סקירה כללית של ניתוח סיכונים

נתמך ב:

הכלי Risk Analytics משמש לזיהוי התנהגות חריגה ולהבנת הסיכון הפוטנציאלי שיש לישויות לעסק שלכם. במערכות שמשתמשות ב-RBAC של נתונים, רק משתמשים עם היקף גלובלי יכולים לגשת לניתוח הסיכונים. לוח הבקרה של ניתוח הסיכונים כולל קטע של ניתוח התנהגותי, שבו מוצגים ישויות לפי ציוני הסיכון של ישויות ב-Google Security Operations, וקטע של רשימת מעקב, שבו מוצגים ישויות לפי חישובים פנימיים של סיכונים בארגון.

ציוני הסיכון משמשים בכל Google SecOps. ההגדרה והפונקציה של הציונים האלה משתנות בהתאם לתכונה שבה אתם משתמשים.

התכונה 'ניתוח סיכונים' זמינה ברישיונות Enterprise ו-Enterprise Plus, או כתוסף לרישיון עצמאי של Google SecOps SIEM.

יישויות, סיכונים וממצאים בניתוח סיכונים

בקטע הזה מוסברים המושגים ישויות, סיכון וממצאים, כפי שהם מוצגים במרכז הבקרה של ניתוח הסיכונים.

  • ישויות: ייצוג הקשרי של נכס או משתמש בסביבה שלכם. כל האירועים שמשויכים לישויות מספקים הקשר לגבי רמת הסיכון של הישות. מידע נוסף זמין במאמר אובייקטים לוגיים: אירוע וישות.

  • חלון חישוב הסיכון: מאפשר לשנות את מסגרת הזמן של לוח הבקרה, כדי לראות את הנתונים לפי תקופות זמן שונות. לדוגמה, אפשר לחשוף ניסיונות התחברות בכוח על ידי שימוש בחלון הזמן הקצר יותר, או לבדוק פעילות זדונית לטווח ארוך על ידי הגדרת חלון הזמן הארוך יותר.

  • נורמליזציה: הניקוד הנורמלי מוגדר בין 1 ל-1,000 כדי להבחין בין ישויות ללא ניקוד לבין ישויות שזוהו בחלון הסיכון.

  • מגמה מנורמלת: השינוי בציון הסיכון המנורמל של הישות מאז החלון הקודם.

  • בסיס: ציוני הבסיס מחושבים על ידי הוספת ציוני הסיכון של ממצאים (התראות וזיהויים) לגבי ישות מסוימת במהלך חלון הסיכון, עם החלת משקולות.

    המשקל מגדיר את התרומה של ציוני הסיכון של ההתראות והזיהוי לחישוב ציוני הסיכון של הישות. הערך של המשקל יכול להיות בין 0 ל-1.
    אם ערך המשקל הוא 1, המשקל לא ישפיע. כל שאר הערכים הם אחוזים (לדוגמה, 0.5 שווה ל-50%). ערך המשקל שמוגדר כברירת מחדל הוא 0 .2, ואפשר לשנות אותו בהגדרות. מידע נוסף זמין במאמר בנושא שקלול של ניקוד הסיכון של ישויות.

  • שינוי בבסיס: השינוי בציון הסיכון של ישות הבסיס מאז החלון הקודם.

  • הפעם הראשונה/האחרונה שהישות נראתה בחלון: חותמת הזמן שמתאימה לפעם הראשונה או האחרונה שהישות נראתה בממצא (התראה או זיהוי) לתקופת הזמן שצוינה בחלון הסיכון.

ממצאים ב-Risk Analytics

המונחים הבאים מופיעים בדף 'ממצאים' (כדי לפתוח ישות בדף 'ממצאים', לוחצים על הישות בטבלת הישויות).

  • ממצאים: מספר הממצאים (התראות וזיהויים) שכוללים את הישות הזו לתקופת הזמן בחלון הסיכון.

  • רמת חומרה: רמת החומרה מוגדרת על ידי המקור כשמזהים ממצא.

  • עדיפות: העדיפות מוגדרת על ידי המקור כשמזהים ממצא.

  • ציון הסיכון: ציוני הסיכון מוגדרים על ידי המקור כשמזהים ממצא. אם לא מגדירים את ציוני הסיכון, המערכת משתמשת בציון הסיכון שמוגדר כברירת מחדל להתראות ולזיהויים. ציון הסיכון שמוגדר כברירת מחדל להתראות הוא 40. דירוג הסיכון שמוגדר כברירת מחדל לזיהויים הוא 15.

חישוב ציון הסיכון

חישוב ציון הסיכון לכל ישות מבוסס על ציון הסיכון של הממצאים, והוא משתנה בהתאם לקבוצת פרמטרים שאתם יכולים לציין ולקבוצת פרמטרים שנשלטת על ידי Google SecOps. כדי לגשת לפרמטרים שאפשר לשלוט בהם, עוברים לסרגל הניווט ולוחצים על הגדרות > ציוני סיכון של ישויות:

  • מקדם התראה סגורה: אם אנליסט האבטחה מסמן התראה כסגורה, היא מוכפלת במקדם הזה של נקודה צפה. הטווח הוא 0-1. ערך ברירת המחדל הוא 1.

  • דירוג סיכון ברירת מחדל לזיהוי: מציינים את דירוג הסיכון לזיהויים במנוע הכללים. הטווח הוא 0-1000. ערך ברירת המחדל הוא 15.

הפרמטרים הבאים מצוינים על ידי Google SecOps:

  • שינוי של דירוג הסיכון באמצעות TTL: דירוג הסיכון של ישות הבסיס משתנה על ידי פקטור הכפלה לטווח הזמן.

  • שינוי ציון הסיכון ללא TTL: ציון הסיכון לזיהוי משתנה באמצעות גורם מכפיל.

אלה הנוסחאות שמשמשות לחישוב ציון הסיכון וציון הסיכון הנורמלי:

  • חישוב דירוג הסיכון: (דירוג הסיכון של ישות הבסיס) = (דירוג הסיכון המקסימלי של הממצא) + (משקל * (סכום דירוגי הסיכון הנותרים של הממצאים))

  • ציון סיכון מנורמל: ציוני הסיכון של ישויות הבסיס מנורמלים בכל הישויות. ציון הסיכון של ישות הבסיס מנורמל באמצעות שיטת min-max, והוא נע בין 1 ל-1,000. לא נכללות ישויות עם סיכון אפסי.

סדר העדיפות של ישויות בהקצאת ציון סיכון

כשמערכת Google SecOps מקצה את ציון הסיכון, היא משתמשת בקבוצת משנה של סוגי שמות עצם ברמה העליונה principal, src, target ו-about, ומקצה ציון סיכון בהתאם לשדות כינוי של סוגי המשנה של האירועים user ו-asset. חישוב של ציון סיכונים לא תומך בסוגי הישויות RESOURCE או GROUP.

‫Google SecOps מקצה את ציון הסיכון לכינוי (אינדיקטור) הכי מהימן שזמין לישות במסגרת חלון נתון של חישוב של ציון סיכונים. כשמבצעים חישוב של ציון סיכונים, נותנים עדיפות לשדות של כינויים עם דירוג גבוה יותר, כאשר 1 הוא הדירוג הגבוה ביותר. אם הכינוי עם הדירוג הכי גבוה לא זמין בחלון הסיכון, Google SecOps מקצה את הניקוד לכינוי הבא עם הדירוג הכי גבוה שזמין.

בשדות של כינויים ל-user, ‏ Google SecOps משתמש בדירוג הבא כשהוא מקצה את ציון הסיכון:

  1. windows_sid
  2. email_addresses
  3. userid
  4. employee_id
  5. product_object_id

בשדות של כינויים ל-asset, ‏ Google SecOps משתמש בדירוג הבא כשהוא מקצה את ציון הסיכון:

  1. hostname
  2. mac
  3. asset_id
  4. ip
  5. product_object_id

דוגמה לחישוב ציון סיכון

הנה תיאור של הרצף המלא של חישוב ציון זיהוי הסיכון עבור ישות:

  1. קלט: זיהויים שנוצרו על ידי כללים מקובצים על סמך האינדיקטורים הבסיסיים שלהם.
  2. (אופציונלי) מקדם התראה סגורה: אם ציון הסיכון של הזיהוי הוא של התראה סגורה, הציון מוכפל במקדם ההתראה הסגורה.
  3. (אופציונלי) שינוי ברירת המחדל של ניקוד הסיכון אם לא מגדירים את ניקוד הסיכון באופן מפורש בכלל, המערכת משתמשת בניקוד הסיכון שמוגדר כברירת מחדל. אפשר לשנות את ברירת המחדל של ניקוד הסיכון לזיהוי עם התראות או לזיהוי ללא התראות בהגדרות של ניקוד הסיכון לישות.
  4. (אופציונלי) שינוי של זיהויים מורכבים: כברירת מחדל, Google SecOps מקצה את ציון הסיכון לכל הישויות באירועים שנדגמו. בנוסף, הציון מוקצה לכל הישויות שמופיעות בקטעים match ו-outcome של הכלל. כדי להקצות את חישוב של ציון סיכונים לישויות ספציפיות, צריך לציין את $risk_entity_to_score משתנה התוצאה בכלל.
  5. חישוב ציון הסיכון: מכפילים את מקדם המשקל בסכום של כל הזיהויים (למעט ציון הסיכון המקסימלי של הזיהוי), ואז מוסיפים את התוצאה לציון הסיכון המקסימלי של הזיהוי. הערך הזה מייצג את ציון הסיכון של הישות.
  6. משקל השינוי: ציון הסיכון הגולמי של הישות מוכפל במשקל השינוי. השינוי הזה הוא חד-פעמי, אלא אם מוגדר TTL. הערך הזה הוא ציון הסיכון של ישות הבסיס.
  7. משקל רשימת הצפייה: אם ישות כלשהי כלולה ברשימת הצפייה, המשקל של רשימת הצפייה מתווסף לציון הסיכון של הזיהוי.
  8. ציון סיכון מנורמל: ציון הסיכון של ישות הבסיס מנורמל בכל הישויות באמצעות נורמליזציה של מינימום ומקסימום.

הגדרות של דירוג סיכונים

בדף Entity risk scores (ציוני סיכון של ישויות) אפשר להגדיר איך מחושבים ציוני הסיכון של ישויות, התרעות וזיהויים. אתם יכולים להחיל משקל על חישובי ציון הסיכון של ישויות ולהגדיר ציוני סיכון של ברירת מחדל להתראות ולזיהוי. השינויים חלים רק על התראות וזיהויים חדשים, ויכול להיות שיחלפו עד 30 דקות לפני שהם ייכנסו לתוקף.

  • שקלול של ציון הסיכון של ישות: השקלול מגדיר איך ציוני הסיכון של ההתראות והזיהויים נכללים בחישובים של ציון הסיכון של הישות. המשקל הוא ערך בין 0 ל-1. הנוסחה לחישוב ציון הסיכון של ישות הבסיס מוגדרת באופן הבא:

    ציון הסיכון של ישות הבסיס = (ציון הסיכון המקסימלי של הממצא) + (משקל * (סכום ציוני הסיכון הנותרים של הממצאים))

  • ציוני סיכון שמוגדרים כברירת מחדל להתראות: אפשר לציין את ציון הסיכון שמוגדר כברירת מחדל להתראות בדף הגדרות. ערך ברירת המחדל הוא 40. אפשר לשנות את ציוני הסיכון של התראות ספציפיות בכללים עצמם. ההגדרות האלה מקבלות עדיפות על פני הגדרות ברירת מחדל שנקבעו בדף הגדרות.

  • ציוני סיכון שמוגדרים כברירת מחדל לזיהויים: מציינים את ציון הסיכון שמוגדר כברירת מחדל לזיהוי בדף הגדרות. ערך ברירת המחדל הוא 15. אפשר לשנות את ציוני הסיכון לגילוי בכללים עצמם. ההגדרות האלה מקבלות עדיפות על פני הגדרות ברירת המחדל שמוגדרות בדף הגדרות.

ניתוח סיכונים כמעט בזמן אמת ללקוחות Enterprise

החישוב המהיר הזה מאפשר לכם להשתמש בהתראות מבוססות-סיכון (RBA) כדי לעמוד ביעדי רמת השירות (SLO) של התראות בארגון, על ידי צמצום העיכוב בזיהוי נכסים שנפרצו והתגובה להם.

רזולוציית MRI לחישוב של ציון סיכונים ב-UEBA

בניתוח התנהגות של משתמשים וישויות (UEBA), לוגיקת הרזולוציה של המדד הכי מהימן (MRI) מזהה את המזהה הסמכותי ביותר עבור ישות נתמכת (משתמש או נכס) כשקיימים כמה מדדים. התהליך הזה נחוץ ליצירת אינדקס ולחישוב של ציון סיכונים. חישוב של ציון סיכונים לא תומך בסוגי הישויות RESOURCE או GROUP. כך אפשר לוודא שהסיכון משויך לזהות היציבה ביותר שזמינה למשתמש במקורות נתונים שונים. כדי לזהות את האינדיקטור המהימן יותר, התהליכים הבאים מתבצעים במסגרת פתרון הבעיה באמצעות MRI:

  • עדיפות לפי סוג: לכל קטגוריית אינדיקטור יש מיפוי פנימי של עדיפות, שבו ערכים גבוהים יותר מציינים מהימנות גבוהה יותר. לדוגמה, WINDOWS_SID (עדיפות 4) הוא מהימן יותר מטבעו מאשר Employee ID (עדיפות 1).
  • הכרעה במקרה של שוויון: אם לשני אינדיקטורים יש אותה עדיפות, המערכת משווה את השמות המוצגים ואת מרחבי השמות שלהם כדי להחליט איזה אינדיקטור אמין יותר.

היררכיית מהימנות בתוך סוגי ישויות

בהיררכיה הבאה מפורטים האינדיקטורים הזמינים, מהמהימנים ביותר (עדיפות 4) למהימנים פחות (עדיפות 0), בכל סוג ישות.

  1. אינדיקטורים של משתמשים
    1. מזהה אבטחה (SID) של Windows: עדיפות 4
    2. אימייל: עדיפות 3
    3. שם משתמש: עדיפות 2
    4. מזהה עובד: עדיפות 1
    5. מזהה אובייקט המוצר: עדיפות 0
  2. Asset Indicators
    1. שם המארח: שמות מארחים ברמה העליונה מקבלים עדיפות אם הם מוגדרים (עדיפות 4)
    2. כתובת MAC: עדיפות 3
    3. מזהה ספציפי למוצר או מזהה נכס: עדיפות 2
    4. כתובת ה-IP של הנכס: עדיפות 1
    5. מזהה אובייקט המוצר: עדיפות 0

פענוח של טווח MRI

היקף הרזולוציה של MRI מוגבל לסוגי הישויות הבאים:

  • ASSET_IP_ADDRESS
  • כתובת MAC, שם מארח
  • PRODUCT_SPECIFIC_ID
  • אימייל
  • שם משתמש
  • WINDOWS_SID
  • EMPLOYEE_ID
  • PRODUCT_OBJECT_ID.

אנחנו לא משתמשים ברזולוציית MRI עם אינדיקטורים של תהליכים וקבצים.

משתנה התוצאה risk_entity_to_score

כברירת מחדל, Google SecOps מקצה את חישוב של ציון סיכונים לכל הישויות באירועים שנכללים במדגם. היא גם מקצה את הניקוד לכל הישויות שמתועדות בקטעים match ו-outcome של כלל. כדי להקצות את חישוב של ציון סיכונים לישויות ספציפיות במקום זאת, מציינים את משתנה התוצאה risk_entity_to_score בכלל.

משתנה התוצאה risk_entity_to_score מציין את הישות שצריך לתת לה ניקוד, ולא את השדה שבו הניקוד יוצג. כדי למנוע פיצול של הסיכון, Google SecOps מאחדת את הסיכון במסגרת ה-MRI שזמין לישות שנבחרה בחלון נתון של חישוב סיכון. אם מציינים מזהה שאינו MRI ב-risk_entity_to_score, ‏ Google SecOps לא מקצה את הניקוד למזהה הזה באופן ישיר. במקום זאת, המערכת מעדכנת את ה-MRI שזמין לאותו ישות בחלון הסיכון.

מידע נוסף מופיע במאמר בנושא risk_entity_to_score outcome variable.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.