שליטה בגישה לכרטיסי תמיכה ולהתראות של צד ראשון

נתמך ב:

המדריך הזה מיועד לאדמינים ולמנתחי אבטחה ב-Google SecOps שרוצים לשלוט בגישה לבקשות תמיכה ולהתראות מאינטראקציה ישירה (1P) באמצעות בקרת גישה מבוססת-תפקידים (RBAC) לנתונים. במאמר מוסבר איך להגדיר את היקפי הגישה לנתונים בצד ה-SIEM של הפלטפורמה ולמפות אותם לסביבות SOAR, כדי שהמשתמשים יוכלו לראות רק התראות ותיקים שנוצרו מנתונים שיש להם הרשאה לגשת אליהם. באמצעות השיטה הזו, תוכלו לאכוף את מדיניות משילות הנתונים ולשפר את האבטחה. השלמה מוצלחת של המשימה מאפשרת לארגונים להגביל את הרשאות הגישה לנתונים על סמך תפקידים ותחומי אחריות, לשפר את התאימות ולהפחית את הסיכון לחשיפת נתונים.

מונחים חשובים

במדריך הזה נעשה שימוש במונחים הבאים כדי לתאר את המושגים והרכיבים של בקרת גישה מבוססת-תפקידים לנתונים.

  • התראות מצד ראשון (1P): זיהויים שנוצרו על ידי מנוע הזיהוי של Google SecOps SIEM, כמו כללים, התאמות של מודיעין איומי סייבר או ניתוח אבטחה. כשמערכת SIEM מזהה איומים והנתונים שלה מוזנים לרכיב SOAR באמצעות המחבר של Google SecOps, הם יוצרים התראות של צד ראשון ומקובצים למקרים של צד ראשון.
  • התראות של צד שלישי (3P): התראות שמוזנות ישירות לרכיב SOAR מכלי אבטחה חיצוניים (לדוגמה, חומות אש של צד שלישי או סוכני זיהוי של נקודות קצה) באמצעות שילובים נפרדים של SOAR. ההתראות האלה לא עוברות דרך מנוע הזיהוי של SIEM, והן לא כפופות להיקפי הגישה לנתונים של SIEM.

בהתראות צד ראשון, Google SecOps מעביר את היקפי הנתונים המשויכים של אירועים בסיסיים לרכיב SOAR. ההפצה הזו מאפשרת לאנליסטים לראות התראות ואת המקרים שמשויכים אליהן רק אם יש להם גישה להיקפי הנתונים של האירועים הבסיסיים. לדוגמה, אפשר לתת למשתמש בתחום הפיננסי גישה לנתונים הפיננסיים שנקלטים ב-Google SecOps, אבל לא לנתוני אנשי הקשר של הלקוחות. משתמש עם הרשאת גישה לנתונים פיננסיים יכול לראות רק את ההתראות והפניות שמשויכות לנתונים הפיננסיים, ולא יכול לראות התראות או פניות שמשויכות לנתוני הקשר של הלקוח.

לפני שמתחילים

לפני שמגדירים RBAC לנתונים במקרים ובהתראות של מוצרי צד ראשון, חשוב לוודא שהדרישות הבאות מתקיימות:

  • המופע של Google SecOps צריך להיות מאוחד (SIEM ו-SOAR מופעלים).
  • התנהגות של כמה מופעי SIEM: אם יש לכם כמה מופעי SIEM שמחוברים למופע SOAR אחד, הפצת ההיקף והאכיפה חלות רק על מופע ה-SIEM הראשי. המערכת מתעלמת מהיקפי ההרשאות של מופעי SIEM משניים בצד של SOAR, וההתראות האלה גלויות לכל משתמש שיש לו גישה לסביבה שהוקצתה לו ב-SOAR.
  • Chronicle Connector: המחבר של Chronicle שמקשר בין רכיב ה-SIEM לרכיב ה-SOAR משתמש ב-Chronicle API המודרני. לפני שמפעילים את התכונה הזו, חשוב לוודא שהמחבר שודרג מ-Backstory API מדור קודם ל-Chronicle API. לפרטים נוספים אפשר לעיין במאמר שדרוג ל-Chronicle API.

הפעלת בקרת גישה מבוססת-תפקידים (RBAC) לנתונים בהתראות ובכרטיסי מידע של מוצרים מהדור הראשון

אדמינים של Google SecOps (תפקיד אדמין של Chronicle API ב- Google Cloud IAM) יכולים להפעיל RBAC של נתונים עבור התראות וכרטיסי מידע של צד ראשון במופע שלהם. יש שני תרחישים:

תרחיש א': הגישה לנתוני SIEM כבר נאכפת

אם אמצעי הבקרה של בקרת הגישה לנתונים כבר פעילים ברכיב ה-SIEM, פועלים לפי השלבים הבאים כדי להרחיב את האכיפה להתראות ולמקרים של צד ראשון ברכיב ה-SOAR:

  1. נכנסים ל-Google SecOps.
  2. מוודאים שההיקפים מוגדרים בצורה נכונה בקטע הגדרות SIEM‏ > גישה לנתונים.
  3. מקצים היקפי נתונים למשתמשים במסוף Google Cloud באמצעות Google Cloud IAM.
  4. ב-Google SecOps, עוברים אל SIEM Settings > Data Access ולוחצים על Enable Data Access in SOAR.
  5. ממפים את היקפי ה-SIEM לסביבות SOAR כמו שמתואר במאמר מיפוי היקפים לסביבות.

עכשיו הגישה לנתונים נאכפת לגבי התראות ומקרים של צד ראשון ברכיב ה-SOAR. הכלל הזה חל על כל ההתראות והמקרים החדשים, וגם על התראות ומקרים קיימים שנוצרו אחרי שהגישה לנתוני SIEM נאכפה לראשונה.

תרחיש ב': עדיין לא נאכפת גישה לנתוני SIEM

אם עדיין לא הפעלתם את אמצעי הבקרה על הגישה לנתונים ב-SIEM, האכיפה תופעל ב-SIEM וב-SOAR בו-זמנית.

  1. נכנסים ל-Google SecOps.
  2. מוודאים שההיקפים מוגדרים בצורה נכונה בקטע הגדרות SIEM‏ > גישה לנתונים.
  3. מקצים היקפי נתונים למשתמשים במסוף Google Cloud באמצעות Google Cloud IAM.
  4. ב-Google SecOps, עוברים אל SIEM Settings > Data Access ולוחצים על Enforce Data Access.
  5. ממפים את היקפי ה-SIEM לסביבות SOAR כמו שמתואר במאמר מיפוי היקפים לסביבות.

הגישה לנתונים נאכפת עכשיו ברכיב ה-SIEM, וגם בהתראות ובמקרים חדשים של צד ראשון ברכיב ה-SOAR.

מיפוי היקפי גישה לסביבות

כדי לקשר בין היקפי נתונים של SIEM לבין SOAR, צריך למפות את היקפי הגישה לנתונים של SIEM לסביבות SOAR.

  1. כדי לגשת לדף ההגדרות של הסביבה, עוברים אל SOAR Settings > Environments.
  2. בוחרים סביבה קיימת לשינוי או לוחצים על הוספת סביבה.
  3. כדי לשייך היקפים, צריך לקשר היקפי SIEM לסביבה הזו.
    • מאתרים את השדה היקפי גישה לנתונים ובוחרים את ההיקפים הנדרשים של SIEM.
    • כללי מיפוי:
      • אפשר למפות היקף רק לסביבה אחת.
      • אפשר למפות כמה היקפים לסביבה אחת.
  4. כדי להחיל את המיפוי של ההיקף לסביבה, לוחצים על Save (שמירה).

מיפוי חלופי של סביבה

כשמוגדר מיפוי של היקף לסביבה, התראות SIEM עם היקף ממופה מוקצות באופן אוטומטי לסביבת SOAR המשויכת. ההגדרה הזו מבטלת את הגדרות הסביבה במחבר של Chronicle.

אם התראה של SIEM היא גלובלית או שההיקף שלה לא ממופה לסביבה, היא מנותבת אל סביבת ברירת המחדל. סביבת ברירת המחדל מוגדרת על ידי ההגדרה Environment או Environment Field Name במחבר של Chronicle.

הסבר על הערכת הגישה

בקטע הזה מוסבר איך מערכת Google SecOps מעריכה את הגישה של המשתמשים לבקשות ולהתראות על סמך ההיקפים והסביבות שהוקצו. כדי לצפות בבקשת תמיכה או בהתראה של צד ראשון, המשתמש צריך לעמוד גם בהרשאות הסביבה וגם בהרשאות ההיקף.

לוגיקה של העברת היקף ההרשאות

  • היקף ההתראה: התראה שנקלטה כוללת את היקף הגישה לנתונים שהוקצה לה על ידי כללי הזיהוי של Google SecOps SIEM.
  • היקף הבקשה: בקשה מקבלת בירושה באופן אוטומטי את כל ההיקפים מההתראות המשויכות שלה. לדוגמה, אם מקרה מקבץ את התראה 1 (היקף א') ואת התראה 2 (היקף ב'), המקרה יורש את היקף א' ואת היקף ב'.

כללי גישה

כדי לגשת למשאב (בקשה או התראה), למשתמש צריכה להיות:

  1. גישה לסביבת SOAR שהוקצתה למשאב.
  2. גישה לכל היקפי הגישה לנתונים שהוקצו למשאב.

תרחישי הערכה

בטבלה הבאה מוסבר איך המערכת בודקת את הגישה של המשתמשים בתרחישים שונים:

התראות לגבי בקשות תמיכה היקפי הרשאות של בקשות תמיכה היקפי הרשאות שהוקצו למשתמשים רמת הגישה של המשתמש האם ניתנה גישה לפניה ולהתראות שמשויכות אליה? הסבר לגבי ההנחיה
התראה 1 (היקף 1) היקף 1 היקף 1 משתמש עם הרשאות מוגבלות כן למשתמש יש גישה להיקף היחיד שהוקצה לכרטיס.
התראה 1 (היקף 1) והתראה 2 (היקף 2) היקף 1 והיקף 2 היקף 1 משתמש עם הרשאות מוגבלות לא למשתמש חסר היקף 2; למשתמש צריכה להיות גישה לכל ההיקפים שמשויכים לפנייה.
התראה 1 (היקף 1) והתראה 2 (היקף 2) היקף 1 והיקף 2 היקף 1 והיקף 2 משתמש עם הרשאות מוגבלות כן למשתמש יש גישה לכל ההיקפים שהוקצו לכרטיס.
התראה 1 (היקף 1) והתראה 2 (היקף 2) היקף 1 והיקף 2 עולמי משתמש גלובלי כן משתמשים גלובליים עוקפים את הסינון לפי היקף ויכולים לראות את כל בקשות התמיכה.
התראה 1 (היקף גלובלי) עולמי עולמי משתמש גלובלי כן משתמשים גלובליים עוקפים את סינון ההיקף ויכולים לראות את כל המקרים.
התראה 1 (היקף 1) והתראה 2 (היקף גלובלי) עולמי היקף 1 משתמש עם הרשאות מוגבלות לא הגישה לבקשות תמיכה בהיקף גלובלי מוגבלת למשתמשים גלובליים.
התראה 1 (היקף 1) והתראה 2 (היקף גלובלי) עולמי עולמי משתמש גלובלי כן משתמשים גלובליים עוקפים את הסינון לפי היקף ויכולים לראות את כל בקשות התמיכה.
התראה 1 (היקף גלובלי) עולמי היקף 1 משתמש עם הרשאות מוגבלות לא הגישה לבקשות תמיכה בהיקף גלובלי מוגבלת למשתמשים גלובליים.

כללי קיבוץ של מקרים והיקף של ישויות

  • קיבוץ מוגבל לפי סביבה: אפשר לקבץ התראות לכרטיס אחד רק אם ההיקפים הממופים שלהן מנתבים אותן אל אותה סביבה.
  • הצטברות של היקף ההרשאות: כשמתקבלות התראות עם היקפי הרשאות שונים שממופות לאותה סביבה ומקובצות לכרטיס, הכרטיס מקבל בירושה את כל היקפי ההרשאות האלה.
  • ההשפעה של התראות ללא היקף: אם התראה ללא היקף מקובצת עם התראה עם היקף בסביבת הגיבוי, ההיקף של הכרטיס משתנה לגלובלי, כך שרק משתמשים גלובליים יכולים לראות אותו.
  • היקף של ישויות ייחודיות: ישות ייחודית מקבלת בירושה את ההיקפים של כל ההתראות שבהן היא מופיעה.
  • הגדרת היקף של ישויות מעורבות: ישויות מעורבות יורשות רק את היקף ההתראה של הישות הראשית.

שינוי המיפויים של היקפים לסביבות

כשמשנים או מסירים מיפוי של היקף, ההשפעה תלויה בשאלה אם ההתראות והאירועים חדשים או קיימים.

  • העברת היקף: שינוי המיפוי של היקף מסביבה א' לסביבה ב':
    • התראות ומקרים חדשים: מנותבים אל סביבה ב'.
    • התראות ובקשות תמיכה קיימות: יישארו בסביבה א'. המשתמשים יכולים לגשת אליהם אם יש להם הרשאות גם לסביבה א' וגם להיקף שהוקצה.
  • הסרת מיפוי של היקף הרשאות: ביטול המיפוי של היקף הרשאות מסביבה:
    • התראות ובקשות תמיכה חדשות: מנותבות לסביבת הגיבוי. הוא גלוי רק למשתמשים גלובליים ולמשתמשים עם גישה לסביבת הגיבוי.
    • התראות ופניות קיימות: נשארות בסביבה המקורית שלהן, אבל רק משתמשים גלובליים יכולים לראות אותן כי ההיקף כבר לא ממופה.

טיפול בבקשות ידניות ובבקשות שמועברות לטיפול של נציג

בקטע הזה מוסבר איך לנהל אירועים שנוצרו באופן ידני או כתוצאה מהצפה של התראות.

יצירת בקשות תמיכה באופן ידני

  1. בכרטיסייה Cases, לוחצים על Create Manual Case.
  2. בוחרים את הסביבה הרצויה.
  3. בוחרים היקף גישה לנתונים. ברשימה מוצגים היקפי הרשאות שממופים לסביבה וגם מוקצים לחשבון המשתמש שלכם.
    • אם אין חפיפה בין ההיקפים, הרשימה ריקה ולא ניתן לשלוח את הפנייה.
    • משתמשים גלובליים יכולים לבחור כל היקף שמופה לסביבה.
  4. מזינים את פרטי הפנייה ולוחצים על שליחה. הפנייה וההתראה הידנית שנוצרו ממנה מקבלות בירושה את ההיקף שנבחר.

פניות עודפות

במקרים של חריגה, המערכת מקבצת התראות מכמה היקפים בלי לפעול לפי מודל הישות המשותפת. הם מוקצים להיקף גלובלי וגלויים רק למשתמשים גלובליים.

איך מוצאים היקפים בדף 'פניות'

אפשר לראות את היקפי הגישה לנתונים שהוקצו לכרטיס תמיכה בכמה מקומות בממשק של Google SecOps.

כותרת בקשת התמיכה

היקפי ההרשאות שהוקצו מופיעים כתוויות לקריאה בלבד לצד השדה Environment. מחזיקים את הסמן מעל האזור כדי לראות את הרשימה המלאה.

טבלת רשימת בקשות התמיכה

אפשר גם לראות את ההיקפים ישירות מטבלת 'רשימת פניות':

  • בעמודה היקפי גישה לנתונים בטבלה 'רשימת פניות' מופיעים היקפי הגישה לנתונים.
  • בעמודה הזו מוצגים היקפי ההרשאות שהוקצו לבקשה (מופרדים בפסיקים אם יש כמה).
  • כדי לסנן את התור, אפשר להקליד את שמות ההיקפים במסנן הטקסט של העמודה.

טיפול במחיקות של היקפי הרשאות

בקטע הזה מוסבר מה קורה למקרים ולהתראות קיימים כשמוחקים היקף גישה לנתונים בצד ה-SIEM של הפלטפורמה.

אם אדמין מוחק היקף גישה לנתונים בהגדרות SIEM > גישה לנתונים:

  1. ההיקף מוסר אוטומטית מכל סביבת SOAR.
  2. אכיפת הגישה: מכיוון שההיקף נמחק מרכיב ה-SIEM ומ-Cloud IAM, רק משתמשים גלובליים (או משתמשים שעדיין מחזיקים בטענת הטוקן שנשמרה במטמון) יוכלו לגשת לבקשות התמיכה ולהתראות ההיסטוריות האלה.

פתרון בעיות

בקטע הזה מפורטות ציפיות הביצועים ומוצעים פתרונות לבעיות נפוצות בהטמעה.

זמן אחזור ומגבלות

יכול להיות שיעברו עד 30 שניות עד שהשינויים במיפויים של היקף ההרשאות לסביבה או ההפעלה הראשונית יתעדכנו.

אימות ובדיקה

כדי לאמת את ההגדרה, בודקים את הגישה לכרטיסי מידע ולהתראות באמצעות חשבונות משתמשים עם הרשאות שונות בהיקף ובסביבה. מוודאים שהמשתמשים יכולים לראות רק את הנתונים שהם מורשים לראות.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.