Configura i report pianificati

Supportata in:

Google SecOps

Nota: questa funzionalità è coperta dai Termini delle offerte pre-GA dei Termini di servizio specifici di Google Security Operations. Le funzionalità pre-GA potrebbero avere supporto limitato e le modifiche alle funzionalità pre-GA potrebbero non essere compatibili con altre versioni pre-GA. Per saperne di più, consulta le linee guida per i servizi di assistenza tecnica di Google SecOps e i Termini di servizio specifici di Google SecOps.
Se questa funzionalità non è visibile nel tuo ambiente, consulta Gestisci le funzionalità in anteprima o contatta l'amministratore di sistema.

Questo documento descrive la funzionalità dei report pianificati di Google Security Operations, che ti consente di creare, gestire e distribuire report generati dalle dashboard di Google SecOps esistenti. Puoi utilizzare i report pianificati per condividere insight chiave sulla sicurezza inviandoli come report inviati per email ricorrenti agli stakeholder.

La funzionalità dei report pianificati supporta diversi casi d'uso comuni:

• Condividi insight chiave sulla sicurezza con la tua organizzazione o i tuoi clienti.
• Condividere un'istantanea una tantum di una dashboard con un manager dopo un'indagine.
• Invia un'email al tuo team con un riepilogo periodico ricorrente delle metriche di sicurezza principali.

Funzionalità principali

• Pianificazione flessibile: definisci la frequenza di pubblicazione (oraria, giornaliera, settimanale e mensile) e il fuso orario. Puoi anche inviare un singolo report immediatamente.
• Più formati di report: PDF, PNG e CSV.
• Più metodi di consegna:
  • Allegati email: invia i report come allegati di file direttamente alle caselle di posta in arrivo dei destinatari.
  • Consegna GCS sicura: carica i report in un bucket Cloud Storage di proprietà del cliente all'interno del tuo progetto Google e invia notifiche via email con un link sicuro ai report ai destinatari con le autorizzazioni necessarie.

Prima di iniziare

Questa sezione contiene i requisiti e i prerequisiti per la funzionalità dei report pianificati di Google Security Operations.

Autorizzazioni per visualizzare, creare e modificare

Le autorizzazioni di controllo dell'accesso basato su ruoli (RBAC) determinano chi può visualizzare, creare e modificare i report pianificati.

Quando crei un report, questo viene eseguito con le tue autorizzazioni RBAC.

La tabella seguente elenca le autorizzazioni necessarie per i report inviati per email:

Autorizzazioni IAM	Finalità
chronicle.googleapis.com/dashboardScheduledReports.get	Visualizza report.
chronicle.googleapis.com/dashboardScheduledReports.list	Visualizza l'elenco dei report.
chronicle.googleapis.com/dashboardScheduledReports.fetchHistory	Visualizzare la cronologia della pianificazione dei report.
chronicle.googleapis.com/dashboardScheduledReports.create	Creare nuovi report.
chronicle.googleapis.com/dashboardScheduledReports.update	Aggiornare i report.
chronicle.googleapis.com/dashboardScheduledReports.delete	Elimina report.
chronicle.googleapis.com/dashboardScheduledReports.duplicate	Crea una copia dei report.
chronicle.googleapis.com/dashboardScheduledReports.trigger	Generare report.

Lista consentita per i domini email di destinazione

Un amministratore tenant configura una lista consentita dei domini email esterni a cui Google SecOps può inviare report. Questa procedura consente di garantire che Google SecOps invii i report solo ai domini approvati.

Per configurare la lista consentita di domini email esterni:

1. Vai a Impostazioni > Amministrazione > Impostazioni email SIEM. Viene visualizzata la finestra di dialogo Email Domains (Domini email) contenente una tabella con le seguenti colonne:

   • Dominio: i domini email esterni a cui Google SecOps può inviare report, ovvero messaggi email contenenti un link sicuro ai report o messaggi email con un report come allegato.
   • Data di aggiunta: la data e l'ora in cui il dominio è stato aggiunto all'elenco.
   • Aggiunto da: l'utente che ha aggiunto il dominio all'elenco.
   • Azione: elimina il dominio facendo clic sull'icona del cestino.

2. Fai clic su Add New Domain (Aggiungi nuovo dominio). Viene visualizzata la finestra di dialogo Inserisci nuovo dominio nella lista consentita.

3. Nel campo Dominio, inserisci il dominio e fai clic su Salva. La finestra di dialogo si chiude e il dominio viene visualizzato nella tabella.

4. Ripeti i due passaggi precedenti come necessario.

Crea un report pianificato

Ogni tenant di Google SecOps può avere un massimo di 50 report pianificati configurati.

Nota: dopo aver creato un report pianificato, puoi eseguire varie azioni, ad esempio inviarlo immediatamente. Per saperne di più, consulta Gestisci i report esistenti.

Per creare un report pianificato, completa i seguenti passaggi:

1. Vai alla pagina Report e fai clic su Crea nuovo report. Viene visualizzata la finestra di dialogo Crea nuovo report.

2. Segui questi passaggi:

   • Nel riquadro Dettagli, segui questi passaggi:

     • Nella casella Nome report, inserisci un nome univoco.
     • (Facoltativo) Nella casella Descrizione report, inserisci una descrizione.

   • Nel riquadro Dati, segui questi passaggi:

     • Dall'elenco Dashboard, seleziona la dashboard i cui contenuti sono inclusi nel report.
     • Seleziona o deseleziona la casella di controllo Ambiti globali. Quando la casella di controllo Ambito globale è selezionata, l'elenco Ambiti dei dati non è disponibile e il report include tutti i dati senza restrizioni basate sull'ambito.
     • Se la casella di controllo Ambito globale è deselezionata, seleziona almeno un ambito RBAC dall'elenco Ambiti di dati.

     Nella parte inferiore del riquadro Dati, la casella Filtri mostra i filtri e gli override temporali applicabili alla dashboard.

   • Nel riquadro Pubblicazione, nella sezione Pianifica invio, seleziona una delle seguenti opzioni di Tipo di pianificazione:

     • Base: la pianificazione viene eseguita in base ai parametri Ora, Giorni, Mesi e Fuso orario specificati. I parametri secondari e le opzioni dipendono dalla configurazione. Ad esempio, dopo aver scelto l'opzione del parametro Ora, Esegui a un'ora specifica o Ripeti ogni ora, i parametri aggiuntivi corrispondenti cambiano di conseguenza.

       Nella parte inferiore dei parametri di pianificazione Base, la casella Esecuzioni in base alla selezione mostra i tempi di generazione previsti del primo e del secondo report.

     • Avanzate: la pianificazione viene eseguita in base all'espressione CRON nella casella CRON e al fuso orario selezionato dall'elenco Fuso orario.

       Nella parte inferiore dei parametri di pianificazione Avanzate, la casella Traduzione CRON mostra la pianificazione in un formato leggibile, ad esempio 1:35PM, every day.

   • Nel riquadro Recapito, nella sezione Recapito email, seleziona una delle seguenti opzioni:

     • Carica report in GCS e invia link via email (più sicuro): Google SecOps carica il report in un bucket Cloud Storage all'interno del tuo progetto Google e invia i link via email ai destinatari con le autorizzazioni necessarie. Se fa clic sul link, il destinatario può scaricare il file del report direttamente dal bucket Cloud Storage.

       Se nel sistema è stato salvato un report con questa opzione, viene visualizzato l'identificatore del bucket (ad esempio, dsr-999123456789-a1b2c3d4-e5f6-4a5b-8c9d-0123456789ab).

       Se questo è il primo report nel sistema con questa opzione selezionata, segui questi passaggi:

       1. Fai clic su Esegui il provisioning del bucket GCS. Si apre la finestra di dialogo Provisioning bucket GCS.
       2. Leggi il testo e fai clic su Attiva e continua.
       3. Concedi le autorizzazioni in lettura necessarie al bucket per gli utenti che ricevono i link al report.

     • Invia report come allegati di file nell'email: Google SecOps invia il report via email come allegato ai destinatari specificati. Questa opzione è meno sicura dell'opzione Carica report in GCS….

   • Nel riquadro Pubblicazione, nella sezione Pubblicazione email, configura i seguenti parametri per definire il modo in cui Google SecOps invia i messaggi email per il report:

     • Oggetto dell'email: modifica il testo predefinito in base alle esigenze.
     • Corpo dell'email: modifica il testo predefinito in base alle esigenze.
     • Destinatari: inserisci un indirizzo email e fai clic su Aggiungi. L'indirizzo email viene visualizzato nella casella ID email dei destinatari. Assicurati che il dominio del destinatario sia incluso nella lista consentita.

     La dimensione massima del file di un report è 10 MB.

   • Nel riquadro Formato, scegli il formato del report:

     • CSV: ideale per le versioni stampabili e di sola lettura della dashboard.
     • PDF: formato dell'immagine adatto per l'incorporamento nelle presentazioni.
     • PNG: esportazioni di dati non elaborati da grafici e tabelle della dashboard.

3. Fai clic su Salva per attivare il report pianificato.

Gestisci i report esistenti

La pagina Report mostra i dettagli di base di tutti i report a cui hai accesso, consentendoti di monitorare lo stato (Attivo o Non attivo), l'ora dell'ultima esecuzione, l'ora dell'ultima modifica e lo stato dell'ultima esecuzione (Riuscito, In corso o Errore).

Per eseguire un'azione su un report esistente:

1. Vai alla pagina Report.
2. Passa il mouse sopra la riga pertinente e fai clic su Altro.
3. Seleziona un'azione dalla tabella seguente. Alcune azioni richiedono di salvare le modifiche o di confermare l'azione.

Azione	Opzione	Descrizione
Visualizza dettagli e cronologia	Visualizza dettagli e cronologia	Mostra la cronologia delle esecuzioni e gli eventuali messaggi di errore di recapito.
Modifica un report	Modifica configurazione	Apre la finestra di dialogo Modifica report, in cui puoi modificare le impostazioni. Per informazioni sulle impostazioni dei report, consulta Crea un report pianificato.
Inviare il report immediatamente	Consegna ora	Invia il report immediatamente.
Fissa un report	Fissa	Mantiene il report nella parte superiore della pagina Report.
Copia un report	Duplica	Crea una copia duplicata del report.
Elimina un report	Elimina	Rimuove definitivamente il report dopo la conferma dell'azione.

Concedi le autorizzazioni in lettura al bucket con il report

La prima volta che viene creato un report con l'opzione di invio GCS (l'opzione Carica report in GCS e invia link via email (più sicuro)), devi completare un flusso di lavoro di provisioning una tantum. Questo processo crea il bucket Cloud Storage all'interno del tuo progetto BYOP (Bring your own project), che è collegato al tuo account di fatturazione Google Cloud .

Dopo questa configurazione iniziale, le configurazioni dei report successive utilizzeranno automaticamente il bucket esistente.

Una volta eseguito il provisioning del bucket, la gestione dell'accesso è di tua responsabilità. Devi concedere manualmente l'accesso in lettura al bucket a tutti i destinatari delle email specificati nella configurazione del report. A seconda dei requisiti di sicurezza, puoi scegliere tra l'accesso a livello di bucket o di cartella.

Nota: l'archiviazione dei report in un bucket Cloud Storage in un progetto BYOP (Bring your own project) comporta costi aggiuntivi.

Per concedere le autorizzazioni in lettura necessarie al bucket per gli utenti che ricevono i link di Cloud Storage:

1. Nella console Google Google Cloud , vai alla pagina Bucket Cloud Storage.
2. Nell'elenco dei bucket, fai clic sul nome del bucket, che inizia con il prefisso dsr- (ad esempio, dsr-999123456789-a1b2c3d4-e5f6-4a5b-8c9d-0123456789ab).
3. Scegli un livello di accesso.

4. Scegli l'opzione più adatta alle esigenze della tua organizzazione:

   • Accesso a livello di bucket: utilizza questa opzione per consentire ai destinatari di accedere a tutti i report inviati al bucket. L'utilizzo di questa opzione è più comodo, ma concede ai destinatari un accesso più ampio. Per configurare questa opzione:

     1. Seleziona la scheda Autorizzazioni nella parte superiore della pagina.
     2. Fai clic su Concedi l'accesso.
     3. Nel campo Nuove entità, inserisci l'identificatore del destinatario (ad esempio user:[e-mail] o serviceAccount:[e-mail]).

     4. Nella sezione Assegna ruoli, esegui una delle seguenti operazioni:

        • Seleziona Storage Object Viewer. Per trovare rapidamente l'opzione, puoi digitare Storage Object Viewer nella casella del filtro.
        • Per l'accesso con privilegio minimo a livello di bucket, assegna un ruolo personalizzato contenente solo l'autorizzazione storage.objects.get.

     5. Fai clic su Salva.

   • Accesso a livello di cartella: Google SecOps crea una cartella univoca per ogni report pianificato. Utilizza questa opzione per assicurarti che i destinatari accedano solo a dati dei report specifici. Per configurare questa opzione:

     1. Nell'elenco degli oggetti del bucket, individua la cartella corrispondente al report pianificato specifico.
     2. Fai clic sulla casella di controllo accanto al nome della cartella.
     3. Nel riquadro informazioni a destra (fai clic su Mostra riquadro informazioni se non è visibile), seleziona la scheda Autorizzazioni.
     4. Fai clic su Concedi l'accesso.
     5. Nel campo Nuove entità, inserisci l'identificatore del destinatario (ad esempio user:[e-mail] o serviceAccount:[e-mail]).

     6. Nella sezione Assegna ruoli, esegui una delle seguenti operazioni:

        • Seleziona Storage Object Viewer. Per trovare rapidamente l'opzione, puoi digitare Storage Object Viewer nella casella del filtro.
        • Per l'accesso con privilegio minimo a livello di cartella, assegna un ruolo personalizzato contenente solo l'autorizzazione storage.objects.get.

     7. Fai clic su Salva.

Crittografia dei dati e conformità alla sicurezza

Quando Google SecOps genera e invia report pianificati, protegge i tuoi dati con i controlli di sicurezza standard Google Cloud per l'archiviazione e la trasmissione:

• Recapito diretto delle email: gestito tramite il servizio Google Message Router (GMR).
  • At-rest: tutti i dati archiviati da Google vengono criptati a livello di archiviazione utilizzando l'algoritmo Advanced Encryption Standard (AES-256).
  • In transito: GMR utilizza Transport Layer Security (TLS) per criptare il traffico email e gli allegati.
• Bucket GCS: per i report inviati ai bucket Cloud Storage, i clienti con chiavi di crittografia gestite dal cliente (CMEK) possono criptare il bucket con la propria chiave, assicurando che gli allegati dei report vengano archiviati con questa crittografia.

Per esaminare informazioni dettagliate sulla conformità, consulta Gestione dei report di conformità di Google Cloud.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.