選條件。

時間範圍：調整絕對或相對時間挑選器，系統會根據 detection.created_time 立即篩選「偵測」表格。
資料 RBAC 範圍：如果您的帳戶受到資料角色型存取控管 (資料 RBAC) 限制，「快訊與偵測」分頁只會顯示與您所屬資料範圍相符的遙測資料相關規則結果。

對偵測結果執行搜尋

如要對偵測結果執行搜尋，請按照下列步驟操作：

登入 Google SecOps。
在控制台導覽列中，依序點選「調查」>「搜尋」。
在查詢編輯器中輸入偵測查詢 (例如 detection.detection.rule_name != "" 或 detection.type = "GCTI_FINDING")。
從「時間範圍」選取器選取調查時間範圍，然後按一下「執行搜尋」。
在結果格線上方，按一下「偵測結果」(count) 分頁標題，即可查看相符的偵測結果。

您可以使用下列功能分析搜尋結果：
- 偵測項目表格：顯示所選偵測項目的所有相關事件詳細檢視畫面，方便進行深入調查。
- 匯總面板：依欄位值分組，提供查詢結果的摘要檢視畫面，方便您找出資料分布和模式。
- 資料欄管理工具：自訂資料表介面，選取要顯示的特定欄位。
- 下載 CSV 檔案：將目前的結果集匯出為逗號分隔值 (CSV) 檔案，供外部使用。
- 分頁：將大型結果集劃分為可管理的部分，以利最佳化算繪和導覽作業，避免顯示過多資訊。

如要詳細瞭解查詢偵測結果時可用的欄位，請參閱「偵測結果結構定義參考資料」。

搜尋查詢範例

本節列出可搜尋偵測結果的範例查詢。

找出特定規則的所有偵測結果：
```
  detection.detection.rule_name = ""
```

找出所有觸發警報的偵測結果：

  detection.detection.alert_state = "ALERTING"

找出所有嚴重程度為中等的 GCTI 偵測結果：


  detection.type = "GCTI_FINDING" AND detection.detection.severity = "MEDIUM"

找出所有源自或與 SOAR 警示相關的偵測結果：
```
  detection.id_namespace = "SOAR_ALERT"
```
找出特定時間後建立的所有偵測結果 (精確至奈秒)，且意見回饋優先順序設為「重大」：
```
  detection.created_time.nanos > 621828000 AND detection.feedback_summary.priority = "PRIORITY_CRITICAL"
```

找出所有調查原因標示為惡意的偵測結果：


  detection.investigation.reason = "REASON_MALICIOUS"

基本偵測搜尋：


  detection.detection.rule_name != ""

  detection.detection.rule_type = "SINGLE_EVENT"

  detection.detection.rule_name = /.+/

匯出至資料表：


  detection.detection.rule_name = /.+/

  outcome:
    $x = detection.id
  export:
  %new_detection_table.write_row(
    testing: $x
  )

統計查詢 (搜尋匯總結果)：


  detection.detection.rule_name != ""
  match:
  detection.detection.rule_name
  outcome:
  $detection_count = count(detection.id)
  order:
  $detection_count desc

啟用程式輔助 API

用於搜尋偵測結果的程式化 API 遵循與標準搜尋作業相同的結構和工作流程。詳情請參閱「非同步搜尋 API」。

查詢範例：


  google.cloud.chronicle.v1main.SearchRequest {
    parent: "projects/202560381606/locations/us/instances/ebdc4bb9-878b-11e7-8455-10604b7cb5c1"
    query: "detection.id != \"\""
    time_range: {
      start_time: {
        seconds: 1776338958
      }
      end_time: {
        seconds: 1776417358
      }
    }
    dialect: YL2
    result_limit: 3
  }

指定要用於排序的「集合」資料欄位時，請在欄位名稱前加上 detection。例如，使用 detection.id，而不是 collection.id。

查詢範例：


  google.cloud.chronicle.v1main.ListSearchedResultsRequest {
    parent: "projects/202560381606/locations/us/instances/ebdc4bb9-878b-11e7-8455-10604b7cb5c1/searchSessions/s-lro-981b7e6b-4031-4e69-98f6-91029685786c"
    order_by: "detection.id"
  }

延遲和限制

系統最多支援 100,000 項偵測結果的標準搜尋，以及最多 100,000 項統計資料搜尋結果 (僅限使用者介面和長時間執行的作業 API)。
查詢支援的時長上限為一年。
系統不支援涉及偵測欄位的聯結。
偵測搜尋作業適用標準搜尋限制和配額。
偵測結果表格只會顯示與偵測結果相關的事件和實體。

已知問題

搜尋偵測結果時，結果表格不會顯示案件名稱。您可以點選特定資料列開啟「快訊檢視器」，查看案件名稱，但無法直接依案件名稱查詢偵測結果。舉例來說，下列查詢會傳回空白結果：


  detection.case_name != ""

疑難排解

請查看這些限制和配額，以排解平台行為問題。

錯誤修正

請使用下表，將特定問題對應至可執行的修正措施。

問題	說明	修正
超過結果上限	查詢傳回超過 100,000 筆結果 (或統計查詢的 10,000 筆結果)。	使用篩選器縮小搜尋查詢範圍，或縮短時間範圍來縮減資料集。
超出時間範圍	搜尋範圍超過 365 天。	調整搜尋參數中的開始和結束時間，使其間隔不超過一年。
API 排序錯誤	使用集合 proto 欄位時，排序會失敗。	請確認排序欄位的前置字串為 `detection.`，而非 `collection.`。

驗證和測試

如要判斷是否已啟用偵測搜尋功能，請檢查輸入查詢後，「執行搜尋」按鈕是否仍處於停用狀態。如果支援，請聯絡支援團隊。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。更新。附註：這個部分是我們遵循的新版歷程導向文件範本。