Panoramica dell'hub dei contenuti

Supportata in:

Google SecOps

Nota: questa funzionalità è coperta dai Termini delle offerte pre-GA dei Termini di servizio specifici di Google Security Operations. Le funzionalità pre-GA potrebbero avere supporto limitato e le modifiche alle funzionalità pre-GA potrebbero non essere compatibili con altre versioni pre-GA. Per saperne di più, consulta le linee guida per i servizi di assistenza tecnica di Google SecOps e i Termini di servizio specifici di Google SecOps.
Se questa funzionalità non è visibile nel tuo ambiente, consulta Gestisci le funzionalità in anteprima o contatta l'amministratore di sistema.

Nota: questa funzionalità è riservata ai clienti che utilizzano la piattaforma unificata Google Security Operations.

Nota: se non vedi l'hub dei contenuti nella tua piattaforma, assicurati di aver configurato un progetto gestito dal cliente. Per saperne di più, consulta Configura l'accesso alle funzionalità. Inoltre, devi contattare il tuo rappresentante di Google SecOps e chiedergli di attivare il flag di funzionalità dell'API Chronicle.

Autorizzazioni per l'hub dei contenuti

Per i clienti che non hanno eseguito la migrazione della propria istanza SOAR a Google Cloud, assicurati che le autorizzazioni Marketplace e Integrazioni di risposta siano impostate nella pagina Impostazioni > Gestione degli accessi > Autorizzazioni (chiavi API).

Per tutti gli altri clienti, per accedere ai moduli all'interno di Content Hub, è necessario configurare le seguenti autorizzazioni nel modulo IAM.

Nome dell'autorizzazione IAM	Nome visualizzato	Ruolo in IAM
chronicle.googleapis.com/featuredContentSearchQueries.get	Ottieni i contenuti della query di ricerca	chronicle.reader
chronicle.googleapis.com/featuredContentSearchQueries.list	Elenco dei contenuti delle query di ricerca	chronicle.reader
chronicle.googleapis.com/featuredContentSearchQueries.install	Installa i contenuti della query di ricerca	chronicle.writer
chronicle.googleapis.com/featuredContentRules.list	Regole per l'elenco dei contenuti in primo piano	chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.get	Ottieni i contenuti della dashboard	chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.list	Elenca i contenuti della dashboard	chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.install	Installa i contenuti della dashboard	chronicle.writer
chronicle.googleapis.com/feedPacks.get	Ottieni i pacchetti di feed	chronicle.reader
chronicle.googleapis.com/feedPacks.list	Elenca i pacchetti di feed	chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.get	Ottieni il playbook sui contenuti in primo piano	chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.list	Guida pratica ai contenuti in primo piano di List	chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.install	Installa il playbook dei contenuti in primo piano	chronicle.writer

Panoramica

L'hub dei contenuti funge da piattaforma centralizzata per la scoperta, il deployment e la gestione dei contenuti all'interno di Google SecOps.

Dall'hub dei contenuti puoi:

• Esegui il deployment di pacchetti di contenuti end-to-end (tra cui importazione dei log, rilevamenti predefiniti e dashboard) per consentire alla tua istanza Google SecOps di funzionare con i prodotti dell'elenco dei prodotti supportati principali che abbiamo definito.
• Installa integrazioni di terze parti per i playbook e i connettori SOAR.
• Visualizzare e filtrare i rilevamenti predefiniti, ispezionare i singoli attributi delle regole e le rispettive definizioni (trasparenza dei rilevamenti predefiniti). Vai alla pagina Set di regole per le funzionalità di gestione complete.
• Aggiungi dashboard per migliorare la visibilità.
• Aggiungi query di ricerca salvate alla ricerca SIEM per riutilizzarle rapidamente.
• Installa ed esegui i potenziamenti per estendere le funzionalità del playbook.
• Installa ed esegui i playbook per fornire risposte SOAR.
• Accedi ai casi d'uso SOAR legacy nella pagina Home.

Tipi di contenuti

Nell'hub dei contenuti sono disponibili quattro tipi di contenuti:

• Google: contenuti sviluppati, gestiti e verificati da Google SecOps. Questa categoria include elementi di contenuti nuovi e aggiornati.
• Partner: contenuti sviluppati e gestiti da un partner. Questi contenuti sono stati convalidati tramite i controlli automatici di qualità e convalida di Google. Per i contenuti dei partner, vengono forniti i dati di contatto specifici dell'assistenza.
• Community: contenuti sviluppati e gestiti dagli utenti della community. Questi contenuti sono stati convalidati tramite i controlli automatici di qualità e convalida di Google.
• Personalizzati: contenuti creati da te e visualizzati solo nel tuo Hub dei contenuti. Questi contenuti sono privati per la tua istanza e non sono verificati da Google SecOps.

Che cosa posso fare nella home page?

La Home page è la pagina di destinazione principale dell'hub dei contenuti. Da qui puoi accedere a:

• Pacchetti di contenuti, integrazioni di risposta, dashboard, query di ricerca, potenziamenti e rilevamenti predefiniti.
• Casi d'uso di SOAR legacy. Google consiglia di utilizzare i nuovi Content Pack anziché i casi d'uso precedenti, perché offrono soluzioni più complete e integrate.

Puoi eseguire ricerche contemporaneamente in tutti i tipi di contenuti, inclusi Content Pack, rilevamenti, integrazioni di risposta e dashboard. Questa funzionalità elimina la necessità di navigare tra le singole schede per trovare gli asset correlati. La piattaforma mostra i risultati con il numero totale di corrispondenze per ogni tipo. Puoi fare clic su uno dei risultati per visualizzare ulteriori dettagli.

Ad esempio, se cerchi Crowdstrike nel campo Cerca, la piattaforma restituisce quanto segue:

• Pacchetti di contenuti (1): ad esempio, il pacchetto completo Crowdstrike Falcon.
• Rilevamenti predefiniti (42): vengono visualizzate le prime quattro schede, ad esempio "Crowdstrike Falcon: Malware Detected" e "Crowdstrike Falcon: Sensor Tampering". Fai clic su Visualizza tutti i 42 risultati per andare direttamente alla scheda Rilevamenti.
• Integrazioni di risposta (2): ad esempio, Crowdstrike Falcon (Response), utilizzata per azioni del playbook come "Isola host".
• Dashboard (3)

Che cosa posso fare nella pagina Pacchetti di contenuti?

Nella pagina Pacchetti di contenuti, puoi configurare feed singoli e multipli e accedere a tutte le altre opzioni di Content Hub.

Per eseguire l'onboarding di tutti i dati nella pagina Pacchetti di contenuti, segui questi passaggi:

1. Configura più feed per le famiglie di prodotti in base al tipo di log necessario.
2. Dopo aver configurato il feed, puoi facoltativamente configurare i restanti componenti del Content Pack (scaricati automaticamente in background).
   1. Prima di poter utilizzare un playbook, devi fare clic su Configura integrazioni e configurare un'istanza per consentire il funzionamento dei playbook. Per saperne di più, consulta Configura le istanze di integrazione.
   2. Per visualizzare o apportare modifiche al playbook scaricato o eseguirlo utilizzando il simulatore, fai clic su Visualizza playbook. Per saperne di più, consulta Utilizzo del simulatore di playbook. Devi copiare il nome del playbook e cercarlo nella cartella Default (Predefinita) nella pagina Playbooks (Playbook).
   3. Fai clic su Visualizza tutte le regole di rilevamento per aprire la pagina Rilevamenti predefiniti.
   4. Fai clic su Visualizza tutte le query di ricerca per aprire la pagina Ricerca SIEM.
   5. Fai clic su Visualizza tutte le dashboard per aprire la pagina Dashboard.

Cosa posso fare nella pagina Rilevamenti predefiniti?

Nella pagina Rilevamenti predefiniti, puoi visualizzare tutte le definizioni delle regole di rilevamento supportate in Google SecOps, inclusi il codice e la logica delle regole.

Per visualizzare e modificare i rilevamenti predefiniti (regole), segui questi passaggi:

1. Trova il set di regole che vuoi aggiornare e fai clic su Visualizza e gestisci.
2. Nella barra laterale che si apre nella scheda Panoramica, fai clic su Gestisci regola. Verrà visualizzato l'intero set di regole nella pagina Rilevamenti predefiniti.
3. In alternativa, nella barra laterale che si apre, fai clic sulla scheda Definizione della regola. Viene visualizzata la logica della regola. Non puoi modificare la regola da qui, ma puoi crearne una nuova nella pagina Regole. Fai clic su Visualizza prestazioni regola per passare alla pagina Rilevamenti e gestire la regola.

Nota: in determinate situazioni, potresti non essere in grado di visualizzare la logica della regola. Si tratta di un comportamento intenzionale.

Che cosa posso fare nella pagina Integrazioni delle risposte?

Nella pagina Integrazioni di risposta, puoi visualizzare i dettagli dell'integrazione, incluse le note di rilascio, e configurare le singole integrazioni di risposta. Possono essere utilizzati per i connettori SOAR e per i playbook.

Puoi anche eseguire il rollback di un'integrazione a una versione precedente se un aggiornamento causa problemi o se devi annullare le modifiche al codice personalizzato.

Per installare e configurare un'integrazione:

1. Trova l'integrazione richiesta e fai clic su Install (Installa).
2. Al termine dell'installazione, fai clic su Configura nella stessa integrazione per iniziare la configurazione. Per saperne di più, consulta Configura le istanze di integrazione.

Cosa posso fare nella pagina Dashboard?

Nella pagina Dashboard puoi visualizzare i dettagli delle dashboard preinstallate e aggiungerne di nuove. Per visualizzare o gestire qualsiasi dashboard, preinstallata o aggiunta dall'hub dei contenuti, vai alla pagina Dashboard. Nota: le dashboard aggiunte tramite l'hub dei contenuti sono etichettate come Marketplace.

Cosa posso fare nella pagina Playbook e blocchi?

Nella pagina Playbook e blocchi, puoi visualizzare e installare sia i playbook sia i blocchi di playbook (playbook nidificati). Puoi visualizzare i playbook in base a vari filtri e categorie. Ad esempio, puoi visualizzare solo i playbook che contengono integrazioni che hai già installato sulla tua istanza oppure puoi scegliere di visualizzare solo i playbook con integrazioni specifiche.

Per visualizzare e installare un playbook o un blocco di playbook:

1. Trova il playbook o il blocco richiesto e fai clic su Visualizza dettagli.
2. Nel riquadro laterale che si apre, esamina le informazioni e fai clic su Aggiungi.
3. Seleziona l'ambiente a cui aggiungere il playbook o il blocco.
4. Fai clic sul link per essere reindirizzato alla pagina del designer di playbook con il playbook appena aggiunto. Puoi aggiungere lo stesso playbook più volte. Ogni playbook avrà un titolo con un numero crescente.

Nota: la pagina Playbook non mostra indicazioni sui playbook o sui blocchi di playbook che hai aggiunto.

Per saperne di più, consulta la pagina Playbook.

Che cosa posso fare nella pagina Query di ricerca?

Nella pagina Query di ricerca, puoi visualizzare i dettagli delle query di ricerca e aggiungerne di nuove. Una volta aggiunta, la query di ricerca viene aggiunta alle ricerche salvate e condivisa all'interno dell'istanza. Per visualizzare o gestire le query salvate, vai alla pagina Ricerca SIEM.

Cosa posso fare nella pagina Power Up?

Nella pagina Power Up, puoi visualizzare i dettagli, installare e configurare i Power Up di Google SecOps da utilizzare nei playbook. Per istruzioni sulla configurazione, consulta Utilizza i potenziamenti.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.