בדיקת משתמשים

נתמך ב:

התצוגה משתמש ב-Google Security Operations מאפשרת ללקוחות להבין טוב יותר איך אירועי אבטחה משפיעים על משתמשים בארגון. התמקדות בהתנהגות של משתמשים ספציפיים מאפשרת לאדמינים של אבטחה לחפש פעילות שמצביעה על פריצה לחשבון או על בעיות אבטחה אחרות. חשוב לוודא שאתם מבצעים המרה של נתונים ממכשירים ברשת שלכם לפורמט אחיד, כמו EDR, חומת אש, שרת proxy לאינטרנט, הקשר משתמש ואימות וכו'.

חיפוש משתמש

כדי לפתוח את התצוגה משתמש ב-Google SecOps, מזינים את שם המשתמש או את כתובת האימייל של משתמש בארגון בשדה החיפוש. אם המשתמש קיים בחשבון Google SecOps שלכם, הוא יוצג כתוצאה. לוחצים על שם המשתמש כדי לעבור לתצוגה משתמש.

הוספת כינויים לתצוגת משתמש

התצוגה משתמש כוללת תכונה של כינוי משתמשים, כדי לוודא שאירועים שמשויכים למשתמש יחיד לא ישוכפלו ויהיה קל יותר לחפש אותם בחשבון Google SecOps. לדוגמה, אם יש לכם עובד בשם דניס שהמזהה שלו הוא dennis והאימייל שלו הוא dennis@altostrat.com ואתם מחפשים את dennis ב-Google SecOps, יוחזרו אירועים גם עבור dennis וגם עבור dennis@altostrat.com.

תכונות בתצוגת המשתמש

התצוגה משתמש כוללת הרבה תכונות ואמצעי בקרה בממשק המשתמש שמאפשרים לכם לבדוק את נתוני המשתמשים בארגון בצורה מדויקת יותר. חלק מהתכונות האלה ייחודיות לתצוגה משתמש, וחלקן משותפות לתצוגות אחרות של אירועים ב-Google SecOps (תצוגת דומיין, תצוגת כתובת IP וכו').

תצוגת משתמש עם הערות חשובות תכונות של תצוגת המשתמש ב-Google SecOps

‫1 פרטי משתמש

מוצג מידע על המשתמש שמאוחסן במערכות ה-IT של הארגון (לדוגמה, Active Directory,‏ Workday,‏ Okta וכו').

‫2 בחירת תאריך

כדי לבדוק את האירועים שמשויכים למשתמש במרווח של שבוע קלנדרי אחד (שבת עד ראשון), משתמשים בחצים שמאלה וימינה. אם אין נתונים לתקופת הזמן שמוצגת, מוצגות האפשרויות 'הפעם הראשונה שבה נצפה' ו'הפעם האחרונה שבה נצפה' כדי שתוכלו לעבור במהירות לתקופת זמן רלוונטית.

‫3 X-axis time shift

כברירת מחדל, בתצוגה משתמש, מפת החום של הגרדיאנט מתמקדת בשעה 12:00 UTC (בצהריים). באמצעות אמצעי הבקרה של הזזת הזמן בציר X, אפשר למרכז את מפת החום עד 12 שעות לפני או אחרי השעה 12:00. כך תוכלו להתמקד בתקופות לא אופייניות של המשתמש. לדוגמה, אפשר להזיז את ציר הזמן לתצוגה לשעה 0:00 UTC (חצות) כדי להתמקד בפעילות המשתמשים בשעות הערב המאוחרות ובשעות הבוקר המוקדמות, כמו שמוצג באיורים האלה.

הגדרת הזזת הזמן בציר X ל-‎+12 Setting X-Axis time shift to +12

‫4 מפת חום עם מעבר צבעים

במפת החום עם הגרדיאנט בתצוגת משתמש מוצגת תצוגה מצטברת של פעילות המשתמשים במהלך התקופה שנבדקת. כל ריבוע מציין שעה ביום (UTC) שבה נרשמה פעילות משתמש בתקופת הזמן. בתרשים הזה אפשר לאתר פעילות משתמש חריגה או לא טיפוסית.

לחיצה על ריבוע תציג את תאריך הפעילות, ולחיצה על התאריך הזה בבועה הירוקה תעביר אתכם לשעה הזו של האירועים בציר הזמן.

הצבע של כל ריבוע משתנה משחור דרך גוונים של אפור ללבן:

  • ריבועים שחורים מציינים שלא הייתה פעילות משתמש.

  • ריבועים לבנים מציינים פעילות משתמש תכופה.

  • ריבועים בגוונים שונים של אפור, מכהה לבהיר, מציינים רמות פעילות שונות. גוונים כהים של אפור מייצגים פעילות נמוכה, וגוונים בהירים של אפור מייצגים פעילות גבוהה.

לדוגמה, משתמש פעיל באופן קבוע בשעות העבודה הרגילות, ואף פעם לא פעיל בשעות הלילה המאוחרות או בסופי שבוע. עם זאת, לאחרונה המשתמש הזה הפך לפעיל כל יום בשעה 3:00. מפת החום עם הגרדיאנט מאפשרת לכם לאתר במהירות פעילות לא טיפוסית מהסוג הזה.

5 התראות למשתמשים

התראות אבטחה למשתמשים נרשמות על ידי Google SecOps ומוצגות כאן. אפשר ללחוץ על הקישורים שמשויכים להתראה כדי לבדוק אותה לעומק.

‫7 עמודות

אפשר להתאים אישית את העמודות שמוצגות בכרטיסייה ציר זמן.

‫6 ציר זמן ונכסים

הכרטיסיות ציר זמן ונכסים זמינות גם בתצוגה משתמש. בדומה לתצוגות אחרות ב-Google SecOps, בכרטיסייה Timeline מוצגים אירועים בסדר כרונולוגי, ובכרטיסייה Assets מוצגים הנכסים שמשויכים למשתמש בסדר אלפביתי או מספרי. הנכסים שמוצגים תואמים לפעילות של המשתמש הספציפי הזה בארגון שלכם, והם מוגבלים לתקופה שצוינה.

הנה הסבר על הכרטיסיות:

  • הכרטיסייה Timeline: בחירה של אירוע בכרטיסייה Timeline תגרום להדגשה של האירוע התואם במפת החום של הגרדיאנט בירוק. התראות מסומנות במשולש אדום ובטקסט אדום.

  • הכרטיסייה נכס: כשבוחרים נכס, הוא מודגש בירוק בכרטיסייה 'נכס', וגם כל הפעילות שקשורה לנכס הזה מודגשת בירוק במפת החום של הגרדיאנט. כדי לעבור לתצוגת הנכסים, לוחצים על הנכס הראשון או האחרון שאליו ניגשתם בכרטיסייה 'נכסים'.

‫8 סינון לפי נוהל

כדי לפתוח את התפריט סינון לפי מאפיינים, לוחצים על סמל הסינון לפי מאפיינים בתצוגה משתמש ומסננים את פרטי המשתמש לפי מגוון מאפיינים. לדוגמה, אפשר לסנן לפי המיקום העיקרי כדי לבדוק את המיקום הגיאוגרפי של ניסיונות הכניסה של המשתמש. יכול להיות שההתראה מציינת שמשתמש נכנס לחשבון ממיקומים חריגים.

סינון פרוצדורלי לפי המיקום העיקרי

סינון פרוצדורלי במיקום העיקרי

לתשומת ליבכם

לתצוגת המשתמש יש את המגבלות הבאות:

  • בתצוגה הזו אפשר לראות רק 80,000 אירועים.
  • אפשר לסנן רק אירועים שמוצגים בתצוגה הזו.
  • בתצוגה הזו מאוכלסים רק סוגי האירועים User,‏ Email ו-DNS. המידע על הפעם הראשונה והפעם האחרונה שבהן נצפה אירוע שמוצג בתצוגה הזו מוגבל גם הוא לסוגי האירועים האלה.
  • אירועים כלליים לא מופיעים באף אחת מהתצוגות שנאספו. הם מופיעים רק ביומן הגולמי ובחיפושים ב-UDM.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.