Schema degli eventi di Google SecOps

In BigQuery, la tabella denominata events archivia i record degli eventi UDM.

Il campo hour_time_bucket identifica la partizione come l'ora del giorno nel campo UDM metadata.event_timestamp. I valori nel campo hour_time_bucket sono timestamp orari nel formato: <YYYY-MM-DD HH:MM:SS UTC>. Ecco alcuni esempi:

• 2022-05-20 00:00:00 UTC
• 2022-05-20 01:00:00 UTC
• 2022-05-20 02:00:00 UTC
• 2022-05-20 03:00:00 UTC

Ad esempio, il valore 2022-05-20 00:00:00 UTC etichetta i dati con un event_timestamp compreso tra 2022-05-20 00:00:00 UTC e 2022-05-20 00:59:59 UTC. Per saperne di più, consulta Esegui query su tabelle partizionate.

Il tempo necessario per la visualizzazione dei dati nella tabella events dipende dalla differenza tra il momento in cui il dispositivo registra l'evento, metadata.event_timestamp, e il momento in cui l'evento viene importato nel Google Security Operations SIEM, metadata.ingested_timestamp.

Di seguito è riportato un riepilogo del tempo necessario per la visualizzazione dei dati nella tabella events dopo la ricezione da parte di Google Security Operations:

• Se la differenza è inferiore a due ore, i dati vengono visualizzati circa 2 ore dopo l'importazione.
• Se la differenza è compresa tra 2 e 24 ore, potrebbero essere necessarie fino a 4 ore prima che i dati vengano visualizzati dopo l'importazione.

• Se la differenza è superiore a 24 ore, potrebbero essere necessari fino a 5 giorni prima che i dati vengano visualizzati dopo l'importazione.

  Nota: un evento è considerato un "evento futuro" se il relativo metadata.event_timestamp mostra un'ora successiva rispetto al relativo metadata.ingested_timestamp. Questi eventi non vengono elaborati dalla pipeline in tempo reale e dovrebbero essere visualizzati nella tabella events entro circa 3-4 giorni.

Lo schema della tabella events cambia regolarmente. Per visualizzare le informazioni sulla tabella, incluso lo schema corrente, consulta le istruzioni di BigQuery per ottenere informazioni sulla tabella.

Per accedere allo schema events:

1. Apri la console Google Cloud e seleziona l'ID progetto Google SecOps che il tuo rappresentante Google SecOps ha condiviso con te.

2. Seleziona BigQuery > BigQuery Studio > datalake > events.

   

   Figura: tabella events in BigQuery

Modello dei dati Events per le dashboard

Nelle dashboard incorporate di Google SecOps, noterai la struttura dei dati denominata Eventi UDM. Questo è un modello dei dati di Looker creato per la tabella events in BigQuery.

La tabella include i campi UDM di uso comune. Non include tutti i campi UDM. Se mancano campi UDM che devi incorporare in una dashboard personalizzata, contatta il tuo rappresentante Google SecOps.

Per visualizzare i campi in questa esplorazione, segui questi passaggi:

1. Nella barra di navigazione, fai clic su Dashboard.
2. Crea una nuova dashboard (fai clic su Aggiungi > Crea nuova) o modificane una esistente.
3. Aggiungi un riquadro.
4. Se richiesto, seleziona Visualizzazione come tipo.
5. Nell'elenco delle tabelle, seleziona Eventi UDM.

6. Sfoglia l'elenco dei campi.

   

   Figura: elenco dei campi nel modello di dati degli eventi di Google SecOps

Passaggi successivi

• Visualizza una descrizione di ogni campo UDM nell'elenco dei campi Unified Data Model.
• Per informazioni sull'accesso e sull'esecuzione di query in BigQuery, consulta Esegui job di query interattive e batch.
• Per informazioni su come eseguire query su tabelle partizionate, consulta Esegui query su tabelle partizionate.
• Per informazioni su come connettere Looker a BigQuery, consulta la documentazione di Looker sulla connessione a BigQuery.
• Informazioni su come eseguire query su tabelle partizionate.