Methoden zur Datenaufnahme und Datentypen

Unterstützt in:

Mit Google Security Operations können Sie eine Vielzahl von Sicherheitsdaten aufnehmen, um Ihre Umgebung effektiv zu überwachen und Vorfälle zu untersuchen. Der erste Schritt zum Aufbau eines robusten Sicherheitsstatus besteht darin, die Datentypen zu verstehen, die Sie in die Plattform einbringen können, und die Methoden, die zum Erfassen dieser Daten verwendet werden.

Arten von Aufnahmedaten

Google SecOps kategorisiert eingehende Daten in vier primäre Typen, die jeweils einem bestimmten Zweck im Lebenszyklus von Erkennung und Untersuchung dienen:

  • Rohprotokolle:Das sind die ursprünglichen, unveränderten Datenstreams aus Ihren Sicherheitsquellen (z. B. Firewalls, EDR-Tools und Cloud-Plattformen). Die Logs, die in Formaten wie JSON, Syslog, CSV oder unstrukturiertem Text eingehen, dienen als „Source of Truth“ für detaillierte Analysen und Compliance. Da Feldnamen je nach Anbieter variieren, dienen Rohlogs als erste Eingabe, bevor die Plattform die Feldnamen parst und normalisiert.
  • UDM-Ereignisse:UDM-Ereignisse (Unified Data Model) werden erstellt, wenn Parser Ihre Rohlogs in ein einheitliches, anbieterunabhängiges Format konvertieren. Beispielsweise werden unterschiedliche Begriffe wie src_ip und client-ip in einem einzigen Feld principal.ip standardisiert. Nachgelagerte Systeme verwenden UDM, um Funktionen wie die einheitliche Suche und Erkennungsregeln bereitzustellen.
  • Kontextdaten für Entitäten:Mit diesen Daten wird aus allgemeinen Ereignissen ein aussagekräftiger Lead, indem die W-Fragen „Wer, Was und Wo“ beantwortet werden. Kontextdaten geben Aufschluss darüber, ob eine IP-Adresse zu einer Führungskraft oder einem wichtigen Produktionsserver gehört. Durch die Anreicherung von Ereignissen mit Metadaten aus Quellen wie Active Directory oder CMDBs können Analysten Bedrohungen anhand des tatsächlichen Organisationsrisikos priorisieren.
  • Benachrichtigungen:Das sind Signale mit hoher Genauigkeit, die auf Aktivitäten hinweisen, die sofortige Aufmerksamkeit erfordern. Warnungen können direkt von externen Sicherheitsprodukten (z. B. CrowdStrike) übernommen oder intern von der Google SecOps YARA-L-Erkennungs-Engine generiert werden, wenn UDM-Ereignisse oder ‑Entitäten eine Regel auslösen. Die Benachrichtigungen dienen als primäre Bausteine für Vorfallsfälle.

Aufnahmeentitäten

Entitäten liefern wichtigen Kontext für Netzwerkereignisse. Ein Standard-Netzwerkereignis kann beispielsweise zeigen, dass Nutzer abc@foo.corp shady.exe gestartet hat. Es wird jedoch nicht angegeben, ob dieser Nutzer ein kürzlich gekündigter Mitarbeiter ist.

Mit dem Entitätsdatenmodell können Sie diese Beziehungen aufnehmen und so neuen Kontext aus IAM-, Schwachstellenmanagement- und Datenschutzsystemen erfassen, um umfassende Informationen zu Bedrohungen zu erhalten.

Sofort einsatzbereite Parser für den Entitätskontext

Damit die Aufnahme von Daten so nahtlos wie möglich erfolgt, enthält Google SecOps API-Connectors und Standardparser für viele gängige autoritative Quellen. Sie können Asset- oder Nutzerkontextdaten aus den folgenden unterstützten Protokolltypen für den Entitätskontext aufnehmen:

  • ANOMALI_IOC
  • ARMIS_DEVICES
  • AWS_EC2_HOSTS
  • AWS_EC2_INSTANCES
  • AWS_EC2_VPCS
  • AWS_IAM
  • AZURE_AD_CONTEXT
  • CLOUD_IDENTITY_CONTEXT
  • CROWDSTRIKE_IOC
  • CSV_CUSTOM_IOC
  • CTIX
  • CT_GAUS_SEGUROS
  • CYJAX_THREAT_INTELLIGENCE
  • DHS_IOC
  • DIGITAL_SHADOWS_IOC
  • DUO_CONTEXT
  • DUO_USER_CONTEXT
  • ESET_IOC
  • ET_PRO_IOC
  • GCP_BIGQUERY_CONTEXT
  • GCP_CLOUDIDENTITY_DEVICES
  • GCP_CLOUDIDENTITY_DEVICEUSERS
  • GCP_CLOUD_FUNCTIONS_CONTEXT
  • GCP_COMPUTE_CONTEXT
  • GCP_DLP_CONTEXT
  • GCP_IAM_ANALYSIS
  • GCP_IAM_CONTEXT
  • GCP_KUBERNETES_CONTEXT
  • GCP_NETWORK_CONNECTIVITY_CONTEXT
  • GCP_RESOURCE_MANAGER_CONTEXT
  • GCP_STORAGE_CONTEXT
  • GCP_SQL_CONTEXT
  • GCP_THREATINTEL
  • GREYNOISE
  • GTI_IOC
  • HCL_BIGFIX
  • IBM_MAAS360
  • IONIX
  • JAMF
  • JAMF_PRO_CONTEXT
  • MANDIANT_ACTIVE_BREACH_IOC
  • MANDIANT_CUSTOM_IOC
  • MANDIANT_IOC
  • MICROSOFT_DEFENDER_ENDPOINT
  • MISP_IOC
  • NUCLEUS_ASSET
  • NUCLEUS_VULNERABILITY
  • OKTA_USER_CONTEXT
  • OPEN_SOURCE_INTEL_IOC
  • QUALYS_ASSET_CONTEXT
  • QUALYS_VIRTUAL_SCANNER
  • RAPID7_INSIGHT
  • RECORDED_FUTURE_IOC
  • RH_ISAC_IOC
  • SAILPOINT_IAM
  • SERVICENOW_CMDB
  • SERVICENOW_CMDB_HARDWARE
  • SNIPE_IT
  • STIX
  • TANIUM_ASSET
  • TANIUM_COMPLY
  • TEAM_CYMRU_SCOUT_THREATINTEL
  • TENABLE_IO
  • THREATCONNECT_IOC
  • THREATCONNECT_IOC_V3
  • TRELLIX_HX_HOSTS
  • UKG
  • VZ_SECURITY_MARIMBA_INVENTORY
  • WHOISXMLAPI_SIMPLE_WHOIS
  • WINDOWS_AD
  • WINDOWS_DEFENDER_ATP
  • WORKDAY
  • WORKSPACE_CHROMEOS
  • WORKSPACE_GROUPS
  • WORKSPACE_MOBILE
  • WORKSPACE_PRIVILEGES
  • WORKSPACE_USERS

Übersicht über Methoden zur Datenaufnahme

Der Google SecOps-Aufnahmedienst dient als Gateway für alle eingehenden Daten. Je nachdem, wo sich Ihre Daten befinden und wie sie formatiert sind, verwendet Google SecOps die folgenden primären Systeme, um sie abzurufen:

  • Google Cloud (Direkte Integration): Dies ist die primäre, kostengünstigste und leistungsstärkste Methode für alle Standard Google Cloud -Logs (z.B. Audit-, VPC-Fluss-, DNS- und Firewall-Logs). Google SecOps ruft diese Daten direkt von Ihrer Google Cloud -Organisation ab.
  • Bindplane-Agent:Eine verwaltete Telemetrie-Pipeline und ein Agent zum Erfassen von Logs aus lokalen Umgebungen und Servern (Windows oder Linux). Das bietet enorme Flexibilität für Logs, die nicht einfach in andere Methoden passen (z. B. lokale Firewalls), und ermöglicht es Ihnen, Cloud-Daten vorzuverarbeiten, zu filtern oder zu optimieren, bevor sie Google SecOps erreichen. Der Bindplane-Agent wird über die Bindplane OP Management Console verwaltet.
  • Datenfeeds:Am besten für cloudbasierte Protokolle (z. B. EDRs oder SaaS-Apps) geeignet, die bereits in Objektspeichern (z. B. Cloud Storage oder Amazon S3) zusammengefasst sind, oder für Drittanbieter, die Push-basierte Webhooks unterstützen. Bei Datenfeeds werden Logs direkt an den Aufnahmedienst gesendet. Außerdem wird die Verwendung vordefinierter API-Integrationen (mit Unterstützung für Logzeilen mit einer Größe von bis zu 4 MB) unterstützt.
  • Chronicle API-Aufnahmemethoden: Entwickelt für benutzerdefinierte, volumenstarke oder selbst entwickelte Anwendungen, die nicht in andere Methoden passen. Für diese Methode müssen Sie die Google Cloud Authentifizierung (Dienstkonten oder Workload Identity-Föderation) einrichten, IAM-Berechtigungen konfigurieren und benutzerdefinierte Integrationen entwickeln, um JSON-Nutzlasten an die API-Endpunkte zu senden.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten