Gestire i tag in casi e avvisi

Supportato in:

Google SecOps SOAR

Questo documento spiega come gestire i tag nei casi di Google Security Operations.

I tag aiutano a classificare e organizzare le richieste per semplificare il filtraggio e l'analisi. Possono essere assegnati automaticamente in base a regole predefinite o aggiunti manualmente dalle visualizzazioni di casi e avvisi.

Anche se puoi rimuovere i tag dai singoli casi, i tag stessi rimangono disponibili nell'elenco di completamento automatico del sistema, a meno che un amministratore non li rimuova dalla tabella nelle impostazioni Dati dei casi > Tag.

Potresti anche voler importare i tag, ad esempio durante la migrazione da un ambiente di gestione temporanea a un ambiente di produzione o a scopo di backup. Per saperne di più, consulta Importare i tag.

Gestire i tag in casi e avvisi

I tag ti aiutano a monitorare e categorizzare le richieste. Puoi identificare rapidamente le richieste cercandole in base ai tag.

Puoi gestire i tag dalle seguenti posizioni:

• Caso o avviso: aggiungi e rimuovi manualmente i tag da un caso specifico o da un singolo avviso.
• Menu principale: fai clic su Impostazioni > Dati caso > Tag. Per saperne di più, consulta Creare una regola di tagging automatico.
• Playbook: attiva un playbook su un nome tag utilizzando l'attivatore tag. Puoi anche aggiungere un tag di richiesta a un blocco del playbook: seleziona un blocco del playbook, fai clic su Apri selezione passaggio e, nella scheda Trigger, seleziona Nome tag.

Nota: per aggiungere o gestire i tag dei casi, il modulo SLA deve essere attivato nel tuo ambiente, oltre alle autorizzazioni standard di gestione dei casi.

Aggiungere un tag a una richiesta

 Per aggiungere un tag a una richiesta:

1. Vai alla pagina Richieste e seleziona una richiesta che vuoi taggare.
2. Fai clic su Vendi Gestisci tag.
3. Nella finestra di dialogo Gestisci tag, inserisci il nome del tag e premi Invio oppure seleziona un tag dall'elenco e fai clic su Aggiungi.

Aggiungere un tag a un avviso

Per aggiungere un tag a un avviso:

1. Vai alla pagina Richieste e seleziona una richiesta.
2. Seleziona l'avviso che vuoi taggare.
3. Fai clic su more_vert Opzioni avviso e poi seleziona Gestisci tag.
4. Nella finestra di dialogo Gestisci tag, inserisci il nome del tag e premi Invio oppure seleziona un tag dall'elenco e fai clic su Aggiungi.

Nota:la possibilità di creare nuovi tag (tag che non esistono già nel sistema) rispetto all'allegare tag esistenti dipende dalle autorizzazioni utente specifiche.

Comportamento dei tag di avviso durante le modifiche del caso

I tag a livello di avviso assegnati manualmente rimangono associati all'avviso specifico durante le azioni di gestione delle richieste:

• Spostamento degli avvisi: se sposti un avviso in un altro caso, i tag assegnati manualmente all'avviso vengono spostati con esso.
• Unione dei casi: quando i casi vengono uniti, i singoli avvisi all'interno del caso consolidato mantengono i tag a livello di avviso assegnati manualmente.

Nota: i tag a livello di avviso sono supportati solo nelle dashboard integrate. Non sono supportati nei report legacy.

Configurare le impostazioni del tag

Importare tag

Per importare un tag:

1. Vai a Impostazioni SOAR > Dati caso > Tag.
2. Fai clic su vertical_align_bottom Scarica modello. Il file CSV mostra la struttura di importazione dei tag obbligatoria.
3. Inserisci le informazioni del tag.
4. Fai clic su Accedi Importa. I tag importati dovrebbero essere visualizzati nella piattaforma.

Nota:la relazione tra Tag assegnato e Nome ricerca è molti-a-molti. ovvero più di un tag assegnato può essere associato a un nome di ricerca e più di un nome di ricerca può essere associato a un tag assegnato. Ad esempio, Google SecOps assegna lo stesso tag "DLP" agli avvisi che SIEM tagga come "Esfiltrazione di dati" o "Symantec DLP – Financial Information – Network".

Rimuovere un tag dal completamento automatico

Per impedire la visualizzazione di un tag nei suggerimenti di completamento automatico, devi rimuoverlo dalla tabella Tag nelle impostazioni dei dati dei casi.

1. Vai a Impostazioni SOAR > Dati caso > Tag.
2. Individua il tag nella tabella e fai clic su Elimina Elimina.

Nota: l'eliminazione di un tag dalla tabella Tag lo rimuove dai suggerimenti di completamento automatico, ma non dai casi o dagli avvisi in cui è già stato applicato.

Creare una regola di tagging automatico

Per creare una regola che assegni automaticamente i tag agli avvisi in entrata in base a condizioni specifiche:

1. Vai a Impostazioni SOAR > Dati caso > Tag.
2. Fai clic su Aggiungi Aggiungi tag.
3. Nel campo Nome tag, inserisci un nome per il tag.
4. Seleziona un'origine corrispondenza da Entità, Prodotto, Generatore di regole e Fornitore.
5. Dal menu, scegli un qualificatore che definisca la modalità di corrispondenza del valore:
• contains
• exact
• inizia con
• termina con
6. Seleziona l'origine prodotto o l'entità specifica. Se applicabile, inserisci la Proprietà e il Valore appropriati. In alternativa, seleziona Prodotto, Generatore di regole o Fornitore.
7. Seleziona la priorità per il tag.
   Nota: Google SecOps unisce la priorità ad altri avvisi, entità ed eventi, pertanto la priorità qui non è assoluta.
8. (Facoltativo) Se necessario, seleziona Può essere un nome della richiesta. Se selezionato, il tag viene assegnato come titolo della richiesta se soddisfa le condizioni.
9. Fai clic su Salva.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.