סקירה כללית על Content Hub

נתמך ב:

הרשאות ל-Content Hub

אם לא העברתם את מכונות ה-SOAR שלכם אל Google Cloud, ודאו שההרשאות Marketplace ו-Response Integrations מוגדרות בדף Settings > ניהול הרשאות גישה > Permissions (מפתחות API).

לכל שאר הלקוחות, כדי לגשת למודולים ב-Content Hub, צריך להגדיר את ההרשאות הבאות במודול IAM.

שם ההרשאה ב-IAM השם המוצג תפקיד ב-IAM
chronicle.googleapis.com/featuredContentSearchQueries.get קבלת תוכן של שאילתת חיפוש chronicle.reader
chronicle.googleapis.com/featuredContentSearchQueries.list הצגת רשימה של תוכן שאילתת החיפוש chronicle.reader
chronicle.googleapis.com/featuredContentSearchQueries.install התקנת תוכן של שאילתת חיפוש chronicle.writer
chronicle.googleapis.com/featuredContentRules.list הצגת כללי התוכן המומלץ chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.get קבלת תוכן ממרכז הבקרה chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.list הצגת רשימה של תכנים במרכז הבקרה chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.install תוכן של מרכז הבקרה להתקנות chronicle.writer
chronicle.googleapis.com/feedPacks.get איך מקבלים חבילות פידים chronicle.reader
chronicle.googleapis.com/feedPacks.list רשימת חבילות הפידים chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.get הורדת המדריך לתוכן מומלץ chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.list מדריך להצגת תוכן מומלץ chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.install התקנת פלייבוק של תוכן מומלץ chronicle.writer

סקירה כללית

מרכז התוכן הוא פלטפורמה מרכזית שבה אפשר למצוא, לפרוס ולנהל תוכן ב-Google SecOps.

במרכז התוכן אפשר לבצע את הפעולות הבאות:

  • אתם יכולים לפרוס חבילות תוכן מקצה לקצה (כולל הטמעת יומנים, גלאים מוכנים מראש ומרכזי בקרה) כדי לאפשר למכונת Google SecOps שלכם לעבוד עם מוצרים מהרשימה המובילה של המוצרים הנתמכים שהגדרנו.
  • להתקין שילובים עם צד שלישי לפלייבוקים ולמחברים של SOAR.
  • לצפות בגלאים מוכנים מראש ולסנן אותם, לבדוק מאפיינים של כללים ספציפיים והגדרות של כללים רלוונטיים (שקיפות של גלאים מוכנים מראש). כדי לנהל את קבוצת הכללים, עוברים לדף Rule Set.
  • כדי לשפר את החשיפה, כדאי להוסיף מרכזי בקרה.
  • אפשר להוסיף שאילתות חיפוש שמורות לחיפוש ב-SIEM כדי להשתמש בהן שוב במהירות.
  • התקנה והפעלה של Power Ups כדי להרחיב את היכולות של הפלייבוקים.
  • התקנה והפעלה של פלייבוקים כדי לספק תגובות SOAR.
  • בדף הבית, נכנסים לתרחישי השימוש הקודמים של SOAR.

סוגי תוכן

יש ארבעה סוגי תוכן במרכז התוכן:

  • ‫Google: תוכן שפותח, אומת ומתוחזק על ידי Google SecOps. הקטגוריה הזו כוללת פריטי תוכן חדשים וגם פריטי תוכן מעודכנים.
  • שותף: תוכן שפותח ומתוחזק על ידי שותף. התוכן הזה מאומת באמצעות בדיקות האיכות והאימות האוטומטיות של Google. בתוכן של שותפים, מופיעים פרטים ספציפיים ליצירת קשר עם התמיכה.
  • קהילה: תוכן שפותח ומתוחזק על ידי משתמשים בקהילה. התוכן הזה מאומת באמצעות בדיקות האיכות והאימות האוטומטיות של Google.
  • בהתאמה אישית: תוכן שיצרתם ומוצג רק במרכז התוכן שלכם. התוכן הזה פרטי למכונה שלכם ולא מאומת על ידי Google SecOps.

מה אפשר לעשות בדף הבית?

דף הבית הוא דף הנחיתה הראשי של מרכז התוכן. מכאן אפשר לגשת אל:

  • חבילות תוכן, שילובי תגובות, מרכזי בקרה, שאילתות חיפוש, Power Ups וגלאים מוכנים מראש.
  • תרחישי שימוש ב-SOAR מהסוג הישן. ‫Google ממליצה להשתמש בחבילות התוכן החדשות במקום בתרחישי השימוש הקודמים, כי הן מציעות פתרונות מקיפים ומשולבים יותר.

אפשר לחפש בכל סוגי התוכן בו-זמנית, כולל חבילות תוכן, זיהויים, שילובים של תגובות ומרכזי בקרה. כך לא צריך לעבור בין כרטיסיות שונות כדי למצוא נכסים קשורים. בפלטפורמה מוצגות תוצאות עם המספר הכולל של ההתאמות לכל סוג. אפשר ללחוץ על כל אחת מהתוצאות כדי לראות פרטים נוספים.

לדוגמה, אם מחפשים Crowdstrike בשדה Search, הפלטפורמה מחזירה את התוצאות הבאות:

  • חבילות תוכן (1): לדוגמה, Crowdstrike Falcon Comprehensive Pack.
  • גלאים מוכנים מראש (42): מוצגים ארבעת הכרטיסים המובילים, כמו "Crowdstrike Falcon: זוהתה תוכנה זדונית" ו-"Crowdstrike Falcon: שיבוש חיישן". לוחצים על הצגת כל 42 התוצאות כדי לעבור ישירות לכרטיסייה זיהויים.
  • שילובי תגובה (2): לדוגמה, Crowdstrike Falcon (תגובה) – משמש לפעולות בפלייבוק כמו "בידוד מארח".
  • מרכזי בקרה (3)

מה אפשר לעשות בדף "חבילות תוכן"?

בדף חבילות תוכן אתם יכולים להגדיר פיד אחד או כמה פידים, ולגשת לכל האפשרויות האחרות של Content Hub.

כדי להוסיף את כל הנתונים בדף חבילות תוכן:

  1. מגדירים כמה פידים למשפחות מוצרים בהתאם לסוג היומן שאתם צריכים.
  2. אחרי שמגדירים את הפיד, אפשר להגדיר את שאר הרכיבים של חבילת התוכן (הם יורדים אוטומטית ברקע).
    1. כדי להשתמש בפלייבוק, צריך ללחוץ על Configure Integrations (הגדרת שילובים) ולהגדיר מופע כדי שהפלייבוקים יפעלו. מידע נוסף זמין במאמר הגדרת מופעי אינטגרציה.
    2. כדי לראות את הפלייבוק שהורדתם, לשנות אותו או להריץ אותו באמצעות הסימולטור, לוחצים על View Playbooks. מידע נוסף זמין במאמר עבודה עם סימולטור תסריטי התגובה. צריך להעתיק את שם הפלייבוק ולחפש אותו בתיקיית ברירת המחדל בדף פלייבוקים.
    3. לוחצים על See all Detection Rules כדי לפתוח את הדף גלאים מוכנים מראש.
    4. לוחצים על See all Search Queries כדי לפתוח את הדף SIEM Search.
    5. לוחצים על See all Dashboards כדי לפתוח את הדף Dashboards.

מה אפשר לעשות בדף "גלאים מוכנים מראש"?

בדף גלאים מוכנים מראש אפשר לראות את כל ההגדרות של כללי הזיהוי שנתמכים ב-Google SecOps, כולל הלוגיקה והקוד של הכללים.

כדי לראות ולשנות את הגלאים המוכנים מראש (כללים):

  1. מוצאים את קבוצת הכללים שרוצים לעדכן ולוחצים על הצגה וניהול.
  2. בסרגל הצד שנפתח בכרטיסייה סקירה כללית, לוחצים על ניהול הכלל. תועברו לקבוצת הכללים המלאה בדף גלאים מוכנים מראש.
  3. לחלופין, בסרגל הצד שנפתח, לוחצים על הכרטיסייה הגדרת הכלל. כאן מוצג הלוגיקה של הכלל. אי אפשר לשנות את הכלל מכאן, אבל אפשר ליצור כלל חדש בדף כללים. לוחצים על View Rule Performance כדי לעבור לדף Detections ולנהל את הכלל.

מה אפשר לעשות בדף "שילובים של תגובות"?

בדף Response Integrations אפשר לראות את פרטי השילוב, כולל נתוני הגרסה, ולהגדיר את השילובים של התגובות הנפרדות. אפשר להשתמש בהם למחברי SOAR ולפלייבוקים.

אתם יכולים גם להחזיר את השילוב לגרסה קודמת אם עדכון גורם לבעיות או אם אתם צריכים לבטל שינויים בקוד בהתאמה אישית.

כדי להתקין ולהגדיר שילוב:

  1. מוצאים את השילוב הנדרש ולוחצים על Install (התקנה).
  2. אחרי שההתקנה מסתיימת, לוחצים על Configure (הגדרה) באותו שילוב כדי להתחיל את ההגדרה. מידע נוסף מופיע במאמר הגדרת מופעי אינטגרציה.

מה אפשר לעשות בדף "מרכזי בקרה"?

בדף מרכזי בקרה אפשר לראות פרטים על מרכזי בקרה שהותקנו מראש ולהוסיף מרכזי בקרה חדשים. כדי לראות או לנהל מרכז בקרה כלשהו, בין אם הוא מותקן מראש או נוסף מ-Content Hub, עוברים לדף מרכזי בקרה. הערה: מרכזי בקרה שנוספו דרך Content Hub מסומנים בתווית Marketplace.

מה אפשר לעשות בדף "פלייבוקים ובלוקים"?

בדף פלייבוקים ובלוקים אפשר לראות ולהתקין פלייבוקים ובלוקים של פלייבוקים (פלייבוקים בתצוגת עץ). אתם יכולים להציג פלייבוקים לפי מסננים וקטגוריות שונות. לדוגמה, אתם יכולים להציג רק פלייבוקים שמכילים שילובים שכבר התקנתם במופע שלכם, או לבחור להציג רק פלייבוקים עם שילובים ספציפיים.

כדי לראות ולהתקין פלייבוק או בלוק של פלייבוק:

  1. מוצאים את הפלייבוק או הבלוק הרצוי ולוחצים על הצגת פרטים.
  2. בחלונית הצדדית שנפתחת, מעיינים במידע ולוחצים על הוספה.
  3. בוחרים את הסביבה שאליה רוצים להוסיף את הפלייבוק או הבלוק.
  4. לוחצים על הקישור כדי לעבור לדף של מעצב הפלייבוקים, שבו מוצג הפלייבוק שהוספתם. אפשר להוסיף את אותה פלייבוק כמה פעמים. לכל פלייבוק יהיה שם עם מספר בסדר עולה.

מידע נוסף זמין בדף פלייבוקים.

מה אפשר לעשות בדף "שאילתות חיפוש"?

בדף שאילתות חיפוש אפשר לראות פרטים על שאילתות חיפוש ולהוסיף שאילתות חדשות. אחרי שמוסיפים שאילתת חיפוש, היא מתווספת לחיפושים השמורים ומשותפת בתוך המכונה. כדי לראות או לנהל שאילתות שמורות, עוברים לדף חיפוש ב-SIEM.

מה אפשר לעשות בדף Power Ups?

בדף Power Ups אתם יכולים לראות פרטים, להתקין ולהגדיר את Google SecOps Power Ups לשימוש בפלייבוקים. הוראות להגדרה מפורטות במאמר שימוש ב-Power Ups.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.