SIEM 目录

点击每个 SIEM 文档顶部的 即可返回此目录。

开始使用

SIEM 平台概览

登录 Google SecOps

配置用户偏好设置

Google SecOps 中的 Gemini 概览

管理

设置实例

了解您的结算信息

配置 Google Cloud 项目

将实例关联到 Google Cloud

配置功能访问权限

Chronicle API 的权限

取消预配实例

配置身份验证

配置 Google Cloud 身份

配置第三方身份

更改身份验证

配置数据访问权限

数据 RBAC 概览

配置数据 RBAC

配置旧版 RBAC

管理 RBAC 影响

概览

控制对信息中心的访问权限

控制对数据表的访问权限

控制对参考列表的访问权限

配置实例设置

配置 SIEM 数据保留

管理审核日志

Google SecOps 中的 Google Analytics

API 和库概览

CLI 用户指南

服务限制

升级和迁移

SIEM 迁移概览

迁移到 Google Cloud 项目

迁移到 Google Cloud 身份验证

从旧版 RBAC 迁移到功能 RBAC

将实例迁移到 BYOP 项目

将 Cloud Storage 数据 Feed 升级到 v2

从旧版 SIEM API 迁移到 Chronicle API

从旧版 SIEM API 迁移到 Chronicle API

SIEM API 端点映射

迁移 Chronicle API 版本

使用列表操作

注入

准备数据注入

数据注入概览

注入方法和数据类型

注入和解析日志数据

解析器概览

数据 Feed 概览

数据丰富化和别名化概览

收集数据

使用 Feed 界面

创建 Azure 事件中心 Feed

通过 API 连接器注入数据

Chronicle API 注入方法

使用 Ingestion API 注入数据

提取 Google Cloud 日志

设置 SIEM Webhook

部署 Bindplane 代理以进行收集

使用 Cloud Run functions 注入日志

缓冲和重试配置

使用旧版转发器收集数据

安装和配置转发器

在平台中配置转发器

手动管理转发器配置

安装 Windows 转发器可执行文件

安装 Carbon Black Event Forwarder

配置日志类型和解析器

默认解析器和日志类型概览

默认解析器配置指南列表

请求预构建的日志类型并创建自定义日志类型

标准解析器的支持政策

处理和标准化数据

管理数据处理流水线

优化注入量

管理预构建的解析器

重新解析历史数据（日志重放）

开发解析器扩展程序

解析器扩展程序示例

配置自定义解析器

排查解析器代码问题

管理自助式解析器选项

将解析器数据映射到关键 UDM 字段

自动提取概览

在 GitHub 中实现社区解析器

绕过解析器扩展程序和自定义解析器的日志验证

丰富数据和为数据添加别名

配置别名

配置丰富功能

管理丰富功能块

实体情境图概览

监控提取并排查相关问题

检查数据注入健康状况

注入指标概览

使用 Cloud Monitoring 分析注入

配置静默主机监控

排查常见的 Linux 转发器问题

查看计费提取量

使用 Cloud Logging 分析 Feed 活动

排查提取问题

检测

为威胁检测做好准备

检测规则概览

YARA-L 使用入门

从 SPL 过渡到 YARA-L 2.0

复合检测概览

规则中包含情境丰富的数据

应用 YARA-L 规则最佳实践

查看潜在安全问题

YARA-L 中的单事件规则和多事件规则

检测事件采样

作者规则

使用 Gemini 生成规则

构建复合检测规则

创建情境感知分析

整合 Sensitive Data Protection 数据

集成 BYOL 威胁情报

Applied Threat Intelligence 融合 Feed

定义 YARA-L 规则结构和语法

Meta 部分

“事件”部分

“匹配”部分

Outcome 部分

“Conditions”（条件）部分

“选项”部分

表达式、运算符和其他构造

函数

在条件部分使用 OR 语法

将 N OF 语法与事件变量搭配使用

使用嵌套 if 语句

使用重复字段

在 YARA-L 2.0 中使用参考列表和数据表

应用 YARA-L 2.0 窗口逻辑

使用 UEBA 分析风险

识别异常行为和实体风险

管理实体监控列表

风险分析概览

使用信息中心分析风险

在规则中指定实体风险评分

将指标函数用于风险分析规则

观看列表常见问题解答

风险分析常见问题解答

部署精选检测

应用精选检测

管理精选检测

管理第三方供应商提醒

使用测试规则验证数据注入

查看精选检测类别

实用威胁情报精选检测

Chrome 企业版威胁

云威胁

复合规则

Linux 威胁

macOS 威胁

非优先 IoC 匹配威胁

UEBA 风险分析

Windows 威胁

管理和监控规则

了解规则信息中心

使用统一规则检测威胁

管理统一规则

搜索规则列表

使用 Rules API 管理统一规则

在规则编辑器中修改规则

监控规则效果

查看规则版本

归档规则

下载事件

了解规则配额

检测限制

监控威胁覆盖范围 (MITRE)

运行和优化规则

将规则应用于实时数据

针对历史数据运行规则

优化规则性能

管理规则调度

了解规则运行时间安排

为规则配置自定义时间表

了解规则重放和 MTTD

了解规则检测延迟

控制嘈杂的提醒

启用基于风险的提醒

配置提醒抑制

批量关闭提醒

管理规则排除项

分析和响应

准备调查

了解搜索

了解搜索语法

UDM 概览

时间戳定义

搜索广告系列最佳实践

管理搜索详情

过程过滤概览

调查提醒

调查提醒和实体上下文

调查提醒

管理提醒和 IoC 匹配项

调查 GCTI 提醒

查看提醒

按数据源搜索

搜索遥测数据和原始日志

在搜索中使用上下文丰富的数据

搜索原始日志

在原始日志搜索中过滤数据

利用搜索功能，调查检测结果

搜索数据表

参考列表

搜索实体和上下文

执行实体上下文搜索

调查资产

调查相关用户

调查网域

调查 IP 地址

调查文件

使用 UDM 搜索调查实体

查看 VirusTotal 信息

管理资产命名空间

在调查视图中过滤数据

调查视图概览

在“用户”视图中过滤数据

在“资产”视图中过滤数据

在“网域”视图中过滤数据

在“IP 地址”视图中过滤数据

在“哈希”视图中过滤数据

分析和优化结果

在搜索和信息中心内使用条件

对搜索结果进行去重

使用统计信息分析搜索数据

在 YARA-L 2.0 查询中使用聚合

在搜索中使用指标

使用选择和取消选择关键字控制列

UDM 搜索与规则结果对比

在搜索和信息中心内应用联接

实现不含匹配部分的联接

使用外联接关联数据

创建多阶段查询

异步搜索 API

搜索结果中的可视化图表

使用 GoogleSQL 进行搜索

GoogleSQL 使用入门

将 YARA-L 2.0 搜索查询转换为 GoogleSQL

GoogleSQL 查询性能最佳实践

使用 AI 分析威胁

使用 Gemini 回答威胁情报问题

使用 Gemini 生成搜索查询

了解威胁情报

威胁情报概览

实用威胁情报概览

实用威胁情报优先级排序概览

整合您专属的威胁情报 Feed

查看 IoC

GTI 评分概览

监控和问题排查

监控平台运行状况

监控数据源的运行状况

监控提取运行状况

排查系统问题

排查提取问题

排查检测规则问题

查看和排查规则错误

YARA-L 2.0 已知问题

管理信息中心和报告

信息中心概览

管理和配置信息中心

管理信息中心内的图表

使用桑基图直观呈现数据流

配置信息中心过滤条件

按数据源精选的信息中心查询

精选查询概览

常见精选信息中心

YARA-L 2.0 信息中心查询库

查询实体

查询注入指标

查看 IOC 匹配项

查询规则和检测

运行 UDM 查询

查看 UDM 和数据表查询

PCI 精选信息中心概览

旧版 SIEM 信息中心

旧版 SIEM 信息中心概览

创建自定义信息中心

创建可视化图表

共享个人信息中心

安排定期生成信息中心报告

使用富含上下文的数据分析报告

导入和导出信息中心

管理数据导出

BigQuery 数据架构概览

导出到 Google 管理的 BigQuery 项目

将原始日志导出到自行管理的 Cloud Storage 存储桶

Data Export API（增强型）

Data Export API（旧版）