יצירת Playbook ראשון

נתמך ב:

במאמר הזה מוסבר איך ליצור את ספר ההפעלה הראשון באמצעות הפעולות שיצרתם במאמר יצירת פעולות בהתאמה אישית.

המדריך שתבנו מיועד לתרחיש לדוגמה בסיסי של פישינג, והוא יבצע אוטומטית את השלבים הבאים:

  • חילוץ פרטי דומיין: הפלייבוק מחלץ את הדומיין מכתובת URL שנמצאה בהתראה.
  • העשרה של הדומיין: המערכת מעשירה את הישות במידע נוסף.
  • הוספת תובנה: ספר ההפעלה מוסיף תובנה שמכילה את המדינה של הדומיין.
  • בדיקה של רשימת לקוחות: המערכת בודקת אם המדינה נמצאת ברשימת לקוחות.
  • שימוש בתנאי IF: תנאי IF משמש כדי לקבוע אם המקרה דורש חקירה נוספת, על סמך השאלה אם המדינה נמצאת ברשימת הלקוחות המותאמת אישית.

הפעלת פעולות בכלי לעיצוב תוכניות פעולה

כדי לוודא שהפעולות בהתאמה אישית שיצרתם מופעלות בסביבת הפיתוח המשולבת (IDE), לוחצים על המתג Enable כדי להעביר אותו למצב מופעל. אחרי שמפעילים את הפעולות האלה, הן זמינות בכלי לעיצוב פלייבוקים.

יצירת רשימה מותאמת אישית של מדינות ה-OECD

כדי לקבוע אם במדינה שבה הדומיין נמצא נדרשת בדיקה נוספת, צריך ליצור רשימה מותאמת אישית של מדינות החברות בארגון לשיתוף פעולה ולפיתוח כלכלי (OECD). אחר כך אפשר להשתמש ברשימה הזו בתוכנית הפעולה כדי לבדוק את המדינה של הדומיין.

כדי ליצור רשימה מותאמת אישית של מדינות ה-OECD, פועלים לפי השלבים הבאים:

  1. עוברים אל הגדרות > סביבות.
  2. לוחצים על רשימות בהתאמה אישית.
  3. בקטע רשימות מותאמות אישית, לוחצים על הוספה הוספה.
  4. בתיבת הדו-שיח הוספת רשימת לקוחות, מזינים מזהה ישות, קטגוריה וסביבה.
  5. לוחצים על הוספה.

יצירת מדריך הפעלה לאוטומציה

כדי ליצור תוכנית פעולה לאוטומציה, פועלים לפי השלבים הבאים:

  1. עוברים אל Playbook Designer ולוחצים על Add.
  2. בתיבת הדו-שיח Create New, לוחצים על כפתור הבחירה Playbook.
  3. בוחרים תיקייה וסביבה ל-Playbook.
  4. כדי להתחיל להתאים אישית את ספר ההפעלה, מזינים שם לספר ההפעלה (לצד המתג של ספר ההפעלה).

ייבוא פלייבוק מוכן מראש

כדי לייבא פלייבוק מוכן מראש:

  1. בכלי ליצירת תוכניות פעולה, לוחצים על רשימה > ייבוא.
    יצירת ספר ההפעלה הראשון לאוטומציה
  2. כל פלייבוק מתחיל בטריגר. כדי להגדיר את הטריגר של תוכנית הפעולה הזו, גוררים את הטריגר All מהתפריט Triggers לשלב הראשון של תוכנית הפעולה. כתוצאה מכך, ה-playbook מופעל בכל התראה שמוזנת ל-Google Security Operations.

יצירת ספר הפעלה

כדי ליצור פלייבוק באמצעות הפעולות מהשילוב WHOIS API בפורמט XML, פועלים לפי השלבים הבאים:

  1. בכרטיסייה פעולות, לוחצים על הרשימה WHOIS API בפורמט XML. הפעולות המותאמות אישית יופיעו מתחת לשם השילוב. אם הם לא מוצגים, צריך לוודא שהם מופעלים ונשמרו במודול IDE.
  2. גוררים את הפעולה קבלת פרטי הדומיין אל תוך ספר ההפעלה, וממקמים אותה מיד אחרי הטריגר.

התאמה אישית של הפעולה

אתם יכולים להתאים אישית את הפעולה כך שתפעל בהיקף ספציפי. בדוגמה הזו, הפעולה תופעל על כל הישויות שהן כתובות URL. בשדה של שם הדומיין, משתמשים ב-placeholder‏ Entity.Identifier.

כדי לבצע את ההתאמות האישיות האלה:

  1. מוסיפים את הפלייסולדר: לוחצים על Placeholder (פלייסולדר) ומחפשים את Entity.Identifier בסרגל החיפוש. הפעולה הזו מתחברת לאתר WHOIS, מחלצת את פרטי הדומיין ומציגה אותם בפורמט JSON.
  2. מגדירים את ההיקף. הפעולה מתחברת לאתר WHOIS, מחלצת את פרטי הדומיין ומציגה אותם בפורמט JSON.
  3. בודקים את הזמינות. הפרמטר Check Availability שהגדרתם לפעולה בודק אם הדומיין זמין או לא.
  4. אחרי שמוסיפים את הפעולה Get Domain Details, גוררים את הפעולה Enrich Entities אל פלייבוק. מתאימים אישית את הפעולה כך שתפעל על כל כתובות ה-URL. מכיוון שהפעולה הזו מיועדת לפעול בהיקף של ישות ספציפית, לא צריך להגדיר את השדה שם הדומיין, כמו שעשיתם בפעולה הקודמת.

הוספת הפעולה 'תובנות לגבי ישות'

מוסיפים את הפעולה Add Entity Insight, שהיא חלק מהשילוב של Google SecOps:

  1. מגדירים את ההיקף. בהיקף ישות, בוחרים באפשרות כל כתובות ה-URL, כמו שעשיתם בפעולות הקודמות במדריך.
  2. מחלצים את שדה ה-JSON. בשדה Insight, פותחים את בונה הביטויים של Google SecOps כדי לחלץ את שדה המדינה מתוצאת ה-JSON.
  3. פותחים את כלי בניית הביטויים לפלט ה-JSON: לוחצים על סמל הפלייסהולדר (data_array), בוחרים את רשימת הפלייבוקים ובוחרים באפשרות WHOIS XML API_Get Domain Details_1.JsonResult. הפעולה הזו פותחת את הכלי ליצירת ביטויים לפלט JSON.

חילוץ שדה המדינה מקובץ ה-JSON

דוגמת ה-JSON בכלי ליצירת ביטויים היא אותה דוגמה שהוספתם ל-IDE כשיצרתם את הפעולה המותאמת אישית. כדי לחלץ את השדה Country (מדינה):

  1. לוחצים על Country ב-JSON.
  2. לוחצים על arrow_right Run (הפעלה) כדי לבדוק את ה-placeholder, ומציגים את התוצאה בשדה Results (תוצאות).

יצירת יישות

כדי להפעיל את הפעולה Is in custom list, צריך ליצור ישות חדשה מהמדינה שקשורה לדומיין. לשם כך, בצע את הצעדים הבאים:

  1. בקטע Google SecOps Integration, גוררים את הפעולה Create Entity לתוך הפלייבוק.
  2. מגדירים את הפעולה כך שתפעל בכל כתובות ה-URL.
  3. משתמשים בכלי ליצירת ביטויים כדי להוסיף את הפלייסולדר country לשדה Entity Identifies. בקטע Entity Type (סוג הישות), בוחרים באפשרות Generic Entity (ישות כללית) ולוחצים על Save (שמירה).
  4. מוסיפים את הפעולה Is in Custom List (האם נמצא ברשימת לקוחות):
    1. גוררים את הפעולה אל ספר ההפעלה.
    2. מגדירים אותו כך שיפעל על כל הישויות הגנריות (הישות שיצרתם).
    3. בשדה קטגוריה, מוסיפים את הקטגוריה שהגדרתם לרשימה המותאמת אישית של מדינות ה-OECD.
  5. מוסיפים את תנאי ה-IF לתוכנית הפעולה כדי לקבוע אם נדרשת בדיקה נוספת של המדינה שבה הדומיין נמצא. הענף הראשון בודק אם תוצאת הסקריפט של Is in Custom list החזירה תוצאה מסוג False, והענף Else יעבור לתוצאה ההפוכה.
    • מוסיפים לפלייבוק את הפעולה תנאי IF. יופיעו שני ענפים.
  6. מתאימים אישית את ההסתעפות הראשונה. ההסתעפות הראשונה מופעלת אם הפעולה נמצא ברשימת לקוחות מחזירה תוצאה שקרית. המשמעות היא שהמדינה של הדומיין לא נמצאת ברשימה המותאמת אישית של מדינות ה-OECD, ונדרשת בדיקה נוספת.
  7. בפעולה הראשונה בענף הזה, גוררים פעולה מסוג Case Tag מהשילוב של Google SecOps.

העברת הפנייה לרמה גבוהה יותר

הקצאת הפנייה לרמה גבוהה יותר כדי להמשיך לבדוק את הנושא. לשם כך, בצע את הצעדים הבאים:

  1. גוררים את הפעולה הקצאת פנייה ל-Playbook.
  2. בוחרים באפשרות @Tier2 בתור המשתמש שהוקצה.

שינוי העדיפות

משנים את העדיפות ל-High באמצעות הפעולה Google SecOps Change Priority > לוחצים על Save.

התאמה אישית של ענף Else

אחרי שמסיימים את הענף הראשון, אפשר להתאים אישית את הענף Else. הענף הזה מטפל במקרים שבהם המדינה של הדומיין היא מדינה ב-OECD, והחלטתם שלא נדרשת בדיקה נוספת. כדי להגדיר את הענף Else, מבצעים את השלבים הבאים:

  1. מוסיפים תג לאירוע, כמו שעשיתם בענף הראשון, עם התווית In OECD countries.
  2. מוסיפים פעולה מסוג סגירת בקשה לענף הזה. סגירת פנייה היא פעולה רגישה, ולכן כדאי להגדיר אותה להפעלה ידנית. בקטע הגדרות של הפעולה, בוחרים במצב ידני.
  3. בקטע Parameters של הפעולה Close Case, מוסיפים את הפרטים Reason,‏ Root Cause ו-Comment.
  4. לוחצים על שמירה כדי לשמור את הפלייבוק עם הפרמטרים שנוספו.

הצגת הביצוע של מדריך ההפעלה

כדי לראות את האוטומציה המותאמת אישית בפעולה, פועלים לפי השלבים הבאים:

  1. בקטע Cases, לוחצים על add Add > Simulate Cases.
  2. בוחרים את האירוע הודעת פישינג באימייל > לוחצים על יצירה.
  3. בוחרים את הסביבה > לוחצים על סימולציה כדי לדמות את הפעלת הפלייבוק.
  4. אפשר לראות את תוכנית הפעולה שמופעלת בהתראה ואת התוצאות של כל פעולה בתוכנית.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.