信息中心概览

支持：

本文档提供了技术指南，介绍如何使用 Google Security Operations 信息中心引擎在不同的遥测流中构建数据可视化。

信息中心框架基于模块化架构构建，其中各个微件（图表）使用 YARA-L 2.0 语法与特定数据源进行交互。通过使用 YARA-L 架构属性和聚合函数，您可以构建可视化图表，用于实时监控、威胁分析和运营审计。

如需深入了解底层信息中心基础架构，请参阅信息中心概览。

准备工作

确认您的 Google SecOps 实例满足以下配置要求：

需要的 IAM 权限

如需访问信息中心，您需要具备以下权限：

IAM 权限 用途
chronicle.nativeDashboards.list 查看所有信息中心的列表。
chronicle.nativeDashboards.get 查看信息中心、 应用信息中心过滤条件以及 应用全局过滤条件。
chronicle.nativeDashboards.create 创建新信息中心。
chronicle.nativeDashboards.duplicate 复制现有信息中心。
chronicle.nativeDashboards.update 添加和修改图表、添加过滤条件、 更改信息中心访问权限以及 管理全局时间过滤条件。
chronicle.nativeDashboards.delete 删除信息中心。

了解信息中心

信息中心可提供有关安全事件、检测结果和相关数据的分析。 本部分概述了支持的数据源，并说明了基于角色的访问控制 (RBAC) 如何影响信息中心内的可见性和数据访问权限。

预定义信息中心目录

Google Security Operations 提供开箱即用的精选信息中心，旨在提高各种安全用例的可见性。虽然您无法修改或删除精选信息中心，但可以复制并根据组织的具体要求进行自定义。

如需探索所有可用的预定义信息中心、查看其图表说明以及查看各个微件的基础搜索查询，请参阅开箱即用的信息中心目录。如需查看常见预定义信息中心的操作概览，请参阅精选信息中心概览。

  • investigation
  • response_platform_info
  • case_name
  • feedback_summary
  • feedback_history
  • soar_alert
  • soar_alert_metadata

支持的数据源

信息中心包含以下数据源，每个数据源都有自己的查询时间限制和 YARA-L 前缀：

数据源 查询时间间隔 YARA-L 前缀 架构 信息中心示例
支持请求历史记录 365 天 case_history 字段 (SOAR) | 模板 示例
支持请求和提醒 365 天 case 字段 (SOAR) | 模板 示例
数据表 没有单独的时间限制（由联接的数据源决定） % 用户定义 示例
检测 365 天 detection 字段 | 模板 示例
实体图表 365 天 graph 字段 | 模板 示例
事件 90 天 no prefix 字段 (UDM) | 模板 示例
注入指标 365 天 ingestion 字段 | 模板 示例
IOC 365 天 ioc 字段 | 模板 示例
策略方案 365 天 playbook 字段 (SOAR) | 模板 示例
规则集 365 天 ruleset 字段 | 模板 示例
规则 没有时间限制 rules 字段 | 模板 示例
分类与调查智能体 365 天 gemini_investigation，gemini_investigation_feedback 字段 | 模板 示例

数据 RBAC 的影响

基于数据角色的访问权限控制 (RBAC) 是一种安全模型，它使用个人用户角色来限制用户对组织内数据的访问权限。借助数据 RBAC，管理员可以定义范围并将其分配给用户，从而确保访问权限仅限于其工作职能所需的数据。信息中心内的所有查询都遵循数据 RBAC 规则。 如需详细了解访问权限控制和范围，请参阅数据 RBAC 中的访问权限控制和范围。如需详细了解信息中心的数据 RBAC，请参阅为信息中心配置数据 RBAC

事件、实体图表和 IOC 匹配项

从这些来源返回的数据仅限于用户被分配的访问权限范围，从而确保用户只能看到已获授权的数据。 如果用户有多个范围，则查询会包含所有已分配范围中的数据。 用户无权访问的数据不会显示在信息中心搜索结果中。

规则

用户只能看到与其分配的范围相关联的规则。

检测和包含检测的规则集

当传入的安全数据与规则中定义的条件匹配时，系统会生成检测结果。用户只能看到源自与其分配的范围关联的规则的检测。包含检测结果的规则集仅对全球用户可见。

SOAR 数据源

包含 SOAR 数据（例如案例、案例历史记录、playbook 和提醒）的信息中心仅对全局用户可见。

案例和案例历史记录信息中心不支持 SOAR 访问机制（例如环境和 SOC 角色）。有权访问信息中心的用户可以查看所有环境和 SOC 角色的支持请求。

注入指标

注入组件是指将日志从源日志 Feed 引入平台的服务或流水线。每个组件都会在其自己的注入指标架构中收集一组特定的日志字段。

管理员可以对注入指标使用 RBAC，以根据用户的业务范围限制系统健康数据（例如注入量、错误和吞吐量）的公开范围。

“数据注入和健康状况”信息中心使用数据访问权限范围。当限定范围的用户加载信息中心时，系统会自动过滤指标，仅显示与他们分配的标签匹配的数据。

您可以使用以下标签进行过滤：

  • 命名空间：隔离的主要方法（例如 Eu-Prod、Alpha-Corp）。
  • 日志类型：基于角色的隔离（例如 GCP_VPC_FLOW、CROWDSTRIKE_EDR）。
  • 注入来源：精细的来源跟踪（例如，特定的转发器 ID）。

注入指标中的意外日志类型

某些信息中心可能会显示 UNSPECIFIED_LOG_TYPE 等日志类型的条目或内部标识符，包括 LT_X（其中 X 是数字）。这些 LT_X 标识符在 Google SecOps 系统中用于唯一标识客户创建的自定义日志类型。

即使这些特定日志类型的完整数据注入或解析尚未成功完成，也可能会显示这些条目。这是因为无论最终注入状态如何，系统都会记录某些系统指标。

为了专注于成功注入和解析的数据，您可以使用信息中心界面中的过滤功能，从视图中排除或专门过滤掉 UNSPECIFIED_LOG_TYPE 和其他意外的内部日志类型标识符。

原始日志量与信息中心日志量之间的差异

信息中心图表中显示的总 ingestion.log_volume（例如，过去 365 天内过滤 ingestion.component = "Ingestion API" 的查询）可能与您的累积原始日志量不同，原因如下：

  • 时间范围和回溯限制：Google SecOps 界面不会显示自实例配置以来累计的提取计数器。在 Google SecOps 信息中心内，即使在精选的注入 - 吞吐量（所有时间）图表中，您也无法计算超出 365 天查询限制的所有时间总计。对于自带项目 (BYOP) 实例，您可以在 Cloud Monitoring 中查询长达 24 个月的数据。
  • 数据源和流水线：原始日志量反映了存储空间中原始日志批次的字节大小。信息中心会查询 ingestion_metrics 表，该表会以大约 5 分钟的间隔异步收集遥测数据。由于指标流水线可能会出现收集延迟或指标暂时下降的情况，因此请将信息中心 ingestion.log_volume 总量视为近似指标，而非确切的字节数。如需详细了解在何处计算提取量以及不同工具中的值有何不同，请参阅在何处计算提取量以及值有何不同。

限制

  • 自定义标签：分配包含自定义标签（例如使用 UDM 正则表达式或数据表创建的标签）的用户范围会自动为该用户停用注入指标的 RBAC。因此，用户的信息中心内将不会显示任何数据。对于注入监控范围，您只能使用标准标签，例如日志类型、命名空间和注入来源。

  • 注入来源限制：按注入来源过滤仅适用于“日志计数”指标。如果按注入来源严格过滤，显示带宽（字节）或错误率指标的图表可能不会显示任何数据。Google 建议按命名空间进行过滤，以便更广泛地监控健康状况。

高级功能和监控

为了微调检测并提高可见性，您可以使用高级配置，例如 YARA-L 2.0 规则和注入指标。本部分将探讨这些功能数据分析，帮助您优化检测效率并监控数据处理。

YARA-L 2.0 属性

在信息中心内使用时，YARA-L 2.0 具有以下独特属性：

  • 信息中心内还提供其他数据源，例如实体图、注入指标、规则集和检测结果。其中一些数据源尚未在 YARA-L 规则和统一数据模型 (UDM) 搜索中提供。

  • 请参阅适用于 Google Security Operations 信息中心的 YARA-L 2.0 函数以及包含统计度量的聚合函数。

  • YARA-L 2.0 中的查询必须包含 match 部分或 outcome 部分，或者同时包含这两个部分。

  • YARA-L 规则的 events 部分是隐式的，无需在查询中声明。

  • YARA-L 规则的 condition 部分不适用于信息中心。

  • 信息中心不支持“UEBA 风险分析”类别中的规则。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。