Informationen zur Google SecOps-Plattform

Unterstützt in:

Auf der Google Security Operations-Plattform gibt es Bereiche, die in SIEM und SOAR unterteilt sind. Das liegt daran, dass die Plattform Tools für Security Information and Event Management (SIEM) und Security Orchestration, Automation and Response (SOAR) bietet. Einige Teile der Google SecOps-Plattform sind nur für SIEM oder SOAR spezifisch und daher entsprechend gekennzeichnet.

Auf der Google SecOps-Plattform gibt es eine Suchseite für SIEM und eine weitere Suchseite für SOAR.

Auf der Seite SIEM-Suche können Sie Folgendes finden und untersuchen:

  • UDM-Ereignisse (Unified Data Model): UDM ist ein standardisiertes Datenformat, das in Google SecOps verwendet wird, um Sicherheitsereignisse aus verschiedenen Quellen einheitlich darzustellen. Ein Ereignis wird aus einer Rohprotokollquelle generiert, die in Google SecOps aufgenommen und durch den Aufnahme- und Normalisierungsprozess von Google SecOps verarbeitet wird.
  • Benachrichtigungen: Regelerkennungen mit aktivierten Benachrichtigungen oder Benachrichtigungen, die von SOAR-Connectors und Webhooks aufgenommen wurden.
  • Rohlogs: Ungeparste Log-Telemetriedaten.
  • Joins: Rohdaten aus mehreren Quellen anhand gemeinsamer Feldwerte korrelieren und kombinieren.
  • Statistiken: UDM-Ereignisse mit den für die statistische Analyse gruppierten Ergebnissen.
  • Fälle und Fallverläufe: Sicherheitsfälle und Audit-Logs zu historischen Fällen, die Sie mit anderen Sicherheitsdaten korrelieren können.

Weitere Informationen zur SIEM-Suche finden Sie unter Informationen zur Suche.

Die Seite SOAR-Suche konzentriert sich auf zwei Hauptbereiche: Fälle und Entitäten. Auf dieser Seite können Sie nach offenen oder geschlossenen Fällen oder nach Entitäten suchen, die an Fällen beteiligt waren. Sie können die gesuchten Entitäten aufschlüsseln, um weitere Informationen zu ihnen zu erhalten. Sie können Bulk-Aktionen wie das Zusammenführen von Fällen für Ihre Suchergebnisse ausführen. Weitere Informationen finden Sie unter Fälle und Entitäten suchen.

Legacy-SIEM-Dashboards und Legacy-SOAR-Dashboards

Auf Legacy-SIEM-Dashboards werden Informationen zu Ihren UDM-Ereignisdaten angezeigt. Dazu gehören Sicherheitstelemetrie, Aufnahmemesswerte, Erkennungen, Benachrichtigungen, IOCs und mehr. Weitere Informationen finden Sie unter Übersicht über das Legacy-SIEM-Dashboard.

Die Legacy-SOAR-Dashboards enthalten Informationen zu Fällen, Playbooks und SOC-Analystendaten. Sie können neue Dashboards erstellen und für andere Nutzer freigeben. Weitere Informationen finden Sie unter Übersicht über Legacy-SOAR-Dashboards.

Allgemeine Informationen zu Dashboards finden Sie unter Dashboards – Übersicht.

Daten mit Google SecOps SIEM und SIEM-Systemen von Drittanbietern aufnehmen

Mit der Google SecOps-Plattform können Sie nicht nur Benachrichtigungen über die integrierte SIEM-Plattform aufnehmen (die Rohlogs über Connectors und Datenfeeds aufnimmt), sondern auch Benachrichtigungen von SIEM-Systemen und ‑Tools von Drittanbietern (über SOAR > Connectors und Webhooks) akzeptieren.

So können Sie neben dem Google SecOps SIEM-Angebot auch andere SIEM-Systeme nutzen. Google empfiehlt, nach Möglichkeit das integrierte SIEM zu verwenden, um die Nutzung zu optimieren.
Meldungen, die sowohl vom integrierten SIEM als auch von Drittanbietersystemen aufgenommen werden, können in Fällen gruppiert und im Rahmen der Fallverwaltungsfunktionen untersucht werden. Benachrichtigungen, die von Drittanbietersystemen aufgenommen werden, werden an die SIEM-Seite der Plattform gesendet und können über die SIEM-Suche gefunden werden. Sie unterliegen jedoch nicht den integrierten SIEM-Regeln.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten