Présentation du hub de contenus

Compatible avec :

Google SecOps

Remarque : Cette fonctionnalité est couverte par les Conditions des offres pré-DG des Conditions spécifiques du service Google Security Operations. Les fonctionnalités pré-DG (avant disponibilité générale) sont susceptibles de présenter une compatibilité limitée, et les modifications apportées à ces fonctionnalités peuvent ne pas être compatibles avec d'autres versions avant disponibilité générale. Pour en savoir plus, consultez les Instructions relatives aux services d'assistance technique Google SecOps et les Conditions spécifiques du service Google SecOps.
Si cette fonctionnalité n'est pas visible dans votre environnement, consultez Gérer les fonctionnalités en preview ou contactez votre administrateur système.

Remarque : Cette fonctionnalité n'est disponible que pour les clients qui utilisent la plate-forme unifiée Google Security Operations.

Remarque : Si le Content Hub ne s'affiche pas sur votre plate-forme, assurez-vous d'avoir configuré un projet géré par le client. Pour en savoir plus, consultez Configurer l'accès aux fonctionnalités. Vous devez également contacter votre représentant Google SecOps et lui demander d'activer le flag de fonctionnalité de l'API Chronicle.

Autorisations pour Content Hub

Pour les clients qui n'ont pas migré leur instance SOAR vers Google Cloud, assurez-vous que les autorisations Marketplace et Intégrations de réponse sont définies sur la page Paramètres > Gestion des accès > Autorisations (clés API).

Pour tous les autres clients, pour accéder aux modules de Content Hub, vous devez configurer les autorisations suivantes dans le module IAM.

Nom de l'autorisation IAM	Nom à afficher	Rôle dans IAM
chronicle.googleapis.com/featuredContentSearchQueries.get	Obtenir le contenu de la requête de recherche	chronicle.reader
chronicle.googleapis.com/featuredContentSearchQueries.list	Lister le contenu des requêtes de recherche	chronicle.reader
chronicle.googleapis.com/featuredContentSearchQueries.install	Installer le contenu de la requête de recherche	chronicle.writer
chronicle.googleapis.com/featuredContentRules.list	Lister les règles de sélection de contenus	chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.get	Obtenir le contenu du tableau de bord	chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.list	Lister le contenu du tableau de bord	chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.install	Installer le contenu du tableau de bord	chronicle.writer
chronicle.googleapis.com/feedPacks.get	Obtenir des packs de flux	chronicle.reader
chronicle.googleapis.com/feedPacks.list	Lister les packs de flux	chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.get	Télécharger le guide sur la sélection de contenus	chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.list	Playbook de la sélection de contenus	chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.install	Installer le playbook "Sélection de contenus"	chronicle.writer

Présentation

Le hub de contenus sert de plate-forme centralisée pour découvrir, déployer et gérer du contenu dans Google SecOps.

Dans le Content Hub, vous pouvez effectuer les actions suivantes :

• Déployez des packs de contenu de bout en bout (y compris l'ingestion de journaux, les détections optimisées et les tableaux de bord) pour permettre à votre instance Google SecOps de fonctionner avec les produits de la liste des principaux produits compatibles que nous avons définie.
• Installez des intégrations tierces pour les playbooks et les connecteurs SOAR.
• Afficher et filtrer les détections optimisées, inspecter les attributs de règles individuels et les définitions de règles respectives (transparence des détections optimisées). Accédez à la page "Ensemble de règles" pour accéder à toutes les fonctionnalités de gestion.
• Ajoutez des tableaux de bord pour améliorer votre visibilité.
• Ajoutez des requêtes de recherche enregistrées à la recherche SIEM pour les réutiliser rapidement.
• Installez et exécutez des optimisations pour étendre les capacités des playbooks.
• Installez et exécutez des playbooks pour fournir des réponses SOAR.
• Accédez aux anciens cas d'utilisation SOAR sur la page d'accueil.

Types de contenus

Le Content Hub propose quatre types de contenus :

• Google : contenu développé, géré et validé par Google SecOps. Cette catégorie inclut les nouveautés et les mises à jour.
• Partenaire : contenu développé et géré par un partenaire. Ce contenu répond aux contrôles automatiques de qualité et de validation de Google. Pour le contenu partenaire, des coordonnées d'assistance spécifiques sont fournies.
• Communauté : contenu développé et géré par les utilisateurs de la communauté. Ce contenu répond aux contrôles automatiques de qualité et de validation de Google.
• Personnalisé : contenu que vous avez créé et qui n'est affiché que sur votre propre hub de contenus. Ce contenu est propre à votre instance et n'est pas validé par Google SecOps.

Que puis-je faire sur la page d'accueil ?

La page Accueil est la page de destination principale du Content Hub. Vous pouvez alors accéder aux éléments suivants :

• Packs de contenu, intégrations de réponses, tableaux de bord, requêtes de recherche, optimisations et détections optimisées.
• Anciens cas d'utilisation de SOAR. Google recommande d'utiliser les nouveaux packs de contenu plutôt que les anciens cas d'utilisation, car ils offrent des solutions plus complètes et intégrées.

Vous pouvez effectuer des recherches simultanées dans tous les types de contenus, y compris les packs de contenu, les détections, les intégrations de réponse et les tableaux de bord. Cette fonctionnalité vous évite d'avoir à parcourir les différents onglets pour trouver les éléments associés. La plate-forme affiche les résultats avec le nombre total de correspondances pour chaque type. Vous pouvez cliquer sur n'importe quel résultat pour afficher plus de détails.

Par exemple, si vous recherchez Crowdstrike dans le champ Rechercher, la plate-forme renvoie les résultats suivants :

• Packs de contenu (1) : par exemple, le pack complet Crowdstrike Falcon.
• Détections optimisées (42) : les quatre premières fiches s'affichent, par exemple "Crowdstrike Falcon : logiciel malveillant détecté" et "Crowdstrike Falcon : altération du capteur". Cliquez sur Afficher les 42 résultats pour accéder directement à l'onglet Détections.
• Intégrations de réponse (2) : par exemple, Crowdstrike Falcon (réponse), utilisé pour les actions de playbook telles que "Isoler l'hôte".
• Tableaux de bord (3)

Que puis-je faire sur la page "Packs de contenu" ?

Sur la page Packs de contenu, vous pouvez configurer un ou plusieurs flux, et accéder à toutes les autres options du Content Hub.

Pour intégrer toutes les données sur la page Packs de contenu, procédez comme suit :

1. Configurez plusieurs flux pour les familles de produits en fonction du type de journal dont vous avez besoin.
2. Après avoir configuré le flux, vous pouvez éventuellement configurer les autres composants du Content Pack (téléchargés automatiquement en arrière-plan).
   1. Avant de pouvoir utiliser un playbook, vous devez cliquer sur Configurer les intégrations et configurer une instance pour que les playbooks fonctionnent. Pour en savoir plus, consultez Configurer des instances d'intégration.
   2. Pour afficher ou modifier le playbook téléchargé, ou l'exécuter à l'aide du simulateur, cliquez sur Afficher les playbooks. Pour en savoir plus, consultez Utiliser le simulateur de playbook. Vous devez copier le nom du playbook et le rechercher dans le dossier par défaut de la page Playbooks.
   3. Cliquez sur Afficher toutes les règles de détection pour ouvrir la page Détections optimisées.
   4. Cliquez sur Voir toutes les requêtes de recherche pour ouvrir la page Recherche SIEM.
   5. Cliquez sur Afficher tous les tableaux de bord pour ouvrir la page Tableaux de bord.

Que puis-je faire sur la page "Détections optimisées" ?

Sur la page Détections optimisées, vous pouvez afficher toutes les définitions de règles de détection compatibles dans Google SecOps, y compris la logique et le code des règles.

Pour afficher et modifier les détections optimisées (règles), procédez comme suit :

1. Recherchez l'ensemble de règles requis que vous souhaitez mettre à jour, puis cliquez sur Afficher et gérer.
2. Dans la barre latérale qui s'ouvre dans l'onglet Aperçu, cliquez sur Gérer la règle. Vous serez redirigé vers l'ensemble de règles complet sur la page Détections optimisées.
3. Vous pouvez également cliquer sur l'onglet Définition de la règle dans la barre latérale qui s'ouvre. La logique de la règle s'affiche. Vous ne pouvez pas modifier la règle à partir d'ici, mais vous pouvez en créer une sur la page Règles. Cliquez sur Afficher les performances de la règle pour accéder à la page Détections et gérer la règle.

Remarque : Dans certains cas, il est possible que vous ne puissiez pas afficher la logique de la règle. Cela est volontaire.

Que puis-je faire sur la page "Intégrations de réponses" ?

Sur la page Intégrations de réponse, vous pouvez afficher les détails de l'intégration, y compris les notes de version, et configurer les intégrations de réponse individuelles. Elles peuvent être utilisées pour les connecteurs SOAR et les playbooks.

Vous pouvez également effectuer un rollback d'une intégration vers une version précédente si une mise à jour entraîne des problèmes ou si vous devez annuler des modifications de code personnalisé.

Pour installer et configurer une intégration :

1. Recherchez l'intégration requise, puis cliquez sur Installer.
2. Une fois l'installation terminée, cliquez sur Configurer sur la même intégration pour commencer la configuration. Pour en savoir plus, consultez Configurer des instances d'intégration.

Que puis-je faire sur la page "Tableaux de bord" ?

Sur la page Tableaux de bord, vous pouvez afficher les détails des tableaux de bord préinstallés et en ajouter de nouveaux. Pour afficher ou gérer un tableau de bord, qu'il soit préinstallé ou ajouté depuis le Content Hub, accédez à la page Tableaux de bord. Remarque : Les tableaux de bord ajoutés via le Content Hub sont étiquetés Marketplace.

Que puis-je faire sur la page "Playbooks et blocs" ?

Sur la page Playbooks et blocs, vous pouvez afficher et installer des playbooks et des blocs de playbook (playbooks imbriqués). Vous pouvez afficher les playbooks en fonction de différents filtres et catégories. Par exemple, vous pouvez n'afficher que les playbooks contenant des intégrations que vous avez déjà installées sur votre instance, ou choisir de n'afficher que les playbooks contenant des intégrations spécifiques.

Pour afficher et installer un playbook ou un bloc de playbook :

1. Recherchez le playbook ou le bloc requis, puis cliquez sur Afficher les détails.
2. Dans le panneau latéral qui s'ouvre, parcourez les informations, puis cliquez sur Ajouter.
3. Sélectionnez l'environnement auquel ajouter le playbook ou le bloc.
4. Cliquez sur le lien pour être redirigé vers la page du Créateur de playbook, où le playbook que vous venez d'ajouter s'affiche. Vous pouvez ajouter plusieurs fois le même playbook. Chaque playbook sera intitulé avec un numéro croissant.

Remarque : La page "Playbooks" n'indique pas les playbooks ou les blocs de playbook que vous avez ajoutés.

Pour en savoir plus, consultez la page Playbooks.

Que puis-je faire sur la page "Requêtes de recherche" ?

Sur la page Requêtes de recherche, vous pouvez afficher les détails des requêtes de recherche et en ajouter de nouvelles. Une fois que vous avez ajouté une requête de recherche, elle est ajoutée aux recherches enregistrées et partagée au sein de l'instance. Pour afficher ou gérer les requêtes enregistrées, accédez à la page Recherche SIEM.

Que puis-je faire sur la page "Power Ups" ?

Sur la page Power Ups, vous pouvez afficher les détails, installer et configurer les Power Ups Google SecOps à utiliser dans les playbooks. Pour savoir comment les configurer, consultez Utiliser les Power Ups.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.