Monitorare l'attività di SOAR
Questa guida è destinata agli amministratori della sicurezza e agli analisti della sicurezza che devono monitorare le attività degli utenti sul lato SOAR della piattaforma Google Security Operations a fini di controllo e conformità. Spiega come le diverse versioni dell'API registrano le azioni e dove trovare questi audit log. La comprensione di questi log contribuisce a garantire la responsabilità e fornisce una traccia chiara delle azioni intraprese all'interno del sistema.
Prima di iniziare
Prima di iniziare, assicurati di disporre delle autorizzazioni necessarie per accedere ai log di controllo, come segue:
- Per visualizzare i log di controllo nelle impostazioni SOAR di Google SecOps, devi disporre di un ruolo che includa l'autorizzazione
SettingsIdnel gruppo di autorizzazioni Identity and Access Management (IAM). - Per visualizzare i log in Esplora log nella console Google Cloud , devi disporre dei ruoli IAM appropriati per accedere a Cloud Logging, ad esempio
roles/logging.viewer.
Terminologia chiave
- Log di controllo: record degli eventi all'interno di Google SecOps che forniscono una traccia di audit delle azioni.
- API SOAR legacy: si riferisce al framework API precedente utilizzato in Google SecOps, a volte documentato utilizzando Swagger.
- API Chronicle: si riferisce all'API moderna basata sull'infrastruttura Google Cloud .
- Cloud Logging: il servizio di logging centralizzato in Google Cloud dove vengono archiviati gli audit log di Google SecOps. Puoi accedervi tramite Esplora log nella console Google Cloud .
Informazioni sul logging di controllo per diverse API
Google SecOps registra le attività degli utenti in modo diverso a seconda che l'azione sia stata eseguita utilizzando l'API SOAR legacy o l'API Chronicle.
Audit log dell'API legacy
Le azioni eseguite tramite l'API SOAR legacy avevano un comportamento di controllo specifico:
Azioni sottoposte ad audit: sono state registrate solo le operazioni che hanno comportato modifiche o esportazione di dati. È incluso quanto segue:
- In fase di creazione
- Modifica
- In fase di eliminazione
- Esportazione di dati
Azioni non sottoposte a controllo: le chiamate API
ReadOnly/GETnon vengono controllate nel framework API legacy.
Questi audit log legacy sono accessibili all'interno della piattaforma Google SecOps nella pagina Audit.
Audit log dell'API Chronicle
I log di controllo SOAR saranno disponibili in Google Cloud una volta completata la migrazione delle autorizzazioni SOAR a Cloud IAM nell'ambito della fase 2 della migrazione SOAR a Google Cloud. Sono incluse tutte le azioni utente in Google SecOps e le chiamate effettuate alla moderna API Chronicle. Tutte le chiamate effettuate all'API SOAR legacy fino al 30 novembre 2026 rimarranno accessibili come log di controllo dell'API legacy nella pagina Audit della piattaforma Google SecOps.
Tutte le chiamate API effettuate utilizzando l'API Chronicle vengono controllate automaticamente. Questi audit log sono disponibili in Cloud Logging all'interno del tuo progetto Google Cloud . Per maggiori dettagli sulla migrazione e sull'accesso a questi log, consulta Migrazione degli audit log SOAR.
Accedere ai log di controllo
Il metodo di accesso agli audit log dipende dal fatto che tu stia cercando log dell'API SOAR legacy o dell'API Chronicle.
Accedere agli audit log delle API legacy
Puoi visualizzare e filtrare i record di controllo per le azioni eseguite utilizzando le API legacy nella pagina Controllo della piattaforma Google SecOps.
- Per aprire la pagina Audit, vai a Impostazioni > Impostazioni SOAR > Avanzate > Audit.
Visualizzare le metriche chiave sull'attività utente
La pagina Audit mostra le seguenti metriche chiave dell'attività utente:
- Attività più comuni
- Risoluzioni più comuni
- Utenti più attivi
- Indirizzi più attivi
- Browser più comuni
Visualizzare e filtrare l'elenco delle attività
Nella pagina Audit, puoi filtrare l'elenco delle attività per utente, conteggio o gruppo per trovare attività specifiche.
Per visualizzare i dettagli dell'attività, segui questi passaggi:
- Per aprire il riquadro laterale Dettagli attività con ulteriori informazioni, fai clic su Visualizza altro in una riga qualsiasi. Questa visualizzazione include le seguenti informazioni:
- Ora: l'ora dell'attività.
- Utente: l'utente che ha eseguito l'attività.
- Modulo: modulo Sistema interessato.
- Tipo di attività: azione eseguita.
- Indirizzo: indirizzo IP da cui ha avuto origine l'attività.
- Browser: browser utilizzato per l'attività.
- Dimensioni schermo: la risoluzione dello schermo utilizzata per l'attività.
- Per visualizzare le informazioni in Nuovi valori attività o Valori attività precedenti, fai clic sul valore attività richiesto.
- Per visualizzare Valori attività precedenti e Nuovi valori attività, fai clic sulla riga dell'attività pertinente e sul pulsante di attivazione/disattivazione per impostarlo su ON.
Puoi visualizzare Nuovi valori attività e Valori attività precedenti affiancati in un visualizzatore JSON per eseguire indagini in modo più efficiente.
Accedere ai log di controllo dell'API Chronicle in Cloud Logging
- Apri la console Google Cloud .
- Nel menu di navigazione, vai a Logging > Esplora log.
Per filtrare gli audit log di Google SecOps, utilizza una query nello Strumento per la creazione di query. Ad esempio, puoi filtrare per
resource.type="audited_resource"e nome del servizio. Query di esempio per gli audit log dell'API Chronicle:resource.type="audited_resource" protoPayload.serviceName="chronicle.googleapis.com"Esegui la query per visualizzare gli audit log generati dalle API Chronicle.
Risoluzione dei problemi
Questa sezione fornisce indicazioni sui problemi comuni durante il monitoraggio delle attività utente.
Latenza e limiti
I log di controllo in Cloud Logging sono in genere disponibili in pochi minuti, ma la latenza può variare.
Correzione degli errori
Se riscontri problemi di accesso ai log, consulta la seguente tabella:
| Problema | Descrizione | Correggi |
|---|---|---|
| Autorizzazione negata | Ricevi un errore che indica che non disponi dell'autorizzazione per visualizzare i log. | Contatta l'amministratore per verificare di disporre del ruolo IAM roles/logging.viewer o di un ruolo equivalente. |
| Log non trovati | I log di controllo previsti non vengono visualizzati in Esplora log. | Verifica l'intervallo di tempo e i filtri nella query. Assicurati di cercare i log del tipo di API corretto (l'API SOAR precedente rispetto all'API Chronicle). Consulta la guida Migrare i log di controllo SOAR per confermare le posizioni dei log. |
Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.