O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Monitorar a atividade do SOAR

Compatível com:

Google SecOps SOAR

Este guia é destinado a administradores e analistas de segurança que precisam monitorar as atividades dos usuários no SOAR da plataforma Google Security Operations para fins de auditoria e compliance. Ele explica como as diferentes versões da API registram ações e onde encontrar esses registros de auditoria. Entender esses registros ajuda a garantir a responsabilização e fornece um rastro claro das ações realizadas no sistema.

Antes de começar

Antes de começar, verifique se você tem as permissões necessárias para acessar os registros de auditoria, da seguinte maneira:

Para conferir os registros de auditoria nas Configurações do SOAR do Google SecOps, é necessário ter um papel que inclua a permissão SettingsId no seu grupo de permissões do Identity and Access Management (IAM).
Para ver os registros na Análise de registros no console do Google Cloud , você precisa dos papéis do IAM adequados para acessar o Cloud Logging, como roles/logging.viewer.

Terminologia importante

Registros de auditoria: registros de eventos no Google SecOps que fornecem uma trilha de auditoria de ações.
API SOAR legada: refere-se ao framework de API mais antigo usado no Google SecOps, às vezes documentado com o Swagger.
API do Chronicle: refere-se à API moderna criada na infraestrutura do Google Cloud .
Cloud Logging: o serviço de geração de registros centralizada no Google Cloud em que os registros de auditoria do Google SecOps são armazenados. Ele pode ser acessado pela Análise de registros no console do Google Cloud .

Entender a geração de registros de auditoria para diferentes APIs

O Google SecOps registra as atividades do usuário de forma diferente com base na API usada para realizar a ação: a API SOAR legada ou a API Chronicle.

Registros de auditoria da API legada

As ações realizadas pela API SOAR legada tinham um comportamento de auditoria específico:

Ações auditadas: apenas as operações que envolveram mudanças ou exportação de dados foram registradas. Isso inclui:
- Criando
- Edição
- Excluindo
- Exportação de dados
Ações não auditadas: as chamadas de API do ReadOnly/GET não são auditadas no framework de API legado.

Esses registros de auditoria legados podem ser acessados na plataforma do Google SecOps, na página Auditoria.

Registros de auditoria da API Chronicle

Os registros de auditoria do SOAR vão ficar disponíveis no Google Cloud depois que você concluir a migração das permissões do SOAR para o Cloud IAM como parte da Etapa 2 da migração do SOAR para o Google Cloud. Isso inclui todas as ações do usuário no Google SecOps e as chamadas feitas para a API Chronicle moderna. Todas as chamadas feitas para a API SOAR legada até 31 de março de 2027 vão continuar acessíveis como registros de auditoria da API legada na página Auditoria da plataforma Google SecOps.

Todas as chamadas de API feitas usando a API Chronicle são auditadas automaticamente. Esses registros de auditoria estão disponíveis no Cloud Logging no seu projeto do Google Cloud . Para mais detalhes sobre como migrar e acessar esses registros, consulte Migrar registros de auditoria do SOAR.

Acessar registros de auditoria

O método para acessar os registros de auditoria depende se você está procurando registros da API SOAR legada ou da API Chronicle.

Acessar registros de auditoria da API legada

É possível visualizar e filtrar os registros de auditoria de ações realizadas com APIs legadas na página Auditoria da plataforma Google SecOps.

Para abrir a página Auditoria, acesse Configurações > Configurações do SOAR > Avançado > Auditoria.

Conferir as principais métricas de atividade do usuário

A página Auditoria mostra as seguintes métricas principais de atividade do usuário:

Atividades mais comuns
Resoluções mais comuns
Usuários mais ativos
Endereços mais ativos
Navegadores mais comuns

Ver e filtrar a lista de atividades

Na página Auditoria, é possível filtrar a lista de atividades por usuário, contagem ou grupo para encontrar atividades específicas.

Para ver os detalhes da atividade, siga estas etapas:

Para abrir o painel lateral Detalhes da atividade com mais informações, clique em Ver mais em qualquer linha. Essa visualização inclui as seguintes informações:
- Horário: horário da atividade.
- Usuário: o usuário que realizou a atividade.
- Módulo: módulo do sistema afetado.
- Tipo de atividade: ação realizada.
- Endereço: endereço IP de origem da atividade.
- Navegador: navegador usado para a atividade.
- Tamanho da tela: resolução da tela usada para a atividade.
Para ver as informações em Novos valores de atividade ou Valores de atividade anteriores, clique no valor de atividade necessário.
Para conferir os Novos valores de atividade e os Valores de atividade anteriores, clique na linha de atividade relevante e ative o botão.

É possível conferir os Novos valores de atividade e os Valores de atividade anteriores lado a lado em um visualizador JSON para investigar com mais eficiência.

Acessar os registros de auditoria da API Chronicle no Cloud Logging

Abra o console do Google Cloud .
No menu de navegação, acesse Logging > Análise de registros.
Para filtrar os registros de auditoria do Google SecOps, use uma consulta no Criador de consultas. Por exemplo, é possível filtrar por resource.type="audited_resource" e nome do serviço. Exemplo de consulta para registros de auditoria da API Chronicle:
```
resource.type="audited_resource"
protoPayload.serviceName="chronicle.googleapis.com"
```
Execute a consulta para ver os registros de auditoria gerados pelas APIs do Chronicle.

Solução de problemas

Nesta seção, fornecemos orientações sobre problemas comuns ao monitorar as atividades do usuário.

Latência e limites

Os registros de auditoria no Cloud Logging geralmente ficam disponíveis em minutos, mas a latência pode variar.

Correção de erros

Se você tiver problemas para acessar os registros, consulte a tabela a seguir:

Problema	Descrição	Corrigir
Permissão negada	Você recebe um erro indicando que não tem permissão para visualizar registros.	Entre em contato com o administrador para verificar se você tem o papel do IAM `roles/logging.viewer` ou equivalente.
Registros não encontrados	Os registros de auditoria esperados não estão aparecendo na Análise de registros.	Verifique o período e os filtros na consulta. Verifique se você está procurando registros do tipo de API correto (a API SOAR legada ou a API Chronicle). Consulte o guia Migrar registros de auditoria do SOAR para confirmar os locais dos registros.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.