コンテンツ ハブの概要

以下でサポートされています。

コンテンツ ハブの権限

SOAR インスタンスを Google Cloudに移行していないお客様は、[SOAR 設定] > [権限] ページで、[Marketplace] と [Response Integrations] の権限が設定されていることを確認してください。

他のすべてのお客様が Content Hub 内のモジュールにアクセスするには、IAM モジュールで次の権限を構成する必要があります。

IAM 権限名 表示名 IAM のロール
chronicle.googleapis.com/featuredContentSearchQueries.get 検索クエリのコンテンツを取得する chronicle.reader
chronicle.googleapis.com/featuredContentSearchQueries.list 検索クエリの内容を一覧表示する chronicle.reader
chronicle.googleapis.com/featuredContentSearchQueries.install 検索クエリ コンテンツをインストールする chronicle.writer
chronicle.googleapis.com/featuredContentRules.list 注目のコンテンツ ルールを一覧表示する chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.get ダッシュボードのコンテンツを取得する chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.list ダッシュボードの内容を一覧表示する chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.install ダッシュボード コンテンツをインストールする chronicle.writer
chronicle.googleapis.com/feedPacks.get フィードパックを取得する chronicle.reader
chronicle.googleapis.com/feedPacks.list フィードパックを一覧表示する chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.get 注目のコンテンツのハンドブックを入手する chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.list おすすめコンテンツのリストに関するハンドブック chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.install 注目のコンテンツのインストール ハンドブック chronicle.writer

概要

コンテンツ ハブは、Google SecOps 内のコンテンツの検出、デプロイ、管理を行うための一元的なプラットフォームとして機能します。

コンテンツ ハブでは、次の操作を行うことができます。

  • エンドツーエンドのコンテンツ パック（ログの取り込み、キュレーテッド検出、ダッシュボードなど）をデプロイして、Google SecOps インスタンスが Google が定義したサポート対象のプロダクトのリストの上位にあるプロダクトと連携できるようにします。
  • SOAR ハンドブックとコネクタ用のサードパーティ統合をインストールします。
  • キュレーテッド検出を表示してフィルタし、個々のルール属性とそれぞれのルール定義を検査します（キュレーテッド検出の透明性）。完全な管理機能については、[ルールセット] ページに移動してください。
  • ダッシュボードを追加して、可視性を高めます。
  • 保存した検索クエリを SIEM 検索に追加して、すばやく再利用します。
  • パワーアップをインストールして実行し、ハンドブックの機能を拡張します。
  • ハンドブックをインストールして実行し、SOAR レスポンスを提供します。
  • 以前の SOAR のユースケースには、[ホーム] ページからアクセスできます。

コンテンツ タイプ

コンテンツ ハブには次の 4 種類のコンテンツがあります。

  • Google: Google SecOps によって開発、保守、検証されているコンテンツです。このカテゴリには、新規のコンテンツ アイテムと更新されたコンテンツ アイテムの両方が含まれます。
  • パートナー: パートナーによって開発、保守されているコンテンツ。このコンテンツは、Google の自動品質チェックと検証チェックによって検証されています。パートナー コンテンツでは、専用のサポート連絡先情報が提供されます。
  • コミュニティ: コミュニティ ユーザーによって開発、保守されているコンテンツです。このコンテンツは、Google の自動品質チェックと検証チェックによって検証されています。
  • カスタム: 貴社が作成したコンテンツであり、貴社のコンテンツハブにのみ表示されます。このコンテンツは貴社のインスタンスに対してのみ公開され、Google SecOps による検証は行われません。

ホームページでできること

[ホーム] ページは、コンテンツ ハブのメイン ランディング ページです。ここから、次の機能を利用できます。

  • コンテンツ パック、レスポンス統合、ダッシュボード、検索クエリ、パワーアップ、キュレーテッド検出。
  • 以前の SOAR のユースケース。新しいコンテンツ パックは、より包括的で統合されたソリューションを提供するため、以前のユースケースではなく、新しいコンテンツ パックを使用することをおすすめします。

コンテンツ パック、検出、レスポンス統合、ダッシュボードなど、すべてのコンテンツ タイプを同時に検索できます。この機能により、関連するアセットを見つけるために個々のタブを移動する必要がなくなります。プラットフォームには、各タイプの合計一致数を含む結果が表示されます。いずれかの結果をクリックすると、詳細が表示されます。

たとえば、[検索] フィールドで「Crowdstrike」を検索すると、プラットフォームは次の結果を返します。

  • コンテンツ パック（1）: たとえば、Crowdstrike Falcon Comprehensive Pack。
  • 厳選された検出（42）: 「Crowdstrike Falcon: マルウェアが検出されました」や「Crowdstrike Falcon: センサーの改ざん」など、上位 4 つのカードが表示されます。[42 件の結果をすべて表示] をクリックすると、[検出] タブに直接移動します。
  • レスポンス統合（2）: たとえば、Crowdstrike Falcon（レスポンス） - 「ホストを分離」などのハンドブック アクションに使用されます。
  • ダッシュボード（3）

[コンテンツ パック] ページでは何ができますか？

[コンテンツ パック] ページでは、単一フィードと複数フィードを構成し、他のすべての Content Hub オプションにアクセスできます。

[コンテンツ パック] ページですべてのデータをオンボーディングする手順は次のとおりです。

  1. 必要なログタイプに基づいて、プロダクト ファミリーの複数のフィードを構成します。
  2. フィードを設定したら、必要に応じてコンテンツ パックの残りのコンポーネント（バックグラウンドで自動的にダウンロードされます）を構成できます。
    1. ハンドブックを使用する前に、[Configure Integrations] をクリックしてインスタンスを設定し、ハンドブックが機能するようにする必要があります。詳細については、統合インスタンスを構成するをご覧ください。
    2. ダウンロードしたハンドブックを表示または変更したり、シミュレータを使用して実行したりするには、[ハンドブックを表示] をクリックします。詳細については、ハンドブック シミュレータを使用するをご覧ください。ハンドブック名をコピーして、[ハンドブック] ページの [デフォルト] フォルダで検索する必要があります。
    3. [すべての検出ルールを表示] をクリックして、キュレーションされた検出機能] ページを開きます。
    4. [すべての検索クエリを表示] をクリックして、SIEM 検索ページを開きます。
    5. [すべてのダッシュボードを表示] をクリックして、[ダッシュボード] ページを開きます。

[キュレーションされた検出機能] ページでは何ができますか？

[キュレートされた検出] ページでは、ルールロジックやコードなど、Google SecOps でサポートされているすべての検出ルール定義を表示できます。

キュレーテッド検出（ルール）を表示して変更する手順は次のとおりです。

  1. 更新する必要なルールセットを見つけて、[表示と管理] をクリックします。
  2. [概要] タブに表示されたサイドバーで、[ルールを管理] をクリックします。[キュレートされた検出] ページで、ルールセット全体が表示されます。
  3. または、表示されたサイドバーで [ルールの定義] タブをクリックします。ルールのロジックが表示されます。ここからルールを変更することはできませんが、[ルール] ページで新しいルールを作成できます。[ルールのパフォーマンスを表示] をクリックして [検出] ページに移動し、ルールを管理します。

[Response Integrations] ページでは何ができますか？

[Response Integrations] ページでは、リリースノートなどの統合の詳細を確認し、個々のレスポンス統合を構成できます。これらは、SOAR コネクタとハンドブックに使用できます。

更新によって問題が発生した場合や、カスタムコードの変更を元に戻す必要がある場合は、インテグレーションを以前のバージョンにロールバックすることもできます。

統合をインストールして構成するには:

  1. 必要な統合を見つけて [インストール] をクリックします。
  2. インストールが完了したら、同じ統合の [構成] をクリックして設定を開始します。詳細については、インテグレーション インスタンスを構成するをご覧ください。

[ダッシュボード] ページでは何ができますか？

[ダッシュボード] ページでは、プリインストールされたダッシュボードの詳細を表示したり、新しいダッシュボードを追加したりできます。事前インストールされたダッシュボードやコンテンツ ハブから追加されたダッシュボードを表示または管理するには、[ダッシュボード] ページに移動します。注: コンテンツ ハブから追加されたダッシュボードには、[Marketplace]（マーケットプレイス）というラベルが付けられます。

[ハンドブックとブロック] ページでは何ができますか？

[ハンドブックとブロック] ページでは、ハンドブックとハンドブック ブロック（ネストされたハンドブック）の両方を表示してインストールできます。さまざまなフィルタとカテゴリに従ってプレイブックを表示できます。たとえば、インスタンスにすでにインストールされているインテグレーションを含むプレイブックのみを表示したり、特定のインテグレーションを含むプレイブックのみを表示したりできます。

ハンドブックまたはハンドブック ブロックを表示してインストールするには:

  1. 必要なハンドブックまたはブロックを見つけて、[詳細を表示] をクリックします。
  2. 開いたサイド ドロワーで情報を確認し、[追加] をクリックします。
  3. プレイブックまたはブロックを追加する環境を選択します。
  4. リンクをクリックすると、追加したハンドブックが表示されたハンドブック デザイナーのページにリダイレクトされます。同じプレイブックを複数回追加できます。各ハンドブックには昇順の番号がタイトルとして付けられます。

詳細については、ハンドブックのページをご覧ください。

[検索クエリ] ページでは何ができますか？

[検索クエリ] ページでは、検索クエリの詳細を表示したり、新しいクエリを追加したりできます。検索クエリを追加すると、保存された検索に追加され、インスタンス内で共有されます。保存済みクエリを表示または管理するには、[SIEM 検索] ページに移動します。

Power Ups ページでは何ができますか？

[Power Ups] ページでは、ハンドブックで使用する Google SecOps Power Ups の詳細を表示、インストール、構成できます。設定手順については、Power-Up を使用するをご覧ください。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。