Visão geral do hub de conteúdo

Compatível com:

Google SecOps

Observação: esse recurso é coberto pelos Termos de produtos e recursos em pré-GA dos Termos específicos de serviço do Google Security Operations. Os recursos pré-GA podem ter suporte limitado, e as mudanças realizadas podem não ser compatíveis com outras versões pré-GA. Para mais informações, consulte as diretrizes do serviço de suporte técnico do Google SecOps e os Termos específicos de serviço do Google SecOps.
Se esse recurso não estiver visível no seu ambiente, consulte Gerenciar recursos em fase de pré-lançamento ou entre em contato com o administrador do sistema.

Observação: esse recurso é destinado apenas a clientes que usam a plataforma unificada do Google Security Operations.

Observação: se você não encontrar o Content Hub na sua plataforma, verifique se configurou um projeto gerenciado pelo cliente. Para mais informações, consulte Configurar o acesso a recursos. Além disso, você precisa entrar em contato com seu representante do Google SecOps e pedir que ele ative a flag de recurso da API Chronicle.

Permissões para o Content Hub

Para clientes que não migraram a instância do SOAR para o Google Cloud, verifique se as permissões do Marketplace e das Integrações de resposta estão definidas na página Configurações > Gerenciamento de acesso > Permissões (chaves de API).

Para todos os outros clientes, para acessar os módulos no Content Hub, é necessário configurar as seguintes permissões no módulo do IAM.

Nome da permissão do IAM	Nome de exibição	Papel no IAM
chronicle.googleapis.com/featuredContentSearchQueries.get	Acessar o conteúdo da consulta de pesquisa	chronicle.reader
chronicle.googleapis.com/featuredContentSearchQueries.list	Listar conteúdo da consulta de pesquisa	chronicle.reader
chronicle.googleapis.com/featuredContentSearchQueries.install	Instalar o conteúdo da consulta de pesquisa	chronicle.writer
chronicle.googleapis.com/featuredContentRules.list	Listar regras de conteúdo em destaque	chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.get	Acessar o conteúdo do painel	chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.list	Listar o conteúdo do painel	chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.install	Instalar conteúdo do painel	chronicle.writer
chronicle.googleapis.com/feedPacks.get	Receber pacotes de feed	chronicle.reader
chronicle.googleapis.com/feedPacks.list	Listar pacotes de feed	chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.get	Acessar o manual de conteúdo em destaque	chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.list	Manual de conteúdo em destaque da lista	chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.install	Instalar o playbook de conteúdo em destaque	chronicle.writer

Visão geral

O Hub de Conteúdo é uma plataforma centralizada para descobrir, implantar e gerenciar conteúdo no Google SecOps.

No Content Hub, é possível fazer o seguinte:

• Implante pacotes de conteúdo completos (incluindo ingestão de registros, detecções especializadas e painéis) para que sua instância do Google SecOps funcione com os produtos da lista de principais produtos compatíveis que definimos.
• Instale integrações de terceiros para playbooks e conectores do SOAR.
• Confira e filtre detecções especializadas, inspecione atributos de regras individuais e as respectivas definições de regras (transparência de detecções especializadas). Acesse a página Conjunto de regras para ver todos os recursos de gerenciamento.
• Adicione painéis para melhorar a visibilidade.
• Adicione consultas de pesquisa salvas à pesquisa do SIEM para reutilização rápida.
• Instale e execute os power-ups para ampliar as capacidades do playbook.
• Instalar e executar playbooks para fornecer respostas de SOAR.
• Acesse os casos de uso legados do SOAR na página Início.

Tipos de conteúdo

Há quatro tipos de conteúdo no Hub de Conteúdo:

• Google: conteúdo desenvolvido, mantido e verificado pelo Google SecOps. Esta categoria abrange tanto itens de conteúdo novos quanto atualizados.
• Parceiro: conteúdo desenvolvido e mantido por um parceiro. Este conteúdo passa pelas verificações automáticas de qualidade e validação do Google. Para conteúdos de parceiros, detalhes específicos do contato de suporte são fornecidos.
• Comunidade: conteúdo desenvolvido e mantido por membros da comunidade. Este conteúdo passa pelas verificações automáticas de qualidade e validação do Google.
• Personalizado: conteúdo que você criou e que é exibido apenas no seu hub de conteúdo. Este conteúdo é privado da sua instância e não é verificado pelo Google SecOps.

O que posso fazer na página inicial?

A página Início é a página de destino principal do Content Hub. Nessa página, você pode acessar o seguinte:

• Pacotes de conteúdo, integrações de resposta, painéis, consultas de pesquisa, Power Ups e detecções especializadas.
• Casos de uso legados do SOAR. O Google recomenda o uso dos novos pacotes de conteúdo em vez dos casos de uso legados, porque eles oferecem soluções mais abrangentes e integradas.

É possível pesquisar todos os tipos de conteúdo, incluindo pacotes de conteúdo, detecções, integrações de resposta e painéis, simultaneamente. Esse recurso elimina a necessidade de navegar por guias individuais para encontrar recursos relacionados. A plataforma exibe os resultados com o número total de correspondências para cada tipo. Clique em qualquer um dos resultados para ver mais detalhes.

Por exemplo, se você pesquisar Crowdstrike no campo Pesquisar, a plataforma vai retornar o seguinte:

• Pacotes de conteúdo (1): por exemplo, o pacote abrangente do Crowdstrike Falcon.
• Detecções especializadas (42): os quatro cards principais são exibidos, como "Crowdstrike Falcon: Malware Detected" e "Crowdstrike Falcon: Sensor Tampering". Clique em Ver todos os 42 resultados para acessar diretamente a guia Detecções.
• Integrações de resposta (2): por exemplo, Crowdstrike Falcon (resposta), usado para ações de playbook como "Isolar host".
• Painéis (3)

O que posso fazer na página "Pacotes de conteúdo"?

Na página Pacotes de conteúdo, é possível configurar feeds únicos e múltiplos e acessar todas as outras opções do Content Hub.

Para integrar todos os dados na página Pacotes de conteúdo, siga estas etapas:

1. Configure vários feeds para famílias de produtos com base no tipo de registro necessário.
2. Depois de configurar o feed, você pode configurar os componentes restantes do pacote de conteúdo (baixados automaticamente em segundo plano).
   1. Antes de usar qualquer playbook, clique em Configurar integrações e configure uma instância para que os playbooks funcionem. Para mais informações, consulte Configurar instâncias de integração.
   2. Para ver ou fazer mudanças no playbook baixado ou executá-lo usando o simulador, clique em Ver playbooks. Para mais informações, consulte Como trabalhar com o simulador de playbook. Copie o nome do playbook e pesquise por ele na pasta padrão na página Playbooks.
   3. Clique em Ver todas as regras de detecção para abrir a página Detecções especializadas.
   4. Clique em Ver todas as consultas de pesquisa para abrir a página Pesquisa do SIEM.
   5. Clique em Ver todos os painéis para abrir a página Painéis.

O que posso fazer na página "Detecções Selecionadas"?

Na página Detecções especializadas, é possível conferir todas as definições de regras de detecção compatíveis no Google SecOps, incluindo a lógica e o código das regras.

Para ver e modificar as detecções especializadas (regras), faça o seguinte:

1. Encontre o conjunto de regras obrigatório que você quer atualizar e clique em Ver e gerenciar.
2. Na barra lateral que aparece na guia Visão geral, clique em Gerenciar regra. Você vai acessar o conjunto de regras completo na página Detecções especializadas.
3. Como alternativa, na barra lateral que é aberta, clique na guia Definição da regra. A lógica da regra será exibida. Não é possível modificar a regra aqui, mas você pode criar uma nova na página Regras. Clique em Ver desempenho da regra para acessar a página Detecções e gerenciar a regra.

Observação: em algumas situações, talvez não seja possível ver a lógica da regra. Isso ocorre por design.

O que posso fazer na página "Integrações de resposta"?

Na página Integrações de resposta, é possível conferir os detalhes da integração, incluindo o Notas de lançamento, e configurar as integrações de resposta individuais. Eles podem ser usados para conectores SOAR e playbooks.

Também é possível reverter uma integração para uma versão anterior se uma atualização causar problemas ou se você precisar reverter mudanças no código personalizado.

Para instalar e configurar uma integração:

1. Encontre a integração necessária e clique em Instalar.
2. Após a instalação, clique em Configurar na mesma integração para iniciar a configuração. Para mais informações, consulte Configurar instâncias de integração.

O que posso fazer na página "Painéis"?

Na página Painéis, é possível ver detalhes dos painéis pré-instalados e adicionar novos painéis. Para visualizar ou gerenciar qualquer painel, pré-instalado ou adicionado do Hub de conteúdo, acesse a página Painéis. Observação: os dashboards adicionados pelo Content Hub são rotulados como Marketplace.

O que posso fazer na página "Playbooks e blocos"?

Na página Playbooks e blocos, é possível ver e instalar playbooks e blocos de playbooks (playbooks aninhados). É possível exibir playbooks de acordo com vários filtros e categorias. Por exemplo, é possível exibir apenas playbooks que contenham integrações que você já instalou na instância ou exibir apenas playbooks com integrações específicas.

Para ver e instalar um playbook ou bloco de playbook:

1. Encontre o playbook ou bloco necessário e clique em Ver detalhes.
2. No painel lateral que abrir, confira as informações e clique em Adicionar.
3. Selecione o ambiente em que o playbook ou o bloco será adicionado.
4. Clique no link para ser redirecionado à página do designer de playbook com o playbook que você acabou de adicionar. É possível adicionar o mesmo playbook várias vezes. Cada playbook terá um número crescente como título.

Observação: a página "Playbooks" não mostra indicações de quais playbooks ou blocos de playbook você adicionou.

Para mais informações, consulte a página Playbooks.

O que posso fazer na página "Consultas de pesquisa"?

Na página Consultas de pesquisa, é possível ver os detalhes das consultas e adicionar novas. Depois de adicionar uma consulta de pesquisa, ela é adicionada às pesquisas salvas e compartilhada na instância. Para ver ou gerenciar consultas salvas, acesse a página Pesquisa do SIEM.

O que posso fazer na página de Power Ups?

Na página Power Ups, é possível conferir detalhes, instalar e configurar os Power Ups do Google SecOps para uso em playbooks. Para instruções de configuração, consulte Usar Power Ups.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.