MSSP 多租戶作業

支援的國家/地區：

Google SecOps

本指南可協助受管理的安全服務供應商 (MSSP)、安全分析師和事件應變人員，在多個 Google Security Operations 客戶執行個體中同時搜尋及調查威脅。本文說明如何設定聯合執行個體群組、執行跨租戶的統合式資料模型 (UDM) 搜尋和統計查詢，以及樞紐分析個別受管理租戶。採用這種方法後，您就不必分別登入每個租戶，還能集中檢視分散式環境。這能減少營運負擔，並加快跨租戶的威脅偵測和事件應變速度。

聯合搜尋功能直接內建在現有的 UDM「搜尋」頁面 (依序點選「調查」>「搜尋」)，而非獨立的導覽頁面。這項功能會使用現有的 Google Cloud Identity and Access Management (IAM) 設定，將指定的管理執行個體連線至多個受管理執行個體。

使用已連結子租戶和必要聯盟 IAM 角色登入管理執行個體時，「搜尋」頁面會顯示「執行個體」選單 (標準單一租戶執行個體不會顯示這個選單)。從這個選單選取目標執行個體或群組並發起搜尋查詢時，Google 會驗證所有目標執行個體的授權、發布查詢，並傳回相符事件的整合式資料檢視，以及以來源執行個體代碼標記的匯總統計資料。

重要術語

下列條款適用於聯合搜尋和多租戶作業：

• 管理執行個體：這個 Google SecOps 中心執行個體具備管理連結執行個體、整理聯盟群組及執行聯盟搜尋作業所需的權限。
• 受管理執行個體：已連線的 Google SecOps 執行個體，會回應從管理執行個體發起的同盟要求。
• 執行個體選單：位於「調查」 >「搜尋」的下拉式選取器，可供您選擇要在聯邦搜尋中納入哪些連結的代管執行個體或執行個體群組。只有在登入管理執行個體 (該執行個體在「SIEM 設定」>「已連結的執行個體」下方有已連結的子租戶)，且您的帳戶具有 chronicle.googleapis.com/federationAdmin 或 chronicle.googleapis.com/federationViewer 角色時，才會顯示這個選單。
• 例項代碼：系統為每個受管理例項 (instance_code) 指派的專屬 ID，用於標記傳回的事件，以及在聯盟搜尋結果中彙整統計資料列。
• 同盟管理員：在管理執行個體專案中建立同盟群組及執行同盟搜尋時，必須具備的 IAM 角色 (chronicle.googleapis.com/federationAdmin)。
• 同盟檢視者：IAM 角色 (chronicle.googleapis.com/federationViewer)，可授予唯讀存取權，用來檢視同盟設定及執行同盟搜尋，但無法建立或刪除群組。
• 聯合統計資料：在多個代管執行個體中執行的 UDM 統計資料匯總查詢 (例如 count 或 sum)，結果會依 instance_code 隱含分組和隔離。

常見用途

以下各節說明 Federated Search 如何解決多租戶資料孤島問題，以及核心安全工作流程的營運負擔。

跨租戶威脅搜尋，打破資料孤島

• 目標：同時對多個客戶或子公司執行個體執行單一 YARA-L 查詢，偵測入侵指標 (IOC) 和全網威脅。
• 價值：不必登入個別租戶，即可集中檢視機構邊界和區域法規遵循孤島。

跨執行個體群組的事件應變與分類

• 目標：將具有類似威脅設定檔的客戶租戶 (例如金融機構) 分組，並在這些群組中執行目標搜尋或統計匯總。
• 價值：將威脅搜尋範圍縮小至特定顧客區隔，並找出需要立即補救的租戶，藉此縮短調查時間並減少管理負擔。

與租戶管理員共同分享發現項目

• 目標：直接從管理執行個體中的聯盟搜尋結果，樞轉至個別受管理租戶的介面，並與該租戶的本機管理員分享特定發現。
• 價值：簡化中央 MSSP 分析師與當地客戶安全團隊之間的交接程序，同時保留租戶層級的資料隔離。

事前準備

設定執行個體群組或執行聯合搜尋前，請確認符合下列必要條件：

• 權限：從與管理執行個體相關聯的 Google Cloud 專案，將下列其中一個 IAM 角色指派給使用者：

  • chronicle.googleapis.com/federationAdmin (聯盟管理員)：授予所有聯合搜尋功能的完整存取權，包括建立及刪除執行個體群組。
  • chronicle.googleapis.com/federationViewer (聯盟檢視者)：授予唯讀存取權，可檢視聯盟設定及執行聯盟搜尋，但無法修改群組。
  • 使用者也必須具備 chronicle.events.udmSearch 權限，才能在受管理租戶中執行 UDM 搜尋。

• 環境檢查：

  • 區域範圍：所有參與的 Google SecOps 執行個體 (管理和受管理) 都必須位於同一個 Google Cloud 區域。
  • 機構層級：所有參與的執行個體都必須屬於同一個 Google Cloud 機構。每個代管執行個體都必須位於管理執行個體 Google Cloud 資料夾的子資料夾中 (如果管理執行個體的專案不屬於任何 Google Cloud 資料夾，則可管理同一 Google Cloud 機構中的所有執行個體)。
  • 強制執行存取控管：聯盟搜尋會遵守各子租戶設定的資料角色式存取控管 (RBAC) 設定。使用者只能存取所指派角色允許的資料。

限制

聯合搜尋支援基本的 YARA-L 查詢和 UDM 統計匯總，並強制執行下列功能界線：

• 不支援的單一租戶搜尋功能：

  • 原始記錄檔搜尋 (舊版和 RLSv2)
  • 實體脈絡圖 (ECG) 搜尋
  • 使用 Gemini 生成 YARA-L 2.0 查詢，以及 Gemini 摘要
  • 查詢 UDM
  • 使用客戶自行管理的加密金鑰 (CMEK) 的房客
  • 使用「套用至搜尋並執行」篩選租戶 ID
  • 「事件檢視器」面板中的「管理剖析器」樞紐
  • 參照清單和資料表
  • 實體的舊版檢視畫面，以及從 UDM 搜尋的「總覽」面板切換至舊版檢視畫面
  • 「總覽」和「快訊」分頁
  • 排序結果及下載半形逗號分隔值 (CSV) 格式的結果
  • 在「事件」表格中進行資料透視
  • 以 API 為基礎的聯合搜尋 (Chronicle API 不支援聯合搜尋)

• 聯合統計資料限制：

  • 無法跨租戶合併：您無法將多個租戶的資料匯總為單一全域號碼。每個統計結果都會與特定租戶隔離 (例如，您會看到 10 個租戶的 10 個資料列，而不是代表所有 10 個租戶總和的 1 個資料列)。
  • 不支援聯結、資料表或多級式查詢：系統不支援使用聯結、多級式查詢或資料表的查詢。
  • 範圍：聯合統計資料僅限於 UDM 事件。不支援心電圖事件。
  • 視覺化：「視覺化」分頁 (圖形和圖表) 已停用。結果只會以表格資料格式提供。

設定及管理同盟搜尋群組

在管理執行個體中，您可以查看連結的租戶，並將其整理成邏輯執行個體群組，以便管理具有類似威脅設定檔的客戶。以下各節說明如何查看已連結的執行個體及管理群組。

查看連結的執行個體

建立群組或執行搜尋前，請先確認受管理租戶已連結至管理執行個體，且管理執行個體可看見這些租戶：

1. 登入管理 Google SecOps 執行個體。
2. 依序前往「SIEM 設定」>「已連結的執行個體」。

3. 查看連結的執行個體表格，其中會顯示每個租戶的下列詳細資料：

   • 名稱：執行個體的顯示名稱。
   • ID：執行個體 ID。
   • 代碼：指派給例項的不重複 ID 代碼，會顯示在聯盟搜尋結果中。
   • 群組：指派用於管理的執行個體群組。
   注意：建立新租戶或將現有租戶移至聯合範圍的資料夾後，聯合搜尋執行個體會在 5 分鐘內自動顯示在「連結的執行個體」清單中。如果 5 分鐘後仍未顯示租戶，請確認租戶位於相同 Google Cloud 區域，且位於管理執行個體資料夾的子資料夾中 Google Cloud 。

建立聯合搜尋群組

建立邏輯執行個體群組 (例如將銀行和信用合作社分組)，針對特定客群執行聯合搜尋：

1. 登入管理 Google SecOps 執行個體。
2. 依序點選「SIEM 設定」>「已連結的執行個體」。
3. 按一下「管理群組」。
4. 按一下「新增」。
5. 在「群組名稱」欄位中，輸入群組的描述性名稱。
6. 在「Assign to instances」(指派給執行個體) 清單中，選取要加入群組的代管執行個體。

7. 按一下 [儲存]。

   注意：每個租戶最多可建立 100 個執行個體群組。如果無法使用「新增」按鈕或儲存失敗，請確認您的帳戶在管理執行個體專案中是否已獲派 chronicle.googleapis.com/federationAdmin 角色。

在多個執行個體中執行聯合搜尋

您可以從管理執行個體執行 YARA-L 查詢，搜尋所選租戶的事件，並檢查匯總的 UDM 統計資料。以下各節說明如何執行聯邦查詢及分析結果。

執行跨租戶 UDM 搜尋

執行聯邦搜尋，在多個受管理執行個體或執行個體群組中，擷取相符的 UDM 事件：

1. 登入管理執行個體。請確認您的帳戶有權存取管理執行個體和所有相關聯的管理執行個體。
2. 在導覽列中，依序點按「調查」>「搜尋」。
3. 按一下「執行個體」 (顯示在管理已設定聯盟的執行個體時的「搜尋」頁面上)，然後選取要納入搜尋範圍的個別執行個體或執行個體群組。
4. 在搜尋欄位中輸入 YARA-L 查詢，然後按一下「執行搜尋」。

5. 視需要設定結果限制：

   • 在聯合搜尋中傳回的結果總數，取決於「搜尋設定」中設定的結果集大小 (預設為 30,000，可設定範圍為 1 到 1,000,000)。

   • 您也可以在搜尋查詢中設定 limit 關鍵字，這會個別套用至每個目標執行個體：

     ip != "" limit:5000
     

     如果選取 10 個執行個體，這項查詢會從每個執行個體擷取最多 5,000 個事件，總共最多傳回 50,000 個事件。

6. 在「結果摘要」選單中監控查詢執行作業，該選單會顯示每個目標執行個體的狀態指標 (「執行中」、「已完成」或「失敗」)。

7. 依例項程式碼篩選及檢查結果：

   • 搜尋結果中的每個事件都包含「租戶」(或「執行個體代碼」)資料欄，可識別來源代管執行個體。
   • 使用側欄或快照檢視畫面中的「租戶篩選器」，將結果範圍縮小至特定租戶。
   • 按一下列出的任一事件，即可查看完整的 UDM 事件和原始記錄。
   注意：每個聯邦查詢最多可指定 150 個例項，搜尋時間範圍最多為 30 天。如果超過每小時 30 次的組織速率限制，系統會傳回 HTTP 409 錯誤。如果查詢失敗並出現編譯錯誤，請確認查詢未包含不支援的單一租戶功能，例如聯結、資料表或參照清單。

分析聯盟統計資料，並轉移至受管理執行個體

在多個執行個體中執行統計 UDM 查詢 (例如 count 或 sum)，驗證威脅假設並深入瞭解特定租戶：

1. 在管理執行個體的導覽列中，依序點選「調查」> 搜尋」，然後從「執行個體」選單中選取目標執行個體或群組。

2. 輸入 UDM 統計查詢 (使用 match 和 outcome 部分)，然後按一下「執行搜尋」。

   • 聯合查詢引擎會協調所有目標執行個體的匯總作業，並依 instance_code 隱含地將結果分組。

3. 在表格結果檢視畫面中，查看每個執行個體的匯總資料列。

4. 如要詳細調查特定租戶的事件，請選擇下列其中一個樞紐動作：

   • 按一下任何統計結果列的「執行 UDM 查詢」，即可在新瀏覽器分頁中，直接在相關聯的受管理執行個體上啟動基礎搜尋。
   • 在「結果摘要」選單中，按一下執行個體列旁的「在新分頁中開啟」圖示 ，即可開啟新的瀏覽器分頁，只顯示該執行個體的搜尋結果。

5. 完成搜尋結果審查後，請按一下「完成」。

   注意：系統會在執行個體層級執行匯總作業，上限為 60,000 列。由於 Federated Search 已停用跨租戶合併和「Visualize」分頁，因此使用「Run UDM query」樞轉至特定租戶，即可存取單一租戶的視覺化資料、CSV 匯出功能和更深入的事件檢查，同時保留原始的聯盟結果分頁。

範例和參考資訊

下列各節提供 YARA-L 查詢範例和多租戶調查範例，可簡化跨租戶威脅搜尋和事件應變作業。

追蹤執行個體群組的使用者登入活動

資安分析師想搜尋 New York 和 California 執行個體群組中的所有 USER_LOGIN 事件：

1. 在管理執行個體導覽列中，依序點選「調查」>「搜尋」。
2. 按一下「執行個體」，然後選取「紐約」和「加州」執行個體群組。

3. 在搜尋欄位中，輸入下列 UDM 查詢：

   metadata.event_type = "USER_LOGIN"
   

4. 按一下「執行搜尋」。

5. 在「結果摘要」中查看結果：

   • 每個事件都包含「租戶」欄，顯示來源執行個體代碼和所選租戶中找到的所有 USER_LOGIN 事件。
   • 使用側欄中的「租戶篩選器」，將結果範圍縮小至所選群組中的特定租戶。
   • 摘要會顯示「New York」和「California」執行個體群組中，每個租戶的 USER_LOGIN 事件數。

調查租戶中的可疑可執行檔

多租戶客戶的事件應變人員想調查 instance1 上可疑可執行檔 (malicious.exe) 的快訊：

1. 在 instance1 的「調查」>「搜尋」中，執行下列 UDM 查詢來驗證結果：

   metadata.event_type = "FILE_OPEN" AND target.file.full_path = "<var>FILE_PATH</var>/malicious.exe"
   

2. 驗證完成後，開啟管理執行個體，依序前往「調查」>「搜尋」，然後使用「執行個體」選單選取所有相關執行個體。

3. 使用聯合搜尋重新執行相同查詢，掃描所選執行個體。

4. 結果摘要會顯示所有租戶例項的結果。每個事件都包含執行個體代碼，可讓回應者在所有租戶中，識別 malicious.exe 的存取位置和時間。

使用聯合統計資料找出異常登入行為

以下範例有助於識別異常登入行為，包括來自不尋常地理位置的登入，以及在所有同盟執行個體中，於非典型時間發生的登入：

1. 在 instance1 的「調查」>「搜尋」中，執行下列 UDM 查詢來驗證結果：

   // Filter for successful logins
   metadata.event_type = "USER_LOGIN"
   security_result.action = "ALLOW"
   
   $user = target.user.userid
   $machine = target.hostname
   $ip = principal.ip
   $country = principal.ip_geo_artifact.location.country_or_region
   
   // Match: Group by Machine
   match: $machine
   
   // Check for affected scope: How many unique IPs hit this machine?
   // Check for logins from multiple countries
   // Identify the time window of activity
   outcome:
     $total_logins = count(metadata.id)
     $unique_users = count_distinct($user)
     $unique_source_ips = count_distinct($ip)
     $distinct_countries = count_distinct($country)
     $first_login = min(metadata.event_timestamp.seconds)
     $last_login = max(metadata.event_timestamp.seconds)
   
   // Identify machines with the most unique users
   order: $unique_users desc
   

2. 驗證完成後，開啟管理執行個體，依序前往「調查」>「搜尋」，然後使用「執行個體」選單選取所有相關執行個體。

3. 使用聯合搜尋重新執行相同查詢，掃描所選執行個體。

4. 結果摘要會顯示所有租戶例項的結果。每個資料列都包含執行個體代碼，可讓威脅獵人瞭解每個執行個體的登入異常情形。

5. 點按「執行 UDM 查詢」，即可深入調查可疑行為，鎖定特定執行個體。

與租戶管理員分享發現項目

這個範例說明調查人員如何將跨租戶搜尋結果中的發現事項，隔離到單一代管租戶，然後與該租戶的本機管理員共用。由於聯邦搜尋結果會涵蓋多個租戶，因此您必須改用特定受管理執行個體 (instance2)，只分享與該客戶相關的搜尋查詢和事件：

1. 在管理執行個體的「結果摘要」中，找出 instance2 的相符項目。
2. 按一下「instance2」旁的「在新分頁中開啟」，即可在新瀏覽器分頁中，開啟該租戶的 Google SecOps 介面，並顯示搜尋結果。
3. 在「instance2」instance2頁面中，確認搜尋結果只會顯示該執行個體的內容。

4. 按一下「分享」或「儲存」，即可執行下列任一動作：

   • 與有權存取 instance2 的當地使用者分享搜尋內容 (查詢和結果)。
   • 將搜尋查詢儲存在 instance2 中，以供日後使用或調查。

疑難排解

以下各節說明架構限制、預期延遲時間，以及常見聯邦搜尋問題的自助式修正方式。

延遲時間、服務配額和限制

為確保多租戶環境的效能，聯合搜尋會強制執行下列服務配額和處理限制：

• 租戶探索延遲：新建立或移動的執行個體，會在置於聯盟範圍的資料夾後 5 分鐘內，自動顯示在「已連結的執行個體」清單中。
• 執行個體限制：每項聯邦搜尋查詢最多可指定 150 個執行個體。
• 群組限制：每個租戶最多可建立 100 個執行個體群組。
• 查詢速率限制：每個 Google Cloud 機構每小時最多可執行 30 項聯邦搜尋查詢。如果超過此上限，系統會傳回 HTTP 409 錯誤。
• 查詢結果上限：聯邦搜尋最多會傳回 1,000,000 列結果，並平均分配給查詢鎖定的 Google SecOps 租戶總數。
• 聯盟統計資料結果限制：聯盟統計資料查詢最多會以表格格式傳回 60,000 列。
• 查詢時間範圍：每項聯邦搜尋查詢最多可搜尋 30 天的時間範圍。

錯誤修正

請參閱下表，診斷及解決常見的聯邦搜尋問題：

問題或錯誤代碼	說明	可採取行動的修正方式
HTTP 409	超過查詢頻率限制：貴機構每小時的聯合搜尋查詢次數已超過上限 (30 次)。	請等待每小時配額重設，再執行其他聯邦搜尋，或直接在個別受管理執行個體上執行指定查詢。
「已連結的執行個體」中缺少租戶	租戶未顯示在聯盟清單中：新建立或遷移的執行個體不會顯示在「SIEM 設定」>「已連結的執行個體」下方。	等待最多 5 分鐘，讓系統自動同步探索結果。如果執行個體仍未顯示，請確認執行個體位於相同 Google Cloud 機構和區域，且位於管理執行個體 Google Cloud 資料夾的子資料夾中。
權限遭拒或未經授權	無法執行聯合查詢或管理群組：您無法存取管理執行個體、建立群組或查詢代管的租戶。	確認您的帳戶在管理專案中具有 chronicle.googleapis.com/federationAdmin (或 federationViewer) 權限，且在每個目標子租戶中具有 chronicle.events.udmSearch 權限和資料 RBAC 存取權。
查詢編譯錯誤	不支援的查詢語法：嘗試使用聯結、資料表、參照清單或心電圖欄位時，查詢會失敗。	從聯合查詢中移除聯結、資料表、參照清單和 ECG 參照，或使用「執行 UDM 查詢」樞轉至單一租戶執行個體，執行進階單一租戶搜尋。

驗證和測試

在最多 150 個受管理執行個體中執行複雜的 YARA-L 搜尋或統計查詢之前，請先在單一執行個體上驗證查詢語法和欄位對應：

1. 前往單一受管理執行個體 (例如 instance1) 的「調查」>「搜尋」，並在短時間範圍內執行 YARA-L 查詢。
2. 確認 UDM 欄位、事件類型和統計結果變數可順利編譯，並傳回預期結果。
3. 在單一執行個體上驗證查詢後，前往管理執行個體的「調查」>「搜尋」，在「執行個體」選單中選取目標執行個體群組，然後在所有受管理租戶中執行已驗證的查詢。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。