監控 SOAR 活動

支援的服務：

本指南適用於資安管理員和資安分析師，說明如何監控 Google Security Operations 平台 SOAR 端的活動，以利稽核和法規遵循。說明不同 API 版本如何記錄動作，以及如何找到這些稽核記錄。瞭解這些記錄有助於確保責任歸屬，並提供系統內採取的明確行動軌跡。

事前準備

開始之前，請確認您具備存取稽核記錄的必要權限，如下所示：

  • 如要在 Google SecOps SOAR 設定中查看稽核記錄，您必須在 Identity and Access Management (IAM) 權限群組中，具備包含 SettingsId 權限的角色。
  • 如要在 Google Cloud 控制台的記錄檔探索工具中查看記錄檔，您必須具備存取 Cloud Logging 的適當 IAM 角色，例如 roles/logging.viewer。

重要術語

  • 稽核記錄：Google SecOps 中的事件記錄，提供動作的稽核追蹤記錄。
  • 舊版 SOAR API：指 Google SecOps 使用的舊版 API 架構，有時會使用 Swagger 記錄。
  • Chronicle API：指建構在 Google Cloud 基礎架構上的新式 API。
  • Cloud Logging： Google Cloud 中的集中化記錄服務，用於儲存 Google SecOps 稽核記錄。您可以透過 Google Cloud 控制台中的 Logs Explorer 存取。

瞭解不同 API 的稽核記錄

Google SecOps 會根據使用者是透過舊版 SOAR API 還是 Chronicle API 執行動作，以不同方式記錄使用者活動。

舊版 API 稽核記錄

透過舊版 SOAR API 執行的動作，會有特定的稽核行為：

  • 稽核動作：系統只會記錄涉及變更或資料匯出的作業。包括：

    • 建立中
    • 編輯
    • 刪除中
    • 正在匯出資料

  • 未稽核動作：舊版 API 架構不會稽核 ReadOnly/GET API 呼叫。

您可以在 Google SecOps 平台的「稽核」頁面，存取這些舊版稽核記錄。

Chronicle API 稽核記錄

在將 SOAR 遷移至 Google Cloud的第 2 階段，將 SOAR 權限遷移至 Cloud IAM 後，SOAR 稽核記錄就會顯示在 Google Cloud 。包括 Google SecOps 中的任何使用者動作，以及對新版 Chronicle API 發出的呼叫。在 2027 年 3 月 31 日前，對舊版 SOAR API 發出的任何呼叫，仍可在 Google SecOps 平台的「稽核」頁面，以舊版 API 稽核記錄的形式存取。

使用 Chronicle API 發出的所有 API 呼叫都會自動接受稽核。您可以在 Google Cloud 專案的 Cloud Logging 中查看這些稽核記錄。如要進一步瞭解如何遷移及存取這些記錄，請參閱「遷移 SOAR 稽核記錄」。

存取稽核記錄

存取稽核記錄的方法，取決於您要查看舊版 SOAR API 還是 Chronicle API 的記錄。

存取舊版 API 稽核記錄

在 Google SecOps 平台的「稽核」頁面，您可以查看及篩選使用舊版 API 執行的動作稽核記錄。

  • 如要開啟「稽核」頁面，請依序前往「設定」 >「SOAR 設定」 >「進階」 >「稽核」。

查看重要使用者活動指標

「稽核」頁面會顯示下列重要使用者活動指標：

  • 最常見的活動
  • 最常見的解決方法
  • 最活躍的使用者
  • 最活躍的 IP 位址
  • 最常見的瀏覽器

查看及篩選活動清單

在「稽核」頁面中，您可以依使用者、計數或群組篩選活動清單，找出特定活動。

如要查看活動詳細資料，請按照下列步驟操作：

  • 如要開啟「活動詳細資料」側邊導覽匣查看更多資訊，請按一下任一資料列上的「查看更多」。這個檢視畫面包含下列資訊：
    • 時間：活動時間。
    • 使用者：執行活動的使用者。
    • Module：受影響的系統模組。
    • 活動類型：執行的動作。
    • 位址：活動來源 IP 位址。
    • 瀏覽器：活動使用的瀏覽器。
    • 螢幕大小：活動使用的螢幕解析度。
  • 如要查看「新活動值」或「先前活動值」中的資訊，請按一下所需活動值。
  • 如要查看「新活動值」和「先前活動值」，請按一下相關活動列，然後將切換鈕設為「開啟」。

您可以在 JSON 檢視器中並排查看「新活動值」和「先前活動值」，更有效率地調查。

在 Cloud Logging 中存取 Chronicle API 稽核記錄

  1. 開啟 Google Cloud 控制台。
  2. 在導覽選單中，依序前往「Logging」>「Logs Explorer」。

  3. 如要篩選 Google SecOps 稽核記錄，請在查詢建立工具中使用查詢。例如，您可以依 resource.type="audited_resource" 和服務名稱篩選。Chronicle API 稽核記錄的查詢範例：

    resource.type="audited_resource"
protoPayload.serviceName="chronicle.googleapis.com"

  4. 執行查詢，查看 Chronicle API 產生的稽核記錄。

疑難排解

本節提供監控使用者活動時常見問題的指南。

延遲時間和限制

Cloud Logging 的稽核記錄通常會在幾分鐘內產生，但延遲時間可能不盡相同。

錯誤修正

如果無法存取記錄，請參閱下表：

問題 說明 修正
權限遭拒 系統顯示錯誤訊息，指出您沒有查看記錄的權限。 請與管理員聯絡，確認您具備roles/logging.viewer IAM 角色或同等角色。
找不到記錄 Logs Explorer 未顯示預期的稽核記錄。 請確認查詢中的日期範圍和篩選器。請確認您查看的是正確 API 類型的記錄 (舊版 SOAR API 或 Chronicle API)。請參閱遷移 SOAR 稽核記錄指南，確認記錄位置。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。