ניהול התראות והתאמות של IOC

נתמך ב:

בדף התראות וסימנים מחשידים (IoC) מוצגות כל ההתראות והסימנים המחשידים (IoC) שמשפיעים על הארגון.

  • כדי לפתוח את הדף התראות ואינדיקטורים לפריצה (IOC), לוחצים על זיהוי > התראות ואינדיקטורים לפריצה (IOC).

הדף מכיל את הכרטיסייה התראות ואת הכרטיסייה התאמות IOC:

  • בכרטיסייה התראות אפשר לראות את ההתראות הנוכחיות בארגון.

    ההתראות יכולות להיווצר על ידי תשתית האבטחה, על ידי צוות האבטחה או על ידי כללים של Google Security Operations.

    במערכות שבהן מופעלת בקרת גישה מבוססת-תפקידים (RBAC) לנתונים, אתם יכולים לראות רק התראות וזיהויים שמקורם בכללים שמשויכים להיקפים שהוקצו לכם. מידע נוסף על ההשפעה של RBAC על זיהויים מופיע במאמר זיהויים.

  • בכרטיסייה התאמות ל-IOC אפשר לראות את ה-IOC שסומנו כחשודים ונמצאו בארגון.

    ‫Google Security Operations קולט באופן רציף נתונים מהתשתית שלכם וממקורות אחרים של נתוני אבטחה, ומשייך באופן אוטומטי אינדיקטורים חשודים לאבטחה לנתוני האבטחה שלכם. אם נמצאה התאמה (לדוגמה, דומיין חשוד מופיע בארגון שלכם), מערכת Google SecOps מתייגת את האירוע כ-IOC ומציגה אותו בכרטיסייה IOC Matches. מידע נוסף זמין במאמר איך Google SecOps מתאים באופן אוטומטי בין אינדיקציות לפריצה.

    במערכות שבהן מופעלת בקרת גישה מבוססת-תפקיד (RBAC) לנתונים, אתם יכולים לראות התאמות של IOC רק לנכסים שיש לכם הרשאת גישה אליהם. מידע נוסף זמין במאמר ההשפעה של RBAC על נתונים בתכונות של Google SecOps.

    בלוח הבקרה התאמות של IOC אפשר לראות פרטים של IOC, כמו ציון המהימנות, החומרה, שם הפיד והקטגוריה.

הגדרת אפשרויות תצוגה נפוצות בדף "התראות ו-IOC"

בקטע הזה מתוארות אפשרויות התצוגה הנפוצות שאפשר להגדיר בכרטיסיות Alerts ו-IOC Matches בדף Alerts & IOCs.

ציון העמודות שיוצגו

משתמשים במנהל העמודות כדי לציין את העמודות שרוצים להציג בכרטיסייה.

הגדרת טווח תאריכים ושעות

כדי לציין את טווח התאריכים והשעות של ההתראות וההתאמות ל-IOC שאתם רוצים שיוצגו בכרטיסיות התראות והתאמות ל-IOC, מבצעים את הפעולות הבאות:

  1. לוחצים על סמל היומן. תיפתח תיבת הדו-שיח Set Date and Time Range. אפשר לציין את טווח התאריכים והשעות באמצעות טווחי הזמן המוגדרים מראש בכרטיסייה טווח, או לבחור שעה ספציפית שבה האירוע התרחש בכרטיסייה שעת האירוע.

  2. כדי לציין את טווח התאריכים והשעות באמצעות אפשרויות מוגדרות מראש, לוחצים על הכרטיסייה Range ובוחרים באחת מהאפשרויות הבאות:

    • היום
    • בשעה האחרונה
    • 12 השעות האחרונות
    • היום האחרון
    • בשבוע האחרון
    • בשבועיים האחרונים
    • בחודש שעבר
    • חודשיים אחרונים
    • בהתאמה אישית: בוחרים את תאריך ההתחלה והסיום ביומן, ואז לוחצים על השדות שעת התחלה ושעת סיום כדי לבחור את השעה.

  3. כדי לציין את טווח התאריכים והשעות על סמך אירועים, לוחצים על הכרטיסייה זמן האירוע, בוחרים את התאריך ביומן ואז בוחרים באחת מהאפשרויות הבאות:

    • שעה מדויקת: לוחצים על השדה שעת האירוע ובוחרים את השעה הספציפית שבה האירועים התרחשו.
    • ‫+/- דקה אחת
    • ‫+/- 3 דקות
    • ‫+/- 5 דקות
    • ‫+/- 10 דקות
    • ‫+/- 15 דקות
    • ‫+/- שעה אחת
    • ‫+/- שעתיים
    • +/- 6 שעות
    • ‫+/- 12 שעות
    • ‫+/- יום אחד
    • ‫+/- 3 ימים
    • ‫+/- שבוע אחד

מיון התראות והתאמות של IOC

אתם יכולים למיין את ההתראות ואת ההתאמות ל-IOC שמוצגות בסדר עולה או יורד. כדי למיין את הרשימה, לוחצים על כותרות העמודות.

הצגת ההתראות

בכרטיסייה התראות מוצגת רשימה של ההתראות שזוהו בארגון שלכם בטווח התאריכים והשעות שצוין. בכרטיסייה הזו אפשר לראות במבט חטוף מידע על ההתראות, כמו חומרה, עדיפות, חישוב של ציון סיכונים ופסיקה. סמלים בצבעים שונים עוזרים לכם לזהות במהירות התראות שדורשות התייחסות מיידית.

הצגת מידע נוסף

כדי לראות מידע נוסף על התראה:

  • מרחיבים את שורת ההתראה כדי לראות את חותמת הזמן, הסוג והסיכום של האירוע.
  • לוחצים על שם ההתראה ברשימה כדי לעבור לתצוגת ההתראה ולראות מידע נוסף על ההתראה ועל הסטטוס שלה.

רענון טבלת ההתראות

בתפריט refresh time שבכותרת הטבלה Alerts, בוחרים את תדירות הרענון של הטבלה Alerts. אלה האפשרויות הזמינות:

  • לרענון
  • אין רענון אוטומטי (ברירת מחדל)
  • רענון כל 5 דקות
  • רענון כל 15 דקות
  • רענון כל שעה

התראות שנוצרו על ידי זיהויים משולבים

התראות יכולות להיווצר על ידי זיהויים משולבים, שמשתמשים בכללים משולבים שצורכים פלטים (זיהויים) מכללים אחרים בשילוב עם אירועים, מדדים או אותות סיכון של ישויות. הכללים האלה מזהים איומים מורכבים, שכוללים כמה שלבים, שכללים בודדים עלולים לפספס.

זיהויים משולבים יכולים לעזור לנתח אירועים באמצעות אינטראקציות וטריגרים של כללים מוגדרים. כך אפשר לשפר את הדיוק, לצמצם את מספר התוצאות החיוביות הכוזבות ולקבל תמונה מקיפה של איומי האבטחה על ידי התאמת נתונים ממקורות שונים ומשלבים שונים של המתקפה.

בעמודה קלט בכרטיסייה התראות מוצג מקור ההתראה. כשההתראה היא מזיהויים משולבים, בעמודה מוצג הערך Detection.

כדי לראות את הזיהויים המשולבים שהפעילו את ההתראה, מבצעים אחת מהפעולות הבאות בכרטיסייה Alerts:

  • מרחיבים את שורת ההתראה וצופים בזיהויים המשולבים בטבלה Detections.
  • לוחצים על שם הכלל כדי לפתוח את הדף זיהויים.
  • לוחצים על שם ההתראה כדי לפתוח את הכרטיסייה פרטי ההתראה.

סינון התראות

אתם יכולים להשתמש במסננים כדי לצמצם את רשימת ההתראות שמוצגות.

כדי להוסיף מסננים לרשימת ההתראות:

  1. לוחצים על סמל הסינון או על הוספת מסנן בפינה הימנית העליונה של הכרטיסייה כדי לפתוח את תיבת הדו-שיח הוספת מסנן.

  2. מציינים את הפרטים הבאים:

    • שדה: מזינים את האובייקט שרוצים לסנן או מתחילים להקליד אותו בשדה ובוחרים אותו מהרשימה.
    • אופרטור: מזינים = (הצגה בלבד) או != (סינון) כדי לציין איך להתייחס לערך.
    • ערך: מסמנים את תיבות הסימון של השדות שרוצים להתאים או לסנן. הרשימה שמוצגת מבוססת על הערך של Field.

  3. לוחצים על אישור. המסנן מוצג כצ'יפ בסרגל המסננים שמעל טבלת ההתראות. אפשר להוסיף כמה מסננים לפי הצורך.

כדי להסיר מסנן, לוחצים על ה-x בצ'יפ הסינון.

הצגת התאמות של IOC

בכרטיסייה התאמות של IOC מוצגים ה-IOC שזוהו ברשת שלכם והותאמו לרשימה של IOC חשודים מוכרים בפידים של איומים חכמים. אתם יכולים לראות מידע על ה-IOC, כמו סוג, עדיפות, סטטוס, קטגוריות, נכסים, קמפיינים, מקורות, זמן הטמעת ה-IOC, מתי נצפה לראשונה ומתי נצפה לאחרונה. הסמלים והסימנים שמקודדים לפי צבעים עוזרים לכם לזהות במהירות אילו אינדיקטורים לפריצה דורשים את תשומת הלב שלכם.

איך Google SecOps מתאים באופן אוטומטי בין אינדיקטורים לפריצה (IOC)

מערכת Google SecOps משייכת באופן אוטומטי את נתוני האבטחה שנקלטו לאינדיקטורים מוכרים של איומים מפידים שונים של מודיעין איומי סייבר. כשנתוני האבטחה נקלטים, הם עוברים קודם נירמול למודל הנתונים המאוחד (UDM). מנוע ההתאמה של ה-IOC משווה באופן רציף בין אירועי ה-UDM המנורמלים האלה לבין אינדיקטורים לאיומים מכל הפידים שהוגדרו. אם נמצאת התאמה, מערכת Google SecOps יוצרת התראה על התאמה ל-IOC. תהליך ההתאמה האוטומטי הזה יעיל במיוחד לדומיינים ולכתובות IPv4.

התרשים הבא ממחיש את התהליך מקצה לקצה:

תהליך ההתאמה של IOC

מידע נוסף על הטמעת נתונים זמין במאמר הטמעת נתונים ב-Google SecOps.

גרסאות של IOC

מערכת Google SecOps שומרת את כל הגרסאות של ה-IOC שנקלטו, ומשתמשת בגרסה הפעילה שנקלטה לאחרונה עד לתאריך סיום נתון. אם אתם מטמיעים IOC בלי תאריך סיום, הוא נשאר פעיל ללא הגבלת זמן. אם בהמשך תטמיעו את אותו IOC עם טווח תאריכים ספציפי (תאריכי התחלה וסיום), הוא יחליף את הגרסה ללא הגבלת זמן במהלך התקופה הפעילה שלו, שכוללת מבט לאחור של חמישה ימים לפני תאריך ההתחלה שלו.

אחרי שתוקף ה-IOC המוגבל בזמן יפוג, מערכת Google SecOps תחזור באופן אוטומטי להשתמש בגרסה הקודמת של ה-IOC אם היא עדיין פעילה (לדוגמה, הגרסה הפעילה ללא הגבלת זמן). הטמעה של IOC עם תאריך תפוגה לא מוחקת או מבטלת לצמיתות IOC ללא תאריך תפוגה שהוטמע בעבר.

אחרי שהנתונים נקלטים, נתוני האירועים ב-UDM מנותחים באופן רציף כדי למצוא אינדיקטורים לפריצה (IOC) שתואמים לשמות דומיינים זדוניים, לכתובות IP ולערכי גיבוב של קבצים (MD5,‏ SHA-256 ו-SHA-1) ידועים. אם נמצאה התאמה, ה-IOC מוצג בכרטיסייה התאמות IOC.

מקורות של מודיעין איומי סייבר

מערכת Google SecOps משתמשת בכמה מקורות להתאמת IOC:

  • מודיעין מ-Google: פלטפורמת Google SecOps כוללת מודיעין איומי סייבר משולב מ-Mandiant, ‏VirusTotal ו-Google Threat Intelligence. הפידים האלה זמינים באופן אוטומטי ומספקים מגוון רחב של אינדיקטורים מניתוח איומים גלובלי. לקוחות עם חבילת Enterprise Plus מקבלים גם גישה לפידים מתקדמים יותר, כמו Mandiant Breach Analytics.
  • פידים שהלקוחות מספקים: אתם יכולים להטמיע ב-Google SecOps פידים של מודיעין איומי סייבר, בין אם הם קנייניים שלכם או של צד שלישי. הפידים האלה, כמו MISP_IOC, עוברים נרמול ונכללים באותו תהליך התאמה של IOC, וכך אתם יכולים לקשר בין נתוני האבטחה שלכם לבין אינדיקטורים שרלוונטיים לארגון שלכם.

מקורות המידע הבאים על איומים זמינים ב-Google SecOps out-of-box:

חבילת Google SecOps Enterprise חבילת Google SecOps Enterprise Plus
מודיעין ממקורות גלויים (OSINT) מועשרים מודיעין ממקורות גלויים (OSINT) מועשר
Mandiant Fusion
VirusTotal

התאמה בזמן אמת והתאמה רטרואקטיבית

ב-Google SecOps, ההתאמה ל-IOC מתבצעת בשתי דרכים:

  • התאמה בזמן אמת: כשנתוני טלמטריית אבטחה חדשים נקלטים ומנורמלים, הם נבדקים מיד מול כל פיד זמין של אינדיקטורים לפריצה. כל התאמה מפעילה התראות כמעט בזמן אמת.
  • התאמה רטרואקטיבית: כשמוסיפים אינדיקטורים חדשים לפריצה (IOC) לפיד משולב של מודיעין איומי סייבר (שסופק על ידי Google או על ידי הלקוח), מערכת Google SecOps סורקת באופן אוטומטי את הנתונים ההיסטוריים (עד לתקופת שמירת הנתונים המלאה, בדרך כלל שנה אחת) כדי לאתר מופעים קודמים של האינדיקטורים החדשים האלה. כך אפשר לנתח פעילויות היסטוריות כדי לזהות פריצות פוטנציאליות, גם אם האינדיקטור לא היה ידוע בזמן ההטמעה.

שדות UDM שמשמשים להתאמה

מנוע ההתאמה האוטומטי של ה-IOC מתמקד בעיקר בהתאמה לשמות דומיינים ולכתובות IP שנמצאים באירועי UDM. בטבלה הבאה מפורטים שדות ה-UDM הספציפיים שמשמשים להתאמה אוטומטית של IOC, בהתאם לחבילה שלכם:

חבילת Enterprise חבילת Enterprise Plus
about.file
network.dns.answers
network.dns.questions network.dns.questions
principal.administrative_domain
principal.asset
principal.ip
principal.process.file principal.process.file
principal.process.parent_process.file principal.process.parent_process.file
security_result.about.file security_result.about.file
src.file src.file
src.ip
target.asset.ip
target.domain.name
target.file target.file
target.hostname target.hostname
target.ip target.ip
target.process.file target.process.file
target.process.parent_process.file

כדי לוודא שהמנתחים של הנתונים ממפים בצורה נכונה את השדות של היומנים הגולמיים לשדות ה-UDM המתאימים להתאמה יעילה של IOC, חשוב להבין באילו שדות UDM נעשה שימוש.

אם יש לכם חבילת Google SecOps Enterprise Plus והתכונה Applied Threat Intelligence‏ (ATI) מופעלת, המערכת מנתחת את ה-IOC ומתעדפת אותם על סמך ציון ה-GTI. מידע נוסף זמין במאמרים סקירה כללית על מודיעין איומי סייבר בעדיפות גבוהה ו-Applied Threat Intelligence Fusion Feed.

טכניקות מתקדמות להתאמת IOC

בנוסף להתאמה האוטומטית של ה-IOC שמוצגת בכרטיסייה IOC Matches, ‏ Google SecOps מציעה כמה שיטות יעילות לקורלציה מפורטת או מותאמת אישית של IOC.

שימוש בתרשימי ישויות ובכללי YARA-L

תרשים ישויות מאפשר להטמיע סוגים שונים של ישויות לפי הקשר, כולל ישויות שמייצגות IOC, ולצרף אותן לנתוני אירועים באמצעות כללי זיהוי של YARA-L. כך אפשר להתאים IOC בכמה ממדים.

סוגי הישויות הנפוצים שמשמשים להתאמת IOC בתרשים ישויות כוללים: IP_ADDRESS,‏ DOMAIN_NAME,‏ FILE (לגיבובים) ו-URL.

תרשים ישויות יכול להשתמש בשני הקשרים:

  • הקשר ש-Google מספקת (GLOBAL_CONTEXT): פלטפורמת Google SecOps מאכלסת מראש את תרשים הישויות בפידים כמו GCTI, גלישה בטוחה ו-VirusTotal, שמסומנים בתווית source_type = "GLOBAL_CONTEXT".
  • הקשר שסופק על ידי הלקוח (ENTITY_CONTEXT): אתם יכולים להטמיע פידים משלכם של אינדיקטורים לפריצה (לדוגמה, מ-Anomali, מ-Recorded Future או מ-STIX) או להשתמש ב-Ingestion API כדי להוסיף אינדיקטורים לפריצה בהתאמה אישית. בדרך כלל הם מסומנים בתווית source_type = "ENTITY_CONTEXT".

שיקול חשוב לגבי התוקף של תרשים הישויות: כברירת מחדל, רשומה בתרשים הישויות תקפה רק למשך כ-5 ימים לפני או אחרי חותמת הזמן של ההטמעה. כלומר, כדי שההתאמה תהיה רציפה, צריך להטמיע מחדש את נתוני ההקשר לפחות כל חמישה ימים. עם זאת, אם הישות כוללת שדה metadata.threat, התפוגה של +/- 5 ימים לא חלה יותר, ולכן היא מתאימה להתאמה היסטורית של IOC.

דוגמה לכלל YARA-L שמשתמש ב-GLOBAL_CONTEXT:

rule google_safebrowsing_process_launch {
  meta:
    author      = "noam@"
    description = "Detects Process Launch events against Critical or High severity Google's SafeBrowsing database."

  events:
    $e.metadata.event_type = "PROCESS_LAUNCH"
    $e.target.process.file.sha256 = $hash

    $g.graph.metadata.entity_type = "FILE"
    $g.graph.entity.file.sha256 = $hash
    $g.graph.metadata.source_type = "GLOBAL_CONTEXT"
    $g.graph.metadata.threat.severity = "CRITICAL" or
    $g.graph.metadata.threat.severity = "HIGH"

  match:
    $hash over 10m

  condition:
    $e and $g
}

במאמר התאמה של כתובת IP לאינדיקטורים של פריצה מופיעות דוגמאות מפורטות לניתוח מותאם-הקשר ולהתאמה של IOC באמצעות YARA-L.

התאמת IOC עם טבלאות נתונים וכללי YARA-L

אתם יכולים להשתמש בטבלאות נתונים בתוך כללי YARA-L כדי להתאים לרשימות של אינדיקטורים לפריצה (IOC). טבלאות נתונים מחליפות את רשימות העזר, שהוצאו משימוש. טבלאות נתונים תומכות במספר עמודות וסוגי נתונים כמו מחרוזת, ביטוי רגולרי ו-CIDR, ומאפשרות לכם להתאים בין כמה אינדיקטורים לפריצה (IOC) בכלל אחד.

השוואה מבוססת-עמודות והשוואה מבוססת-שורות הן שתי שיטות לשימוש בטבלאות נתונים בכללי YARA-L:

  • השוואה מבוססת-עמודה בודקת אם ערך של שדה קיים בשורה כלשהי של עמודה ספציפית בטבלת נתונים, באמצעות מילת המפתח in. האפשרות הזו שימושית לבדיקה מול רשימת ערכים בעמודה אחת.
  • השוואה מבוססת-שורות מחברת בין שדות של אירועי UDM לבין עמודות בטבלת נתונים באמצעות אופרטורים של שוויון או השוואה. כשמבצעים כמה השוואות, כל התנאים צריכים להתאים לאותה שורה בטבלת הנתונים. התהליך הזה מאפשר לכם לבצע התאמה של IOC בכמה עמודות. כללים שמשתמשים בהשוואה מבוססת-שורות דורשים קטע match.

דוגמה: כלל YARA-L שמתאים לכתובות IP מעמודה בטבלת נתונים

rule ioc_ip4_matches {
  meta:
    description = "IOC IPv4 matching using data tables"
  events:
    $ioc.metadata.event_type = "NETWORK_CONNECTION"
    $ioc.target.ip = $dip
    // checks if the IP address is in the ip_address column of data table "string_demo_list"
    $dip in %string_demo_list.ip_address

  condition:
    $ioc
}

כדי לבצע התאמה בכמה מאפיינים (לדוגמה, כתובת IP + יציאה), אפשר להשתמש בהשוואה מבוססת-שורות מול טבלת נתונים עם כמה עמודות. בדוגמה הבאה נעשה שימוש בטבלת נתונים בשם connections_watchlist עם העמודות ip ו-port:

rule ioc_ip4_and_port_matches {
  meta:
    description = "Matches on IP address and port using a data table"
  events:
    $ioc.metadata.event_type = "NETWORK_CONNECTION"
    $ioc.target.ip = $dip
    $ioc.target.port = $dport

    // row-based join: both ip and port must match same row in data table "connections_watchlist"
    %connections_watchlist.ip = $dip
    %connections_watchlist.port = $dport

  match:
    $dip, $dport over 5m

  condition:
    $ioc
}

‫BigQuery לניתוח היסטורי של IOC

הטבלה datalake.ioc_matches באגם הנתונים של Google SecOps‏ (BigQuery) מספקת דרך יעילה לשלוח שאילתות על נתונים היסטוריים של התאמות ל-IOC. הכרטיסייה IOC Matches ב-Google SecOps מתמקדת בדומיינים, אבל אתם יכולים להשתמש ב-BigQuery כדי לנתח התאמות של כתובות IP ועוד.

דוגמה לשאילתת SQL לחיפוש התאמות ספציפיות של כתובות IP לאינדיקטורים לפריצה:

-- Add your IP IOC Matches here
DECLARE __IP_IOCS__ ARRAY <STRING>;
SET __IP_IOCS__ = ['40.79.150.120'];
------
SELECT
  MIN(DATE(TIMESTAMP_SECONDS(CAST(day_bucket_seconds AS INT64)), 'UTC')) AS first_observed,
  MAX(DATE(TIMESTAMP_SECONDS(CAST(day_bucket_seconds AS INT64)), 'UTC')) AS last_observed,
  COUNT(4) AS hits,
  ioc_value,
  feed_log_type,
  is_global,
  CONCAT(COALESCE(asset.namespace, "untagged"),":",COALESCE(asset.hostname, asset.asset_ip_address, asset.mac, "-")) AS asset
FROM
  `datalake.ioc_matches`
WHERE
  ioc_value IN UNNEST(__IP_IOCS__)
  AND ioc_type = "IOC_TYPE_IP"
GROUP BY
  4,
  5,
  6,
  7

הנה התוצאות המקוצרות:

Row first_observed last_observed היטים ioc_value feed_log_type is_global נכס
1 2025-02-23 2025-03-05 64 40.79.150.120 CATCH_ALL FALSE untagged:192.168.12.16
2 2025-02-27 2025-03-05 29 40.79.150.120 CATCH_ALL FALSE untagged:192.168.12.129

אפשר גם לשלוח שאילתה לטבלה datalake.events כדי להתאים אינדיקטורים לפריצה (IOC) בכמה ממדים, על ידי יצירת מחרוזת משורשרת, לדוגמה:

DECLARE
  __IOC_MULTIPLE_ATTRIBUTES__ ARRAY <STRING>;
SET
  __IOC_MULTIPLE_ATTRIBUTES__ = ['1.2.3.4,80', '1.2.3.4,443'];
SELECT
  MIN(TIMESTAMP_SECONDS(metadata.event_timestamp.seconds)) AS first_seen,
  MAX(TIMESTAMP_SECONDS(metadata.event_timestamp.seconds)) AS last_seen,
  target_ip,
  target.port
FROM
  `datalake.events`,
  UNNEST(target.ip) target_ip
WHERE
  DATE(hour_time_bucket) BETWEEN DATE_SUB(CURRENT_DATE, INTERVAL 60 DAY)
  AND DATE_SUB(CURRENT_DATE, INTERVAL 1 DAY)
  AND target_ip != ""
  AND target.port > 0
  AND CONCAT(target_ip,",",CAST(target.port AS STRING)) IN UNNEST(__IOC_MULTIPLE_ATTRIBUTES__)
GROUP BY 3,4

חיפוש ב-UDM ו-Search API

  • חיפוש ב-UDM: תומך בשימוש בטבלאות נתונים (שנקראו בעבר רשימות עזר) לחיפושים במאפיין יחיד (לדוגמה, רשימה של ערכי גיבוב). עם זאת, הוא לא תומך בלוגיקה מורכבת של OR בכמה קבוצות נפרדות (לדוגמה, (IP1 AND Port1) OR (IP2 AND Port2)).
  • ‫Search API: גרסה ישנה יותר של Search API שיכולה להתאים ביעילות בין IOC לבין גיבובים, כתובות IP ושמות דומיינים, ולהחזיר נכסים תואמים.

סינון התאמות של IOC

אתם יכולים להשתמש במסננים כדי לצמצם את רשימת ה-IOC שמוצגת בטבלה IOC.

כדי להוסיף מסננים לרשימת ה-IOC:

  1. לוחצים על סמל הסינון בפינה הימנית העליונה של הטבלה IOCs כדי לפתוח את תיבת הדו-שיח Filters.

  2. קובעים את ההגדרות הבאות:

    • אופרטור לוגי: בוחרים באפשרות OR כדי להתאים לאחד מהתנאים המשולבים (הפרדה) או באפשרות AND כדי להתאים לכל התנאים המשולבים (צירוף).
    • עמודה: בוחרים את העמודה שלפיה רוצים לסנן.
    • הצגה בלבד או סינון: בעמודה האמצעית, בוחרים באפשרות הצגה בלבד או סינון כדי לציין איך המערכת צריכה להתייחס לערך.
    • ערך: מסמנים את תיבות הסימון של הערכים שרוצים להציג או לסנן על סמך הערך של עמודה.

  3. לוחצים על אישור. המסנן מוצג כצ'יפ בסרגל המסננים שמעל לטבלת מזהי ה-IOC. אפשר להוסיף כמה מסננים לפי הצורך.

כדי לנקות מסנן, לוחצים על ה-X בצ'יפ הסינון כדי להסיר אותו, או על ניקוי הכול.

דוגמה לסינון לפי אינדיקטורים קריטיים לפריצה (IOC)

אם אתם מחפשים אינדיקטורים לפריצה שזוהו כחמורים, בעמודה הימנית בוחרים באפשרות חומרה, בעמודה האמצעית בוחרים באפשרות הצגה בלבד ובעמודה השמאלית בוחרים באפשרות קריטי.

דוגמה לסינון לפי אינדיקטורים לפריצה (IOC) של מודיעין איומי סייבר יישומי

אם רוצים לראות רק את ה-IOC של Applied Threat Intelligence, בוחרים באפשרות מקורות בעמודה הימנית, באפשרות הצגה בלבד בעמודה האמצעית ובאפשרות Mandiant בעמודה השמאלית.

אפשר גם לסנן את ה-IOC באמצעות החלונית הנשלפת מסננים שבצד ימין של הכרטיסייה. מרחיבים את שם העמודה, מוצאים את הערך ולוחצים על סמל האפשרויות הנוספות כדי לבחור באפשרות הצגה בלבד או סינון.

הצגה וניהול של פרטי התאמות של IOC

כדי לראות את הפרטים של אירוע, כמו עדיפות, סוג, מקור, ציון IC וקטגוריה, לוחצים על ה-IOC כדי לפתוח את הדף פרטי IOC. בדף הזה אתם יכולים:

  • הצגת תיעדוף האירועים
  • הצגת השיוכים

הצגת תיעדוף האירועים

בכרטיסייה אירועים אפשר לראות את סדר העדיפויות של האירועים שבהם נצפה ה-IOC.

לוחצים על האירוע כדי לפתוח את צופה האירועים, שבו מוצגים העדיפות, הנימוק ופרטי האירוע.

הצגת השיוכים

בכרטיסייה שיוכים אפשר לראות שיוכים של כל גורם או תוכנה זדונית כדי לחקור פרצות ולקבוע את סדר העדיפויות של ההתראות.

התראות SOAR

ללקוחות Google SecOps המאוחדת, ההתראות של SOAR מוצגות בדף הזה וכוללות מספר פנייה. לוחצים על מספר הפנייה כדי לפתוח את הדף Cases. בדף פניות אפשר לקבל מידע על ההתראה ועל הפנייה שמשויכת אליה, ולבצע פעולות תגובה. למידע נוסף, קראו את הסקירה הכללית על בקשות תמיכה.

כדי לנהל את סטטוס ההתראה או לסגור התראה:

  1. נכנסים לדף Cases.
  2. בקטע פרטי הבקשה > סקירה כללית של ההתראה, לוחצים על מעבר לבקשה כדי לגשת לבקשה.

מגבלות

מערכת Google SecOps יכולה לטפל בעד 10,000 התאמות של IOC בכל פעם. המגבלה הזו חלה על כל הפרמטרים של החיפוש שמוצגים בדף התראות ואינדיקטורים לפריצה (IOC).

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.