Visão geral do Google SecOps Content Hub

Compatível com:

Secops do Google

Observação: esse recurso é coberto pelos Termos de ofertas pré-GA dos Termos específicos do serviço do Google Security Operations. Os recursos pré-GA podem ter suporte limitado, e as mudanças realizadas podem não ser compatíveis com outras versões pré-GA. Para mais informações, consulte as diretrizes do serviço de suporte técnico do Google SecOps e os Termos específicos do serviço do Google SecOps.

Observação:esse recurso é destinado apenas a clientes que usam a plataforma unificada do Google Security Operations.

Observação:se o Hub de conteúdo não aparecer na sua plataforma, verifique se você configurou um projeto gerenciado pelo cliente. Para mais informações, consulte Configurar o acesso a recursos. Além disso, entre em contato com seu representante do Google SecOps e peça para ele ativar a flag de recurso da API Chronicle.

Permissões do Hub de conteúdo

Para acessar os módulos no Hub de conteúdo, configure as permissões no módulo do IAM.

Nome da permissão do IAM	Nome de exibição	Função no IAM
chronicle.googleapis.com/featuredContentSearchQueries.get	Receber conteúdo da consulta de pesquisa	chronicle.reader
chronicle.googleapis.com/featuredContentSearchQueries.list	Listar conteúdo da consulta de pesquisa	chronicle.reader
chronicle.googleapis.com/featuredContentSearchQueries.install	Instalar conteúdo de consulta de pesquisa	chronicle.writer
chronicle.googleapis.com/featuredContentRules.list	Listar regras de conteúdo em destaque	chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.get	Acessar conteúdo do painel	chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.list	Listar conteúdo do painel	chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.install	Instalar conteúdo do painel	chronicle.writer
chronicle.googleapis.com/feedPacks.get	Receber pacotes de feed	chronicle.reader
chronicle.googleapis.com/feedPacks.list	Listar pacotes de feeds	chronicle.reader

Visão geral

O Hub de conteúdo funciona como uma plataforma centralizada para descobrir, implantar e gerenciar conteúdo no Google SecOps.

No Hub de conteúdo, você pode fazer o seguinte:

• Implante pacotes de conteúdo de ponta a ponta (incluindo ingestão de registros, detecções selecionadas e painéis) para permitir que sua instância do Google SecOps funcione com produtos da lista dos mais usados que definimos.
• Instale integrações de terceiros para playbooks e conectores do SOAR.
• Veja e filtre detecções selecionadas, inspecione atributos de regras individuais e as respectivas definições de regras (transparência de detecções selecionadas). Acesse a página "Conjunto de regras" para ter acesso a todos os recursos de gerenciamento.
• Adicione painéis para aumentar sua visibilidade.
• Adicione consultas de pesquisa salvas à pesquisa do SIEM para reutilização rápida.
• Instale e execute Power-Ups para ampliar as capacidades do playbook.
• Acesse os casos de uso legados do SOAR na página Início.

O que posso fazer na página inicial?

A página Início é a principal página de destino do hub de conteúdo. Nessa página, você pode acessar o seguinte:

• Pacotes de conteúdo, integrações de resposta, painéis, consultas de pesquisa, Power Ups e detecções selecionadas.
• Casos de uso legados de SOAR. O Google recomenda usar os novos pacotes de conteúdo em vez dos casos de uso legados porque eles oferecem soluções mais abrangentes e integradas.

O que posso fazer na página "Pacotes de conteúdo"?

Na página Pacotes de conteúdo, é possível configurar feeds únicos e múltiplos e acessar todas as outras opções da Central de conteúdo.

Para integrar todos os dados na página Pacotes de conteúdo, siga estas etapas:

1. Configure vários feeds para famílias de produtos com base no tipo de registro necessário.
2. Depois de configurar o feed, você pode configurar os componentes restantes do pacote de conteúdo (baixados automaticamente em segundo plano).
   1. Antes de usar qualquer playbook, clique em Configurar integrações e configure uma instância para que os playbooks funcionem. Para mais informações, consulte Configurar instâncias de integração.
   2. Para ver ou fazer mudanças no playbook baixado ou executá-lo usando o simulador, clique em Ver playbooks. Para mais informações, consulte Como trabalhar com o simulador de playbook. Copie o nome do playbook e pesquise na pasta "Padrão" da página Playbooks.
   3. Clique em Ver todas as regras de detecção para abrir a página Detecções selecionadas.
   4. Clique em Ver todas as consultas de pesquisa para abrir a página Pesquisa do SIEM.
   5. Clique em Ver todos os painéis para abrir a página Painéis.

O que posso fazer na página "Detecções selecionadas"?

Na página Detecções selecionadas, é possível conferir todas as definições de regras de detecção compatíveis no Google SecOps, incluindo lógica e código de regras.

Para ver e modificar detecções selecionadas (regras), faça o seguinte:

1. Encontre o conjunto de regras obrigatório que você quer atualizar e clique em Ver e gerenciar.
2. Na barra lateral que aparece na guia Visão geral, clique em Gerenciar regra. Você vai acessar o conjunto de regras completo na página Detecções selecionadas.
3. Como alternativa, na barra lateral que aparece, clique na guia Definição da regra. Isso mostra a lógica da regra. Não é possível modificar a regra aqui, mas você pode criar uma nova na página Regras. Clique em Ver desempenho da regra para acessar a página Detecções e gerenciar a regra.

O que posso fazer na página "Integrações de respostas"?

Na página Integrações de resposta, é possível conferir os detalhes da integração, incluindo o Notas de lançamento, e configurar as integrações de resposta individuais. Eles podem ser usados para conectores de SOAR e playbooks.

Para instalar e configurar uma integração:

1. Encontre a integração necessária e clique em Instalar.
2. Após a instalação, clique em Configurar na mesma integração para iniciar a configuração. Para mais informações, consulte Configurar instâncias de integração.

O que posso fazer na página "Painéis"?

Na página Painéis, é possível conferir detalhes dos painéis pré-instalados e adicionar novos. Para acessar ou gerenciar qualquer painel, pré-instalado ou adicionado do Hub de conteúdo, acesse a página Painéis. Observação: os painéis adicionados pelo Hub de conteúdo são marcados como Marketplace.

O que posso fazer na página "Consultas de pesquisa"?

Na página Consultas de pesquisa, é possível conferir detalhes e adicionar novas consultas. Depois que você adiciona uma consulta de pesquisa, ela é adicionada às pesquisas salvas e compartilhada na instância. Para ver ou gerenciar consultas salvas, acesse a página Pesquisa do SIEM.

O que posso fazer na página "Power-ups"?

Na página Power-ups, é possível conferir detalhes, instalar e configurar os power-ups do Google SecOps para uso em playbooks. Para instruções de configuração, consulte Usar Power-Ups.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.