Recopilar registros de SOAR

Disponible en:

SOAR

Nota: Este documento solo se aplica a la plataforma SOAR independiente de Google Security Operations.

Nota: Esta función está cubierta por los Términos de las Ofertas Previas a la Disponibilidad General de los Términos Específicos del Servicio de Google Security Operations. Las funciones previas a la disponibilidad general pueden tener una asistencia limitada y los cambios que se produzcan en ellas podrían no ser compatibles con otras versiones previas a la disponibilidad general. Para obtener más información, consulta las directrices del servicio de asistencia técnica de Google SecOps y los Términos Específicos de los Servicios de Google SecOps.

Nota: Esta función no está disponible para todos los clientes en todas las regiones.

En este documento se describe cómo usar el Explorador de registros Google Cloud para gestionar y monitorizar los registros de SOAR.

La integración ofrece las siguientes funciones clave:

• Monitorización centralizada: consulta y analiza los datos esenciales capturados de las funciones ETL, Playbook y Python de la plataforma SOAR de Google SecOps (por ejemplo, la ejecución de scripts de Python, la ingestión de alertas y el rendimiento de los Playbooks).

• Métricas personalizadas y alertas: usa Google Cloud herramientas para configurar métricas personalizadas y alertas basadas en eventos específicos registrados en los registros operativos de Google SecOps SOAR.

Configurar registros de SOAR

Para configurar los registros de SOAR, sigue estos pasos:

1. Crea una cuenta de servicio en el Google Cloud proyecto en el que quieras ver los registros. Para obtener más información, consulta el artículo sobre cómo crear y gestionar cuentas de servicio.
2. Ve a IAM y administración > IAM.

3. Busca la cuenta de servicio que has creado y haz clic en editar Editar principal.

   Ir a IAM

4. En la sección Asignar roles, selecciona Escritor de registros. Para obtener más información, consulta el rol predefinido Escritor de registros.

5. Haz clic en Guardar.

6. Selecciona Cuentas de servicio y, a continuación, la cuenta que has creado.

7. Haz clic en more_vert Más y selecciona Gestionar permisos.

8. En la sección Permisos, haz clic en Conceder acceso.

   

9. En la sección Add Principal (Añadir principal), añade el siguiente principal:

   gke-init-backgroundservices@{SOAR-GCP-Project-Id}.iam.gserviceaccount.com

   • Si no lo sabes, envía una incidencia a través del equipo de Asistencia de Google.SOAR_GCP_Project_Id
   Nota: Las políticas de organización pueden restringir el acceso a cuentas de servicio externas debido a la restricción de dominio para compartir. Si esto ocurre, se debe añadir una excepción a la lista de permitidas para la entidad de seguridad mencionada. Para obtener más información, consulta el artículo sobre cómo restringir dominios y configurar excepciones.

10. En Asignar roles, selecciona Creador de tokens de cuenta de servicio. Para obtener más información, consulta el artículo Creador de tokens de cuenta de servicio.

11. Haz clic en Guardar.

12. Proporciona el nombre de la cuenta de servicio configurada al equipo de Asistencia de Google SecOps.

Registros de SOAR

Los registros de SOAR se escriben en un espacio de nombres independiente llamado chronicle-soar y se clasifican por el servicio que generó el registro. Como los registros se generan mediante una tarea en segundo plano, primero debe configurar esta tarea para que envíe los registros a Google Cloud:

Para acceder a los registros de SOAR, sigue estos pasos:

1. En la Google Cloud consola, ve a Logging > Explorador de registros.
2. Selecciona el proyecto Google SecOps Google Cloud.

3. Introduce el siguiente filtro en el cuadro y haz clic en Ejecutar consulta:

   resource.labels.namespace_name="chronicle-soar"
   

   

4. Para filtrar los registros de un servicio específico, introduce la siguiente sintaxis en el cuadro de consulta y haz clic en Ejecutar consulta:

       resource.labels.namespace_name="chronicle-soar" 
       resource.labels.container_name="<container_name>" 
   

5. Sustituye <container_name> por el contenedor de servicio correspondiente: playbook, python o etl.

Etiquetas de registro de guía

Las etiquetas de registro de Playbook ofrecen una forma más eficiente y cómoda de acotar una consulta. Todas las etiquetas se encuentran en la sección Labels de cada mensaje de registro.

Para acotar el ámbito del registro, amplía el mensaje de registro, haz clic con el botón derecho en cada etiqueta y oculta o muestra registros específicos:

Puede usar las siguientes etiquetas:

• playbook_name
• playbook_definition
• block_name
• block_definition
• case_id
• correlation_id
• integration_name
• action_name

Nota: 18 de septiembre, 4:02 Usa correlation_id para recuperar todos los registros asociados del playbook y los servicios de Python. De esta forma, se proporciona un registro y un análisis completos de la ejecución de todo un libro de jugadas.

Registros de Python

Los siguientes registros están disponibles para el servicio de Python:

```none
resource.labels.container_name="python"
```

Etiquetas de integración y de conector:

• integration_name
• integration_version
• connector_name
• connector_instance

Etiquetas de tareas:

• integration_name
• integration_version
• job_name

Etiquetas de acción:

• integration_name
• integration_version
• integration_instance
• correlation_id
• action_name

Registros de ETL

Los siguientes registros están disponibles para el servicio ETL:

```none
resource.labels.container_name="etl"
```

Etiquetas de ETL

• correlation_id

Por ejemplo, para proporcionar el flujo de ingestión de una alerta, filtre por correlation_id:

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.