פיתוח תרחיש השימוש הראשון

נתמך ב:

Google secops SOAR

במסמך הזה מוגדר *תרחיש לדוגמה* ומפורטות הדרישות לפרסום תרחיש כזה במרכז התוכן. המדריך כולל הסבר מקיף על יצירת תרחיש שימוש חדש, החל מהגדרת איום האבטחה ובניית ה-Playbook ועד לפרסום הסופי.

הסבר על תרחישים לדוגמה

תרחיש לדוגמה הוא חבילה של פריטים שביחד מספקים פתרון, למשל:

• אוטומציה של איומי פישינג
• הפחתת תוצאות חיוביות שגויות
• ניהול חקירות של אירועים

אתם מפרסמים תרחיש שימוש במרכז התוכן, והוא זמין לשימוש של כל המשתמשים.

חבילת תרחישים לדוגמה מורכבת מהרכיבים הבאים:

• מקרי בדיקה
• מחברים
• פלייבוקים
• שילובים
• כללי מיפוי ומידול

דרישות לפרסום

כדי לוודא שתסריט השימוש מוכן לשימוש במרכז התוכן, הוא צריך לעמוד בדרישות הבאות:

• ההתראות על סימולציות מבוססות על התראות אמיתיות ממוצר אמיתי.
• כל הישויות מחולצות כשמריצים את ההתראה של הסימולציה בסביבה נקייה.
• כל הישויות מחולצות כשמריצים את ההתראה בזמן אמת באמצעות המחבר.
• הפעלת ה-Playbook מסתיימת ללא שגיאות.
• הפלט הסופי הוא ייצוא של קובץ ZIP שאפשר לייבא ללא שגיאות למרכז התוכן.
• אחרי הפריסה, אפשר להגדיר את השילובים כך שהפלייבוק יפעל מקצה לקצה עם התראות סימולציה.

יצירת תרחיש שימוש

בקטע הזה מפורטים השלבים ליצירת תרחיש השימוש הראשון.

הגדרת תרחיש השימוש

כדי להגדיר את תרחיש השימוש, פועלים לפי השלבים הבאים:

1. תארו את איום האבטחה שבו אתם מטפלים.
2. מציינים את סוג ההתראה ואת מוצר הזיהוי שיוצר אותה (לדוגמה, CrowdStrike - Falcon Overwatch` via `Malicious Activity)
3. מפתחים תהליך תגובה לתקרית, תזמור או אוטומציה לטיפול בהתראה הזו.

הכנת התראות על תרחישי שימוש

1. ליצור התראה מותאמת אישית או אירוע על סמך תרחיש מהעולם האמיתי. כדאי לכלול התראה של סימולציה כדי לבדוק את ה-Playbook ואת תרחיש השימוש באופן עקבי. הסימולציה הזו תיכלל גם היא כחלק מחבילת תרחישי השימוש.
2. בקטע Cases, לוחצים על add Add > Simulate Cases (הוספה > הדמיית תרחישים).
3. לוחצים על הוספה.
4. ממלאים את השדות של התראת הסימולציה על סמך ההתראות שהכנתם לתרחיש השימוש:

שדה	תיאור	דוגמה
שם המקור\SIEM	המקור של ההתראה (לדוגמה, Google Security Operations SIEM, כלי זיהוי). אם ההתראות נוצרות על ידי המוצר ונשלפות על ידי Google SecOps, צריך להוסיף את שם המוצר.	Arcsight
שם הכלל	שם ההתראה של כלל Google SecOps SIEM או של מוצר הזיהוי. אם לא נעשה שימוש במערכת SIEM, צריך להשתמש בשם ההתראה ממוצר הזיהוי.	Data Exfiltration
מוצר ההתראה	כלי הזיהוי שיצר את ההתראה.	DLP product
שם ההתראה	שם ההתראה כפי שנוצר על ידי המוצר.	Data Exfiltration
שם האירוע	אירוע הבסיס שמפעיל את ההתראה.	Data Exfiltration
שדות נוספים של התראות	שדות SIEM נוספים או שם ההתראה אם לא קיים SIEM.	Severity, Impact, Sensitive Assets אם לא נעשה שימוש ב-SIEM, alert_name:.
שדות נוספים של אירועים	נתוני אבטחה גולמיים לתגובה לתקריות אבטחה.	src_ip, dest_port, email_headers

5. יצירת התראה של סימולציה ב-Google SecOps על סמך ההתראה או האירוע לדוגמה.

חילוץ ישויות

1. בוחרים את מודל הוויזואליזציה של ההתראה (הישויות ש-Google SecOps צריך לחלץ והקשרים ביניהן) וממפים את השדות של הנתונים הגולמיים למודל שנבחר.
2. באירוע, לוחצים על הגדרות הגדרה. פרטים נוספים זמינים במאמרים הבאים: תחילת העבודה עם Google Security Operations SOAR, יצירת ישויות (מיפוי ומידול) ומיפוי והדמיה של התראות.
3. מוודאים שכל הישויות נוצרו בכרטיסייה Case בEntities Highlights. כדי לעשות זאת, לוחצים על הדגשים של ישויות > הצגת פרטים נוספים לכל ישות.

יצירת פלייבוק

כדי ליצור מדריך הפעלה:

1. הגדרת תהליך התגובה לאירוע באופן חזותי (תרשים או דיאגרמה) עבור ההתראה.
2. מעצבים את ספר ההוראות ב-Google SecOps. כדי לעשות זאת, מורידים ומגדירים את השילובים שרוצים להשתמש בהם ב-Playbook. פרטים נוספים מופיעים במאמר הגדרת אינטגרציות.

הגדרת פעולות ב-Playbook

מגדירים פרמטרים, תנאים וענפים של פעולות באופן הבא:

1. סוג הפעולה: בוחרים אם הפעולה הזו תופעל באופן אוטומטי או באופן ידני (נדרש אישור של אדם).
2. Choose Instance (בחירת מופע): בוחרים באפשרות Dynamic (דינמי).
3. אם השלב נכשל: בוחרים אם הפלייבוק ייעצר אם הפעולה תיכשל או אם הוא ידלג לפעולה הבאה.
4. ישויות: בוחרים את סוגי הישויות שהפעולה הזו משפיעה עליהן (מתוך אלה שחולצו בהתראה על הסימולציה).
5. פרמטרים אחרים: מזינים את הפרמטרים הספציפיים לפעולה על סמך מסמכי התיעוד של השילוב.

הגדרת תנאים ב-Playbook

כדי להגדיר תנאים ב-Playbook, פועלים לפי השלבים הבאים:

1. קובעים את מספר הסניפים שצריך. אם צריך, לוחצים על הוספת סניף כדי ליצור סניפים נוספים.
2. לכל הסתעפות מגדירים את התנאים שמפעילים אותה. אפשר להשתמש בערכי placeholder (סוגריים מרובעים) כדי להפנות לתנאים מנתוני אירועים, לתוצאות של פעולות קודמות ועוד.
משתמשים בכלים שאפשר לבדוק בתהליך.
3. בדיקה עם נתונים בזמן אמת: מגדירים מחבר שיכול לשלוף התראות שדומות להתראת הסימולציה שיצרתם. פרטים נוספים מופיעים במאמר בנושא הגדרת המחבר.
4. בודקים את המחבר באמצעות דוגמה, כמו מחבר אימייל באמצעות התראה על אימייל פישינג. פרטים נוספים זמינים במאמר בנושא בדיקת מחבר.
5. חשוב לוודא את הפרטים הבאים:
• אותו מיפוי חל על ההתראה האמיתית, כדי ש-Google SecOps יוכל לחלץ את הישויות הרלוונטיות.
• הפעלת ה-Playbook מתבצעת מקצה לקצה בהתראה ומבצעת את הלוגיקה המוגדרת. (מומלץ לבדוק עם התראות על פעילות זדונית וגם עם התראות על פעילות לא זדונית).

כתיבת מדריך

מקרה השימוש שאתם יוצרים ישמש משתמשים אחרים ב-Google SecOps. מצרפים תוכן בתור מדריך שיעזור למשתמשים אחרים להטמיע את תרחיש השימוש. אפשר לצרף את המדריך הזה לתרחיש השימוש בפרסום:

• הסבירו את תרחיש השימוש ואת הערך שלו ב-SOC.
• לספק המלצות לשיפור.
• צריך לכלול הוראות להרצת תרחיש השימוש עם סימולציה ונתונים אמיתיים.
• הוספת הוראות להגדרה של מחברים ושילובים.
• לכלול את כל פרטי הרישיון הרלוונטיים.
• לכלול הליך להסבר על פיתוח המחבר הראשון.

פרסום תרחיש השימוש

כדי לפרסם את תרחיש השימוש:

1. עוברים אל מרכז התוכן ולוחצים על הכרטיסייה תרחישי שימוש.
2. לוחצים על format_list_bulleted רשימה ובוחרים באפשרות יצירת תרחיש שימוש חדש.
3. מזינים את הפרטים ומוסיפים את כל הפריטים שפיתחתם (תרחישי בדיקה, מדריכים ומחברים).
4. מצרפים את המדריך בשדה Description או מקשרים למדריך מלא.
5. אופציונלי: לוחצים על ייצוא כדי לייצא את תרחיש השימוש (עכשיו או מאוחר יותר) ואז על שמירה.
6. אופציונלי: אחרי שלוחצים על שמירה, אפשר לייצא את החבילה כקובץ ZIP או לייבא אותה לצורך בדיקה.
7. שולחים לאישור כדי לפרסם.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.