Configurar relatórios programados

Compatível com:

Google SecOps

Observação: esse recurso é coberto pelos Termos de produtos e recursos em pré-GA dos Termos específicos de serviço do Google Security Operations. Os recursos pré-GA podem ter suporte limitado, e as mudanças realizadas podem não ser compatíveis com outras versões pré-GA. Para mais informações, consulte as diretrizes do serviço de suporte técnico do Google SecOps e os Termos específicos de serviço do Google SecOps.
Se esse recurso não estiver visível no seu ambiente, consulte Gerenciar recursos em fase de pré-lançamento ou entre em contato com o administrador do sistema.

Este documento descreve o recurso de relatórios programados do Google Security Operations, que permite criar, gerenciar e distribuir relatórios gerados com base nos painéis do Google SecOps. Você pode usar relatórios programados para compartilhar insights de segurança importantes, enviando-os como relatórios enviados por e-mail recorrentes para as partes interessadas.

O recurso de relatórios programados é compatível com vários casos de uso comuns:

• Compartilhe insights de segurança importantes com sua organização ou seus clientes.
• Compartilhar um snapshot único de um painel com um gerente após uma investigação.
• Envie um e-mail para sua equipe com um resumo periódico recorrente das principais métricas de segurança.

Principais recursos

• Programação flexível: defina a frequência de entrega (por hora, diária, semanal e mensal) e o fuso horário. Também é possível enviar um único relatório imediatamente.
• Vários formatos de relatório: PDF, PNG e CSV.
• Vários métodos de entrega:
  • Anexos de e-mail: envia relatórios como anexos de arquivo diretamente para as caixas de entrada dos destinatários.
  • Entrega segura do GCS: faz upload de relatórios para um bucket do Cloud Storage de propriedade do cliente no seu projeto do Google e envia notificações por e-mail com um link seguro para os relatórios aos destinatários com as permissões necessárias.

Antes de começar

Esta seção contém os requisitos e pré-requisitos para o recurso de relatórios programados do Google Security Operations.

Permissões para visualizar, criar e modificar

As permissões de controle de acesso baseado em função (RBAC) determinam quem pode visualizar, criar e modificar relatórios programados.

Quando você cria um relatório, ele é executado com suas permissões de RBAC.

A tabela a seguir lista as permissões necessárias para relatórios por e-mail:

Permissão do IAM	Finalidade
chronicle.googleapis.com/dashboardScheduledReports.get	Visualizar relatórios.
chronicle.googleapis.com/dashboardScheduledReports.list	Confira a lista de relatórios.
chronicle.googleapis.com/dashboardScheduledReports.fetchHistory	Ver o histórico de programação dos relatórios.
chronicle.googleapis.com/dashboardScheduledReports.create	Criar novos relatórios.
chronicle.googleapis.com/dashboardScheduledReports.update	Atualizar relatórios.
chronicle.googleapis.com/dashboardScheduledReports.delete	Excluir relatórios.
chronicle.googleapis.com/dashboardScheduledReports.duplicate	Fazer uma cópia dos relatórios.
chronicle.googleapis.com/dashboardScheduledReports.trigger	Gerar relatórios.

Lista de permissões para domínios de e-mail de destino

Um administrador de locatário configura uma lista de permissões dos domínios de e-mail externos para os quais o Google SecOps pode enviar relatórios. Esse processo ajuda a garantir que o Google SecOps envie relatórios apenas para domínios aprovados.

Para configurar a lista de permissões de domínios de e-mail externos, faça o seguinte:

1. Acesse Configurações > Administração > Configurações de e-mail do SIEM. A caixa de diálogo Domínios de e-mail é aberta e exibe uma tabela com as seguintes colunas:

   • Domínio: os domínios de e-mail externos para os quais o Google SecOps pode enviar relatórios, ou seja, mensagens de e-mail com um link seguro para relatórios ou mensagens de e-mail com um relatório como anexo.
   • Data de adição: a data e a hora em que o domínio foi adicionado à lista.
   • Adicionado por: o usuário que adicionou o domínio à lista.
   • Ação: exclua o domínio clicando no ícone de lixeira.

2. Clique em Adicionar novo domínio. A caixa de diálogo Adicionar novo domínio à lista de permissões é aberta.

3. No campo Domínio, digite o domínio e clique em Salvar. A caixa de diálogo é fechada, e o domínio é exibido na tabela.

4. Repita as duas etapas anteriores conforme necessário.

Criar um relatório programado

Cada locatário do Google SecOps pode ter no máximo 50 relatórios programados configurados.

Observação: depois de criar um relatório programado, você pode realizar várias ações nele, por exemplo, para enviá-lo imediatamente. Para mais informações, consulte Gerenciar relatórios.

Para criar um relatório programado, siga estas etapas:

1. Acesse a página Relatórios e clique em Criar novo relatório. A caixa de diálogo Criar novo relatório é aberta.

2. Faça o seguinte:

   • No painel Detalhes, faça o seguinte:

     • Na caixa Nome do relatório, insira um nome exclusivo.
     • Opcional: na caixa Descrição do relatório, insira uma descrição.

   • No painel Dados, faça o seguinte:

     • Na lista Painel, selecione o painel que contém o conteúdo do relatório.
     • Marque ou desmarque a caixa de seleção Escopos globais. Quando a caixa de seleção Escopo global está marcada, a lista Escopos de dados fica indisponível, e o relatório inclui todos os dados sem restrições baseadas em escopo.
     • Se a caixa de seleção Escopo global estiver desmarcada, selecione pelo menos um escopo de RBAC na lista Escopos de dados.

     Na parte de baixo do painel Dados, a caixa Filtros mostra os filtros e as substituições de período aplicáveis ao painel.

   • No painel Entrega, na seção Programar entrega, selecione uma das seguintes opções de Tipo de programação:

     • Básico: a programação é executada de acordo com os parâmetros Horário, Dias, Meses e Fuso horário especificados. Os subparâmetros e as opções dependem da sua configuração. Por exemplo, depois de escolher a opção de parâmetro Horário, Executar em um horário específico ou Repetir a cada hora, os parâmetros adicionais correspondentes mudam de acordo.

       Na parte de baixo dos parâmetros de programação Básicos, a caixa Execuções de acordo com a seleção mostra os horários de geração esperados do primeiro e do segundo relatório.

     • Avançado: a programação é executada de acordo com a expressão CRON na caixa CRON e o fuso horário selecionado na lista Fuso horário.

       Na parte de baixo dos parâmetros de programação Avançados, a caixa Tradução do CRON mostra a programação em um formato legível por humanos, por exemplo, 1:35PM, every day.

   • No painel Entrega, na seção Entrega de e-mail, selecione uma das seguintes opções:

     • Fazer upload do relatório no GCS e enviar o link por e-mail (mais seguro): o Google SecOps faz upload do relatório para um bucket do Cloud Storage no seu projeto do Google e envia links por e-mail para os destinatários com as permissões necessárias. Ao clicar no link, o destinatário pode baixar o arquivo de relatório diretamente do bucket do Cloud Storage.

       Se algum relatório com essa opção já tiver sido salvo no sistema, o identificador do bucket será exibido (por exemplo, dsr-999123456789-a1b2c3d4-e5f6-4a5b-8c9d-0123456789ab).

       Se esse for o primeiro relatório no seu sistema com essa opção selecionada, faça o seguinte:

       1. Clique em Provisionar bucket do GCS. A caixa de diálogo Provisionamento de bucket do GCS será aberta.
       2. Leia o texto e clique em Ativar e continuar.
       3. Conceda as permissões de leitura necessárias no bucket aos usuários que vão receber os links para o relatório.

     • Enviar relatório como arquivo anexo por e-mail: o Google SecOps envia o relatório por e-mail como um arquivo anexo para os destinatários especificados. Essa opção é menos segura do que Fazer upload do relatório no GCS….

   • No painel Envio, na seção Envio de e-mail, configure os seguintes parâmetros para definir como o Google SecOps envia mensagens de e-mail para o relatório:

     • Assunto do e-mail: modifique o texto padrão conforme necessário.
     • Corpo do e-mail: modifique o texto padrão conforme necessário.
     • Destinatários: digite um endereço de e-mail e clique em Adicionar. O endereço de e-mail é exibido na caixa IDs de e-mail dos destinatários. Verifique se o domínio do destinatário está na lista de permissões.

     O tamanho máximo de arquivo para um relatório é de 10 MB.

   • No painel Formato, escolha o formato do relatório:

     • CSV: ideal para versões somente leitura e para impressão do painel.
     • PDF: formato da imagem adequado para incorporação em apresentações.
     • PNG: exportações de dados brutos de gráficos e tabelas do painel.

3. Clique em Salvar para ativar o relatório programado.

Gerenciar relatórios

A página Relatórios mostra detalhes básicos de todos os relatórios que você pode acessar, permitindo monitorar o status (Ativo ou Inativo), o horário da última execução, o horário da última modificação e o status da última execução (Sucesso, Em andamento ou Erro).

Para realizar uma ação em um relatório, faça o seguinte:

1. Acesse a página Relatórios.
2. Passe o cursor sobre a linha relevante e clique em Mais.
3. Selecione uma ação na tabela a seguir. Algumas ações exigem que você salve as mudanças ou confirme a ação.

Ação	Opção	Descrição
Conferir detalhes e histórico	Conferir detalhes e histórico	Mostra o histórico de execução e as mensagens de falha na entrega.
Editar um relatório	Editar configuração	Abre a caixa de diálogo Editar relatório, em que é possível modificar as configurações. Para mais informações sobre as configurações de relatório, consulte Criar um relatório programado.
Enviar o relatório imediatamente	Enviar agora	Envia o relatório imediatamente.
Fixar um relatório	Fixar	Mantém o relatório na parte de cima da página Relatórios.
Copiar um relatório	Duplicar	Cria uma cópia do relatório.
Excluir um relatório	Excluir	Remove permanentemente o relatório depois que você confirma a ação.

Conceder permissões de leitura ao bucket com o relatório

Na primeira vez que um relatório é criado com a opção de entrega do GCS (Fazer upload do relatório no GCS e enviar o link por e-mail (mais seguro)), é necessário concluir um fluxo de trabalho de provisionamento único. Esse processo cria o bucket do Cloud Storage no seu projeto de propriedade do cliente (BYOP), que está vinculado à sua conta de faturamento do Google Cloud .

Após essa configuração inicial, as configurações de relatório subsequentes vão usar automaticamente o bucket atual.

Depois que o bucket for provisionado, você será responsável por gerenciar o acesso. É preciso conceder manualmente acesso de leitura ao bucket para todos os destinatários de e-mail especificados na configuração do relatório. Dependendo dos seus requisitos de segurança, é possível escolher entre o acesso no nível do bucket ou da pasta.

Observação: o armazenamento de relatórios em um bucket do Cloud Storage em um projeto de propriedade do cliente (BYOP, na sigla em inglês) incorrerá em custos adicionais de armazenamento.

Siga estas etapas para conceder as permissões de leitura necessárias no bucket aos usuários que recebem os links do Cloud Storage:

1. No console do Google Google Cloud , acesse a página Buckets do Cloud Storage.
2. Na lista de buckets, clique no nome do bucket, que começa com o prefixo dsr- (por exemplo, dsr-999123456789-a1b2c3d4-e5f6-4a5b-8c9d-0123456789ab).
3. Escolha um nível de acesso.

4. Escolha a opção que melhor atende às necessidades da sua organização:

   • Acesso no nível do bucket: use essa opção para que os destinatários tenham acesso a todos os relatórios enviados ao bucket. Essa opção é mais conveniente, mas concede aos destinatários um acesso mais amplo. Para configurar essa opção, faça o seguinte:

     1. Selecione a guia Permissões na parte superior da página.
     2. Clique em Permitir acesso.
     3. No campo Novos principais, insira o identificador do destinatário (por exemplo, user:[e-mail] ou serviceAccount:[e-mail]).

     4. Na seção Atribuir papéis, siga um destes procedimentos:

        • Selecione Leitor de objetos do Storage. Para encontrar a opção rapidamente, digite Storage Object Viewer na caixa de filtro.
        • Para acesso de privilégio mínimo no nível do bucket, atribua um papel personalizado que contenha apenas a permissão storage.objects.get.

     5. Clique em Salvar.

   • Acesso no nível da pasta: o Google SecOps cria uma pasta exclusiva para cada relatório programado. Use essa opção para garantir que os destinatários acessem apenas dados específicos do relatório. Para configurar essa opção, faça o seguinte:

     1. Na lista de objetos do bucket, localize a pasta correspondente ao relatório programado específico.
     2. Clique na caixa de seleção ao lado do nome da pasta.
     3. No painel de informações à direita (clique em Mostrar painel de informações se não estiver visível), selecione a guia Permissões.
     4. Clique em Permitir acesso.
     5. No campo Novos principais, insira o identificador do destinatário (por exemplo, user:[e-mail] ou serviceAccount:[e-mail]).

     6. Na seção Atribuir papéis, siga um destes procedimentos:

        • Selecione Leitor de objetos do Storage. Para encontrar a opção rapidamente, digite Storage Object Viewer na caixa de filtro.
        • Para acesso com privilégio mínimo no nível da pasta, atribua um papel personalizado que contenha apenas a permissão storage.objects.get.

     7. Clique em Salvar.

Criptografia de dados e compliance de segurança

Quando o Google SecOps gera e envia relatórios programados, ele protege seus dados com controles padrão Google Cloud de segurança de armazenamento e transmissão:

• Entrega direta de e-mails: processada pelo serviço Google Message Router (GMR).
  • Em repouso: todos os dados armazenados pelo Google são criptografados na camada de armazenamento pelo algoritmo Padrão de criptografia avançada (AES-256).
  • Em trânsito: o GMR usa o Transport Layer Security (TLS) para criptografar o tráfego de e-mails e os anexos.
• Buckets do GCS: para relatórios enviados a buckets do Cloud Storage, os clientes que usam chaves de criptografia gerenciadas pelo cliente (CMEK) podem criptografar o bucket com a própria chave, garantindo que os anexos do relatório sejam armazenados com essa criptografia.

Para conferir informações detalhadas sobre compliance, consulte o Gerenciador de relatórios de compliance do Google Cloud.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.