תגובה להתראות ולבקשות תמיכה

נתמך ב:

המדריך הזה עוזר לאנליסטים של אבטחה לזהות ולתעדף ביעילות מקרים והתראות אבטחה שדורשים טיפול מיידי. במאמר מוסבר איך להשתמש בתכונות של Google Security Operations, כולל תצוגות מותאמות אישית, אוטומציה, תעדוף מבוסס-AI וספרי הדרכה. השיטה הזו מאפשרת לאנליסטים לצמצם את הרעשים, לקצר את זמני התגובה ולהתמקד בתוצאות החיוביות האמיתיות שמציבות את הסיכון הגדול ביותר. השלמת התהליך מבטיחה צמצום של איומים קריטיים בזמן.

תרחיש שימוש נפוץ

  • המטרה: לזהות ביעילות התראות ומקרים בסיכון גבוה מתוך נפח גדול של נתוני אבטחה באמצעות אוטומציה ו-AI.
  • ערך: מאפשר תגובה מהירה לאיומים קריטיים, ומצמצם את ההשפעה הפוטנציאלית.

לפני שמתחילים

איך קובעים אילו פניות והתראות דורשות טיפול מיידי

בקטע הזה מתוארים השלבים שצריך לבצע כדי לקבוע את רמת הדחיפות.

מעקב אחרי תורים בהתאמה אישית והחלת מסננים מחמירים

הגישה הבאה מבטיחה שתראו גם את הפריטים שדורשים את תשומת הלב הספציפית שלכם וגם את כלל האירועים בסיכון גבוה, ותספק לכם תובנות מיידיות לגבי האירועים המשפיעים ביותר.

  1. בפלטפורמת Google SecOps, בוחרים באפשרות Your Workdesk (סביבת העבודה שלך) > My Cases (הכרטיסים שלי). בתצוגה הזו מוצגות בקשות שהוקצו ישירות לכם או לתפקיד האנליסט שלכם.
  2. פותחים את הדף הראשי Cases ולוחצים על Cases Filter.
  3. מסננים את הממצאים לפי רמות העדיפות קריטית וגבוהה. חשוב לשמור את המסננים האלה כדי שתוכלו לחזור אליהם בקלות.

שימוש ב-AI ובאוטומציה לטריאז'

לכל התראה, אפשר להשתמש באוטומציה מבוססת-סוכן, שמשלבת בין מחזורי חיים דטרמיניסטיים ומוגדרים מראש לבין סוכני AI דינמיים, כמו סוכן הטריאז' והחקירה של Gemini. הסוכן הזה מבצע ניתוח מעמיק ראשוני באופן אוטומטי, ולרוב מקצר את משך הזמן של עבודה ידנית של 15-20 דקות.

התכונות העיקריות:

  • רצף אוטומטי: הגדרת Playbook כך ש-Playbook לתיקון (לדוגמה, בידוד מארח או השעיה של חשבון) יופעל אוטומטית על סמך הפלט של Gemini Triage and Investigation Agent, ויפעל באופן מיידי במקרים חשובים.
  • תשובות אדפטיביות: שימוש בפלט שנוצר על ידי AI (כמו ציוני סיכון או פסיקות כמו True Positive) כתנאים בתוך ספרי הפעלה להפעלת נתיבי תגובה אוטומטיים שונים. לדוגמה, לבודד באופן אוטומטי מארח אם התוצאה היא Malicious, אבל רק לסמן לבדיקה אם התוצאה היא Suspicious. אתם יכולים להשתמש בתוצאה או בציון הסיכון כדי להעלות את רמת העדיפות של הבקשה או להעביר אותה לטיפול ברמה גבוהה יותר. לדוגמה, להעביר את הכרטיס לרמה גבוהה יותר או לשלוח הודעה למקבל ההקצאה.
  • שחזור של עץ התהליכים: סוכן הטריאז' יכול ליצור ציר זמן חזותי של פעילות המערכת, וכך לעזור לאנליסטים להבין באופן מיידי את שרשרת המתקפה, את הקשרים בין תהליכי האב והצאצא ואת התנועה הרוחבית.

שימוש ב-Playbooks לטריאז מהיר ולפעולה עקבית

בדף Cases, אפשר להשתמש בPlaybooks מוכנים מראש ובהתאמה אישית. ה-Playbooks מקודדים נהלים סטנדרטיים (SOP) לתהליכי עבודה אוטומטיים, מצמצמים את המאמץ הידני ומבטיחים עקביות.

היכולות העיקריות של מדריך ההפעלה:

  • העשרה אוטומטית: פלייבוקים רבים מעשירים באופן אוטומטי את ההתראות במודיעין איומי סייבר ממקורות כמו VirusTotal,‏ CrowdStrike ופידים פנימיים של איומים. כך הם מספקים הקשר מיידי לגבי סימנים מחשידים (IoC), כמו גיבובים, כתובות IP ודומיינים.
  • נקודות החלטה מודרכות: אפשר להגדיר את ה-Playbook כך שיושהה את הפעולה ויציג לאנליסטים שאלות עם תשובות של כן או לא, שאלות מרובות ברירות או הנחיות מותנות – לדוגמה, "Is this activity expected for this user role?"... if "No", then "Escalate to Tier 3", if "Yes", then "Mark as False Positive", or "Continue monitoring".
  • התערבות ידנית מבוקרת: לגבי פעולות רגישות, אפשר לכלול ב-Playbook שלבים של אישור ידני. כך, אנליסטים יכולים לבדוק פעולות מוצעות (לדוגמה, בידוד של מארח, הפעלת קובץ בארגז חול או חסימה של כתובת IP) לפני הביצוע.
  • ניהול אוטומטי של בקשות תמיכה: באמצעות Playbooks אפשר להגדיר ניתוב אוטומטי של בקשות תמיכה לצוותים מומחים על סמך ממצאים, וסגירה אוטומטית של התראות שאומתו כהתראות שאינן זדוניות או שהן מספקות מידע בלבד. כך התור הפעיל מתמקד באיומים שדורשים פעולה.

איך אנליסטים משתמשים בתוכניות פעולה בתהליך הזה:

  • תגובה סטנדרטית: מאפשרת לוודא שכל ההתראות מסוג מסוים (למשל, פישינג או תוכנת כופר) מטופלות בהתאם לנהלי העבודה התקניים (SOP) שנקבעו בארגון.
  • הפחתת רעשים: סינון אוטומטי של התראות באיכות נמוכה או פתרון שלהן על סמך לוגיקה מוגדרת מראש.
  • פחות עבודה שוחקת: המערכת מבצעת אוטומציה של משימות שדורשות הרבה זמן, כמו איסוף נתונים, קורלציה של יומנים והעשרת ישויות.
  • אוטומציה אקטיבית בפעולה: שילוב של מהירות הניתוח של סוכני AI עם המהימנות של תוכניות פעולה דטרמיניסטיות.
  • שלב מבוסס-סוכן: אפשר להשתמש בשילוב עם Vertex AI כדי ליצור תהליך עבודה מותאם אישית שמבוסס על Gemini ויכול לעזור בחקירה.

היתרון: מייעל את תהליך המיון, אוכף תשובות עקביות, מצמצם משימות חוזרות ומאפשר לאנליסטים לטפל באיומים מורכבים בצורה יעילה.

דוגמאות לתרחישים שדורשים טיפול מיידי

בקטע הזה יש דוגמאות לתרחישים שמצריכים טיפול מיידי.

הפעלת תיקון אוטומטי

מוצגת התראה עם עדיפות קריטית בדף Cases עבור Suspicious PowerShell Execution.

במדריך ההפעלה המקושר אפשר לראות שהסוכן של Gemini לטריאז' רץ, החזיר True Positive פסק דין עם רמת ודאות גבוהה, וכתוצאה מכך, מדריך ההפעלה הפעיל אוטומטית את הפעולה בידוד המארח, שממתינה כעת לאישור או שהושלמה.

לכן, צריך לבדוק באופן מיידי את הממצאים של הסוכן ואת מצב הבידוד.

החלטה ידנית בעזרת AI

מסננים את התור Cases לפי Priority: Critical.

כשפותחים כרטיס תמיכה, מגלים שהמדריך הופסק בשאלה עם תשובות של כן או לא, שבה נשאלים אם להעביר את הכרטיס לטיפול ברמה גבוהה יותר או לסגור אותו.

אתם בודקים את הסיכום של Gemini Triage and Investigation Agent, שבו מצוין Highly Likely True Positive עם הסבר מפורט שכולל ציטוט של אינדיקטורים ספציפיים של פעילות זדונית.

אתם לוחצים בביטחון על העברה לרמה 2.

פתרון בעיות

השהיה, מכסת השירות והמגבלות

  • מכסת סוכני טריאז': סוכני הטריאז' והחקירה של Gemini כפופים למכסה, בדרך כלל בסביבות 10 חקירות לשעה לכל דייר (לדוגמה, 5 הפעלות ידניות, 5 הפעלות אוטומטיות). התראות שחורגות מהמגבלה הזו דורשות מיון ידני.

תיקון שגיאות

קוד שגיאה תיאור הבעיה תיקון
לא רלוונטי פריטים דחופים שצפויים להופיע חסרים בדף 'הבקשות שלי' או בתור הבקשות. מוודאים שהכלל Alerting מופעל לגבי זיהויים רלוונטיים. מוודאים שהפניות מוקצות למשתמש או לתפקיד שלכם בצורה נכונה, ושהתור לא כולל מסננים מגבילים שהופעלו בטעות.
לא רלוונטי חסר סיכום של Gemini. בודקים את הסטטוס Gemini Investigations בלוח המקרים. אם הגעתם למכסה, תוצג הודעה שהסוכן לא הופעל.

אימות ובדיקה

כדי לוודא שהתהליך פועל, בודקים את הדברים הבאים:

  • ההתראות ברמה 'גבוהה' ו'קריטית' מופיעות כמצופה בהתאם למסננים.
  • הפעלת ה-Playbooks מתבצעת כשמתקבלות התראות חדשות.
  • סיכומים של סוכן Gemini לטריאז' ולחקירה מוצגים במקומות הצפויים.
  • העברת בקשות לטיפול ברמה גבוהה יותר או סגירה שלהן מתבצעת על סמך הלוגיקה של מדריך ההפעלה וההחלטות של האנליסט.
תיאור הבעיה רזולוציה
פריטים דחופים שצפויים להופיע חסרים בדף 'הבקשות שלי' או בתור הבקשות. מוודאים שהכלל Alerting מופעל לגבי זיהויים רלוונטיים. מוודאים שהפניות מוקצות למשתמש או לתפקיד שלכם בצורה נכונה, ושהתור לא כולל מסננים מגבילים שהופעלו בטעות.
חסר סיכום של Gemini. בודקים את הסטטוס Gemini Investigations בלוח המקרים. אם הגעתם למכסה, תוצג הודעה שהסוכן לא הופעל.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.