Monitora l'attività SOAR

Supportata in:

Google SecOps SOAR

Questa guida è rivolta agli amministratori e agli analisti della sicurezza che devono monitorare le attività utente sul lato SOAR della piattaforma Google Security Operations per scopi di controllo e conformità. Spiega in che modo le diverse versioni dell'API registrano le azioni e dove trovare questi audit log. La comprensione di questi log contribuisce a garantire la responsabilità e fornisce una traccia chiara delle azioni intraprese all'interno del sistema.

Prima di iniziare

Prima di iniziare, assicurati di disporre delle autorizzazioni necessarie per accedere agli audit log, come segue:

• Per visualizzare gli audit log nelle impostazioni SOAR di Google SecOps, devi disporre di un ruolo che includa l'autorizzazione SettingsId nel tuo gruppo di autorizzazioni di Identity and Access Management (IAM).
• Per visualizzare i log in Esplora log nella console Google Cloud , devi disporre dei ruoli IAM appropriati per accedere a Cloud Logging, ad esempio roles/logging.viewer.

Terminologia chiave

• Audit log: registri degli eventi all'interno di Google SecOps che forniscono una traccia di audit delle azioni.
• API SOAR legacy: si riferisce al framework API precedente utilizzato in Google SecOps, a volte documentato utilizzando Swagger.
• API Chronicle: si riferisce all'API moderna basata sull'infrastruttura Google Cloud .
• Cloud Logging: il servizio di logging centralizzato in Google Cloud dove vengono archiviati gli audit log di Google SecOps. Puoi accedervi tramite Esplora log nella console Google Cloud .

Informazioni sull'audit logging per diverse API

Google SecOps registra le attività utente in modo diverso a seconda che l'azione sia stata eseguita utilizzando l'API SOAR legacy o l'API Chronicle.

Audit log dell'API legacy

Le azioni eseguite tramite l'API SOAR legacy avevano un comportamento di controllo specifico:

• Azioni controllate: sono state registrate solo le operazioni che hanno comportato modifiche o l'esportazione di dati. È incluso quanto segue:

  • In fase di creazione
  • Modifica
  • In fase di eliminazione
  • Esportazione di dati

• Azioni non sottoposte ad audit: le chiamate API ReadOnly/GET non vengono sottoposte ad audit nel framework API legacy.

Questi audit log legacy sono accessibili all'interno della piattaforma Google SecOps nella pagina Audit.

Audit log dell'API Chronicle

Gli audit log SOAR diventeranno disponibili in Google Cloud una volta completata la migrazione delle autorizzazioni SOAR a Cloud IAM nell'ambito della fase 2 della migrazione SOAR a Google Cloud. Sono incluse tutte le azioni utente in Google SecOps e le chiamate effettuate all'API Chronicle moderna. Tutte le chiamate effettuate all'API SOAR legacy fino al 31 marzo 2027 rimarranno accessibili come audit log dell'API legacy nella pagina Audit della piattaforma Google SecOps.

Tutte le chiamate API effettuate utilizzando l'API Chronicle vengono controllate automaticamente. Questi audit log sono disponibili in Cloud Logging all'interno del tuo progetto Google Cloud . Per maggiori dettagli sulla migrazione e sull'accesso a questi log, consulta Esegui la migrazione degli audit log di SOAR.

Accedi agli audit log

Il metodo per accedere agli audit log dipende dal fatto che tu stia cercando i log dell'API SOAR legacy o dell'API Chronicle.

Accedi agli audit log dell'API legacy

Puoi visualizzare e filtrare i record di controllo per le azioni eseguite utilizzando le API legacy nella pagina Controllo della piattaforma Google SecOps.

• Per aprire la pagina Audit, vai a Impostazioni > Impostazioni SOAR > Avanzate > Audit.

Visualizza le metriche chiave dell'attività utente

La pagina Controllo mostra le seguenti metriche chiave relative all'attività utente:

• Attività più comuni
• Risoluzioni più comuni
• Utenti più attivi
• Indirizzi più attivi
• Browser più comuni

Visualizza e filtra l'elenco delle attività

Nella pagina Controllo, puoi filtrare l'elenco delle attività per utente, conteggio o gruppo per trovare attività specifiche.

Per visualizzare i dettagli dell'attività, segui questi passaggi:

• Per aprire il riquadro laterale Dettagli attività con ulteriori informazioni, fai clic su Visualizza altro in qualsiasi riga. Questa visualizzazione include le seguenti informazioni:
  • Ora: l'ora dell'attività.
  • Utente: l'utente che ha eseguito l'attività.
  • Modulo: modulo del sistema interessato.
  • Tipo di attività: azione eseguita.
  • Indirizzo: l'indirizzo IP da cui ha avuto origine l'attività.
  • Browser: il browser utilizzato per l'attività.
  • Dimensioni schermo: la risoluzione dello schermo utilizzata per l'attività.
• Per visualizzare le informazioni in Nuovi valori attività o Valori attività precedenti, fai clic sul valore attività richiesto.
• Per visualizzare i Nuovi valori attività e i Valori attività precedenti, fai clic sulla riga dell'attività pertinente e imposta l'opzione su ON.

Nota: i valori attività precedenti sono vuoti per le azioni che hanno creato un nuovo elemento.

Puoi visualizzare i Nuovi valori attività e i Valori attività precedenti affiancati in un visualizzatore JSON per eseguire indagini in modo più efficiente.

Accedi agli audit log dell'API Chronicle in Cloud Logging

1. Apri la console Google Cloud .
2. Nel menu di navigazione, vai a Logging > Esplora log.

3. Per filtrare gli audit log di Google SecOps, utilizza una query in Query Builder. Ad esempio, puoi filtrare per resource.type="audited_resource" e nome del servizio. Query di esempio per gli audit log dell'API Chronicle:

   resource.type="audited_resource"
   protoPayload.serviceName="chronicle.googleapis.com"
   

4. Esegui la query per visualizzare gli audit log generati dalle API Chronicle.

Risoluzione dei problemi

Questa sezione fornisce indicazioni sui problemi comuni durante il monitoraggio delle attività utente.

Latenza e limiti

Gli audit log in Cloud Logging sono in genere disponibili entro pochi minuti, ma la latenza può variare.

Correzione degli errori

Se riscontri problemi di accesso ai log, consulta la seguente tabella:

Problema	Descrizione	Correggi
Autorizzazione negata	Ricevi un errore che indica che non hai l'autorizzazione per visualizzare i log.	Contatta l'amministratore per verificare di disporre del ruolo IAM roles/logging.viewer o di un ruolo equivalente.
Log non trovati	Gli audit log previsti non vengono visualizzati in Esplora log.	Verifica l'intervallo di tempo e i filtri nella query. Assicurati di cercare i log del tipo di API corretto (l'API SOAR legacy rispetto all'API Chronicle). Consulta la guida alla migrazione degli audit log di SOAR per confermare le posizioni dei log.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.