原生信息中心概览

支持的平台：

本文档介绍了如何使用 Google 安全运营的“原生信息中心”功能，基于不同的数据源构建可视化图表。它由不同的图表组成，这些图表使用 YARA-L 2.0 属性进行填充。

准备工作

确保您的 Google SecOps 实例已启用以下功能：

需要的 IAM 权限

如需访问原生信息中心，您需要具备以下权限：

IAM 权限 用途
chronicle.nativeDashboards.list 查看所有原生信息中心的列表。
chronicle.nativeDashboards.get 查看原生信息中心、 应用信息中心过滤条件，以及 应用全局过滤条件。
chronicle.nativeDashboards.create 创建新的原生信息中心。
chronicle.nativeDashboards.duplicate 创建现有信息中心的副本。
chronicle.nativeDashboards.update 添加和修改图表、添加过滤条件、 更改信息中心访问权限以及 管理全局时间过滤条件。
chronicle.nativeDashboards.delete 删除原生信息中心。

了解原生信息中心

原生信息中心可提供有关安全事件、检测和相关数据的数据洞见。本部分概述了支持的数据源，并说明基于角色的访问权限控制 (RBAC) 如何影响信息中心内的可见性和数据访问权限。

支持的数据源

原生信息中心包含以下数据源，每个数据源都有其对应的 YARA-L 前缀：

数据源 查询时间间隔 YARA-L 前缀 架构
事件 90 天 no prefix 字段
实体图 365 天 graph 字段
提取指标 365 天 ingestion 字段
规则集 365 天 ruleset 字段
检测 365 天 detection 字段
IOC 365 天 ioc 字段

数据 RBAC 的影响

数据基于角色的访问控制 (RBAC) 是一种安全模型，它使用各个用户角色来限制用户对组织内数据的访问权限。借助数据 RBAC，管理员可以定义镜重范围并将其分配给用户，确保访问权限仅限于其工作职能所需的数据。原生信息中心中的所有查询均遵循数据 RBAC 规则。如需详细了解访问控制和作用域，请参阅数据 RBAC 中的访问控制和作用域。

检测和分析

有效的威胁检测取决于对事件、实体关系和 IOC 匹配进行分析。本部分介绍了检测的工作原理、实体图如何协助调查以及规则集如何改进检测。

事件、实体图和 IOC 匹配

从这些来源返回的数据仅限于用户分配的访问权限范围，确保用户只能看到来自已获授权数据的结果。如果用户具有多个镜重，则查询将包含所有已分配镜重中的数据。用户无法访问的范围之外的数据不会显示在搜索结果中。

检测和包含检测的规则集

当传入的安全数据与规则中定义的条件匹配时，系统会生成检测。用户只能看到与其分配的镜重范围相关联的规则生成的检测结果。

高级功能和监控

如需微调检测并提高可见度，您可以使用高级配置，例如 YARA-L 2.0 规则和提取指标。本部分将探讨这些功能数据分析，帮助您优化检测效率并监控数据处理。

YARA-L 2.0 属性

在原生信息中心中使用时，YARA-L 2.0 具有以下独特的属性：

  • 信息中心中提供了实体图、提取指标、规则集和检测等其他数据源。其中一些数据源尚未在 YARA-L 规则和统一数据模型 (UDM) 搜索中提供。

  • 请参阅 适用于 Google Security Operations 原生信息中心的 YARA-L 2.0 函数以及包含统计测量的汇总函数。

  • YARA-L 2.0 中的查询必须包含 match 或 outcome 部分，或同时包含这两个部分。

  • YARA-L 规则的 events 部分是隐含的，无需在查询中声明。

  • YARA-L 规则的 condition 部分不适用于信息中心。

提取指标

提取组件是指从来源日志 Feed 将日志提取到平台中的服务或流水线。每个提取组件都会在自己的提取指标架构中收集一组特定的日志字段。只有全球用户才能看到这些指标。

需要更多帮助？向社区成员和 Google SecOps 专业人士寻求解答。