Visão geral do Hub de Conteúdo

Compatível com:

Google SecOps

Observação: esse recurso é coberto pelos Termos de produtos pré-GA dos Termos específicos de serviço do Google Security Operations. Os recursos pré-GA podem ter suporte limitado, e as mudanças realizadas podem não ser compatíveis com outras versões pré-GA. Para mais informações, consulte as diretrizes do serviço de suporte técnico do Google SecOps e os Termos específicos de serviço do Google SecOps.
Se esse recurso não estiver visível no seu ambiente, consulte Gerenciar recursos de pré-lançamento ou entre em contato com o administrador do sistema.

Observação: esse recurso é destinado apenas a clientes que usam a plataforma unificada do Google Security Operations.

Observação: se o Hub de Conteúdo não aparecer na sua plataforma, verifique se você configurou um projeto gerenciado pelo cliente. Para mais informações, consulte Configurar o acesso ao recurso. Além disso, entre em contato com seu representante do Google SecOps e peça para ele ativar o flag de recurso da API Chronicle.

Permissões do Hub de Conteúdo

Para clientes que não migraram a instância do SOAR para Google Cloud, verifique se as permissões Marketplace e Integrações de resposta estão definidas na página Configurações do SOAR > Permissões.

Para todos os outros clientes, para acessar módulos no Hub de Conteúdo, configure as seguintes permissões no módulo IAM.

Nome da permissão do IAM	Nome de exibição	Papel no IAM
chronicle.googleapis.com/featuredContentSearchQueries.get	Acessar conteúdo da consulta de pesquisa	chronicle.reader
chronicle.googleapis.com/featuredContentSearchQueries.list	Listar conteúdo da consulta de pesquisa	chronicle.reader
chronicle.googleapis.com/featuredContentSearchQueries.install	Instalar conteúdo da consulta de pesquisa	chronicle.writer
chronicle.googleapis.com/featuredContentRules.list	Listar regras de conteúdo em destaque	chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.get	Acessar conteúdo do painel	chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.list	Listar conteúdo do painel	chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.install	Instalar conteúdo do painel	chronicle.writer
chronicle.googleapis.com/feedPacks.get	Acessar pacotes de feeds	chronicle.reader
chronicle.googleapis.com/feedPacks.list	Listar pacotes de feeds	chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.get	Acessar playbook de conteúdo em destaque	chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.list	Listar playbook de conteúdo em destaque	chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.install	Instalar playbook de conteúdo em destaque	chronicle.writer

Visão geral

O Hub de Conteúdo é uma plataforma centralizada para descobrir, implantar e gerenciar conteúdo no Google SecOps.

No Hub de Conteúdo, você pode fazer o seguinte:

• Implantar pacotes de conteúdo completos (incluindo ingestão de registros, detecções especializadas e painéis) para permitir que sua instância do Google SecOps funcione com produtos da lista de suporte principal que definimos.
• Instalar integrações de terceiros para playbooks e conectores do SOAR.
• Visualizar e filtrar detecções especializadas, inspecionar atributos de regras individuais e definições de regras respectivas (transparência de detecções especializadas). Acesse a página " Conjunto de regras" para recursos de gerenciamento completos.
• Adicionar painéis para melhorar a visibilidade.
• Adicionar consultas de pesquisa salvas à pesquisa do SIEM para reutilização rápida.
• Instalar e executar Power Ups para estender os recursos do playbook.
• Instalar e executar playbooks para fornecer respostas do SOAR.
• Acessar casos de uso legados do SOAR na página Início.

Tipos de conteúdo

Há quatro tipos de conteúdo no Hub de Conteúdo:

• Google: conteúdo desenvolvido, mantido e verificado pelo Google SecOps. Essa categoria inclui itens de conteúdo novos e atualizados.
• Parceiro: conteúdo desenvolvido e mantido por um parceiro. Esse conteúdo é validado por verificações automatizadas de qualidade e validação do Google. Para conteúdos de parceiros, detalhes específicos do contato de suporte são fornecidos.
• Comunidade: conteúdo desenvolvido e mantido por usuários da comunidade. Esse conteúdo é validado por verificações automatizadas de qualidade e validação do Google.
• Personalizado: conteúdo que você cria e que é exibido apenas no seu hub de conteúdo. Este conteúdo é privado da sua instância e não é verificado pelo Google SecOps.

O que posso fazer na página "Início"?

A página Início é a principal página de destino do Hub de Conteúdo. Nela, você pode acessar o seguinte:

• Pacotes de conteúdo, integrações de resposta, painéis, consultas de pesquisa, Power Ups e detecções especializadas.
• Casos de uso legados do SOAR. O Google recomenda o uso dos novos pacotes de conteúdo em vez dos casos de uso legados, porque eles oferecem soluções mais abrangentes e integradas.

Você pode pesquisar simultaneamente em todos os tipos de conteúdo, incluindo pacotes de conteúdo, detecções, integrações de resposta e painéis. Esse recurso elimina a necessidade de navegar por guias individuais para encontrar recursos relacionados. A plataforma mostra os resultados com o número total de correspondências para cada tipo. Clique em qualquer um dos resultados para ver mais detalhes.

Por exemplo, se você pesquisar Crowdstrike no campo Pesquisar, a plataforma vai retornar o seguinte:

• Pacotes de conteúdo (1): por exemplo, o pacote abrangente do Crowdstrike Falcon.
• Detecções selecionadas (42): os quatro principais cards são exibidos, como "Crowdstrike Falcon: malware detectado" e "Crowdstrike Falcon: adulteração do sensor". Clique em Ver todos os 42 resultados para acessar diretamente a guia Detecções.
• Integrações de resposta (2): por exemplo, Crowdstrike Falcon (Response) – usado para ações de playbook como "Isolar host".
• Painéis (3)

O que posso fazer na página "Pacotes de conteúdo"?

Na página Pacotes de conteúdo, você pode configurar feeds únicos e múltiplos, e acessar todas as outras opções do Hub de Conteúdo.

Para integrar todos os dados na página Pacotes de conteúdo, siga estas etapas:

1. Configure vários feeds para famílias de produtos com base no tipo de registro necessário.
2. Depois de configurar o feed, você pode configurar os componentes restantes do pacote de conteúdo (baixado automaticamente em segundo plano).
   1. Antes de usar qualquer playbook, clique em Configurar integrações e configure uma instância para que os playbooks funcionem. Para mais informações, consulte Configurar instâncias de integração.
   2. Para visualizar ou fazer alterações no playbook baixado ou executá-lo usando o simulador, clique em Visualizar playbooks. Para mais informações, consulte Trabalhar com o simulador de playbook. É necessário copiar o nome do playbook e pesquisar por ele na pasta "Padrão" na página Playbooks.
   3. Clique em Ver todas as regras de detecção para abrir a página Detecções selecionadas.
   4. Clique em Ver todas as consultas de pesquisa para abrir a página Pesquisa do SIEM.
   5. Clique em Ver todos os painéis para abrir a página Painéis.

O que posso fazer na página "Detecções selecionadas"?

Na página Detecções selecionadas, você pode visualizar todas as definições de regras de detecção compatíveis no Google SecOps, incluindo a lógica e o código da regra.

Para visualizar e modificar detecções especializadas (regras), faça o seguinte:

1. Encontre o conjunto de regras necessário que você quer atualizar e clique em Visualizar e gerenciar.
2. Na barra lateral que é aberta na guia Visão geral, clique em Gerenciar regra. Você será direcionado para o conjunto de regras inteiro na página Detecções selecionadas.
3. Como alternativa, na barra lateral que é aberta, clique na guia Definição de regra. Isso mostra a lógica da regra. Não é possível modificar a regra aqui, mas você pode criar uma nova na página Regras. Clique em Visualizar desempenho da regra para acessar a página Detecções e gerenciar a regra.

Observação: em algumas situações, não é possível visualizar a lógica da regra. Isso é intencional.

O que posso fazer na página "Integrações de resposta"?

Na página Integrações de resposta, você pode visualizar detalhes da integração, incluindo Notas de lançamento, e configurar as integrações de resposta individuais. Elas podem ser usadas para conectores do SOAR e para playbooks.

Você também pode reverter uma integração para uma versão anterior se uma atualização causar problemas ou se precisar reverter mudanças de código personalizadas.

Para instalar e configurar uma integração:

1. Encontre a integração necessária e clique em Instalar.
2. Após a instalação, clique em Configurar na mesma integração para iniciar a configuração. Para mais informações, consulte Configurar instâncias de integração.

O que posso fazer na página "Painéis"?

Na página Painéis, você pode visualizar detalhes de painéis pré-instalados e adicionar novos. Para visualizar ou gerenciar qualquer painel, pré-instalado ou adicionado no Hub de Conteúdo, acesse a página Painéis. Observação: os painéis adicionados pelo Hub de Conteúdo são marcados como Marketplace.

O que posso fazer na página "Playbooks e blocos"?

Na página Playbooks e blocos, você pode visualizar e instalar playbooks e blocos de playbook (playbooks aninhados). É possível mostrar playbooks de acordo com vários filtros e categorias. Por exemplo, você pode mostrar apenas playbooks que contêm integrações já instaladas na sua instância ou escolher mostrar apenas playbooks com integrações específicas.

Para visualizar e instalar um playbook ou bloco de playbook:

1. Encontre o playbook ou bloco necessário e clique em Ver detalhes.
2. Na gaveta lateral que é aberta, examine as informações e clique em Adicionar.
3. Selecione o ambiente em que você quer adicionar o playbook ou bloco.
4. Clique no link para ser redirecionado à página do designer de playbook com o playbook que você acabou de adicionar. É possível adicionar o mesmo playbook várias vezes. Cada playbook será intitulado com um número crescente.

Observação: a página "Playbooks" não mostra indicações de quais playbooks ou blocos de playbook você adicionou.

Para mais informações, consulte a página Playbooks.

O que posso fazer na página "Consultas de pesquisa"?

Na página Consultas de pesquisa, você pode visualizar detalhes da consulta de pesquisa e adicionar novas consultas. Depois de adicionar uma consulta de pesquisa, ela é adicionada às pesquisas salvas e compartilhada na instância. Para visualizar ou gerenciar consultas salvas, acesse a página Pesquisa do SIEM.

O que posso fazer na página "Power Ups"?

Na página Power Ups , você pode visualizar detalhes, instalar e configurar Power Ups do Google SecOps para uso em playbooks. Para instruções de configuração, consulte Usar Power Ups.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.