Méthodes d'ingestion et types de données

Compatible avec :

Pour surveiller efficacement votre environnement et examiner les incidents, Google Security Operations vous permet d'ingérer une grande variété de données de sécurité. La première étape pour renforcer votre stratégie de sécurité consiste à comprendre les types de données que vous pouvez importer dans la plate-forme et les méthodes utilisées pour les ingérer.

Types de données d'ingestion

Google SecOps classe les données entrantes en quatre types principaux, chacun ayant un objectif distinct dans le cycle de vie de la détection et de l'investigation :

  • Journaux bruts : il s'agit des flux de données d'origine, non modifiés, provenant de vos sources de sécurité (pare-feu, outils EDR et plates-formes cloud, par exemple). Les journaux, qui arrivent dans des formats tels que JSON, Syslog, CSV ou texte non structuré, servent de "source de vérité" pour les analyses forensiques approfondies et la conformité. Comme les noms de champs varient selon le fournisseur, les journaux bruts servent d'entrée initiale avant que la plate-forme n'analyse et ne normalise les noms de champs.
  • Événements UDM : les événements UDM (Unified Data Model) sont créés lorsque les analyseurs convertissent vos journaux bruts dans un format cohérent et indépendant du fournisseur. Par exemple, des termes disparates tels que src_ip et client-ip sont normalisés en un seul champ principal.ip. Les systèmes en aval utilisent UDM pour fournir des fonctionnalités telles que la recherche unifiée et les règles de détection.
  • Données contextuelles d'entité : ces données fournissent les informations "qui, quoi et où" pour transformer des événements génériques en pistes significatives. Les données contextuelles vous indiquent si une adresse IP appartient à un cadre dirigeant ou à un serveur de production critique. En enrichissant les événements avec des métadonnées provenant de sources telles qu'Active Directory ou des CMDB, les analystes peuvent hiérarchiser les menaces en fonction du risque organisationnel réel.
  • Alertes : il s'agit de signaux de haute fidélité qui indiquent une activité nécessitant une attention immédiate. Les alertes peuvent être ingérées directement à partir de produits de sécurité externes (comme CrowdStrike) ou générées en interne par le moteur de détection YARA-L de Google SecOps lorsque des événements ou des entités UDM déclenchent une règle. Les alertes constituent les principaux éléments constitutifs des cas d'incident.

Comprendre les entités d'ingestion

Les entités fournissent un contexte essentiel aux événements réseau. Un événement réseau standard peut indiquer que l'utilisateur abc@foo.corp a lancé shady.exe, mais il n'indique pas si cet utilisateur est un employé récemment licencié.

Le modèle de données d'entité vous permet d'ingérer ces relations, en capturant un nouveau contexte à partir des systèmes IAM, de gestion des failles et de protection des données pour fournir du renseignement sur les menaces enrichi.

Analyseurs de contexte d'entité prêts à l'emploi

Pour faciliter au maximum l'ingestion de données, Google SecOps inclut des connecteurs d'API et des analyseurs par défaut pour de nombreuses sources faisant autorité courantes. Vous pouvez ingérer des données contextuelles d'actif ou d'utilisateur à partir des sources compatibles suivantes :

  • Gestion des identités, des ressources humaines et des accès : contexte organisationnel Azure AD, contexte utilisateur Duo, Google Cloud analyse IAM, Google Cloud contexte IAM, Google Cloud contexte d'identité, Microsoft AD, contexte utilisateur Okta, SailPoint IAM, Workday, privilèges Workspace et utilisateurs Workspace.
  • Gestion des actifs et des appareils : JAMF, ServiceNow CMDB, actif Tanium, appareils ChromeOS Workspace et appareils mobiles Workspace.
  • Gestion de la sécurité et des failles : Microsoft Defender for Endpoint, Nucleus Unified Vulnerability Management, métadonnées d'actif Nucleus et Rapid7 Insight.

Présentation des méthodes d'ingestion de données

Le service d'ingestion Google SecOps sert de passerelle pour toutes vos données entrantes. Selon l'emplacement et le format de vos données, Google SecOps utilise les principaux systèmes suivants pour les récupérer :

  • Google Cloud (Intégration directe) : il s'agit de la méthode principale, la plus rentable et la plus performante pour tous lesjournaux standards (journaux d'audit, de flux VPC, DNS et de pare-feu, par exemple). Google Cloud Google SecOps récupère ces données directement auprès de votre Google Cloud organisation.
  • Agent Bindplane : pipeline de télémétrie et agent gérés utilisés pour collecter les journaux des environnements et serveurs sur site (Windows ou Linux). Il offre une flexibilité maximale pour les journaux qui ne correspondent pas facilement à d'autres méthodes (pare-feu sur site, par exemple) et vous permet de prétraiter, de filtrer ou d'affiner les données cloud avant qu'elles n'atteignent Google SecOps. L'agent Bindplane est géré à l'aide de la console de gestion Bindplane OP.
  • Flux de données : ils sont plus adaptés aux journaux basés sur le cloud (EDR ou applications SaaS, par exemple) qui sont déjà agrégés dans des magasins d'objets (Cloud Storage ou Amazon S3, par exemple) ou aux tiers qui acceptent les webhooks basés sur l'envoi. Les flux de données envoient les journaux directement au service d'ingestion et offrent une compatibilité prête à l'emploi pour les intégrations d'API prédéfinies (compatibles avec les lignes de journal d'une taille maximale de 4 Mo).
  • Méthodes d'ingestion de l'API Chronicle : conçues pour les applications personnalisées, à volume élevé ou développées en interne qui ne correspondent pas à d'autres méthodes. Cette méthode nécessite de configurer l' Google Cloud authentification (comptes de service ou fédération d'identité de charge de travail), de configurer les autorisations IAM et de développer des intégrations personnalisées pour envoyer des charges utiles JSON aux points de terminaison de l'API.

Vous avez encore besoin d'aide ? Obtenez des réponses auprès des membres de la communauté et des professionnels Google SecOps.