查看 UDM 和数据表查询

支持的服务：

本文档面向安全运营中心 (SOC) 经理和分析师，他们希望使用精选的信息中心（预定义的信息中心，旨在提供各种安全用例的可见性）来监控威胁形势和系统健康状况。 本文档提供了一系列精选的信息中心及其针对 UDM 和数据表 来源类型的底层查询。

您可以在查询编辑器中使用这些查询，也可以将其用作自定义 widget 的基准。 如需了解如何创建和管理信息中心， 请参阅管理信息中心。

信息中心名称 说明 图表名称 查询
HIPAA 信息中心 实时监控 HIPAA 合规性和安全指标。提供对 PHI 访问和潜在风险的可见性，以确保数据机密性和完整性。
注意：需要先创建 ePHI_assets.Hostname 数据表，然后图表才会填充数据。		 漏洞（按严重程度划分） 
metadata.log_type = /ARMIS_VULNERABILITIES|FINGERPRINT_JS|NUCLEUS_VULNERABILITY|QUALYS_ASSET_CONTEXT|QUALYS_SCAN|QUALYS_VIRTUAL_SCANNER|QUALYS_VM|RAPID7_INSIGHT|RAPID7_NEXPOSE|SNYK_SDLC|SPUR_FEEDS|STACKHAWK|SUBLIMESECURITY|SYMANTEC_SA|TENABLE_IO|TENABLE_OT|TENABLE_SC|TRENDMICRO_VISION_ONE_CONTAINER_VULNERABILITIES|UPGUARD|URLSCAN_IO/ nocase
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Severity =
    if (principal.asset.vulnerabilities.severity != "UNKNOWN_SEVERITY",
        principal.asset.vulnerabilities.severity,
    if (target.asset.vulnerabilities.severity != "UNKNOWN_SEVERITY",
        target.asset.vulnerabilities.severity,
    if (extensions.vulns.vulnerabilities.severity != "UNKNOWN_SEVERITY",
        extensions.vulns.vulnerabilities.severity,
    "UNKNOWN_SEVERITY")))

match:
    $Severity

outcome:
    $Count = count(strings.coalesce(extensions.vulns.vulnerabilities.name, extensions.vulns.vulnerabilities.description, extensions.vulns.vulnerabilities.vendor_vulnerability_id,
                                          principal.asset.vulnerabilities.name, target.asset.vulnerabilities.name, additional.fields["ScanReference"]))

order:
    $Severity desc
HIPAA 信息中心 实时监控 HIPAA 合规性和安全指标。提供对 PHI 访问和潜在风险的可见性，以确保数据机密性和完整性。
注意：需要先创建 ePHI_assets.Hostname 数据表，然后图表才会填充数据。		 权限更改（按日志类型划分） 
metadata.event_type = "RESOURCE_PERMISSIONS_CHANGE"
or metadata.event_type = "USER_CHANGE_PERMISSIONS"
or metadata.event_type = "USER_RESOURCE_UPDATE_PERMISSIONS"
security_result.action = "ALLOW"
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Log_Type = metadata.log_type
$Date = timestamp.get_date(metadata.event_timestamp.seconds)

match:
    $Date, $Log_Type

outcome:
    $Count = count(metadata.id)

order:
    $Date asc
HIPAA 信息中心 实时监控 HIPAA 合规性和安全指标。提供对 PHI 访问和潜在风险的可见性，以确保数据机密性和完整性。
注意：需要先创建 ePHI_assets.Hostname 数据表，然后图表才会填充数据。		 MFA 事件（按操作划分） 
(re.regex(metadata.product_name, "MULTI-FACTOR_AUTHENTICATION") or re.regex(additional.fields["AuthenticationRequirement"], `multiFactorAuthentication`) nocase or re.regex(security_result.detection_fields.value, `MFA`) nocase )
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname,target.asset.hostname) in %ePHI_assets.Hostname

$Action = security_result.action
$Date = timestamp.get_date(metadata.event_timestamp.seconds)

match:
    $Date, $Action

outcome:
    $Count = count(metadata.id)

order:
    $Date asc
HIPAA 信息中心 实时监控 HIPAA 合规性和安全指标。提供对 PHI 访问和潜在风险的可见性，以确保数据机密性和完整性。
注意：需要先创建 ePHI_assets.Hostname 数据表，然后图表才会填充数据。		 登录事件（按操作划分） 
metadata.event_type = "USER_LOGIN"
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Action = security_result.action
$Date = timestamp.get_date(metadata.event_timestamp.seconds)

match:
    $Date, $Action

outcome:
    $Count = count(metadata.id)

order:
    $Date asc
HIPAA 信息中心 实时监控 HIPAA 合规性和安全指标。提供对 PHI 访问和潜在风险的可见性，以确保数据机密性和完整性。
注意：需要先创建 ePHI_assets.Hostname 数据表，然后图表才会填充数据。		 发生数据泄露防护违规事件最多的 10 个 ePHI 主机 
metadata.log_type = /DLP|ACCELLION|CODE42_INCYDR|GUARDIUM|TRIPWIRE_FIM/ nocase
metadata.product_event_type = /Violation/ nocase
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Severity = security_result.severity
$Hostname= strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname)

match:
    $Hostname, $Severity

outcome:
    $Count = count(metadata.id)

order:
    $Count desc

limit:
    10
HIPAA 信息中心 实时监控 HIPAA 合规性和安全指标。提供对 PHI 访问和潜在风险的可见性，以确保数据机密性和完整性。
注意：需要先创建 ePHI_assets.Hostname 数据表，然后图表才会填充数据。		 EDR 提醒（按严重程度划分） 
metadata.log_type = /EDR|CS_ALERTS|CS_DETECTS|FIREEYE_HX|MICROSOFT_DEFENDER_ENDPOINT|MICROSOFT_DEFENDER_IDENTITY|SENTINEL_DV/ nocase
strings.coalesce(security_result.rule_name, security_result.threat_name) != ""
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Severity = security_result.severity
$Date = timestamp.get_date(metadata.event_timestamp.seconds)

match:
    $Date, $Severity

outcome:
    $Count = count(metadata.id)

order:
    $Date asc
HIPAA 信息中心 实时监控 HIPAA 合规性和安全指标。提供对 PHI 访问和潜在风险的可见性，以确保数据机密性和完整性。
注意：需要先创建 ePHI_assets.Hostname 数据表，然后图表才会填充数据。		 备份事件（按操作划分） 
(metadata.log_type = /COHESITY|DRUVA_BACKUP|VEEAM|VERITAS_NETBACKUP/ nocase or metadata.log_type = "RUBRIK")
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Date = timestamp.get_date(metadata.event_timestamp.seconds)
$Action = security_result.action

match:
    $Date, $Action

outcome:
    $Count = count(metadata.id)

order:
    $Date asc
HIPAA 信息中心 实时监控 HIPAA 合规性和安全指标。提供对 PHI 访问和潜在风险的可见性，以确保数据机密性和完整性。
注意：需要先创建 ePHI_assets.Hostname 数据表，然后图表才会填充数据。		 密码更改（按操作划分） 
metadata.event_type = "USER_CHANGE_PASSWORD"
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Log_Type = metadata.log_type
$Action = security_result.action
$Date = timestamp.get_date(metadata.event_timestamp.seconds)

match :
    $Date, $Action

outcome :
    $Count = count(metadata.id)

order:
    $Date asc
HIPAA 信息中心 实时监控 HIPAA 合规性和安全指标。提供对 PHI 访问和潜在风险的可见性，以确保数据机密性和完整性。
注意：需要先创建 ePHI_assets.Hostname 数据表，然后图表才会填充数据。		 近期备份事件（过去 24 小时） 
(metadata.log_type = /COHESITY|DRUVA_BACKUP|VEEAM|VERITAS_NETBACKUP/ nocase or metadata.log_type = "RUBRIK")
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Description = strings.coalesce(metadata.description, security_result.description, security_result.summary)
$Log_Type = metadata.log_type
$Event_Type = metadata.event_type
$Security_Event_Type = metadata.product_event_type
$Action = security_result.action

match:
    $Description, $Security_Event_Type, $Event_Type, $Action, $Log_Type

outcome:
    $Count = count(metadata.id)
    $Date = timestamp.get_timestamp(max(metadata.event_timestamp.seconds), "%F %T ")

order:
    $Date desc
HIPAA 信息中心 实时监控 HIPAA 合规性和安全指标。提供对 PHI 访问和潜在风险的可见性，以确保数据机密性和完整性。
注意：需要先创建 ePHI_assets.Hostname 数据表，然后图表才会填充数据。		 近期 EDR 提醒（过去 24 小时） 
metadata.log_type = /EDR|CS_ALERTS|CS_DETECTS|FIREEYE_HX|MICROSOFT_DEFENDER_ENDPOINT|MICROSOFT_DEFENDER_IDENTITY|SENTINEL_DV/ nocase
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Log_Type = metadata.log_type
$EDR_Alerts = strings.coalesce(security_result.rule_name, security_result.threat_name)
$EDR_Alerts != ""
$Severity = security_result.severity
$User = strings.coalesce(principal.user.user_display_name, principal.user.email_addresses, principal.user.userid, target.user.userid, target.user.user_display_name, target.user.email_addresses)
$Hostname = strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname)

match:
    $EDR_Alerts, $Hostname, $User, $Severity, $Log_Type

outcome:
    $Count = count(metadata.id)
    $Date = timestamp.get_timestamp(max(metadata.event_timestamp.seconds), "%F %T")

order:
    $Date desc
HIPAA 信息中心 实时监控 HIPAA 合规性和安全指标。提供对 PHI 访问和潜在风险的可见性，以确保数据机密性和完整性。
注意：需要先创建 ePHI_assets.Hostname 数据表，然后图表才会填充数据。		 近期用户账号创建（过去 24 小时） 
metadata.event_type = "USER_CREATION"
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Log_Type = metadata.log_type
$Source_IP = strings.coalesce(principal.ip, principal.asset.ip)
$Source_Hostname = strings.coalesce(principal.hostname, principal.asset.hostname)
$Initiator = strings.coalesce(principal.user.userid, principal.user.user_display_name, principal.user.email_addresses)
$User_Created = strings.coalesce(target.user.userid, target.user.user_display_name, target.user.email_addresses)
$Action = security_result.action

match:
    $Initiator, $User_Created, $Source_Hostname, $Source_IP, $Action, $Log_Type

outcome:
    $Count = count(metadata.id)
    $Date = timestamp.get_timestamp(max(metadata.event_timestamp.seconds), "%F %T ")

order:
    $Date desc
HIPAA 信息中心 实时监控 HIPAA 合规性和安全指标。提供对 PHI 访问和潜在风险的可见性，以确保数据机密性和完整性。
注意：需要先创建 ePHI_assets.Hostname 数据表，然后图表才会填充数据。		 弱加密通信（按日志类型划分） 
(((target.resource.attribute.labels.key  = "keyProperties_type" or target.resource.attribute.labels.key  = "requestParameters.keySpec" or target.resource.attribute.labels.key = /key/ nocase) and target.resource.attribute.labels.value  = /^(RSA-)|DES|RC4|MD5|SHA1|SHA-1/) or network.tls.cipher = /^(RSA-)|DES|RC4|MD5|SHA1|SHA-1/)
strings.coalesce(principal.hostname, principal.asset.hostname,  target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Date = timestamp.get_date(metadata.event_timestamp.seconds)
$Log_Type = metadata.log_type

match:
    $Date, $Log_Type

outcome:
    $Count = count(metadata.id)

order:
    $Date asc
HIPAA 信息中心 实时监控 HIPAA 合规性和安全指标。提供对 PHI 访问和潜在风险的可见性，以确保数据机密性和完整性。
注意：需要先创建 ePHI_assets.Hostname 数据表，然后图表才会填充数据。		 近期用户更改密码（过去 24 小时） 
metadata.event_type = "USER_CHANGE_PASSWORD"
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Log_Type = metadata.log_type
$Security_Event_Type = metadata.product_event_type
$User = strings.coalesce(principal.user.userid, principal.user.user_display_name, principal.user.email_addresses, target.user.userid, target.user.user_display_name, target.user.email_addresses)
$Source_Hostname = strings.coalesce(principal.hostname, principal.asset.hostname)
$Source_IP = strings.coalesce(principal.ip, principal.asset.ip)
$Action = security_result.action

match :
    $User, $Source_Hostname, $Source_IP, $Security_Event_Type, $Action, $Log_Type

outcome :
    $Date = timestamp.get_timestamp(max(metadata.event_timestamp.seconds ), "%F %T")
    $Count = count(metadata.id)

order :
    $Date desc
HIPAA 信息中心 实时监控 HIPAA 合规性和安全指标。提供对 PHI 访问和潜在风险的可见性，以确保数据机密性和完整性。
注意：需要先创建 ePHI_assets.Hostname 数据表，然后图表才会填充数据。		 前 10 大 SaaS 应用 
strings.coalesce(security_result.category_details, security_result.rule_name) = /saas/ nocase
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Application = target.application
$Log_Type = metadata.log_type

match:
   $Application, $Log_Type

outcome:
    $Count = count(metadata.id)

order:
    $Count desc

limit:
    10
HIPAA 信息中心 实时监控 HIPAA 合规性和安全指标。提供对 PHI 访问和潜在风险的可见性，以确保数据机密性和完整性。
注意：需要先创建 ePHI_assets.Hostname 数据表，然后图表才会填充数据。		 前 10 大关键操作 
(metadata.log_type  = /AZURE_KEYVAULT_AUDIT|AKEYLESS_VAULT|GCP_CLOUDAUDIT/ or target.application = "kms.amazonaws.com")
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Security_Event_Type = metadata.product_event_type
$Log_Type = strings.coalesce(metadata.log_type, target.application)

match:
    $Security_Event_Type, $Log_Type

outcome:
    $Count = count(metadata.id)

order:
    $Count desc

limit:
    10

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。