Google SecOps – Übersicht

Unterstützt in:

Google Security Operations ist ein Cloud-Dienst, der als spezialisierte Schicht auf der Google-Infrastruktur aufgesetzt wurde. Er wurde für Unternehmen entwickelt, die große Mengen an Sicherheits- und Netzwerktelemetrie, die sie generieren, privat aufbewahren, analysieren und durchsuchen möchten.

Google SecOps normalisiert, indexiert, korreliert und analysiert die Daten, um schnelle Analysen und Kontext für riskante Aktivitäten zu bieten. Mit Google SecOps können Sie Bedrohungen erkennen, den Umfang und die Ursache dieser Bedrohungen untersuchen und Abhilfemaßnahmen mithilfe von vorgefertigten Integrationen mit Workflow-, Reaktions- und Orchestrierungsplattformen für Unternehmen bereitstellen.

Mit Google SecOps können Sie die aggregierten Sicherheitsinformationen für Ihr Unternehmen untersuchen, die bereits mehrere Monate alt sind. Mit Google SecOps können Sie alle Domains durchsuchen, auf die in Ihrem Unternehmen zugegriffen wird. Sie können Ihre Suche auf ein bestimmtes Asset, eine bestimmte Domain oder IP-Adresse eingrenzen, um festzustellen, ob es zu einer Sicherheitsverletzung gekommen ist.

Mit der Google SecOps-Plattform können Sicherheitsanalysten eine Sicherheitsbedrohung während ihres gesamten Lebenszyklus analysieren und abwehren. Dazu stehen ihnen die folgenden Funktionen zur Verfügung:

  • Erfassung: Daten werden über Forwarder, Parser, OpenTelemetry-Collectors, Connectors und Webhooks in die Plattform aufgenommen.
  • Erkennung: Diese Daten werden aggregiert, mit dem Unified Data Model (UDM) normalisiert und mit Erkennungsmechanismen und Threat Intelligence verknüpft.
  • Untersuchung: Bedrohungen werden durch Fallverwaltung, Suche, Zusammenarbeit und kontextbezogene Analysen untersucht.
  • Reaktion: Sicherheitsanalysten können mithilfe automatisierter Playbooks und des Fallmanagements schnell reagieren und Lösungen bereitstellen.

Datenerhebung

Google SecOps kann zahlreiche Arten von Sicherheitstelemetrie über verschiedene Methoden aufnehmen, darunter:

  • Forwarder: Eine schlanke Softwarekomponente, die im Netzwerk des Kunden bereitgestellt wird und Syslog, Packet Capture und vorhandene Datenrepositories für die Logverwaltung oder das Security Information and Event Management (SIEM) unterstützt.
  • Collector: Eine Softwarekomponente, die im Netzwerk des Kunden bereitgestellt wird und viele Datenquellen unterstützt, die an Google SecOps weitergeleitet werden.

  • Ingestion APIs: APIs, mit denen Protokolle direkt an die Google SecOps-Plattform gesendet werden können. Dadurch ist keine zusätzliche Hardware oder Software in Kundenumgebungen erforderlich.

  • Integrationen von Drittanbietern: Integration in Cloud-APIs von Drittanbietern, um die Aufnahme von Logs zu erleichtern, einschließlich Quellen wie Office 365 und Azure AD.

Bedrohungsanalyse

Die Analysefunktionen von Google SecOps werden als browserbasierte Anwendung bereitgestellt. Viele dieser Funktionen sind auch programmatisch über Read APIs zugänglich. Mit Google SecOps können Analysten potenzielle Bedrohungen genauer untersuchen und die beste Reaktion darauf ermitteln.

Sicherheit und Compliance

Google SecOps ist eine spezialisierte, private Schicht, die auf der Kerninfrastruktur von Google aufbaut. Daher werden die Rechen-, Speicher- und Sicherheitsdesignfunktionen dieser Infrastruktur übernommen.

Weitere Informationen zu unterstützten behördlichen Zertifizierungen, Branchenstandards, Datenstandortzonen (Data Residency Zones, DRZ) und Sicherheitskontrollen sowie Links zur entsprechenden offiziellen Dokumentation finden Sie unter Unterstützte Compliance-Standards.

Zusammenfassung der Google SecOps-Funktionen

In diesem Abschnitt werden einige der in Google SecOps verfügbaren Funktionen beschrieben.

  • UDM Search: Mit dieser Funktion können Sie UDM-Ereignisse und ‑Benachrichtigungen in Ihrer Google SecOps-Instanz finden.
  • Rohlog-Scan: Hier können Sie in Ihren unformatierten, nicht geparsten Logs suchen.
  • Reguläre Ausdrücke: Sie können Ihre unaufbereiteten, nicht geparsten Logs mit regulären Ausdrücken durchsuchen.

Fallverwaltung

Verwandte Warnungen zu Fällen gruppieren, die Warteschlange für Fälle nach Priorisierung sortieren und filtern, Fälle zuweisen, bei jedem Fall zusammenarbeiten, Fallprüfung und Berichterstellung.

Playbook Designer

Playbooks erstellen, indem Sie vordefinierte Aktionen auswählen und per Drag-and-drop auf den Playbook-Canvas ziehen – ohne zusätzlichen Code. Mit Playbooks können Sie auch spezielle Ansichten für jeden Benachrichtigungstyp und jede SOC-Rolle erstellen. Im Case-Management werden nur die Daten angezeigt, die für einen bestimmten Benachrichtigungstyp und eine bestimmte Nutzerrolle relevant sind.

Graph-Untersucher

Visualisieren Sie, wer, was und wann angegriffen wurde, identifizieren Sie Möglichkeiten für die Suche nach Bedrohungen, erfassen Sie das Gesamtbild und ergreifen Sie Maßnahmen.

Dashboards und Berichte

Vorgänge effektiv messen und verwalten, Stakeholdern den Wert der Arbeit aufzeigen, SOC-Messwerte und KPIs in Echtzeit im Blick behalten. Sie können integrierte Dashboards und Berichte verwenden oder eigene erstellen.

Integrierte Entwicklungsumgebung (IDE)

Sicherheitsteams mit Programmierkenntnissen können vorhandene Playbook-Aktionen ändern und verbessern, Code debuggen, neue Aktionen für vorhandene Integrationen erstellen und Integrationen entwickeln, die nicht im Content Hub verfügbar sind.

Ansichten für die Untersuchung

  • Asset-Ansicht: Untersuchen Sie Assets in Ihrem Unternehmen und prüfen Sie, ob sie mit verdächtigen Domains interagiert haben.
  • Ansicht „IP-Adresse“: Untersuchen Sie bestimmte IP-Adressen in Ihrem Unternehmen und deren Auswirkungen auf Ihre Assets.
  • Hash-Ansicht: Sie können anhand des Hash-Werts nach Dateien suchen und diese untersuchen.
  • Domainansicht: Untersuchen Sie bestimmte Domains in Ihrem Unternehmen und die Auswirkungen, die sie auf Ihre Assets haben.
  • Nutzeransicht: Untersuchen Sie Nutzer in Ihrem Unternehmen, die möglicherweise von Sicherheitsereignissen betroffen sind.
  • Prozedurales Filtern: Sie können Informationen zu einem Asset optimieren, unter anderem nach Ereignistyp, Protokollquelle, Netzwerkverbindungsstatus und Top-Level-Domain (TLD).

Hervorgehobene Informationen

  • In den Asset-Insight-Blöcken werden die Domains und Benachrichtigungen hervorgehoben, die Sie sich genauer ansehen sollten.
  • Das Prävalenzdiagramm zeigt die Anzahl der Domains, mit denen ein Asset in einem bestimmten Zeitraum verbunden war.
  • Benachrichtigungen von anderen beliebten Sicherheitsprodukten

Erkennungs-Engine

Mit der Google SecOps Detection Engine können Sie den Prozess der Suche nach Sicherheitsproblemen in Ihren Daten automatisieren. Sie können Regeln festlegen, um alle eingehenden Daten zu durchsuchen und Sie zu benachrichtigen, wenn potenzielle und bekannte Bedrohungen in Ihrem Unternehmen auftreten.

Zugriffssteuerung

Sie können sowohl vordefinierte Rollen verwenden als auch neue Rollen konfigurieren, um den Zugriff auf Datenklassen, Benachrichtigungen und Ereignisse zu steuern, die in Ihrer Google SecOps-Instanz gespeichert sind. Identity and Access Management bietet Zugriffssteuerung für Google SecOps.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten