Comprendre la plate-forme Google SecOps
Dans la plate-forme Google Security Operations, vous verrez que les zones sont divisées en SIEM et SOAR. En effet, la plate-forme fournit des outils de gestion des informations et des événements de sécurité (SIEM) et d'orchestration de la sécurité, d'automatisation et de réponse (SOAR). Certaines parties de la plate-forme Google SecOps sont spécifiques à SIEM ou à SOAR, et sont donc étiquetées comme telles.
Recherche SIEM et recherche SOAR
La plate-forme Google SecOps comporte une page de recherche pour le SIEM et une autre pour le SOAR.
Sur la page Recherche SIEM, vous pouvez rechercher et examiner les éléments suivants :
- Événements UDM (Unified Data Model) : l'UDM est un format de données standardisé utilisé dans Google SecOps pour représenter de manière cohérente les événements liés à la sécurité provenant de différentes sources. Un événement est généré à partir d'une source de journaux bruts ingérée dans Google SecOps et traitée par le processus d'ingestion et de normalisation de Google SecOps.
- Alertes : détections de règles avec alertes activées, ou alertes ingérées à partir de connecteurs SOAR et de webhooks.
- Journaux bruts : télémétrie de journaux bruts non analysés.
- Jointures : corrèlent et combinent des données brutes provenant de plusieurs sources en fonction de valeurs de champ communes.
- Statistiques : événements UDM dont les résultats sont regroupés pour une analyse statistique.
- Demandes et historiques des demandes : demandes de sécurité et journaux d'audit de l'historique des demandes, que vous pouvez mettre en corrélation avec d'autres données de sécurité.
Pour en savoir plus sur la recherche SIEM, consultez Comprendre la recherche.
La page Recherche SOAR se concentre sur deux domaines principaux : les demandes et les entités. Sur cette page, vous pouvez rechercher des demandes ouvertes ou fermées, ou des entités impliquées dans des demandes. Vous pouvez explorer les entités qui vous intéressent pour obtenir plus d'informations à leur sujet. Vous pouvez effectuer des actions groupées sur vos résultats de recherche, comme fusionner des demandes. Pour en savoir plus, consultez Rechercher des demandes et des entités.
Anciens tableaux de bord SIEM et anciens tableaux de bord SOAR
Les anciens tableaux de bord SIEM affichent des informations sur les données d'événement UDM. Cela inclut la télémétrie de sécurité, les métriques d'ingestion, les détections, les alertes, les IOC, etc. Pour en savoir plus, consultez Présentation de l'ancien tableau de bord SIEM.
Les anciens tableaux de bord SOAR affichent des informations sur les cas, les playbooks et les données des analystes SOC. Vous pouvez créer des tableaux de bord et les partager avec d'autres utilisateurs. Pour en savoir plus, consultez Présentation des anciens tableaux de bord SOAR.
Pour obtenir des informations générales sur les tableaux de bord, consultez Présentation des tableaux de bord.
Ingérer des données à l'aide du SIEM Google SecOps et de systèmes SIEM tiers
La plate-forme Google SecOps vous permet non seulement d'ingérer des alertes à l'aide de la plate-forme SIEM intégrée (qui ingère les journaux bruts à l'aide de connecteurs et de flux de données), mais accepte également les alertes provenant de systèmes et d'outils SIEM tiers (à l'aide de SOAR > Connecteurs et webhooks).
Cette fonctionnalité vous permet d'utiliser d'autres systèmes SIEM en plus de l'offre Google SecOps SIEM. Google recommande d'utiliser le SIEM intégré dans la mesure du possible pour une expérience plus fluide.
Les alertes ingérées à partir du SIEM intégré et de systèmes tiers peuvent être regroupées dans des cas et examinées dans le cadre des fonctionnalités de gestion des cas. Les alertes ingérées à partir de systèmes tiers sont envoyées au côté SIEM de la plate-forme et peuvent être consultées à l'aide de la recherche SIEM, mais ne sont pas soumises aux règles SIEM intégrées.
Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.