查詢擷取指標

支援的國家/地區：

本文適用於安全營運中心 (SOC) 的管理員和分析師，他們希望使用精選資訊主頁 (預先定義的資訊主頁，可顯示各種安全用途的資訊) 監控威脅情勢和系統健康狀態。

您可以在查詢編輯器中使用這些查詢，或將其做為自訂小工具的基準。 如要瞭解如何建立及管理資訊主頁，請參閱「管理資訊主頁」。

資訊主頁名稱 說明 圖表名稱 查詢範例
ISO 27001 – 技術控制措施 清楚掌握技術控管措施和加密標準，有助於遵循法規和根據資料進行補救。
注意：必須使用篩選器縮小資料範圍。 		按記錄類型顯示上次產生活動訊號的時間 
$Log_Type = ingestion.log_type
$Component = ingestion.component

match:
  $Log_Type, $Component

outcome:
  $Date = timestamp.get_timestamp(max(ingestion.last_heartbeat_time))

order:
  $Date desc
CIS Controls 法規遵循總覽 提供 CIS 重要安全控制項的相關資訊，以強化控管機制。這項服務會追蹤資產準確度、安全漏洞進度及備份可靠性等重要指標，確保營運準備就緒。 隨時間變化的擷取處理量 
$Date = timestamp.get_date(ingestion.end_time)

match:
  $Date

outcome:
  $Total_Size_Bytes = sum(if(ingestion.component = "Ingestion API", ingestion.log_volume, 0))
CIS Controls 法規遵循總覽 提供 CIS 重要安全控制項的相關資訊，以強化控管機制。這項服務會追蹤資產準確度、安全漏洞進度及備份可靠性等重要指標，確保營運準備就緒。 依記錄類型擷取的事件 
$Log_Type = ingestion.log_type

match:
  $Log_Type

outcome:
  $Total_Size_Bytes = sum(if(ingestion.component = "Ingestion API", ingestion.log_volume, 0))
  $Total_Logs = sum(if(ingestion.component = "Ingestion API", ingestion.log_count, 0))
  $Total_Normalized_Events = sum(if(ingestion.component = "Normalizer" AND ingestion.state = "validated", ingestion.event_count, 0))
  $Total_Parsing_Error_Events = sum(if(ingestion.component = "Normalizer" AND ingestion.state = "failed_parsing", ingestion.log_count, 0))
  $Total_Validation_Error_Events = sum(if(ingestion.component = "Normalizer" AND ingestion.state = "failed_validation", ingestion.event_count, 0))
  $Total_Indexing_Error_Events = sum(if(ingestion.component = "Normalizer" AND ingestion.state = "failed_indexing", ingestion.log_count, 0))

order:
  $Total_Size_Bytes desc
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 事件計數 (過去 7 天) 
$event.ingestion.component = "Ingestion API"

$Days = timestamp.get_timestamp($event.ingestion.end_time, "%Y-%m-%d")

match:
  $Days
outcome:
  $Count = sum($event.ingestion.log_count)
order:
  $Days asc
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 擷取 - 每週總處理量 
$Log_Type = $event.ingestion.log_type
$Timestamp_Week = timestamp.get_timestamp($event.ingestion.end_time, "Week %W")

match:
  $Log_Type, $Timestamp_Week
outcome:
  $Count = sum($event.ingestion.log_volume)
order:
  $Timestamp_Week asc
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 擷取 - 依狀態劃分的事件 
$Date = timestamp.get_date($event.ingestion.end_time)

match:
  $Date
outcome:
  $Total_Logs = sum(if($event.ingestion.component = "Ingestion API", $event.ingestion.log_count, 0))
  $Total_Normalized_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "validated", $event.ingestion.event_count, 0))
  $Total_Parsing_Error_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_parsing", $event.ingestion.log_count, 0))
  $Total_Validation_Error_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_validation", $event.ingestion.event_count, 0))
  $Total_Indexing_Error_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_indexing", $event.ingestion.log_count, 0))
order:
  $Date desc
limit:
    50
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 擷取 - 每週總處理量 
$Log_Type = $event.ingestion.log_type
$Timestamp_Week = timestamp.get_timestamp($event.ingestion.end_time, "Week %W")
$Log_Type != ""
match:
  $Log_Type, $Timestamp_Week
outcome:
  $Count = sum($event.ingestion.log_volume)
order:
  $Timestamp_Week asc
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 事件計數 (過去 7 天) 
$event.ingestion.component = "Ingestion API"

$Days = timestamp.get_timestamp($event.ingestion.end_time, "%d-%h")

match:
  $Days
outcome:
  $Count = sum($event.ingestion.log_count)
order:
  $Days asc
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 最近擷取的記錄 
$Log_Type = $event.ingestion.log_type
$Log_Type != ""

match:
  $Log_Type
outcome:
  $Time = timestamp.get_timestamp(max($event.ingestion.end_time))
order:
  $Time desc
limit:
    50
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 突發拒絕圖表 
$event.ingestion.component = "Ingestion API"

$Timestamp_Hour = timestamp.get_timestamp($event.ingestion.end_time, "%d-%h %k:00 %p")

match:
  $Timestamp_Hour
outcome:
  $Max_Of_Quota_Rejected_Log_Volume = strings.concat(sum($event.ingestion.quota_rejected_short_term_log_volume), " GB")
order:
  $Timestamp_Hour asc
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 最近擷取的記錄 
$Log_Type = $event.ingestion.log_type
$Log_Type != ""

match:
  $Log_Type
outcome:
  $Time = timestamp.get_timestamp(max($event.ingestion.end_time))
order:
  $Time desc
limit:
    50
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 擷取 - 處理量 (過去 6 個月) 
$Log_Type = $event.ingestion.log_type
$Timestamp_Month = timestamp.get_timestamp($event.ingestion.end_time, "%m %h")

match:
  $Log_Type, $Timestamp_Month
outcome:
  $Count = sum($event.ingestion.log_volume)
order:
  $Timestamp_Month asc
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 擷取的事件數量 
$event.ingestion.component = "Ingestion API"

outcome:
  $Count = sum($event.ingestion.log_count)
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 事件大小 (過去 3 個月) 
ingestion.component = "Ingestion API"

$Date = timestamp.get_timestamp(ingestion.end_time, "%m-%h")

match:
  $Date
outcome:
  $Event_Size = math.round(sum(ingestion.log_volume) / 1073741824, 2)
order:
  $Date asc
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 爆量上限圖表 - 配額限制 
$event.ingestion.component = "Ingestion API"
$Timestamp_Hour = timestamp.get_timestamp($event.ingestion.end_time, "%Y-%m-%d %H")

match:
  $Timestamp_Hour
outcome:
  $Max_Quota_Limit_MB_Per_Second = math.round(max($event.ingestion.quota_limit_per_second) / 1000000, 2)
order:
  $Timestamp_Hour asc
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 事件數 (最近 3 個月) 
$event.ingestion.component = "Ingestion API"

$Months = timestamp.get_timestamp($event.ingestion.end_time, "%Y-%m")

match:
  $Months
outcome:
  $Count = sum($event.ingestion.log_count)
order:
  $Months asc
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 依處理量劃分的記錄類型分布情形 
$event.ingestion.component = "Ingestion API"

$Log_Type = $event.ingestion.log_type
$Log_Type != ""
match:
  $Log_Type
outcome:
  $Count = sum($event.ingestion.log_volume)
order:
  $Count desc
limit:
    50
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 爆量上限圖表 - 配額限制 
$event.ingestion.component = "Ingestion API"
$Timestamp_Hour = timestamp.get_timestamp($event.ingestion.end_time, "%d/%h %l%p")

match:
  $Timestamp_Hour
outcome:
  $Max_Quota_Limit_MB_Per_Second = math.round(max($event.ingestion.quota_limit_per_second) / 1000000, 2)
order:
  $Timestamp_Hour asc
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 事件數 (過去 24 小時) 
$event.ingestion.component = "Ingestion API"

$Hours = timestamp.get_timestamp($event.ingestion.end_time, "%Y-%m-%d %H")

match:
  $Hours
outcome:
  $Count = sum($event.ingestion.log_count)
order:
  $Hours asc
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 依處理量劃分的記錄類型分布情形 
$event.ingestion.component = "Ingestion API"

$Log_Type = $event.ingestion.log_type

match:
  $Log_Type
outcome:
  $Count = sum($event.ingestion.log_volume)
order:
  $Count desc
limit:
    50
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 事件大小 (過去 7 天) 
ingestion.component = "Ingestion API"

$Days = timestamp.get_timestamp(ingestion.end_time, "%Y-%m-%d")

match:
  $Days
outcome:
  $Event_Size = math.round(sum(ingestion.log_volume) / 1073741824, 2)
order:
  $Days asc
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 事件數 (最近 3 個月) 
$event.ingestion.component = "Ingestion API"

$Months = timestamp.get_timestamp($event.ingestion.end_time, "%m-%h")

match:
  $Months
outcome:
  $Count = sum($event.ingestion.log_count)
order:
  $Months asc
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 擷取的事件數量 
ingestion.component = "Ingestion API"

outcome:
  $Count = math.round(sum(ingestion.log_count)/(1000*1000), 2)
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 擷取 - 處理量 (所有時間) 
$Log_Type = $event.ingestion.log_type
$Timestamp_Year = timestamp.get_timestamp($event.ingestion.end_time, "%Y")

match:
  $Log_Type, $Timestamp_Year
outcome:
  $Count = sum($event.ingestion.log_volume)
order:
  $Timestamp_Year asc
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 突發拒絕圖表 
$event.ingestion.component = "Ingestion API"

$Timestamp_Hour = timestamp.get_timestamp($event.ingestion.end_time, "%Y-%m-%d %H")

match:
  $Timestamp_Hour
outcome:
  $Max_Of_Quota_Rejected_Log_Volume = math.round(sum($event.ingestion.quota_rejected_short_term_log_volume) / 1073741824, 2)
order:
  $Timestamp_Hour asc
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 事件大小 (過去 7 天) 
ingestion.component = "Ingestion API"

$Days = timestamp.get_timestamp(ingestion.end_time, "%d-%h")

match:
  $Days
outcome:
  $Event_Size = math.round(sum(ingestion.log_volume) / 1073741824, 2)
order:
  $Days asc
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 擷取 - 每小時處理量 
$Log_Type = $event.ingestion.log_type
$Timestamp_Hour = timestamp.get_timestamp($event.ingestion.end_time, "%k:00 %p")

match:
  $Log_Type, $Timestamp_Hour
outcome:
  $Count = sum($event.ingestion.log_volume)
order:
  $Timestamp_Hour asc
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 擷取 - 處理量 (過去 6 個月) 
$Log_Type = $event.ingestion.log_type
$Timestamp_Month = timestamp.get_timestamp($event.ingestion.end_time, "%Y-%m")
$Log_Type != ""
match:
  $Log_Type, $Timestamp_Month
outcome:
  $Count = sum($event.ingestion.log_volume)
order:
  $Timestamp_Month asc
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 擷取錯誤數 
outcome:
  $Count = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_validation", $event.ingestion.event_count, 0)+if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_parsing", $event.ingestion.log_count, 0))
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 擷取 - 依狀態劃分的事件 
$Date = timestamp.get_date($event.ingestion.end_time)

match:
  $Date
outcome:
  $Total_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "validated", $event.ingestion.event_count, 0))
  $Total_Normalized_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "validated", $event.ingestion.event_count, 0))
  $Total_Error_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_validation", $event.ingestion.event_count, 0)+if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_parsing", $event.ingestion.log_count, 0))
  $Total_Parsing_Error_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_parsing", $event.ingestion.log_count, 0))
  $Total_Validation_Error_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_validation", $event.ingestion.event_count, 0))
order:
  $Date desc
limit:
    50
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 依事件計數劃分的記錄類型分布 
$event.ingestion.component = "Ingestion API"

$Log_Type = $event.ingestion.log_type
$Log_Type != ""
match:
  $Log_Type
outcome:
  $Count = sum($event.ingestion.log_count)
order:
  $Count desc
limit:
    50
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 擷取錯誤數 
outcome:
  $Count = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_validation", $event.ingestion.event_count, 0)+if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_parsing", $event.ingestion.log_count, 0))
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 爆量限制圖表 - 擷取率 
$event.ingestion.component = "Ingestion API"

$Timestamp_Hour = timestamp.get_timestamp($event.ingestion.end_time, "%Y-%m-%d %H")

match:
  $Timestamp_Hour
outcome:
  $Total_Log_Volume_MB_Per_Hour = math.round(sum($event.ingestion.log_volume)/ 3600000000, 2)
order:
  $Timestamp_Hour asc
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 擷取 - 處理量 (所有時間) 
$Log_Type = $event.ingestion.log_type
$Timestamp_Year = timestamp.get_timestamp($event.ingestion.end_time, "%Y")
$Log_Type != ""
match:
  $Log_Type, $Timestamp_Year
outcome:
  $Count = sum($event.ingestion.log_volume)
order:
  $Timestamp_Year asc
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 依事件計數劃分的記錄類型分布 
$event.ingestion.component = "Ingestion API"

$Log_Type = $event.ingestion.log_type

match:
  $Log_Type
outcome:
  $Count = sum($event.ingestion.log_count)
order:
  $Count desc
limit:
    50
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 爆量限制圖表 - 擷取率 
$event.ingestion.component = "Ingestion API"

$Timestamp_Hour = timestamp.get_timestamp($event.ingestion.end_time, "%d/%h %l%p")

match:
  $Timestamp_Hour
outcome:
  $Total_Log_Volume_MB_Per_Hour = math.round(sum($event.ingestion.log_volume)/ 3600000000, 2)
order:
  $Timestamp_Hour asc
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 每日記錄資訊 
$Log_Type = $event.ingestion.log_type
$Log_Type != ""

match:
  $Log_Type by day
outcome:
  $Count = sum($event.ingestion.event_count)
order:
  $Count desc
limit:
    50
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 擷取 - 依記錄類型細分的事件資料 
$Log_Type = $event.ingestion.log_type
$Log_Type != ""
match:
  $Log_Type
outcome:
  $Total_Size_Bytes = sum(if($event.ingestion.component = "Ingestion API", $event.ingestion.log_volume, 0))
  $Total_Logs = sum(if($event.ingestion.component = "Ingestion API", $event.ingestion.log_count, 0))
  $Total_Normalized_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "validated", $event.ingestion.event_count, 0))
  $Total_Parsing_Error_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_parsing", $event.ingestion.log_count, 0))
  $Total_Validation_Error_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_validation", $event.ingestion.event_count, 0))
  $Total_Indexing_Error_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_indexing", $event.ingestion.log_count, 0))
order:
  $Total_Size_Bytes desc
limit:
    50
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 事件大小 (過去 3 個月) 
ingestion.component = "Ingestion API"

$Date = timestamp.get_timestamp(ingestion.end_time, "%Y-%m")

match:
  $Date
outcome:
  $Event_Size = math.round(sum(ingestion.log_volume) / 1073741824, 2)
order:
  $Date asc
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 事件大小 (過去 24 小時) 
ingestion.component = "Ingestion API"

$Hours = timestamp.get_timestamp(ingestion.end_time, "%k:00 %p")

match:
  $Hours
outcome:
  $Event_Size = math.round(sum(ingestion.log_volume) / 1073741824, 2)
order:
  $Hours asc
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 事件大小 (過去 24 小時) 
ingestion.component = "Ingestion API"

$Hours = timestamp.get_timestamp(ingestion.end_time, "%Y-%m-%d %H")

match:
  $Hours
outcome:
  $Event_Size = math.round(sum(ingestion.log_volume) / 1073741824, 2)
order:
  $Hours asc
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 事件數 (過去 24 小時) 
$event.ingestion.component = "Ingestion API"

$Hours = timestamp.get_timestamp($event.ingestion.end_time, "%k:00 %p")

match:
  $Hours
outcome:
  $Count = sum($event.ingestion.log_count)
order:
  $Hours asc
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 處理量 
ingestion.component = "Ingestion API"
outcome:
  $throughput = math.round(sum(ingestion.log_volume) / (1000 * 1000 * 1000), 2)
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 擷取 - 每小時處理量 
$Log_Type = $event.ingestion.log_type
$Timestamp_Hour = timestamp.get_timestamp($event.ingestion.end_time, "%Y-%m-%d %H")
$Log_Type != ""
match:
  $Log_Type, $Timestamp_Hour
outcome:
  $Count = sum($event.ingestion.log_volume)
order:
  $Timestamp_Hour asc
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 每日記錄資訊 
$Log_Type = $event.ingestion.log_type
$Log_Type != ""

match:
  $Log_Type by day
outcome:
  $Count = sum($event.ingestion.event_count)
order:
  $Count desc
limit:
    50
資料擷取與健康狀態 監控資料流程、錯誤計數和記錄檔分配情形。追蹤一段時間內的擷取處理量和活動，找出趨勢並簡化疑難排解程序。 擷取 - 依記錄類型細分的事件資料 
$Log_Type = $event.ingestion.log_type

match:
  $Log_Type
outcome:
  $Total_Size_Bytes = sum(if($event.ingestion.component = "Ingestion API", $event.ingestion.log_volume, 0))
  $Total_Logs = sum(if($event.ingestion.component = "Ingestion API", $event.ingestion.log_count, 0))
  $Total_Normalized_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "validated", $event.ingestion.event_count, 0))
  $Total_Parsing_Error_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_parsing", $event.ingestion.log_count, 0))
  $Total_Validation_Error_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_validation", $event.ingestion.event_count, 0))
  $Total_Indexing_Error_Events = sum(if($event.ingestion.component = "Normalizer" AND $event.ingestion.state = "failed_indexing", $event.ingestion.log_count, 0))
order:
  $Total_Size_Bytes desc
limit:
    50
FEDRAMP 持續監控 讓安全和法規遵循團隊即時掌握系統狀態。追蹤漏洞和控管措施是否符合 FedRAMP 標準，優先處理問題並持續確保法規遵循狀態。 按記錄類型顯示上次產生活動訊號的時間 
$Log_Type = ingestion.log_type
$Component = ingestion.component

match:
  $Log_Type, $Component

outcome:
  $Date = timestamp.get_timestamp(max(ingestion.last_heartbeat_time), "%F %T")

order:
  $Date desc
健康保險流通與責任法案 (HIPAA) 資訊主頁 即時監控《健康保險流通與責任法案》法規遵循和安全指標。可讓您掌握 PHI 存取情形和潛在風險，確保資料機密性和完整性。
注意：必須先建立 ePHI_assets.Hostname 資料表，圖表才會填入資料。 		按記錄類型顯示上次產生活動訊號的時間 
$Log_Type = ingestion.log_type
$Component = ingestion.component

match:
  $Log_Type, $Component

outcome:
  $Date = timestamp.get_timestamp(max(ingestion.last_heartbeat_time), "%F %T")

order:
  $Date desc
主要 主要資訊主頁會顯示資料擷取健康狀態和偵測到的入侵指標摘要，並提供潛在威脅的全球觀點。 擷取的事件 
ingestion.component = "Ingestion API"
outcome:
  $event_count = sum(ingestion.log_count)
主要 主要資訊主頁會顯示資料擷取健康狀態和偵測到的入侵指標摘要，並提供潛在威脅的全球觀點。 擷取的事件 
ingestion.component = "Ingestion API"
ingestion.log_type != ""
outcome:
  $event_count = math.round(sum(ingestion.log_count)/(1000*1000), 2)
主要 主要資訊主頁會顯示資料擷取健康狀態和偵測到的入侵指標摘要，並提供潛在威脅的全球觀點。 歷來事件 
$log_type = ingestion.log_type
$log_type != ""
ingestion.component = "Ingestion API"
ingestion.log_type != "FORWARDER_HEARTBEAT"
ingestion.start_time != 0
$date = timestamp.get_date(ingestion.start_time)
$date != ""

match:
  $log_type, $date

outcome:
  $log_count = sum(ingestion.log_count)

order:
  $date desc
主要 主要資訊主頁會顯示資料擷取健康狀態和偵測到的入侵指標摘要，並提供潛在威脅的全球觀點。 處理量 
ingestion.component = "Ingestion API"
outcome:
  $throughput = math.round(sum(ingestion.log_volume) / (1000 * 1000 * 1000), 2)
主要 主要資訊主頁會顯示資料擷取健康狀態和偵測到的入侵指標摘要，並提供潛在威脅的全球觀點。 處理量 
ingestion.component = "Ingestion API"
ingestion.log_type != "FORWARDER_HEARTBEAT"
outcome:
  $throughput = math.round(sum(ingestion.log_volume) / (1000 * 1000 * 1000), 1)
主要 主要資訊主頁會顯示資料擷取健康狀態和偵測到的入侵指標摘要，並提供潛在威脅的全球觀點。 歷來事件 
ingestion.log_type != ""
ingestion.component = "Ingestion API"
ingestion.log_type != "FORWARDER_HEARTBEAT"
$log_type = ingestion.log_type
ingestion.start_time != 0
$date = timestamp.get_date(ingestion.start_time)
$date != ""
match:
  $log_type, $date
outcome:
  $log_count = sum(ingestion.log_count)
order:
  $date
Mandiant Hunting 提供主動式 Mandiant 威脅搜尋的洞察資訊。追蹤進行中和已完成的活動，同時醒目顯示在搜尋過程中發現的安全趨勢。 擷取的事件總數 
$event.ingestion.component = "Ingestion API"

outcome:
  $count = sum($event.ingestion.log_count)
NIST 800-53 - 稽核與當責 監控符合 NIST 800-53 標準的記錄管理和稽核活動。讓 SOC 團隊管理稽核記錄，確保安全無虞並持續符合法規。 記錄檔擷取延遲 
$Log_Type = ingestion.log_type
$Latency = ingestion.latency_count
$Date = timestamp.get_date(ingestion.end_time)

match:
  $Date, $Log_Type, $Latency
NIST 800-53 - 稽核與當責 監控符合 NIST 800-53 標準的記錄管理和稽核活動。協助 SOC 團隊有效管理稽核記錄，持續確保安全性和法規遵循。 依記錄類型顯示的剖析率 
$Log_Type = ingestion.log_type

match:
  $Log_Type

outcome:
  $Ingested_Log_Count = sum(ingestion.event_count)
  $Total_Failed_Count = sum(if(ingestion.state = "failed_parsing" or ingestion.state = "failed_indexing" or ingestion.state = "failed_validation", ingestion.event_count,0))
  $Parsed_Event_Count = math.round(($Ingested_Log_Count - $Total_Failed_Count))
  $Parsing_Success_Rate = math.round(($Parsed_Event_Count/$Ingested_Log_Count) * 100,2)
  $Parsing_Failed_Rate = math.round(($Total_Failed_Count/$Ingested_Log_Count) * 100,2)

order:
  $Parsing_Success_Rate desc
NIST 800-53 - 稽核與當責 監控符合 NIST 800-53 標準的記錄管理和稽核活動。協助 SOC 團隊有效管理稽核記錄，持續確保安全性和法規遵循。 依記錄類型劃分的記錄擷取量 
$Log_Type = ingestion.log_type

match:
  $Log_Type

outcome:
  $Log_Volume = math.round(sum(ingestion.log_volume) / (1000 * 1000 * 1000), 2)

order:
  $Log_Volume desc
NIST 800-53 - 稽核與當責 監控符合 NIST 800-53 標準的記錄管理和稽核活動。協助 SOC 團隊有效管理稽核記錄，持續確保安全性和法規遵循。 按記錄類型顯示上次產生活動訊號的時間 
$Log_Type = ingestion.log_type
$Component = ingestion.component

match:
  $Log_Type, $Component

outcome:
  $Date = timestamp.get_timestamp(max(ingestion.last_heartbeat_time), "%F %T")

order:
  $Date desc
PCI - 監控與測試 監控及追蹤 PCI 環境中的持卡人資料存取權。使用 `PCI_Assets` 和 `Default_Users` 參照清單來設定資料範圍。
注意：您必須先建立必要參考清單，圖表才會顯示。 		SIEM 記錄來源活動訊號 
$Log_Type = ingestion.log_type
$Component = ingestion.component

match:
  $Log_Type, $Component

outcome:
  $Date = timestamp.get_timestamp(max(ingestion.last_heartbeat_time), "%F %T")

order:
  $Date asc
安全運作稽核與活動監控 監控 Chronicle Google API 內的安全性狀態、事件和使用者活動。追蹤遭封鎖的動作，以便掌握潛在威脅和系統健康狀態。 擷取健康狀態 
$Date = timestamp.get_date(ingestion.start_time)
$Collector_Type = ingestion.component

match:
  $Date, $Collector_Type

outcome:
  $Count = sum(ingestion.log_count)

order:
  $Date desc
SecOps 記錄監控 監控記錄檔擷取延遲和元件狀態，以提升效能。有助於減少資料遺失，並確保環境中的安全監控作業維持高準確度。 各記錄類型擷取處理量 (GB) 
ingestion.component = "Ingestion API"
ingestion.log_type != ""
ingestion.log_type != "FORWARDER_HEARTBEAT"

$Date = timestamp.get_date(ingestion.end_time)
$Log_Type = ingestion.log_type

match:
  $Log_Type, $Date

outcome:
  $Throughput_GB = math.round(sum(ingestion.log_volume) / (1000 * 1000 * 1000), 2)

order:
  $Throughput_GB desc
SecOps 記錄監控 監控記錄檔擷取延遲和元件狀態，以提升效能。有助於減少資料遺失，並確保環境中的安全監控作業維持高準確度。 每月年初至今的記錄擷取量 
ingestion.component = "Ingestion API"

$Timestamp_Month = timestamp.get_timestamp(ingestion.end_time, "%Y-%m")

match:
  $Timestamp_Month

outcome:
  $Total_Log_Volume = math.round(sum(ingestion.log_volume) / (1000 * 1000 * 1000), 2)

order:
  $Timestamp_Month asc
SecOps 記錄監控 監控記錄檔擷取延遲和元件狀態，以提升效能。有助於減少資料遺失，並確保環境中的安全監控作業維持高準確度。 擷取處理量 (GB) 
ingestion.component = "Ingestion API"
ingestion.log_type != ""
ingestion.log_type != "FORWARDER_HEARTBEAT"

$Date = timestamp.get_date(ingestion.end_time)

match:
  $Date

outcome:
  $Throughput_GB = math.round(sum(ingestion.log_volume) / (1000 * 1000 * 1000), 2)

order:
  $Date desc
SecOps 記錄監控 監控記錄檔擷取延遲和元件狀態，以提升效能。有助於減少資料遺失，並確保環境中的安全監控作業維持高準確度。 記錄檔擷取延遲 
ingestion.component = "Normalizer"
ingestion.log_type != ""

$Log_Type = ingestion.log_type
$Latency = ingestion.latency_count
$Date = timestamp.get_date(ingestion.end_time)

match:
  $Date, $Log_Type, $Latency

order:
  $Date desc
SecOps 記錄監控 監控記錄檔擷取延遲和元件狀態，以提升效能。有助於減少資料遺失，並確保環境中的安全監控作業維持高準確度。 依記錄類型擷取的記錄 
ingestion.component = "Ingestion API"

$Log_Type = ingestion.log_type
$Date = timestamp.get_date(ingestion.start_time)

match:
  $Date, $Log_Type

outcome:
  $Count = sum(ingestion.log_count)

order:
  $Date desc
SecOps 記錄監控 監控記錄檔擷取延遲和元件狀態，以提升效能。有助於減少資料遺失，並確保環境中的安全監控作業維持高準確度。 前 10 大擷取的記錄檔 (依記錄類型) 
ingestion.component = "Ingestion API"
ingestion.log_type != ""

$Log_Type = ingestion.log_type

match:
  $Log_Type

outcome:
  $Count = sum(ingestion.log_count)

order:
  $Count desc

limit:
    10
SecOps 記錄監控 監控記錄檔擷取延遲和元件狀態，以提升效能。有助於減少資料遺失，並確保環境中的安全監控作業維持高準確度。 依記錄檔類型劃分的剖析成功率 
ingestion.log_type != ""

$Log_Type = ingestion.log_type

match:
  $Log_Type

outcome:
  $Ingested_Log_Count = sum(if(ingestion.component = "Ingestion API" and ingestion.state = "", ingestion.log_count,0))
  $Event_Count = sum(ingestion.event_count)
  $Total_Failed_Count = sum(if(ingestion.state = "failed_parsing" or ingestion.state = "failed_indexing" or ingestion.state = "failed_validation", ingestion.log_count,0))
  $Total_Normalized_Events = sum(if(ingestion.component = "Normalizer" AND ingestion.state = "validated", ingestion.event_count, 0))
  $Parsing_Success_Rate = math.round(($Total_Normalized_Events/$Event_Count) * 100,2)

order:
  $Parsing_Success_Rate desc
SecOps 記錄監控 監控記錄檔擷取延遲和元件狀態，以提升效能。有助於減少資料遺失，並確保環境中的安全監控作業維持高準確度。 本年迄今每日記錄擷取量 
ingestion.component = "Ingestion API"

$Date = timestamp.get_date(ingestion.end_time)

match:
  $Date

outcome:
  $Total_Log_Volume = math.round(sum(ingestion.log_volume)/ (1000*1000*1000), 2)

order:
  $Date desc
SecOps 記錄監控 監控記錄檔擷取延遲和元件狀態，以提升效能。有助於減少資料遺失，並確保環境中的安全監控作業維持高準確度。 本年迄今記錄檔擷取量 
ingestion.component = "Ingestion API"

$Log_Type = ingestion.log_type

match:
  $Log_Type

outcome:
  $Recent_Ingestion_Time = timestamp.get_timestamp(max(ingestion.end_time), "%F %T")
  $Total_Log_Volume = math.round(sum(ingestion.log_volume) / (1000 * 1000 * 1000), 2)

order:
  $Recent_Ingestion_Time desc
SecOps 記錄監控 監控記錄檔擷取延遲和元件狀態，以提升效能。有助於減少資料遺失，並確保環境中的安全監控作業維持高準確度。 轉送器容器用量 
ingestion.component = "Forwarder"
ingestion.disk_used > 0

$Log_Type = ingestion.log_type
$Date = timestamp.get_date(ingestion.end_time)

match:
  $Date

outcome:
  $Usage_Rate = sum(ingestion.disk_used)

order:
  $Date desc
SecOps 記錄監控 監控記錄檔擷取延遲和元件狀態，以提升效能。有助於減少資料遺失，並確保環境中的安全監控作業維持高準確度。 有效記錄來源趨勢 
ingestion.component = "Ingestion API"

$Date = timestamp.get_date(ingestion.end_time)

match:
  $Date

outcome:
  $Count = count_distinct(ingestion.log_type)

order:
  $Date desc
SecOps 記錄監控 監控記錄檔擷取延遲和元件狀態，以提升效能。有助於減少資料遺失，並確保環境中的安全監控作業維持高準確度。 近期管道延遲次數 
ingestion.component = "Normalizer"
ingestion.log_type != ""

$Log_Type = ingestion.log_type
$Latency_Count = ingestion.latency_count
$OverFlow = ingestion.latency_overflow
$UnderFlow = ingestion.latency_underflow

match:
  $Log_Type, $Latency_Count, $OverFlow, $UnderFlow

outcome:
  $End_Time = timestamp.get_timestamp(max(ingestion.end_time), "%F %T")

order:
  $End_Time desc
SecOps 記錄監控 監控記錄檔擷取延遲和元件狀態，以提升效能。有助於減少資料遺失，並確保環境中的安全監控作業維持高準確度。 依記錄類型劃分的記錄擷取量 
ingestion.component = "Ingestion API"
ingestion.log_type != ""
$Log_Type = ingestion.log_type
$Date = timestamp.get_date(ingestion.end_time)

match:
  $Log_Type

outcome:
  $Count = math.round(sum(ingestion.log_volume) / (1000 * 1000 * 1000), 2)

order:
  $Count desc
SecOps 記錄監控 監控記錄檔擷取延遲和元件狀態，以提升效能。有助於減少資料遺失，並確保環境中的安全監控作業維持高準確度。 按記錄類型顯示上次產生活動訊號的時間 
ingestion.log_type != ""

$Component = ingestion.component
$Log_Type = ingestion.log_type

match:
  $Log_Type, $Component
outcome:

  $Time = timestamp.get_timestamp(max(ingestion.last_heartbeat_time), "%F %T")
order:

  $Time desc
SecOps 記錄監控 監控記錄檔擷取延遲和元件狀態，以提升效能。有助於減少資料遺失，並確保環境中的安全監控作業維持高準確度。 近期元件狀態 
$Log_Type = if(ingestion.log_type = "", "UNPARSED LOGS", ingestion.log_type)
$Component = ingestion.component

match:
  $Log_Type, $Component

outcome:
  $Count = sum(ingestion.log_count)
  $Start_Time = timestamp.get_timestamp(max(ingestion.start_time), "%F %T")
  $End_Time = timestamp.get_timestamp(max(ingestion.end_time), "%F %T")
SecOps 記錄監控 監控記錄檔擷取延遲和元件狀態，以提升效能。有助於減少資料遺失，並確保環境中的安全監控作業維持高準確度。 本年迄今記錄擷取總量 
ingestion.component = "Ingestion API"

outcome:
  $Total_Log_Volume = math.round(sum(ingestion.log_volume) / (1000 * 1000 * 1000), 2)
SecOps 記錄監控 監控記錄檔擷取延遲和元件狀態，以提升效能。有助於減少資料遺失，並確保環境中的安全監控作業維持高準確度。 依事件類型擷取的記錄 
$Event_Type = ingestion.event_type
$Date = timestamp.get_date(ingestion.start_time)

match:
  $Date, $Event_Type

outcome:
  $Count = sum(ingestion.event_count)

order:
  $Date desc
SecOps 記錄監控 監控記錄檔擷取延遲和元件狀態，以提升效能。有助於減少資料遺失，並確保環境中的安全監控作業維持高準確度。 各元件擷取的記錄檔 
$Collector_Type = ingestion.component
$Date = timestamp.get_date(ingestion.start_time)

match:
  $Collector_Type, $Date

outcome:
  $Count = sum(ingestion.log_count)

order:
  $Date desc
安全性管理總覽 追蹤案件活動、事件趨勢和回應成效，集中掌握安全作業。協助團隊監控進度及找出風險，進而提升整體安全防護成效。 
ingestion.component = "Ingestion API"

outcome:
  $total = count_distinct(ingestion.log_type)
使用者登入總覽 監控驗證活動，找出並追蹤登入事件。分析地理位置活動、相關聯的主機和登入趨勢，偵測有風險的使用者和異常登入行為，主動偵測威脅。 依記錄來源擷取 (24 小時) 
$ingestion_metrics_log_type = ingestion.log_type
match:
  $ingestion_metrics_log_type

outcome:
  $ingestion_metrics_total_events = sum(ingestion.event_count)
  $ingestion_metrics_drop_count = sum(ingestion.drop_count)
  $ingestion_metrics_log_count = sum(ingestion.log_count)

order:
  $ingestion_metrics_total_events desc

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。