הסבר על לוח הבקרה 'כללים'

נתמך ב:

Google SecOps SIEM

כדי לפתוח את לוח הבקרה Rules (כללים) ב-Google Security Operations, בוחרים באפשרות Detections (זיהויים) > Rules & Detections (כללים וזיהויים) מסרגל הניווט, ומוודאים שהכרטיסייה Rules Dashboard (לוח הבקרה Rules) נבחרה.

בכרטיסייה Rules Dashboard מוצגים הכללים של Google SecOps. אם המערכת שלכם משתמשת בבקרת גישה שמבוססת על תפקידים (RBAC) לנתונים, אתם יכולים לראות ולנהל רק כללים שקשורים להיקפי נתונים נגישים. מידע נוסף זמין במאמר בנושא ההשפעה של RBAC על כללים.

סקירה כללית של לוח הבקרה של הכללים

בקטע העליון של הכרטיסייה מרכז הבקרה של הכללים מופיעים:

תכונה	תיאור
קיבולת הכללים	כאן מוצג השימוש במכסת הכללים. כדי לראות את הפרטים של: המכסה של כללי אירועים מרובים: מספר הכללים הפעילים של אירועים מרובים מתוך המכסה המותרת. מכסת הכללים הכוללת: המספר הכולל של כללים פעילים מתוך המקסימום הכולל. במאמר הסבר על מכסות של כללים מוסבר איך מחושבת הקיבולת.
הצגת מרכז הבקרה של מצב הזיהויים	אפשר לפתוח את לוח הבקרה 'תקינות של זיהויים' כדי לעקוב אחרי הביצועים של הכללים, סטטוס ההרצה וההשפעה של הפעלות חוזרות של כללים ונתונים שמגיעים באיחור. לוח הבקרה הזה עוזר לכם לפתור בעיות שקשורות לעיכובים בזיהוי ולבצע אופטימיזציה של היעילות של הכללים. איך עוקבים אחרי הביצועים של כללים

עמודות בטבלת הכללים

במרכז הבקרה מופיעות הכללים בעמודות הבאות:

עמודה	תיאור
היום	מספר הזיהויים שנוצרו על ידי הכלל היום.
שם הכלל	השם המוצג של הכלל.
הפעילות ב-4 השבועות האחרונים	תרשים קו בלי צירים שמציג את מגמות הזיהוי של הכלל הזה במהלך ארבעת השבועות האחרונים. מעבירים את העכבר מעל עמודה כדי לראות את מספר הזיהויים המדויק בתאריך הזה.
הזיהוי האחרון	חותמת הזמן של הזיהוי האחרון שנוצר על ידי הכלל הזה.
מחבר	המשתמש או הישות שיצרו את הכלל או שביצעו בו את השינוי האחרון.
היקף	היקף הנתונים שמוגבלים לכלל, שמגביל את הגישה לנתונים על סמך RBAC.
SEVERITY	רמת החומרה שמוקצית לכלל (לדוגמה, גבוהה, בינונית או נמוכה), כפי שמוגדר במטא-נתונים שלו.
ALERTING	מציין אם הכלל יוצר התראות ב-Google SecOps כשמתבצעות זיהויים. אפשר להפעיל או להשבית את האפשרות הזו. כשהיא מופעלת, המערכת מעלה את רמת החומרה של זיהויים להתראות ומפעילה התראות מוגדרות או מחברות הפעלה של SOAR. מידע נוסף זמין במאמר בנושא ניהול כללים מאוחדים.
RETROHUNT	מריצים את הכלל על נתוני יומן היסטוריים כדי למצוא מקרים קודמים של איום. לוחצים על הסטטוס כדי לראות את משימות ה-Retrohunt הקודמות או כדי להריץ משימה חדשה. איך מריצים כלל על נתונים היסטוריים
סוג הכלל	המבנה של הלוגיקה של הכלל: ‫SINGLE_EVENT: ניתוח של אירועים נפרדים ביומן בנפרד. ‫MULTI_EVENT: מתאם בין כמה אירועים בחלון זמן מוגדר. הגדרות API מופיעות במאמר RuleType.
לוח זמנים של כלל	תזמון ההפעלה של הכלל. בכללים פעילים, ההפעלה יכולה להיות כמעט בזמן אמת או במרווחי זמן מתוזמנים (לדוגמה, 10 דקות, שעתי או match_window / 10). התזמון משפיע ישירות על זמן האחזור של הזיהוי. מידע נוסף זמין במאמרים הסבר על תזמון הפעלת כללים והגדרת לוחות זמנים מותאמים אישית לכללים.
סטטוס השידור החי	מצוין אם הכלל עוקב באופן פעיל אחרי נתונים נכנסים. אפשר להפעיל (Enabled) או להשבית (Disabled) אותה. כללים מושבתים לא יוצרים זיהויים חדשים. איך מחילים כלל על נתונים פעילים

חיפוש וסינון של כללים

כדי לסנן ולמצוא כללים ספציפיים, משתמשים בשדה חיפוש כללים בחלק העליון של הכרטיסייה כללים:

סוג החיפוש	תיאור
חיפוש באמצעות מילות מפתח	מזינים מילות מפתח כדי לחפש בכל הטקסט של הכללים.
חיפוש מובנה	אפשר להשתמש במסננים ובאופרטורים של שדות כדי ליצור שאילתות מדויקות. השדות הנתמכים כוללים את display_name,‏ text,‏ tags,‏ rule_owner,‏ live_mode_enabled ו-alerting_enabled.

לדוגמה, אתם יכולים לחפש:

• display_name:"My Rule"
• text:"malware"
• rule_owner:"google" AND tags:"TA0001"
• live_mode_enabled=true AND alerting_enabled=true

הסבר מפורט על תחביר החיפוש, השדות והאופרטורים הנתמכים זמין במאמר חיפוש ברשימת הכללים.

פעולות של כלל

מעבירים את העכבר מעל שורה של כלל ולוחצים על פעולות כדי לגשת לאפשרויות הבאות:

פעולה	תיאור
כלל פעיל	מעבירים את המתג למצב Enabled כדי לבדוק באופן רציף את נתוני היומן הנכנסים וליצור זיהויים בזמן אמת, או מעבירים את המתג למצב Disabled כדי להפסיק את הפעלת הכלל. יכול להיות שהסטטוס של הכלל ישתנה אוטומטית ל'מוגבל' או ל'בהשהיה', בהתאם לביצועים. איך מחילים כלל על נתונים פעילים
שליחת התראות	מפעילים את המתג כדי לסמן את הזיהויים כהתראות של Google SecOps ולהפעיל התראות מוגדרות או מחזורי עבודה של SOAR. כדי להקליט את הזיהויים בלי ליצור התראות, משביתים את המתג. מידע נוסף זמין במאמר בנושא ניהול כללים מאוחדים.
תזמון הכלל	מגדירים את תדירות ההפעלה של כללים מרובי-אירועים. התזמון משפיע ישירות על זמן האחזור של הזיהוי וקובע איך נתונים שמגיעים באיחור יעברו עיבוד. מידע נוסף זמין במאמרים הסבר על תזמון הפעלת כללים והגדרת לוחות זמנים מותאמים אישית לכללים.
YARA-L Retrohunt	הפעלת הכלל על נתוני יומן היסטוריים בטווח זמן מוגדר כדי לחשוף איומים פוטנציאליים שהתרחשו לפני שהכלל הופעל. איך מריצים כלל על נתונים היסטוריים
עריכת כלל	כדי לבצע שינויים, פותחים את הטקסט וההגדרות של הכלל בעורך הכללים.
צפייה בזיהויים של כללים	פותחים את התצוגה Rule Detections (זיהויים של כללים) כדי לבדוק את הזיהויים שנוצרו על ידי הכלל הזה, את הגרפים של המגמות ואת פרטי האירועים הבסיסיים.
העברה לארכיון	הסתרת הכלל והזיהויים שמשויכים אליו מתצוגת ברירת המחדל של לוח הבקרה. הארכיון שומר את נתוני הכלל בלי למחוק אותם, ואפשר לחלץ את הכלל בכל שלב. מידע נוסף זמין במאמר בנושא ניהול כללים מאוחדים.

אפשרויות רענון של לוח הבקרה

כדי לשלוט בתדירות שבה נתוני לוח הבקרה מתעדכנים, לוחצים על האינדיקטור מועד הרענון האחרון שמעל הטבלה:

אפשרות	תיאור
רענון	לאחזר באופן מיידי את הנתונים העדכניים ביותר עבור לוח הבקרה.
רענון אוטומטי	מגדירים מרווח זמן לרענון אוטומטי של לוח הבקרה: ללא (ברירת מחדל): מרכז הבקרה לא מתרענן אוטומטית. צריך ללחוץ ידנית על רענון. 5 דקות: רענון אוטומטי של לוח הבקרה כל 5 דקות. 15 דקות: רענון אוטומטי של מרכז הבקרה כל 15 דקות. שעה אחת: רענון אוטומטי של מרכז הבקרה כל שעה.

כדי לראות את הסטטוסים העדכניים של הכללים ואת מדדי הזיהוי בלי התערבות ידנית, צריך להגדיר את מרווח הזמן לרענון אוטומטי.

התאמה אישית של עמודות בטבלה

כדי להתאים אישית את התצוגה של טבלת הכללים, לוחצים על כותרת של עמודה כלשהי כדי לגשת לאפשרויות הבאות:

אפשרות	תיאור
שינוי הסדר של העמודות	גוררים את כותרות העמודות כדי לשנות את סדר התצוגה שלהן.
שינוי הגודל של העמודות	כדי לשנות את רוחב העמודה, גוררים את הקו שמפריד בין כותרות העמודות.
מיון עמודות	כדי למיין את השורות בטבלה בסדר עולה או יורד לפי עמודה מסוימת, לוחצים על כותרת העמודה הרלוונטית.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.