Méthodes d'ingestion et types de données

Compatible avec :

Pour surveiller efficacement votre environnement et enquêter sur les incidents, Google Security Operations vous permet d'ingérer une grande variété de données de sécurité. Comprendre les types de données que vous pouvez importer dans la plate-forme et les méthodes utilisées pour les ingérer est la première étape pour renforcer votre stratégie de sécurité.

Types de données d'ingestion

Google SecOps classe les données entrantes en quatre types principaux, chacun ayant un objectif distinct dans le cycle de vie de la détection et de l'investigation :

  • Journaux bruts : il s'agit des flux de données d'origine, non modifiés, provenant de vos sources de sécurité (pare-feu, outils EDR et plates-formes cloud, par exemple). Les journaux, qui se présentent sous différents formats (JSON, Syslog, CSV ou texte non structuré), servent de "source de vérité" pour les analyses approfondies et la conformité. Étant donné que les noms de champs varient selon les fournisseurs, les journaux bruts servent d'entrée initiale avant que la plate-forme n'analyse et ne normalise les noms de champs.
  • Événements UDM : les événements UDM (Unified Data Model) sont créés lorsque les analyseurs convertissent vos journaux bruts dans un format cohérent et indépendant du fournisseur. Par exemple, des termes disparates tels que src_ip et client-ip sont standardisés dans un seul champ principal.ip. Les systèmes en aval utilisent l'UDM pour fournir des fonctionnalités telles que la recherche unifiée et les règles de détection.
  • Données contextuelles des entités : ces données fournissent des informations sur "qui, quoi et où" pour transformer des événements génériques en prospects intéressants. Les données contextuelles vous indiquent si une adresse IP appartient à un cadre de haut niveau ou à un serveur de production critique. En enrichissant les événements avec des métadonnées provenant de sources telles qu'Active Directory ou les CMDB, les analystes peuvent hiérarchiser les menaces en fonction du risque réel pour l'organisation.
  • Alertes : il s'agit de signaux haute fidélité qui indiquent une activité nécessitant une attention immédiate. Les alertes peuvent être ingérées directement à partir de produits de sécurité externes (comme CrowdStrike) ou générées en interne par le moteur de détection YARA-L de Google SecOps lorsque des événements ou des entités UDM déclenchent une règle. Les alertes sont les principaux éléments constitutifs des cas d'incidents.

Comprendre les entités d'ingestion

Les entités fournissent un contexte essentiel aux événements réseau. Un événement réseau standard peut indiquer que l'utilisateur abc@foo.corp a lancé shady.exe, mais il n'indiquera pas si cet utilisateur est un employé récemment licencié.

Le modèle de données d'entité vous permet d'ingérer ces relations, en capturant un nouveau contexte à partir des systèmes IAM, de gestion des failles et de protection des données pour fournir des renseignements complets sur les menaces.

Analyseurs de contexte d'entité prêts à l'emploi

Pour faciliter l'ingestion de données, Google SecOps inclut des connecteurs d'API et des analyseurs par défaut pour de nombreuses sources fiables courantes. Vous pouvez ingérer des données contextuelles d'assets ou d'utilisateurs à partir des types de journaux de contexte d'entité compatibles suivants :

  • ANOMALI_IOC
  • ARMIS_DEVICES
  • AWS_EC2_HOSTS
  • AWS_EC2_INSTANCES
  • AWS_EC2_VPCS
  • AWS_IAM
  • AZURE_AD_CONTEXT
  • CLOUD_IDENTITY_CONTEXT
  • CROWDSTRIKE_IOC
  • CSV_CUSTOM_IOC
  • CTIX
  • CT_GAUS_SEGUROS
  • CYJAX_THREAT_INTELLIGENCE
  • DHS_IOC
  • DIGITAL_SHADOWS_IOC
  • DUO_CONTEXT
  • DUO_USER_CONTEXT
  • ESET_IOC
  • ET_PRO_IOC
  • GCP_BIGQUERY_CONTEXT
  • GCP_CLOUDIDENTITY_DEVICES
  • GCP_CLOUDIDENTITY_DEVICEUSERS
  • GCP_CLOUD_FUNCTIONS_CONTEXT
  • GCP_COMPUTE_CONTEXT
  • GCP_DLP_CONTEXT
  • GCP_IAM_ANALYSIS
  • GCP_IAM_CONTEXT
  • GCP_KUBERNETES_CONTEXT
  • GCP_NETWORK_CONNECTIVITY_CONTEXT
  • GCP_RESOURCE_MANAGER_CONTEXT
  • GCP_STORAGE_CONTEXT
  • GCP_SQL_CONTEXT
  • GCP_THREATINTEL
  • GREYNOISE
  • GTI_IOC
  • HCL_BIGFIX
  • IBM_MAAS360
  • IONIX
  • JAMF
  • JAMF_PRO_CONTEXT
  • MANDIANT_ACTIVE_BREACH_IOC
  • MANDIANT_CUSTOM_IOC
  • MANDIANT_IOC
  • MICROSOFT_DEFENDER_ENDPOINT
  • MISP_IOC
  • NUCLEUS_ASSET
  • NUCLEUS_VULNERABILITY
  • OKTA_USER_CONTEXT
  • OPEN_SOURCE_INTEL_IOC
  • QUALYS_ASSET_CONTEXT
  • QUALYS_VIRTUAL_SCANNER
  • RAPID7_INSIGHT
  • RECORDED_FUTURE_IOC
  • RH_ISAC_IOC
  • SAILPOINT_IAM
  • SERVICENOW_CMDB
  • SERVICENOW_CMDB_HARDWARE
  • SNIPE_IT
  • STIX
  • TANIUM_ASSET
  • TANIUM_COMPLY
  • TEAM_CYMRU_SCOUT_THREATINTEL
  • TENABLE_IO
  • THREATCONNECT_IOC
  • THREATCONNECT_IOC_V3
  • TRELLIX_HX_HOSTS
  • UKG
  • VZ_SECURITY_MARIMBA_INVENTORY
  • WHOISXMLAPI_SIMPLE_WHOIS
  • WINDOWS_AD
  • WINDOWS_DEFENDER_ATP
  • WORKDAY
  • WORKSPACE_CHROMEOS
  • WORKSPACE_GROUPS
  • WORKSPACE_MOBILE
  • WORKSPACE_PRIVILEGES
  • WORKSPACE_USERS

Présentation des méthodes d'ingestion de données

Le service d'ingestion Google SecOps sert de passerelle pour toutes vos données entrantes. Selon l'emplacement et le format de vos données, Google SecOps utilise les principaux systèmes suivants pour les récupérer :

  • Google Cloud (intégration directe) : il s'agit de la méthode principale, la plus économique et la plus performante pour tous les journaux Google Cloud standards (par exemple, les journaux d'audit, de flux VPC, DNS et de pare-feu). Google SecOps récupère ces données directement auprès de votre organisation Google Cloud .
  • Agent Bindplane : pipeline et agent de télémétrie gérés utilisés pour collecter les journaux des environnements et serveurs sur site (Windows ou Linux). Il offre une grande flexibilité pour les journaux qui ne s'intègrent pas facilement à d'autres méthodes (comme les pare-feu sur site) et vous permet de prétraiter, filtrer ou affiner les données cloud avant qu'elles n'atteignent Google SecOps. L'agent Bindplane est géré à l'aide de la console de gestion Bindplane OP.
  • Flux de données : à utiliser de préférence pour les journaux basés dans le cloud (comme les EDR ou les applications SaaS) qui sont déjà agrégés dans des magasins d'objets (comme Cloud Storage ou Amazon S3), ou pour les tiers qui acceptent les Webhooks basés sur le push. Les flux de données envoient les journaux directement au service d'ingestion et offrent une compatibilité prête à l'emploi pour les intégrations d'API prédéfinies (qui acceptent les lignes de journaux d'une taille maximale de 4 Mo).
  • Méthodes d'ingestion de l'API Chronicle : conçues pour les applications personnalisées, à volume élevé ou développées en interne qui ne correspondent pas aux autres méthodes. Cette méthode nécessite de configurer l'authentification Google Cloud (comptes de service ou fédération d'identité de charge de travail), de configurer les autorisations IAM et de développer des intégrations personnalisées pour envoyer des charges utiles JSON aux points de terminaison de l'API.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.