開發第一個用途

支援的國家/地區：
本文定義了「用途」，並概述將用途發布至內容中心的相關規定。這份指南提供完整說明，從定義安全威脅、建構劇本到最終發布，協助您建立新的用途。

瞭解用途

用途是指一組可提供解決方案的項目，例如：

  • 自動化網路釣魚威脅
  • 減少偽陽性
  • 自動調度管理事件調查

您將用途發布至內容中心，所有使用者都能使用。

應用實例套件包含：

  • 測試案例
  • 連接器
  • 應對手冊
  • 整合
  • 對應和建模規則

發布規定

如要確保使用案例適用於內容中心，必須符合下列規定：

  • 模擬警報是以實際產品的真實警報為依據。
  • 在乾淨的環境中執行模擬快訊時，系統會擷取所有實體。
  • 使用連接器執行實際快訊時，系統會擷取所有實體。
  • 應對手冊從頭到尾執行完畢，沒有發生錯誤。
  • 最終輸出內容為 ZIP 檔案，可順利匯入內容中心。
  • 部署完成後，您可以設定整合功能，讓應對手冊透過模擬警告端對端執行。

建立應用實例

本節將說明建立第一個用途的步驟。

定義用途

如要定義用途，請按照下列步驟操作：

  1. 說明要處理的安全威脅。
  2. 指定警示類型和產生警示的偵測產品 (例如 CrowdStrike - Falcon Overwatch` via `Malicious Activity)
  3. 制定事件應變、調度管理或自動化程序，處理這項快訊。

準備用途快訊

  1. 根據實際情境建立自訂快訊或事件。加入模擬警報，持續測試應對手冊和使用案例。這項模擬也會納入用途套件。
  2. 在「案件」中，依序點選「新增」 「新增」>「模擬案件」。
  3. 按一下「 新增」。
  4. 根據您為用途準備的快訊，填寫模擬快訊的欄位：
    5. 欄位 說明 範例
    來源\SIEM 名稱 快訊來源 (例如 Google Security Operations SIEM、偵測工具)。如果警報是由產品產生，並由 Google SecOps 擷取，請新增產品名稱。 Arcsight
    規則名稱 Google SecOps SIEM 規則或偵測產品快訊名稱。如果沒有 SIEM，請使用偵測產品的警告名稱。 Data Exfiltration
    警告產品 產生快訊的偵測工具。 DLP product
    快訊名稱 產品產生的快訊名稱。 Data Exfiltration
    事件名稱 觸發快訊的基礎事件。 Data Exfiltration
    更多警告欄位 如果沒有 SIEM，則為額外的 SIEM 欄位或快訊名稱。 Severity, Impact, Sensitive Assets如果沒有 SIEM 參與，alert_name:。
    更多事件欄位 用於事件應變的原始安全性資料。 src_ip, dest_port, email_headers
  5. 在 Google SecOps 中，根據樣本快訊或事件建立模擬快訊。

擷取實體

  1. 選取快訊的視覺化模型 (Google SecOps 應擷取的實體及其關係)，並將原始資料欄位對應至所選模型。
  2. 在事件上，依序點選「設定」「設定」。詳情請參閱「開始使用 Google Security Operations SOAR」、「建立實體 (對應與建模)」和「對應及模擬快訊」。
  3. 確認所有實體皆在「實體重點」的「案件」分頁中建立。如要查看，請依序點選每個實體的「實體重點」>「查看更多」。

建立應對手冊

如要建立應對手冊，請按照下列步驟操作：

  1. 以視覺化方式 (圖表或示意圖) 定義警報的事件應變流程。
  2. 在 Google SecOps 中設計劇本。如要這麼做，請下載並設定要在應對手冊中使用的整合項目。詳情請參閱「設定整合」。

設定應對手冊中的動作

設定動作參數、條件和分支，如下所示：

  1. 動作類型：選取這項動作應自動執行，還是手動執行 (需要人工核准)。
  2. 選擇執行個體：選取「動態」。
  3. 如果步驟失敗：選擇要在動作失敗時停止執行應對手冊，還是略過並執行下一個動作。
  4. 實體：選取這項動作會影響的實體類型 (從模擬快訊中擷取的實體)。
  5. 其他參數：根據整合說明文件，輸入動作專屬參數。

在應對手冊中設定條件

如要在劇本中設定條件，請按照下列步驟操作：

  1. 決定所需的分支數量。如有需要，請按一下「新增分支」來建立其他分支。
  2. 為每個分支定義觸發條件。使用預留位置 (方括號) 參照事件資料、先前動作結果等條件。
    3. 在流程中測試可用的工具。
  3. 使用即時資料測試：設定連接器，擷取與您建立的模擬快訊類似的快訊。詳情請參閱「設定連接器」。
  4. 使用範例測試連接器，例如使用網路釣魚電子郵件快訊的電子郵件連接器。詳情請參閱「測試連接器」。
  5. 請確認：
    • 實際警告也會套用相同的對應，以便 Google SecOps 擷取相關實體。
    • 應對手冊會對警告執行端對端作業，並執行定義的邏輯。(請同時測試惡意和非惡意快訊)。

撰寫指南

其他 Google SecOps 使用者會使用您建立的用途。附上內容做為指南，協助其他使用者實作該用途。您可以在發布應用實例中附上這份指南：

  • 說明用途和 SOC 價值。
  • 提供改善建議。
  • 請附上操作說明，說明如何使用模擬和實際資料執行用途。
  • 新增連接器和整合項目的設定操作說明。
  • 附上任何相關授權資訊。
  • 加入開發第一個連接器的程序。

發布應用實例

如要發布用途，請按照下列步驟操作：

  1. 前往內容中心，然後點按「使用案例」分頁。
  2. 按一下「 format_list_bulleted 清單」，然後選取「建立新用途」。
  3. 輸入詳細資料，並新增您開發的所有項目 (測試案例、應對手冊和連接器)。
  4. 在「說明」欄位中附加指南，或提供完整指南的連結。
  5. 選用：按一下「匯出」，立即或稍後匯出用途，然後按一下「儲存」。
  6. 選用：按一下「儲存」後，您可以將套件匯出為 ZIP 檔案，或匯入套件進行測試。
  7. 送審並發布。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。