הצגת שאילתות UDM ושאילתות של טבלאות נתונים

נתמך ב:

המסמך הזה מיועד למנהלים ולמנתחים של מרכזי אבטחת מידע (SOC) שרוצים לעקוב אחרי איומים וסטטוס המערכת באמצעות מרכזי בקרה מותאמים אישית – מרכזי בקרה מוגדרים מראש שנועדו לספק תצוגה של תרחישי שימוש שונים באבטחה. במסמך הזה מפורטים לוחות בקרה שנבחרו בקפידה והשאילתות שמוגדרות מתחתיהם עבור סוג המקור UDM וטבלת נתונים.

אפשר להשתמש בשאילתות האלה בעורך השאילתות או כבסיס לווידג'טים מותאמים אישית. מידע על יצירה וניהול של מרכזי בקרה זמין במאמר ניהול מרכזי בקרה.

שם לוח הבקרה תיאור שם התרשים שאילתה
לוח הבקרה של HIPAA מעקב אחרי עמידה בדרישות HIPAA ומדדי אבטחה בזמן אמת. הפתרון מספק תובנות לגבי הגישה ל-PHI וסיכונים פוטנציאליים, כדי להבטיח את הסודיות והשלמות של הנתונים.
הערה: צריך ליצור את טבלת הנתונים ePHI_assets.Hostname לפני שהתרשימים מתמלאים.		 נקודות חולשה לפי רמת חומרה 
metadata.log_type = /ARMIS_VULNERABILITIES|FINGERPRINT_JS|NUCLEUS_VULNERABILITY|QUALYS_ASSET_CONTEXT|QUALYS_SCAN|QUALYS_VIRTUAL_SCANNER|QUALYS_VM|RAPID7_INSIGHT|RAPID7_NEXPOSE|SNYK_SDLC|SPUR_FEEDS|STACKHAWK|SUBLIMESECURITY|SYMANTEC_SA|TENABLE_IO|TENABLE_OT|TENABLE_SC|TRENDMICRO_VISION_ONE_CONTAINER_VULNERABILITIES|UPGUARD|URLSCAN_IO/ nocase
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Severity =
    if (principal.asset.vulnerabilities.severity != "UNKNOWN_SEVERITY",
        principal.asset.vulnerabilities.severity,
    if (target.asset.vulnerabilities.severity != "UNKNOWN_SEVERITY",
        target.asset.vulnerabilities.severity,
    if (extensions.vulns.vulnerabilities.severity != "UNKNOWN_SEVERITY",
        extensions.vulns.vulnerabilities.severity,
    "UNKNOWN_SEVERITY")))

match:
    $Severity

outcome:
    $Count = count(strings.coalesce(extensions.vulns.vulnerabilities.name, extensions.vulns.vulnerabilities.description, extensions.vulns.vulnerabilities.vendor_vulnerability_id,
                                          principal.asset.vulnerabilities.name, target.asset.vulnerabilities.name, additional.fields["ScanReference"]))

order:
    $Severity desc
לוח הבקרה של HIPAA מעקב אחרי עמידה בדרישות HIPAA ומדדי אבטחה בזמן אמת. הפתרון מספק תובנות לגבי הגישה ל-PHI וסיכונים פוטנציאליים, כדי להבטיח את הסודיות והשלמות של הנתונים.
הערה: צריך ליצור את טבלת הנתונים ePHI_assets.Hostname לפני שהתרשימים מתמלאים.		 שינויים בהרשאות לאורך זמן לפי סוג היומן 
metadata.event_type = "RESOURCE_PERMISSIONS_CHANGE"
or metadata.event_type = "USER_CHANGE_PERMISSIONS"
or metadata.event_type = "USER_RESOURCE_UPDATE_PERMISSIONS"
security_result.action = "ALLOW"
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Log_Type = metadata.log_type
$Date = timestamp.get_date(metadata.event_timestamp.seconds)

match:
    $Date, $Log_Type

outcome:
    $Count = count(metadata.id)

order:
    $Date asc
לוח הבקרה של HIPAA מעקב אחרי עמידה בדרישות HIPAA ומדדי אבטחה בזמן אמת. הפתרון מספק תובנות לגבי הגישה ל-PHI וסיכונים פוטנציאליים, כדי להבטיח את הסודיות והשלמות של הנתונים.
הערה: צריך ליצור את טבלת הנתונים ePHI_assets.Hostname לפני שהתרשימים מתמלאים.		 אירועי MFA לאורך זמן לפי פעולה 
(re.regex(metadata.product_name, "MULTI-FACTOR_AUTHENTICATION") or re.regex(additional.fields["AuthenticationRequirement"], `multiFactorAuthentication`) nocase or re.regex(security_result.detection_fields.value, `MFA`) nocase )
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname,target.asset.hostname) in %ePHI_assets.Hostname

$Action = security_result.action
$Date = timestamp.get_date(metadata.event_timestamp.seconds)

match:
    $Date, $Action

outcome:
    $Count = count(metadata.id)

order:
    $Date asc
לוח הבקרה של HIPAA מעקב אחרי עמידה בדרישות HIPAA ומדדי אבטחה בזמן אמת. הפתרון מספק תובנות לגבי הגישה ל-PHI וסיכונים פוטנציאליים, כדי להבטיח את הסודיות והשלמות של הנתונים.
הערה: צריך ליצור את טבלת הנתונים ePHI_assets.Hostname לפני שהתרשימים מתמלאים.		 אירועי התחברות לאורך זמן לפי פעולה 
metadata.event_type = "USER_LOGIN"
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Action = security_result.action
$Date = timestamp.get_date(metadata.event_timestamp.seconds)

match:
    $Date, $Action

outcome:
    $Count = count(metadata.id)

order:
    $Date asc
לוח הבקרה של HIPAA מעקב אחרי עמידה בדרישות HIPAA ומדדי אבטחה בזמן אמת. הפתרון מספק תובנות לגבי הגישה ל-PHI וסיכונים פוטנציאליים, כדי להבטיח את הסודיות והשלמות של הנתונים.
הערה: צריך ליצור את טבלת הנתונים ePHI_assets.Hostname לפני שהתרשימים מתמלאים.		 ‫10 המארחים המובילים של ePHI לפי הפרות DLP 
metadata.log_type = /DLP|ACCELLION|CODE42_INCYDR|GUARDIUM|TRIPWIRE_FIM/ nocase
metadata.product_event_type = /Violation/ nocase
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Severity = security_result.severity
$Hostname= strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname)

match:
    $Hostname, $Severity

outcome:
    $Count = count(metadata.id)

order:
    $Count desc

limit:
    10
לוח הבקרה של HIPAA מעקב אחרי עמידה בדרישות HIPAA ומדדי אבטחה בזמן אמת. הפתרון מספק תובנות לגבי הגישה ל-PHI וסיכונים פוטנציאליים, כדי להבטיח את הסודיות והשלמות של הנתונים.
הערה: צריך ליצור את טבלת הנתונים ePHI_assets.Hostname לפני שהתרשימים מתמלאים.		 התרעות EDR לאורך זמן לפי חומרה 
metadata.log_type = /EDR|CS_ALERTS|CS_DETECTS|FIREEYE_HX|MICROSOFT_DEFENDER_ENDPOINT|MICROSOFT_DEFENDER_IDENTITY|SENTINEL_DV/ nocase
strings.coalesce(security_result.rule_name, security_result.threat_name) != ""
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Severity = security_result.severity
$Date = timestamp.get_date(metadata.event_timestamp.seconds)

match:
    $Date, $Severity

outcome:
    $Count = count(metadata.id)

order:
    $Date asc
לוח הבקרה של HIPAA מעקב אחרי עמידה בדרישות HIPAA ומדדי אבטחה בזמן אמת. הפתרון מספק תובנות לגבי הגישה ל-PHI וסיכונים פוטנציאליים, כדי להבטיח את הסודיות והשלמות של הנתונים.
הערה: צריך ליצור את טבלת הנתונים ePHI_assets.Hostname לפני שהתרשימים מתמלאים.		 אירועי גיבוי לאורך זמן לפי פעולה 
(metadata.log_type = /COHESITY|DRUVA_BACKUP|VEEAM|VERITAS_NETBACKUP/ nocase or metadata.log_type = "RUBRIK")
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Date = timestamp.get_date(metadata.event_timestamp.seconds)
$Action = security_result.action

match:
    $Date, $Action

outcome:
    $Count = count(metadata.id)

order:
    $Date asc
לוח הבקרה של HIPAA מעקב אחרי עמידה בדרישות HIPAA ומדדי אבטחה בזמן אמת. הפתרון מספק תובנות לגבי הגישה ל-PHI וסיכונים פוטנציאליים, כדי להבטיח את הסודיות והשלמות של הנתונים.
הערה: צריך ליצור את טבלת הנתונים ePHI_assets.Hostname לפני שהתרשימים מתמלאים.		 שינויים בסיסמאות לאורך זמן לפי פעולה 
metadata.event_type = "USER_CHANGE_PASSWORD"
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Log_Type = metadata.log_type
$Action = security_result.action
$Date = timestamp.get_date(metadata.event_timestamp.seconds)

match :
    $Date, $Action

outcome :
    $Count = count(metadata.id)

order:
    $Date asc
לוח הבקרה של HIPAA מעקב אחרי עמידה בדרישות HIPAA ומדדי אבטחה בזמן אמת. הפתרון מספק תובנות לגבי הגישה ל-PHI וסיכונים פוטנציאליים, כדי להבטיח את הסודיות והשלמות של הנתונים.
הערה: צריך ליצור את טבלת הנתונים ePHI_assets.Hostname לפני שהתרשימים מתמלאים.		 אירועי גיבוי מהזמן האחרון (24 השעות האחרונות) 
(metadata.log_type = /COHESITY|DRUVA_BACKUP|VEEAM|VERITAS_NETBACKUP/ nocase or metadata.log_type = "RUBRIK")
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Description = strings.coalesce(metadata.description, security_result.description, security_result.summary)
$Log_Type = metadata.log_type
$Event_Type = metadata.event_type
$Security_Event_Type = metadata.product_event_type
$Action = security_result.action

match:
    $Description, $Security_Event_Type, $Event_Type, $Action, $Log_Type

outcome:
    $Count = count(metadata.id)
    $Date = timestamp.get_timestamp(max(metadata.event_timestamp.seconds), "%F %T ")

order:
    $Date desc
לוח הבקרה של HIPAA מעקב אחרי עמידה בדרישות HIPAA ומדדי אבטחה בזמן אמת. הפתרון מספק תובנות לגבי הגישה ל-PHI וסיכונים פוטנציאליים, כדי להבטיח את הסודיות והשלמות של הנתונים.
הערה: צריך ליצור את טבלת הנתונים ePHI_assets.Hostname לפני שהתרשימים מתמלאים.		 התראות EDR אחרונות (24 השעות האחרונות) 
metadata.log_type = /EDR|CS_ALERTS|CS_DETECTS|FIREEYE_HX|MICROSOFT_DEFENDER_ENDPOINT|MICROSOFT_DEFENDER_IDENTITY|SENTINEL_DV/ nocase
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Log_Type = metadata.log_type
$EDR_Alerts = strings.coalesce(security_result.rule_name, security_result.threat_name)
$EDR_Alerts != ""
$Severity = security_result.severity
$User = strings.coalesce(principal.user.user_display_name, principal.user.email_addresses, principal.user.userid, target.user.userid, target.user.user_display_name, target.user.email_addresses)
$Hostname = strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname)

match:
    $EDR_Alerts, $Hostname, $User, $Severity, $Log_Type

outcome:
    $Count = count(metadata.id)
    $Date = timestamp.get_timestamp(max(metadata.event_timestamp.seconds), "%F %T")

order:
    $Date desc
לוח הבקרה של HIPAA מעקב אחרי עמידה בדרישות HIPAA ומדדי אבטחה בזמן אמת. הפתרון מספק תובנות לגבי הגישה ל-PHI וסיכונים פוטנציאליים, כדי להבטיח את הסודיות והשלמות של הנתונים.
הערה: צריך ליצור את טבלת הנתונים ePHI_assets.Hostname לפני שהתרשימים מתמלאים.		 יצירות חשבונות משתמשים מהזמן האחרון (במהלך 24 השעות האחרונות) 
metadata.event_type = "USER_CREATION"
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Log_Type = metadata.log_type
$Source_IP = strings.coalesce(principal.ip, principal.asset.ip)
$Source_Hostname = strings.coalesce(principal.hostname, principal.asset.hostname)
$Initiator = strings.coalesce(principal.user.userid, principal.user.user_display_name, principal.user.email_addresses)
$User_Created = strings.coalesce(target.user.userid, target.user.user_display_name, target.user.email_addresses)
$Action = security_result.action

match:
    $Initiator, $User_Created, $Source_Hostname, $Source_IP, $Action, $Log_Type

outcome:
    $Count = count(metadata.id)
    $Date = timestamp.get_timestamp(max(metadata.event_timestamp.seconds), "%F %T ")

order:
    $Date desc
לוח הבקרה של HIPAA מעקב אחרי עמידה בדרישות HIPAA ומדדי אבטחה בזמן אמת. הפתרון מספק תובנות לגבי הגישה ל-PHI וסיכונים פוטנציאליים, כדי להבטיח את הסודיות והשלמות של הנתונים.
הערה: צריך ליצור את טבלת הנתונים ePHI_assets.Hostname לפני שהתרשימים מתמלאים.		 תקשורת מוצפנת חלשה לאורך זמן לפי סוג היומן 
(((target.resource.attribute.labels.key  = "keyProperties_type" or target.resource.attribute.labels.key  = "requestParameters.keySpec" or target.resource.attribute.labels.key = /key/ nocase) and target.resource.attribute.labels.value  = /^(RSA-)|DES|RC4|MD5|SHA1|SHA-1/) or network.tls.cipher = /^(RSA-)|DES|RC4|MD5|SHA1|SHA-1/)
strings.coalesce(principal.hostname, principal.asset.hostname,  target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Date = timestamp.get_date(metadata.event_timestamp.seconds)
$Log_Type = metadata.log_type

match:
    $Date, $Log_Type

outcome:
    $Count = count(metadata.id)

order:
    $Date asc
לוח הבקרה של HIPAA מעקב אחרי עמידה בדרישות HIPAA ומדדי אבטחה בזמן אמת. הפתרון מספק תובנות לגבי הגישה ל-PHI וסיכונים פוטנציאליים, כדי להבטיח את הסודיות והשלמות של הנתונים.
הערה: צריך ליצור את טבלת הנתונים ePHI_assets.Hostname לפני שהתרשימים מתמלאים.		 שינוי סיסמה של משתמשים לאחרונה (ב-24 השעות האחרונות) 
metadata.event_type = "USER_CHANGE_PASSWORD"
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Log_Type = metadata.log_type
$Security_Event_Type = metadata.product_event_type
$User = strings.coalesce(principal.user.userid, principal.user.user_display_name, principal.user.email_addresses, target.user.userid, target.user.user_display_name, target.user.email_addresses)
$Source_Hostname = strings.coalesce(principal.hostname, principal.asset.hostname)
$Source_IP = strings.coalesce(principal.ip, principal.asset.ip)
$Action = security_result.action

match :
    $User, $Source_Hostname, $Source_IP, $Security_Event_Type, $Action, $Log_Type

outcome :
    $Date = timestamp.get_timestamp(max(metadata.event_timestamp.seconds ), "%F %T")
    $Count = count(metadata.id)

order :
    $Date desc
לוח הבקרה של HIPAA מעקב אחרי עמידה בדרישות HIPAA ומדדי אבטחה בזמן אמת. הפתרון מספק תובנות לגבי הגישה ל-PHI וסיכונים פוטנציאליים, כדי להבטיח את הסודיות והשלמות של הנתונים.
הערה: צריך ליצור את טבלת הנתונים ePHI_assets.Hostname לפני שהתרשימים מתמלאים.		 ‫10 אפליקציות ה-SaaS המובילות 
strings.coalesce(security_result.category_details, security_result.rule_name) = /saas/ nocase
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Application = target.application
$Log_Type = metadata.log_type

match:
   $Application, $Log_Type

outcome:
    $Count = count(metadata.id)

order:
    $Count desc

limit:
    10
לוח הבקרה של HIPAA מעקב אחרי עמידה בדרישות HIPAA ומדדי אבטחה בזמן אמת. הפתרון מספק תובנות לגבי הגישה ל-PHI וסיכונים פוטנציאליים, כדי להבטיח את הסודיות והשלמות של הנתונים.
הערה: צריך ליצור את טבלת הנתונים ePHI_assets.Hostname לפני שהתרשימים מתמלאים.		 ‫10 הפעולות העיקריות 
(metadata.log_type  = /AZURE_KEYVAULT_AUDIT|AKEYLESS_VAULT|GCP_CLOUDAUDIT/ or target.application = "kms.amazonaws.com")
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Security_Event_Type = metadata.product_event_type
$Log_Type = strings.coalesce(metadata.log_type, target.application)

match:
    $Security_Event_Type, $Log_Type

outcome:
    $Count = count(metadata.id)

order:
    $Count desc

limit:
    10

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.