Security Data Lake-д хайлтын шүүлтүүрийг хэрхэн ашиглах вэ?

Security Data Lake-ийн хайлтын шүүлтүүр (search filter) нь тодорхой лог мессеж олоход тусалдаг. Зөв синтакс ашиглан нарийн төвөгтэй асуулга бичиж, бусад шүүлтүүрийн нөхцөлтэй хольж үр дүнгээ нарийсгаж болно.

Хайлтын шүүлтүүрийг snippet болгон хадгалж, бусад шүүлтүүр эсвэл асуулгатай AND операторын тусламжтайгаар хослуулж болно. Шүүлтүүр нь хайлтын үр дүн дээр өөрийн тохируулсан үйлдэл хийх боломжийг өгч хайлтыг илүү сайн удирдах боломж олгоно.

Энэ нийтлэлд хайлтдаа шүүлтүүр нэмэх, шинээр үүсгэх, дараа ашиглахаар хадгалах, бусадтай хуваалцах аргыг үзүүлнэ.

Хайлтын шүүлтүүр нэмэх

Хайлтад шүүлтүүр нэмэх хоёр арга бий. Та:

• Одоо байгаа шүүлтүүрүүдийнхээ цуглуулгаас сонгох
• Шинэ шүүлтүүр үүсгэх

Одоо байгаа шүүлтүүрээс сонгох (“My Filters”)

1. 1Filters (Шүүлтүүр) товчийн хажууд байх хавтасны дүрсийг дарж хадгалсан шүүлтүүрүүдийн жагсаалтыг нээнэ.
2. 2Жагсаалтаас хайлтын шүүлтүүр сонгоно.

- Тодорхой хадгалсан хайлтыг олохдоо хайлтын талбарыг ашиглана.
- Шүүлтүүрийн дэлгэрэнгүйг харахын тулд шүүлтүүр дээрх унах сумыг дарна.
- Хэд хэдэн шүүлтүүр сонгохдоо Shift товчийг дарсан хэвээр сонгоно.

Шүүлтүүрийг сонгосны дараа хайлтын шүүлтүүрийн мөрөнд харагдана.

Шинэ хайлтын шүүлтүүр үүсгэх

1. 1“+” дүрсийг дарж Create Filter (Шүүлтүүр үүсгэх) цонхыг нээнэ.
2. 2Таарах мессежүүдээ тодорхойлохын тулд Query (Асуулга) талбарт хайлтын асуулга бичнэ. Асуулга нь стандарт асуулгын синтаксийг ашиглана.
3. 3(Заавал биш) Хайлтын шүүлтүүрт гарчиг болон тайлбар өгнө. Заавал биш ч хадгалсан шүүлтүүрүүдээ ялгахад хялбар болгоно.

Хайлтын шүүлтүүр үүсгэхдээ “My Filters” цуглуулгад хадгална. Эдгээр шүүлтүүрийг дараагийн хайлтууд ашигладаг тул тэдгээрт хийсэн өөрчлөлт шүүлтүүрийг ашиглаж буй бүх хайлтад нөлөөлнө. Харин inline шүүлтүүр нь зөвхөн одоогийн хайлтад хадгалагдана. Inline шүүлтүүрийг засахад бусад хайлтад нөлөөлөхгүй.

Шүүлтүүртэй хайлтыг хадгалах

Шүүлтүүртэй хайлтаа Save (Хадгалах) товчийг дарж дараа ашиглахаар хадгалж болно. Шүүлтүүртэй хайлтыг хадгалахад шүүлтүүрийн бүх лавлагаа хадгалагдана. Security Data Lake асуулгад аль шүүлтүүр ашигласныг санаж, хайлтыг дахин ачаалахад автоматаар хэрэглэнэ.

Хадгалсан шүүлтүүр нь хааяа гардаг асуудлыг хурдан шалгаж, хамааралгүй бүх мессежийг шүүхэд тустай. Шинэ асуулга үүсгэхийн оронд хадгалсан хайлтын шүүлтүүрийг ашиглан зорилтот үр дүн гаргаж болно.

Шүүлтүүр агуулсан хадгалсан хайлтыг хуваалцвал тэр хадгалсан хайлтад хандах эрхтэй хэрэглэгч бүр лавлагаа хэлбэрээр байгаа ч шүүлтүүртэй ажиллах боломжтой.

Шүүлтүүрийг бусад хэрэглэгчтэй (өөрийн эсвэл удирдагдах эрхтэй) хуваалцвал тэд шүүлтүүрийг шууд засах боломжтой болно.

Хадгалсан шүүлтүүрийг хуваалцах

Хуваалцсан хайлтын шүүлтүүр нь багаар хамтран ажиллах болон байгууллага дотор сайн туршлага хуваалцахад хэрэгтэй. Жишээ нь нэг баг алдаа олж засварлахад ашигладаг шүүлтүүрээ бусад багтай хуваалцаж болно, эсвэл байгууллага чухал лог өгөгдлийг онцолсон шүүлтүүрийг бүх хэрэглэгчдэд харуулж болно.

Хадгалсан хайлтын шүүлтүүрийг хуваалцахдаа:

1. 1Хавтасны дүрсийг дараад хуваалцах хадгалсан шүүлтүүрээ сонгоно.
2. 2Сонгосон хадгалсан шүүлтүүрийн унадаг цэсийг дараад жагсаалтаас Share (Хуваалцах)-ыг сонгоно.
3. 3Гарч ирсэн цонхонд хайлтын шүүлтүүрийг хуваалцах хэрэглэгчээ хайж сонгоод хандах түвшинг нь тохируулна.
4. 4Add Collaborator (Хамтрагч нэмэх) дараад Update sharing (Хуваалцалтыг шинэчлэх) дарна.

Хайлтын шүүлтүүрийг удирдах

Идэвхгүй болгох ба идэвхжүүлэх

Шүүлтүүрийг идэвхгүй болгох эсвэл идэвхжүүлэхийн тулд хайлтын шүүлтүүрийн гарчгийн нүдийг дарна. Дундуур зураастай бол шүүлтүүр идэвхгүй гэсэн үг.

Идэвхгүй шүүлтүүр хадгалсан хайлтад үлдэнэ.

Үр дүнгээс хасах ба оруулах

Сонгосон хайлтын шүүлтүүрийн асуулгыг үр дүнгээс хасахын тулд тухайн шүүлтүүрийг сонгоод, түүнтэй холбоотой унадаг цэсийг дэлгээд Exclude from results (Үр дүнгээс хасах)-ыг дарна.

Энэ сонголт нь шүүлтүүрийн асуулгад NOT операторыг нэмнэ.

Хайлтын шүүлтүүрийг засах

Хайлтын шүүлтүүрийг хэрэглэсний дараа ч засаж болно:

1. 1Шүүлтүүрийн нэрний хажуугийн унадаг цэснээс Edit (Засах) товчийг дарна.

My filters дотор хадгалсан хайлтын шүүлтүүрийг засвал тэр шүүлтүүр ашиглагдаж буй бүх хайлтад нөлөөлнө. Үүнээс сэргийлэхийн тулд Create copy for current search (Одоогийн хайлтад зориулж хуулбар үүсгэх) нүдийг тэмдэглэж inline шүүлтүүр үүсгэнэ.

2. 2Шаардлагатай бол асуулга, гарчиг, тайлбарыг шинэчилнэ.
3. 3My filters доторх шүүлтүүрийг шинэчлэхийн тулд Save дарна.

Үүсгэсэн inline шүүлтүүрийг шүүлтүүрийн унадаг цэснээс Save to "My Filters" сонгож My filters руу хадгалж бас болно.

Энэ цэсний бусад үйлдлүүд:

• Remove (Устгах): Шүүлтүүрийг хайлтаас хасна.
• Copy query to clipboard (Асуулгыг clipboard руу хуулах): Шүүлтүүрийн асуулгыг clipboard руу хуулна.

Хайлтын шүүлтүүр хаана ашиглагдаж байгааг шалгах

Шүүлтүүрүүд хаана ашиглагдаж буйг харах хамгийн сайн арга бол My Filters хуудас руу орох явдал юм. Үүний тулд Enterprise, дараа нь My Search Filters-ийг сонгоно. Энэ хуудас хайлтын шүүлтүүрийг лавласан бүх обьектын (хадгалсан хайлт, dashboard widget, event definition, sigma rule) тойм харуулна. Мөн энэ хуудаснаас хадгалсан хайлтын шүүлтүүрийн дэлгэрэнгүйг харах, хуваалцах, засах, устгах боломжтой.

Хадгалсан хайлтын асуулгыг засах эсвэл устгах гэхэд тухайн асуулга хадгалсан хайлтад лавлагдаж байгаа тул шүүлтүүрт хийсэн өөрчлөлт түүнийг ашигласан хадгалсан хайлтын үр дүнд нөлөөлнө гэсэн мэдэгдэл гарна.