Utiliser des données enrichies en contexte dans les rapports

Pour faciliter les enquêtes de sécurité, Google Security Operations ingère des données contextuelles des données provenant de différentes sources, analyse les données ingérées fournit un contexte supplémentaire sur les artefacts dans un environnement client. Ce document fournit des exemples de la façon dont les analystes peuvent utiliser des données contextuelles enrichies dans les tableaux de bord et les schémas Google Security Operations dans BigQuery.

Pour en savoir plus sur l'enrichissement des données, consultez Comment Google Security Operations enrichit les données d'événement et d'entité.

Utiliser des données de géolocalisation enrichies

Les événements UDM peuvent inclure des données de géolocalisation pour fournir plus de contexte au cours d’une enquête. Lorsque des événements UDM sont exportés vers BigQuery, ces champs sont également exportés. Cette section explique comment utiliser des champs enrichis en fonction de la géolocalisation lorsque vous créez des rapports.

Interroger les données dans le schéma events

Les données de géolocalisation peuvent être interrogées à l'aide du schéma events de Google Security Operations dans BigQuery. L'exemple suivant est une requête SQL qui renvoie des résultats agrégés pour tous les événements USER_LOGIN par utilisateur, par pays, et avec la première et la dernière heure observées.

SELECT
 ip_geo_artifact.location.country_or_region,
 COUNT(ip_geo_artifact.location.country_or_region) AS count_country,
 ip_geo_artifact.location.state,
 COUNT(ip_geo_artifact.location.state) AS count_state,
 target.user.email_addresses[ORDINAL(1)] AS principal_user,
 TIMESTAMP_SECONDS(MIN(metadata.event_timestamp.seconds)) AS first_observed,
 TIMESTAMP_SECONDS(MAX(metadata.event_timestamp.seconds)) AS last_observed,
FROM `datalake.events`,
UNNEST (principal.ip_geo_artifact) as ip_geo_artifact
WHERE DATE(hour_time_bucket) = "2023-01-11"
AND metadata.event_type = 15001
AND metadata.vendor_name IN ("Google Cloud Platform","Google Workspace")
GROUP BY 1,3,5
HAVING count_country > 0
ORDER BY count_country DESC

Le tableau suivant contient un exemple de résultats pouvant être renvoyés.

country_or_region count_country state count_state principal_user first_observed last_observed
Netherlands 5 North Holland 5 admin@acme.com 2023-01-11 14:32:51 UTC 2023-01-11 14:32:51 UTC
Israel 1 Tel Aviv District 1 omri@acme.com 2023-01-11 10:09:32 UTC 2023-01-11 15:26:38 UTC

La requête SQL suivante montre comment détecter la distance entre deux points géographiques.

SELECT
DISTINCT principal_user,
(ST_DISTANCE(north_pole,user_location)/1000) AS distance_to_north_pole_km
FROM (
  SELECT
    ST_GeogPoint(135.00,90.00) AS north_pole,
    ST_GeogPoint(ip_geo_artifact.location.region_coordinates.longitude, ip_geo_artifact.location.region_coordinates.latitude) AS user_location,
    target.user.email_addresses[ORDINAL(1)] AS principal_user
  FROM `datalake.events`,
  UNNEST (principal.ip_geo_artifact) as ip_geo_artifact
  WHERE DATE(hour_time_bucket) = "2023-01-11"
  AND metadata.event_type = 15001
  AND metadata.vendor_name IN ("Google Cloud Platform","Google Workspace")
  AND ip_geo_artifact.location.country_or_region != ""
)
ORDER BY 2 DESC

Le tableau suivant contient un exemple de résultats pouvant être renvoyés.

principal_user distance_to_north_pole_km
omri@acme.com 6438.98507
admin@acme.com 4167.527018

Vous pouvez obtenir des requêtes légèrement plus utiles en exploitant les polygones de surface calculer une zone raisonnable pour se déplacer à partir d'un lieu donné dans un intervalle donné. Vous pouvez également vérifier si plusieurs valeurs géographiques correspondent pour identifier les valeurs en cas de déplacement. Ces solutions nécessitent de disposer d'une source de données de géolocalisation précise et cohérente.

Afficher les champs enrichis dans les tableaux de bord

Vous pouvez également créer un tableau de bord à l'aide de champs UDM enrichis basés sur la géolocalisation. Le graphique affiche la ville de chaque événement UDM. Vous pouvez modifier le type de graphique pour afficher les données dans un format différent.

Étape suivante

Pour en savoir plus sur l'utilisation des données enrichies avec d'autres opérations de sécurité Google , consultez les ressources suivantes: