查看 IOC 匹配项

支持的平台：

本文档面向安全运营中心 (SOC) 的经理和分析师，他们希望使用精选的信息中心（预定义的信息中心，旨在提高各种安全用例的可见性）来监控威胁形势和系统健康状况。本文档针对 SOAR 案例来源类型提供了一系列精选的信息中心及其底层查询。

您可以在查询编辑器中使用这些查询，也可以将其用作自定义 widget 的基准。如需了解如何创建和管理信息中心，请参阅管理信息中心。

信息中心名称 说明 图表名称 查询示例
CIS Controls 合规性概览 监控 CIS 关键安全控制措施的遵守情况，包括资产准确性、漏洞修复和访问权限强制执行。 与 IOC 通信的前 10 项资产 
$IOC_Value = ioc.ioc_value
$IOC_Type = ioc.ioc_type
$Asset = strings.coalesce(ioc.asset.hostname,ioc.asset.asset_ip_address, ioc.asset.mac)
$Asset !=""

match:
  $Asset, $IOC_Value, $IOC_Type

outcome:
  $IOC_Severity = array_distinct(ioc.severity)
  $IOC_Category = array_distinct(ioc.category)
  $IOC_Feed =array_distinct(ioc.feed_name)
  $IOC_Count = count(ioc.ioc_value)

order:
  $IOC_Count desc

limit:
    10
主要 提供数据注入健康状况和检测到的 IoC 的摘要，并提供有关潜在威胁的全局视角。 全球威胁地图 - IOC IP 匹配项 
ioc.ioc_value != ""
ioc.ioc_type = "IOC_TYPE_IP"
$ioc_value = ioc.ioc_value
$latitude = ioc.location.region_coordinates.latitude
$longitude = ioc.location.region_coordinates.longitude

match:
  $ioc_value, $latitude, $longitude

outcome:
  $count = count_distinct(ioc.ioc_value)

order:
  $count desc
主要 提供数据注入健康状况和检测到的 IoC 的摘要，并提供有关潜在威胁的全局视角。 全球威胁地图 - IOC IP 匹配项 
ioc.ioc_value != ""
ioc.ioc_type = "IOC_TYPE_IP"

$ioc_value = ioc.ioc_value

$location = strings.concat(ioc.location.region_coordinates.latitude, "," ioc.location.region_coordinates.longitude)

match:
  $ioc_value, $location

outcome:
  $count = count_distinct(ioc.ioc_value)

order:
  $count desc
网络流量概览 网络流量信息中心可按 IP、协议和区域实时监控云端和本地流量。 与 IOC 通信的前 10 项资产 
strings.coalesce(ioc.asset.hostname,ioc.asset.asset_ip_address, ioc.asset.mac ) != ""

$IOC_Value = ioc.ioc_value
$IOC_Type = ioc.ioc_type
$Asset = strings.coalesce(ioc.asset.hostname,ioc.asset.asset_ip_address, ioc.asset.mac)

match:
  $Asset, $IOC_Value, $IOC_Type

outcome:
  $IOC_Severity = array_distinct(ioc.severity)
  $IOC_Category = array_distinct(ioc.category)
  $IOC_Count = count(ioc.ioc_value)

order:
  $IOC_Count desc

limit:
    10
威胁情报概览 提供有关 IOC 和风险得分的实时数据洞见，以便更快地检测新兴的基础设施威胁。 IOC（按严重程度划分） 
$Severity = strings.to_upper(ioc.severity)
$Severity != ""
match:
  $Severity

outcome:
  $IOC_Count = count(ioc.ioc_value)
威胁情报概览 提供有关 IOC 和风险得分的实时数据洞见，以便更快地检测新兴的基础设施威胁。 按类别列出的 IOC 
$Category = ioc.category
$Category != ""
match:
  $Category

outcome:
  $IOC_Count = count(ioc.ioc_value)
威胁情报概览 提供有关 IOC 和风险得分的实时数据洞见，以便更快地检测新兴的基础设施威胁。 可疑的 IP 地址访问 
ioc.ioc_type =  "IOC_TYPE_IP"
strings.coalesce( ioc.asset.hostname,ioc.asset.asset_ip_address, ioc.asset.mac ) != ""
ioc.severity !=""

$IOC_Value = ioc.ioc_value
$IOC_Type = ioc.ioc_type
$User = strings.coalesce( ioc.asset.hostname,ioc.asset.asset_ip_address, ioc.asset.mac )

match:
  $IOC_Value, $User

outcome:
  $IOC_Severity = array_distinct(ioc.severity)
  $IOC_Category = array_distinct(ioc.category)
  $IOC_Count = count(ioc.ioc_value)

order:
  $IOC_Count desc
威胁情报概览 提供有关 IOC 和风险得分的实时数据洞见，以便更快地检测新兴的基础设施威胁。 10 大网域指标 
ioc.ioc_type = "IOC_TYPE_DOMAIN"

$IOC_Value = ioc.ioc_value

match:
  $IOC_Value

outcome:
  $IOC_Count = count(ioc.ioc_value)

order:
  $IOC_Count desc

limit:
    10
威胁情报概览 提供有关 IOC 和风险得分的实时数据洞见，以便更快地检测新兴的基础设施威胁。 按类型划分的新 IOC 注入 
$IOC_Type = ioc.ioc_type
$Date =  timestamp.get_date(ioc.commit_timestamp.seconds)

match:
  $IOC_Type

outcome:
  $IOC_Count = count(ioc.ioc_value)

order:
  $IOC_Count desc
威胁情报概览 提供有关 IOC 和风险得分的实时数据洞见，以便更快地检测新兴的基础设施威胁。 与 IOC 通信的主机 
$Hostname = ioc.asset.hostname
$Hostname != ""

match:
  $Hostname

outcome:
  $IOC_Count = count(ioc.ioc_value)

order:
  $IOC_Count desc
威胁情报概览 提供有关 IOC 和风险得分的实时数据洞见，以便更快地检测新兴的基础设施威胁。 10 大 IP 指标 
ioc.ioc_type = "IOC_TYPE_IP"

$IOC_Value = ioc.ioc_value

match:
  $IOC_Value

outcome:
  $IOC_Count = count(ioc.ioc_value)

order:
  $IOC_Count desc

limit:
    10
威胁情报概览 提供有关 IOC 和风险得分的实时数据洞见，以便更快地检测新兴的基础设施威胁。 IOC 数量随时间的变化情况 
$IOC_Type = ioc.ioc_type
$Date = timestamp.get_date(ioc.day_bucket_seconds)

match:
  $Date, $IOC_Type

outcome:
  $IOC_Count = count(ioc.ioc_value)

order:
  $Date asc
威胁情报概览 提供有关 IOC 和风险得分的实时数据洞见，以便更快地检测新兴的基础设施威胁。 最新 IOC 
$IOC_Value = ioc.ioc_value
$IOC_Type = ioc.ioc_type
$Date = timestamp.get_date(ioc.commit_timestamp.seconds)

match:
  $Date, $IOC_Value, $IOC_Type

outcome:
  $IOC_Count = count(ioc.ioc_value)
  $IOC_Feed =array_distinct(ioc.feed_name)

order:
  $Date desc
威胁情报概览 提供有关 IOC 和风险得分的实时数据洞见，以便更快地检测新兴的基础设施威胁。 IOC 地理位置概览 
$IOC_Country= ioc.location.country_or_region

match:
  $IOC_Country

outcome:
  $IOC_Count = count(ioc.ioc_value)
  $Latitude = max(ioc.location.region_coordinates.latitude)
  $Longitude = max(ioc.location.region_coordinates.longitude)

order:
  $IOC_Count desc

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。