Mengumpulkan log platform SOAR

Didukung di:

Google secops SOAR

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Google Security Operations Service. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat panduan Layanan Dukungan Teknis Google SecOps dan Persyaratan Khusus Layanan Google SecOps.

Anda dapat mengelola dan memantau log SOAR Google Security Operations di Google Cloud Logs Explorer. Anda juga dapat menggunakan alat Google Cloud untuk menyiapkan metrik dan pemberitahuan khusus yang dipicu oleh peristiwa tertentu dalam log operasi SOAR Anda.

Log ini merekam data penting dari fungsi Extract, Transform, Load (ETL), playbook, dan Python SOAR. Log mencatat jenis data termasuk menjalankan skrip Python, penyerapan pemberitahuan, dan performa playbook.

Mengaktifkan pengumpulan log SOAR

Google SecOps menyediakan log operasional untuk aktivitas SOAR, termasuk eksekusi playbook, eksekusi konektor, dan output skrip Python.

• Google SecOps (SIEM + SOAR Terpadu): Secara default, sistem mengaktifkan pengumpulan log SOAR. Platform ini otomatis mengonfigurasi sink log untuk merutekan log ini ke Cloud Logging di project Google Cloud Anda. Anda tidak perlu melakukan konfigurasi manual apa pun.

• SOAR Standalone: Anda harus mengonfigurasi akun layanan secara manual dan memberikan kredensial ke Dukungan Google SecOps untuk mengaktifkan ekspor log. Lihat bagian berikut untuk mengetahui petunjuknya.

Catatan: Untuk melihat log ini, Anda harus memiliki peran IAM Logs Viewer (roles/logging.viewer) di project Google Cloud Anda.

Sistem otomatis merutekan log SOAR ke bucket logging cloud _Default. Karena hal ini menimbulkan biaya, Google merekomendasikan penyiapan filter pengecualian untuk menghapus log bernilai rendah atau menyesuaikan periode retensi. Untuk mengetahui informasi selengkapnya tentang pengumpulan log dan penyiapan filter, lihat Ringkasan logging.

Menyiapkan log SOAR untuk SOAR Standalone

Untuk menyiapkan pengumpulan log SOAR untuk SOAR Standalone, ikuti langkah-langkah berikut:

1. Buat Akun Layanan di project Google Cloud tempat Anda berencana melihat log. Untuk mengetahui detailnya, lihat Membuat akun layanan.

2. Di konsol Google Cloud , buka IAM & Admin > IAM.

   Buka IAM

3. Temukan Akun Layanan yang Anda buat, lalu klik edit Edit principal.

4. Di bagian Tetapkan Peran, tambahkan peran Penulis Log. Untuk mengetahui informasi selengkapnya, lihat peran Penulis Log standar.

5. Klik Simpan.

6. Buka IAM & Admin > Service Accounts.

7. Pilih akun layanan yang Anda buat.

8. Klik Lainnya, lalu pilih Kelola Izin.

9. Di bagian Permissions, klik Grant Access.

   

10. Di kolom New principals, tambahkan akun utama berikut: gke-init-backgroundservices@{SOAR-GCP-Project-Id}.iam.gserviceaccount.com

    Ganti {SOAR-GCP-Project-Id} dengan SOAR Google Cloud Project ID Anda. Jika Anda tidak mengetahui SOAR-GCP-Project-Id, kirim tiket melalui Dukungan Google.

    Catatan: Kebijakan organisasi dapat membatasi akses ke akun layanan eksternal karena Berbagi dengan Pembatasan Domain. Jika hal ini terjadi, Anda harus menambahkan pengecualian daftar yang diizinkan untuk akun utama yang disebutkan. Untuk mengetahui informasi selengkapnya, lihat Membatasi Domain: Mengonfigurasi Pengecualian.

11. Di Tetapkan Peran, pilih Service Account Token Creator. Untuk mengetahui informasi selengkapnya, lihat Service Account Token Creator.

12. Klik Simpan.

13. Berikan nama Akun Layanan yang dikonfigurasi kepada tim dukungan Google SecOps.

Mengakses log Google SecOps SOAR

Google SecOps menulis log SOAR di namespace terpisah yang disebut chronicle-soar dan mengategorikannya berdasarkan layanan yang membuat log.

Untuk mengakses log Google SecOps SOAR, lakukan hal berikut:

1. Di konsol Google Cloud , buka Logging > Logs Explorer.

   Buka Logs Explorer

2. Pilih project Google SecOps Google Cloud .

3. Masukkan filter berikut di kolom kueri, lalu klik Run Query:

   resource.labels.namespace_name="chronicle-soar"
   

   

4. Untuk memfilter log dari layanan tertentu, masukkan filter berikut di kolom kueri, lalu klik Run Query:

   resource.labels.namespace_name="chronicle-soar"
   resource.labels.container_name="<CONTAINER_NAME>"
   

   Ganti <CONTAINER_NAME> dengan container layanan yang relevan: playbook, python, atau etl.

Proses debug langkah playbook

Anda dapat melihat log eksekusi untuk setiap langkah playbook langsung dari tab Playbook di halaman Kasus. Dengan begitu, Anda dapat memeriksa logika dan hasil setiap langkah, terlepas dari status eksekusinya.

Untuk melihat log langkah tertentu:

1. Di Tampilan Kasus, buka tab Playbook.
2. Pilih langkah untuk melihat hasilnya.

3. Klik View Logs Explorer.

   Catatan: Anda harus memiliki peran IAM Logs Viewer (roles/logging.viewer) di project Google Cloud untuk melihat log.

   Link tersebut akan membuka Logs Explorer di konsol Google Cloud dengan filter yang telah dikonfigurasi sebelumnya untuk ID eksekusi spesifik dari langkah tersebut.

   Catatan: Diperlukan waktu hingga 5 menit agar log disinkronkan dan muncul di Logs Explorer.

Memfilter log menggunakan label

Label log menyediakan cara yang efisien dan mudah untuk mempersempit cakupan kueri. Anda dapat menemukan semua label di bagian labels dari setiap pesan log.

Untuk mempersempit cakupan log, luaskan pesan log, klik kanan setiap label, dan sembunyikan atau tampilkan log tertentu:

Label log playbook

Label berikut tersedia untuk playbook:

• playbook_definition
• playbook_name
• block_name
• block_definition
• case_id
• correlation_id
• integration_name
• action_name

Catatan: Gunakan label correlation_id untuk mengambil semua log dari playbook dan layanan Python terkait. Hal ini memberikan penelusuran dan analisis lengkap atas eksekusi seluruh playbook.

Label log Python

Label berikut tersedia untuk layanan Python, yang difilter menurut resource.labels.container_name="python":

Label Integrasi dan Konektor

• integration_name
• integration_version
• connector_name
• connector_instance

Label pekerjaan

• integration_name
• integration_version
• job_name

Label tindakan

• integration_name
• integration_version
• integration_instance
• correlation_id
• action_name

Label log ETL

Label berikut tersedia untuk layanan ETL, yang difilter menurut resource.labels.container_name="etl":

• correlation_id

Misalnya, untuk melacak alur penyerapan pemberitahuan, filter menurut correlation_id:

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.