資訊主頁總覽

支援的國家/地區：

使用 Google Security Operations SIEM 資訊主頁，查看及分析 Google Security Operations SIEM 中的資料，包括安全性遙測、擷取指標、偵測結果、快訊和 IoC。這些資訊主頁是以 Looker 的功能為基礎。

Google Security Operations SIEM 提供多個預設資訊主頁，詳情請參閱本文。您也可以建立自訂資訊主頁。

預設資訊主頁

依序點選「資訊主頁和報表」>「資訊主頁」，開啟「資訊主頁」頁面。

預設資訊主頁包含預先定義的視覺化資料，這些資料儲存在 Google Security Operations SIEM 執行個體中。這些資訊主頁是為特定用途而設計，例如瞭解 Google Security Operations SIEM 資料擷取系統的狀態，或監控企業中的威脅狀態。

每個預設資訊主頁都包含時間範圍篩選器，可讓您查看特定時間範圍的資料。這有助於排解問題或找出趨勢。舉例來說，您可以使用篩選器查看過去一週或特定時間範圍內的資料。

Google Security Operations SIEM 提供下列預設資訊主頁：

主要資訊主頁

「主要」資訊主頁會顯示 Google Security Operations SIEM 資料擷取系統的狀態資訊。此外，還會顯示全球地圖，標示企業內偵測到的 IOC 地理位置。

您可以在「主要」資訊主頁中查看下列視覺化資料：

  • 擷取的事件：擷取的事件總數。
  • 輸送量：特定時間內擷取的資料量。
  • 快訊：一段時間內發生的偵測總數。「警告與 IOC」頁面顯示的警告數量可能不同，因為這個頁面只會顯示目前的警告。詳情請參閱「查看快訊」。
  • 一段時間內的事件：顯示一段時間內發生的事件的直條圖。
  • 全球威脅地圖 - IoC IP 比對：發生入侵指標 (IoC) 比對事件的位置。

Cloud Detection and Response 總覽資訊主頁

雲端偵測與回應資訊主頁可協助您監控雲端環境的安全狀態，並調查潛在威脅。資訊主頁會顯示圖表，協助您瞭解資料來源、規則集、快訊和其他資訊的數量。

時間篩選器可讓您依時間範圍篩選資料。

GCP 記錄類型篩選器可讓您依記錄類型篩選資料。 Google Cloud

您可以在「Cloud Detection and Response Overview」資訊主頁中查看下列視覺化內容：

  • 已啟用 CDIR 規則集：顯示為 Google Security Operations SIEM 使用者提供的規則集總數中，已為雲端環境啟用的 Google Security Operations SIEM 規則集百分比。GCTI 提供多項預先封裝的精選規則。您可以啟用或停用這些規則集。

  • 涵蓋的 GCP 資料來源：顯示涵蓋的資料來源百分比，以可用資料來源總數為基準。 Google Cloud舉例來說，假設您可以使用 40 種記錄類型擷取資料，但只傳送 20 種記錄的資料，動態磚就會顯示 50%。

  • CDIR 警告：顯示從 GCTI 規則集或雲端威脅中的規則引發的警告數量。您可以使用「時間」篩選器，設定要顯示這項資料的天數。

  • 近期快訊：顯示近期快訊及其嚴重程度和風險分數。您可以使用「事件時間戳記時間」欄排序表格，並前往各個快訊查看更多資訊。這項指標會顯示由 Security Command Center 強化處理的安全性發現項目總數。這些安全防護發現項目是由 GCTI 精選的偵測規則集產生，並依發現項目類型分類。您可以使用「時間」篩選器，設定要顯示這項資料的天數。

  • 依嚴重程度顯示一段時間內的快訊：顯示依嚴重程度分類的快訊總數，以及一段時間內的趨勢。您可以使用「時間」篩選器，設定要顯示這項資料的天數。

  • 偵測涵蓋範圍：提供 Google Security Operations SIEM 規則集及其狀態、偵測總數，以及最近一次偵測的日期。您可以使用「時間」篩選器，設定要顯示這項資料的天數。

  • 雲端資料涵蓋範圍：提供所有可用服務、涵蓋各項服務的剖析器、首次出現的事件、上次出現的事件，以及總輸送量等資訊。 Google Cloud

如要進一步瞭解 CDIR 規則集，請參閱「雲端威脅類別總覽」。

表格下方是所有 Google Cloud 服務的圖表，以及相關聯的資料，顯示下列時間間隔的擷取趨勢：

  • 過去 24 小時
  • 過去 30 天
  • 最近六個月

情境感知偵測 - 風險資訊主頁

情境感知偵測 - 風險資訊主頁可深入瞭解企業中資產和使用者目前的威脅狀態。這是使用「規則偵測」探索介面中的欄位所建構。

嚴重程度和風險分數值是各項規則中定義的變數。如需範例，請參閱「結果專區語法」。每個面板中的資料都會依嚴重程度排序，然後依風險分數排序，以找出風險最高的使用者和資產。

您可以在「Context Aware Detections - Risk」資訊主頁中查看下列視覺化圖表：

  • 有風險的資產和裝置：根據您在「中繼資料」 >「嚴重程度」中設定的規則，列出前 10 項資產。請參閱中繼資料區段語法。嚴重程度分為「超高」、「重大」、「高」、「大」、「中」和「低」。如果記錄中沒有 hostname 值，系統會顯示 IP 位址。
  • 高風險使用者：根據嚴重程度列出前 10 位使用者。嚴重程度分為「極高」、「重大」、「高」、「大」、「中」和「低」。如果記錄中沒有 username 值，系統會顯示電子郵件 ID。
  • 匯總風險：顯示每個日期的匯總風險總分。
  • 偵測結果：顯示偵測引擎規則傳回的偵測詳細資料。表格包含規則名稱、偵測 ID、風險評分和嚴重程度。

資料擷取和健康資訊主頁

「資料擷取和健康狀態」資訊主頁會提供資訊，說明擷取至 Google Security Operations SIEM 租戶的資料類型、量和健康狀態。您可以使用這個資訊主頁監控環境中的異常狀況。這個資訊主頁會提供視覺化資料，協助您瞭解擷取的記錄數量、擷取錯誤和其他相關資訊。

您可以在「資料擷取和健康狀態」資訊主頁中查看下列視覺化資料：

  • 資訊主頁上設定的全域時間篩選器會套用至下列視覺化內容：

    • 擷取的事件數：顯示擷取的事件總數。
    • 依輸送量劃分的記錄類型分布：依輸送量顯示記錄類型分布。
    • 處理量：顯示擷取處理量。
    • 依事件數劃分的記錄類型分布：根據各記錄類型的事件數，顯示記錄類型分布。
    • 擷取錯誤數：顯示擷取期間發生的錯誤總數。
    • 擷取 - 依狀態分類的事件：顯示事件表格，並依狀態排序，可依欄位排序：日期、擷取的記錄、標準化事件、剖析錯誤、驗證錯誤、建立索引錯誤。
    • 爆量限制圖表 - 擷取率：顯示一段時間內的每小時記錄擷取率 (請參閱爆量限制)。
    • 爆量限制圖表 - 配額限制：顯示一段時間內的每小時記錄檔擷取配額 (請參閱爆量限制)。
    • 爆量拒絕圖表：顯示因超過爆量限制而遭拒的記錄每小時數量 (請參閱爆量限制)。
    • 擷取 - 依記錄類型列出事件：依記錄類型顯示事件，並可依欄排序：記錄類型、擷取處理量、擷取的記錄、標準化事件、剖析錯誤、驗證錯誤、索引錯誤。
    • Bindplane 代理程式記錄 - 記錄 (依嚴重性) 隨時間變化：顯示記錄數量 (依嚴重性) 隨時間變化。只有在 Google SecOps 從 Bindplane 代理程式擷取記錄時，資訊主頁才會顯示這項視覺化資料。
    • Bindplane 代理程式記錄 - 訊息計數：依訊息文字顯示記錄數量，並可依「嚴重程度」、「訊息」、「總計」、「首次出現時間」和「上次出現時間」欄排序。只有在 Google SecOps 從 Bindplane 代理程式擷取記錄時，資訊主頁才會顯示這項視覺化資料。

  • 下列視覺化圖表的預選時間範圍不會受到全域時間篩選條件影響：

    • 近期擷取的事件：顯示各記錄類型近期擷取的事件。
    • 每日記錄資訊：顯示各記錄類型的每日記錄數量。
    • 事件計數 (過去 24 小時)和事件大小 (過去 24 小時)：顯示過去 24 小時的事件計數和事件大小。
    • 事件計數 (最近 7 天)和事件大小 (最近 7 天)：顯示最近 7 天的事件計數和事件大小。
    • 「事件計數 (最近 3 個月)」和「事件大小 (最近 3 個月)」：顯示最近 3 個月的事件計數和事件大小。
    • 擷取 - 每小時處理量：顯示每小時的擷取處理量。
    • 擷取 - 每週輸送量：顯示每週擷取輸送量。
    • 擷取 - 輸送量 (過去 6 個月)：顯示過去 6 個月的擷取輸送量。
    • 擷取 - 輸送量 (歷來)：顯示所有有資料的年份，每年擷取的輸送量。
    • 主辦方回報事件後的天數 (過去 7 天)：顯示主辦方回報事件後的天數 (過去 7 天)。

IoC 比對結果資訊主頁

「IoC Matches」資訊主頁會顯示企業中存在的 IoC。

您可以在「IoC Matches」資訊主頁中查看下列視覺化內容：

  • 依類別顯示 IoC 比對結果隨時間的變化：根據 IoC 比對結果的類別，顯示比對次數。
  • 前 10 大網域 IoC 指標：列出前 10 大網域 IoC 指標及其計數。
  • 前 10 大 IP IoC 指標：列出前 10 大 IP 位址 IoC 指標及其計數。
  • 前 10 項 IoC 比對資產：列出前 10 項 IoC 比對資產，以及比對次數。
  • 依類別、類型和計數列出的前 10 個 IoC 比對項目：依類別、類型和計數列出前 10 個 IoC 比對項目。
  • 前 10 大 IoC 值：列出前 10 大 IoC 值和計數。
  • 前 10 個罕見值：列出前 10 個罕見的 IoC 相符項目及其計數。

「IoC Matches」(IoC 相符項目) 視覺化效果包含「Filter-only fields」(篩選器限定欄位) 下的「Event Timestamp Filter」(事件時間戳記篩選器)。

規則偵測資訊主頁

「規則偵測」資訊主頁會顯示偵測引擎規則傳回的偵測結果。如要接收偵測結果，請啟用規則。 詳情請參閱「針對即時資料執行規則」。

您可以在「規則偵測」資訊主頁中查看下列視覺化內容：

  • 一段時間內的規則偵測次數：顯示一段時間內的規則偵測次數。
  • 依嚴重程度分類的規則偵測項目：顯示規則偵測項目的嚴重程度。
  • 一段時間內依嚴重程度偵測到的規則：顯示一段時間內每天依嚴重程度偵測到的規則數量。
  • 偵測次數排名前 10 的規則名稱：列出偵測次數最多的前 10 項規則。
  • 規則偵測結果 (依名稱和時間)：顯示每天傳回偵測結果的規則，以及傳回的偵測結果數量。
  • 按規則偵測次數排序的前 10 位使用者：列出事件中出現的前 10 個使用者 ID，這些事件觸發了偵測。
  • 依規則偵測結果列出的前 10 個資產名稱：列出在觸發偵測的事件中出現的前 10 個資產名稱，例如主機名稱。
  • 按規則偵測次數排序的前 10 個 IP：列出觸發偵測的事件中，出現次數最多的前 10 個 IP 位址。

使用者登入總覽資訊主頁

使用者登入總覽資訊主頁可深入分析登入企業的使用者。這項資訊有助於追蹤惡意行為人嘗試存取您企業的行為。

舉例來說，您可能會發現特定使用者嘗試從您沒有辦公室的國家/地區存取企業，或是特定使用者似乎重複存取會計應用程式。

您可以在「使用者登入總覽」資訊主頁中查看下列視覺化資料：

  • 成功登入次數：顯示成功登入的總次數。
  • 登入失敗次數：顯示登入失敗的總次數。
  • 依狀態劃分的登入次數：顯示登入成功和失敗的次數。
  • 登入狀態隨時間變化：顯示時間範圍內登入成功和失敗的次數。
  • 登入次數前 10 名的應用程式：根據登入次數，顯示前 10 名常用應用程式的分布情況。
  • 依應用程式登入：列出每個應用程式的登入狀態計數。系統會根據您在 security_result.action 欄位中定義的記錄資料，填入各個應用程式的計數。請參閱「事件列舉型別」。
  • 登入次數最多的前 10 個國家/地區：顯示使用者登入次數最多的前 10 個國家/地區。
  • 登入次數 (按國家/地區劃分)：顯示使用者登入時所在的國家/地區總數。
  • 前 10 大登入 IP：顯示使用者登入時所用的前 10 大 IP 位址。
  • 登入位置地圖：顯示使用者登入時的 IP 位址位置。
  • 登入狀態前 10 名使用者：顯示每位使用者的登入狀態計數。系統會根據您在 security_result.action 欄位中定義的記錄資料，填入各個應用程式的計數。請參閱「事件列舉型別」。

後續步驟

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。