Administra los bloques de enriquecimiento

En este documento, se explica cómo los bloques de enriquecimiento te brindan un control detallado sobre el proceso de enriquecimiento de datos. El proceso de enriquecimiento predeterminado usa datos contextuales de diferentes fuentes, analiza los datos y reemplaza los datos de los campos del modelo de datos unificado (UDM) según la lógica interna. Por lo general, el proceso predeterminado funciona según lo esperado. Sin embargo, en ciertos casos, reemplazar los datos del campo de UDM causa un comportamiento inesperado, como activar de forma incorrecta las reglas del motor de detección.

Nota: Para usar bloques de enriquecimiento, debes ser un usuario con acceso global para el RBAC de datos.

Configura y visualiza bloques de enriquecimiento

Solo los usuarios de Google Security Operations con privilegios de administrador de Chronicle y de editor pueden configurar bloques de enriquecimiento. Todos los usuarios de Google SecOps pueden ver la interfaz de bloques de enriquecimiento.

La configuración básica de un bloque de enriquecimiento requiere tres parámetros secuenciales: Tipo de enriquecimiento, Tipo de registro de destino y Fuente. Las opciones disponibles para Tipo de registro de destino dependen del Tipo de enriquecimiento seleccionado, y las opciones disponibles para Fuente dependen del Tipo de registro de destino seleccionado.

No puedes borrar un bloque de enriquecimiento.

Los bloques de enriquecimiento se pueden habilitar, inhabilitar y volver a habilitar.

El diálogo Bloques de enriquecimiento incluye las pestañas Bloques habilitados y Bloques inhabilitados. Las tablas de ambas pestañas muestran los parámetros de configuración básicos del bloqueo de enriquecimiento, la fecha UTC en la que se habilitó el bloqueo por última vez y el motivo (opcional) especificado por el usuario para el bloqueo. La tabla de la pestaña Bloqueos inhabilitados incluye la fecha UTC en la que se inhabilitó el bloqueo.

Se revisó la lógica de tiempo de bloqueo de enriquecimiento.

Los cambios en el estado de un bloque de enriquecimiento se aplican en un plazo de 5 a 10 minutos.

El efecto clave de habilitar o inhabilitar un bloque es su hora de inicio sincronizada:

• Habilitar un bloqueo (desenriquecimiento): Google SecOps desenriquece todos los campos asociados a partir de las 00:00:00 UTC de la fecha actual y continúa en el futuro.

• Inhabilitar un bloqueo (reenriquecimiento): Google SecOps vuelve a enriquecer todos los campos asociados a partir de las 00:00:00 UTC de la fecha actual y continúa enriqueciéndolos en el futuro.

Ejemplo: El martes 16 de septiembre, a las 23:59:59 UTC, habilitas un bloqueo de enriquecimiento. Google SecOps quita el enriquecimiento de todos los campos enriquecidos asociados a partir de las 0:00:00 del martes 16 de septiembre (UTC) y continúa implementando el bloqueo de enriquecimiento en el futuro. El miércoles 17 de septiembre a las 09:00:00 UTC, inhabilitas el bloqueo de enriquecimiento. Google SecOps vuelve a enriquecer todos los campos asociados desde las 0:00:00 del miércoles 17 de septiembre (UTC) y continúa enriqueciendo todos los datos pertinentes en el futuro.

Crea y habilita un bloque de enriquecimiento

Para crear y habilitar un bloque de enriquecimiento, haz lo siguiente:

1. Ve a Settings > Detection > Enrichment Blocks.

2. Configura lo siguiente:

   1. En la lista Tipo de enriquecimiento, selecciona una de las siguientes opciones:

      • Todos los tipos. Se aplica a todos los elementos de la lista, que se completa según los tipos de datos y registros que transfiere Google SecOps.
      • Recurso. Cuando no está en el bloque de enriquecimiento, esta opción hace lo siguiente:
        • Extrae campos, como hostname, asset_id, mac y ip (si asset_id está vacío).
        • Enriquece los campos que incluyen cualquier elemento en Asset (por ejemplo, hostname, asset_id, mac o ip) de Noun.
        • Usa fuentes de enriquecimiento, como DHCP y Asset Context (por ejemplo, Tanium Asset o CrowdStrike).
      • GeoIP. Cuando no está en el bloque de enriquecimiento, esta opción hace lo siguiente:
        • Extrae campos, como ip, si es público o enrutable.
        • Enriquece los campos que incluyen artifact.ip, artifact.location, artifact.network, location.
        • Usa fuentes de enriquecimiento del servicio de GeoIP de Google.
      • Google Threat Intel. Cuando no está en el bloque de enriquecimiento, esta opción hace lo siguiente:
        • Extrae los campos pertinentes.
        • Enriquece los campos File o process.file.
        • Usa fuentes de enriquecimiento de los metadatos de archivos de VirusTotal.
      • Proceso. Cuando no está en el bloque de enriquecimiento, esta opción hace lo siguiente:
        • Extrae campos, como process.product_specific_process_id.
        • Enriquece los campos, que incluyen todo lo que se encuentra en Process.
        • Usa fuentes de enriquecimiento, como registros de EDR (por ejemplo, de CrowdStrike o SentinelOne).
      • Usuario. Cuando no está en el bloque de enriquecimiento, esta opción hace lo siguiente:
        • Extrae campos, como user.email_addresses, user.userid, user.windows_sid, user.employee_id y user.product_object_id.
        • Enriquece los campos que incluyen cualquier elemento en User.
        • Usa fuentes de enriquecimiento, como registros de contexto del usuario (por ejemplo, de Workday o Windows AD).

   2. En la lista Tipo de registro de destino, selecciona la opción requerida, que depende del Tipo de enriquecimiento seleccionado. Entre las opciones de ejemplo, se incluyen All Types, Windows_Sysmon, CB_EDR y BRO_JSON.

      Nota: Todos los tipos se aplica a todos los elementos de la lista, que se completa según los tipos de datos y registros que transfiere Google SecOps.

   3. En la lista Fuente, selecciona la opción que necesites. Las opciones disponibles dependen del tipo de registro de destino seleccionado. Entre las opciones de ejemplo, se incluyen Todos los tipos, INFOBLOX_DHCP, WINDOWS_AD y VIRUSTOTAL_FILE_METADATA.

3. Haz clic en Habilitar bloqueo para abrir el cuadro de diálogo Habilitar bloqueo y mostrar la configuración de los pasos anteriores.

4. Opcional: En el campo Motivo del bloqueo, ingresa el motivo del bloqueo de enriquecimiento.

5. Después de revisar la información, haz clic en Habilitar bloqueo. En la tabla Bloques habilitados, se muestra una fila para el bloque de enriquecimiento habilitado.

   Después de aproximadamente 5 a 10 minutos, Google SecOps implementa el bloqueo de enriquecimiento (es decir, desenriquece todos los campos enriquecidos asociados) a partir de las 0:00:00 de la fecha actual en UTC y en el futuro. Después de este tiempo, te recomendamos que verifiques que los resultados sean los esperados.

Inhabilita un bloque de enriquecimiento

Para inhabilitar un bloqueo de enriquecimiento, haz lo siguiente:

1. Ve a Settings > Detection > Enrichment Blocks.
2. En la pestaña Enabled Blocks, busca el bloque de enriquecimiento, haz clic en More en esa fila y selecciona Disable Block. Se abrirá un cuadro de diálogo de confirmación.

3. Revisa la información y haz clic en Inhabilitar bloqueo. En la tabla Bloques inhabilitados, se muestra una fila para el bloque de enriquecimiento inhabilitado, y la fila correspondiente se quita de la tabla Bloques habilitados.

   Después de aproximadamente 5 a 10 minutos, Google SecOps vuelve a enriquecer todos los campos asociados desde las 0:00:00 de la fecha actual UTC en adelante. Después de este tiempo, te recomendamos que verifiques que los resultados sean los esperados.

Vuelve a habilitar un bloqueo de enriquecimiento

Para volver a habilitar un bloqueo de enriquecimiento, haz lo siguiente:

1. Ve a Settings > Detection > Enrichment Blocks.
2. En la pestaña Bloques inhabilitados, busca el bloque de enriquecimiento, haz clic en Más en esa fila y selecciona Habilitar bloque. Se abrirá un cuadro de diálogo de confirmación.

3. Revisa la información y haz clic en Habilitar bloqueo. En la tabla Bloques habilitados, se muestra una fila para el bloque de enriquecimiento que se volvió a habilitar, y la fila correspondiente se quita de la tabla Bloques inhabilitados.

   Después de aproximadamente 5 a 10 minutos, Google SecOps implementa el bloqueo de enriquecimiento (es decir, desenriquece todos los campos enriquecidos asociados) a partir de las 0:00:00 de la fecha actual en UTC y en el futuro. Después de este tiempo, te recomendamos que verifiques que los resultados sean los esperados.

Ejemplo de flujo de trabajo para un bloque de enriquecimiento

En este flujo de trabajo, se muestra cómo usar un bloque de enriquecimiento para resolver una regla que se activó de forma incorrecta debido a reemplazos de datos no deseados:

1. Valida la regla: Recibes una alerta y determinas que se activó de forma incorrecta. Confirmas que la lógica de la regla es correcta, es decir, que no es candidata para una exclusión de regla.
2. Identificar la fuente del registro: Revisas la alerta y te das cuenta de que un registro de CrowdStrike cumplió con las condiciones de activación.

3. Investiga la fuente de enriquecimiento: Usa el Visor de eventos para identificar qué fuente externa modificó el campo crítico. En los siguientes pasos, se muestra una forma de abrir el Visor de eventos (pero hay pasos alternativos):

   1. En la consola de Google SecOps, ve a Detecciones > Alertas e IOC.
   2. Selecciona la detección que se activó de forma incorrecta y desglosa el evento.
   3. Haz clic en la marca de tiempo del evento para abrir el Visualizador de eventos. La pestaña Campos de eventos se muestra de forma predeterminada. Cada campo enriquecido se identifica con una E y, cuando se expande el nodo, se muestran las fuentes de enriquecimiento.
   4. En la pestaña Campos de evento, expande el nodo del campo enriquecido problemático para identificar la fuente. Descubres que el campo que activó la alerta se había enriquecido con Okta.

4. Crea y habilita un bloque de enriquecimiento: Crea y activa un bloque de enriquecimiento que inhabilite los datos de User de Okta como fuente de enriquecimiento en tus registros de CrowdStrike.

5. Verifica la resolución: Después de esperar entre 5 y 10 minutos para que el bloque de enriquecimiento surta efecto, verifica que la alerta ya no se active de forma incorrecta.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.