Metodi di importazione e tipi di dati

Per monitorare efficacemente il tuo ambiente e analizzare gli incidenti, Google Security Operations ti consente di importare un'ampia varietà di dati di sicurezza. Comprendere i tipi di dati che puoi importare nella piattaforma e i metodi utilizzati per importarli è il primo passo per creare una solida postura di sicurezza.

Tipi di dati di importazione

Google SecOps classifica i dati in entrata in quattro tipi principali, ognuno con uno scopo distinto nel ciclo di vita di rilevamento e indagine:

• Log non elaborati: si tratta dei flussi di dati originali e non modificati provenienti dalle tue origini di sicurezza (ad esempio firewall, strumenti EDR e piattaforme cloud). I log, in formati come JSON, Syslog, CSV o testo non strutturato, fungono da "fonte di verità" per analisi forensi approfondite e conformità. Poiché i nomi dei campi variano a seconda del fornitore, i log non elaborati fungono da input iniziale prima che la piattaforma analizzi e normalizzi i nomi dei campi.
• Eventi UDM: gli eventi UDM (Unified Data Model) vengono creati quando i parser convertono i log non elaborati in un formato coerente e indipendente dal fornitore. Ad esempio, termini diversi come src_ip e client-ip vengono standardizzati in un singolo campo principal.ip. I sistemi downstream utilizzano UDM per fornire funzionalità come la ricerca unificata e le regole di rilevamento.
• Dati di contesto delle entità: questi dati forniscono "chi, cosa e dove" per trasformare gli eventi generici in lead significativi. I dati di contesto indicano se un indirizzo IP appartiene a un dirigente di alto livello o a un server di produzione critico. Arricchendo gli eventi con metadati provenienti da origini come Active Directory o CMDB, gli analisti possono dare la priorità alle minacce in base al rischio organizzativo effettivo.
• Avvisi: si tratta di segnali ad alta fedeltà che indicano un'attività che richiede attenzione immediata. Gli avvisi possono essere importati direttamente da prodotti di sicurezza esterni (come CrowdStrike) o generati internamente dal motore di rilevamento YARA-L di Google SecOps quando gli eventi o le entità UDM attivano una regola. Gli avvisi fungono da elementi costitutivi principali per i casi di incidenti.

Informazioni sulle entità di importazione

Le entità forniscono un contesto cruciale per gli eventi di rete. Un evento di rete standard potrebbe mostrare che l'utente abc@foo.corp ha avviato shady.exe, ma non indica se l'utente è un dipendente licenziato di recente.

Il modello dei dati delle entità ti consente di importare queste relazioni, acquisendo un nuovo contesto dai sistemi IAM, di gestione delle vulnerabilità e di protezione dei dati per fornire informazioni dettagliate sulle minacce.

Parser di contesto delle entità pronti all'uso

Per semplificare il più possibile l'importazione dei dati, Google SecOps include connettori API e parser predefiniti per molte origini autorevoli comuni. Puoi importare i dati di contesto di asset o utenti dai seguenti tipi di log di contesto delle entità supportati:

• ANOMALI_IOC
• ARMIS_DEVICES
• AWS_EC2_HOSTS
• AWS_EC2_INSTANCES
• AWS_EC2_VPCS
• AWS_IAM
• AZURE_AD_CONTEXT
• CLOUD_IDENTITY_CONTEXT
• CROWDSTRIKE_IOC
• CSV_CUSTOM_IOC
• CTIX
• CT_GAUS_SEGUROS
• CYJAX_THREAT_INTELLIGENCE
• DHS_IOC
• DIGITAL_SHADOWS_IOC
• DUO_CONTEXT
• DUO_USER_CONTEXT
• ESET_IOC
• ET_PRO_IOC
• GCP_BIGQUERY_CONTEXT
• GCP_CLOUDIDENTITY_DEVICES
• GCP_CLOUDIDENTITY_DEVICEUSERS
• GCP_CLOUD_FUNCTIONS_CONTEXT
• GCP_COMPUTE_CONTEXT
• GCP_DLP_CONTEXT
• GCP_IAM_ANALYSIS
• GCP_IAM_CONTEXT
• GCP_KUBERNETES_CONTEXT
• GCP_NETWORK_CONNECTIVITY_CONTEXT
• GCP_RESOURCE_MANAGER_CONTEXT
• GCP_STORAGE_CONTEXT
• GCP_SQL_CONTEXT
• GCP_THREATINTEL
• GREYNOISE
• GTI_IOC
• HCL_BIGFIX
• IBM_MAAS360
• IONIX
• JAMF
• JAMF_PRO_CONTEXT
• MANDIANT_ACTIVE_BREACH_IOC
• MANDIANT_CUSTOM_IOC
• MANDIANT_IOC
• MICROSOFT_DEFENDER_ENDPOINT
• MISP_IOC
• NUCLEUS_ASSET
• NUCLEUS_VULNERABILITY
• OKTA_USER_CONTEXT
• OPEN_SOURCE_INTEL_IOC
• QUALYS_ASSET_CONTEXT
• QUALYS_VIRTUAL_SCANNER
• RAPID7_INSIGHT
• RECORDED_FUTURE_IOC
• RH_ISAC_IOC
• SAILPOINT_IAM
• SERVICENOW_CMDB
• SERVICENOW_CMDB_HARDWARE
• SNIPE_IT
• STIX
• TANIUM_ASSET
• TANIUM_COMPLY
• TEAM_CYMRU_SCOUT_THREATINTEL
• TENABLE_IO
• THREATCONNECT_IOC
• THREATCONNECT_IOC_V3
• TRELLIX_HX_HOSTS
• UKG
• VZ_SECURITY_MARIMBA_INVENTORY
• WHOISXMLAPI_SIMPLE_WHOIS
• WINDOWS_AD
• WINDOWS_DEFENDER_ATP
• WORKDAY
• WORKSPACE_CHROMEOS
• WORKSPACE_GROUPS
• WORKSPACE_MOBILE
• WORKSPACE_PRIVILEGES
• WORKSPACE_USERS

Panoramica dei metodi di importazione dati

Il servizio di importazione di Google SecOps funge da gateway per tutti i dati in entrata. A seconda della posizione e del formato dei dati, Google SecOps utilizza i seguenti sistemi principali per recuperarli:

• Google Cloud (Integrazione diretta): questo è il metodo principale, più conveniente e con le prestazioni migliori per tutti i log standard Google Cloud (ad es. log di audit, di flusso VPC, DNS e firewall). Google SecOps recupera questi dati direttamente dalla tua Google Cloud organizzazione.
• Agente Bindplane: una pipeline e un agente di telemetria gestiti utilizzati per raccogliere i log da ambienti e server on-premise (Windows o Linux). Offre una grande flessibilità per i log che non si adattano facilmente ad altri metodi (come i firewall on-premise) e ti consente di pre-elaborare, filtrare o perfezionare i dati cloud prima che raggiungano Google SecOps. L'agente Bindplane viene gestito utilizzando la console di gestione Bindplane OP.

• Feed di dati: ideale per i log basati sul cloud (come EDR o app SaaS) che sono già aggregati in object store (come Cloud Storage o Amazon S3) o per terze parti che supportano i webhook basati su push. I feed di dati inviano i log direttamente al servizio di importazione e forniscono il supporto predefinito per le integrazioni API predefinite (che supportano righe di log di dimensioni fino a 4 MB).
• Metodi di importazione dell'API Chronicle: progettati per applicazioni personalizzate, ad alto volume o sviluppate internamente che non rientrano in altri metodi. Questo metodo richiede la configurazione dell'autenticazione Google Cloud (account di servizio o federazione delle identità per i workload), la configurazione delle autorizzazioni IAM e lo sviluppo di integrazioni personalizzate per inviare payload JSON agli endpoint API.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.