Panoramica delle dashboard

Supportato in:

Questo documento fornisce una guida tecnica per l'utilizzo del motore delle dashboard di Google Security Operations per creare visualizzazioni di dati in flussi di telemetria disparati.

Il framework delle dashboard si basa su un'architettura modulare in cui i singoli widget (grafici) interagiscono con origini dati specifiche utilizzando la sintassi YARA-L 2.0. Utilizzando le proprietà dello schema YARA-L e le funzioni di aggregazione, puoi creare visualizzazioni per il monitoraggio in tempo reale, l'analisi delle minacce e il controllo operativo.

Per un approfondimento dell'infrastruttura delle dashboard sottostante, consulta la panoramica delle dashboard.

Prima di iniziare

Verifica che l'istanza di Google SecOps soddisfi i seguenti requisiti di configurazione:

Autorizzazioni IAM richieste

Per accedere alle dashboard sono necessarie le seguenti autorizzazioni:

Autorizzazioni IAM Finalità
chronicle.nativeDashboards.list Visualizza l'elenco di tutte le dashboard.
chronicle.nativeDashboards.get Visualizza una dashboard, applica un filtro della dashboard, e applica il filtro globale.
chronicle.nativeDashboards.create Crea una nuova dashboard.
chronicle.nativeDashboards.duplicate Crea una copia di una dashboard esistente.
chronicle.nativeDashboards.update Aggiungi e modifica i grafici, aggiungi un filtro, modifica l'accesso alla dashboard e gestisci il filtro temporale globale.
chronicle.nativeDashboards.delete Elimina una dashboard.

Informazioni sulle dashboard

Le dashboard forniscono informazioni dettagliate su eventi di sicurezza, rilevamenti e dati correlati. Questa sezione descrive le origini dati supportate e spiega in che modo il controllo dell'accesso basato sui ruoli (RBAC) influisce sulla visibilità e sull'accesso ai dati all'interno delle dashboard.

  • investigation
  • response_platform_info
  • case_name
  • feedback_summary
  • feedback_history
  • soar_alert
  • soar_alert_metadata

Origini dati supportate

Le dashboard includono le seguenti origini dati, ognuna con il prefisso YARA-L corrispondente:

Origine dati Intervallo di tempo della query Prefisso YARA-L Schema Esempi di dashboard
Cronologia della richiesta 365 giorni case_history Campi (SOAR) | Modello Esempi
Richieste e avvisi 365 giorni case Campi (SOAR) | Modello Esempi
Rilevamenti 365 giorni detection Campi | Modello Esempi
Grafico entità 365 giorni graph Campi | Modello Esempi
Eventi 90 giorni no prefix Campi (UDM) | Modello Esempi
Metriche di importazione 365 giorni ingestion Campi | Modello Esempi
IoCs 365 giorni ioc Campi | Modello Esempi
Playbook 365 giorni playbook Campi (SOAR) | Modello Esempi
Set di regole 365 giorni ruleset Campi | Modello Esempi
Regole Nessun limite di tempo rules Campi | Modello Esempi
Agente di triage e indagine 366 giorni gemini_investigation, gemini_investigation_feedback Campi | Modello Esempi

Impatto dell'RBAC dei dati

Il controllo dell'accesso basato sui ruoli dei dati (RBAC dei dati) è un modello di sicurezza che utilizza i ruoli dei singoli utenti per limitare l'accesso degli utenti ai dati all'interno di un'organizzazione. L'RBAC dei dati consente agli amministratori di definire gli ambiti e assegnarli agli utenti, garantendo che l'accesso sia limitato solo ai dati necessari per le loro funzioni lavorative. Tutte le query nelle dashboard seguono le regole RBAC dei dati. Per ulteriori informazioni sui controlli e sugli ambiti di accesso, consulta Controlli e ambiti di accesso nell'RBAC dei dati. Per ulteriori informazioni sull'RBAC dei dati per le dashboard, consulta Configurare l'RBAC dei dati per le dashboard

Eventi, grafico entità e corrispondenze IOC

I dati restituiti da queste origini sono limitati agli ambiti di accesso assegnati all'utente, garantendo che vengano visualizzati solo i risultati dei dati autorizzati. Se un utente ha più ambiti, le query includono i dati di tutti gli ambiti assegnati. I dati al di fuori degli ambiti accessibili dell'utente non vengono visualizzati nei risultati di ricerca della dashboard.

Regole

Gli utenti possono visualizzare solo le regole associate agli ambiti assegnati.

Rilevamenti e set di regole con rilevamenti

I rilevamenti vengono generati quando i dati di sicurezza in entrata corrispondono ai criteri definiti in una regola. Gli utenti possono visualizzare solo i rilevamenti provenienti da regole associate agli ambiti assegnati. I set di regole con rilevamenti sono visibili solo a gli utenti globali.

Origini dati SOAR

Le dashboard con dati SOAR, come Richieste, Cronologia delle richieste, Playbook e Avvisi, sono visibili solo agli utenti globali.

Le dashboard delle richieste e della cronologia delle richieste non supportano i meccanismi di accesso SOAR (come ambienti e ruoli SOC). Un utente con le autorizzazioni per accedere alle dashboard può visualizzare le richieste in tutti gli ambienti e i ruoli SOC.

Metriche di importazione

I componenti di importazione sono servizi o pipeline che importano i log nella piattaforma dai feed di log di origine. Ogni componente raccoglie un insieme specifico di campi di log all'interno del proprio schema di metriche di importazione.

Gli amministratori possono utilizzare l'RBAC per le metriche di importazione per limitare la visibilità dei dati sullo stato del sistema, come volume di importazione, errori e velocità effettiva, in base all'ambito aziendale di un utente.

La dashboard Importazione e stato dei dati utilizza gli ambiti di accesso ai dati. Quando un utente con ambito carica la dashboard, il sistema filtra automaticamente le metriche per mostrare solo i dati che corrispondono alle etichette assegnate.

Puoi filtrare utilizzando le seguenti etichette:

  • Spazio dei nomi: il metodo principale per la separazione (ad es. Eu-Prod, Alpha-Corp).
  • Tipo di log: separazione basata sui ruoli (ad es. GCP_VPC_FLOW, CROWDSTRIKE_EDR).
  • Origine di importazione: monitoraggio granulare dell'origine (ad es. ID di inoltro specifico).

Tipi di log imprevisti nelle metriche di importazione

Alcune dashboard potrebbero mostrare voci per tipi di log come UNSPECIFIED_LOG_TYPE o identificatori interni, incluso LT_X (dove X è un numero). Questi identificatori LT_X vengono utilizzati all'interno del sistema Google SecOps per identificare in modo univoco i tipi di log personalizzati creati da un cliente.

Queste voci possono essere visualizzate anche se l'importazione o l'analisi completa dei dati per questi tipi di log specifici non è stata completata correttamente. Questo accade perché alcune metriche di sistema vengono registrate indipendentemente dallo stato finale dell'importazione.

Per concentrarti sui dati importati e analizzati correttamente, puoi utilizzare le funzionalità di filtro all'interno dell'interfaccia della dashboard per escludere o filtrare in modo specifico UNSPECIFIED_LOG_TYPE e altri identificatori di tipi di log interni imprevisti dalle tue visualizzazioni.

Limitazioni

  • Etichetta personalizzata: l'assegnazione di un ambito utente contenente un'etichetta personalizzata, ad esempio un'etichetta creata utilizzando espressioni regolari UDM o tabelle di dati, disattiva automaticamente l'RBAC per le metriche di importazione per quell' utente. Di conseguenza, l'utente non vedrà alcun dato nelle dashboard. Per gli ambiti di monitoraggio dell'importazione, devi utilizzare solo etichette standard come Tipo di log, Spazio dei nomi e Origine di importazione.

  • Limitazione dell'origine di importazione: il filtro per origine di importazione si applica solo alla metrica Conteggio log. I grafici che mostrano le metriche della larghezza di banda (byte) o dei tassi di errore potrebbero non mostrare dati se filtrati rigorosamente per origine di importazione. Google consiglia di filtrare per Spazio dei nomi per un monitoraggio dello stato più ampio.

Funzionalità avanzate e monitoraggio

Per ottimizzare i rilevamenti e migliorare la visibilità, puoi utilizzare configurazioni avanzate, come le regole YARA-L 2.0 e le metriche di importazione. Questa sezione esplora queste informazioni dettagliate sulle funzionalità, aiutandoti a ottimizzare l'efficienza del rilevamento e a monitorare l'elaborazione dei dati.

Proprietà YARA-L 2.0

YARA-L 2.0 ha le seguenti proprietà univoche quando viene utilizzato nelle dashboard:

  • Nelle dashboard sono disponibili origini dati aggiuntive, come il grafico entità, le metriche di importazione, i set di regole e i rilevamenti. Alcune di queste origini dati non sono ancora disponibili nelle regole YARA-L e nella ricerca UDM (Unified Data Model).

  • Consulta le funzioni YARA-L 2.0 per le dashboard di Google Security Operations e le funzioni di aggregazione che includono misure statistiche.

  • La query in YARA-L 2.0 deve contenere una sezione match o outcome, o entrambe.

  • La sezione events di una regola YARA-L è implicita e non deve essere dichiarata nelle query.

  • La sezione condition di una regola YARA-L non è disponibile per le dashboard.

  • Le dashboard non supportano le regole della categoria Risk Analytics for UEBA.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.