ניהול התראות והתאמות ל-IOC

נתמך ב:

בדף התראות ו-IOC מוצגות כל ההתראות והאינדיקטורים לפריצה (IOC) שמשפיעים על הארגון שלכם.

  • כדי לפתוח את הדף Alerts & IOCs (התראות ואינדיקטורים של פריצות), לוחצים על Detection (זיהוי) > Alerts & IOCs (התראות ואינדיקטורים של פריצות).

הדף מכיל את הכרטיסייה Alerts ואת הכרטיסייה IOC Matches:

  • בכרטיסייה התראות אפשר לראות את ההתראות הנוכחיות בארגון.

    התראות יכולות להיווצר על ידי תשתית האבטחה, על ידי אנשי אבטחה או על ידי כללים של Google Security Operations.

    במערכות שבהן מופעלת בקרת גישה מבוססת-תפקידים (RBAC) לנתונים, אתם יכולים לראות רק התראות וזיהויים שמקורם בכללים שמשויכים להיקפים שהוקצו לכם. מידע נוסף על ההשפעה של RBAC על זיהויים זמין במאמר בנושא זיהויים.

  • בכרטיסייה IOC Matches (התאמות של IOC) אפשר לראות את ה-IOC שסומנו כחשודים ונצפו בארגון שלכם.

    ‫Google Security Operations קולטת נתונים מהתשתית שלכם וממקורות אחרים של נתוני אבטחה באופן רציף, ומבצעת קורלציה אוטומטית בין אינדיקטורים חשודים של אבטחה לבין נתוני האבטחה שלכם. אם נמצאה התאמה (לדוגמה, אם דומיין חשוד זוהה בארגון שלכם), Google SecOps מסמן את האירוע כ-IOC ומציג אותו בכרטיסייה IOC Matches. מידע נוסף זמין במאמר איך Google SecOps מתאים באופן אוטומטי בין IOC.

    במערכות שבהן מופעלת בקרת גישה מבוססת-תפקידים (RBAC) לנתונים, אפשר לראות התאמות של IOC רק לנכסים שיש לכם הרשאת גישה אליהם. מידע נוסף זמין במאמר בנושא ההשפעה של RBAC על נתונים בתכונות של Google SecOps.

    בלוח הבקרה IoC matches אפשר לראות פרטים על IOC, כמו ציון רמת הביטחון, חומרה, שם הפיד והקטגוריה.

הגדרת אפשרויות תצוגה נפוצות בדף 'התראות ואינדיקטורים של פריצות'

בקטע הזה מתוארות אפשרויות התצוגה הנפוצות שאפשר להגדיר בכרטיסיות Alerts (התראות) ו-IOC Matches (התאמות ל-IOC) בדף Alerts & IOCs (התראות והתאמות ל-IOC).

ציון העמודות שיוצגו

משתמשים בכלי לניהול עמודות כדי לציין את העמודות שיוצגו בכרטיסייה.

הגדרת טווח תאריכים ושעות

כדי לציין את טווח התאריכים והשעות של ההתראות וההתאמות ל-IOC שיוצגו בכרטיסיות Alerts ו-IOC Matches, מבצעים את הפעולות הבאות:

  1. לוחצים על סמל לוח השנה. תיפתח תיבת הדו-שיח הגדרת טווח תאריכים ושעות. אפשר לציין את טווח התאריכים והשעות באמצעות טווחי הזמן המוגדרים מראש בכרטיסייה טווח, או לבחור שעה ספציפית שבה האירוע התרחש בכרטיסייה שעת האירוע.

  2. כדי לציין את טווח התאריכים והשעות באמצעות אפשרויות מוגדרות מראש, לוחצים על הכרטיסייה טווח ובוחרים באחת מהאפשרויות הבאות:

    • היום
    • בשעה האחרונה
    • 12 השעות האחרונות
    • היום האחרון
    • בשבוע האחרון
    • בשבועיים האחרונים
    • בחודש האחרון
    • בחודשיים האחרונים
    • בהתאמה אישית: בוחרים את תאריך ההתחלה ואת תאריך הסיום ביומן, ואז לוחצים על השדות שעת התחלה ושעת סיום כדי לבחור את השעה.

  3. כדי לציין את טווח התאריכים והשעות על סמך אירועים, לוחצים על הכרטיסייה שעת האירוע, בוחרים את התאריך ביומן ואז בוחרים באחת מהאפשרויות הבאות:

    • שעה מדויקת: לוחצים על השדה שעת האירוע ובוחרים את השעה הספציפית שבה האירועים התרחשו.
    • ‫+/- דקה אחת
    • ‫+/- 3 דקות
    • ‫+/- 5 דקות
    • ‫+/- 10 דקות
    • ‫+/- 15 דקות
    • +/- שעה אחת
    • ‎+/- 2 Hours
    • ‫+/- 6 Hours
    • ‫+/- 12 שעות
    • +/- 1 Day
    • +/- 3 ימים
    • +/- 1 Week

מיון התראות והתאמות ל-IOC

אפשר למיין את ההתראות וההתאמות ל-IOC שמוצגות בסדר עולה או יורד. כדי למיין את הרשימה, לוחצים על כותרות העמודות.

הצגת ההתראות

בכרטיסייה התראות מוצגת רשימה של ההתראות שזוהו בארגון שלכם בטווח התאריכים והשעות שצוין. בכרטיסייה הזו אפשר לראות במבט מהיר מידע על ההתראות, כמו חומרה, עדיפות, ציון סיכון ופסיקה. סמלים וסימנים עם קידוד צבעים עוזרים לכם לזהות במהירות התראות שדורשות התייחסות מיידית.

הצגת מידע נוסף

כדי לראות מידע נוסף על התראה:

  • מרחיבים את שורת ההתראה כדי לראות את חותמת הזמן, הסוג והסיכום של האירוע.
  • כדי לעבור לתצוגת ההתראה ולראות מידע נוסף על ההתראה והסטטוס שלה, לוחצים על השם של ההתראה ברשימה.

רענון טבלת ההתראות

בתפריט זמן הרענון שבכותרת של טבלת ההתראות, בוחרים באיזו תדירות רוצים לרענן את טבלת ההתראות. אלו האפשרויות הזמינות:

  • לרענון
  • ללא רענון אוטומטי (ברירת מחדל)
  • רענון כל 5 דקות
  • רענון כל 15 דקות
  • רענון כל שעה

התראות שנוצרו על ידי זיהויים מורכבים

אפשר ליצור התראות באמצעות זיהויים מורכבים, שמשתמשים בכללים מורכבים שצורכים פלטים (זיהויים) מכללים אחרים בשילוב עם אירועים, מדדים או אותות סיכון של ישויות. הכללים האלה מזהים איומים מורכבים ורב-שלביים, שכללים בודדים לא יכולים לזהות.

זיהויים מורכבים יכולים לעזור לנתח אירועים באמצעות אינטראקציות והפעלות מוגדרות של כללים. השיטה הזו משפרת את הדיוק, מצמצמת את מספר התוצאות החיוביות הכוזבות ומספקת תמונה מקיפה של איומי אבטחה על ידי שילוב נתונים ממקורות שונים ומשלבי התקפה שונים.

בכרטיסייה התראות מוצג המקור של ההתראה בעמודה נתוני קלט. אם ההתראה היא מזיהויים מורכבים, בעמודה מוצג הסמל Detection.

כדי לראות את הזיהויים המורכבים שהפעילו את ההתראה, מבצעים אחת מהפעולות הבאות בכרטיסייה Alerts (התראות):

  • מרחיבים את השורה של ההתראה ורואים את הזיהויים המורכבים בטבלה Detections.
  • לוחצים על שם הכלל כדי לפתוח את הדף זיהויים.
  • לוחצים על השם של ההתראה כדי לפתוח את הכרטיסייה פרטי ההתראה.

סינון ההתראות

אפשר להשתמש במסננים כדי לצמצם את רשימת ההתראות שמוצגות.

כדי להוסיף מסננים לרשימת ההתראות:

  1. לוחצים על סמל המסנן או על הוספת מסנן בפינה הימנית העליונה של הכרטיסייה כדי לפתוח את תיבת הדו-שיח הוספת מסנן.

  2. מציינים את הפרטים הבאים:

    • שדה: מזינים את האובייקט שרוצים לסנן או מתחילים להקליד אותו בשדה ובוחרים אותו מהרשימה.
    • אופרטור: מזינים = (הצגה בלבד) או != (סינון) כדי לציין איך המערכת צריכה להתייחס לערך.
    • ערך: מסמנים את תיבות הסימון של השדות שרוצים להתאים או לסנן. הרשימה שמוצגת מבוססת על הערך של Field.

  3. לוחצים על אישור. המסנן מוצג כצ'יפ בסרגל המסננים שמעל טבלת ההתראות. אפשר להוסיף עוד מסננים לפי הצורך.

כדי לנקות מסנן, לוחצים על הסמל x בצ'יפ המסנן כדי להסיר אותו.

הצגת התאמות ל-IOC

בכרטיסייה IOC Matches מוצגים ה-IOC שזוהו ברשת שלכם והותאמו לרשימה של IOC חשודים ידועים בפידים חכמים של איומים. אתם יכולים לראות מידע על ה-IOC, כמו סוג, עדיפות, סטטוס, קטגוריות, נכסים, קמפיינים, מקורות, זמן ההטמעה של ה-IOC, מתי הוא נראה לראשונה ומתי הוא נראה לאחרונה. הסמלים והסימנים עם קידוד הצבעים עוזרים לכם לזהות במהירות אילו IOC דורשים את תשומת הלב שלכם.

איך Google SecOps מתאימה באופן אוטומטי בין IOC

מערכת Google SecOps מבצעת באופן אוטומטי קורלציה בין נתוני האבטחה שמוזנים למערכת לבין אינדיקטורים מוכרים של איומים מפידים שונים של מודיעין איומי סייבר. כשנתוני אבטחה מוזנים למערכת, הם עוברים קודם נירמול לפי מודל הנתונים המאוחד (UDM). מנוע ההתאמה של ה-IOC משווה באופן רציף בין אירועי ה-UDM המנורמלים האלה לבין אינדיקטורים של איומים מכל הפידים שהוגדרו. אם נמצאת התאמה, Google SecOps יוצרת התראה על התאמה ל-IOC. תהליך ההתאמה האוטומטי הזה יעיל במיוחד לדומיינים ולכתובות IPv4.

התרשים הבא מדגים את התהליך מקצה לקצה:

תהליך ההתאמה של IOC

מידע נוסף על הכנסת נתונים זמין במאמר הכנסת נתונים ל-Google SecOps.

גרסאות IOC

‫Google SecOps שומר את כל הגרסאות של ה-IOC שהוכנסו למערכת, ומשתמש בגרסה האחרונה שהוכנסה למערכת ופעילה עד לתאריך סיום מסוים. אם מבצעים המרה של IOC ללא תאריך סיום, הוא נשאר פעיל ללא הגבלת זמן. אם מאוחר יותר תייבאו את אותו IOC עם טווח זמן ספציפי (תאריכי התחלה וסיום), הוא יחליף את הגרסה הלא מוגבלת במהלך תקופת הפעילות שלו, שכוללת חמישה ימים של נתונים רטרוספקטיביים לפני תאריך ההתחלה.

אחרי שתוקף ה-IOC המוגבל בזמן יפוג, Google SecOps יחזור אוטומטית לשימוש בגרסת ה-IOC הקודמת אם היא עדיין פעילה (לדוגמה, הגרסה הפעילה ללא הגבלת זמן). הוספה של IOC מוגבל בזמן לא מוחקת או מבטלת לצמיתות IOC קודם שהוסף ללא הגבלת זמן.

אחרי שהנתונים נקלטים, המערכת מנתחת באופן רציף את נתוני האירועים של UDM כדי למצוא אינדיקטורים של פריצה (IOC) שתואמים לשמות דומיין זדוניים ידועים, לכתובות IP ולערכי גיבוב של קבצים (MD5,‏ SHA-256 ו-SHA-1). אם המערכת מוצאת התאמה, ה-IOC מוצג בכרטיסייה IOC Matches.

מקורות של מודיעין איומי סייבר

‫Google SecOps משתמשת בכמה מקורות להתאמת IOC:

  • מודיעין שמסופק על ידי Google: Google SecOps כולל מודיעין איומי סייבר משולב מ-Mandiant,‏ VirusTotal ו-Google Threat Intelligence. הפידים האלה זמינים באופן אוטומטי ומספקים מגוון רחב של אינדיקטורים מניתוח איומים גלובלי. לקוחות עם חבילת Enterprise Plus מקבלים גם גישה לפידים מתקדמים יותר כמו Mandiant Breach Analytics.
  • פידים שסופקו על ידי לקוחות: אתם יכולים להטמיע ב-Google SecOps פידים קנייניים משלכם או פידים של צד שלישי שמספקים מודיעין איומי סייבר. הפידים האלה, כמו MISP_IOC, עוברים נרמול ונכללים באותו תהליך התאמה של IOC, וכך מאפשרים לכם ליצור קורלציה בין נתוני האבטחה לבין אינדיקטורים שרלוונטיים לארגון שלכם.

מקורות המודיעין הבאים בנושא איומים זמינים ב-Google SecOps באופן מובנה:

חבילת Google SecOps Enterprise חבילת Google SecOps Enterprise Plus
מודיעין קוד פתוח (OSINT) מועשר מודיעין קוד פתוח (OSINT) מועשר
Mandiant Fusion
VirusTotal

התאמה בזמן אמת והתאמה רטרואקטיבית

‫Google SecOps מבצעת התאמה של IOC בשתי דרכים:

  • התאמה בזמן אמת: כשמזינים טלמטריית אבטחה חדשה ומבצעים נורמליזציה, המערכת בודקת אותה באופן מיידי מול כל פידי ה-IOC הזמינים. כל התאמה מפעילה התראות כמעט בזמן אמת.
  • התאמה רטרואקטיבית: כשמוסיפים IoC חדשים לכל פיד משולב של מודיעין איומי סייבר (בין אם הוא מסופק על ידי Google או על ידי הלקוח), Google SecOps סורק באופן אוטומטי את הנתונים ההיסטוריים (עד לתקופת שמירת הנתונים המלאה, בדרך כלל שנה אחת) כדי למצוא מקרים קודמים של האינדיקטורים החדשים האלה. כך מובטח שפעילויות היסטוריות ייבדקו כדי לזהות פשרות פוטנציאליות, גם אם האינדיקטור לא היה ידוע בזמן ההטמעה.

שדות של פרטים שהמשתמשים סיפקו (UPDM) שמשמשים להתאמה

מנוע ההתאמה האוטומטי של IOC מתמקד בעיקר בהתאמה לשמות דומיין ולכתובות IP שנמצאים באירועי UDM. בטבלה הבאה מפורטים השדות הספציפיים ב-UDM שמשמשים להתאמה אוטומטית של IOC בהתאם לחבילה שלכם:

חבילת Enterprise חבילת Enterprise Plus
about.file
network.dns.answers
network.dns.questions network.dns.questions
principal.administrative_domain
principal.asset
principal.ip
principal.process.file principal.process.file
principal.process.parent_process.file principal.process.parent_process.file
security_result.about.file security_result.about.file
src.file src.file
src.ip
target.asset.ip
target.domain.name
target.file target.file
target.hostname target.hostname
target.ip target.ip
target.process.file target.process.file
target.process.parent_process.file

הבנה של השדות ב-UDM שבהם נעשה שימוש עוזרת לוודא שמנתחי הנתונים ממפים נכון את השדות ביומן הגולמי לשדות המתאימים ב-UDM, כדי להתאים ביעילות בין נתוני ה-IOC.

אם יש לכם חבילת Google SecOps Enterprise Plus והתכונה Applied Threat Intelligence (מודיעין איומים יישומי) מופעלת, מערכת ה-IOC מנתחת ומדרגת את האיומים לפי הציון של GTI. מידע נוסף זמין במאמר סקירה כללית על רמת העדיפות של מודיעין איומים.

טכניקות מתקדמות להתאמת IOC

בנוסף להתאמה האוטומטית של IOC שמוצגת בכרטיסייה IOC Matches, ‏ Google SecOps מציע כמה שיטות יעילות יותר לקורלציה מפורטת או מותאמת אישית של IOC.

שימוש בתרשימי ישויות ובכללי YARA-L

גרף ישויות מאפשר לכם להטמיע סוגים שונים של ישויות הקשריות – כולל ישויות שמייצגות אינדיקטורים של פריצה (IOC) – ולצרף אותן לנתוני אירועים באמצעות כללי זיהוי של YARA-L. כך מתאפשרת התאמה רב-ממדית של IOC.

סוגי ישויות נפוצים שמשמשים להתאמת IOC בתרשים ישויות כוללים: IP_ADDRESS,‏ DOMAIN_NAME,‏ FILE (לגיבובים) ו-URL.

גרף ישויות יכול להשתמש בשני הקשרים:

  • הקשר שסופק על ידי Google‏ (GLOBAL_CONTEXT): מערכת Google SecOps מאכלסת מראש את גרף הישויות בפידים כמו GCTI, גלישה בטוחה ו-VirusTotal, שמסומנים בתווית source_type = "GLOBAL_CONTEXT".
  • הקשר שסופק על ידי הלקוח (ENTITY_CONTEXT): אתם יכולים להזין פידים משלכם של IOC (לדוגמה, מ-Anomali, מ-Recorded Future או מ-STIX) או להשתמש ב-Ingestion API כדי להוסיף IOC בהתאמה אישית. בדרך כלל הם מסומנים בתווית source_type = "ENTITY_CONTEXT".

היבט חשוב לגבי התוקף של גרף ישויות: כברירת מחדל, רשומה בגרף ישויות תקפה רק למשך כ-5 ימים לפני או אחרי חותמת הזמן של ההוספה שלה. כלומר, כדי שההתאמה תהיה רציפה, צריך להטמיע מחדש את נתוני ההקשר לפחות אחת לחמישה ימים. עם זאת, אם הישות כוללת שדה metadata.threat, תוקף התפוגה של 5 ימים לא חל יותר, ולכן היא מתאימה להתאמה היסטורית של IOC.

כלל YARA-L לדוגמה שמשתמש ב-GLOBAL_CONTEXT:

rule google_safebrowsing_process_launch {
  meta:
    author      = "noam@"
    description = "Detects Process Launch events against Critical or High severity Google's SafeBrowsing database."

  events:
    $e.metadata.event_type = "PROCESS_LAUNCH"
    $e.target.process.file.sha256 = $hash

    $g.graph.metadata.entity_type = "FILE"
    $g.graph.entity.file.sha256 = $hash
    $g.graph.metadata.source_type = "GLOBAL_CONTEXT"
    $g.graph.metadata.threat.severity = "CRITICAL" or
    $g.graph.metadata.threat.severity = "HIGH"

  match:
    $hash over 10m

  condition:
    $e and $g
}

דוגמאות מפורטות לניתוח נתונים בהתאם להקשר ולהתאמה של IOC באמצעות YARA-L זמינות במאמר התאמה של כתובות IP מול אינדיקטורים של פריצה.

התאמה של IOC לטבלאות נתונים ולכללי YARA-L

אתם יכולים להשתמש בטבלאות נתונים בתוך כללי YARA-L כדי להתאים לרשימות של IOC. טבלאות נתונים מחליפות רשימות הפניה, שהוצאו משימוש. טבלאות נתונים תומכות בכמה עמודות ובסוגי נתונים כמו מחרוזת, ביטוי רגולרי ו-CIDR, ומאפשרות להתאים כמה IOCs בכלל אחד.

השוואה מבוססת-עמודות והשוואה מבוססת-שורות הן שתי שיטות לשימוש בטבלאות נתונים בכללי YARA-L:

  • השוואה מבוססת-עמודות בודקת אם הערך של שדה מסוים קיים בשורה כלשהי בעמודה של טבלת נתונים ספציפית, באמצעות מילת המפתח in. האפשרות הזו שימושית לבדיקה של רשימת ערכים בעמודה אחת.
  • השוואה מבוססת-שורות מצטרפת לשדות של אירועים ב-UDM לעמודות בטבלת הנתונים באמצעות אופרטורים של שוויון או השוואה. כשמבצעים כמה השוואות, כל התנאים צריכים להתקיים באותה שורה בטבלת הנתונים. התהליך הזה מאפשר לכם לבצע התאמה של אינדיקטורים לפשרה בכמה עמודות. כללים שמשתמשים בהשוואה מבוססת-שורה דורשים קטע match.

דוגמה: כלל YARA-L להתאמת כתובות IP מעמודה בטבלת נתונים

rule ioc_ip4_matches {
  meta:
    description = "IOC IPv4 matching using data tables"
  events:
    $ioc.metadata.event_type = "NETWORK_CONNECTION"
    $ioc.target.ip = $dip
    // checks if the IP address is in the ip_address column of data table "string_demo_list"
    $dip in %string_demo_list.ip_address

  condition:
    $ioc
}

להתאמה רב-ממדית (לדוגמה, כתובת IP + יציאה), אפשר להשתמש בהשוואה מבוססת-שורה מול טבלת נתונים עם כמה עמודות. בדוגמה הבאה נעשה שימוש בטבלת נתונים בשם connections_watchlist עם העמודות ip ו-port:

rule ioc_ip4_and_port_matches {
  meta:
    description = "Matches on IP address and port using a data table"
  events:
    $ioc.metadata.event_type = "NETWORK_CONNECTION"
    $ioc.target.ip = $dip
    $ioc.target.port = $dport

    // row-based join: both ip and port must match same row in data table "connections_watchlist"
    %connections_watchlist.ip = $dip
    %connections_watchlist.port = $dport

  match:
    $dip, $dport over 5m

  condition:
    $ioc
}

‫BigQuery לניתוח היסטורי של IOC

טבלת datalake.ioc_matches באגם הנתונים (BigQuery) של Google SecOps מספקת דרך יעילה ליצירת שאילתות על נתונים היסטוריים של התאמות ל-IOC. הכרטיסייה התאמות ל-IOC ב-Google SecOps מתמקדת בדומיינים, אבל אתם יכולים להשתמש ב-BigQuery כדי לנתח התאמות לכתובות IP ועוד.

דוגמה ל-SQL לשאילתה לגבי התאמות ספציפיות של כתובות IP ל-IOC:

-- Add your IP IOC Matches here
DECLARE __IP_IOCS__ ARRAY <STRING>;
SET __IP_IOCS__ = ['40.79.150.120'];
------
SELECT
  MIN(DATE(TIMESTAMP_SECONDS(CAST(day_bucket_seconds AS INT64)), 'UTC')) AS first_observed,
  MAX(DATE(TIMESTAMP_SECONDS(CAST(day_bucket_seconds AS INT64)), 'UTC')) AS last_observed,
  COUNT(4) AS hits,
  ioc_value,
  feed_log_type,
  is_global,
  CONCAT(COALESCE(asset.namespace, "untagged"),":",COALESCE(asset.hostname, asset.asset_ip_address, asset.mac, "-")) AS asset
FROM
  `datalake.ioc_matches`
WHERE
  ioc_value IN UNNEST(__IP_IOCS__)
  AND ioc_type = "IOC_TYPE_IP"
GROUP BY
  4,
  5,
  6,
  7

אלה התוצאות אחרי החיתוך:

Row first_observed last_observed התאמות ioc_value feed_log_type is_global נכס
1 2025-02-23 2025-03-05 64 40.79.150.120 CATCH_ALL FALSE untagged:192.168.12.16
2 2025-02-27 2025-03-05 29 40.79.150.120 CATCH_ALL FALSE untagged:192.168.12.129

אפשר גם לשלוח שאילתה לטבלה datalake.events כדי לבצע התאמה רב-ממדית של IOC על ידי יצירת מחרוזת משורשרת, למשל:

DECLARE
  __IOC_MULTIPLE_ATTRIBUTES__ ARRAY <STRING>;
SET
  __IOC_MULTIPLE_ATTRIBUTES__ = ['1.2.3.4,80', '1.2.3.4,443'];
SELECT
  MIN(TIMESTAMP_SECONDS(metadata.event_timestamp.seconds)) AS first_seen,
  MAX(TIMESTAMP_SECONDS(metadata.event_timestamp.seconds)) AS last_seen,
  target_ip,
  target.port
FROM
  `datalake.events`,
  UNNEST(target.ip) target_ip
WHERE
  DATE(hour_time_bucket) BETWEEN DATE_SUB(CURRENT_DATE, INTERVAL 60 DAY)
  AND DATE_SUB(CURRENT_DATE, INTERVAL 1 DAY)
  AND target_ip != ""
  AND target.port > 0
  AND CONCAT(target_ip,",",CAST(target.port AS STRING)) IN UNNEST(__IOC_MULTIPLE_ATTRIBUTES__)
GROUP BY 3,4

UDM Search ו-Search API

  • ‫UDM Search: תומך בשימוש בטבלאות נתונים (שנקראו בעבר רשימות הפניה) לחיפושים של מאפיין יחיד (לדוגמה, רשימה של גיבובים). עם זאת, הוא לא תומך בלוגיקה מורכבת של OR בכמה קבוצות נפרדות (לדוגמה, (IP1 AND Port1) OR (IP2 AND Port2)).
  • ‫Search API: ממשק ה-API הישן של חיפוש יכול להיות יעיל להתאמת IOC על גיבובים, כתובות IP ושמות דומיין, ומחזיר נכסים תואמים.

סינון התאמות ל-IOC

אתם יכולים להשתמש במסננים כדי לצמצם את רשימת ה-IOC שמוצגת בטבלה IOCs.

כדי להוסיף פילטרים לרשימת ה-IOC:

  1. לוחצים על סמל הסינון בפינה הימנית העליונה של הטבלה IOCs כדי לפתוח את תיבת הדו-שיח Filters (מסננים).

  2. קובעים את ההגדרות הבאות:

    • אופרטור לוגי: בוחרים באפשרות OR כדי שתהיה התאמה לכל אחד מהתנאים המשולבים (דיסיונקציה) או באפשרות AND כדי שתהיה התאמה לכל התנאים המשולבים (קוניונקציה).
    • עמודה: בוחרים את העמודה שלפיה רוצים לסנן.
    • הצגה בלבד או סינון: בעמודה האמצעית, בוחרים באפשרות הצגה בלבד או סינון כדי לציין איך המערכת צריכה להתייחס לערך.
    • ערך: מסמנים את תיבות הסימון של הערכים שרוצים להציג או לסנן על סמך הערך של עמודה.

  3. לוחצים על אישור. המסנן מוצג כצ'יפ בסרגל המסננים שמעל הטבלה IOCs. אפשר להוסיף עוד מסננים לפי הצורך.

כדי לנקות מסנן, לוחצים על הסמל x בצ'יפ המסנן כדי להסיר אותו או על ניקוי הכול.

דוגמה לסינון של IOC קריטי

אם אתם מחפשים IOCs שזוהו כחמורים במיוחד, בוחרים באפשרות Severity (חומרה) בעמודה הימנית, באפשרות Show only (הצגה רק של) בעמודה האמצעית ובאפשרות Critical (קריטי) בעמודה השמאלית.

דוגמה לסינון של אינדיקטורים של פשרות (IOC) של Applied Threat Intelligence

אם רוצים לראות רק את ה-IOCs של המודיעין על איומים שהוחל, בוחרים באפשרות מקורות בעמודה הימנית, באפשרות הצגה רק של בעמודה האמצעית ובאפשרות Mandiant בעמודה השמאלית.

אפשר גם לסנן את ה-IOC באמצעות החלונית הנפתחת Filters בצד ימין של הכרטיסייה. מרחיבים את שם העמודה, מוצאים את הערך ולוחצים על סמל האפשרויות הנוספות כדי לבחור באפשרות הצגה בלבד או סינון.

הצגה וניהול של פרטים על התאמות ל-IOC

כדי לראות את הפרטים של אירוע, כמו עדיפות, סוג, מקור, ציון IC וקטגוריה, לוחצים על ה-IOC כדי לפתוח את הדף פרטי ה-IOC. בדף הזה אתם יכולים:

  • צפייה בתעדוף אירועים
  • צפייה בשיוכים

צפייה בתעדוף אירועים

בכרטיסייה אירועים אפשר לראות את סדר העדיפויות של האירועים שבהם זוהה ה-IOC.

לוחצים על האירוע כדי לפתוח את כלי הצגת האירועים, שבו מוצגים העדיפות, ההסבר והפרטים של האירוע.

צפייה בשיוכים

בכרטיסייה 'שיוכים' אפשר לראות שיוכים של כל שחקן או תוכנה זדונית, כדי לעזור לחקור פריצות ולתת עדיפות להתראות.

התראות SOAR

לקוחות Google SecOps Unified יכולים לראות בדף הזה התראות SOAR, כולל מספר פנייה. לוחצים על מספר בקשת התמיכה כדי לפתוח את הדף Cases. בדף פניות אפשר לקבל מידע על ההתראה ועל הפנייה שמשויכת אליה, ולבצע פעולות תגובה. מידע נוסף מופיע במאמר סקירה כללית על בקשות תמיכה.

כדי לשנות את סטטוס ההתראה או לסגור אותה:

  1. עוברים לדף Cases.
  2. בקטע Case details > alert overview, לוחצים על Go to case כדי לגשת לכרטיס הפנייה.

מגבלות

‫Google SecOps יכול לטפל בעד 10,000 התאמות של IOC בכל זמן נתון. המגבלה הזו חלה על כל פרמטרי החיפוש שמוצגים בדף התראות ואינדיקטורים של פריצות.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.