调查用户
Google Security Operations 用户视图可帮助客户更好地了解企业中的用户受到安全事件的影响程度。通过重点关注单个用户的行为，安全管理员可以搜索表明账号遭到入侵或其他安全问题的活动。确保您正在从网络中的设备（例如 EDR、防火墙、Web 代理、用户上下文和身份验证等）提取数据并对其进行标准化处理。
搜索用户
如需在 Google SecOps 中打开用户视图，请在“搜索”字段中输入贵企业内用户的用户名或电子邮件地址。如果用户在您的 Google SecOps 账号中，则该用户会显示为结果。点击用户名可透视到用户视图。
“用户”视图别名
用户视图包含用户别名功能，可确保与单个用户关联的事件不会重复，并且可在 Google SecOps 账号中更轻松地搜索。例如，如果您有一个名叫 Dennis 的员工，其用户标识符为 dennis，电子邮件地址为 dennis@altostrat.com，而您在 Google SecOps 中搜索 dennis，则系统会返回 dennis 和 dennis@altostrat.com 的事件。
“用户”视图功能
用户视图包含许多功能和界面控件，可让您更仔细地检查企业中的用户数据。其中一些功能是用户视图独有的，另一些功能则与其他 Google SecOps 事件视图（网域视图、IP 地址视图等）共用。
Google SecOps 用户视图功能
1 用户信息
显示存储在企业 IT 系统（例如 Active Directory、Workday、Okta 等）中的用户相关信息。
2 选择日期
使用向左键和向右键可查看与用户相关的一周（周六至周日）内的活动。如果所显示的时间段内没有数据，系统会提供“首次看到”和“上次看到”选项，以便您快速将视图切换到相关时间段。
3 X 轴时间偏移
默认情况下，用户视图会将梯度热点图的中心设为世界协调时间 (UTC) 12:00（中午）。借助“X 轴时移”控件，您可以将热图居中显示在 12:00 之前或之后最多 12 小时的时间范围内。这样，您就可以专注于用户的非典型时间段。 例如，您可以将显示时间调整为 0:00 UTC（午夜），以便重点关注深夜和清晨的用户活动，如图所示。
将 X 轴时间偏移设置为 +12
4 渐变热点图
用户视图梯度热图显示了您正在调查的时间段内的用户活动汇总视图。每个方块表示相应时间段内已登录用户的活动所发生的小时（世界协调时间 [UTC]）。借助此图表，您可以找到异常或非典型的用户活动。
点击某个方块会显示活动日期，然后点击绿色弹出式窗口中的相应日期，即可前往时间轴中相应小时的活动。
每个方形的颜色从黑色到灰色再到白色不等：
黑色方块表示没有用户活动。
白色方块表示频繁的用户活动。
从深灰色到浅灰色的方块表示活动量逐渐增加，其中深灰色表示活动量较少，浅灰色表示活动量较多。
例如，某用户通常在正常工作时间处于活跃状态，但从不在深夜或周末处于活跃状态。不过，此用户最近每天凌晨 3 点都会变得活跃。借助梯度热图，您可以快速找到此类异常活动。
5 个用户提醒
Google SecOps 会捕获用户安全提醒并在此处显示。您可以点击相关链接，进一步调查相应提醒。
7 列
自定义时间轴标签页中显示的列。
6 时间安排和资产
用户视图中还提供时间轴和资产标签页。与其他 Google SecOps 视图一样，时间轴标签页按时间顺序列出事件，资产标签页按字母或数字列出与用户关联的资产。所显示的资源对应于相应用户在贵企业内的活动，并且受指定时间段的限制。
使用这些标签页，如下所示：
时间轴标签页：在“时间轴”标签页中选择某个事件后，渐变热图中的相应事件也会以绿色突出显示。提醒以红色三角形和红色文字表示。
资产标签页：选择某个资产后，该资产会在“资产”标签页中以绿色突出显示，并且涉及该资产的所有活动也会在梯度热图中以绿色突出显示。您可以在“素材资源”标签页中点击“首次访问”或“上次访问”，切换到“素材资源”视图。
8 程序化过滤
您可以在用户视图中点击“程序化过滤”图标，打开程序化过滤菜单，然后根据各种特征过滤用户信息。例如，您可以按“主要位置”进行过滤，以查看用户登录尝试的地理位置。这可能表明用户正在从非常用地点登录。
对主账号位置进行过程过滤
注意事项
用户视图具有以下限制：
- 此视图中最多只能显示 8 万个事件。
- 您只能过滤此视图中显示的事件。
- 此视图中仅填充了“用户”“电子邮件”和“DNS”事件类型。此视图中填充的首次看到和上次看到信息也仅限于这些事件类型。
- 通用事件不会显示在任何精选视图中。它们仅显示在原始日志和 UDM 搜索中。