Looker-Explores in SOAR-Berichten verwenden
Looker-Explores sind interaktive Tools zur Datenanalyse in Google Security Operations, mit denen Sie benutzerdefinierte Berichte und Visualisierungen erstellen können, ohne komplexen Code schreiben zu müssen. Sie bilden die Grundlage für erweiterte Berichte und bieten eine flexible Möglichkeit, Ihre Sicherheitsdaten zu analysieren. In diesem Dokument wird nicht beschrieben, wie Sie Looker-Explores erstellen und bearbeiten. Weitere Informationen zu Explores finden Sie unter Looker-Explores erstellen und bearbeiten.
Erweiterte SOAR-Berichte
Looker-Explores finden Sie auf dem Tab „Erweiterte SOAR-Berichte“. Sie bieten jeweils spezielle Daten- und Visualisierungsfunktionen, mit denen sich erweiterte Berichte erstellen lassen.
Die standardmäßigen erweiterten SOAR-Berichte sind eine Reihe von Dashboards und Berichten, mit denen Sie die SOC-Leistung, die Fallbearbeitung, die Arbeitslast der Analysten und die Effizienz der Automatisierung verfolgen können. Diese Berichte bieten sowohl allgemeine als auch detaillierte Informationen zu Ihren Umgebungen und unterstützen Anwendungsfälle vom täglichen Monitoring bis hin zu Zusammenfassungen auf Führungsebene.
Für viele Berichte sind bestimmte Flags oder Konfigurationen erforderlich, um genaue Daten zu erhalten. Diese sind in den jeweiligen Beschreibungen angegeben.
In diesem Abschnitt werden diese häufig verwendeten Berichte beschrieben. Jeder Bericht enthält visuelle Dashboards, die datengesteuerte Entscheidungen und kontinuierliche SOC-Verbesserungen unterstützen. Die Leistung wichtiger Berichte wird in der Tabelle dargestellt.
Berichtstyp |
Beschreibung |
|---|---|
Benachrichtigungen und Rechtssubjekte |
Überwacht und analysiert Entitäten, Benachrichtigungen, Fälle und Vorfälle. Sie enthält wichtige Messwerte und Filteroptionen, mit denen Sie Ihre Sicherheitsdaten besser nachvollziehen können. Sie haben folgende Möglichkeiten:
Voraussetzung: Verwenden Sie das Flag Incident (Vorfall), um Vorfälle in Fällen zu identifizieren. |
Analyst Case Load Tracker |
Zeigt die Arbeitslastverteilung auf Analysten zu einem bestimmten Zeitpunkt an, damit Sie die Personalbesetzung und Leistung in Ihrem SOC im Blick behalten können.
|
Anfragen |
Überwacht und analysiert Fälle von der Erstellung bis zum Abschluss. Sie enthält umfassende Details, mit denen Sie den gesamten Falllebenszyklus nachvollziehen können. Sie haben folgende Möglichkeiten:
|
Supportfälle und Benachrichtigungen |
Kombiniert Fall- und Benachrichtigungsdaten, damit Sie analysieren können, wie Sicherheitsereignisse in Fälle umgewandelt werden. Dazu gehören:
|
Anfrageverlauf |
Verfolgt den gesamten Lebenszyklus von Kundenserviceanfragen und bietet eine detaillierte Analyse der Effizienz der Bearbeitung von Kundenserviceanfragen und der Prozesszeitpläne.
|
Kundenbericht |
Ein Übersichts-Dashboard, das einen allgemeinen Überblick über die SOC-Abdeckung in wichtigen Betriebsbereichen bietet. Voraussetzungen:
|
Executive Dashboard |
Dieses Dashboard wurde entwickelt, um Leistungsindikatoren (KPIs) zu überwachen. Es fasst die Anzahl der Vorfälle, die Lösungszeiten, die Einhaltung von SLAs und andere wichtige Messwerte zusammen. Voraussetzungen:
|
Managed Detection and Response |
Ideal für tägliche, wöchentliche oder monatliche Berichte. Hier werden Benachrichtigungen, Fallerstellungen, Triage, Lösungen und SLA-Daten in einem kompakten Format dargestellt, z. B.:
Voraussetzungen:
|
Monatliche Bedrohungsüberwachung |
Eine monatliche Zusammenfassung von Warnungen, betroffenen Produkten, Schweregraden von Warnungen und anderen wichtigen Indikatoren. |
MTTX-Dashboard |
Ein Zeitachsendashboard, das die verstrichene Zeit zwischen den wichtigsten Phasen des Falllebenszyklus anzeigt – von der Erstellung bis zum Beginn und Ende bestimmter Phasen der Vorfallbearbeitung. Sie können Parameter wie stages und timestamps anpassen. |
Analyst Workload Report |
Visualisiert SOC-Arbeitslastmesswerte wie Benachrichtigungs- und Ereignisverteilungen, Trends bei offenen und geschlossenen Fällen, die Leistung der Benachrichtigungsgruppierung und Trends bei falsch positiven Ergebnissen. Weitere Informationen |
Bericht „Bearbeitungszeiten für die Leistung“ |
Erfasst die mittlere Zieldiagnosezeit (Mean Time To Diagnosis, MTTD) und die mittlere Zeit zur Problemminderung (Mean Time to Remediate, MTTR) für verschiedene Dimensionen wie Teams, Benachrichtigungstypen und Reaktionsphasen und bietet so Einblicke in die betriebliche Effizienz. Details zur Leistung und Beispiele |
Analysebericht zum Playbook |
Misst die Effektivität der Automatisierung und zeigt, wie playbookbasierte Aktionen die Leistung des SOC verbessern und die Bearbeitungszeiten verkürzen. Weitere Informationen |
ROI-Bericht |
Ein einseitiges Dashboard, in dem die durch Automatisierung eingesparte Zeit und der eingesparte Aufwand quantifiziert werden. Sie enthält eine Aufschlüsselung der automatisierten und manuellen Maßnahmen sowie deren Verteilung auf die Produkte. |
Security Operations Center Report |
Dieser Bericht wurde für Kunden entwickelt, die mehrere Mandanten verwalten (z. B. MSSPs). Er unterstützt den Mandantenwechsel und die flexible Zeitfilterung. Die übersichtlichen Diagramme eignen sich gut für wöchentliche oder monatliche Zusammenfassungen. |
Bericht „Sicherheitsstatus und Sensorleistung“ |
Bietet im Zeitverlauf Einblick in Bedrohungstrends und die Sensorleistung, um falsch positive Ergebnisse zu erkennen und die Sensorkonfigurationen zu optimieren. Weitere Informationen |
Gesamtleistung der Clearance Tracker-Stufe |
Dieses Dashboard, auch Overall Clearance Tracker genannt, verfolgt das Fallvolumen und die Lösung über verschiedene Ebenen in Ihrem SOC hinweg. |
Leistung der Stufe |
Analysiert die Effizienz von SOC-Rolle-Kategorien, indem die Anzahl der Benachrichtigungen über einen bestimmten Zeitraum hinweg erfasst wird.
|
Dashboard-Fälle ansehen |
Bietet einen umfassenden Überblick über das Fallmanagement und die Leistung, der Details zu Fällen, Benachrichtigungen, Einheiten, Phasenfortschritt und Analystenzuweisung kombiniert. Diese Ansicht unterstützt detaillierte Analysen mit tagbasierten Dimensionen und Messwerten. Dieses Explore bietet eine Vielzahl von KPIs zur Leistungsanalyse und detaillierte Suchoptionen, darunter:
|
Leistungsanalyse für erweiterte SOAR-Berichte
Jeder Bericht enthält visuelle Dashboards, die datengestützte Entscheidungen und kontinuierliche SOC-Verbesserungen unterstützen.
Bericht zu Bearbeitungszeiten für die Leistung
In diesem Bericht wird die Dauer der einzelnen Phasen des Reaktionszyklus für Anfragen dargestellt. Er enthält Messwerte wie die durchschnittliche Zeit bis zur Erkennung (Mean Time To Detect, MTTD), die durchschnittliche Zeit bis zur Problembehebung (Mean Time To Resolve, MTTR) und die durchschnittliche Bearbeitungszeit nach SOC-Rolle oder ‑Phase. Mithilfe dieser Informationen können Teams Verzögerungen erkennen, die betriebliche Effizienz bewerten und Workflows für die Fallbearbeitung und ‑behebung verbessern.
- Durchschnittliche Erkennungszeit (Mean Time to Detect, MTTD): Die durchschnittliche Zeit von der Erstellung des Falls bis zur Zuweisung des Falls an einen Nutzer.
Format: days-hours-minutes-seconds
Im Widget wird0angezeigt, wenn der Fall nicht zugewiesen ist. - Durchschnittliche Zeit bis zur Fehlerbehebung (Mean Time to Remediate, MTTR): Die durchschnittliche Zeit von der Erstellung des Falls bis zum Beginn der Fehlerbehebung.
Format: days-hours-minutes-seconds
Im Widget wirdN/Aangezeigt, wenn es keine Phase der Fehlerbehebung gibt. - Durchschnittliche Bearbeitungszeit nach SOC-Rolle: Gibt die durchschnittliche Zeit an, die eine SOC-Rolle für einen Fall aufwendet, von der Zuweisung bis zum Schließen oder Zuweisen.
- Durchschnittliche Bearbeitungszeit nach Phase: Hier wird die durchschnittliche Zeit angezeigt, die in jeder Phase verbracht wird, vom Beginn einer Phase bis zum Schließen des Falls oder bis er in eine andere Phase verschoben wird.
- Durchschnittliche Zeit bis zur Priorisierung: Hier wird die durchschnittliche Bearbeitungszeit für die Priorisierungsphase nach Datum für verschiedene Regeln angezeigt.
- Durchschnittliche Bearbeitungszeit für die Triage-Phase: Hier wird die durchschnittliche Bearbeitungszeit für die Triage-Phase nach Datum angezeigt.
- Durchschnittliche Bearbeitungszeit pro SOC-Rolle und Datum: Hier wird die durchschnittliche Bearbeitungszeit pro SOC-Rolle nach Datum angezeigt.
Bericht zur Arbeitslast von Analysten
Der Bericht Analyst Workload (Arbeitslast des Analysten) bietet einen Überblick darüber, wie Benachrichtigungen, Ereignisse und Fälle auf Regeln verteilt sind und wie sie sich auf die Arbeitslast des SOC-Analysten auswirken. So lassen sich Trends bei der Anzahl der Benachrichtigungen, dem Fallstatus, den Falschmeldungen und dem Zeitaufwand für die Bearbeitung von Fällen erkennen. Teams können so die Personalplanung, die Anpassung von Regeln und die Effizienz der Reaktion optimieren.
- Verteilung der Benachrichtigungen auf Regeln:Hier sehen Sie die Verteilung und den Prozentsatz der Benachrichtigungen pro Regeltyp.
- Ereignisverteilung nach Regeln:Hier wird der Prozentsatz der Ereignisse pro Regeltyp angezeigt.
- Offene und geschlossene Fälle:Hier wird die Verteilung der Anzahl der offenen und geschlossenen Fälle angezeigt.
- Fälle im Vergleich zu Benachrichtigungen:Hier wird die Verteilung zwischen der Anzahl der Fälle und Benachrichtigungen angezeigt.
- Falsch positive Ergebnisse im Vergleich zur Bearbeitungszeit:In einem Diagramm mit zwei Achsen wird die Rate falsch positiver Ergebnisse im Vergleich zur durchschnittlichen Bearbeitungszeit dargestellt.
- Die Falsch-Positiv-Rate ist der Prozentsatz der nicht schädlichen Fälle im Verhältnis zu allen Fällen.
- Die durchschnittliche Bearbeitungszeit wird von der Erstellung bis zum Schließen des Falls gemessen.
- Die Grafik enthält nur Informationen zu geschlossenen Fällen.
Bericht zur Sicherheitslage und Sensorleistung
Der Bericht Security Posture and Sensors Performance (Sicherheitsniveau und Sensorleistung) konzentriert sich auf die Effektivität von Erkennungsregeln und Sicherheitssensoren in Ihrer Umgebung. Er zeigt, wie Benachrichtigungen nach Regel und Produkt verteilt sind, verfolgt das Benachrichtigungsvolumen im Zeitverlauf und visualisiert Falsch-Positiv-Raten. Mithilfe dieser Informationen können Sie die Erkennungsabdeckung bewerten, fehlerhafte Regeln oder Produkte mit schlechter Leistung identifizieren und Ihren Sicherheitsstatus optimieren.
- Prozentsatz der Benachrichtigungen nach Regel:Hier werden die Verteilung und der Prozentsatz der Benachrichtigungen nach Regeltyp angezeigt.
- Anzahl der Benachrichtigungen nach Regel nach Datum:Hier sehen Sie die Anzahl der Benachrichtigungen nach Regeltyp im Zeitverlauf.
- Prozentsatz der Benachrichtigungen nach Produkt:Hier sehen Sie die Verteilung und den Prozentsatz der Benachrichtigungen nach Produkt.
- Anzahl der Benachrichtigungen nach Produkt und Datum:Hier sehen Sie die Anzahl der Benachrichtigungen nach Produkt und Datum.
- Rate falsch positiver Ergebnisse nach Produkt:Hier wird die Rate falsch positiver Ergebnisse nach Produkttyp angezeigt.
- Die Falsch-Positiv-Rate ist der Prozentsatz der nicht schädlichen Fälle im Verhältnis zu allen Fällen.
- Die Grafik enthält nur Informationen zu geschlossenen Fällen.
Playbook-Analyse
Im Bericht Playbook-Analyse wird die Effektivität der Automatisierung durch Playbooks bewertet. Darin werden die am häufigsten automatisierten Benachrichtigungen, die wichtigsten durch Automatisierung geschlossenen Benachrichtigungen sowie die Falsch-Positiv-Raten und Bearbeitungszeiten für Benachrichtigungen mit und ohne Playbook-Automatisierung verglichen. Mithilfe dieser Statistiken können Sie die Auswirkungen der Automatisierung auf die Fallbearbeitung bewerten und Möglichkeiten zur Erweiterung der Playbook-Abdeckung ermitteln.
- Top 10 der automatischen Benachrichtigungen:Hier werden die zehn Regeln mit dem höchsten Prozentsatz an automatischen Benachrichtigungen angezeigt.Eine automatische Benachrichtigung ist eine Benachrichtigung, die automatisch mit einem Playbook verknüpft ist.
- Die 10 wichtigsten Benachrichtigungen, die durch Automatisierung geschlossen wurden:Hier werden die 10 wichtigsten Regeln mit dem höchsten Prozentsatz an Benachrichtigungen angezeigt, die automatisch durch ein Playbook geschlossen wurden. Die Grafik enthält nur Informationen zu geschlossenen Fällen.
- Falsch-positive Ergebnisse im Vergleich zur Bearbeitungszeit für nicht automatisierte Benachrichtigungen:Für Benachrichtigungen ohne automatisch angehängtes Playbook enthält dieses Widget ein Diagramm mit zwei Achsen, in dem die Falsch-positiv-Rate im Vergleich zur durchschnittlichen Bearbeitungszeit dargestellt wird.
- Die Grafik enthält nur Informationen zu geschlossenen Fällen.
- Dieses Diagramm enthält nur Daten für geschlossene Fälle und ist leer, wenn es keine Warnungen ohne Playbooks gibt.
Erweiterte SOAR-Berichte in Looker verwalten
Zugriff und Berechtigungen zuweisen
Auf der Seite Berechtigungen können Sie Nutzern die folgenden Berechtigungen zuweisen:
- Ansehen: Wenn Sie Zugriff auf Berichte auf dem Tab Erweiterte Berichte gewähren möchten, setzen Sie ein Häkchen bei Erweiterte Berichte ansehen.
- Bearbeiten: Wenn Sie das Kästchen Erweiterte Berichte bearbeiten anklicken, können Nutzer erweiterte Berichte erstellen, bearbeiten, duplizieren, freigeben, herunterladen und löschen.
Erweiterte Berichte sind für alle Plattformnutzer über den Tab Berichte ohne vorherige Einrichtung zugänglich.
Erweiterte Berichte verwalten
Die folgenden Ordner sind auf dem Tab Erweiterte Berichte verfügbar:
- Standard (nur für Administratoren): Vordefinierte Berichte, die nicht direkt bearbeitet werden können. Sie können sie jedoch in einen anderen Ordner kopieren, um sie zu bearbeiten.
- Persönlich: Berichte, die Sie selbst mit den Looker-Komponenten erstellen. Sie können Berichte auch aus den Ordnern Standard oder Freigegeben duplizieren und speichern.
- Gemeinsam genutzt: Berichte, die Sie erstellt und für andere freigegeben haben oder die andere erstellt und für Sie freigegeben haben.
Sie können Ihre erweiterten Berichte verwalten, indem Sie sie für andere Nutzer freigeben, in andere Ordner oder Umgebungen duplizieren oder von Ihnen erstellte oder kopierte Berichte umbenennen. In diesem Abschnitt wird beschrieben, wie Sie diese Aktionen in der Benutzeroberfläche von Erweiterte Berichte ausführen.
Berichte freigeben
- Klicken Sie auf Teilen Freigeben.
- Wählen Sie die Umgebungen aus, mit denen Sie den Bericht teilen möchten.
- Optional: Klicken Sie das entsprechende Kästchen an, um Nutzern mit Lesezugriff Zugriff zu gewähren.
Doppelte Berichte
- Klicken Sie auf content_copy Bericht duplizieren.
- Wählen Sie den Zielordner und die erforderlichen Umgebungen aus.
- Optional: Benennen Sie den duplizierten Bericht um.
Looker-Berichte umbenennen
Sie können nur Berichte umbenennen, die Sie dupliziert haben und die sich in Ihrem persönlichen oder freigegebenen Ordner befinden.
- Öffnen Sie den Bericht, den Sie umbenennen möchten.
- Klicken Sie auf more_vertDashboard-Aktionen und wählen Sie Dashboard bearbeiten aus.
- Klicken Sie in das Feld „Berichtsname“, geben Sie einen neuen Namen ein und klicken Sie auf Speichern.
Benutzerdefinierte Felder in erweiterten Berichten verwenden
Sie können benutzerdefinierte Felder, die in Google SecOps erstellt wurden, in erweiterten Berichten verwenden, um detailliertere Informationen zu Ihren Fällen und Benachrichtigungen zu erhalten. Informationen zur Verwendung benutzerdefinierter Felder in Looker-Berichten, einschließlich LookML-Formeln und Filtertechniken, finden Sie unter Benutzerdefinierte Felder verwalten.
Bericht mit SOAR-Explorations erstellen
Mit SOAR-Explores können Sie bestimmte Daten definieren und visualisieren, indem Sie die entsprechenden Felder auswählen. SOAR-Explores ähneln zwar Standard-Looker-Dashboards, enthalten aber zusätzliche SOAR-spezifische Felder. Weitere Informationen finden Sie unter Diagrammvisualisierung einem Dashboard hinzufügen.
So erstellen Sie einen Bericht mit SOAR Explores:
- Klicken Sie auf Dashboards und Berichte > SOAR-Berichte.
- Klicken Sie auf Erweiterte Berichte.
- Klicken Sie auf Hinzufügen Bericht hinzufügen.
- Geben Sie im Dialogfeld Neuen Bericht erstellen einen Namen für den Bericht ein, wählen Sie einen Ordner und eine Umgebung aus.
- Klicken Sie auf Erstellen, um den neuen Bericht aufzurufen.
- Wählen Sie den Bericht aus und klicken Sie auf Dashboard bearbeiten.
- Klicken Sie unter dem Berichtsnamen auf Hinzufügen.
- Wählen Sie in der Liste Visualisierung aus.
- Wählen Sie im Dialogfeld Explore auswählen das relevante SOAR-Explore aus, um auf Datenfelder zuzugreifen, die für Ihren Bericht spezifisch sind.
- Wählen Sie auf dem Tab Alle Felder die Dimensionen und Messwerte aus, die für Ihren Bericht relevant sind.
- Passen Sie den Bericht nach Bedarf an und klicken Sie auf Speichern. Die Visualisierungs-Kachel wird dem Dashboard hinzugefügt.
Hinweis:Wenn Sie eine Dashboard-Kachel bearbeiten möchten, klicken Sie im Dashboard auf der Kachel auf Bearbeiten.
Tipps zur Fehlerbehebung
Auf der Seite Erweiterte Berichte kann der folgende Fehler auftreten:
You are not authenticated to view this page.
Wenn Sie authentifiziert sind und dieser Fehler angezeigt wird, blockiert Ihr Browser möglicherweise Looker-Cookies.
Wie Sie Looker-Cookies in Ihrem Browser aktivieren, um auf erweiterte Berichte zuzugreifen, hängt von Ihrem Browser ab.
So aktivieren Sie Looker-Cookies und greifen in Google Chrome auf die Seite Erweiterte Berichte zu:
- Klicken Sie mit der rechten Maustaste auf eine beliebige Stelle auf der Seite und wählen Sie Untersuchen aus.
- Klicken Sie auf einen der Berichte und kopieren Sie die URL in die Zwischenablage.
- Gehen Sie in Chrome zu Einstellungen > Datenschutz und Sicherheit > Drittanbieter-Cookies.
- Klicken Sie unter Darf Drittanbieter-Cookies verwenden auf Hinzufügen und fügen Sie die Looker-URL ein.
Sie sollten jetzt auf die erweiterten Berichte zugreifen und sie ansehen können.
Bekannte Probleme und Beschränkungen
Für SOAR-Berichte gelten die folgenden bekannten Probleme und Einschränkungen:
- Berichte löschen: Die Option In den Papierkorb verschieben im Menü Dashboard-Aktionen funktioniert nicht. Wenn Sie einen Bericht löschen möchten, klicken Sie über dem Bericht auf Bericht löschen.
- Jetzt testen (geplante Zustellung): Die Aktion Jetzt testen funktioniert nicht. Wenn Sie die Zustellung von Berichten testen möchten, klicken Sie im Dialogfeld Zeitpläne auf Jetzt senden.
- Einschränkung beim Zusammenführen von Abfragen: Berichte, in denen die Aktion Abfragen zusammenführen verwendet wird, können nicht exportiert oder importiert werden.
Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten