הנחיות למעקב, לרישום ביומן ולהתראות

ההנחיות הבאות לגבי פלטפורמת אבטחה מינימלית תואמות לעמודה של מעקב, רישום ביומן והתראות.

הנחיות בסיסיות

קודם צריך להטמיע את ההנחיות הבאות לגבי מעקב, רישום ביומן והתראות.

פריט	הרשמה לעדכוני אבטחה דחופים
תיאור	כדאי להירשם לקבלת עדכוני אבטחה דחופים לגבי Google Cloud שירותים כדי לקבל התראות על נקודות חולשה ואמצעי צמצום סיכונים. כשעלון אבטחה רלוונטי זמין לשירות Google Cloud (כמו GKE), השירות יכול לפרסם התראות לגבי האירועים האלה כהודעות בנושאי Pub/Sub שהגדרתם. אתם יכולים לקבל את ההתראות האלה במינוי Pub/Sub, לשלב אותן עם שירותים של צד שלישי ולסנן אותן לפי סוגי ההתראות שאתם רוצים לקבל.
מידע קשור	עדכוני אבטחה דחופים
מזהה פריט	MVSP-CO-1.54
מיפוי	אמצעי בקרה קשורים בתקן NIST-800-53: SI-5 הגדרות שקשורות לפרופיל CRI: PR.IP-1.4

פריט	הגדרת קבוצות של אנשי קשר חיוניים
תיאור	כדאי להגדיר את אנשי הקשר החיוניים כדי לוודא שכתובת אימייל כללית או רשימת תפוצה שנמצאות במעקב יקבלו התראות חשובות. ‫Google שולחת התראות אבטחה קריטיות (למשל, פריצה פוטנציאלית לחשבון) לכתובות האימייל שרשומות כאנשי קשר חיוניים. אם כתובת אימייל של אדם פרטי משמשת למטרה הזו, ההתראה לא תתקבל אם האדם הזה לא זמין או עזב את החברה. שימוש בכתובת אימייל קבוצתית שנבדקת באופן קבוע עוזר לוודא שההתראות האלה, שחשוב להגיב עליהן במהירות, מגיעות לצוות פעיל שיכול להגיב במהירות.
מידע קשור	סקירה כללית על Essential Contacts
מזהה פריט	MSVP-CO-1-55
מיפוי	אמצעי בקרה קשורים בתקן NIST-800-53: IR-4 הגדרות שקשורות לפרופיל CRI: PR.IP-1.4 אמצעי בקרה ב-Compliance Manager: הגדרת אנשי קשר חיוניים

פריט	מעקב אחרי אנומליות בחיוב
תיאור	אתם יכולים להשתמש בתכונה 'אנומליות בחיוב' בחיוב ב-Cloud כדי לעקוב אחרי עליות חדות או סטיות בהוצאות הצפויות. עלייה פתאומית ולא צפויה בחשבון הענן היא אינדיקטור עיקרי לפגיעה באבטחה. לפעמים, עלייה חדה ובלתי צפויה בחיובים נגרמת על ידי תוקפים שקיבלו גישה ומשתמשים במשאבים לפעילויות לא מורשות. הפעלת זיהוי אנומליות בחיוב מספקת מערכת אזהרה מוקדמת חיונית, כך שתוכלו לסמן אוטומטית את הפעילות החשודה הזו.
מידע קשור	הצגה וניהול של אנומליות בעלויות הגדרה של התראות פרוגרמטיות
מזהה פריט	MSVP-CO-1-56
מיפוי	אמצעי בקרה קשורים בתקן NIST-800-53: AU-6 הגדרות שקשורות לפרופיל CRI: DE.AE-1.1

הנחיות לרמה בינונית

אחרי שמטמיעים את ההנחיות הבסיסיות, מטמיעים את ההנחיות הבאות בנושא מעקב, רישום והתראות.

פריט	הפעלת ניהול כללי חומת אש
תיאור	כברירת מחדל, כללי חומת האש לא כותבים יומנים באופן אוטומטי.רישום ביומן של כללי חומת האש מאפשר לכם לבדוק, לאמת ולנתח את ההשפעות של כללי חומת האש. לדוגמה, אפשר לקבוע אם כלל חומת אש שנועד לדחות תנועה פועל כמצופה. רישום ביומן שימושי גם אם רוצים לדעת כמה חיבורים מושפעים מכלל חומת אש נתון. מפעילים את הרישום ביומן לכל כלל בחומת האש. אפשר להגדיר רישום ביומן באמצעות צינור עיבוד נתונים שמשמש ליצירת חומת אש.
מידע קשור	שימוש בניהול כללי חומת אש
מזהה פריט	MSVP-CO-1-58
מיפוי	אמצעי בקרה קשורים בתקן NIST-800-53: AU-2 AU-3 AU-8 AU-9 הגדרות שקשורות לפרופיל CRI: DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4 אמצעי בקרה ב-Compliance Manager: הפעלת רישום ביומן של כללי חומת האש

פריט	שיתוף יומני ביקורת מ-Cloud Identity
תיאור	אם משתמשים ב-Cloud Identity, משתפים את יומני הביקורת מ-Cloud Identity אל Google Cloud. בדרך כלל, יומני ביקורת של פעילות אדמין מ-Google Workspace או מ-Cloud Identity מנוהלים ומוצגים במסוף Google Admin, בנפרד מהיומנים בסביבת Google Cloud . היומנים האלה מכילים מידע שרלוונטי לסביבה שלכם, כמו אירועים של התחברות משתמשים. Google Cloud מומלץ לשתף את יומני הביקורת של Cloud Identity עם סביבת Google Cloud כדי לנהל באופן מרכזי יומנים מכל המקורות.
מידע קשור	יומני ביקורת ל-Google Workspace שיתוף נתונים עם שירותים של Google Cloud
מזהה פריט	MSVP-CO-1-59
מיפוי	אמצעי בקרה קשורים בתקן NIST-800-53: AC-2 AC-3 AC-8 AC-9 הגדרות שקשורות לפרופיל CRI: DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 אמצעי בקרה ב-Compliance Manager: ייבוא יומני ביקורת של Google Workspace

הנחיות לרמה מתקדמת

אחרי שמטמיעים את ההנחיות הביניים, מטמיעים את ההנחיות הבאות בנושא מעקב, רישום והתראות.

פריט	הפעלה של יומני Access Transparency
תיאור	ביומנים רגילים אפשר לראות מה המשתמשים בארגון שלכם עושים, אבל ביומנים של Access Transparency אפשר לראות מה צוות התמיכה של Google עושה כשהוא ניגש לחשבון. הגישה הזו מתבצעת בדרך כלל רק בתגובה לבקשת תמיכה. היומנים של Access Transparency מספקים נתיב ביקורת מלא וניתן לאימות של כל הגישה, וזה חיוני כדי לעמוד בדרישות מחמירות של תאימות וניהול נתונים. אפשר להפעיל את Access Transparency ברמת הארגון.
מידע קשור	הפעלת Access Transparency
מזהה פריט	MSVP-CO-1-57
מיפוי	אמצעי בקרה קשורים בתקן NIST-800-53: AU-2 AU-3 AU-8 AU-9 הגדרות שקשורות לפרופיל CRI: DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4 אמצעי בקרה ב-Compliance Manager: הפעלת Access Transparency

פריט	ייצוא יומנים ל-sink ביומן לאחסון לטווח ארוך
תיאור	יוצרים sink ביומן כדי לייצא יומנים לפתרון שלכם לניטור לצורכי אבטחה, ומגדירים את תקופת השמירה בהתאם לדרישות שלכם. תקופות ברירת המחדל לשמירת יומנים לרוב לא ארוכות מספיק כדי לעמוד בדרישות של 1 עד 7 שנים שנקבעו בתקנות תאימות כמו PCI או HIPAA. כדי לעמוד בהתחייבויות משפטיות ורגולטוריות מסוימות, חשוב ליצור sink ביומן כדי לייצא יומנים למיקום אחסון לטווח ארוך. בנוסף, אפשר להשתמש ב-Log sinks כדי לשלוח יומנים למערכת מרכזית לניטור לצורכי אבטחה, לצורך זיהוי מתקדם של איומים.
מידע קשור	רשומות ביומן לגבי מסלולים
מזהה פריט	MSVP-CO-1-60
מיפוי	אמצעי בקרה קשורים בתקן NIST-800-53: AU-9 הגדרות שקשורות לפרופיל CRI: PR.DS-4.1 אמצעי בקרה ב-Compliance Manager: הגדרת פריטי Sink ביומן

המאמרים הבאים

• סקירה כללית של פלטפורמה מאובטחת ברת-קיימא מינימלית