Descripción general del Centro de contenido

Compatible con:

Google SecOps

Nota: Esta función está sujeta a las Condiciones de las Ofertas de Fase Previa a la DG de las Condiciones Específicas del Servicio de Google Security Operations. Las características de la fase previa a la DG pueden tener asistencia limitada, y es posible que los cambios en las características de la fase previa a la DG no sean compatibles con otras versiones de la fase previa a la DG. Para obtener más información, consulta los Lineamientos de los Servicios de Asistencia Técnica de Google SecOps y las Condiciones Específicas del Servicio de Google SecOps.
Si esta función no está visible en tu entorno, consulta Administra las funciones de versión preliminar o comunícate con el administrador del sistema.

Nota: Esta función solo está disponible para los clientes que usan la plataforma unificada de Google Security Operations.

Nota: Si no ves el Centro de contenido en tu plataforma, asegúrate de haber configurado un proyecto administrado por el cliente. Para obtener más información, consulta Configura el acceso a las funciones. Además, debes comunicarte con tu representante de Google SecOps y pedirle que habilite la marca de función de la API de Chronicle.

Permisos para el Centro de contenido

En el caso de los clientes que no migraron su instancia de SOAR a Google Cloud, asegúrate de que los permisos de Marketplace y de Integraciones de respuesta estén configurados en la página Configuración > Administración de acceso > Permisos (claves de API).

Para todos los demás clientes, para acceder a los módulos de Content Hub, debes configurar los siguientes permisos en el módulo de IAM.

Nombre del permiso de IAM	Nombre visible	Rol en IAM
chronicle.googleapis.com/featuredContentSearchQueries.get	Obtener el contenido de la búsqueda	chronicle.reader
chronicle.googleapis.com/featuredContentSearchQueries.list	Enumera el contenido de las búsquedas	chronicle.reader
chronicle.googleapis.com/featuredContentSearchQueries.install	Instala el contenido de la búsqueda	chronicle.writer
chronicle.googleapis.com/featuredContentRules.list	Reglas para mostrar contenido destacado	chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.get	Obtener el contenido del panel	chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.list	Enumera el contenido del panel	chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.install	Instala el contenido del panel	chronicle.writer
chronicle.googleapis.com/feedPacks.get	Obtener paquetes de feeds	chronicle.reader
chronicle.googleapis.com/feedPacks.list	Enumera los paquetes de feeds	chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.get	Obtener la guía de contenido destacado	chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.list	Guía sobre el contenido destacado de listas	chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.install	Instala la guía de contenido destacado	chronicle.writer

Descripción general

El Centro de contenido funciona como una plataforma centralizada para descubrir, implementar y administrar contenido en Google SecOps.

En el Centro de contenido, puedes hacer lo siguiente:

• Implementa paquetes de contenido de extremo a extremo (incluida la transferencia de registros, las detecciones seleccionadas y los paneles) para permitir que tu instancia de Google SecOps funcione con los productos de la lista de productos compatibles principales que definimos.
• Instala integraciones de terceros para guías y conectores de SOAR.
• Visualiza y filtra las detecciones seleccionadas, inspecciona los atributos de las reglas individuales y las definiciones de las reglas respectivas (transparencia de las detecciones seleccionadas). Navega a la página Conjunto de reglas para obtener todas las funciones de administración.
• Agrega paneles para mejorar la visibilidad.
• Agrega búsquedas guardadas a la búsqueda de SIEM para reutilizarlas rápidamente.
• Instala y ejecuta Power Ups para ampliar las capacidades de la guía.
• Instalar y ejecutar guías para proporcionar respuestas de SOAR
• Accede a los casos de uso de SOAR heredados en la página de inicio.

Tipos de contenido

Hay cuatro tipos de contenido en el Centro de contenido:

• Google: Contenido desarrollado, mantenido y verificado por Google SecOps. Esta categoría incluye elementos de contenido nuevos y actualizados.
• Socio: Contenido desarrollado y mantenido por un socio. Este contenido se valida a través de las verificaciones de calidad y validación automatizadas de Google. Para el contenido de socios, se proporcionan datos de contacto de asistencia específicos.
• Comunidad: Es el contenido que desarrollaron y mantienen los usuarios de la comunidad. Este contenido se valida a través de las verificaciones de calidad y validación automatizadas de Google.
• Personalizado: Es el contenido que creaste y que solo se muestra en tu propio Centro de contenido. Este contenido es privado para tu instancia y no está verificado por Google SecOps.

¿Qué puedo hacer en la página principal?

La página Inicio es la página de destino principal del Centro de contenido. Desde aquí, puedes acceder a lo siguiente:

• Paquetes de contenido, integraciones de respuesta, paneles, búsquedas, potenciadores y detecciones seleccionadas.
• Casos de uso de SOAR heredados. Google recomienda usar los nuevos paquetes de contenido en lugar de los casos de uso heredados, ya que ofrecen soluciones más completas e integradas.

Puedes buscar en todos los tipos de contenido, incluidos los paquetes de contenido, las detecciones, las integraciones de respuesta y los paneles, de forma simultánea. Esta función elimina la necesidad de navegar por pestañas individuales para encontrar recursos relacionados. La plataforma muestra los resultados con la cantidad total de coincidencias para cada tipo. Puedes hacer clic en cualquiera de los resultados para ver más detalles.

Por ejemplo, si buscas Crowdstrike en el campo Buscar, la plataforma devuelve lo siguiente:

• Paquetes de contenido (1): Por ejemplo, el paquete integral de Crowdstrike Falcon.
• Detecciones seleccionadas (42): Se muestran las cuatro tarjetas principales, como "Crowdstrike Falcon: Malware Detected" y "Crowdstrike Falcon: Sensor Tampering". Haz clic en Ver los 42 resultados para ir directamente a la pestaña Detecciones.
• Integraciones de respuesta (2): Por ejemplo, Crowdstrike Falcon (respuesta), que se usa para acciones de guías como "Aislar host".
• Paneles (3)

¿Qué puedo hacer en la página Paquetes de contenido?

En la página Paquetes de contenido, puedes configurar feeds individuales y múltiples, y acceder a todas las demás opciones de Content Hub.

Para incorporar todos los datos en la página Paquetes de contenido, sigue estos pasos:

1. Configura varios feeds para familias de productos según el tipo de registro que necesites.
2. Después de configurar el feed, puedes configurar de forma opcional los componentes restantes del paquete de contenido (se descargan automáticamente en segundo plano).
   1. Antes de poder usar cualquier guía, debes hacer clic en Configurar integraciones y configurar una instancia para que las guías funcionen. Para obtener más información, consulta Configura instancias de integración.
   2. Para ver o realizar cambios en la guía descargada, o bien ejecutarla con el simulador, haz clic en Ver guías. Para obtener más información, consulta Cómo trabajar con el simulador de playbooks. Debes copiar el nombre de la guía y buscarla en la carpeta predeterminada de la página Guías.
   3. Haz clic en Ver todas las reglas de detección para abrir la página Detecciones seleccionadas.
   4. Haz clic en Ver todas las búsquedas para abrir la página Búsqueda de SIEM.
   5. Haz clic en Ver todos los paneles para abrir la página Paneles.

¿Qué puedo hacer en la página Detecciones seleccionadas?

En la página Detecciones seleccionadas, puedes ver todas las definiciones de reglas de detección compatibles en Google SecOps, incluidos el código y la lógica de las reglas.

Para ver y modificar las detecciones seleccionadas (reglas), haz lo siguiente:

1. Busca el conjunto de reglas obligatorio que quieres actualizar y haz clic en Ver y administrar.
2. En la barra lateral que se abre en la pestaña Descripción general, haz clic en Administrar regla. Se te dirigirá a todo el conjunto de reglas en la página Detecciones seleccionadas.
3. Como alternativa, en la barra lateral que se abre, haz clic en la pestaña que dice Definición de la regla. Esto muestra la lógica de la regla. No puedes modificar la regla desde aquí, pero puedes crear una nueva en la página Reglas. Haz clic en Ver rendimiento de la regla para ir a la página Detecciones y administrar la regla.

Nota: En algunas situaciones, es posible que no puedas ver la lógica de la regla. Esto es intencional.

¿Qué puedo hacer en la página Integraciones de respuestas?

En la página Integraciones de respuesta, puedes ver los detalles de la integración, incluidas las Notas de versión, y configurar las integraciones de respuesta individuales. Se pueden usar para los conectores de SOAR y para las guías.

También puedes revertir una integración a una versión anterior si una actualización causa problemas o si necesitas revertir cambios en el código personalizado.

Para instalar y configurar una integración, sigue estos pasos:

1. Busca la integración que necesitas y haz clic en Instalar.
2. Después de la instalación correcta, haz clic en Configurar en la misma integración para comenzar la configuración. Para obtener más información, consulta Configura instancias de integración.

¿Qué puedo hacer en la página Paneles?

En la página Paneles, puedes ver los detalles de los paneles preinstalados y agregar paneles nuevos. Para ver o administrar cualquier panel, ya sea preinstalado o agregado desde el Centro de contenido, ve a la página Paneles. Nota: Los paneles que se agregan a través del Centro de contenido se etiquetan como Marketplace.

¿Qué puedo hacer en la página Guías y bloques?

En la página Guías y bloques, puedes ver e instalar guías y bloques de guías (guías anidadas). Puedes mostrar las guías según varios filtros y categorías. Por ejemplo, puedes mostrar solo las guías que contienen integraciones que ya instalaste en tu instancia o puedes elegir mostrar solo las guías con integraciones específicas.

Para ver e instalar una guía o un bloque de guía, sigue estos pasos:

1. Busca la guía o el bloqueo que se requiere y haz clic en Ver detalles.
2. En el panel lateral que se abre, revisa la información y haz clic en Agregar.
3. Selecciona el entorno en el que quieres agregar la guía o el bloqueo.
4. Haz clic en el vínculo para que se te redireccione a la página del diseñador de guías con la guía que acabas de agregar. Puedes agregar la misma guía varias veces. Cada guía tendrá un título con un número ascendente.

Nota: En la página Guías, no se indica qué guías o bloques de guías agregaste.

Para obtener más información, consulta la página Guías.

¿Qué puedo hacer en la página de búsquedas?

En la página Búsquedas, puedes ver los detalles de las búsquedas y agregar búsquedas nuevas. Una vez que agregas una búsqueda, se agrega a las búsquedas guardadas y se comparte dentro de la instancia. Para ver o administrar las consultas guardadas, ve a la página Búsqueda de SIEM.

¿Qué puedo hacer en la página de Power Ups?

En la página Potenciadores, puedes ver detalles, instalar y configurar los potenciadores de Google SecOps para usarlos en las guías. Para obtener instrucciones de configuración, consulta Cómo usar los Power Ups.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.