取り込み方法とデータ型
Google Security Operations を使用すると、さまざまなセキュリティ データを取り込んで、環境を効果的にモニタリングし、インシデントを調査できます。堅牢なセキュリティ ポスチャーを構築する第一歩は、プラットフォームに取り込むことができるデータの種類と、取り込みに使用する方法を理解することです。
取り込みデータの種類
Google SecOps は、受信データを 4 つの主要なタイプに分類します。各タイプは、検出と調査のライフサイクルで異なる目的を果たします。
- 未加工ログ: セキュリティ ソース（ファイアウォール、EDR ツール、クラウド プラットフォームなど）からの元のデータストリームで、変更されていません。JSON、Syslog、CSV、構造化されていないテキストなどの形式で到着するログは、詳細なフォレンジックとコンプライアンスの「信頼できる情報源」として機能します。フィールド名はベンダーによって異なるため、未加工ログは、プラットフォームがフィールド名を解析して正規化する前の最初の入力として機能します。
- UDM イベント: Unified Data Model（UDM）イベントは、パーサーが未加工ログを一貫したベンダーに依存しない形式に変換するときに作成されます。たとえば、
src_ipやclient-ipなどの異なる用語は、単一のprincipal.ipフィールドに標準化されます。ダウンストリーム システムは UDM を使用して、統合検索や検出ルールなどの機能を提供します。 - エンティティ コンテキスト データ: このデータは、一般的なイベントを有意義なリードに変えるための「誰が、何を、どこで」を提供します。コンテキスト データは、IP アドレスが役員または重要な本番環境サーバーに属しているかどうかを示します。Active Directory や CMDB などのソースからのメタデータでイベントを強化することで、アナリストは実際の組織のリスクに基づいて脅威に優先順位を付けることができます。
- アラート: 即時の対応が必要なアクティビティを示す高忠実度のシグナルです。アラートは、外部のセキュリティ プロダクト（CrowdStrike など）から直接取り込むことも、UDM イベントまたはエンティティがルールをトリガーしたときに Google SecOps YARA-L 検出エンジンによって内部で生成することもできます。アラートは、インシデント ケースの主要な構成要素として機能します。
取り込みエンティティについて
エンティティは、ネットワーク イベントに重要なコンテキストを提供します。標準的なネットワーク イベントでは、ユーザー abc@foo.corp が shady.exe を起動したことが示されますが、そのユーザーが最近解雇された従業員であるかどうかは示されません。
エンティティ データモデルを使用すると、これらの関係を取り込み、IAM、脆弱性の管理、データ保護システムから新しいコンテキストをキャプチャして、豊富な脅威インテリジェンスを提供できます。
すぐに使用できるエンティティ コンテキスト パーサー
データの取り込みをできるだけシームレスにするため、Google SecOps には、多くの一般的な信頼できるソースの API コネクタとデフォルト パーサーが含まれています。次のサポートされているエンティティ コンテキスト ログタイプから、アセットまたはユーザーのコンテキスト データを取り込むことができます。
ANOMALI_IOCARMIS_DEVICESAWS_EC2_HOSTSAWS_EC2_INSTANCESAWS_EC2_VPCSAWS_IAMAZURE_AD_CONTEXTCLOUD_IDENTITY_CONTEXTCROWDSTRIKE_IOCCSV_CUSTOM_IOCCTIXCT_GAUS_SEGUROSCYJAX_THREAT_INTELLIGENCEDHS_IOCDIGITAL_SHADOWS_IOCDUO_CONTEXTDUO_USER_CONTEXTESET_IOCET_PRO_IOCGCP_BIGQUERY_CONTEXTGCP_CLOUDIDENTITY_DEVICESGCP_CLOUDIDENTITY_DEVICEUSERSGCP_CLOUD_FUNCTIONS_CONTEXTGCP_COMPUTE_CONTEXTGCP_DLP_CONTEXTGCP_IAM_ANALYSISGCP_IAM_CONTEXTGCP_KUBERNETES_CONTEXTGCP_NETWORK_CONNECTIVITY_CONTEXTGCP_RESOURCE_MANAGER_CONTEXTGCP_STORAGE_CONTEXTGCP_SQL_CONTEXTGCP_THREATINTELGREYNOISEGTI_IOCHCL_BIGFIXIBM_MAAS360IONIXJAMFJAMF_PRO_CONTEXTMANDIANT_ACTIVE_BREACH_IOCMANDIANT_CUSTOM_IOCMANDIANT_IOCMICROSOFT_DEFENDER_ENDPOINTMISP_IOCNUCLEUS_ASSETNUCLEUS_VULNERABILITYOKTA_USER_CONTEXTOPEN_SOURCE_INTEL_IOCQUALYS_ASSET_CONTEXTQUALYS_VIRTUAL_SCANNERRAPID7_INSIGHTRECORDED_FUTURE_IOCRH_ISAC_IOCSAILPOINT_IAMSERVICENOW_CMDBSERVICENOW_CMDB_HARDWARESNIPE_ITSTIXTANIUM_ASSETTANIUM_COMPLYTEAM_CYMRU_SCOUT_THREATINTELTENABLE_IOTHREATCONNECT_IOCTHREATCONNECT_IOC_V3TRELLIX_HX_HOSTSUKGVZ_SECURITY_MARIMBA_INVENTORYWHOISXMLAPI_SIMPLE_WHOISWINDOWS_ADWINDOWS_DEFENDER_ATPWORKDAYWORKSPACE_CHROMEOSWORKSPACE_GROUPSWORKSPACE_MOBILEWORKSPACE_PRIVILEGESWORKSPACE_USERS
データ取り込み方法の概要
Google SecOps 取り込みサービスは、すべての受信データのゲートウェイとして機能します。データの保存場所と形式に応じて、Google SecOps は次の主要なシステムを使用してデータを取得します。
- Google Cloud (直接統合): これは、すべての標準 Google Cloud ログ（監査ログ、VPC フローログ、DNS ログ、ファイアウォール ログなど）の主要な方法であり、最も費用対効果が高く、パフォーマンスも優れています。Google SecOps は、 Google Cloud 組織からこのデータを直接取得します。
- Bindplane エージェント: オンプレミス環境とサーバー（Windows または Linux）からログを収集するために使用される、マネージド テレメトリー パイプラインとエージェント。他の方法（オンプレミス ファイアウォールなど）に簡単に適合しないログに対して非常に柔軟に対応できます。また、Google SecOps に到達する前にクラウドデータを前処理、フィルタリング、絞り込むことができます。 Bindplane エージェントは、Bindplane OP 管理コンソールを使用して管理します。
- データフィード: オブジェクト ストレージ（Cloud Storage や Amazon S3 など）にすでに集約されているクラウドベースのログ（EDR や SaaS アプリなど）や、プッシュベースのウェブフックをサポートするサードパーティに最適です。データフィードはログを取り込みサービスに直接送信し、事前定義された API 統合（最大 4 MB のログ行をサポート）をすぐに使用できます。
- Chronicle API 取り込み方法: 他の方法に適合しないカスタム アプリケーション、大容量アプリケーション、自社開発アプリケーション向けに設計されています。この方法では、 Google Cloud 認証（サービス アカウントまたは Workload Identity 連携）の設定、IAM 権限の構成、API エンドポイントに JSON ペイロードを送信するカスタム統合の開発が必要です。
さらにサポートが必要な場合コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。