סקירה כללית על ההשפעה של RBAC על תכונות הנתונים
בקרת גישה מבוססת-תפקידים לנתונים (data RBAC) היא מודל אבטחה שמגביל את גישת המשתמשים לנתונים על סמך התפקידים של המשתמשים בארגון. אחרי שמגדירים את בקרת הגישה מבוססת-התפקידים לנתונים בסביבה, מתחילים לראות נתונים מסוננים בתכונות של Google Security Operations. בקרת גישה מבוססת-תפקידים (RBAC) לנתונים שולטת בגישת המשתמשים בהתאם להיקפי ההרשאות שהוקצו להם, ומוודאת שהמשתמשים יכולים לגשת רק למידע מורשה. בדף הזה מוסבר איך בקרת גישה מבוססת-תפקידים (RBAC) משפיעה על כל תכונה ב-Google SecOps.
חיפוש
הנתונים שמוחזרים בתוצאות החיפוש מבוססים על היקפי הגישה לנתונים של המשתמש. המשתמשים יכולים לראות רק תוצאות מנתונים שתואמים להיקפים שהוקצו להם. אם למשתמשים מוקצה יותר מהיקף אחד, החיפוש מתבצע בכל הנתונים המשולבים של כל ההיקפים המורשים. נתונים ששייכים להיקפים שלמשתמש אין גישה אליהם לא מופיעים בתוצאות החיפוש.
גישה לבקשות תמיכה
חיפוש בקשות תמיכה והיסטוריית בקשות תמיכה בחיפוש SIEM לא תומך בהיקפי RBAC של נתונים. משתמש עם הרשאות לביצוע חיפוש ב-SIEM יכול לחפש אירועים והיסטוריית אירועים בכל היקפי הנתונים.
כללים
כללים הם מנגנוני זיהוי שמנתחים את הנתונים שנאספו ועוזרים לזהות איומי אבטחה פוטנציאליים. אפשר לחלק את הכללים לקטגוריות הבאות:
כללים בהיקף מוגבל: משויכים להיקף נתונים ספציפי. כללים מוגדרים יכולים לפעול רק על נתונים שנכללים בהגדרה של אותו היקף. משתמשים שיש להם גישה להיקף יכולים לראות את הכללים שלו ולנהל אותם.
כללים גלובליים: הכללים האלה חלים על נתונים בכל ההיקפים, ויש להם נראות רחבה יותר. כדי לשמור על האבטחה והשליטה, רק משתמשים עם היקף גלובלי יכולים לראות וליצור כללים גלובליים.
יצירת ההתראות מוגבלת לאירועים שתואמים להיקף של הכלל. אם לא מוקצה לכלל היקף, הוא פועל בהיקף הגלובלי וחלים על כל הנתונים.
ההשפעות של RBAC על נתונים על כללים הן:
הפעלתם את RBAC לנתונים לפני שהקציתם היקפים לכללים: כל הכללים הקיימים מקבלים באופן אוטומטי היקף גלובלי. מקצים היקפים לכל כלל בהתאם לדרישות של בקרת הגישה לנתונים.
הפעלת RBAC של נתונים אחרי הקצאת היקפים לכללים: כללים עם היקפים פועלים על נתונים שנכנסים בהתאם להיקפים שהוגדרו להם, גם לפני שהפעלתם RBAC של נתונים. כך המשתמשים יכולים לראות את הזיהויים שנוצרו אחרי הקצאות ההיקפים.
ההיקף שמשויך לכלל קובע איך משתמשים שהכלל חל עליהם ומשתמשים שהכלל לא חל עליהם יכולים לקיים איתו אינטראקציה. טבלת סיכום של הרשאות הגישה:
| פעולה | משתמש גלובלי | משתמש עם הרשאות מוגבלות |
|---|---|---|
| יכולים לראות כללים בהיקף מוגבל | כן | כן (רק אם היקף ההרשאות של הכלל נמצא בתוך היקפי ההרשאות שהוקצו למשתמש)
לדוגמה, משתמש עם היקפים א' וב' יכול לראות כלל עם היקף א', אבל לא כלל עם היקף ג'. |
| אפשר לראות כללים גלובליים | כן | לא |
| יכולים ליצור ולעדכן כללים ברמת ההיקף | כן | כן (רק אם היקף ההרשאות של הכלל נמצא בתוך היקפי ההרשאות שהוקצו למשתמש)
לדוגמה, משתמש עם היקפים A ו-B יכול ליצור כלל עם היקף A, אבל לא כלל עם היקף C. |
| יצירה ועדכון של כללים גלובליים | כן | לא |
זיהויים
זיהויים הם התראות שמצביעות על איומי אבטחה פוטנציאליים. הזיהויים מופעלים על ידי כללים מותאמים אישית, שנוצרים על ידי צוות האבטחה שלכם עבור סביבת Google SecOps.
מערכת ה-Detections יוצרת זיהויים כשנתוני אבטחה נכנסים תואמים לקריטריונים שמוגדרים בכלל. לפני שמפעילים את בקרת הגישה מבוססת-התפקידים לנתונים, כל המשתמשים יכולים לראות את כל הזיהויים, בלי קשר לתיוג ההיקף. אחרי שמפעילים את RBAC של נתונים, המשתמשים יכולים לראות רק זיהויים שמקורם בכללים שמשויכים להיקפים שהוקצו להם.
לדוגמה, אנליסט אבטחה עם היקף נתוני הכספים רואה רק זיהויים שנוצרו על ידי כללים שהוקצו להיקף נתוני הכספים, ולא רואה זיהויים מכללים אחרים.
הפעולות שמשתמש יכול לבצע בגילוי (לדוגמה, סימון גילוי כ"טופל") מוגבלות גם הן להיקף שבו הגילוי התרחש.
גלאים מוכנים מראש
ההתראות מופעלות על ידי כללים מותאמים אישית שנוצרים על ידי צוות האבטחה שלכם, ואילו ההתראות שנאספות מופעלות על ידי כללים שסופקו על ידי צוות Google Cloud Threat Intelligence (GCTI). כחלק מהזיהויים שנבחרו בקפידה, GCTI מספקת ומנהלת קבוצה של כללי YARA-L כדי לעזור לכם לזהות איומי אבטחה נפוצים בסביבת Google SecOps. מידע נוסף מופיע במאמר שימוש בגלאים מוכנים מראש כדי לזהות איומים.
גלאים מוכנים מראש אינם תומכים ב-RBAC של נתונים. רק משתמשים עם היקף גלובלי יכולים לגשת לזיהויים שנבחרו בקפידה.
ההשפעה של RBAC על נתונים על התראות ומקרים שקשורים לנתונים מאינטראקציה ישירה (First-Party)
בקטע הזה מוסבר בקצרה איך להגדיר בקרת גישה מבוססת-תפקידים (RBAC) לנתונים של התראות ומקרים מאינטראקציה ישירה (First-Party) ב-Google Security Operations.
בין הנושאים העיקריים:
- דרישות מוקדמות: דרישות לגבי מופעים מאוחדים של SIEM ו-SOAR, תאימות מחברים וההשלכות של הפעלת תכונות שאי אפשר לבטל.
- הפעלה: שלבי ההגדרה להפעלת אכיפת הגישה לנתונים בתרחישי אכיפה קיימים וחדשים של SIEM.
- מיפוי סביבות: הוראות להגדרת גבולות נתונים באמצעות מיפוי של היקפי SIEM מוגדרים לסביבות SOAR.
- הערכת גישה: הסברים על הפצת ההיקף, לוגיקת הגישה והכללים שקובעים את קיבוץ הישויות והמקרים.
- ניהול מחזור חיים: הנחיות לשינוי מיפויים של סביבות, ליצירת כרטיסים ידניים, לטיפול בתרחישים של חריגה מהקיבולת ולטיפול במחיקות של היקפים.
- מעקב אחרי ממשק: איך מאמתים ומסננים את היקפי הגישה לנתונים בממשק המשתמש של ניהול הפניות.
מידע נוסף זמין במאמר שליטה בגישה לכרטיסי תמיכה ולהתראות של מוצרים מהדור הראשון.
סוכן המיון
סוכן הטריאז' הוא עוזר מבוסס-AI שמוטמע ב-Google Security Operations. הוא חוקר התראות אבטחה כדי לקבוע אם הן חיוביות אמיתיות או חיוביות מוטעות, ומספק הסבר מסכם להערכה שלו.
כשהאפשרות "בקרת גישה מבוססת-תפקיד (RBAC) לנתונים" מופעלת, רק משתמשים עם גישה גלובלית לנתונים יכולים להפעיל חקירות של Triage Agent ולראות אותן. מידע נוסף זמין במאמר בנושא תפקידי משתמשים.
יומנים גולמיים
כשהתכונה "בקרת גישה מבוססת-תפקיד (RBAC) לנתונים" מופעלת, רק משתמשים עם היקף גלובלי יכולים לגשת ליומנים גולמיים שלא נותחו.
טבלאות נתונים
טבלאות נתונים הן מבני נתונים מרובי עמודות שמאפשרים להזין נתונים משלכם ב-Google SecOps. הן יכולות לשמש כטבלאות חיפוש עם עמודות מוגדרות והנתונים מאוחסנים בשורות. הקצאת היקפי הרשאות לטבלת נתונים מאפשרת לכם לקבוע אילו משתמשים ומשאבים יכולים לגשת אליה ולהשתמש בה.
הרשאות גישה למשתמשים בטבלאות נתונים
ההיקפים שמשויכים לטבלת נתונים קובעים איך משתמשים גלובליים ומשתמשים עם היקף מוגדר יכולים ליצור איתה אינטראקציה. טבלת סיכום של הרשאות הגישה:
| פעולה | משתמש גלובלי | משתמש עם הרשאות מוגבלות |
|---|---|---|
| יכולים ליצור טבלת נתונים ברמת ההיקף | כן | כן (רק עם היקפי הרשאות שתואמים להיקפי ההרשאות שהוקצו או שהם קבוצת משנה שלהם) לדוגמה, משתמש עם היקפי ההרשאות א' וב' יכול ליצור טבלת נתונים עם היקף ההרשאות א' או עם היקפי ההרשאות א' וב', אבל לא עם היקפי ההרשאות א', ב' וג'. |
| יכול ליצור טבלת נתונים ללא היקף | כן | לא |
| יכולים לעדכן את טבלת הנתונים ברמת החשבון | כן | כן (רק עם היקפי הרשאות שתואמים להיקפי ההרשאות שהוקצו או שהם קבוצת משנה שלהם) לדוגמה, משתמש עם היקפי ההרשאות א' וב' יכול לשנות טבלת נתונים עם היקף ההרשאות א' או עם היקפי ההרשאות א' וב', אבל לא טבלת נתונים עם היקפי ההרשאות א', ב' וג'. |
| אפשר לעדכן טבלת נתונים ללא היקף | כן | לא |
| אפשר לעדכן טבלת נתונים עם היקף לטבלה בלי היקף | כן | לא |
| אפשר לראות ולהשתמש בטבלת נתונים בהיקף מוגבל | כן | כן (אם יש לפחות היקף אחד תואם בין המשתמש לבין טבלת הנתונים) לדוגמה, משתמש עם היקפי ההרשאות א' וב' יכול להשתמש בטבלת נתונים עם היקפי ההרשאות א' וב', אבל לא בטבלת נתונים עם היקפי ההרשאות ג' וד'. |
| אפשר לראות את טבלת הנתונים ללא הגדרת היקף ולהשתמש בה | כן | כן |
| יכול להריץ שאילתות חיפוש עם טבלאות נתונים לא מוגבלות | כן | כן |
| יכול להריץ שאילתות חיפוש עם טבלאות נתונים מוגדרות | כן | כן (אם יש לפחות היקף אחד תואם בין המשתמש לטבלת הנתונים) לדוגמה, משתמש עם היקף הרשאות א' יכול להריץ שאילתות חיפוש עם טבלאות נתונים עם היקפי הרשאות א', ב' ו-ג', אבל לא עם טבלאות נתונים עם היקפי הרשאות ב' ו-ג'. |
רשימות של הפניות
רשימות הפניה הן אוספים של ערכים שמשמשים להתאמה ולסינון של נתונים בחיפוש UDM ובכללי זיהוי. הקצאת היקפים לרשימת הפניות (רשימה עם היקף) מגבילה את הגישה שלה למשתמשים ולמשאבים ספציפיים, כמו כללים וחיפוש ב-UDM. רשימת הפניות שלא הוקצה לה היקף נקראת רשימה ללא היקף.
הרשאות גישה למשתמשים ברשימות הפניות
ההיקפים שמשויכים לרשימת עזר קובעים איך משתמשים גלובליים ומשתמשים עם היקף יכולים להשתמש בה. הרשאות הגישה מסוכמות בטבלה הבאה:
| פעולה | משתמש גלובלי | משתמש עם הרשאות מוגבלות |
|---|---|---|
| יכול ליצור רשימה מוגדרת היקף | כן | כן (עם היקפי הרשאות שתואמים להיקפי ההרשאות שהוקצו להם או שהם קבוצת משנה של היקפי ההרשאות שהוקצו להם)
לדוגמה, משתמש עם היקפי ההרשאות א' וב' יכול ליצור רשימת עזר עם היקף ההרשאות א' או עם היקפי ההרשאות א' וב', אבל לא עם היקפי ההרשאות א', ב' וג'. |
| אפשר ליצור רשימה ללא היקף | כן | לא |
| אפשר לעדכן רשימה בהיקף | כן | כן (עם היקפי הרשאות שתואמים להיקפי ההרשאות שהוקצו להם או שהם קבוצת משנה של היקפי ההרשאות שהוקצו להם)
לדוגמה, משתמש עם היקפי הרשאות א' וב' יכול לשנות רשימת הפניות עם היקף הרשאות א' או עם היקפי הרשאות א' וב', אבל לא רשימת הפניות עם היקפי הרשאות א', ב' וג'. |
| אפשר לעדכן רשימה ללא היקף | כן | לא |
| אפשר לעדכן רשימה מוגבלת לרשימה לא מוגבלת | כן | לא |
| אפשר לראות את הרשימה המוגבלת ולהשתמש בה | כן | כן (אם יש לפחות היקף תואם אחד בין המשתמש לבין רשימת ההפניות)
לדוגמה, משתמש עם היקפי הרשאות A ו-B יכול להשתמש ברשימת הפניות עם היקפי הרשאות A ו-B, אבל לא ברשימת הפניות עם היקפי הרשאות C ו-D. |
| הרשאה לראות את הרשימה הלא מוגבלת ולהשתמש בה | כן | כן |
| אפשר להריץ שאילתות בחיפוש UDM ובמרכז הבקרה עם רשימות הפניות לא מוגבלות | כן | כן |
| יכולים להריץ שאילתות בחיפוש UDM ובמרכז הבקרה עם רשימות הפניות בהיקף מוגדר | כן | כן (אם יש לפחות היקף אחד תואם בין המשתמש לבין רשימת ההפניות)
לדוגמה, משתמש עם היקף הרשאות א' יכול להריץ שאילתות חיפוש ב-UDM עם רשימות הפניה בהיקפי הרשאות א', ב' ו-ג', אבל לא עם רשימות הפניה בהיקפי הרשאות ב' ו-ג'. |
הרשאות גישה לכללים ברשימות הפניה
כלל בהיקף מוגבל יכול להשתמש ברשימת הפניות אם יש לפחות היקף תואם אחד בין הכלל לבין רשימת ההפניות. לדוגמה, כלל עם היקף A יכול להשתמש ברשימת הפניות עם היקפים A, B ו-C, אבל לא ברשימת הפניות עם היקפים B ו-C.
בכלל עם היקף גלובלי אפשר להשתמש בכל רשימת הפניות.
פידים ומעבירים
בקרת גישה מבוססת-תפקיד (RBAC) לנתונים לא משפיעה באופן ישיר על הפעלת הפיד והמעביר. עם זאת, במהלך ההגדרה, המשתמשים יכולים להקצות את תוויות ברירת המחדל (סוג היומן, מרחב השמות או תוויות ההטמעה) לנתונים הנכנסים. לאחר מכן, בודקים את הנתונים באמצעות RBAC כדי להשתמש בהם בתכונות.
מרכזי שליטה
אפשר להשתמש בלוחות בקרה כדי ליצור ייצוגים חזותיים של נתונים ממקורות שונים. כל מרכז שליטה מורכב מתרשימים שונים.
לוחות הבקרה תומכים באופן מלא ב-RBAC של נתונים. מודל האבטחה הזה מסנן את המידע שמוצג בווידג'טים של לוח הבקרה על סמך ההיקפים שהוקצו לכם.
- חשיפת נתונים: בווידג'טים מוצגות רק תוצאות של נתונים שתואמים להיקפי הגישה שהוקצו לכם. אם מרכז הבקרה מסתמך על שאילתת YARA-L, השאילתה הזו פועלת רק על נתונים מורשים.
- חפיפה בהיקף: אם יש לכם כמה היקפים, בלוח הבקרה מוצגים הנתונים המשולבים מכל ההיקפים המורשים.
- בקרת גישה: בעוד ש-RBAC של תכונות קובע מי יכול ליצור או לערוך לוח בקרה, RBAC של נתונים קובע אילו נתונים ספציפיים יוצגו בתרשימים ובטבלאות.
ההיקף הספציפי שמשויך ללוח בקרה קובע את רמת האינטראקציה שמותרת למשתמשים גלובליים ולמשתמשים עם היקף הרשאות:
משתמשים גלובליים: יש להם גישה לכל מרכזי הבקרה, ללא קשר להיקף שלהם, והם יכולים לנהל אותם.
משתמשים עם הרשאות מוגבלות: האינטראקציה מוגבלת על סמך ההרשאות שהוקצו למשתמש.
גישה לבקשות תמיכה
רק משתמשים גלובליים יכולים לראות מרכזי בקרה עם נתוני SOAR, כמו "פניות", "היסטוריית פניות", "פלייבוקים" ו"התראות".
מודיעין איומי סייבר יישומי והתאמות של IOC
נתוני IOC ו-ATI מספקים מידע קריטי על איומי אבטחה פוטנציאליים בסביבה שלכם.
גלאים מוכנים מראש של ATI מופעלים על ידי כללים שסופקו על ידי צוות ATI. הכללים האלה משתמשים במודיעין איומי סייבר של Mandiant כדי לזהות באופן יזום איומים בעדיפות גבוהה. מידע נוסף מופיע במאמר סקירה כללית על Applied Threat Intelligence.
התאמות של IOC ונתוני ATI שנגזרים מיומני לקוחות דורשים היקף גלובלי לצורך הצגה, והם לא זמינים למשתמשים עם היקפים מוגבלים.
ניתוח התנהגות של משתמשים וישויות (UEBA)
בקטגוריה Risk Analytics for UEBA יש קבוצות כללים מוגדרות מראש לזיהוי איומי אבטחה פוטנציאליים. קבוצות הכללים האלה משתמשות בלמידת מכונה כדי לנתח דפוסי התנהגות של משתמשים וישויות, וכך להפעיל זיהויים באופן יזום. מידע נוסף זמין במאמר סקירה כללית של ניתוח סיכונים לקטגוריית UEBA.
ב-UEBA אין תמיכה ב-RBAC של נתונים. רק משתמשים עם היקף גלובלי יכולים לגשת לניתוח הסיכונים בקטגוריה UEBA.
פרטי הישות ב-Google SecOps
השדות הבאים, שמתארים נכס או משתמש, מופיעים בכמה דפים ב-Google SecOps, כמו החלונית Entity Context בחיפוש ב-UDM. עם RBAC של נתונים, השדות זמינים רק למשתמשים עם היקף הרשאות גלובלי.
- הוצגה לראשונה
- התחברת לאחרונה
- שכיחות
משתמשים עם הרשאות מוגבלות יכולים לראות את הנתונים של 'הפעם הראשונה שנראה' ו'הפעם האחרונה שנראה' של משתמשים ונכסים אם הנתונים האלה מחושבים על סמך נתונים שנמצאים בהיקפי ההרשאות שהוקצו למשתמש.
המאמרים הבאים
הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.