Dashboards – Übersicht

Unterstützt in:

Dieses Dokument enthält eine technische Anleitung zur Verwendung der Google Security Operations Dashboards-Engine zum Erstellen von Datenvisualisierungen für unterschiedliche Telemetriestreams.

Das Dashboards-Framework basiert auf einer modularen Architektur, in der einzelne Widgets (Diagramme) über die YARA-L 2.0-Syntax mit bestimmten Datenquellen interagieren. Mithilfe der YARA-L-Schemaeigenschaften und Aggregationsfunktionen können Sie Visualisierungen für Echtzeit-Monitoring, Bedrohungsanalyse und betriebliche Audits erstellen.

Weitere Informationen zur zugrunde liegenden Dashboard-Infrastruktur finden Sie in der Dashboard-Übersicht.

Hinweis

Prüfen Sie, ob Ihre Google SecOps-Instanz die folgenden Konfigurationsanforderungen erfüllt:

Erforderliche IAM-Berechtigungen

Die folgenden Berechtigungen sind für den Zugriff auf Dashboards erforderlich:

IAM-Berechtigung Zweck
chronicle.nativeDashboards.list Liste aller Dashboards aufrufen
chronicle.nativeDashboards.get Dashboard ansehen, Dashboardfilter anwenden und globalen Filter anwenden.
chronicle.nativeDashboards.create Neues Dashboard erstellen
chronicle.nativeDashboards.duplicate Kopie eines vorhandenen Dashboards erstellen
chronicle.nativeDashboards.update Diagramme hinzufügen und bearbeiten, Filter hinzufügen, Dashboardzugriff ändern und globalen Zeitfilter verwalten.
chronicle.nativeDashboards.delete Dashboard löschen

Dashboards

Dashboards bieten Einblicke in Sicherheitsereignisse, Erkennungen und zugehörige Daten. In diesem Abschnitt werden die unterstützten Datenquellen beschrieben und es wird erläutert, wie sich die rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC) auf die Sichtbarkeit und den Datenzugriff in den Dashboards auswirkt.

  • investigation
  • response_platform_info
  • case_name
  • feedback_summary
  • feedback_history
  • soar_alert
  • soar_alert_metadata

Unterstützte Datenquellen

Dashboards enthalten die folgenden Datenquellen mit dem entsprechenden YARA-L-Präfix:

Datenquelle Zeitintervall für Abfragen YARA-L-Präfix Schema Beispiele für Dashboards
Ereignisse 90 Tage no prefix Felder (UDM) | Vorlage Beispiele
Entitätsdiagramm 365 Tage graph Felder | Vorlage Beispiele
Messwerte für die Aufnahme 365 Tage ingestion Felder | Vorlage Beispiele
Anfragen und Benachrichtigungen 365 Tage case Felder (SOAR) | Vorlage Beispiele
Verlauf der Anfrage 365 Tage case_history Felder (SOAR) | Vorlage Beispiele
Playbooks 365 Tage playbook Felder (SOAR) | Vorlage Beispiele
Erkennungen 365 Tage detection Felder | Vorlage Beispiele
Regeln Kein Zeitlimit rules Felder | Vorlage Beispiele
Regelsätze 365 Tage ruleset Felder | Vorlage Beispiele
IoCs 365 Tage ioc Felder | Vorlage Beispiele

Auswirkungen von RBAC für Daten

Die datenbasierte rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC) ist ein Sicherheitsmodell, bei dem der Nutzerzugriff auf Daten innerhalb einer Organisation mithilfe von individuellen Nutzerrollen eingeschränkt wird. Mit der rollenbasierten Zugriffssteuerung für Daten können Administratoren Bereiche definieren und Nutzern zuweisen. So wird der Zugriff auf die für ihre Aufgaben erforderlichen Daten beschränkt. Für alle Abfragen in Dashboards gelten die Regeln für die rollenbasierte Zugriffssteuerung für Daten. Weitere Informationen zu Zugriffssteuerungen und Bereichen finden Sie unter Zugriffssteuerungen und Bereiche in der rollenbasierten Zugriffssteuerung für Daten. Weitere Informationen zu datenbezogenem RBAC für Dashboards finden Sie unter Datenbezogenes RBAC für Dashboards konfigurieren.

Ereignisse, Entity Graph und IOC-Übereinstimmungen

Die von diesen Quellen zurückgegebenen Daten sind auf die dem Nutzer zugewiesenen Zugriffsbereiche beschränkt. So werden nur Ergebnisse aus autorisierten Daten angezeigt. Wenn ein Nutzer mehrere Bereiche hat, enthalten Abfragen Daten aus allen zugewiesenen Bereichen. Daten, die außerhalb der für den Nutzer zugänglichen Bereiche liegen, werden nicht in den Suchergebnissen des Dashboards angezeigt.

Regeln

Nutzer können nur Regeln sehen, die mit ihren zugewiesenen Bereichen verknüpft sind.

Erkennung und Regelsätze mit Erkennungen

Erkennungen werden generiert, wenn eingehende Sicherheitsdaten den in einer Regel definierten Kriterien entsprechen. Nutzer können nur Erkennungen sehen, die auf Regeln basieren, die mit ihren zugewiesenen Bereichen verknüpft sind. Die Regelsätze mit erkannten Verstößen sind nur für globale Nutzer sichtbar.

SOAR-Datenquellen

Fälle und Benachrichtigungen, Playbooks und der Fallverlauf sind nur für globale Nutzer sichtbar.

Messwerte für die Aufnahme

Aufnahmekomponenten sind Dienste oder Pipelines, die Logs aus Quell-Logfeeds in die Plattform übertragen. Jede Komponente erfasst eine bestimmte Gruppe von Logfeldern in ihrem eigenen Schema für Erfassungs-Messwerte.

Administratoren können die rollenbasierte Zugriffssteuerung für Erfassungsstatistiken verwenden, um die Sichtbarkeit von Systemzustandsdaten wie Erfassungsvolumen, Fehler und Durchsatz basierend auf dem Geschäftsbereich eines Nutzers einzuschränken.

Für das Dashboard „Data Ingestion and Health“ werden Data Access-Bereiche verwendet. Wenn ein Nutzer mit eingeschränktem Zugriff das Dashboard lädt, werden die Messwerte automatisch gefiltert, sodass nur Daten angezeigt werden, die den zugewiesenen Labels entsprechen.

Sie können nach den folgenden Labels filtern:

  • Namespace: Die primäre Methode zur Trennung (z. B. Eu-Prod, Alpha-Corp).
  • Protokolltyp: Rollenbasierte Trennung (z. B. GCP_VPC_FLOW, CROWDSTRIKE_EDR).
  • Aufnahmequelle: Granulare Quellenverfolgung (z. B. bestimmte Spediteur-ID).

Beschränkungen

  • Benutzerdefiniertes Label: Wenn einem Nutzerbereich, der ein benutzerdefiniertes Label enthält, z. B. ein Label, das mit einem regulären Ausdruck oder Datentabellen für UDM erstellt wurde, ein Nutzerbereich zugewiesen wird, wird die rollenbasierte Zugriffssteuerung für Erfassungs-Messwerte für diesen Nutzer automatisch deaktiviert. Daher sehen Nutzer keine Daten in ihren Dashboards. Für Bereiche zur Überwachung der Aufnahme dürfen Sie nur Standardlabels wie „Log Type“, „Namespace“ und „Ingestion Source“ verwenden.

  • Einschränkung der Aufnahmequelle: Das Filtern nach Aufnahmequelle gilt nur für den Messwert „Anzahl der Logs“. In Diagrammen mit Messwerten für Bandbreite (Bytes) oder Fehlerraten werden möglicherweise keine Daten angezeigt, wenn sie streng nach Erfassungsquelle gefiltert werden. Google empfiehlt, für eine umfassendere Systemdiagnose nach Namespace zu filtern.

Erweiterte Funktionen und Monitoring

Mit erweiterten Konfigurationen wie YARA-L 2.0-Regeln und Aufnahmemesswerten können Sie die Erkennung optimieren und die Sichtbarkeit verbessern. In diesem Abschnitt werden diese Statistiken zu Funktionen erläutert. So können Sie die Effizienz der Erkennung optimieren und die Datenverarbeitung überwachen.

YARA-L 2.0-Eigenschaften

YARA-L 2.0 hat die folgenden einzigartigen Eigenschaften, wenn es in Dashboards verwendet wird:

  • Zusätzliche Datenquellen wie Entity-Diagramme, Ingestion-Messwerte, Regelsätze und Erkennungen sind in Dashboards verfügbar. Einige dieser Datenquellen sind noch nicht in YARA-L-Regeln und UDM-Suchen (Unified Data Model) verfügbar.

  • Weitere Informationen finden Sie unter YARA-L 2.0-Funktionen für Google Security Operations-Dashboards und Aggregatfunktionen, die statistische Messwerte enthalten.

  • Die Abfrage in YARA-L 2.0 muss einen match- oder einen outcome-Abschnitt oder beides enthalten.

  • Der events-Abschnitt einer YARA-L-Regel ist impliziert und muss nicht in Abfragen deklariert werden.

  • Der condition-Abschnitt einer YARA-L-Regel ist für Dashboards nicht verfügbar.

  • Dashboards unterstützen keine Regeln aus der Kategorie „Risk Analytics for UEBA“.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten