對應及建立實體模型

「實體」是從快訊中擷取的物件，代表需要關注的地方，例如入侵指標 (IOC) 和構件。可協助安全分析師執行下列工作：

• 自動追蹤記錄。
• 不須人為介入即可將快訊分組。
• 根據實體間的關係找出惡意活動。
• 讓您更輕鬆地閱讀案件，並順暢建立應對手冊。

Google Security Operations 會使用自動化系統 (本體論)，從原始快訊中擷取主要物件，藉此建立實體。每個實體都由物件表示，可追蹤自己的記錄，以供日後參考。

設定實體本體

如要設定本體，您需要對應及模擬資料。這包括選取快訊的視覺化呈現方式，以及定義要擷取的實體。Google SecOps 提供最熱門 SIEM 產品的預先設定本體規則。

將連接器資料匯入 Google SecOps 後，就是自訂本體論的最佳時機。這個程序包含兩個主要步驟：

1. 建模：選擇資料的視覺化呈現方式 (模型/視覺化系列)。
2. 對應：對應欄位以支援所選模型，並擷取實體。

支援的實體

系統支援下列實體：

使用案例：對擷取的電子郵件對應及建立新資料模型

這個用途說明如何對應及模擬擷取電子郵件的新資料：

1. 前往「內容中心」>「使用案例」。
2. 執行「Zero to Hero」測試案例。如要瞭解如何執行這項操作，請參閱「執行使用案例」。
3. 在「案件」分頁中，從「案件佇列」選取「郵件」案件，然後選取「事件」分頁。
4. 在快訊旁邊，依序按一下「設定」 和「事件設定」，開啟「事件設定」頁面。
5. 在階層清單中，按一下「郵件」。這樣一來，系統就會自動為來自這項產品 (電子郵件信箱) 的每筆資料套用設定。
   
6. 指派最能代表資料的視覺化系列。在本例中，由於先前已選取「MailRelayOrTAP」，因此可以略過這個步驟。
7. 切換至「對應」，然後對應下列實體欄位。按兩下每個實體，並在擷取的欄位中選取該實體的原始資料欄位。您可以提供替代欄位，從中擷取資訊：
• SourceUserName
• DestinationUserName
• DestinationURL
• EmailSubject
8. 按一下「原始事件屬性」，即可查看原始電子郵件欄位。

擷取規則運算式

Google SecOps 不支援規則運算式群組。如要使用規則運算式模式從事件欄位擷取文字，請在擷取函式邏輯中使用 lookahead 和 lookbehind。

在下列範例中，事件欄位會顯示大量文字：
Suspicious activity on A16_WWJ - Potential Account Takeover (33120)

如要只擷取文字 Suspicious activity on A16_WWJ，請按照下列步驟操作：

1. 在「擷取函式」值欄位中輸入下列規則運算式：
   Suspicious activity on A16_WWJ(?=.*)
2. 在「轉換函式」欄位中，選取「To_String」。

如要只擷取 Suspicious activity on A16_WWJ 後的文字，請執行下列步驟：

1. 在「擷取函式」值欄位中輸入下列規則運算式：
   (?<=Suspicious activity on A16_WWJ).*
2. 在「轉換函式」欄位中，選取「To_String」。