ניהול והגדרה של מרכזי בקרה

נתמך ב:

Google SecOps SIEM

המסמך הזה מיועד לאנליסטים ולאדמינים בתחום האבטחה שרוצים לנהל את סביבת העבודה של הוויזואליזציה ב-Google SecOps. במאמר הזה נסביר איך לצפות בלוחות בקרה, ליצור ולערוך אותם ולשתף אותם כדי לעקוב אחרי מדדי אבטחה. השיטה הזו מאפשרת לכם לשמור על סביבת דיווח מסודרת ולשתף פעולה בין צוותי האבטחה. השלמת התהליך מאפשרת גישה יעילה לנתונים קריטיים ושיתוף מאובטח של תרשימים ויזואליים של אבטחה פנימית.

במאמר הזה מוסבר איך לנהל לוחות בקרה. בדף 'לוחות בקרה' מוצגת רשימה של לוחות בקרה נבחרים ולוחות בקרה בהתאמה אישית. כשנכנסים אליו בפעם הראשונה, אפשר לראות רק את לוחות הבקרה שנבחרו.

תרחישים נפוצים לדוגמה

התרחישים האלה יעזרו לכם להבין איך ניהול לוחות הבקרה תומך בתהליכי העבודה התפעוליים ומשפר את שיתוף הפעולה בצוות.

ריכוז של ניטור לצורכי אבטחה

• המטרה: לארגן כמה מרכזי בקרה בתצוגה אחת עם מסננים.
• ערך: שיפור היעילות של תהליך המיון על ידי הצגת לוחות הבקרה הרלוונטיים ביותר באמצעות הצמדה וחיפוש.

עבודה משותפת על המחשות בהתאמה אישית

• מטרה: שיתוף לוחות בקרה פרטיים עם צוות SOC רחב יותר או ייצוא שלהם למופעים אחרים.
• ערך: מאפשר ליצור דוחות סטנדרטיים בכל הארגון ומונע יצירה של לוחות בקרה מיותרים.

ייצוא נתונים ממרכז שליטה

• המטרה: חילוץ נתונים מלוח הבקרה לפורמטים ניידים לצורך ניתוח אופליין.
• ערך: שיפור שיתוף הפעולה והיעילות בין עמיתים ולקוחות.

מונחים חשובים

• לוח בקרה שנבחר בקפידה: תצוגה חזותית מובנית ומוגדרת מראש שסופקה על ידי Google SecOps.
• לוח בקרה בהתאמה אישית: תצוגה חזותית שנוצרה על ידי משתמש, שיכולה להיות ריקה, כפולה או JSON מיובא.
• גישה משותפת: הגדרה שמאפשרת לכל המשתמשים במופע Google SecOps לראות את לוח הבקרה.
• גישה פרטית: הגדרה שמגבילה את הגישה ללוח הבקרה רק לבעלים.

לפני שמתחילים

לפני שמנסים לבצע את המשימות האלה, חשוב לוודא שיש לכם את הרשאות ה-IAM הבאות:

• צפייה במרכזי בקרה: chronicle.nativeDashboards.list
• יצירת לוחות בקרה: chronicle.nativeDashboards.create
• עריכה או שיתוף של מרכזי בקרה: chronicle.nativeDashboards.update
• מחיקת מרכזי בקרה: chronicle.nativeDashboards.delete
• ייצוא/הורדה: chronicle.nativeDashboards.get
• שכפול מרכזי בקרה: chronicle.nativeDashboards.duplicate

מידע נוסף על תפקידים והרשאות זמין במאמר בדיקה של מרכזי בקרה מותאמים אישית וזיהוי איומים.

ארגון רשימת לוחות הבקרה

בדף לוחות בקרה מוצגים לוחות בקרה שנאספו ולוחות בקרה בהתאמה אישית. כדי להתאים אישית את האופן שבו אתם רואים את נתוני האבטחה וניגשים אליהם, אתם יכולים להשתמש בפעולות הבאות בממשק:

• מיון: לוחצים על כותרת של עמודה כדי למיין בסדר עולה או יורד.
• חיפוש: מזינים ערך (כמו מזהה בעלים) בשדה החיפוש כדי למצוא לוחות בקרה ספציפיים.
• הצמדה: לוחצים על הצמדה כדי להעביר לוח בקרה לראש הרשימה.
• רענון: לוחצים על רענון כדי לעדכן את הרשימה עם הנתונים העדכניים.

סינון רשימת מרכזי הבקרה

הערה: כדי לסנן את רשימת לוחות הבקרה, צריכה להיות לכם הרשאת IAM‏ chronicle.nativeDashboards.list.

כדי למצוא מדדים או בעלים ספציפיים על ידי החלת מסננים לוגיים על הרשימה, מצמצמים את התצוגה באופן הבא:

1. לוחצים על סינון.
2. בוחרים אופרטור לוגי ובוחרים עמודה.
3. בוחרים ערך ברשימה הצגה רק של ואז בוחרים את הערכים המתאימים.
4. אופציונלי: לוחצים על הוספת מסנן כדי להוסיף כמה מסננים.
5. לוחצים על החלה כדי להחיל את המסננים שנבחרו ולסנן את רשימת מרכזי הבקרה.
   • כשל צפוי: הרשימה לא מתעדכנת או שמוצגת שגיאה.
   • שלב לתיקון: מוודאים שיש לכם הרשאה מסוג chronicle.nativeDashboards.list.

מחיקת המסננים

כדי לחזור לרשימה המלאה של לוחות הבקרה הזמינים או כדי להחיל קריטריונים חדשים, צריך להסיר את המסננים הפעילים באופן הבא:

1. לוחצים על סינון.
2. לוחצים על מחיקה ליד המסנן הספציפי שרוצים להסיר.
3. לוחצים על החלה כדי להסיר את המסנן ולעדכן את רשימת מרכזי הבקרה על סמך המסננים שנבחרו.
   • כשל צפוי: רשימת לוחות הבקרה נשארת מסוננת אחרי שלוחצים על מחיקה.
   • פעולת תיקון: אחרי שמסירים את המסנן, לוחצים על החלה כדי לרענן את הרשימה.

צפייה בלוח בקרה

כדי לגשת להדמיה המלאה של נתוני הטלמטריה שהועברו ולנתח את הנתונים:

1. עוברים לדף מרכזי בקרה.
2. לוחצים על השם של מרכז הבקרה כדי לפתוח את התצוגה.
   • כשל צפוי: אי אפשר ללחוץ על שם לוח הבקרה או שמוצגת שגיאת הרשאה.
   • פעולת תיקון: מוודאים שיש לכם הרשאת IAM‏ chronicle.nativeDashboards.get.

יצירת מרכז בקרה חדש

אפשר ליצור לוח בקרה על ידי התחלה מלוח ריק, העתקה של לוח בקרה מובנה קיים או ייבוא של קובץ JSON.

יצירה מתבנית ריקה

כדי ליצור תצוגה מיוחדת לדרישות מעקב ייחודיות, פועלים לפי השלבים הבאים:

1. בדף מרכזי בקרה, לוחצים על יצירת מרכז בקרה.
2. בחלון Create Dashboard (יצירת מרכז בקרה), מזינים שם ותיאור.
3. ברשימה Start with Existing Dashboard (התחלה עם מרכז בקרה קיים), בוחרים באפשרות Blank Dashboard (מרכז בקרה ריק).
4. בקטע הגדרות גישה, מגדירים את הגישה לפרטית או למשותפת.
   • פרטי: גלוי רק לכם. הם נשארים מוסתרים מכל שאר המשתמשים, כולל Google SecOps ו Google Cloud מנהלי פרויקטים.
   • משותף: נגיש לכל המשתמשים במופע Google SecOps שלכם.
5. לוחצים על יצירה. כדי להתחיל להוסיף נתונים, אפשר להוסיף תרשים ללוח הבקרה או להוסיף תרשים מהספרייה.

העתקה של מרכז שליטה קיים

כדי לחסוך זמן, אתם יכולים להעתיק מרכז בקרה מוגדר מראש או מרכז בקרה משותף קיים כנקודת התחלה.

הערה: כדי להעתיק את לוח הבקרה, צריך לקבל את הרשאת IAM‏ chronicle.nativeDashboards.duplicate.

כדי ליצור עותק של מרכז בקרה קיים:

1. בדף לוחות בקרה, לוחצים על תפריט לצד שם לוח הבקרה.
2. לוחצים על שכפול.
   • הכשל הצפוי: האפשרות שכפול לא מופיעה בתפריט.
   • פעולת תיקון: צריך לוודא שיש לכם הרשאה מסוג chronicle.nativeDashboards.duplicate.

עריכה של מרכז בקרה קיים

שליטה במטא נתונים ובהגדרות סינון של ויזואליזציות. אחרי היצירה, הדף עריכת לוח הבקרה נפתח באופן אוטומטי.

1. בדף Dashboards (לוחות בקרה), לוחצים על Menu (תפריט) ואז על Edit Dashboard (עריכת לוח בקרה).
2. לוחצים על עריכת הפרטים כדי לעדכן את השם, התיאור או הגדרות הגישה של מרכז הבקרה.
3. לוחצים על Save.
4. לוחצים על Filter כדי לערוך מסננים ברמת מרכז הבקרה. מידע נוסף זמין במאמר בנושא מסננים בלוח הבקרה.
5. במסך ניהול מסננים, לוחצים על עריכה כדי לשנות תרשים ספציפי.
   • כשל צפוי: סמלי העריכה לא מגיבים. פעולת תיקון: מוודאים שיש לכם הרשאת IAM‏ chronicle.nativeDashboards.update.

שינוי הגישה למרכז הבקרה

כברירת מחדל, מרכזי בקרה חדשים הם פרטיים. מרכזי שליטה משותפים גלויים לכל חברי הצוות שיכולים לראות מרכזי שליטה ב-Google SecOps. רק הבעלים של לוח הבקרה יכול לשנות את ההגדרה הזו.

1. בוחרים את מרכז הבקרה שרוצים לשתף.
2. לוחצים על תפריט לצד השם של מרכז הבקרה.
3. לוחצים על שיתוף > שמירה.
   • כשל צפוי: האפשרות שיתוף מושבתת.
   • פעולת תיקון: מוודאים שאתם הבעלים המקוריים של לוח הבקרה ושיש לכם הרשאת chronicle.nativeDashboards.update.

מחיקת מרכז בקרה

הערה: כדי למחוק את לוח הבקרה, צריכה להיות לכם הרשאת IAM‏ chronicle.nativeDashboards.delete.

כדי למחוק מרכז בקרה:

1. בדף לוחות בקרה, לוחצים על תפריט לצד שם לוח הבקרה.
2. לוחצים על Delete.
3. לוחצים על אישור.
   • כשל צפוי: אי אפשר למחוק מרכז בקרה משותף שנוצר על ידי משתמש אחר.
   • פעולה לתיקון: צריך לפנות לבעלים או לאדמין עם הרשאות chronicle.nativeDashboards.delete.

ייבוא או ייצוא של מרכז בקרה

אפשר להשתמש במפרטי JSON כדי להעביר הגדרות של לוחות בקרה בין מופעים או כדי לגבות פריסות מורכבות.

ייצוא אל JSON

מורידים את הגדרות לוח הבקרה, כולל פריסה והגדרות סינון, לקובץ מקומי.

1. בדף לוחות בקרה, לוחצים על תפריט לצד שם לוח הבקרה.
2. לוחצים על ייצוא. הקובץ יורד למחשב.
   • הערה: אל תשנו את קובץ ה-JSON המיוצא באופן ידני. שינוי הקוד מונע ייבוא מחדש.

ייבוא מקובץ JSON

אפשר ליצור לוח בקרה באופן מיידי על ידי העלאה של קובץ הגדרות JSON תקין.

1. בדף Dashboards, לוחצים על Create Dashboard > Import from JSON.
2. מאתרים את קובץ ה-JSON ובוחרים אותו. הערה: אי אפשר לייבא לוחות בקרה שנוצרו באמצעות היכולות של Looker.
3. לוחצים על עריכה כדי לעדכן את השם, התיאור והגדרות הגישה.
4. לוחצים על שמירה > ייבוא.

הורדת דוחות

הערה: הלחצן הורדת הדוח מושבת בהתחלה ומופעל אחרי שכל התרשימים מסיימים להיטען.

אחרי שכל התרשימים נטענים, אפשר לחלץ את נתוני לוח הבקרה לפורמטים ניידים כדי לנתח אותם אופליין. ההנחיות הבאות יעזרו לכם לבחור את הפורמט המתאים לצרכים שלכם:

• ‫PDF ו-PNG: בפורמטים האלה נשמרים רק הנתונים שמופיעים במסך. הם לא כוללים את מערך הנתונים המלא של התרשים אם הנתונים חורגים מהאזור שניתן לצפייה.

• ‫CSV (ברמת לוח הבקרה): האפשרות הזו יוצרת קובץ ZIP שמכיל קובץ CSV נפרד לכל תרשים בלוח הבקרה.

• CSV (רמת התרשים): אפשר להוריד דוח של תרשים ספציפי כקובץ CSV בנפרד כדי לכלול את מערך הנתונים המלא שלו.

הורדת דוח של מרכז בקרה

1. בדף לוחות בקרה, לוחצים על תפריט לצד שם לוח הבקרה או התרשים.
2. לוחצים על הורדת הדוח.
3. בוחרים את סוג הקובץ: CSV,‏ PDF או PNG.

פתרון בעיות

פתרון בעיות נפוצות בממשק, שגיאות הרשאה או עיכובים בטעינת הנתונים.

תיקון שגיאות

בעזרת הטבלה הזו תוכלו לזהות ולפתור בעיות נפוצות שנתקלים בהן במהלך ניהול לוחות בקרה.

שגיאה	שגיאה	תיקון
ההורדה מושבתת	הכפתור הורדת הדוח נשאר מושבת.	מחכים עד שהטעינה של כל התרשימים תסתיים. הלחצן מופעל רק אחרי שכל מערך הנתונים מוצג.
הייבוא נכשל	ההעלאה של קובץ ה-JSON נכשלת או שמוצגת שגיאת סכימה.	מוודאים שהקובץ לא נערך. אין תמיכה בלוחות בקרה עם יכולות ספציפיות ל-Looker.
לוח הבקרה חסר	לוח בקרה ששותף על ידי חבר צוות לא מוצג.	בודקים את המסננים של רשימת מרכזי הבקרה. מוודאים שהתצוגה 'משותף' פעילה ומנקים את קריטריוני החיפוש.
אין תוצאות כשמסננים לוחות בקרה	אי אפשר לסנן מרכזי בקרה באמצעות שדות שמובנים כצמדים של מפתח וערך במרכזי בקרה מובנים.	כדי לסנן לפי צמדי מפתח/ערך, צריך להחיל שני מסננים: 1. מסננים את השדה .key (לדוגמה, detection.detection.rule_labels.key) לפי שם המפתח הספציפי. 2. מסננים את השדה .value (לדוגמה, detection.detection.rule_labels.value) עם הערך הנדרש.

אימות ובדיקה

כדי לוודא שמרכז הבקרה מוגדר בצורה נכונה ושהקהל הרצוי יכול לגשת אליו:

1. פותחים את מרכז הבקרה החדש שנוצר או יובא כדי לוודא שכל התרשימים נטענים.
2. כדי לוודא שהסרטון גלוי (פרטי או משותף), בודקים את הגדרות הגישה בתפריט עריכת הפרטים.
3. כדי לוודא שהקובץ שמתקבל מכיל את מערכי הנתונים הצפויים, כדאי לבדוק את התכונה הורדת דוח.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.