סקירה כללית על פלטפורמת SIEM

נתמך ב:

‫Google Security Operations SIEM הוא שירות ענן שפותח כשכבה ייעודית מעל תשתית הליבה של Google. בעזרת השירות הזה, ארגונים שומרים כמויות עצומות של נתוני מדידות שהם מייצרים לגבי שימוש ברשת ובאבטחה. בארגונים יכולים גם לנתח נתונים אלה ולבצע בהם חיפושים באופן פרטי. ‫Google Security Operations מנרמלת, מוסיפה לאינדקס, יוצרת מתאם ומנתחת את הנתונים כדי לספק ניתוח מיידי והקשר במקרה של פעילות מסוכנת.

‫Google Security Operations מאפשר לכם לבדוק את מידע האבטחה המצטבר של הארגון שלכם, החל מלפני חודשים או יותר. אפשר להשתמש ב-Google Security Operations כדי לחפש בכל הדומיינים שהגישה אליהם מתבצעת בארגון. אתם יכולים לצמצם את החיפוש לנכס, לדומיין או לכתובת IP ספציפיים כדי לבדוק אם הייתה פריצה.

סקירה כללית על פלטפורמת Google Security Operations

סקירה כללית על פלטפורמת Google Security Operations

איסוף נתונים

מערכת Google Security Operations יכולה לקלוט סוגים רבים של טלמטריית אבטחה במגוון שיטות, כולל:

  • מעביר: רכיב תוכנה קל משקל, שמוטמע ברשת של הלקוח, שתומך ב-syslog, בלכידת מנות ובמאגרי נתונים קיימים של ניהול יומנים או של ניהול אבטחת מידע ואירועים (SIEM).

  • כלי איסוף: רכיב תוכנה שמוטמע ברשת של הלקוח ותומך בהרבה מקורות נתונים שמופנים אל Google SecOps.

  • ממשקי API להזנת נתונים: ממשקי API שמאפשרים לשלוח יומנים ישירות לפלטפורמת Google Security Operations, וכך לא נדרשים רכיבי חומרה או תוכנה נוספים בסביבות של הלקוחות.

  • שילובים עם צד שלישי: שילוב עם ממשקי API בענן של צד שלישי כדי להקל על הטמעת יומנים, כולל מקורות כמו Office 365 ו-Azure AD.

ניתוח נתונים

יכולות הניתוח של Google Security Operations מסופקות לאנשי אבטחה כאפליקציה פשוטה שמבוססת על דפדפן. רבות מהיכולות האלה זמינות גם באופן פרוגרמטי באמצעות ממשקי Read API. כשמנתחים מזהים איום פוטנציאלי, Google Security Operations מאפשרת להם לקבוע מהו האיום, מה הוא עושה, אם הוא משמעותי ומהי הדרך הטובה ביותר להגיב לו.

אבטחה ותאימות

‫Google Security Operations היא שכבה פרטית וייעודית שנבנתה על תשתית הליבה של Google. לכן, היא יורשת את יכולות האחסון והעיבוד, וגם את תכנון האבטחה והיכולות של התשתית הזו.

כחלק מתכנון האבטחה שלה, Google SecOps מאחסנת פרטי כניסה של משתמשים (לדוגמה, פרטי כניסה שאתם מספקים כדי שפיד של Google SecOps יוכל להטמיע נתוני יומן מ-API של צד שלישי) ב-Secret Manager.

תכונות של Google Security Operations

  • סריקת יומן גולמי: חיפוש ביומנים גולמיים שלא עברו ניתוח.
  • ביטויים רגולריים: חיפוש ביומנים הגולמיים שלא עברו ניתוח באמצעות ביטויים רגולריים.

תצוגות חקירה

  • תצוגת נכסים: בדיקה של נכסים בארגון והאם הייתה אינטראקציה בינם לבין דומיינים חשודים.
  • תצוגת כתובת IP: תוכלו לבדוק כתובות IP ספציפיות בארגון שלכם ולראות את ההשפעה שלהן על הנכסים שלכם.
  • תצוגת גיבוב (hash): חיפוש קבצים ובדיקה שלהם על סמך ערך הגיבוב שלהם.
  • תצוגת דומיין: בדיקה של דומיינים ספציפיים בארגון וההשפעה שלהם על הנכסים.
  • תצוגת משתמש: חקירת משתמשים בארגון שאולי הושפעו מאירועי אבטחה.
  • סינון לפי נוהל: שיפור המידע על נכס, כולל לפי סוג אירוע, מקור יומן, סטטוס חיבור לרשת ודומיין ברמה עליונה (TLD).

מידע שנבחר במיוחד

  • בלוקים של תובנות לגבי נכסים: מציגים את הדומיינים וההתראות שכדאי לבדוק לעומק.
  • תרשים שכיחות: מציג את מספר הדומיינים שנכס התחבר אליהם במהלך תקופת זמן מסוימת.

מנוע הזיהוי

אתם יכולים להשתמש במנוע הזיהוי של Google Security Operations כדי לאוטומט את תהליך החיפוש בנתונים שלכם אחר בעיות אבטחה. אתם יכולים לציין כללים לחיפוש בכל הנתונים הנכנסים, ולקבל התראה כשמופיעים בארגון איומים פוטנציאליים וידועים.

VirusTotal

כדי לחקור עוד נכס, דומיין או כתובת IP, אפשר להפעיל את VirusTotal מ-Google Security Operations על ידי לחיצה על VT Context.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.