Operaciones multiusuario de MSSP

Se admite en los siguientes sistemas operativos:

Google SecOps

Esta guía ayuda a los proveedores de servicios de seguridad administrados (MSSP), los analistas de seguridad y el personal de respuesta ante incidentes a ejecutar búsquedas simultáneas y a investigar amenazas en varias instancias de clientes de Google Security Operations. En él, se explica cómo configurar grupos de instancias federadas, ejecutar búsquedas y consultas estadísticas en el modelo de datos unificado (UDM) entre múltiples organizaciones, y cambiar a organizaciones administradas individuales. Si sigues este método, no tendrás que acceder a cada arrendatario de forma individual y centralizarás la visibilidad en los entornos distribuidos. Esto reduce la sobrecarga operativa y acelera la detección de amenazas y la respuesta ante incidentes en varios arrendatarios.

La Búsqueda federada está integrada directamente en la página Search existente del UDM (Investigation > Search) en lugar de en una página de navegación independiente. Conecta una instancia de administración designada a varias instancias administradas con tus configuraciones existentes de Google Cloud Identity and Access Management (IAM).

Cuando accedes a una instancia de administración con subinquilinos vinculados y el rol de IAM de federación requerido, aparece un menú Instances en la página Search (este menú no aparece en las instancias estándar de un solo inquilino). Cuando seleccionas instancias o grupos de destino en este menú y envías una búsqueda, Google verifica tu autorización en todas las instancias de destino, distribuye la búsqueda y muestra una vista unificada de los eventos coincidentes y las estadísticas agregadas etiquetadas por el código de instancia fuente.

Terminología clave

Los siguientes términos se aplican a la Búsqueda federada y las operaciones de múltiples inquilinos:

• Instancia de administración: Es la instancia central de Google SecOps con los permisos necesarios para administrar instancias vinculadas, organizar grupos de federación y ejecutar búsquedas federadas.
• Instancias administradas: Son instancias de Google SecOps conectadas que responden a las solicitudes de federación iniciadas desde la instancia de administración.
• Menú Instances: Es el selector desplegable en Investigation > Search que te permite elegir qué instancias administradas o grupos de instancias vinculados incluir en una búsqueda federada. Este menú solo aparece cuando accedes a una instancia de administración que tiene subinquilinos vinculados en Configuración del SIEM > Instancias vinculadas y tu cuenta tiene el rol de chronicle.googleapis.com/federationAdmin o chronicle.googleapis.com/federationViewer.
• Código de instancia: Es el identificador único asignado a cada instancia administrada (instance_code) que etiqueta los eventos devueltos y las filas estadísticas agregadas en los resultados de la búsqueda federada.
• Administrador de federación: Es el rol de IAM (chronicle.googleapis.com/federationAdmin) necesario en el proyecto de la instancia de administración para crear grupos de federación y realizar búsquedas federadas.
• Visualizador de federación: Es el rol de IAM (chronicle.googleapis.com/federationViewer) que otorga acceso de solo lectura para ver la configuración de la federación y ejecutar búsquedas federadas sin crear ni borrar grupos.
• Estadísticas federadas: Son consultas de agregación estadística basadas en el UDM (como count o sum) que se ejecutan en varias instancias administradas, en las que los resultados se agrupan y aíslan de forma implícita por instance_code.

Casos de uso habituales

En las siguientes secciones, se describe cómo la Búsqueda federada aborda los silos de datos de múltiples arrendatarios y la sobrecarga operativa en los flujos de trabajo de seguridad principales.

Búsqueda de amenazas en varios arrendatarios en silos de datos

• Objetivo: Ejecutar una sola búsqueda de YARA-L en varias instancias de clientes o subsidiarias de forma simultánea para detectar indicadores de compromiso (IoC) y amenazas en toda la Internet
• Valor: Elimina la necesidad de acceder a inquilinos individuales, lo que proporciona visibilidad centralizada en los límites organizativos y los silos de cumplimiento regionales.

Respuesta ante incidentes y clasificación en grupos de instancias

• Objetivo: Organizar los arrendatarios de clientes con perfiles de amenazas similares (por ejemplo, instituciones financieras) en grupos de instancias lógicos y ejecutar búsquedas segmentadas o agregaciones estadísticas en esos grupos
• Valor: Reduce el tiempo de investigación y la sobrecarga de administración, ya que limita la búsqueda de amenazas a segmentos de clientes específicos y permite identificar qué arrendatarios requieren corrección inmediata.

Compartir de forma colaborativa los hallazgos con los administradores de inquilinos

• Objetivo: Pasar directamente de los resultados de la búsqueda federada en la instancia de administración a la interfaz de un inquilino administrado individual y compartir hallazgos específicos con el administrador local de ese inquilino
• Valor: Simplifica las transferencias entre los analistas centrales del MSSP y los equipos de seguridad locales del cliente, a la vez que preserva el aislamiento de los datos a nivel del arrendatario.

Antes de comenzar

Antes de configurar grupos de instancias o ejecutar búsquedas federadas, confirma que se cumplan los siguientes requisitos previos:

• Permisos: Desde el proyecto Google Cloud asociado con tu instancia de administración, asigna uno de los siguientes roles de IAM a los usuarios:

  • chronicle.googleapis.com/federationAdmin (administrador de federación): Otorga acceso completo a todas las funciones de la Búsqueda federada, incluida la creación y eliminación de grupos de instancias.
  • chronicle.googleapis.com/federationViewer (visualizador de federación): Otorga acceso de solo lectura para ver la configuración de la federación y ejecutar búsquedas federadas sin modificar grupos.
  • Los usuarios también deben tener el permiso chronicle.events.udmSearch para ejecutar búsquedas en el UDM en los arrendatarios administrados.

• Verificación del entorno:

  • Alcance regional: Todas las instancias de Google SecOps participantes (administradas y de administración) deben residir en la misma Google Cloud región.
  • Jerarquía organizacional: Todas las instancias participantes deben pertenecer a la misma organización Google Cloud . Cada instancia administrada debe residir en una subcarpeta de la carpeta Google Cloud de la instancia administradora (si el proyecto de la instancia administradora no forma parte de ninguna carpeta Google Cloud , puede administrar todas las instancias dentro de la misma organización Google Cloud ).
  • Aplicación del control de acceso: La Búsqueda federada respeta la configuración del control de acceso basado en roles (RBAC) de los datos que se configura en cada subinquilino. Los usuarios solo pueden acceder a los datos permitidos por los roles que se les asignaron.

Limitaciones

La Búsqueda federada admite consultas básicas de YARA-L y agregaciones estadísticas del UDM, y aplica los siguientes límites funcionales:

• Funciones de búsqueda de un solo arrendatario no admitidas:

  • Búsqueda de registros sin procesar (tanto heredados como de RLSv2)
  • Búsqueda en el gráfico de contexto de entidades (ECG)
  • Generación de consultas de YARA-L 2.0 con Gemini y resumen de Gemini
  • Búsqueda de UDM
  • Usuarios que utilizan claves de encriptación administradas por el cliente (CMEK)
  • Filtros de ID de inquilino con Aplicar a la búsqueda y a la ejecución
  • El pivote Administrar el analizador del panel Visualizador de eventos
  • Listas de referencia y tablas de datos
  • Vistas heredadas para entidades y cambio a vistas heredadas desde el panel Resumen en la búsqueda de UDM
  • Pestañas Resumen y Alertas
  • Orden de los resultados y descarga de los resultados como valores separados por comas (CSV)
  • Cómo dinamizar la tabla Eventos
  • Búsquedas federadas basadas en la API (la búsqueda federada no se admite en la API de Chronicle)

• Restricciones de estadísticas federadas:

  • No se pueden combinar datos entre diferentes organizaciones: No puedes agregar datos de varias organizaciones en una sola cifra global. Cada resultado estadístico permanece aislado en su inquilino específico (por ejemplo, ves 10 filas para 10 inquilinos, no 1 fila que representa la suma de los 10).
  • No se admiten las uniones, las tablas de datos ni las consultas de varias etapas: No se admiten las consultas que usan uniones, las consultas de varias etapas ni las tablas de datos.
  • Alcance: Las estadísticas federadas se limitan estrictamente a los eventos del UDM. No se admiten los eventos de ECG.
  • Visualización: La pestaña Visualizar (gráficos) está inhabilitada. Los resultados se proporcionan solo en formato de datos tabulares.

Configura y administra grupos de búsqueda federada

En tu instancia de administración, puedes ver los arrendatarios vinculados y organizarlos en grupos de instancias lógicos para administrar a los clientes con perfiles de amenazas similares. En las siguientes secciones, se explica cómo ver las instancias vinculadas y administrar los grupos.

Cómo ver las instancias vinculadas

Antes de crear grupos o realizar búsquedas, verifica que tus arrendatarios administrados estén vinculados y sean visibles para la instancia de administración:

1. Accede a tu instancia de Google SecOps de administración.
2. Ve a Configuración de SIEM > Instancias vinculadas.

3. Revisa la tabla de instancias vinculadas, que muestra los siguientes detalles de cada arrendatario:

   • Nombre: Es el nombre visible de la instancia.
   • ID: Es el ID de la instancia.
   • Código: Es el código identificador único asignado a la instancia, que aparece en los resultados de la búsqueda federada.
   • Grupos: Son los grupos de instancias asignados para la administración.
   Precaución: Las instancias de búsqueda federada aparecen automáticamente en la lista Instancias vinculadas en un plazo de 5 minutos después de que crees un usuario nuevo o muevas uno existente a una carpeta con alcance para la federación. Si falta un arrendatario después de 5 minutos, verifica que se encuentre en la misma Google Cloud región y dentro de una subcarpeta de la carpeta Google Cloud de la instancia de administración.

Crea un grupo de búsqueda federada

Crea grupos de instancias lógicos (por ejemplo, agrupa bancos y cooperativas de crédito) para ejecutar búsquedas federadas segmentadas en segmentos de clientes específicos:

1. Accede a tu instancia de Google SecOps de administración.
2. Haz clic en Configuración de SIEM > Instancias vinculadas.
3. Haz clic en Administrar grupos.
4. Haz clic en Agregar.
5. En el campo Nombre del grupo, ingresa un nombre descriptivo para el grupo.
6. En la lista Asignar a instancias, selecciona las instancias administradas que se incluirán en el grupo.

7. Haz clic en Guardar.

   Nota: Puedes crear un máximo de 100 grupos de instancias por arrendatario. Si el botón Agregar no está disponible o no se puede guardar, verifica que a tu cuenta se le haya asignado el rol chronicle.googleapis.com/federationAdmin en el proyecto de la instancia de administración.

Ejecuta una búsqueda federada en varias instancias

Puedes ejecutar consultas de YARA-L desde tu instancia de administración para buscar eventos y, luego, inspeccionar las estadísticas agregadas del UDM en los arrendatarios seleccionados. En las siguientes secciones, se explica cómo ejecutar consultas federadas y analizar los resultados.

Ejecuta una búsqueda de UDM en varios arrendatarios

Ejecuta una búsqueda federada para recuperar eventos de UDM coincidentes en varias instancias administradas o grupos de instancias:

1. Accede a tu instancia de administración. Asegúrate de que tu cuenta tenga acceso a la instancia de administración y a todas las instancias administradas asociadas.
2. En la barra de navegación, haz clic en Investigación > Búsqueda.
3. Haz clic en Instancias (que aparece en la página Búsqueda para administrar instancias configuradas para la federación) y selecciona las instancias individuales o los grupos de instancias que deseas incluir en tu búsqueda.
4. En el campo de búsqueda, ingresa una consulta de YARA-L y haz clic en Ejecutar búsqueda.

5. Configura los límites de resultados según sea necesario:

   • La cantidad total de resultados que se muestran en una búsqueda federada se determina según el tamaño del conjunto de resultados configurado en la Configuración de la búsqueda (el valor predeterminado es 30,000; se puede configurar entre 1 y 1,000,000).

   • También puedes configurar la palabra clave limit en una búsqueda, que se aplica a cada instancia segmentada de forma individual:

     ip != "" limit:5000
     

     Si seleccionas 10 instancias, esta consulta recupera hasta 5,000 eventos de cada instancia, lo que da un total de hasta 50,000 eventos.

6. Supervisa la ejecución de la consulta en el menú Resumen de resultados, que muestra indicadores de estado (En ejecución, Completado o Error) para cada instancia objetivo.

7. Para filtrar y revisar los resultados por código de instancia, haz lo siguiente:

   • Cada evento en los resultados de la búsqueda incluye una columna Tenant (o código de instancia) que identifica la instancia administrada de origen.
   • Usa el filtro de arrendatario en la barra lateral o en la vista de instantánea para limitar los resultados a un arrendatario específico.
   • Haz clic en cualquier evento de la lista para ver el evento UDM completo y el registro sin procesar.
   Nota: Cada consulta federada puede segmentarse para un máximo de 150 instancias y buscar en un período máximo de 30 días. Si se supera el límite de frecuencia de la organización de 30 búsquedas federadas por hora, se muestra un error HTTP 409. Si una consulta falla con un error de compilación, verifica que no incluya funciones de un solo arrendatario no admitidas, como combinaciones, tablas de datos o listas de referencia.

Analiza las estadísticas federadas y cambia a las instancias administradas

Ejecuta consultas estadísticas de UDM (como count o sum) en varias instancias para validar hipótesis de amenazas y analizar inquilinos específicos:

1. En la barra de navegación de tu instancia de administración, haz clic en Investigación > Búsqueda y selecciona tus instancias o grupos objetivo en el menú Instancias.

2. Ingresa una consulta estadística del UDM (con las secciones match y outcome) y haz clic en Ejecutar búsqueda.

   • El motor de consultas federadas coordina la agregación en todas las instancias segmentadas y agrupa los resultados de forma implícita por instance_code.

3. Revisa las filas agregadas por instancia en la vista de resultados tabulares.

4. Para investigar en detalle los eventos de un arrendatario específico, elige una de las siguientes acciones de pivote:

   • Haz clic en Ejecutar consulta de UDM en cualquier fila de resultados estadísticos para iniciar la búsqueda subyacente directamente en la instancia administrada asociada en una nueva pestaña del navegador.
   • En el menú Resumen de resultados, haz clic en Abrir en una pestaña nueva junto a una fila de instancia para abrir una pestaña nueva del navegador en la que se muestren solo los resultados de la búsqueda de esa instancia.

5. Cuando termines de revisar los resultados de la búsqueda, haz clic en Listo.

   Nota: Las agregaciones se realizan a nivel de la instancia y se limitan a 60,000 filas. Dado que la combinación entre múltiples arrendatarios y la pestaña Visualizar están inhabilitadas en la Búsqueda federada, cambiar a un arrendatario específico con Ejecutar consulta de UDM te permite acceder a visualizaciones de un solo arrendatario, a la exportación de CSV y a una inspección más detallada de los eventos, a la vez que se conserva la pestaña de resultados federados original.

Ejemplos e información de referencia

En las siguientes secciones, se proporcionan ejemplos de consultas de YARA-L y de investigaciones de varios arrendatarios para optimizar la búsqueda de amenazas y la respuesta ante incidentes en varios arrendatarios.

Realiza un seguimiento de la actividad de acceso de los usuarios en todos los grupos de instancias

Un analista de seguridad quiere buscar todos los eventos de USER_LOGIN en los grupos de instancias de Nueva York y California:

1. En la barra de navegación de la instancia de administración, haz clic en Investigación > Búsqueda.
2. Haz clic en Instancias y selecciona los grupos de instancias Nueva York y California.

3. En el campo de búsqueda, ingresa la siguiente consulta de UDM:

   metadata.event_type = "USER_LOGIN"
   

4. Haz clic en Ejecutar búsqueda.

5. Consulta los resultados en el Resumen de resultados:

   • Cada evento incluye una columna Tenant que muestra el código de instancia de la fuente y todos los eventos USER_LOGIN que se encontraron en los inquilinos seleccionados.
   • Usa el filtro de arrendatario en la barra lateral para limitar los resultados a un arrendatario específico dentro de los grupos seleccionados.
   • En el resumen, se muestra la cantidad de eventos de USER_LOGIN por arrendatario en los grupos de instancias de Nueva York y California.

Investiga un archivo ejecutable sospechoso en varios arrendatarios

El encargado de respuesta ante incidentes de un cliente multiusuario desea investigar una alerta sobre un archivo ejecutable sospechoso (malicious.exe) en instance1:

1. En Investigación > Búsqueda en instance1, ejecuta la siguiente consulta del UDM para validar los resultados:

   metadata.event_type = "FILE_OPEN" AND target.file.full_path = "<var>FILE_PATH</var>/malicious.exe"
   

2. Una vez que se valide, abre la instancia de administración, ve a Investigación > Búsqueda y selecciona todas las instancias pertinentes en el menú Instancias.

3. Vuelve a ejecutar la misma búsqueda con la Búsqueda federada para analizar las instancias seleccionadas.

4. En el resumen de resultados, se muestran los resultados de todas las instancias del arrendatario. Cada evento incluye un código de instancia, lo que permite que el encargado de responder identifique dónde y cuándo se accedió a malicious.exe en todos los arrendatarios.

Identifica el comportamiento anómalo de acceso con estadísticas federadas

En el siguiente ejemplo, se ayuda a identificar el comportamiento anómalo de inicio de sesión, incluidos los inicios de sesión desde ubicaciones geográficas inusuales y los inicios de sesión que se producen en horarios atípicos en todas las instancias federadas:

1. En Investigación > Búsqueda en instance1, ejecuta la siguiente consulta del UDM para validar los resultados:

   // Filter for successful logins
   metadata.event_type = "USER_LOGIN"
   security_result.action = "ALLOW"
   
   $user = target.user.userid
   $machine = target.hostname
   $ip = principal.ip
   $country = principal.ip_geo_artifact.location.country_or_region
   
   // Match: Group by Machine
   match: $machine
   
   // Check for affected scope: How many unique IPs hit this machine?
   // Check for logins from multiple countries
   // Identify the time window of activity
   outcome:
     $total_logins = count(metadata.id)
     $unique_users = count_distinct($user)
     $unique_source_ips = count_distinct($ip)
     $distinct_countries = count_distinct($country)
     $first_login = min(metadata.event_timestamp.seconds)
     $last_login = max(metadata.event_timestamp.seconds)
   
   // Identify machines with the most unique users
   order: $unique_users desc
   

2. Una vez que se valide, abre la instancia de administración, ve a Investigación > Búsqueda y selecciona todas las instancias pertinentes en el menú Instancias.

3. Vuelve a ejecutar la misma búsqueda con la Búsqueda federada para analizar las instancias seleccionadas.

4. En el resumen de resultados, se muestran los resultados de todas las instancias del arrendatario. Cada fila incluye un código de instancia, que informa al analista de amenazas sobre las anomalías de acceso en cada instancia.

5. Haz clic en Ejecutar consulta de UDM para enfocarte en una instancia específica y completar una investigación más profunda del comportamiento sospechoso.

Comparte los hallazgos con un administrador de inquilino

En este ejemplo, se muestra cómo un investigador aísla los resultados de una búsqueda en varios arrendatarios en un solo arrendatario administrado antes de compartirlos con el administrador local de ese arrendatario. Dado que los resultados de la búsqueda federada en la instancia de administración abarcan varios arrendatarios, debes cambiar a la instancia administrada específica (instance2) para compartir solo la búsqueda y los eventos relevantes para ese cliente:

1. En el Resumen de resultados de tu instancia de administración, busca las coincidencias de instance2.
2. Haz clic en Abrir en una pestaña nueva junto a instance2 para abrir los resultados de la búsqueda en la interfaz de Google SecOps de ese arrendatario en una nueva pestaña del navegador.
3. En la página instance2, confirma que los resultados de la búsqueda se limitan exclusivamente a esa instancia.

4. Haz clic en Compartir o Guardar para realizar una de las siguientes acciones:

   • Comparte la búsqueda (consulta y resultados) con los usuarios locales que tienen acceso a instance2.
   • Guarda la búsqueda en instance2 para usarla o investigarla en el futuro.

Soluciona problemas

En las siguientes secciones, se describen los límites de arquitectura, la latencia esperada y las correcciones de autoservicio para los problemas comunes de la Búsqueda federada.

Latencia, cuotas de servicio y límites

La Búsqueda federada aplica las siguientes cuotas de servicio y límites de procesamiento para mantener el rendimiento en entornos de múltiples usuarios:

• Latencia de detección del arrendatario: Las instancias creadas o trasladadas recientemente aparecen automáticamente en la lista Instancias vinculadas en un plazo de 5 minutos después de colocarse en una carpeta con alcance para la federación.
• Límite de instancias: Cada búsqueda federada puede segmentarse para un máximo de 150 instancias.
• Límite de grupos: Puedes crear un máximo de 100 grupos de instancias por arrendatario.
• Límite de frecuencia de consultas: Puedes ejecutar un máximo de 30 consultas de búsqueda federada por hora por organización de Google Cloud . Si se supera este límite, se muestra un error HTTP 409.
• Límite de resultados de la búsqueda: Una búsqueda federada devuelve un máximo de 1,000,000 de filas de resultados, divididas de manera uniforme entre la cantidad total de arrendatarios de Google SecOps a los que se dirige la búsqueda.
• Límite de resultados de estadísticas federadas: Las consultas de estadísticas federadas muestran un máximo de 60,000 filas en formato tabular.
• Intervalo de tiempo de la búsqueda: Cada búsqueda federada puede buscar en un intervalo de tiempo máximo de 30 días.

Corrección de errores

Usa la siguiente tabla para diagnosticar y resolver problemas habituales de la Búsqueda federada:

Código de problema o error	Descripción	Corrección práctica
HTTP 409	Se superó el límite de frecuencia de consultas: La organización superó el máximo de 30 consultas de búsqueda federada por hora.	Espera a que se restablezca la ventana de cuota por hora antes de ejecutar búsquedas federadas adicionales o ejecuta consultas segmentadas directamente en instancias administradas individuales.
Falta el usuario en Instancias vinculadas	El arrendatario no se ve en la lista de federación: Una instancia recién creada o trasladada no aparece en Configuración del SIEM > Instancias vinculadas.	Espera hasta 5 minutos para que se complete la sincronización del descubrimiento automático. Si la instancia sigue sin aparecer, verifica que se encuentre en la misma organización y región Google Cloud y que esté ubicada en una subcarpeta de la carpeta Google Cloud de la instancia de administración.
Permiso denegado o no autorizado	No se puede ejecutar la consulta federada ni administrar grupos: No puedes acceder a la instancia de administración, crear grupos ni consultar un arrendatario administrado.	Verifica que tu cuenta tenga chronicle.googleapis.com/federationAdmin (o federationViewer) en el proyecto de administración, permiso de chronicle.events.udmSearch y acceso RBAC a los datos en cada subinquilino objetivo.
Error de compilación de la consulta	Sintaxis de consulta no admitida: La consulta falla cuando se intenta usar uniones, tablas de datos, listas de referencia o campos de ECG.	Quita las uniones, las tablas de datos, las listas de referencia y las referencias de ECG de la consulta federada, o bien cambia a una instancia de un solo arrendatario con Ejecutar consulta de UDM para ejecutar búsquedas avanzadas de un solo arrendatario.

Validación y prueba

Antes de ejecutar una búsqueda compleja de YARA-L o una consulta estadística en hasta 150 instancias administradas, valida primero la sintaxis de la consulta y las asignaciones de campos en una sola instancia:

1. Ve a Investigación > Búsqueda en una sola instancia administrada (por ejemplo, instancia1) y ejecuta tu consulta de YARA-L en un período corto.
2. Confirma que los campos del UDM, los tipos de eventos y las variables de resultado estadístico se compilen correctamente y devuelvan los resultados esperados.
3. Después de validar la consulta en una sola instancia, ve a Investigación > Búsqueda en la instancia de administración, selecciona tus grupos de instancias de destino en el menú Instancias y ejecuta la consulta validada en todos los arrendatarios administrados.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.