Integra BigQuery con Google SecOps

Questo documento spiega come integrare BigQuery con Google Security Operations (Google SecOps).

Versione integrazione: 15.0

Questa integrazione utilizza uno o più componenti open source. Puoi scaricare una copia compressa del codice sorgente di questa integrazione da un bucket Cloud Storage.

Casi d'uso

Nella piattaforma Google SecOps, l'integrazione di BigQuery può aiutarti a risolvere i seguenti casi d'uso:

  • Arricchimento delle informazioni sulle minacce: arricchisci automaticamente gli avvisi di sicurezza con dati sulle minacce informatiche archiviati in BigQuery per valutare la gravità e la credibilità di potenziali minacce.

    Ad esempio, puoi configurare Google SecOps per eseguire query su una tabella BigQuery contenente indirizzi IP dannosi noti ogni volta che un indirizzo IP sospetto attiva un avviso. Google SecOps verifica la presenza di una corrispondenza nella tabella BigQuery e recupera un contesto aggiuntivo, ad esempio le famiglie di malware associate.

  • Analisi del comportamento degli utenti:identifica l'attività anomala degli utenti analizzando i log storici dell&#39attività utentei archiviati in BigQuery per rilevare minacce interne e account compromessi.

    Ad esempio, puoi configurare Google SecOps per eseguire query BigQuery per i tentativi di accesso al di fuori della solita geolocalizzazione di un utente e attivare una risposta automatica agli incidenti per un'attività sospetta rilevata.

  • Analisi del data lake di sicurezza:utilizza le funzionalità di query di BigQuery per analizzare grandi volumi di dati di sicurezza provenienti da varie fonti aggregati in un data lake per migliorare la ricerca delle minacce e l'analisi degli incidenti.

    Ad esempio, puoi configurare Google SecOps per eseguire query su BigQuery per tutti gli eventi correlati a un hash di file specifico nei log di più strumenti di sicurezza archiviati nel data lake.

  • Conservazione a lungo termine dei dati di sicurezza:utilizza l'archiviazione BigQuery per conservare grandi volumi di log di sicurezza per periodi di tempo prolungati per supportare l'analisi storica, i report di conformità e le indagini forensi.

    Ad esempio, puoi configurare Google SecOps per archiviare automaticamente i dati degli incident risolti in BigQuery per l'archiviazione a lungo termine e contribuire a garantire la disponibilità dei dati per audit o indagini futuri.

Prima di iniziare

Per utilizzare l'integrazione, devi disporre di un account di servizio Google Cloud .

Crea e configura un account di servizio

Per integrare BigQuery con Google SecOps, puoi utilizzare un account di servizio esistente o crearne uno nuovo. Per indicazioni sulla creazione di un account di servizio, vedi Creare service account.

Se non utilizzi un'email dell'identità del workload per configurare l'integrazione, crea una chiave dell'account di servizio in JSON dopo aver creato un account di servizio. Quando configuri i parametri di integrazione, devi fornire l'intero contenuto del file di chiave JSON scaricato.

Per motivi di sicurezza, ti consigliamo di utilizzare indirizzi email di identità del workload anziché chiavi JSON account di servizio. Per saperne di più sulle identità dei workload, consulta Identità per i workload.

Parametri di integrazione

L'integrazione di BigQuery richiede i seguenti parametri:

Parametri Descrizione
Account Type

Facoltativo.

Il tipo di account BigQuery.

Fornisci il valore impostato nel parametro type del file JSON della chiave dell'account di servizio.

Il valore predefinito è service_account.
Project ID

Facoltativo.

L'ID progetto dell'account BigQuery.

Fornisci il valore impostato nel parametro project_id del file JSON di autenticazione.
Private Key ID

Facoltativo.

L'ID della chiave privata dell'account BigQuery.

Fornisci il valore impostato nel parametro private_key_id del file JSON di autenticazione.
Private Key

Facoltativo.

La chiave privata dell'account BigQuery.

Fornisci il valore impostato nel parametro private_key del file JSON di autenticazione.
Client Email

Facoltativo.

L'indirizzo email client dell'account BigQuery.

Fornisci il valore impostato nel parametro client_email del file JSON di autenticazione.
Client ID

Facoltativo.

L'ID client dell'account BigQuery.

Fornisci il valore impostato nel parametro client_id del file JSON di autenticazione.
Auth URI

Facoltativo.

L'URI di autenticazione dell'account BigQuery.

Fornisci il valore impostato nel parametro auth_uri del file JSON di autenticazione.

Il valore predefinito è https://accounts.google.com/o/oauth2/auth.
Token URI

Facoltativo.

L'URI del token dell'account BigQuery.

Fornisci il valore impostato nel parametro token_uri del file JSON di autenticazione.

Il valore predefinito è https://oauth2.googleapis.com/token.
Auth Provider X509 URL

Facoltativo.

L'URL del provider di autenticazione X.509 dell'account BigQuery.

Fornisci il valore impostato nel parametro auth_provider_x509_cert_url del file JSON di autenticazione.

Il valore predefinito è https://www.googleapis.com/oauth2/v1/certs.
Client X509 URL

Facoltativo.

L'URL X.509 del client dell'account BigQuery.

Fornisci il valore impostato nel parametro client_x509_cert_url del file JSON di autenticazione.

Il valore predefinito è https://www.googleapis.com/oauth2/v1/certs.
Service Account Json File Content

Facoltativo.

Il contenuto del file JSON della chiave dell'account di servizio.

Puoi configurare questo parametro o il parametro Workload Identity Email oppure impostare tutti i parametri di integrazione precedenti.

Per configurare questo parametro, fornisci l'intero contenuto del file JSON della chiave dell'account di servizio che hai scaricato durante la creazione di un account di servizio.

Se configuri questo parametro, l'integrazione ignora gli altri parametri di connessione.
Workload Identity Email

Facoltativo.

L'indirizzo email client del tuo account di servizio.

Puoi configurare questo parametro o il parametro Service Account Json File Content.

Se imposti questo parametro, configura il parametro Quota Project ID.

Per simulare l'identità dei service account con la federazione delle identità per i carichi di lavoro, concedi il ruolo Service Account Token Creator al tuo account di servizio. Per maggiori dettagli sulle identità dei workload e su come utilizzarle, consulta Identità per i workload.
Quota Project ID

Facoltativo.

L'ID progetto Google Cloud che utilizzi per le API e la fatturazione. Google Cloud Questo parametro richiede che tu conceda il ruolo Service Usage Consumer al tuo account di servizio.

Se non imposti un valore per questo parametro, l'integrazione recupera l'ID progetto dal tuo account di servizio Google Cloud .
Verify SSL

Facoltativo.

Se selezionata, l'integrazione convalida il certificato SSL quando si connette a Google Cloud.

Questa opzione è selezionata per impostazione predefinita.

Per istruzioni su come configurare un'integrazione in Google SecOps, consulta Configurare le integrazioni.

Se necessario, potrai apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più su come configurare e supportare più istanze, consulta Supportare più istanze.

Azioni

Per maggiori informazioni sulle azioni, vedi Rispondere alle azioni in attesa dalla tua scrivania ed Eseguire un'azione manuale.

Dindin

Utilizza l'azione Ping per testare la connettività a BigQuery.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

Nessuno.

Output dell'azione

L'azione Ping fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca casi Non disponibile
Link alla bacheca richieste Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Non disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Messaggi di output

L'azione Ping può restituire i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio
Successfully connected to the Google BigQuery server with the provided connection parameters! Azione riuscita.
Failed to connect to the Google BigQuery server! Error is ERROR_REASON

Azione non riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La seguente tabella elenca il valore dell'output del risultato dello script quando utilizzi l'azione Ping:

Nome del risultato dello script Valore
is_success True o False

Esegui query personalizzata

Utilizza l'azione Esegui query personalizzata per eseguire query personalizzate in BigQuery.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Esegui query personalizzata richiede i seguenti parametri:

Parametri Descrizione
Query

Obbligatorio.

La query SQL da eseguire.
Max Results To Return

Facoltativo.

Il numero di risultati da restituire per ogni risposta.

Il valore predefinito è 50.

Output dell'azione

L'azione Esegui query personalizzata fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca casi Non disponibile
Link alla bacheca richieste Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Risultato JSON

Il seguente esempio mostra l'output del risultato JSON ricevuto quando si utilizza l'azione Esegui query personalizzata:

{
    "Airport_Code": "CODE",
    "Airport_Name": "NAME",
    "Time_Label": "2015/05",
    "Time_Month": 5,
    "Time_Month_Name": "May",
    "Time_Year": 2015,
    "Statistics___of_Delays_Carrier": 351,
    "Statistics___of_Delays_Late_Aircraft": 546,
    "Statistics___of_Delays_National_Aviation_System": 292,
    "Statistics___of_Delays_Security": 2,
    "Statistics___of_Delays_Weather": 100,
    "Statistics_Carriers_Names": "Example Air Lines Inc., Example Airlines Co.",
    "Statistics_Carriers_Total": 3,
    "Statistics_Flights_Cancelled": 88,
    "Statistics_Flights_Delayed": 1289,
    "Statistics_Flights_Diverted": 32,
    "Statistics_Flights_On_Time": 6182,
    "Statistics_Flights_Total": 7591,
    "Statistics_Minutes_Delayed_Carrier": 19332,
    "Statistics_Minutes_Delayed_Late_Aircraft": 34376,
    "Statistics_Minutes_Delayed_National_Aviation_System": 12346,
    "Statistics_Minutes_Delayed_Security": 48,
    "Statistics_Minutes_Delayed_Total": 76163,
    "Statistics_Minutes_Delayed_Weather": 100061
}
Messaggi di output

L'azione Esegui query personalizzata può restituire i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio
Successfully executed query in Google BigQuery! Azione riuscita.
Error executing action "Run Custom Query". Reason: ERROR_REASON

Azione non riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Esegui query personalizzata:

Nome del risultato dello script Valore
is_success True o False

Esegui query SQL

Utilizza l'azione Esegui query SQL per eseguire query in BigQuery.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Esegui query SQL richiede i seguenti parametri:

Parametri Descrizione
Dataset Name

Obbligatorio.

Il nome del set di dati da utilizzare durante l'esecuzione delle query.
Query

Obbligatorio.

La query SQL da eseguire.
Max Results To Return

Facoltativo.

Il numero di risultati da restituire per ogni risposta.

Il valore predefinito è 50.

Output dell'azione

L'azione Esegui query SQL fornisce i seguenti output:

Tipo di output dell'azione Disponibilità
Allegato della bacheca casi Non disponibile
Link alla bacheca richieste Non disponibile
Tabella della bacheca casi Non disponibile
Tabella di arricchimento Non disponibile
Risultato JSON Non disponibile
Messaggi di output Disponibile
Risultato dello script Disponibile
Risultato JSON

L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Esegui query SQL:

{
    "Airport_Code": "CODE",
    "Airport_Name": "NAME",
    "Time_Label": "2015/05",
    "Time_Month": 5,
    "Time_Month_Name": "May",
    "Time_Year": 2015,
    "Statistics___of_Delays_Carrier": 351,
    "Statistics___of_Delays_Late_Aircraft": 546,
    "Statistics___of_Delays_National_Aviation_System": 292,
    "Statistics___of_Delays_Security": 2,
    "Statistics___of_Delays_Weather": 100,
    "Statistics_Carriers_Names": "Example Airlines Inc.,Example Airlines Co.",
    "Statistics_Carriers_Total": 3,
    "Statistics_Flights_Cancelled": 88,
    "Statistics_Flights_Delayed": 1289,
    "Statistics_Flights_Diverted": 32,
    "Statistics_Flights_On_Time": 6182,
    "Statistics_Flights_Total": 7591,
    "Statistics_Minutes_Delayed_Carrier": 19332,
    "Statistics_Minutes_Delayed_Late_Aircraft": 34376,
    "Statistics_Minutes_Delayed_National_Aviation_System": 12346,
    "Statistics_Minutes_Delayed_Security": 48,
    "Statistics_Minutes_Delayed_Total": 76163,
    "Statistics_Minutes_Delayed_Weather": 100061
}
Messaggi di output

L'azione Esegui query SQL può restituire i seguenti messaggi di output:

Messaggio di output Descrizione del messaggio
Successfully executed query in the BigQuery dataset DATASET_NAME. Azione riuscita.
Error executing action "Run SQL Query". Reason: ERROR_REASON

Azione non riuscita.

Controlla la connessione al server, i parametri di input o le credenziali.
Risultato dello script

La seguente tabella elenca il valore dell'output del risultato dello script quando utilizzi l'azione Esegui query SQL:

Nome del risultato dello script Valore
is_success True o False

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.