Anreicherungsblöcke verwalten

In diesem Dokument wird erläutert, wie Sie mit Anreicherungsblöcken die Datenanreicherung detailliert steuern können. Beim standardmäßigen Anreicherungsprozess werden Kontextdaten aus verschiedenen Quellen verwendet, die Daten analysiert und UDM-Felddaten (Unified Data Model) gemäß interner Logik überschrieben. Der Standardprozess funktioniert in der Regel wie erwartet. In bestimmten Fällen kann das Überschreiben der UDM-Felddaten jedoch zu unerwartetem Verhalten führen, z. B. zum fälschlichen Auslösen von Regeln der Erkennungs-Engine.

Anreicherungsblöcke konfigurieren und ansehen

Nur Google Security Operations-Nutzer mit den Berechtigungen Chronicle-Administrator und Bearbeiter können Anreicherungsblöcke konfigurieren. Alle Google SecOps-Nutzer können die Oberfläche Anreicherungsblöcke aufrufen.

Für die grundlegende Konfiguration eines Anreicherungsblocks sind drei aufeinanderfolgende Parameter erforderlich: Anreicherungstyp, Ziellogtyp und Quelle. Die für Ziellogtyp verfügbaren Optionen hängen vom ausgewählten Anreicherungstyp ab. Die für Quelle verfügbaren Optionen hängen vom ausgewählten Ziellogtyp ab.

Anreicherungsblöcke können nicht gelöscht werden.

Anreicherungsblöcke können aktiviert, deaktiviert und wieder aktiviert werden.

Das Dialogfeld Anreicherungsblöcke enthält die Tabs Aktivierte Blöcke und Deaktivierte Blöcke. In den Tabellen auf beiden Tabs werden die grundlegenden Konfigurationsparameter des Anreicherungsblocks, das UTC-Datum, an dem der Block zuletzt aktiviert wurde, und der (optionale) vom Nutzer angegebene Grund für den Block angezeigt. Die Tabelle auf dem Tab Deaktivierte Sperren enthält das UTC-Datum, an dem die Sperre deaktiviert wurde.

Überarbeitete Zeitlogik des Anreicherungsblocks

Eine Änderung des Status eines Anreicherungsblocks wird innerhalb von 5–10 Minuten wirksam.

Der wichtigste Effekt beim Aktivieren oder Deaktivieren eines Blocks ist die synchronisierte Startzeit:

  • Sperre aktivieren (Anreicherung aufheben): Google SecOps hebt die Anreicherung aller zugehörigen Felder ab 00:00:00 Uhr UTC des aktuellen Datums auf und setzt dies fort.

  • Sperre deaktivieren (erneute Anreicherung): Google SecOps reichert alle zugehörigen Felder ab 00:00:00 Uhr UTC des aktuellen Datums neu an und setzt die Anreicherung fort.

Beispiel: Am Dienstag, dem 16. September, um 23:59:59 Uhr UTC aktivieren Sie einen Anreicherungsblock. Google SecOps entfernt die Anreicherung aller zugehörigen angereicherten Felder ab Dienstag, 16. September, 0:00:00 Uhr UTC und setzt die Anreicherungssperre auch in Zukunft um. Am Mittwoch, den 17. September, um 09:00:00 Uhr UTC deaktivieren Sie die Anreicherungssperre. Google SecOps reichert alle zugehörigen Felder ab Mittwoch, 17. September, 0:00:00 Uhr UTC neu an und reichert alle relevanten Daten auch in Zukunft an.

Anreicherungsblock erstellen und aktivieren

So erstellen und aktivieren Sie einen Anreicherungsblock:

  1. Gehen Sie zu Einstellungen > Erkennung > Anreicherungsblöcke.

  2. Nehmen Sie folgende Einstellungen vor:

    1. Wählen Sie in der Liste Anreicherungstyp eine der folgenden Optionen aus:

      • Alle Typen. Gilt für alle Elemente in der Liste, die basierend auf den von Google SecOps aufgenommenen Daten- und Logtypen ausgefüllt wird.
      • Asset. Wenn sie sich nicht im Anreicherungsblock befindet, bewirkt diese Option Folgendes:
        • Extrahiert Felder wie hostname, asset_id, mac, ip (wenn asset_id leer ist).
        • Reichert Felder an, die alles unter Asset (z. B. hostname, asset_id, mac oder ip) aus Noun enthalten.
        • Verwendet Anreicherungsquellen wie DHCP und Asset Context (z. B. Tanium Asset oder CrowdStrike).
      • GeoIP. Wenn sie sich nicht im Anreicherungsblock befindet, bewirkt diese Option Folgendes:
        • Extrahiert Felder wie ip, wenn sie öffentlich oder routingfähig sind.
        • Reichert Felder an, die artifact.ip, artifact.location, artifact.network, location enthalten.
        • Verwendet Anreicherungsquellen aus dem Google GeoIP-Dienst.
      • Google Threat Intel. Wenn sie sich nicht im Anreicherungsblock befindet, bewirkt diese Option Folgendes:
        • Extrahiert relevante Felder.
        • Reichert die Felder File oder process.file an.
        • Verwendet Anreicherungsquellen aus VirusTotal-Dateimetadaten.
      • Verarbeiten. Wenn sie sich nicht im Anreicherungsblock befindet, bewirkt diese Option Folgendes:
        • Extrahiert Felder wie process.product_specific_process_id.
        • Reichert Felder an, einschließlich aller Felder unter Process.
        • Verwendet Anreicherungsquellen wie EDR-Logs (z. B. von CrowdStrike oder SentinelOne).
      • Nutzer. Wenn sie sich nicht im Anreicherungsblock befindet, bewirkt diese Option Folgendes:
        • Extrahiert Felder wie user.email_addresses, user.userid, user.windows_sid, user.employee_id, user.product_object_id.
        • Reichert Felder an, die alles unter User enthalten.
        • Verwendet Anreicherungsquellen wie Nutzerkontextprotokolle (z. B. von Workday oder Windows AD).

    2. Wählen Sie in der Liste Ziellogtyp die erforderliche Option aus, die vom ausgewählten Anreicherungstyp abhängt. Beispiele für Optionen sind Alle Typen, Windows_Sysmon, CB_EDR und BRO_JSON.

    3. Wählen Sie in der Liste Quelle die gewünschte Option aus. Die verfügbaren Optionen hängen vom ausgewählten Ziel-Logtyp ab. Beispiele für Optionen sind Alle Typen, INFOBLOX_DHCP, WINDOWS_AD und VIRUSTOTAL_FILE_METADATA.

  3. Klicken Sie auf Block aktivieren, um das Dialogfeld Block aktivieren zu öffnen und die Konfiguration aus den vorherigen Schritten aufzurufen.

  4. Optional: Geben Sie im Feld Grund für die Blockierung den Grund für die Blockierung der Anreicherung ein.

  5. Lesen Sie sich die Informationen durch und klicken Sie dann auf Sperre aktivieren. In der Tabelle Aktivierte Blöcke wird eine Zeile für den aktivierten Anreicherungsblock angezeigt.

    Nach etwa 5–10 Minuten implementiert Google SecOps die Anreicherungssperre (d. h. alle zugehörigen angereicherten Felder werden nicht mehr angereichert) ab 0:00:00 Uhr des aktuellen Datums (UTC) und für die Zukunft. Danach sollten Sie prüfen, ob die Ergebnisse Ihren Erwartungen entsprechen.

Anreicherungsblock deaktivieren

So deaktivieren Sie einen Anreicherungsblock:

  1. Gehen Sie zu Einstellungen > Erkennung > Anreicherungsblöcke.
  2. Suchen Sie auf dem Tab Aktivierte Blöcke nach dem Anreicherungsblock, klicken Sie in dieser Zeile auf Mehr und wählen Sie Block deaktivieren aus. Ein Bestätigungsdialogfeld wird geöffnet.

  3. Überprüfen Sie die Informationen und klicken Sie auf Blockierung deaktivieren. In der Tabelle Deaktivierte Blöcke wird eine Zeile für den deaktivierten Anreicherungsblock angezeigt und die entsprechende Zeile wird aus der Tabelle Aktivierte Blöcke entfernt.

    Nach etwa 5–10 Minuten werden in Google SecOps alle zugehörigen Felder ab 0:00:00 Uhr (UTC) des aktuellen Datums neu angereichert. Danach sollten Sie prüfen, ob die Ergebnisse Ihren Erwartungen entsprechen.

Anreicherungsblock wieder aktivieren

So aktivieren Sie einen Anreicherungsblock wieder:

  1. Gehen Sie zu Einstellungen > Erkennung > Anreicherungsblöcke.
  2. Suchen Sie auf dem Tab Deaktivierte Blöcke den Anreicherungsblock, klicken Sie in dieser Zeile auf Mehr und wählen Sie Block aktivieren aus. Ein Bestätigungsdialogfeld wird geöffnet.

  3. Überprüfen Sie die Informationen und klicken Sie auf Blockierung aktivieren. In der Tabelle Aktivierte Blöcke wird eine Zeile für den wieder aktivierten Anreicherungsblock angezeigt und die entsprechende Zeile wird aus der Tabelle Deaktivierte Blöcke entfernt.

    Nach etwa 5–10 Minuten implementiert Google SecOps die Anreicherungssperre (d. h. alle zugehörigen angereicherten Felder werden nicht mehr angereichert) ab 0:00:00 Uhr des aktuellen Datums (UTC) und für die Zukunft. Danach sollten Sie prüfen, ob die Ergebnisse Ihren Erwartungen entsprechen.

Beispielworkflow für einen Anreicherungsblock

In diesem Workflow wird gezeigt, wie Sie einen Anreicherungsblock verwenden, um eine Regel zu beheben, die fälschlicherweise durch unerwünschte Datenüberschreibungen ausgelöst wurde:

  1. Regel validieren: Sie erhalten eine Benachrichtigung und stellen fest, dass sie fälschlicherweise ausgelöst wurde. Sie bestätigen, dass die Regellogik korrekt ist. Sie ist kein Kandidat für einen Regelausschluss.
  2. Logquelle identifizieren: Sie prüfen die Benachrichtigung und stellen fest, dass die Triggerbedingungen durch ein CrowdStrike-Log erfüllt wurden.

  3. Anreicherungsquelle untersuchen: Verwenden Sie die Ereignisanzeige, um herauszufinden, welche externe Quelle das kritische Feld geändert hat. In den folgenden Schritten wird eine Möglichkeit zum Öffnen der Ereignisanzeige beschrieben. Es gibt aber auch andere Möglichkeiten:

    1. Rufen Sie in der Google SecOps-Konsole Erkennungen > Benachrichtigungen und IOCs auf.
    2. Wähle die fälschlicherweise ausgelöste Erkennung aus und gehe zum Ereignis.
    3. Klicken Sie auf den Zeitstempel des Ereignisses, um die Ereignisanzeige zu öffnen. Der Tab Ereignisfelder wird standardmäßig angezeigt. Jedes angereicherte Feld ist mit einem E gekennzeichnet. Wenn Sie den Knoten maximieren, werden die Anreicherungsquellen angezeigt.
    4. Maximieren Sie auf dem Tab Ereignisfelder den Knoten des problematischen angereicherten Felds, um die Quelle zu ermitteln. Sie erfahren, dass das Feld, das die Benachrichtigung ausgelöst hat, von Okta angereichert wurde.

  4. Anreicherungsblock erstellen und aktivieren: Erstellen und aktivieren Sie einen Anreicherungsblock, der User-Daten von Okta als Anreicherungsquelle in Ihren CrowdStrike-Logs deaktiviert.

  5. Lösung überprüfen: Warten Sie 5–10 Minuten, bis der Anreicherungsblock wirksam wird, und prüfen Sie dann, ob die Benachrichtigung nicht mehr fälschlicherweise ausgelöst wird.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten