Content Hub – Übersicht

Unterstützt in:

Google SecOps

Hinweis: Dieses Feature unterliegt den Bedingungen des Pre-GA-Angebots in den dienstspezifischen Nutzungsbedingungen für Google Security Operations. Pre-GA-Features werden eventuell nur eingeschränkt unterstützt und Änderungen an diesen Features sind möglicherweise nicht mit anderen Pre-GA-Versionen kompatibel. Weitere Informationen finden Sie in den Richtlinien für den technischen Support von Google SecOps und den dienstspezifischen Nutzungsbedingungen für Google SecOps.
Wenn diese Funktion in Ihrer Umgebung nicht sichtbar ist, lesen Sie den Hilfeartikel Funktionen in der Vorabversion verwalten oder wenden Sie sich an Ihren Systemadministrator.

Hinweis: Diese Funktion ist nur für Kunden verfügbar, die die einheitliche Plattform von Google Security Operations verwenden.

Hinweis: Wenn der Content Hub auf Ihrer Plattform nicht angezeigt wird, prüfen Sie, ob Sie ein vom Kunden verwaltetes Projekt konfiguriert haben. Weitere Informationen finden Sie unter Featurezugriff konfigurieren. Außerdem müssen Sie sich an Ihren Google SecOps-Ansprechpartner wenden und ihn bitten, das Funktions-Flag für die Chronicle API zu aktivieren.

Berechtigungen für den Content Hub

Kunden, die ihre SOAR-Instanz noch nicht zu Google Cloudmigriert haben, müssen die Berechtigungen Marketplace und Response Integrations auf der Seite Einstellungen > Zugriffsverwaltung > Berechtigungen (API-Schlüssel) festlegen.

Alle anderen Kunden müssen die folgenden Berechtigungen im IAM-Modul konfigurieren, um auf Module im Content Hub zuzugreifen.

Name der IAM-Berechtigung	Anzeigename	Rolle in IAM
chronicle.googleapis.com/featuredContentSearchQueries.get	Inhalt der Suchanfrage abrufen	chronicle.reader
chronicle.googleapis.com/featuredContentSearchQueries.list	Inhalte von Suchanfragen auflisten	chronicle.reader
chronicle.googleapis.com/featuredContentSearchQueries.install	Inhalt für Suchanfragen installieren	chronicle.writer
chronicle.googleapis.com/featuredContentRules.list	Regeln für empfohlene Inhalte auflisten	chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.get	Dashboard-Inhalte abrufen	chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.list	Dashboard-Inhalte auflisten	chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.install	Dashboard-Inhalte installieren	chronicle.writer
chronicle.googleapis.com/feedPacks.get	Futterpakete erhalten	chronicle.reader
chronicle.googleapis.com/feedPacks.list	Feedpakete auflisten	chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.get	Playbook für empfohlene Inhalte herunterladen	chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.list	Playbook zum Auflisten empfohlener Inhalte	chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.install	Playbook für empfohlene Inhalte installieren	chronicle.writer

Übersicht

Der Content-Hub ist eine zentrale Plattform zum Entdecken, Bereitstellen und Verwalten von Inhalten in Google SecOps.

Im Content-Hub können Sie Folgendes tun:

• Stellen Sie End-to-End-Inhaltspakete bereit (einschließlich Logaufnahme, ausgewählter Erkennungen und Dashboards), damit Ihre Google SecOps-Instanz mit Produkten aus der von uns definierten Liste der am häufigsten unterstützten Produkte verwendet werden kann.
• Integrationen von Drittanbietern für SOAR-Playbooks und ‑Connectors installieren
• Ausgewählte Erkennungen ansehen und filtern, einzelne Regelattribute und die entsprechenden Regeldefinitionen prüfen (Transparenz ausgewählter Erkennungen). Rufen Sie die Seite „Regelsatz“ auf, um alle Verwaltungsfunktionen zu nutzen.
• Fügen Sie Dashboards hinzu, um die Sichtbarkeit zu verbessern.
• Fügen Sie der SIEM-Suche gespeicherte Suchanfragen hinzu, um sie schnell wiederzuverwenden.
• Power‑ups installieren und ausführen, um die Playbook-Funktionen zu erweitern
• Playbooks installieren und ausführen, um SOAR-Antworten bereitzustellen.
• Auf der Startseite können Sie auf Legacy-SOAR-Anwendungsfälle zugreifen.

Inhaltstypen

Der Content Hub umfasst vier Arten von Inhalten:

• Google: Inhalte, die von Google SecOps entwickelt, gepflegt und verifiziert wurden. Diese Kategorie umfasst sowohl neue als auch aktualisierte Inhalte.
• Partner: Inhalte, die von einem Partner entwickelt und gepflegt wurden. Diese Inhalte werden durch die automatischen Qualitäts- und Validierungsprüfungen von Google validiert. Für Partnerinhalte werden spezifische Kontaktdaten für den Support bereitgestellt.
• Community: Inhalte, die von Community-Nutzern entwickelt und gepflegt wurden. Diese Inhalte werden durch die automatischen Qualitäts- und Validierungsprüfungen von Google validiert.
• Benutzerdefiniert: Inhalte, die Sie erstellt haben und die nur in Ihrem eigenen Content Hub angezeigt werden. Dieser Inhalt ist für Ihre Instanz privat und wird nicht von Google SecOps überprüft.

Was kann ich auf der Startseite tun?

Die Startseite ist die Haupt-Landingpage für den Content Hub. Hier können Sie auf Folgendes zugreifen:

• Inhaltspakete, Antwortintegrationen, Dashboards, Suchanfragen, Power-ups und ausgewählte Erkennungen.
• Legacy-SOAR-Anwendungsfälle. Google empfiehlt, die neuen Content Packs anstelle der alten Anwendungsfälle zu verwenden, da sie umfassendere und integrierte Lösungen bieten.

Sie können gleichzeitig in allen Inhaltstypen suchen, einschließlich Content Packs, Erkennungen, Antwortintegrationen und Dashboards. So müssen Sie nicht mehr durch einzelne Tabs navigieren, um zugehörige Assets zu finden. Die Plattform zeigt die Ergebnisse mit der Gesamtzahl der Übereinstimmungen für jeden Typ an. Sie können auf ein beliebiges Ergebnis klicken, um weitere Details aufzurufen.

Wenn Sie beispielsweise im Feld Suchen nach Crowdstrike suchen, gibt die Plattform Folgendes zurück:

• Content Packs (1): Zum Beispiel das Crowdstrike Falcon Comprehensive Pack.
• Ausgewählte Erkennungen (42): Die obersten vier Karten werden angezeigt, z. B. „Crowdstrike Falcon: Malware erkannt“ und „Crowdstrike Falcon: Sensormanipulation“. Klicken Sie auf Alle 42 Ergebnisse ansehen, um direkt zum Tab Erkennungen zu gelangen.
• Antwortintegrationen (2): Zum Beispiel Crowdstrike Falcon (Antwort) – wird für Playbook-Aktionen wie „Host isolieren“ verwendet.
• Dashboards (3)

Was kann ich auf der Seite „Inhaltspakete“ tun?

Auf der Seite Content Packs können Sie einzelne und mehrere Feeds konfigurieren und auf alle anderen Content Hub-Optionen zugreifen.

So nehmen Sie alle Daten auf der Seite Content Packs auf:

1. Konfigurieren Sie mehrere Feeds für Produktfamilien basierend auf dem Logtyp, den Sie benötigen.
2. Nachdem Sie den Feed eingerichtet haben, können Sie optional die verbleibenden Komponenten des Content Packs konfigurieren (werden automatisch im Hintergrund heruntergeladen).
   1. Bevor Sie ein Playbook verwenden können, müssen Sie auf Integrationen konfigurieren klicken und eine Instanz einrichten, damit die Playbooks funktionieren. Weitere Informationen finden Sie unter Integrationsinstanzen konfigurieren.
   2. Wenn Sie das heruntergeladene Playbook ansehen oder ändern oder es mit dem Simulator ausführen möchten, klicken Sie auf Playbooks ansehen. Weitere Informationen finden Sie unter Mit dem Playbook-Simulator arbeiten. Kopieren Sie den Namen des Playbooks und suchen Sie auf der Seite Playbooks im Ordner „Standard“ danach.
   3. Klicken Sie auf Alle Erkennungsregeln ansehen, um die Seite Ausgewählte Erkennungen zu öffnen.
   4. Klicken Sie auf Alle Suchanfragen ansehen, um die Seite SIEM-Suche zu öffnen.
   5. Klicken Sie auf Alle Dashboards ansehen, um die Seite Dashboards zu öffnen.

Was kann ich auf der Seite „Ausgewählte Erkennungen“ tun?

Auf der Seite Ausgewählte Erkennungen können Sie alle unterstützten Erkennungsregeldefinitionen in Google SecOps aufrufen, einschließlich Regellogik und Code.

So rufen Sie ausgewählte Erkennungen (Regeln) auf und ändern sie:

1. Suchen Sie den Regelsatz, den Sie aktualisieren möchten, und klicken Sie auf Ansehen und verwalten.
2. Klicken Sie in der Seitenleiste, die auf dem Tab Übersicht geöffnet wird, auf Regel verwalten. Sie werden auf der Seite Ausgewählte Erkennungen zum gesamten Regelsatz weitergeleitet.
3. Alternativ können Sie in der Seitenleiste, die sich öffnet, auf den Tab Regeldefinition klicken. Dadurch wird die Regellogik angezeigt. Sie können die Regel hier nicht ändern, aber Sie können auf der Seite Regeln eine neue Regel erstellen. Klicken Sie auf Regelleistung ansehen, um zur Seite Erkennungen zu wechseln und die Regel zu verwalten.

Hinweis: In bestimmten Situationen können Sie die Regellogik möglicherweise nicht aufrufen. Dies geschieht absichtlich.

Was kann ich auf der Seite „Antwortintegrationen“ tun?

Auf der Seite Antwortintegrationen können Sie Integrationsdetails, einschließlich Release Notes, aufrufen und die einzelnen Antwortintegrationen konfigurieren. Diese können für SOAR-Connectors und für Playbooks verwendet werden.

Sie können auch ein Rollback einer Integration auf eine frühere Version durchführen, wenn ein Update Probleme verursacht oder Sie benutzerdefinierte Codeänderungen rückgängig machen müssen.

So installieren und konfigurieren Sie eine Integration:

1. Suchen Sie die gewünschte Integration und klicken Sie auf Installieren.
2. Klicken Sie nach der Installation bei derselben Integration auf Konfigurieren, um mit der Einrichtung zu beginnen. Weitere Informationen finden Sie unter Integrationsinstanzen konfigurieren.

Was kann ich auf der Seite „Dashboards“ tun?

Auf der Seite Dashboards können Sie Details zu vorinstallierten Dashboards aufrufen und neue Dashboards hinzufügen. Wenn Sie ein vorinstalliertes oder aus dem Content Hub hinzugefügtes Dashboard aufrufen oder verwalten möchten, rufen Sie die Seite Dashboards auf. Hinweis: Dashboards, die über den Content Hub hinzugefügt wurden, sind mit Marketplace gekennzeichnet.

Was kann ich auf der Seite „Playbooks und Blöcke“ tun?

Auf der Seite Playbooks und Blöcke können Sie sich Playbooks und Playbook-Blöcke (verschachtelte Playbooks) ansehen und installieren. Sie können Playbooks nach verschiedenen Filtern und Kategorien anzeigen lassen. Sie können beispielsweise nur Playbooks anzeigen lassen, die Integrationen enthalten, die Sie bereits auf Ihrer Instanz installiert haben, oder nur Playbooks mit bestimmten Integrationen.

So rufen Sie ein Playbook oder einen Playbook-Block auf und installieren es bzw. ihn:

1. Suchen Sie das gewünschte Playbook oder den gewünschten Block und klicken Sie auf Details ansehen.
2. Sehen Sie sich die Informationen in der Seitenleiste an und klicken Sie auf Hinzufügen.
3. Wählen Sie die Umgebung aus, der Sie das Playbook oder den Block hinzufügen möchten.
4. Klicken Sie auf den Link, um zur Playbook Designer-Seite weitergeleitet zu werden. Dort wird das gerade hinzugefügte Playbook angezeigt. Sie können dasselbe Playbook mehrmals hinzufügen. Jedes Playbook wird mit einer aufsteigenden Nummer betitelt.

Hinweis: Auf der Seite „Playbooks“ wird nicht angezeigt, welche Playbooks oder Playbook-Blöcke Sie hinzugefügt haben.

Weitere Informationen finden Sie auf der Seite Playbooks.

Was kann ich auf der Seite „Suchanfragen“ tun?

Auf der Seite Suchanfragen können Sie Details zu Suchanfragen aufrufen und neue Suchanfragen hinzufügen. Wenn Sie eine Suchanfrage hinzufügen, wird sie den gespeicherten Suchanfragen hinzugefügt und innerhalb der Instanz freigegeben. Wenn Sie gespeicherte Abfragen ansehen oder verwalten möchten, rufen Sie die Seite SIEM-Suche auf.

Was kann ich auf der Seite „Power-ups“ tun?

Auf der Seite Power-ups können Sie Details ansehen, Google SecOps-Power-ups installieren und für die Verwendung in Playbooks konfigurieren. Eine Anleitung zur Einrichtung finden Sie unter Power-ups verwenden.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten