זיהוי התנהגות חריגה וסיכון של ישות

נתמך ב:

כך משתמשים בלוח הבקרה של ניתוח הסיכונים כדי לזהות התנהגות חריגה ולהבין את הסיכון הפוטנציאלי שיש לישויות לעסק שלכם. במערכות שמשתמשות בבקרת גישה מבוססת-תפקידים (RBAC), רק משתמשים עם היקף גלובלי יכולים לגשת לניתוח הסיכונים. מידע נוסף זמין במאמר בנושא תפקידי משתמשים.

לוח הבקרה של ניתוח הסיכונים כולל את הקטעים הבאים:

חלון חישוב הסיכון בפינה השמאלית העליונה משנה את ציון הסיכון המחושב שמוצג בלוח הבקרה של ניתוח הסיכונים. אתם יכולים לשנות את ההגדרה הזו בהתאם לסוג המתקפה שאתם מחפשים. לדוגמה, כדי לזהות בקלות יותר מתקפות ברוט פורס, אפשר להגדיר את חלון חישוב הסיכון ל-24 שעות. כדי לראות מתקפה לטווח ארוך, מגדירים את חלון חישוב הסיכון ל-7 ימים.

כדי לראות את ציוני הסיכון הקודמים, בוחרים תאריך ושעה ספציפיים בבורר התאריכים לצד חלון חישוב הסיכון. כאן מוצגים הסיכונים של הישות שחושבו לחלון של 24 שעות או תוך 7 ימים, שמסתיים בתאריך ובשעה שנבחרו.

לפני שמתחילים

כדי לעבור ללוח הבקרה של ניתוח סיכונים:

  1. בסרגל הניווט, לוחצים על זיהוי.
  2. בקטע זיהוי, לוחצים על ניתוח סיכונים.

ניתוח התנהגותי

ניתוח התנהגותי כולל:

הדף ניתוח התנהגותי כולל:

  • הקטע מדדי סיכום: תצוגה ברמה העליונה של מרכז הבקרה ניתוח סיכונים, שמאפשרת לכם לבדוק ישויות סיכון על סמך מודלים של סיכוני ישויות ב-Google SecOps. אפשר לראות בסיכום עד 10,000 ישויות.
  • ישויות: טבלה שמשלימה את ציון הסיכון הקיים שמשמש למעקב אחרי הסיכון של ישות לאורך זמן, כמדד לתרחישי שימוש של זיהוי וכהקשר לחקירה. נקראים גם מדדי סיכון של ישויות. ישות היא ייצוג הקשרי של רכיבים בסביבה שלכם. דוגמאות לישויות: חשבונות משתמשים, שרתים, מחשבים ניידים או טלפונים. כדי לראות את הנתונים של כל ישות, לוחצים על שם הישות. תועברו לדף Entity Analytics.

מידע נוסף על ישויות זמין במאמר אובייקטים לוגיים: אירוע וישות. מידע נוסף על אופן החישוב של ציוני הסיכון זמין במאמר בנושא חישוב ציוני הסיכון.

ניתוח נתונים של ישויות

הדף Entity Analytics (ניתוח נתונים של ישויות) כולל חלון Event range (טווח אירועים) בפינה השמאלית העליונה, קטע Findings Timeline (ציר זמן של ממצאים) וטבלה מפורטת של Findings (ממצאים).

בחירת טווח זמן לניתוח הסיכונים

  1. בחלון Event range (טווח האירועים), בוחרים טווח זמן של עד 90 ימים (למשל, 'Last 3 months' (3 החודשים האחרונים)).
  2. בקטע בחירה, לוחצים על הצגת ניתוח הנתונים של הבחירה. פעולה זו תפתח סרגל צד שבו יוצגו נתוני הניתוח שמשויכים לישות הזו בטווח הזמן שנבחר. כל ניתוח מציג צבירה של כל הערכים של הניתוח בטווח הזמן.
  3. לוחצים על הצגת פרטים נוספים כדי לפתוח את התצוגה המתאימה של ההתראות או של זיהוי האיומים. כשמזהים ניתוח, הוא כולל רשימה של התראות וזיהויים קשורים שאפשר לבדוק לעומק.

צפייה בזיהויים מורכבים

בטבלה Detections מוצגות כל הישויות שנמצאו בטווח הזמן שנבחר. התראה היא זיהוי מורכב במקרים הבאים:

  • בעמודה קלט מוצג זיהוי כמקור.

  • בעמודה Detection type מוצגת התווית Alert או Detection עם מספר לידה (לדוגמה, Alert (3)).

המשמעות היא שזיהוי או שרשרת של זיהויים הפעילו את ההתראה, ולא אירועים או ישויות גולמיים בלבד.

אפשר לראות ולנתח את הזיהויים הבסיסיים האלה בטבלה Detections באמצעות התכונות הבאות:

  • מרחיבים שורות כדי לראות זיהויים מוטמעים, נתוני אירועים משויכים ומידע על ישויות קשורות.

  • אפשר להתאים אישית את התצוגה באמצעות הכלי לניהול עמודות כדי לבחור ולסדר את העמודות בטבלה.

מידע נוסף מופיע במאמר בנושא חקירת התראה.

תרחישים לדוגמה

ריכזנו כאן כמה תרחישי שימוש בלוח הבקרה 'ניתוח סיכונים'.

תרחיש שימוש 1: נפח הורדות גבוה

נפח הורדה גבוה של נתונים יוצר סיכון לדליפת מידע סודי. ‫Google SecOps מחשב מספרים גבוהים של דירוג סיכון לישויות עם נפחי הורדה גבוהים.

תרחיש שימוש 2: מספר חשוד של ניסיונות כניסה שנכשלו

מספרים חשודים של ניסיונות כניסה שנכשלו מצביעים על כך שהאקר או תוכנה זדונית מנסים לקבל גישה לחשבון משתמש. ‫Google SecOps יחשב מספרים גבוהים של ניקוד סיכון לישויות עם מספרים חשודים של ניסיונות כניסה שנכשלו. עם זאת, אם הפעולה הזו מתבצעת באופן פנימי כחלק מבדיקת חדירה, אפשר לשנות את ציון הסיכון של הישות.

תרחיש שימוש 3: הודעה בתיבת דו-שיח שמתחזה ל-Google

הודעת דו-שיח שמתחזה ל-Google ומבקשת לעדכן את דפדפן Chrome מנסה לקבל גישה לחשבונות משתמשים. ‫Google SecOps מחשב מספרים גבוהים של ניקוד סיכון עבור ישויות שבהן הודעות הדו-שיח האלה מזוהות בקוד.

המאמרים הבאים

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.