В данной статье мы рассмотрим официальный сайт и основные сведения о платформе Query – federated search решении для специалистов по кибербезопасности. Информация основана на publicly available источниках, включая видеоматериал «Query Overview» от 29 июля 2024 года.

Что такое Query?

Query – это SaaS‑платформа, предоставляющая возможность выполнять federated search по распределённым источникам данных безопасности без необходимости их централизации. Решение позволяет специалистам по обнаружению угроз, реагированию на инциденты и проведению расследований быстро получать доступ к нужной информации, где бы она ни находилась.

Ключевые возможности платформы

• Results View – детальный и сводный вид возвращённых результатов, с возможностью быстрой фильтрации по Summary‑пане.
• Гибкие возможности расследования – поиск можно начинать с широкого диапазона и постепенно сужать его с помощью временных и технологических фильтров.
• Advanced Query Builder – визуальный конструктор запросов, позволяющий выполнять глубокий поиск в данных без необходимости писать код.
• Event‑based searching – узконаправленный поиск по конкретным событиям (например, активность доставки email, уязвимости, инциденты).
• Богатая библиотека интеграций – поддержка статических схем (CrowdStrike, Entra ID, Okta) и динамических схем (AWS Security Lake, Splunk, Snowflake, AWS S3) через wizard‑подобный интерфейс.

Как работает federated search в Query?

Платформа подключается к различным источникам данных через API‑ключи. После подключения пользователь может:

1. Выбрать нужный временной интервал (все данные уже нормализованы к UTC).
2. Определить набор технологий, которые следует включить в поиск.
3. Сформировать запрос с помощью Advanced Query Builder или ввести его вручную.
4. Получить результаты в виде Summary Insights и детального Results View.
5. При необходимости выполнить дополнительную фильтрацию по событиям или атрибутам.

Преимущества для команд безопасности

• Сокращение времени на поиск и корреляцию данных благодаря отсутствию необходимости в централизованном хранилище.
• Снижение сложности инфраструктуры – нет необходимости строить сложные конвейеры ETL.
• Увеличение скорости реагирования на инциденты благодаря мгновенному доступу к актуальным данным.
• Поддержка как новичков, так и опытных аналитиков благодаря интуитивному интерфейсу и мощному конструктору запросов.

Как начать работу с Query?

1. Зарегистрироваться на официальном сайте Query (доступно по адресу, указанному в разделе «Официальный сайт»).
2. Пройти процесс onboarding: добавить API‑ключи от используемых систем безопасности.
3. Использовать мастер интеграции для подключения динамических источников (AWS, Splunk и др.).
4. Настроить первые дашборды Summary Insights и выполнить тестовый запрос через Advanced Query Builder.
5. Включить оповещения и автоматические отчёты для постоянного мониторинга угроз.

Официальный сайт Query представляет собой надёжный источник информации о платформе federated search, которая помогает специалистам по кибербезопасности работать с распределёнными данными эффективно и без лишних сложностей. Используя возможности Summary Insights, Advanced Query Builder и широкий спектр интеграций, команды могут значительно ускорить процессы обнаружения угроз, реагирования на инциденты и проведения расследований.

Для получения более детальной информации рекомендуется посетить официальный сайт Query и ознакомиться с видеоматериалом «Query Overview», опубликованным 29 июля 2024 года.