Raccogliere i log di Google SecOps SOAR

Supportato in:

Google SecOps

Nota: questa funzionalità è coperta dai Termini delle offerte pre-GA dei Termini di servizio specifici del servizio Google Security Operations. Le funzionalità pre-GA potrebbero avere supporto limitato e le modifiche alle funzionalità pre-GA potrebbero non essere compatibili con altre versioni pre-GA. Per saperne di più, consulta le linee guida per i servizi di assistenza tecnica di Google SecOps e i Termini di servizio specifici di Google SecOps.

Puoi gestire e monitorare i log SOAR di Google Security Operations in Google Cloud Esplora log. Puoi anche utilizzare gli strumenti Google Cloud per configurare metriche e avvisi speciali che vengono attivati da eventi specifici nei log delle operazioni SOAR.

I log acquisiscono i dati essenziali dalle funzioni ETL, playbook e Python di SOAR. I tipi di dati acquisiti includono l'esecuzione di script Python, l'inserimento di avvisi e il rendimento dei playbook.

Abilitare la raccolta dei log SOAR

Google SecOps fornisce log operativi per le attività SOAR, incluse le esecuzioni dei playbook, le esecuzioni dei connettori e gli output degli script Python.

• Google SecOps (SIEM + SOAR Unified): la raccolta dei log SOAR è attivata per impostazione predefinita. La piattaforma configura automaticamente i sink di log per indirizzare questi log a Cloud Logging nel tuo progetto Google Cloud . Non è necessaria alcuna configurazione manuale.
• SOAR Standalone:devi configurare manualmente un account di servizio e fornire le credenziali all'assistenza Google SecOps per abilitare l'esportazione dei log. Per saperne di più, vedi Configurare i log SOAR.

Nota: per visualizzare questi log, devi disporre del ruolo IAM Visualizzatore log (roles/logging.viewer) nel tuo progetto Google Cloud .

Accedere ai log di Google SecOps SOAR

I log di Google SecOps SOAR vengono scritti in uno spazio dei nomi separato chiamato chronicle-soar e sono classificati in base al servizio che ha generato il log.

Per accedere ai log di Google SecOps SOAR:

1. Nella console Google Cloud , vai a Logging > Esplora log.
2. Seleziona il progetto Google SecOps Google Cloud .

3. Inserisci il seguente filtro nel campo e fai clic su Esegui query:

   resource.labels.namespace_name="chronicle-soar"
   

   

4. Per filtrare i log di un servizio specifico, inserisci i seguenti filtri nella casella e fai clic su Esegui query:

       resource.labels.namespace_name="chronicle-soar" 
       resource.labels.container_name="<container_name>" 
   

   dove i valori includono playbook, python o etl.

Debug dei passaggi del playbook

Puoi visualizzare i log di esecuzione per un singolo passaggio del playbook direttamente dalla scheda Playbook nella pagina Case. In questo modo puoi esaminare la logica e il risultato di ogni passaggio, indipendentemente dal relativo stato di esecuzione.

Per visualizzare i log di un passaggio specifico:

1. Nella visualizzazione della richiesta, apri la scheda Playbook.
2. Seleziona un passaggio per visualizzarne i risultati.
3. Fai clic su Visualizza Esplora log.

Nota: devi disporre del ruolo IAM Visualizzatore log (roles/logging.viewer) nel tuo progetto Google Cloud per visualizzare i log.

Il link apre Esplora log nella console Google Cloud con un filtro preconfigurato per l'ID esecuzione specifico di questo passaggio.

Nota: la sincronizzazione e la visualizzazione dei log in Esplora log può richiedere fino a 5 minuti.

Etichette playbook

Le etichette dei log del playbook forniscono un modo più efficiente e pratico per perfezionare l'ambito di una query. Tutte le etichette si trovano nella sezione delle etichette di ogni messaggio di log:

Per restringere l'ambito del log, espandi il messaggio di log, fai clic con il tasto destro del mouse su ogni etichetta e nascondi o mostra log specifici:

Sono disponibili le seguenti etichette:

• playbook_definition
• playbook_name
• block_name
• block_definition
• case_id
• correlation_id
• integration_name
• action_name

Nota: l'etichetta correlation_id recupera i log sia dal playbook sia dai servizi Python associati. I log forniscono quindi una tracciatura e un'analisi complete dell'intera esecuzione di un playbook.

Log Python

Per il servizio Python sono disponibili i seguenti log:

resource.labels.container_name="python"

Etichette di integrazione e connettore:

• integration_name
• integration_version
• connector_name
• connector_instance

Etichette dei job:

• integration_name
• integration_version
• job_name

Etichette azione:

• integration_name
• integration_version
• integration_instance
• correlation_id
• action_name

Log ETL

Per il servizio ETL sono disponibili i seguenti log:

resource.labels.container_name="etl"

Etichette ETL:

• correlation_id

Ad esempio, per fornire il flusso di importazione per un avviso, filtra in base a correlation_id:

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.