Comprendere la piattaforma Google SecOps
Nella piattaforma Google Security Operations, vedrai che le aree sono suddivise in SIEM e SOAR. Questo perché la piattaforma fornisce strumenti per la gestione degli eventi e delle informazioni di sicurezza (SIEM) e per l'orchestrazione, l'automazione e la risposta di sicurezza (SOAR). Alcune parti della piattaforma Google SecOps sono specifiche solo per SIEM o SOAR e pertanto sono etichettate come tali.
Ricerca SIEM e ricerca SOAR
Nella piattaforma Google SecOps, c'è una pagina di ricerca per SIEM e un'altra per SOAR.
Nella pagina SIEM Search, puoi trovare e analizzare quanto segue:
- Eventi Unified Data Model (UDM): UDM è un formato di dati standardizzato utilizzato in Google SecOps per rappresentare in modo coerente gli eventi di sicurezza provenienti da varie origini. Un evento viene generato da un'origine log non elaborata inserita in Google SecOps ed elaborata dalla procedura di inserimento e normalizzazione di Google SecOps.
- Avvisi: rilevamenti delle regole con avvisi attivati o avvisi inseriti da connettori e webhook SOAR.
- Log non elaborati: telemetria dei log non elaborati e non analizzati.
- Join: metti in correlazione e combina i dati non elaborati provenienti da più origini in base ai valori dei campi comuni.
- Statistiche: eventi UDM con i risultati raggruppati per l'analisi statistica.
- Casi e cronologia dei casi: casi di sicurezza e log di controllo dei casi storici, che puoi correlare ad altri dati di sicurezza.
Per saperne di più sulla ricerca SIEM, consulta Informazioni sulla ricerca.
La pagina SOAR Search si concentra su due aree principali: casi ed entità. Da questa pagina puoi cercare casi aperti o chiusi oppure entità coinvolte nei casi. Puoi visualizzare in dettaglio le entità che stai cercando per ottenere ulteriori informazioni. Puoi eseguire azioni collettive come unire le richieste nei risultati di ricerca. Per saperne di più, vedi Cercare richieste ed entità.
Dashboard SIEM legacy e dashboard SOAR legacy
Le dashboard SIEM legacy mostrano informazioni sui dati degli eventi UDM. Sono inclusi telemetria sulla sicurezza, metriche di importazione, rilevamenti, avvisi, indicatori di compromissione e altro ancora. Per saperne di più, consulta Panoramica della dashboard SIEM legacy.
Le dashboard SOAR legacy mostrano informazioni su richieste, playbook e dati degli analisti SOC. Puoi creare nuove dashboard e condividerle con altri utenti. Per saperne di più, consulta Panoramica delle dashboard SOAR precedenti.
Per informazioni generali sulle dashboard, consulta Panoramica delle dashboard.
Impostazioni SIEM e SOAR
La maggior parte dell'amministrazione e della configurazione di SOAR si trova nelle impostazioni di SOAR, mentre la maggior parte dell'amministrazione e della configurazione di SIEM si trova nelle impostazioni di SIEM. Le autorizzazioni vengono impostate separatamente per ogni lato della piattaforma e non esiste alcuna dipendenza tra loro. Ad esempio, potresti scegliere di limitare le autorizzazioni ai playbook nelle impostazioni SOAR per determinati gruppi di utenti, concedendo invece autorizzazioni complete a tutti i moduli nelle impostazioni SIEM.
Per informazioni dettagliate sulla conservazione dei dati, vedi Configurare la conservazione dei dati SIEM.
Per informazioni sulle impostazioni di conservazione dei dati SOAR, consulta Configurare la conservazione dei dati SOAR.
Importazione dei dati utilizzando Google SecOps SIEM e sistemi SIEM di terze parti
La piattaforma Google SecOps ti consente non solo di importare gli avvisi utilizzando la piattaforma SIEM integrata (che importa i log non elaborati utilizzando connettori e feed di dati), ma accetta anche gli avvisi di sistemi e strumenti SIEM di terze parti (utilizzando SOAR > Connettori e webhook).
Questa funzionalità ti offre la flessibilità di sfruttare altri sistemi SIEM oltre all'offerta Google SecOps SIEM. Google consiglia di utilizzare il SIEM integrato, ove possibile, per un'esperienza più semplice.
Gli avvisi inseriti sia dal SIEM integrato sia da sistemi di terze parti possono essere raggruppati in Richieste ed esaminati nell'ambito delle funzionalità di gestione delle richieste. Gli avvisi importati da sistemi di terze parti vengono inviati alla parte SIEM della piattaforma e possono essere visualizzati utilizzando la ricerca SIEM, ma non sono soggetti alle regole SIEM integrate.
Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.