Sicherheitskontrollen und ‑konfigurationen validieren
Dieser Leitfaden richtet sich an Sicherheitsentwickler, die ihre Sicherheit proaktiv testen möchten, indem sie Angriffe in ihrer Google Cloud -Umgebung simulieren. Darin wird erläutert, wie Sie eine kontinuierliche Sicherheitsvalidierung implementieren.
Bei der Sicherheitsvalidierung werden Aktionen und Skripts verwendet, die Angreifertechniken nachahmen, um Erkennungswarnungen in Ihren Google Cloud -Projekten auszulösen. Durch den kontinuierlichen Betrieb werden Sicherheitslücken erkannt und Sicherheitsteams können das Risiko reduzieren, indem sie dafür sorgen, dass Konfigurationen und Kontrollen wie erwartet auf die neuesten Bedrohungen reagieren.
Der erfolgreiche Abschluss dieser Journey liefert einen messbaren Nachweis für einen verbesserten Sicherheitsstatus und sorgt dafür, dass neu implementierte Erkennungsregeln oder Integrationen ohne manuelles Eingreifen korrekt funktionieren.
Gängige Anwendungsfälle
In diesem Abschnitt werden häufige Anwendungsfälle für die Sicherheitsvalidierung aufgeführt.
Regression des Sicherheitsstatus erkennen
Ziel: Erkennen, wenn ein zuvor blockiertes Angreiferverhalten in der Umgebung erfolgreich ausgeführt wird.
Wert: Sicherheits- und Betriebsteams werden auf unbeabsichtigte Konfigurationsabweichungen aufmerksam gemacht, sodass sie Sicherheitslücken beheben können, bevor sie ausgenutzt werden.
Abstimmung der Sicherheitskontrollen validieren
Ziel: Bestätigen, dass neu implementierte Erkennungsregeln oder Produktintegrationen wie erwartet funktionieren.
Wert: Liefert messbare Belege dafür, dass Regelaktualisierungen oder Umgebungsänderungen den Sicherheitsstatus erfolgreich verbessert haben, sodass Teams mit Zuversicht eine neue Baseline festlegen können.
Schlüsselterminologie
Sicherheitsvalidierungskontext: Ein Sicherheitsvalidierungskontext richtet die Umgebung für Ihre Sicherheitstests ein. Darin wird angegeben, welches Projekt verwendet werden soll, mit welchem Konto der Test ausgeführt werden soll und welche anderen Details für Ihre Aktionen erforderlich sind.
Sicherheitsvalidierungsaktion: Ein Script, das reale Angreifertechniken nachahmt und Erkennungsregeln auslöst, um Ihren Sicherheitsstatus zu überprüfen.
Baseline-Ausführung: Eine bestimmte, abgeschlossene Sicherheitsvalidierung, die als Standardreferenz für den Vergleich zukünftiger Ausführungen verwendet wird.
Monitoring: Ein geplanter Job (
SecurityValidationJobin der API), der eine Sicherheitsvalidierungsaktion ausführt und die Ergebnisse mit einer definierten Baseline vergleicht.Abweichungsstatus: Der Integritätsindikator eines Monitors, der angibt, ob die letzten Ausführungen mit der Baseline übereinstimmen (fehlerfrei) oder eine Abweichung aufweisen (Abweichung erkannt).
Korrelationsfenster: Der 12-stündige Zeitraum nach einer Ausführung, in dem das System nach zugehörigen Ereignissen und Erkennungen sucht und diese verknüpft. Dies basiert auf der Ereignisfiltervorlage in den Metadaten der ausgeführten Aktion.
Zeitüberschreitung für Monitoring: Die maximale Dauer, die das System nach einer Ausführung auf Ereignisse und Erkennungen wartet, um sie zu korrelieren, bevor der endgültige Abweichungsstatus ausgewertet wird. Dieses Zeitlimit gilt innerhalb des größeren 12-Stunden-Korrelationsfensters. Die erwarteten Ergebnisse müssen vor Erreichen dieses Monitor-Timeouts beobachtet werden, damit der Monitor als erfolgreich gilt. Wenn die Prüfungen vor diesem Zeitlimit nicht erfolgreich sind, markiert das System den Monitor als
failed. Diese Dauer beträgt standardmäßig 8 Stunden, kann aber zwischen 15 Minuten und 10 Stunden konfiguriert werden.
Hinweis
Prüfen Sie, ob die folgenden Einstellungen und Berechtigungen vorhanden sind.
Erforderliche Einrichtungsschritte
Folgendes muss eingerichtet sein:
Für Ihren Mandanten muss die Sicherheitsvalidierung aktiviert sein.
Die Sicherheitsvalidierung funktioniert nur mit selbstverwalteten Projekten.
Sie benötigen ein oder zwei Google Cloud -Projekte. Sie können zwar dasselbe Projekt für die Ausführung und das Targeting verwenden, wir empfehlen jedoch, separate Projekte zu verwenden, um die Sicherheit zu erhöhen, Ihre Tests sauber zu halten und die Verwaltung Ihrer Einrichtung zu vereinfachen.
Ausführungsprojekt: Security Validation führt Ihre Sicherheitstests im Ausführungsprojekt aus. Dazu werden Cloud Run und Cloud Storage verwendet. Diese Jobs und Buckets sind nur für die Verwendung durch den Validierungsdienst vorgesehen. Andere Nutzer sollten keinen Zugriff darauf erhalten.
Die Cloud Run API, die Resource Manager API und die IAM API müssen in diesem Projekt aktiviert sein. Außerdem benötigen Sie die Berechtigungen
resourcemanager.projects.SetIamPolicy,storage.buckets.SetIamPolicy,storage.buckets.createundstorage.buckets.delete, um einen Sicherheitsvalidierungskontext dafür zu erstellen. Eine Liste der Rollen, die diese Berechtigung gewähren, finden Sie in der Referenz für IAM-Berechtigungen.Zielprojekt: Das Projekt, in dem die API-Aufrufe des Aktionsskripts für die Sicherheitsvalidierung ausgeführt werden. Der Erfolg von Aktionen hängt davon ab, ob die von den Aktionen verwendeten erforderlichen APIs in diesem Projekt aktiviert sind und ob die Dienstkonten im Kontext der Sicherheitsvalidierung die erforderlichen Berechtigungen haben.
Dienstkonten: Erfordert ein oder mehrere Dienstkonten im Ausführungsprojekt. Diese Konten führen die Aktionsskripts aus. Alle Nutzer, die eine Aktion mit einem bestimmten Kontext ausführen müssen, benötigen die Berechtigung
iam.serviceAccounts.actAsfür die Dienstkonten in diesem Kontext.
Erforderliche Berechtigungen
Weisen Sie eine der folgenden vordefinierten Rollen in Ihrem SecOps-Instanzprojekt zu.
chronicle.viewer: Lesezugriff auf Security Validation-Aktionen, ‑Kontexte, ‑Jobs und ‑Ausführungsressourcen.chronicle.editor: Enthält alleviewer-Berechtigungen sowie die Möglichkeit, Kontexte und Jobs für die Sicherheitsvalidierung zu erstellen, zu aktualisieren, auszuführen und zu löschen.chronicle.admin: Enthält alleeditor-Berechtigungen und die Möglichkeit, benutzerdefinierte Sicherheitsvalidierungsaktionen zu erstellen, zu aktualisieren und zu löschen (nur API).
Wenn Sie die oben aufgeführten vordefinierten Rollen nicht verwenden, können Sie entsprechende Berechtigungen mit einer benutzerdefinierten Rolle oder durch Zuweisen der Rolle chronicle.securityValidationAdmin gewähren, die dieselben Berechtigungen wie chronicle.admin enthält.
Weitere Informationen finden Sie unter Erforderliche Rollen.
Kontinuierliche Sicherheitsvalidierung implementieren
Die Validierung Ihres Sicherheitsstatus erfolgt in mehreren Schritten:
Umgebung definieren
Simulationen ausführen, um eine Baseline zu erstellen
Automatisieren der Simulationen, um Abweichungen zu erkennen.
Dieser Workflow sorgt dafür, dass Ihre Sicherheitskontrollen auch bei einer Weiterentwicklung Ihrer Umgebung wirksam bleiben.
Security Validation-Kontext erstellen
Ein Security Validation-Kontext richtet die Umgebung für Ihre Sicherheitstests ein. Darin wird angegeben, welches Projekt verwendet werden soll, mit welchem Konto der Test ausgeführt werden soll und alle anderen Details, die für Ihre Aktionen erforderlich sind. Sie können denselben Kontext für verschiedene Aktionen wiederverwenden.
So erstellen Sie einen Sicherheitsvalidierungskontext:
Rufen Sie Security Validation auf und gehen Sie zum Tab Ausführungskontexte.
Klicken Sie auf Ausführungskontext hinzufügen.
Führen Sie im Dialogfeld Ausführungskontext hinzufügen die folgenden Schritte aus:
Geben Sie unter Grundlegende Eigenschaften den Kontextnamen und die Beschreibung ein und klicken Sie auf Weiter.
Geben Sie unter Umgebungseinstellungen die Projekt-ID von Google Cloud , das Ausführungsdienstkonto und das Bereinigungsdienstkonto ein. Klicken Sie auf Weiter.
Wir empfehlen, separate Dienstkonten für
action profile(zum Ausführen von Aktionsskripts) und fürsetup/cleanup profile(zum Ausführen der Einrichtungs- und Bereinigungsskripts, die Teil einiger Aktionen sind) zu verwenden. Diesen Dienstkonten können im Zielprojekt unterschiedliche Berechtigungen zugewiesen werden.Fügen Sie unter Laufzeitvariablen eine oder mehrere Variablen hinzu, um Standardparameter dynamisch zu überschreiben. Fügen Sie Schlüssel/Wert-Paare hinzu, wobei
keyder Parametername undvalueder Überschreibungswert ist.Klicken Sie auf Erstellen.
Aktion zur Sicherheitsprüfung ausführen
So führen Sie eine Sicherheitsvalidierungsaktion für einen Sicherheitsvalidierungskontext aus:
Rufen Sie Sicherheitsvalidierung auf und gehen Sie zum Tab Inhaltsbibliothek.
Wählen Sie eine Aktion aus und klicken Sie auf Ausführen.
Wählen Sie im Dialogfeld den von Ihnen erstellten Ausführungskontext aus und klicken Sie auf Jetzt ausführen.
Eine neue Ausführung wird erstellt und auf dem Tab Ausführungsverlauf angezeigt.
Security Validation-Monitore verwalten
Mit der Monitoring-Funktion können Sie erfolgreiche Aktionen automatisch wiederkehrend ausführen lassen. Sie ermöglicht ein kontinuierliches Monitoring des Sicherheitsstatus ohne manuelles Eingreifen.
Monitor erstellen
Sie können einen Monitor nur aus einer erfolgreich abgeschlossenen Ausführung erstellen. So erstellen Sie einen Monitor aus einer Ausführung:
Rufen Sie Sicherheitsvalidierung auf und gehen Sie zum Tab Ausführungsverlauf.
Klicken Sie auf die Ausführungs-ID einer Ausführung und dann auf Monitor erstellen.
Optional: Geben Sie im Fenster Monitor erstellen einen Namen für den Monitor ein.
Wenn Sie keinen Monitor-Namen eingeben, wird der Monitor über eine Monitor-ID referenziert.
Sehen Sie sich die in diesem Fenster angezeigten Ausführungsdetails der Referenz an.
Klicken Sie auf Weiter.
Konfigurieren Sie die Monitoreinstellungen.
Sie können einen Monitor entweder zu bestimmten Zeiten oder stündlich ausführen.
So führen Sie den Monitor zu bestimmten Zeiten aus:
Wählen Sie im Drop-down-Menü Zeit die Option Zu bestimmter Zeit ausführen aus.
Geben Sie die Uhrzeit im Textfeld daneben an.
Wählen Sie unter Tage eine der folgenden Optionen aus:
Täglich: Wird jeden Tag zur angegebenen Zeit ausgeführt.
Wochentage: Wird nur an ausgewählten Tagen (z. B. Mo, Mi, Fr) zur angegebenen Zeit ausgeführt.
Tag des Monats: Wird einmal im Monat am angegebenen Tag (z. B. am 15.) zur angegebenen Uhrzeit ausgeführt.
Wählen Sie im Drop-down-Menü Monate entweder Monatlich (um jeden Monat ausgeführt zu werden) oder Bestimmte Monate aus, um die genauen Monate anzugeben, in denen der Monitor ausgeführt werden soll (z. B. Januar, April, Juli).
Wählen Sie im Drop-down-Menü Zeitzone die gewünschte Zeitzone aus. In diesem Feld wird standardmäßig die Zeitzone verwendet, die in Ihren Nutzereinstellungen festgelegt ist (die von Ihren Browsereinstellungen abweichen kann). Sie können diese Standardeinstellung unter Profil > Nutzereinstellungen > Lokalisierung > Zeitzone finden oder ändern.
Klicken Sie auf Weiter.
So führen Sie den Monitor stündlich aus:
Wählen Sie im Drop-down-Menü Zeit die Option Stündlich wiederholen aus.
Legen Sie die Wiederholungshäufigkeit des Monitorzyklus im Feld Stunde(n) und die genaue Minute im Feld Minute(n) fest. Wenn Sie beispielsweise 1 Stunde und 30 Minuten festlegen, wird der Monitor jede Stunde 30 Minuten nach der vollen Stunde ausgeführt (er wird NICHT alle 90 Minuten ausgeführt).
Wählen Sie unter Öffnungszeiten eine der folgenden Optionen aus:
Alle Stunden des Tages: Der Monitor wird rund um die Uhr, jede Stunde des Tages, basierend auf der angegebenen Häufigkeit ausgeführt.
Start- und Endzeit:Der Monitor wird nur innerhalb des angegebenen Zeitraums ausgeführt (z. B. zwischen 8:00 und 17:00 Uhr).
Wählen Sie unter Tage eine der folgenden Optionen aus:
Täglich: Wird jeden Tag zur angegebenen Zeit ausgeführt.
Wochentage: Wird nur an ausgewählten Tagen (z. B. Mo, Mi, Fr) zur angegebenen Zeit ausgeführt.
Tag des Monats: Wird einmal im Monat am angegebenen Tag (z. B. am 15.) zur angegebenen Uhrzeit ausgeführt.
Wählen Sie im Drop-down-Menü Monate entweder Monatlich (um jeden Monat ausgeführt zu werden) oder Bestimmte Monate aus, um die genauen Monate anzugeben, in denen der Monitor ausgeführt werden soll (z. B. Januar, April, Juli).
Wählen Sie im Drop-down-Menü Zeitzone die gewünschte Zeitzone aus. In diesem Feld wird standardmäßig die Zeitzone verwendet, die in Ihren Nutzereinstellungen festgelegt ist (die von Ihren Browsereinstellungen abweichen kann). Sie können diese Standardeinstellung unter Profil > Nutzereinstellungen > Lokalisierung > Zeitzone finden oder ändern.
Klicken Sie auf Weiter.
Aktivieren oder deaktivieren Sie unter Erwartete Ergebnisse die gewünschten Bedingungen. Sie müssen mindestens eine Bedingung auswählen.
Ergebnis der Aktion entspricht der Referenz: Es wird geprüft, ob der Ausführungsstatus, das Ergebnis und der Grund für das Ergebnis mit der Referenz übereinstimmen. Alle drei Parameter müssen übereinstimmen, damit die Prüfung als „true“ ausgewertet wird.
Korrelierte Ereignisprodukte stimmen mit Referenz überein:
Gruppiert korrelierte Ereignisse nach Produkt.
Prüft, ob die aktuelle Ausführung mindestens ein Ereignis für jedes in der Referenz aufgeführte Produkt enthält.
Bei der Prüfung werden Ereignisse von Produkten ignoriert, für die in der Referenz keine Ereignisse vorhanden sind.
Der Wert wird mit
falseausgewertet, wenn Ereignisse, die der Referenz entsprechen, nicht vor der Zeitüberschreitung eintreffen.
Benachrichtigungen korrelierter Erkennungsregeln stimmen mit der Referenz überein:
Gruppiert Erkennungen nach Regel und Benachrichtigungsstatus.
Prüft, ob die aktuelle Ausführung mindestens eine Erkennung aus einer Regel hat, die in der Baseline-Ausführung Erkennungen hat.
Ignoriert Erkennungen von Regeln, die in der Referenzausführung keine Erkennungen haben.
Wird mit
falseausgewertet, wenn vor dem Zeitlimit keine Erkennungen eingehen, die mit der Referenz übereinstimmen.
Klicken Sie auf Erstellen, um den Monitor zu erstellen.
Monitor ansehen und ausführen
So rufen Sie einen erstellten Monitor auf:
Rufen Sie Sicherheitsvalidierung auf und gehen Sie zum Tab Monitore. Einige Spalten sind standardmäßig ausgeblendet. Klicken Sie auf Spaltenmanager, um die Sichtbarkeit der Spalten zu verwalten.
Suchen Sie den gewünschten Monitor in der Liste.
Klicken Sie auf den Link für den Monitor, um die Detailseite des Monitors zu öffnen.
Klicken Sie auf Jetzt ausführen, um den Monitor auszuführen.
Die Monitor-Detailseite bietet eine zentrale, allgemeine Übersicht über den Monitor. So können Sie den Gesamtstatus und Zustand eines Monitors auf einen Blick beurteilen. Sie enthält die folgenden wichtigen Informationen zum Monitor:
Google Health-Zusammenfassung
Die folgenden Messwertkarten bieten einen allgemeinen Überblick über die Stabilität des Monitors:
Zustand des Monitors: Zeigt den aktuellen Zustand basierend auf der letzten Ausführung mit einem abgeschlossenen Monitorergebnis (z. B.
Healthy) und die Dauer an, die dieser Zustand beibehalten wurde.Letztes fehlerfreies oder fehlerhaftes Ergebnis: Verweist auf die letzte Ausführung, die von der Baseline abgewichen ist.
Aktualität der Ergebnisse: Zeigt die Zeit an, die seit der letzten Ausführung mit einem abgeschlossenen Monitorstatus vergangen ist.
Erwartete Ergebnisse
In diesem Abschnitt werden die Erfolgskriterien definiert, die aus der Baseline-Ausführung abgeleitet wurden.
Ergebnis und Grund der Aktion: Das Ergebnis und der Grund der Aktion, die mit der Referenzausführung übereinstimmen (z. B.
NOT_BLOCKEDmit einem zugehörigen Grund).Produkte, die Ereignisse generiert haben: Die Liste der Produkte für korrelierte Ereignisse, die mit der Referenzausführung übereinstimmen.
Erkennungsregeln für Benachrichtigungen: Die Liste der korrelierten Erkennungsregeln für Benachrichtigungen, die mit der Referenzausführung übereinstimmen.
In der Tabelle Monitorergebnisse werden alle Ausführungen für den Monitor angezeigt. Die Tabelle unterstützt Textsuche, Filterung und Spaltenkonfiguration.
Monitor aktivieren oder deaktivieren
So aktivieren oder deaktivieren Sie einen Monitor:
Rufen Sie Sicherheitsvalidierung auf und gehen Sie zum Tab Monitore.
Klicken Sie auf den Schalter Status, um einen Monitor zu aktivieren oder zu deaktivieren. Alternativ können Sie auf der Seite Monitordetails auf Monitor pausieren oder Monitor neu starten klicken, um den Status zu ändern.
Monitor ändern oder löschen
So ändern oder löschen Sie einen Monitor:
Rufen Sie Sicherheitsvalidierung auf und gehen Sie zum Tab Monitore.
Klicken Sie im Monitor, den Sie ändern möchten, auf das Menü .
Klicken Sie auf Monitor bearbeiten, um den Monitor zu ändern, oder auf Monitor löschen, um den Monitor zu löschen. Sie können auch auf der Seite Monitordetails auf Monitor bearbeiten klicken, um ihn zu ändern.
Klicken Sie auf Aktualisieren oder Bestätigen, um die Änderungen zu übernehmen.
Monitorergebnisse prüfen
So rufen Sie alle Ausführungen eines Monitors auf:
Rufen Sie Sicherheitsvalidierung auf und gehen Sie zum Tab Monitore.
Klicken Sie im Monitor auf das Menü .
Klicken Sie auf Alle Ergebnisse ansehen. Die Seite Ausführungsverlauf wird angezeigt.
Die Ausführungen werden so gefiltert, dass alle Ausführungen angezeigt werden, die mit diesem bestimmten Monitor verknüpft sind.
Ergebnisse der letzten Ausführung anzeigen
So rufen Sie die Ergebnisse der letzten Ausführung eines Monitors auf:
Rufen Sie Sicherheitsvalidierung auf und gehen Sie zum Tab Monitore.
Klicken Sie im Monitor auf das Menü .
Klicken Sie auf Ergebnisse der letzten Ausführung ansehen, um die Ausführungsdetails zu öffnen.
Das System zeigt die Details der letzten Ausführung für diesen Monitor an.
Ausführungsergebnisse prüfen
Die von Ihnen ausgeführte Security Validation-Aktion können Sie auf dem Tab Ausführungsverlauf einsehen. So prüfen Sie die Ausführungsergebnisse:
Rufen Sie Security Validation auf und gehen Sie zum Tab Ausführungsverlauf, um den Ausführungsstatus zu überwachen.
In der Spalte Ausführungsstatus wird angezeigt, ob die Ausführung erfolgreich war oder ein Fehler aufgetreten ist. Wenn die Aktion erfolgreich war, können Sie die generierten Ereignisse und Erkennungen, die durch die Aktion zur Sicherheitsvalidierung ausgelöst wurden, in Google SecOps ansehen.
Klicken Sie auf die Ausführungs-ID, um die Ausführungsdetails aufzurufen.
Auf der Seite Details zur Aktionsausführung finden Sie den Status, das Ergebnis und eine detaillierte Analyse einer Validierungsaktion. Auf dieser Seite können Sie Ihren Sicherheitsstatus validieren, indem Sie sich ansehen, welche Erkennungsregeln durch die Aktivität der Aktion ausgelöst wurden.
Unter Korrelationsfortschritt wird der Echtzeitfortschritt des Korrelationsworkflows für eine Ausführung angezeigt. Während die Korrelation ausgeführt wird, kann sich die Gesamtzahl der Ereignisse erhöhen, bis die Aufgabe abgeschlossen ist.
Tabelle „Korrelierte Regeln“ analysieren
In der Tabelle Korrelierte Regeln sind die Erkennungsregeln aufgeführt, die während der Ausführung der Aktion ausgelöst wurden, einschließlich benutzerdefinierter und kuratierter Regeln.
In der Tabelle werden sowohl benutzerdefinierte als auch kuratierte Regeln angezeigt. Sie enthält zwei Gruppen: * Regeln, die explizit in den Metadaten der Aktion definiert sind * Zusätzliche Regeln, die durch korrelierte Ereignisse ausgelöst werden
So können Sie feststellen, welche Regeln wie erwartet funktioniert haben und welche Regeln möglicherweise genauer untersucht werden müssen.
Die Tabelle hat folgende Spalten:
Regelname: Name der Erkennungsregel. Klicken Sie auf den Regelnamen, um die Regeldefinition und den Erkennungsverlauf aufzurufen.
Anzahl der Erkennungen:Anzahl der von der Regel ausgelösten Erkennungen. Der Wert
0bedeutet, dass keine übereinstimmenden Ereignisse gefunden wurden.Erkennungen: Link zur Seite Erkennungen, auf der die ausgelösten Erkennungen aus dieser Ausführung angezeigt werden.
Mit Aktion verknüpft: Gibt an, ob die Regel Teil der Metadaten der Aktion war:
Ja: Die Metadaten der Aktion enthalten die Regel. Das System erwartet, dass sie ausgelöst wird, wenn die Aktion ausgeführt wird.
Nein:Die Metadaten dieser Aktion enthalten die Regel nicht, aber ihre Logik stimmte mit den generierten Ereignissen überein und hat sie ausgelöst.
In dieser Tabelle finden Sie die Ergebnisse:
| Spalte „Mit Aktion verknüpft“ | Spalte für die Anzahl der Erkennungen | Bedeutung |
|---|---|---|
YES
|
1 oder mehr
|
Erfolg: Eine erwartete Regel hat mindestens eine Erkennung ausgelöst. |
NO
|
1 oder mehr
|
Durch die Aktivität wurde eine unerwartete Regel ausgelöst. |
YES
|
0
|
Eine erwartete Regel hat keine Erkennungen ausgelöst. |
Korrelierte Ereignisse analysieren
Nachdem Sie eine Sicherheitsvalidierungsaktion ausgeführt haben, können Sie anhand der korrelierten Ereignisse beurteilen, wie Ihre Umgebung und Ihre Sicherheitskontrollen auf die simulierte Bedrohung reagiert haben.
Ihre Analyse umfasst zwei Komponenten: einen Echtzeitstatus des Korrelationsworkflows und eine detaillierte Tabelle aller generierten Ereignisse.
Der Status der Ereigniskorrelation zeigt den aktuellen Workflowstatus als einen der folgenden an:
Wird ausgeführt: Das System sucht aktiv nach korrelierten Ereignissen.
Abgeschlossen:Alle Aktivitäten zur Ereigniskorrelation wurden erfolgreich abgeschlossen.
Fehler: Im Korrelationsworkflow ist ein Fehler aufgetreten und er konnte nicht abgeschlossen werden.
Korrelationsworkflow abgeschlossen um gibt eine Zeitschätzung an, wann die Korrelation voraussichtlich abgeschlossen ist oder abgeschlossen wurde.
In der Ereignistabelle sind alle Ereignisse aufgeführt, die durch die Aktion generiert wurden. Verwenden Sie diese Daten, um einzelne Antworten in Ihrer Umgebung und Sicherheitskontrollen zu analysieren.
Die Tabelle hat folgende Spalten:
Ereignis: Ereignis-ID. Klicken Sie, um die Ereignisdetails in der UDM-Suche aufzurufen.
Ereigniszeitstempel: Zeitpunkt, zu dem das Ereignis auf dem Quellsystem (z. B. dem Server oder der Firewall) aufgetreten ist.
Beobachteter Zeitstempel: Zeitpunkt, zu dem der Security Validation-Dienst das Ereignis gefunden und mit der Ausführung korreliert hat.
Produkt: Produkt, das das Ereignis generiert hat.
Sicherheitsergebnisaktion: Ergebnis des Ereignisses (
BlockedoderNot blocked), basierend auf dem Feldsecurity_result.actiondes UDM-Ereignisses.
Aktionen können auf Regionen außerhalb der Google SecOps-Instanz, in der sie ausgeführt werden, ausgerichtet sein. In den Ausführungsergebnissen werden Logs angezeigt, die vom Ausführungsprojekt abgerufen wurden.
Zugriff auf erweiterte Assets und Referenzen
In den folgenden Assets finden Sie Konfigurationsbeispiele und Referenzdatenabgleiche.
Beispielimplementierung: Zugriffstoken mit signJWT generieren
Hier ein Beispiel für die Aktion „Zugriffstoken mit der Berechtigung signJWT generieren“. In diesem Beispiel wird davon ausgegangen, dass Sie bereits einen Sicherheitsvalidierungskontext eingerichtet haben und die Aktion in diesem Kontext ausführen. Die Aktion sollte Cloud-Audit-Logs generieren und die Bedrohungserkennungsregel „Zugriffstoken-Generierung mit signJWT“ auslösen.
Folgende Einrichtung ist erforderlich:
Aktivierte APIs: Die IAM-Dienstkonto-Anmeldedaten-API muss sowohl im Ziel- als auch im Ausführungsprojekt aktiviert sein.
Dienstkontoberechtigungen: Das im Feld
profiledes Sicherheitsvalidierungskontexts angegebene Dienstkonto muss im Zielprojekt die Berechtigungiam.serviceAccounts.signJwthaben. Diese kann über die Rolle „Ersteller von Dienstkonto-Tokens“ (roles/iam.serviceAccountTokenCreator) gewährt werden. Diese Rolle kann entweder für das Projekt oder das Zieldienstkonto gewährt werden (für diese Aktion ist das das Compute Engine-Standarddienstkonto des Zielprojekts).IAM-Audit-Logging: Das IAM-Audit-Logging (
ADMIN_READ) muss im Zielprojekt aktiviert sein, um die durch diese Aktion generierten Ereignisse zu erfassen.Benutzerdefinierter Exportfilter: Damit die von dieser Aktion generierten Ereignisse über die SecOps- Google Cloud -Aufnahme aufgenommen werden können, muss ein benutzerdefinierter Exportfilter festgelegt werden, der
log_id("cloudaudit.googleapis.com/data_access")enthält.Regelsatz: Der Regelsatz „Cloud Threats“ -> „[Google Cloud] IAM Abuse“ muss aktiviert und auf „Benachrichtigung“ festgelegt sein, damit Erkennungen in der Such- und Untersuchungsansicht angezeigt werden.
Beispiele für die Planung von Monitoren
Verwenden Sie diese Beispiele als Referenz, wenn Sie wiederkehrende Zeitpläne für das kontinuierliche Monitoring konfigurieren.
| Konfiguration | Wann der Ablauf ausgeführt wird |
|---|---|
| Uhrzeit: Zu einer bestimmten Uhrzeit ausführen (22:00 Uhr) Tage: Wochentage (Montag) Monate: Monatlich Zeitzone: EST |
Wird jeden Montag um 22:00 Uhr Eastern Standard Time ausgeführt. |
| Zeit: Zu einer bestimmten Zeit ausführen (01:00) Tage: Tag des Monats (1) Monate: Angeben (Jan, Apr, Jul, Okt) Zeitzone: PST |
Wird am ersten Tag im Januar, April, Juli und Oktober um 1:00 Uhr Pacific Standard Time ausgeführt. |
| Zeit: Ausführung zu einer bestimmten Zeit (14:00) Tage: Täglich Monate: Monatlich Zeitzone: UTC |
Wird täglich um 14:00 Uhr koordinierte Weltzeit ausgeführt. |
| Zeit: Zu einer bestimmten Zeit ausführen (09:30) Tage: Tag des Monats (15) Monate: Angeben (Feb, Apr, Jun, Aug, Okt, Dez) Zeitzone: EST |
Wird am 15. Tag jedes zweiten Monats (Februar, April, Juni, August, Oktober, Dezember) um 9:30 Uhr Eastern Standard Time ausgeführt. |
|
Zeit: Stündlich wiederholen Intervall: Jede Stunde Stunden: Alle Stunden |
Wird ununterbrochen ausgeführt. Wird genau zu Beginn jeder Stunde ausgeführt, 24 Stunden am Tag (z. B. 1:00, 2:00, 3:00 usw.). |
|
Zeit: Stündlich wiederholen Intervall: Alle 4 Stunden Stunden: Start- und Endzeit (22:00 Uhr bis 6:00 Uhr) |
Wird nur über Nacht ausgeführt. Wird um 22:00 Uhr, 2:00 Uhr und 6:00 Uhr ausgeführt, um den Serverstatus in Zeiten mit geringem Traffic zu erfassen. |
Fehlerbehebung
Latenz und Limits
Die Ergebnisse für neu ausgelöste Monitorausführungen werden aufgrund des Korrelationsfensters nicht sofort mit Erkennungs- und Ereignisdaten gefüllt.
Fehlerbehebung
| Fehler | Problembeschreibung | Korrigieren |
|---|---|---|
| IAM-Berechtigungsfehler | Berechtigung iam.serviceaccounts.actAs für Dienstkonto verweigert.
|
Wenn Sie den Kontext kurz vor dem Ausführen der Aktion erstellt oder aktualisiert haben, warten Sie einige Minuten und versuchen Sie es dann noch einmal. IAM-Änderungen sind konsistent, es kann jedoch einige Zeit dauern, bis Rollenzuweisungen im gesamten System übernommen werden. Prüfen Sie, ob die Identität, die die Aktion ausführt, die Berechtigung „iam.serviceaccounts.actAs“ für das angegebene Dienstkonto hat. |
Validierung und Tests
Wenn Sie prüfen möchten, ob Ihr Monitor richtig konfiguriert ist, ohne auf das nächste geplante Intervall zu warten, verwenden Sie die Schaltfläche Jetzt ausführen auf der Detailseite des Monitors. Aktualisieren Sie die Seite, nachdem das Korrelationsfenster abgelaufen ist, um den Ausführungsstatus zu prüfen.