זיהוי איומים באמצעות כללים מאוחדים

נתמך ב:

המדריך הזה מיועד למהנדסי זיהוי שרוצים לזהות איומים בארגון שלהם. במאמר מוסבר איך להשתמש בממשק כללים מאוחדים כדי לשפר את היכולות שלכם לזיהוי איומים.

תרחישים נפוצים לדוגמה

תרחישים נפוצים לשימוש בתהליך העבודה הזה:

פריסת כללים מואצת

מטרה: לזהות ולהפעיל במהירות גלאים מוכנים מראש לטקטיקות ספציפיות של תוקפים (לדוגמה, Initial Access).

ערך: צמצום הזמן הממוצע לזיהוי (MTTD) של וקטורים נפוצים של התקפות בלי שנדרש פיתוח ידני של כללים.

ניהול מרוכז של מחזור החיים של הכללים

מטרה: מעקב אחרי הביצוע, הסטטוס והיסטוריית הפריסה של כללים ממסוף אחד.

ערך: שיפור הפיקוח התפעולי והבטחה שהזיהויים הפעילים מתבצעים כמצופה.

מונחים חשובים

  • גלאים מוכנים מראש: ערכות גילוי מוכנות מראש שמנוהלות על ידי Google Cloud מומחי אבטחה.

  • ממשק מאוחד של כללים: מסוף ניהול מאוחד לכללי YARA-L מותאמים אישית ולתוכן שנבחר בקפידה.

  • פריסת הכלל: הסטטוס של הכלל (פעיל או בארכיון) והגדרת ההתראות שמשויכת אליו.

  • חיפוש רטרו: תהליך שבו מריצים כלל על נתונים היסטוריים כדי למצוא מקרים קודמים של איום.

לפני שמתחילים

אם הצוות שלכם משתמש בתפקידי IAM בהתאמה אישית, ודאו שיש לכם את ההרשאות הבאות לעבודה עם לוח הבקרה והעורך של כללים מאוחדים.

אם הארגון שלכם משתמש בבקרת גישה מבוססת-תפקידים (RBAC) לנתונים, אתם צריכים גם גישה להיקפי ההרשאות שמשויכים לכללים שאתם רוצים לנהל. מידע נוסף מופיע במאמר סקירה כללית על RBAC של נתונים.

הרשאות למרכז הבקרה של כללים מאוחדים

הרשאה הרשאת IAM נדרשת
View
  • chronicle.rules.list
  • chronicle.retrohunts.list
  • chronicle.ruleDeployments.list
  • chronicle.legacies.legacySearchCustomerStats
  • chronicle.legacies.legacyGetRuleCounts
  • chronicle.legacies.legacyGetRulesTrends
  • chronicle.legacies.legacyGetCuratedRulesTrends
  • chronicle.sharedPreferenceSets.get
  • chronicle.sharedPreferenceSets.list
  • chronicle.rules.get
  • chronicle.rules.listRevisions
  • chronicle.legacies.legacyTestRuleStreaming
  • chronicle.legacies.legacyFetchAlertsView
Edit
  • chronicle.retrohunts.create
  • chronicle.ruleDeployments.update
  • chronicle.rules.modifyRules
  • chronicle.rules.create
  • chronicle.rules.update
  • chronicle.rules.verifyRuleText

תצוגות שמורות – רשימה ויצירה של תצוגות שמורות של כללים

בקטע הזה מפורטות ההרשאות שנדרשות ליצירת תצוגות שמורות. תצוגות שמורות מאפשרות ליצור ולשמור קבוצה מותאמת אישית של מסנני כללים, קבוצות עמודות וסדרי מיון כדי לגשת אליהם במהירות במרכז הבקרה Unified Rules.

הרשאה הרשאת IAM נדרשת
Manage
  • chronicle.sharedPreferenceSets.get
  • chronicle.sharedPreferenceSets.list
  • chronicle.sharedPreferenceSets.create
  • chronicle.sharedPreferenceSets.update
  • chronicle.sharedPreferenceSets.delete

הרשאות בכלי לעריכת כללים

רכיב הרשאת IAM (אם משתמשים ב-IAM) הרשאת אנליסט (אם משתמשים ב-RBAC מדור קודם)
הדף הכלי לעריכת כללים

chronicle.ruleDeployments.list

chronicle.rules.list

 detectRulesView
רשימת מקורות מידע קשורים

chronicle.referenceLists.get

chronicle.referenceLists.list

 referenceListView
הקטע של טבלת הנתונים שקשור לתרשים

chronicle.dataTables.get

chronicle.dataTables.list

 לא רלוונטי
הלחצן יצירת כלל חדש

chronicle.rules.verifyRuleText

chronicle.rules.create

 detectRulesCreate
הלחצן בדיקת הכלל chronicle.legacies.legacyRunTestRule detectRulesRun
תפריט היקף הכלל chronicle.rules.update detectRulesEdit
הלחצן שמירת הכלל chronicle.rules.update detectRulesEdit
הלחצן Save as new rule chronicle.rules.create detectRulesCreate
הלחצן Rule retro hunt (חיפוש רטרו של כלל) chronicle.retrohunts.create detectRulesRun
המתג Rule live chronicle.ruleDeployments.update detectRulesEdit
המתג Rule alert chronicle.ruleDeployments.update detectRulesEdit
המתג תדירות הפעלת הכלל chronicle.ruleDeployments.update detectRulesEdit
המתג העברה לארכיון ואחזור מהארכיון של כללים chronicle.ruleDeployments.update detectRulesEdit
הצגת כלל שנבחר בעורך chronicle.featuredContentRules.list לא רלוונטי

ניהול ההעדפות של הממשק המאוחד

אתם יכולים לעבור בין הממשק המאוחד לבין התצוגה הקודמת גם בלוח הבקרה Unified Rules וגם בכלי לעריכת כללים. אחרי שתבחרו גרסה, המופע ישמור את ההעדפה ויטען את הגרסה הספציפית הזו כברירת מחדל.

  • מרכז הבקרה של כללים מאוחדים: כדי להצטרף למרכז הבקרה של כללים מאוחדים, עוברים למרכז הבקרה כללים ולוחצים על נסה את הדף החדש של כללים מאוחדים. כדי לבטל את ההסכמה, לוחצים על חזרה ללוח הבקרה של כללי המערכת הקודמים.

  • עורך הכללים: כדי להשתמש בעורך הכללים החדש, עוברים לדף עורך הכללים ולוחצים על דף עורך הכללים החדש. כדי לבטל את ההסכמה, לוחצים על הדף של עורך הכללים מדור קודם.

תצוגות שמורות מותאמות

לוח הבקרה Unified Rules כולל תצוגות ברירת מחדל שמורות שמאפשרות לכם לסנן ולארגן במהירות את הכללים. בטבלה הבאה מתוארות תצוגות ברירת המחדל שנשמרו:

תצוגה שנשמרה תיאור קריטריוני סינון
כללים לא תקינים מוצגים כללים שנתקלים בבעיות בהרצה או שנמצאים במצב הרצה שאינו ברירת המחדל. כללים שלא הועברו לארכיון שבהם הערך של execution_state לא שווה לערך של default.
כללים של Google שפועלים בזמן אמת ושולחים התראות מוצגים כללים שנבחרו בקפידה ונכתבו על ידי Google, שמופעלים ומוגדרים ליצירת התראות. כללים עם rule_owner שהוגדר לערך GOOGLE, archived שהוגדר לערך false, alerting_enabled שהוגדר לערך true ו-live_mode_enabled שהוגדר לערך true.
כללים שמשתמשים באק"ג הצגת כללים שמסתמכים על נתונים מ-Entity Context Graph (ECG). כללים שלא הועברו לארכיון ומשתמשים במאפיין graph.entity.
כללים לגבי התמדה והעלאת רמת הרשאה הצגת כללים שקשורים לטקטיקות של התמדה והסלמת הרשאות. כללים שלא הועברו לארכיון שתויגו ב-TA0003 (התמדה) או ב-TA0004 (העלאת רמת ההרשאה).
כללים מומלצים של Mandiant מוצגים כללים שנבדקו על ידי מומחים, שנוצרו על ידי Mandiant ושהאמינות שלהם גבוהה. מידע נוסף זמין במאמר בנושא כללים מומלצים של Mandiant. כללים שלא הועברו לארכיון מתויגים ב-google.mandiant.recommended.

זיהוי איומים מהיר יותר באמצעות כללים שנבחרו בקפידה

אתם יכולים להשתמש בממשק Unified Rules כדי לזהות גילויים של טקטיקות ספציפיות של MITRE ATT&CK. כדי למצוא כללים שההתראות שלהם מופעלות וקשורים לגישה ראשונית, מבצעים את הפעולות הבאות:

  1. עוברים אל לוח הבקרה כללים מאוחדים.

  2. משתמשים בסרגל החיפוש כדי לסנן איומים ספציפיים.

    לדוגמה, כדי למצוא כללים שנאספו שקשורים לגישה ראשונית (טקטיקה של MITRE ATT&CK TA0001), משתמשים בשאילתת החיפוש הבאה:

    alerting_enabled = true AND tags:"TA0001"

    לסינון מורכב, אפשר לעיין בתחביר המתקדם בדף הכללים של חיפוש.

  3. אופציונלי: בוחרים כלל מתוצאות החיפוש כדי לראות את פרטי הכלל.

  4. לוחצים על תפריט לצד הכלל שרוצים לפרוס.

  5. כדי להתחיל לזהות איומים באופן פעיל, לוחצים על המתגים כלל פעיל והתראות.

אפשר לעקוב אחרי ההפעלה, הסטטוס והיסטוריית ההתראות של הכלל ממרכז הבקרה.

שימוש בתצוגות שמורות

לוח הבקרה Unified Rules תומך בתצוגות שמורות. תצוגות שמורות מאפשרות ליצור ולשמור קבוצה מותאמת אישית של מסנני כללים, קבוצות עמודות וסדרי מיון כדי לגשת אליהם במהירות במרכז הבקרה Unified Rules.

יצירת תצוגה בהתאמה אישית

  1. עוברים אל לוח הבקרה כללים מאוחדים.

  2. לוחצים על התפריט תצוגות שמורות ובוחרים באפשרות שמירה כתצוגה חדשה.

  3. מקלידים את שם התצוגה ולוחצים על שמירה.

  4. במרכז הבקרה כללים מאוחדים, מגדירים את מסנני הטירגוט, העמודות וסדר המיון.

החלת תצוגה שמורה

כדי לעדכן את מרכז הבקרה באמצעות תצורה שנשמרה:

  1. עוברים אל לוח הבקרה כללים מאוחדים.

  2. לוחצים על התפריט תצוגות שמורות ובוחרים את התצוגה השמורה הרצויה מהרשימה.

  3. לוחצים על Save.

ניהול התצוגות השמורות

כדי לשנות, לשנות את השם, להסתיר או למחוק תצוגה שמורה:

  1. לוחצים על התפריט תצוגות שמורות ובוחרים באפשרות ניהול תצוגות.

  2. לוחצים על Save.

פתרון בעיות

בקטע הזה מוסבר איך לפתור בעיות נפוצות ומוצגות המגבלות של הממשק Unified Rules.

זמן אחזור ומגבלות

  • הפעלת כלל: יכול להיות שיהיה עיכוב קצר בהפצה (בדרך כלל כמה דקות) בין שמירת כלל לבין הצגת מדדי ההפעלה הראשונים שלו בלוח הבקרה.

  • מגבלות של חיפוש רטרואקטיבי: אי אפשר להריץ גלאים מוכנים מראש כחיפושים רטרואקטיביים. בנוסף, חיפושים רטרואקטיביים כפופים למגבלות של חלון המבט לאחור, בהתאם לרמת שמירת הנתונים שלכם.

תיקון שגיאות

קוד שגיאה תיאור הבעיה תיקון
‫403 אסור חסרות הרשאות לצפייה בתוכן שנבחר. מוודאים שההרשאה chronicle.featuredContentRules.list נוספה לתפקיד ה-IAM.
הפריסה נכשלה שגיאת תחביר או קונפליקט בכלל. כדי לאמת את התחביר של YARA-L, משתמשים בלחצן בדיקת הכלל בעורך הכללים.
user does not have access to scope <scope_name> למשתמש אין את הרשאות ה-RBAC לנתונים שנדרשות להיקף שהוקצה לכלל. מוודאים שיש לכם גישה להיקף ההרשאות הנדרש. מידע נוסף זמין במאמר הגדרת RBAC לנתונים עבור משתמשים.
The rule has been modified by someone else משתמש אחר שמר גרסה חדשה של הכלל מאז שפתחתם אותו. צריך להעתיק את השינויים, לרענן את הדף כדי לטעון את הגרסה האחרונה, ואז להחיל מחדש את השינויים ולשמור אותם.
rules editing not enabled האפשרות לערוך כללים מושבתת במכונת Google SecOps שלכם. כדי להפעיל את האפשרות לערוך כללים, צריך לפנות לאדמין.

המאמרים הבאים

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.