ניהול שילובים רעילים ונקודות חולשה

בעזרת Security Command Center אתם יכולים לזהות ולתקן שילובים רעילים ונקודות חנק לפני שתוקפים ינצלו נקודות חולשה מורכבות כדי להגיע לנכסים קריטיים. אתם יכולים לחקור את החשיפות האלה ולהגיב להן באמצעות הדפים הבאים:

  • בעיות, זמינה ברמות השירות Premium ו-Enterprise (הוצאה משימוש).
  • בקשות תמיכה, שזמינות ברמת השירות Enterprise (הוצאה משימוש).
  • ממצאים, שזמינים ברמות השירות Premium ו-Enterprise (הוצאה משימוש).

לפני שמתחילים

כדי לוודא שהזיהוי של שילובים רעילים ונקודות חסימה מדויק, ודאו שתוכנת הרכיב של פעולות האבטחה מעודכנת, שקבוצת המשאבים החשובים מוגדרת בצורה מדויקת ושיש לכם את ההרשאות המתאימות ב-IAM.

אופציונלי: איסוף נתונים מעננים אחרים

מנוע הסיכונים תומך בהרצת סימולציות על נתונים מ-Amazon Web Services (AWS) (גרסת טרום-השקה (Preview)) ומ-Microsoft Azure (גרסת טרום-השקה (Preview)) כדי לזהות שילובים רעילים וצווארי בקבוק.

כדי לאסוף נתוני משאבים והגדרות, צריך להגדיר את החיבור מ-Security Command Center לספקי שירותי הענן האלה. למידע על הגדרת החיבורים, אפשר לעיין במאמרים הבאים:

רשימת המשאבים הנתמכים מופיעה במאמר תמיכה בתכונות של מנוע הסיכונים.

קבלת ההרשאות הנדרשות

כדי לעבוד עם שילובים רעילים ונקודות חסימה, אתם צריכים הרשאות שנותנות גישה לתכונות של Security Command Center ו-Google SecOps.

תפקידי IAM ב-Security Command Center

כדי לקבל את ההרשאות שדרושות לעבודה עם שילובים רעילים ונקודות חסימה, בקשו מהאדמין להקצות לכם את התפקידים הבאים ב-IAM בארגון:

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

מידע נוסף על התפקידים וההרשאות ב-Security Command Center זמין במאמר IAM להפעלות ברמת הארגון.

תפקידי IAM ב-Google SecOps

כדי לעבוד עם שילובים רעילים ומקרים ברמת השירות Enterprise (הוצאה משימוש), צריך אחד מהתפקידים הבאים:

  • Chronicle SOAR Vulnerability Manager (roles/chronicle.soarVulnerabilityManager)
  • Chronicle SOAR Threat Manager (roles/chronicle.soarThreatManager)
  • אדמין ב-Chronicle SOAR ‏ (roles/chronicle.soarAdmin)

במאמר מיפוי משתמשים ומתן הרשאות באמצעות IAM מוסבר איך מקצים תפקידים למשתמשים.

התקנת תרחיש השימוש העדכני ביותר של פעולות אבטחה

כדי להשתמש בתכונה "שילובים רעילים", צריך להשתמש בגרסה של תרחיש השימוש SCC Enterprise – Cloud Orchestration and Remediation מ-25 ביוני 2024 או מאוחר יותר.

למידע על התקנת התרחיש לדוגמה, ראו עדכון התרחיש לדוגמה של Enterprise, יוני 2024.

הגדרת קבוצת המשאבים בעלי הערך הגבוה

לא צריך להפעיל את הזיהוי של שילובים רעילים ונקודות חסימה – הוא תמיד פועל. מנוע הסיכונים מזהה באופן אוטומטי שילובים רעילים וצווארי בקבוק שחושפים קבוצת משאבים עם ערך גבוה כברירת מחדל.

סביר להניח שממצאים של שילובים רעילים ונקודות חנק שנוצרו על סמך קבוצת ברירת המחדל של המשאבים בעלי הערך הגבוה לא ישקפו בצורה מדויקת את סדרי העדיפויות שלכם בתחום האבטחה. כדי לציין אילו משאבים נכללים בקבוצת המשאבים החשובים, יוצרים הגדרות של ערכי משאבים במסוף Google Cloud . איך מגדירים ומנהלים את קבוצת המשאבים החשובים?

תיקון שילובים רעילים וצווארי בקבוק

שילובים רעילים וצווארי בקבוק יכולים לחשוף הרבה משאבים בעלי ערך גבוה לתוקפים פוטנציאליים. מומלץ לטפל בהם לפני סיכונים אחרים בסביבות הענן.

אתם יכולים לתעדף את הסדר שבו אתם מטפלים בשילובים הרעילים ובנקודות החסימה, על סמך ציון החשיפה להתקפה שלהם. הדרך לעשות את זה משתנה בהתאם למקום שבו אתם צופים בשילובים הרעילים ובנקודות החסימה.

כדי לתקן ממצא של שילוב רעיל או נקודת חסימה, צריך לתקן את נקודות החולשה, ההגדרות השגויות או ממצאי החשיפה החיצונית לאורך נתיב ההתקפה המדומה. כשהמנוע לניתוח סיכונים מריץ סימולציה של נתיב התקפה ומזהה שנתיב ההתקפה למשאבים החשובים כבר לא קיים, הוא משנה באופן אוטומטי את הסטטוס של הממצא לגבי השילוב הרעיל או נקודת החסימה מ-ACTIVE ל-INACTIVE.

בעיות

ברמות השירות Premium ו-Enterprise (הוצאה משימוש), אתם יכולים לגשת לשילובים הרעילים ולנקודות החסימה בסיכון הגבוה ביותר (שמוצגים כבעיות) בדפים הבאים:

  • רמת השירות Enterprise (הוצאה משימוש): הדף Risk > Overview
  • רמת שירות Premium: Security Command Center > Risk Overview

אפשר לראות את כל השילובים הרעילים וצווארי הבקבוק בדף Risk > Issues.

כדי לפתור בעיה, פועלים לפי ההוראות הבאות:

פרימיום

הצגת כל הבעיות

  1. כדי לראות את כל הבעיות, צריך לעבור לדף Issues ב-Security Command Center.

    מעבר לדף "בעיות"

  2. בוחרים את הארגון שלכם ( Google Cloud ).

מיון לפי ציון החשיפה להתקפות

  1. כברירת מחדל, הבעיות המקובצות מדורגות לפי חומרה. בתוך הקבוצה, הבעיות מדורגות לפי ציון החשיפה להתקפה. כדי למיין את כל הבעיות לפי ציון החשיפה להתקפות, משביתים את האפשרות Group by detections.
  2. בוחרים בעיה.
  3. קוראים את התיאור של הבעיה ואת ההוכחות.

מידע נוסף

  1. אם יש ממצאים קשורים, אפשר לראות את הפרטים שלהם.
  2. אם נמצאו כמה בעיות קריטיות במשאב ראשי בשילוב רעיל או בצוואר בקבוק, מופיעה הודעה אחרי הדיאגרמה Evidence. כדי לייעל את הטיפול בבעיות, לוחצים על סינון הבעיות של המשאב הראשי הזה בהודעה הזו, ומתמקדים בפתרון הבעיות של המשאב הספציפי הזה. כדי להסיר את המסנן, לוחצים על החץ חזרה ליד פתיחת חלונית המסנן הוספת מסנן.
  3. לוחצים על Explore full attack paths בתרשים Evidence כדי להבין לעומק את הבעיה, ואיך נתיבי ההתקפה חושפים משאבים חשובים.
  4. לוחצים על איך לפתור את הבעיה ופועלים לפי ההנחיות כדי לצמצם את הסיכון.

Enterprise

הצגת כל הבעיות

  1. כדי לראות את כל הבעיות, נכנסים לדף Risk > Issues ב-Security Command Center.

    מעבר לדף "בעיות"

  2. בוחרים את הארגון שלכם ( Google Cloud ).

מיון לפי ציון החשיפה להתקפות

  1. כברירת מחדל, הבעיות המקובצות מדורגות לפי חומרה. בתוך הקבוצה, הבעיות מדורגות לפי ציון החשיפה להתקפה. כדי למיין את כל הבעיות לפי ציון החשיפה להתקפות, משביתים את האפשרות Group by detections.
  2. בוחרים בעיה.
  3. קוראים את התיאור של הבעיה ואת ההוכחות.

מידע נוסף

  1. אם יש ממצאים קשורים, אפשר לראות את הפרטים שלהם.
  2. אם נמצאו כמה בעיות קריטיות במשאב ראשי בשילוב רעיל או בצוואר בקבוק, תוצג הודעה אחרי התרשים Evidence. כדי לייעל את הטיפול בבעיות, לוחצים על סינון הבעיות של המשאב הראשי הזה בהודעה הזו, ומתמקדים בפתרון הבעיות של המשאב הספציפי הזה. כדי להסיר את המסנן, לוחצים על החץ חזרה ליד פתיחת חלונית המסנן הוספת מסנן.
  3. לוחצים על Explore full attack paths בתרשים Evidence כדי להבין לעומק את הבעיה, ואיך נתיבי ההתקפה חושפים משאבים חשובים.
  4. לוחצים על איך לפתור את הבעיה ופועלים לפי ההנחיות כדי לצמצם את הסיכון.

בקשות תמיכה

ברמת השירות Enterprise (הוצאה משימוש), אפשר לראות את כל הבקשות לשילובים רעילים בדף Cases. צווארי בקבוק לא יוצרים פנייה באופן אוטומטי, וצריך להציג אותם בדף Issues.

כדי למצוא שילובים רעילים בבקשות תמיכה:

  1. במסוף Google Cloud , נכנסים לדף Risk > Cases. נפתח הדף Cases במסוף Security Operations.
  2. ברשימת בקשות התמיכה, לוחצים על פתיחת חלונית מסנן Cases filter כדי לפתוח את חלונית הסינון. נפתחת החלונית Case queue filter.
  3. ב-Case queue filter, מציינים את הפרטים הבאים: 1. בשדה Time frame, מציינים את התקופה שבה הבקשה פעילה. 1. מגדירים את האופרטור הלוגי ל-AND. 1. בתיבת הרשימה של מפתחות הסינון, בוחרים באפשרות Tags. 1. מגדירים את אופרטור השוויון לערך is. 1. בתיבת הרשימה של ערכי המסנן, בוחרים באפשרות Toxic combination. 1. לוחצים על אישור. רשימת בקשות התמיכה תתעדכן ותציג רק את בקשות התמיכה שתואמות למסנן שציינתם.
  4. לוחצים על מיון לצד פתיחת חלונית מסנן מסנן המקרים, ובוחרים באפשרות מיון לפי חשיפה להתקפה (מהגבוהה לנמוכה).
  5. בתור של בקשות התמיכה, לוחצים על בקשת התמיכה שרוצים לראות. אם אתם צופים בבקשות התמיכה ב-List view, לוחצים על מספר הפנייה. פרטי הפנייה מוצגים.
  6. לוחצים על גודל אות Case overview.
  7. בקטע Case summary, פועלים לפי ההנחיות שב-Next steps.

בדרך כלל, שילוב רעיל כולל ממצא אחד או יותר של פגיעות בתוכנה או הגדרה שגויה. לכל אחד מהממצאים האלה, Security Command Center פותח באופן אוטומטי בקשה נפרדת ומריץ את הפלייבוקים המשויכים. אתם יכולים לבדוק את המקרים שבהם נמצאו הממצאים האלה, ולבקש מבעלי הכרטיסים לתת עדיפות לתיקון שלהם כדי לעזור לפתור את השילוב הרעיל.

כדי לבדוק את הממצאים שקשורים לשילוב הרעיל:

  1. בכרטיסייה Case overviewגודל אות של בקשת התמיכה, עוברים לקטע Findings.

  2. בקטע ממצאים, בודקים את הממצאים שמופיעים ברשימה.

    • לוחצים על מספר הפנייה של הממצא כדי לפתוח את הפנייה ולראות את הסטטוס שלה, הבעלים שהוקצה לה ומידע נוסף על הפנייה.
    • לוחצים על הציון של החשיפה להתקפה כדי לבדוק את נתיב ההתקפה של הממצא.
    • אם לממצא יש מזהה כרטיס, לוחצים עליו כדי לפתוח את הכרטיס.

אפשר גם לראות את הממצאים הקשורים בכרטיסיות ההתראות שלהם בפנייה.

ממצאים

ממצא של שילוב רעיל או נקודת חסימה הוא הרשומה הראשונית שמנוע הסיכון יוצר כשהוא מזהה שילוב רעיל או נקודת חסימה בסביבת הענן.

  1. עוברים לדף Findings.

    כניסה לדף Findings

  2. בוחרים את הארגון שלכם ( Google Cloud ).

  3. בקטע Finding class בחלונית Quick filters, בוחרים באפשרות Toxic combination או Chokepoint. החלונית Findings query results מתעדכנת ומציגה רק את הממצאים של שילובים רעילים או נקודות חסימה.

  4. כדי למיין את הממצאים לפי חומרה, לוחצים על כותרת העמודה Attack Exposure Score עד שהציונים מופיעים בסדר יורד.

  5. לוחצים על קטגוריית ממצאים כדי לפתוח את חלונית הפרטים של הממצא. עוברים לקטע השלבים הבאים ופועלים לפי ההנחיות כדי לפתור את בעיית האבטחה.

סגירת בקשות תמיכה בנושא שילובים רעילים

כדי לסגור בקשה שקשורה לשילוב רעיל, אתם יכולים לתקן את השילוב הרעיל הבסיסי או להשתיק את הממצא שקשור אליו במסוףGoogle Cloud .

סגירת בקשה על ידי תיקון שילוב רעיל

אחרי שתתקנו את בעיות האבטחה שיוצרות את השילוב הרעיל, והן כבר לא יחשפו משאבים בקבוצת המשאבים החשובים, מנוע הסיכונים יסגור את המקרה באופן אוטומטי במהלך הסימולציה הבאה של נתיב ההתקפה, שפועלת כל 48 שעות.

סגירת בקשה על ידי השתקת הממצא

אם הסיכון שנובע מהשילוב הרעיל מקובל על העסק שלכם או שאתם לא יכולים לתקן את השילוב הרעיל, אתם יכולים לסגור את התיק על ידי השתקת הממצא הקשור.

כדי להשתיק ממצא של שילוב רעיל:

  1. במסוף Google Cloud , נכנסים לדף Risk > Cases.
  2. מאתרים ופותחים את הפנייה בנושא שילוב הרשאות רעיל.
  3. לוחצים על הכרטיסייה של ההתראה הרלוונטית.
  4. בווידג'ט Finding summary, לוחצים על Explore findings in SCC. הממצא הקשור נפתח.
  5. כדי להשתיק את הממצא, משתמשים באפשרויות ההשתקה בדף הפרטים של הממצא.

אפשר גם להשתיק ממצאים במסוף Google Cloud . למידע נוסף, קראו את המאמר השתקת ממצא ספציפי.

הצגת פניות סגורות בנושא שילובים רעילים

כשבקשת תמיכה נסגרת, היא מוסרת מהדף Cases ב-Security Command Center.

כדי לראות בקשה סגורה בנושא שילובים מסוכנים:

  1. נכנסים לדף Cases במסוף Google Cloud . מסוף Security Operations ייפתח.
  2. מרחיבים את הקטע סטטוס ובוחרים באפשרות סגור.
  3. מרחיבים את הקטע Tags ובוחרים באפשרות Toxic combination.
  4. לוחצים על אישור. מקרים סגורים של שילובים רעילים מוצגים בתוצאות החיפוש.

המאמרים הבאים