Gestisci i blocchi di arricchimento

Questo documento spiega in che modo i blocchi di arricchimento ti offrono un controllo granulare sul processo di arricchimento dei dati. Il processo di arricchimento predefinito utilizza i dati contestuali provenienti da diverse origini, li analizza e sovrascrive i dati dei campi dello Unified Data Model (UDM) in base alla logica interna. In genere, il processo predefinito funziona come previsto. Tuttavia, in alcuni casi, la sovrascrittura dei dati dei campi UDM causa un comportamento imprevisto, ad esempio l'attivazione impropria delle regole del motore di rilevamento.

Configura e visualizza i blocchi di arricchimento

Solo gli utenti di Google Security Operations con privilegi di Amministratore di Chronicle ed Editor possono configurare i blocchi di arricchimento; tutti gli utenti di Google SecOps possono visualizzare l'interfaccia Blocchi di arricchimento.

La configurazione di base di un blocco di arricchimento richiede tre parametri sequenziali: Tipo di arricchimento, Tipo di log di destinazione e Origine. Le opzioni disponibili per Tipo di log di destinazione dipendono dal Tipo di arricchimento selezionato, mentre le opzioni disponibili per Origine dipendono dal Tipo di log di destinazione selezionato.

Non puoi eliminare un blocco di arricchimento.

I blocchi di arricchimento possono essere abilitati, disabilitati e riabilitati.

La finestra di dialogo Blocchi di arricchimento include le schede Blocchi attivati e Blocchi disattivati. Le tabelle in entrambe le schede mostrano i parametri di configurazione di base del blocco di arricchimento, la data UTC in cui il blocco è stato attivato l'ultima volta e il motivo (facoltativo) specificato dall'utente per il blocco. La tabella nella scheda Blocchi disattivati include la data UTC in cui il blocco è stato disattivato.

Logica rivista per il tempo di blocco dell'arricchimento

La modifica dello stato di un blocco di arricchimento diventa effettiva entro 5-10 minuti.

L'effetto principale dell'attivazione o della disattivazione di un blocco è l'ora di inizio sincronizzata:

  • Attivazione di un blocco (annullamento dell'arricchimento): Google SecOps annulla l'arricchimento di tutti i campi associati a partire dalle 00:00:00 UTC della data corrente e continua in futuro.

  • Disattivazione di un blocco (riarricchimento): Google SecOps riarricchisce tutti i campi associati a partire dalle 00:00:00 UTC della data corrente e continua ad arricchirli in futuro.

Esempio: martedì 16 settembre alle 23:59:59 UTC, attivi un blocco di arricchimento. Google SecOps rimuove l'arricchimento da tutti i campi arricchiti associati a partire dalle ore 00:00:00 UTC di martedì 16 settembre e continua ad applicare il blocco di arricchimento in futuro. Mercoledì 17 settembre alle 09:00:00 UTC, disattivi il blocco di arricchimento. Google SecOps arricchisce nuovamente tutti i campi associati a partire dalle 00:00:00 UTC di mercoledì 17 settembre e continua ad arricchire tutti i dati pertinenti in futuro.

Crea e attiva un blocco di arricchimento

Per creare e attivare un blocco di arricchimento:

  1. Vai a Impostazioni > Rilevamento > Blocchi di arricchimento.

  2. Configura quanto segue:

    1. Dall'elenco Tipo di arricchimento, seleziona una delle seguenti opzioni:

      • Tutti i tipi. Si applica a tutti gli elementi dell'elenco, che viene compilato in base ai tipi di dati e di log importati da Google SecOps.
      • Asset. Quando non si trova nel blocco di arricchimento, questa opzione esegue le seguenti operazioni:
        • Estrae campi come hostname, asset_id, mac, ip (se asset_id è vuoto).
        • Arricchisce i campi che includono qualsiasi elemento in Asset (ad esempio hostname, asset_id, mac o ip) da Noun.
        • Utilizza fonti di arricchimento, come DHCP e Asset Context (ad esempio Tanium Asset o CrowdStrike).
      • GeoIP. Quando non si trova nel blocco di arricchimento, questa opzione esegue le seguenti operazioni:
        • Estrae i campi, ad esempio ip se è pubblico o instradabile.
        • Arricchisce i campi che includono artifact.ip, artifact.location, artifact.network, location.
        • Utilizza le origini di arricchimento del servizio Google GeoIP.
      • Google Threat Intel. Quando non si trova nel blocco di arricchimento, questa opzione esegue le seguenti operazioni:
        • Estrae i campi pertinenti.
        • Arricchisce i campi File o process.file.
        • Utilizza le fonti di arricchimento dei metadati dei file di VirusTotal.
      • Processo. Quando non si trova nel blocco di arricchimento, questa opzione esegue le seguenti operazioni:
        • Estrae campi come process.product_specific_process_id.
        • Arricchisce i campi, che includono tutto ciò che si trova in Process.
        • Utilizza fonti di arricchimento, come i log EDR (ad esempio, da CrowdStrike o SentinelOne).
      • Utente. Quando non si trova nel blocco di arricchimento, questa opzione esegue le seguenti operazioni:
        • Estrae campi come user.email_addresses, user.userid, user.windows_sid, user.employee_id, user.product_object_id.
        • Arricchisce i campi che includono qualsiasi elemento in User.
        • Utilizza fonti di arricchimento, come i log del contesto utente (ad esempio, da Workday o Windows AD).

    2. Dall'elenco Tipo di log di destinazione, seleziona l'opzione richiesta, che dipende dal Tipo di arricchimento selezionato. Le opzioni di esempio includono All Types, Windows_Sysmon, CB_EDR e BRO_JSON.

    3. Nell'elenco Source (Origine), seleziona l'opzione richiesta. Le opzioni disponibili dipendono dal Tipo di log di destinazione selezionato. Le opzioni di esempio includono All Types, INFOBLOX_DHCP, WINDOWS_AD e VIRUSTOTAL_FILE_METADATA.

  3. Fai clic su Attiva blocco per aprire la finestra di dialogo Attiva blocco e visualizzare la configurazione dei passaggi precedenti.

  4. (Facoltativo) Nel campo Motivo del blocco, inserisci il motivo del blocco dell'arricchimento.

  5. Dopo aver esaminato le informazioni, fai clic su Attiva blocco. La tabella Blocchi abilitati mostra una riga per il blocco di arricchimento abilitato.

    Dopo circa 5-10 minuti, Google SecOps implementa il blocco di arricchimento (ovvero rimuove l'arricchimento da tutti i campi arricchiti associati) dalle 00:00:00 della data corrente UTC in poi. Trascorso questo periodo di tempo, ti consigliamo di verificare che i risultati siano quelli previsti.

Disattiva un blocco di arricchimento

Per disattivare un blocco di arricchimento:

  1. Vai a Impostazioni > Rilevamento > Blocchi di arricchimento.
  2. Nella scheda Blocchi attivati, individua il blocco di arricchimento, fai clic su Altro in quella riga e seleziona Disattiva blocco. Viene visualizzata una finestra di dialogo di conferma.

  3. Controlla le informazioni e fai clic su Disattiva blocco. La tabella Blocchi disattivati mostra una riga per il blocco di arricchimento disattivato e la riga corrispondente viene rimossa dalla tabella Blocchi attivati.

    Dopo circa 5-10 minuti, Google SecOps arricchisce nuovamente tutti i campi associati a partire dalle ore 0:00:00 della data corrente UTC e in avanti. Trascorso questo periodo di tempo, ti consigliamo di verificare che i risultati siano quelli previsti.

Riattiva un blocco di arricchimento

Per riattivare un blocco di arricchimento:

  1. Vai a Impostazioni > Rilevamento > Blocchi di arricchimento.
  2. Nella scheda Blocchi disattivati, individua il blocco di arricchimento, fai clic su Altro in quella riga e seleziona Attiva blocco. Viene visualizzata una finestra di dialogo di conferma.

  3. Esamina le informazioni e fai clic su Attiva blocco. La tabella Blocchi attivati mostra una riga per il blocco di arricchimento riattivato e la riga corrispondente viene rimossa dalla tabella Blocchi disattivati.

    Dopo circa 5-10 minuti, Google SecOps implementa il blocco di arricchimento (ovvero rimuove l'arricchimento da tutti i campi arricchiti associati) dalle 00:00:00 della data corrente UTC in poi. Trascorso questo periodo di tempo, ti consigliamo di verificare che i risultati siano quelli previsti.

Esempio di workflow per un blocco di arricchimento

Questo flusso di lavoro mostra come utilizzare un blocco di arricchimento per risolvere una regola attivata in modo improprio da sovrascritture di dati indesiderate:

  1. Convalida la regola: ricevi un avviso e stabilisci che è stato attivato in modo errato. Confermi che la logica della regola è corretta, ovvero che non è candidata per un'esclusione di regola.
  2. Identifica l'origine log: esamini l'avviso e ti rendi conto che le condizioni di attivazione sono state soddisfatte da un log di CrowdStrike.

  3. Esamina l'origine di arricchimento: utilizza il Visualizzatore eventi per identificare l'origine esterna che ha modificato il campo critico. I passaggi seguenti mostrano un modo per aprire il Visualizzatore eventi (ma esistono passaggi alternativi):

    1. Nella console Google SecOps, vai a Rilevamenti > Avvisi e IOC.
    2. Seleziona il rilevamento attivato in modo errato ed esegui il drill-down fino all'evento.
    3. Fai clic sul timestamp dell'evento per aprire il Visualizzatore eventi. Per impostazione predefinita, viene visualizzata la scheda Campi evento. Ogni campo arricchito è identificato con una E e l'espansione del nodo mostra le origini di arricchimento.
    4. Nella scheda Campi evento, espandi il nodo del campo arricchito problematico per identificare l'origine. Scopri che il campo che ha attivato l'avviso è stato arricchito da Okta.

  4. Crea e attiva un blocco di arricchimento: crea e attiva un blocco di arricchimento che disattiva i dati User di Okta come origine di arricchimento nei log di CrowdStrike.

  5. Verifica la risoluzione: dopo aver atteso 5-10 minuti per l'applicazione del blocco di arricchimento, verifica che l'avviso non venga più attivato in modo improprio.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.