使用桑基圖呈現資料流

本指南可協助安全工程師和分析師，在 Google SecOps 資訊主頁中使用桑基圖，以視覺化方式呈現涉及多跳路徑、關係或方向性流程的安全事件。這些專用圖表會顯示節點 (代表資料點)，節點之間以連結相連 (代表資料點之間的流程)。每條連結的寬度與流程的量或權重成正比，方便您找出主要資料路徑、瓶頸和異常狀況。

常見用途

桑基圖特別適合下列用途：

網路流量分析

• 目標：將流量從來源 IP 透過特定通訊埠或防火牆規則流向目的地 IP 的情形視覺化。
• 價值：不必從成千上萬的原始網路連線記錄中篩選，即可找出異常的流量尖峰、未經授權的輸出埠，以及環境中潛在的橫向移動。

偵測資料竊取

• 目標：追蹤資料從內部系統 (例如資料庫和本機儲存空間) 移至外部目的地 (例如雲端儲存空間和外部網域) 的情形。
• 價值：將大量輸出流量傳輸至不受信任的外部網域、雲端服務或儲存空間值區時，系統會以視覺化方式呈現，方便您快速偵測內部威脅和未經授權的資料傳輸作業。

驗證流程

• 目標：依來源國家/地區、身分識別提供者、目標服務和最終驗證結果，對應使用者登入嘗試。
• 價值：透過視覺化呈現各個位置和應用程式的驗證成功與失敗模式，找出憑證填塞、暴力破解廣告活動和不可能的旅行異常狀況。

SOC 工作流程監控

• 目標：從偵測到指派對象，再到最終判決或狀態，以視覺化方式呈現快訊分類步驟。
• 價值：追蹤警報從產生到最終解決的過程，找出分流瓶頸、平衡分析師工作負載，以及評估偵測規則準確度。

事前準備

如要順利顯示桑基圖，資訊主頁查詢和設定必須符合下列技術規定：

• 欄數：查詢回應必須傳回至少三個資料欄。
• 欄類型：資料集必須包含：
  • 至少兩個類別資料欄 (例如代表節點的文字字串)。
  • 至少一個代表流量值或權重的數值資料欄 (例如 sum 或 count)。
• 有向無環圖 (DAG) 結構：桑基圖僅支援單向、不重複的路徑：
  • 沒有自我迴圈：任何層級的來源和目標節點都不得相同 (例如 Node A flowing to Node A)。
  • 沒有循環依附元件：資料關係不得形成迴圈 (例如 Node A flowing to Node B with Node B flowing back to Node A)。

設定桑基圖

如要在自訂資訊主頁中建立及設定桑基圖，請按照下列步驟操作：

1. 在 Google SecOps 中開啟自訂資訊主頁，然後依序點選「新增」>「圖表」。
2. 執行查詢，傳回所需資料欄 (例如，產生來源 IP、目的地 IP 和事件計數的 YARA-L 2.0 查詢)。
3. 在右側的「圖表設定」面板中，選取「桑基」圖表類型。
4. 在「資料設定」下方，對應第一個流程層級的欄位：
   • 來源節點：選取代表流程來源的資料欄。
   • 目標節點：選取代表流程目的地的資料欄。
   • 值：選取代表連結容量或權重的數值資料欄。
5. (選用) 如要建立多層路徑，請按一下「新增層級」，然後設定下一個躍點的來源、目標和值欄位。單一桑基圖最多可新增五個層級。
6. 按一下「儲存」，將圖表動態磚新增至資訊主頁。

互動功能

桑基圖提供下列互動功能：

• 懸停查看詳細資料：將游標懸停在任何連結上，即可查看來源和目標之間流動的量 (權重) 詳細資料。將滑鼠游標懸停在任一節點上，即可查看總傳入和傳出量。
• 向下鑽取：按一下特定節點或流程連結，即可開啟內容選單。您可以執行向下鑽取動作，根據所選節點或路徑，對原始資料執行篩選查詢。

桑基圖的 YARA-L 2.0 查詢範例

本節包含多個準確的範例，可用於在資訊主頁圖表中建構桑基圖。

如要獲得最佳視覺化結果，請將高基數欄位歸入類別 (例如使用子網路、國家/地區、資產類別或防火牆動作)，或篩選查詢，只著重於重要值 (例如特定連接埠)。

記錄擷取流程圖

這項查詢會將記錄管道流程視覺化，從原始記錄類型到相應的安全防護供應商，再到擷取的特定產品。

  metadata.log_type != ""
  $log_type = metadata.log_type
  $vendor = metadata.vendor_name
  $product = metadata.product_name

  match:
    $log_type, $vendor, $product

  outcome:
    $ingested_count = count(metadata.id)

設定對應：

父項到子項的程序執行鏈

這項查詢會以視覺化方式呈現程序執行階層，追蹤執行目標二進位檔的父項程序，以及產生的安全性動作。

  metadata.event_type = "PROCESS_LAUNCH"
  $parent_process = principal.process.parent_process.file.full_path
  $target_process = principal.process.file.full_path
  $action = security_result.action

  match:
    $parent_process, $target_process, $action

  outcome:
    $execution_count = count(metadata.id)

設定對應：

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。