Use dados enriquecidos com contexto na pesquisa do UDM

Para permitir que os analistas de segurança durante uma investigação, o Google Security Operations processa dados contextuais dados de diferentes fontes, normaliza os dados ingeridos e fornece mais contexto sobre artefatos em um ambiente de cliente. Este document mostra exemplos de como os analistas podem usar dados enriquecidos contextualmente na Pesquisa de UDM.

Para mais informações sobre o aprimoramento de dados, consulte Como o Google Security Operations enriquece os dados de eventos e entidades.

Usar campos de metadados enriquecidos com o VirusTotal na pesquisa do UDM

O exemplo a seguir encontra um módulo de processo que carrega um arquivo kernel32.dll em um processo específico.

metadata.event_type = "PROCESS_MODULE_LOAD" AND
target.file.file_type = "FILE_TYPE_PE_EXE" AND
target.file.pe_file.imports.library = "kernel32.dll"

Usar campos enriquecidos com geolocalização na pesquisa do UDM

O Google Security Operations enriquece os eventos que contêm endereços IP externo com dados de geolocalização. Isso fornece mais contexto durante uma investigação. Este documento explica como você pode usar campos enriquecidos com geolocalização ao realizar pesquisas investigativas.

Os campos de UDM enriquecidos com geolocalização podem ser acessados usando a pesquisa de UDM, como mostrado nos exemplos a seguir.

Pesquisar por nome do país (country_or_region)

target.ip_geo_artifact.location.country_or_region = "Netherlands" OR
principal.ip_geo_artifact.location.country_or_region = "Netherlands"

Pesquisar por estado

target.ip_geo_artifact.location.state = "North Holland" OR
principal.ip_geo_artifact.location.state = "North Holland"

Pesquisar por longitude e latitude

principal.location.region_latitude = 52.520588 AND principal.location.region_longitude = 4.788474

Pesquisar por regiões geográficas segmentadas não autorizadas

metadata.event_type = "NETWORK_CONNECTION" AND
(
    target.ip_geo_artifact.location.country_or_region = "Cuba" OR
    target.ip_geo_artifact.location.country_or_region = "Iran" OR
    target.ip_geo_artifact.location.country_or_region = "North Korea" OR
    target.ip_geo_artifact.location.country_or_region = "Russia" OR
    target.ip_geo_artifact.location.country_or_region = "Syria"
)

Pesquisar por número de sistema autônomo (ASN)

metadata.event_type = "NETWORK_CONNECTION" AND
(
    target.ip_geo_artifact.network.asn = 33915
)

Por nome da organização

metadata.event_type = "NETWORK_CONNECTION" AND
(
    target.ip_geo_artifact.network.organization_name = "google"
)

Por nome da transportadora

metadata.event_type = "NETWORK_CONNECTION" AND
(
    target.ip_geo_artifact.network.carrier_name = "google llc"
)

Por domínio DNS

metadata.event_type = "NETWORK_CONNECTION" AND
(
    target.ip_geo_artifact.network.dns_domain = "lightower.net"
)

Conferir campos enriquecidos com geolocalização na grade do UDM

Os campos enriquecidos com geolocalização aparecem nas visualizações em grade do UDM, incluindo os da pesquisa do UDM. Visualização de detecção, Visualização de usuário e Visualizador de eventos.

A seguir

Para saber como usar dados enriquecidos com outros recursos do Google Security Operations, consulte:

• Use dados enriquecidos com contexto em regras.
• Use dados enriquecidos com contexto em relatórios.