חקירת דומיינים

נתמך ב:

Google SecOps SIEM

‫Google Security Operations מאפשרת לכם לחקור דומיינים ספציפיים כדי לקבוע אם יש דומיינים כאלה בארגון שלכם, ומה ההשפעה של המערכות החיצוניות האלה על הנכסים שלכם.

כדי לגשת לתצוגה Domain ב-Google SecOps, מבצעים את הפעולות הבאות:

1. מזינים את הדומיין (שמסתיים בסיומת ציבורית מוכרת) או את כתובת ה-URL בסרגל החיפוש בדף הנחיתה של Google SecOps.

   הערה: רשימת הנתונים של הסיומות הציבוריות מ-publicsuffix.org כוללת גם דומיינים ציבוריים וגם דומיינים פרטיים כסיומות ציבוריות. עם זאת, הפונקציה הזו לא מתייחסת לדומיין פרטי כסיומת ציבורית. לדוגמה, אם us.com מופיע כדומיין פרטי, קריאה לפונקציה עם foo.us.com מחזירה us.com – שמתפרש כסיומת ציבורית com בתוספת התווית הקודמת us – במקום foo.us.com (שבו us.com נחשב לדומיין פרטי).

2. לוחצים על חיפוש. אם הדומיין קיים בארגון שלכם, הוא יופיע בקטע דומיינים. לוחצים על הקישור של שם הדומיין כדי לעבור לתצוגה דומיין. אם הדומיין קיים בארגון, מוצג מידע נוסף בתצוגה Domain. אם הדומיין לא מופיע, התצוגה Domain תהיה ריקה.

   הערה: חיפוש UDM מספק יכולות משופרות שמאפשרות לכם לבצע בדיקות יסודיות יותר של האירועים וההתראות במופע Google SecOps שלכם, בהשוואה למה שאפשר לעשות באמצעות התצוגה Domain בלבד. מידע נוסף זמין במאמר בנושא חיפוש ב-UDM.

הקשר הדומיין

בתצוגת הדומיין מוצג הקשר לגבי הדומיין שנשלחה לגביו שאילתה, כולל הפניות בנתוני היומן שהועברו, וגם העשרות חיצוניות מצד שלישי ממקורות כמו VirusTotal.

הקשר של VT

לוחצים על VT Context כדי לראות את המידע של VirusTotal שזמין לגבי הדומיין הזה.

WHOIS

ב-Google SecOps מוצג המידע מ-WHOIS שמשויך לדומיין הרשום. המידע הזה יכול להיות שימושי להערכת המוניטין של דומיין.

שכיחות

‫Google SecOps מספק ייצוג גרפי של השכיחות ההיסטורית של FQDN מסוים ושל TLD שלו. אפשר להשתמש בתרשים הזה כדי לבדוק אם הייתה גישה לדומיין מתוך הארגון בעבר, וכדי לקבל אינדיקציה אם הדומיין משויך לקמפיין מסוים שמטרגט את הארגון. בדרך כלל, דומיינים פחות נפוצים, שפחות נכסים מחוברים אליהם, עשויים להוות איום גדול יותר על הארגון.

כשמעבירים את הסמן מעל עמודה בתרשים השכיחות, מוצגים בתרשים הנכסים שניגשו לדומיין. בגלל השכיחות הגבוהה של שרתי DNS, הם לא מופיעים ברשימה. אם כל הנכסים הם שרתי DNS, לא מוצגים נכסים.

תובנות לגבי הדומיין

תובנות לגבי דומיינים מספקות הקשר נוסף לגבי דומיינים שנמצאים בחקירה. אפשר להשתמש בהם כדי לקבוע אם דומיין הוא תמים או זדוני. הם גם מאפשרים לבדוק לעומק אינדיקטור כדי לקבוע אם יש פשרה רחבה יותר.

התובנות לגבי הדומיין שמוצגות משתנות בהתאם לזמינות המידע שמשויך לדומיין בחשבון Google SecOps שלכם, אבל יכול להיות שהן יכללו את הפרטים הבאים:

• רשימת נציגי ET Intelligence: בודקת את רשימת הנציגים של Emerging Threats‏ (ET) Intelligence של ProofPoint ומפרטת איומים ידועים שקשורים לכתובות IP ולדומיינים ספציפיים.

• ‫ESET Threat Intelligence: בדיקה מול שירות מודיעין האיומים של ESET.

• כתובות IP שנפתרו: כל כתובות ה-IP שנפתרו שנצפו בארגון שלכם עבור שם דומיין שמוגדר במלואו. לדוגמה:

  • חיפוש של test.altostrat.com (שם דומיין שמוגדר במלואו)
  • מוצגות 2 כתובות IP שנפתרו (198.51.100.81 ו-203.0.113.81)

• תתי-דומיינים משויכים: כל תתי-הדומיינים המשויכים שנצפו בארגון שלכם עבור שם דומיין שמוגדר במלואו. גורמים עוינים רבים משתמשים באותו דומיין ובאותו תת-דומיין למתקפות שלהם. לדוגמה:

  • מחפשים את sandbox.altostrat.com (שם דומיין שמוגדר במלואו)
  • מוצגים 2 תתי-דומיין (test.sandbox.altostrat.com ו-staging.sandbox.altostrat.com)

• דומיינים מקבילים: כל הדומיינים המקבילים שנצפו בארגון שלכם עבור שם דומיין שמוגדר במלואו ברמה מסוימת. לדוגמה:

  • חיפוש של sandbox.altostrat.com
  • מוצג דומיין אח אחד (foo.altostrat.com)

ציר הזמן

בכרטיסייה ציר זמן מפורטים כל האירועים בדומיין. בעמודה מזהה הנכס מוצג מזהה הנכס. במספר קטן של מקרים, Google SecOps מחליף את מזהה הנכס בכתובת ה-IP של הנכס.

לתשומת ליבכם

לתצוגת הדומיין יש את המגבלות הבאות:

• בתצוגה הזו אפשר לראות רק 1,000 אירועים.
• אפשר לסנן רק אירועים שמוצגים בתצוגה הזו.
• בתצוגה הזו מאוכלסים רק סוגי האירועים DNS,‏ EDR ו-Webproxy. המידע על הפעם הראשונה והפעם האחרונה שבהן נצפו אירועים שמוצג בתצוגה הזו מוגבל גם הוא לסוגי האירועים האלה.
• אירועים כלליים לא מופיעים באף אחת מהתצוגות שנאספו. הם מופיעים רק ביומן הגולמי ובחיפושים ב-UDM.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.