了解搜索功能

本指南适用于希望在 Google Security Operations 中使用 SIEM 搜索页面查询、关联和分析其企业内安全数据的安全分析师。SIEM 搜索页面是所有受支持数据流的中央导航中心，并集成了其他遥测和安全状况来源。本指南包含 SIEM 搜索页面所有基本功能和特性的说明和解释。

主要术语

• 统一数据模型 (UDM)：Google SecOps 中使用的一种标准化数据格式，用于以一致的方式表示来自各种来源的安全性事件。
• 事件：事件由提取到 Google SecOps 并由 Google SecOps 的提取和标准化流程处理的原始日志来源生成。单个原始日志来源记录可以生成多个事件。事件表示从该原始日志生成的一组与安全相关的数据点。在 SIEM 搜索页面中，事件是指与您的搜索查询匹配的标准化 UDM 事件遥测数据和原始日志记录。
• 提醒：在 SIEM 搜索页面中，提醒定义为启用了提醒功能的规则检测。如需了解详情，请参阅针对实时数据运行规则。
• 原始日志：原始、未解析的日志遥测。主要诊断目标是监控注入和解析运行状况。
• 联接：联接会根据共同的字段值关联并合并来自多个来源的原始数据。通过关联相关事件、实体和其他数据，您可以调查复杂的攻击场景。您可以搜索统计联接（需要匹配部分来汇总结果）或数据联接（检索完整的事件或实体数据并显示这些数据，而不进行任何汇总）。如需了解详情，请参阅在搜索和信息中心内应用联接以及在没有匹配部分的情况下实现联接。
• 统计信息：UDM 事件，其结果已分组以进行统计分析。如需了解详情，请参阅使用统计信息分析搜索数据。
• 案例和案例历史记录：安全案例和历史案例审核日志，您可以将其与其他安全数据相关联。如需了解详情，请参阅搜索案例概览。
• 实体上下文图谱 (ECG)：Google SecOps 中的图谱数据库，用于存储有状态实体记录（例如资产、用户和威胁指标），以便与安全性事件日志进行关联。如需了解详情，请参阅实体上下文图谱概览。
• 自然语言查询栏：SIEM 搜索页面顶部的栏，您可以在其中使用自然语言输入搜索语句。
• 查询编辑器：SIEM 搜索页面上自然语言查询栏下方的框，您可以在其中手动构建查询，并且查询代码会显示在其中。

准备工作

您必须为自己的用户账号分配标准的 Google SecOps 搜索权限和角色，才能执行查询和查看检测详情。

对于以下高级搜索功能，您的用户账号或 Identity and Access Management 角色必须具有额外的精细权限，具体取决于所使用的功能：

• 丰富的或扩展的事件详情需要 chronicle.events.fetchEnrichedEvent。
• 保存搜索和修改搜索视图需要 chronicle.savedSearches.update 和 chronicle.searchViews.update。
• 查看日志解析器和架构需要 chronicle.parsers.list 和 chronicle.parsers.get。
• 搜索案例历史记录需要 chronicle.cases.get 和 chronicle.cases.list。
• 使用自定义 IAM 角色时，SQL 搜索（特别是查询编辑器中的自动查询建议）需要 chronicle.queries.suggestSql。
• 使用自定义 IAM 角色时，查询编辑器中 UDM 字段自动建议的历史使用情况排名需要 chronicle.instances.suggestQueryFields。
• 如需在整个组织内创建、共享、修改和管理已保存的自定义列集，您需要具备以下全部五项权限：chronicle.googleapis.com/savedColumnSets.create、chronicle.googleapis.com/savedColumnSets.update、chronicle.googleapis.com/savedColumnSets.delete、chronicle.googleapis.com/savedColumnSets.list 和 chronicle.googleapis.com/savedColumnSets.get。

打开“搜索”页面

如需打开 SIEM 搜索页面，请执行以下操作：

1. 登录 Google SecOps。
2. 在导航栏中，依次点击调查 > SIEM 搜索。

图 1. 用于探索事件趋势的 SIEM 搜索页面示例。

数据 RBAC 范围强制执行

Google SecOps 搜索引擎会在所有标签页中严格执行基于角色的访问权限控制（数据 RBAC）范围过滤。您只会看到与分配给您用户角色的数据范围明确匹配的 UDM 事件、原始日志、提醒、检测结果和案例。

配置搜索页面的常规设置

SIEM 搜索页面的常规设置因用户而异。

您可以为 SIEM 搜索页面配置以下常规设置：

• 指定搜索结果数量上限
• 选择查询编辑器的收起行为

指定搜索结果数量上限

如需指定搜索结果数量上限，请执行以下操作：

1. 在 SIEM 搜索页面上，点击 settings 设置，然后选择结果数上限。

2. 选择返回的结果数上限选项。选项包括 1k、30k、100k、1M 和 custom（可采用 1 到 1M 之间的值）。默认值为 30k。

3. 点击应用。

选择查询编辑器的收起行为

您可以将查询编辑器配置为在您运行搜索后自动收起，以最大限度地增加可用于查看搜索结果的屏幕空间。默认设置会在运行搜索后让查询编辑器保持展开状态。

如需启用自动收起功能，请按以下步骤操作：

1. 在 SIEM 搜索页面上，点击设置 设置，然后选择查询编辑器。
2. 在查询编辑器对话框中，选择自动收起查询编辑器。

创建搜索查询

以下部分介绍了如何创建搜索查询。

您可以使用以下任一方法创建搜索查询：

• 用自然语言输入搜索语句，然后使用 Gemini 生成 YARA-L 2.0 方言的查询。您必须使用英语。
• 在查询编辑器中手动构建查询，可以使用 YARA-L 2.0 或 SQL (GoogleSQL) 方言。

使用自然语言生成查询

如需使用自然语言生成查询，请完成以下步骤：

1. 在 SIEM 搜索页上，点击搜索 自然语言查询栏，然后输入英文搜索语句。

   以下语句是可能生成有用搜索的示例：

   • network connections from 10.5.4.3 to google.com
   • failed user logins over the last 3 days
   • emails with file attachments sent to john@example.com or jane@example.com
   • all Cloud service accounts created yesterday
   • outbound network traffic from 10.16.16.16 or 10.17.17.17
   • all network connections to facebook.com or tiktok.com
   • service accounts created in Google Cloud yesterday
   • Windows executables modified between 8 AM and 1 PM on May 1, 2026
   • all activity from winword.exe on lab-pc
   • scheduled tasks created or modified on exchange01 during the last week
   • email messages that contain PDF attachments
   • emails sent by or sent from admin@acme.com on July 1
   • any files with the hash 44d88612fea8a8f36de82e1278abb02f
   • all activity associated with user "sam@acme.com"

如果搜索语句包含基于时间的字词，时间范围参数会自动调整以匹配该字词。例如，这适用于包含以下字词的搜索：

• yesterday
• within the last 5 days
• on July 1, 2026

2. 点击生成查询。如果 Gemini 可以解读搜索语句，则会以 YARA-L 2.0 方言生成有效查询，并将其显示在查询编辑器中。如果系统无法解读搜索语句，您会看到一条消息，要求您尝试换种方式提问。如果查询表达式有效，运行搜索按钮将变为可用状态。

3. 可选：使用时间范围参数调整搜索时间范围。

4. 点击运行搜索。系统会显示搜索结果。

5. 可选：通过手动添加其他搜索过滤条件或使用自然语言查询栏来缩小结果范围，然后再次运行搜索。

在查询编辑器中手动构建查询

如需了解 SIEM 搜索页面支持的不同类型的查询以及用于构建这些查询的语法，请参阅以下文档：

• 如需详细了解 YARA-L 2.0 搜索语法，请参阅了解搜索语法。
• 如需了解如何构建联接查询，请参阅在搜索和信息中心内应用联接以及在没有匹配部分的情况下实现联接。
• 如需了解如何构建统计 (STATS) 查询，请参阅使用统计信息分析搜索数据。
• 如需了解如何构建案例历史记录查询，请参阅从“搜索”页面搜索案例和案例历史记录。

如需手动构建查询，请完成以下步骤：

1. 在 SIEM 搜索页面上，点击查询编辑器。
2. 选择查询方言：
   • YL2（默认）：使用标准 YARA-L 2.0 语法进行高速事件搜寻、实体过滤和行为关联。
   • SQL：SQL (GoogleSQL) 模式可让您执行与 BigQuery 兼容的查询，在 UDM 和实体上下文图谱 (ECG) 之间构建复杂的多表联接，并直接在控制台中执行高级聚合。

3. 在查询编辑器中输入查询，并考虑以下事项：

   • 自动建议和补全：当您使用 YL2 选项输入查询时，自动建议和补全功能会根据您的输入建议有效字段。
   • UDM 查找：如果您在编写查询时不知道确切的字段名称或值，可以使用 UDM 查找功能。
   • 语法编译错误：如果查询编辑器检测到语法编译错误，会在有问题的文本正下方显示红色波浪线。将鼠标悬停在带下划线的文字上，即可查看具体的错误说明。查询编辑器一次只会突出显示一个错误，这意味着您必须按顺序修正错误。

4. 使用时间范围参数设置查询的时间范围。

5. 如果查询表达式有效，请点击运行搜索。系统会显示搜索结果。

6. 可选：手动或使用控制台添加其他搜索过滤条件，以缩小结果范围，然后再次运行搜索。

指定搜索的时间段

使用时间范围菜单指定搜索的时间段。

搜索的时间范围上限始终受租户的日志保留配置限制。

时间范围上限：

• UDM：365 天。
• RAW：365 天。
• JOIN：对于内联接：90 天。对于没有匹配条件的内联接：14 天。对于外联接：14 天。
• STATS：90 天。
• CASE 和 CASE HISTORY：90 天，受支持请求保留限制或完整支持请求历史记录生命周期的约束。
• ECG：365 天。

Google SecOps 会评估搜索查询的配置，并根据搜索类型和搜索条件应用最大时间范围。（例如，包含外联接的 STATS 查询的时间范围上限小于不包含外联接的 STATS 查询。）

如需设置时间范围，请执行以下操作：

1. 在 SIEM 搜索页面上，从时间范围旁边的列表中选择模式

   • 绝对：使用绝对时间范围选择固定的开始时间和结束时间。
   • 相对：使用相对时间范围从当前时间向后搜索。您点击运行搜索的时间会被设置为查询的结束时间。

2. 如果您选择了绝对，请执行以下操作：

   1. 点击 calendar_month 日历，打开设置日期和时间范围对话框。
   2. 执行以下某项操作：
      • 如需使用以下方法之一配置时间，请选择范围标签页：
        • 使用预设：从边栏中选择预设范围，例如过去 3 天或时间不限。所有时间：搜索整个保留期限内的内容。
        • 选择日期：在日历上点击开始日期和结束日期。
        • 设置时间：使用日历下方的日期菜单选择特定时间。
      • 如需根据事件指定日期和时间范围，请点击事件时间标签页，在日历上选择一个日期，然后配置时间范围：
        • 确切时间：点击事件字段，选择或输入事件发生的确切时间。
        • 时间缓冲：从列表中选择预定义的时间范围。
   3. 点击应用。

3. 如果您选择了相对，请执行以下操作：

   1. 在文本字段中输入一个整数。
   2. 从菜单中选择时间单位：秒、分钟、小时、天、周、月或年。

使用自动建议构建查询

在您编写查询时，查询编辑器会提供自动建议，帮助您高效构建查询。

浏览并选择建议

在您输入时，系统会显示一个列表，其中包含与您输入的文本匹配的字段建议，包括以下选项：

• 选择字段：使用向上或向下箭头键浏览列表，然后按 Enter 键选择字段。
• 查看元数据：使用向上或向下箭头键突出显示建议后，点击 chevron_right 即可查看字段说明。
• 逐步补全字段：编辑器会建议当前字段的直接子字段，并隐藏已输入的前缀，以节省屏幕空间。这些建议后面是所有其他匹配字段，按字母顺序排列。
• 补全运算符和值：选择字段后，编辑器会根据字段的数据类型建议有效的运算符（例如 =、!=）。对于枚举字段，在您输入运算符和双引号 (") 后，编辑器会显示所有有效值（例如 NETWORK_EVENT）的建议。

了解建议排名

查询编辑器会将建议分为三个不同的类别，并按以下顺序排列，以帮助您找到相关的 UDM 字段：

1. 最近和经常使用的字段：根据您在 SIEM 搜索、规则和检测以及信息中心页面上的活跃浏览器会话和 30 天查询使用记录，最多显示前 7 个匹配字段。此类别中的建议按以下顺序排列：

   • 近期浏览记录：您最近在查询编辑器中输入或选择的字段（最多 100 个最近的有效 UDM 字段）。匹配的字段会首先显示，并按您最近使用的时间排序。此列表会保存在浏览器的本地存储空间中，在您登录后仍会保留。清除浏览器缓存或切换浏览器会重置此历史记录。

   • 历史用量（过去 30 天）：从您和贵组织在过去 30 天内运行的查询（包括 UDM 搜索、信息中心查询、规则测试和追溯搜索）中提取的字段。此用量数据每 8 小时刷新一次，不属于数据 RBAC 过滤范围，因为它提供派生的 UDM 架构字段名称，而不是日志事件，并且会将自定义标签和提取的字段（additional.*、extracted.*）隔离到您的租户。历史用量遵循严格的两层级结构：

     1. 用户级用量：您在过去 30 天内最常使用的字段，按用量计数降序排序。
     2. 租户级用量：过去 30 天内，租户中所有用户最常使用的字段，按用量降序排序。如果某个字段已显示在用户级使用情况列表中，则其用户级排名优先。

     在您输入文本时，编辑器会过滤历史使用建议，并根据匹配质量对匹配字段进行排名，然后使用使用层次结构打破平局： 1. 完全匹配：与整个 UDM 字段名称（例如 ip）匹配。 2. 完全匹配：匹配字段名称的完整片段（例如，当您输入 ip 时，匹配 principal.ip 或 target.ip）。 3. 前缀匹配：与字段名称的开头匹配。4. 令牌前缀匹配：匹配字段名称中某个片段的开头。5. 子字符串匹配：出现在字段名称中的任意位置（例如，当您输入 ip 时，会出现 principal.hostname，因为 principal 包含 ip）。

2. 直接子字段：按字母顺序显示当前字段路径的第一级子节点，不包括已在热门使用建议中列出的字段。

3. 全局匹配：按字母顺序显示所有剩余的匹配 UDM 字段。

管理自动建议设置

如需全局管理 Google SecOps 显示自动建议的方式，请执行以下操作：

1. 点击您的个人资料头像，然后从列表中选择用户偏好设置。 系统会显示用户偏好设置对话框。

2. 在对话框中，点击自动建议。

3. 如需控制查询编辑器中显示的自动建议，请调整以下设置：

   • 启用输入时显示建议：启用自动建议功能。
   • 将近期使用的字段排在前面：在列表顶部显示您最近和最常用的字段（基于浏览器会话记录、用户级使用情况和租户级使用情况）。
   • 在建议中包含直接子字段：以增量方式补全嵌套字段，一次补全一个子节点。
   • 在建议中包含所有可用路径：显示所有嵌套字段建议的完整展开路径。

4. 点击保存。

查找用于搜索查询的 UDM 字段（UDM 查询）

编写搜索查询时，您可能不知道要包含的确切 UDM 字段名称或值。借助 UDM 查找功能，您可以快速找到名称中包含文本字符串或存储特定字符串值的 UDM 字段名称。您可以选择 UDM 查找返回的一个或多个结果，并将这些结果用作搜索查询的起点、将这些结果附加到现有查询，或将这些结果保存到剪贴板。

如需使用 UDM 查找，请执行以下操作：

1. 在 SIEM 搜索页面上，点击 UDM 查找。UDM 查找对话框随即打开。

2. 选择以下一个或两个匹配选项，以指定要搜索的数据范围：

   • UDM 字段：搜索与字段名称匹配的文本，例如 network.dns.questions.name 或 principal.ip。
   • 值：在存储的日志值中搜索文本字符串，例如 dns 或 google.com。

3. 点击搜索 输入要匹配的确切字符串字段，然后输入要匹配的字符串。在您输入时，搜索结果会显示在对话框中。

   匹配 UDM 字段与值时，结果会有所不同，如下所示：

   • 使用匹配 UDM 字段名称进行搜索会返回在架构定义中的任何位置找到的完全匹配项。

     

     图 2. 在 UDM 查找对话框中使用匹配 UDM 字段名称进行搜索。

   • 使用匹配 值进行搜索会搜索注入的日志遥测数据，并返回两种类型的结果：

     • 完整值匹配：对于常见文本字段（例如应用、主机名、网址、IP 地址和用户名），UDM 查找会显示完整的匹配值，其中搜索字符串会以黄色突出显示，并附带最新的日志注入时间戳。

     • 可能的值匹配：对于包含长文本、复杂文本或非结构化文本（例如命令行、说明、检测字段和自定义字段）的字段，UDM 查找功能会指明搜索字词出现在历史遥测数据的该字段中。结果不会显示单个完整值，而是显示 UDM 字段名称，后跟 (Possible value match)。

     

     图 3.在 UDM 查找对话框中，使用匹配 值进行搜索。

4. 在结果列表中，您可以执行以下操作：

   • 点击 UDM 字段的名称即可查看该字段的说明。
   • 点击 UDM 字段名称旁边的复选框，选择一个或多个结果。
   • 点击重置按钮，取消选择结果列表中的所有选定字段。

5. 执行下列其中一项操作：

   • 如需将所选结果复制到剪贴板，请点击复制 UDM。然后，您可以关闭 UDM 查找对话框，并将剪贴板的内容粘贴到查询编辑器中。

   • 如需将所选结果附加到查询编辑器中的查询，请点击附加到搜索。然后，Google SecOps 会将所选结果转换为搜索查询，作为 UDM 字段名称或名称/值对。

     如果您附加多条结果，Google SecOps 会使用 OR 运算符将每条结果添加到查询编辑器中现有查询的末尾。

     附加的查询字符串因 UDM 查找返回的匹配类型而异：

     • 如果结果与 UDM 字段名称中的文本字符串匹配，则完整的 UDM 字段名称会附加到查询中。例如：

       principal.artifact.network.dhcp.client_hostname

     • 如果结果为完整值匹配，则名称/值对包含与完整值完全相等的条件。

     • 如果结果为可能的值匹配，则名称/值对包含 UDM 字段名称和包含搜索字词的不区分大小写的正则表达式。

6. 如有需要，请在查询编辑器中修改查询。

UDM 查询搜索行为和字段覆盖范围

UDM 查找功能可帮助您在已提取的日志数据中发现字段名称并搜索历史值。本部分将介绍搜索功能在这两种模式下的运作方式，提供查询示例，并说明字段覆盖范围。

搜索模式：UDM 字段与值

UDM 查询提供两种不同的搜索模式：

• UDM 字段模式：匹配 UDM 字段会搜索 UDM 架构定义，帮助您找到正确的字段路径。 您可以找到所有数据类型的字段名称，包括文本字段 (principal.hostname)、数字端口 (target.port)、布尔值标志 (security_result.is_alert) 和事件类别 (metadata.event_type)。

  示例：输入 port 会显示 network.ip_port、principal.port、target.port 和 src.port 等字段。

• 值模式：匹配 值会在提取的事件日志中搜索匹配的文本值：

  • 完全值匹配：对于常见标识符和文本字段（例如主机名、IP 地址、网域和用户名），UDM 查找会在数据中查找完全匹配的值，并生成等式条件（例如 principal.hostname = "example.com"）。
  • 可能的值匹配（正则表达式）：对于长文本、命令行、网址、注册表项和文件路径，UDM 查找会返回可能的值匹配以及正则表达式（例如 principal.process.command_line = /powershell/ NOCASE）。

字段覆盖范围差距以及如何直接搜索

按值搜索时，UDM 查找功能会在原始、未扩充的事件数据中搜索文本字段。某些数据类型和高容量标识符字段在值模式下不会返回匹配项。如需搜索这些字段，请直接在查询编辑器中输入表达式。

此部分包括以下内容：

• 数字、布尔值、时间戳和字节字段
• 排除的标识符字段
• 具有可能值匹配项（正则表达式）的字段
• 丰富字段和实体图表

数字、布尔值、时间戳和字节字段

UDM 查找值搜索不会返回非文本数据类型的匹配项。如需搜索这些字段，请直接在搜索栏中输入条件：

排除的标识符字段

按值搜索时，以下高熵和会话跟踪字段不会返回匹配项：

具有可能的值匹配项（正则表达式）的字段

对于包含长而复杂的字符串（其中包含许多路径分隔符或参数）的字段，UDM 查找会返回可能的值匹配正则表达式 (/.../ NOCASE)，而不是完全匹配的值：

• 命令行：principal.process.command_line、target.process.command_line
• 文件路径：principal.process.file.full_path、target.file.full_path
• 网站和网络网址：principal.url、target.url、network.http.referral_url
• 注册表项：principal.registry.registry_key、target.registry.registry_key
• 自由形式的说明：metadata.description、security_result.description、security_result.summary
• User-Agent 字符串：network.http.user_agent
• 动态自定义字段：additional.fields.value.*

丰富字段和实体图表

UDM 查找功能会搜索 2023 年 8 月 10 日之后注入的原始日志数据。它不会返回以下来源的值：

• 下游丰富：例如 GeoIP 位置解析、WHOIS 数据、安全浏览判定或 VirusTotal 评分。如需搜索这些内容，请直接对丰富字段路径（例如 target.ip_geo_artifact.country_or_region = "US"）进行过滤。
• 实体图对象：graph.* 命名空间中的数据。
• 截止日期之前的历史数据：2023 年 8 月 10 日之前注入的日志。如需搜索更早的数据，请在搜索页面上使用直接搜索查询。

在搜索中使用数据表

您可以在搜索中使用数据表功能。这样，您就可以将自己的现有威胁信息数据库与搜索结合使用，在企业中搜寻威胁。

例如，如果您有一个名为 suspicious 的数据库，其中包含一列已知有问题的 IP 地址，则可以在搜索查询中引用该数据库，而无需在查询中手动输入各个 IP 地址：

  events:
      $e.principal.ip in %suspicious.ip

除了 IP 地址之外，您还可以通过搜索特定元数据来缩小结果范围，例如，您可能特别关注用户资源的更改：

  events:
      $e.metadata.event_type = "USER_RESOURCE_UPDATE_CONTENT"
      $e.principal.ip in %suspicious.ip

您可以缩小针对相互关联的 UDM 字段的搜索范围，并与多个数据表列进行匹配。以下示例会搜索安全结果为 ALLOW 的 NETWORK_CONNECTION 事件。然后，它会将这些事件与 badApps 数据表中的 hostnames 列和 ip 列进行匹配。

events:
  $e.metadata.event_type = "NETWORK_CONNECTION"
  $e.security_result.action = "ALLOW"
  $e.target.asset.asset_id = $assetid

  // Event hostname matches at least one value in table column hostname.
  $e.target.hostname in %badApps.hostname

  // Event IP matches at least one value in table column ip.
  $e.target.ip in %badApps.ip

在搜索结果中查看数据表行

在 YARA-L 2.0 搜索中使用数据表时，结果会引用与匹配事件关联的数据表行。这些结果会显示在事件面板中。查看结果时，系统会显示数据表及其行的当前状态。

使用列管理器选择要在结果中显示的数据表和列。

如需了解详情，请参阅使用数据表。

了解查询运行流程

如果查询编辑器中的查询有效，Google SecOps 控制台会启用运行搜索按钮。

点击运行搜索后，正在进行的查询会显示一个圆形状态图标。

在搜索过程中，您可以在查询编辑器中运行其他（并发）搜索，但有一些限制。Google SecOps 会继续运行您之前的搜索，并并行运行新搜索。

已完成的查询会显示一个绿色对勾标记图标，以及一个指示查询返回的事件数量的计数器。

点击已完成的查询即可显示结果。搜索结果会显示在查询编辑器下方。

搜索结果会被缓存，并且仅包含查询运行时可用的数据。

管理您的搜索记录

您的搜索记录会保存到您的 Google SecOps 账号中。

• 如需管理搜索记录，请在 SIEM 搜索页面上点击历史记录以打开对话框，然后执行以下操作：

  • 查看历史记录中的所有搜索记录。
  • 点击列表中的某一项，将其加载到查询编辑器中。
  • 在搜索栏中输入内容，即可在历史记录中查找搜索记录。
  • 点击搜索栏旁边的 filter_alt 过滤条件，即可过滤搜索结果。您可以按语言（包含 YL2 和 SQL 过滤条件）AND 搜索类型（包含 UDM、原始日志和统计信息过滤条件）过滤搜索结果。
  • 是否仅显示已完成和正在进行的已存储结果（使用仅显示已完成和正在进行的已存储结果复选框）。
  • 清除搜索记录。
    • 如需清除搜索记录，请点击 more_vert 更多，然后选择清除历史记录。

  • 选择不保留搜索记录或重新选择保留搜索记录：

    • 如需停用搜索记录，请点击停用搜索记录，然后选择仅停用以停用搜索记录，或选择停用并清除以停用搜索记录并删除已保存的搜索记录。

    • 如果您之前停用了搜索记录，可以点击选择启用搜索记录，重新启用该功能。

• 如需从搜索记录中删除单条搜索记录，请参阅删除已保存的搜索记录。

保存和使用指标查询

Google SecOps 会使用 STATS 标记对指标查询进行分类。

• 如需将搜索保存为指标，请点击运行搜索旁边的 more_horiz 更多，然后点击另存为指标。规则和检测页面随即打开，并在指标标签页中显示您的指标查询。然后，您可以保存或停用该指标。指标查询保存后将无法修改或删除。您可以随时停用指标。

您可以使用指标查询来建立典型的行为模式并识别异常活动。如果您在查询编辑器中有一个跟踪关键运营趋势的指标查询，请依次点击更多 > 另存为指标。这会将查询保存为连续的时序指标，该指标可以嵌入到自定义信息中心内，也可以在阈值提醒中引用。

指标查询示例：

metric metric_1784196814306 {
  (metadata.event_type = "NETWORK_FLOW" OR
  metadata.event_type = "NETWORK_CONNECTION" OR
  metadata.event_type = "NETWORK_DNS" OR
  metadata.event_type = "NETWORK_HTTP")

  outcome:
  $timestamp = timestamp.get_timestamp(metadata.event_timestamp.seconds)
  $hostname = principal.hostname
  $event_type = metadata.event_type
  $user = principal.user.userid
  $principal_process = principal.process.file.full_path
  $principal_cmdline = principal.process.command_line
  $target_process = target.process.file.full_path
  $target_cmdline = target.process.command_line
  $target_url = target.url
  $target_ip = target.ip[0]
  order:
  $timestamp
  }

管理搜索（搜索管理器）

使用搜索管理器对话框管理您的搜索。

• 如需打开搜索管理器，请在 SIEM 搜索页面上点击搜索管理器。

搜索类型徽章

搜索管理器中的已保存标签页会列出所有已保存的搜索，并显示一个带有搜索类型的标记：UDM、RAW、JOIN、STATS、CASE、CASE HISTORY 和 ECG。

搜索管理器操作

在已保存标签页中，您可以执行以下操作：

• 过滤已保存的搜索：点击搜索栏旁边的 filter_alt 过滤，然后按以下条件过滤搜索：来源 - 包含：Google SecOps 定义、由我编写和与我共享 AND 语言 - 包含：YL2 和 SQL。
• 对搜索结果进行排序：点击搜索栏旁边的 list_arrow 排序，然后按名称（A - Z）、名称（Z - A）、从旧到新或从新到旧进行排序。
• 添加搜索：点击搜索栏旁边的 add_2 添加，然后在相邻的 UDM 搜索框中构建新的搜索。UDM 搜索框支持与在查询编辑器中手动构建查询时相同的 UDM 修改、自动建议和补全工具。
• 分享或删除您创建的搜索。
• 修改您创建的搜索：在已保存标签页中选择搜索后，搜索框会显示查询，以及标题框和说明框。UDM 搜索框支持与在查询编辑器中手动构建查询时相同的 UDM 修改、自动建议和补全工具。

保存搜索

已保存的搜索和搜索记录：

• 存储在您的 Google SecOps 账号中。
• 只有个人用户可以查看和访问，除非您使用分享搜索功能与组织分享搜索。

如需保存搜索，请执行以下操作：

1. 在 SIEM 搜索页面上，执行以下操作之一：

   • 如果查询编辑器中存在有效查询，请点击运行搜索旁边的 more_horiz 更多，然后点击保存搜索。系统随即会打开搜索管理器对话框。
   • 点击搜索管理器。系统随即会打开搜索管理器对话框。

2. 在标题框中，输入搜索名称。Google 建议您为已保存的搜索指定一个有意义的名称，并用纯文本描述您要搜索的内容。

3. 可选：在说明框中，输入搜索说明。

4. 可选：使用与 YARA-L 中变量相同的格式，以 ${<variable name>} 格式指定占位符变量。如果您在搜索中添加了变量，则还必须添加提示，以帮助用户了解在运行搜索之前需要输入的信息。在运行搜索之前，必须为所有变量填充值。

   例如，您可以在搜索中添加 metadata.vendor_name = ${vendor_name}。对于 ${vendor_name}，您需要为未来的用户添加提示，例如 Enter the name of the vendor for your search。以后，用户每次加载此搜索时，系统都会提示他们在运行搜索之前输入供应商名称。

5. 完成后，点击保存修改。

• 如需查看已保存的搜索，请点击搜索管理器，然后点击已保存标签页。

检索并运行已保存的搜索

如需检索并运行已保存的搜索，请执行以下操作：

1. 在 SIEM 搜索页面上，点击搜索管理器，然后从左侧的已保存列表中选择一个搜索。
2. 可选：点击 more_horiz 更多，然后选择删除搜索，即可删除搜索。您只能删除您编写的搜索。
3. 您可以更改搜索名称和说明。完成后，点击保存修改。
4. 点击加载搜索。搜索内容会加载到主搜索字段中。
5. 点击运行搜索。

删除已保存的搜索

您只能删除您编写的搜索。

如需删除已保存的搜索，请执行以下操作：

1. 在 SIEM 搜索页面上，点击搜索管理器，然后从左侧的已保存列表中选择一个搜索。
2. 点击 more_horiz 更多，然后选择删除搜索记录。
3. 点击删除搜索记录。

分享或停止分享搜索结果

借助共享搜索，您可以与团队共享搜索。您无法仅与一个人分享。如果您分享搜索，则会与整个组织分享。

您无法修改并非由您创建的共享搜索。

如需共享搜索，请执行以下操作：

1. 在 SIEM 搜索页面上，点击搜索管理器，然后从左侧的已保存列表中选择一个搜索。
2. 点击要分享的搜索记录。
3. 点击搜索框右侧的 more_horiz 更多。系统会显示一个对话框，其中包含分享搜索结果的选项。
4. 点击与您的组织共享。系统会显示一个对话框，其中显示“您分享的搜索内容将对贵组织中的用户可见。确定要分享吗？”
5. 点击共享。

如果您希望搜索结果仅对您可见，请点击 more_horiz 更多，然后点击停止共享。停止分享后，只有您可以使用此搜索。

搜索结果 - 概览

当您在 SIEM 搜索页面上点击运行搜索时，Google Security Operations 会在整个环境中评估您的查询，并在查询编辑器下方对结果进行分类和显示。

搜索结果的界面元素因搜索类型而异（根据其标记，搜索类型包括：UDM、RAW、JOIN、STATS、CASE 或 CASE HISTORY）。

SIEM 搜索页面会显示以下搜索结果标签页：

• 结果：针对所有搜索类型显示。
• 提醒和检测：仅针对 UDM、RAW 和 JOIN 搜索结果显示。
• 概览：仅针对 UDM、RAW 和 JOIN 搜索结果显示。
• 可视化：仅针对 STATS 搜索结果显示。

每个结果标签页的标题都包含括号中的计数，例如结果 (1,118)，如果结果数量超过指定的最大值（在本例中为 10 万），则为结果 (100,000+)。

在标签页之间点击可立即切换工作区视图，同时保留搜索查询和时间范围。

在“结果”标签页中查看和管理信息

结果标签页是您查看和管理搜索结果的主要工作区。您可以使用结果标签页执行以下操作：

• 深入探究日志搜寻
• 查看原始遥测数据
• 根据事件数据生成数据透视表
• 分析高频字段值分布
• 将数据导出到 CSV 文件

结果标签页包含以下元素，具体取决于搜索类型：

• 包含以下图表的标签页式面板：
  • 活动随时间的变化图表：针对 UDM、JOIN、CASE、CASE HISTORY 和 ECG 搜索结果显示。
  • 随时间变化的趋势图表：针对 RAW 搜索结果显示。
  • 普及率标签页：针对 UDM 搜索结果显示。
  • 活动热图表：针对 UDM 搜索结果显示。
• 汇总面板：针对所有类型的搜索结果显示。

• 包含以下表格的面板（具体取决于搜索类型）：

  • 事件表格和数据透视子标签页：仅针对 UDM 搜索结果显示。事件表格会显示在所选时间范围内与您的查询匹配的标准化 UDM 事件遥测和原始日志记录。借助数据透视子标签页，您可以创建和使用数据透视表，对事件结果执行多维数学分组和汇总（sum、count、avg、stddev）。
  • 原始日志：仅针对原始搜索结果显示。
  • 统计数据：仅针对统计数据搜索结果显示。
  • 联接：仅针对联接搜索结果显示。
  • 案例：仅针对 CASE 搜索结果显示。
  • Case History：仅针对 CASE 和 CASE HISTORY 搜索结果显示。
  • 有时间的数据和无时间的数据：仅针对心电图搜索结果显示。

  如需了解这些表格支持的功能和工具，请参阅使用表格的常用工具。支持的功能包括管理标签页显示的表格中的列、下载搜索结果等。

使用“一段时间内的活动”图表

活动随时间的变化标签页包含一个图表（直方图），显示事件和提醒数量随时间的变化。

每个条柱的宽度取决于搜索的时间间隔。例如，如果搜索涵盖 24 小时的数据，则每个条形代表 10 分钟。当您修改现有搜索时，此图表会动态更新。

此图表支持以下功能：

• 时间范围调整：拖动时间轴上的滑块控件，即可立即缩小可见时间窗口。结果网格和聚合面板会更新，而无需针对后端重新运行查询。
• 查看单个条形的时间窗口对应的事件和提醒：点击某个条形，可将图表、汇总面板和检测标签页的焦点缩小到该条形的时间窗口。此操作会创建一个过滤条件，该过滤条件会显示在 filter_list 添加过滤条件按钮旁边。如需再次显示所有结果，请删除过滤条件。
• 详细信息弹出式窗口：点击其中一个条形会打开一个弹出式窗口，其中包含时间以及查询的事件、过滤的事件、查询的提醒和过滤的提醒的值。

使用“随时间变化的趋势”图表

Trend Over Time（一段时间内的趋势）标签页包含一个原始日志量随时间变化的图表（直方图）。每个竖条的宽度会根据您的整体搜索窗口动态缩放（例如，对于 24 小时搜索窗口，每个竖条可能代表 10 分钟）。

此图表支持以下功能：

• 时间范围调整：拖动时间轴上的滑块控件，即可立即缩小可见时间窗口。结果网格和聚合面板会更新，而无需针对后端重新运行查询。
• 查看在单个条形图的时间窗口内检测到的已解析、未解析和未知日志的数量：未知表示当时检测到一个或多个日志，但数量不确定。点击某个条形，可将图表和汇总面板的焦点缩小到该条形的时间窗口。此操作会创建一个过滤条件，该过滤条件会显示在 filter_list 添加过滤条件按钮旁边。如需再次显示所有结果，请删除过滤条件。
• 详细信息弹出式窗口：点击其中一个条形会打开一个弹出式窗口，其中包含时间以及查询的事件、过滤的事件、查询的提醒和过滤的提醒的值。

使用“普及率”标签页

仅当搜索内容包含网域时，系统才会显示普及率标签页。

普及率标签页会显示与您在企业内搜索的内容相关联的网域的普及率。它将低普及率网域列表与交互式图表相结合。只有当您的 UDM 搜索包含网域时，该标签页才会显示。

低普及率网域列表包含以下列：

• 低普及率网域：显示与搜索结果关联的域名。点击 arrow_upward 可按字母顺序（Z 到 A）对网域进行排序，点击 arrow_downward 可按字母顺序（A 到 Z）对网域进行排序。

• 普及率 ≤ 10：显示普及率为 10 或更低的每个网域的总出现次数。点击 arrow_upward 可按数字降序对计数进行排序，点击 arrow_downward 可按数字升序对计数进行排序。

在图表上，将指针悬停在某个圆圈上，即可显示特定网域，并将搜索范围缩小到仅与该网域关联的事件。

使用“活动热图”标签页

活动热图标签页会在可视化时间轴网格中显示事件数据，以突出显示在给定时间范围内事件最集中的位置。Y 轴显示搜索时间范围内的日期，X 轴显示一天中的时间，以小时为间隔（从 00:00 到 23:00）。

颜色渐变图例表示特定小时内的事件量，其中较浅的颜色表示事件较少，较深的颜色表示密度较高。您还可以通过调整水平滑块来调整密度指示器，以查看或隐藏小时级时间段。点击侧边栏上的向上或向下箭头，即可滚动浏览日期并调整具体的时间范围。

使用“汇总”面板优化搜索结果

汇总面板会汇总高频值，您可以使用这些值来优化搜索结果。

汇总面板包含两个可收起的列表：UDM 字段（匹配的 UDM 字段列表）和另一个根据搜索类型显示的字段列表（例如，原始日志搜索的日志字段、统计信息字段、案例字段等）。对于 UDM 搜索，聚合面板包含 UDM 字段列表和分组字段列表。

如需将某个字段固定到汇总列表的顶部，请将指针悬停在该字段上，然后点击保留 保留图标。

您可以使用面板的搜索“搜索”字段来搜索特定字段或字段值。

每个字段都会显示“匹配计数”，即该字段具有相同值的记录数。列表内容按匹配次数从高到低排序，匹配次数相同时则按字母顺序排序。您可以在列表中搜索字段，并展开字段项。

如需使用聚合过滤搜索结果，请执行以下操作：

1. 在汇总面板中，从列表中选择一个字段，以显示该字段的列表值。

2. 从列表中选择一个值，然后点击 more_vert 更多。

3. 选择过滤选项：

   • 仅显示：相应的相邻表格会更新，仅显示匹配的记录，并且 = "value" 过滤条件会显示在 filter_list 添加过滤条件按钮旁边。
   • 过滤掉：系统会更新相应的相邻表格，过滤掉匹配的记录，并在 filter_list 添加过滤条件按钮旁边显示 != "value" 过滤条件。
   • 复制：将字段值对复制到剪贴板。

   

   图 4. 使用聚合面板过滤字段的示例。

   

   图 5. filter_list 添加过滤条件按钮，其中包含两个现有过滤条件（一个已显示，另一个在 +1 More 列表中）。

4. 可选：如果您在上一步中选择了仅显示或滤除，并且希望自动将过滤条件纳入查询编辑器并再次运行搜索，请点击应用于搜索并运行。

在“结果”标签页的“聚合”面板中使用分组字段

UDM 搜索的聚合面板包含分组字段列表。分组字段可作为强大的类别别名，将相关的 UDM 字段组合在一起，而无需您单独输入每个字段。如需详细了解分组字段，请参阅搜索分组字段。

使用“事件”面板

使用事件面板查看、排序和管理与 UDM 搜索匹配的事件。

如需了解事件面板支持的功能和工具，请参阅使用表格的常用工具。支持的功能包括管理标签页显示的表格中的列、下载搜索结果等。

默认情况下，运行搜索后，事件表格会显示关键列（称为快速字段），例如事件状态、时间戳、类型 (udm.metadata.event_type)、摘要、用户（udm.principal.user.userid 或 target.user.userid）、主机名（udm.principal.hostname 或 target.hostname）。根据查询范围和日志来源，该表格还可以动态显示相关的快速字段，例如操作 (udm.security_result.action)。

检查单个事件的精细详情（事件查看器和原始日志关联）

• 如需检查单个事件的精细详情，请点击相应行。事件查看器随即会打开。

  如需了解详情，请参阅使用事件查看器查看 UDM 和原始结果。

数据透视标签页 - 构建数据透视表

您可以使用数据透视表对搜索结果执行多维数学分组和汇总。

如需打开并配置数据透视表，请执行以下操作：

1. 执行 UDM 搜索。
2. 在结果标签页中，点击透视子标签页。系统会打开数据透视设置面板。

3. 在分组依据下，点击 add 字段，最多可选择五个 UDM 字段进行行分组。系统会根据字段类型显示特殊的转换选项：

   • 字符串字段：可选择强制使用小写。您可以使用默认大小写显示结果，也可以从菜单中选择小写，仅使用小写显示结果。
   • 主机名字段：
     • 注册域名：仅显示注册域名（例如 google.com、nytimes.com、youtube.com）。
     • N 级域名：指定要显示的域名级别。 例如，如果使用值 1，则仅显示顶级域名（例如 com、gov 或 edu）。如果使用值 3，则显示域名的下两个级别（例如 google.co.uk）。
   • IP 字段：可选择按 CIDR 前缀长度（位）分组。对于 IPv4 地址，您可以指定 1 到 32。对于 IPv6 地址，您可以指定最大为 128 的值。
   • 时间戳字段：可选择按时间分辨率（毫秒、秒、分钟、小时、天）分组。

4. 在值下，从结果中的字段列表中为数据透视指定一个值。您最多可以指定 5 个值。

5. 对于您为值指定的每个字段，您必须选择以下汇总方式选项之一：

   • Avg（平均值）
   • 计数
   • 不同值计数
   • Max
   • 最低
   • Sum
   • Stddev（标准差）

   汇总选项并非与所有分组依据字段都兼容。例如，Sum、Avg、Stddev、Min 和 Max 选项只能应用于数字字段。如果您尝试将不兼容的汇总选项与分组依据字段相关联，则会收到错误消息。

   指定事件数的值，以返回为此特定搜索和数据透视表识别的事件数。

6. 在排序依据下，指定一个或多个 UDM 字段，然后使用升序或降序选项选择一个或多个排序。

7. 准备就绪后，点击应用。结果会显示在数据透视面板中。

8. 可选：如需下载并保存数据透视表的内容，请参阅从表中下载搜索结果。

使用“原始日志”面板

使用原始日志面板查看、排序和管理与搜索匹配的日志，该搜索会评估原始、未解析的日志遥测数据。主要诊断目标是监控注入和解析健康状况，即监控已解析的日志数量、未解析的日志数量以及未知日志数量（这意味着在特定时间检测到一个或多个日志，但数量不确定）。

如需了解此标签页支持的功能和工具，请参阅使用表格的常用工具。支持的功能包括管理标签页显示的表格中的列、下载搜索结果等。

检查单个原始日志的精细详细信息（事件查看器和原始日志关联）

• 如需检查单个原始日志的精细详细信息，请点击相应行。事件查看器随即会打开。

  如需了解详情，请参阅使用事件查看器查看 UDM 和原始结果。

使用“统计信息”面板

使用统计信息面板可查看、排序和管理与您的搜索匹配的统计信息。

统计信息面板仅支持 view_column 列选择器，您可以在其中添加或移除列。

如需了解此标签页支持的功能和工具，请参阅使用表格的常用工具。支持的功能包括下载搜索结果等。

使用“联接”面板

使用联接面板可查看、排序和管理与您的搜索匹配的内容。

如需了解此标签页支持的功能和工具，请参阅使用表格的常用工具。支持的功能包括管理标签页显示的表格中的列、下载搜索结果等。

使用“支持请求”面板

使用支持请求面板查看、排序和管理与您的搜索匹配的支持请求。

如需了解此标签页支持的功能和工具，请参阅使用表格的常用工具。支持的功能包括管理标签页显示的表格中的列、下载搜索结果等。

使用“支持请求记录”面板

使用支持请求记录面板查看、排序和管理与您的搜索匹配的支持请求记录。

如需了解此标签页支持的功能和工具，请参阅使用表格的常用工具。支持的功能包括管理标签页显示的表格中的列、下载搜索结果等。

使用“有时效的数据”和“无时效的数据”面板

使用定时数据和非定时数据面板可查看、排序和管理 ECG 搜索结果。Timed Data（定时数据）面板会显示具有指定时间范围的实体（即在提取期间具有 metadata.interval.end_time 值的实体）的结果。Timeless Data（无时间限制的数据）面板会显示没有定义时间范围（即 metadata.interval.end_time 没有值）的实体的结果。

使用事件查看器查看 UDM 和 RAW 结果

• 如需检查单个事件或原始日志的精细详情，请点击事件表或原始日志表中的某一行。事件查看器随即会打开。

事件查看器包含以下标签页：

• 事件字段
• 原始日志
• 提醒：仅针对事件表中的 UDM 结果显示
• 实体

使用“事件字段”标签页

默认情况下，事件字段标签页会以分层树状结构显示 UDM 事件字段，该结构标记为已选择。

使用事件字段标签页执行以下操作：

• 查看字段定义。将指针悬停在字段名称上即可查看其定义。
• 固定某个字段，以便快速访问。在已选列表中，选择一个字段，然后点击保留 固定。然后，该字段会显示在固定列表中。字段仍保留在已选择列表中，并且它们在固定列表中的层次结构以点分隔表示法显示，并带有 udm 前缀（例如 udm.metadata.event_type）。
• 添加到列或复制多个字段。选中节点或字段旁边的复选框，然后选择添加到列或复制。

• 执行以下操作：

  • 过滤条件：将以下过滤条件应用于已选择列表中的所选项 (check_box)：
    • 字段
      • 显示未扩展的字段
      • 显示已扩展的字段
      • 显示其他字段
      • 显示已收起的字段
    • 扩充日志来源：可用选项取决于事件。
  • 复制：将所选 UDM 字段和 UDM 值复制到系统剪贴板。
  • 添加到列：将 UDM 字段添加为列。

每个 UDM 字段都标有一个图标，用于指示该字段包含的是丰富数据还是非丰富数据。图标标签如下：

• U：未扩充字段包含在标准化过程中使用原始原始日志中的数据填充的值。

• E：丰富字段包含 Google SecOps 填充的值，用于提供有关客户环境中工件的其他上下文。如需了解详情，请参阅使用 Google SecOps 丰富事件和实体数据。

  每个已扩展字段的显示内容都可以显示所有关联的来源。这些信息有助于进行验证和问题排查，并且可能需要用于审核和合规性目的。您还可以根据字段的丰富来源过滤字段。

Figure 6. 事件查看器的事件字段标签页中经过扩充和未经扩充的 UDM 字段，显示了经过扩充的字段的来源。

图 7.使用事件字段标签页中的过滤条件，根据各种属性显示或隐藏字段。

使用“原始日志”标签页

原始日志标签页会以以下任一格式显示原始签名：

• 原始
• JSON
• XML
• CSV
• 十六进制/ASCII

使用“提醒”标签页

提醒标签页会显示与事件关联的提醒。

提醒标签页仅针对事件表中的 UDM 结果显示。

使用“实体”标签页

实体标签页会显示与事件关联的实体。

点击某个实体即可显示实体情境对话框，其中可能包含以下项：

• 资产名称
• 首次发现时间
• 上次发现时间
• IP 地址
• MAC 地址
• 提醒数量
• 最高提醒计数（按规则）
• 一段时间内的提醒条形图
• 打开提醒和 IOC 链接
• 在“提醒”标签页中查看链接

在“提醒和检测”标签页中查看和管理信息

提醒和检测标签页可用于：

• 针对所有规则执行进行威胁搜寻
• 比较可操作的提醒触发器与低噪声行为前兆
• 在单一整合视图中确定突发事件边界

提醒和检测标签页会显示与您的有效搜索条件匹配的提醒和检测。通过将提醒和检测结果合并到一个标签页中，您可以同时检查高严重级别提醒和底层行为规则命中情况，从而发现未单独达到提醒阈值的低噪声前兆。

提醒是带有提醒阈值或高严重性通知标记的 UDM 事件和第三方连接器遥测。提醒计数会显示触发提醒规则 (alert_state = "ALERTING") 的 UDM 日志遥测数据，以及从第三方安全连接器（例如 CrowdStrike 或 SOAR 网络钩子）注入的高优先级通知。

检测是指 YARA-L 2.0 规则在整个环境中生成的所有发出提醒 (ALERTING) 和不发出提醒 (NOT_ALERTING) 的规则执行输出。该标签页会显示 YARA-L 2.0 检测引擎针对触发提醒和未触发提醒的规则命中生成的全面规则执行输出。每个由规则生成的提醒也是一项检测 (ALERTING)，但检测计数还包括所有信息性、后台或非提醒规则命中 (NOT_ALERTING)。

标签页标题中的计数会按提醒状态对规则执行匹配项进行分类。例如，如果标签页标题为提醒 (43) 和检测 (0)，则表示有 43 个匹配项（其中 alerting_rule = true），并且有 0 个非提醒规则 (NOT_ALERTING) 执行。

提醒和检测标签页包含以下面板：

• 一段时间内的趋势图表
• “聚合”面板
• 检测面板

使用“随时间变化的趋势”图表

提醒和检测标签页中的一段时间内的趋势标签页包含一段时间内的检测量图表（直方图）。每个竖条的宽度会根据您的整体搜索窗口动态缩放（例如，对于 24 小时搜索窗口，每个竖条可能代表 10 分钟）。

该图表会将一段时间内的所有规则执行匹配项归入一个标记为检测的汇总序列中。

此图表支持以下功能：

• 时间范围调整：拖动时间轴上的滑块控件，即可立即缩小可见时间窗口。结果网格和聚合会更新，而无需针对后端重新运行查询。
• 查看单个条形图时间窗口的汇总和检测结果：点击某个条形图，可将图表、汇总标签页和检测标签页的焦点缩小到该条形图的时间窗口。此操作会创建一个过滤条件，该过滤条件会显示在 filter_list 添加过滤条件按钮旁边。删除过滤条件即可再次显示所有结果。
• 详细信息弹出式窗口：点击其中一个条形会打开一个对话框，其中包含时间以及查询的检测和过滤的检测的值。

使用“汇总”面板优化检测结果

提醒和检测标签页中汇总面板的内容汇总了高频检测结果值，您可以使用这些值来优化搜索结果。

聚合面板包含三个可收起的列表：检测字段、UDM 字段（匹配的 UDM 字段列表）和实体字段。

每个字段都会显示“匹配计数”，即该字段具有相同值的提醒检测数量。列表内容按匹配次数从高到低排序，匹配次数相同时则按字母顺序排序。您可以在列表中搜索字段，并展开字段项。

您可以将指针悬停在某个字段上，然后点击keep 保留图标，将该字段固定到汇总列表的顶部。

在“聚合”面板中搜索提醒检测结果

您可以使用聚合面板的搜索搜索字段来搜索特定字段或字段值。这有助于您专注于对您最重要的提醒。

以下是用于在汇总面板中过滤提醒的关键提醒属性：

• 场景
• 名称
• 优先级
• 严重级别
• 状态
• 判定

在“汇总”面板中过滤提醒检测结果

如需使用聚合过滤提醒检测结果，请执行以下操作：

1. 在汇总面板中，从列表中选择一个字段，以显示该字段的值列表。

2. 从该列表中选择一个值，然后点击 more_vert 更多。

3. 选择过滤选项：

   • 仅显示：检测表格会更新，仅显示匹配的提醒，并且 = "value" 过滤条件会显示在 filter_list 添加过滤条件按钮旁边。
   • 过滤掉：检测表格会更新，过滤掉匹配的提醒，并且 != "value" 过滤条件会显示在 filter_list 添加过滤条件按钮旁边。
   • 大于（仅适用于整数字段）：检测结果表格会更新，以显示值大于此值的提醒，并且 > "value" 过滤条件会显示在 filter_list 添加过滤条件按钮旁边。
   • 大于或等于（仅适用于整数字段）：检测表格会更新，以显示值大于或等于此值的提醒，并且 >= "value" 过滤条件会显示在 filter_list 添加过滤条件按钮旁边。
   • 小于（仅适用于整数字段）：检测结果表格会更新，以显示值小于此值的提醒，并且 < "value" 过滤条件会显示在 filter_list 添加过滤条件按钮旁边。
   • 小于或等于（仅适用于整数字段）：检测表格会更新，以显示值小于或等于此值的提醒，并且 <= "value" 过滤条件会显示在 filter_list 添加过滤条件按钮旁边。
   • 复制：将字段值对复制到剪贴板。

• 如需删除过滤条件并更新提醒检测结果，请删除 filter_list 添加过滤条件按钮旁边显示的过滤条件。

使用“检测结果”面板

使用检测面板查看、排序和管理与搜索匹配的内容。

如需了解此标签页支持的功能和工具，请参阅使用表格的常用工具。支持的功能包括管理标签页显示的表格中的列、下载搜索结果等。

检查单个提醒的精细详情（提醒查看器）

• 如需检查单个提醒的精细详情，请点击检测表格中的一行。提醒查看器随即打开。

提醒查看器包含以下标签页：

• 检测字段
• 详细信息
• 变量

• 实体
  
  

• 如需前往 Google SecOps 控制台中包含提醒详情的其他页面，请点击查看详情。

使用“检测字段”标签页

默认情况下，检测字段标签页会以分层树状结构显示检测字段，该结构标记为已选择。

使用检测字段标签页执行以下操作：

• 查看字段定义。将指针悬停在字段名称上即可查看其定义。
• 固定某个字段，以便快速访问。在已选列表中，选择一个字段，然后点击保留 固定。然后，该字段会显示在固定列表中。字段仍保留在已选择列表中，并且它们在固定列表中的层次结构以点分隔表示法显示，并带有 collection 前缀（例如 collection.created_time）。
• 添加到列或复制多个字段。选中节点或字段旁边的复选框，然后选择添加到列或复制。

• 执行以下操作：

  • 对已选列表应用过滤条件。
  • 添加到列：将字段添加为列。
  • 复制：将所选字段和值复制到系统剪贴板。

使用“详情”标签页

详细信息标签页会显示提醒的详细信息。详细信息字段集因具体提醒而异。

示例详细信息字段：

• 名称（始终为“提醒”）
• 类型
• 严重级别
• 风险评分
• 状态
• 优先级
• 已检测到
• 检测窗口
• 创建时间
• 规则
• 规则集
• 说明
• 标记

使用“变量”标签页

变量标签页会显示与提醒关联的每个变量的字段、类型和值。

使用“实体”标签页

仅当有与提醒关联的实体时，系统才会显示实体标签页。

实体标签页会显示与提醒关联的实体。

点击某个实体即可显示实体情境对话框，其中可能包含以下项：

• 资产名称
• 首次发现时间
• 上次发现时间
• IP 地址
• MAC 地址
• 提醒数量
• 最高提醒计数（按规则）
• 一段时间内的提醒条形图
• 打开提醒和 IOC 链接
• 在“提醒”标签页中查看链接

在“概览”标签页中查看和管理信息

使用概览标签页执行以下操作：

• 查看实体历史记录（首次出现时间、上次出现时间、MAC 地址）
• 验证观察到的指标是否与活跃的安全运维案例或提醒重叠

概览标签页会显示整合的实体上下文图表 (ECG)、资产或用户详细信息，以及与有效搜索窗口匹配的失陷指标 (IOC) 或实体的调查概览。显示的信息因信息类型而异。

概览标签页会以以下预定义信息类型之一显示实体信息：

• 资产详情
• 网域详细信息
• 文件详情
• IP 详细信息
• 用户详细信息

在“概览”标签页中查看资产详情

如果查询包含返回特定资产的条件（例如 principal.hostname="laptop-will" 或 principal.ip="10.0.0.76"），概览标签页会显示资产视图，并在以下面板中显示信息：

• 搜索摘要：显示以下信息：
  • 实体的详细信息，包括在搜索时间范围内与资产关联的 IP 地址和 MAC 地址。IP 地址和 MAC 地址也可用于识别实体，点击后可在实体查看器中显示更多信息。它还会显示在您的企业中首次看到该资产的时间以及上次（最近）看到该资产的时间。您可以点击任一时间戳（第一个或最后一个），以使用该时间运行新搜索。
  • 有关提醒的详细信息，包括一个图表，其中显示了在搜索时间范围内涉及该实体的提醒数量。该面板还列出了部分具有最多提醒数量的规则。
  • 点击打开提醒和 IOC，查看在同一搜索时间范围内生成的所有提醒。
  • 点击在“提醒”标签页中查看，以切换到此页面上的提醒和检测标签页，并针对所选实体开始新的搜索。
  • 点击图表中的某个条形，即可切换到此页面上的提醒和检测标签页，并使用所点击条形的时间范围，针对所选实体开始新的搜索。
  • 点击查看更多链接，打开实体字段视图，并显示与资产关联的所有实体字段。如需将实体字段复制到剪贴板，请点击实体字段旁边的复选框，点击查看操作，然后点击复制实体。点击顶部的复选框，选择所有实体。
• 相关 IOC：显示与资产关联的 IOC。系统会优先显示严重级别较高的 IOC。点击 IOC 名称可打开右侧的实体查看器。
• 关联的实体：显示与此资产相关的其他实体，例如登录到该资产的用户。该面板会显示实体类型、实体首次出现在环境中的时间以及实体最后（最近）出现的时间。它还会显示与资产关联的所有命名空间。点击某个实体，打开实体上下文面板。点击显示所有时间，以显示整个可用时间段（而非 UDM 搜索中指定的范围）内的关联实体。
• 实体上下文：显示您在关联实体面板中选择的实体的详细信息。此面板会根据您在关联的实体面板中选择的实体类型（例如用户或网域）显示不同的信息。

在“概览”标签页中查看网域详细信息

当查询包含指定特定网域的条件（例如 target.hostname="example.com"）时，概览标签页会显示网域详细信息，并在以下面板中显示相关信息：

• 搜索摘要：显示以下信息：
  • 有关网域的详细信息，包括与已注册网域关联的 WHOIS 信息、首次在企业中看到该网域的时间以及最后一次（最近一次）看到该网域的时间。点击 VT 上下文，查看来自 VirusTotal 的网域相关信息。
  • 有关提醒的详细信息，包括一个图表，其中显示了在搜索时间范围内涉及该实体的提醒数量。该面板还列出了部分具有最多提醒数量的规则。
  • 点击打开提醒和 IOC，查看在同一搜索时间范围内生成的所有提醒。
  • 点击在“提醒”标签页中查看，切换到此页面上的提醒和检测标签页，然后针对所选实体开始新的搜索。
  • 点击图表中的某个条形，即可切换到此页面上的提醒和检测标签页，并使用所点击条形的时间范围，针对所选实体开始新的搜索。
  • 点击查看更多链接，打开实体字段视图，并显示与网域关联的所有实体字段。如需将实体字段复制到剪贴板，请点击实体字段旁边的复选框，点击查看操作，然后点击复制实体。点击顶部的复选框，选择所有实体。
• 已解析的 IP：显示在您的企业中针对完全限定域名 (FQDN) 看到的所有已解析 IP 地址。例如，如果您搜索 target.hostname="test.altostrat.com"，搜索结果可能会显示两个已解析的 IP 地址（198.51.100.81 和 203.0.113.81）。
• 子网域和同级网域：显示在您的企业中针对给定 FQDN 看到的所有关联子网域。许多攻击者会使用相同的网域和子网域进行攻击。例如，如果您搜索 target.hostname="sandbox.altostrat.com"，此面板会显示两个子网域：test.sandbox.altostrat.com 和 staging.sandbox.altostrat.com。
• 资产普及率：显示在 Google Security Operations 账号中存储的数据存储区中，在整个时间段内连接到该网域的企业资产数量。图表中的每个条形都表示在 UTC 日期内连接到该网域的企业中唯一身份资产的数量。将鼠标悬停在某个条形上，会显示该条形所代表的 UTC 日期的相关实体。点击实体名称，即可在右侧显示的实体上下文面板中查看实体摘要和概览。点击查看事件，在“搜索事件”标签页中查看与所选实体相关的事件。
• 关联的实体：显示与此网域相关的其他实体，例如与此网域联系过的资产。该列表包含实体类型、首次在企业中出现的时间以及上次（最近）出现的时间。点击实体以打开实体上下文面板。
• 实体上下文：显示您在关联实体面板中选择的实体的详细信息。此面板会根据您在关联的实体面板中选择的实体类型（例如 IP 地址或网域）显示不同的信息。

查看文件详情

如果查询包含返回单个文件的条件（例如 principal.process.file.md5="a00000a75f2a35130aa7a7aaa09aaa7a"），概览标签页会显示文件详细信息，并在以下面板中显示相关信息：

• 搜索摘要：显示以下信息：
  • 有关文件的详细信息，包括哈希值、文件大小、首次在企业中出现的时间以及最后（最近）一次出现的时间。点击 VT 上下文，查看来自 VirusTotal 的文件相关信息。
  • 有关提醒的详细信息，包括一个图表，其中显示了在搜索时间范围内涉及该实体的提醒数量。该面板还列出了部分具有最多提醒数量的规则。
  • 点击打开提醒和 IOC，查看在同一搜索时间范围内生成的所有提醒。
  • 点击在“提醒”标签页中查看，切换到此页面上的提醒和检测标签页，然后针对所选实体开始新的搜索。
  • 点击图表中的某个条形，即可切换到此页面上的提醒和检测标签页，并使用所点击条形的时间范围，针对所选实体开始新的搜索。
  • 点击查看更多链接，打开实体字段视图，并显示与文件关联的所有实体字段。如需将实体字段复制到剪贴板，请点击实体字段旁边的复选框，点击查看操作，然后点击复制实体。点击顶部的复选框，选择所有实体。
• 相关 IOC：显示与文件关联的 IOC。系统会优先显示严重级别较高的 IOC。点击 IOC 名称可打开右侧的实体查看器。
• 素材资源的普及率：显示在 Google SecOps 账号中存储的数据的整个时间段内，企业中与该文件关联的素材资源数量。
• 关联的实体：显示与此文件相关的其他实体，例如执行此文件的资产或访问此文件的用户。该列表包含实体类型、首次在企业中发现的时间以及最后（最近）发现的时间。点击某个实体，打开实体上下文面板。
• VirusTotal 属性和元数据：显示 VirusTotal 数据库中有关文件的信息。点击查看更多，打开 VirusTotal 对话框并显示有关该文件的其他信息。
• 关联的实体：根据您在关联的实体面板中选择的实体类型（例如用户或资产）显示不同的信息。
• 实体上下文：显示您在关联实体面板中选择的实体的详细信息。此面板会根据您在关联的实体面板中选择的实体类型（例如用户或资产）显示不同的信息。

在“概览”标签页中查看 IP 详情

如果查询包含返回特定外部 IP 地址（例如 target.ip="203.0.113.254"）的条件，则概览标签页会显示 IP 详细信息，并在以下面板中显示相关信息：

• 搜索摘要：显示以下信息：
  • 有关 IP 地址的详细信息，包括首次在企业中看到该 IP 地址的时间以及最后一次（最近一次）看到该 IP 地址的时间。点击 VT 上下文，查看 VirusTotal 提供的有关此 IP 地址的信息。
  • 有关提醒的详细信息，包括一个图表，其中显示了在搜索时间范围内涉及该实体的提醒数量。该面板还列出了部分具有最多提醒数量的规则。
  • 点击打开提醒和 IOC，查看在同一搜索时间范围内生成的所有提醒。
  • 点击在“提醒”标签页中查看，切换到此页面上的提醒和检测标签页，然后针对所选实体开始新的搜索。
  • 点击图表中的某个条形，即可切换到此页面上的提醒和检测标签页，并使用所点击条形的时间范围，针对所选实体开始新的搜索。
  • 点击查看更多链接，打开实体字段视图，并显示与 IP 地址关联的所有实体字段。如需将实体字段复制到剪贴板，请点击实体字段旁边的复选框，点击查看操作，然后点击复制实体。点击顶部的复选框，选择所有实体。
• 相关 IOC：显示与 IP 地址关联的 IOC。系统会优先显示严重级别较高的 IOC。点击 IOC 名称可打开右侧的实体查看器。
• 资产普及率：显示在 UDM 搜索中指定的时间段内，企业中连接到该 IP 地址的资产数量。
• 关联的实体：显示与此 IP 地址相关的其他实体，例如该 IP 地址注册到的网域。该列表包含实体类型、首次在企业中出现的时间以及上次（最近）出现的时间。点击实体以打开实体上下文面板。
• 实体上下文：显示您在关联实体面板中选择的实体的详细信息。此面板会根据您在关联实体面板中选择的实体类型（例如网域或资产）显示不同的信息。如果显示该链接，请点击 VT 上下文，查看 VirusTotal 中有关该实体的信息。

在“概览”标签页中查看用户详细信息

如果查询包含返回特定用户的条件（例如 principal.user.userid="alice"），概览标签页会显示用户详细信息，并在以下面板中显示相关信息：

• 搜索摘要：显示以下信息：
  • 有关实体的信息，包括全名、首次在企业中出现的时间和最后（最近）一次出现的时间、职位和电子邮件地址。
  • 有关提醒的详细信息，包括一个图表，其中显示了在搜索时间范围内涉及该实体的提醒数量。该面板还列出了部分具有最多提醒数量的规则。
  • 点击打开提醒和 IOC，查看在同一搜索时间范围内生成的所有提醒。
  • 点击在“提醒”标签页中查看，切换到此页面上的提醒和检测标签页，然后针对所选实体开始新的搜索。
  • 点击图表中的某个条形，即可切换到此页面上的提醒和检测标签页，并使用所点击条形的时间范围，针对所选实体开始新的搜索。
  • 点击查看更多链接，打开实体字段视图，并显示与用户关联的所有实体字段。如需将实体字段复制到剪贴板，请点击实体字段旁边的复选框，点击查看操作，然后点击复制实体。点击顶部的复选框，选择所有实体。
• 关联的实体：显示与此用户相关的实体，例如用户联系的网域或用户访问的资产。该列表包含实体类型、首次在企业中出现的时间以及上次（最近）出现的时间。点击实体以打开实体上下文面板。
• 实体上下文：显示您在关联的实体面板中选择的实体的详细信息。此面板中的信息因实体类型（例如，资产或网域）而异。

在“可视化”标签页中查看和管理信息

使用可视化标签页，将 STATS 搜索结果中的数据转换为图表、图或表格。

使用表格的常用工具

在 SIEM 搜索页面上，大多数包含单个表的面板都支持相同的常用功能和工具。

本部分介绍了以下常见功能和工具：

• 搜索框。使用搜索框在相邻表格中查找匹配的结果。
• 管理表格中的列和共享列集（列管理器）。
• wrap_text 自动换行 - 取消自动换行按钮。换行有助于查看列中的完整长字符串。
• 从表格中下载搜索结果。
• 表格底部的每页行数工具。您可以使用此工具来提高浏览器在加载大量结果记录（行）时的稳定性和性能，Google SecOps 会提供分页搜索结果。使用事件表格中的每页行数列表，选择每页显示的行数（10 到 1,000 个事件）。

管理表格中的列和共享列集（列管理器）

如需在分析事件数据时使用一致的视图，您可以为 SIEM 搜索页面上的以下表格创建、保存和共享自定义列集：

• 在结果面板中，针对以下表：事件、原始日志、联接
• 在提醒和检测标签页中，找到检测表。

如需使用此功能，您的用户账号或 Identity and Access Management 角色必须拥有以下全部五项权限：

• chronicle.googleapis.com/savedColumnSets.create
• chronicle.googleapis.com/savedColumnSets.update
• chronicle.googleapis.com/savedColumnSets.delete
• chronicle.googleapis.com/savedColumnSets.list
• chronicle.googleapis.com/savedColumnSets.get

创建列集

创建列集的步骤会因您所使用的表格而略有不同。

如需为事件、原始日志或联接表创建列集，请执行以下操作：

1. 点击 view_column 列，打开列管理器。
2. 点击 filter_alt 过滤条件图标，指定是否显示不适用的列。
3. 点击显示所选列切换开关，即可在事件列标签页中仅显示所选列。
4. 在事件列标签页中，为列组合添加或移除列。您可以浏览或搜索各个可收起部分（因搜索结果类型而异）中的字段，例如快速字段（每种数据类型最常用的字段）、分组字段、所有事件字段和所有实体字段。切换复选框可显示或隐藏列。
5. 排列列，然后点击保存。保存列集对话框随即打开。
6. 从下列选项中选择一项：
   • 保存：为列组合输入新名称。
   • 替换：如果您修改了之前保存的集合，则可以使用所做的更改覆盖现有集合。
7. 点击保存。该列组会列在列组标签页中。

如需为检测表创建列集，请执行以下操作：

1. 点击 view_column 列，打开列管理器。
2. 点击 filter_alt 过滤条件图标，指定是否显示不适用的列。

3. 从表格类型列表中，选择要为其创建列集的表格类型：

   • 检测结果
   • 事件
   • 实体（展开表格行以查看列。）

   对某种表类型所做的更改将仅应用于该类型的表和子表。

4. 点击显示所选内容切换开关，即可在相应标签页（检测列、事件列或实体列）中仅显示所选列。

5. 在相应标签页上，为列组合添加或移除列。您可以在可收起的各个部分（因搜索结果类型而异）中浏览或搜索字段。切换复选框可显示或隐藏列。

6. 排列列，然后点击保存。保存列集对话框随即打开。

7. 从下列选项中选择一项：

   • 保存：为列组合输入新名称。
   • 替换：如果您修改了之前保存的集合，则可以使用所做的更改覆盖现有集合。

8. 点击保存。该列组会列在列组标签页中。

共享列集

如需与 Google SecOps 租户中的所有其他用户共享列集，请执行以下操作：

1. 点击 view_column 列，打开列管理器。
2. 在事件列标签页中，为列组合添加或移除列。您可以浏览或搜索可收起部分中的字段（这些部分因搜索结果类型而异），例如快速字段（每种数据类型最常见的字段）、分组字段、所有事件字段和所有实体字段。切换复选框可显示或隐藏列。
3. 排列列，然后点击分享。共享列集对话框随即打开。
4. 从下列选项中选择一项：
   • 共享新列集：为要共享的列集输入新名称。
   • 分享现有设置：从列表中选择之前保存的设置。
5. 点击共享。该列集会列在列集标签页中，并带有共享标记。

加载已保存的列集

如需加载一组已保存的列，请执行以下操作：

1. 点击 view_column 列，打开列管理器。
2. 选择列组标签页。
3. 选择要加载的列集，然后点击应用。

删除已保存的列组合

如需删除已保存的列集，请执行以下操作：

1. 点击 view_column 列，打开列管理器。
2. 选择列组标签页。
3. 选择列集，然后依次点击more_vert更多 > 删除。

从表格中下载搜索结果

您可以下载并保存一个 CSV 文件，其中包含 SIEM 搜索页面中显示的表格内容。对于事件表或数据透视表，您还可以选择捆绑原始日志，以便在解析后的 UDM 记录与其源遥测数据之间建立精确的关联。此功能专为需要进行外部分析处理、需要保留标准化数据与原始注入数据之间的关系以满足合规性审核跟踪记录要求，或需要进行外部关联的团队而设计。

如需从事件表中下载搜索结果（最多可下载指定的搜索结果数量上限），请执行以下操作：

1. 可选：使用列管理器指定要包含在 CSV 中的 UDM 字段。系统会根据您的选择附加原始日志列。

2. 点击表格顶部的 download 下载，然后选择以下选项之一：

   • 以 CSV 格式下载：下载匹配的事件（并根据显示的指定事件的确切数量）。
   • 下载为 CSV 文件（包含原始日志）：下载匹配的事件，并将原始未解析日志字符串作为专用列附加到每个标准化 UDM 记录旁边（并根据显示的指定事件的确切数量）。

3. 保存文件。

如需从结果标签页上的表中下载搜索结果（最多可下载指定的搜索结果数量上限），而不是从事件面板或数据透视面板中下载，请执行以下操作：

1. 点击表格顶部的 download 下载，然后选择下载为 CSV 文件。此操作会下载匹配的结果（并根据显示的指定事件的确切数量）。
2. 保存文件。

如需从检测表中下载搜索结果（最多可下载指定的搜索结果数量上限），请执行以下操作：

1. 点击表格顶部的 more_vert 下载，然后选择下载为 CSV 文件。此操作会下载匹配的结果（并根据显示的指定事件的确切数量）。
2. 保存文件。

保存 CSV 文件时支持的字段

您可以从平台将以下字段下载到 CSV 文件中：

• user
• hostname
• process name
• timestamp
• raw log：仅在为客户启用了原始日志时有效
• 所有以 udm.additional 开头的字段

保存 CSV 文件时的有效字段类型

您可以将以下字段类型下载到 CSV 文件中：

• double
• float
• int32
• uint32
• int64
• uint64
• bool
• string
• enum
• bytes
• google.protobuf.Timestamp
• google.protobuf.Duration

保存 CSV 文件时不支持的字段

符合以下任一条件的字段无法下载为 CSV 格式：

• 字段类型：在 UDM proto 中定义为消息或组的数据类型。
• 字段深度：字段嵌套深度超过 10 层。

• 特定界面字段：界面中显示的以下字段不支持直接下载：

  • 事件字段：

    • 事件状态
    • 活动摘要

    • 事件类型

  • 实体上下文图谱：

    • 首次出现时间
    • 上次出现时间
    • 时间戳

  • 联合搜索：

    • 实例代码

限制和配额

Google SecOps 会对搜索查询施加限制，以确保平台稳定，并在程序化界面和网页界面中提供一致的性能。这些限制适用于 Backstory API 和 Chronicle API。

搜索和 API 配额

以下限制适用于每个租户的搜索查询数量和同时执行的操作数量：

• 每小时查询次数 (QPH)：Web 控制台界面限制为 1,000 QPH；程序化 API 访问限制为 2,000 QPH。

• 简单查询（跨度小于 24 小时、单一来源、无统计信息）：每个租户的并发查询数上限为 180。

  如果您的简单查询并发池用尽，您的操作将自动溢出到可用的复杂查询配额中。

• 复杂查询（跨越 24 小时以上、多来源或包含统计信息）：每个租户最多可同时运行 180 个查询。

• UDM 字段提示限制：单个查询在提示中最多只能引用 100 个 UDM 字段。

配额错误

达到限制后，网页界面会显示一条常驻配额错误通知。对于程序化访问，API 调用（例如 instances.udmSearch）会返回 HTTP 状态 429 RESOURCE_EXHAUSTED 错误，其中包含 google.rpc.QuotaFailure 消息，详细说明您超出的具体限制。

结果集和显示限制

使用搜索设置  > 要返回的结果数上限调整后端限制（1 到 1,000,000，默认值为 30,000）。

为确保 Web 和 API 界面具有一致的平台稳定性和快速响应时间，Google SecOps 强制执行以下限制：

优化和细化搜索结果

本部分概述了性能限制和预期，并针对 Google Security Operations 中 SIEM 搜索页面的常见问题提供了自助修复方法。

性能优化和最佳实践

如需优化查询速度并最大限度降低超时风险，请执行以下操作：

• 首先缩小时间范围：时间是最有效的过滤条件。查询事件发生的具体 2 小时时间段，比搜索 30 天时间段的速度要快得多。
• 查询确切的 UDM 字段，而不是分组别名：虽然分组字段 (ip = "1.2.3.4") 很方便，但它们会强制引擎检查 15 个以上的底层字段（principal.ip、target.ip、observer.ip）。如果您知道某个 IP 地址属于目标服务器，请直接查询 target.ip = "1.2.3.4"。
• 避免在正则表达式中使用前导通配符：以通配符 (principal.hostname = /.*server-.*/) 开头的查询会阻止索引查找，并强制执行全表扫描。尽可能锚定正则表达式 (principal.hostname = /^prod-server-.*/)。
• 利用已编入索引的元数据：在 AND 链的早期阶段，按 metadata.event_type（NETWORK_CONNECTION、PROCESS_LAUNCH、USER_LOGIN）或 metadata.log_type 进行过滤，以立即剪除不相关的日志来源。
• 使用 limit: N 进行快速数据抽样和快速预览：您可以直接在查询中添加 limit: N 关键字（例如 metadata.event_type = "USER_LOGIN" limit: 50），以进行快速数据抽样和快速预览。

广泛搜索的最佳实践

如果您的搜索范围过于宽泛，Google SecOps 会显示一条警告消息，指明无法显示所有搜索结果。在这种情况下，系统只会检索最新结果，最多可检索 100 万个事件和 1,000 条提醒。不过，可能还有许多匹配的事件和提醒未显示。

如需捕获所有相关结果，请应用其他过滤条件来优化搜索，例如：

• 缩小时间范围以缩减数据集大小。
• 使用具体的搜索查询或过滤条件，而不是宽泛的字词。
• 当您需要单个字段的结果时，请查询精确的 UDM 字段，而不是分组字段。

调试和优化查询

本部分介绍了如何调试和优化查询。

查看运行时错误

如果查询返回错误，结果面板中会持续显示特定的运行时错误消息。这种持续显示可确保错误上下文始终可见，从而帮助您排查和解决错误。

限制搜索结果

您可以通过添加 limit 关键字以及要显示的结果数量上限来限制搜索结果。这对于生成数据的快速预览、性能优化或只需要部分结果时非常有用。例如，如果您在搜索中添加 limit: 25，则结果最多限制为 25 个。

调查大型数据集

Google SecOps 支持返回和浏览最多 100 万条结果。 这样，您就可以直接在网页界面中调查大型数据集，而无需导出结果。对于大型搜索，默认情况下可见字段会受到限制。

数据源的结果限制

下表列出了每个数据源返回的结果数上限：

添加过滤条件以优化查询

如需添加过滤条件以优化查询，请执行以下操作：

1. 在 SIEM 搜索页面上，点击 filter_list添加过滤条件。系统会打开一个对话框，您可以在其中选择字段，以及显示 (=) 或滤除 (!=) 字段值。

2. 配置对话框参数。

   

   图 8.过滤条件对话框示例。

3. 点击应用。过滤条件会显示在 filter_list 添加过滤条件按钮旁边，所有搜索结果都会相应地进行过滤。

4. 可选：执行以下任一操作：

   • 如果您想自动将过滤条件纳入查询编辑器并运行搜索，请点击应用到搜索并运行。
   • 如果您想删除过滤条件，请点击清除。

问题排查

如果您收到一般性出错提示（例如 Error: Search has encountered an error and could not load data），请按照以下步骤解决问题：

• 从其他网络连接到 Google SecOps。例如，使用云虚拟机来帮助识别任何网络问题。
• 确保贵组织的防火墙或代理配置或政策允许 Chronicle API 调用。
• 验证是否未针对 Search API 调用配置数据量限制，因为搜索可能会返回大型数据集。
• 检查是否存在任何已配置的超时。搜索查询可以异步运行，并且可能需要更多时间才能返回数据。如果设置了超时，请确保在查询超时之前留出足够的时间（例如 60 分钟）。

如果此错误仍然存在，请与客户支持团队联系。

后续步骤

如需详细了解搜索查询，请参阅以下内容：

• 了解搜索语法包含有关在查询编辑器中构建和查询数据值、转义和运算符所需的 YL2 语法的详细信息和示例。
• 搜索广告最佳实践。
• 在统一搜索中搜索案例和案例历史记录。
• 使用 Gemini 生成 UDM 搜索查询。
• 在搜索中使用富含上下文的数据。

如需详细了解搜索结果，请参阅以下内容：

• 使用 UDM 搜索调查实体。
• 在“搜索”中调查检测结果介绍了如何使用 SIEM 搜索页面上的提醒和检测结果标签页。
• 了解搜索的数据可用性详细介绍了数据注入生命周期，包括端到端数据流和延迟时间，以及这些因素如何影响最近注入的数据是否可用于查询和分析。
• UDM 搜索与规则结果对比介绍了如何将 UDM 搜索查询结果与实时检测规则进行比较。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。