Ontologie – Übersicht

Unterstützt in:

Die Google Security Operations-Ontologie verwendet eine formale Spezifikation, die eine gemeinsam nutzbare und wiederverwendbare Darstellung von Warnungen und Ereignissen bietet. Mit der Ontologie kann Google SecOps Entitäten aus Ereignissen erstellen und Beziehungen zwischen ihnen definieren. So erhalten Sie einen umfassenden Überblick und können potenzielle Bedrohungen auf der Seite Erkunden untersuchen. Nachdem Entitäten mithilfe der Ontologie definiert wurden, können Sie Aktionen für sie ausführen, die auf ihrer Rolle im Angriff oder Ereignis basieren.

Ontologiestatus ansehen

Unter Einstellungen > Prüfung > Ontologiestatus finden Sie die folgenden Informationen:
  • Anzahl der Produkttypen: Die Anzahl der Produkte, die Google SecOps aus Ihrer Umgebung erfasst. Diese Zahl ändert sich, wenn Ihren Umgebungen weitere Produkte hinzugefügt werden.
  • Anzahl der Ereignistypen: Die Anzahl der Ereignisse, die von Google SecOps erfasst werden.
  • Anzahl der Ereignisse, die Standardfamilien zugewiesen sind: Die Anzahl der Ereignisse, die Google SecOps automatisch zugewiesen hat. Sie können ein Ereignis jederzeit neu zuweisen. Suchen Sie dazu in der Spalte Familienname nach dem Standardwert und klicken Sie auf Einstellungen Konfigurieren.

Sie können ausgewählte Zeilen mit dem Ontologiestatus als ZIP-Datei exportieren, die eine JSON-Datei enthält. Sie können auch Zeilen mit dem Ontologiestatus importieren. Achten Sie darauf, eine ZIP-Datei zu importieren, die eine JSON-Datei mit den Ontologiedetails enthält.

Modellfamilien einrichten

Nachdem Sie eine erste Datenverbindung hergestellt haben, müssen Sie Folgendes tun:

  1. Führen Sie die folgenden Schritte aus, um die Daten in das Google SecOps-Datenmodell aufzunehmen.
  2. Neue Ereignisse und Benachrichtigungen gemäß Ihren Anforderungen zuordnen und modellieren

So richten Sie eine Modellfamilie ein:

  1. Definieren Sie die Familie: Klicken Sie auf Einstellungen > Prüfung > Visuelle Familien.
  2. Weisen Sie die Familie dem Ereignis (oder Produkt/Quelle) entweder auf dem Tab Benachrichtigungsereignisse oder auf der Seite Ontologiestatus zu. Klicken Sie dazu auf Ereigniskonfiguration > Visualisierung.

Datenfelder zuordnen

So ordnen Sie Datenfelder zu:

  1. Korrigieren Sie auf der Seite Fallverwaltung oder Erkunden alle fehlenden oder falschen Feldinformationen.
  2. Prüfen Sie, ob sich das Problem durch Anhängen einer neuen visuellen Familie beheben lässt. Bearbeiten und konfigurieren Sie andernfalls die Regeln, die sowohl die Familie als auch die allgemeinen Systemfelder auf der Seite Ereigniskonfiguration > Zuordnung ausmachen.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten