מעקב אחרי הפעילות ב-SOAR
המדריך הזה מיועד לאדמינים ולמנתחי נתונים בתחום האבטחה שצריכים לעקוב אחרי פעילויות של משתמשים בצד של SOAR בפלטפורמת Google Security Operations למטרות ביקורת ותאימות. במאמר מוסבר איך גרסאות שונות של ה-API מתעדות פעולות ביומן ואיפה אפשר למצוא את יומני הביקורת האלה. הבנת היומנים האלה עוזרת להבטיח אחריותיות ומספקת תיעוד ברור של הפעולות שבוצעו במערכת.
לפני שמתחילים
לפני שמתחילים, חשוב לוודא שיש לכם את ההרשאות הנדרשות כדי לגשת ליומני הביקורת, כפי שמתואר בהמשך:
- כדי לצפות ביומני הביקורת בהגדרות של SOAR ב-Google SecOps, צריך תפקיד שכולל את ההרשאה
SettingsIdבקבוצת ההרשאות של ניהול זהויות והרשאות גישה (IAM). - כדי לראות את היומנים במציג היומנים במסוף Google Cloud , צריך תפקידי IAM מתאימים לגישה ל-Cloud Logging, כמו
roles/logging.viewer.
מונחים חשובים
- יומני ביקורת: רשומות של אירועים ב-Google SecOps שמספקות נתיב ביקורת של פעולות.
- Legacy SOAR API: מתייחס למסגרת ה-API הישנה יותר שמשמשת ב-Google SecOps, לפעמים מתועדת באמצעות Swagger.
- Chronicle API: ה-API המודרני שמבוסס על התשתית של Google Cloud .
- Cloud Logging: שירות הרישום המרכזי ביומן ב- Google Cloud שבו מאוחסנים יומני הביקורת של Google SecOps. אפשר לגשת אליו דרך Logs Explorer במסוף Google Cloud .
הסבר על רישום ביומן הביקורת בממשקי API שונים
ב-Google SecOps, פעילויות המשתמשים מתועדות ביומן באופן שונה בהתאם ל-API שבו הפעולה בוצעה – SOAR API מדור קודם או Chronicle API.
יומני ביקורת של API מדור קודם
לפעולות שבוצעו דרך ה-API הקודם של SOAR הייתה התנהגות ביקורת ספציפית:
פעולות מבוקרות: רק פעולות שכללו שינויים או ייצוא נתונים נרשמו ביומן. למשל:
- בתהליך יצירה
- עריכה
- מתבצעת מחיקה
- ייצוא נתונים
פעולות שלא נבדקות: קריאות ל-API של
ReadOnly/GETלא נבדקות במסגרת ה-API הקודמת.
אפשר לגשת ליומני הביקורת הקודמים האלה בדף Audit בפלטפורמת Google SecOps.
יומני ביקורת של Chronicle API
יומני הביקורת של SOAR יהיו זמינים ב- Google Cloud אחרי שתשלימו את העברת ההרשאות של SOAR ל-Cloud IAM, כחלק משלב 2 של העברת SOAR ל- Google Cloud. הפעולות האלה כוללות כל פעולה של משתמש ב-Google SecOps וקריאות שבוצעו ל-Chronicle API המודרני. כל הקריאות ל-SOAR API הקודם עד 31 במרץ 2027 יישארו נגישות כיומני ביקורת של ה-API הקודם בדף Audit בפלטפורמת Google SecOps.
כל הקריאות ל-API שמתבצעות באמצעות Chronicle API מבוקרות באופן אוטומטי. יומני הביקורת האלה זמינים ב-Cloud Logging בפרויקט ב- Google Cloud . פרטים נוספים על העברת היומנים האלה וגישה אליהם זמינים במאמר העברת יומני ביקורת של SOAR.
יומני ביקורת של גישה
השיטה לגישה ליומני הביקורת תלויה בשאלה אם אתם מחפשים יומנים מ-SOAR API מדור קודם או מ-Chronicle API.
גישה ליומני ביקורת של ממשקי API מדור קודם
אפשר לראות ולסנן את רשומות הביקורת של פעולות שבוצעו באמצעות ממשקי API מדור קודם בדף Audit בפלטפורמת Google SecOps.
- כדי לפתוח את הדף Audit, עוברים אל Settings > SOAR Settings > Advanced > Audit.
הצגת מדדים חשובים של פעילות המשתמשים
בדף ביקורת מוצגים המדדים העיקריים הבאים של פעילות המשתמשים:
- הפעילויות הנפוצות ביותר
- הרזולוציות הנפוצות ביותר
- המשתמשים הכי פעילים
- הכתובות הפעילות ביותר
- הדפדפנים הנפוצים ביותר
הצגה וסינון של רשימת הפעילויות
בדף ביקורת, אתם יכולים לסנן את רשימת הפעילויות לפי משתמש, מספר או קבוצה כדי למצוא פעילויות ספציפיות.
כדי לראות את פרטי הפעילות:
- כדי לפתוח את חלונית הצד פרטי הפעילות עם מידע נוסף, לוחצים על הצגת פרטים נוספים בכל שורה. התצוגה הזו כוללת את הפרטים הבאים:
- מועד: מועד הפעילות.
- משתמש: המשתמש שביצע את הפעולה.
- מודול: מודול המערכת שהושפע.
- סוג הפעילות: הפעולה שבוצעה.
- כתובת: כתובת ה-IP שממנה בוצעה הפעילות.
- דפדפן: הדפדפן שבו השתמשו לפעילות.
- גודל המסך: רזולוציית המסך ששימשה לפעילות.
- כדי לראות את המידע בערכי פעילות חדשים או בערכי פעילות קודמים, לוחצים על ערך הפעילות הרצוי.
- כדי לראות את ערכי הפעילות החדשים ואת ערכי הפעילות הקודמים, לוחצים על שורת הפעילות הרלוונטית ומעבירים את המתג למצב מופעל.
כדי לבדוק את השינויים בצורה יעילה יותר, אתם יכולים להציג את ערכי הפעילות החדשים ואת ערכי הפעילות הקודמים זה לצד זה בכלי להצגת JSON.
גישה ליומני הביקורת של Chronicle API ב-Cloud Logging
- פותחים את מסוף Google Cloud .
- בתפריט הניווט, נכנסים ל-Logging > Logs Explorer.
כדי לסנן את יומני הביקורת של Google SecOps, משתמשים בשאילתה בכלי ליצירת שאילתות. לדוגמה, אפשר לסנן לפי
resource.type="audited_resource"ושם השירות. שאילתה לדוגמה ליומני ביקורת של Chronicle API:resource.type="audited_resource" protoPayload.serviceName="chronicle.googleapis.com"מריצים את השאילתה כדי להציג את יומני הביקורת שנוצרו על ידי ממשקי ה-API של Chronicle.
פתרון בעיות
בקטע הזה מפורטות הנחיות לפתרון בעיות נפוצות שקשורות למעקב אחרי פעילויות של משתמשים.
זמן אחזור ומגבלות
יומני הביקורת ב-Cloud Logging זמינים בדרך כלל תוך כמה דקות, אבל זמן האחזור יכול להשתנות.
תיקון שגיאות
אם נתקלתם בבעיות בגישה ליומנים, אתם יכולים להיעזר בטבלה הבאה:
| שגיאה | תיאור | תיקון |
|---|---|---|
| אין הרשאה | מוצגת הודעת שגיאה שמציינת שאין לכם הרשאה לצפות ביומנים. | פנו לאדמין כדי לוודא שיש לכם את התפקיד roles/logging.viewer ב-IAM או תפקיד מקביל. |
| לא נמצאו יומנים | יומני הביקורת הצפויים לא מופיעים בLogs Explorer. | ודאו את טווח התאריכים והמסננים בשאילתה. חשוב לוודא שאתם מחפשים יומנים מסוג ה-API הנכון (SOAR API מדור קודם לעומת Chronicle API). כדי לוודא את מיקומי היומנים, עיינו במדריך העברת יומני ביקורת של SOAR. |
הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.