Dashboards – Übersicht

Unterstützt in:

Dieses Dokument enthält eine technische Anleitung zur Verwendung der Google Security Operations Dashboards-Engine, um Datenvisualisierungen über verschiedene Telemetrieströme hinweg zu erstellen.

Das Dashboard-Framework basiert auf einer modularen Architektur, bei der einzelne Widgets (Diagramme) über die YARA-L 2.0-Syntax mit bestimmten Datenquellen interagieren. Mithilfe der YARA-L-Schemaeigenschaften und Aggregationsfunktionen können Sie Visualisierungen für Echtzeit-Monitoring, Bedrohungsanalysen und betriebliche Audits erstellen.

Weitere Informationen zur zugrunde liegenden Dashboard-Infrastruktur finden Sie in der Dashboard-Übersicht.

Hinweis

Prüfen Sie, ob Ihre Google SecOps-Instanz die folgenden Konfigurationsanforderungen erfüllt:

Erforderliche IAM-Berechtigungen

Die folgenden Berechtigungen sind erforderlich, um auf Dashboards zuzugreifen:

IAM-Berechtigung Zweck
chronicle.nativeDashboards.list Liste aller Dashboards ansehen
chronicle.nativeDashboards.get Dashboard aufrufen, Dashboard-Filter anwenden und globalen Filter anwenden.
chronicle.nativeDashboards.create Neues Dashboard erstellen
chronicle.nativeDashboards.duplicate Kopie eines vorhandenen Dashboards erstellen
chronicle.nativeDashboards.update Diagramme hinzufügen und bearbeiten, Filter hinzufügen, Dashboard-Zugriff ändern und globalen Zeitfilter verwalten.
chronicle.nativeDashboards.delete Dashboard löschen

Dashboards

Dashboards bieten Einblicke in Sicherheitsereignisse, Erkennungen und zugehörige Daten. In diesem Abschnitt werden die unterstützten Datenquellen beschrieben und es wird erläutert, wie sich die rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC) auf die Sichtbarkeit und den Datenzugriff in den Dashboards auswirkt.

Katalog mit vordefinierten Dashboards

Google Security Operations bietet sofort einsatzbereite, kuratierte Dashboards, die für die Sichtbarkeit in verschiedenen Sicherheitsanwendungsfällen entwickelt wurden. Sie können kuratierte Dashboards zwar nicht bearbeiten oder löschen, aber Sie können eine Kopie erstellen und sie an die spezifischen Anforderungen Ihrer Organisation anpassen.

Eine Übersicht über alle verfügbaren vordefinierten Dashboards, die Beschreibungen der Diagramme und die zugrunde liegenden Suchanfragen für einzelne Widgets finden Sie im Katalog der vordefinierten Dashboards. Eine Übersicht über die gängigen vordefinierten Dashboards finden Sie unter Übersicht über gängige kuratierte Dashboards.

  • investigation
  • response_platform_info
  • case_name
  • feedback_summary
  • feedback_history
  • soar_alert
  • soar_alert_metadata

Unterstützte Datenquellen

Dashboards enthalten die folgenden Datenquellen, jeweils mit einem eigenen Abfragezeitlimit und YARA-L-Präfix:

Datenquelle Zeitintervall für Abfragen YARA-L-Präfix Schema Beispiele für Dashboards
Verlauf der Anfrage 365 Tage case_history Felder (SOAR) | Vorlage Beispiele
Fälle und Benachrichtigungen 365 Tage case Felder (SOAR) | Vorlage Beispiele
Datentabellen Kein eigenständiges Zeitlimit (wird durch die zusammengeführte Datenquelle bestimmt) % Benutzerdefiniert Beispiele
Erkennungen 365 Tage detection Felder | Vorlage Beispiele
Entitätsdiagramm 365 Tage graph Felder | Vorlage Beispiele
Ereignisse 90 Tage no prefix Felder (UDM) | Vorlage Beispiele
Aufnahmemesswerte 365 Tage ingestion Felder | Vorlage Beispiele
IoCs 365 Tage ioc Felder | Vorlage Beispiele
Playbooks 365 Tage playbook Felder (SOAR) | Vorlage Beispiele
Regelsätze 365 Tage ruleset Felder | Vorlage Beispiele
Regeln Kein Zeitlimit rules Felder | Vorlage Beispiele
KI-Agent für Priorisierung und Untersuchung 365 Tage gemini_investigation, gemini_investigation_feedback Felder | Vorlage Beispiele

Auswirkungen der RBAC für Daten

Die datenbasierte rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC) ist ein Sicherheitsmodell, mit dem der Nutzerzugriff auf Daten in einer Organisation mithilfe von individuellen Nutzerrollen eingeschränkt wird. Mit der Daten-RBAC können Administratoren Bereiche definieren und Nutzern zuweisen. So wird der Zugriff auf die Daten beschränkt, die für ihre Aufgaben erforderlich sind. Alle Abfragen in Dashboards unterliegen den RBAC-Regeln für Daten. Weitere Informationen zu Zugriffssteuerungen und Bereichen finden Sie unter Zugriffssteuerungen und Bereiche in der Daten-RBAC. Weitere Informationen zur rollenbasierten Zugriffssteuerung für Dashboards finden Sie unter Rollenbasierte Zugriffssteuerung für Dashboards konfigurieren.

Ereignisse, Entitätsdiagramm und IoC-Übereinstimmungen

Die aus diesen Quellen zurückgegebenen Daten sind auf die dem Nutzer zugewiesenen Zugriffsbereiche beschränkt. So wird sichergestellt, dass er nur Ergebnisse aus autorisierten Daten sieht. Wenn ein Nutzer mehrere Bereiche hat, enthalten Abfragen Daten aus allen zugewiesenen Bereichen. Daten außerhalb der zugänglichen Bereiche des Nutzers werden in den Suchergebnissen des Dashboards nicht angezeigt.

Regeln

Nutzer können nur Regeln sehen, die mit den ihnen zugewiesenen Bereichen verknüpft sind.

Erkennung und Regelsätze mit Erkennungen

Erkennungen werden generiert, wenn eingehende Sicherheitsdaten den in einer Regel definierten Kriterien entsprechen. Nutzer können nur Erkennungen sehen, die von Regeln stammen, die mit ihren zugewiesenen Bereichen verknüpft sind. Die Regelsätze mit Erkennungen sind nur für globale Nutzer sichtbar.

SOAR-Datenquellen

Dashboards mit SOAR-Daten wie Fälle, Fallverlauf, Playbooks und Benachrichtigungen sind nur für globale Nutzer sichtbar.

SOAR-Zugriffsmechanismen (z. B. Umgebungen und SOC-Rollen) werden in Dashboards für Fälle und den Fallverlauf nicht unterstützt. Ein Nutzer mit Berechtigungen für den Zugriff auf Dashboards kann Fälle in allen Umgebungen und SOC-Rollen aufrufen.

Aufnahmemesswerte

Aufnahmekomponenten sind Dienste oder Pipelines, mit denen Logs aus Quell-Logfeeds in die Plattform aufgenommen werden. Jede Komponente erfasst eine bestimmte Gruppe von Logfeldern in ihrem eigenen Schema für Aufnahmemesswerte.

Administratoren können die rollenbasierte Zugriffssteuerung für Messwerte zur Aufnahme verwenden, um die Sichtbarkeit von Systemzustandsdaten wie Aufnahmevolumen, Fehler und Durchsatz basierend auf dem Geschäftsbereich eines Nutzers einzuschränken.

Das Dashboard für Datenaufnahme und -integrität verwendet Datenzugriffsbereiche. Wenn ein Nutzer mit eingeschränktem Zugriff das Dashboard aufruft, werden die Messwerte automatisch gefiltert, sodass nur Daten angezeigt werden, die den zugewiesenen Labels entsprechen.

Sie können nach den folgenden Labels filtern:

  • Namespace: Die primäre Methode zur Trennung (z. B. Eu-Prod, Alpha-Corp).
  • Logtyp: Rollenbasierte Trennung (z. B. GCP_VPC_FLOW, CROWDSTRIKE_EDR).
  • Aufnahmequelle: Granulare Quellennachverfolgung (z. B. bestimmte Spediteur-ID).

Unerwartete Logtypen in Aufnahmemesswerten

In einigen Dashboards werden möglicherweise Einträge für Protokolltypen wie UNSPECIFIED_LOG_TYPE oder interne Kennungen, einschließlich LT_X (wobei X eine Zahl ist), angezeigt. Diese LT_X-IDs werden im Google SecOps-System verwendet, um benutzerdefinierte Logtypen, die von einem Kunden erstellt wurden, eindeutig zu identifizieren.

Diese Einträge können auch dann angezeigt werden, wenn die vollständige Datenaufnahme oder das Parsing für diese spezifischen Logtypen nicht erfolgreich abgeschlossen wurde. Das liegt daran, dass bestimmte Systemmesswerte unabhängig vom endgültigen Aufnahmestatus erfasst werden.

Wenn Sie sich auf erfolgreich aufgenommene und geparste Daten konzentrieren möchten, können Sie die Filterfunktionen in der Dashboard-Oberfläche verwenden, um UNSPECIFIED_LOG_TYPE und andere unerwartete interne Logtyp-IDs aus Ihren Ansichten auszuschließen oder herauszufiltern.

Abweichungen zwischen dem Rohlogvolumen und dem Logvolumen im Dashboard

Die in einem Dashboard-Diagramm angezeigte Gesamtzahl von ingestion.log_volume (z. B. bei einer Abfrage, die für die letzten 365 Tage nach ingestion.component = "Ingestion API" filtert) kann aus folgenden Gründen von Ihrem kumulativen Rohlogvolumen abweichen:

  • Zeitbereich und Lookback-Limits: In der Google SecOps-Benutzeroberfläche wird kein kumulativer Zähler für die Aufnahme seit der Bereitstellung Ihrer Instanz angezeigt. In Google SecOps-Dashboards können Sie keine Gesamtsumme für alle Zeiten berechnen, die über das Abfragelimit von 365 Tagen hinausgeht, auch nicht im kuratierten Diagramm Ingestion – Throughput (All-Time). Bei BYOP-Instanzen (Bring Your Own Project) können Sie bis zu 24 Monate in Cloud Monitoring abfragen.
  • Datenquelle und Pipeline: Das Rohlogvolumen entspricht der Bytegröße von Rohlog-Batches im Speicher. Für Dashboards wird die Tabelle ingestion_metrics abgefragt, in der Telemetriedaten asynchron in Intervallen von etwa 5 Minuten erfasst werden. Da es in der Messwertpipeline zu Erfassungslatenzen oder vorübergehenden Messwertabfällen kommen kann, sollten Sie die Summen im Dashboard ingestion.log_volume als ungefähre Indikatoren und nicht als genaue Byteanzahl betrachten. Eine Aufschlüsselung dazu, wo das Aufnahmevolumen berechnet wird und wie sich die Werte zwischen den Tools unterscheiden, finden Sie unter Wo das Aufnahmevolumen berechnet wird und wie sich die Werte unterscheiden.

Beschränkungen

  • Benutzerdefiniertes Label: Wenn Sie einen Nutzerbereich zuweisen, der ein benutzerdefiniertes Label enthält, z. B. ein Label, das mit einem regulären UDM-Ausdruck oder Datentabellen erstellt wurde, wird die RBAC für Aufnahmemesswerte für diesen Nutzer automatisch deaktiviert. Daher sehen Nutzer keine Daten in ihren Dashboards. Für Bereiche zur Überwachung der Aufnahme dürfen Sie nur Standardlabels wie „Log Type“ (Protokolltyp), „Namespace“ und „Ingestion Source“ (Aufnahmequelle) verwenden.

  • Einschränkung der Aufnahmequelle: Das Filtern nach Aufnahmequelle gilt nur für den Messwert „Loganzahl“. In Diagrammen, in denen Messwerte für Bandbreite (Byte) oder Fehlerraten angezeigt werden, sind möglicherweise keine Daten zu sehen, wenn sie strikt nach Aufnahmequelle gefiltert werden. Google empfiehlt, nach Namespace zu filtern, um ein umfassenderes Monitoring des Zustands zu ermöglichen.

Erweiterte Funktionen und Monitoring

Wenn Sie die Erkennung optimieren und die Sichtbarkeit verbessern möchten, können Sie erweiterte Konfigurationen wie YARA-L 2.0-Regeln und Aufnahmemesswerte verwenden. In diesem Abschnitt werden diese Feature-Statistiken erläutert, damit Sie die Erkennungseffizienz optimieren und die Datenverarbeitung überwachen können.

YARA-L 2.0-Attribute

YARA-L 2.0 hat die folgenden einzigartigen Eigenschaften, wenn es in Dashboards verwendet wird:

  • In Dashboards sind zusätzliche Datenquellen wie Entitätsdiagramme, Aufnahmemesswerte, Regelsätze und Erkennungen verfügbar. Einige dieser Datenquellen sind in YARA-L-Regeln und der UDM-Suche (Unified Data Model) noch nicht verfügbar.

  • Weitere Informationen finden Sie unter YARA-L 2.0-Funktionen für Google Security Operations-Dashboards und Aggregatfunktionen, die statistische Messwerte enthalten.

  • Die Abfrage in YARA-L 2.0 muss einen match- oder einen outcome-Abschnitt oder beides enthalten.

  • Der Abschnitt events einer YARA-L-Regel ist implizit und muss in Abfragen nicht deklariert werden.

  • Der condition-Abschnitt einer YARA-L-Regel ist für Dashboards nicht verfügbar.

  • Dashboards unterstützen keine Regeln aus der Kategorie „Risikoanalyse für UEBA“.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten