Métodos de ingestão e tipos de dados

Compatível com:

Para monitorar seu ambiente e investigar incidentes de maneira eficaz, o Google Security Operations permite ingerir uma grande variedade de dados de segurança. Entender os tipos de dados que podem ser inseridos na plataforma e os métodos usados para ingerir esses dados é a primeira etapa para criar uma postura de segurança robusta.

Tipos de dados de ingestão

O Google SecOps categoriza os dados recebidos em quatro tipos principais, cada um com uma finalidade distinta no ciclo de vida de detecção e investigação:

  • Registros brutos:são os fluxos de dados originais e intactos das suas fontes de segurança, como firewalls, ferramentas de EDR e plataformas de nuvem. Chegando em formatos como JSON, Syslog, CSV ou texto não estruturado, os registros servem como a "fonte da verdade" para análise forense e compliance detalhados. Como os nomes de campos variam de acordo com o fornecedor, os registros brutos atuam como a entrada inicial antes que a plataforma analise e normalize os nomes de campos.
  • Eventos do UDM:os eventos do modelo de dados unificado (UDM) são criados quando os analisadores convertem seus registros brutos em um formato consistente e independente de fornecedor. Por exemplo, termos diferentes como src_ip e client-ip são padronizados em um único campo principal.ip. Os sistemas downstream usam a UDM para oferecer recursos como pesquisa unificada e regras de detecção.
  • Dados de contexto da entidade:fornecem o "quem, o quê e onde" para transformar eventos genéricos em leads significativos. Os dados de contexto informam se um endereço IP pertence a um executivo de alto escalão ou a um servidor de produção crítico. Ao enriquecer eventos com metadados de fontes como o Active Directory ou CMDBs, os analistas podem priorizar ameaças com base no risco organizacional real.
  • Alertas:são sinais de alta fidelidade que indicam uma atividade que exige atenção imediata. Os alertas podem ser ingeridos diretamente de produtos de segurança externos (como o CrowdStrike) ou gerados internamente pelo mecanismo de detecção YARA-L do Google SecOps quando eventos ou entidades da UDM acionam uma regra. Os alertas servem como os principais elementos de casos de incidentes.

Entender as entidades de ingestão

As entidades fornecem um contexto crucial para eventos de rede. Um evento de rede padrão pode mostrar que o usuário abc@foo.corp iniciou shady.exe, mas não indica se ele é um funcionário demitido recentemente.

O modelo de dados de entidade permite ingerir essas relações, capturando novos contextos dos sistemas de IAM, gestão de vulnerabilidades e proteção de dados para fornecer inteligência contra ameaças detalhada.

Analisadores de contexto de entidade prontos para uso

Para facilitar ao máximo a ingestão de dados, o Google SecOps inclui conectores de API e analisadores padrão para muitas fontes confiáveis comuns. É possível ingerir dados de contexto de recursos ou usuários dos seguintes tipos de registros de contexto de entidade compatíveis:

  • ANOMALI_IOC
  • ARMIS_DEVICES
  • AWS_EC2_HOSTS
  • AWS_EC2_INSTANCES
  • AWS_EC2_VPCS
  • AWS_IAM
  • AZURE_AD_CONTEXT
  • CLOUD_IDENTITY_CONTEXT
  • CROWDSTRIKE_IOC
  • CSV_CUSTOM_IOC
  • CTIX
  • CT_GAUS_SEGUROS
  • CYJAX_THREAT_INTELLIGENCE
  • DHS_IOC
  • DIGITAL_SHADOWS_IOC
  • DUO_CONTEXT
  • DUO_USER_CONTEXT
  • ESET_IOC
  • ET_PRO_IOC
  • GCP_BIGQUERY_CONTEXT
  • GCP_CLOUDIDENTITY_DEVICES
  • GCP_CLOUDIDENTITY_DEVICEUSERS
  • GCP_CLOUD_FUNCTIONS_CONTEXT
  • GCP_COMPUTE_CONTEXT
  • GCP_DLP_CONTEXT
  • GCP_IAM_ANALYSIS
  • GCP_IAM_CONTEXT
  • GCP_KUBERNETES_CONTEXT
  • GCP_NETWORK_CONNECTIVITY_CONTEXT
  • GCP_RESOURCE_MANAGER_CONTEXT
  • GCP_STORAGE_CONTEXT
  • GCP_SQL_CONTEXT
  • GCP_THREATINTEL
  • GREYNOISE
  • GTI_IOC
  • HCL_BIGFIX
  • IBM_MAAS360
  • IONIX
  • JAMF
  • JAMF_PRO_CONTEXT
  • MANDIANT_ACTIVE_BREACH_IOC
  • MANDIANT_CUSTOM_IOC
  • MANDIANT_IOC
  • MICROSOFT_DEFENDER_ENDPOINT
  • MISP_IOC
  • NUCLEUS_ASSET
  • NUCLEUS_VULNERABILITY
  • OKTA_USER_CONTEXT
  • OPEN_SOURCE_INTEL_IOC
  • QUALYS_ASSET_CONTEXT
  • QUALYS_VIRTUAL_SCANNER
  • RAPID7_INSIGHT
  • RECORDED_FUTURE_IOC
  • RH_ISAC_IOC
  • SAILPOINT_IAM
  • SERVICENOW_CMDB
  • SERVICENOW_CMDB_HARDWARE
  • SNIPE_IT
  • STIX
  • TANIUM_ASSET
  • TANIUM_COMPLY
  • TEAM_CYMRU_SCOUT_THREATINTEL
  • TENABLE_IO
  • THREATCONNECT_IOC
  • THREATCONNECT_IOC_V3
  • TRELLIX_HX_HOSTS
  • UKG
  • VZ_SECURITY_MARIMBA_INVENTORY
  • WHOISXMLAPI_SIMPLE_WHOIS
  • WINDOWS_AD
  • WINDOWS_DEFENDER_ATP
  • WORKDAY
  • WORKSPACE_CHROMEOS
  • WORKSPACE_GROUPS
  • WORKSPACE_MOBILE
  • WORKSPACE_PRIVILEGES
  • WORKSPACE_USERS

Visão geral dos métodos de ingestão de dados

O serviço de ingestão do Google SecOps atua como um gateway para todos os seus dados recebidos. Dependendo de onde seus dados estão e de como eles são formatados, o Google SecOps usa os seguintes sistemas principais para recuperá-los:

  • Google Cloud (integração direta): esse é o método principal, mais econômico e de maior desempenho para todos os registros padrão do Google Cloud (por exemplo, auditoria, fluxo de VPC, DNS e firewall). O Google SecOps recupera esses dados diretamente da sua organização Google Cloud .
  • Agente do Bindplane:um pipeline e agente de telemetria gerenciados usados para coletar registros de ambientes e servidores locais (Windows ou Linux). Ele oferece grande flexibilidade para registros que não se encaixam facilmente em outros métodos (como firewalls locais) e permite pré-processar, filtrar ou refinar dados da nuvem antes que eles cheguem ao Google SecOps. O agente do Bindplane é gerenciado usando o console de gerenciamento do Bindplane OP.
  • Feeds de dados:são mais adequados para registros baseados na nuvem (como EDRs ou apps SaaS) que já estão agregados em repositórios de objetos (como Cloud Storage ou Amazon S3) ou para terceiros que oferecem suporte a webhooks baseados em push. Os feeds de dados enviam registros diretamente para o serviço de ingestão e oferecem suporte imediato a integrações de API predefinidas (compatíveis com linhas de registro de até 4 MB).
  • Métodos de ingestão da API Chronicle: projetados para aplicativos personalizados, de alto volume ou desenvolvidos internamente que não se encaixam em outros métodos. Esse método exige a configuração da autenticação Google Cloud (contas de serviço ou federação de identidade da carga de trabalho), a configuração de permissões do IAM e o desenvolvimento de integrações personalizadas para enviar payloads JSON aos endpoints da API.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.