Mit Asset-Namespaces arbeiten

Wenn Sie in Google Security Operations nach einem Asset suchen, z. B. über eine IP-Adresse oder eine Hostnamen enthält, kannst du alle mit diesem Asset verknüpften Aktivitäten sehen. Manchmal sind mehrere Assets mit derselben IP-Adresse oder Hostname (z. B. aus sich überschneidenden RFC 1918-IP-Adresszuweisungen auf verschiedenen Netzwerksegmenten)

Mit der Funktion zur Budgetabstufung von Assets kannst du Asset-Kategorien klassifizieren eine gemeinsame Netzwerkumgebung oder einen Namespace verwenden und dann Suchanfragen durchführen. für diese Assets auf der Google Security Operations-Benutzeroberfläche basierend auf ihrem Namespace. Sie könnten beispielsweise Namespaces für Cloud-Netzwerke erstellen, z. B. „corp“ oder „prod“. Segmentierung, Fusions- und Übernahmenetzwerke usw.

Namespace erstellen und Daten zuweisen

Alle Assets haben einen Namespace, der entweder automatisch oder manuell definiert wird konfiguriert. Wenn in den Logs kein Namespace angegeben ist, wird den Assets ein default-Namespace zugeordnet, die mit einem Label versehen sind: untagged gekennzeichnet. Logs, die vor dem Namespace in Google Security Operations aufgenommen wurden -Unterstützung implizit als Teil des Standard- oder nicht getaggten Namespace gekennzeichnet sind.

So können Sie Namespaces konfigurieren:

Namespaces in der Google Security Operations-UI

Der Namespace ist in der gesamten Google Security Operations-Benutzeroberfläche mit Ihren Assets verknüpft. vor allem, wenn eine Liste mit Assets verfügbar ist, die unter anderem Folgendes enthalten:

  • UDM-Suche
  • Rohlogscan
  • Unternehmensstatistiken
  • Erkennungsansichten
.

Bei Verwendung der Suchleiste werden die Namespaces, die mit jedes Asset angezeigt wird. Wenn Sie ein Asset in einem bestimmten Namespace auswählen, wird es geöffnet in der Asset-Ansicht mit den anderen Aktivitäten, -Namespace auf sie zugegriffen werden.

Jedes Asset, das nicht mit einem Namespace verknüpft ist, wird dem Standard-Namespace zugewiesen. Der Standard-Namespace wird jedoch nicht in Listen angezeigt.

Asset-Ansicht

In der Asset-Ansicht wird der Namespace im Titel des Assets oben angegeben. der Seite. Wenn Sie das Dropdown-Menü durch Klicken auf den Abwärtspfeil auswählen, kann die anderen mit dem Asset verknüpften Namespaces auswählen.

Asset-Ansicht mit Namespaces Asset-Ansicht mit Namespaces

IP-Adresse, Domain und Hash-Ansichten

In der Benutzeroberfläche von Google Security Operations werden Namespaces überall dort angezeigt, wo ein Asset referenziert wird (mit Ausnahme des Standard- oder nicht getaggten Namespace), einschließlich in die Ansichten „IP-Adresse“, „Domain“ und „Hash“.

Beispielsweise sind in der Ansicht "IP-Adressen" Namespaces sowohl in auf dem Tab „Assets“ und im Verbreitungsdiagramm.

Aufnahmelabels

Wenn Sie Ihre Suche weiter eingrenzen möchten, können Sie mit Aufnahmelabels separate Feeds einrichten. Eine vollständige Liste der unterstützten Aufnahmelabels finden Sie unter Unterstützte Standardparser.

Beispiele: drei Möglichkeiten zum Hinzufügen eines Namespace zu Logs

Die folgenden Beispiele veranschaulichen drei verschiedene Möglichkeiten, wie Sie den Logs, die Sie in Ihr Google Security Operations-Konto aufnehmen, einen Namespace hinzufügen können.

Namespace mithilfe von Google Security Operations Forwarder zuweisen

Sie können einen Namespace konfigurieren, indem Sie ihn der Google Security Operations Forwarder-Konfigurationsdatei als Forwarder-spezifischer Namespace oder als collector-spezifischer Namespace hinzufügen. Das folgende Beispiel für eine Forwarder-Konfiguration veranschaulicht beide Typen:

metadata:
  namespace: FORWARDER
collectors:
- syslog:
      common:
        metadata:
          namespace: CORPORATE
        batch_n_bytes: 1048576
        batch_n_seconds: 10
        data_hint: null
        data_type: NIX_SYSTEM
        enabled: true
      tcp_address: 0.0.0.0:30000
      connection_timeout_sec: 60
- syslog:
      common:
        batch_n_bytes: 1048576
        batch_n_seconds: 10
        data_hint: null
        data_type: WINEVTLOG
        enabled: true
      tcp_address: 0.0.0.0:30001
      connection_timeout_sec: 60

Wie in diesem Beispiel gezeigt, enthalten die Logs aus WINEVTLOG das Namespace-Tag FORWARDER. Die Logs aus NIX_SYSTEM enthalten das Namespace-Tag CORPORATE.

Dadurch wird ein Gesamt-Namespace für den Log-Collector festgelegt. Wenn Ihre Umgebung eine Mischung aus Logs enthält, die zu mehreren Namespaces gehören, und Sie diese Maschinen nicht segmentieren können (oder das beabsichtigt ist), empfiehlt Google, mehrere Collectors für dieselbe Logquelle zu erstellen, die die Logs mithilfe regulärer Ausdrücke nach ihrem jeweiligen Namespace filtert.

Namespace mithilfe der Ingestion API zuweisen

Sie können einen Namespace auch konfigurieren, wenn Sie Ihre Logs über den Endpunkt unstructuredlogentries innerhalb der Google Security Operations Ingestion API senden, wie im folgenden Beispiel gezeigt:

{
  "customer_id": "c8c65bfa-5f2c-42d4-9189-64bb7b939f2c",
  "log_type": "BIND_DNS",
  "namespace": "FORWARDER"
  "entries": [
    {
      "log_text": "26-Feb-2019 13:35:02.187 client 10.120.20.32#4238: query: altostrat.com IN A + (203.0.113.102)",
      "ts_epoch_microseconds": 1551188102187000
    },
    {
      "log_text": "26-Feb-2019 13:37:04.523 client 10.50.100.33#1116: query: examplepetstore.com IN A + (203.0.113.102)",
      "ts_rfc3339": "2019-26-02T13:37:04.523-08:00"
    },
    {
      "log_text": "26-Feb-2019 13:39:01.115 client 10.1.2.3#3333: query: www.example.com IN A + (203.0.113.102)"
    },
  ]
}

In diesem Beispiel ist der Namespace ein Bodyparameter des API-POST-Aufrufs. Logs von BIND\_DNS leiten ihre Logdaten mit dem Namespace-Tag FORWARDER weiter.

Namespace mithilfe der Google Security Operations-Feedverwaltung zuweisen

Wie im Nutzerhandbuch zur Feedverwaltung angegeben, können Sie mit der Google Security Operations-Feedverwaltung verschiedene Protokollstreams innerhalb Ihres Google Security Operations-Mandanten einrichten und verwalten.

Im folgenden Beispiel werden Office 365-Logs mit dem Namespace-Tag FORWARDER aufgenommen:

add_feed_namespace

Abbildung 1: Konfiguration der Feedverwaltung mit dem FORWARDER-Namespace-Tag