UDM 搜索最佳实践

支持的平台：

本文档介绍了 Google 推荐使用 UDM 搜索进行搜索的最佳实践。如果不小心构建 UDM 搜索，则可能需要大量计算资源才能完成。此外，性能还会因 Google Security Operations 实例中数据的大小和复杂程度而异。

每个条件都必须采用 udm-field operator value 格式。

例如：principal.hostname = "win-server"。

请务必尽量将时间范围缩小至所需的最短时间。Google Security Operations 可以提取大量数据，因此在执行搜索时限制数据的广度可以显著提高搜索性能。

您可以在执行 UDM 搜索时使用正则表达式：

  • 使用 AND、OR 和 NOT。
  • 如果没有其他运算符，则假定为 AND。
  • 使用括号修改优先级顺序。
  • 字段运算符可能包括以下内容，具体取决于字段类型： = != >= > < <=

使用 nocase 作为搜索修饰符

可将 nocase 用作修饰符来忽略大小写。

例如，以下搜索无效：

target.user.userid = "TIM.SMITH" nocase

正则表达式不适用于枚举字段

您不能对枚举字段（具有预定义值范围的字段）使用正则表达式，例如 metadata.event_type 或 network.ip_protocol。

例如，以下搜索无效：

metadata.eventtype = /NETWORK*/

但是，以下搜索有效（并且近似于上述搜索）：

(metadata.event_type = "NETWORK_CONNECTION" or metadata.event_type = "NETWORK_DHCP")

在“事件”字段中使用任意及所有运算符

在 UDM 搜索中，某些字段会被标记为重复，这意味着它们是值列表或其他类型的消息。与 YARA-L 不同，UDM 搜索中的重复字段默认始终使用 any 运算符进行处理，且搜索中不提供指定 all 的选项。

使用 any 运算符时，如果重复字段中的任何值满足条件，则谓词评估为 true。例如，如果您搜索“principal.ip != "1.2.3.4"”，而搜索中的事件同时包括“principal.ip = "1.2.3.4"”和“principal.ip = "5.6.7.8"”，则搜索会生成匹配项。这样可以扩大搜索范围，以包含与任何运算符匹配的结果，而不是与所有运算符匹配。

系统会单独处理重复字段中的每个元素。如果在搜索的事件中发现重复字段，则系统会针对该字段中的每个元素评估相应事件。这可能会导致意外行为，尤其是在使用 != 运算符进行搜索时。

使用 any 运算符时，如果重复字段中的任何值满足条件，则谓词评估为 true。

时间戳使用 Unix 纪元时间

使用 Unix 纪元时间（自 1970 年 1 月 1 日星期四 00:00:00 起过去的秒数）匹配时间戳字段。

搜索特定时间戳时，以下参数（以新纪元时间表示）有效：

metadata.ingested_timestamp.seconds = 1660784400

以下时间戳无效：

metadata.ingested_timestamp = "2022-08-18T01:00:00Z"

有些字段会从过滤器中排除，其中包括：

  • metadata.id
  • metadata.product_log_id
  • *.timestamp

由于这些字段往往具有唯一值，因此显示它们会产生更多“噪声”UDM 搜索界面中的值。