סקירה כללית על חקירה וניהול בקשות תמיכה

נתמך ב:

מערכת Google Security Operations קולטת התראות ממגוון רחב של מקורות. כל התראה כוללת את אירועי האבטחה הבסיסיים שלה ואת האינדיקטורים המרכזיים (כמו מקורות, יעדים וארטיפקטים), שעוברים ניתוח ופירוק. במהלך הניתוח הזה, מופקים אינדיקטורים מרכזיים – כמו כתובות IP של מקור ויעד, גיבובים של קבצים או חשבונות משתמשים – והם מוצגים כישויות. ישויות הן אובייקטים קבועים בפלטפורמה. הם אוספים נתוני העשרה, תגובות של אנליסטים והקשר היסטורי, ומאפשרים לאנליסטים לעקוב אחרי התנהגות של ישויות לאורך זמן ובמקרים שונים. ישויות מופיעות גם בלוח הציור הוויזואלי כדי להמחיש את הקשרים בסביבת האיומים.

יצירה וקיבוץ של בקשות תמיכה

בדף Cases, מנתחי נתונים יכולים לבדוק התראות נכנסות ולנהל תהליכי עבודה של אירועים. אנליסטים יכולים גם:

  • קיבוץ אוטומטי של התראות נוספות במקרים קיימים על סמך ישויות משותפות וכללים שניתנים להגדרה.
  • יצירת בקשות תמיכה באופן ידני או הדמיה של בקשות תמיכה למטרות בדיקה והדרכה.

הכותרת ומצבי התצוגה של תור הפניות

כל המקרים הפעילים ממחברים שונים מופיעים בתור הפניות להקצאה. כל רשומה של מקרה מציגה מטא-נתונים מרכזיים, כמו:

  • שם הפנייה ומזהה ייחודי
  • חותמת הזמן של הפנייה
  • מספר ההתראות המשויכות
  • האנליסט שהוקצה (עם אווטאר)
  • רמת העדיפות והשלב של בקשת התמיכה (אופציונלי, בהתאם לתצוגה)

אנליסטים יכולים לעבור בין התצוגות האלה:

  • תצוגת ברירת מחדל: מוצגים כרטיסי פרטים עם מידע חיוני.
  • תצוגה קומפקטית: מצמצמת את העומס החזותי כדי לאפשר סריקה מהירה יותר.
  • תצוגת רשימה: כל הפניות מוצגות בפורמט של טבלה, כדי לבצע פעולות בכמות גדולה או סינון.

סרגל עליון של תיק

בסרגל העליון של כרטיס הפנייה מוצג ההקשר ברמת הפנייה והפעולות הזמינות, באופן הבא:

פרטים נוספים מופיעים במאמר מה מופיע בדף בקשות התמיכה?

הכרטיסייה 'בקשות תמיכה'

כל פנייה כוללת כמה כרטיסיות שעוזרות לאנליסטים לבדוק את נתוני הפנייה, לחקור אותם ולפעול בהתאם. בכרטיסיות האלה מאורגן מידע חשוב – מסיכומים כלליים ועד ליומנים מפורטים ולנתוני התראות – בפורמט עקבי ונוח לניווט.

הכרטיסייה 'סקירה כללית של בקשות התמיכה'

בכרטיסייה סקירה כללית של בקשת התמיכה מוצגים ווידג'טים ספציפיים לבקשת התמיכה שהוגדרו על ידי האדמין. פרטים נוספים מופיעים במאמר סקירה כללית על הכרטיסייה 'סקירת בקשה'.

הכרטיסייה Case Wall

בכרטיסייה Case Wall מוצג יומן כרונולוגי של כל האירועים והפעולות שקשורים לכרטיס, מהיצירה ועד לסגירה. כשפותחים את הכרטיסייה הזו, אפשר לראות מידע שקשור לבקשת התמיכה, כמו משימות, תגובות של משתמשים, הודעות צ'אט שמוצמדות, פעולות ידניות ופעולות של המערכת וקבצים מצורפים (עד 50MB לכל קובץ). כל סוג תוכן מיוצג על ידי סמל בחלק העליון של קיר הפניות.

פעולות שאפשר לבצע בכרטיסייה הזו:

  • לוחצים על הצגת תוצאות נוספות כדי להציג גם את התוצאות בממשק המשתמש הרגיל וגם את נתוני ה-JSON התואמים.
  • כדי לראות את פרטי האירוע, לוחצים על אחד או יותר מסמלי האירועים.
  • כדי לראות את האירועים של כל ההתראות בתיק, בוחרים באפשרות כל ההתראות.
    • סמל תיאור
    סמל פרטי הפעולה הטבלה מציגה את הפעולות שבוצעו בהתראות, כולל שם הפעולה, חותמת הזמן, שם ההתראה, התוצאה והסטטוס (הושלם או התרחשה שגיאה).
    לוחצים על הצגת פרטים נוספים כדי להרחיב את התוצאות, הפרמטרים והישויות המושפעות. כדי לכווץ את התצוגה, לוחצים על הצגת פחות.
    סמל לשינוי סטטוס הפנייה מוצגים כל השינויים בסטטוס של הפנייה שנוצרו על ידי המערכת ועל ידי המשתמש, כמו עדכונים בשם, בשלב, בסדר העדיפויות, בהקצאה ובסגירה.
    סמל של פרטי המשימה הצגת פעילות שקשורה למשימה. כשמשימה מסתיימת, לוחצים על השלמת המשימה. הסטטוס מתעדכן להושלם, ומוצגים חותמת זמן וההערות שלכם.
    סמל של תגובה התגובות שנוספו באופן ידני או באמצעות הפעולה Case Comment.
    סמל של שיחה מוצמדת הצגת הודעות מוצמדות מתיבת הדו-שיח הודעה מיידית.
    סמל של פריט מועדף כדי להציג פריטים שמסומנים כמועדפים ב-Case Wall, לוחצים על סמל הכוכב הצהוב.
    סמל המיון מיון יומני אירועים לפי חותמת זמן, מהחדש לישן או מהישן לחדש.
    סמל התובנות מוצגות בו תובנות כלליות ואזהרות לגבי המקרה והישויות שמשויכות אליו.
  • הכרטיסייה Alert Overview (סקירה כללית של ההתראות): מציגה רשימה של כל ההתראות שמקושרות למקרה, כולל אירועים ומטא-נתונים משויכים. בכרטיסייה הזו מוצגים אירועים ומידע חשובים שקשורים לתיק.
  • בתור של הפניות לטיפול – שמתעדכן אוטומטית כל דקה – מופיעות כל הפניות הפעילות לטיפול. אפשר גם לעדכן, למיין, לסנן, להוסיף או לסגור פניות לטיפול באופן ידני לפי הצורך.

אוטומציה של פלייבוק

Playbooks הם קבוצות מוגדרות מראש של פעולות שאוספות מידע ממקורות פנימיים וחיצוניים של התראות. לאחר מכן הם מחליטים איך לטפל בהתראות האלה או לבצע פעולות במערכות מרוחקות, כמו חסימת יציאת חומת אש או השבתת משתמש ב-Active Directory. ‫Google SecOps מבצע את הפעולות האלה באופן אוטומטי או חצי-אוטומטי על סמך טריגרים של playbook בכל הטמעה של התראות.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.