התראות לגבי מפות ומודלים

נתמך ב:

במאמר הזה מוסבר איך למפות ולדגמן התראות לאירועים. כברירת מחדל, ההתראות לא ממופות ולא מבוססות על מודלים, וזהו שלב הכרחי לניתוח נכון של נתוני האבטחה. התהליך הזה מתבצע בקטע מיפוי ומידול בפלטפורמת Google Security Operations.

מיפוי האירועים

בדוגמה הבאה מוסבר איך למפות את האירועים:

  1. בכרטיסייה Events במסך Cases, בוחרים אירוע ולוחצים על settings Event Configuration.
  2. בוחרים באפשרות מודלים מיפוי ומודלים. בתרחיש השימוש הזה, ממפים את הנתונים באמצעות משפחת המשתנים המוגדרת מראש MailRelayOrTAP לאירועים של ניטור אימיילים.

הסבר על היררכיית המיפוי

אפשר להגדיר מיפוי ומידול באחת משלוש רמות. המיפויים עוברים בירושה מלמעלה למטה, כך שכל מיפוי שתחיל ברמה גבוהה יותר יחול אוטומטית על כל הרמות שמתחתיה.

  • מקור: השם של המקור שסיפקתם קודם, שממנו נלקחו הנתונים ונוצרה ההתראה. לדוגמה, יכול להיות שהמקור נקרא Email Connector. ברמה הזו, צריך למפות רק את השדה Time (זמן) – הוא משותף לכל השלבים. אם תבצעו את המיפוי עכשיו, השלבים הבאים – Product - "Mail" ו-Event - "Suspicious email" – יקבלו אוטומטית את אותו המיפוי.
  • מוצר: המוצר הוא האפליקציה שקולטת נתונים ממקור ספציפי, למשל Mail. לדוגמה, מחבר אחד יכול להטמיע נתונים ממקורות מרובים. אם מבצעים מיפוי ברמה הזו, כל האירועים הבאים יקבלו בירושה את אותו מיפוי.
  • אירוע: זהו event_name שהגדרתם קודם, למשל אימייל חשוד. האירוע במקרה הזה הוא הודעת האימייל עצמה.
  • בתרחיש לדוגמה הזה, ממפים את כל השדות הרלוונטיים ברמת המוצר, ומקצים כל שדה לשדה המתאים בקוד.
שדה יעד הערך בשדה שדה שחולץ פונקציית טרנספורמציה
DestinationUserName event["destinationUserName"] TO_STRINGכתובת האימייל של האדם שקיבל את האימייל.
SourceUserName event["sourceUserName"] EXTRACT_BY_REGEX בפורמט:

[\w\.-]+@[\w\.-]+
 כתובת האימייל של מי ששלח את האימייל
EmailSubject event["subject"] TO_STRING נושא האימייל
DestinationURL event["found_url"] TO_STRING כתובות URL שנמצאו בתוכן האימייל
StartTime event["startTime"] FROM_UNIXTIME_STRING_OR_LONG שעת ההתחלה שבה האימייל התקבל.
EndTime event["endTime"] FROM_UNIXTIME_STRING_OR_LONG שעת הסיום של קבלת האימייל.

הדמיה ובדיקה של ההתראות שמופות

אחרי מיפוי האירוע, מדמים את ההתראה כדי לראות את תוצאות המיפוי, באופן הבא:

  1. בכרטיסייה Overview של ההתראה, לוחצים על More ובוחרים באפשרות Ingest alert as מקרה בדיקה. התראה חדשה ומדומה מופיעה כבקשה בתור הבקשות. כל המקרים המדומה מסומנים בתג Test לצד שם המקרה.
  2. כדי לראות כל ארגומנט של הודעת אימייל שמופה, לוחצים על more_vert עוד > הצגת התוצאה.
  3. אופציונלי: לוחצים על Explore כדי להציג את הישויות והקשרים ביניהן.
  4. אחרי שממפים את המחבר ויוצרים את המודל, מפעילים את המחבר כדי להתחיל בהוספה אוטומטית של התראות:
    1. עוברים לדף מחברים.
    2. לוחצים על המתג כדי להפעיל את האפשרות.
    3. לוחצים על Save.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.