Recopila registros de SOAR

Compatible con:

SOAR

Nota: Este documento solo se aplica a la plataforma independiente de SOAR de Google Security Operations.

Nota: Esta función está sujeta a las Condiciones de las Ofertas de la fase previa a la DG de las Condiciones Específicas del Servicio de Operaciones de Seguridad de Google. Las características de la fase previa a la DG pueden tener asistencia limitada, y es posible que los cambios en las características de la fase previa a la DG no sean compatibles con otras versiones de la fase previa a la DG. Para obtener más información, consulta los Lineamientos de los Servicios de Asistencia Técnica de Google SecOps y las Condiciones Específicas del Servicio de Google SecOps.

Nota: Esta función no está disponible para todos los clientes en todas las regiones.

En este documento, se describe cómo usar Google Cloud Logs Explorer para administrar y supervisar los registros de SOAR.

La integración proporciona las siguientes funciones clave:

• Supervisión centralizada: Visualiza y analiza los datos esenciales capturados de las funciones de ETL, Playbook y Python de la plataforma SOAR de Google SecOps (por ejemplo, la ejecución de secuencias de comandos de Python, la incorporación de alertas y el rendimiento de los playbooks).

• Alertas y métricas personalizadas: Usa Google Cloud herramientas para configurar alertas y métricas personalizadas basadas en eventos específicos registrados en los registros operativos de SOAR de Google SecOps.

Configura los registros de SOAR

Para configurar los registros de SOAR, sigue estos pasos:

1. Crea una cuenta de servicio en el proyecto Google Cloud en el que planeas ver los registros. Para obtener más información, consulta Crea y administra cuentas de servicio.
2. Ve a IAM y administración > IAM.

3. Ubica la cuenta de servicio que creaste y haz clic en Editar Editar principal.

   Ir a IAM

4. En la sección Asignar roles, selecciona Escritor de registros. Para obtener más información, consulta el rol predefinido de escritor de registros.

5. Haz clic en Guardar.

6. Selecciona Cuentas de servicio y, luego, la cuenta de servicio que creaste.

7. Haz clic en more_vert Más y selecciona Administrar permisos.

8. En la sección Permisos, haz clic en Otorgar acceso.

   

9. En la sección Agregar principal, agrega el siguiente principal:

   gke-init-backgroundservices@{SOAR-GCP-Project-Id}.iam.gserviceaccount.com

   • Si no conoces el SOAR_GCP_Project_Id, envía una solicitud a través de la Asistencia de Google.
   Nota: Es posible que las políticas de la organización restrinjan el acceso a cuentas de servicio externas debido al uso compartido restringido al dominio. Si esto ocurre, se debe agregar una excepción a la lista de entidades permitidas para la principal mencionada. Para obtener más información, consulta Restricting Domains: Configure Exceptions (Restricción de dominios: Configura excepciones).

10. En Asignar roles, selecciona Creador de tokens de cuenta de servicio. Para obtener más información, consulta Service Account Token Creator.

11. Haz clic en Guardar.

12. Proporciona el nombre de la cuenta de servicio configurada al equipo de asistencia de SecOps de Google.

Registros de SOAR

Los registros de SOAR se escriben en un espacio de nombres independiente, llamado chronicle-soar, y se categorizan según el servicio que generó el registro. Debido a que los registros se generan mediante un trabajo en segundo plano, primero debes configurar este trabajo para enviar los registros a Google Cloud:

Para acceder a los registros de SOAR, haz lo siguiente:

1. En la consola de Google Cloud , ve a Logging > Explorador de registros.
2. Selecciona el proyecto Google SecOps Google Cloud.

3. Ingresa el siguiente filtro en el cuadro y haz clic en Ejecutar consulta:

   resource.labels.namespace_name="chronicle-soar"
   

   

4. Para filtrar los registros de un servicio específico, ingresa la siguiente sintaxis en el cuadro de consulta y haz clic en Ejecutar consulta:

       resource.labels.namespace_name="chronicle-soar" 
       resource.labels.container_name="<container_name>" 
   

5. Reemplaza <container_name> por el contenedor de servicio pertinente: playbook, python o etl.

Etiquetas de registro de la guía

Las etiquetas de registro del cuaderno de estrategias proporcionan una forma más eficiente y conveniente de definir mejor el alcance de una consulta. Todas las etiquetas se encuentran en la sección Labels de cada mensaje de registro.

Para reducir el alcance del registro, expande el mensaje de registro, haz clic con el botón derecho en cada etiqueta y oculta o muestra registros específicos:

Las siguientes etiquetas están disponibles:

• playbook_name
• playbook_definition
• block_name
• block_definition
• case_id
• correlation_id
• integration_name
• action_name

Nota: 18 de septiembre, 4:02 a.m. Usa correlation_id para recuperar todos los registros asociados de los servicios de Python y del manual. Esto proporciona un seguimiento y un análisis completos de toda la ejecución de una guía.

Registros de Python

Los siguientes registros están disponibles para el servicio de Python:

```none
resource.labels.container_name="python"
```

Etiquetas de integración y conector:

• integration_name
• integration_version
• connector_name
• connector_instance

Etiquetas de trabajo:

• integration_name
• integration_version
• job_name

Etiquetas de acción:

• integration_name
• integration_version
• integration_instance
• correlation_id
• action_name

Registros de ETL

Los siguientes registros están disponibles para el servicio de ETL:

```none
resource.labels.container_name="etl"
```

Etiquetas de ETL

• correlation_id

Por ejemplo, para proporcionar el flujo de transferencia de una alerta, filtra por correlation_id:

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.