Présentation des tableaux de bord

Les tableaux de bord SIEM de Google Security Operations permettent d'afficher et d'analyser de Google Security Operations SIEM, y compris la télémétrie de sécurité, les métriques d'ingestion, détections, alertes et IOC. Ces tableaux de bord sont basés sur de Looker.

Google Security Operations SIEM fournit plusieurs tableaux de bord par défaut, décrites dans ce document. Vous pouvez également créer des tableaux de bord personnalisés.

Tableaux de bord par défaut

Pour accéder à la page Tableaux de bord, cliquez sur Tableaux de bord dans le panneau de navigation de gauche.

Les tableaux de bord par défaut contiennent des visualisations prédéfinies des données stockées dans votre instance SIEM Google Security Operations. Ces tableaux de bord sont conçus pour un cas d'utilisation spécifique, par exemple pour comprendre l'état du système d'ingestion de données SIEM de Google Security Operations ou surveiller l'état des menaces dans votre entreprise.

Chaque tableau de bord par défaut inclut un filtre de période qui vous permet d'afficher les données pour une période donnée. Cela peut être utile lors de la résolution de problèmes ou identifier les tendances. Par exemple, vous pouvez utiliser le filtre pour afficher les données pour la semaine passée ou sur une période spécifique.

Les tableaux de bord par défaut ne peuvent pas être modifiés. Vous pouvez créer une copie d'un tableau de bord par défaut, puis modifier le nouveau tableau de bord pour répondre à un cas d'utilisation spécifique.

SIEM Google Security Operations fournit les tableaux de bord par défaut suivants:

Tableau de bord principal

Le tableau de bord Principal affiche des informations sur l'état du Système d'ingestion de données SIEM de Google Security Operations Il comprend également une carte mondiale en soulignant l’emplacement géographique des IOC détectés dans votre entreprise.

Vous pouvez afficher les visualisations suivantes dans le tableau de bord Main (Principal) :

  • Événements ingérés: nombre total d'événements ingérés.
  • Débit: volume de données ingérées pendant une période donnée.
  • Alertes: nombre total d'alertes survenues.
  • Événements au fil du temps: graphique à colonnes indiquant les événements sur une période donnée.
  • Carte mondiale des menaces – Correspondances d’adresses IP de l’IOC: zone géographique à partir de laquelle le CIO événements correspondants se sont produits.

Tableau de bord "Présentation de Cloud Detection et réponse"

Le tableau de bord Cloud Detection and Response vous permet de surveiller l'état de sécurité de votre environnement cloud et examiner les menaces potentielles. Le tableau de bord affiche des visualisations qui vous aident à comprendre le volume de données sources, jeux de règles, alertes et autres informations.

Le filtre Heure vous permet de filtrer les données par période.

Le filtre Type de journal GCP vous permet de filtrer les données par type de journal Google Cloud.

Vous pouvez afficher les visualisations suivantes dans le tableau de bord Cloud Detection and Response Overview (Présentation de la détection et des réponses dans le cloud) :

  • CDIR Rulesets Enabled (Ensembles de règles CDIR activés) : affiche le pourcentage d'ensembles de règles SIEM Google Security Operations activés pour votre environnement cloud parmi l'ensemble des jeux de règles fournis par GCTI pour l'outil SIEM Google Security Operations utilisateurs. GCTI propose plusieurs règles prédéfinies prédéfinies. Vous pouvez activer ou désactiver ces jeux de règles.

  • GCP Data Sources couverts (Sources de données GCP couvertes) : affiche le pourcentage de sources de données couvertes par rapport au nombre total de sources de données Google Cloud. sources de données disponibles. Par exemple, si vous pouvez ingérer des données avec 40 types de journaux mais que vous n'envoyez des données que pour 20 %, la tuile affiche 50 %.

  • Alertes CDIR: affiche le nombre d'alertes générées par les règles de vos ensembles de règles GCTI. ou les menaces du cloud. Vous pouvez utiliser le filtre Durée pour définir le nombre de jours ces données s'affichent.

  • Recent Alerts (Alertes récentes) : affiche les alertes récentes et leur gravité. et le score de risque. Vous pouvez trier la table à l'aide de la colonne Event Timestamp Time : accédez à chaque alerte pour en savoir plus. Il indique le nombre total les résultats de sécurité améliorés par Security Command Center. Ces résultats de sécurité sont générés selon les ensembles de règles de détection sélectionnés par GCTI et classés par type de résultat. Vous pouvez utiliser le filtre Durée pour définir le nombre de jours pour lesquels ces données sont affichées.

  • Alertes par gravité au fil du temps: affiche le nombre total d'alertes par gravité. des tendances au fil du temps. Vous pouvez utiliser le filtre Durée pour définir le nombre de jours pour lesquelles ces données sont affichées.

  • Couverture de détection: fournit des informations sur la solution SIEM Google Security Operations. les jeux de règles et leur état, le nombre total de détections et la date de la détection la plus récente. Vous pouvez utiliser le filtre Durée pour définir le nombre de jours pendant lesquels ces données doivent être affichées.

  • Couverture des données cloud: fournit des informations sur tous les services Google Cloud disponibles services, analyseurs qui couvrent chaque service, événement de première connexion, événement de dernière occurrence, et le débit total.

Pour en savoir plus sur les ensembles de règles CDIR, consultez la page Présentation de la catégorie des menaces cloud.

Le tableau est suivi de graphiques de tous les services Google Cloud, ainsi que les services des données indiquant la tendance d'ingestion sur les intervalles de temps suivants:

  • Dernières 24 heures
  • 30 derniers jours
  • Six derniers mois

Détections contextuelles - Tableau de bord des risques

Le tableau de bord Détections contextuelles – Risques fournit des informations sur les l'état actuel des menaces ciblant les ressources et les utilisateurs de votre entreprise. Il est construit à l'aide des champs de l'interface d'exploration Détections de règles.

Les valeurs de gravité et de score de risque sont des variables définies dans chaque règle. Pour une consultez la section Syntaxe de la section Résultat. Dans chaque panneau, les données est triée en fonction de la gravité, puis le score de risque pour identifier les utilisateurs et ressources les plus exposées.

Vous pouvez afficher les visualisations suivantes dans le tableau de bord Détections contextuelles - Risques:

  • Assets and Devices at Risk (Éléments et appareils à risque) : répertorie les 10 éléments principaux en fonction de leur gravité. que vous définissez la règle dans la section Meta > Gravité : Voir Syntaxe des méta-sections. Les niveaux de gravité sont Très élevée, Critique, Élevée, Grande, Moyenne et Faible. Si la valeur du nom d'hôte n'est pas présente dans l'enregistrement, puis il affiche l'adresse IP.
  • Utilisateurs à risque: répertorie les 10 utilisateurs principaux en fonction de leur gravité. La de gravité : Très élevée, Critique, Élevée, Grande, Moyenne, et Faible. Si la valeur du nom d'utilisateur n'est pas présente dans l'enregistrement, affiche l'ID de l'adresse e-mail.
  • Risque agrégé: pour chaque date, affiche le score de risque cumulé total.
  • Résultats de détection: affiche des détails sur les détections renvoyées par la détection des règles de moteur. Le tableau comprend le nom de la règle, l'ID de détection, le score de risque et la gravité.

Ingestion de données et tableau de bord d'état

Le tableau de bord Ingestion de données et état de santé fournit des informations sur les types, le volume et l'état des données ingérées dans votre locataire SIEM Google Security Operations. Vous pouvez utiliser ce tableau de bord pour surveiller la présence d'anomalies dans votre environnement.

Ce tableau de bord fournit des visualisations qui vous aident à comprendre le volume de les journaux ingérés, les erreurs d'ingestion et d'autres informations pertinentes. Les données sur le tableau de bord est actualisé toutes les 15 minutes. Vous devrez donc peut-être attendre minutes pour voir les dernières informations.

Vous pouvez afficher les visualisations suivantes dans le tableau de bord Ingestion de données et état:

  • Ingested Events Count (Nombre d'événements ingérés) : nombre total d'événements ingérés.
  • Nombre d'erreurs d'ingestion: le nombre total d'erreurs rencontrées lors de l'ingestion.
  • Log Type Distribution by Events Count (Distribution des types de journaux par nombre d'événements) : affiche le journal en fonction du nombre d'événements pour chaque type de journal.
  • Log Type Distribution by Throughput (Distribution des types de journaux par débit): affiche les types de journaux en fonction du débit.
  • Ingestion – Événements par état: affiche le nombre d'événements en fonction de leur statut.
  • Ingestion – Events by Log Type (Ingestion – Événements par type de journal) : affiche le nombre de en fonction de leur état et de leur type de journal.
  • Événements récemment ingérés: affiche les événements récemment ingérés. pour chaque type de journal.
  • Daily Log Information (Informations de journal quotidiennes) : indique le nombre de journaux pour une jour pour chaque type de journal.
  • Nombre d'événements et taille: compare le nombre et la taille des événements sur une période donnée.
  • Débit d'ingestion: affiche le débit d'ingestion sur une période donnée.

Tableau de bord des correspondances IOC

Le tableau de bord de l'indicateur de compromission (IOC) aux IOC présents dans votre entreprise.

Vous pouvez afficher les visualisations suivantes dans le tableau de bord Correspondances RIO:

  • IOC Correspondances Au fil du temps par catégorie: affiche le nombre des matchs IOC en fonction de leur catégorie.
  • 10 principaux indicateurs IOC pour les domaines: liste les 10 principaux domaines. les indicateurs IOC, ainsi que le nombre.
  • Top 10 IP IOC Indicators (Liste des 10 principaux indicateurs IOC pour les adresses IP) ainsi que le nombre.
  • Top 10 des éléments par correspondance IOC: liste les 10 principaux éléments. par correspondance IOC et leur nombre.
  • 10 meilleures correspondances IOC par catégorie, type et nombre: liste les 10 meilleurs les correspondances IOC par catégorie, par type et avec le nombre.
  • 10 premières valeurs IOC: liste les 10 premières valeurs IOC. ainsi que le nombre.
  • Top 10 Rarely Seen Values (Top 10 des valeurs rarement observées) : répertorie les 10 principaux valeurs rarement observées. les correspondances IOC présentes et le nombre.

Tableau de bord des détections de règles

Le tableau de bord Détections des règles fournit des informations sur les détections renvoyées. par les règles du moteur de détection. Pour recevoir des détections, vous devez activer des règles. Pour en savoir plus, consultez la section Exécuter une règle concernant des données actives.

Vous pouvez afficher les visualisations suivantes dans le tableau de bord Détections de règles:

  • Rule Detections Over Time (Détections de règles au fil du temps) : affiche le nombre de règles sur une période donnée.
  • Rule Detections by Severity (Détections de règles par gravité) : affiche la gravité des détections de règles.
  • Rule Detections by Severity Over Time (Détections de règles par gravité au fil du temps) : affiche les résultats quotidiens le nombre de détections par gravité au fil du temps.
  • Top 10 Rule Names by Detections: liste les 10 premiers noms de règles par détection. renvoyant le plus grand nombre de détections.
  • Rule Detections by Name Over Time (Détections de règles par nom au fil du temps) : affiche les règles. ayant renvoyé des détections chaque jour et le nombre de détections renvoyées.
  • Top 10 Users by Rule Detections: liste les 10 premiers utilisateurs qui apparaissaient dans les événements ayant déclenché des détections.
  • Top 10 Asset Names by Rule Detections (Top 10 noms d'éléments par détections de règles) : liste les 10 premiers noms d'éléments les noms des assets apparaissant dans les événements ayant déclenché des détections, comme le nom d'hôte.
  • Top 10 IPs by Rule Detections (10 adresses IP principales par détections de règles) : répertorie les 10 adresses IP principales. qui apparaissaient dans les événements ayant déclenché des détections.

Tableau de bord "Vue d'ensemble de la connexion des utilisateurs"

Le tableau de bord Vue d'ensemble de la connexion des utilisateurs fournit des informations sur les utilisateurs. à se connecter à votre entreprise. Ces informations peuvent être utiles pour suivre les tentatives d'accès à votre entreprise par des acteurs malveillants.

Par exemple, vous pouvez constater qu'un utilisateur donné a tenté d'accéder à votre entreprise depuis un pays où vous n'avez pas de bureau ou qu'un utilisateur spécifique semble accéder de manière répétée à une application de traçabilité.

Vous pouvez afficher les visualisations suivantes dans le tableau de bord Vue d'ensemble de la connexion de l'utilisateur:

  • Nombre de connexions réussies: nombre total de connexions réussies.
  • Nombre d'échecs de connexion: nombre total d'échecs de connexion.
  • Sign Ins By Status (Connexions par état) : indique la répartition des connexions réussies et échouées.
  • Sign Ins by Status Over Time (Connexions par état au fil du temps) : affiche la répartition des connexions réussies et échouées sur la période.
  • Top 10 Applications by Sign Ins (10 applications principales en fonction des connexions) : affiche la répartition des 10 applications les plus fréquentes en fonction du nombre de connexions.
  • Sign Ins By Application (Connexions par application) : indique le nombre de connexions par état. pour chaque application. Le nombre de chaque application est renseigné en fonction les données de journal que vous définissez dans le champ security_result.action. Voir Types d'événements énumérés.
  • Top 10 Countries by Sign Ins (Top 10 des pays par nombre de connexions) : indique le nombre de les 10 principaux pays depuis lesquels les utilisateurs se sont connectés.
  • Sign Ins by Country (Connexions par pays) : affiche le nombre total de pays. depuis lequel les utilisateurs se sont connectés.
  • Top 10 Sign Ins by IP (10 connexions principales par adresse IP) : affiche les 10 meilleures adresses IP depuis lequel les utilisateurs se sont connectés.
  • Sign In Location Map (Carte du lieu de connexion) : affiche les emplacements des adresses IP. depuis lequel les utilisateurs se sont connectés.
  • Top 10 Users by Sign In Status (10 principaux utilisateurs par état de connexion) : indique le nombre de connexions pour chaque utilisateur. Le nombre de chaque application est renseigné en fonction les données de journal que vous définissez dans le champ security_result.action. Voir Types d'événements énumérés.

Étape suivante