Exporta a un proyecto de BigQuery autoadministrado

Compatible con:

Google Security Operations te permite exportar datos del Modelo de datos unificado (UDM) a un proyecto autoadministrado que posees y administras. Puedes vincular tu propio Google Cloud proyecto a tu instancia de Google SecOps y administrar de forma independiente los permisos de IAM sin depender de la configuración administrada por Google. También puedes habilitar y configurar la función Bring Your Own BigQuery (BYOBQ) seleccionando Configuración de SIEM > Exportación de datos.

Google SecOps exporta las siguientes categorías de datos a tu proyecto de BigQuery:

  • udm_events: Datos de registro normalizados en el esquema de UDM.
  • udm_events_aggregates: Datos agregados que se resumen por cada hora de eventos normalizados.
  • entity_graph: El gráfico de entidades tiene tres dimensiones (datos contextuales, datos derivados y contexto global ). Todos los datos contextuales y derivados, así como parte de los datos de contexto global, son datos escritos y almacenados como UDM.
  • rule_detections: Detecciones que muestran las reglas que se ejecutan en Google SecOps.
  • ioc_matches: Coincidencias de IOC que se encuentran en los eventos de UDM.
  • ingestion_metrics: Métricas relacionadas con la canalización de transferencia y normalización (se exportan de forma predeterminada).
  • udm_enum_value_to_name_mapping: Asigna valores de enumeración a nombres de campos de UDM (se exporta de forma predeterminada).
  • entity_enum_value_to_name_mapping: Asigna valores de enumeración a nombres de campos de entidades (se exporta de forma predeterminada).

Período de retención

Si eres un cliente existente, el período de retención que establezcas definirá cuánto tiempo permanecerán los datos exportados de BigQuery en tu proyecto administrado por Google.

El período de retención comienza a partir de la fecha del registro exportado más antiguo. Puedes configurar un período de retención independiente para cada fuente de datos, hasta un máximo que coincida con el período de retención de registros predeterminado en Google SecOps.

Si no se especifica ningún período de retención, el comportamiento predeterminado es seguir exportando datos sin limpieza ni purga para limitar el período de retención.

En este caso, puedes establecer el período de retención en Ilimitado:

  • Haz clic en Configuración de SIEM > Exportación de datos.
  • En la columna Período de retención de la tabla Exportación de datos, selecciona Ilimitado en la lista para el tipo de datos pertinente.

Luego, puedes configurar una regla de ciclo de vida de objetos en tu Google Cloud bucket de almacenamiento para borrar objetos según sea necesario.

Migración de datos para clientes existentes

Si eres un cliente existente, tus datos del proyecto administrado por Google existente no se migran al proyecto autoadministrado. Como los datos no se migran, se encuentran en dos proyectos separados. Para consultar los datos en un período que incluya la fecha de activación del proyecto autoadministrado, debes completar una de las siguientes acciones:

  • Usa una sola consulta que una datos de ambos proyectos.
  • Ejecuta dos consultas independientes en los proyectos respectivos, una para los datos anteriores a la fecha de activación del proyecto autoadministrado y otra para los datos posteriores. Cuando vence el período de retención de tu proyecto administrado por Google, se borran esos datos. Después de ese punto, solo puedes consultar los datos que se encuentran dentro de tu Google Cloud proyecto.

Permisos necesarios para exportar datos

Para acceder a tus datos de BigQuery, ejecuta tus consultas en BigQuery. Asigna los siguientes roles de IAM a cualquier usuario que necesite acceso:

Inicia la exportación de datos de BigQuery a tu proyecto autoadministrado

  1. Crea un Google Cloud proyecto al que deseas exportar tus datos. Para obtener más información, consulta Configura un Google Cloud proyecto para Google SecOps.

  2. Vincula tu proyecto autoadministrado a tu instancia de Google SecOps para establecer una conexión entre Google SecOps y tu proyecto autoadministrado. Para obtener más información, consulta Vincula Google Security Operations a Google Cloud servicios. También puedes habilitar y configurar la función Bring Your Own BigQuery (BYOBQ) seleccionando Configuración de SIEM > Exportación de datos.

  3. Para validar que los datos se exporten a tu proyecto autoadministrado, consulta las tablas en el conjunto de datos datalake en BigQuery.

Puedes escribir consultas ad hoc en los datos de Google SecOps almacenados en tablas de BigQuery. También puedes crear estadísticas más avanzadas con otras herramientas de terceros que se integran con BigQuery.

Todos los recursos creados en tu proyecto autoadministrado Google Cloud para habilitar las exportaciones, incluidos el bucket de Cloud Storage y las tablas de BigQuery, se encuentran en la misma región que Google SecOps.

Si recibes un error como Unrecognized name: <field_name> at [<some_number>:<some_number>] cuando consultas BigQuery, significa que el campo al que intentas acceder no está en tu conjunto de datos y que tu esquema se genera de forma dinámica durante el proceso de exportación.

Para obtener más información sobre los datos de Google SecOps en BigQuery, consulta Datos de Google SecOps en BigQuery.

Usa los métodos de la API que se describen en los siguientes temas para acceder a las configuraciones de exportación y administrar cómo se envían tus datos a BigQuery:

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.