查询提取指标

支持的平台：

本文档面向安全运营中心 (SOC) 的经理和分析师，他们希望使用精选的信息中心（预定义的信息中心，旨在提高各种安全应用场景的可见性）来监控威胁形势和系统运行状况。

您可以在查询编辑器中使用这些查询，也可以将其用作自定义 widget 的基准。 如需了解如何创建和管理信息中心，请参阅管理信息中心。

信息中心名称 说明 图表名称 查询示例
ISO 27001 - 技术控制 可让您了解技术控制措施和加密标准，从而支持合规性和数据驱动的补救措施。
注意：您必须使用过滤条件来优化数据。 		按日志类型划分的上次检测信号响应时间 
$Log_Type = ingestion.log_type
$Component = ingestion.component

match:
  $Log_Type, $Component

outcome:
  $Date = timestamp.get_timestamp(max(ingestion.last_heartbeat_time))

order:
  $Date desc
CIS 控制措施合规性概览 提供 CIS 关键安全控制措施的可见性，以加强治理。它会跟踪资产准确性、漏洞进度和备份可靠性等关键指标，以确保运营准备就绪。 随时间变化的提取吞吐量 
$Date = timestamp.get_date(ingestion.end_time)

match:
  $Date

outcome:
  $Total_Size_Bytes = sum(if(ingestion.component = "Ingestion API", ingestion.log_volume, 0))
CIS 控制措施合规性概览 提供 CIS 关键安全控制措施的可见性，以加强治理。它会跟踪资产准确性、漏洞进度和备份可靠性等关键指标，以确保运营准备就绪。 按日志类型划分的注入事件数 
$Log_Type = ingestion.log_type

match:
  $Log_Type

outcome:
  $Total_Size_Bytes = sum(if(ingestion.component = "Ingestion API", ingestion.log_volume, 0))
  $Total_Logs = sum(if(ingestion.component = "Ingestion API", ingestion.log_count, 0))
  $Total_Normalized_Events = sum(if(ingestion.component = "Normalizer" AND ingestion.state = "validated", ingestion.event_count, 0))
  $Total_Parsing_Error_Events = sum(if(ingestion.component = "Normalizer" AND ingestion.state = "failed_parsing", ingestion.log_count, 0))
  $Total_Validation_Error_Events = sum(if(ingestion.component = "Normalizer" AND ingestion.state = "failed_validation", ingestion.event_count, 0))
  $Total_Indexing_Error_Events = sum(if(ingestion.component = "Normalizer" AND ingestion.state = "failed_indexing", ingestion.log_count, 0))

order:
  $Total_Size_Bytes desc
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 事件计数（过去 7 天） 
$event.ingestion.component = "Ingestion API"

$Days = timestamp.get_timestamp($event.ingestion.end_time, "%Y-%m-%d")

match:
  $Days
outcome:
  $Count = sum($event.ingestion.log_count)
order:
  $Days asc
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 注入 - 吞吐量（每周） 
$Log_Type = $event.ingestion.log_type
$Timestamp_Week = timestamp.get_timestamp($event.ingestion.end_time, "Week %W")

match:
  $Log_Type, $Timestamp_Week
outcome:
  $Count = sum($event.ingestion.log_volume)
order:
  $Timestamp_Week asc
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 注入 - 按状态划分的事件 
$Date = timestamp.get_date($event.ingestion.end_time)

match:
  $Date
outcome:
  $Total_Logs = sum(if($event.ingestion.component = "Ingestion API", $event.ingestion.log_count, 0))
  $Total_Normalized_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "validated", $event.ingestion.event_count, 0))
  $Total_Parsing_Error_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_parsing", $event.ingestion.log_count, 0))
  $Total_Validation_Error_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_validation", $event.ingestion.event_count, 0))
  $Total_Indexing_Error_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_indexing", $event.ingestion.log_count, 0))
order:
  $Date desc
limit:
    50
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 注入 - 吞吐量（每周） 
$Log_Type = $event.ingestion.log_type
$Timestamp_Week = timestamp.get_timestamp($event.ingestion.end_time, "Week %W")
$Log_Type != ""
match:
  $Log_Type, $Timestamp_Week
outcome:
  $Count = sum($event.ingestion.log_volume)
order:
  $Timestamp_Week asc
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 事件计数（过去 7 天） 
$event.ingestion.component = "Ingestion API"

$Days = timestamp.get_timestamp($event.ingestion.end_time, "%d-%h")

match:
  $Days
outcome:
  $Count = sum($event.ingestion.log_count)
order:
  $Days asc
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 最近注入的日志 
$Log_Type = $event.ingestion.log_type
$Log_Type != ""

match:
  $Log_Type
outcome:
  $Time = timestamp.get_timestamp(max($event.ingestion.end_time))
order:
  $Time desc
limit:
    50
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 突发拒绝图 
$event.ingestion.component = "Ingestion API"

$Timestamp_Hour = timestamp.get_timestamp($event.ingestion.end_time, "%d-%h %k:00 %p")

match:
  $Timestamp_Hour
outcome:
  $Max_Of_Quota_Rejected_Log_Volume = strings.concat(sum($event.ingestion.quota_rejected_short_term_log_volume), " GB")
order:
  $Timestamp_Hour asc
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 最近注入的日志 
$Log_Type = $event.ingestion.log_type
$Log_Type != ""

match:
  $Log_Type
outcome:
  $Time = timestamp.get_timestamp(max($event.ingestion.end_time))
order:
  $Time desc
limit:
    50
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 注入 - 吞吐量（过去 6 个月） 
$Log_Type = $event.ingestion.log_type
$Timestamp_Month = timestamp.get_timestamp($event.ingestion.end_time, "%m %h")

match:
  $Log_Type, $Timestamp_Month
outcome:
  $Count = sum($event.ingestion.log_volume)
order:
  $Timestamp_Month asc
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 注入的事件计数 
$event.ingestion.component = "Ingestion API"

outcome:
  $Count = sum($event.ingestion.log_count)
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 活动规模（过去 3 个月） 
ingestion.component = "Ingestion API"

$Date = timestamp.get_timestamp(ingestion.end_time, "%m-%h")

match:
  $Date
outcome:
  $Event_Size = math.round(sum(ingestion.log_volume) / 1073741824, 2)
order:
  $Date asc
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 突发限制图表 - 配额限制 
$event.ingestion.component = "Ingestion API"
$Timestamp_Hour = timestamp.get_timestamp($event.ingestion.end_time, "%Y-%m-%d %H")

match:
  $Timestamp_Hour
outcome:
  $Max_Quota_Limit_MB_Per_Second = math.round(max($event.ingestion.quota_limit_per_second) / 1000000, 2)
order:
  $Timestamp_Hour asc
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 事件数（过去 3 个月） 
$event.ingestion.component = "Ingestion API"

$Months = timestamp.get_timestamp($event.ingestion.end_time, "%Y-%m")

match:
  $Months
outcome:
  $Count = sum($event.ingestion.log_count)
order:
  $Months asc
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 基于吞吐量的日志类型分布 
$event.ingestion.component = "Ingestion API"

$Log_Type = $event.ingestion.log_type
$Log_Type != ""
match:
  $Log_Type
outcome:
  $Count = sum($event.ingestion.log_volume)
order:
  $Count desc
limit:
    50
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 突发限制图表 - 配额限制 
$event.ingestion.component = "Ingestion API"
$Timestamp_Hour = timestamp.get_timestamp($event.ingestion.end_time, "%d/%h %l%p")

match:
  $Timestamp_Hour
outcome:
  $Max_Quota_Limit_MB_Per_Second = math.round(max($event.ingestion.quota_limit_per_second) / 1000000, 2)
order:
  $Timestamp_Hour asc
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 事件数（过去 24 小时） 
$event.ingestion.component = "Ingestion API"

$Hours = timestamp.get_timestamp($event.ingestion.end_time, "%Y-%m-%d %H")

match:
  $Hours
outcome:
  $Count = sum($event.ingestion.log_count)
order:
  $Hours asc
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 基于吞吐量的日志类型分布 
$event.ingestion.component = "Ingestion API"

$Log_Type = $event.ingestion.log_type

match:
  $Log_Type
outcome:
  $Count = sum($event.ingestion.log_volume)
order:
  $Count desc
limit:
    50
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 活动规模（过去 7 天） 
ingestion.component = "Ingestion API"

$Days = timestamp.get_timestamp(ingestion.end_time, "%Y-%m-%d")

match:
  $Days
outcome:
  $Event_Size = math.round(sum(ingestion.log_volume) / 1073741824, 2)
order:
  $Days asc
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 事件数（过去 3 个月） 
$event.ingestion.component = "Ingestion API"

$Months = timestamp.get_timestamp($event.ingestion.end_time, "%m-%h")

match:
  $Months
outcome:
  $Count = sum($event.ingestion.log_count)
order:
  $Months asc
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 注入的事件计数 
ingestion.component = "Ingestion API"

outcome:
  $Count = math.round(sum(ingestion.log_count)/(1000*1000), 2)
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 提取 - 吞吐量（所有时间） 
$Log_Type = $event.ingestion.log_type
$Timestamp_Year = timestamp.get_timestamp($event.ingestion.end_time, "%Y")

match:
  $Log_Type, $Timestamp_Year
outcome:
  $Count = sum($event.ingestion.log_volume)
order:
  $Timestamp_Year asc
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 突发拒绝图 
$event.ingestion.component = "Ingestion API"

$Timestamp_Hour = timestamp.get_timestamp($event.ingestion.end_time, "%Y-%m-%d %H")

match:
  $Timestamp_Hour
outcome:
  $Max_Of_Quota_Rejected_Log_Volume = math.round(sum($event.ingestion.quota_rejected_short_term_log_volume) / 1073741824, 2)
order:
  $Timestamp_Hour asc
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 活动规模（过去 7 天） 
ingestion.component = "Ingestion API"

$Days = timestamp.get_timestamp(ingestion.end_time, "%d-%h")

match:
  $Days
outcome:
  $Event_Size = math.round(sum(ingestion.log_volume) / 1073741824, 2)
order:
  $Days asc
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 提取 - 每小时吞吐量 
$Log_Type = $event.ingestion.log_type
$Timestamp_Hour = timestamp.get_timestamp($event.ingestion.end_time, "%k:00 %p")

match:
  $Log_Type, $Timestamp_Hour
outcome:
  $Count = sum($event.ingestion.log_volume)
order:
  $Timestamp_Hour asc
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 注入 - 吞吐量（过去 6 个月） 
$Log_Type = $event.ingestion.log_type
$Timestamp_Month = timestamp.get_timestamp($event.ingestion.end_time, "%Y-%m")
$Log_Type != ""
match:
  $Log_Type, $Timestamp_Month
outcome:
  $Count = sum($event.ingestion.log_volume)
order:
  $Timestamp_Month asc
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 注入错误计数 
outcome:
  $Count = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_validation", $event.ingestion.event_count, 0)+if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_parsing", $event.ingestion.log_count, 0))
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 注入 - 按状态划分的事件 
$Date = timestamp.get_date($event.ingestion.end_time)

match:
  $Date
outcome:
  $Total_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "validated", $event.ingestion.event_count, 0))
  $Total_Normalized_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "validated", $event.ingestion.event_count, 0))
  $Total_Error_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_validation", $event.ingestion.event_count, 0)+if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_parsing", $event.ingestion.log_count, 0))
  $Total_Parsing_Error_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_parsing", $event.ingestion.log_count, 0))
  $Total_Validation_Error_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_validation", $event.ingestion.event_count, 0))
order:
  $Date desc
limit:
    50
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 基于事件计数的日志类型分布 
$event.ingestion.component = "Ingestion API"

$Log_Type = $event.ingestion.log_type
$Log_Type != ""
match:
  $Log_Type
outcome:
  $Count = sum($event.ingestion.log_count)
order:
  $Count desc
limit:
    50
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 注入错误计数 
outcome:
  $Count = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_validation", $event.ingestion.event_count, 0)+if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_parsing", $event.ingestion.log_count, 0))
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 突发限制图表 - 提取率 
$event.ingestion.component = "Ingestion API"

$Timestamp_Hour = timestamp.get_timestamp($event.ingestion.end_time, "%Y-%m-%d %H")

match:
  $Timestamp_Hour
outcome:
  $Total_Log_Volume_MB_Per_Hour = math.round(sum($event.ingestion.log_volume)/ 3600000000, 2)
order:
  $Timestamp_Hour asc
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 提取 - 吞吐量（所有时间） 
$Log_Type = $event.ingestion.log_type
$Timestamp_Year = timestamp.get_timestamp($event.ingestion.end_time, "%Y")
$Log_Type != ""
match:
  $Log_Type, $Timestamp_Year
outcome:
  $Count = sum($event.ingestion.log_volume)
order:
  $Timestamp_Year asc
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 基于事件计数的日志类型分布 
$event.ingestion.component = "Ingestion API"

$Log_Type = $event.ingestion.log_type

match:
  $Log_Type
outcome:
  $Count = sum($event.ingestion.log_count)
order:
  $Count desc
limit:
    50
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 突发限制图表 - 提取率 
$event.ingestion.component = "Ingestion API"

$Timestamp_Hour = timestamp.get_timestamp($event.ingestion.end_time, "%d/%h %l%p")

match:
  $Timestamp_Hour
outcome:
  $Total_Log_Volume_MB_Per_Hour = math.round(sum($event.ingestion.log_volume)/ 3600000000, 2)
order:
  $Timestamp_Hour asc
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 每日日志信息 
$Log_Type = $event.ingestion.log_type
$Log_Type != ""

match:
  $Log_Type by day
outcome:
  $Count = sum($event.ingestion.event_count)
order:
  $Count desc
limit:
    50
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 注入 - 按日志类型划分的事件 
$Log_Type = $event.ingestion.log_type
$Log_Type != ""
match:
  $Log_Type
outcome:
  $Total_Size_Bytes = sum(if($event.ingestion.component = "Ingestion API", $event.ingestion.log_volume, 0))
  $Total_Logs = sum(if($event.ingestion.component = "Ingestion API", $event.ingestion.log_count, 0))
  $Total_Normalized_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "validated", $event.ingestion.event_count, 0))
  $Total_Parsing_Error_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_parsing", $event.ingestion.log_count, 0))
  $Total_Validation_Error_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_validation", $event.ingestion.event_count, 0))
  $Total_Indexing_Error_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_indexing", $event.ingestion.log_count, 0))
order:
  $Total_Size_Bytes desc
limit:
    50
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 活动规模（过去 3 个月） 
ingestion.component = "Ingestion API"

$Date = timestamp.get_timestamp(ingestion.end_time, "%Y-%m")

match:
  $Date
outcome:
  $Event_Size = math.round(sum(ingestion.log_volume) / 1073741824, 2)
order:
  $Date asc
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 活动规模（过去 24 小时） 
ingestion.component = "Ingestion API"

$Hours = timestamp.get_timestamp(ingestion.end_time, "%k:00 %p")

match:
  $Hours
outcome:
  $Event_Size = math.round(sum(ingestion.log_volume) / 1073741824, 2)
order:
  $Hours asc
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 活动规模（过去 24 小时） 
ingestion.component = "Ingestion API"

$Hours = timestamp.get_timestamp(ingestion.end_time, "%Y-%m-%d %H")

match:
  $Hours
outcome:
  $Event_Size = math.round(sum(ingestion.log_volume) / 1073741824, 2)
order:
  $Hours asc
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 事件数（过去 24 小时） 
$event.ingestion.component = "Ingestion API"

$Hours = timestamp.get_timestamp($event.ingestion.end_time, "%k:00 %p")

match:
  $Hours
outcome:
  $Count = sum($event.ingestion.log_count)
order:
  $Hours asc
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 吞吐量 
ingestion.component = "Ingestion API"
outcome:
  $throughput = math.round(sum(ingestion.log_volume) / (1000 * 1000 * 1000), 2)
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 提取 - 每小时吞吐量 
$Log_Type = $event.ingestion.log_type
$Timestamp_Hour = timestamp.get_timestamp($event.ingestion.end_time, "%Y-%m-%d %H")
$Log_Type != ""
match:
  $Log_Type, $Timestamp_Hour
outcome:
  $Count = sum($event.ingestion.log_volume)
order:
  $Timestamp_Hour asc
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 每日日志信息 
$Log_Type = $event.ingestion.log_type
$Log_Type != ""

match:
  $Log_Type by day
outcome:
  $Count = sum($event.ingestion.event_count)
order:
  $Count desc
limit:
    50
数据注入和健康状况 监控数据传输、错误计数和日志分布。跟踪一段时间内的提取吞吐量和活动，以识别趋势并简化问题排查。 注入 - 按日志类型划分的事件 
$Log_Type = $event.ingestion.log_type

match:
  $Log_Type
outcome:
  $Total_Size_Bytes = sum(if($event.ingestion.component = "Ingestion API", $event.ingestion.log_volume, 0))
  $Total_Logs = sum(if($event.ingestion.component = "Ingestion API", $event.ingestion.log_count, 0))
  $Total_Normalized_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "validated", $event.ingestion.event_count, 0))
  $Total_Parsing_Error_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_parsing", $event.ingestion.log_count, 0))
  $Total_Validation_Error_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_validation", $event.ingestion.event_count, 0))
  $Total_Indexing_Error_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_indexing", $event.ingestion.log_count, 0))
order:
  $Total_Size_Bytes desc
limit:
    50
FedRAMP 持续监控 为安全和合规性团队提供系统状况的实时视图。根据 FedRAMP 标准跟踪漏洞和控制措施有效性，以确定补救措施的优先级并保持持续合规性。 按日志类型划分的上次检测信号响应时间 
$Log_Type = ingestion.log_type
$Component = ingestion.component

match:
  $Log_Type, $Component

outcome:
  $Date = timestamp.get_timestamp(max(ingestion.last_heartbeat_time), "%F %T")

order:
  $Date desc
HIPAA 信息中心 实时监控 HIPAA 合规性和安全指标。可让您了解 PHI 访问情况和潜在风险，确保数据机密性和完整性。
注意：需要先创建 ePHI_assets.Hostname 数据表，然后才能填充图表。 		按日志类型划分的上次检测信号响应时间 
$Log_Type = ingestion.log_type
$Component = ingestion.component

match:
  $Log_Type, $Component

outcome:
  $Date = timestamp.get_timestamp(max(ingestion.last_heartbeat_time), "%F %T")

order:
  $Date desc
主要 主信息中心提供数据注入健康状况和检测到的 IoC 的摘要，并从全局角度展示潜在威胁。 注入的事件 
ingestion.component = "Ingestion API"
outcome:
  $event_count = sum(ingestion.log_count)
主要 主信息中心提供数据注入健康状况和检测到的 IoC 的摘要，并从全局角度展示潜在威胁。 注入的事件 
ingestion.component = "Ingestion API"
ingestion.log_type != ""
outcome:
  $event_count = math.round(sum(ingestion.log_count)/(1000*1000), 2)
主要 主信息中心提供数据注入健康状况和检测到的 IoC 的摘要，并从全局角度展示潜在威胁。 指定时间段内的事件 
$log_type = ingestion.log_type
$log_type != ""
ingestion.component = "Ingestion API"
ingestion.log_type != "FORWARDER_HEARTBEAT"
ingestion.start_time != 0
$date = timestamp.get_date(ingestion.start_time)
$date != ""

match:
  $log_type, $date

outcome:
  $log_count = sum(ingestion.log_count)

order:
  $date desc
主要 主信息中心提供数据注入健康状况和检测到的 IoC 的摘要，并从全局角度展示潜在威胁。 吞吐量 
ingestion.component = "Ingestion API"
outcome:
  $throughput = math.round(sum(ingestion.log_volume) / (1000 * 1000 * 1000), 2)
主要 主信息中心提供数据注入健康状况和检测到的 IoC 的摘要，并从全局角度展示潜在威胁。 吞吐量 
ingestion.component = "Ingestion API"
ingestion.log_type != "FORWARDER_HEARTBEAT"
outcome:
  $throughput = math.round(sum(ingestion.log_volume) / (1000 * 1000 * 1000), 1)
主要 主信息中心提供数据注入健康状况和检测到的 IoC 的摘要，并从全局角度展示潜在威胁。 指定时间段内的事件 
ingestion.log_type != ""
ingestion.component = "Ingestion API"
ingestion.log_type != "FORWARDER_HEARTBEAT"
$log_type = ingestion.log_type
ingestion.start_time != 0
$date = timestamp.get_date(ingestion.start_time)
$date != ""
match:
  $log_type, $date
outcome:
  $log_count = sum(ingestion.log_count)
order:
  $date
Mandiant Hunting 可让您了解主动 Mandiant 威胁搜寻。跟踪正在进行和已完成的活动，同时突出显示在搜寻过程中发现的安全趋势。 注入事件的总数 
$event.ingestion.component = "Ingestion API"

outcome:
  $count = sum($event.ingestion.log_count)
NIST 800-53 - 审计与责任 监控符合 NIST 800-53 标准的日志管理和审核活动。让 SOC 团队能够管理审核日志，以确保安全性和持续合规性。 日志提取延迟时间 
$Log_Type = ingestion.log_type
$Latency = ingestion.latency_count
$Date = timestamp.get_date(ingestion.end_time)

match:
  $Date, $Log_Type, $Latency
NIST 800-53 - 审计与责任 监控符合 NIST 800-53 标准的日志管理和审核活动。助力 SOC 团队有效管理审核日志，实现持续的安全性和合规性。 按日志类型细分的解析率 
$Log_Type = ingestion.log_type

match:
  $Log_Type

outcome:
  $Ingested_Log_Count = sum(ingestion.event_count)
  $Total_Failed_Count = sum(if(ingestion.state = "failed_parsing" or ingestion.state = "failed_indexing" or ingestion.state = "failed_validation", ingestion.event_count,0))
  $Parsed_Event_Count = math.round(($Ingested_Log_Count - $Total_Failed_Count))
  $Parsing_Success_Rate = math.round(($Parsed_Event_Count/$Ingested_Log_Count) * 100,2)
  $Parsing_Failed_Rate = math.round(($Total_Failed_Count/$Ingested_Log_Count) * 100,2)

order:
  $Parsing_Success_Rate desc
NIST 800-53 - 审计与责任 监控符合 NIST 800-53 标准的日志管理和审核活动。助力 SOC 团队有效管理审核日志，实现持续的安全性和合规性。 按日志类型划分的日志提取量 
$Log_Type = ingestion.log_type

match:
  $Log_Type

outcome:
  $Log_Volume = math.round(sum(ingestion.log_volume) / (1000 * 1000 * 1000), 2)

order:
  $Log_Volume desc
NIST 800-53 - 审计与责任 监控符合 NIST 800-53 标准的日志管理和审核活动。助力 SOC 团队有效管理审核日志，实现持续的安全性和合规性。 按日志类型划分的上次检测信号响应时间 
$Log_Type = ingestion.log_type
$Component = ingestion.component

match:
  $Log_Type, $Component

outcome:
  $Date = timestamp.get_timestamp(max(ingestion.last_heartbeat_time), "%F %T")

order:
  $Date desc
PCI - 监控和测试 监控和跟踪对 PCI 环境中持卡人数据的访问。使用 `PCI_Assets` 和 `Default_Users` 参考列表来确定数据范围。
注意：必须先创建必需的参考列表，然后图表才会填充数据。 		SIEM 日志源检测信号 
$Log_Type = ingestion.log_type
$Component = ingestion.component

match:
  $Log_Type, $Component

outcome:
  $Date = timestamp.get_timestamp(max(ingestion.last_heartbeat_time), "%F %T")

order:
  $Date asc
SecOps 审核和活动监控 监控 Chronicle Google API 中的安全态势、事件和用户活动。跟踪被阻止的操作，以便直观了解潜在威胁和系统健康状况。 提取健康状况 
$Date = timestamp.get_date(ingestion.start_time)
$Collector_Type = ingestion.component

match:
  $Date, $Collector_Type

outcome:
  $Count = sum(ingestion.log_count)

order:
  $Date desc
SecOps 日志监控 监控日志提取延迟时间和组件状态，以优化性能。有助于减少数据丢失，并确保在整个环境中进行高保真安全监控。 按日志类型划分的注入吞吐量 (GB) 
ingestion.component = "Ingestion API"
ingestion.log_type != ""
ingestion.log_type != "FORWARDER_HEARTBEAT"

$Date = timestamp.get_date(ingestion.end_time)
$Log_Type = ingestion.log_type

match:
  $Log_Type, $Date

outcome:
  $Throughput_GB = math.round(sum(ingestion.log_volume) / (1000 * 1000 * 1000), 2)

order:
  $Throughput_GB desc
SecOps 日志监控 监控日志提取延迟时间和组件状态，以优化性能。有助于减少数据丢失，并确保在整个环境中进行高保真安全监控。 每月年初至今的日志注入量 
ingestion.component = "Ingestion API"

$Timestamp_Month = timestamp.get_timestamp(ingestion.end_time, "%Y-%m")

match:
  $Timestamp_Month

outcome:
  $Total_Log_Volume = math.round(sum(ingestion.log_volume) / (1000 * 1000 * 1000), 2)

order:
  $Timestamp_Month asc
SecOps 日志监控 监控日志提取延迟时间和组件状态，以优化性能。有助于减少数据丢失，并确保在整个环境中进行高保真安全监控。 注入吞吐量 (GB) 
ingestion.component = "Ingestion API"
ingestion.log_type != ""
ingestion.log_type != "FORWARDER_HEARTBEAT"

$Date = timestamp.get_date(ingestion.end_time)

match:
  $Date

outcome:
  $Throughput_GB = math.round(sum(ingestion.log_volume) / (1000 * 1000 * 1000), 2)

order:
  $Date desc
SecOps 日志监控 监控日志提取延迟时间和组件状态，以优化性能。有助于减少数据丢失，并确保在整个环境中进行高保真安全监控。 日志提取延迟时间 
ingestion.component = "Normalizer"
ingestion.log_type != ""

$Log_Type = ingestion.log_type
$Latency = ingestion.latency_count
$Date = timestamp.get_date(ingestion.end_time)

match:
  $Date, $Log_Type, $Latency

order:
  $Date desc
SecOps 日志监控 监控日志提取延迟时间和组件状态，以优化性能。有助于减少数据丢失，并确保在整个环境中进行高保真安全监控。 按日志类型划分的注入日志 
ingestion.component = "Ingestion API"

$Log_Type = ingestion.log_type
$Date = timestamp.get_date(ingestion.start_time)

match:
  $Date, $Log_Type

outcome:
  $Count = sum(ingestion.log_count)

order:
  $Date desc
SecOps 日志监控 监控日志提取延迟时间和组件状态，以优化性能。有助于减少数据丢失，并确保在整个环境中进行高保真安全监控。 排名前 10 的已提取日志（按日志类型） 
ingestion.component = "Ingestion API"
ingestion.log_type != ""

$Log_Type = ingestion.log_type

match:
  $Log_Type

outcome:
  $Count = sum(ingestion.log_count)

order:
  $Count desc

limit:
    10
SecOps 日志监控 监控日志提取延迟时间和组件状态，以优化性能。有助于减少数据丢失，并确保在整个环境中进行高保真安全监控。 按日志类型划分的解析成功率 
ingestion.log_type != ""

$Log_Type = ingestion.log_type

match:
  $Log_Type

outcome:
  $Ingested_Log_Count = sum(if(ingestion.component = "Ingestion API" and ingestion.state = "", ingestion.log_count,0))
  $Event_Count = sum(ingestion.event_count)
  $Total_Failed_Count = sum(if(ingestion.state = "failed_parsing" or ingestion.state = "failed_indexing" or ingestion.state = "failed_validation", ingestion.log_count,0))
  $Total_Normalized_Events = sum(if(ingestion.component = "Normalizer" AND ingestion.state = "validated", ingestion.event_count, 0))
  $Parsing_Success_Rate = math.round(($Total_Normalized_Events/$Event_Count) * 100,2)

order:
  $Parsing_Success_Rate desc
SecOps 日志监控 监控日志提取延迟时间和组件状态，以优化性能。有助于减少数据丢失，并确保在整个环境中进行高保真安全监控。 年初至今的每日日志提取量 
ingestion.component = "Ingestion API"

$Date = timestamp.get_date(ingestion.end_time)

match:
  $Date

outcome:
  $Total_Log_Volume = math.round(sum(ingestion.log_volume)/ (1000*1000*1000), 2)

order:
  $Date desc
SecOps 日志监控 监控日志提取延迟时间和组件状态，以优化性能。有助于减少数据丢失，并确保在整个环境中进行高保真安全监控。 年初至今的日志提取 
ingestion.component = "Ingestion API"

$Log_Type = ingestion.log_type

match:
  $Log_Type

outcome:
  $Recent_Ingestion_Time = timestamp.get_timestamp(max(ingestion.end_time), "%F %T")
  $Total_Log_Volume = math.round(sum(ingestion.log_volume) / (1000 * 1000 * 1000), 2)

order:
  $Recent_Ingestion_Time desc
SecOps 日志监控 监控日志提取延迟时间和组件状态，以优化性能。有助于减少数据丢失，并确保在整个环境中进行高保真安全监控。 转发器容器使用情况 
ingestion.component = "Forwarder"
ingestion.disk_used > 0

$Log_Type = ingestion.log_type
$Date = timestamp.get_date(ingestion.end_time)

match:
  $Date

outcome:
  $Usage_Rate = sum(ingestion.disk_used)

order:
  $Date desc
SecOps 日志监控 监控日志提取延迟时间和组件状态，以优化性能。有助于减少数据丢失，并确保在整个环境中进行高保真安全监控。 有效日志源趋势 
ingestion.component = "Ingestion API"

$Date = timestamp.get_date(ingestion.end_time)

match:
  $Date

outcome:
  $Count = count_distinct(ingestion.log_type)

order:
  $Date desc
SecOps 日志监控 监控日志提取延迟时间和组件状态，以优化性能。有助于减少数据丢失，并确保在整个环境中进行高保真安全监控。 近期流水线延迟时间计数 
ingestion.component = "Normalizer"
ingestion.log_type != ""

$Log_Type = ingestion.log_type
$Latency_Count = ingestion.latency_count
$OverFlow = ingestion.latency_overflow
$UnderFlow = ingestion.latency_underflow

match:
  $Log_Type, $Latency_Count, $OverFlow, $UnderFlow

outcome:
  $End_Time = timestamp.get_timestamp(max(ingestion.end_time), "%F %T")

order:
  $End_Time desc
SecOps 日志监控 监控日志提取延迟时间和组件状态，以优化性能。有助于减少数据丢失，并确保在整个环境中进行高保真安全监控。 按日志类型划分的日志提取量 
ingestion.component = "Ingestion API"
ingestion.log_type != ""
$Log_Type = ingestion.log_type
$Date = timestamp.get_date(ingestion.end_time)

match:
  $Log_Type

outcome:
  $Count = math.round(sum(ingestion.log_volume) / (1000 * 1000 * 1000), 2)

order:
  $Count desc
SecOps 日志监控 监控日志提取延迟时间和组件状态，以优化性能。有助于减少数据丢失，并确保在整个环境中进行高保真安全监控。 按日志类型划分的上次检测信号响应时间 
ingestion.log_type != ""

$Component = ingestion.component
$Log_Type = ingestion.log_type

match:
  $Log_Type, $Component
outcome:

  $Time = timestamp.get_timestamp(max(ingestion.last_heartbeat_time), "%F %T")
order:

  $Time desc
SecOps 日志监控 监控日志提取延迟时间和组件状态，以优化性能。有助于减少数据丢失，并确保在整个环境中进行高保真安全监控。 近期组件状态 
$Log_Type = if(ingestion.log_type = "", "UNPARSED LOGS", ingestion.log_type)
$Component = ingestion.component

match:
  $Log_Type, $Component

outcome:
  $Count = sum(ingestion.log_count)
  $Start_Time = timestamp.get_timestamp(max(ingestion.start_time), "%F %T")
  $End_Time = timestamp.get_timestamp(max(ingestion.end_time), "%F %T")
SecOps 日志监控 监控日志提取延迟时间和组件状态，以优化性能。有助于减少数据丢失，并确保在整个环境中进行高保真安全监控。 年初至今的日志提取总数 
ingestion.component = "Ingestion API"

outcome:
  $Total_Log_Volume = math.round(sum(ingestion.log_volume) / (1000 * 1000 * 1000), 2)
SecOps 日志监控 监控日志提取延迟时间和组件状态，以优化性能。有助于减少数据丢失，并确保在整个环境中进行高保真安全监控。 按事件类型划分的注入日志 
$Event_Type = ingestion.event_type
$Date = timestamp.get_date(ingestion.start_time)

match:
  $Date, $Event_Type

outcome:
  $Count = sum(ingestion.event_count)

order:
  $Date desc
SecOps 日志监控 监控日志提取延迟时间和组件状态，以优化性能。有助于减少数据丢失，并确保在整个环境中进行高保真安全监控。 按组件划分的注入日志 
$Collector_Type = ingestion.component
$Date = timestamp.get_date(ingestion.start_time)

match:
  $Collector_Type, $Date

outcome:
  $Count = sum(ingestion.log_count)

order:
  $Date desc
安全管理概览 通过跟踪支持请求活动、突发事件趋势和响应效果，提供安全运营的集中视图。帮助团队监控进度并识别风险，以提高整体安全有效性。 
ingestion.component = "Ingestion API"

outcome:
  $total = count_distinct(ingestion.log_type)
用户登录概览 监控身份验证活动，以识别和跟踪登录事件。分析地理位置活动、关联的主机和登录趋势，以检测有风险的用户和异常登录行为，从而主动检测威胁。 按日志源提取（24 小时） 
$ingestion_metrics_log_type = ingestion.log_type
match:
  $ingestion_metrics_log_type

outcome:
  $ingestion_metrics_total_events = sum(ingestion.event_count)
  $ingestion_metrics_drop_count = sum(ingestion.drop_count)
  $ingestion_metrics_log_count = sum(ingestion.log_count)

order:
  $ingestion_metrics_total_events desc

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。