Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Mengelola blok pengayaan

Dokumen ini menjelaskan cara blok pengayaan memberi Anda kontrol terperinci atas proses pengayaan data. Proses pengayaan default menggunakan data kontekstual dari berbagai sumber, menganalisis data, dan menimpa data kolom Model Data Terpadu (UDM) sesuai dengan logika internal. Proses default biasanya berfungsi seperti yang diharapkan. Namun, dalam kasus tertentu, menimpa data kolom UDM akan menyebabkan perilaku yang tidak terduga, seperti memicu aturan mesin deteksi secara tidak semestinya.

Mengonfigurasi dan melihat blok pengayaan

Hanya pengguna Google Security Operations dengan hak istimewa Chronicle Admin dan Editor yang dapat mengonfigurasi blok pengayaan; semua pengguna Google SecOps dapat melihat antarmuka Enrichment Blocks.

Konfigurasi dasar blok pengayaan memerlukan tiga parameter berurutan: Enrichment Type, Target Log Type, dan Source. Opsi yang tersedia untuk Target Log Type bergantung pada Enrichment Type yang dipilih, dan opsi yang tersedia untuk Source bergantung pada Target Log Type yang dipilih.

Anda tidak dapat menghapus blok pengayaan.

Blok pengayaan dapat diaktifkan, dinonaktifkan, dan diaktifkan kembali.

Dialog Enrichment Blocks mencakup tab Enabled Blocks dan tab Disabled Blocks. Tabel di kedua tab menampilkan parameter konfigurasi dasar blok pengayaan, tanggal UTC saat blok terakhir diaktifkan, dan alasan (opsional) yang ditentukan pengguna untuk blok tersebut. Tabel di tab Pemblokiran yang Dinonaktifkan menyertakan tanggal UTC saat pemblokiran dinonaktifkan.

Logika waktu blok pengayaan yang direvisi

Perubahan status blok pengayaan akan diterapkan dalam waktu 5-10 menit.

Efek utama dari mengaktifkan atau menonaktifkan blok adalah waktu mulai yang disinkronkan:

Mengaktifkan pemblokiran (penghapusan pengayaan): Google SecOps menghapus pengayaan semua kolom terkait mulai pukul 00.00.00 UTC pada tanggal saat ini dan seterusnya.
Menonaktifkan pemblokiran (pengayaan ulang): Google SecOps memperkaya ulang semua kolom terkait mulai pukul 00.00.00 UTC pada tanggal saat ini dan terus memperkaya ke depannya.

Contoh: Pada hari Selasa, 16 September, pukul 23.59.59 UTC, Anda mengaktifkan blok pengayaan. Google SecOps menghapus pengayaan semua kolom yang diperkaya terkait mulai Selasa, 16 September pukul 00.00.00 UTC—dan terus menerapkan pemblokiran pengayaan ke depannya. Pada hari Rabu, 17 September, pukul 09.00.00 UTC, Anda menonaktifkan pemblokiran pengayaan. Google SecOps memperkaya ulang semua kolom terkait mulai pukul 00.00.00 UTC pada Rabu, 17 September—dan terus memperkaya semua data yang relevan ke depannya.

Membuat dan mengaktifkan blok pengayaan

Untuk membuat dan mengaktifkan blok pengayaan, lakukan tindakan berikut:

Buka Settings > Detection > Enrichment Blocks.
Konfigurasi hal berikut ini:
1. Dari daftar Enrichment Type, pilih salah satu opsi berikut:
  - Semua Jenis. Berlaku untuk semua item dalam daftar, yang diisi berdasarkan jenis data dan log yang diserap Google SecOps.
  - Aset. Jika tidak berada dalam blok pengayaan, opsi ini akan melakukan hal berikut:
    - Mengekstrak kolom, seperti hostname, asset_id, mac, ip (jika asset_id kosong).
    - Memperkaya kolom yang menyertakan apa pun di bagian Asset (misalnya, hostname, asset_id, mac, atau ip) dari Noun.
    - Menggunakan sumber pengayaan, seperti DHCP dan Asset Context (misalnya, Tanium Asset atau CrowdStrike).
  - GeoIP. Jika tidak berada dalam blok pengayaan, opsi ini akan melakukan hal berikut:
    - Mengekstrak kolom, seperti ip jika bersifat publik atau dapat dirutekan.
    - Memperkaya kolom yang mencakup artifact.ip, artifact.location, artifact.network, location.
    - Menggunakan sumber pengayaan dari Layanan GeoIP Google.
  - Google Threat Intel. Jika tidak berada dalam blok pengayaan, opsi ini akan melakukan hal berikut:
    - Mengekstrak kolom yang relevan.
    - Memperkaya kolom File atau process.file.
    - Menggunakan sumber pengayaan dari metadata file VirusTotal.
  - Proses. Jika tidak berada dalam blok pengayaan, opsi ini akan melakukan hal berikut:
    - Mengekstrak kolom, seperti process.product_specific_process_id.
    - Memperkaya kolom, yang mencakup apa pun di bagian Process.
    - Menggunakan sumber pengayaan, seperti log EDR (misalnya, dari CrowdStrike atau SentinelOne).
  - Pengguna. Jika tidak berada dalam blok pengayaan, opsi ini akan melakukan hal berikut:
    - Mengekstrak kolom, seperti user.email_addresses, user.userid, user.windows_sid, user.employee_id, user.product_object_id.
    - Memperkaya kolom yang menyertakan apa pun di bagian User.
    - Menggunakan sumber pengayaan, seperti log konteks pengguna (misalnya, dari Workday atau Windows AD).
2. Dari daftar Target Log Type, pilih opsi yang diperlukan, yang bergantung pada Enrichment Type yang dipilih. Contoh opsi mencakup All Types, Windows_Sysmon, CB_EDR, dan BRO_JSON.
  
  Catatan: Semua Jenis berlaku untuk semua item dalam daftar, yang diisi berdasarkan jenis data dan log yang diserap Google SecOps.
3. Dari daftar Sumber, pilih opsi yang diperlukan. Opsi yang tersedia bergantung pada Jenis Log Target yang dipilih. Contoh opsi mencakup All Types, INFOBLOX_DHCP, WINDOWS_AD, dan VIRUSTOTAL_FILE_METADATA.
Klik Enable Block untuk membuka dialog Enable Block dan menampilkan konfigurasi dari langkah sebelumnya.
Opsional: Di kolom Alasan pemblokiran, masukkan alasan pemblokiran pengayaan.
Setelah Anda meninjau informasi, klik Aktifkan Pemblokiran. Tabel Enabled Blocks menampilkan baris untuk blok pengayaan yang diaktifkan.

Setelah sekitar 5-10 menit, Google SecOps akan menerapkan pemblokiran pengayaan (yaitu, menghapus pengayaan semua kolom yang diperkaya terkait) mulai pukul 00.00.00 pada tanggal saat ini UTC dan seterusnya. Setelah waktu ini, sebaiknya Anda memverifikasi bahwa hasilnya sesuai dengan yang Anda harapkan.

Menonaktifkan blok pengayaan

Untuk menonaktifkan blok pengayaan, lakukan tindakan berikut:

Buka Settings > Detection > Enrichment Blocks.
Di tab Enabled Blocks, temukan blok pengayaan, klik More di baris tersebut, lalu pilih Disable Block. Dialog konfirmasi akan terbuka.
Tinjau informasi, lalu klik Nonaktifkan Pemblokiran. Tabel Disabled Blocks menampilkan baris untuk blok pengayaan yang dinonaktifkan, dan baris yang sesuai akan dihapus dari tabel Enabled Blocks.

Setelah sekitar 5-10 menit, Google SecOps akan memperkaya ulang semua kolom terkait mulai pukul 0.00.00 pada tanggal saat ini UTC dan seterusnya. Setelah waktu ini, sebaiknya Anda memverifikasi bahwa hasilnya sesuai dengan yang Anda harapkan.

Mengaktifkan kembali blok pengayaan

Untuk mengaktifkan kembali blok pengayaan, lakukan hal berikut:

Buka Settings > Detection > Enrichment Blocks.
Di tab Disabled Blocks, temukan blok pengayaan, klik More di baris tersebut, lalu pilih Enable Block. Dialog konfirmasi akan terbuka.
Tinjau informasi, lalu klik Aktifkan Pemblokiran. Tabel Enabled Blocks menampilkan baris untuk blok pengayaan yang diaktifkan kembali, dan baris yang sesuai akan dihapus dari tabel Disabled Blocks.

Setelah sekitar 5-10 menit, Google SecOps akan menerapkan pemblokiran pengayaan (yaitu, menghapus pengayaan semua kolom yang diperkaya terkait) mulai pukul 00.00.00 pada tanggal saat ini UTC dan seterusnya. Setelah waktu ini, sebaiknya Anda memverifikasi bahwa hasilnya sesuai dengan yang Anda harapkan.

Contoh alur kerja untuk blok pengayaan

Alur kerja ini menunjukkan cara menggunakan blok pengayaan untuk menyelesaikan aturan yang dipicu secara tidak tepat oleh penimpaan data yang tidak diinginkan:

Memvalidasi aturan: Anda menerima pemberitahuan dan menentukan bahwa pemberitahuan tersebut dipicu secara tidak semestinya. Anda mengonfirmasi bahwa logika aturan sudah benar—bukan kandidat untuk pengecualian aturan.
Mengidentifikasi sumber log: Anda meninjau pemberitahuan dan menyadari bahwa kondisi pemicu terpenuhi oleh log CrowdStrike.
Selidiki sumber pengayaan: Gunakan Penampil Peristiwa untuk mengidentifikasi sumber eksternal yang mengubah kolom penting. Langkah-langkah berikut menunjukkan salah satu cara untuk membuka Event Viewer (tetapi ada langkah alternatif):
1. Di konsol Google SecOps, buka Detections > Alerts & IOCs.
2. Pilih deteksi yang dipicu secara tidak tepat dan lihat detail peristiwanya.
3. Klik stempel waktu peristiwa untuk membuka Penampil Peristiwa. Tab Kolom Peristiwa ditampilkan secara default. Setiap kolom yang diperkaya diidentifikasi dengan E, dan meluaskan node akan menampilkan sumber pengayaan.
4. Di tab Event Fields, luaskan node kolom yang diperkaya dan bermasalah untuk mengidentifikasi sumbernya. Anda mengetahui bahwa kolom yang memicu pemberitahuan telah diperkaya oleh Okta.
Membuat dan mengaktifkan blok pengayaan: Buat dan aktifkan blok pengayaan yang menonaktifkan data User dari Okta sebagai sumber pengayaan di log CrowdStrike Anda.
Verifikasi penyelesaian: Setelah menunggu 5-10 menit hingga blok pengayaan diterapkan, pastikan pemberitahuan tidak lagi dipicu secara tidak semestinya.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.