מיון התראות באמצעות סוכן המיון

נתמך ב:

Google SecOps

סוכן המיון והחקירה (TIN) הוא עוזר דיגיטלי מבוסס-AI לחקירות שמוטמע ב-Google Security Operations. הוא קובע אם ההתראות הן חיוביות אמיתיות או חיוביות כוזבות, ואז מספק הסבר מסכם להערכה שלו.

‫TIN מנתח התראות ב-Google SecOps באמצעות עקרונות של Mandiant ושיטות מומלצות בתחום. הוא מעריך את ההתראות שנכנסות, מבצע תוכנית חקירה ומספק ניתוח מובנה שכולל גם את הממצאים וגם את הנימוקים שלו.

הערה: אפשר להשתמש ב-TIN רק אם יש לכם דייר יחיד ב-Google SecOps, או אם אתם לקוחות של ספק שירותי אבטחה מנוהלים (MSSP) עם דייר יחיד ב-Google SecOps SOAR שמחובר לכמה דיירים ב-Google SecOps SIEM. אין תמיכה בהגדרות של כמה דיירים שלא פועלות לפי המבנה הזה.

רשימה של הרשאות IAM שנדרשות כדי להשתמש בסוכן מופיעה במאמר סוכן המיון והחקירה (TIN).

כלי חקירה

הסוכן משתמש בכלים המובנים הבאים כדי להשלים את הניתוח:

• שאילתות חיפוש דינמיות: הפעלה ושיפור של חיפושים ב-SecOps כדי לאסוף הקשר נוסף להתראה.

• העשרת GTI: העשרת IoC בנתונים של Google Threat Intelligence ‏(GTI), כולל דומיינים, כתובות URL וגיבובים.

• ניתוח שורת הפקודה: ניתוח של שורות פקודה כדי להסביר פעולות בשפה טבעית.

• שחזור עץ התהליכים: ניתוח התהליכים בהתראה כדי להציג את הרצף המלא של פעילות המערכת הקשורה.

הפעלת TIN

אפשר להפעיל את TIN באופן אוטומטי או ידני. כל חקירה מסתיימת בדרך כלל תוך 60 שניות בממוצע, ונמשכת עד 20 דקות לכל היותר. אין תור חקירה. הנציג לא מנתח באופן אוטומטי התראות שנוצרו מעבר למגבלה.

הערה: TIN פועל רק על נתונים שנטמעו באמצעות Google SecOps SIEM, ולא מעבד התראות מהמחבר של Google SecOps SOAR.

הגדרות של חקירה אוטומטית

החקירות האוטומטיות מופעלות כברירת מחדל אם יש לכם את הרשאות האדמין הנדרשות והצטרפתם לסוכן. כדי לבדוק או לשנות את ההגדרה הזו, עוברים אל הגדרות > חקירה > חקירות ב-Gemini.

כשהסוכן מופעל, הוא משתמש בהגדרות ברירת המחדל כדי לחקור את כל סוגי היומנים שנתמכים כברירת מחדל. אתם יכולים להתאים אישית את תזמון החקירה ואת הקריטריונים לסינון כדי לקבוע אילו התראות ייחקרו.

תזמון החקירה

אתם יכולים להגדיר מתי החקירה תתחיל אחרי שנוצרת התראה. כברירת מחדל, החקירה מתחילה חמש דקות אחרי שההתראה נוצרת, כדי להביא בחשבון אירועים שעדיין מגיעים ודורשים התאמה.

אפשר לשנות את משך ההשהיה ל-20 דקות לכל היותר מהרשימה בחלונית ההגדרות.

קריטריונים לחקירה

אתם יכולים להגדיר קריטריונים בהתאמה אישית כדי להפעיל חקירות אוטומטיות רק להתראות ספציפיות. אם לא מוגדרים קריטריונים בהתאמה אישית, הנציג חוקר את כל ההתראות שתואמות לסוגי היומנים הנתמכים שמפורטים בקטע סוגי יומנים נתמכים שמוגדרים כברירת מחדל.

כדי ליצור הגדרות חקירה אוטומטית בהתאמה אישית:

1. לוחצים על הוספה.
2. בוחרים שדה UDM מהרשימה. השדות הנתמכים כוללים:
   • detection.rule_id
   • detection.rule_name
   • udm.metadata.event_type
   • udm.metadata.log_type
   • udm.metadata.product_event_type
   • udm.metadata.product_name
   • udm.metadata.vendor_name
   • udm.about.entity_metadata.product_name
   • udm.principal.user.userid
3. בוחרים אופרטור כדי להעריך את השדה (= או !=).
4. מזינים או בוחרים את הערך של השדה. הערכים ברשימה מבוססים על ערכים שנצפו בסביבה שלכם.
5. כדי לשלב כמה קריטריונים, משתמשים באופרטור לוגי (AND או OR).
6. לוחצים על שמירה כדי להחיל את ההגדרות.

סוגי היומנים הנתמכים שמוגדרים כברירת מחדל

הסוכן תומך בחקירה אוטומטית של התראות שמכילות אירועים עם הערכים הבאים של metadata.log_type:

מקור	metadata.log_type ערכים
אמזון	AWS_CLOUDTRAIL, AWS_IAM, AWS_NETWORK_FIREWALL, AWS_VPC_FLOW
Cisco	CISCO_ASA_FIREWALL, CISCO_FIREPOWER_FIREWALL, CISCO_ISE, CISCO_MERAKI
CrowdStrike	CROWDSTRIKE_IOC, CS_ALERTS, CS_CEF_EDR, CS_DETECTS, CS_EDR, CS_IDP
Fortinet	FORTINET_FIREWALL, FORTINET_FORTIEDR, FORTINET_WEBPROXY
Google	GCP_CLOUDAUDIT, GCP_CLOUDIDENTITY_DEVICES, GCP_CLOUDIDENTITY_DEVICEUSERS, GCP_DNS, GCP_NGFW_ENTERPRISE, GCP_VPC_FLOW, WORKSPACE_ACTIVITY, WORKSPACE_ALERTS, WORKSPACE_USERS
Microsoft	ADFS, AZURE_AD, AZURE_AD_AUDIT, AZURE_AD_CONTEXT, AZURE_AD_SIGNIN, AZURE_FIREWALL, AZURE_NSG_FLOW, GITHUB, MICROSOFT_DEFENDER_ATP, MICROSOFT_DEFENDER_ENDPOINT, MICROSOFT_DEFENDER_ENDPOINT_IOS, MICROSOFT_DEFENDER_IDENTITY, MICROSOFT_GRAPH_ALERT, OFFICE_365, WINDOWS_AD, WINDOWS_DEFENDER_ATP, WINDOWS_DEFENDER_AV, WINDOWS_DHCP, WINDOWS_DNS, WINDOWS_FIREWALL, WINDOWS_SYSMON, WINEVTLOG
Okta	OKTA, OKTA_ACCESS_GATEWAY, OKTA_USER_CONTEXT
אחר	BARRACUDA_FIREWALL, BOX, BRO_DNS, CB_APP_CONTROL, CB_DEFENSE, CB_EDR, CHECKPOINT_EDR, CHECKPOINT_FIREWALL, CLOUDFLARE_WAF, CYBERARK_EPM, CYBEREASON_EDR, DUO_AUTH, DUO_USER_CONTEXT, ELASTIC_EDR, F5_AFM, F5_ASM, F5_BIGIP_LTM, FIREEYE_HX, FIREEYE_NX, FORCEPOINT_FIREWALL, INFOBLOX_DNS, JUNIPER_FIREWALL, KEYCLOAK, LIMACHARLIE_EDR, MALWAREBYTES_EDR, MCAFEE_EDR, NETFILTER_IPTABLES, ONELOGIN_SSO, ONE_IDENTITY_IDENTITY_MANAGER, OPENSSH, PAN_FIREWALL, PING, SALESFORCE, SEP, SOPHOS_EDR, SOPHOS_FIREWALL, SQUID_WEBPROXY, SURICATA_EVE, SURICATA_IDS, SYMANTEC_EDR, TANIUM_EDR, TANIUM_THREAT_RESPONSE, TRENDMICRO_EDR, UMBRELLA_DNS, UMBRELLA_FIREWALL, UMBRELLA_WEBPROXY, ZEEK, ZSCALER_FIREWALL, ZSCALER_WEBPROXY.
SentinelOne	SENTINELONE_ACTIVITY, SENTINELONE_ALERT, SENTINELONE_CF, SENTINEL_DV, SENTINEL_EDR

חקירות ידניות

כדי להריץ חקירה באופן ידני:

1. ב-Google SecOps, נכנסים לדף Alerts and IOCs.

2. בוחרים התראה ולוחצים על הפעלת חקירה.

   אפשר גם לראות את תוצאות החקירה ישירות בתוך פנייה. אם TIN מופעל בדייר (tenant) שלכם, התוצאות משולבות בתוכן של סיכום הבקשה אחרי שהחקירה מסתיימת.

3. בזמן שהחקירה פועלת, הבאנר מציין את ההתקדמות. בסיום, בבאנר יוצג סיכום של התוצאות. כדי לבדוק את הניתוח, לוחצים על הצגת החקירה בבאנר.

הערה: השילוב של TIN בסיכום הבקשה זמין ללקוחות עם רישיונות Enterprise או Enterprise Plus. מספר ה-TIN לא תואם ל-FedRAMP.

מעבר לחקירות

אתם יכולים לגשת לחקירות קודמות או לחקירות שעדיין מתבצעות מכל מקום ב-Google SecOps.

1. לוחצים על בממשק של Google SecOps.

2. לוחצים על בחלונית הניווט.

3. לוחצים על keyboard_arrow_down ליד רשימת החקירות כדי להרחיב את החלונית.

4. ברשימה, בוחרים פריט כדי לפתוח את תוצאות החקירה.

כל רשומת חקירה כוללת את שם ההתראה, את זמן ההשלמה ואת סיכום החקירה של Gemini. אם אותה התראה נחקרת כמה פעמים, כל חקירה מופיעה כרשומה נפרדת ברשימת החקירות.

בדיקת חקירה

כל חקירה נפתחת בתצוגה מפורטת שמסכמת את הניתוח של Gemini, את הנימוקים שלו ואת הנתונים התומכים שבהם הוא השתמש.

התצוגה הזו כוללת את הרכיבים הבאים:

• סיכום
• ציר הזמן של החקירה
• צפייה בהתראה או הרצה מחדש של חקירה
• מה כדאי לעשות הלאה
• משוב

סיכום

בחלק העליון של החלונית, בקטע סיכום של Gemini, יש תיאור קצר של ההתראה ושל ממצאי החקירה.

הסיכום כולל את הפרטים הבאים:

• ‫Disposition: מציין אם Gemini קבע שההתראה היא חיובית אמיתית או חיובית כוזבת.
• רמת סמך: מתארת את רמת הסמך של Gemini בהערכה שלו. ההערכה הזו מבוססת על ההתראה ועל נתוני החקירה הזמינים.
• הסבר מסכם: תיאור של ההתראה ואיך Gemini הגיע למסקנה שלו.

ציר הזמן של החקירה

החקירה של TIN מתבצעת לפי ציר זמן מובנה עם כמה שלבים, שנועד להפוך התראות גולמיות למידע מודיעיני שאפשר לפעול לפיו. הסוכן משתמש בשלבי הביניים האלה בעיקר כדי ליצור הקשר ולשפר את הניתוח שלו, אבל הם גם גלויים בציר הזמן של החקירה בממשק האינטרנט, ומספקים למנתחי האבטחה תצוגה ברורה של התקדמות החקירה של הסוכן.

הערכה ראשונית ותעדוף סיכונים

החקירה מתחילה בהערכה מיידית של ההתראה כדי לקבוע את ההקשר הבסיסי. בשלב הזה, הנציג מנתח באופן אוטומטי את פרטי ההתראה והמטא-נתונים כדי לזהות פעילות תקינה ברמת ודאות גבוהה. אם ההתראה מסווגת כסיכון נמוך, הנציג מסיים את החקירה.

העשרה לפי הקשר ואיסוף ראיות

הנציג מבצע כמה שלבי ניתוח במקביל כדי ליצור תמונה מקיפה של הפעילות החשודה, תוך שימוש במידע פנימי וחיצוני:

• העשרה של Google Threat Intelligence ‏(GTI): זיהוי והערכה של סימנים מחשידים (IoC), כמו גיבובים של קבצים, כתובות IP ודומיינים, בהשוואה ל-Google Threat Intelligence ול-VirusTotal, כדי לזהות ישויות זדוניות מוכרות.

• ניתוח של תרשים הקשר של ישות (ECG): מאחזר נתוני שכיחות, כמו מתי ישות נראתה בפעם הראשונה או האחרונה, כדי לספק הקשר סביבתי עמוק יותר ולנתח קשרים בין ישויות.

• איסוף הקשרים ברשת: חילוץ הקשרים נוספים שקשורים לתנועה ברשת, על ידי ביצוע חיפושים ממוקדים לזיהוי דפוסים חשודים.

• שילוב מטא-נתונים של בקשות תמיכה: מאחזר הקשר רחב יותר מבקשת התמיכה שאליה שייכת ההתראה, ומשלב בחקירה מטא-נתונים כמו תגים ועדיפות.

• בניית עץ תהליכים: בניית היררכיית ההפעלה של תהליכי המערכת כדי לעזור למנתחים להבין בדיוק איך פעולה חשודה התחילה ואילו פעולות בוצעו בעקבותיה.

חקירה דינמית

בהתאם לממצאים משלבי החקירה הקודמים, הנציג קובע באופן דינמי את הפעולה הבאה:

• הערכת הממצאים: הערכת המידע שנאסף בשלבים הקודמים כדי לזהות פערים פוטנציאליים או כיווני חקירה חדשים.

• מבצע מחקר מעמיק: יוצר תוכניות חדשות באופן איטרטיבי ומפעיל כלים מיוחדים, כמו העשרת GTI, ניתוח ECG, ניתוח מתקדם של שורת הפקודה או חיפושים ממוקדים כדי לחשוף איומים נסתרים.

הצגת התראה או הרצה מחדש של חקירה

בחלונית החקירה אפשר לבצע את הפעולות הבאות:

• ‫View alert: פתיחת פרטי ההתראה בתצוגת Google SecOps SIEM.
• הרצת החקירה מחדש: הרצת הניתוח מחדש לאותה התראה.

מה כדאי לעשות הלאה

בכל החקירות, Gemini מספק שלבים נוספים לחקירה. השלבים האלה ממליצים על פעולות או מקורות נתונים נוספים שאנליסטים יכולים לבדוק.

כשהסוכן מתעדכן, ההצעות האלה יכולות להתרחב ולכלול הנחיות לתיקון.

משוב

כל חקירה כוללת את הסמלים thumb_up לייק ו thumb_down דיסלייק כדי לאסוף משוב. המשוב צריך להתמקד בדרגת החומרה, כי זה עוזר לשפר את סיווג האיומים של Gemini.

מדדי TIN במרכזי בקרה

‫Google SecOps משלב את הנתונים התפעוליים של TIN במרכזי בקרה. כך אתם יכולים לעקוב אחרי נפח החקירות, ביצועי הנציגים והמשוב מהמשתמשים. אתם יכולים להשתמש במדדים האלה כדי לעקוב אחרי צריכת הטוקנים לצורכי אבטחה למטרות חיוב, ולהעריך את הערך שהנציג מספק.

מידע נוסף זמין במאמר מעקב אחרי הביצועים של סוכן המיון והחקירה (TIN) באמצעות לוחות בקרה.

יומני ביקורת של Cloud

כדי להפעיל רישום ביומן ביקורת של TIN:

1. במסוף Google Google Cloud , נכנסים לדף IAM > יומן ביקורת.
2. מחפשים את Chronicle API.
3. בכרטיסייה Permission Types בחלונית Chronicle API, מסמנים את התיבה Admin Read.

הצגה של יומני ביקורת

כדי לראות את יומני הביקורת:

1. במסוף Google Google Cloud , עוברים אל Monitoring‏ > Logs Explorer.

2. מחפשים את היומנים שרוצים לראות.

   • כדי לראות את כל יומני הביקורת של Google SecOps, מחפשים את protoPayload.serviceName: "chronicle.googleapis.com".

   • כדי לראות רק יומני TIN, חפשו את השיטות הקשורות.

     • כדי לחפש שיטות ספציפיות, משתמשים ב-protoPayload.methodName="google.cloud.chronicle.v1alpha.InvestigationService.TriggerInvestigation" OR protoPayload.methodName="google.cloud.chronicle.v1alpha.InvestigationService.GetInvestigation".
     • כדי לחפש את כל השיטות של TIN, משתמשים ב-protoPayload.methodName:"google.cloud.chronicle.v1alpha.InvestigationService". רוצה לקבל עזרה נוספת? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.