Asigna y modela entidades

Se admite en los siguientes sistemas operativos:

Google SecOps SOAR

Las entidades son objetos que representan puntos de interés extraídos de alertas, como indicadores de compromiso (IoC) y artefactos. Ayudan a los analistas de seguridad de las siguientes maneras:

• Historial de monitoreo automático
• Agrupar alertas sin intervención humana
• Búsqueda de actividad maliciosa según las relaciones entre entidades
• Facilita la lectura de los casos y permite la creación de guías sin problemas.

Google Security Operations utiliza un sistema automatizado (ontología) para extraer los principales objetos de interés de las alertas sin procesar y crear entidades. Cada entidad está representada por un objeto que puede hacer un seguimiento de su propio historial para futuras referencias.

Configura la ontología de entidades

Para configurar la ontología, deberás mapear y modelar tus datos. Esto implica seleccionar una representación visual para las alertas y definir qué entidades se deben extraer. Google SecOps proporciona reglas de ontología preconfiguradas para los productos de SIEM más populares.

El mejor momento para personalizar la ontología es después de que un conector extraiga datos a Google SecOps. El proceso consta de dos pasos principales:

1. Modelado: Elige la representación visual (modelo o familia visual) para tus datos.
2. Asignación: Asigna los campos para admitir el modelo seleccionado y extraer entidades.

Entidades admitidas

Se admiten las siguientes entidades:

Tipo de entidad	Descripción	Formato esperado	Ejemplos
Dirección	Es una dirección IPv4.	Depende del tipo específico de dirección que se almacena.	Direcciones IP, por ejemplo, 192.168.1.1
Aplicación	Es una aplicación de software.	Es una cadena de texto.	nmap, Microsoft Word.
Clúster	Es un grupo de recursos de procesamiento.	Es una cadena de texto.	Nombre del clúster de Kubernetes, nombre del clúster o ID del clúster
Contenedor	Es una instancia de contenedor.	Es una cadena de texto.	ID o nombre del contenedor de Docker.
Tarjeta de crédito	Un número de tarjeta de crédito	Es una cadena enmascarada o con token.	Los datos deben enmascararse o tokenizarse para evitar el almacenamiento de datos sensibles de PCI.
CVE	Es el identificador de vulnerabilidades y exposiciones comunes.	CVE-YYYY-NNNNN	CVE-2023-12345
Base de datos	Es una instancia o un sistema de base de datos.	Es una cadena de texto.	Es el nombre de la base de datos o el identificador de conexión.
Implementación	Una implementación de software	Es una cadena de texto.	Es el identificador de la Deployment.
Destination URL	Es un localizador de recursos uniforme.	Es una cadena de URL estándar.	https://example.com/path
Dominio	Es el nombre de dominio de una red.	Es una cadena de dominio estándar.	example.com
Asunto del correo electrónico	Es el asunto de un mensaje de correo electrónico.	Es una cadena de texto.	Es el asunto de un correo electrónico.
Hash del archivo	Es un hash criptográfico de un archivo.	Es una cadena hexadecimal.	Hash MD5, SHA-1 o SHA256.
Nombre del archivo	Es el nombre de un archivo.	Es una cadena de texto.	malware.exe
Entidad genérica	Es un tipo de entidad flexible para los datos que no se ajustan a otras categorías.	Depende de los datos que se almacenan.	N/A
Nombre de host	Es una etiqueta asignada a un dispositivo en una red.	Es una cadena de nombre de host estándar.	workstation-01, server.example.com
Conjunto de IPs	Es una colección o un grupo de direcciones IP.	No se define de forma explícita (por ejemplo, cadena separada por comas, array JSON, referencia a una lista).	Rangos, notaciones CIDR o listas. Por ejemplo, consulta Cómo crear una lista de IPs de confianza.
Dirección MAC	Es una dirección de control de acceso a medios.	Seis grupos de dos dígitos hexadecimales, separados por guiones o dos puntos.	00-1B-44-11-3A-B7, 00:1B:44:11:3A:B7
Número de teléfono	Un número de teléfono.	Varía (E.164 es el estándar).	[phone]
POD	Es un grupo de uno o más contenedores en Kubernetes, a menudo con almacenamiento o red compartidos.	Es la cadena de nombre.	Nombre del POD de Kubernetes.
Proceso	Es una instancia de un programa de computadora que se está ejecutando.	Es el ID (PID) o el nombre del proceso.	1234, chrome.exe
Servicio	Servicio de software que se ejecuta en un sistema.	Es una cadena con el nombre del servicio.	sshd, apache2
Agente de amenazas	Una persona o un grupo que representa una amenaza	Es una cadena de nombre o código.	APT28, FIN7
Campaña de amenazas	Serie de actividades de amenazas relacionadas	Es el nombre de la campaña o la cadena de código.	Nombre o código de la campaña.
Firma de amenazas	Un patrón o indicador de una amenaza conocida	Es el ID de la regla o el nombre de la firma.	Es el ID corto de la regla, el nombre de la regla de YARA-L.
USB	Un dispositivo de bus universal en serie.	Nombre del dispositivo, número de serie o algún otro atributo	Es el identificador del dispositivo USB.
Nombre de usuario	Es un identificador de una cuenta de usuario.	Nombres de usuario o direcciones de correo electrónico sencillos	jdoe, [e-mail]

Caso de uso: Asigna y modela los datos nuevos del correo electrónico incorporado

En este caso de uso, se muestra cómo asignar y modelar datos nuevos de un correo electrónico ingerido:

1. Ve a Centro de contenido > Casos de uso.
2. Ejecuta el caso de prueba Zero to Hero. Para obtener detalles sobre cómo hacerlo, consulta Ejecuta casos de uso.
3. En la pestaña Cases, selecciona el caso Mail de la Cases Queue y, luego, selecciona la pestaña Events.
4. Junto a la alerta, haz clic en Configuración Configuración de eventos para abrir la página Configuración de eventos.
5. En la lista de jerarquía, haz clic en Correo. Esto garantiza que tu configuración funcione automáticamente para cada dato que provenga de este producto (casilla de correo electrónico).
   
6. Asigna la familia visual que mejor represente los datos. En este caso de uso, como ya se seleccionó MailRelayOrTAP, puedes omitir este paso.
7. Cambia a Mapping y asigna los siguientes campos de entidad. Haz doble clic en cada entidad y selecciona el campo de datos sin procesar para esa entidad en el campo extraído. Puedes proporcionar campos alternativos desde los que se puede extraer la información:
• SourceUserName
• DestinationUserName
• DestinationURL
• EmailSubject
8. Haz clic en Propiedades del evento sin procesar para ver los campos de correo electrónico originales.

Extraer expresiones regulares

Google SecOps no admite grupos de expresiones regulares. Para extraer texto del campo de evento con patrones de expresiones regulares, usa lookahead y lookbehind en la lógica de la función de extracción.

En el siguiente ejemplo, el campo del evento muestra una gran cantidad de texto:
Suspicious activity on A16_WWJ - Potential Account Takeover (33120)

Para extraer solo el texto Suspicious activity on A16_WWJ, haz lo siguiente:

1. Ingresa la siguiente expresión regular en el campo de valor Función de extracción:
   Suspicious activity on A16_WWJ(?=.*)
2. En el campo Función de transformación, selecciona To_String.

Para extraer solo el texto después de Suspicious activity on A16_WWJ, haz lo siguiente:

1. Ingresa la siguiente expresión regular en el campo de valor Función de extracción:
   (?<=Suspicious activity on A16_WWJ).*
2. En el campo Función de transformación, selecciona To_String.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.