ביצוע בחירה של ישות

נתמך ב:

במאמר הזה מוסבר איך Google Security Operations מחלצת ישויות מהתראות שנבלעות ומשתמשת בהן. כש-Google SecOps קולטת התראה, היא כוללת גם את אירועי האבטחה הבסיסיים. האירועים האלה מנותחים כדי לחלץ אינדיקטורים מרכזיים – כמו כתובות IP, שמות משתמשים ודומיינים – שבהמשך עוברים מודלים כאובייקטים שנקראים ישויות. כל ישות כוללת קבוצה משלה של מאפיינים.

הצגת המאפיינים של ישות

  1. בדף Cases, בוחרים בקשת תמיכה. בתצוגת ברירת המחדל של כרטיס הטיפול, ישויות מופיעות בקטע Entity Highlights בכרטיסייה Case Overview (או בכרטיסייה Alerts בגרסה הקודמת).
  2. לוחצים על הצגת פרטים כדי לפתוח מגירה צדדית שבה מוצגים כל המאפיינים של הישות שנבחרה.
  3. לוחצים על שם של ישות כדי לפתוח את הכלי לבדיקת ישויות בכרטיסייה חדשה. בכלי לבדיקת ישויות מוצגות כל בקשות התמיכה שמשויכות לישות שנבחרה.

פעולת בחירת ישות

כשמתקבלת התראה, מתבצעת הפעלה אוטומטית או חצי-אוטומטית של תוכנית פעולה, בהתאם לתנאים שהוגדרו. ‫Google SecOps משתמשת ב-playbooks האלה כדי לקבוע איך לטפל בהתראה.

כל פעולה ב-Playbook פועלת על קבוצה ספציפית של ישויות. הפעולה Entity Selection מאפשרת להגדיר את הקבוצות האלה על סמך מאפייני הישות. לדוגמה, אתם יכולים ליצור קבוצה שמכילה רק ישויות פנימיות, כדי להשתמש בה עם פעולות שמותאמות לנכסים פנימיים.

משתמשים בפעולה Entity Selection כדי ליצור קבוצות שונות בהתאם ללוגיקה שרוצים להחיל. כשמשתמשים בשיטה הזו, כל פעולה מתבצעת רק על הישויות הרלוונטיות.

יצירת קבוצת ישויות חדשה

כדי ליצור קבוצת ישויות באמצעות הפעולה בחירת ישויות, פועלים לפי השלבים הבאים:

  1. עוברים לדף Playbooks ולוחצים על Open Step Selection (פתיחת בחירת השלבים).
  2. בכרטיסייה בחירת שלב, בוחרים באפשרות פעולות > מסלול.
  3. גוררים את Entity Selection לתיבה השנייה עם הכיתוב Drag a step over here.
  4. לוחצים לחיצה כפולה על התיבה Entity Selection (בחירת ישויות) כדי להגדיר את קבוצת הישויות החדשה.
  5. מוסיפים את התנאים שנדרשים כדי לבחור את קבוצת הישויות החדשה. לדוגמה, אפשר לבחור את כל ישויות כתובות ה-IP שהועשרו על ידי VirusTotal v3 וסומנו כזדוניות על ידי יותר מעשרה מנועים.
  6. אחרי שמגדירים את קבוצת הישויות החדשה, היא זמינה לכל הפעולות הבאות במדריך.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.