配置定期生成的报告

支持范围：

本文档介绍了 Google Security Operations 定期生成的报告功能，该功能可让您创建、管理和分发根据现有 Google SecOps 信息中心生成的报告。您可以使用定期生成的报告，以定期电子邮件报告的形式向利益相关方发送关键安全数据洞见，从而分享这些数据洞见。

定期生成的报告功能支持以下几种常见应用场景：

  • 与您的组织或客户分享关键安全数据分析。
  • 在调查后与经理分享信息中心的一次性快照。
  • 向您的小组发送电子邮件，其中包含关键安全指标的周期性摘要。

主要特性

  • 灵活安排时间：定义传送频率（每小时、每天、每周和每月）和时区。您也可以立即发送单个报告。
  • 多种报告格式：PDF、PNG 和 CSV。
  • 多种配送方式：
    • 电子邮件附件：以文件附件形式将报告直接发送到收件人的收件箱。
    • 安全的 GCS 传送：将报告上传到 Google 项目中客户拥有的 Cloud Storage 存储桶，并向拥有必要权限的收件人发送电子邮件通知，其中包含指向报告的安全链接。

准备工作

本部分包含 Google Security Operations 定期生成的报告功能的要求和前提条件。

查看、创建和修改权限

基于角色的访问权限控制 (RBAC) 权限决定了哪些人可以查看、创建和修改定期生成的报告。

当您创建报告时，系统会使用您的 RBAC 权限运行该报告。

下表列出了电子邮件报告所需的权限：

IAM 权限 用途
chronicle.googleapis.com/dashboardScheduledReports.get 查看报告。
chronicle.googleapis.com/dashboardScheduledReports.list 查看报告列表。
chronicle.googleapis.com/dashboardScheduledReports.fetchHistory 查看报告的计划历史记录。
chronicle.googleapis.com/dashboardScheduledReports.create 创建新报告。
chronicle.googleapis.com/dashboardScheduledReports.update 更新报告。
chronicle.googleapis.com/dashboardScheduledReports.delete 删除报告。
chronicle.googleapis.com/dashboardScheduledReports.duplicate 复制报告。
chronicle.googleapis.com/dashboardScheduledReports.trigger 生成报告。

目标电子邮件网域许可清单

租户管理员会配置一个外部电子邮件域名许可清单，Google SecOps 可以向这些域名发送报告。此流程有助于确保 Google SecOps 仅向已获批准的网域发送报告。

如需配置外部电子邮件网域的许可清单，请执行以下操作：

  1. 依次前往设置 > 管理 > SIEM 电子邮件设置。电子邮件域名对话框随即打开，并显示一个包含以下列的表格：

    • 网域：Google SecOps 可向其发送报告的外部电子邮件网域，即包含报告安全链接的电子邮件或包含报告附件的电子邮件。
    • 添加日期：将域名添加到列表中的日期和时间。
    • 添加者：将域名添加到列表中的用户
    • 操作：点击垃圾桶图标删除网域

  2. 点击添加新网域。系统随即会打开将新域名列入许可清单对话框。

  3. 在网域字段中输入网域，然后点击保存。对话框会关闭，并且该网域会显示在表格中。

  4. 根据需要重复上述两个步骤。

创建定期生成的报告

每个 Google SecOps 租户最多可以配置 50 个定期生成的报告。

如需创建定期生成的报告，请完成以下步骤：

  1. 前往报告页面，然后点击创建新报告。系统会打开创建新报告对话框。

  2. 执行以下操作：

    • 在详细信息面板中，执行以下操作：

      • 在报告名称框中，输入一个唯一名称。
      • 可选：在报告说明框中，输入说明。

    • 在数据面板中，执行以下操作：

      • 从信息中心列表中，选择报告包含其内容的信息中心。
      • 选中或取消选中全局范围复选框。选中全局范围复选框后，数据范围列表将不可用，并且报告会包含所有数据，没有任何基于范围的限制。
      • 如果全局范围复选框处于未选中状态，请从数据范围列表中至少选择一个 RBAC 范围。

      在数据面板底部，过滤条件框会显示适用于信息中心的过滤条件和时间覆盖设置。

    • 在传送面板的安排传送部分中，选择以下时间表类型选项之一：

      • 基本：时间表根据指定的时间、日期、月份和时区参数运行。子参数和选项取决于您的配置。例如，在您选择时间参数选项在特定时间运行或每小时重复后，相应的其他参数会随之更改。

        在基本时间表参数底部，根据选择执行框会显示第一份和第二份报告的预期生成时间。

      • 高级：时间表会根据 CRON 框中的 CRON 表达式以及从时区列表中选择的时区运行。

        在高级时间表参数底部，CRON 转换框会以人类可读的形式显示时间表，例如 1:35PM, every day。

    • 在传送面板的电子邮件传送部分中，选择以下选项之一：

      • 将报告上传至 GCS 并通过邮件发送链接（安全性更高）：Google SecOps 会将报告上传到您 Google 项目中的 Cloud Storage 存储桶，并通过邮件将链接发送给具有必要权限的收件人。点击该链接后，收件人可以直接从 Cloud Storage 存储桶下载报告文件。

        如果您的系统中曾保存过任何包含此选项的报告，系统会显示存储桶标识符（例如 dsr-999123456789-a1b2c3d4-e5f6-4a5b-8c9d-0123456789ab）。

        如果这是系统中首个选择此选项的报告，请执行以下操作：

        1. 点击预配 GCS 存储桶。GCS 存储桶预配对话框随即打开。
        2. 阅读文本，然后点击选择启用并继续。
        3. 向收到报告链接的用户授予对存储桶的必要读取权限。

      • 在邮件中以文件附件形式发送报告：Google SecOps 会通过邮件将报告作为文件附件发送给指定的收件人。此选项的安全性低于在 GCS 中上传报告…选项。

    • 在传送面板的电子邮件传送部分中，配置以下参数，以定义 Google SecOps 如何发送报告的电子邮件：

      • 邮件主题：根据需要修改默认文本。
      • 邮件正文：根据需要修改默认文本。
      • 收件人：输入邮箱，然后点击添加。该邮箱会显示在收件人的邮箱框中。确保收件人网域已列入许可清单。

      报告的文件大小上限为 10 MB。

    • 在格式面板中，选择报告的格式：

      • CSV：最适合可打印、只读版本的的信息中心。
      • PDF：适合嵌入到演示文稿中的图片格式。
      • PNG：从信息中心图表和表格中导出原始数据。

  3. 点击保存以启用定期生成的报告。

管理现有报告

报告页面会显示您有权访问的所有报告的基本详细信息，以便您监控状态（有效或无效）、上次运行时间、上次修改时间、上次运行状态（成功、正在进行或错误）。

如需对现有报告执行操作，请执行以下操作：

  1. 前往报告页面。
  2. 将鼠标悬停在相关行上，然后点击 更多。
  3. 从下表中选择一项操作。某些操作需要您保存更改或确认操作。
操作 选项 说明
查看详情和历史记录 查看详情和历史记录 显示运行历史记录和所有递送失败消息。
修改报告 修改配置 打开修改报告对话框，您可以在其中修改设置。如需了解报告设置，请参阅创建定期生成的报告。
立即发送报告 立即发送 立即发送报告。
固定报告 固定 将报告保留在报告页面顶部。
复制报告 重复 创建报告的副本。
删除报告 删除 在您确认操作后，永久移除报告。

向包含报告的存储桶授予读取权限

首次使用 GCS 递送选项（将报告上传至 GCS 并通过邮件发送链接（安全性更高）选项）创建报告时，您必须完成一次性配置工作流程。此流程会在您的自带项目 (BYOP) 中创建 Cloud Storage 存储桶，该项目与您的 Google Cloud 结算账号相关联。

完成此初始设置后，后续报告配置将自动使用现有存储桶。

成功预配存储桶后，您需要负责管理访问权限。您必须手动向报告配置中指定的所有电子邮件收件人授予对存储桶的读取权限。您可以根据自己的安全要求，选择存储桶级或文件夹级访问权限。

请执行以下操作，向收到 Cloud Storage 链接的用户授予对存储桶的必要读取权限：

  1. 在 Google Google Cloud 控制台中，进入 Cloud Storage 存储桶页面。
  2. 在存储桶列表中，点击以 dsr- 前缀开头的存储桶名称（例如 dsr-999123456789-a1b2c3d4-e5f6-4a5b-8c9d-0123456789ab）。
  3. 选择访问权限级别。

  4. 选择最符合您组织需求的选项：

    • 存储桶级访问权限：使用此选项可让收件人有权访问传送到存储桶的所有报告。使用此选项更方便，但会向收件人授予更广泛的访问权限。如需配置此选项，请执行以下操作：

      1. 选择页面顶部附近的权限标签。
      2. 点击授予访问权限。
      3. 在新的主账号字段中，输入接收者的标识符（例如 user:name@example.com 或 serviceAccount:my-service-account@project-id.iam.gserviceaccount.com）。

      4. 在分配角色部分中，执行以下操作之一：

        • 选择 Storage Object Viewer。（如需快速找到该选项，您可以在过滤框中输入 Storage Object Viewer。）
        • 如需在存储桶级层实现最小权限访问，请分配仅包含 storage.objects.get 权限的自定义角色。

      5. 点击保存。

    • 文件夹级访问权限：Google SecOps 会为每个定期生成的报告创建一个专属文件夹。使用此功能可确保收件人只能访问特定的报告数据。如需配置此选项，请执行以下操作：

      1. 在存储桶的对象列表中，找到与特定定期生成的报告对应的文件夹。
      2. 点击文件夹名称旁边的复选框。
      3. 在右侧的信息面板中（如果未显示，请点击显示信息面板），选择权限标签页。
      4. 点击授予访问权限。
      5. 在新的主账号字段中，输入接收者的标识符（例如 user:name@example.com 或 serviceAccount:my-service-account@project-id.iam.gserviceaccount.com）。

      6. 在分配角色部分中，执行以下操作之一：

        • 选择 Storage Object Viewer。（如需快速找到该选项，您可以在过滤框中输入 Storage Object Viewer。）
        • 如需在文件夹级层实现最小权限访问，请分配仅包含 storage.objects.get 权限的自定义角色。

      7. 点击保存。

数据加密和安全合规性

Google SecOps 在生成和发送定期生成的报告时，会通过标准 Google Cloud 存储和传输安全控制措施来保护您的数据：

  • 直接电子邮件递送：使用 Google 邮件路由器 (GMR) 服务进行处理。
    • 静态：Google 存储的所有数据均使用高级加密标准 (AES-256) 算法在存储层进行加密。
    • 传输中：GMR 利用传输层安全协议 (TLS) 加密电子邮件流量和附件。
  • GCS 存储桶：对于传送到 Cloud Storage 存储桶的报告，使用客户管理的加密密钥 (CMEK) 的客户可以使用自己的密钥对存储桶进行加密，从而确保报告附件在存储时也采用该加密方式。

如需查看详细的合规性信息，请参阅 Google Cloud 合规报告管理器。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。