בדיקת בעיות אבטחה אפשריות

נתמך ב:

במסמך הזה מוסבר איך לבצע חיפושים כשחוקרים התראות ובעיות אבטחה פוטנציאליות באמצעות Google Security Operations.

לפני שמתחילים

אפשר להשתמש ב-Google Security Operations בדפדפנים Google Chrome ו-Mozilla Firefox. כדי ליהנות מביצועים ואבטחה אופטימליים, כדאי לשדרג את הדפדפן לגרסה העדכנית ביותר. הגרסה העדכנית של Chrome זמינה להורדה בכתובת https://www.google.com/chrome/. אין תמיכה במערכות הפעלה לנייד (iOS/Android) ובדפדפנים לנייד.

אימות וגישה

‫Google SecOps משתלב עם פתרונות SSO. כדי לגשת לפלטפורמת Google SecOps, צריך פרטי כניסה ארגוניים תקינים.

  1. מפעילים את Chrome או Firefox.

  2. מוודאים שיש לכם גישה פעילה לחשבון הארגוני.

  3. כדי לגשת לאפליקציית Google SecOps, עוברים לכתובת ה-URL הבאה ומחליפים את customer_subdomain במזהה הספציפי ללקוח:

    https://customer_subdomain.backstory.chronicle.security

צפייה בהתראות ובהתאמות של IOC

  1. בסרגל הניווט, בוחרים באפשרות Detections > Alerts and IOCs (זיהויים > התראות ו-IOC).

  2. לוחצים על הכרטיסייה התאמות של IOC.

חיפוש התאמות של IOC בתצוגת דומיין

העמודה Domain בכרטיסייה IOC Domain Matches מכילה רשימה של דומיינים חשודים. לחיצה על דומיין בעמודה הזו פותחת את התצוגה דומיין, כמו שמוצג באיור הבא, עם מידע מפורט על הדומיין הזה.

תצוגת דומיין תצוגת דומיין

שימוש בשדה החיפוש של Google Security Operations

אפשר להתחיל חיפוש ישירות מדף הבית של Google Security Operations, כמו שמוצג באיור הבא.

שדה חיפוש שדה החיפוש ב-Google Security Operations

בדף הזה אתם יכולים להזין את מונחי החיפוש הבאים:

  • שם המארח מוצג בתצוגת דומיין
 (לדוגמה, plato.example.com)
  • הדומיין מוצג בתצוגת דומיין
 (לדוגמה, altostrat.com)
  • כתובת IP מציגה את התצוגה כתובת IP
 (לדוגמה, 192.168.254.15)
  • כתובת ה-URL מציגה את התצוגה דומיין
 (לדוגמה, https://new.altostrat.com)
  • שם המשתמש מוצג בתצוגת הנכסים
 (לדוגמה, betty-decaro-pc)
  • הגיבוב של הקובץ מוצג בתצוגה Hash
 (לדוגמה, e0d123e5f316bef78bfdf5a888837577)

לא צריך לציין את סוג מונח החיפוש שמזינים, Google Security Operations קובע אותו בשבילכם. התוצאות מוצגות בתצוגת החקירה המתאימה. לדוגמה, אם מקלידים שם משתמש בשדה החיפוש, מוצגת התצוגה נכס.

חיפוש ביומנים גולמיים

יש לכם אפשרות לחפש במסד הנתונים המאונדקס או לחפש ביומנים לא מעובדים. חיפוש ביומנים גולמיים הוא חיפוש מקיף יותר, אבל הוא נמשך יותר זמן מחיפוש באינדקס.

כדי לדייק את החיפוש, אפשר להשתמש בביטויים רגולריים, להגדיר את החיפוש כתלוי אותיות רישיות או לבחור מקורות יומן. אפשר גם לבחור את ציר הזמן הרצוי באמצעות השדות Start ו-End.

כדי לבצע חיפוש ביומן גולמי:

  1. מקלידים את מונח החיפוש ובוחרים באפשרות Raw Log Scan בתפריט הנפתח, כמו שמוצג באיור הבא.

    תפריט סריקת יומן גולמי תפריט נפתח עם האפשרות Raw Log Scan (סריקת יומן גולמי)

  2. אחרי שמגדירים את הקריטריונים לחיפוש, לוחצים על הלחצן חיפוש.

  3. בתצוגה סריקת יומן גולמי, אתם יכולים לנתח את נתוני היומן לעומק.