SIEM-Plattform – Übersicht
Google Security Operations SIEM ist ein Cloud-Dienst, der als spezialisierte Schicht auf der Kerninfrastruktur von Google aufgesetzt wurde. Er wurde für Unternehmen entwickelt, die große Mengen an Sicherheits- und Netzwerktelemetriedaten privat aufbewahren, analysieren und durchsuchen möchten. Google Security Operations normalisiert, indexiert, korreliert und analysiert die Daten, um schnelle Analysen und Kontext für riskante Aktivitäten zu bieten.
Mit Google Security Operations können Sie zusammengefasste Sicherheitsinformationen für Ihr Unternehmen untersuchen, die bereits mehrere Monate alt sind. Mit Google Security Operations können Sie alle Domains durchsuchen, auf die in Ihrem Unternehmen zugegriffen wurde. Sie können Ihre Suche auf ein bestimmtes Asset, eine bestimmte Domain oder IP-Adresse beschränken, um festzustellen, ob es zu einer Kompromittierung gekommen ist.
Google Security Operations-Plattform – Übersicht
Datenerhebung
Google Security Operations kann zahlreiche Arten von Sicherheitstelemetriedaten über verschiedene Methoden aufnehmen, darunter:
Forwarder: Eine schlanke Softwarekomponente, die im Netzwerk des Kunden bereitgestellt wird und Syslog, Paketerfassung und vorhandene Daten-Repositories für die Logverwaltung oder für SIEM (Security Information and Event Management) unterstützt.
Collector: Eine Softwarekomponente, die im Netzwerk des Kunden bereitgestellt wird und viele Datenquellen unterstützt, die an Google SecOps weitergeleitet werden.
Ingestion APIs: APIs, mit denen Logs direkt an die Google Security Operations-Plattform gesendet werden können. Dadurch sind keine zusätzliche Hardware oder Software in Kundenumgebungen erforderlich.
Drittanbieterintegrationen: Integration in Cloud-APIs von Drittanbietern, um die Aufnahme von Logs zu erleichtern, einschließlich Quellen wie Office 365 und Azure AD.
Datenanalyse
Die Analysefunktionen von Google Security Operations werden Sicherheitsexperten als einfache, browserbasierte Anwendung zur Verfügung gestellt. Viele dieser Funktionen sind auch programmatisch über Read APIs zugänglich. Mit Google Security Operations können Analysten bei einer potenziellen Bedrohung feststellen, was sie ist, was sie tut, ob sie relevant ist und wie am besten darauf reagiert werden sollte.
Sicherheit und Compliance
Als spezialisierte, private Schicht, die auf der Kerninfrastruktur von Google aufbaut, übernimmt Google Security Operations die Rechen- und Speicherfunktionen sowie das Sicherheitsdesign und die Sicherheitsfunktionen dieser Infrastruktur.
Im Rahmen des Sicherheitsdesigns speichert Google SecOps Nutzeranmeldedaten (z. B. Anmeldedaten, die Sie angeben, damit ein Google SecOps-Feed Logdaten von einer Drittanbieter-API aufnehmen kann) in Secret Manager.
Google Security Operations-Funktionen
Suchen
- Rohlogscan: Durchsuchen Sie Ihre unformatierten, nicht geparsten Logs.
- Reguläre Ausdrücke: Durchsuchen Sie Ihre unformatierten, nicht geparsten Logs mit regulären Ausdrücken.
Ansichten für die Prüfung
- Asset-Ansicht: Untersuchen Sie Assets in Ihrem Unternehmen und ob sie mit verdächtigen Domains interagiert haben.
- IP-Adressansicht: Untersuchen Sie bestimmte IP-Adressen in Ihrem Unternehmen und ihre Auswirkungen auf Ihre Assets.
- Hash-Ansicht: Suchen und untersuchen Sie Dateien anhand ihres Hashwerts.
- Domain-Ansicht: Untersuchen Sie bestimmte Domains in Ihrem Unternehmen und ihre Auswirkungen auf Ihre Assets.
- Nutzeransicht: Untersuchen Sie Nutzer in Ihrem Unternehmen, die von Sicherheitsereignissen betroffen sein könnten.
- Prozedurale Filterung: Optimieren Sie Informationen zu einem Asset, z. B. nach Ereignistyp, Protokollquelle, Status der Netzwerkverbindung und Top-Level-Domain (TLD).
Ausgewählte Informationen
- Asset-Statistikblöcke: Heben die Domains und Benachrichtigungen hervor, die Sie möglicherweise weiter untersuchen möchten.
- Verbreitungsgraph: Zeigt die Anzahl der Domains an, mit denen ein Asset in einem bestimmten Zeitraum verbunden war.
Erkennungs-Engine
Mit der Google Security Operations-Erkennungs-Engine können Sie die Suche nach Sicherheitsproblemen in Ihren Daten automatisieren. Sie können Regeln festlegen, um alle eingehenden Daten zu durchsuchen und sich benachrichtigen zu lassen, wenn potenzielle und bekannte Bedrohungen in Ihrem Unternehmen auftreten.
VirusTotal
Sie können VirusTotal über Google Security Operations starten, um ein Asset, eine Domain oder eine IP-Adresse weiter zu untersuchen. Klicken Sie dazu auf „VT-Kontext“.
Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten