ניהול בקשות תמיכה

נתמך ב:

במסמך הזה מתוארות הפעולות השונות שאפשר לבצע בבקשת תמיכה, כולל עדכון הסטטוס או העדיפות שלה, ניהול ההתראות שמשויכות אליה, יצירת דוחות וביצוע עדכונים בכמות גדולה כדי לייעל את הטיפול בהן.

סימון פנייה כחשובה

כדי להדגיש בקשת תמיכה, אתם יכולים לסמן אותה כחשובה. אפשר גם להסיר את התג חשוב מאותו תפריט.

כדי לסמן בקשת תמיכה כחשובה:

  • לוחצים על format_list_bulleted Case Actions, בוחרים את בקשת התמיכה שרוצים לתייג ולוחצים על Mark as important. ליד בקשת התמיכה יופיע חץ צהוב arrow_drop_up .

סימון פנייה כאירוע

אם בקשת התמיכה שהוקצתה לכם דחופה ודורשת פעולה מיידית, סמנו אותה כאירוע. הפעולה הזו:

  • הגדרת העדיפות של בקשת התמיכה כקריטית
  • משנה את שלב הבקשה לאירוע
  • הקצאת הפנייה למנהל ה-SOC
  • שליחת התראה לכל מנתחי הנתונים

כדי לסמן בקשת תמיכה כאירוע:

  1. בדף Cases, עוברים לבקשת התמיכה הרלוונטית.
  2. לוחצים על format_list_bulleted Case Actions ובוחרים באפשרות Incident.
  3. בתיבת הדו-שיח Confirmation, לוחצים על Yes. הדף מתרענן והאירוע החדש מופיע ברשימת הבקשות עם סמל האירוע וסרגל צד אדום שמציין שהאירוע קריטי. הפנייה מוקצית באופן אוטומטי למשתמש עם התפקיד "מנהל SOC".

שינוי השלב של בקשת התמיכה

אם הוקצתה לכם בקשה, אתם יכולים לעדכן את השלב שלה בהתאם לתהליך העבודה של הצוות.

כדי לשנות את השלב של בקשת התמיכה, פועלים לפי השלבים הבאים:

  1. בוחרים פנייה מהתור.
  2. לוחצים על format_list_bulleted Case Actions ובוחרים באפשרות Stage.
  3. בוחרים באחד מהשלבים הבאים:
    • מיון: השלב הראשוני שבו נוצרת בקשת התמיכה. (זוהי ברירת המחדל)
    • הערכה: הבקשה מועברת לרמה הבאה להערכה.
    • בחקירה: הבקשה הוקצתה לחקירה פעילה של התראות וישויות.
    • שיפור: הבקשה מסומנת כדי לשפר את כללי הזיהוי של SOC או לבדיקת המשך.
    • במחקר: הפנייה הועברה לחקירה מעמיקה יותר לגבי גישה חיצונית או התנהגות שמאיימת על הארגון.
    • אירוע: השלב הסופי של בקשת תמיכה באירועים קריטיים. אחרי שבוחרים באפשרות אירוע, אי אפשר לשנות אותה.
  4. לוחצים על Save.

שינוי העדיפות של בקשת התמיכה

כדי לשנות את העדיפות של בקשת התמיכה:

  1. בוחרים פנייה מהתור.
  2. לוחצים על format_list_bulleted Case Actions ובוחרים באפשרות Priority.
  3. בוחרים אחת מהרמות הבאות, שלכל אחת מהן יש אינדיקטור צבע תואם:
    • אינפורמטיבי (אפור)
    • נמוכה (כחול)
    • בינונית (צהוב)
    • גבוהה (כתום)
    • קריטי (אדום)
  4. לוחצים על OK. רמת העדיפות של הבקשה משתנה.
  5. אופציונלי: לוחצים על דוגמית הצבע כדי לשנות את הצבע של סרגל הפנייה.

הורדת דוח של בקשת תמיכה

אתם יכולים להוריד דוח של בקשת תמיכה בפורמט DOC,‏ XLSX או CSV. הדוחות כוללים את הפרטים הבאים:

  • פרטי הפנייה
  • התראות, ישויות ותובנות
  • פעילויות של משתמשים ושל המערכת
  • פעולות בפלייבוק ופעילות בפנייה
  • כל הרשומות שנכללות בקיר הפניות

כדי להוריד דוח:

  1. בוחרים פנייה מהתור.
  2. לוחצים על format_list_bulleted פעולות בנושא בקשות תמיכה ובוחרים באפשרות דיווח.
  3. בתיבת הדו-שיח בחירת סוג הדוח, בוחרים את סוג הקובץ ולוחצים על בחירה.
  4. פותחים את הקובץ שהורדתם כדי לראות את הדוח.

ניהול התראות בתוך בקשת תמיכה

כדי לנהל התראות ספציפיות בתוך בקשת תמיכה, מבצעים את הפעולות הבאות:

  1. בתפריט אפשרויות התראה (שנמצא בכרטיסייה התראות בממשק הקודם, או בחלונית/בדף של פרטי ההתראה בממשק המשופר), לוחצים על more_vert אפשרויות התראה.
  2. בוחרים אחת מהאפשרויות הזמינות:
    • בדיקת התראה: כדי לקבל מידע נוסף על הדף תוצאות של התראות, לוחצים על בדיקת התראה.
    • הטמעת התראה כמקרה בדיקה: לוחצים על הטמעת התראה כמקרה בדיקה כדי להוסיף מקרה בדיקה חדש למערכת. המערכת מסמנת אותו כמקרה בדיקה לצורך זיהוי. התראות שנקלטו לא נכללות במרכזי בקרה ובדוחות, ולא מקובצות עם התראות אחרות.
    • שינוי העדיפות: מומלץ לשנות את העדיפות של ההתראה ולא של הבקשה. שינוי העדיפות של ההתראה לא משפיע על העדיפות של בקשת התמיכה. איך משנים את רמת העדיפות של ההתראות במקום את רמת העדיפות של בקשות התמיכה?
    • העברת התראה: אם הוקצתה לכם בקשת תמיכה עם כמה התראות, אתם יכולים להעביר את ההתראה לבקשת תמיכה חדשה או להעביר את ההתראה לבקשת תמיכה קיימת. אם בוחרים באפשרות העברת ההתראה לבקשה קיימת, בוחרים את בקשת היעד מהתפריט ולוחצים על העברה.
    • ניהול כללי זיהוי התראות: זמין רק למשתמשי Google Security Operations.
      • אם הכלל הוא כלל מוגדר מראש של Google SecOps, המערכת תפנה אתכם לדף Rules Detection. מידע נוסף זמין במאמר סינון נתונים בתצוגה "זיהויים לפי כללים".
      • אם הכלל הוא כלל לקוח, המערכת תפנה אתכם לדף עורך הכללים. מידע נוסף זמין במאמר ניהול כללים באמצעות עורך הכללים.
      • סגירת ההתראה: סגירת ההתראה בתוך הפנייה. בוחרים ערך בשדה סיבה, שורש הבעיה או מידת התועלת.
        • השדה Usefulness מופיע רק למשתמשי Google SecOps, ועוזר למנתחי הכללים לקבל משוב מדויק יותר על כללי ההתראות מהקלט של הלקוחות.
        • התראות שנסגרו בבקשת תמיכה מופיעות כלא זמינות ומוצג בהן התג Closed. אפשר לסגור התראה רק אם יש התראות אחרות בבקשה והיא הוקצתה לכם.
      • הוספת ישות: הוספה ידנית של ישות קיימת או חדשה להתראה.

הפעלה של פעולה ידנית בפנייה

פעולות ידניות ופעולות בפלייבוק זמינות אחרי שמתקינים את השילוב המתאים מ-Content Hub.

כדי להפעיל פעולה ידנית בפנייה, פועלים לפי השלבים הבאים:

  1. בפנייה שנבחרה, לוחצים על manualactionicon Manual Action.
  2. בתיבת הדו-שיח פעולה ידנית, בוחרים את הפעולה הנדרשת. לדוגמה, בוחרים באפשרות VirusTotalV3 > Enrich URL. מזינים את המידע הנדרש.
  3. בוחרים את ההתראות והישויות שהפעולה תחול עליהן.
  4. לוחצים על Execute כדי להציג את פרטי הפעולה ב-Case Wall.

הדמיית פניות ב-Google SecOps

אתם יכולים לדמות בקשה שמאוכלסת בהתראות ברירת מחדל שנוצרו על ידי המערכת. פניות מדומות שימושיות בסביבות Staging או להדגמות.

אתם יכולים גם ליצור תרחישים בהתאמה אישית או לייבא תרחישים קיימים בפורמט JSON באמצעות קבצים עם הסיומת ‎.CASE.

כדי לדמות מקרה, פועלים לפי השלבים הבאים:

  1. בכותרת Case queue, לוחצים על Add a Case ובוחרים באפשרות Simulate Cases.
  2. בתיבת הדו-שיח Simulate Cases, בוחרים בקשת תמיכה מהרשימה.
  3. לוחצים על יצירה.

יצירת פנייה חדשה

כדי ליצור בקשת תמיכה חדשה לדוגמה:

  1. בתיבת הדו-שיח Simulate Cases, לוחצים על Add or import case ואז על Add New Case.
  2. בתיבת הדו-שיח Add New Case, מזינים את הפרטים הבאים: Source/SIEM Name,‏ Rule Name (Rule Generator),‏ Alert Product,‏ Alert Name,‏ Event Name
  3. אפשר גם לציין:
    • שדות נוספים של התראות
    • שדות נוספים של אירועים
  4. לוחצים על Save. הבקשה מופיעה ברשימה Simulate Cases.
  5. בוחרים את בקשת התמיכה החדשה ולוחצים על Create.
  6. בוחרים את סביבת היעד ולוחצים על Simulate. הפנייה החדשה מופיעה בתור.

ייבוא של בקשת תמיכה לקובץ JSON

כדי לייבא פנייה לקובץ JSON, פועלים לפי השלבים הבאים:

  1. בתיבת הדו-שיח Simulate Cases, לוחצים על Add or import case ואז על Import Case.
  2. בוחרים את בקשת התמיכה הרצויה ולוחצים על פתיחה. הפנייה מיובאת בפורמט JSON.

ביצוע פעולות באצווה על כמה פניות

אפשר לבצע פעולות בכמה בקשות תמיכה בו-זמנית מרשימת הבקשות או מהדף Search.

אלה הפעולות שאפשר לבצע בכמה פריטים בבת אחת:

  • ייצוא ל-CSV: הורדת רשימה של בקשות תמיכה נבחרות והמטא-נתונים שלהן בפורמט CSV, לצורך בדיקה או דיווח אופליין.
  • סגירת בקשת התמיכה: אפשר לסגור בקשות תמיכה באמצעות אפשרויות שונות בממשק, כולל דף הפרטים של בקשת התמיכה, רשימת בקשות התמיכה (תצוגה זה לצד זה ותצוגת רשימה) ודף החיפוש. אחרי שהבעיה נפתרת, אפשר לסגור את בקשת התמיכה.
  • פתיחה מחדש של בקשת התמיכה: פתיחה מחדש של בקשות תמיכה שנסגרו כדי להמשיך את החקירה או את פעולות המעקב.
  • שינוי העדיפות: עדכון רמת העדיפות (נמוכה, בינונית, גבוהה או קריטית) של בקשות התמיכה שנבחרו כדי לשקף את הדחיפות או החומרה.
  • הקצאת בקשה: מקצה בקשה למשתמש או לקבוצה ספציפיים להמשך בדיקה.
  • הוספת תג: הוספה של תג אחד או יותר לבקשות תמיכה שנבחרו כדי לתמוך בכללי סינון, סיווג או כללים אוטומטיים.
  • מיזוג אירועים: שילוב של כמה אירועים קשורים לאירוע אחד כדי לצמצם כפילויות ולרכז את החקירה.
  • שינוי השלב: עדכון השלב של הפניות שנבחרו כדי לשקף את ההתקדמות או הסטטוס שלהן.

כדי לבצע פעולה בכמות גדולה, פועלים לפי השלבים הבאים:

  1. עוברים אל Investigation (חקירה) ולוחצים על SOAR Search (חיפוש SOAR) (או עוברים לתור הבקשות בדף Cases (בקשות)).
  2. בוחרים את מסגרת הזמן של הפניות הרלוונטיות.
  3. בוחרים את הפניות באמצעות המסנן הנדרש.
  4. מסמנים את התיבות כדי להחיל את המסננים הרלוונטיים > אישור.
  5. ברשימה Results, מסמנים את התיבות של בקשות התמיכה שרוצים לשנות.
  6. בוחרים פעולה מהתפריט תוצאות חיפוש.

פעולות מהירות

הווידג'ט Quick Actions מאפשר להגדיר פעולות מהירות לשימוש חוזר שאפשר להפעיל ישירות מבקשות תמיכה ומהתראות. אתם יכולים להוסיף את הווידג'ט הזה לתצוגת הפניות, לתצוגת ההתראות ולתצוגות של ההתראות בהתאמה אישית בפלייבוקים, גם בגרסה הקודמת וגם בגרסה המשופרת.

הגדרת הפרמטרים לפעולות המהירות היא אופציונלית. אם יש פרמטרים, אתם יכולים לבדוק ולשנות אותם לפני ההפעלה. אם משאירים את השדה ריק, צריך למלא את הפרמטרים בזמן הריצה.

אם מסירים שילוב אחרי שמגדירים פעולה מהירה, הכפתור של הפעולה המהירה הרלוונטית מוסתר, והווידג'ט מסומן בתצוגת ההגדרות כדי לציין שחסר שילוב.

הוראות להגדרה:

תרחיש לדוגמה: הגדרת פעולה מהירה לחקירת קובץ זדוני

התרחיש לדוגמה הזה מראה איך ליצור פעולה מהירה שעוזרת לחקור קבצים שעלולים להיות זדוניים בתוך פנייה.

הוספת הווידג'ט "פעולות מהירות"

  1. עוברים אל הגדרות > חקירה > תצוגות.
  2. בוחרים באפשרות Default Case View.
  3. לוחצים על הכרטיסייה כללי.
  4. גוררים את הווידג'ט פעולות מהירות אל Default Case View.

הגדרת הווידג'ט

  1. לוחצים על הגדרות הגדרה.
  2. בחלונית הצדדית Quick Actions, מזינים File Investigation בשדה של שם הווידג'ט.
  3. בתיאור הווידג'ט, מזינים Quickly scan file hashes.
  4. אופציונלי: בוחרים את רוחב הווידג'ט.
  5. לחץ על הגדרות מתקדמות.
  6. בקטע Conditions, מגדירים את הקריטריונים להצגת הווידג'ט. כדי להציג את הווידג'ט רק כשבקשת תמיכה מתויגת בתג malicious-file, משתמשים בתנאי Case.Tags מכיל את malicious-file.

כפתור להוספת גיבוב (hash) של סריקה

  1. בטקסט, אתם יכולים לספק הוראות או הקשר ישירות בתוך הווידג'ט. בתרחיש לדוגמה הזה, מוסיפים את הטקסט הבא: Use the 'Scan Hash' button to check suspicious files.
  2. בקטע Buttons (כפתורים), לוחצים על ‎+ Add New Button (הוספת כפתור חדש) כדי ליצור פעולה מהירה חדשה. אפשר להוסיף עד שישה כפתורים, שכל אחד מהם מתאים לפעולה מהירה אחרת.
  3. בתיבת הדו-שיח Add Button שמופיעה, מגדירים את הפעולה המהירה (Scan Hash):
    • Name: Scan Hash
    • צבע הכפתור: בוחרים צבע.
    • פעולה: בוחרים באפשרות סריקת גיבוב (hash) מהקטע VirusTotal ברשימה פעולה.
    • אופציונלי: בוחרים את המכונה הרלוונטית ל-VirusTotal.
    • אופציונלי: בקטע פרמטרים, מגדירים את הפרמטר גיבוב (hash):
      גיבוב (hash): [Case.FileHash]
  4. בתיבת הדו-שיח Add Button, לוחצים על Close.
  5. בחלונית הצדדית פעולות מהירות, לוחצים על שמירה.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.