信息中心数据源和字段前缀
本指南适用于希望在 Google Security Operations 信息中心内创建自定义图表和过滤器时查询不同数据源的安全分析师和信息中心作者。本文介绍了如何为每个受支持的数据源确定所需的 YARA-L 字段前缀、遵守查询时间间隔，以及编写有效的图表查询。遵循此指南可防止出现查询编译错误和图表结果为空的情况。准确的信息中心配置可让您可靠地了解安全遥测、检测效果和 SOAR 操作。
主要术语
- YARA-L 字段前缀：附加在字段名称（例如
case.、detection.或ingestion.）前面的限定符，用于指定查询所针对的底层 Google Security Operations 数据源。 - 统一数据模型 (UDM)：Google Security Operations 的标准架构，用于构建和规范化原始安全性事件遥测数据。针对 UDM 事件数据的查询不使用字段前缀。
- 数据表 (
%)：Google Security Operations 中用户定义的表格数据集，您可以在 YARA-L 查询中通过在表名称前面添加百分号 (%) 来引用该数据集。
常见使用场景
以下应用场景说明了信息中心作者如何在 Google Security Operations 数据源中应用 YARA-L 字段前缀。
构建运营 SOAR 和检测图表
- 目标：创建自定义信息中心图表，使用
case、playbook和detection前缀跟踪未解决的 SOAR 案例、playbook 执行指标或规则检测结果随时间的变化情况。 - 价值：在统一的运营信息中心内集中显示突发事件响应和检测效果指标以及 SIEM 事件遥测数据。
跨数据源配置信息中心过滤条件
- 目标：通过指定所需字段前缀，定义针对特定数据源的信息中心级过滤条件。
- 值：让分析师能够动态过滤信息中心内的多个图表，而无需修改单个 YARA-L 图表查询。
准备工作
在创建或修改信息中心图表和过滤条件之前，请确认是否满足以下要求：
- 权限：如需在信息中心内添加或修改图表和过滤条件，您必须拥有
chronicle.nativeDashboards.updateIAM 权限。如需详细了解信息中心权限和访问权限控制，请参阅管理信息中心内的图表和控制对信息中心的访问权限。 - 数据 RBAC 注意事项：您对底层图表数据的访问权限取决于为您的用户角色配置的数据 RBAC 政策。如需了解详情，请参阅数据 RBAC 的影响。
在信息中心查询中选择并应用 YARA-L 字段前缀
在构建图表查询或配置信息中心过滤条件时，您必须选择与目标数据源对应的前缀，并将其应用于查询中的每个字段。
确定数据源所需的前缀
在编写查询之前，请确定数据源所需的 YARA-L 前缀和支持的查询时间间隔。如果您不使用所需的前缀，查询会返回错误或无法返回预期数据。
信息中心包含以下数据源，每个数据源都有自己的查询时间限制和 YARA-L 前缀：
| 数据源 | 查询时间间隔 | YARA-L 前缀 | 架构 | 信息中心示例 |
|---|---|---|---|---|
| 支持请求历史记录 | 365 天 | case_history |
字段 (SOAR) | 模板 | 示例 |
| 支持请求和提醒 | 365 天 | case |
字段 (SOAR) | 模板 | 示例 |
| 数据表 | 无独立时间限制（由联接的数据源控制） | % |
用户定义 | 示例 |
| 检测 | 365 天 | detection |
字段 | 模板 | 示例 |
| 实体图表 | 365 天 | graph |
字段 | 模板 | 示例 |
| 事件 | 90 天 | no prefix |
字段 (UDM) | 模板 | 示例 |
| 提取指标 | 365 天 | ingestion |
字段 | 模板 | 示例 |
| IOC | 365 天 | ioc |
字段 | 模板 | 示例 |
| 策略方案 | 365 天 | playbook |
字段 (SOAR) | 模板 | 示例 |
| 规则集 | 365 天 | ruleset |
字段 | 模板 | 示例 |
| 规则 | 没有时间限制 | rules |
字段 | 模板 | 示例 |
| 分类与调查智能体 | 365 天 | gemini_investigation，gemini_investigation_feedback |
字段 | 模板 | 示例 |
将前缀语法规则应用于查询
在图表查询编辑器中编写 YARA-L 查询或配置信息中心过滤条件时，请应用相应的前缀格式：
- 对于事件（在 YARA-L 图表查询和基本信息中心过滤条件中），请直接输入统一数据模型 (UDM) 字段名称，无需添加前缀（例如
metadata.event_type = "USER_LOGIN"）。 - 对于带前缀的数据源（例如 YARA-L 图表查询和基本信息中心过滤条件中的“案例和提醒”“检测”或“注入指标”），请在每个字段名称前面加上数据源前缀，后跟一个英文句点（例如，对于“案例和提醒”，前缀为
case.priority = "PRIORITY_HIGH"；对于“检测”，前缀为detection.detection.rule_name）。 - 对于数据表（在 YARA-L 图表查询和高级过滤器的动态查询中），请在列名称前加上百分号 (
%)，后跟数据表名称和英文句点（例如%allowlist.ip）。数据表不支持基本信息中心过滤器 (Field to filter)。
示例和参考信息
使用以下查询示例和架构参考，为信息中心图表构建 YARA-L 查询。
不含前缀的活动查询
以下查询会搜索不带前缀的 UDM 事件数据：
metadata.event_type = "USER_LOGIN"
security_result.action = "BLOCK"
match:
principal.user.userid
outcome:
$failed_logins = count(metadata.id)
带有前缀的案例和提醒查询
以下查询使用 case 前缀搜索案例和提醒：
case.incident = true
case.priority = "PRIORITY_HIGH"
match:
case.status
outcome:
$open_cases = count(case.name)
前缀为百分号 (%) 的数据表查询
以下查询通过使用 % 前缀将 UDM 登录事件与自定义数据表 (%example_table) 联接，从而过滤 UDM 登录事件：
metadata.event_type = "USER_LOGIN"
security_result.action = "ALLOW"
principal.user.userid = %example_table.uid
match:
principal.user.userid
outcome:
$login_count = count(metadata.id)
其他查询模板和架构
如需查看每个受支持数据源的完整查询模板、字段字典和其他示例，请参阅 YARA-L 2.0 信息中心查询库。
问题排查
本部分概述了平台限制，并针对常见的仪表板查询问题提供了自助修复方法。
延迟时间和限制
构建信息中心图表时，请注意以下服务限制和数据保留期限：
- 行数限制：默认情况下，图表查询最多返回 1,000 行。对于自定义信息中心查询，您可以通过向 YARA-L 查询添加
limit部分，将此限制提高到 10,000 行。精选信息中心查询不支持自定义行数上限。 - 查询时间间隔：每个数据源都强制执行最长查询时间间隔：事件为 90 天，所有其他带前缀的数据源（规则除外）为 365 天，规则（按规则创建时间戳
rules.create_time过滤）没有时间限制。数据表没有单独的时间限制；当与其他数据源一起查询时，将应用相应数据源的时间间隔。 - SOAR 历史数据：信息中心支持查询 2025 年 5 月 10 日当天或之后生成的 SOAR 案例数据。
错误修复
请参阅下表，解决查询信息中心数据源时的常见问题：
| 问题 | 说明 | 修复 |
|---|---|---|
| 无法识别的字段或编译错误 | 查询引用了非事件数据源（例如 priority 或 rule_name）中的字段，但缺少所需的前缀。 |
在字段名称前面添加所需的数据源前缀和一个英文句点（例如 case.priority 或 detection.detection.rule_name）。 |
| 有效规则的图表结果为空 | 当时间范围设置为最近的时间段（例如过去 365 天）时，查询 rules 架构的图表不会返回任何结果。 |
由于 rules 架构将图表时间窗口映射到 rules.create_time，因此请将图表时间范围设置为可用的最大限制（例如 10 年以上），以纳入之前创建的有效规则。 |
| 缺少较早日期的 SOAR 案例数据 | 使用 case、case_history 或 playbook 前缀的查询不会返回 2025 年 5 月之前的记录。 |
将信息中心查询的时间范围限制为 2025 年 5 月 10 日或之后的日期。 |
验证和测试
如需验证查询是否使用了正确的前缀并返回了数据，请在保存图表之前打开修改信息中心页面以添加或修改图表，在图表查询编辑器中输入 YARA-L 查询，选择数据源支持的时间范围，然后点击运行搜索。在点击添加到信息中心之前，请确认表格预览中填充了预期的列。