內容中心總覽

支援的服務：

Google SecOps SIEM SOAR

注意：這項功能適用《Google Security Operations 服務專屬條款》的《正式發布前產品條款》。正式發布前的功能只提供部分支援，對正式發布前的功能所做的變更可能與其他正式發布前的版本不相容。詳情請參閱《Google SecOps 技術支援服務指南》和《Google SecOps 服務專屬條款》。
如果環境中未顯示這項功能，請參閱「管理預先發布版功能」或與系統管理員聯絡。

注意：這項功能僅適用於使用 Google Security Operations 整合平台的客戶。

注意：如果平台中未顯示內容中心，請確認您已設定客戶自行管理的專案。詳情請參閱「設定功能存取權」。此外，您必須與 Google SecOps 代表聯絡，請對方啟用 Chronicle API 功能旗標。

內容中心權限

如果客戶尚未將 SOAR 執行個體遷移至 Google Cloud，請務必在「設定」>「存取權管理」>「權限 (API 金鑰)」頁面中，設定 「Marketplace」和「回應整合」權限。

其他客戶如要存取內容中心內的模組，必須在 IAM 模組中設定下列權限。

IAM 權限名稱	顯示名稱	IAM 角色
chronicle.googleapis.com/featuredContentSearchQueries.get	取得搜尋查詢內容	chronicle.reader
chronicle.googleapis.com/featuredContentSearchQueries.list	清單搜尋查詢內容	chronicle.reader
chronicle.googleapis.com/featuredContentSearchQueries.install	安裝搜尋查詢內容	chronicle.writer
chronicle.googleapis.com/featuredContentRules.list	列出精選內容規則	chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.get	取得資訊主頁內容	chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.list	列出資訊主頁內容	chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.install	安裝資訊主頁內容	chronicle.writer
chronicle.googleapis.com/feedPacks.get	取得動態消息套件	chronicle.reader
chronicle.googleapis.com/feedPacks.list	列出動態饋給套件	chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.get	取得精選內容教戰手冊	chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.list	精選內容清單教戰手冊	chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.install	安裝精選內容教戰手冊	chronicle.writer

總覽

內容中心是集中式平台，可在 Google SecOps 中探索、部署及管理內容。

在內容中心，您可以執行下列操作：

• 部署端對端內容套件 (包括記錄擷取、精選偵測規則和資訊主頁)，讓 Google SecOps 執行個體能與我們定義的熱門支援清單中的產品搭配使用。
• 安裝 SOAR 應對手冊和連接器的第三方整合服務。
• 查看及篩選精選偵測規則、檢查個別規則屬性，以及各自的規則定義 (精選偵測規則資訊公開)。前往「規則集」頁面，即可使用完整的管理功能。
• 新增資訊主頁，提高能見度。
• 將儲存的搜尋查詢新增至 SIEM 搜尋，方便快速重複使用。
• 安裝並執行 Power Up，擴充應對手冊功能。
• 安裝並執行應對手冊，提供 SOAR 回應。
• 在「首頁」存取舊版 SOAR 應用實例。

內容類型

內容中心提供四種內容：

• Google：由 Google SecOps 開發、維護及驗證的內容，這個類別包含新發布和更新過的內容項目。
• 合作夥伴：由合作夥伴開發及維護的內容。這類內容已通過 Google 的自動化品質與驗證檢查。合作夥伴內容會提供專屬的支援聯絡資料。
• 社群：由社群使用者開發及維護的內容。這類內容已通過 Google 的自動化品質與驗證檢查。
• 自訂：由您建立且僅顯示在個人內容中心的內容，這類內容僅限您的執行個體使用，不會經過 Google SecOps 驗證。

我可以在首頁執行哪些操作？

「首頁」是內容中心的主要到達網頁，你可以在這裡存取下列項目：

• 內容套件、回應整合、資訊主頁、搜尋查詢、Power Up 和精選偵測規則。
• 舊版 SOAR 應用實例。Google 建議使用新的內容套件，而非舊版用途，因為內容套件提供更全面且整合的解決方案。

您可以同時搜尋所有內容類型，包括內容套件、偵測、回應整合和資訊主頁。這樣就不必逐一瀏覽分頁來尋找相關資產。 平台會顯示結果，以及每種類型的相符項目總數。點選任一結果即可查看詳細資料。

舉例來說，如果您在「Search」欄位中搜尋 Crowdstrike，平台會傳回下列結果：

• 內容套件 (1)：例如 Crowdstrike Falcon Comprehensive Pack。
• 精選偵測規則 (42)：顯示前四張資訊卡，例如「Crowdstrike Falcon：偵測到惡意軟體」和「Crowdstrike Falcon：感應器遭竄改」。按一下「查看全部 42 項結果」，直接前往「偵測」分頁。
• 回應整合 (2)：例如 Crowdstrike Falcon (回應)，用於「隔離主機」等應對手冊動作。
• 資訊主頁 (3)

我可以在「內容套件」頁面執行哪些操作？

在「Content Packs」(內容套件) 頁面中，您可以設定單一和多個動態饋給，以及存取所有其他 Content Hub 選項。

如要在「Content Packs」(內容套件) 頁面上加入所有資料，請按照下列步驟操作：

1. 根據所需的記錄類型，為產品系列設定多個動態饋給。
2. 設定動態饋給後，您可以視需要設定內容套件的其他元件 (會在背景自動下載)。
   1. 您必須先點選「設定整合功能」並設定執行個體，才能使用任何應對手冊。詳情請參閱「設定整合執行個體」。
   2. 如要查看或變更下載的 Playbook，或使用模擬器執行 Playbook，請按一下「View Playbooks」。詳情請參閱「使用應對手冊模擬工具」。您需要複製 Playbook 名稱，然後在「Playbooks」頁面的「Default」資料夾中搜尋。
   3. 按一下「查看所有偵測規則」，開啟「精選偵測規則」頁面。
   4. 按一下「查看所有搜尋查詢」，開啟「SIEM 搜尋」頁面。
   5. 按一下「查看所有資訊主頁」，開啟「資訊主頁」頁面。

我可以在「精選偵測規則」頁面執行哪些操作？

在「精選偵測規則」頁面，您可以查看 Google SecOps 支援的所有偵測規則定義，包括規則邏輯和程式碼。

如要查看及修改精選偵測規則，請按照下列步驟操作：

1. 找出要更新的必要規則集，然後按一下「查看及管理」。
2. 在「總覽」分頁開啟的側邊欄中，按一下「管理規則」。系統會將您導向「精選偵測規則」頁面上的 完整規則集。
3. 或者，在開啟的側欄中，按一下「規則定義」分頁標籤。系統會顯示規則邏輯。您無法在這裡修改規則，但可以在「規則」頁面建立新規則。按一下「查看規則成效」，即可前往「偵測」頁面管理規則。

注意：在某些情況下，您可能無法查看規則邏輯。這是正常現象。

我可以在「回應整合」頁面執行哪些操作？

在「Response Integrations」(回應整合) 頁面中，您可以查看整合詳細資料 (包括版本資訊)，以及設定個別回應整合。這些憑證可用於 SOAR 連接器和應對手冊。

如果更新造成問題，或需要復原自訂程式碼變更，您也可以將整合復原至先前版本。

如要安裝及設定整合功能，請按照下列步驟操作：

1. 找到所需整合項目，然後按一下「安裝」。
2. 安裝成功後，請在同一項整合功能上按一下「設定」，開始設定。詳情請參閱「設定整合執行個體」。

「資訊主頁」頁面提供哪些功能？

在「Dashboards」(資訊主頁) 頁面中，您可以查看預先安裝資訊主頁的詳細資料，以及新增資訊主頁。如要查看或管理任何資訊主頁 (無論是預先安裝或從內容中心新增)，請前往「資訊主頁」頁面。注意：透過內容中心新增的資訊主頁會標示為「Marketplace」Marketplace。

我可以在「應對手冊和區塊」頁面執行哪些操作？

在「Playbooks and Blocks」(教戰手冊和區塊) 頁面中，您可以查看及安裝教戰手冊和教戰手冊區塊 (巢狀教戰手冊)。您可以根據各種篩選條件和類別顯示教戰手冊。舉例來說，您可以只顯示包含已安裝在執行個體上的整合項目的教戰手冊，也可以選擇只顯示包含特定整合項目的教戰手冊。

如要查看及安裝教戰手冊或教戰手冊區塊，請按照下列步驟操作：

1. 找到所需的教戰手冊或區塊，然後按一下「查看詳細資料」。
2. 在開啟的側邊導覽匣中，查看資訊並按一下「新增」。
3. 選取要新增應對手冊或區塊的環境。
4. 點選連結後，系統會重新導向至 Playbook 設計工具頁面，並顯示您剛才新增的 Playbook。您可以多次新增同一個。每個應對手冊都會以遞增數字命名。

注意：「Playbooks」頁面不會顯示你新增了哪些 Playbook 或 Playbook 區塊。

詳情請參閱「Playbook」頁面。

我可以在「搜尋查詢」頁面執行哪些操作？

在「搜尋查詢」頁面中，您可以查看搜尋查詢詳細資料，以及新增查詢。新增搜尋查詢後，該查詢會加入已儲存的搜尋，並在執行個體內共用。如要查看或管理已儲存的查詢，請前往「SIEM Search」頁面。

我可以在「Power Up」頁面執行哪些操作？

在「Power Ups」頁面，您可以查看詳細資料、安裝及設定 Google SecOps Power Ups，以便在應對手冊中使用。如需設定操作說明，請參閱「使用 Power Up」。

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。