查询实体

支持的平台：

本文档面向安全运营中心 (SOC) 的经理和分析师，他们希望使用精选的信息中心（预定义的信息中心，旨在提高各种安全应用场景的可见性）来监控威胁形势和系统运行状况。

您可以在查询编辑器中使用这些查询，也可以将其用作自定义 widget 的基准。 如需了解如何创建和管理信息中心，请参阅管理信息中心。

信息中心名称 说明 图表名称 查询示例
PCI - 提醒概览 提供有关影响 PCI 标准的安全违规行为和事件的提醒和数据分析的整合视图。 必需：必须创建 PCI_Assets（支付卡行业资产）参考列表来限定数据范围；否则，图表不会加载。 按风险划分的 PCI 资产 

graph.metadata.entity_type = "ASSET"
graph.entity.hostname in %PCI_Assets
$Hostname = graph.entity.hostname
$Risk_Score = graph.risk_score.risk_score

match:
  $Hostname, $Risk_Score

order:
  $Risk_Score desc
勒索软件聚光灯监控 全面展示所有安全工具检测到的与勒索软件相关的事件。突出显示近期事件、受影响的设备和检测来源，以加快突发事件响应速度。 近期勒索软件情报源事件 
graph.metadata.threat[0].description = /ransom/ nocase
strings.coalesce(if(graph.entity.ip != "", graph.entity.ip, ""), if(graph.entity.url != "", graph.entity.url, ""), if($Hash != "", $Hash, "")) != ""

$IOC_Type = graph.metadata.entity_type
$Threat = graph.metadata.threat[0].description
$Hash = group(graph.entity.file.sha256,graph.entity.file.md5)
$IOC_Value = strings.coalesce(if(graph.entity.ip != "", graph.entity.ip, ""), if(graph.entity.url != "", graph.entity.url, ""), if($Hash != "", $Hash, ""))
$Date = timestamp.get_date(graph.metadata.collected_timestamp.seconds)

match:
  $Date, $Threat, $IOC_Value, $IOC_Type

outcome:
  $Count = count(graph.metadata.event_metadata.id)

order:
  $Count desc
威胁情报概览 提供对顶级威胁、IOC 和目标系统的实时和历史跟踪。监控风险评分、严重程度和指标，以检测新出现的基础设施威胁。 高风险得分的 IOC 
$IOC_Type = graph.metadata.entity_type
$Risk_Score = graph.metadata.threat.risk_score
$Date = timestamp.get_date(graph.metadata.collected_timestamp.seconds)
$Hash = group(graph.entity.file.sha256,graph.entity.file.md5)
$IOC_Value = strings.coalesce(if(graph.entity.ip != "", graph.entity.ip, ""), if(graph.entity.url != "", graph.entity.url, ""), if($Hash != "", $Hash, ""))
$IOC_Value !=""

match:
  $Date, $IOC_Type, $IOC_Value

outcome:
  $Total_Risk_Score =  math.round(avg($Risk_Score), 2)
  $Count = count(graph.metadata.event_metadata.id)


order:
  $Total_Risk_Score desc
HIPAA 信息中心 实时监控 HIPAA 合规性和安全指标。可让您了解 PHI 访问情况和潜在风险，确保数据机密性和完整性。 按风险划分的热门资产 
graph.metadata.entity_type = "ASSET"
graph.entity.hostname in %ePHI_assets.Hostname

$Hostname = graph.entity.hostname
$Risk_Score = graph.risk_score.risk_score

match:
  $Hostname, $Risk_Score

order:
  $Risk_Score desc

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。