コンテンツ ハブの概要
コンテンツ ハブの権限
SOAR インスタンスを Google Cloudに移行していないお客様の場合は、 [Marketplace] 権限と [Response Integrations] 権限が [SOAR Settings > Permissions] ページで設定されていることを確認してください。
その他のお客様の場合は、コンテンツ ハブ内のモジュールにアクセスするには、 IAM モジュールで次の権限を構成する必要があります。
| IAM 権限名 | 表示名 | IAM でのロール |
|---|---|---|
chronicle.googleapis.com/featuredContentSearchQueries.get |
検索クエリ コンテンツを取得する | chronicle.reader |
chronicle.googleapis.com/featuredContentSearchQueries.list |
検索クエリ コンテンツを一覧表示する | chronicle.reader |
chronicle.googleapis.com/featuredContentSearchQueries.install |
検索クエリ コンテンツをインストールする | chronicle.writer |
chronicle.googleapis.com/featuredContentRules.list |
おすすめコンテンツ ルールを一覧表示する | chronicle.reader |
chronicle.googleapis.com/featuredContentNativeDashboards.get
|
ダッシュボード コンテンツを取得する | chronicle.reader |
chronicle.googleapis.com/featuredContentNativeDashboards.list |
ダッシュボード コンテンツを一覧表示する | chronicle.reader |
chronicle.googleapis.com/featuredContentNativeDashboards.install |
ダッシュボード コンテンツをインストールする | chronicle.writer |
chronicle.googleapis.com/feedPacks.get |
フィード パックを取得する | chronicle.reader |
chronicle.googleapis.com/feedPacks.list |
フィード パックを一覧表示する | chronicle.reader |
chronicle.googleapis.com/featuredContentPlaybooks.get |
おすすめコンテンツ ハンドブックを取得する | chronicle.reader |
chronicle.googleapis.com/featuredContentPlaybooks.list |
おすすめコンテンツ ハンドブックを一覧表示する | chronicle.reader |
chronicle.googleapis.com/featuredContentPlaybooks.install |
おすすめコンテンツ ハンドブックをインストールする | chronicle.writer |
概要
コンテンツ ハブは、Google SecOps 内のコンテンツの検出、デプロイ、管理を行うための一元的なプラットフォームとして機能します。
コンテンツ ハブでは、次のことができます。
- エンドツーエンドのコンテンツ パック（ログの取り込み、キュレーテッド検出、ダッシュボードなど）をデプロイして、Google SecOps インスタンスが定義済みのサポート対象リストにあるプロダクトと連携できるようにします。
- SOAR ハンドブックとコネクタ用のサードパーティ統合をインストールします。
- キュレーテッド検出を表示してフィルタし、個々のルール属性 とそれぞれのルール定義（キュレーテッド検出の透明性）を検査します。完全な管理機能については、 [ルールセット] ページに移動してください。
- ダッシュボードを追加して可視性を高めます。
- 保存した検索クエリを SIEM 検索に追加して、すばやく再利用できるようにします。
- Power Ups をインストールして実行し、ハンドブックの機能を拡張します。
- ハンドブックをインストールして実行し、SOAR レスポンスを提供します。
- [ホーム] ページで従来の SOAR ユースケースにアクセスします。
コンテンツ タイプ
コンテンツ ハブには、次の 4 種類のコンテンツがあります。
- Google: Google SecOps によって開発、保守、検証されているコンテンツです。このカテゴリには、新規および更新されたコンテンツ アイテムが含まれます。
- パートナー: パートナーによって開発、保守されているコンテンツです。 このコンテンツは、Google の自動品質チェックと検証チェックによって検証されます。パートナー コンテンツについては、具体的なサポート連絡先が提供されます。
- コミュニティ: コミュニティ ユーザーによって開発、保守されているコンテンツです。このコンテンツは、Google の自動品質チェックと検証チェックによって検証されます。
- カスタム: 貴社が作成したコンテンツであり、貴社の コンテンツ ハブにのみ表示されます。このコンテンツは貴社のインスタンスに対してのみ公開され、Google SecOps による検証は行われません。
[ホーム] ページではどのようなことができますか？
[ホーム] ページは、コンテンツ ハブのメイン ランディング ページです。ここから、次のものにアクセスできます。
- コンテンツ パック、レスポンス統合、ダッシュボード、検索クエリ、Power Ups、キュレーテッド検出。
- 従来の SOAR ユースケース。従来のユースケースよりも包括的で統合されたソリューションを提供するため、従来のユースケースではなく新しいコンテンツ パックを使用することをおすすめします。
コンテンツ パック、検出、レスポンス統合、ダッシュボードなど、すべてのコンテンツ タイプを同時に検索できます。 この機能により、関連するアセットを見つけるために個々のタブを移動する必要がなくなります。 プラットフォームには、タイプごとに一致した合計数が表示されます。いずれかの結果をクリックすると、詳細が表示されます。
たとえば、[検索] フィールドで「Crowdstrike 」を検索すると、プラットフォームは次の結果を返します。
- コンテンツ パック（1）: たとえば、Crowdstrike Falcon Comprehensive Pack。
- キュレーテッド検出（42）: 「Crowdstrike Falcon: Malware Detected」、「Crowdstrike Falcon: Sensor Tampering」など、上位 4 つのカードが表示されます。 [View all 42 results] をクリックすると、[Detections] タブに直接移動します。
- レスポンス統合（2）: たとえば、Crowdstrike Falcon（Response）は、「Isolate Host」などのハンドブック アクションに使用されます。
- ダッシュボード（3）
[コンテンツ パック] ページではどのようなことができますか？
[コンテンツ パック] ページでは、単一フィードと複数フィードを構成し、 他のすべてのコンテンツ ハブ オプションにアクセスできます。
[コンテンツ パック] ページですべてのデータを取り込む手順は次のとおりです。
- 必要なログタイプに基づいて、プロダクト ファミリーの複数のフィードを構成します。
- フィードを設定したら、必要に応じてコンテンツ パックの残りのコンポーネント（バックグラウンドで自動的にダウンロードされます）を構成できます。
- ハンドブックを使用するには、[Configure Integrations] をクリックしてインスタンスを設定する必要があります。詳細については、統合インスタンスを構成するをご覧ください。
- ダウンロードしたハンドブックを表示または変更したり、シミュレータを使用して実行したりするには、 [View Playbooks] をクリックします。詳細については、 ハンドブック シミュレータを使用するをご覧ください。 ハンドブック名をコピーして、[Playbooks] ページの [Default] フォルダで検索する必要があります。
- [See all Detection Rules] をクリックして、[Curated Detections] ページを開きます。
- [See all Search Queries] をクリックして、[SIEM Search] ページを開きます。
- [See all Dashboards] をクリックして、[Dashboards] ページを開きます。
[キュレーテッド検出] ページではどのようなことができますか？
[キュレーテッド検出] ページでは、ルールロジックやコードなど、Google SecOps でサポートされているすべての検出ルール定義を表示できます。
キュレーテッド検出（ルール）を表示して変更する手順は次のとおりです。
- 更新する必要なルールセットを見つけて、[View &Manage] をクリックします。
- [Overview] タブで開いたサイドバーで、[Manage Rule] をクリックします。キュレーテッド検出ページでルールセット全体に移動します。
- または、開いたサイドバーで [Rule Definition] というタブをクリックします。 ルールロジックが表示されます。ここからルールを変更することはできませんが、 新しいルールを [Rules] ページで作成できます。[View Rule Performance] をクリックして [Detections] ページに移動し、ルールを管理します。
[レスポンス統合] ページではどのようなことができますか？
[レスポンス統合] ページでは、リリースノートなどの統合の詳細を表示し、 個々のレスポンス統合を構成できます。これらは、SOAR コネクタとハンドブックに使用できます。
また、更新によって問題が発生した場合や、カスタムコードの変更を元に戻す必要がある場合は、統合を以前のバージョンにロールバックすることもできます。
統合をインストールして構成する手順は次のとおりです。
- 必要な統合を見つけて、[Install] をクリックします。
- インストールが完了したら、同じ統合の [Configure] をクリックして設定を開始します。 詳細については、統合インスタンスを構成するをご覧ください。
[ダッシュボード] ページではどのようなことができますか？
[ダッシュボード] ページでは、プリインストールされたダッシュボードの詳細を表示し、新しいダッシュボードを追加できます。プリインストールされているダッシュボードやコンテンツ ハブから追加されたダッシュボードを表示または管理するには、[Dashboards] ページに移動します。注: コンテンツ ハブから追加されたダッシュボードには、[Marketplace] というラベルが付けられます。
[ハンドブックとブロック] ページではどのようなことができますか？
[ハンドブックとブロック] ページでは、ハンドブックとハンドブック ブロック（ネストされたハンドブック）の両方を表示してインストールできます。 ハンドブックは、さまざまなフィルタとカテゴリに従って表示できます。たとえば、インスタンスにすでにインストールされている統合を含むハンドブックのみを表示したり、特定の統合を含むハンドブックのみを表示したりできます。
ハンドブックまたはハンドブック ブロックを表示してインストールする手順は次のとおりです。
- 必要なハンドブックまたはブロックを見つけて、[View Details] をクリックします。
- 開いたサイド ドロワーで情報を確認し、[Add] をクリックします。
- ハンドブックまたはブロックを追加する環境を選択します。
- リンクをクリックすると、追加したハンドブックが表示されたハンドブック デザイナー ページにリダイレクトされます。 同じハンドブックを複数回追加できます。各ハンドブックには、昇順の番号が付けられます。
詳細については、[**ハンドブック**] ページをご覧ください。
[検索クエリ] ページではどのようなことができますか？
[検索クエリ] ページでは、検索クエリの詳細を表示して新しいクエリを追加できます。検索クエリを追加すると、保存した検索条件に追加され、インスタンス内で共有されます。保存したクエリを表示または管理するには、[SIEM Search] ページに移動します。
[Power Ups] ページではどのようなことができますか？
[Power Ups] ページでは、ハンドブックで使用する Google SecOps Power Ups の詳細を表示、インストール、構成できます。 設定手順については、Power Ups を使用するをご覧ください。
さらにサポートが必要な場合コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。