コンテンツハブの概要

以下でサポートされています。

コンテンツ ハブの権限

SOAR インスタンスを Google Cloudに移行していないお客様の場合は、[設定] > [アクセス管理] > [権限（API キー）] ページで、[マーケットプレイス] 権限と [レスポンス統合] 権限が設定されていることを確認します。

その他のお客様が Content Hub 内のモジュールにアクセスするには、IAM モジュールで次の権限を構成する必要があります。

IAM 権限名 表示名 IAM のロール
chronicle.googleapis.com/featuredContentSearchQueries.get 検索クエリのコンテンツを取得する chronicle.reader
chronicle.googleapis.com/featuredContentSearchQueries.list 検索クエリの内容を一覧表示する chronicle.reader
chronicle.googleapis.com/featuredContentSearchQueries.install 検索クエリのコンテンツをインストールする chronicle.writer
chronicle.googleapis.com/featuredContentRules.list 注目のコンテンツのルールを一覧表示する chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.get ダッシュボードのコンテンツを取得する chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.list ダッシュボードのコンテンツを一覧表示する chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.install ダッシュボード コンテンツをインストールする chronicle.writer
chronicle.googleapis.com/feedPacks.get フィードパックを取得する chronicle.reader
chronicle.googleapis.com/feedPacks.list フィードパックを一覧表示する chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.get 注目のコンテンツ ハンドブックを入手する chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.list 注目のコンテンツ ハンドブックを一覧表示する chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.install 注目のコンテンツのハンドブックをインストールする chronicle.writer

概要

コンテンツ ハブは、Google SecOps 内のコンテンツを検出、デプロイ、管理するための一元化されたプラットフォームとして機能します。

コンテンツ ハブでは、次の操作を行うことができます。

  • エンドツーエンドのコンテンツ パック（ログの取り込み、キュレーテッド検出、ダッシュボードを含む）をデプロイして、Google SecOps インスタンスが、定義済みのサポート対象リストの上位にあるプロダクトと連携できるようにします。
  • SOAR プレイブックとコネクタ用のサードパーティ統合をインストールする。
  • キュレーテッド検出の表示とフィルタ、個々のルール属性とそれぞれのルール定義の検査（キュレーテッド検出の透明性）。完全な管理機能については、[ルールセット] ページに移動します。
  • ダッシュボードを追加して、可視性を高めます。
  • 保存した検索クエリを SIEM 検索に追加して、すばやく再利用できるようにします。
  • Power Up をインストールして実行し、ハンドブックの機能を拡張します。
  • ハンドブックをインストールして実行し、SOAR レスポンスを提供する。
  • [ホーム] ページで以前の SOAR ユースケースにアクセスします。

コンテンツ タイプ

コンテンツ ハブには、次の 4 種類のコンテンツがあります。

  • Google: Google SecOps によって開発、保守、検証されているコンテンツです。このカテゴリには、新規のコンテンツ アイテムと更新されたコンテンツ アイテムの両方が含まれます。
  • パートナー: パートナーによって開発、保守されているコンテンツです。このコンテンツは、Google の自動品質チェックと検証チェックによって検証されています。パートナー コンテンツでは、専用のサポート連絡先情報が提供されます。
  • コミュニティ: コミュニティ ユーザーによって開発、保守されているコンテンツです。このコンテンツは、Google の自動品質チェックと検証チェックによって検証されています。
  • カスタム: 貴社が作成したコンテンツであり、貴社のコンテンツハブにのみ表示されます。このコンテンツは貴社のインスタンスに対してのみ公開され、Google SecOps による検証は行われません。

[ホーム] ページではどのようなことができますか？

[ホーム] ページは、コンテンツ ハブのメイン ランディング ページです。ここから、次の機能にアクセスできます。

  • コンテンツ パック、レスポンス統合、ダッシュボード、検索クエリ、Power Up、キュレーテッド検出。
  • 以前の SOAR のユースケース。Google では、従来のユースケースではなく、新しいコンテンツ パックを使用することをおすすめします。これは、より包括的で統合されたソリューションを提供するためです。

コンテンツ パック、検出、レスポンス統合、ダッシュボードなど、すべてのコンテンツ タイプを同時に検索できます。この機能により、関連するアセットを見つけるために個々のタブを移動する必要がなくなります。プラットフォームには、各タイプの一致の合計数を含む結果が表示されます。いずれかの結果をクリックすると、詳細が表示されます。

たとえば、[検索] フィールドで「Crowdstrike」を検索すると、プラットフォームは次を返します。

  • コンテンツ パック（1）: Crowdstrike Falcon Comprehensive Pack など。
  • キュレーテッド検出（42）: 「Crowdstrike Falcon: マルウェアの検出」や「Crowdstrike Falcon: センサーの改ざん」など、上位 4 つのカードが表示されます。[View all 42 results] をクリックして、[Detections] タブに直接移動します。
  • レスポンス統合（2）: 例: Crowdstrike Falcon（レスポンス）- 「ホストの隔離」などのハンドブック アクションに使用されます。
  • ダッシュボード（3）

[コンテンツ パック] ページでは何ができますか？

[コンテンツ パック] ページでは、単一フィードと複数フィードを構成したり、他のすべてのコンテンツ ハブ オプションにアクセスしたりできます。

[コンテンツ パック] ページですべてのデータをオンボーディングする手順は次のとおりです。

  1. 必要なログタイプに基づいて、プロダクト ファミリーに複数のフィードを構成します。
  2. フィードを設定したら、必要に応じて、コンテンツ パックの残りのコンポーネントを構成できます（バックグラウンドで自動的にダウンロードされます）。
    1. ハンドブックを使用する前に、[Configure Integrations] をクリックしてインスタンスを設定し、ハンドブックが機能するようにする必要があります。詳細については、統合インスタンスを構成するをご覧ください。
    2. ダウンロードしたハンドブックを表示または変更する場合、またはシミュレータを使用して実行する場合は、[ハンドブックを表示] をクリックします。詳細については、ハンドブック シミュレータの操作をご覧ください。ハンドブック名をコピーして、[ハンドブック] ページの [デフォルト] フォルダで検索する必要があります。
    3. [すべての検出ルールを表示] をクリックして、[キュレーテッド検出] ページを開きます。
    4. [すべての検索クエリを表示] をクリックして、[SIEM 検索] ページを開きます。
    5. [すべてのダッシュボードを表示] をクリックして、[ダッシュボード] ページを開きます。

[キュレーテッド検出] ページでできること

[キュレーテッド検出] ページでは、Google SecOps でサポートされているすべての検出ルール定義（ルールのロジックとコードを含む）を表示できます。

キュレーテッド検出（ルール）を表示して変更する手順は次のとおりです。

  1. 更新するルールセットを見つけて、[表示と管理] をクリックします。
  2. [概要] タブに表示されるサイドバーで、[ルールを管理] をクリックします。[キュレーテッド検出] ページにルールセット全体が表示されます。
  3. または、表示されたサイドバーで、[ルールの定義] タブをクリックします。ルールのロジックが表示されます。ここからルールを変更することはできませんが、[ルール] ページで新しいルールを作成できます。[ルールのパフォーマンスを表示] をクリックして [検出] ページに移動し、ルールを管理します。

[Response Integrations] ページでは何ができますか？

[レスポンス統合] ページでは、リリースノートなどの統合の詳細を確認し、個々のレスポンス統合を構成できます。これらは SOAR コネクタとハンドブックに使用できます。

更新によって問題が発生した場合や、カスタムコードの変更を元に戻す必要がある場合は、統合を以前のバージョンにロールバックすることもできます。

統合をインストールして構成するには:

  1. 必要な統合を見つけて、[インストール] をクリックします。
  2. インストールが正常に完了したら、同じ統合で [構成] をクリックして設定を開始します。詳細については、統合インスタンスを構成するをご覧ください。

[ダッシュボード] ページでできること

[ダッシュボード] ページでは、プリインストールされたダッシュボードの詳細を表示したり、新しいダッシュボードを追加したりできます。プリインストールされているダッシュボードや、コンテンツ ハブから追加されたダッシュボードを表示または管理するには、[ダッシュボード] ページに移動します。注: コンテンツ ハブから追加されたダッシュボードには、[Marketplace] というラベルが付けられます。

[ハンドブックとブロック] ページでできること

[ハンドブックとブロック] ページでは、ハンドブックとハンドブック ブロック（ネストされたハンドブック）の両方を表示してインストールできます。さまざまなフィルタやカテゴリに従って、ハンドブックを表示できます。たとえば、インスタンスにすでにインストールされている統合を含むハンドブックのみを表示したり、特定の統合を含むハンドブックのみを表示したりできます。

ハンドブックまたはハンドブック ブロックを表示してインストールするには:

  1. 必要なハンドブックまたはブロックを見つけて、[詳細を表示] をクリックします。
  2. 表示されたサイドドロワーで、情報を確認して [追加] をクリックします。
  3. ハンドブックまたはブロックを追加する環境を選択します。
  4. リンクをクリックすると、ハンドブック デザイナー ページにリダイレクトされ、追加したハンドブックが表示されます。同じハンドブックを複数回追加できます。各ハンドブックには、昇順の番号が付けられます。

詳細については、ハンドブック ページをご覧ください。

[検索クエリ] ページでは何ができますか？

[検索クエリ] ページでは、検索クエリの詳細を表示したり、新しいクエリを追加したりできます。検索クエリを追加すると、保存した検索に追加され、インスタンス内で共有されます。保存済みクエリを表示または管理するには、[SIEM 検索] ページに移動します。

[Power Up] ページでは何ができますか？

[Power Ups] ページでは、ハンドブックで使用する Google SecOps Power Ups の詳細の表示、インストール、構成を行うことができます。設定手順については、パワーアップを使用するをご覧ください。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。