Panoramica della dashboard SIEM

Supportato in:

Utilizza le dashboard di Google Security Operations SIEM per visualizzare e analizzare i dati in Google Security Operations SIEM, inclusi dati di telemetria sulla sicurezza, metriche di importazione, rilevamenti, avvisi e IOC. Queste dashboard si basano sulle funzionalità di Looker.

Google Security Operations SIEM ti fornisce più dashboard predefinite, descritte in questo documento. Puoi anche creare dashboard personalizzate.

Dashboard predefinite

Fai clic su Dashboard e report > Dashboard per aprire la pagina Dashboard.

Le dashboard predefinite contengono visualizzazioni predefinite dei dati archiviati nell'istanza di Google Security Operations SIEM. Queste dashboard sono progettate per un caso d'uso specifico, ad esempio per comprendere lo stato del sistema di importazione dati di Google Security Operations SIEM o per monitorare lo stato delle minacce nella tua azienda.

Ogni dashboard predefinita include un filtro dell'intervallo di date che ti consente di visualizzare i dati per un periodo di tempo specifico. Questo può essere utile per la risoluzione dei problemi o per l'identificazione delle tendenze. Ad esempio, puoi utilizzare il filtro per visualizzare i dati dell'ultima settimana o di un intervallo di tempo specifico.

Per garantire prestazioni ottimali della dashboard, consulta la sezione Risoluzione dei problemi.

Google Security Operations SIEM fornisce le seguenti dashboard predefinite:

Dashboard principale

La dashboard Principale mostra informazioni sullo stato del sistema di importazione dati di Google Security Operations SIEM. Include anche una mappa globale che evidenzia la posizione geografica degli IOC rilevati nella tua azienda.

Nella dashboard Principale puoi visualizzare le seguenti visualizzazioni:

  • Eventi importati: il numero totale di eventi importati.
  • Velocità effettiva: il volume di dati importati per un periodo di tempo specifico.
  • Avvisi: il numero totale di rilevamenti avvenuti in un periodo di tempo. Il numero di avvisi visualizzati nella pagina Avvisi e IOC potrebbe essere diverso, in quanto questa pagina mostra solo gli avvisi attuali. Per saperne di più, vedi Visualizzare gli avvisi.
  • Eventi nel tempo: un grafico a colonne che mostra gli eventi che sono avvenuti in un periodo di tempo.
  • Mappa delle minacce globali - Corrispondenze IP IOC: la località da cui si sono verificati gli eventi di corrispondenza degli indicatori di compromissione (IOC) .

Dashboard Panoramica di Rilevamento e risposta cloud

La dashboard Rilevamento e risposta cloud ti aiuta a monitorare lo stato di sicurezza del tuo ambiente cloud e a indagare su potenziali minacce. La dashboard mostra visualizzazioni che ti aiutano a comprendere il volume di origini dati, set di regole, avvisi e altre informazioni.

Il filtro Ora ti consente di filtrare i dati per periodo di tempo.

Il filtro Tipo di log GCP ti consente di filtrare i dati per Google Cloud tipo di log.

Nella dashboard Panoramica di Rilevamento e risposta cloud puoi visualizzare le seguenti visualizzazioni:

  • Set di regole CDIR attivati: mostra la percentuale di set di regole di Google Security Operations SIEM attivati per il tuo ambiente cloud rispetto al totale dei set di regole forniti da GCTI per gli utenti di Google Security Operations SIEM. GCTI fornisce più regole predefinite preconfigurate. Puoi attivare o disattivare questi set di regole.

  • Origini dati GCP coperte: mostra la percentuale di origini dati coperte rispetto al totale delle Google Cloud origini dati disponibili. Ad esempio, se puoi importare dati utilizzando 40 tipi di log, ma ne invii solo 20, il riquadro mostra il 50%.

  • Avvisi CDIR: mostra il numero di avvisi generati dalle regole all'interno dei set di regole GCTI o delle minacce cloud. Puoi utilizzare il filtro Ora per impostare il numero di giorni per cui vengono visualizzati questi dati.

  • Avvisi recenti: mostra gli avvisi recenti con la relativa gravità e il punteggio di rischio. Puoi ordinare la tabella utilizzando la colonna Ora del timestamp dell'evento e passare a ogni avviso per ulteriori informazioni. Fornisce il numero di risultati di sicurezza aggregati migliorati da Security Command Center. Questi risultati di sicurezza vengono generati dai set di regole di rilevamento predefiniti di GCTI e classificati per tipo di risultato. Puoi utilizzare il filtro Ora per impostare il numero di giorni per cui vengono visualizzati questi dati.

  • Avvisi per gravità nel tempo: mostra il totale degli avvisi per gravità, con tendenza nel tempo. Puoi utilizzare il filtro Ora per impostare il numero di giorni per cui vengono visualizzati questi dati.

  • Copertura del rilevamento: fornisce informazioni sui set di regole di Google Security Operations SIEM e sul relativo stato, sul numero totale di rilevamenti e sulla data del rilevamento più recente. Puoi utilizzare il filtro Ora per impostare il numero di giorni per cui vengono visualizzati questi dati.

  • Copertura dei dati cloud: fornisce informazioni su tutti i Google Cloud servizi disponibili, sugli analizzatori che coprono ogni servizio, sul primo evento rilevato, sull'ultimo evento rilevato, e sulla velocità effettiva totale.

Per saperne di più sui set di regole CDIR, consulta la Panoramica della categoria Minacce cloud.

La tabella è seguita da grafici di tutti i Google Cloud servizi con i relativi dati che mostrano la tendenza di importazione nei seguenti intervalli di tempo:

  • Ultime 24 ore
  • Ultimi 30 giorni
  • Ultimi sei mesi

Dashboard Rilevamenti sensibili al contesto - Rischio

La dashboard Rilevamenti sensibili al contesto - Rischio fornisce informazioni sullo stato attuale delle minacce per asset e utenti della tua azienda. È stata creata utilizzando i campi dell'interfaccia di esplorazione Rilevamenti delle regole.

I valori di gravità e punteggio di rischio sono variabili definite in ogni regola. Per un esempio, consulta la sintassi della sezione Risultato. In ogni riquadro, i dati vengono ordinati in base alla gravità e poi al punteggio di rischio per identificare gli utenti e gli asset più a rischio.

Nella dashboard Rilevamenti sensibili al contesto - Rischio puoi visualizzare le seguenti visualizzazioni:

  • Asset e dispositivi a rischio: elenca i primi 10 asset in base alla gravità impostata per la regola in Meta > Gravità. Consulta la sintassi della sezione Meta. I livelli di gravità sono Super alta, Critica, Alta, Grande, Media e Bassa. Se il valore hostname non è presente nel record, viene visualizzato l'indirizzo IP.
  • Utenti a rischio: elenca i primi 10 utenti in base alla gravità. I livelli di gravità sono Super alta, Critica, Alta, Grande, Media, e Bassa. Se il valore username non è presente nel record, viene visualizzato l'ID email.
  • Rischio aggregato: per ogni data, mostra il punteggio di rischio aggregato totale.
  • Risultati del rilevamento: mostra i dettagli dei rilevamenti restituiti dalle regole del motore di rilevamento. La tabella include il nome della regola, l'ID del rilevamento, il punteggio di rischio e la gravità.

Dashboard Importazione e stato dei dati

La dashboard Importazione e stato dei dati fornisce informazioni sul tipo, sul volume e sullo stato dei dati importati nel tenant di Google Security Operations SIEM. Puoi utilizzare questa dashboard per monitorare le anomalie nel tuo ambiente. Questa dashboard fornisce visualizzazioni che ti aiutano a comprendere il volume dei log importati, gli errori di importazione e altre informazioni pertinenti.

Nella dashboard Importazione e stato dei dati puoi visualizzare le seguenti visualizzazioni:

  • Il filtro temporale globale configurato nella dashboard si applica alle seguenti visualizzazioni:

    • Conteggio eventi importati: mostra il numero totale di eventi importati.
    • Distribuzione dei tipi di log per velocità effettiva: mostra la distribuzione dei tipi di log in base alla velocità effettiva.
    • Velocità effettiva: mostra la velocità effettiva di importazione.
    • Distribuzione dei tipi di log per conteggio eventi: mostra la distribuzione dei tipi di log in base al numero di eventi per ogni tipo di log.
    • Conteggio errori di importazione: mostra il numero totale di errori riscontrati durante l'importazione.
    • Importazione - Eventi per stato: mostra una tabella con gli eventi in base al loro stato, ordinabile per colonna: Data, Log importati, Eventi normalizzati, Errori di analisi, Errori di convalida, Errori di indicizzazione.
    • Grafico del limite di burst - Frequenza di importazione: mostra la frequenza oraria di importazione dei log nel tempo (vedi Limiti di burst).
    • Grafico del limite di burst - Limite di quota: mostra la quota oraria di importazione dei log nel tempo (vedi Limiti di burst).
    • Grafico di rifiuto di burst: mostra il volume orario nel tempo dei log rifiutati per aver superato il limite di burst (vedi Limiti di burst).

    • Importazione - Eventi per tipo di log: mostra gli eventi in base al tipo di log, ordinabili per colonna: Tipo di log, Velocità effettiva importata, Log importati, Eventi normalizzati, Errori di analisi, Errori di convalida, Errori di indicizzazione.

    • Registrazione dell'agente Bindplane - Log per gravità nel tempo: mostra il numero di log per gravità nel tempo. La dashboard mostra questa visualizzazione solo quando Google SecOps importa i log da un agente Bindplane.

    • Registrazione dell'agente Bindplane - Conteggio messaggi: mostra il numero di log per testo del messaggio, ordinabili per colonna: Gravità, Messaggio, Totale, Prima visualizzazione, Ultima visualizzazione. La dashboard mostra questa visualizzazione solo quando Google SecOps importa i log da un agente Bindplane.

  • Gli intervalli di tempo per le seguenti visualizzazioni sono preselezionati e non sono interessati dal filtro temporale globale:

    • Eventi importati di recente: mostra gli eventi importati di recente per ogni tipo di log.
    • Informazioni sui log giornalieri: mostra il numero di log per un giorno per ogni tipo di log.
    • Conteggio eventi (ultime 24 ore) e Dimensioni eventi (ultime 24 ore): mostrano i conteggi e le dimensioni degli eventi delle ultime 24 ore.
    • Conteggio eventi (ultimi 7 giorni) e Dimensioni eventi (ultimi 7 giorni): mostrano i conteggi e le dimensioni degli eventi degli ultimi 7 giorni.
    • Conteggio eventi (ultimi 3 mesi) e Dimensioni eventi (ultimi 3 mesi): mostrano i conteggi e le dimensioni degli eventi degli ultimi 3 mesi.
    • Importazione - Velocità effettiva oraria: mostra la velocità effettiva di importazione oraria.
    • Importazione - Velocità effettiva settimanale: mostra la velocità effettiva di importazione settimanale.
    • Importazione - Velocità effettiva (ultimi 6 mesi): mostra la velocità effettiva di importazione negli ultimi 6 mesi.
    • Importazione - Velocità effettiva (sempre): mostra la velocità effettiva di importazione per anno per tutto il periodo di tempo per cui sono disponibili i dati.
    • Numero di giorni trascorsi dall'ultima segnalazione di un evento da parte dell'host (ultimi 7 giorni): mostra il numero di giorni trascorsi dall'ultima segnalazione di un evento da parte degli host (negli ultimi 7 giorni).

Dashboard Corrispondenze IOC

La dashboard Corrispondenze IOC fornisce visibilità sugli IOC presenti nella tua azienda.

Nella dashboard Corrispondenze IOC puoi visualizzare le seguenti visualizzazioni:

  • Corrispondenze IOC nel tempo per categoria: mostra il numero di corrispondenze IOC in base alla categoria.
  • Indicatori IOC dei primi 10 domini: elenca i primi 10 indicatori IOC dei domini e i relativi conteggi.
  • Indicatori IOC dei primi 10 IP: elenca i primi 10 indicatori IOC degli indirizzi IP e i relativi conteggi.
  • Primi 10 asset per corrispondenze IOC: elenca i primi 10 asset per corrispondenze IOC e i relativi conteggi.
  • Prime 10 corrispondenze IOC per categoria, tipo e conteggio: elenca le prime 10 corrispondenze IOC per categoria, tipo e i relativi conteggi.
  • Primi 10 valori IOC: elenca i primi 10 valori IOC insieme al conteggio.
  • Primi 10 valori visualizzati raramente: elenca le prime 10 corrispondenze IOC che si verificano raramente e i relativi conteggi.

Le visualizzazioni Corrispondenze IOC includono il filtro del timestamp dell'evento in Campi solo con filtri.

Dashboard Rilevamenti delle regole

La dashboard Rilevamenti delle regole fornisce informazioni sui rilevamenti restituiti dalle regole del motore di rilevamento. Per ricevere i rilevamenti, devi attivare le regole. Per saperne di più, vedi Eseguire una regola sui dati live.

Nella dashboard Rilevamenti delle regole puoi visualizzare le seguenti visualizzazioni:

  • Rilevamenti delle regole nel tempo: mostra il numero di rilevamenti delle regole in un periodo di tempo.
  • Rilevamenti delle regole per gravità: mostra la gravità dei rilevamenti delle regole.
  • Rilevamenti delle regole per gravità nel tempo: mostra il conteggio giornaliero dei rilevamenti per gravità nel tempo.
  • Primi 10 nomi di regole per rilevamenti: elenca le prime 10 regole che restituiscono il maggior numero di rilevamenti.
  • Rilevamenti delle regole per nome nel tempo: mostra le regole che hanno restituito i rilevamenti ogni giorno e il numero di rilevamenti restituiti.
  • Primi 10 utenti per rilevamenti delle regole: elenca i primi 10 identificatori utente visualizzati negli eventi che hanno attivato i rilevamenti.
  • Primi 10 nomi di asset per rilevamenti delle regole: elenca i primi 10 nomi di asset visualizzati negli eventi che hanno attivato i rilevamenti, ad esempio il nome host.
  • Primi 10 IP per rilevamenti delle regole: elenca i primi 10 indirizzi IP visualizzati negli eventi che hanno attivato i rilevamenti.

Dashboard Panoramica degli accessi utente

La dashboard Panoramica degli accessi utente fornisce informazioni sugli utenti che accedono alla tua azienda. Queste informazioni possono essere utili per monitorare i tentativi di accesso alla tua azienda da parte di attori malintenzionati.

Ad esempio, potresti scoprire che un determinato utente ha tentato di accedere alla tua azienda da un paese in cui non hai una sede o che un utente specifico sembra accedere ripetutamente a un'applicazione di contabilità.

Nella dashboard Panoramica degli accessi utente puoi visualizzare le seguenti visualizzazioni:

  • Numero di accessi riusciti: mostra il numero totale di accessi riusciti.
  • Numero di accessi non riusciti: mostra il numero totale di accessi non riusciti.
  • Accessi per stato: mostra la suddivisione degli accessi riusciti e non riusciti.
  • Accessi per stato nel tempo: mostra la suddivisione degli accessi riusciti e non riusciti nell'intervallo di tempo.
  • Prime 10 applicazioni per accessi: mostra la suddivisione delle prime 10 applicazioni più frequenti in base al numero di accessi.
  • Accessi per applicazione: elenca il conteggio dello stato di accesso per ogni applicazione. Il conteggio di ogni applicazione viene compilato in base ai dati di log definiti nel campo security_result.action. Vedi Tipi enumerati di eventi.
  • Primi 10 paesi per accessi: mostra il conteggio dei primi 10 paesi da cui gli utenti hanno eseguito l'accesso.
  • Accessi per paese: mostra il conteggio di tutti i paesi da cui gli utenti hanno eseguito l'accesso.
  • Primi 10 accessi per IP: mostra i primi 10 indirizzi IP da cui gli utenti hanno eseguito l'accesso.
  • Mappa delle località di accesso: mostra le località degli indirizzi IP da cui gli utenti hanno eseguito l'accesso.
  • Primi 10 utenti per stato di accesso: mostra il conteggio dello stato di accesso per ogni utente. Il conteggio di ogni applicazione viene compilato in base ai dati di log definiti nel campo security_result.action. Vedi Tipi enumerati di eventi.

Risoluzione dei problemi

Questa sezione descrive le aspettative di rendimento e fornisce soluzioni self-service per i problemi comuni di dashboard e ricerca.

Ottimizzare il rendimento della dashboard

Per garantire che le dashboard e le ricerche rimangano reattive quando si utilizzano set di dati di grandi dimensioni, allinea le visualizzazioni ai limiti di rendering della piattaforma. L'interfaccia utente di Google SecOps ha un limite di visualizzazione di 10.000 righe; il superamento di questa soglia può causare l'interruzione della risposta della scheda del browser, che può essere confusa con un'interruzione della piattaforma.

Per visualizzare in modo efficace i dati di log di grandi dimensioni:

  • Applica sempre un filtro "Primi N" (ad esempio, i primi 10 indirizzi IP) per aggregare i dati prima del rendering.
  • Riduci l'intervallo di tempo di ricerca a incrementi di 15 minuti o 1 ora quando esegui ricerche di log non elaborati.
  • Utilizza le funzionalità Esporta in CSV o BigQuery se hai bisogno di accedere a più di 10.000 righe.

Supporto dell'origine dati SOAR

Puoi eseguire query sulle origini dati SOAR per le dashboard integrate solo negli ambienti Google Security Operations unificati. Se esegui progetti Google SecOps SIEM e SOAR autonomi in Google Cloud, non puoi accedere ai set di dati SOAR o eseguirne query dall'interfaccia della dashboard SIEM.

Passaggi successivi

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.