SOAR-Aktivität überwachen

Unterstützt in:

Dieser Leitfaden richtet sich an Sicherheitsadministratoren und Sicherheitsanalysten, die Nutzeraktivitäten auf der SOAR-Seite der Google Security Operations-Plattform zu Prüf- und Compliancezwecken überwachen müssen. Darin wird erläutert, wie Aktionen in den verschiedenen API-Versionen protokolliert werden und wo Sie diese Audit-Logs finden. Wenn Sie diese Protokolle verstehen, können Sie die Verantwortlichkeit sicherstellen und haben einen klaren Überblick über die im System ausgeführten Aktionen.

Hinweis

Prüfen Sie zuerst, ob Sie die erforderlichen Berechtigungen für den Zugriff auf die Audit-Logs haben:

  • Wenn Sie Audit-Logs in den SOAR-Einstellungen von Google SecOps aufrufen möchten, benötigen Sie eine Rolle, die die Berechtigung SettingsId in Ihrer IAM-Berechtigungsgruppe (Identity and Access Management) enthält.
  • Wenn Sie Logs im Log-Explorer in der Google Cloud Console ansehen möchten, benötigen Sie entsprechende IAM-Rollen für den Zugriff auf Cloud Logging, z. B. roles/logging.viewer.

Schlüsselterminologie

  • Audit-Logs: Aufzeichnungen von Ereignissen in Google SecOps, die einen Audit-Trail von Aktionen enthalten.
  • Legacy-SOAR-API: Bezieht sich auf das ältere API-Framework, das in Google SecOps verwendet wird und manchmal mit Swagger dokumentiert ist.
  • Chronicle API: Bezieht sich auf die moderne API, die auf der Google Cloud Infrastruktur basiert.
  • Cloud Logging: Der zentrale Logging-Dienst in Google Cloud , in dem Google SecOps-Audit-Logs gespeichert werden. Sie können über den Log-Explorer in der Google Cloud Console darauf zugreifen.

Audit-Logging für verschiedene APIs

Google SecOps protokolliert Nutzeraktivitäten unterschiedlich, je nachdem, ob die Aktion über die Legacy-SOAR-API oder die Chronicle API ausgeführt wurde.

Audit-Logs für Legacy-APIs

Aktionen, die über die Legacy-SOAR-API ausgeführt wurden, hatten ein bestimmtes Prüfverhalten:

  • Geprüfte Aktionen: Es wurden nur Vorgänge protokolliert, bei denen Änderungen oder ein Datenexport vorgenommen wurden. Dazu zählen:

    • Wird erstellt
    • Bearbeiten
    • Wird gelöscht
    • Daten exportieren

  • Nicht geprüfte Aktionen: ReadOnly/GET API-Aufrufe werden im alten API-Framework nicht geprüft.

Diese alten Audit-Logs sind auf der Seite Audit in der Google SecOps-Plattform verfügbar.

Audit-Logs der Chronicle API

SOAR-Audit-Logs sind in Google Cloud verfügbar, sobald Sie die Migration der SOAR-Berechtigungen zu Cloud IAM im Rahmen von Phase 2 der SOAR-Migration zu Google Cloud abgeschlossen haben. Dazu gehören alle Nutzeraktionen in Google SecOps und Aufrufe der modernen Chronicle API. Alle Aufrufe der alten SOAR API bis zum 30. November 2026 sind weiterhin als alte API-Audit-Logs auf der Seite Audit der Google SecOps-Plattform verfügbar.

Alle API-Aufrufe, die über die Chronicle API erfolgen, werden automatisch geprüft. Diese Audit-Logs sind in Cloud Logging in Ihrem Google Cloud Projekt verfügbar. Weitere Informationen zum Migrieren und Zugreifen auf diese Logs finden Sie unter SOAR-Audit-Logs migrieren.

Auf Audit-Logs zugreifen

Die Methode für den Zugriff auf Audit-Logs hängt davon ab, ob Sie nach Logs aus der alten SOAR API oder der Chronicle API suchen.

Auf Audit-Logs der Legacy-API zugreifen

Sie können die Audit-Logs für Aktionen, die mit Legacy-APIs ausgeführt wurden, auf der Seite Audit der Google SecOps-Plattform ansehen und filtern.

  • Rufen Sie die Seite Audit auf, indem Sie zu Einstellungen > SOAR-Einstellungen> Erweitert> Audit gehen.

Wichtige Messwerte für Nutzeraktivitäten ansehen

Auf der Seite Audit werden die folgenden wichtigen Messwerte für Nutzeraktivitäten angezeigt:

  • Häufigste Aktivitäten
  • Häufigste Auflösungen
  • Aktivste Nutzer
  • Aktivste Adressen
  • Häufigste Browser

Aktivitätenliste ansehen und filtern

Auf der Seite Audit können Sie die Liste der Aktivitäten nach Nutzer, Anzahl oder Gruppe filtern, um bestimmte Aktivitäten zu finden.

So rufen Sie Aktivitätsdetails auf:

  • Wenn Sie die Seitenleiste Aktivitätsdetails mit weiteren Informationen öffnen möchten, klicken Sie in einer beliebigen Zeile auf Mehr ansehen. Diese Ansicht enthält die folgenden Informationen:
    • Zeit: Uhrzeit der Aktivität.
    • Nutzer: Nutzer, der die Aktivität ausgeführt hat.
    • Modul: Betroffenes Systemmodul.
    • Aktivitätstyp: Ausgeführte Aktion.
    • Adresse: IP-Adresse, von der die Aktivität stammt.
    • Browser: Der für die Aktivität verwendete Browser.
    • Displaygröße: Für die Aktivität verwendete Bildschirmauflösung.
  • Wenn Sie die Informationen unter Neue Aktivitätswerte oder Vorherige Aktivitätswerte aufrufen möchten, klicken Sie auf den gewünschten Aktivitätswert.
  • Wenn Sie Neue Aktivitätswerte und Vorherige Aktivitätswerte aufrufen möchten, klicken Sie auf die entsprechende Aktivitätszeile und stellen Sie den Schalter auf „EIN“.

Sie können Neue Aktivitätswerte und Vorherige Aktivitätswerte nebeneinander in einem JSON-Viewer ansehen, um die Daten effizienter zu analysieren.

Auf Chronicle API-Audit-Logs in Cloud Logging zugreifen

  1. Öffnen Sie die Google Cloud Console.
  2. Rufen Sie im Navigationsmenü Logging > Log-Explorer auf.

  3. Wenn Sie nach Google SecOps-Audit-Logs filtern möchten, verwenden Sie eine Abfrage im Query Builder. Sie können beispielsweise nach resource.type="audited_resource" und Servicenamen filtern. Beispiel für eine Abfrage für Chronicle API-Audit-Logs:

    resource.type="audited_resource"
protoPayload.serviceName="chronicle.googleapis.com"

  4. Führen Sie die Abfrage aus, um die von den Chronicle-APIs generierten Audit-Logs aufzurufen.

Fehlerbehebung

In diesem Abschnitt finden Sie Informationen zu häufigen Problemen bei der Überwachung von Nutzeraktivitäten.

Latenz und Limits

Audit-Logs in Cloud Logging sind in der Regel innerhalb von Minuten verfügbar, die Latenz kann jedoch variieren.

Fehlerbehebung

Wenn Sie Probleme beim Zugriff auf Logs haben, sehen Sie sich die folgende Tabelle an:

Problem Beschreibung Korrigieren
Berechtigung verweigert Sie erhalten eine Fehlermeldung, die besagt, dass Sie nicht berechtigt sind, Logs anzusehen. Wenden Sie sich an Ihren Administrator, um zu prüfen, ob Sie die IAM-Rolle roles/logging.viewer oder eine entsprechende Rolle haben.
Keine Logs gefunden Erwartete Audit-Logs werden nicht im Log-Explorer angezeigt. Prüfen Sie den Zeitraum und die Filter in Ihrer Abfrage. Achten Sie darauf, dass Sie nach Protokollen des richtigen API-Typs suchen (Legacy-SOAR-API im Vergleich zur Chronicle API). In der Anleitung SOAR-Audit-Logs migrieren finden Sie Informationen zu den Log-Speicherorten.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten