Panoramica delle dashboard

Supportato in:

Questo documento fornisce una guida tecnica per l'utilizzo del motore dei dashboard di Google Security Operations per creare visualizzazioni di dati in flussi di telemetria disparati.

Il framework delle dashboard è basato su un'architettura modulare in cui i singoli widget (grafici) si interfacciano con origini dati specifiche utilizzando la sintassi YARA-L 2.0. Utilizzando le proprietà dello schema YARA-L e le funzioni di aggregazione, puoi creare visualizzazioni per il monitoraggio in tempo reale, l'analisi delle minacce e l'audit operativo.

Per un'analisi più approfondita dell'infrastruttura della dashboard sottostante, consulta la Panoramica delle dashboard.

Prima di iniziare

Verifica che l'istanza Google SecOps soddisfi i seguenti requisiti di configurazione:

Autorizzazioni IAM richieste

Per accedere alle dashboard sono necessarie le seguenti autorizzazioni:

Autorizzazioni IAM Finalità
chronicle.nativeDashboards.list Visualizza l'elenco di tutte le dashboard.
chronicle.nativeDashboards.get Visualizza una dashboard, applica un filtro dashboard e applica il filtro globale.
chronicle.nativeDashboards.create Crea una nuova dashboard.
chronicle.nativeDashboards.duplicate Crea una copia di una dashboard esistente.
chronicle.nativeDashboards.update Aggiungi e modifica i grafici, aggiungi un filtro, modifica l'accesso alla dashboard e gestisci il filtro temporale globale.
chronicle.nativeDashboards.delete Elimina una dashboard.

Informazioni sulle dashboard

Le dashboard forniscono insight su eventi di sicurezza, rilevamenti e dati correlati. Questa sezione descrive le origini dati supportate e spiega in che modo il controllo degli accessi basato su ruoli (RBAC) influisce sulla visibilità e sull'accesso ai dati all'interno delle dashboard.

Catalogo delle dashboard predefinite

Google Security Operations fornisce dashboard selezionate pronte all'uso progettate per la visibilità in vari casi d'uso della sicurezza. Anche se non puoi modificare o eliminare le dashboard selezionate, puoi crearne una copia e personalizzarla in base ai requisiti specifici della tua organizzazione.

Per esplorare tutte le dashboard predefinite disponibili, esaminare le descrizioni dei grafici e visualizzare le query di ricerca sottostanti per i singoli widget, consulta il catalogo delle dashboard predefinite. Per le panoramiche operative delle dashboard predefinite comuni, vedi Panoramica delle dashboard curate comuni.

  • investigation
  • response_platform_info
  • case_name
  • feedback_summary
  • feedback_history
  • soar_alert
  • soar_alert_metadata

Origini dati supportate

Le dashboard includono le seguenti origini dati, ciascuna con il proprio limite di tempo per le query e il prefisso YARA-L:

Origine dati Intervallo di tempo della query Prefisso YARA-L Schema Esempi di dashboard
Cronologia della richiesta 365 giorni case_history Campi (SOAR) | Modello Esempi
Richieste e avvisi 365 giorni case Campi (SOAR) | Modello Esempi
Tabelle dati Nessun limite di tempo autonomo (regolato dall'origine dati unita) % Definito dall'utente Esempi
Rilevamenti 365 giorni detection Campi | Modello Esempi
Grafico entità 365 giorni graph Campi | Modello Esempi
Eventi 90 giorni no prefix Campi (UDM) | Modello Esempi
Metriche di importazione 365 giorni ingestion Campi | Modello Esempi
IoCs 365 giorni ioc Campi | Modello Esempi
Playbook 365 giorni playbook Campi (SOAR) | Modello Esempi
Set di regole 365 giorni ruleset Campi | Modello Esempi
Regole Nessun limite di tempo rules Campi | Modello Esempi
Agente di triage e indagine 365 giorni gemini_investigation, gemini_investigation_feedback Campi | Modello Esempi

Impatto di RBAC dei dati

Controllo dell'accesso basato su ruoli (RBAC) dei dati è un modello di sicurezza che utilizza ruoli utente individuali per limitare l'accesso degli utenti ai dati all'interno di un'organizzazione. L'RBAC dei dati consente agli amministratori di definire gli ambiti e assegnarli agli utenti, garantendo che l'accesso sia limitato solo ai dati necessari per le loro funzioni lavorative. Tutte le query nelle dashboard seguono le regole RBAC dei dati. Per saperne di più sui controlli degli accessi e sugli ambiti, consulta Controlli degli accessi e ambiti nel RBAC dei dati. Per saperne di più su RBAC basato sui dati per le dashboard, consulta Configura RBAC basato sui dati per le dashboard.

Eventi, grafico delle entità e corrispondenze IOC

I dati restituiti da queste origini sono limitati agli ambiti di accesso assegnati all'utente, garantendo che vengano visualizzati solo i risultati dei dati autorizzati. Se un utente ha più ambiti, le query includono i dati di tutti gli ambiti assegnati. I dati al di fuori degli ambiti accessibili dell'utente non vengono visualizzati nei risultati di ricerca della dashboard.

Regole

Gli utenti possono visualizzare solo le regole associate agli ambiti assegnati.

Rilevamento e set di regole con rilevamenti

I rilevamenti vengono generati quando i dati di sicurezza in entrata corrispondono ai criteri definiti in una regola. Gli utenti possono visualizzare solo i rilevamenti che hanno origine da regole associate ai loro ambiti assegnati. I set di regole con rilevamenti sono visibili solo agli utenti globali.

Origini dati SOAR

Le dashboard con dati SOAR, come Richieste, Cronologia richieste, Playbook e Avvisi, sono visibili solo agli utenti globali.

Le dashboard Casi e Cronologia delle richieste non supportano i meccanismi di accesso SOAR (come ambienti e ruoli SOC). Un utente con le autorizzazioni per accedere alle dashboard può visualizzare le richieste in tutti gli ambienti e i ruoli SOC.

Metriche di importazione

I componenti di importazione sono servizi o pipeline che importano i log nella piattaforma dai feed dei log di origine. Ogni componente raccoglie un insieme specifico di campi di log all'interno del proprio schema delle metriche di importazione.

Gli amministratori possono utilizzare il controllo dell'accesso basato sui ruoli per le metriche di importazione per limitare la visibilità dei dati sull'integrità del sistema, come volume di importazione, errori e throughput, in base all'ambito aziendale di un utente.

La dashboard di acquisizione e integrità dei dati utilizza gli ambiti di accesso ai dati. Quando un utente con ambito carica la dashboard, il sistema filtra automaticamente le metriche per mostrare solo i dati che corrispondono alle etichette assegnate.

Puoi filtrare utilizzando le seguenti etichette:

  • Namespace: il metodo principale per la segregazione (ad esempio Eu-Prod, Alpha-Corp).
  • Tipo di log: segregazione basata sui ruoli (ad esempio GCP_VPC_FLOW, CROWDSTRIKE_EDR).
  • Origine di importazione: monitoraggio granulare dell'origine (ad esempio, ID forwarder specifico).

Tipi di log imprevisti nelle metriche di importazione

Alcune dashboard potrebbero mostrare voci per tipi di log come UNSPECIFIED_LOG_TYPE o identificatori interni, tra cui LT_X (dove X è un numero). Questi identificatori LT_X vengono utilizzati all'interno del sistema Google SecOps per identificare in modo univoco i tipi di log personalizzati creati da un cliente.

Queste voci possono essere visualizzate anche se l'importazione dati o l'analisi completa per questi tipi di log specifici non è stata completata correttamente. Questo accade perché alcune metriche di sistema vengono registrate indipendentemente dallo stato di importazione finale.

Per concentrarti sui dati importati e analizzati correttamente, puoi utilizzare le funzionalità di filtro all'interno dell'interfaccia della dashboard per escludere o filtrare in modo specifico UNSPECIFIED_LOG_TYPE e altri identificatori di tipi di log interni imprevisti dalle tue visualizzazioni.

Discrepanze tra il volume dei log non elaborati e il volume dei log della dashboard

Il totale di ingestion.log_volume mostrato in un grafico della dashboard (ad esempio, una query che filtra in base a ingestion.component = "Ingestion API" per gli ultimi 365 giorni) può differire dal volume cumulativo dei log non elaborati per i seguenti motivi:

  • Limiti di intervallo di tempo e lookback: l'interfaccia di Google SecOps non mostra un contatore di importazione cumulativo di tutti i tempi dal momento in cui è stato eseguito il provisioning dell'istanza. Non puoi calcolare un totale complessivo oltre il limite di query di 365 giorni nelle dashboard di Google SecOps, nemmeno nel grafico curato Ingestion - Throughput (All-Time). Per le istanze Bring Your Own Project (BYOP), puoi eseguire query fino a 24 mesi in Cloud Monitoring.
  • Origine dati e pipeline: il volume dei log non elaborati riflette le dimensioni in byte dei batch di log non elaborati nello spazio di archiviazione. Le dashboard eseguono query sulla tabella ingestion_metrics, che raccoglie i dati di telemetria in modo asincrono a intervalli di circa 5 minuti. Poiché la pipeline delle metriche può subire latenza di raccolta o cali temporanei delle metriche, considera i totali di ingestion.log_volume della dashboard come indicatori approssimativi anziché come conteggi esatti dei byte. Per un'analisi dettagliata di dove calcolare il volume di importazione e di come i valori differiscono tra gli strumenti, consulta Dove calcolare il volume di importazione e come differiscono i valori.

Limitazioni

  • Etichetta personalizzata: l'assegnazione di un ambito utente che contiene un'etichetta personalizzata, ad esempio un'etichetta creata utilizzando un'espressione regolare UDM o tabelle di dati, disattiva automaticamente l'RBAC per le metriche di importazione per quell'utente. Di conseguenza, l'utente non vedrà alcun dato nelle proprie dashboard. Per gli ambiti di monitoraggio dell'importazione, devi utilizzare solo etichette standard come tipo di log, spazio dei nomi e origine importazione.

  • Limitazione dell'origine di importazione: il filtro per origine di importazione si applica solo alla metrica Conteggio log. I grafici che mostrano le metriche relative alla larghezza di banda (byte) o ai tassi di errore potrebbero non mostrare dati se filtrati rigorosamente in base all'origine di importazione. Google consiglia di filtrare per spazio dei nomi per un monitoraggio più ampio dello stato.

Funzionalità avanzate e monitoraggio

Per perfezionare i rilevamenti e migliorare la visibilità, puoi utilizzare configurazioni avanzate, come le regole YARA-L 2.0 e le metriche di importazione. Questa sezione esplora queste informazioni sulle funzionalità, aiutandoti a ottimizzare l'efficienza del rilevamento e a monitorare l'elaborazione dei dati.

Proprietà YARA-L 2.0

YARA-L 2.0 ha le seguenti proprietà uniche quando viene utilizzato nelle dashboard:

  • Nelle dashboard sono disponibili altre origini dati, come il grafico delle entità, le metriche di importazione, i set di regole e i rilevamenti. Alcune di queste origini dati non sono ancora disponibili nelle regole YARA-L e nella ricerca Unified Data Model (UDM).

  • Consulta Funzioni YARA-L 2.0 per i dashboard di Google Security Operations e le funzioni di aggregazione che includono misure statistiche.

  • La query in YARA-L 2.0 deve contenere una sezione match o outcome oppure entrambe.

  • La sezione events di una regola YARA-L è implicita e non deve essere dichiarata nelle query.

  • La sezione condition di una regola YARA-L non è disponibile per le dashboard.

  • Le dashboard non supportano le regole della categoria Analisi dei rischi per UEBA.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.