זיהוי איומים ב-Cloud IDS

במסמך הזה מתואר סוג של ממצא איום ב-Security Command Center. ממצאי האיומים נוצרים על ידי מזהי איומים כשהם מזהים איום פוטנציאלי במשאבי הענן שלכם. רשימה מלאה של ממצאי האיומים הזמינים מופיעה באינדקס של ממצאי האיומים.

סקירה כללית

הממצאים של Cloud IDS נוצרים על ידי Cloud IDS, שירות אבטחה שמנטר את התעבורה אל משאביGoogle Cloud ואת התעבורה מהם כדי לזהות איומים. כש-Cloud IDS מזהה איום, הוא שולח מידע על האיום, כמו כתובת ה-IP של המקור, כתובת היעד ומספר היציאה, אל Event Threat Detection, שיוצר ממצא איום.

המקור של הממצא הזה הוא Event Threat Detection.

איך מגיבים

כדי להגיב לממצא הזה:

שלב 1: בדיקת פרטי הממצא

  1. פותחים את הממצא Cloud IDS: THREAT_ID לפי ההוראות שבקטע בדיקת הממצאים.

  2. בכרטיסייה סיכום של פרטי הממצא, בודקים את הערכים שמפורטים בקטעים הבאים:

    • מה זוהה, במיוחד השדות הבאים:
      • פרוטוקול: פרוטוקול הרשת שבו נעשה שימוש
      • מועד האירוע: מועד התרחשות האירוע
      • תיאור: מידע נוסף על הממצא
      • חומרה: רמת החומרה של ההתראה
      • כתובת ה-IP של היעד: כתובת ה-IP של היעד של תנועת הרשת
      • יציאת היעד: יציאת היעד של תעבורת הרשת
      • כתובת ה-IP של המקור: כתובת ה-IP של המקור של תנועת הנתונים ברשת
      • ‫Source Port: יציאת המקור של תעבורת הרשת
    • מקור המידע שהושפע, במיוחד השדות הבאים:
      • השם המלא של המשאב: הפרויקט שמכיל את הרשת עם האיום
    • קישורים רלוונטיים, במיוחד השדות הבאים:
      • URI של Cloud Logging: קישור לרשומות של Cloud IDS Logging – הרשומות האלה מכילות את המידע הדרוש לחיפוש ב-Threat Vault של Palo Alto Networks
    • Detection Service
      • קטגוריית התוצאות שם האיום ב-Cloud IDS

  3. כדי לראות את ה-JSON המלא של הממצא, לוחצים על הכרטיסייה JSON.

שלב 2: מחפשים שיטות תקיפה ותגובה

אחרי שבודקים את פרטי הממצא, כדאי לעיין במסמכי התיעוד של Cloud IDS בנושא בדיקת התראות על איומים כדי לקבוע את התגובה המתאימה.

אפשר ללחוץ על הקישור בשדה Cloud Logging URI בפרטי הממצא כדי לקבל מידע נוסף על האירוע שזוהה ברשומה המקורית ביומן.

דוגמה למציאת JSON

הנה דוגמה ל-JSON של הממצא.

{
  "finding": {
    "access": {},
    "attackExposure": {},
    "canonicalName": "projects/PROJECT_NUMBER/sources/SOURCE_ID/locations/global/findings/FINDING_ID",
    "category": "Cloud IDS: THREAT_ID",
    "cloudDlpDataProfile": {},
    "cloudDlpInspection": {},
    "connections": [
      {
        "destinationIp": "IP_ADDRESS",
        "destinationPort": PORT,
        "sourceIp": "IP_ADDRESS",
        "sourcePort": PORT,
        "protocol": "PROTOCOL"
      }
    ],
    "createTime": "TIMESTAMP",
    "database": {},
    "description": "This signature detects a payload in HTTP traffic which could possibly be malicious.",
    "eventTime": "TIMESTAMP",
    "exfiltration": {},
    "findingClass": "THREAT",
    "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/etd",
    "indicator": {},
    "kernelRootkit": {},
    "kubernetes": {},
    "mitreAttack": {},
    "mute": "UNDEFINED",
    "name": "organizations/ORGANIZATION_ID/sources/SOURCE_ID/findings/FINDING_ID",
    "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_ID",
    "parentDisplayName": "Event Threat Detection",
    "resourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "severity": "LOW",
    "state": "ACTIVE",
    "vulnerability": {},
    "externalSystems": {}
  },
  "resource": {
    "name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "display_name": "PROJECT_DISPLAY_NAME",
    "type": "google.cloud.resourcemanager.Project",
    "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER",
    "project_display_name": "ctd-engprod-project",
    "parent_name": "//cloudresourcemanager.googleapis.com/folders/PARENT_NUMBER",
    "parent_display_name": "PARENT_DISPLAY_NAME",
    "folders": [
      {
        "resource_folder": "//cloudresourcemanager.googleapis.com/folders/FOLDER_NUMBER",
        "resource_folder_display_name": "FOLDER_DISPLAY_NAME"
      }
    ]
  },
  "sourceProperties": {
    "sourceId": {
      "projectNumber": "PROJECT_NUMBER",
      "customerOrganizationNumber": "ORGANIZATION_ID"
    },
    "detectionCategory": {
      "ruleName": "cloud_ids_threat_activity"
    },
    "detectionPriority": "LOW",
    "affectedResources": [
      {
        "gcpResourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER"
      }
    ],
    "evidence": [
      {
        "sourceLogId": {
          "projectId": "PROJECT_ID",
          "resourceContainer": "projects/PROJECT_ID",
          "timestamp": {
            "seconds": "TIMESTAMP",
            "nanos": TIMESTAMP
          },
          "insertId": "INSERT_ID"
        }
      }
    ],
    "properties": {},
    "findingId": "FINDING_ID",
    "contextUris": {
      "mitreUri": {
        "displayName": "MITRE Link"
      },
      "cloudLoggingQueryUri": [
        {
          "displayName": "Cloud Logging Query Link",
          "url": "LOGGING_QUERY_URI"
        }
      ],
      "relatedFindingUri": {}
    },
    "description": "THREAT_DESCRIPTION"
  }
}

המאמרים הבאים