O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Monitorar a atividade do SOAR

Compatível com:

Google SecOps SOAR

Este guia é destinado a administradores e analistas de segurança que precisam monitorar as atividades dos usuários no SOAR da plataforma Google Security Operations para fins de auditoria e compliance. Ele explica como diferentes versões da API registram ações e onde encontrar esses registros de auditoria. Entender esses registros ajuda a garantir a responsabilidade e fornece um rastreamento claro das ações realizadas no sistema.

Antes de começar

Antes de começar, verifique se você tem as permissões necessárias para acessar os registros de auditoria:

Para ver os registros de auditoria nas Configurações do SOAR do Google SecOps, você precisa de uma função que inclua a permissão SettingsId no grupo de permissões do Identity and Access Management (IAM).
Para ver os registros no Análise de registros no Google Cloud console, você precisa ter os papéis do IAM adequados para acessar o Cloud Logging, como roles/logging.viewer.

Terminologia importante

Registros de auditoria: registros de eventos no Google SecOps que fornecem uma trilha de auditoria das ações.
API SOAR legada: refere-se ao framework de API mais antigo usado no Google SecOps, às vezes documentado usando o Swagger.
API do Chronicle: refere-se à API moderna criada na infraestrutura do Google Cloud .
Cloud Logging: o serviço de geração de registros centralizado em Google Cloud onde os registros de auditoria do Google SecOps são armazenados. É possível acessar o Análise de registros no console do Google Cloud .

Entender a geração de registros de auditoria para diferentes APIs

O Google SecOps registra as atividades do usuário de maneira diferente, dependendo se a ação foi realizada usando a API SOAR legada ou a API Chronicle.

Registros de auditoria da API legada

As ações realizadas pela API SOAR legada tinham um comportamento de auditoria específico:

Ações auditadas: somente as operações que envolveram mudanças ou exportação de dados foram registradas. Isso inclui:
- Criando
- Edição
- Excluindo
- Exportação de dados
Ações não auditadas: as chamadas de API ReadOnly/GET não são auditadas na estrutura de API legada.

Esses registros de auditoria legados podem ser acessados na página Auditoria da plataforma Google SecOps.

Registros de auditoria da API Chronicle

Os registros de auditoria do SOAR vão ficar disponíveis em Google Cloud depois que você concluir a migração de permissões do SOAR para o Cloud IAM como parte da Etapa 2 da migração do SOAR para Google Cloud. Isso inclui ações do usuário no Google SecOps e chamadas feitas para a API Chronicle moderna. Todas as chamadas feitas para a API SOAR legada até 30 de novembro de 2026 vão continuar acessíveis como registros de auditoria da API legada na página Auditoria da plataforma Google SecOps.

Todas as chamadas de API feitas usando a API Chronicle são auditadas automaticamente. Esses registros de auditoria estão disponíveis no Cloud Logging no seu projeto Google Cloud . Para mais detalhes sobre como migrar e acessar esses registros, consulte Migrar registros de auditoria do SOAR.

Acessar registros de auditoria

O método para acessar registros de auditoria depende se você está procurando registros da API SOAR legada ou da API Chronicle.

Acessar registros de auditoria da API legada

Você pode conferir e filtrar os registros de auditoria das ações realizadas usando APIs legadas na página Auditoria da plataforma Google SecOps.

Para abrir a página Auditoria, acesse Configurações > Configurações do SOAR > Avançado > Auditoria.

Conferir as principais métricas de atividade do usuário

A página Auditoria mostra as seguintes métricas principais de atividade do usuário:

Atividades mais comuns
Resoluções mais comuns
Usuários mais ativos
Endereços mais ativos
Navegadores mais comuns

Ver e filtrar a lista de atividades

Na página Auditoria, é possível filtrar a lista de atividades por usuário, contagem ou grupo para encontrar atividades específicas.

Para conferir os detalhes da atividade, siga estas etapas:

Para abrir o painel lateral Detalhes da atividade com mais informações, clique em Ver mais em qualquer linha. Essa visualização inclui as seguintes informações:
- Horário: horário da atividade.
- Usuário: o usuário que realizou a atividade.
- Módulo: módulo do sistema afetado.
- Tipo de atividade: ação realizada.
- Endereço: endereço IP de origem da atividade.
- Navegador: navegador usado na atividade.
- Tamanho da tela: resolução da tela usada na atividade.
Para conferir as informações em Valores de atividade novos ou Valores de atividade anteriores, clique no valor de atividade necessário.
Para conferir os Valores de atividade anteriores e Valores de atividade novos, clique na linha de atividade relevante e ative a opção.

Você pode conferir Novos valores de atividade e Valores de atividade anteriores lado a lado em um visualizador JSON para investigar com mais eficiência.

Acessar registros de auditoria da API Chronicle no Cloud Logging

Abra o console do Google Cloud .
No menu de navegação, acesse Logging > Análise de registros.
Para filtrar registros de auditoria do Google SecOps, use uma consulta no Criador de consultas. Por exemplo, é possível filtrar por resource.type="audited_resource" e nome do serviço. Exemplo de consulta para registros de auditoria da API Chronicle:
```
resource.type="audited_resource"
protoPayload.serviceName="chronicle.googleapis.com"
```
Execute a consulta para ver os registros de auditoria gerados pelas APIs do Chronicle.

Solução de problemas

Esta seção fornece orientações sobre problemas comuns ao monitorar atividades do usuário.

Latência e limites

Os registros de auditoria no Cloud Logging geralmente ficam disponíveis em minutos, mas a latência pode variar.

Correção de erros

Se você tiver problemas para acessar os registros, consulte a tabela a seguir:

Problema	Descrição	Corrigir
Permissão negada	Você recebe um erro indicando que não tem permissão para acessar os registros.	Entre em contato com seu administrador para verificar se você tem o papel do IAM `roles/logging.viewer` ou um equivalente.
Registros não encontrados	Os registros de auditoria esperados não aparecem na Análise de registros.	Verifique o período e os filtros na sua consulta. Verifique se você está procurando registros do tipo de API correto (a API SOAR legada ou a API Chronicle). Consulte o guia Migrar registros de auditoria do SOAR para confirmar os locais dos registros.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.