Recolha registos do Google SecOps SOAR

Compatível com:

Google secops

Nota: esta funcionalidade está abrangida pelos Termos das Ofertas de Pré-DG dos Termos Específicos do serviço Google Security Operations. As funcionalidades de pré-DG podem ter suporte limitado e as alterações às funcionalidades de pré-DG podem não ser compatíveis com outras versões de pré-DG. Para mais informações, consulte as diretrizes dos serviços de apoio técnico do Google SecOps e os Termos Específicos dos Serviços do Google SecOps.

Pode gerir e monitorizar os registos SOAR do Google Security Operations no Google Cloud Explorador de registos. Também pode usar Google Cloud ferramentas para configurar métricas e alertas especiais que são acionados por eventos específicos nos registos de operações SOAR.

Os registos capturam dados essenciais das funções ETL, playbook e Python do SOAR. Os tipos de dados capturados incluem a execução de scripts Python, o carregamento de alertas e o desempenho dos manuais de procedimentos.

Aceda aos registos do Google SecOps SOAR

Os registos do SOAR do Google SecOps são escritos num espaço de nomes separado denominado chronicle-soar e são categorizados pelo serviço que gerou o registo.

Para aceder aos registos do SOAR do Google SecOps, faça o seguinte:

1. Na Google Cloud consola, aceda a Registo > Explorador de registos.
2. Selecione o projeto do Google SecOps Google Cloud .

3. Introduza o seguinte filtro no campo e clique em Executar consulta:

   resource.labels.namespace_name="chronicle-soar"
   

   

4. Para filtrar registos de um serviço específico, introduza os seguintes filtros na caixa e clique em Executar consulta:

       resource.labels.namespace_name="chronicle-soar" 
       resource.labels.container_name="<container_name>" 
   

   em que os valores incluem playbook, python ou etl.

Etiquetas de guias interativos

As etiquetas de registo do Playbook oferecem uma forma mais eficiente e conveniente de refinar o âmbito de uma consulta. Todas as etiquetas estão localizadas na secção de etiquetas de cada mensagem de registo:

Para restringir o âmbito do registo, expanda a mensagem de registo, clique com o botão direito do rato em cada etiqueta e oculte ou mostre registos específicos:

Estão disponíveis as seguintes etiquetas:

• playbook_definition
• playbook_name
• block_name
• block_definition
• case_id
• correlation_id
• integration_name
• action_name

Nota: a etiqueta correlation_id obtém registos do playbook e dos serviços Python associados. Por conseguinte, os registos fornecem uma análise e um rastreio completos da execução de um manual de soluções completo.

Registos Python

Os seguintes registos estão disponíveis para o serviço Python:

resource.labels.container_name="python"

Etiquetas de integração e conetor:

• integration_name
• integration_version
• connector_name
• connector_instance

Etiquetas de tarefas:

• integration_name
• integration_version
• job_name

Etiquetas de ações:

• integration_name
• integration_version
• integration_instance
• correlation_id
• action_name

Registos de ETL

Os seguintes registos estão disponíveis para o serviço ETL:

resource.labels.container_name="etl"

Etiquetas ETL:

• correlation_id

Por exemplo, para fornecer o fluxo de carregamento de um alerta, filtre por correlation_id:

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.