Entender a plataforma do Google SecOps
Na plataforma do Google Security Operations, você vai notar que há áreas divididas em SIEM e SOAR. Isso porque a plataforma oferece ferramentas para gerenciamento de eventos e informações de segurança (SIEM) e orquestração, automação e resposta de segurança (SOAR). Algumas partes da plataforma Google SecOps são específicas apenas para SIEM ou SOAR e, portanto, são rotuladas como tal.
Pesquisa no SIEM e no SOAR
Na plataforma Google SecOps, há uma página de pesquisa para SIEM e outra para SOAR.
Na página Pesquisa do SIEM, você pode encontrar e investigar o seguinte:
- Eventos do modelo unificado de dados (UDM): o UDM é um formato de dados padronizado usado no Google SecOps para representar eventos de segurança de várias fontes de maneira consistente. Um evento é gerado de uma origem do registro bruta ingerida no Google SecOps e processada pelo processo de ingestão e normalização do Google SecOps.
- Alertas: detecções de regras com alertas ativados ou alertas ingeridos de conectores e webhooks de SOAR.
- Registros brutos: telemetria de registros brutos e não analisados.
- Junções: correlacionam e combinam dados brutos de várias fontes com base em valores de campo comuns.
- Estatísticas: eventos da UDM com os resultados agrupados para análise estatística.
- Casos e históricos de casos: casos de segurança e registros de auditoria de casos históricos, que podem ser correlacionados com outros dados de segurança.
Para mais informações sobre a pesquisa do SIEM, consulte Entender a pesquisa.
A página Pesquisa do SOAR se concentra em duas áreas principais: casos e entidades. Nessa página, você pode pesquisar casos abertos ou fechados ou entidades envolvidas neles. É possível detalhar as entidades que você está procurando para ver mais informações sobre elas. Você pode realizar ações em massa, como mesclar casos nos resultados da pesquisa. Para mais informações, consulte Pesquisar casos e entidades.
Painéis legados do SIEM e do SOAR
Os painéis legados do SIEM mostram informações sobre os dados de eventos do UDM. Isso inclui telemetria de segurança, métricas de ingestão, detecções, alertas, indicadores de comprometimento (IOCs, na sigla em inglês) e muito mais. Para mais informações, consulte Visão geral do painel do SIEM legada.
Os painéis legados do SOAR mostram informações sobre casos, playbooks e dados de analistas do SOC. Você pode criar e compartilhar painéis com outros usuários. Para mais informações, consulte Visão geral dos painéis legados do SOAR.
Para informações gerais sobre painéis, consulte Visão geral dos painéis.
Configurações do SIEM e do SOAR
A maior parte da administração e configuração do SOAR está localizada nas configurações do SOAR, e a maior parte da administração e configuração do SIEM está localizada nas configurações do SIEM. As permissões são definidas separadamente para cada lado da plataforma, e não há dependência entre elas. Por exemplo, você pode limitar as permissões aos playbooks nas configurações do SOAR para determinados grupos de usuários e conceder permissões completas a todos os módulos nas configurações do SIEM.
Para mais detalhes sobre a retenção de dados, consulte Configurar a retenção de dados do SIEM.
Para informações sobre as configurações de retenção de dados do SOAR, consulte Configurar a retenção de dados do SOAR.
Ingestão de dados usando o Google SecOps SIEM e sistemas SIEM de terceiros
Com a plataforma Google SecOps, é possível ingerir alertas usando a plataforma SIEM integrada (que ingere registros brutos usando conectores e feeds de dados) e aceitar alertas de sistemas e ferramentas SIEM de terceiros (usando SOAR > Conectores e webhooks).
Assim, você tem a flexibilidade de aproveitar outros sistemas de SIEM além da oferta do Google SecOps SIEM. O Google recomenda usar o SIEM integrado sempre que possível para uma experiência mais simplificada.
Os alertas ingeridos do SIEM integrado e de sistemas de terceiros podem ser agrupados em casos e analisados como parte dos recursos de gerenciamento de casos. Os alertas ingeridos de sistemas de terceiros são enviados para o lado SIEM da plataforma e podem ser vistos usando a pesquisa do SIEM, mas não estão sujeitos às regras integradas do SIEM.
Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.