Google SecOps-Plattform

Unterstützt in:

In der Google Security Operations-Plattform sehen Sie, dass die Bereiche in SIEM und SOAR unterteilt sind. Das liegt daran, dass die Plattform Tools für das Sicherheitsinformations- und Ereignismanagement (SIEM) und die Sicherheitsorchestrierung, Automatisierung und Reaktion (SOAR) bietet. Einige Teile der Google SecOps-Plattform sind entweder nur für SIEM oder nur für SOAR bestimmt und werden daher entsprechend gekennzeichnet.

In der Google SecOps-Plattform gibt es eine Suchseite für SIEM und eine weitere Suchseite für SOAR.

Auf der Seite SIEM Search (SIEM-Suche) können Sie Folgendes finden und untersuchen:

  • UDM-Ereignisse (Unified Data Model): UDM ist ein standardisiertes Datenformat, das in Google SecOps verwendet wird, um Sicherheitsereignisse aus verschiedenen Quellen einheitlich darzustellen. Ein Ereignis wird aus einer Roh-Protokollquelle generiert, die in Google SecOps aufgenommen und durch den Aufnahme- und Normalisierungsprozess von Google SecOps verarbeitet wird.
  • Benachrichtigungen: Regelerkennungen mit aktivierter Benachrichtigung oder Benachrichtigungen, die über SOAR-Connectors und Webhooks aufgenommen werden.
  • Rohlogs: Rohdaten der Log-Telemetrie, die nicht geparst wurden.
  • Joins: Rohdaten aus mehreren Quellen anhand gemeinsamer Feldwerte in Beziehung setzen und kombinieren.
  • Statistiken: UDM-Ereignisse mit den Ergebnissen, die für die statistische Analyse gruppiert sind.
  • Vorgänge und Vorgangsverlauf: Sicherheitsvorgänge und Audit-Logs für den Vorgangsverlauf, die Sie mit anderen Sicherheitsdaten in Beziehung setzen können.

Weitere Informationen zur SIEM-Suche finden Sie unter Suche verstehen.

Die Seite SOAR Search konzentriert sich auf zwei Hauptbereiche: Fälle und Einheiten. Auf dieser Seite können Sie sowohl nach offenen als auch nach geschlossenen Fällen oder nach Entitäten suchen, die in Fälle verwickelt waren. Sie können die gewünschten Einheiten aufschlüsseln, um weitere Informationen zu sehen. Sie können Massenaktionen wie das Zusammenführen von Fällen für Ihre Suchergebnisse ausführen. Weitere Informationen finden Sie unter Vorgänge und Entitäten durchsuchen.

Legacy-SIEM-Dashboards und Legacy-SOAR-Dashboards

In Legacy-SIEM-Dashboards werden Informationen zu Ihren UDM-Ereignisdaten angezeigt. Dazu gehören Sicherheitstelemetrie, Erfassungsmesswerte, Erkennungen, Benachrichtigungen, IOCs und mehr. Weitere Informationen finden Sie unter Übersicht über das Legacy-SIEM-Dashboard.

Die Legacy-SOAR-Dashboards enthalten Informationen zu Fällen, Playbooks und SOC-Analystendaten. Sie können neue Dashboards erstellen und für andere Nutzer freigeben. Weitere Informationen finden Sie unter Übersicht über Legacy-SOAR-Dashboards.

Allgemeine Informationen zu Dashboards finden Sie unter Dashboards – Übersicht.

SIEM-Einstellungen und SOAR-Einstellungen

Der Großteil der SOAR-Administration und -Konfiguration befindet sich in den SOAR-Einstellungen und der Großteil der SIEM-Administration und -Konfiguration in den SIEM-Einstellungen. Die Berechtigungen werden für jede Seite der Plattform separat festgelegt und es gibt keine Abhängigkeit zwischen ihnen. Sie können beispielsweise die Berechtigungen für Playbooks in den SOAR-Einstellungen für bestimmte Nutzergruppen einschränken, während Sie in den SIEM-Einstellungen vollständige Berechtigungen für alle Module erteilen.

Weitere Informationen zur Datenaufbewahrung finden Sie unter SIEM-Datenaufbewahrung konfigurieren.

Informationen zu den Einstellungen für die SOAR-Datenaufbewahrung finden Sie unter SOAR-Datenaufbewahrung konfigurieren.

Daten mit Google SecOps SIEM und Drittanbieter-SIEM-Systemen aufnehmen

Mit der Google SecOps-Plattform können Sie nicht nur Benachrichtigungen über die integrierte SIEM-Plattform aufnehmen (die Rohlogs über Connectors und Datenfeeds aufnimmt), sondern auch Benachrichtigungen von Drittanbieter-SIEM-Systemen und ‑Tools (über SOAR > Connectors und Webhooks) akzeptieren.

So können Sie neben Google SecOps SIEM auch andere SIEM-Systeme nutzen. Google empfiehlt, nach Möglichkeit das integrierte SIEM zu verwenden, um den Prozess zu optimieren.
Benachrichtigungen, die sowohl vom integrierten SIEM als auch von Drittanbietersystemen aufgenommen werden, können in Anfragen gruppiert und im Rahmen der Funktionen für die Anfrageverwaltung betrachtet werden. Warnungen, die aus Drittanbietersystemen aufgenommen werden, werden an die SIEM-Seite der Plattform gesendet und können über die SIEM-Suche aufgerufen werden. Sie unterliegen jedoch nicht den integrierten SIEM-Regeln.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten