取り込み方法とデータ型
環境を効果的にモニタリングし、インシデントを調査するために、Google Security Operations ではさまざまなセキュリティ データを取り込むことができます。プラットフォームに取り込めるデータの種類と、それらの取り込みに使用される方法を理解することは、堅牢なセキュリティ ポスチャーを構築するための第一歩です。
取り込みデータの種類
Google SecOps は、受信データを 4 つの主なタイプに分類します。各タイプは、検出と調査のライフサイクルで異なる目的を果たします。
- 未加工のログ: セキュリティ ソース（ファイアウォール、EDR ツール、クラウド プラットフォームなど）からの元のデータストリームです。JSON、Syslog、CSV、非構造化テキストなどの形式で到着するログは、詳細なフォレンジックとコンプライアンスの「信頼できる情報源」として機能します。フィールド名はベンダーによって異なるため、プラットフォームがフィールド名を解析して正規化する前の初期入力として、未加工のログが使用されます。
- UDM イベント: パーサーが未加工ログを一貫性のあるベンダーに依存しない形式に変換すると、統合データモデル（UDM）イベントが作成されます。たとえば、
src_ipやclient-ipなどの異なる用語が 1 つのprincipal.ipフィールドに標準化されます。ダウンストリーム システムは UDM を使用して、統合検索や検出ルールなどの機能を提供します。 - エンティティ コンテキスト データ: このデータは、一般的なイベントを有意義な見込み顧客に変えるための「誰が、何を、どこで」を提供します。コンテキスト データは、IP アドレスが上位の役員または重要な本番環境サーバーに属しているかどうかを示します。Active Directory や CMDB などのソースのメタデータでイベントを拡充することで、アナリストは組織の実際のリスクに基づいて脅威の優先順位を付けることができます。
- アラート: 即時の対応が必要なアクティビティを示す忠実度の高いシグナルです。アラートは、外部のセキュリティ プロダクト（CrowdStrike など）から直接取り込むことも、UDM イベントまたはエンティティがルールをトリガーしたときに Google SecOps YARA-L 検出エンジンによって内部で生成することもできます。アラートは、インシデント ケースの主要な構成要素として機能します。
取り込みエンティティについて
エンティティは、ネットワーク イベントに重要なコンテキストを提供します。標準のネットワーク イベントでは、ユーザー abc@foo.corp が shady.exe を起動したことは示されますが、そのユーザーが最近解雇された従業員であるかどうかは示されません。
エンティティ データモデルを使用すると、これらの関係を取り込み、IAM、脆弱性の管理、データ保護システムから新しいコンテキストをキャプチャして、豊富な脅威インテリジェンスを提供できます。
すぐに使用できるエンティティ コンテキスト パーサー
データ取り込みを可能な限りシームレスにするため、Google SecOps には、多くの一般的な信頼できるソース用の API コネクタとデフォルトのパーサーが含まれています。次のサポートされているエンティティ コンテキスト ログタイプから、アセットまたはユーザー コンテキスト データを取り込むことができます。
ANOMALI_IOCARMIS_DEVICESAWS_EC2_HOSTSAWS_EC2_INSTANCESAWS_EC2_VPCSAWS_IAMAZURE_AD_CONTEXTCLOUD_IDENTITY_CONTEXTCROWDSTRIKE_IOCCSV_CUSTOM_IOCCTIXCT_GAUS_SEGUROSCYJAX_THREAT_INTELLIGENCEDHS_IOCDIGITAL_SHADOWS_IOCDUO_CONTEXTDUO_USER_CONTEXTESET_IOCET_PRO_IOCGCP_BIGQUERY_CONTEXTGCP_CLOUDIDENTITY_DEVICESGCP_CLOUDIDENTITY_DEVICEUSERSGCP_CLOUD_FUNCTIONS_CONTEXTGCP_COMPUTE_CONTEXTGCP_DLP_CONTEXTGCP_IAM_ANALYSISGCP_IAM_CONTEXTGCP_KUBERNETES_CONTEXTGCP_NETWORK_CONNECTIVITY_CONTEXTGCP_RESOURCE_MANAGER_CONTEXTGCP_STORAGE_CONTEXTGCP_SQL_CONTEXTGCP_THREATINTELGREYNOISEGTI_IOCHCL_BIGFIXIBM_MAAS360IONIXJAMFJAMF_PRO_CONTEXTMANDIANT_ACTIVE_BREACH_IOCMANDIANT_CUSTOM_IOCMANDIANT_IOCMICROSOFT_DEFENDER_ENDPOINTMISP_IOCNUCLEUS_ASSETNUCLEUS_VULNERABILITYOKTA_USER_CONTEXTOPEN_SOURCE_INTEL_IOCQUALYS_ASSET_CONTEXTQUALYS_VIRTUAL_SCANNERRAPID7_INSIGHTRECORDED_FUTURE_IOCRH_ISAC_IOCSAILPOINT_IAMSERVICENOW_CMDBSERVICENOW_CMDB_HARDWARESNIPE_ITSTIXTANIUM_ASSETTANIUM_COMPLYTEAM_CYMRU_SCOUT_THREATINTELTENABLE_IOTHREATCONNECT_IOCTHREATCONNECT_IOC_V3TRELLIX_HX_HOSTSUKGVZ_SECURITY_MARIMBA_INVENTORYWHOISXMLAPI_SIMPLE_WHOISWINDOWS_ADWINDOWS_DEFENDER_ATPWORKDAYWORKSPACE_CHROMEOSWORKSPACE_GROUPSWORKSPACE_MOBILEWORKSPACE_PRIVILEGESWORKSPACE_USERS
データ取り込み方法の概要
Google SecOps 取り込みサービスは、すべての受信データのゲートウェイとして機能します。データの保存場所と形式に応じて、Google SecOps は次のプライマリ システムを使用してデータを取得します。
- Google Cloud （直接統合）: これは、すべての標準 Google Cloud ログ（監査ログ、VPC フローログ、DNS ログ、ファイアウォール ログなど）で最も費用対効果が高く、パフォーマンスが最も高い主要な方法です。Google SecOps は、このデータを Google Cloud 組織から直接取得します。
- Bindplane エージェント: オンプレミス環境とサーバー（Windows または Linux）からログを収集するために使用される、マネージド テレメトリー パイプラインとエージェント。これにより、他の方法（オンプレミス ファイアウォールなど）では簡単に適合しないログに大きな柔軟性が提供され、クラウドデータが Google SecOps に到達する前に、前処理、フィルタリング、絞り込みを行うことができます。Bindplane エージェントは、Bindplane OP 管理コンソールを使用して管理されます。
- データフィード: オブジェクト ストア（Cloud Storage や Amazon S3 など）にすでに集約されているクラウドベースのログ（EDR や SaaS アプリなど）や、プッシュベースの Webhook をサポートするサードパーティに最適です。データフィードは、ログを取り込みサービスに直接送信し、事前定義された API 統合（最大 4 MB のログ行をサポート）をすぐに利用できます。
- Chronicle API 取り込みメソッド: 他のメソッドに適合しないカスタム アプリケーション、大容量アプリケーション、自社開発アプリケーション向けに設計されています。この方法では、 Google Cloud 認証（サービス アカウントまたは Workload Identity 連携）の設定、IAM 権限の構成、API エンドポイントに JSON ペイロードを送信するカスタム統合の開発が必要です。
さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。