Panoramica di Google Unified Security

Google Unified Security è la nostra nuova soluzione di sicurezza convergente basata sull'AI, progettata per affrontare le sfide dei dati frammentati e degli strumenti di sicurezza isolati di cui gli attori delle minacce approfittano sempre di più. Integrando la threat intelligence, le operazioni di sicurezza, la sicurezza del cloud, la navigazione aziendale sicura e le competenze di Mandiant di Google, Google Unified Security crea una soluzione di sicurezza scalabile eseguita su un tessuto di sicurezza su scala planetaria per proteggere la tua organizzazione. Gli insight in tempo reale di Gemini AI migliorano il rilevamento delle minacce e semplificano le operazioni di sicurezza, consentendo alle organizzazioni di passare da una sicurezza reattiva a una preventiva e di stare due passi avanti rispetto ad aggressori sempre più sofisticati

I componenti chiave di Google Unified Security sono:

Diagramma GUS

Cinque soluzioni principali abilitate da GUS

Le seguenti soluzioni sfruttano la potenza della suite di prodotti Google Unified Security.

Rafforzamento della sicurezza degli endpoint: protezione integrata con Google Chrome Enterprise Premium e Google SecOps

L'integrazione di Chrome Enterprise Premium (CEP) con Google SecOps offre una visibilità fondamentale sulle minacce provenienti dall'attività del browser per rafforzare la security posture degli endpoint. Il browser è diventato un punto di ingresso comune per un'ampia gamma di minacce, tra cui malware, attacchi di phishing, furto di credenziali ed esfiltrazione di dati. Poiché l'accesso a molte applicazioni aziendali avviene principalmente tramite un browser, è essenziale rispondere a queste minacce prima che gli utenti malintenzionati possano accedere ai dati critici.

Questa integrazione sblocca nuovi workflow delle operazioni di sicurezza, consentendo agli analisti di gestire in modo più efficace i rischi basati sul browser da Google SecOps.

  • Nuovi rilevamenti predefiniti: progettati specificamente per le minacce di Chrome e arricchiti con Navigazione sicura e Google Threat Intelligence (GTI), consentono di identificare le minacce che potrebbero sfuggire ad altri controlli di sicurezza.
  • Visibilità migliorata: gli analisti della sicurezza ottengono una maggiore visibilità grazie alle dashboard dedicate di Google SecOps, che forniscono informazioni chiave sugli eventi di sicurezza e sulle anomalie di Chrome per facilitare le indagini.
  • Risposta automatizzata:sfruttando le funzionalità di orchestrazione dei playbook nativi, i team della sicurezza possono anche automatizzare le azioni di risposta su Chrome Enterprise, come il blocco di URL dannosi, il blocco di estensioni e persino la messa in quarantena dei dispositivi, direttamente dalla piattaforma Google SecOps.
  • Onboarding semplificato: con pochi clic, attiva le impostazioni predefinite di sicurezza consigliate e un'integrazione diretta dei dati di Chrome.

Questo approccio centralizzato, potenziato dall'arricchimento di Google Threat Intelligence, consente ai team di sicurezza di ottenere un rilevamento più rapido, condurre indagini più informate e rimediare in modo più efficiente alle minacce basate sul web.

Inizia a utilizzare Google Chrome e Google SecOps

Esempi

Indagine sulle estensioni del browser dannose Un utente scarica e installa un'estensione del browser dannosa dall'esterno del Chrome Web Store che, una volta installata, legge i cookie di sessione e li pubblica su un server in un dominio sospetto registrato nell'ultima settimana. Utilizzando la telemetria delle estensioni del browser, un analista della sicurezza può determinare quanti utenti hanno installato questa estensione e intraprendere azioni correttive per rimuoverla dai loro dispositivi.

Quali attività del browser sono presenti sui dispositivi non gestiti o BYOD (Bring Your Own Device) Un dipendente che lavora da remoto sul proprio laptop personale accede alle risorse aziendali tramite il browser Chrome per lavorare a un progetto. Le policy di Chrome Enterprise possono applicare norme su come il dipendente può utilizzare i dati delle applicazioni aziendali. I tentativi di aggirare queste policy, ad esempio provando a caricare o scaricare file, possono essere monitorati per garantire che i dati sensibili non vengano archiviati sul dispositivo non gestito.

Attività utente sospette che si verificano nel tuo ambiente Un analista della sicurezza riceve un avviso che indica che un utente ha avviato improvvisamente un trasferimento di dati di grandi dimensioni a un servizio di spazio di archiviazione sul cloud esterno dopo diversi tentativi di accesso non riusciti, sollevando il sospetto di una potenziale compromissione dell'account o di un trasferimento di dati non autorizzato. Analizzando le tendenze del comportamento degli utenti, l'analista può verificare se questo dipendente in genere accede a questi file solo durante l'orario di apertura standard e se il suo account è stato compromesso.

Misurare l'efficacia delle policy di Prevenzione della perdita di dati (DLP) Un amministratore può misurare l'efficacia delle regole DLP esaminando i dati aggregati per assicurarsi che le policy di "blocco" e "avviso" applicate tramite Chrome affrontino le minacce e non impediscano il lavoro legittimo.

Semplifica le operazioni del SOC con Security Command Center e Google SecOps

Google Unified Security include Google Security Command Center Enterprise con la suite AI Protection più recente.

Google SecOps fornisce Cloud Detection Investigation and Response (CDIR), Case Management, ricerca e indagine dei log SIEM, raccolta di Cloud Asset Inventory per l'arricchimento del grafico delle entità e la possibilità di automatizzare i workflow SOC comuni utilizzando il componente SOAR di Google SecOps.

Grazie alle funzionalità unificate di Google SecOps e Security Command Center, gli analisti SOC e i Cloud Security Engineer dispongono di un'unica piattaforma convergente in cui visualizzare e rispondere a incidenti e casi correlati alle minacce nelle loro piattaforme Google Cloud, Azure e AWS. Poiché le funzionalità SIEM e SOAR sono al centro della piattaforma, non è più necessario inviare i dati dei log di Cloud e gli eventi di minaccia correlati al di fuori della piattaforma: tutto è incluso nell'ambito della sicurezza unificata di Google.

Per abilitare l'intera gamma di funzionalità CDIR, è necessario importare determinati log in Google SecOps, alcuni direttamente da Google Cloude, per la funzionalità multi-cloud, da AWS e Azure.

Inizia a utilizzare Security Command Center e Google SecOps

  1. Attiva il livello Enterprise di SCC-E utilizzando l'istanza Google SecOps esistente. Vedi Attiva il livello Enterprise

  2. Verifica che i servizi di rilevamento di Security Command Center siano abilitati: consulta Come configurare Security Command Center

  3. Collega Security Command Center ad AWS per ottenere i dati di configurazione e delle risorse che fluiscono nel grafico delle entità: consulta Connetti Security Command Center ad AWS

  4. Anteprima: connetti Security Command Center ad Azure per ottenere i dati di configurazione e delle risorse che vengono trasmessi al grafico delle entità.

  5. (Facoltativo) Integra Security Command Center con i sistemi di gestione dei ticket. Consulta Integrare il sistema di ticketing

  6. Mappa gli utenti alla piattaforma Google SecOps. Vedi Mappa gli utenti

  7. Attiva i playbook di risposta. Consulta Installa playbook

  8. Importa i log Google Cloud in Google SecOps utilizzando l'importazione diretta: consulta Importa i log Google Cloud

  9. Configura il Google Cloud filtro di esportazione.

  10. Importa i log AWS in Google SecOps: consulta Importa i log AWS.

  11. Importa i log di Azure in Google SecOps: consulta Importa i log di Azure

  12. Configura i servizi opzionali, consulta Configurazione avanzata

  13. Attiva i rilevamenti predefiniti di CDIR. Consulta Rilevamenti predefiniti

Esempi

CDIR: un analista riceve un avviso di escalation dei privilegi avanzata SCC CDIR ad alta priorità (uno dei tanti generati dai rilevamenti predefiniti delle minacce cloud) che viene mappato automaticamente a un caso Google SecOps. Vedono che il comportamento all'interno dell'avviso corrisponde a un account di servizio con privilegi eccessivi, che consente a un avversario di muoversi lateralmente in un ambiente cloud, accedere a nuovi sistemi ed eseguire l'escalation a privilegi più elevati per compiere azioni dannose. L'analista può esaminare il comportamento e reagire modificando le autorizzazioni dell'account o disattivandolo.

Ricerca e indagine nei log SIEM: durante un'indagine CDIR o su base ad hoc, gli analisti possono utilizzare la sintassi del linguaggio naturale, la sintassi Yara-L o la ricerca nei log non elaborati per far emergere informazioni in vari log importati in Google SecOps relativi all'infrastruttura e ai servizi cloud. Ciò consente di verificare il potenziale comportamento degli avversari per escludere i falsi positivi o dimostrare un vero positivo. Le origini dei log comuni utilizzate durante questo tipo di indagini includono (ma non sono limitate a) audit log di Google Cloud , log AWS CloudTrail ed eventi GuardDuty e log delle attività di Azure AD.

Raccolta di Cloud Asset Inventory: una volta stabiliti i vari connettori tra Google SecOps e Security Command Center, le informazioni sull'inventario degli asset relative agli ambienti multi-cloud vengono regolarmente inserite nell'Entity Graph di Google SecOps. Da qui, gli analisti SOC e altri utenti del sistema vedono immediatamente un contesto aggiuntivo, guidato da questo inventario, per accelerare l'analisi e aiutare a dare priorità al flusso di lavoro. Ad esempio, un avviso arricchito relativo a un bucket AWS S3 può contenere informazioni aggiuntive sul bucket, come la regione, il proprietario e i tag dei metadati che circondano il bucket, anche se queste informazioni non erano presenti nell'avviso di origine.

Abilita l'adozione sicura dell'AI dalla creazione all'utilizzo

AI Protection di Google Cloud è un insieme completo di funzionalità integrate direttamente in Security Command Center Enterprise (SCC-E), progettate per aiutarti a gestire in modo proattivo i rischi unici associati al ciclo di vita dell'AI. Fornendo una visione centralizzata degli asset, dei rischi e delle minacce dell'AI insieme al panorama più ampio della sicurezza del cloud, AI Protection consente ai team di sicurezza e agli sviluppatori di creare ed eseguire il deployment di soluzioni AI in tutta sicurezza.

Vantaggi principali

  • Consentire un'adozione sicura e protetta dell'AI: la sicurezza viene spesso citata come un ostacolo fondamentale all'adozione dell'AI. AI Protection aiuta a superare questa sfida fornendo gli strumenti e gli insight necessari per mitigare rischi come violazioni dei dati, configurazioni errate e utilizzo non sicuro dei modelli. In questo modo, la tua organizzazione può accelerare la sua AI Transformation in tutta sicurezza.

  • Sicurezza durante l'intero ciclo di vita dell'AI: AI Protection offre sicurezza end-to-end per proteggere da potenziali rischi e minacce durante l'intero ciclo di vita dell'AI. È incluso quanto segue:

    • Scoperta del tuo inventario AI: AI Protection può scansionare a fondo i tuoi sistemi per identificare e catalogare tutti gli asset AI esistenti, inclusi modelli, set di dati e applicazioni associate. In questo modo, avrai un quadro chiaro del tuo panorama di AI, consentendo una migliore gestione e un maggiore controllo.
    • Sicurezza degli asset AI: AI Protection utilizza le nostre funzionalità di red teaming virtuale per identificare potenziali percorsi di attacco negli asset AI e cloud. Ciò include l'identificazione di combinazioni tossiche che potrebbero consentire agli utenti malintenzionati di accedere a risorse AI di alto valore e la definizione delle priorità degli elementi con l'impatto e il rischio più elevati.
    • Rilevamento e risposta alle minacce AI: AI Protection monitora attivamente il tuo ambiente AI per rilevare e rispondere alle potenziali minacce. Ciò include il rilevamento e la risposta all'hijacking degli LLM, all'avvelenamento o all'esfiltrazione dei dati e ad altre forme di cyberattacchi mirati all'AI. I workflow di risposta e correzione sono integrati direttamente con Google SecOps.

  • Protezione indipendente da modelli e cloud con Model Armor: Model Armor protegge dalla perdita di dati, dai danni al brand e dai contenuti offensivi mediante lo screening di prompt e risposte dell'AI generativa. Model Armor è indipendente dal modello e supporta un'ampia gamma di modelli su vari cloud, tra cui i modelli di Google (come Gemini), i modelli open source (come Llama) e i modelli proprietari di terze parti (come OpenAI e Anthropic Claude). Protegge da prompt injection, jailbreak, fughe di dati sensibili, URL dannosi e contenuti offensivi. Model Armor offre opzioni di deployment flessibili, tra cui un'API REST per un'ampia copertura e un'integrazione in linea con Vertex AI e altri punti di applicazione Google Cloud per una latenza ridotta e nessuna modifica alle app.

  • Proteggi i dati sensibili nei workload AI: AI Protection si integra con il servizio Sensitive Data Protection (SDP) di Google Cloud per scoprire, classificare e oscurare i dati sensibili in entrata e in uscita dai workload AI. Model Armor può impedire la fuga di dati sensibili nelle risposte dell'AI.

  • Visibilità e risposta centralizzate all'interno di Security Command Center: AI Protection viene fornito in SCC-E, che offre funzionalità CNAPP e integrazione SIEM/SOAR con Google SecOps nell'ambito di GUS. In questo modo, avrai un pannello centralizzato per gestire i rischi dell'AI e rispondere e rimediare alle minacce nel contesto della sicurezza complessiva del cloud. Questa esperienza unificata semplifica i flussi di lavoro di sicurezza, dalla migrazione dei rischi al rilevamento e alla risposta, consentendo tempi di risposta e correzione più rapidi.

Esempi

I clienti SCC-E hanno accesso immediato a diverse funzionalità chiave di AI Protection:

Altre risorse per iniziare:

Convalida continua della sicurezza: smetti di reagire, inizia a prevenire con Google SecOps

I team di sicurezza dei SOC sono costantemente sopraffatti nel tentativo di stare al passo con il panorama delle minacce in continua evoluzione. La valutazione manuale delle vulnerabilità è un processo reattivo e dispendioso in termini di tempo. Inoltre, la cascata di controlli di sicurezza di terze parti e le complesse policy di gruppo o autorizzazioni IAM hanno creato ambienti maturi per la configurazione errata. Questo crea un divario tra la postura presunta di un'organizzazione e quella effettiva, il che, in ultima analisi, aumenta il rischio. La convalida continua automatizzata fornisce dati utili, consentendoti di attaccare e ottimizzare in modo proattivo le tue difese tramite flussi di lavoro integrati facili da usare.

Vantaggi principali

  • Catalogo di simulazione degli attacchi basato sull'intelligence di prima linea di Mandiant
  • Motore di Security Validation che esegue le più recenti tecniche degli utenti malintenzionati, basate sull'intelligence in prima linea di Mandiant.
  • Monitoraggi dei rilevamenti per identificare in modo proattivo i rilevamenti non funzionanti su base pianificata.

Esempi

Continuous Detection Validation elimina la necessità di testare e verificare manualmente che i rilevamenti funzionino come previsto dopo il deployment iniziale. Come funziona:

  • Esplora il catalogo degli attacchi in base alle TTP comuni degli aggressori o al servizio target.
  • Esegui attacchi per testare i rilevamenti predefiniti ed esamina i risultati.
  • Esegui attacchi su base ricorrente per garantire costantemente l'efficacia del rilevamento.
  • Esamina i risultati e le tendenze nella dashboard Monitoraggio.

Continuous Emerging Threat Validation automatizza la conversione dei report di intelligence in procedure eseguibili per convalidare la tua risposta nel mondo reale. Come funziona:

  • È stata scoperta una minaccia emergente pertinente per la tua organizzazione.
  • Le tue difese sono state aggiornate con rilevamenti predefiniti.
  • Eseguiamo attacchi generati dall'AI per testare i rilevamenti nel tuo ambiente.
  • Apriamo richieste se i rilevamenti non vanno a buon fine.
  • Vengono forniti i risultati e i consigli basati sull'AI.

Rendi le tue difese a prova di futuro: ricerca proattiva delle minacce con GTI integrata in Google SecOps

L'integrazione di Google Threat Intelligence (GTI) direttamente in Google SecOps trasforma il rilevamento e la risposta alle minacce da reattivi a proattivi tramite la funzionalità Applied Threat Intelligence (ATI). ATI analizza continuamente la telemetria di sicurezza rispetto agli indicatori di compromissione (IOC) ad alta fedeltà curati da GTI. Applicando questa intelligence di prima linea direttamente in Google SecOps, i team di sicurezza ottengono una visibilità e un contesto senza pari, garantendo che gli eventi di sicurezza vengano interpretati attivamente attraverso la lente della threat intelligence più recente e convalidata per aiutarti a stare un passo avanti rispetto ad attacchi nuovi e sofisticati. Questa integrazione sfrutta i rilevamenti predefiniti di Google SecOps per valutare i dati sugli eventi rispetto agli IOC di GTI, generando automaticamente avvisi con priorità (come Violazione attiva o Alta) per garantire l'attenzione sulle minacce critiche.

Vantaggi principali

  • Rilevamento basato sull'intelligence: sfrutta i rilevamenti selezionati di Google SecOps che valutano i dati sugli eventi rispetto agli IOC di Mandiant. Genera automaticamente avvisi quando vengono trovate corrispondenze per gli IOC etichettati come Violazione attiva o Alta, garantendo l'attenzione sulle minacce critiche.
  • Contesto di indagine migliorato: accelera le indagini utilizzando la scheda dedicata Corrispondenze IOC in Google SecOps. Ottieni un contesto immediato sulle entità sospette (domini, IP, hash, URL), tra cui GCTI Priority, IC-Score, associazioni di threat actor/malware e campagne correlate, il tutto senza passare a strumenti esterni.
  • Avvisi con priorità: sfrutta l'assegnazione della priorità agli avvisi basata sull'intelligence e sugli insight di Mandiant (ad es. IR attivo, prevalenza, attribuzione, stato delle commodity). Concentra gli sforzi di risposta sugli avvisi classificati come Violazione attiva, Alta o Media in base alle corrispondenze degli IOC contestualizzati.
  • Ricerca proattiva delle minacce: utilizza i feed e gli insight di GTI nelle regole di ricerca e rilevamento di Google SecOps (YARA-L) per cercare in modo proattivo le minacce emergenti e le TTP specifiche degli aggressori nel tuo ambiente.

Punti di integrazione tra Google Threat Intelligence e Google SecOps

  • Abbinamento continuo degli IOC: Google SecOps acquisisce e valuta automaticamente gli IOC curati da GTI rispetto ai tuoi dati di sicurezza normalizzati (UDM).
  • Rilevamenti predefiniti e definizione delle priorità: le regole di rilevamento predefinite (disponibili in pacchetti di regole come "Applied Threat Intelligence - Curated Prioritization") contestualizzano le corrispondenze IOC utilizzando i dati sugli eventi e le funzionalità di Mandiant Intelligence per generare avvisi con priorità (violazione attiva, alta, media, autenticazione IP in entrata).
  • Feed delle minacce nativi: i feed di threat intelligence integrati in modo nativo di Mandiant, VirusTotal, Navigazione sicura e altri consentono agli utenti di creare i propri rilevamenti e metodologie di punteggio personalizzati.
  • Indagine centralizzata: la scheda Corrispondenze IOC funge da hub centrale per la visualizzazione degli IOC corrispondenti, il filtro dei risultati (per tipo, priorità, stato, origine: Mandiant e così via) e l'analisi dei dettagli degli eventi, del contesto UDM, della logica di threat intelligence e delle associazioni.

Per iniziare

  • Attiva i rilevamenti predefiniti:attiva i pacchetti di regole di rilevamenti predefiniti di Applied Threat Intelligence in Google SecOps per abilitare gli avvisi e la definizione delle priorità.
  • Esplora le corrispondenze degli IOC: acquisisci familiarità con l'analisi degli avvisi utilizzando la scheda Corrispondenze degli IOC.
  • Scopri di più su come viene determinata la priorità GCTI facendo clic su un evento di una corrispondenza IOC con priorità nella scheda Corrispondenze IOC.

Esempi

  • Indagine su un avviso con priorità elevata: un analista indaga su un avviso con priorità Violazione attiva nella scheda Corrispondenze IOC. Vedono che l'IOC corrispondente è un dominio associato a una campagna di phishing nota (visibile in Associazioni/Campagne) con un IC-Score elevato. L'esame dei dettagli dell'evento conferma il traffico in uscita da una workstation utente. L'analista utilizza questo contesto per attivare un playbook SOAR per isolare la macchina e reimpostare le credenziali dell'utente.
  • Ricerca e convalida proattive: in seguito a un report di Mandiant su una nuova variante di malware, un analista utilizza gli IOC forniti (hash, domini C2) nella ricerca SIEM di Google SecOps. Controllano anche la scheda IOC Matches (Corrispondenze IOC), filtrando in base all'associazione di malware o al nome della campagna pertinente, per verificare se ATI ha già rilevato attività correlate nel loro ambiente.

Onboarding e attivazione di Google Unified Security

Questo portfolio riunisce le seguenti soluzioni di sicurezza leader di Google:

  • Security Command Center (SCCE)
  • Google SecOps (SecOps Enterprise Plus)
  • Google Threat Intelligence (Enterprise Plus)
  • Browser Chrome Enterprise (Premium)
  • Mandiant Threat Defense

Inizia Inizia il tuo percorso verso un futuro più sicuro con Google Unified Security. Che tu voglia migliorare la tua security posture esistente o creare una difesa completa da zero, abbiamo una soluzione su misura per le tue esigenze. Per i clienti Google Security esistenti: se stai già sfruttando la potenza di uno dei singoli componenti di prodotto del nostro portafoglio di sicurezza, possiamo eseguire l'upgrade senza problemi al pacchetto Google Unified Security completo. Sperimenta la visibilità, l'intelligence e l'automazione migliorate offerte da un ecosistema di sicurezza completamente integrato. Contatta il team dedicato all'account Google Cloud per esplorare il percorso di upgrade e sfruttare tutto il potenziale della difesa unificata di Google.

Per i nuovi clienti Se non utilizzi ancora le soluzioni di sicurezza all'avanguardia di Google, ti invitiamo a scoprire il potere trasformativo di Google Unified Security. Il nostro portafoglio integrato offre un approccio olistico alla protezione della tua organizzazione nell'attuale panorama di minacce complesse. Contatta il tuo rappresentante di vendita Google Cloud dedicato per discutere delle tue sfide di sicurezza specifiche e scoprire in che modo Google Unified Security può fornire la protezione completa di cui hai bisogno. Offriamo soluzioni e opzioni di deployment personalizzate progettate per soddisfare i tuoi requisiti e scopi commerciali unici. Fai il primo passo verso un futuro più sicuro e resiliente. Contattaci oggi stesso per scoprire come Google Unified Security può potenziare i tuoi team di sicurezza e salvaguardare gli asset più preziosi della tua organizzazione.