SOAR-Plattformlogs erfassen

Unterstützt in:

Google SecOps SOAR

Hinweis :Dieses Feature unterliegt den Bedingungen des Pre-GA-Angebots in den dienstspezifischen Nutzungsbedingungen für Google Security Operations. Pre-GA-Features werden eventuell nur eingeschränkt unterstützt und Änderungen an diesen Features sind möglicherweise nicht mit anderen Pre-GA-Versionen kompatibel. Weitere Informationen finden Sie in den Richtlinien für den technischen Support von Google SecOps und den dienstspezifischen Nutzungsbedingungen für Google SecOps.
Wenn diese Funktion in Ihrer Umgebung nicht sichtbar ist, lesen Sie den Hilfeartikel Vorschaufunktionen verwalten oder wenden Sie sich an Ihren Systemadministrator.

Sie können Google Security Operations SOAR-Logs im Google Cloud Log-Explorer verwalten und überwachen. Sie können auch Google Cloud Tools verwenden, um spezielle Messwerte und Benachrichtigungen einzurichten, die durch bestimmte Ereignisse in Ihren SOAR-Vorgangsprotokollen ausgelöst werden.

Die Logs enthalten wichtige Daten aus den SOAR-Funktionen ETL (Extrahieren, Transformieren, Laden), Playbook und Python. Die Logs erfassen Datentypen wie die Ausführung von Python-Skripts, die Aufnahme von Benachrichtigungen und die Playbook-Leistung.

SOAR-Logerfassung aktivieren

Google SecOps stellt Betriebslogs für SOAR-Aktivitäten bereit, einschließlich Playbook-Ausführungen, Connector-Ausführungen und Python-Skriptausgaben.

• Google SecOps (SIEM + SOAR Unified): Standardmäßig wird die Erfassung von SOAR-Logs aktiviert. Die Plattform konfiguriert automatisch Log-Senken, um diese Logs an Cloud Logging in Ihrem Google Cloud -Projekt weiterzuleiten. Sie müssen keine manuelle Konfiguration vornehmen.

• Eigenständiges SOAR:Sie müssen ein Dienstkonto manuell konfigurieren und die Anmeldedaten dem Google SecOps-Support zur Verfügung stellen, um den Protokollexport zu aktivieren. Eine Anleitung finden Sie im nächsten Abschnitt.

Hinweis :Zum Aufrufen dieser Logs benötigen Sie die IAM-Rolle „Logbetrachter“ (roles/logging.viewer) für Ihr Google Cloud -Projekt.

Das System leitet SOAR-Logs automatisch an den Cloud Logging-Bucket _Default weiter. Da dies Kosten verursacht, empfiehlt Google, Ausschlussfilter einzurichten, um Logs mit geringem Wert zu verwerfen oder Aufbewahrungszeiträume anzupassen. Weitere Informationen zum Erfassen von Logs und Einrichten von Filtern finden Sie unter Logging-Übersicht.

SOAR-Logs für SOAR Standalone einrichten

So richten Sie die SOAR-Protokollerfassung für SOAR Standalone ein:

1. Erstellen Sie ein Dienstkonto im Google Cloud -Projekt, in dem Sie die Logs ansehen möchten. Weitere Informationen finden Sie unter Dienstkonten erstellen.

2. Wechseln Sie in der Google Cloud Console zu IAM & Verwaltung > IAM.

   IAM aufrufen

3. Suchen Sie das von Ihnen erstellte Dienstkonto und klicken Sie auf Bearbeiten Hauptkonto bearbeiten.

4. Fügen Sie im Bereich Rollen zuweisen die Rolle Logs Writer (Log-Autor) hinzu. Weitere Informationen finden Sie unter Vordefinierte Rolle „Logs Writer“.

5. Klicken Sie auf Speichern.

6. Rufen Sie IAM & Verwaltung > Dienstkonten auf.

7. Wählen Sie das von Ihnen erstellte Dienstkonto aus.

8. Klicken Sie auf das Dreipunkt-Menü  Mehr und wählen Sie Berechtigungen verwalten aus.

9. Klicken Sie im Bereich Berechtigungen auf Zugriff erlauben.

   

10. Fügen Sie im Feld Neue Hauptkonten das folgende Hauptkonto hinzu: gke-init-backgroundservices@{SOAR-GCP-Project-Id}.iam.gserviceaccount.com

    Ersetzen Sie {SOAR-GCP-Project-Id} durch Ihre SOAR Google Cloud Projekt-ID. Wenn Sie die SOAR-GCP-Project-Id nicht kennen, reichen Sie ein Ticket über den Google-Support ein.

    Hinweis :Organisationsrichtlinien können den Zugriff auf externe Dienstkonten aufgrund der domaineingeschränkten Freigabe einschränken. In diesem Fall müssen Sie eine Ausnahme für die Zulassungsliste für das erwähnte Hauptkonto hinzufügen. Weitere Informationen finden Sie unter Domains einschränken: Ausnahmen konfigurieren.

11. Wählen Sie unter Rollen zuweisen die Option Ersteller von Dienstkonto-Tokens aus. Weitere Informationen finden Sie unter Ersteller von Dienstkonto-Tokens.

12. Klicken Sie auf Speichern.

13. Geben Sie dem Google SecOps-Supportteam den Namen des konfigurierten Dienstkontos an.

Auf Google SecOps SOAR-Protokolle zugreifen

Google SecOps schreibt SOAR-Logs in einen separaten Namespace namens chronicle-soar und kategorisiert sie nach dem Dienst, der das Log generiert hat.

So greifen Sie auf Google SecOps SOAR-Logs zu:

1. Rufen Sie in der Google Cloud Console Logging > Log-Explorer auf.

   Zum Log-Explorer

2. Wählen Sie das Google SecOps-Projekt Google Cloud aus.

3. Geben Sie den folgenden Filter in das Abfragefeld ein und klicken Sie auf Abfrage ausführen:

   resource.labels.namespace_name="chronicle-soar"
   

   

4. Wenn Sie Logs eines bestimmten Dienstes filtern möchten, geben Sie die folgenden Filter in das Abfragefeld ein und klicken Sie auf Abfrage ausführen:

   resource.labels.namespace_name="chronicle-soar"
   resource.labels.container_name="<CONTAINER_NAME>"
   

   Ersetzen Sie <CONTAINER_NAME> durch den entsprechenden Servicecontainer: playbook, python oder etl.

Playbook-Schritte debuggen

Ausführungslogs für einen einzelnen Playbook-Schritt können Sie direkt auf der Seite Vorgänge auf dem Tab Playbook aufrufen. So können Sie die Logik und das Ergebnis jedes Schritts unabhängig von seinem Ausführungsstatus prüfen.

So rufen Sie Logs für einen bestimmten Schritt auf:

1. Öffnen Sie in der Fallansicht den Tab Playbook.
2. Wählen Sie einen Schritt aus, um die Ergebnisse anzusehen.

3. Klicken Sie auf Log-Explorer aufrufen.

   Hinweis :Sie benötigen die IAM-Rolle „Logbetrachter“ (roles/logging.viewer) für Ihr Google Cloud -Projekt, um die Logs aufzurufen.

   Über den Link wird der Log-Explorer in der Google Cloud Console mit einem vorkonfigurierten Filter für die spezifische Ausführungs-ID dieses Schritts geöffnet.

   Hinweis :Es kann bis zu 5 Minuten dauern, bis Logs synchronisiert und im Log-Explorer angezeigt werden.

Logs mit Labels filtern

Mit Loglabels lässt sich der Umfang einer Abfrage effizient und bequem eingrenzen. Alle Labels finden Sie im Bereich labels jedes Logeintrags.

Wenn Sie den Logbereich eingrenzen möchten, maximieren Sie den Logeintrag, klicken Sie mit der rechten Maustaste auf die einzelnen Labels und blenden Sie bestimmte Logs ein oder aus:

Playbook-Log-Labels

Die folgenden Labels sind für die Playbooks verfügbar:

• playbook_definition
• playbook_name
• block_name
• block_definition
• case_id
• correlation_id
• integration_name
• action_name

Hinweis: Verwenden Sie das Label correlation_id, um alle Logs sowohl aus dem Playbook als auch aus den zugehörigen Python-Diensten abzurufen. So können Sie die Ausführung eines gesamten Playbooks vollständig nachvollziehen und analysieren.

Python-Log-Labels

Die folgenden Labels sind für den Python-Dienst verfügbar, gefiltert nach resource.labels.container_name="python":

Labels für Integrationen und Connectors

• integration_name
• integration_version
• connector_name
• connector_instance

Job-Labels

• integration_name
• integration_version
• job_name

Aktionslabels

• integration_name
• integration_version
• integration_instance
• correlation_id
• action_name

ETL-Log-Labels

Die folgenden Labels sind für den ETL-Dienst verfügbar, gefiltert nach resource.labels.container_name="etl":

• correlation_id

Wenn Sie beispielsweise den Erfassungsvorgang für eine Benachrichtigung nachvollziehen möchten, filtern Sie nach correlation_id:

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten