Google Security Operations SIEM은 핵심 Google 인프라를 기반으로 하는 특수한 레이어로 빌드된 클라우드 서비스로, 기업에서 생성하는 방대한 보안 및 네트워크 원격 분석을 비공개로 보관, 분석, 검색할 수 있도록 설계되었습니다.
Google Security Operations는 데이터를 정규화하고 색인을 생성하고 상관관계를 지정하고 분석하며 위험한 활동에 대한 즉각적인 분석과 컨텍스트를 제공합니다.
Google Security Operations를 사용하면 몇 달 또는 그 이상에 해당하는 기간 동안 기업에서 집계한 보안 정보를 검사할 수 있습니다. Google Security Operations를 사용하여 기업 내에서 액세스하는 모든 도메인을 검색합니다. 특정 애셋, 도메인 또는 IP 주소로 검색 범위를 좁혀 보안 침해가 발생했는지 확인할 수 있습니다.
Google Security Operations 플랫폼 개요
데이터 수집
Google Security Operations는 다음을 포함한 다양한 방법을 통해 여러 보안 원격 분석 유형을 수집할 수 있습니다.
전달자: 고객의 네트워크에 배포된 경량 소프트웨어 구성요소로, syslog, 패킷 캡처, 기존 로그 관리 또는 보안 정보 및 이벤트 관리(SIEM) 데이터 저장소를 지원합니다.
수집 API: 로그를 직접 Google Security Operations 플랫폼에 보낼 수 있는 API로, 고객 환경에 하드웨어나 소프트웨어를 추가할 필요가 없습니다.
서드파티 통합: Office 365 및 Azure AD와 같은 소스를 비롯한 로그 수집을 지원하기 위해 서드파티 클라우드 API와 통합합니다.
데이터 분석
Chronicle Security Operations의 분석 기능은 간단한 브라우저 기반 애플리케이션으로 보안 전문가에게 제공됩니다. 이러한 기능 중 대부분은 읽기 API를 통해 프로그래매틱 방식으로 액세스할 수도 있습니다.
Google Security Operations는 분석가에게 잠재적 위협이 발견될 때 어떤 위협인지, 무엇을 하고 있는지, 문제가 되는지, 어떻게 대응하는 것이 최선인지를 결정할 수 있는 방법을 제공합니다.
보안 및 규정 준수
핵심 Google 인프라를 기반으로 빌드된 특수한 비공개 레이어인 Google Security Operations는 컴퓨팅 및 스토리지 기능은 물론 해당 인프라의 보안 설계와 기능을 상속합니다.
보안 설계의 일환으로 Google SecOps는 사용자 인증 정보 (예: Google SecOps 피드에서 서드 파티 API의 로그 데이터를 수집할 수 있도록 제공하는 사용자 인증 정보)를 Secret Manager에 저장합니다.
Google Security Operations 기능
검색
원시 로그 스캔: 파싱되지 않은 원시 로그를 검색합니다.
정규 표현식: 정규 표현식을 사용하여 파싱되지 않은 원시 로그를 검색합니다.
조사 뷰
애셋 뷰: 기업 내 애셋을 조사하고 의심스러운 도메인과 관련되었는지 여부를 확인합니다.
IP 주소 뷰: 기업 내 특정 IP 주소와 해당 주소가 애셋에 미치는 영향을 조사합니다.
해시 뷰: 해시 값을 기준으로 파일을 검색하고 조사합니다.
도메인 뷰: 기업 내 특정 도메인과 해당 도메인이 애셋에 미치는 영향을 조사합니다.
사용자 뷰: 보안 관련 활동으로 영향을 받았을 수 있는 기업 내 사용자를 조사합니다.
절차적 필터링: 이벤트 유형, 로그 소스, 네트워크 연결 상태, 최상위 도메인(TLD) 등 애셋에 대한 정보를 세부적으로 조정합니다.
선별된 정보
애셋 통계 블록: 추가 조사가 필요할 수 있는 도메인 및 알림을 강조표시합니다.
보급률 그래프: 지정된 기간 동안 애셋이 연결된 도메인 수를 보여줍니다.
Detection Engine
Google Security Operations 감지 엔진을 사용하면 데이터에서 보안 문제 검색 프로세스를 자동화할 수 있습니다. 모든 수신 데이터를 검색하고 기업에 잠재적 위협과 알려진 위협이 표시되면 이를 알리는 규칙을 지정할 수 있습니다.
VirusTotal
Google Security Operations에서 VirusTotal을 실행하여 VT 컨텍스트를 클릭해 애셋, 도메인 또는 IP 주소를 추가로 조사할 수 있습니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-09-04(UTC)"],[[["\u003cp\u003eGoogle Security Operations SIEM is a cloud-based service designed for enterprises to retain, analyze, and search extensive security and network telemetry data.\u003c/p\u003e\n"],["\u003cp\u003eThis platform aggregates and analyzes security data, allowing users to investigate security information over extended periods and across various domains, assets, and IP addresses.\u003c/p\u003e\n"],["\u003cp\u003eGoogle Security Operations supports data collection through forwarders, ingestion APIs, and third-party integrations like Office 365 and Azure AD, enabling seamless ingestion of security logs.\u003c/p\u003e\n"],["\u003cp\u003eThe platform offers a variety of investigative views, such as Enterprise Insights, Asset, IP Address, Hash, Domain, and User views, to facilitate in-depth security analysis.\u003c/p\u003e\n"],["\u003cp\u003eThe Detection Engine automates the search for security threats within your data, and VirusTotal can be launched from the platform for further asset, domain, or IP address investigation.\u003c/p\u003e\n"]]],[],null,["Google Security Operations SIEM overview \nSupported in: \n[SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n\nGoogle Security Operations SIEM is a cloud service, built as a specialized layer on top of\ncore Google infrastructure, designed for enterprises to privately retain, analyze,\nand search the massive amounts of security and network telemetry they generate.\nGoogle Security Operations normalizes, indexes, correlates, and analyzes the data to\nprovide instant analysis and context on risky activity.\n\nGoogle Security Operations lets you to examine the aggregated security information\nfor your enterprise going back for months or longer. Use Google Security Operations to\nsearch across all of the domains accessed within your enterprise. You can narrow\nyour search to any specific asset, domain, or IP address to determine if any\ncompromise has taken place.\n\n**Google Security Operations platform overview**\n\nData collection\n\nGoogle Security Operations can ingest numerous security telemetry types through a variety of methods, including:\n\n- Forwarder: A lightweight software component, deployed in the customer's network, that supports syslog, packet capture,\n and existing log management or security information and event management (SIEM) data repositories.\n\n- Ingestion APIs: APIs that enable logs to be sent directly to the Google Security Operations platform, eliminating the need for additional hardware or software in customer environments.\n\n- Third-party integrations: Integration with third-party cloud APIs to facilitate ingestion of logs, including sources like Office 365 and Azure AD.\n\nData analysis\n\nThe analytical capabilities of Google Security Operations are delivered to security professionals as a simple, browser-based\napplication. Many of these capabilities are also accessible programmatically through Read APIs.\nGoogle Security Operations gives analysts a way, when they see a potential threat, to determine what it is, what it's doing,\nwhether it matters, and how best to respond.\n\nSecurity and compliance\n\nAs a specialized, private layer built over core Google infrastructure, Google Security Operations inherits compute and storage\ncapabilities as well as the security design and capabilities of that infrastructure.\n\nAs part of its security design, Google SecOps stores user credentials (for example, credentials that you provide so a Google SecOps feed can ingest log data from a third-party API) in [Secret Manager](/secret-manager).\n| **Note:** Both Google SecOps and Google employees with permissions to Google SecOps can access user credentials.\n\nGoogle Security Operations features\n\nSearch\n\n- Raw Log Scan: Search your raw unparsed logs.\n- Regular Expressions: Search your raw unparsed logs using regular expressions.\n\nInvestigative views\n\n- Asset view: Investigate assets within your enterprise and whether or not they have interacted with suspicious domains.\n- IP Address view: Investigate specific IP addresses within your enterprise and what impact they have on your assets.\n- Hash view: Search for and investigate files based on their hash value.\n- Domain view: Investigate specific domains within your enterprise and what impact they have on your assets.\n- User view: Investigate users within your enterprise who may have been impacted by security events.\n- Procedural filtering: Fine tune information about an asset, including by event type, log source, network connection status, and Top Level Domain (TLD).\n\nCurated information\n\n- Asset insight blocks: Highlights the domains and alerts that you might want to investigate further.\n- Prevalence graph: Shows the number of domains an asset has connected to over a specified time period.\n\nDetection Engine\n\nYou can use the Google Security Operations Detection Engine to automate the process of searching across\nyour data for security issues. You can specify rules to search all of your incoming data and\nnotify you when potential and known threats appear in your enterprise.\n\nVirusTotal\n\nYou can launch VirusTotal from Google Security Operations to further investigate an asset, domain, or IP address by clicking [VT Context](/chronicle/docs/investigation/view-virustotal-information).\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
