Security Data Lake-ийн хайлтын тохиргоог хэрхэн өөрчлөх вэ?

Security Data Lake-д хайлтын асуулгын тохиргоог өөрчилж болно. Жишээ нь сонгох боломжтой хугацааны завсарт хязгаар тавих, харуулах харьцангуй хугацааны жагсаалтыг тохируулах зэрэг.

Хайлтын бүх тохиргоог вэб интерфэйсийн System > Configurations хуудасны Search хэсгээс өөрчилнө.

Асуулгын хугацааны завсрын хязгаар

Заримдаа Security Data Lake-д хадгалагдсан өгөгдөл маш их бөгөөд олон жилийн хугацааг хамарсан байдаг. Хэт их нөөц ашиглах хайлтыг санамсаргүй ажиллуулахаас сэргийлэхийн тулд хайлт ажиллах хугацааны завсарт хязгаар тавьж болно.

Энэ боломжийг ашиглавал тохируулсан хязгаараас хэтэрсэн хайлтын хугацааны завсар автоматаар тухайн хязгаарт тохируулагдана.

Асуулгын хугацааны завсрын хязгаар нь ISO 8601 стандартын дагуу P<date>T<time> үндсэн форматтай duration (үргэлжлэх хугацаа) байна. Дүрэм:

• P — Duration designator (period): хугацааны төлөөлөлийн эхэнд тавигдана
• Y — Жилийн тэмдэг: жилийн тооны ард бичигдэнэ
• M — Сарын тэмдэг: сарын тооны ард бичигдэнэ
• W — Долоо хоногийн тэмдэг: долоо хоногийн тооны ард бичигдэнэ
• D — Өдрийн тэмдэг: өдрийн тооны ард бичигдэнэ
• T — Цагийн тэмдэг: хугацааны цаг, минут, секундийн хэсгийн өмнө бичигдэнэ
• H — Цагийн тэмдэг: цагийн тооны ард бичигдэнэ
• M — Минутын тэмдэг: минутын тооны ард бичигдэнэ
• S — Секундийн тэмдэг: секундийн тооны ард бичигдэнэ

Жишээ:

• P30D — 30 өдөр
• PT1H — 1 цаг
• P1DT12H — 1 өдөр 12 цаг

ISO 8601 duration-ийн форматын дэлгэрэнгүйг эндээс үзнэ үү.

Хугацааны завсрын урьдчилсан сонголтууд

Relative Time Frame Selector-т харагдах хугацааны завсруудын жагсаалтыг бас тохируулж болно. Энэ нь хайлтын хуудаснаас сонгох боломжтой ISO 8601 duration-уудын жагсаалт юм.

Хайлтын үр дүнг тодруулах (Highlighting)

Security Data Lake нь хайлтын үр дүнг тодруулах боломжийг дэмждэг.

Хайлтын үр дүнг тодруулахыг идэвхжүүлэх/идэвхгүй болгох

Хайлтын үр дүнг тодруулах нь хайлтад арай их нөөц ашиглуулдаг. Үүнийг Security Data Lake-ийн node-уудын graylog.conf файлд тохиргооны параметрээр идэвхжүүлж, идэвхгүй болгоно:

allow_highlighting = true

Хайлтын асуулгын түүхийг харах

Security Data Lake-д саяхны хайлтын асуулгын түүхээс хайх боломжтой тул бусад event replay, dashboard дээр ашигласан асуулгаа дахин ашиглаж болно. Хайлтын мөр автоматаар нөхөх боломжтой бөгөөд өмнө оруулсан холбогдох асуулгуудыг харуулна. Дарахад эдгээр асуулга одоогийн асуулгыг орлоно.

Хайлтын түүхийн товч нь хайлтын мөрийн төгсгөлд, гэрлийн булны дүрсийн баруун талд байна. Бүх асуулга мэдээллийн санд хадгалагддаг тул Search History (Хайлтын түүх) товчийг дарахад гарах цэсээр өмнөх асуулгуудаас хайх боломжтой. Өмнөх хайлтууд хамгийн сүүлийнхээс хамгийн хуучин руу эрэмбэлэгдэж харагдана.

Хайлтын асуулгын түүх нь өмнөх хайлтуудыг шүүж нэгийг нь дахин ашиглах боломжийг олгоно. Энэ боломж dashboard болон widget дээр бас байдаг. Асуулгууд хэрэглэгч тус бүрд хамаарах тул өөр хэн ч таны асуулгыг харахгүй, харин dashboard-ууд хооронд хуваалцагдана. Дэлгэрэнгүйг [Saved Searches](/business/support/gz-1424269-saved-searches)-аас үзнэ үү.

Time Frame Selector (Хугацааны завсар сонгогч)

Time frame selector нь Security Data Lake-ийн өгөгдлөөс тодорхой хугацааны завсрыг татаж, таны орчинд нөлөөлж буй асуудлыг шинжлэх боломж олгоно. Хамгийн чухал нь хугацааны завсрыг шүүх олон арга санал болгодог. Үүнийг Search хуудасны зүүн дээд буланд байрлуулсан.

Энэ хэрэгсэл нь дараах үйлдлийг хийдэг асуулга бүтээхэд тусална:

• Өгөгдлийн алдагдал, эвдэрсэн процесс болон бусад аюулгүй байдлын осолд хариу өгч, учрыг ойлгох
• Систем болон сүлжээний асуудлыг оношлох
• Хэрэглэгчдийнхээ үйлдлийг ойлгох
• Мөрдөн шалгах (forensics) ажил хийх

Хугацааны завсрын сонголтууд

Цонхыг нээхийн тулд цагийн дүрсийг дарна. Гарч ирэх цонхонд дараах завсрууд байна:

• Relative
• Absolute
• Keyword

Relative Time Frame Selector

Relative time frame selector нь Now (Одоо) эсвэл таны сонгосон өөр огноотой харьцуулсан хугацааны завсарт мессеж хайх боломж олгоно. Энэ сонгогч нь таны ихэнх хайлтад тохирох өргөн хүрээний харьцангуй хугацааны завсрыг санал болгох бөгөөд All Time сонголт ч багтана.

Энэ шүүлтүүр хэрхэн ажилладгийг анхаарна уу:

• From талбарт утга бичиж, унадаг цэснээс хугацааны нэгжийг сонгоно. Секунд, минут, цаг, өдрөөс сонгож болно. Хялбар болгохын тулд Preset Times товчийг дарж минут, цаг, өдрөөр тодорхойлсон бэлэн хугацаануудыг сонгож болно. Харин all messages-ийг сонговол dashboard нь анх өгөгдөл орж ирсэн өдрөөс эхлэн өгөгдлийг харуулна.
• Until огноо нь харьцангуй хугацааны завсрыг одоогийн цаг/огноо биш, өөрийн заасан тодорхой цагт дуусгах боломж олгоно.

Absolute Time Frame Selector

Хайлтынхаа хил хязгаарыг нарийн мэдэж байвал absolute time frame selector-ийг ашиглана. Энэ сонголт нь хоёр хэсэгтэй accordion харуулна:

• Calendar
• Timestamp

Calendar сонголтод элсэн цагийн дүрсийг ашиглан өдрийн эхлэл (00:00:00.000)-ээс өдрийн төгсгөл (23:59:59.99) хүртэл шилжинэ.

Calendar-ыг илүү сайн ойлгохын тулд Until ба From-ийн үүргийг авч үзье:

• Until нь анхдагчаар сонгосон From огнооноос өмнөх бүх огноог идэвхгүй болгоно.
• From огноо нь (System > Configurations хуудсанд) Query Time Range Limit тохируулсан бол өмнөх бүх огноог идэвхгүй болгоно.

Calendar болон Timestamp хоёуланд шидэт (magic wand) савааны дүрсийг ашиглаж болно.

• Calendar дээр энэ дүрс нь Time-ыг одоогийн цагаар шинэчилдэг боловч календарь дахь огноог өөрчлөхгүй.
• Timestamp дээр энэ дүрс нь Timestamp-ыг бүхэлд нь одоогийн огноо, цагаар шинэчилнэ.

Keyword Time Frame Selector

Security Data Lake нь keyword time frame selector санал болгодог. Үүгээр хайлтын хугацааны завсрыг last hour, last 90 days зэрэг энгийн хэлээр зааж болно. Вэб интерфэйс хайлтад хэрэглэгдэх бодит хоёр timestamp-ыг урьдчилан харуулна.

Боломжит утгын зарим жишээ:

• "last month" — өнгөрсөн сарын 1-нээс энэ сарын сүүлчийн өдөр хүртэл хайна
• “4 hours ago” — дөрвөн цагийн өмнөөс одоо хүртэл хайна
• “1st of April to 2 days ago” — 4 дүгээр сарын 1-нээс 2 өдрийн өмнө хүртэл хайна
• “yesterday midnight +0200 to today midnight +0200” — өчигдрийн шөнө дундаас өнөөдрийн шөнө дунд хүртэл +0200 цагийн бүсээр хайна, UTC-ээр 22:00 болно

Хугацааны завсрыг natty natural language parser-ээр задлан шинжилдэг. Дэлгэрэнгүйг тэдний баримтаас үзнэ үү.

Өөрчилсөн хугацааны завсрын бэлэн сонголт нэмэх

Keyword хугацааны завсруудыг өөрчилж, одоо байгаа сонголтуудад нэмж болно. Үүнийг хоёр аргаар хийнэ.

Time Range Selector цэснээс

1. 1Time Range Selector цэснээс бэлэн сонголтынхоо төрлөөр Relative, Absolute эсвэл Keyword-ийг сонгоно.
2. 2Хүссэн тохиргоогоо оруулаад Update time range дарна.

Тохиргооны цэснээс

1. 1Тохиргооны интерфэйсд Time Range Selector унадаг цэсийн доод талд байх Configure Presets-ийг дарна. Эсвэл System> Configurations руу орж Edit configuration-ийг сонгож болно.
2. 2Search Time Range Presets жагсаалтын доод талд байх Add option-ийг дарна. Тайлбар оруулаад Update Configuration дарна.
3. 3Өөр хугацааны завсар нэмэхийн тулд Add option дарж шинэ хугацааны завсрыг засна. Дараа нь Update configuration дарна.

Өөрчилсөн хугацааны завсрын бэлэн сонголтыг удирдах

Жагсаалтын оруулгуудыг тэргүүлэх дарааллаар нь өөрчилж болно. Мөрийн эхэнд байх цэгүүдийг сонгоод дээш, доош чирнэ.

Өөрчилсөн хугацааны завсрын бэлэн сонголтоо Time Range Selector унадаг цэснээс бас олж болно. Тэнд өөрчлөлт хийхдээ оруулсан тайлбар чинь харагдана.

Байнга ашигладаг хугацааны завсруудаа хадгалж Search Time Range Presets жагсаалтад нэмж болно. Үүний тулд цэсийн баруун дээд буланд байх Save as Preset товчийг дарна. Тайлбар оруулаад Save preset дарна. Өмнө нь байгаа хугацааны завсар оруулбал мэдэгдэл гарна. Time Range Selector дээр Load Preset дарж хадгалсан бэлэн сонголтуудаа сэргээнэ.