Il livello di servizio Security Command Center Enterprise offre funzionalità aggiuntive rispetto ai livelli Standard e Premium, tra cui una selezione di funzionalità di Google Security Operations e la possibilità di importare dati da altri provider di servizi cloud. Queste funzionalità rendono Security Command Center una piattaforma di protezione delle applicazioni cloud-native (CNAPP).
Le funzionalità di Google Security Operations nel livello Security Command Center Enterprise hanno limiti diversi rispetto a quelli dei piani Google Security Operations. Questi limiti sono descritti nella tabella seguente.
| Funzionalità | Limiti |
|---|---|
| Threat intelligence applicata | Nessun accesso |
| Rilevamenti predefiniti | Limitati al rilevamento delle minacce cloud su Google Cloud, Microsoft Azure e AWS. |
| Regole personalizzate | 20 regole personalizzate a evento singolo regole, le regole a più eventi non sono supportate. |
| Conservazione dei dati | 3 mesi |
| Gemini in Google Security Operations | Limitato alla ricerca in linguaggio naturale e ai riepiloghi delle indagini sulle richieste |
| Security information and event management (SIEM) di Google SecOps | Solo dati cloud. |
| Security Orchestration, Automation, and response (SOAR) di Google SecOps | Solo integrazioni di risposta cloud. Per l'elenco delle integrazioni supportate, consulta
Integrazioni di Google Security Operations supportate.
Supporta un ambiente SOAR. |
| Importazione dei log |
Limitata ai log supportati per il rilevamento delle minacce cloud. Per l'elenco, consulta Raccolta dei dati di log supportata in Google SecOps |
| Analisi dei rischi | Nessun accesso |
Integrazioni di Google Security Operations supportate
Le sezioni seguenti elencano le integrazioni di Google Security Operations Marketplace supportate con Security Command Center Enterprise. Sono elencate in colonne separate nella tabella seguente.
Integrazioni in pacchetto e preconfigurate: sono incluse nel caso d'uso SCC Enterprise - Orchestrazione e correzione cloud e sono preconfigurate per supportare i casi d'uso della piattaforma di protezione delle applicazioni cloud-native (CNAPP). Sono disponibili quando attivi Security Command Center Enterprise e aggiorni il caso d'uso Enterprise.
Le configurazioni nel caso d'uso SCC Enterprise - Orchestrazione e correzione cloud includono, ad esempio, playbook dedicati che utilizzano Jira e ServiceNow con una gestione predefinita delle richieste di risposta. Le integrazioni sono preconfigurate per supportare tutti i provider di servizi cloud supportati da Security Command Center Enterprise.
Integrazioni scaricabili: con Security Command Center Enterprise, puoi scaricare le seguenti integrazioni e utilizzarle in un playbook. Le versioni che scarichi da Google Security Operations Marketplace non sono configurate specificamente per Security Command Center Enterprise e richiedono una configurazione manuale aggiuntiva.
Ogni integrazione è elencata per nome. Per informazioni su un'integrazione specifica, consulta Integrazioni di Google Security Operations Marketplace.
Tipo di applicazione o informazioni |
Integrazioni in pacchetto e preconfigurate |
Integrazioni scaricabili |
|---|---|---|
Google Cloud e integrazioni di Google Workspace |
|
|
Integrazioni di Amazon Web Services |
|
|
Integrazioni di Microsoft Azure e Office365 |
|
|
Applicazioni correlate a IT Service Management (ITSM) |
|
|
Applicazioni correlate alla comunicazione |
|
|
Threat intelligence |
|
|
| * L'integrazione non è inclusa nel caso d'uso SCC Enterprise - Orchestrazione e correzione cloud | ||
Funzionalità principali nella console Security Operations
Il livello Security Command Center Enterprise integra le funzionalità principali di Google Security Operations, accessibili tramite la console Security Operations. Le sezioni seguenti forniscono una breve panoramica delle funzionalità disponibili:
Avvisi e IOC
Questa pagina della console Operazioni di sicurezza ti consente di visualizzare gli avvisi creati da rilevamenti predefiniti e regole personalizzate. Per informazioni su come indagare sugli avvisi, consulta le seguenti sezioni della documentazione di Google Security Operations:
- Indagare su un avviso GCTI generato da rilevamenti predefiniti.
- Indagare su un avviso.
Richieste
Nella console Security Operations, utilizzi le richieste per ottenere dettagli sui risultati, allegare playbook agli avvisi sui risultati, applicare risposte automatiche alle minacce e monitorare la correzione dei problemi di sicurezza.
Per informazioni, consulta Panoramica delle richieste.
Playbook
Questa pagina della console Security Operations ti consente di gestire i playbook inclusi nel caso d'uso SCC Enterprise - Orchestrazione e correzione cloud.
Per informazioni sulle integrazioni disponibili in questo caso d'uso, consulta Livelli di servizio di Security Command Center.
Per informazioni sui playbook disponibili, consulta Aggiornare il caso d'uso Enterprise.
Per informazioni sull'utilizzo della pagina Playbook della console Security Operations, consulta Che cosa contiene la pagina Playbook? nella documentazione di Google Security Operations.
Regole e rilevamenti
Questa pagina della console Security Operations ti consente di attivare i rilevamenti predefiniti e creare regole personalizzate per identificare i pattern nei dati raccolti utilizzando i meccanismi di raccolta dei dati di log della console Security Operations . Per informazioni sui rilevamenti predefiniti disponibili con Security Command Center Enterprise, consulta Indagare sulle minacce con i rilevamenti predefiniti.
Dashboard SIEM
Questa pagina della console Google Security Operations ti consente di visualizzare le dashboard Google Security Operations SIEM per analizzare gli avvisi creati dalle regole di Google Security Operations e i dati raccolti utilizzando le funzionalità di raccolta dei dati di log della console Google Security Operations.
Per ulteriori informazioni sull'utilizzo delle dashboard SIEM, consulta Panoramica delle dashboard nella documentazione di Google Security Operations.
Ricerca SIEM
Questa pagina della console Security Operations ti consente di trovare eventi e avvisi del modello di dati unificato (UDM) all'interno della tua istanza Google Security Operations. Per ulteriori informazioni, consulta Ricerca SIEM nella documentazione di Google Security Operations.
Impostazioni SIEM
Questa pagina della console Security Operations ti consente di modificare la configurazione delle funzionalità correlate a SIEM di Google Security Operations. Per informazioni sull'utilizzo di queste funzionalità, consulta la documentazione di Google Security Operations.
Dashboard SOAR
Questa pagina della console Security Operations ti consente di visualizzare e creare dashboard utilizzando i dati SOAR che possono essere utilizzati per analizzare risposte e richieste. Per ulteriori informazioni sull'utilizzo delle dashboard SOAR, consulta Panoramica della dashboard SOAR nella documentazione di Google Security Operations.
Report SOAR
Questa pagina della console Security Operations ti consente di visualizzare i report sui dati SOAR. Per ulteriori informazioni sull'utilizzo dei report SOAR, consulta Informazioni sui report SOAR nella documentazione di Google Security Operations.
Ricerca SOAR
Questa pagina della console Security Operations ti consente di trovare casi o entità specifici indicizzati da Google Security Operations SOAR. Per ulteriori informazioni, consulta Utilizzare la pagina di ricerca in SOAR nella documentazione di Google Security Operations.
Impostazioni SOAR
Questa pagina della console Security Operations ti consente di modificare la configurazione delle funzionalità correlate a SOAR di Google Security Operations. Per informazioni sull'utilizzo di queste funzionalità, consulta la documentazione di Google Security Operations.
Raccolta dei dati di log di Google SecOps supportata
Le sezioni seguenti descrivono il tipo di dati di log che i clienti con Security Command Center Enterprise possono importare direttamente nel tenant Google Security Operations. Questo meccanismo di raccolta dei dati è diverso dal connettore AWS in Security Command Center che raccoglie dati di risorse e configurazione.
Le informazioni sono raggruppate per provider di servizi cloud.
- Google Cloud Dati di log
- Dati di log di Amazon Web Services
- Dati di log di Microsoft Azure
Per ogni tipo di log elencato, viene fornita l'etichetta di importazione di Google SecOps, ad esempio GCP_CLOUDAUDIT. Per un elenco completo delle etichette di importazione di Google SecOps, consulta
Tipi di log supportati e parser predefiniti.
Google Cloud
I seguenti Google Cloud dati possono essere importati in Google SecOps:
- Cloud Audit Logs (
GCP_CLOUDAUDIT) - Cloud Intrusion Detection System (
GCP_IDS) - Cloud Next Generation Firewall (
GCP_NGFW_ENTERPRISE) - Metadati di Cloud Asset Inventory
- Contesto di Sensitive Data Protection
- Log di Model Armor
Devono essere abilitati e indirizzati a Cloud Logging anche i seguenti:
- Audit log di accesso ai dati di AlloyDB per PostgreSQL
- Log di Cloud DNS
- Log di Cloud NAT
- Cloud Run
- Audit log di accesso ai dati di Cloud SQL per SQL Server
- Audit log di accesso ai dati di Cloud SQL per MySQL
- Audit log di accesso ai dati di Cloud SQL per PostgreSQL
- Authlog delle VM di Compute Engine
- Log del servizio di backend del bilanciatore del carico delle applicazioni esterno
- Audit log di accesso ai dati generici
- Audit log di accesso ai dati di Google Kubernetes Engine
- Audit log di amministrazione di Google Workspace
- Audit log di accesso di Google Workspace
- Audit log di accesso ai dati IAM
- Contesto di Sensitive Data Protection
- Log di Model Armor
- Log di AuditD
- Log eventi di Windows
Per informazioni su come raccogliere i log dalle istanze VM Linux e Windows e inviarli a Cloud Logging, consulta Agenti di Google Cloud Observability.
La procedura di attivazione di Security Command Center Enterprise configura automaticamente l'importazione dei Google Cloud dati in Google SecOps. Per saperne di più, consulta Attivare il livello Security Command Center Enterprise > Eseguire il provisioning di una nuova istanza.
Per informazioni su come modificare la configurazione di importazione dei dati, consulta Importare i dati in Google Security Operations. Google Cloud Google Cloud
Amazon Web Services
I seguenti dati AWS possono essere importati in Google SecOps:
- AWS CloudTrail (
AWS_CLOUDTRAIL) - AWS GuardDuty (
GUARDDUTY) - HOST AWS EC2 (
AWS_EC2_HOSTS) - ISTANZE AWS EC2 (
AWS_EC2_INSTANCES) - VPC AWS EC2 (
AWS_EC2_VPCS) - AWS Identity and Access Management (IAM) (
AWS_IAM)
Per informazioni sulla raccolta dei dati di log AWS e sull'utilizzo dei rilevamenti predefiniti, consulta Connettersi ad AWS per la raccolta dei dati di log.
Microsoft Azure
I seguenti dati Microsoft possono essere importati in Google SecOps:
- Servizi cloud Microsoft Azure (
AZURE_ACTIVITY). Per informazioni su come configurare la raccolta dei dati, consulta Importare i log attività di Microsoft Azure. - Microsoft Entra ID, in precedenza Azure Active Directory (
AZURE_AD). Per informazioni su come configurare la raccolta dei dati, consulta Raccogliere i log di Microsoft Azure AD . - Audit log di Microsoft Entra ID, in precedenza audit log di Azure AD
(
AZURE_AD_AUDIT). Per informazioni su come configurare la raccolta dei dati, consulta Raccogliere i log di Microsoft Azure AD . - Microsoft Defender for Cloud (
MICROSOFT_GRAPH_ALERT). Per informazioni su come configurare la raccolta dei dati, consulta Raccogliere i log degli avvisi dell'API Microsoft Graph.
Per informazioni sulla raccolta dei dati di log di Azure e sull'utilizzo dei rilevamenti predefiniti, consulta Connettersi a Microsoft Azure per la raccolta dei dati di log.