שילוב של Web Risk עם Google SecOps

במסמך הזה מוסבר איך לשלב את Web Risk עם Google Security Operations.

תרחישים לדוגמה

השילוב של Web Risk משתמש ביכולות של Google SecOps כדי לתמוך בתרחישי השימוש הבאים:

• חיפושים של מוניטין כתובות URL: בדיקת כתובות URL מול רשימות של משאבים זדוניים ידועים של Google כדי לזהות פישינג, תוכנות זדוניות ותוכנות לא רצויות.

• העשרת אירועים: העשרה אוטומטית של התראות אבטחה במידע על איומים מ-Web Risk, כדי לעזור לאנליסטים לתעדף את האיומים ולהגיב להם.

• צמצום הסיכון מכתובות URL זדוניות: שילוב של בדיקות Web Risk ב-playbooks כדי לחסום או לסמן אוטומטית דומיינים בסיכון גבוה שמזוהים במהלך חקירות.

• אוטומציה של תגובה לפישינג: אימות קישורים חשודים שחולצו מאימיילים שדווחו על ידי משתמשים כדי לאשר ניסיונות פישינג ולהפעיל פעולות אוטומטיות של בלימה, כמו התראה למשתמשים או איפוס של פרטי הכניסה.

• אימות של נתונים חיצוניים: הצלבת נתונים בין כתובות URL מפידים של איומים מצד שלישי לבין רשימות של Googleעם רמת דיוק גבוהה, כדי לצמצם את מספר התוצאות החיוביות הכוזבות ולאשר כוונות זדוניות לפני ביצוע פעולות הרסניות.

לפני שמתחילים

לפני שמגדירים את השילוב של Web Risk ב-Google SecOps, צריך לוודא שמתקיימות הדרישות המוקדמות הבאות:

1. יוצרים חשבון שירות.

2. בוחרים ומגדירים אחת משיטות האימות הבאות:

   • אפשרות 1: Workload Identity (מומלץ): בשיטה הזו נעשה שימוש באסימוני גישה זמניים לטווח קצר באמצעות התחזות לחשבון שירות, כך שלא צריך לאחסן סודות.

   • אפשרות 2: מפתח JSON של חשבון שירות: השיטה הזו מסתמכת על קובץ מפתח סודי סטטי לטווח ארוך. משתמשים בשיטה הזו רק אם אימות Workload Identity לא זמין בסביבה שלכם.

יצירה של חשבון שירות

כדי ליצור חשבון שירות לשילוב, פועלים לפי השלבים הבאים:

1. במסוף Google Cloud , נכנסים אל IAM & Admin > Service Accounts.

   לדף Service accounts

2. לוחצים על addCreate service account ומזינים שם ותיאור.

3. לוחצים על סיום כדי לסיים את יצירת החשבון. כתובת האימייל של חשבון השירות הזה משמשת במהלך תהליך הגדרת האימות.

הגדרת פרטי כניסה של Workload Identity

כדי לאמת את השילוב, בוחרים בשיטה הזו או בשיטת מפתח ה-JSON. הגישה המומלצת והמאובטחת יותר היא Workload Identity, כי היא משתמשת באסימוני גישה זמניים לטווח קצר באמצעות התחזות לחשבון שירות, וכך אין צורך לאחסן או לחדש סודות לטווח ארוך.

זיהוי הזהות הייחודית של המופע

כדי לבצע אימות באמצעות Workload Identity, צריך להעניק למופע Google SecOps הרשאה להתחזות לחשבון השירות. כך המופע יכול לגשת למשאבים של Google Cloud בצורה מאובטחת.

1. ב-Google SecOps, עוברים אל Content Hub > Response Integrations.

2. בוחרים את השילוב Web Risk ומזינים את כתובת האימייל בחשבון השירות בWorkload Identity Email.

3. מזינים מזהה פרויקט תקין במזהה פרויקט של מכסת השימוש.

4. לוחצים על שמירה > בדיקה. הבדיקה צפויה להיכשל.

5. לוחצים על close_small משמאל לבדיקה ומחפשים בהודעת השגיאה את כתובת האימייל של הזהות שמתחילה ב-gke-init-python@... או ב-soar-python@....

6. מעתיקים את כתובת האימייל הייחודית הזו.

איך מאשרים את זהות המכונה ב- Google Cloud

אחרי שמאחזרים את הזהות הייחודית של מופע Google SecOps, צריך לתת לה הרשאה לגשת למשאבים שלGoogle Cloud . בשלב הזה מפעילים התחזות לחשבון שירות, שמאפשרת לפלטפורמה ליצור אסימונים לטווח קצר ולפעול בשמכם בלי שתצטרכו מפתחות סטטיים.

1. במסוף Google Cloud , נכנסים אל IAM & Admin > Service Accounts.

   לדף Service accounts

2. בוחרים את חשבון השירות של היעד ועוברים אל Permissions > Grant Access (הרשאות > הענקת גישה).

3. מדביקים את כתובת האימייל הייחודית בשדה New principals ומקצים את התפקיד Service Account Token Creator (roles/iam.serviceAccountTokenCreator).

הענקת גישה לפרויקט של המכסה

כשמבצעים אימות באמצעות Workload Identity, צריך לציין Quota Project ID בהגדרות השילוב כדי לעקוב אחרי השימוש ב-API והחיוב.

כדי לאשר את הפעולה הזו, צריך להקצות לחשבון השירות את התפקיד הבא בפרויקט הייעודי של הקצאת המכסות:

1. במסוף Google Cloud , נכנסים אל IAM & Admin > IAM ובוחרים את הפרויקט.

   כניסה לדף IAM

2. ברשימת חשבונות המשתמשים, מאתרים את חשבון השירות ולוחצים על עריכה(עריכת חשבון משתמש) של החשבון.

3. לוחצים על Add another role ובוחרים את התפקיד Service Usage Consumer (roles/serviceusage.serviceUsageConsumer).

4. לוחצים על Save.

הגדרת מפתח JSON

בוחרים בשיטה הזו או בשיטת Workload Identity כדי לאמת את השילוב. משתמשים בשיטת מפתח ה-JSON רק אם Workload Identity לא זמינה בסביבה שלכם. ‫Workload Identity היא הגישה המומלצת והמאובטחת יותר. השיטה הזו מסתמכת על קובץ מפתח סודי סטטי לטווח ארוך, שנדרש ניהול ידני שלו ורוטציה שלו.

כדי ליצור את קובץ מפתח ה-JSON שנדרש לאימות השילוב, פועלים לפי השלבים הבאים:

1. במסוף Google Cloud , נכנסים אל IAM & Admin > Service Accounts ובוחרים את חשבון השירות שיצרתם.

   לדף Service accounts

2. עוברים לכרטיסייה Keys.

3. לוחצים על Add key > Create new key.

4. בוחרים באפשרות JSON בתור סוג המפתח ולוחצים על Create. הדפדפן יוריד את קובץ ה-JSON למחשב.

5. מעתיקים את כל התוכן של הקובץ הזה ומדביקים אותו ב-Service Account JSON File Content במהלך הגדרת השילוב.

פרמטרים של שילוב

השילוב של Web Risk מחייב את הפרמטרים הבאים:

פרמטר	תיאור
Workload Identity Email	זה שינוי אופציונלי. כתובת האימייל של הלקוח בחשבון השירות. מגדירים את הפרמטר הזה רק אם מבצעים אימות באמצעות זהות של עומס עבודה. אם מגדירים את הפרמטר הזה, צריך להגדיר גם את הפרמטר Quota Project ID.
Service Account JSON File Content	זה שינוי אופציונלי. התוכן המלא של קובץ מפתח ה-JSON של חשבון השירות. הפרמטר הזה נדרש רק אם האימות מתבצע באמצעות מפתח JSON.
Quota Project ID	זה שינוי אופציונלי. Google Cloud מזהה הפרויקט שמשמש לחיוב ולשימוש בממשקי API. הפרמטר הזה הוא חובה אם אתם מבצעים אימות באמצעות זהות של עומס עבודה.
Project ID	זה שינוי אופציונלי. מזהה הפרויקט ב- Google Cloud שבו רוצים להשתמש בשילוב. אם לא מציינים ערך, השילוב מאחזר את המזהה מפרטי הכניסה של חשבון השירות.
Verify SSL	חובה. אם האפשרות הזו נבחרה, השילוב מאמת את אישור ה-SSL כשמתחברים לשרת Web Risk. ההגדרה הזו מופעלת כברירת מחדל.

הוראות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

במקרה הצורך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופע של שילוב, אפשר להשתמש בו ב-playbooks. מידע נוסף על הגדרה ותמיכה במספר מופעים זמין במאמר תמיכה במספר מופעים.

פעולות

מידע נוסף על פעולות זמין במאמרים איך מגיבים לפעולות בהמתנה ממרכז העבודה ואיך מבצעים פעולה ידנית.

העשרת ישויות

משתמשים בפעולה Enrich Entities כדי לקבל מידע על ישויות של Google SecOps מ-Web Risk.

הפעולה הזו מופעלת בישות URL של Google SecOps.

הוספת נתונים לפעולה

אין.

פלטים של פעולות

הפעולה Enrich Entities מספקת את הפלט הבא:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה של ישויות	יש גישה
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

טבלת העשרה של ישויות

הפעולה Enrich Entities יכולה להעשיר את הישות URL ולספק את התוצאות הבאות:

שם שדה ההעשרה	מקור (מפתח JSON)	תחולה
threatTypes	קובץ ה-CSV של סוגי האיומים.	אם הוא זמין בתוצאת ה-JSON.

תוצאה בפורמט JSON

בדוגמה הבאה מוצג פלט של תוצאת JSON שהתקבל באמצעות הפעולה Enrich Entities:

{
   "Entity": "Entity",
   "EntityResult": [
       {
           "expireTime": "2024-12-20T13:47:20.786242980Z",
           "threatTypes": [
               "SOCIAL_ENGINEERING_EXTENDED_COVERAGE"
           ]
       }
   ]
}

הודעות פלט

הפעולה Enrich Entities יכולה להחזיר את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully enriched the following entities in Web Risk: ENTITY_ID. The action wasn't able to enrich the following entities in Web Risk: ENTITY_ID. No information was found for the provided entities.	הפעולה הסתיימה בהצלחה.
Error executing action "Enrich Entities". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורט הערך של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Enrich Entities:

שם התוצאה של הסקריפט	ערך
is_success	True או False

פינג

משתמשים בפעולה Ping כדי לבדוק את הקישוריות ל-Web Risk.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

אין.

פלטים של פעולות

הפעולה Ping מספקת את הפלטים הבאים:

סוג פלט הפעולה	זמינות
קיר המארז	לא זמין
קישור ל-Case wall	לא זמין
טבלת קיר עם תושבת	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	לא זמין
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

הודעות פלט

הפעולה Ping יכולה להחזיר את הודעות הפלט הבאות:

הודעת הפלט	תיאור ההודעה
Successfully connected to the Web Risk server with the provided connection parameters!	הפעולה הסתיימה בהצלחה.
Failed to connect to the Web Risk server! Error is ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורט הערך של פלט תוצאת הסקריפט כשמשתמשים בפעולה Ping:

שם התוצאה של הסקריפט	ערך
is_success	True או False

שליחת ישויות

משתמשים בפעולה Submit Entities כדי לשלוח ישויות לניתוח ב-Web Risk.

הפעולה הזו היא אסינכרונית. אם צריך, משנים את ערך הזמן הקצוב לתפוגה של הסקריפט בסביבת הפיתוח המשולבת (IDE) של Google SecOps לפעולה.

הפעולה הזו מופעלת בישות URL של Google SecOps.

הוספת נתונים לפעולה

הפעולה Submit Entities (שליחת ישויות) דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Abuse Type	זה שינוי אופציונלי. סוג השימוש לרעה שמשויך לשליחה. מידע נוסף על סוגי ניצול לרעה זמין במאמר AbuseType. הערכים האפשריים הם: Select One Malware Social Engineering Unwanted Software ערך ברירת המחדל הוא Select One.
Confidence Level	זה שינוי אופציונלי. רמת הסמך של השליחה. מידע נוסף על רמות סמך זמין במאמרים Confidence ו-ConfidenceLevel. הערכים האפשריים הם: Select One Low Medium High ערך ברירת המחדל הוא Select One.
Justification	זה שינוי אופציונלי. ההצדקה לשליחת הבקשה. מידע נוסף על אפשרויות ההצדקה זמין במאמר בנושא JustificationLabel. הערכים האפשריים הם: Manual Verification User Report Automated Report ערך ברירת המחדל הוא User Report.
Comment	זה שינוי אופציונלי. תגובה שמצדיקה את השליחה.
Region Code	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של קודים ממאגר Common Locale Data Repository ‏ (CLDR) של מדינות או אזורים שמשויכים לנתונים שנשלחים. מידע נוסף על שליחת נתונים זמין במאמר שליחת נתונים.
Platform	זה שינוי אופציונלי. סוג הפלטפורמה שבה זוהה השליחה. הערכים האפשריים הם: Select One Android iOS MacOS Windows ערך ברירת המחדל הוא Select One.
Skip Waiting	זה שינוי אופציונלי. אם הפעולה נבחרה, היא תתחיל את השליחה ולא תחכה לסיום שלה. ערך ברירת המחדל הוא True.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.