מעקב אחרי פעילות SOAR
המדריך הזה מיועד לאדמינים ולמנתחי אבטחה שצריכים לנטר את פעילויות המשתמשים בצד SOAR של פלטפורמת Google Security Operations למטרות ביקורת ותאימות. במאמר מוסבר איך פעולות נרשמות ביומנים בגרסאות שונות של API, ואיפה אפשר למצוא את יומני הביקורת האלה. הבנה של היומנים האלה עוזרת להבטיח את האחריותיות ומספקת שרשרת ברורה של פעולות שבוצעו במערכת.
לפני שמתחילים
לפני שמתחילים, חשוב לוודא שיש לכם את ההרשאות הדרושות לגישה ליומני ביקורת, כפי שמפורט בהמשך:
- כדי להציג יומני ביקורת בהגדרות SOAR ב-Google SecOps, צריך תפקיד שכולל את ההרשאה
SettingsIdבקבוצת ההרשאות לניהול זהויות והרשאות גישה (IAM). - כדי לראות יומנים בLogs Explorer במסוף Google Cloud , צריך תפקידי IAM מתאימים לגישה ל-Cloud Logging, כמו
roles/logging.viewer.
מונחים חשובים
- יומני ביקורת: רשומות של אירועים ב-Google SecOps שמספקות נתיב ביקורת של פעולות.
- Legacy SOAR API: מתייחס ל-Framework ישן יותר של API שנעשה בו שימוש ב-Google SecOps, ולפעמים מתועד באמצעות Swagger.
- Chronicle API: ממשק API מודרני שמבוסס על התשתית של Google Cloud .
- Cloud Logging: שירות הרישום המרכזי ב- Google Cloud שבו מאוחסנים יומני הביקורת של Google SecOps. אפשר לגשת אליו דרך Logs Explorer במסוף Google Cloud .
הסבר על יומני ביקורת של ממשקי API שונים
יומני הפעילות של המשתמשים ב-Google SecOps שונים בהתאם לאופן שבו הפעולה בוצעה – באמצעות SOAR API מדור קודם או באמצעות Chronicle API.
יומני ביקורת של API מדור קודם
לפעולות שבוצעו דרך ה-API הקודם של SOAR הייתה התנהגות ספציפית של ביקורת:
פעולות מבוקרות: רק פעולות שכללו שינויים או ייצוא נתונים נרשמו ביומן. למשל:
- בתהליך יצירה
- עריכה
- מתבצעת מחיקה
- ייצוא נתונים
פעולות שלא נבדקו: קריאות ל-API
ReadOnly/GETלא נבדקות במסגרת ה-API מדור קודם.
אפשר לגשת ליומני הביקורת מדור קודם בפלטפורמת Google SecOps בדף ביקורת.
יומני ביקורת של Chronicle API
יומני הביקורת של SOAR יהיו זמינים ב- Google Cloud אחרי שתשלימו את העברת ההרשאות של SOAR אל Cloud IAM כחלק משלב 2 של העברת SOAR אל Google Cloud. הם כוללים את כל הפעולות של המשתמשים ב-Google SecOps וקריאות שבוצעו ל-Chronicle API המודרני. כל הקריאות שבוצעו אל SOAR API מדור קודם עד 30 בנובמבר 2026 יישארו נגישות כיומני ביקורת של API מדור קודם בדף ביקורת בפלטפורמת Google SecOps.
כל הקריאות ל-API שמתבצעות באמצעות Chronicle API עוברות ביקורת באופן אוטומטי. יומני הביקורת האלה זמינים ב-Cloud Logging בפרויקט Google Cloud . פרטים נוספים על העברה וגישה ליומנים האלה מופיעים במאמר בנושא העברת יומני ביקורת של SOAR.
יומני ביקורת של גישה
השיטה לגישה ליומני ביקורת תלויה בסוג היומנים שאתם מחפשים – יומנים מ-SOAR API מדור קודם או מ-Chronicle API.
גישה ליומני ביקורת של ממשקי API מדור קודם
בדף ביקורת בפלטפורמת Google SecOps אפשר לראות ולסנן את רשומות הביקורת של פעולות שבוצעו באמצעות ממשקי API מדור קודם.
- כדי לפתוח את הדף ביקורת, עוברים אל הגדרות > הגדרות SOAR > מתקדם > ביקורת.
הצגת מדדי פעילות משתמשים מרכזיים
בדף ביקורת מוצגים מדדים חשובים של פעילות המשתמשים:
- הפעילויות הנפוצות ביותר
- הרזולוציות הנפוצות ביותר
- המשתמשים הכי פעילים
- הכתובות הפעילות ביותר
- הדפדפנים הנפוצים ביותר
הצגה וסינון של רשימת הפעילויות
בדף ביקורת, אפשר לסנן את רשימת הפעילויות לפי משתמש, מספר או קבוצה כדי למצוא פעילויות ספציפיות.
כדי לראות את פרטי הפעילות:
- כדי לפתוח את חלונית ההזזה פרטי הפעילות עם מידע נוסף, לוחצים על הצגת פרטים נוספים בכל שורה. בתצוגה הזו מופיעים הפרטים הבאים:
- שעה: השעה שבה התרחשה הפעילות.
- משתמש: המשתמש שביצע את הפעולה.
- מודול: מודול המערכת שהושפע.
- סוג הפעילות: הפעולה שבוצעה.
- כתובת: כתובת ה-IP שממנה התבצעה הפעילות.
- דפדפן: הדפדפן שבו נעשה שימוש לפעילות.
- גודל המסך: רזולוציית המסך שבה נעשה שימוש בפעילות.
- כדי לראות את המידע בערכי פעילות חדשים או בערכי פעילות קודמים, לוחצים על ערך הפעילות הרצוי.
- כדי לראות את ערכי הפעילות החדשים ואת ערכי הפעילות הקודמים, לוחצים על שורת הפעילות הרלוונטית ומעבירים את המתג למצב מופעל.
כדי לבדוק את הנתונים בצורה יעילה יותר, אפשר להציג את הערכים החדשים של הפעילות ואת הערכים הקודמים של הפעילות זה לצד זה בכלי לצפייה ב-JSON.
גישה ליומני ביקורת של Chronicle API ב-Cloud Logging
- פותחים את המסוף Google Cloud .
- בתפריט הניווט, עוברים אל Logging > Logs Explorer.
כדי לסנן את יומני הביקורת של Google SecOps, משתמשים בשאילתה בכלי ליצירת שאילתות. לדוגמה, אפשר לסנן לפי
resource.type="audited_resource"ושם השירות. דוגמה לשאילתה ליומני ביקורת של Chronicle API:resource.type="audited_resource" protoPayload.serviceName="chronicle.googleapis.com"מריצים את השאילתה כדי לראות את יומני הביקורת שנוצרו על ידי ממשקי ה-API של Chronicle.
פתרון בעיות
בקטע הזה מפורטת הדרכה לפתרון בעיות נפוצות שקשורות למעקב אחרי פעילויות של משתמשים.
זמן אחזור ומגבלות
יומני ביקורת ב-Cloud Logging זמינים בדרך כלל תוך כמה דקות, אבל זמן האחזור יכול להשתנות.
תיקון שגיאות
אם נתקלתם בבעיות בגישה ליומנים, תוכלו להיעזר בטבלה הבאה:
| שגיאה | תיאור | תיקון |
|---|---|---|
| ההרשאה נדחתה | מוצגת שגיאה שמציינת שאין לכם הרשאה לצפות ביומנים. | פנו לאדמין כדי לוודא שיש לכם את תפקיד ה-IAM roles/logging.viewer או תפקיד מקביל. |
| לא נמצאו יומנים | יומני הביקורת הצפויים לא מופיעים בLogs Explorer. | בודקים את טווח הזמן והמסננים בשאילתה. חשוב לוודא שאתם מחפשים יומנים מסוג ה-API הנכון (SOAR API מדור קודם לעומת Chronicle API). כדי לוודא מהם מיקומי היומנים, אפשר לעיין במדריך בנושא העברת יומני ביקורת של SOAR. |
הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.