設定對應並指派視覺化分組

支援的國家/地區：

事件設定功能可讓您將視覺化系列指派給事件，以圖形呈現這些事件與其他動作的關係。這個程序可確保事件分類正確，並包含準確且完整的資訊。

事件設定包含下列功能：

  • 視覺化：將分組指派給活動。這個系列會以視覺化地圖的形式呈現關係和實體，以圖像方式說明事件經過。指派的家庭會顯示在「Explore Cases」畫面上。
  • 對應：編輯或新增特定欄位資訊，修正錯誤或填寫遺漏的資料。

前往「事件設定」頁面

如要存取「事件設定」頁面，請執行下列任一操作：

  • 從案件佇列中選取案件，前往警報的「事件」分頁，然後依序點選「設定」「設定」。
  • 依序前往「設定」>「本體」>「本體狀態」，然後按一下「設定」 「設定」。

指派模型系列

模型系列會以圖形呈現所有事件和動作之間的關係。

在「視覺化」頁面中，您可以將事件、產品或來源指派給特定系列。這個視覺化系列會顯示在「探索」頁面。

您可以在三個層級指派模型系列：

  • 來源層級：頂層。指派給來源的系列會由該來源中的所有產品和事件繼承。
  • 產品層級：第二層。指派給產品的系列會由該產品中的所有事件繼承。
  • 活動層級：最底層。

模型系列會繼承父項的設定。如果在來源層級指派系列，產品和事件會從來源層級沿用模式系列。您可以在各層級編輯對應欄位，覆寫上層設定。

對應和視覺系列優先順序

系統擷取事件時，會先從最明確的層級 (event 層級) 開始尋找對應規則，然後逐步向上尋找。這項繼承邏輯會從鏈結中向上尋找規則，確保完整性：event > product > vendor。 不過，指派給事件的視覺化系列 (結構定義) 一律會做為最終驗證器，判斷哪些實體實際上對該資料有效。

以下用例說明這個階層的運作方式：

應用情境 1：成功繼承對應

如果系統在 SourceIp 實體層級找不到對應，就會自動檢查下一個層級 (product 層級)，event如果該規則出現在清單中，表示已成功套用至事件資料。

應用情境 2：結構定義衝突和實體失敗

如果 FileName 是在 product 層級對應，系統會沿用這項規則。不過，如果指派給活動的視覺化系列在結構定義中沒有 FileName 的必要實體欄位，實體建立就會失敗。

最低層級 (event 層級) 的視覺系列會做為最終的結構定義驗證器。如果繼承的對應項目參照事件的視覺化系列不支援的實體，驗證程序就會封鎖實體建立作業。

Google Security Operations 提供 24 個標準模型系列，您也可以視需要建立更多模型。詳情請參閱「使用視覺化系列對應安全事件關係」。

如要指派模型系列，請按照下列步驟操作：

  1. 在「事件設定」頁面中，按一下「圖表」。
  2. 選取最符合此情況中事件和動作關係的模型系列。
  3. 在「確認」對話方塊中，按一下「是」確認指派。

管理活動的特定欄位

您可以在「對應」頁面管理事件的特定欄位資訊。 顯示指派模型系列的欄位。

舉例來說，如果系統已擷取某個事件，但您發現資訊缺漏或有誤，請按照下列步驟操作：

  1. 在「快訊事件」分頁中，按一下「設定」「設定」，確認已指派給正確的視覺化分組。
  2. 前往「對應」頁面，編輯或新增特定欄位資訊。

您可以對這些欄位執行各種動作：

  • 按一下各列末端的「更多」圖示 more_vert 「更多」。
  • 按一下「編輯」 「編輯欄位」。
  • 在「對應目標欄位」對話方塊中，輸入要擷取的事件欄位名稱，然後按一下「儲存」。

注意：對應 SourceDnsDomain 術語本體 系統欄位時，平台會自動將值附加為 SourceUserName 實體的後置字串 (例如將 HOST$ 轉換為 HOST$@domain.local)。

如果欄位處於啟用狀態，就無法停用這項行為。如果下游的強化動作需要標準帳戶命名格式，附加的後置字串可能會導致動作失敗。如要避免這種情況，請將 SourceDnsDomain 欄位保持未對應狀態。

可編輯的欄位

按兩下實體即可編輯下列欄位：

欄位 說明
擷取的欄位 要從原始事件欄位擷取資訊的主要欄位名稱。 專業提示：使用 Contains 或 Starts with 將資料劃分為不同實體。這項功能適用於多個欄位，例如 url_1 和 url_2，可建立多個實體。
替代欄位 1 如果找不到主要欄位，則從原始事件欄位中擷取資訊的備援欄位。
替代欄位 2 如果找不到主要和次要欄位，系統會從原始事件欄位中擷取資訊，並將其做為備用欄位。
擷取函式 從原始事件欄位擷取或操控資料，包括下列三個選項：
  • 無：原始資料會照原樣呈現。
  • 分隔符號：分隔符號可使用字元 (最多 64 個字元) 定義，將資料劃分為不同實體。預設值為 Delimiter = , (半形逗號)
  • 規則運算式：使用規則運算式將資料劃分為不同實體。
轉換函式 轉換資料來源中的資訊，使其與資料庫相容。可用的函式包括：
  • TO_STRING
  • FROM_UNIXTIME_STRING_OR_LONG
  • FROM_CUSTOM_DATETIME
  • EXTRACT_BY_REGEX
  • TO_IP_ADDRESS

選擇函式後，請新增適當的參數。
舉例來說，選取 FROM_CUSTOM_DATETIME，然後將日期和時間重新格式化為 %Y-%m-%DT%H:%M:%S。

您可以從一個來源欄位擷取資料，並對應至不同的目標欄位。舉例來說，如果來源欄位同時有主機名稱和 IP 位址，您可以使用規則運算式將兩者分開。

顯示對應後的結果

如要查看對應程序完成後的值，請依序點選「更多」圖示 more_vert 「更多」>「顯示結果」。

新增充實資料

許多 SIEM 會在初始擷取程序中納入擴充資料。如要新增強化資料，請按照下列步驟操作：

  1. 依序選取「more_vert」「更多」>「database_upload」「新增擴充功能」。
  2. 選擇要新增至實體的擴充值。
  3. 按一下 [儲存]。下次將這個實體併入平台做為快訊的一部分時，請按一下「查看詳細資料」，這個擴充欄位就會顯示在側邊抽屜的「原始擴充」標題下方。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。