Métodos de ingestão e tipos de dados

Compatível com:

Para monitorar seu ambiente com eficiência e investigar incidentes, o Google Security Operations permite ingerir uma grande variedade de dados de segurança. Entender os tipos de dados que podem ser incluídos na plataforma e os métodos usados para ingerir esses dados é a primeira etapa para criar uma postura de segurança robusta.

Tipos de dados de ingestão

O Google SecOps categoriza os dados recebidos em quatro tipos principais, cada um com uma finalidade distinta no ciclo de vida de detecção e investigação:

  • Registros brutos:são os fluxos de dados originais e não modificados das suas fontes de segurança, como firewalls, ferramentas de EDR e plataformas de nuvem. Os registros chegam em formatos como JSON, Syslog, CSV ou texto não estruturado e servem como a "fonte da verdade" para análises forenses e conformidade. Como os nomes dos campos variam de acordo com o fornecedor, os registros brutos atuam como a entrada inicial antes que a plataforma analise e normalize os nomes dos campos.
  • Eventos UDM:os eventos do modelo de dados unificado (UDM) são criados quando os analisadores convertem seus registros brutos em um formato consistente e independente do fornecedor. Por exemplo, termos diferentes, como src_ip e client-ip, são padronizados em um único campo principal.ip. Os sistemas downstream usam o UDM para oferecer recursos como pesquisa unificada e regras de detecção.
  • Dados de contexto da entidade:esses dados fornecem o "quem, o quê e onde" para transformar eventos genéricos em leads significativos. Os dados de contexto informam se um endereço IP pertence a um executivo de alto nível ou a um servidor de produção crítico. Ao enriquecer eventos com metadados de fontes como o Active Directory ou CMDBs, os analistas podem priorizar ameaças com base no risco organizacional real.
  • Alertas:são sinais de alta fidelidade que indicam atividades que exigem atenção imediata. Os alertas podem ser ingeridos diretamente de produtos de segurança externos (como o CrowdStrike) ou gerados internamente pelo mecanismo de detecção YARA-L do Google SecOps quando eventos ou entidades UDM acionam uma regra. Os alertas servem como os principais blocos de construção para casos de incidentes.

Entender as entidades de ingestão

As entidades fornecem contexto crucial para eventos de rede. Um evento de rede padrão pode mostrar que o usuário abc@foo.corp iniciou shady.exe, mas não indica se esse usuário é um funcionário demitido recentemente.

O modelo de dados da entidade permite ingerir esses relacionamentos, capturando um novo contexto de sistemas de IAM, gestão de vulnerabilidades e proteção de dados para fornecer inteligência contra ameaças.

Analisadores de contexto de entidade prontos para uso

Para tornar a ingestão de dados o mais simples possível, o Google SecOps inclui conectores de API e analisadores padrão para muitas fontes confiáveis comuns. É possível ingerir dados de contexto de ativos ou usuários das seguintes fontes compatíveis:

  • Gerenciamento de identidade, RH e acesso:contexto organizacional do Azure AD, contexto do usuário do Duo, Google Cloud análise de IAM, Google Cloud contexto de IAM, Google Cloud contexto de identidade, Microsoft AD, contexto do usuário do Okta, SailPoint IAM, Workday, privilégios do Workspace e usuários do Workspace.
  • Gerenciamento de ativos e dispositivos:JAMF, ServiceNow CMDB, Tanium Asset, dispositivos ChromeOS do Workspace e dispositivos móveis do Workspace.
  • Gerenciamento de segurança e vulnerabilidades:Microsoft Defender for Endpoint, Nucleus Unified Vulnerability Management, Nucleus Asset Metadata e Rapid7 Insight.

Visão geral dos métodos de ingestão de dados

O serviço de ingestão do Google SecOps atua como um gateway para todos os dados recebidos. Dependendo de onde os dados estão e de como eles são formatados, o Google SecOps usa os seguintes sistemas principais para recuperá-los:

  • Google Cloud (Integração direta): esse é o método principal, mais econômico e de maior desempenho para todos os registros padrão Google Cloud (por exemplo, registros de auditoria, fluxo de VPC, DNS e firewall). O Google SecOps recupera esses dados diretamente da sua Google Cloud organização.
  • Agente do Bindplane:um pipeline e agente de telemetria gerenciados usados para coletar registros de ambientes e servidores locais (Windows ou Linux). Ele oferece grande flexibilidade para registros que não se encaixam facilmente em outros métodos (como firewalls locais) e permite pré-processar, filtrar ou refinar dados da nuvem antes que eles cheguem ao Google SecOps. O agente do Bindplane é gerenciado usando o console de gerenciamento do Bindplane OP.
  • Feeds de dados:mais adequados para registros baseados na nuvem (como EDRs ou apps SaaS) que já estão agregados em armazenamentos de objetos (como o Cloud Storage ou o Amazon S3) ou para terceiros que oferecem suporte a webhooks baseados em push. Os feeds de dados enviam registros diretamente para o serviço de ingestão e oferecem suporte pronto para uso para integrações de API predefinidas (com linhas de registro de até 4 MB de tamanho).
  • Métodos de ingestão da API Chronicle: projetados para aplicativos personalizados, de alto volume ou internos que não se encaixam em outros métodos. Esse método exige a configuração da autenticação (contas de serviço ou federação de identidade da carga de trabalho), a configuração de permissões do IAM e o desenvolvimento de integrações personalizadas para enviar payloads JSON aos endpoints da API. Google Cloud

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.