SOAR-Aktivität überwachen

Unterstützt in:

Google SecOps SOAR

Dieser Leitfaden richtet sich an Sicherheitsadministratoren und Sicherheitsanalysten, die Nutzeraktivitäten auf der SOAR-Seite der Google Security Operations-Plattform zu Prüf- und Compliancezwecken überwachen müssen. Es wird erläutert, wie verschiedene API-Versionen Aktionen protokollieren und wo diese Audit-Logs zu finden sind. Diese Logs helfen dabei, die Verantwortlichkeit zu gewährleisten, und bieten einen klaren Überblick über die im System ausgeführten Aktionen.

Hinweis

Bevor Sie beginnen, sollten Sie prüfen, ob Sie die erforderlichen Berechtigungen für den Zugriff auf Audit-Logs haben:

• Wenn Sie Audit-Logs in den SOAR-Einstellungen von Google SecOps aufrufen möchten, benötigen Sie eine Rolle, die die Berechtigung SettingsId in Ihrer IAM-Berechtigungsgruppe (Identity and Access Management) enthält.
• Wenn Sie Logs im Log-Explorer in der Google Cloud Console ansehen möchten, benötigen Sie die entsprechenden IAM-Rollen für den Zugriff auf Cloud Logging, z. B. roles/logging.viewer.

Schlüsselterminologie

• Audit-Logs: Aufzeichnungen von Ereignissen in Google SecOps, die einen Audit-Trail von Aktionen bieten.
• Legacy SOAR API: Bezieht sich auf das ältere API-Framework, das in Google SecOps verwendet wird und manchmal mit Swagger dokumentiert ist.
• Chronicle API: Bezieht sich auf die moderne API, die auf der Google Cloud -Infrastruktur basiert.
• Cloud Logging: Der zentrale Logging-Dienst in Google Cloud , in dem Google SecOps-Audit-Logs gespeichert werden. Sie können über den Log-Explorer in der Google Cloud Console darauf zugreifen.

Audit-Logging für verschiedene APIs

Google SecOps protokolliert Nutzeraktivitäten unterschiedlich, je nachdem, ob die Aktion über die Legacy-SOAR API oder die Chronicle API ausgeführt wurde.

Audit-Logs der Legacy API

Aktionen, die über die Legacy-SOAR-API ausgeführt wurden, hatten ein bestimmtes Prüfverhalten:

• Geprüfte Aktionen: Es wurden nur Vorgänge protokolliert, die Änderungen oder Datenexporte umfassten. Dazu zählen:

  • Wird erstellt
  • Bearbeiten
  • Wird gelöscht
  • Daten exportieren

• Nicht geprüfte Aktionen: ReadOnly/GET-API-Aufrufe werden im Legacy-API-Framework nicht geprüft.

Diese Legacy-Audit-Logs sind auf der Google SecOps-Plattform auf der Seite Audit verfügbar.

Chronicle API-Audit-Logs

SOAR-Audit-Logs sind in Google Cloud verfügbar, sobald Sie die Migration der SOAR-Berechtigungen zu Cloud IAM im Rahmen von Phase 2 der SOAR-Migration zu Google Cloud abgeschlossen haben. Dazu gehören alle Nutzeraktionen in Google SecOps und Aufrufe der modernen Chronicle API. Alle Aufrufe der Legacy-SOAR-API bis zum 31. März 2027 bleiben als Audit-Logs der Legacy-API auf der Seite Audit der Google SecOps-Plattform zugänglich.

Alle API-Aufrufe, die über die Chronicle API erfolgen, werden automatisch geprüft. Diese Audit-Logs sind in Cloud Logging in Ihrem Google Cloud -Projekt verfügbar. Weitere Informationen zum Migrieren und Aufrufen dieser Logs finden Sie unter SOAR-Audit-Logs migrieren.

Auf Audit-Logs zugreifen

Die Methode für den Zugriff auf Audit-Logs hängt davon ab, ob Sie nach Logs der Legacy-SOAR API oder der Chronicle API suchen.

Auf Legacy-API-Audit-Logs zugreifen

Auf der Seite Audit der Google SecOps-Plattform können Sie die Audit-Einträge für Aktionen aufrufen und filtern, die mit Legacy-APIs ausgeführt wurden.

• Wenn Sie die Seite Audit öffnen möchten, rufen Sie Einstellungen > SOAR-Einstellungen > Erweitert > Audit auf.

Wichtige Messwerte zur Nutzeraktivität ansehen

Auf der Seite Audit werden die folgenden wichtigen Messwerte zur Nutzeraktivität angezeigt:

• Häufigste Aktivitäten
• Häufigste Auflösungen
• Aktivste Nutzer
• Aktivste Adressen
• Häufigste Browser

Aktivitätenliste ansehen und filtern

Auf der Seite Audit können Sie die Liste der Aktivitäten nach Nutzer, Anzahl oder Gruppe filtern, um bestimmte Aktivitäten zu finden.

So rufen Sie Aktivitätsdetails auf:

• Wenn Sie die Seitenleiste Aktivitätsdetails mit weiteren Informationen öffnen möchten, klicken Sie in einer beliebigen Zeile auf Mehr anzeigen. Diese Ansicht enthält die folgenden Informationen:
  • Zeit: Zeitpunkt der Aktivität.
  • Nutzer: Nutzer, der die Aktivität ausgeführt hat.
  • Modul: Betroffenes Systemmodul.
  • Aktivitätstyp: Ausgeführte Aktion.
  • Adresse: IP-Adresse, von der die Aktivität ausgeht.
  • Browser: Der für die Aktivität verwendete Browser.
  • Bildschirmgröße: Die für die Aktivität verwendete Bildschirmauflösung.
• Wenn Sie die Informationen unter Neue Aktivitätswerte oder Vorherige Aktivitätswerte aufrufen möchten, klicken Sie auf den gewünschten Aktivitätswert.
• Wenn Sie Neue Aktivitätswerte und Vorherige Aktivitätswerte aufrufen möchten, klicken Sie auf die entsprechende Aktivitätszeile und aktivieren Sie die Option.

Hinweis: Die Vorherigen Aktivitätswerte sind für Aktionen, mit denen ein neues Element erstellt wurde, leer.

Sie können Neue Aktivitätswerte und Vorherige Aktivitätswerte nebeneinander in einem JSON-Viewer ansehen, um die Untersuchung effizienter zu gestalten.

In Cloud Logging auf Chronicle API-Audit-Logs zugreifen

1. Öffnen Sie die Google Cloud Console.
2. Rufen Sie im Navigationsmenü Logging > Log-Explorer auf.

3. Wenn Sie nach Google SecOps-Audit-Logs filtern möchten, verwenden Sie eine Abfrage im Query Builder. Sie können beispielsweise nach resource.type="audited_resource" und Dienstname filtern. Beispielabfrage für Chronicle API-Audit-Logs:

   resource.type="audited_resource"
   protoPayload.serviceName="chronicle.googleapis.com"
   

4. Führen Sie die Abfrage aus, um die von den Chronicle APIs generierten Audit-Logs aufzurufen.

Fehlerbehebung

In diesem Abschnitt finden Sie Informationen zu häufigen Problemen beim Monitoring von Nutzeraktivitäten.

Latenz und Limits

Audit-Logs in Cloud Logging sind in der Regel innerhalb weniger Minuten verfügbar, die Latenz kann jedoch variieren.

Fehlerbehebung

Wenn beim Zugriff auf Logs Probleme auftreten, sehen Sie sich die folgende Tabelle an:

Problem	Beschreibung	Korrigieren
Berechtigung verweigert	Sie erhalten eine Fehlermeldung, dass Sie nicht berechtigt sind, Logs anzusehen.	Wenden Sie sich an Ihren Administrator, um zu prüfen, ob Sie die IAM-Rolle roles/logging.viewer oder eine entsprechende Rolle haben.
Keine Logs gefunden	Erwartete Audit-Logs werden nicht im Log-Explorer angezeigt.	Prüfen Sie den Zeitraum und die Filter in Ihrer Abfrage. Achten Sie darauf, dass Sie nach Logs des richtigen API-Typs suchen (Legacy-SOAR API oder Chronicle API). In der Anleitung SOAR-Audit-Logs migrieren finden Sie Informationen zu den Log-Speicherorten.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten