Configurare l'aliasing

Supportato in:

L'aliasing consente l'arricchimento. Ad esempio, l'aliasing ti consente di trovare indirizzi IP e MAC per un nome host o qualifiche e stato di occupazione per un ID utente.

Come altre funzionalità di Google Security Operations, l'aliasing richiede l'acquisizione e l'indicizzazione dei dati. Include le seguenti categorie:

  • Dati specifici del cliente: dati univoci per un cliente. Ad esempio, solo Cymbal può fornire dati per tim.smith@cymbal.com. I tipi di aliasing specifici del cliente includono asset, utenti e processi.
  • Dati globali: dati che si applicano a tutti i clienti. Google acquisisce e indicizza questi dati per tuo conto. Ad esempio, puoi utilizzare i dati di Google Threat Intelligence su un file dannoso per verificarne la presenza nella tua azienda utilizzando un valore hash del file corrispondente. Per ulteriori informazioni, vedi Arricchire gli eventi con i metadati dei file di VirusTotal. Google SecOps fornisce anche dati GeoIP per mappare gli indirizzi IP trovati nei dati specifici del cliente alle località geografiche. Per ulteriori informazioni, vedi Arricchimento della geolocalizzazione IP.

Aliasing degli asset

L'aliasing degli asset collega nomi host, indirizzi IP, indirizzi MAC, ID asset e altri metadati. Comporta i seguenti passaggi:

  • Aliasing DHCP: utilizza gli eventi DHCP per collegare nomi host, indirizzi MAC e indirizzi IP.
  • Aliasing EDR: mappa gli ID prodotto (ID asset) ai nomi host. I campi di mappatura EDR derivano esclusivamente dal tipo di log CS_EDR.
  • Aliasing del contesto degli asset: associa un indicatore di asset ai dati dell'entità, come nome host, indirizzo IP, indirizzo MAC, versione software e stato di deployment.

Campi indicizzati DHCP

Google SecOps indicizza i record DHCP per generare alias che collegano nomi host, indirizzi IP e indirizzi MAC.

La tabella seguente elenca i campi UDM e i relativi tipi di indicatori utilizzati per l'aliasing degli asset:

Campo UDM Tipo di indicatore
principal.ip e principal.asset.ip ASSET_IP_ADDRESS
principal.mac e principal.asset.mac MAC
principal.hostname e principal.asset.hostname HOSTNAME
principal.asset_id e principal.asset.asset_id PRODUCT_SPECIFIC_ID
network.dhcp.yiaddr su ACK, OFFER, WIN_DELETED e WIN_EXPIRED ASSET_IP_ADDRESS
network.dhcp.ciaddr su INFORM, RELEASE e REQUEST ASSET_IP_ADDRESS
network.dhcp.requested_address su DECLINE ASSET_IP_ADDRESS
network.dhcp.chaddr MAC
network.dhcp.client_hostname HOSTNAME

Campi indicizzati di mappatura EDR

Google SecOps indicizza i campi di mappatura EDR per generare alias che collegano nomi host e ID specifici del prodotto.

La tabella seguente elenca i campi UDM e i relativi tipi di indicatori:

Campo UDM Tipo di indicatore
principal.hostname e principal.asset.hostname HOSTNAME
principal.asset_id e principal.asset.asset_id PRODUCT_SPECIFIC_ID

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.