פיתוח תרחיש השימוש הראשון

נתמך ב:
במסמך הזה מוגדר *תרחיש לדוגמה* ומפורטות הדרישות לפרסום תרחיש לדוגמה ב-Content Hub. הוא מספק מדריך מקיף ליצירת תרחיש שימוש חדש, החל מהגדרת איום האבטחה ויצירת תוכנית הפעולה ועד לפרסום הסופי.

הסבר על תרחישים לדוגמה

תרחיש שימוש הוא חבילה של פריטים שביחד מספקים פתרון, למשל:

  • אוטומציה של איומי פישינג
  • צמצום תוצאות חיוביות כוזבות
  • תזמור חקירות של אירועים

אתם מפרסמים תרחיש לדוגמה במרכז התוכן, והוא זמין לכל המשתמשים.

חבילת תרחישי שימוש מורכבת מהרכיבים הבאים:

  • מקרי בדיקה
  • מחברים
  • פלייבוקים
  • שילובים
  • כללי מיפוי ובניית מודלים

דרישות לפרסום

כדי לוודא שתסריט השימוש שלכם מוכן לשימוש במרכז התוכן, הוא צריך לעמוד בדרישות הבאות:

  • ההתראות בסימולציה מבוססות על התראות אמיתיות ממוצר אמיתי.
  • כל הישויות מחולצות כשמריצים את ההתראה של הסימולציה בסביבה נקייה.
  • כל הישויות מחולצות כשמריצים את ההתראה האמיתית באמצעות המחבר.
  • המדריך מופעל מקצה לקצה ללא שגיאות.
  • הפלט הסופי הוא ייצוא של קובץ ZIP שאפשר לייבא ללא שגיאות למרכז התוכן.
  • אחרי הפריסה, אפשר להגדיר את השילובים כך שהפלייבוק יפעל מקצה לקצה עם התראות סימולציה.

יצירת תרחיש שימוש

בקטע הזה מפורטים השלבים ליצירת תרחיש השימוש הראשון.

הגדרת תרחיש השימוש

כדי להגדיר את תרחיש השימוש, פועלים לפי השלבים הבאים:

  1. תארו את איום האבטחה שאתם רוצים לטפל בו.
  2. מציינים את סוג ההתראה ואת מוצר הזיהוי שיוצר אותה (לדוגמה, CrowdStrike - Falcon Overwatch` via `Malicious Activity)
  3. מפתחים תהליך של תגובה לאירוע, תזמור או אוטומציה כדי לטפל בהתראה הזו.

הכנת התראות על תרחישים לדוגמה

  1. ליצור התראה מותאמת אישית או אירוע על סמך תרחיש מהעולם האמיתי. כדאי לכלול התראה של סימולציה כדי לבדוק את ה-Playbook ואת תרחיש השימוש באופן עקבי. הסימולציה הזו תיכלל גם כחלק מחבילת תרחישי השימוש.
  2. בקטע Cases, לוחצים על add Add > Simulate Cases.
  3. לוחצים על הוספה.
  4. ממלאים את השדות של ההתראה המדומה על סמך ההתראות שהכנתם לתרחיש לדוגמה:
    5. שדה תיאור דוגמה
    שם המקור\SIEM מקור ההתראה (לדוגמה, Google Security Operations SIEM, כלי זיהוי). אם ההתראות נוצרות על ידי המוצר ונשלפות על ידי Google SecOps, צריך להוסיף את שם המוצר. Arcsight
    שם הכלל שם ההתראה של המוצר לזיהוי או של הכלל ב-Google SecOps SIEM. אם לא נעשה שימוש במערכת SIEM, צריך להשתמש בשם ההתראה ממוצר הזיהוי. Data Exfiltration
    מוצר ההתראה כלי הזיהוי שיצר את ההתראה. DLP product
    שם ההתראה שם ההתראה כפי שנוצר על ידי המוצר. Data Exfiltration
    שם האירוע אירוע הבסיס שמפעיל את ההתראה. Data Exfiltration
    שדות נוספים של התראות שדות SIEM נוספים או שם ההתראה אם לא קיים SIEM. Severity, Impact, Sensitive Assets אם לא נעשה שימוש ב-SIEM, alert_name:.
    שדות נוספים של אירועים נתוני אבטחה גולמיים לתגובה לתקריות. src_ip, dest_port, email_headers
  5. יוצרים התראה של סימולציה ב-Google SecOps על סמך ההתראה או האירוע לדוגמה.

חילוץ ישויות

  1. בוחרים את מודל הוויזואליזציה של ההתראה (הישויות ש-Google SecOps צריך לחלץ והקשרים ביניהן), וממפים את שדות הנתונים הגולמיים למודל שנבחר.
  2. באירוע, לוחצים על הגדרות הגדרה. פרטים נוספים זמינים במאמרים תחילת העבודה עם Google Security Operations SOAR, יצירת ישויות (מיפוי ומודלים) ומיפוי ומודלים של התראות.
  3. מוודאים שכל הישויות נוצרו בכרטיסייה Case בEntities Highlights. כדי לעשות את זה, לוחצים על הדגשות של ישויות > הצגת פרטים נוספים בכל ישות.

בניית פלייבוק

כדי ליצור playbook:

  1. הגדירו את תהליך התגובה לאירוע באופן חזותי (תרשים או דיאגרמה) להתראה.
  2. מעצבים את הפלייבוק ב-Google SecOps. כדי לעשות זאת, מורידים את השילובים שרוצים להשתמש בהם ב-Playbook ומגדירים אותם. פרטים נוספים מופיעים במאמר בנושא הגדרת שילובים.

הגדרת פעולות ב-Playbook

מגדירים פרמטרים, תנאים וענפים של פעולות באופן הבא:

  1. סוג הפעולה: בוחרים אם הפעולה הזו תופעל באופן אוטומטי או באופן ידני (נדרש אישור אנושי).
  2. Choose Instance (בחירת מופע): בוחרים באפשרות Dynamic (דינמי).
  3. אם השלב נכשל: בוחרים אם הפלייבוק ייעצר אם הפעולה תיכשל או אם הוא ידלג לפעולה הבאה.
  4. ישויות: בוחרים את סוגי הישויות שהפעולה הזו משפיעה עליהם (מתוך הישויות שחולצו בהתראה של הסימולציה).
  5. פרמטרים אחרים: מזינים את הפרמטרים הספציפיים לפעולה על סמך מסמכי התיעוד של השילוב.

הגדרת תנאים ב-Playbook

כדי להגדיר תנאים ב-Playbook, פועלים לפי השלבים הבאים:

  1. קובעים את מספר הסניפים שצריך. אם צריך, לוחצים על הוספת סניף כדי ליצור סניפים נוספים.
  2. לכל ענף, מגדירים את התנאים שמפעילים אותו. אפשר להשתמש בערכי placeholder (סוגריים מרובעים) כדי להפנות לתנאים מנתוני אירועים, לתוצאות של פעולות קודמות ועוד.
    3. שימוש בכלים שאפשר לבדוק בתהליך.
  3. בדיקה באמצעות נתונים בזמן אמת: מגדירים מחבר שיכול לשלוף התראות שדומות להתראת הסימולציה שיצרתם. פרטים נוספים זמינים במאמר הגדרת המחבר.
  4. בודקים את המחבר באמצעות דוגמה, כמו מחבר אימייל באמצעות התראה על אימייל פישינג. פרטים נוספים זמינים במאמר בנושא בדיקת מחבר.
  5. חשוב לוודא את הפרטים הבאים:
    • אותו מיפוי חל על ההתראה האמיתית, כדי ש-Google SecOps יוכל לחלץ את הישויות הרלוונטיות.
    • ה-playbook פועל מקצה לקצה על ההתראה ומבצע את הלוגיקה שהוגדרה. (מומלץ לבצע בדיקה עם התראות זדוניות ולא זדוניות).

כתיבת מדריך

תרחיש השימוש שאתם יוצרים ישמש משתמשים אחרים ב-Google SecOps. מצרפים תוכן בתור מדריך כדי לעזור למשתמשים אחרים להטמיע את תרחיש השימוש. אפשר לצרף את המדריך הזה לתרחיש לדוגמה בנושא פרסום:

  • הסבירו את תרחיש השימוש ואת הערך שלו ב-SOC.
  • לספק המלצות לשיפור.
  • לכלול הוראות להרצת תרחיש השימוש עם סימולציה ונתונים אמיתיים.
  • הוספת הוראות להגדרה של מחברים ושילובים.
  • לכלול את כל פרטי הרישוי הרלוונטיים.
  • תכלול הליך בנושא פיתוח המחבר הראשון.

פרסום תרחיש השימוש

כדי לפרסם את תרחיש השימוש:

  1. עוברים אל מרכז התוכן ולוחצים על הכרטיסייה תרחישי שימוש.
  2. לוחצים על format_list_bulleted רשימה ובוחרים באפשרות יצירת תרחיש שימוש חדש.
  3. מזינים את הפרטים ומוסיפים את כל הפריטים שפיתחתם (מקרי בדיקה, פלייבוקים ומחברים).
  4. מצרפים את המדריך בשדה תיאור או מקשרים למדריך מלא.
  5. אופציונלי: לוחצים על ייצוא כדי לייצא את תרחיש השימוש (עכשיו או מאוחר יותר) ואז על שמירה.
  6. אופציונלי: אחרי שלוחצים על שמירה, אפשר לייצא את החבילה כקובץ ZIP או לייבא אותה לצורך בדיקה.
  7. שולחים את האתר לאישור כדי לפרסם אותו.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.