SIEM ダッシュボードの概要

以下でサポートされています。

Google Security Operations SIEM ダッシュボードを使用すると、セキュリティ テレメトリー、取り込み指標、検出、アラート、IoC などのデータを Google Security Operations SIEM で表示して分析できます。これらのダッシュボードは、 Looker の機能に基づいています。

Google Security Operations SIEM には、このドキュメントで説明するデフォルトのダッシュボードが複数用意されています。カスタムダッシュボードを 作成することもできます

デフォルトのダッシュボード

[Dashboards & Reports] [>] [Dashboards] をクリックして、[Dashboards] ページを開きます。

デフォルトのダッシュボードには、Google Security Operations SIEM インスタンスに保存されているデータの事前定義された可視化が含まれています。これらのダッシュボードは、Google Security Operations SIEM データ取り込みシステムの状態の把握や、企業内の脅威ステータスのモニタリングなど、特定のユースケース向けに設計されています。

各デフォルト ダッシュボードには、特定の期間のデータを表示できる期間フィルタが含まれています。これは、問題のトラブルシューティングや傾向の特定に役立ちます。たとえば、フィルタを使用して、過去 1 週間または特定の期間のデータを表示できます。

ダッシュボードのパフォーマンスを最適化するには、トラブルシューティングをご覧ください。

Google Security Operations SIEM には、次のデフォルトのダッシュボードが用意されています。

[Main] ダッシュボード

[メイン] ダッシュボードには、Google Security Operations SIEM のデータの取り込みシステムのステータスに関する情報が表示されます。また、企業内で検出された IoC の地理的位置を強調したグローバル マップも含まれます。

[メイン] ダッシュボードには、次の内容を可視化して表示できます。

  • 取り込まれたイベント数: 取り込まれたイベントの合計数。
  • スループット: 特定の期間に取り込まれたデータの量。
  • アラート: 一定期間に発生した検出の合計数。[アラートと IoC] ページに表示されるアラートの数は、このページに現在の最新のアラートのみが表示されるため、異なる場合があります。詳細については、アラートを表示するをご覧ください。
  • イベント数の推移: 特定の期間に発生したイベントを 表示する縦棒グラフ。
  • グローバル脅威マップ - IoC IP 一致: セキュリティ侵害インジケーター（IoC） の一致イベントが発生した場所。

[Cloud での検出と対応の概要] ダッシュボード

[Cloud での検出と対応] ダッシュボードは、クラウド環境のセキュリティ ステータスをモニタリングし、潜在的な脅威を調査するのに役立ちます。ダッシュボードには、データソースの量、ルールセット、アラート、その他の情報を理解するのに役立つ可視化が表示されます。

[時間] フィルタを使用すると、期間でデータをフィルタリングできます。

[**GCP ログタイプ**] フィルタを使用すると、 Google Cloud ログタイプでデータをフィルタリングできます。

[Cloud での検出と対応の概要] ダッシュボードには、次の内容を可視化して表示できます。

  • 有効な CDIR ルールセット: Google Security Operations SIEM ユーザー向けに GCTI が提供するルールセットの合計数に対する、クラウド環境で有効になっている Google Security Operations SIEM ルールセットの割合が表示されます。GCTI には、事前パッケージ化されキュレートされたルールが複数用意されています。これらのルールセットは有効または無効にできます。

  • 対象となる GCP データソース: 使用可能な Google Cloudデータソース全体のうち、対象となるデータソースの割合が表示されます。たとえば、40 個のログタイプを使用してデータを取り込むことができるものの、20 個のデータのみを送信する場合、タイルには 50% と表示されます。

  • CDIR アラート: GCTI ルールセットまたは Cloud 脅威内のルールから発生したアラートの数を表示します。[時間] フィルタを使用して、このデータが表示される日数を設定できます。

  • 最近のアラート: 最近のアラートがその重大度とリスクスコアとともに表示されます。[イベント タイムスタンプ時間] 列でテーブルを並べ替え、各アラートに移動して詳細情報を確認できます。この中には、Security Command Center によって強化されたセキュリティ機能による検出結果の集計数が表示されます。これらのセキュリティ検出結果は、GCTI のキュレートされた検出ルールセットによって生成され、検出結果のタイプごとに分類されます。[時間] フィルタを使用して、このデータが表示される日数を設定できます。

  • 重大度別のアラートの推移: 重大度別のアラートの推移が時系列で表示されます。[時間] フィルタを使用して、このデータが表示される日数を設定できます。

  • 検出範囲: Google Security Operations SIEM ルールセットとそれらのステータス、合計検出数、最新の検出日に関する情報を提供します。 [時間] フィルタを使用して、このデータが表示される日数を設定できます。

  • Cloud Data カバレッジ: 使用可能なすべての Google Cloudサービス、各サービスをカバーするパーサー、最初に検知されたイベント、最後に検知されたイベント、および合計スループットに関する情報が表示されます。

CDIR ルールセットの詳細については、Cloud 脅威カテゴリの概要をご覧ください。

表の次に、次の期間にわたる取り込み傾向を示す、関連データを含むすべての Google Cloud サービスのグラフが表示されます。

  • 過去 24 時間
  • 過去 30 日間
  • 過去 6 か月間

[Context Aware Detections - Risk] ダッシュボード

[コンテキストアウェア検出 - リスク] ダッシュボードには、企業内のアセットとユーザーの現在の脅威ステータスに関する分析情報が表示されます。これは、ルール検出の探索インターフェースのフィールドを使用して構築されます。

重大度とリスクスコアの値は、各ルールで定義された変数です。例については、結果セクションの構文をご覧ください。各パネルでは、重大度とリスクスコアに基づいてデータが並べ替えられ、最もリスクの高いユーザーとアセットが特定されます。

[コンテキストアウェア検出 - リスク] ダッシュボードには、次の内容を可視化して表示できます。

  • リスクのあるアセットとデバイス: [Meta] > [Severity] でルールを設定した重大度に基づいて、上位 10 件のアセットが一覧表示されます。メタセクションの構文をご覧ください。 重大度は超巨大、重大、巨大、 大、中、低です。レコードに hostname 値がない場合は、IP アドレスが表示されます。
  • リスクのあるユーザー: 重大度に基づいて上位 10 人のユーザーを一覧表示します。重大度は 「超巨大」、「重大」、「巨大」、「大」、「中」、 「低」です。レコードに username 値がない場合は、メール ID が表示されます。
  • 集計リスク: 日付ごとに、集計されたリスクスコアの合計が表示されます。
  • 検出結果: 検出 エンジンルールによって返された検出結果の詳細が表示されます。テーブルには、ルール名、検出 ID、リスクスコア、重大度が含まれます。

[Data Ingestion and Health] ダッシュボード

[データの取り込みと健全性] ダッシュボードには、Google Security Operations SIEM テナントに取り込まれるデータの種類、ボリューム、健全性に関する情報が表示されます。 このダッシュボードを使用して、環境内の異常をモニタリングできます。このダッシュボードには、取り込まれたログの量、取り込みエラー、その他の関連情報を理解するのに役立つ可視化が表示されます。

[データの取り込みと健全性] ダッシュボードには、次の内容を可視化して表示できます。

  • ダッシュボードで構成されたグローバル時間フィルタ は、次の可視化に適用されます。

    • 取り込まれたイベント数: 取り込まれたイベントの合計数が表示されます。
    • スループットごとのログタイプの分布: スループットに基づいてログタイプの分布が表示されます。
    • スループット: 取り込みスループットが表示されます。
    • イベントタイプ別のログタイプの分布: 各ログタイプのイベント数に基づいてログタイプの分布が表示されます。
    • 取り込みエラー数: 取り込み中に発生したエラーの合計数が表示されます。
    • 取り込み - ステータス別のイベント: ステータスに基づいてイベントのテーブルが表示されます。列で並べ替えできます: [日付]、[取り込まれたログ]、[正規化されたイベント]、[解析エラー]、[検証エラー]、[インデックス登録エラー]。
    • バースト上限グラフ - 取り込みレート: ログ取り込みの 1 時間あたりのレートの推移が表示されます（バースト上限をご覧ください）。
    • バースト上限グラフ - 割り当て上限: ログ取り込みの 1 時間あたりの割り当ての推移が表示されます（バースト上限をご覧ください）。
    • バースト拒否グラフ: バースト上限を超えたために拒否されたログの 1 時間あたりの量の推移が表示されます（バースト上限をご覧ください）。

    • 取り込み - ログタイプ別のイベント: ログタイプに基づいてイベントが表示されます。列で並べ替えできます: [ログタイプ]、[取り込まれたスループット]、[取り込まれたログ]、[正規化されたイベント]、[解析エラー]、[検証エラー]、[インデックス登録エラー]。

    • Bindplane エージェントのロギング - 重大度別のログ数の推移: 重大度別のログ数の推移が表示されます。この可視化は、Google SecOps が Bindplane エージェントからログを取り込む場合にのみダッシュボードに表示されます。

    • Bindplane エージェントのロギング - メッセージ数: メッセージ テキスト別のログ数が表示されます。列で並べ替えできます: [重大度]、[メッセージ]、[合計]、[初回確認]、[最終確認]。この可視化は、Google SecOps が Bindplane エージェントからログを取り込む場合にのみダッシュボードに表示されます。

  • 次の可視化の期間は事前選択されており、グローバル時間フィルタ の影響を受けません。

    • 最近取り込まれたイベント: ログタイプごとに最近取り込まれたイベントが表示されます。
    • 日次ログ情報: ログタイプごとに 1 日のログ数が表示されます。
    • イベント数（過去 24 時間） と イベントサイズ（過去 24 時間）: 過去 24 時間のイベント数とイベントサイズが表示されます。
    • イベント数（過去 7 日間） と イベントサイズ（過去 7 日間）: 過去 7 日間のイベント数とイベントサイズが表示されます。
    • イベント数（過去 3 か月間） と イベントサイズ（過去 3 か月間）: 過去 3 か月間のイベント数とイベントサイズが表示されます。
    • 取り込み - 1 時間あたりのスループット: 1 時間あたりの取り込みスループットが表示されます。
    • 取り込み - 週ごとのスループット: 週ごとの取り込みスループットが表示されます。
    • 取り込み - スループット（過去 6 か月間）: 過去 6 か月間の取り込みスループットが表示されます。
    • 取り込み - スループット（全期間）: データが存在するすべての期間の年間取り込みスループットが表示されます。
    • ホストがイベントを報告してからの日数（過去 7 日間）: ホストがイベントを報告してからの日数（過去 7 日間）が表示されます。

[IoC Matches] ダッシュボード

[IoC Matches] ダッシュボードには、企業内に存在する IoC が表示されます。

[IoC Matches] ダッシュボードには、次の内容を可視化して表示できます。

  • カテゴリ別の IoC の一致数の推移: カテゴリに基づいて IoC の一致数 が表示されます。
  • 上位 10 個のドメインの IoC インジケーター: 上位 10 個のドメイン IoC インジケーターと数が表示されます。
  • 上位 10 件の IP IoC インジケーター: 上位 10 件の IP アドレスの IoC インジケーターと数が表示されます。
  • IoC 一致による上位 10 個のアセット: IoC 一致による上位 10 個のアセット と数が表示されます。
  • カテゴリ、タイプ、カウント別の上位 10 個の IoC の一致: カテゴリ、タイプ、カウント別の上位 10 個の IoC の一致が一覧表示されます。
  • 上位 10 件の IoC 値: 上位 10 件の IoC 値と 数が表示されます。
  • まれに確認される上位 10 個の値: まれに 発生する上位 10 件の IoC 一致と数が表示されます。

[IoC Matches] の可視化には、[フィルタ専用フィールド] の [イベント タイムスタンプ フィルタ] が含まれます。

[ルール検出] ダッシュボード

[ルール検出] ダッシュボードには、検出エンジンルールによって返された検出結果に関する分析情報が表示されます。検出結果を受け取るには、ルールを有効にする必要があります。詳細については、ライブデータに対してルールを実行するをご覧ください。

[ルール検出] ダッシュボードには、次の内容を可視化して表示できます。

  • 時間の経過に伴うルール検出: 一定期間におけるルール検出数の推移を表示します。
  • 重大度ごとのルール検出: ルール検出の重大度が表示されます。
  • 重大度別のルール検出数の推移: 重大度別の 1 日の検出数の推移が表示されます。
  • 検出に基づく上位 10 個のルール名: 最も多くの検出を返す上位 10 個のルールが一覧表示されます。
  • 名前別のルール検出数の推移: 日ごとに検出結果を返したルールと、返された検出数が表示されます。
  • ルール検出による上位 10 人のユーザー: 検出をトリガーしたイベントに表示されている上位 10 人のユーザー ID が表示されます。
  • ルール検出に基づく上位 10 個のアセット名: 検出をトリガーしたイベント（ホスト名など）に表示された回数が上位 10 件のアセット名が一覧表示されます。
  • ルール検出に基づく上位 10 件の IP: 検出をトリガーしたイベントに表示されている上位 10 件の IP アドレスの表示数が一覧表示されます。

[ユーザー ログインの概要] ダッシュボード

[ユーザー ログインの概要] ダッシュボードでは、企業にログインしたユーザーに関する分析情報を確認できます。この情報は、悪意のある行為者による企業へのアクセス試行を追跡する際に活用できます。

たとえば、オフィスを開設していない国から特定のユーザーがご自身の企業にアクセスしようとしたことが確認された場合や、特定のユーザーが会計アプリケーションに繰り返しアクセスしているように思われる場合があります。

[ユーザー ログインの概要] ダッシュボードには、次の内容を可視化して表示できます。

  • 成功したログインの数: 成功したログインの合計数が表示されます。
  • 失敗したログインの数: 失敗したログインの合計数が表示されます。
  • ステータス別のログイン数: 成功したログイン数と失敗したログイン数が分けて表示されます。
  • ステータス別のログイン数の推移: 一定期間における成功したログイン数と失敗したログイン数が分けて表示されます。
  • ログイン数に基づく上位 10 個のアプリケーション: ログイン数に基づいて、利用頻度の高いアプリケーションの上位 10 個が分けて表示されます。
  • アプリケーション別のログイン数: 各アプリケーションのログイン ステータスの数が一覧表示されます。各アプリケーションの数は、security_result.action フィールドで定義したログデータに基づいて入力されます。 イベント列挙型をご覧ください。
  • ログイン数の上位 10 か国: ログインしたユーザーが存在する上位 10 か国のログイン数が表示されます。
  • 国別のログイン数: ログインしたユーザーが存在するすべての国の数が表示されます。
  • 上位 10 件の IP 別のログイン数: ユーザーのログイン元である、ログイン数が上位 10 件の IP アドレスが表示されます。
  • ログイン ロケーション マッピング: ユーザーのログイン元の IP アドレスのロケーションが表示されます。
  • ログイン ステータス別の上位 10 人のユーザー: 各ユーザーのログイン ステータスの数が表示されます。各アプリケーションの数は、security_result.action フィールドで定義したログデータに基づいて入力されます。 イベント列挙型をご覧ください。

トラブルシューティング

このセクションでは、パフォーマンスの期待値について説明し、ダッシュボードと検索に関する一般的な問題のセルフサービスによる解決策を提供します。

ダッシュボードのパフォーマンスを最適化する

大規模なデータセットを処理する際にダッシュボードと検索の応答性を維持するには、可視化をプラットフォームのレンダリング上限に合わせます。Google SecOps UI には 10,000 行の可視化上限があります。この上限を超えると、ブラウザタブが応答しなくなる可能性があります。これはプラットフォームの停止と混同される可能性があります。

大量のログデータを効果的に可視化するには:

  • レンダリングする前に、必ず"上位 N 件" フィルタ（上位 10 件の IP アドレスなど）を適用してデータを集計します。
  • 未加工ログの検索を行う場合は、検索期間を15 分または 1 時間単位 に短縮します。
  • 10,000 行を超える行数にアクセスする必要がある場合は、CSV にエクスポート 機能または BigQuery 機能を使用します。

SOAR データソースのサポート

組み込みダッシュボードの SOAR データソースに対してクエリを実行できるのは、統合された Google Security Operations 環境のみです。でスタンドアロンの Google SecOps SIEM プロジェクトと SOAR プロジェクトを実行している場合 Google Cloud、SIEM ダッシュボード インターフェースから SOAR データセットにアクセスしたり、クエリを実行したりすることはできません。

次のステップ

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。