Comprendi la piattaforma Google SecOps
Nella piattaforma Google Security Operations, vedrai che sono presenti aree divise in SIEM e SOAR. Questo perché la piattaforma fornisce strumenti per il security information and event management (SIEM) e il security orchestration, automation and response (SOAR). Alcune parti della piattaforma Google SecOps sono specifiche solo per SIEM o SOAR e pertanto sono etichettate come tali.
Ricerca SIEM e Ricerca SOAR
Nella piattaforma Google SecOps è presente una pagina di ricerca per SIEM e un'altra per SOAR.
Nella pagina Ricerca SIEM, puoi trovare ed esaminare quanto segue:
- Eventi UDM (Unified Data Model): UDM è un formato dei dati standardizzato utilizzato in Google SecOps per rappresentare in modo coerente gli eventi di sicurezza provenienti da varie fonti. Un evento viene generato da un'origine log non elaborata che viene importata in Google SecOps ed elaborata dal processo di importazione e normalizzazione di Google SecOps.
- Avvisi: rilevamenti di regole con avvisi attivati o avvisi importati da connettori e webhook SOAR.
- Log non elaborati: telemetria dei log non elaborata e non analizzata.
- Join: metti in correlazione e combina i dati non elaborati provenienti da più fonti in base ai valori dei campi comuni.
- Statistiche: eventi UDM con i risultati raggruppati per l'analisi statistica.
- Richieste e cronologie delle richieste: richieste di sicurezza e log di controllo della cronologia delle richieste, che puoi correlare con altri dati sulla sicurezza.
Per saperne di più sulla ricerca SIEM, consulta Informazioni sulla ricerca.
La pagina Ricerca SOAR si concentra su due aree principali: casi ed entità. Da questa pagina puoi cercare richieste aperte o chiuse o cercare entità coinvolte nelle richieste. Puoi eseguire il drill-down fino alle entità che stai cercando per visualizzare ulteriori informazioni. Puoi eseguire azioni collettive, come l'unione di richieste, sui risultati di ricerca. Per saperne di più, consulta Cerca richieste ed entità.
Dashboard SIEM legacy e dashboard SOAR legacy
Le dashboard SIEM legacy mostrano informazioni sui dati degli eventi UDM. Sono inclusi telemetria sulla sicurezza, metriche di importazione, rilevamenti, avvisi, IOC e altro ancora. Per saperne di più, consulta la panoramica della dashboard SIEM legacy.
Le dashboard SOAR legacy mostrano informazioni su richieste, playbook e dati degli analisti SOC. Puoi creare nuove dashboard e condividerle con altri utenti. Per saperne di più, consulta Panoramica delle dashboard SOAR legacy.
Per informazioni generali sulle dashboard, consulta Panoramica delle dashboard.
Importazione dei dati utilizzando Google SecOps SIEM e sistemi SIEM di terze parti
La piattaforma Google SecOps non solo consente di importare gli avvisi utilizzando la piattaforma SIEM integrata (che importa i log non elaborati utilizzando connettori e feed di dati), ma accetta anche gli avvisi da sistemi e strumenti SIEM di terze parti (utilizzando SOAR > Connettori e webhook).
Questa funzionalità ti offre la flessibilità di sfruttare altri sistemi SIEM oltre all'offerta Google SecOps SIEM. Google consiglia di utilizzare il SIEM integrato, se possibile, per un'esperienza più semplificata.
Gli avvisi importati sia dal SIEM integrato che da sistemi di terze parti possono essere raggruppati in Richieste ed esaminati nell'ambito delle funzionalità di Case Management. Gli avvisi importati da sistemi di terze parti vengono inviati al lato SIEM della piattaforma e possono essere visualizzati utilizzando la ricerca SIEM, ma non sono soggetti alle regole SIEM integrate.
Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.