שילוב של Alexa עם Google SecOps

במאמר הזה מוסבר איך לשלב את Alexa עם Google Security Operations.

תרחישים לדוגמה

השילוב של Alexa משתמש ביכולות של Google SecOps כדי לתמוך בתרחישים הבאים:

  • העשרת נתונים לגבי הפופולריות של כתובות URL: הוספת דירוגים גלובליים של תנועה באתרים לכתובות URL במקרים שבהם צריך להבחין בין אתרים מבוססים לבין דומיינים לא מוכרים.
  • מיון דומיינים חשודים: סימון אוטומטי של דומיינים עם נפח תנועה נמוך כחשודים במהלך חקירות של פישינג או תוכנות זדוניות.
  • הסלמה אוטומטית של התראות: ניתוב של פלייבוקים כשדומיין יורד מתחת לסף הפופולריות, כדי שאנליסטים יוכלו לתעדף כתובות URL חשודות.

לפני שמתחילים

לפני שמגדירים את השילוב של Alexa ב-Google SecOps, צריך לבצע את השלבים הבאים:

  1. יוצרים פרטי כניסה למפתח גישה ל-AWS במכונה של Google SecOps.
  2. להגדיר הרשאות גישה עם הרשאות מינימליות בניהול הזהויות והרשאות הגישה של AWS.
  3. בודקים את החיבור לרשת בין Google SecOps לבין Alexa Web Information Service.

יצירת פרטי כניסה למפתח גישה ל-AWS

כדי להתחבר ל-Alexa Web Information Service, צריך ליצור משתמש IAM ייעודי ב-AWS במקום להשתמש בפרטי כניסה לחשבון הבסיס, וליצור זוג מפתחות גישה לפרמטרים של השילוב:

  • ‫Access key id: מזהה מפתח הגישה של משתמש AWS IAM הייעודי.
  • ‫Secret access key: מפתח הגישה הסודי שמשויך למזהה של מפתח הגישה. שמרו את המפתח הזה כשאתם יוצרים אותו, כי AWS לא מאפשרת לכם לראות שוב מפתח סודי קיים בשלב מאוחר יותר.

במסמכי התיעוד של AWS Identity and Access Management מוסבר איך יוצרים מפתחות גישה למשתמשים ב-IAM.

הגדרת הרשאות גישה לפי עיקרון ההרשאה המינימלית

לתת למשתמש ה-IAM הייעודי רק את ההרשאות שנדרשות כדי לשלוח שאילתות ל-Alexa Web Information Service, במקום הרשאת אדמין מלאה. במסמכי התיעוד של AWS Identity and Access Management מוסבר איך לצרף כללי מדיניות.

בטבלה הבאה מפורטות ההרשאות המינימליות ב-AWS שנדרשות לכל פעולה:

פעולה שירות AWS ההרשאה הנדרשת תיאור
Get URL Rank awis awis:UrlInfo מאחזר דירוגים של תנועה לאתרים לפי כתובות URL.
פינג awis awis:UrlInfo בודק את החיבור ומאמת את פרטי הכניסה ל-AWS.

בדיקת החיבור לרשת

מוודאים שהמכונה של Google SecOps או הסוכן המרוחק מאפשרים תנועת HTTPS יוצאת לנקודת הקצה של Alexa Web Information Service שמפורטת בטבלה הבאה:

מארח היעד יציאת ברירת המחדל כיוון פרוטוקול
awis.us-west-1.amazonaws.com 443 להעברת נתונים HTTPS

פרמטרים של שילוב

כדי לשלב את Alexa, צריך להגדיר את הפרמטרים הבאים:

פרמטר תיאור
Access key id

חובה.

מזהה מפתח הגישה של AWS שמשמש להתחברות ל-Alexa Web Information Service.
Secret access key

חובה.

מפתח הגישה הסודי של AWS שמשויך ל-Access key id.

איך מגדירים שילובים ב-Google SecOps

אם צריך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופע של אינטגרציה, אפשר להשתמש בו בפלייבוקים. במאמר תמיכה במספר מופעים מוסבר איך להגדיר מספר מופעים ולתמוך בהם.

פעולות

מידע נוסף על פעולות זמין במאמרים מענה לפעולות בהמתנה משולחן העבודה והפעלה ידנית של פעולה בבקשת התמיכה.

קבלת דירוג כתובת ה-URL

הפעולה Get URL Rank מאפשרת לבדוק את דירוג התנועה הגלובלי של כתובות URL ולזהות אתרים לא מוכרים או אתרים עם תנועה נמוכה שעשויים להיות חשודים.

הפעולה הזו פועלת בישות URL של Google SecOps.

קלט של הפעולה

הפעולה Get URL Rank דורשת את הפרמטרים הבאים:

פרמטר תיאור
Threshold

חובה.

מגבלת הדירוג שמשמשת לסימון אתרים לא מוכרים, כמו 100000. אתרים עם דירוג גבוה מהערך הזה מקבלים פחות תנועה ומסומנים כחשודים.

ערכי פלט של פעולות

הפעולה Get URL Rank (קבלת דירוג כתובת URL) מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרת ישויות יש גישה
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
העשרת ישויות

הפעולה Get URL Rank תומכת בהעשרת הישויות הבאות:

שם שדה ההעשרה תיאור
Alexa_Rank דירוג התנועה הגלובלי של האתר ב-Alexa.
תוצאת JSON

הדוגמה הבאה מציגה את פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Get URL Rank:

[
  {
    "EntityResult": {
      "TrafficData": [
        {
          "text": "          ",
          "DataUrl": [
            {
              "text": "domain.com",
              "type": "canonical"
            }
          ],
          "Rank": [
            {
              "text": "5"
            }
          ]
        }
      ],
      "text": "        ",
      "Request": [
        {
          "text": "          ",
          "Arguments": [
            {
              "text": "            ",
              "Argument": [
                {
                  "text": "              ",
                  "Name": [
                    {
                      "text": "url"
                    }
                  ],
                  "Value": [
                    {
                      "text": "domain.com"
                    }
                  ]
                },
                {
                  "text": "              ",
                  "Name": [
                    {
                      "text": "responsegroup"
                    }
                  ],
                  "Value": [
                    {
                      "text": "Rank"
                    }
                  ]
                }
              ]
            }
          ]
        }
      ]
    },
    "Entity": "domain.com"
  }
]
הודעות פלט

הפעולה Get URL Rank מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Following domains were enriched by Alexa.

ENTITY_ID: Rank: RANK

 הפעולה בוצעה בהצלחה.
No entities were enriched.

הפעולה נכשלה.

חשוב לוודא שהפנייה כוללת לפחות כתובת URL אחת תקינה.
Request Error: (ERROR_CODE)

הפעולה נכשלה.

צריך לוודא שפרטי הכניסה ל-AWS נכונים, שלמשתמש ב-IAM יש הרשאה לשלוח שאילתות ל-Alexa Web Information Service ושהרשת יכולה להגיע לשירות.
תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט הסקריפט כשמשתמשים בפעולה Get URL Rank:

שם תוצאת הסקריפט ערך
is_risky true או false

פינג

משתמשים בפעולה Ping כדי לבדוק את החיבור לאלכסה ולוודא שפרטי הכניסה ל-AWS פועלים.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

אין.

ערכי פלט של פעולות

הפעולה פינג מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרת ישויות לא זמין
תוצאת JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

הפעולה פינג מספקת את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Connected Successfully הפעולה בוצעה בהצלחה.
test_connectivity Error: (ERROR_REASON)

הפעולה נכשלה.

צריך לוודא שפרטי הכניסה ל-AWS נכונים, שלמשתמש ב-IAM יש הרשאה לשלוח שאילתות ל-Alexa Web Information Service ושהרשת יכולה להגיע לשירות.
תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט הסקריפט כשמשתמשים בפעולה פינג:

שם תוצאת הסקריפט ערך
is_succeed true או false

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.