תמיכה במספר מופעים

נתמך ב:

אתם יכולים להגדיר כמה מופעים של אותו שילוב באותה סביבה. התכונה הזו מאפשרת לכם יותר גמישות ושליטה כשאתם יוצרים ומפעילים תוכניות פעולה. לדוגמה, אפשר ליצור תוכנית פעולה ללקוח עם שני אתרים, שכל אחד מהם משתמש בספריות Active Directory נפרדות, ואז לבחור את מופע השילוב המתאים לכל שלב בתוכנית הפעולה.

הפונקציונליות הזו מוגדרת בקטע Response > Integrations Setup, והיא נתמכת על ידי השדה Choose Instance בשלב של הפלייבוק ועל ידי האפשרות לבחור כמה סביבות.

הצגת אפשרויות השילוב

בדף Integrations (שילובים), מופיעות שתי אפשרויות מוגדרות מראש:

  • מכונות משותפות
  • סביבת ברירת המחדל

Shared Instances (מופעים משותפים) פועל כספרייה של שילובים מוגדרים שאפשר להשתמש בהם בכל הסביבות.

הקטע Shared Instances כולל שילובי Google SecOps מוגדרים מראש שזמינים כברירת מחדל.

כל סביבה שתיצרו בהגדרות > ארגונים > סביבות תופיע ברשימת הסביבות.

אפשר לסנן את התצוגה של הסביבות או להסתיר סביבות ריקות. לקוחות ארגוניים בדרך כלל משתמשים בסביבת ברירת המחדל.

הוספה והגדרה של מופע שילוב

  1. להוסיף סביבה. בדף Integrations Setup, בוחרים או מוסיפים את הסביבה שבה רוצים להגדיר את השילוב.
  2. יוצרים מכונה חדשה. לוחצים על add Create a new instance.
  3. בוחרים את השילוב מהרשימה ומזינים את הפרמטרים הנדרשים עבור המופע הספציפי הזה. הערה: צריך להגדיר מופע לפני שמשתמשים בו ב-Playbook.
    • כדי להגדיר מופע שני של אותו שילוב באותה סביבה, חוזרים על התהליך.
    • כדי לערוך או להגדיר מחדש מופע בשלב מאוחר יותר, לוחצים על הגדרות הגדרת מופע לצד השילוב.

בחירת סביבה

התכונה "סביבה עם כמה אפשרויות בחירה" זמינה כשיוצרים פלייבוק חדש. כדי לראות את הפלייבוק, עוברים לדף פלייבוקים. מבצעים אחת מהפעולות הבאות:
  • בוחרים באפשרות All Environments (כל הסביבות) כדי להפעיל את פלייבוק בכל הסביבות שהוגדרו במערכת.
  • בוחרים סביבה אחת או יותר שבהן רוצים להריץ את הפלייבוק.

אם בוחרים כמה סביבות או את כל הסביבות, אי אפשר להגדיר את סוג המכונה לשלבים בפלייבוק. הסבר מפורט יותר מופיע בהמשך.

שימוש במופע בפלייבוק

כשמוסיפים שלב בפלייבוק שמשתמש בשילוב, האפשרויות בשדה Configure Instance תלויות בגורמים הבאים:

  • אילו מקרים יצרתם
  • הסביבות שבחרתם עבור ספר ההדרכה

סביבה אחת

אם בוחרים סביבה אחת, בשדה הגדרת מופע אפשר לבחור באחת מהאפשרויות הבאות:

  • מופע שהגדרתם לפעולה הספציפית הזו בסביבה שנבחרה.
  • שילוב של מופע משותף, אם יש כזה.

כמה סביבות או כל הסביבות

אם בוחרים כמה סביבות, או את האפשרות All Environments, האפשרות הראשונה בקטע Configure Instance היא Dynamic Mode.

מצב דינמי

מצב דינמי אומר שכשהפלייבוק מצורף לתיק, Google SecOps מנסה לגשת למופע השילוב שהוגדר לסביבה שמשויכת לתיק.

מכונת גיבוי

השדה Fallback Instance הוא אופציונלי. אם בחרתם באפשרות מצב דינמי ולא הגדרתם מופע לסביבה ספציפית, אתם יכולים לבחור מופע חלופי מתוך המופעים המשותפים. האפשרות הזו זמינה בתוכניות הפעולה שמופעלות בכל הסביבות.

אם אין מופע מתאים ולא הוגדר מופע חלופי, זה מה שקורה:

  • הפעולה נכשלת – אלא אם היא מוגדרת לדילוג אם היא נכשלת.
  • השימוש באפשרות דילוג אם הפעולה נכשלה מועיל במיוחד לספקי שירותי אבטחה מנוהלים (MSSP), שרוצים לדלג על שלבים אם ללקוחות שלהם אין רישיון לכלי ספציפי.

לא נעשה שימוש במופע חלופי אם מוגדר יותר ממופע אחד לסביבת המקרה. במצב כזה, פלייבוק ישהה ויבקש מהאנליסט לבחור ידנית את המופע המתאים.

תרחיש שימוש מספר 1: שני מופעים בסביבת ברירת מחדל

התרחיש הזה כולל רשת ארגונית שמחולקת לשני אתרים: אחד בארה"ב ואחד בבריטניה. לכל אתר נדרשת הגדרה נפרדת של Active Directory. כדי לתמוך בזה, צריך להגדיר שני מופעים של שילוב Active Directory באותה סביבה. כך הפלייבוק יכול לבחור באופן דינמי את המופע המתאים בזמן הריצה.

איך מתקינים שילוב

  1. עוברים אל מרכז התוכן > שילובים של תגובות.
  2. מחפשים את השילוב הרצוי. בדוגמה הזו, משתמשים ב-Active Directory.
  3. לוחצים על התקנה כדי להוסיף את השילוב.

הגדרת מכונה

  1. עוברים אל Response > Integrations Setup (תגובה > הגדרת שילובים).
  2. ברשימה Environments, בוחרים את הסביבה שבה רוצים ליצור מופע. בדוגמה הזו, נשתמש בסביבת ברירת המחדל.
  3. לוחצים על add Create a new instance.
  4. בתיבת הדו-שיח Add Instance, בוחרים את האינטגרציה הרצויה מהרשימה ולוחצים על Save. בדוגמה הזו, בוחרים באפשרות Active Directory.
  5. עוברים לשילוב הרצוי ולוחצים על הגדרות הגדרת מופע.
  6. מזינים את פרטי ההגדרה הרלוונטיים. בדוגמה הזו, נגדיר את המופע למשתמשים באתר בארה"ב.
  7. בסיום, לוחצים על שמירה.
  8. אופציונלי: לוחצים על בדיקה כדי לוודא שההגדרה פועלת.
  9. מוסיפים עוד מופע של Active Directory. בדוגמה הזו, ההגדרה היא למשתמשים באתר בבריטניה. בסיום ההגדרה, לוחצים על שמירה.
  10. אם צריך, אפשר לבצע שינויים בהמשך. אחרי ההגדרה, המופעים זמינים לשימוש ב-playbooks.

שימוש במופע ב-playbooks

  1. עוברים אל Playbooks ולוחצים על add Add New Playbook or Block כדי ליצור playbook חדש.
  2. בוחרים את התיקייה הרלוונטית. בדוגמה הזו, בוחרים באפשרות סביבת ברירת מחדל.
  3. בקטע פעולות, מתחת לActiveDirectory, בוחרים באפשרות העשרת ישויות.
  4. גוררים את הפעולה לשלב ולוחצים עליה לחיצה כפולה כדי לפתוח את חלונית ההגדרות.
  5. בשדה Choose Instance, בוחרים את המכונה המתאימה – האתר בארה"ב או האתר בבריטניה – בהתאם ליעד של ה-Playbook. 

תרחיש שימוש מספר 2: מצב דינמי בסביבות מרובות

בתרחיש הזה, כ-MSSP, אתם תומכים בכמה לקוחות, שכל אחד מהם מוגדר בסביבה נפרדת. בזמן הריצה, הפלייבוק צריך לקבוע באופן דינמי באיזו סביבה להשתמש על סמך המקום שממנו הגיע המקרה.

הגדרת סביבות

  1. עוברים אל הגדרות > ארגון > סביבות.
  2. לוחצים על add Add Environment (הוספת סביבה) ומגדירים את הסביבה הנדרשת עם הפרמטרים של הסביבה.
  3. יוצרים כמה סביבות חדשות, אחת לכל לקוח.

התקנת שילוב

  1. עוברים אל Content Hub > Response Integrations (מרכז התוכן > שילובים של תגובות).
  2. מחפשים את השילוב הנדרש. בדוגמה הזו, בוחרים את VirusTotal ומתקינים אותו.

הגדרת מופעים

  1. עוברים אל Response > Integrations Setup, בוחרים כל לקוח ולוחצים על Configure.
  2. מגדירים את מופע השילוב של VirusTotal בהתאם לדרישות.

הגדרת פלייבוק

כשמוסיפים את הפעולה "פינג ל-VirusTotal", בוחרים באפשרות מצב דינמי. כך Google SecOps קובע את הסביבה בזמן הריצה על סמך המקום שממנו הגיעה הבקשה, ומחיל את המכונה המתאימה של השילוב.

  1. עוברים לדף Playbooks.
  2. יוצרים פלייבוק חדש, ומוודאים שבוחרים את הסביבות שיצרתם והגדרתם קודם.
  3. כשמוסיפים את הפעולה "פינג ל-VirusTotal", בוחרים באפשרות מצב דינמי. כך אפשר לוודא ש-Google SecOps יבדוק בזמן הריצה מאיזו סביבה הגיע האירוע ויחיל עליו את המופע הספציפי הזה.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.