ניהול מטא-נתונים של נכסים

נתמך ב:

במאמר הזה מוסבר איך להשתמש במטא-נתונים של הנכסים כדי לשנות את האופן שבו המערכת מציגה שדות של אירועים ואת הקטגוריה שבה הם מופיעים, למשל Case overview > Event fields ו-Entity screen > Enrichment fields. לדוגמה, אפשר להגדיר את המטא-נתונים של הנכסים כך שהמערכת תקבץ את כל האירועים או את שדות ההעשרה שמתחילים בקידומת VT_ בקטגוריה VirusTotal.

אחרי שיוצרים את מאפיין המטא-נתונים, אפשר לאמת אותו. 

הוספת מטא-נתונים של נכסים

כדי להוסיף מטא-נתונים של נכסים:

  1. עוברים אל הגדרות > הגדרת נתונים > מטא נתונים של נכסים.
  2. לוחצים על הוספה.
  3. מוסיפים את הפרטים הנדרשים הבאים:
    • שם המערכת: השם של השדה הגולמי.
    • השם המוצג: איך השדה יופיע במסך.
    • שם הקבוצה: השם של הקבוצה או הקטגוריה שבהן השדה מופיע.
    • קידומת: הקידומת שמשמשת לקיבוץ של כמה שדות.
    • Trim Prefix (הסרת קידומת): מסיר את הקידומת משם השדה.
      לדוגמה, אם מגדירים ומסירים את הקידומת VT_, המערכת מציגה את VT_department כמחלקה.
    • מוצג: השדה מוצג בדף.
    • מוצג בהדגשה: השדה מוצג בקטע מוצג בהדגשה בדף.
  4. לוחצים על הוספה.

אימות מטא-נתונים של נכסים

יש שתי דרכים לאמת את המטא-נתונים של הנכסים, בהתאם לשימוש בקידומת.

אימות ללא קידומת

כדי לאמת את מטא-נתוני המאפיינים ללא קידומת, פועלים לפי השלבים הבאים:

  1. מוסיפים מטא-נתונים של מאפיינים לשדה ספציפי בלי קידומת, ואז לוחצים על הוספה.
  2. עוברים לCases (אירועים) > הכרטיסייה Alerts Event (אירוע התראות).
  3. לוחצים על הצגת פרטים נוספים. קובץ הקטגוריה מופיע בחלונית ההזזה הצדדית.

אימות באמצעות קידומת

כדי לאמת את המטא-נתונים של הנכסים באמצעות קידומת, פועלים לפי השלבים הבאים:

  1. מוסיפים מטא-נתונים של מאפיינים למספר שדות, כולל קידומת VT_ , ואז לוחצים על שמירה.
  2. עוברים לווידג'ט Entities Highlights בכרטיסייה Cases Overview או בכרטיסייה Alerts Overview.
  3. לוחצים על ישות כדי לפתוח את הדף פרטי הישות.

תרחישים לדוגמה

בקטע הזה מתוארים תרחישי שימוש שמדגימים את הגמישות של המערכת בניהול אירועים בתוך בקשות תמיכה ובהצגתם.

הגדרת מראה ברירת המחדל של אירועים בתיקים

ב-Google SecOps, כל מקרה מכיל קבוצת משנה של התראות. ההתראות האלה מספקות גישה לאירועים, שכוללים שדות ספציפיים שמתארים את האירוע. כדי לבדוק את זה, יוצרים בקשת תמיכה חדשה:
  1. בוחרים באפשרות Cases (אירועים) > Add (הוספה) > Simulate Cases (הדמיית אירועים).
  2. יוצרים כרטיס חדש מסוג Malware Detected בסביבה המועדפת. אם אין לכם מקרה אחר, אתם יכולים להשתמש בסביבת ברירת המחדל.
  3. בתיאור המקרה, בוחרים בהתראה Virus Found (נמצא וירוס) ואז בוחרים בכרטיסייה Events (אירועים). המערכת מציגה אירוע יחיד, שנקרא גם Virus Found.
  4. לוחצים על האירוע Virus Found כדי לראות את רשימת השדות.
  5. גוללים כדי למצוא את השדות שקשורים לתאריך האירוע.

שינוי המראה של האירועים בתיקים

אתם יכולים לשנות את המראה של האירועים, לשנות את השם של השדות ולקבץ אותם. כדי לשנות את המראה של אירוע, צריך לעדכן את מטא-נתוני המאפיינים. בדוגמה הבאה מוסבר איך להגדיר מחדש את השדות הבאים כך שיוצגו בספרדית.
  1. פותחים כרטיסייה חדשה בדפדפן ולוחצים על הגדרות SOAR > הגדרת נתונים > מטא-נתונים של נכסים.
  2. לוחצים על addAdd ומגדירים מחדש את ערכי השדה Display name (שם מוצג) לפי הטבלה הבאה.

  3. מגדירים מחדש את השדות הבאים כך שיופיעו בספרדית:

    • date_hour
    • date_mday
    • date_minute
    • date_month
    • date_second
    • date_wday
    • date_year
    • date_zone

    בוחרים באחת מהאפשרויות הבאות:

    • מוצג: השדה מוצג בתיאור האירוע.
    • הדגשה: מעבירה את השדה לקבוצה ייעודית של שדות מודגשים.
    שם המערכת השם המוצג שם הקבוצה מוצג מודגש
    date_hour Hora Fecha del evento כן כן
    date_mday Día del mes Fecha del evento כן לא
    date_minute Minuto Fecha del evento כן כן
    date_month Mes Fecha del evento כן לא
    date_second Segunda Fecha del evento לא לא
    date_wday Día de la semana Fecha del evento לא לא
    date_year Año Fecha del evento לא לא
    date_zone Zona horaria Fecha del evento כן לא



הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.