Operações multilocatárias de MSSP

Compatível com:

Google SecOps

Este guia ajuda provedores de serviços de segurança gerenciados (MSSPs, na sigla em inglês), analistas de segurança e responsáveis pela resposta a incidentes a executar pesquisas simultâneas e investigar ameaças em várias instâncias de clientes do Google Security Operations. Ele explica como configurar grupos de instâncias federadas, executar pesquisas e consultas estatísticas do modelo de dados unificado (UDM) entre locatários e fazer a transição para locatários gerenciados individuais. Ao seguir esse método, você elimina a necessidade de fazer login em cada locatário individualmente e centraliza a visibilidade em ambientes distribuídos. Isso reduz o overhead operacional e acelera a detecção de ameaças e a resposta a incidentes entre locatários.

A pesquisa federada é integrada diretamente à página Pesquisa do UDM (Investigação > Pesquisa) em vez de uma página de navegação separada. Ele conecta uma instância gerenciadora designada a várias instâncias gerenciadas usando as configurações atuais do Google Cloud Identity and Access Management (IAM).

Quando você faz login em uma instância de gerenciamento com sublocatários vinculados e a função necessária do IAM de federação, um menu Instâncias aparece na página Pesquisa. Esse menu não aparece em instâncias padrão de locatário único. Quando você seleciona instâncias ou grupos de destino nesse menu e inicia uma consulta de pesquisa, o Google verifica sua autorização em todas as instâncias de destino, distribui a consulta e retorna uma visualização unificada de eventos correspondentes e estatísticas agregadas marcadas pelo código da instância de origem.

Terminologia importante

Os seguintes termos se aplicam à Pesquisa federada e às operações multitenant:

• Instância de gerenciamento: a instância central do Google SecOps com as permissões necessárias para gerenciar instâncias vinculadas, organizar grupos de federação e executar pesquisas federadas.
• Instâncias gerenciadas: instâncias conectadas do Google SecOps que respondem a solicitações de federação iniciadas na instância gerenciadora.
• Menu "Instâncias": o seletor suspenso em Investigação > Pesquisa que permite escolher quais instâncias gerenciadas ou grupos de instâncias vinculados incluir em uma pesquisa federada. Esse menu só aparece quando você faz login em uma instância de gerenciamento que tem sublocatários vinculados em Configurações do SIEM > Instâncias vinculadas e sua conta tem a função chronicle.googleapis.com/federationAdmin ou chronicle.googleapis.com/federationViewer.
• Código da instância: o identificador exclusivo atribuído a cada instância gerenciada (instance_code) que marca eventos retornados e linhas estatísticas agregadas nos resultados da pesquisa federada.
• Administrador da federação: o papel do IAM (chronicle.googleapis.com/federationAdmin) necessário no projeto da instância de gerenciamento para criar grupos de federação e realizar pesquisas federadas.
• Leitor de federação: o papel do IAM (chronicle.googleapis.com/federationViewer) que concede acesso somente leitura para visualizar configurações de federação e executar pesquisas federadas sem criar ou excluir grupos.
• Estatísticas federadas: consultas de agregação estatística baseadas em UDM (como count ou sum) executadas em várias instâncias gerenciadas, em que os resultados são agrupados e isolados implicitamente por instance_code.

Casos de uso comuns

As seções a seguir descrevem como a Pesquisa federada lida com silos de dados multitenant e sobrecarga operacional nos principais fluxos de trabalho de segurança.

Caça a ameaças entre locatários em silos de dados

• Objetivo: executar uma única consulta YARA-L em várias instâncias de clientes ou subsidiárias simultaneamente para detectar indicadores de comprometimento (IOCs) e ameaças em toda a Internet.
• Valor: elimina a necessidade de fazer login em locatários individuais, oferecendo visibilidade centralizada em limites organizacionais e silos de compliance regionais.

Resposta a incidentes e triagem em grupos de instâncias

• Objetivo: organize locatários de clientes com perfis de ameaças semelhantes (por exemplo, instituições financeiras) em grupos de instâncias lógicas e execute pesquisas direcionadas ou agregações estatísticas nesses grupos.
• Valor: reduz o tempo de investigação e a sobrecarga de gerenciamento ao restringir as buscas de ameaças a segmentos de clientes específicos e identificar quais locatários precisam de correção imediata.

Compartilhamento colaborativo de descobertas com administradores do locatário

• Objetivo: fazer a transição diretamente dos resultados da pesquisa federada na instância de gerenciamento para a interface de um locatário gerenciado individual e compartilhar descobertas específicas com o administrador local desse locatário.
• Valor: simplifica as transferências entre analistas centrais do MSSP e equipes locais de segurança do cliente, preservando o isolamento de dados no nível do locatário.

Antes de começar

Antes de configurar grupos de instâncias ou executar pesquisas federadas, confirme se os seguintes pré-requisitos foram atendidos:

• Permissões: no projeto Google Cloud associado à sua instância de gerenciamento, atribua um dos seguintes papéis do IAM aos usuários:

  • chronicle.googleapis.com/federationAdmin (administrador da federação): concede acesso total a todos os recursos da pesquisa federada, incluindo a criação e exclusão de grupos de instâncias.
  • chronicle.googleapis.com/federationViewer (leitor de federação): concede acesso somente leitura para visualizar configurações de federação e executar pesquisas federadas sem modificar grupos.
  • Os usuários também precisam ter a permissão chronicle.events.udmSearch para executar pesquisas da UDM em locatários gerenciados.

• Verificação do ambiente:

  • Escopo regional: todas as instâncias participantes do Google SecOps (gerenciadoras e gerenciadas) precisam estar na mesma Google Cloud região.
  • Hierarquia organizacional: todas as instâncias participantes precisam pertencer à mesma organização Google Cloud . Cada instância gerenciada precisa estar em uma subpasta da pasta Google Cloud da instância de gerenciamento. Se o projeto da instância de gerenciamento não fizer parte de nenhuma pasta Google Cloud , ele poderá gerenciar todas as instâncias na mesma organização Google Cloud .
  • Aplicação do controle de acesso: a Pesquisa federada respeita as configurações de controle de acesso baseado em papéis (RBAC) de dados configuradas em cada sublocatário. Os usuários só podem acessar os dados permitidos pelas funções atribuídas a eles.

Limitações

A Pesquisa federada oferece suporte a consultas básicas em YARA-L e agregações estatísticas do UDM, além de impor os seguintes limites funcionais:

• Recursos de pesquisa de locatário único sem suporte:

  • Pesquisa de registros brutos (legada e RLSv2)
  • Pesquisa de gráfico de contexto de entidade (ECG)
  • Geração de consultas YARA-L 2.0 com o Gemini e resumo do Gemini
  • Pesquisa do UDM
  • Locatários que usam chaves de criptografia gerenciadas pelo cliente (CMEK)
  • Filtros de ID do locatário com Aplicar à pesquisa e execução
  • O pivô Gerenciar analisador do painel Visualizador de eventos
  • Listas de referências e tabelas de dados
  • Visualizações legadas para entidades e mudança para visualizações legadas no painel Visão geral na pesquisa do UDM
  • Guias Visão geral e Alertas
  • Ordenação e download dos resultados como valores separados por vírgula (CSV)
  • Criação de tabelas dinâmicas na tabela Eventos
  • Pesquisas federadas baseadas em API (a pesquisa federada não é compatível com a API Chronicle)

• Restrições de estatísticas federadas:

  • Sem fusão entre locatários: não é possível agregar dados de vários locatários em um único número global. Cada resultado estatístico permanece isolado no locatário específico. Por exemplo, você vê 10 linhas para 10 locatários, não uma linha representando a soma de todos os 10.
  • Sem suporte para junções, tabelas de dados ou consultas de várias etapas: não é possível usar consultas com junções, consultas de várias etapas ou tabelas de dados.
  • Escopo: as estatísticas federadas são estritamente limitadas a eventos da UDM. Não há suporte para eventos de eletrocardiograma.
  • Visualização: a guia Visualizar (gráficos) fica desativada. Os resultados são fornecidos apenas em um formato de dados tabulares.

Configurar e gerenciar grupos de pesquisa federada

Na sua instância de gerenciamento, é possível ver os locatários vinculados e organizá-los em grupos de instâncias lógicas para gerenciar clientes com perfis de ameaças semelhantes. As seções a seguir explicam como ver instâncias vinculadas e gerenciar grupos.

Ver instâncias vinculadas

Verifique se os locatários gerenciados estão vinculados e visíveis para a instância de gerenciamento antes de criar grupos ou fazer pesquisas:

1. Faça login na sua instância gerenciadora do Google SecOps.
2. Acesse Configurações do SIEM > Instâncias vinculadas.

3. Confira a tabela de instâncias vinculadas, que mostra os seguintes detalhes de cada locatário:

   • Nome: nome de exibição da instância.
   • ID: ID da instância.
   • Código: código de identificador exclusivo atribuído à instância, que aparece nos resultados da pesquisa federada.
   • Grupos: grupos de instâncias atribuídos para gerenciamento.
   Atenção:as instâncias de pesquisa federada aparecem automaticamente na lista Instâncias vinculadas em até 5 minutos depois que você cria um novo locatário ou move um locatário para uma pasta no escopo da federação. Se um locatário não aparecer após 5 minutos, verifique se ele está na mesma região Google Cloud e em uma subpasta da pasta Google Cloud da instância gerenciadora.

Criar um grupo de pesquisa federada

Crie grupos de instâncias lógicas (por exemplo, agrupando bancos e cooperativas de crédito) para executar pesquisas federadas segmentadas em segmentos de clientes específicos:

1. Faça login na sua instância gerenciadora do Google SecOps.
2. Clique em Configurações do SIEM > Instâncias vinculadas.
3. Clique em Gerenciar grupos.
4. Clique em Adicionar.
5. No campo Nome do grupo, insira um nome descritivo para o grupo.
6. Na lista Atribuir a instâncias, selecione as instâncias gerenciadas que você quer incluir no grupo.

7. Clique em Salvar.

   Observação:é possível criar no máximo 100 grupos de instâncias por locatário. Se o botão Adicionar não estiver disponível ou se a ação de salvar falhar, verifique se sua conta tem o papel chronicle.googleapis.com/federationAdmin no projeto da instância gerenciadora.

Executar uma pesquisa federada em várias instâncias

Você pode executar consultas da YARA-L na sua instância de gerenciamento para pesquisar eventos e inspecionar estatísticas agregadas do UDM em locatários selecionados. As seções a seguir explicam como executar consultas federadas e analisar resultados.

Executar uma pesquisa UDM entre locatários

Execute uma pesquisa federada para recuperar eventos correspondentes da UDM em várias instâncias gerenciadas ou grupos de instâncias:

1. Faça login na sua instância gerenciadora. Verifique se sua conta tem acesso à instância gerenciadora e a todas as instâncias gerenciadas associadas.
2. Na barra de navegação, clique em Investigação > Pesquisar.
3. Clique em Instâncias (que aparece na página Pesquisar ao gerenciar instâncias configuradas para federação) e selecione as instâncias ou grupos de instâncias individuais para incluir na pesquisa.
4. No campo de pesquisa, insira uma consulta YARA-L e clique em Executar pesquisa.

5. Configure os limites de resultados conforme necessário:

   • O número total de resultados retornados em uma pesquisa federada é determinado pelo tamanho do conjunto de resultados configurado nas Configurações de pesquisa. O padrão é 30.000, mas pode ser configurado entre 1 e 1.000.000.

   • Também é possível configurar a palavra-chave limit em uma consulta de pesquisa, que se aplica a cada instância segmentada individualmente:

     ip != "" limit:5000
     

     Se você selecionar 10 instâncias, essa consulta vai buscar até 5.000 eventos de cada uma delas, retornando até 50.000 eventos no total.

6. Monitore a execução da consulta no menu Resumo dos resultados, que mostra indicadores de status (Em execução, Concluído ou Falha) para cada instância de destino.

7. Filtre e inspecione os resultados por código da instância:

   • Cada evento nos resultados da pesquisa inclui uma coluna Locatário (ou código da instância) que identifica a instância gerenciada de origem.
   • Use o filtro de locatário na barra lateral ou na visualização de resumo para restringir os resultados a um locatário específico.
   • Clique em qualquer evento listado para conferir o evento completo da UDM e o registro bruto.
   Observação:cada consulta federada pode segmentar no máximo 150 instâncias e pesquisar um período máximo de 30 dias. Exceder o limite de taxa da organização de 30 consultas de pesquisa federada por hora retorna um erro HTTP 409. Se uma consulta falhar com um erro de compilação, verifique se ela não inclui recursos de locatário único sem suporte, como junções, tabelas de dados ou listas de referência.

Analisar estatísticas federadas e fazer a transição para instâncias gerenciadas

Execute consultas estatísticas de UDM (como count ou sum) em várias instâncias para validar hipóteses de ameaças e detalhar locatários específicos:

1. Na barra de navegação da instância de gerenciamento, clique em Investigação > Pesquisar e selecione as instâncias ou grupos de destino no menu Instâncias.

2. Insira uma consulta estatística da UDM (usando as seções match e outcome) e clique em Executar pesquisa.

   • O mecanismo de consulta federada orquestra a agregação em todas as instâncias segmentadas e agrupa implicitamente os resultados por instance_code.

3. Analise as linhas agregadas por instância na visualização de resultados tabulares.

4. Para investigar os eventos de um locatário específico em detalhes, escolha uma das seguintes ações de rotação:

   • Clique em Executar consulta UDM em qualquer linha de resultado estatístico para iniciar a pesquisa subjacente diretamente na instância gerenciada associada em uma nova guia do navegador.
   • No menu Resumo dos resultados, clique em Abrir em nova guia ao lado de uma linha de instância para abrir uma nova guia do navegador mostrando apenas os resultados da pesquisa dessa instância.

5. Clique em Concluído quando terminar de analisar os resultados da pesquisa.

   Observação:as agregações são realizadas no nível da instância e limitadas a 60.000 linhas. Como a fusão entre locatários e a guia Visualizar estão desativadas na pesquisa federada, a mudança para um locatário específico usando Executar consulta UDM permite acessar visualizações de locatário único, exportação de CSV e inspeção mais detalhada de eventos, preservando a guia original de resultados federados.

Exemplos e informações de referência

As seções a seguir fornecem exemplos de consultas YARA-L e de investigação multitenant para simplificar a busca de ameaças e a resposta a incidentes entre locatários.

Rastrear a atividade de login do usuário em grupos de instâncias

Um analista de segurança quer pesquisar todos os eventos de USER_LOGIN nos grupos de instâncias de Nova York e Califórnia:

1. Na barra de navegação da instância gerenciadora, clique em Investigação > Pesquisar.
2. Clique em Instâncias e selecione os grupos de instâncias Nova York e Califórnia.

3. No campo de pesquisa, insira a seguinte consulta da UDM:

   metadata.event_type = "USER_LOGIN"
   

4. Clique em Executar pesquisa.

5. Confira os resultados no Resumo dos resultados:

   • Cada evento inclui uma coluna Locatário que mostra o código da instância de origem e todos os eventos USER_LOGIN encontrados nos locatários selecionados.
   • Use o filtro de locatário na barra lateral para restringir os resultados a um locatário específico nos grupos selecionados.
   • O resumo mostra o número de eventos USER_LOGIN por locatário nos grupos de instâncias Nova York e Califórnia.

Investigar um executável suspeito em vários locatários

Um responsável por resposta a incidentes de um cliente multilocatário quer investigar um alerta sobre um executável suspeito (malicious.exe) em instance1:

1. Em Investigação > Pesquisa em instance1, execute a seguinte consulta da UDM para validar os resultados:

   metadata.event_type = "FILE_OPEN" AND target.file.full_path = "<var>FILE_PATH</var>/malicious.exe"
   

2. Depois de validar, abra a instância de gerenciamento, acesse Investigação > Pesquisar e selecione todas as instâncias relevantes usando o menu Instâncias.

3. Execute a mesma consulta usando a pesquisa federada para verificar as instâncias selecionadas.

4. O resumo mostra os resultados de todas as instâncias do locatário. Cada evento inclui um código de instância, permitindo que o respondente identifique onde e quando o malicious.exe foi acessado em todos os locatários.

Identificar comportamentos de login anômalos com estatísticas federadas

O exemplo a seguir ajuda a identificar comportamentos anômalos de login, incluindo logins de locais geográficos incomuns e logins que ocorrem em horários atípicos em todas as instâncias federadas:

1. Em Investigação > Pesquisa em instance1, execute a seguinte consulta da UDM para validar os resultados:

   // Filter for successful logins
   metadata.event_type = "USER_LOGIN"
   security_result.action = "ALLOW"
   
   $user = target.user.userid
   $machine = target.hostname
   $ip = principal.ip
   $country = principal.ip_geo_artifact.location.country_or_region
   
   // Match: Group by Machine
   match: $machine
   
   // Check for affected scope: How many unique IPs hit this machine?
   // Check for logins from multiple countries
   // Identify the time window of activity
   outcome:
     $total_logins = count(metadata.id)
     $unique_users = count_distinct($user)
     $unique_source_ips = count_distinct($ip)
     $distinct_countries = count_distinct($country)
     $first_login = min(metadata.event_timestamp.seconds)
     $last_login = max(metadata.event_timestamp.seconds)
   
   // Identify machines with the most unique users
   order: $unique_users desc
   

2. Depois de validar, abra a instância de gerenciamento, acesse Investigação > Pesquisar e selecione todas as instâncias relevantes usando o menu Instâncias.

3. Execute a mesma consulta usando a pesquisa federada para verificar as instâncias selecionadas.

4. O resumo mostra os resultados de todas as instâncias do locatário. Cada linha inclui um código de instância, informando ao analista de ameaças sobre anomalias de login em cada instância.

5. Clique em Executar consulta da UDM para se concentrar em uma instância específica e concluir uma investigação mais detalhada de comportamentos suspeitos.

Compartilhar descobertas com um administrador do locatário

Este exemplo mostra como um investigador isola descobertas de uma pesquisa entre locatários em um único locatário gerenciado antes de compartilhá-las com o administrador local desse locatário. Como os resultados da pesquisa federada na instância de gerenciamento abrangem vários locatários, faça a rotação para a instância gerenciada específica (instance2) para compartilhar apenas a consulta de pesquisa e os eventos relevantes para esse cliente:

1. No Resumo dos resultados da instância de gerenciamento, localize as correspondências de instance2.
2. Clique em Abrir em nova guia ao lado de instance2 para abrir os resultados da pesquisa na interface do Google SecOps desse locatário em uma nova guia do navegador.
3. Na página instance2, confirme se os resultados da pesquisa estão no escopo exclusivo dessa instância.

4. Clique em Compartilhar ou Salvar para realizar uma das seguintes ações:

   • Compartilhe a pesquisa (consulta e resultados) com usuários locais que têm acesso à instance2.
   • Salve a consulta de pesquisa em instance2 para uso ou investigação futura.

Solução de problemas

As seções a seguir descrevem os limites de arquitetura, a latência esperada e as correções de autoatendimento para problemas comuns da Pesquisa federada.

Latência, cotas e limites de serviço

A Pesquisa federada impõe as seguintes cotas de serviço e limites de processamento para manter a performance em ambientes multitenant:

• Latência de descoberta do locatário: as instâncias recém-criadas ou movidas aparecem automaticamente na lista Instâncias vinculadas em até 5 minutos após serem colocadas em uma pasta no escopo da federação.
• Limite de instâncias: cada consulta de pesquisa federada pode segmentar no máximo 150 instâncias.
• Limite de grupos: é possível criar no máximo 100 grupos de instâncias por locatário.
• Limite de taxa de consultas: é possível executar no máximo 30 consultas de pesquisa federada por hora por organização do Google Cloud . Exceder esse limite retorna um erro HTTP 409.
• Limite de resultados da consulta: uma pesquisa federada retorna no máximo 1.000.000 linhas de resultados, divididas igualmente entre o número total de locatários do Google SecOps segmentados pela consulta.
• Limite de resultados de estatísticas federadas: as consultas de estatísticas federadas retornam no máximo 60.000 linhas em formato tabular.
• Período da consulta: cada consulta de pesquisa federada pode pesquisar um período máximo de 30 dias.

Correção de erros

Use a tabela a seguir para diagnosticar e resolver problemas comuns da Pesquisa federada:

Problema ou código de erro	Descrição	Correção acionável
HTTP 409	Limite de taxa de consultas excedido: a organização excedeu o máximo de 30 consultas de pesquisa federada por hora.	Aguarde a redefinição da janela de cota por hora antes de executar outras pesquisas federadas ou faça consultas segmentadas diretamente em instâncias gerenciadas individuais.
Locatário ausente em Instâncias vinculadas	O locatário não está visível na lista de federação: uma instância recém-criada ou movida não aparece em Configurações do SIEM > Instâncias vinculadas.	Aguarde até 5 minutos para a sincronização automática da descoberta. Se a instância continuar ausente, verifique se ela está na mesma Google Cloud organização e região e se está localizada em uma subpasta da pasta Google Cloud da instância gerenciadora.
Permissão negada ou não autorizada	Não é possível executar consultas federadas nem gerenciar grupos: não é possível acessar a instância de gerenciamento, criar grupos ou consultar um locatário gerenciado.	Verifique se sua conta tem chronicle.googleapis.com/federationAdmin (ou federationViewer) no projeto de gerenciamento, permissão chronicle.events.udmSearch e acesso RBAC de dados em cada sublocatário de destino.
Erro de compilação de consulta	Sintaxe de consulta não compatível: a consulta falha ao tentar usar junções, tabelas de dados, listas de referência ou campos de ECG.	Remova junções, tabelas de dados, listas de referência e referências de ECG da consulta federada ou faça a transição para uma instância de locatário único usando Executar consulta de UDM para executar pesquisas avançadas de locatário único.

Validação e teste

Antes de executar uma pesquisa complexa em YARA-L ou uma consulta estatística em até 150 instâncias gerenciadas, valide a sintaxe da consulta e os mapeamentos de campos em uma única instância primeiro:

1. Acesse Investigação > Pesquisa em uma única instância gerenciada (por exemplo, instance1) e execute sua consulta YARA-L em um período curto.
2. Confirme se os campos da UDM, os tipos de eventos e as variáveis de resultado estatístico são compilados corretamente e retornam os resultados esperados.
3. Depois de validar a consulta em uma única instância, acesse Investigação > Pesquisa na instância de gerenciamento, selecione os grupos de instâncias de destino no menu Instâncias e execute a consulta validada em todos os locatários gerenciados.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.