מעבר מכללי השתקה סטטיים לכללי השתקה דינמיים

בדף הזה מוסבר איך להעביר את כללי ההשתקה הקיימים שלכם לכללי השתקה דינמיים.

מומלץ להשתמש בכללים דינמיים להשתקת ממצאים בלבד בהגדרות של כללי השתקת הממצאים, כי הם גמישים יותר מכללים סטטיים להשתקת ממצאים. בהשוואה לכללים סטטיים להשתקת ממצאים, לכללים דינמיים להשתקת ממצאים יש שלושה יתרונות עיקריים:

  • כללי השתקה דינמיים חלים על ממצאים קיימים וחדשים. כללי השתקה דינמיים משתיקים אוטומטית ממצאים קיימים וגם ממצאים חדשים או מעודכנים שתואמים לקריטריונים של המסנן.
  • כללי השתקה דינמיים מציעים אפשרות תפוגה. כללי השתקה דינמיים מאפשרים גם להגדיר תקופת תפוגה מותאמת אישית כדי להתאים באופן זמני לממצאים ספציפיים. אם לא מוגדר תאריך תפוגה, כללי ההשתקה הדינמיים משתיקים את הממצאים ללא הגבלת זמן, עד שהם כבר לא תואמים לכלל.

  • כללי השתקה דינמיים מבטלים אוטומטית את ההשתקה של ממצאים. כשמתרחש אחד מהמקרים הבאים, Security Command Center מבטל אוטומטית את ההשתקה של הממצא:

    • התוקף של כלל ההשתקה הדינמי פג.
    • המאפיינים של הממצא משתנים כך שהם כבר לא תואמים לקריטריונים של המסנן.
    • הקריטריונים של המסנן משתנים כך שהם כבר לא תואמים לממצא.

לא מומלץ להשתמש בכללי השתקה סטטיים ודינמיים בו-זמנית. כללי השתקה סטטיים מבטלים כללי השתקה דינמיים כשהם מוחלים על אותה תוצאת סריקה. כתוצאה מכך, כללי השתקה דינמיים לא יפעלו כמצופה, וזה עלול ליצור בלבול כשמנהלים את הממצאים.

אם אתם רוצים להשתמש רק בכללי השתקה דינמיים, בקטעים הבאים מוסברות ההרשאות והפעולות שנדרשות להעברת כללי ההשתקה הסטטיים.

התפקידים הנדרשים

כדי לקבל את ההרשאות שדרושות לביצוע תהליך ההעברה של השתקה דינמית, צריך לבקש מהאדמין להקצות לכם את תפקידי ה-IAM הבאים ב Google Cloud ארגון, בתיקייה או בפרויקט:

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

מעבר לכללי השתקה דינמיים

כדי להשתמש רק בכללי השתקה דינמיים, צריך ליצור כללי השתקה דינמיים ולוודא שהממצאים המושתקים הקיימים יישארו מושתקים אחרי ההעברה.

  1. יצירת כללים חדשים להשתקה דינמית. אי אפשר לשנות את הסוג של כלל השתקה אחרי שהוא נוצר. לכן, צריך ליצור כלל השתקה דינמי אחד לכל כלל השתקה סטטי שרוצים לשמור. כל שם חדש של כלל דינמי להשתקה צריך להיות ייחודי ושונה משמות הכללים הקיימים להשתקה. יכול להיות שיחלפו כמה שעות עד ש-Security Command Center יחיל את כללי ההשתקה הדינמיים על הממצאים המתאימים. הוראות ליצירת כלל להשתקת ממצאים דינמי מופיעות במאמר יצירת כלל להשתקת ממצאים.

  2. מאמתים את מצב ההשתקה של הממצאים הרלוונטיים. כדי לוודא שכללי ההשתקה הדינמיים הוחלו בצורה מתאימה, אפשר להשתמש במאפיין muteInfo ב-Security Command Center API כדי להציג את הממצאים הרלוונטיים ולבדוק את שדות ההשתקה שלהם. כך תוכלו לקבוע אם הממצאים הרלוונטיים משתמשים בכללי השתקה דינמיים או סטטיים.

    לדוגמה, אפשר להשתמש ב-muteInfo.dynamicMuteRecords בשאילתה כדי להציג את הממצאים הרלוונטיים שמושבתים על ידי כלל ההשתקה הדינמי החדש:

      contains(muteInfo.dynamicMuteRecords, muteConfig =
  "organizations/123/muteConfigs/my-dynamic-rule")

    מידע נוסף על הצגת הממצאים זמין במאמר הצגת ממצאי אבטחה באמצעות Security Command Center API.

  3. מחיקת כל כללי ההשתקה הסטטיים. הממצאים העתידיים הרלוונטיים מכוסים על ידי הכללים הדינמיים החדשים שיצרתם. כדי לוודא שהכללים החדשים להשתקה דינמית לא יבטלו את הכללים הקיימים להשתקה סטטית לגבי ממצאים חדשים, צריך למחוק את כל הכללים הקיימים להשתקה סטטית. הוראות למחיקת כלל השתקה מופיעות במאמר מחיקת כללי השתקה. מחיקה של כללי השתקה סטטיים לא משנה את מצב ההשתקה הסטטי של ממצאים קיימים.

  4. איפוס מצב ההשתקה הסטטי בכל הממצאים. כדי לאפס את מצב ההשתקה הסטטי של ממצאים קיימים בכמות גדולה, מבצעים אחת מהפעולות הבאות:

    • משתמשים בפקודה gcloud scc findings bulk-mute או ב-method bulkMute של API עם המאפיין muteState שהערך שלו מוגדר ל-UNDEFINED. בשדה או בדגל --filter, משתמשים במסנן ממצאים שתואם לממצאים שהושבתו על ידי כלל ההשתקה הסטטי שמחקתם.filter

      בדוגמה הבאה משתמשים בפקודה gcloud scc findings bulk-mute. אם מחקתם כלל להשתקת ממצאים סטטי עם המסנן category="OPEN_SSH_PORT", אתם יכולים לאפס את מצב ההשתקה של הממצאים שתואמים למסנן הזה על ידי הפעלת הפקודה הבאה:

      gcloud scc findings bulk-mute --organization=ORGANIZATION_ID --filter="category=\"OPEN_SSH_PORT\"" --mute-state=UNDEFINED

      מחליפים את ORGANIZATION_ID במזהה הארגון. אפשר להחליף את --organization ב---project או ב---folder בהתאם להיקף הממצאים שצריך לאפס.

      הוראות נוספות לביצוע פעולות השתקה בכמות גדולה זמינות במאמר השתקה או איפוס של כמה ממצאים קיימים.

    • אם פסק הזמן של פעולת ההשתקה בכמות גדולה חלף, צריך לנקות את מצב ההשתקה הסטטי מכל הממצאים. כדי לעשות זאת, צריך לעדכן את המסנן להשתקת התראות בכמות גדולה כך שישתמש במסננים פחות מפורטים שמכסים את כל הממצאים הרלוונטיים.

      הנה דוגמה למסנן בכלל להשתקת ממצאים סטטי:

      filter: "category = \"OPEN_SSH_PORT\" AND (resource.parentDisplayName = \"organizations/123\" OR resource.parentDisplayName = \"folder/456\")"

      כדי לבטל את ההשתקה של כל הממצאים שתואמים לקריטריונים של המסנן הזה של כלל להשתקת ממצאים סטטי, אפשר לשנות את המסנן ולהסיר את התנאים הנוספים שמופיעים אחרי קטגוריית הממצא. בדוגמה הזו, התוצאה תהיה:

      filter: "category = \"OPEN_SSH_PORT""

      אם הגדרתם ידנית את מצב ההשתקה של ממצאים כלשהם, יכול להיות שהשיטה הזו תאפס גם את מצב ההשתקה של הממצאים האלה.

      מידע נוסף על עדכון כללי השתקה זמין במאמר בנושא עדכון כללי השתקה.

אם אתם צריכים עזרה בהעברת כללי ההשתקה הסטטיים לכללי השתקה דינמיים, אתם יכולים לפנות אל התמיכה.

המאמרים הבאים

מידע נוסף על יצירה וניהול של כללי השתקה