קיבוץ הממצאים בתיקים

במאמר הזה מוסבר איך לקבץ ממצאים למקרים.

השלבים האלה מתבצעים באמצעות דפים במסוף Security Operations. כדי לפתוח את הדפים האלה מ Google Cloud המסוף, עוברים אל Settings > SOAR settings.

סקירה כללית

מנגנון הקיבוץ של הממצאים מקבץ באופן אוטומטי ממצאים שנבלעו במקרים. כברירת מחדל, מנגנון הקיבוץ הזה מבטיח שכל הממצאים בתיק יתייחסו לאותו:

  • הבעלים של מקור המידע
  • פרויקט אחד (Google Cloud )
  • חשבון AWS
  • סוג הנכס
  • קטגוריה
  • רמת החומרה

קביעת הגדרות של קיבוץ

כדי להגדיר את הגדרות ברירת המחדל של הקיבוץ שחלות על כל הממצאים שנקלטים:

  1. במסוף Security Operations, עוברים אל Settings > Ingestion > Connectors (הגדרות > קליטה > מחברים).

  2. בוחרים באפשרות SCC Enterprise - Urgent Posture Findings Connector.

  3. כדי להתאים אישית את מנגנון הקיבוץ ולהשבית אפשרויות קיבוץ ספציפיות, מבטלים את הסימון בתיבות הסימון של אחד או יותר מהפרמטרים הבאים:

    • Group by AWS Account
    • Group by GCP Project
    • Group by Severity
    • Group by Asset Type

כברירת מחדל, הגדרות הקיבוץ הבאות חלות על ממצאים שנבלעו:

  • קיבוץ לפי חשבון AWS: הממצאים מקובצים לפי חשבונות ה-AWS שאליהם הם משתייכים.

  • ‫Group by GCP Project: התוצאות מקובצות לפי הפרויקטים שאליהם הן שייכות. Google Cloud

  • Group by Severity (קיבוץ לפי חומרה): הממצאים מקובצים לפי severity הרמה שלהם, למשל HIGH או MEDIUM.

  • ‫Group by Asset Type: התוצאות מקובצות לפי סוג הנכס (Google Cloud סוג המשאב), כמו מכונה של Compute Engine או חשבון שירות של IAM.

כל הממצאים שמקובצים לתיק שייכים לאותו בעלים. כדי לוודא שהממצאים מקובצים בצורה נכונה, כולל ממצאים ללא תגיGoogle Cloud תגים או אנשי קשר חיוניים שעברו בירושה, צריך תמיד להגדיר את הפרמטר Fallback Owner של המחבר.

דוגמה: איך פועל מנגנון הקיבוץ

בדוגמה הזו, נעשה שימוש רק בממצאים מ- Google Cloud .

המחבר מעביר ארבעה ממצאים עם רמות חומרה שונות וערכים שונים שמועברים בירושה מהמשאבים המתאימים של Google Cloud :

  • ממצא 1: חומרה: Critical, סוג הנכס: Compute, פרויקט: Project_1

  • ממצא 2: מידת החומרה: Critical, סוג הנכס: IAM, פרויקט: Project_2

  • ממצא 3: מידת החומרה: High, סוג הנכס: Compute, פרויקט: Project_1

  • ממצא 4: מידת החומרה: High, סוג הנכס: Compute, פרויקט: Project_2

מנגנון הקיבוץ שמוגדר כברירת מחדל

הגדרות ברירת המחדל קובעות שהממצאים יקובצו לפי הפרויקטים, סוגי הנכסים ומאפיין החומרה שלהם.

בדוגמה הזו, כל ממצא נכלל במקרה אחר.

  • מקרה 1:

    • ממצא 1: חומרה: Critical, סוג הנכס: Compute, פרויקט: Project_1

  • מקרה 2:

    • ממצא 2: מידת החומרה: Critical, סוג הנכס: IAM, פרויקט: Project_2

  • מקרה 3:

    • ממצא 3: מידת החומרה: High, סוג הנכס: Compute, פרויקט: Project_1

  • מקרה 4:

    • ממצא 4: מידת החומרה: High, סוג הנכס: Compute, פרויקט: Project_2

מנגנון קיבוץ בהתאמה אישית

אם מסמנים רק את התיבה Group by GCP Project, הממצאים מקובצים אוטומטית לפי הפרויקטים Google Cloud שלהם, כך שכל בקשת תמיכה מכילה רק ממצאים ששייכים לאותו פרויקט:

  • מקרה 1:

    • ממצא 1: חומרה Critical, סוג הנכס: Compute, פרויקט: Project_1
    • ממצא 3: מידת החומרה High, סוג הנכס: Compute, פרויקט: Project_1

  • מקרה 2:

    • ממצא 2: מידת החומרה Critical, סוג הנכס: IAM, פרויקט: Project_2
    • ממצא 4: רמת חומרה High, סוג נכס: Compute, פרויקט: Project_2

אם מסמנים רק את התיבה קיבוץ לפי רמת חומרה, הממצאים מקובצים אוטומטית לפי רמת החומרה שלהם, כך שבכל מקרה יהיו רק ממצאים עם אותה רמת חומרה:

  • מקרה 1:

    • ממצא 1: חומרה: Critical, סוג הנכס: Compute, פרויקט: Project_1
    • ממצא 2: מידת החומרה: Critical, סוג הנכס: IAM, פרויקט: Project_2

  • מקרה 2:

    • ממצא 3: מידת החומרה: High, סוג הנכס: Compute, פרויקט: Project_1
    • ממצא 4: מידת החומרה: High, סוג הנכס: Compute, פרויקט: Project_2

אם מסמנים רק את התיבה Group by Asset Type, הממצאים מקובצים אוטומטית לפי סוגי הנכסים שלהם (סוגי המשאבים ב- Google Cloud), כך שכל מקרה יכיל רק ממצאים ששייכים לאותו משאב:

  • מקרה 1:

    • ממצא 1: רמת חומרה: Critical, סוג הנכס: Compute, פרויקט: Project_1
    • ממצא 3: מידת החומרה: High, סוג הנכס: Compute, פרויקט: Project_1
    • ממצא 4: מידת החומרה: High, סוג הנכס: Compute, פרויקט: Project_2

  • מקרה 2:

    • ממצא 2: מידת החומרה: Critical, סוג הנכס: IAM, פרויקט: Project_2

אם מסמנים את שתי תיבות הסימון Group by GCP Project ו-Group by Severity, הממצאים מקובצים אוטומטית לפי הפרויקטים ורמות החומרה שלהם, כך שכל כרטיסייה מכילה רק ממצאים ששייכים לאותו פרויקט ו בעלי אותה רמת חומרה. בדוגמה הזו, המחבר יוצר ארבע בקשות תמיכה:

  • מקרה 1:

    • ממצא 1: חומרה: Critical, סוג הנכס: Compute, פרויקט: Project_1

  • מקרה 2:

    • ממצא 2: מידת החומרה: Critical, סוג המשאב: IAM, פרויקט: Project_2

  • מקרה 3:

    • ממצא 3: מידת החומרה: High, סוג המשאב: Compute, פרויקט: Project_1

  • מקרה 4:

    • ממצא 4: מידת החומרה: High, סוג המשאב: Compute, פרויקט: Project_2

מה השלב הבא?

  • מידע נוסף על התראות זמין במסמכי התיעוד של Google SecOps.