שילוב של Web Risk עם Google SecOps

במאמר הזה מוסבר איך לשלב את Web Risk עם Google Security Operations.

תרחישים לדוגמה

השילוב של Web Risk משתמש ביכולות של Google SecOps כדי לתמוך בתרחישים הבאים:

• חיפושים של מוניטין של כתובות URL: בדיקת כתובות URL מול הרשימות של Google של משאבים זדוניים ידועים כדי לזהות פישינג, תוכנות זדוניות ותוכנות לא רצויות.

• העשרת אירועים: העשרה אוטומטית של התראות אבטחה באמצעות מודיעין איומי סייבר מ-Web Risk, כדי לעזור לאנליסטים לתעדף איומים ולהגיב להם.

• הפחתת הסיכון של כתובות URL זדוניות: שילוב בדיקות של Web Risk בפלייבוקים כדי לחסום או לסמן באופן אוטומטי דומיינים בסיכון גבוה שזוהו במהלך החקירות.

• תגובה אוטומטית לפישינג: אימות קישורים חשודים שחולצו מאימיילים שדווחו על ידי משתמשים כדי לאשר ניסיונות פישינג ולהפעיל פעולות הכלה אוטומטיות, כמו התראה למשתמש או איפוס פרטי כניסה.

• אימות מידע חיצוני: הצלבת כתובות URL מפידים של איומים מצד שלישי עם הרשימות המהימנות של Googleכדי לצמצם את מספר התוצאות החיוביות המוטעות ולאשר כוונות זדוניות לפני ביצוע פעולות הרסניות.

לפני שמתחילים

לפני שמגדירים את השילוב של Web Risk ב-Google SecOps, צריך לבצע את הפעולות הבאות:

1. יוצרים חשבון שירות.

2. בוחרים אחת משיטות האימות הבאות ומגדירים אותה:

   • אפשרות 1: Workload Identity (מומלץ): בשיטה הזו משתמשים בטוקני גישה זמניים לטווח קצר באמצעות התחזות לחשבון שירות, כך שלא צריך לאחסן סודות.

   • אפשרות 2: מפתח JSON של חשבון שירות: השיטה הזו מסתמכת על קובץ מפתח סודי סטטי לטווח ארוך. השתמשו בשיטה הזו רק אם אימות של Workload Identity לא זמין בסביבה שלכם.

יצירה של חשבון שירות

כדי ליצור חשבון שירות לשילוב, מבצעים את השלבים הבאים:

1. במסוף Google Cloud , נכנסים לדף IAM & Admin > Service Accounts.

   לדף Service accounts

2. לוחצים על addCreate service account ונותנים שם ותיאור.

3. לוחצים על סיום כדי לסיים את יצירת החשבון. כתובת האימייל של חשבון השירות הזה משמשת בתהליך הגדרת האימות.

הגדרת פרטי הכניסה של Workload Identity

כדי לאמת את השילוב, אפשר לבחור בשיטה הזו או בשיטת מפתח ה-JSON. השיטה המומלצת והמאובטחת יותר היא Workload Identity, כי היא משתמשת בטוקני גישה זמניים לטווח קצר באמצעות התחזות לחשבון שירות, וכך לא צריך לאחסן או להחליף סודות לטווח ארוך.

זיהוי המופע הייחודי של הזהות

כדי לבצע אימות באמצעות Workload Identity, צריך לתת למכונה של Google SecOps הרשאה להתחזות לחשבון השירות. כך המכונה יכולה לגשת בצורה מאובטחת למשאבים של Google Cloud .

1. ב-Google SecOps, עוברים אל Content Hub > Response Integrations.

2. בוחרים את השילוב של Web Risk ומזינים את כתובת האימייל של חשבון השירות בשדה Workload Identity Email.

3. מזינים מזהה פרויקט תקין בשדה Quota Project ID.

4. לוחצים על שמירה > בדיקה. הבדיקה צפויה להיכשל.

5. לוחצים על close_small משמאל ל-Test ומחפשים בהודעת השגיאה את כתובת האימייל של הזהות שמתחילה ב-gke-init-python@... או ב-soar-python@....

6. מעתיקים את כתובת האימייל הייחודית הזו.

אישור זהות המכונה ב- Google Cloud

אחרי שמאחזרים את הזהות הייחודית של המכונה של Google SecOps, צריך לתת לה הרשאה לגשת למשאבים שלGoogle Cloud . השלב הזה מאפשר התחזות לחשבון שירות, שמאפשרת לפלטפורמה ליצור אסימונים לטווח קצר ולפעול בשמכם בלי צורך במפתחות סטטיים.

1. במסוף Google Cloud , נכנסים לדף IAM & Admin > Service Accounts.

   לדף Service accounts

2. בוחרים את חשבון השירות הרצוי ועוברים אל Permissions > Grant Access.

3. מדביקים את כתובת האימייל הייחודית בשדה New principals ומקצים את התפקיד Service Account Token Creator (roles/iam.serviceAccountTokenCreator).

מתן גישה לפרויקט המכסות

כשמבצעים אימות באמצעות Workload Identity, צריך לציין Quota Project ID בהגדרות השילוב כדי לעקוב אחרי השימוש ב-API והחיוב.

כדי לאשר את זה, צריך להקצות לחשבון השירות את התפקיד הבא בפרויקט המכסות הייעודי:

1. במסוף Google Cloud , נכנסים לדף IAM & Admin > IAM ובוחרים את הפרויקט.

   כניסה לדף IAM

2. מאתרים את חשבון השירות ברשימת חשבונות המשתמשים ולוחצים על edit(Edit principal) בחשבון הזה.

3. לוחצים על Add another role ובוחרים את התפקיד Service Usage Consumer (roles/serviceusage.serviceUsageConsumer).

4. לוחצים על Save.

הגדרת מפתח JSON

כדי לאמת את השילוב, בוחרים בשיטה הזו או בשיטת Workload Identity. השתמשו בשיטת מפתח ה-JSON רק אם Workload Identity לא זמין בסביבה שלכם. הגישה המומלצת והמאובטחת יותר היא להשתמש ב-Workload Identity. השיטה הזו מסתמכת על קובץ מפתח סודי סטטי לטווח ארוך, שצריך לנהל ולהחליף באופן ידני.

כדי ליצור את קובץ מפתח ה-JSON שנדרש לאימות השילוב, פועלים לפי השלבים הבאים:

1. במסוף Google Cloud , נכנסים לדף IAM & Admin > Service Accounts ובוחרים את חשבון השירות שיצרתם.

   לדף Service accounts

2. עוברים לכרטיסייה Keys.

3. לוחצים על Add key > Create new key.

4. בוחרים באפשרות JSON בתור סוג המפתח ולוחצים על Create. הדפדפן מוריד את קובץ ה-JSON למחשב.

5. מעתיקים את כל התוכן של הקובץ הזה ומדביקים אותו ב-Service Account JSON File Content במהלך הגדרת השילוב.

פרמטרים של שילוב

כדי לשלב את Web Risk, צריך להגדיר את הפרמטרים הבאים:

פרמטר	תיאור
Workload Identity Email	זה שינוי אופציונלי. כתובת האימייל של הלקוח בחשבון השירות. צריך להגדיר את הפרמטר הזה רק אם מבצעים אימות באמצעות Workload Identity. אם מגדירים את הפרמטר הזה, צריך להגדיר גם את Quota Project ID.
Service Account JSON File Content	זה שינוי אופציונלי. התוכן המלא של קובץ המפתח בפורמט JSON של חשבון השירות. צריך להגדיר את הפרמטר הזה רק אם מבצעים אימות באמצעות מפתח JSON.
Quota Project ID	זה שינוי אופציונלי. מזהה הפרויקט ב- Google Cloud שמשמש למעקב אחרי השימוש ב-API ולחיוב. הפרמטר הזה נדרש אם אתם מבצעים אימות באמצעות Workload Identity.
Project ID	זה שינוי אופציונלי. מזהה הפרויקט ב- Google Cloud שבו רוצים להשתמש בשילוב. אם לא מציינים ערך, השילוב מאחזר את המזהה מפרטי הכניסה של חשבון השירות.
Verify SSL	חובה. אם בוחרים באפשרות הזו, השילוב מאמת את אישור ה-SSL כשמתחברים לשרת Web Risk. מופעלת כברירת מחדל.

איך מגדירים שילובים ב-Google SecOps

אם צריך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופע של אינטגרציה, אפשר להשתמש בו בפלייבוקים. במאמר תמיכה במספר מופעים מוסבר איך להגדיר מספר מופעים ולתמוך בהם.

פעולות

מידע נוסף על פעולות זמין במאמרים מענה לפעולות בהמתנה משולחן העבודה והפעלה ידנית של פעולה בבקשת התמיכה.

העשרת ישויות

משתמשים בפעולה Enrich Entities כדי להחזיר מידע על ישויות של Google SecOps מ-Web Risk.

הפעולה הזו פועלת בישות URL של Google SecOps.

קלט של הפעולה

אין.

ערכי פלט של פעולות

הפעולה Enrich Entities מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
חיבור לקיר של המארז	לא זמין
קישור ללוח הפניות	לא זמין
שולחן קונסולה צמוד לקיר	לא זמין
טבלת העשרת ישויות	יש גישה
תוצאת JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

טבלת העשרת ישויות

הפעולה Enrich Entities יכולה להעשיר את הישות URL ולספק את תוצאות ההעשרה הבאות:

שם שדה ההעשרה	מקור (מפתח JSON)	תחולה
threatTypes	קובץ ה-CSV של סוגי האיומים.	כשהוא זמין בתוצאת ה-JSON.

תוצאת JSON

בדוגמה הבאה מוצג פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Enrich Entities:

{
   "Entity": "Entity",
   "EntityResult": [
       {
           "expireTime": "2024-12-20T13:47:20.786242980Z",
           "threatTypes": [
               "SOCIAL_ENGINEERING_EXTENDED_COVERAGE"
           ]
       }
   ]
}

הודעות פלט

הפעולה Enrich Entities יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully enriched the following entities in Web Risk: ENTITY_ID. The action wasn't able to enrich the following entities in Web Risk: ENTITY_ID. No information was found for the provided entities.	הפעולה בוצעה בהצלחה.
Error executing action "Enrich Entities". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה העשרת ישויות:

שם תוצאת הסקריפט	ערך
is_success	True או False

פינג

משתמשים בפעולה Ping כדי לבדוק את הקישוריות ל-Web Risk.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

אין.

ערכי פלט של פעולות

הפעולה פינג מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
חיבור לקיר של המארז	לא זמין
קישור ללוח הפניות	לא זמין
שולחן קונסולה צמוד לקיר	לא זמין
טבלת העשרה	לא זמין
תוצאת JSON	לא זמין
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

הודעות פלט

הפעולה Ping יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully connected to the Web Risk server with the provided connection parameters!	הפעולה בוצעה בהצלחה.
Failed to connect to the Web Risk server! Error is ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את הפרמטרים של הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט הסקריפט כשמשתמשים בפעולה פינג:

שם תוצאת הסקריפט	ערך
is_success	True או False

שליחת ישויות

כדי לשלוח ישויות לניתוח ב-Web Risk, משתמשים בפעולה Submit Entities.

הפעולה הזו היא אסינכרונית. בסביבת הפיתוח המשולבת (IDE) של Google SecOps, משנים את ערך הזמן הקצוב לתפוגה של הסקריפט לפעולה, לפי הצורך.

הפעולה הזו פועלת בישות URL של Google SecOps.

קלט של הפעולה

הפעולה Submit Entities דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Abuse Type	זה שינוי אופציונלי. סוג ההתנהלות הפוגענית שמשויך לדיווח. מידע נוסף על סוגי התנהלות פוגעת זמין במאמר AbuseType. הערכים האפשריים הם: Select One Malware Social Engineering Unwanted Software ערך ברירת המחדל הוא Select One.
Confidence Level	זה שינוי אופציונלי. רמת הסמך של השליחה. מידע נוסף על רמות סמך זמין במאמרים Confidence ו-ConfidenceLevel. הערכים האפשריים הם: Select One Low Medium High ערך ברירת המחדל הוא Select One.
Justification	זה שינוי אופציונלי. ההצדקה לשליחה. למידע נוסף על אפשרויות ההצדקה, ראו JustificationLabel. הערכים האפשריים הם: Manual Verification User Report Automated Report ערך ברירת המחדל הוא User Report.
Comment	זה שינוי אופציונלי. תגובה שמסבירה את הסיבה לשליחה.
Region Code	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של קודי Common Locale Data Repository ‏ (CLDR) של מדינות או אזורים שמשויכים לתוכן שנשלח. מידע נוסף על שליחת בקשות זמין במאמר שליחת בקשה.
Platform	זה שינוי אופציונלי. סוג הפלטפורמה שבה זוהתה השליחה. הערכים האפשריים הם: Select One Android iOS MacOS Windows ערך ברירת המחדל הוא Select One.
Skip Waiting	זה שינוי אופציונלי. אם האפשרות הזו נבחרת, הפעולה מאתחלת את השליחה ולא ממתינה לסיום שלה. ערך ברירת המחדל הוא True.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.