Google SecOps SOAR-Protokolle erfassen

Unterstützt in:

Google SecOps SOAR

Hinweis: Dieses Feature unterliegt den Bedingungen des Pre-GA-Angebots in den dienstspezifischen Nutzungsbedingungen für Google Security Operations. Pre-GA-Features werden eventuell nur eingeschränkt unterstützt und Änderungen an diesen Features sind möglicherweise nicht mit anderen Pre-GA-Versionen kompatibel. Weitere Informationen finden Sie in den Richtlinien für den technischen Support von Google SecOps und den dienstspezifischen Nutzungsbedingungen für Google SecOps.

Sie können Google Security Operations SOAR-Logs im Google Cloud Log-Explorer verwalten und überwachen. Sie können auch Google Cloud Tools verwenden, um spezielle Messwerte und Benachrichtigungen einzurichten, die durch bestimmte Ereignisse in Ihren SOAR-Vorgangsprotokollen ausgelöst werden.

In den Logs werden wichtige Daten aus den SOAR-Funktionen „Extrahieren, Transformieren, Laden“ (ETL), Playbook und Python erfasst. Die Logs erfassen Datentypen wie die Ausführung von Python-Skripts, die Aufnahme von Benachrichtigungen und die Playbook-Leistung.

SOAR-Logerfassung aktivieren

Google SecOps stellt Betriebslogs für SOAR-Aktivitäten bereit, einschließlich Playbook-Ausführungen, Connector-Ausführungen und Python-Skriptausgaben.

• Google SecOps (SIEM + SOAR Unified): Standardmäßig aktiviert das System die Erfassung von SOAR-Logs. Die Plattform konfiguriert automatisch Logsenken, um diese Logs an Cloud Logging in Ihrem Google Cloud -Projekt weiterzuleiten. Sie müssen keine manuelle Konfiguration vornehmen.

• Eigenständiges SOAR:Sie müssen ein Dienstkonto manuell konfigurieren und die Anmeldedaten dem Google SecOps-Support zur Verfügung stellen, um den Logexport zu aktivieren. Eine Anleitung dazu finden Sie im folgenden Abschnitt.

Hinweis :Damit Sie diese Protokolle ansehen können, benötigen Sie die IAM-Rolle „Loganzeige“ (roles/logging.viewer) für Ihr Google Cloud -Projekt.

Das System leitet SOAR-Logs automatisch an den Cloud Logging-Bucket _Default weiter. Da dies Kosten verursacht, empfiehlt Google, Ausschlussfilter einzurichten, um Logs mit geringem Wert zu verwerfen oder Aufbewahrungszeiträume anzupassen. Weitere Informationen zum Erfassen von Logs und Einrichten von Filtern finden Sie unter Logging-Übersicht.

SOAR-Logs für SOAR Standalone einrichten

So richten Sie die SOAR-Protokollerfassung für SOAR Standalone ein:

1. Erstellen Sie ein Dienstkonto im Projekt Google Cloud , in dem Sie die Logs ansehen möchten. Weitere Informationen finden Sie unter Dienstkonten erstellen.

2. Wechseln Sie in der Google Cloud Console zu IAM & Verwaltung > IAM.

   IAM aufrufen

3. Suchen Sie das von Ihnen erstellte Dienstkonto und klicken Sie auf Bearbeiten Hauptkonto bearbeiten.

4. Fügen Sie im Abschnitt Rollen zuweisen die Rolle Logs Writer (Protokolle schreiben) hinzu. Weitere Informationen finden Sie unter Vordefinierte Rolle „Logs Writer“.

5. Klicken Sie auf Speichern.

6. Rufen Sie IAM & Verwaltung > Dienstkonten auf.

7. Wählen Sie das Dienstkonto aus, das Sie erstellt haben.

8. Klicken Sie auf  Mehr und wählen Sie Berechtigungen verwalten aus.

9. Klicken Sie im Bereich Berechtigungen auf Zugriff gewähren.

   

10. Fügen Sie im Feld Neue Hauptkonten das folgende Hauptkonto hinzu: gke-init-backgroundservices@{SOAR-GCP-Project-Id}.iam.gserviceaccount.com

    Ersetzen Sie {SOAR-GCP-Project-Id} durch Ihre SOAR Google Cloud Projekt-ID. Wenn Sie die SOAR-GCP-Project-Id nicht kennen, senden Sie ein Ticket über den Google-Support.

    Hinweis :Organisationsrichtlinien können den Zugriff auf externe Dienstkonten aufgrund der domaineingeschränkten Freigabe einschränken. In diesem Fall müssen Sie eine Ausnahme für die Zulassungsliste für das erwähnte Hauptkonto hinzufügen. Weitere Informationen finden Sie unter Domains einschränken: Ausnahmen konfigurieren.

11. Wählen Sie unter Rollen zuweisen die Option Ersteller von Dienstkonto-Tokens aus. Weitere Informationen finden Sie unter Ersteller von Dienstkonto-Tokens.

12. Klicken Sie auf Speichern.

13. Geben Sie dem Google SecOps-Supportteam den Namen des konfigurierten Dienstkontos an.

Auf Google SecOps SOAR-Logs zugreifen

Google SecOps schreibt SOAR-Logs in einen separaten Namespace namens chronicle-soar und kategorisiert sie nach dem Dienst, der das Log generiert hat.

So greifen Sie auf Google SecOps SOAR-Logs zu:

1. Rufen Sie in der Google Cloud Console Logging > Log-Explorer auf.

   Zum Log-Explorer

2. Wählen Sie das Google SecOps-Projekt Google Cloud aus.

3. Geben Sie den folgenden Filter in das Abfragefeld ein und klicken Sie auf Abfrage ausführen:

   resource.labels.namespace_name="chronicle-soar"
   

   

4. Wenn Sie Logs eines bestimmten Dienstes filtern möchten, geben Sie die folgenden Filter in das Abfragefeld ein und klicken Sie auf Abfrage ausführen:

   resource.labels.namespace_name="chronicle-soar"
   resource.labels.container_name="<CONTAINER_NAME>"
   

   Ersetzen Sie <CONTAINER_NAME> durch den entsprechenden Servicecontainer: playbook, python oder etl.

Fehlerbehebung bei Playbook-Schritten

Ausführungslogs für einen einzelnen Playbook-Schritt können Sie direkt auf der Seite Fälle auf dem Tab Playbook aufrufen. So können Sie die Logik und das Ergebnis jedes Schritts unabhängig vom Ausführungsstatus prüfen.

So rufen Sie Logs für einen bestimmten Schritt auf:

1. Öffnen Sie in der Fallansicht den Tab Playbook.
2. Wählen Sie einen Schritt aus, um die Ergebnisse anzusehen.

3. Klicken Sie auf Log-Explorer aufrufen.

   Hinweis :Sie benötigen die IAM-Rolle „Logbetrachter“ (roles/logging.viewer) für Ihr Google Cloud -Projekt, um die Logs aufzurufen.

   Über den Link wird der Log-Explorer in der Google Cloud Console mit einem vorkonfigurierten Filter für die spezifische Ausführungs-ID dieses Schritts geöffnet.

   Hinweis :Es kann bis zu 5 Minuten dauern, bis Protokolle synchronisiert und im Log-Explorer angezeigt werden.

Logs mit Labels filtern

Mit Loglabels lässt sich der Umfang einer Abfrage effizient und bequem eingrenzen. Alle Labels finden Sie im Bereich labels jedes Logeintrags.

Wenn Sie den Logbereich eingrenzen möchten, maximieren Sie den Logeintrag, klicken Sie mit der rechten Maustaste auf die einzelnen Labels und blenden Sie bestimmte Logs ein oder aus:

Playbook-Loglabels

Die folgenden Labels sind für die Playbooks verfügbar:

• playbook_definition
• playbook_name
• block_name
• block_definition
• case_id
• correlation_id
• integration_name
• action_name

Hinweis :Verwenden Sie das Label correlation_id, um alle Logs sowohl aus dem Playbook als auch aus den zugehörigen Python-Diensten abzurufen. So können Sie die Ausführung eines gesamten Playbooks vollständig nachvollziehen und analysieren.

Python-Loglabels

Die folgenden Labels sind für den Python-Dienst verfügbar, gefiltert nach resource.labels.container_name="python":

Labels für Integrationen und Connectors

• integration_name
• integration_version
• connector_name
• connector_instance

Job-Labels

• integration_name
• integration_version
• job_name

Aktionslabels

• integration_name
• integration_version
• integration_instance
• correlation_id
• action_name

ETL-Loglabels

Die folgenden Labels sind für den ETL-Dienst verfügbar, gefiltert nach resource.labels.container_name="etl":

• correlation_id

Wenn Sie beispielsweise den Erfassungsprozess für eine Benachrichtigung nachvollziehen möchten, filtern Sie nach correlation_id:

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten