Trabalhe com espaços de nomes de recursos

Compatível com:

Quando pesquisa um recurso no Google Security Operations, por exemplo, através de um endereço IP ou de um nome de anfitrião, pode ver toda a atividade associada a esse recurso. Por vezes, existem vários recursos associados ao mesmo endereço IP ou nome de anfitrião (por exemplo, de atribuições de endereços IP RFC 1918 sobrepostas em diferentes segmentos de rede).

A funcionalidade de espaço de nomes de recursos permite-lhe classificar categorias de recursos que partilham um ambiente de rede comum ou um espaço de nomes e, em seguida, realizar pesquisas desses recursos na interface do utilizador do Google SecOps com base no respetivo espaço de nomes. Por exemplo, pode criar espaços de nomes para redes na nuvem, segmentação de corp versus prod, redes de fusões e aquisições, entre outros.

Crie e atribua um espaço de nomes aos dados

Todos os recursos têm um espaço de nomes definido automaticamente ou configurado manualmente. Se não for fornecido nenhum espaço de nomes nos registos, é associado um espaço de nomes predefinido aos recursos, que é etiquetado como sem etiqueta na IU do Google SecOps. Os registos carregados para o Google SecOps antes da compatibilidade com espaços de nomes são etiquetados implicitamente como parte do espaço de nomes predefinido ou não etiquetado.

Pode configurar espaços de nomes através do seguinte:

Espaços de nomes na IU do Google SecOps

O espaço de nomes associado aos seus recursos é apresentado em toda a IU do Google SecOps, especialmente sempre que existe uma lista de recursos, incluindo o seguinte:

  • Pesquisa UDM
  • Procura de registos não processados
  • Visualizações de deteção

Quando usa a barra de pesquisa, são apresentados os espaços de nomes associados a cada recurso. Selecionar um recurso num espaço de nomes específico abre-o na vista de recursos, mostrando as outras atividades associadas ao mesmo espaço de nomes.

Qualquer recurso não associado a um espaço de nomes é atribuído ao espaço de nomes predefinido. No entanto, o espaço de nomes predefinido não é apresentado nas listas.

Vista de recursos

Na vista de recursos, o espaço de nomes é indicado no título do recurso na parte superior da página. Se selecionar o menu pendente clicando na seta para baixo, pode selecionar os outros espaços de nomes associados ao recurso.

Vista de recursos com espaços de nomes Vista de recursos com espaços de nomes

Vistas de endereço IP, domínio e hash

Na interface do utilizador do Google SecOps, os espaços de nomes são apresentados em qualquer lugar onde um recurso seja referenciado (exceto no espaço de nomes predefinido ou sem etiqueta), incluindo nas vistas de endereço IP, domínio e hash.

Por exemplo, na vista Endereço IP, os espaços de nomes são incluídos no separador de recursos e no gráfico de prevalência.

Etiquetas de carregamento

Para restringir ainda mais a pesquisa, pode usar etiquetas de carregamento para configurar feeds separados. Para ver uma lista completa das etiquetas de carregamento suportadas, consulte o artigo Analizadores predefinidos suportados.

Exemplos: três formas de adicionar um espaço de nomes aos registos

Os exemplos seguintes ilustram três formas diferentes de adicionar um espaço de nomes aos registos que carrega para a sua conta do Google SecOps.

Atribua um espaço de nomes através do encaminhador do Google SecOps

Pode configurar um espaço de nomes adicionando-o ao ficheiro de configuração do encaminhador do Google SecOps como um espaço de nomes específico do encaminhador ou um espaço de nomes específico do coletor. A configuração de encaminhador de exemplo seguinte ilustra ambos os tipos:

metadata:
  namespace: FORWARDER
collectors:
- syslog:
      common:
        metadata:
          namespace: CORPORATE
        batch_n_bytes: 1048576
        batch_n_seconds: 10
        data_hint: null
        data_type: NIX_SYSTEM
        enabled: true
      tcp_address: 0.0.0.0:30000
      connection_timeout_sec: 60
- syslog:
      common:
        batch_n_bytes: 1048576
        batch_n_seconds: 10
        data_hint: null
        data_type: WINEVTLOG
        enabled: true
      tcp_address: 0.0.0.0:30001
      connection_timeout_sec: 60

Conforme mostrado neste exemplo, os registos provenientes de WINEVTLOG incluem a etiqueta de espaço de nomes FORWARDER. Os registos originados de NIX_SYSTEM incluem a etiqueta de espaço de nomes CORPORATE.

Isto define um espaço de nomes geral para o coletor de registos. Se o seu ambiente contiver uma combinação de registos pertencentes a vários espaços de nomes e não conseguir segmentar estas máquinas (ou se isto for intencional), a Google recomenda que crie vários coletores para a mesma origem de registos que filtram os registos para o respetivo espaço de nomes através de expressões regulares.

Atribua um espaço de nomes através da API de carregamento

Também pode configurar um espaço de nomes quando envia os seus registos através do ponto final unstructuredlogentries na API de carregamento do Chronicle, conforme mostrado no exemplo seguinte:

{
  "customer_id": "c8c65bfa-5f2c-42d4-9189-64bb7b939f2c",
  "log_type": "BIND_DNS",
  "namespace": "FORWARDER"
  "entries": [
    {
      "log_text": "26-Feb-2019 13:35:02.187 client 10.120.20.32#4238: query: altostrat.com IN A + (203.0.113.102)",
      "ts_epoch_microseconds": 1551188102187000
    },
    {
      "log_text": "26-Feb-2019 13:37:04.523 client 10.50.100.33#1116: query: examplepetstore.com IN A + (203.0.113.102)",
      "ts_rfc3339": "2019-26-02T13:37:04.523-08:00"
    },
    {
      "log_text": "26-Feb-2019 13:39:01.115 client 10.1.2.3#3333: query: www.example.com IN A + (203.0.113.102)"
    },
  ]
}

Neste exemplo, o espaço de nomes é um parâmetro do corpo da chamada POST da API. Os registos de BIND\_DNS encaminham os respetivos dados de registo com a etiqueta de espaço de nomes FORWARDER.

Atribua um espaço de nomes através da gestão de feeds do Google SecOps

Conforme indicado no guia do utilizador de gestão de feeds, a gestão de feeds do Google SecOps permite-lhe configurar e gerir várias streams de registos no seu inquilino do Google SecOps.

No exemplo seguinte, os registos do Office 365 são carregados com a etiqueta de espaço de nomes FORWARDER:

add_feed_namespace

Figura 1: configuração da gestão de feeds com a etiqueta do espaço de nomes FORWARDER

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.