ניהול גלאים מוכנים מראש
במאמר הזה מוסבר איך להשתמש בדפים של הגלאים המוכנים מראש.
לקוחות Google Security Operations, Google Cloud צוות Threat Intelligence (GCTI) מציע ניתוח איומים מוכן לשימוש כחלק ממודל Google Cloud האחריות המשותפת לאבטחה. כחלק מהזיהויים המאורגנים האלה, GCTI מספקת ומנהלת קבוצה של כללי YARA-L כדי לעזור ללקוחות לזהות איומים על הארגון שלהם. הכללים המנוהלים האלה של GCTI:
לספק ללקוחות מידע עסקי שניתן לפעול לפיו באופן מיידי, ושאפשר להשתמש בו ביחס לנתונים שהם העלו.
הוא ממנף את מודיעין איומי הסייבר של Google ומאפשר ללקוחות להשתמש בו ב-Google SecOps.
לפני שמתחילים
מידע על כללי מדיניות מוגדרים מראש לזיהוי איומים זמין במאמרים הבאים:
- סקירה כללית על הקטגוריה "איומים בענן"
- סקירה כללית של קטגוריית האיומים ב-Chrome Enterprise
- סקירה כללית על הקטגוריה "איומים ב-Windows"
- סקירה כללית של הקטגוריה "איומים ב-Linux"
- סקירה כללית של קטגוריית האיומים ב-macOS
- סקירה כללית של ניתוח הסיכונים לקטגוריית UEBA
- סקירה כללית על הקטגוריה Applied Threat Intelligence
כדי לוודא שהנתונים שנדרשים לכל מדיניות הם בפורמט הנכון, אפשר לעיין במאמר אימות הטמעת נתוני היומן באמצעות כללי בדיקה.
תכונות של גלאים מוכנים מראש
אלה כמה מהתכונות העיקריות של גלאים מוכנים מראש:
גלאים מוכנים מראש: גלאים מוכנים מראש שנוצרו ומנוהלים על ידי GCTI עבור לקוחות Google SecOps.
קבוצות כללים: אוסף של כללים שמנוהלים על ידי GCTI ללקוחות Google SecOps. GCTI מספקת ומתחזקת כמה קבוצות כללים. הלקוח יכול להפעיל או להשבית את הכללים האלה בחשבון Google SecOps שלו, ולהפעיל או להשבית התראות לגבי הכללים האלה. צוות GCTI יספק מעת לעת כללים חדשים וקבוצות כללים חדשות, בהתאם לשינויים בסביבת האיומים.
כש-Google מפרסמת תוכן חדש או מעודכן שנבחר בקפידה, מתרחשות הפעולות הבאות כברירת מחדל:
- קבוצות כללים חדשות (חבילות כללים): מושבתות כברירת מחדל (הסטטוס הוא מושבת וההתראות במצב כבוי). עם זאת, קבוצות הכללים בקטגוריות של Applied Threat Intelligence (ATI) מופעלות אוטומטית במכונות Enterprise Plus.
- כללים חדשים שנוספו לקבוצת כללים קיימת: מקבלים באופן אוטומטי את הסטטוס הנוכחי ואת הגדרת ההתראות של קבוצת הכללים הראשית בהתאם לרמת הדיוק שלהם (מדויק או רחב).
- כללים מעודכנים (גרסאות חדשות של כללים): שומרים על הסטטוס הקיים שלהם ועל הגדרת ההתראות לכל כלל.
פתיחת הדף 'זיהויים נבחרים' וקבוצות הכללים
כדי לפתוח את הדף 'זיהויים שנבחרו':
בתפריט הראשי, לוחצים על כללים.
לוחצים על גלאים מוכנים מראש כדי לפתוח את תצוגת קבוצות הכללים.
בדף גלאים מוכנים מראש מופיע מידע על כל אחת מקבוצות הכללים שפעילות בחשבון Google SecOps, כולל:
עדכון אחרון: השעה שבה GCTI עדכן לאחרונה את קבוצת הכללים.
כללים מופעלים: מציין אילו מהכללים המדויקים והרחבים מופעלים בכל קבוצת כללים. כללים מדויקים מאתרים איומים זדוניים ברמת סמך גבוהה. כללים רחבים מחפשים התנהגות חשודה שעשויה להיות נפוצה יותר, ומניבים יותר תוצאות חיוביות כוזבות. יכול להיות שיהיו זמינים לכם כללים מדויקים וכללים רחבים עבור קבוצת כללים.
התראות: מציין באילו מהכללים המדויקים והרחבים מופעלות התראות לכל קבוצת כללים.
טקטיקות של Mitre: מזהה של טקטיקות Mitre ATT&CK® שכלולות בכל קבוצת כללים. טקטיקות של Mitre ATT&CK® מייצגות את הכוונה שמאחורי התנהגות זדונית.
Mitre Techniques: המזהה של טכניקות Mitre ATT&CK® שכלולות בכל קבוצת כללים. טכניקות של Mitre ATT&CK® מייצגות פעולות ספציפיות של התנהגות זדונית
בדף הזה אפשר גם להפעיל או להשבית את הכלל ואת ההתראות לגבי הכלל. אפשר לעשות את זה לכללים רחבים או לכללים מדויקים.
פתיחת מרכז הבקרה של הגלאים המוכנים מראש
במרכז הבקרה של הזיהויים שנבחרו מוצג מידע על כל זיהוי שנבחר, שהפיק זיהוי ביחס לנתוני היומן בחשבון Google SecOps שלכם. כללים עם זיהויים מקובצים לפי קבוצת כללים.
כדי לפתוח את לוח הבקרה של הגלאים המוכנים מראש:
בתפריט הראשי, בוחרים באפשרות כללים. כרטיסיית ברירת המחדל היא 'גלאים מוכנים מראש', ותצוגת ברירת המחדל היא 'קבוצות כללים'.
לוחצים על לוח הבקרה.
איור 2: מרכז הבקרה של גלאים מוכנים מראש
בלוח הבקרה Curated Detections מוצגות כל קבוצות הכללים שזמינות לחשבון Google SecOps. כל תצוגה כוללת את הפרטים הבאים:
תרשים למעקב אחרי הפעילות הנוכחית של כל אחד מהכללים שמשויכים לקבוצת כללים.
השעה שבה זוהה לאחרונה.
הסטטוס של כל כלל.
חומרת הזיהויים האחרונים.
האם ההתראות מופעלות או מושבתות.
כדי לערוך את הגדרות הכלל, לוחצים על סמל התפריט או על השם של קבוצת הכללים.
לוחצים על קבוצות כללים כדי לחזור לתצוגת קבוצות הכללים. בתצוגה של קבוצות הכללים מופיע מידע על כל קבוצת כללים שפעילה בחשבון Google SecOps.
הצגת פרטים על קבוצת כללים
כדי לשנות את ההגדרות של כל גלאי מוכן מראש, לוחצים על סמל התפריט של קבוצת הכללים ובוחרים באפשרות הצגה ועריכה של הגדרות הכללים.
מפעילים או משביתים את קבוצת הכללים בקטע הגדרות. המתגים סטטוס והתראה מאפשרים להפעיל או להשבית את הכללים המדויקים והרחבים בקבוצת הכללים. אפשר גם להפעיל או להשבית את ההתראות.
אפשר גם לראות את כל ההחרגות שהוגדרו לקבוצת הכללים. כדי לערוך את ההחרגות, לוחצים על הצגה. מידע נוסף זמין במאמר הגדרת החרגות של כללים.
איור 3: הגדרות הכלל
שינוי של כל הכללים בקבוצת כללים
בקטע הגדרות מוצגות ההגדרות של כל הכללים בקבוצת כללים. אתם יכולים לשנות את ההגדרות כדי ליצור זיהויים מותאמים אישית שספציפיים לשימוש ולצרכים של הארגון שלכם.
כללים מדויקים: אפשר לזהות התנהגות זדונית ברמת סמך גבוהה יותר עם פחות תוצאות חיוביות שגויות, כי הכלל ספציפי יותר.
כללים רחבים: זיהוי התנהגות שיכולה להיות זדונית או חריגה, אבל בדרך כלל עם יותר תוצאות חיוביות שגויות בגלל האופי הכללי יותר של הכלל.
סטטוס: כדי להפעיל את הסטטוס של הכלל כמדויק או רחב, מגדירים את האפשרות סטטוס המתאימה לערך מופעל.
התראות: כדי לקבל התראות על זיהויים שנוצרו על ידי כללים תואמים מדויקים או רחבים, מגדירים את האפשרות התראות למצב מופעל.
הגדרת החרגות של כללים
כדי לנהל את נפח ההתראות מזיהויים שנאספו על ידי GCTI, אפשר להגדיר החרגות של כללים. מידע נוסף זמין במאמר הגדרת החרגות של כללים.
צפייה בגלאים מוכנים מראש
אתם יכולים לראות את כל הגלאים המוכנים מראש בתצוגה 'גלאים מוכנים מראש'. בתצוגה הזו אפשר לבדוק את כל הזיהויים שמשויכים לכלל ולעבור לתצוגות אחרות, כמו תצוגת נכסים מציר הזמן.
כדי לפתוח את התצוגה 'זיהויים שנבחרו בקפידה', מבצעים את השלבים הבאים:
לוחצים על מרכז הבקרה.
לוחצים על הקישור של שם הכלל בעמודה 'כלל'.
המאמרים הבאים
הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.