Aware Signals-Protokolle erfassen

Parserversion: 1.0

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Aware so konfigurieren, dass Signal-Ereignisprotokolle über Webhooks an Google Security Operations gesendet werden.

Aware (von Mimecast) ist eine Plattform für die Sicherheit von Zusammenarbeit und Insider-Risiken, die Inhalte in Tools für die Unternehmenskommunikation wie Slack, Microsoft Teams, Zoom, Cisco Webex und Workvivo überwacht. Die Aware Signal-Anwendung verwendet KI-Modelle, Keyword-Abgleiche, reguläre Ausdrücke und Sentimentanalysen, um Richtlinienverstöße zu erkennen und Ereignisse zu generieren. Diese Signal-Ereignisse können zur zentralen Sicherheitsüberwachung und -korrelation an ein SIEM-Ziel weitergeleitet werden.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Ein Aware-Plattformabo mit aktiviertem Signal-Modul
  • Ein Aware-Administratorkonto mit Zugriff auf die Systemeinstellungen
  • Mindestens eine Plattform für die Zusammenarbeit (Slack, Microsoft Teams, Zoom, Webex oder Workvivo) ist verbunden und nimmt Inhalte in Aware auf.
  • Mindestens eine Signalrichtlinie und -regel, die zum Generieren von Ereignissen konfiguriert ist
  • Zugriff auf die Google Cloud Console (zum Erstellen von API-Schlüsseln)

Webhook-Feed in Google SecOps erstellen

Feed erstellen

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Aware Signal Events.
  5. Wählen Sie Webhook als Quelltyp aus.
  6. Wählen Sie Aware-Signale als Protokolltyp aus.
  7. Klicken Sie auf Weiter.
  8. Geben Sie Werte für die folgenden Eingabeparameter an:
    • Trennzeichen für Aufteilung: Geben Sie \n ein (Trennzeichen für Zeilenumbrüche für NDJSON-Nutzlasten).
    • Asset-Namespace: Der Asset-Namespace
    • Labels für Datenaufnahme: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.
  9. Klicken Sie auf Weiter.
  10. Prüfen Sie die neue Nachrichten-Feed-Konfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Secret-Schlüssel generieren und speichern

Nachdem Sie den Feed erstellt haben, müssen Sie einen Secret-Schlüssel für die Authentifizierung generieren:

  1. Klicken Sie auf der Feed-Detailseite auf Geheimen Schlüssel generieren.
  2. Ein Dialogfeld mit dem geheimen Schlüssel wird angezeigt.
  3. Kopieren und speichern Sie den geheimen Schlüssel sicher.

Feed-Endpunkt-URL abrufen

  1. Gehen Sie zum Tab Details des Feeds.
  2. Kopieren Sie im Abschnitt Endpunktinformationen die Feed-Endpunkt-URL.

  3. Das URL-Format lautet:

    https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import

    Dabei ist {region} die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1) und {parent} der Ressourcenpfad im Format projects/<PROJECT_ID>/locations/<LOCATION>/instances/<INSTANCE_ID>/logTypes/<LOG_TYPE>.

  4. Speichern Sie diese URL für die nächsten Schritte.

  5. Klicken Sie auf Fertig.

Google Cloud API-Schlüssel erstellen

Google SecOps erfordert einen API-Schlüssel für die Authentifizierung. Erstellen Sie in der Google Cloud Console einen eingeschränkten API-Schlüssel.

API-Schlüssel erstellen

  1. Rufen Sie in der Google Cloud Console die Seite „Anmeldedaten“ auf.
  2. Wählen Sie Ihr Projekt aus (das Projekt, das mit Ihrer Google SecOps-Instanz verknüpft ist).
  3. Klicken Sie auf Anmeldedaten erstellen > API-Schlüssel.
  4. Ein API-Schlüssel wird erstellt und in einem Dialogfeld angezeigt.
  5. Klicken Sie auf API-Schlüssel bearbeiten, um den Schlüssel einzuschränken.

API-Schlüssel einschränken

  1. Gehen Sie auf der Seite API-Schlüssel so vor:
    • Name: Geben Sie einen aussagekräftigen Namen ein (z. B. Chronicle Webhook API Key).
  2. Gehen Sie unter API-Einschränkungen so vor:
    1. Wählen Sie Schlüssel einschränken aus.
    2. Suchen Sie im Drop-down-Menü APIs auswählen nach der Google SecOps API (oder Chronicle API) und wählen Sie sie aus.
  3. Klicken Sie auf Speichern.
  4. Kopieren Sie den API-Schlüsselwert aus dem Feld API-Schlüssel oben auf der Seite.

  5. Speichern Sie den API-Schlüssel an einem sicheren Ort.

Aware API-Schlüssel abrufen

Aware verwendet einen API-Schlüssel zur Authentifizierung externer Integrationen. So erhalten Sie den Schlüssel:

  1. Melden Sie sich mit einem Administratorkonto unter https://aware.work in Aware an.
  2. Klicken Sie links unten auf Systemeinstellungen.
  3. Rufen Sie den Tab Integrationen auf.

  4. Kopieren Sie den auf der Seite angezeigten API-Schlüssel.

  5. Speichern Sie den API-Schlüssel sicher, damit Sie ihn in den nächsten Schritten verwenden können.

Webhook-Weiterleitung für Aware-Signale konfigurieren

Webhook-URL erstellen

  • Kombinieren Sie die Google SecOps-Endpunkt-URL, den API-Schlüssel und den geheimen Schlüssel:

    <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>

  • Beispiel:

    https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import?key=AIzaSyD...&secret=abcd1234...

Ereignisweiterleitung in Aware konfigurieren

Konfigurieren Sie Aware so, dass Signal-Ereignisse an den Google SecOps-Webhook-Endpunkt weitergeleitet werden. Die genauen Schritte können je nach Version Ihrer Aware-Plattform variieren.

  1. Melden Sie sich mit einem Administratorkonto unter https://aware.work in Aware an.
  2. Klicken Sie links unten auf System Settings (Systemeinstellungen).
  3. Rufen Sie den Tab Integrations (Integrationen) auf.

  4. Konfigurieren Sie ein neues Webhook-Ziel mit den folgenden Details:

    • Ziel-URL: Fügen Sie die vollständige Webhook-URL mit dem API-Schlüssel und dem geheimen Schlüssel als Suchparameter ein:

      https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import?key=YOUR_API_KEY&secret=YOUR_SECRET_KEY

    • Inhaltstyp: Wählen Sie application/json aus.

    • Authentifizierungsheader (falls von Ihrer Aware-Version unterstützt): Legen Sie den Headernamen auf X-Aware-Api-Key und den Wert auf Ihren Aware API-Schlüssel fest.

  5. Wählen Sie die Ereignistypen aus, die weitergeleitet werden sollen. Aktivieren Sie die Weiterleitung aller Signal-Ereignisse, um ein umfassendes Sicherheitsmonitoring zu ermöglichen:

    • Ereignisse mit Richtlinienverstößen
    • Keyword-Übereinstimmungsereignisse
    • KI-/Sentiment-Erkennung
    • Ereignisse zur Erkennung von toxischem Verhalten

  6. Klicken Sie auf Speichern, um das Webhook-Ziel zu aktivieren.

Alternative: Ereignisse mit einer Cloud Run-Funktion weiterleiten

Wenn Ihre Aware-Version keinen nativen Webhook-Push für Signal-Ereignisse unterstützt, können Sie eine Cloud Run-Funktion verwenden, um die Aware API abzufragen und Ereignisse an den Google SecOps-Webhook-Endpunkt weiterzuleiten.

  1. Erstellen Sie eine Cloud Run-Funktion (Python 3.12 oder höher) mit einem Pub/Sub-Trigger.
  2. Konfigurieren Sie die Funktion so, dass sie:
    1. Authentifizieren Sie sich bei der Aware API mit dem Header X-Aware-Api-Key.
    2. Fragen Sie Signal-Ereignisse vom Aware API-Endpunkt ab.
    3. Leiten Sie jedes Ereignis als JSON-Nutzlast an die Webhook-Endpunkt-URL von Google SecOps weiter.

  3. Verwenden Sie Cloud Scheduler, um die Funktion in regelmäßigen Abständen aufzurufen (z. B. alle 5 Minuten).

    • Beispielanfrage zum Weiterleiten von Ereignissen:

      curl -X POST "https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import?key=YOUR_API_KEY&secret=YOUR_SECRET_KEY" \
  -H "Content-Type: application/json" \
  -d '{"signal_id":"12345","event_type":"policy_violation","timestamp":"2026-01-15T10:30:00Z","user":"user@example.com","platform":"slack","policy":"Data Loss Prevention","rule":"Credit Card Numbers","message_snippet":"detected content"}'

Ereignisübermittlung überprüfen

  1. Rufen Sie in Google SecOps die SIEM-Einstellungen > Feeds auf.
  2. Klicke auf den Feed Aware-Signalereignisse.
  3. Rufen Sie den Tab Status auf.
  4. Prüfen Sie, ob Ereignisse empfangen werden.

  5. Alternativ können Sie ein Signal-Testereignis in Aware auslösen:

    1. Gehen Sie in Aware zu Signal > Ereignisse.
    2. Prüfen Sie, ob durch Ihre Richtlinien neue Ereignisse generiert werden.
    3. Warten Sie einige Minuten, bis die Ereignisse in Google SecOps angezeigt werden.

Aware-Signaltypen

Aware Signal erkennt Ereignisse auf verbundenen Plattformen für die Zusammenarbeit mithilfe einer Kombination aus KI-Modellen, Keyword-Optionen, regulären Ausdrücken und Sentimentanalyse. Die folgenden Ereigniskategorien werden häufig generiert:

Kategorie Beschreibung Beispiele
Richtlinienverstoß Ereignisse, die durch definierte Richtlinienregeln ausgelöst werden Stichworterkennung, Regex-Musterübereinstimmung, sensible Daten
KI/Sentiment Von KI- und Sentiment-Modellen erkannte Ereignisse Schädliche Sprache, negative Stimmung, Belästigung
Datenverlust Ereignisse im Zusammenhang mit potenzieller Daten-Exfiltration Verstöße gegen die Dateifreigabe, externe Freigabe, Offenlegung von Anmeldedaten
Risiko durch Insider Ereignisse, die auf potenzielle Insider-Bedrohungen hindeuten Ungewöhnliche Verhaltensmuster, Zugriffsanomalien, Risiko durch ausscheidende Mitarbeiter
Compliance Ereignisse im Zusammenhang mit der Einhaltung regulatorischer Anforderungen Offenlegung personenidentifizierbarer Informationen, Weitergabe von Finanzdaten, HIPAA-Verstöße

Referenz zu Authentifizierungsmethoden

Google SecOps-Webhook-Feeds unterstützen mehrere Authentifizierungsmethoden. Wählen Sie die Methode aus, die von Ihrem Anbieter unterstützt wird.

Methode 1: Suchparameter

Hängen Sie Anmeldedaten an die Webhook-URL an.

  • URL-Format:

    <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>

  • Beispiel:

    https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import?key=AIzaSyD...&secret=abcd1234...

Methode 2: Benutzerdefinierte Header

Wenn Ihre Konfiguration benutzerdefinierte HTTP-Header unterstützt, sollten Sie diese Methode für eine höhere Sicherheit verwenden.

  • Überschriften:

    x-goog-chronicle-auth: <API_KEY>
x-chronicle-auth: <SECRET_KEY>

Vorteile:

  • API-Schlüssel und Secret nicht in der URL sichtbar
  • Sicherer (Header werden nicht in Webserver-Zugriffslogs protokolliert)

Webhook-Limits und Best Practices

Anfragelimits

Limit Wert
Maximale Anfragegröße 4 MB
Maximale Anzahl von Abfragen pro Sekunde 15.000
Zeitlimit für Anfragen 30 Sekunden
Wiederholungsverhalten Automatisch mit exponentiellem Backoff

Best Practices

  • Weiterleitung für alle Signal-Ereignistypen aktivieren, um eine umfassende Sicherheitsabdeckung zu gewährleisten
  • Überwachen Sie den Webhook-Zustellungsstatus regelmäßig auf Fehler oder Verzögerungen.
  • Verwenden Sie das Trennzeichen \n in der Google SecOps-Feedkonfiguration, um NDJSON-Nutzlasten zu verarbeiten.
  • Testen Sie die Integration mit einem bekannten Richtlinienverstoß, bevor Sie sie in der Produktion bereitstellen.
  • Überprüfe die Aware Signal-Richtlinien regelmäßig, um sicherzustellen, dass relevante Ereignisse erfasst werden.

Fehlerbehebung

Ereignisse werden nicht in Google SecOps angezeigt

Ursache:Ereignisse werden in Aware generiert, aber nicht aufgenommen.

Lösung:

  1. Rufen Sie in Google SecOps die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf Ihren Feed für Aware-Signals.
  3. Rufen Sie den Tab Status auf.
  4. Prüfen Sie, ob Fehler bei der Aufnahme aufgetreten sind.
  5. Prüfen Sie, ob der Logtyp auf Aware-Signale festgelegt ist.
  6. Prüfen Sie, ob der API-Schlüssel und der geheime Schlüssel in der Webhook-URL korrekt sind.

Authentifizierungsfehler

Ursache: Ungültiger API-Schlüssel oder Secret-Schlüssel

Lösung:

  1. Prüfen Sie, ob der Google SecOps-API-Schlüssel gültig ist und die richtige API-Einschränkung hat.
  2. Prüfen Sie, ob der geheime Schlüssel mit dem übereinstimmt, der bei der Feederstellung generiert wurde.

  3. Testen Sie den Endpunkt manuell:

    curl -X POST "https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import?key=YOUR_API_KEY&secret=YOUR_SECRET_KEY" \
    -H "Content-Type: application/json" \
    -d '{"test": "event"}'

  4. Wenn der Test fehlschlägt, generieren Sie den API-Schlüssel oder den geheimen Schlüssel neu und aktualisieren Sie die Webhook-Konfiguration in Aware.

Nutzlast überschreitet die maximale Größe

Ursache: Ereignisnutzlasten überschreiten das Limit von 4 MB.

Lösung:

  1. Reduzieren Sie die Anzahl der weitergeleiteten Ereignistypen.
  2. Wenden Sie sich an den Aware-Support, um die Größenbeschränkungen für Nutzlasten zu konfigurieren.
  3. Wenn Sie den Cloud Run-Funktionsansatz verwenden, implementieren Sie Batching, um große Nutzlasten in mehrere Anfragen aufzuteilen.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
has_principal metadata.event_type Zugeordnet: true → NETWORK_CONNECTION, true → STATUS_UPDATE
has_user metadata.event_type Zugeordnet: true → USER_UNCATEGORIZED
signalEventDetails.eventStatus security_result.action_details Direkt zugeordnet
contentObjectDetails_contentObjectIsChat_label security_result.detection_fields Zusammengeführt
contentObjectDetails_contentObjectIsThread_label security_result.detection_fields Zusammengeführt
detectionLength_label security_result.detection_fields Zusammengeführt
detectionStart_label security_result.detection_fields Zusammengeführt
ruleConditionMatches_label security_result.detection_fields Zusammengeführt
search_label security_result.detection_fields Zusammengeführt
signalEventDetails_createdTime_label security_result.detection_fields Zusammengeführt
signalEventDetails_deletedTime_label security_result.detection_fields Zusammengeführt
signalEventDetails_inspectionRequestId_label security_result.detection_fields Zusammengeführt
signalEventDetails_isQuarantined_label security_result.detection_fields Zusammengeführt
signalEventDetails_policyDetails_createdTime_label security_result.detection_fields Zusammengeführt
signalEventDetails_policyDetails_policyId_label security_result.detection_fields Zusammengeführt
signalEventDetails_policyDetails_policyName_label security_result.detection_fields Zusammengeführt
signalEventDetails_ruleBehavior_label security_result.detection_fields Zusammengeführt
signalEventDetails_ruleFamilyId_label security_result.detection_fields Zusammengeführt
signalEventDetails_tenantId_label security_result.detection_fields Zusammengeführt
signalEventId_label security_result.detection_fields Zusammengeführt
signal_EventDetails_policyDetails_deletedTime_label security_result.detection_fields Zusammengeführt
snippetContent_label security_result.detection_fields Zusammengeführt
snippetLength_label security_result.detection_fields Zusammengeführt
snippetStart_label security_result.detection_fields Zusammengeführt
signalEventDetails_ruleId security_result.rule_id Direkt zugeordnet
signalEventDetails_ruleName security_result.rule_name Direkt zugeordnet
contentGroupDetails.contentGroupScope_label target.group.attribute.labels Zusammengeführt
contentObjectDetails_contentGroupDetails_contentGroupTag_label target.group.attribute.labels Zusammengeführt
contentGroupDetails_contentGroupName target.group.group_display_name Direkt zugeordnet
contentObjectDetails_contentPlatformId_label target.resource.attribute.labels Zusammengeführt
contentObjectDetails_contentTime_label target.resource.attribute.labels Zusammengeführt
contentObjectDetails_contentObjectId target.resource.product_object_id Direkt zugeordnet
contentObjectDetails_contentObjectType target.resource.resource_subtype Direkt zugeordnet
contentAuthorDetails_contentAuthorEmail target.user.email_addresses Zusammengeführt
contentAuthorDetails_contentAuthorName target.user.user_display_name Direkt zugeordnet
contentAuthorDetails_contentAuthorId target.user.userid Direkt zugeordnet
– metadata.event_type Konstante: NETWORK_CONNECTION
– metadata.product_name Konstante: AWARE SIGNALS
– metadata.vendor_name Konstante: AWARE SIGNALS

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten