Menggunakan data yang diperkaya konteks dalam laporan

Untuk mendukung penyelidikan keamanan, Google Security Operations menyerap data kontekstual dari berbagai sumber, melakukan analisis terhadap data yang diserap, dan memberikan konteks tambahan tentang artefak di lingkungan pelanggan. Dokumen ini memberikan contoh cara analis dapat menggunakan data yang diperkaya secara kontekstual dalam dasbor dan dalam skema Google SecOps di BigQuery.

Untuk mengetahui informasi selengkapnya tentang pengayaan data, lihat Cara Google SecOps memperkaya data peristiwa dan entitas.

Menggunakan data yang dilengkapi geolokasi

Peristiwa UDM dapat mencakup data yang diperkaya dengan geolokasi untuk memberikan konteks tambahan selama penyelidikan. Saat peristiwa UDM diekspor ke BigQuery, kolom ini juga diekspor. Bagian ini menjelaskan cara menggunakan kolom yang diperkaya geolokasi saat membuat laporan.

Membuat kueri data dalam skema events

Data geolokasi dapat dikueri menggunakan skema events Google SecOps di BigQuery. Contoh berikut adalah kueri SQL yang menampilkan hasil gabungan untuk semua peristiwa USER_LOGIN menurut pengguna, negara, dan dengan waktu pertama dan terakhir yang diamati.

SELECT
 ip_geo_artifact.location.country_or_region,
 COUNT(ip_geo_artifact.location.country_or_region) AS count_country,
 ip_geo_artifact.location.state,
 COUNT(ip_geo_artifact.location.state) AS count_state,
 target.user.email_addresses[ORDINAL(1)] AS principal_user,
 TIMESTAMP_SECONDS(MIN(metadata.event_timestamp.seconds)) AS first_observed,
 TIMESTAMP_SECONDS(MAX(metadata.event_timestamp.seconds)) AS last_observed,
FROM `datalake.events`,
UNNEST (principal.ip_geo_artifact) as ip_geo_artifact
WHERE DATE(hour_time_bucket) = "2023-01-11"
AND metadata.event_type = 15001
AND metadata.vendor_name IN ("Google Cloud Platform","Google Workspace")
GROUP BY 1,3,5
HAVING count_country > 0
ORDER BY count_country DESC

Tabel berikut berisi contoh hasil yang mungkin ditampilkan.

Kueri SQL berikut menggambarkan cara mendeteksi jarak antara dua lokasi.

SELECT
DISTINCT principal_user,
(ST_DISTANCE(north_pole,user_location)/1000) AS distance_to_north_pole_km
FROM (
  SELECT
    ST_GeogPoint(135.00,90.00) AS north_pole,
    ST_GeogPoint(ip_geo_artifact.location.region_coordinates.longitude, ip_geo_artifact.location.region_coordinates.latitude) AS user_location,
    target.user.email_addresses[ORDINAL(1)] AS principal_user
  FROM `datalake.events`,
  UNNEST (principal.ip_geo_artifact) as ip_geo_artifact
  WHERE DATE(hour_time_bucket) = "2023-01-11"
  AND metadata.event_type = 15001
  AND metadata.vendor_name IN ("Google Cloud Platform","Google Workspace")
  AND ip_geo_artifact.location.country_or_region != ""
)
ORDER BY 2 DESC

Tabel berikut berisi contoh hasil yang mungkin ditampilkan.

Anda dapat memperoleh kueri yang sedikit lebih berguna dengan memanfaatkan poligon area untuk menghitung area yang wajar untuk bepergian dari suatu lokasi dalam interval tertentu. Anda juga dapat memeriksa apakah beberapa nilai geografi cocok untuk mengidentifikasi deteksi perjalanan yang tidak mungkin. Solusi ini memerlukan sumber data geolokasi yang akurat dan konsisten.

Melihat kolom yang diperkaya di dasbor

Anda juga dapat membuat dasbor menggunakan kolom UDM yang diperkaya geolokasi. Diagram menampilkan kota setiap peristiwa UDM. Anda dapat mengubah jenis diagram untuk melihat data dalam format yang berbeda.

Langkah berikutnya

Untuk mengetahui informasi tentang cara menggunakan data yang telah di-enrich dengan fitur Google SecOps lainnya, lihat artikel berikut:

• Menggunakan data yang diperkaya konteks dalam aturan.
• Gunakan data yang diperkaya konteks di Penelusuran UDM.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.