Raccogliere i log SOAR

Supportato in:

SOAR

Nota:questo documento si applica solo alla piattaforma SOAR Google Security Operations autonoma.

Nota: questa funzionalità è coperta dai Termini delle offerte pre-GA dei Termini specifici del servizio Google Security Operations. Le funzionalità pre-GA potrebbero avere supporto limitato e le modifiche alle funzionalità pre-GA potrebbero non essere compatibili con altre versioni pre-GA. Per ulteriori informazioni, consulta le linee guida per il servizio di assistenza tecnica di Google SecOps e i Termini di servizio specifici di Google SecOps.

Nota:questa funzionalità non è disponibile per tutti i clienti in tutte le regioni.

Questo documento descrive come utilizzare Google Cloud Logs Explorer per gestire e monitorare i log SOAR.

L'integrazione offre le seguenti funzionalità principali:

• Monitoraggio centralizzato: visualizza e analizza i dati essenziali acquisiti dalle funzioni ETL, Playbook e Python della piattaforma SOAR di Google SecOps (ad esempio, esecuzione di script Python, inserimento di avvisi e prestazioni di playbook).

• Metriche personalizzate e avvisi: utilizza Google Cloud strumenti per configurare metriche personalizzate e avvisi in base a eventi specifici registrati nei log operativi di Google SecOps SOAR.

Configurare i log SOAR

Per configurare i log SOAR:

1. Crea un service account nel progetto Google Cloud in cui prevedi di visualizzare i log. Per maggiori dettagli, vedi Creare e gestire i service account.
2. Vai a IAM e amministrazione > IAM.

3. Individua il service account che hai creato e fai clic su Modifica Modifica entità.

   Vai a IAM

4. Nella sezione Assegna ruoli, seleziona Logs Writer. Per ulteriori informazioni, consulta il ruolo Logs Writer predefinito.

5. Fai clic su Salva.

6. Seleziona Service Accounts (Account di servizio) e seleziona l'account di servizio che hai creato.

7. Fai clic su more_vert Altro e seleziona Gestisci autorizzazioni.

8. Nella sezione Autorizzazioni, fai clic su Concedi accesso.

   

9. Nella sezione Aggiungi entità, aggiungi la seguente entità:

   gke-init-backgroundservices@{SOAR-GCP-Project-Id}.iam.gserviceaccount.com

   • Se non conosci il SOAR_GCP_Project_Id, invia una richiesta tramite l'Assistenza Google.
   Nota: i criteri dell'organizzazione potrebbero limitare l'accesso agli account di servizio esterni a causa della condivisione con limitazione del dominio. In questo caso, è necessario aggiungere un'eccezione alla lista consentita per l'entità menzionata. Per ulteriori informazioni, vedi Limitazione dei domini: configura le eccezioni.

10. In Assegna ruoli, seleziona Creatore token account di servizio. Per saperne di più, vedi Creatore token service account.

11. Fai clic su Salva.

12. Fornisci il nome del service account configurato al team di assistenza Google SecOps.

Log SOAR

I log SOAR vengono scritti in uno spazio dei nomi separato, denominato chronicle-soar, e sono classificati in base al servizio che ha generato il log. Poiché i log vengono generati da un job in background, devi prima configurare questo job per inviare i log a Google Cloud:

Per accedere ai log SOAR:

1. Nella console Google Cloud , vai a Logging > Esplora log.
2. Seleziona il progetto Google SecOps Google Cloud.

3. Inserisci il seguente filtro nella casella e fai clic su Esegui query:

   resource.labels.namespace_name="chronicle-soar"
   

   

4. Per filtrare i log di un servizio specifico, inserisci la seguente sintassi nella casella della query e fai clic su Esegui query:

       resource.labels.namespace_name="chronicle-soar" 
       resource.labels.container_name="<container_name>" 
   

5. Sostituisci <container_name> con il container di servizio pertinente: playbook, python o etl.

Etichette dei log del playbook

Le etichette dei log del playbook forniscono un modo più efficiente e pratico per perfezionare l'ambito di una query. Tutte le etichette si trovano nella sezione Labels di ogni messaggio di log.

Per restringere l'ambito del log, espandi il messaggio di log, fai clic con il tasto destro del mouse su ogni etichetta e nascondi o mostra log specifici:

Sono disponibili le seguenti etichette:

• playbook_name
• playbook_definition
• block_name
• block_definition
• case_id
• correlation_id
• integration_name
• action_name

Nota: 18 settembre, ore 04:02 Utilizza correlation_id per recuperare tutti i log associati dai servizi playbook e Python. In questo modo, viene fornita la tracciabilità e l'analisi complete dell'intera esecuzione di un playbook.

Log Python

Per il servizio Python sono disponibili i seguenti log:

```none
resource.labels.container_name="python"
```

Etichette di integrazione e connettore:

• integration_name
• integration_version
• connector_name
• connector_instance

Etichette dei job:

• integration_name
• integration_version
• job_name

Etichette azione:

• integration_name
• integration_version
• integration_instance
• correlation_id
• action_name

Log ETL

Per il servizio ETL sono disponibili i seguenti log:

```none
resource.labels.container_name="etl"
```

Etichette ETL

• correlation_id

Ad esempio, per fornire il flusso di importazione per un avviso, filtra in base a correlation_id:

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.