שיטות להטמעת נתונים וסוגי נתונים

נתמך ב:

כדי לעקוב ביעילות אחרי הסביבה שלכם ולחקור תקריות, Google Security Operations מאפשרת לכם להזין מגוון רחב של נתוני אבטחה. השלב הראשון בבניית מצב אבטחה חזק הוא להבין את סוגי הנתונים שאפשר להוסיף לפלטפורמה ואת השיטות שמשמשות להטמעת הנתונים.

סוגים של נתונים להעברה

‫Google SecOps מסווגת את הנתונים הנכנסים לארבעה סוגים עיקריים, שלכל אחד מהם יש מטרה ייחודית במחזור החיים של הזיהוי והחקירה:

  • יומנים גולמיים: אלה זרמי הנתונים המקוריים שלא עברו שינוי ממקורות האבטחה (למשל, חומות אש, כלי EDR ופלטפורמות ענן). היומנים מגיעים בפורמטים כמו JSON,‏ Syslog,‏ CSV או טקסט לא מובנה, ומשמשים כ "מקור האמת" לניתוח מעמיק ולציות לתקנות. מכיוון ששמות השדות משתנים בהתאם לספק, היומנים הגולמיים משמשים כקלט הראשוני לפני שהפלטפורמה מנתחת ומנרמלת את שמות השדות.
  • אירועי UDM: אירועים של מודל נתונים מאוחד (UDM) נוצרים כשמנתחי נתונים ממירים את היומנים הגולמיים שלכם לפורמט עקבי שלא תלוי בספק. לדוגמה, מונחים שונים כמו src_ip ו-client-ip עוברים סטנדרטיזציה לשדה principal.ip יחיד. מערכות במורד הזרם משתמשות ב-UDM כדי לספק יכולות כמו חיפוש מאוחד וכללי זיהוי.
  • נתוני הקשר של הישות: הנתונים האלה מספקים את התשובות לשאלות 'מי, מה ואיפה' כדי להפוך אירועים כלליים ללידים משמעותיים. נתוני ההקשר מאפשרים לדעת אם כתובת IP שייכת למנהל בכיר או לשרת ייצור קריטי. הוספת מטא-נתונים לאירועים ממקורות כמו Active Directory או CMDB מאפשרת לאנליסטים לתעדף איומים על סמך הסיכון הארגוני בפועל.
  • התראות: אלה אותות מהימנים שמציינים פעילות שדורשת טיפול מיידי. אפשר להזין התראות ישירות ממוצרי אבטחה חיצוניים (כמו CrowdStrike) או ליצור אותן באופן פנימי על ידי מנוע הזיהוי YARA-L של Google SecOps, כשאירועים או ישויות ב-UDM מפעילים כלל. ההתראות משמשות כאבני הבניין העיקריות של מקרים שקשורים לאירועים.

הסבר על ישויות של הטמעה

ישויות מספקות הקשר חיוני לאירועים ברשת. אירוע רשת רגיל יכול להראות שהמשתמש abc@foo.corp הפעיל את shady.exe, אבל הוא לא יציין אם המשתמש הזה הוא עובד שפוטר לאחרונה.

מודל הנתונים של הישויות מאפשר לכם להטמיע את קשרי הגומלין האלה, ולתעד הקשרים חדשים ממערכות IAM, ממערכות לניהול פגיעויות וממערכות להגנה על נתונים, כדי לספק מודיעין איומי סייבר עשיר.

מנתחי הקשר של ישויות מוכנים לשימוש

כדי להפוך את הטמעת הנתונים לחלקה ככל האפשר, Google SecOps כולל מחברי API ומנתחי נתונים (parsers) שמוגדרים כברירת מחדל למקורות נפוצים רבים ומהימנים. אתם יכולים להטמיע נתונים של הקשר של נכסים או משתמשים מסוגי היומנים הנתמכים הבאים של הקשר הישות:

  • ANOMALI_IOC
  • ARMIS_DEVICES
  • AWS_EC2_HOSTS
  • AWS_EC2_INSTANCES
  • AWS_EC2_VPCS
  • AWS_IAM
  • AZURE_AD_CONTEXT
  • CLOUD_IDENTITY_CONTEXT
  • CROWDSTRIKE_IOC
  • CSV_CUSTOM_IOC
  • CTIX
  • CT_GAUS_SEGUROS
  • CYJAX_THREAT_INTELLIGENCE
  • DHS_IOC
  • DIGITAL_SHADOWS_IOC
  • DUO_CONTEXT
  • DUO_USER_CONTEXT
  • ESET_IOC
  • ET_PRO_IOC
  • GCP_BIGQUERY_CONTEXT
  • GCP_CLOUDIDENTITY_DEVICES
  • GCP_CLOUDIDENTITY_DEVICEUSERS
  • GCP_CLOUD_FUNCTIONS_CONTEXT
  • GCP_COMPUTE_CONTEXT
  • GCP_DLP_CONTEXT
  • GCP_IAM_ANALYSIS
  • GCP_IAM_CONTEXT
  • GCP_KUBERNETES_CONTEXT
  • GCP_NETWORK_CONNECTIVITY_CONTEXT
  • GCP_RESOURCE_MANAGER_CONTEXT
  • GCP_STORAGE_CONTEXT
  • GCP_SQL_CONTEXT
  • GCP_THREATINTEL
  • GREYNOISE
  • GTI_IOC
  • HCL_BIGFIX
  • IBM_MAAS360
  • IONIX
  • JAMF
  • JAMF_PRO_CONTEXT
  • MANDIANT_ACTIVE_BREACH_IOC
  • MANDIANT_CUSTOM_IOC
  • MANDIANT_IOC
  • MICROSOFT_DEFENDER_ENDPOINT
  • MISP_IOC
  • NUCLEUS_ASSET
  • NUCLEUS_VULNERABILITY
  • OKTA_USER_CONTEXT
  • OPEN_SOURCE_INTEL_IOC
  • QUALYS_ASSET_CONTEXT
  • QUALYS_VIRTUAL_SCANNER
  • RAPID7_INSIGHT
  • RECORDED_FUTURE_IOC
  • RH_ISAC_IOC
  • SAILPOINT_IAM
  • SERVICENOW_CMDB
  • SERVICENOW_CMDB_HARDWARE
  • SNIPE_IT
  • STIX
  • TANIUM_ASSET
  • TANIUM_COMPLY
  • TEAM_CYMRU_SCOUT_THREATINTEL
  • TENABLE_IO
  • THREATCONNECT_IOC
  • THREATCONNECT_IOC_V3
  • TRELLIX_HX_HOSTS
  • UKG
  • VZ_SECURITY_MARIMBA_INVENTORY
  • WHOISXMLAPI_SIMPLE_WHOIS
  • WINDOWS_AD
  • WINDOWS_DEFENDER_ATP
  • WORKDAY
  • WORKSPACE_CHROMEOS
  • WORKSPACE_GROUPS
  • WORKSPACE_MOBILE
  • WORKSPACE_PRIVILEGES
  • WORKSPACE_USERS

סקירה כללית של שיטות להטמעת נתונים

שירות ההטמעה של Google SecOps פועל כשער לכל הנתונים הנכנסים. בהתאם למיקום הנתונים ולפורמט שלהם, Google SecOps משתמש במערכות העיקריות הבאות כדי לאחזר אותם:

  • ‫Google Cloud (שילוב ישיר): זוהי השיטה העיקרית, החסכונית ביותר והיעילה ביותר לכל היומנים הרגילים Google Cloud (לדוגמה, יומני ביקורת, יומנים לתיעוד מידע על תעבורת ה-IP הנכנסת והיוצאת ב-VPC, יומני DNS ויומני חומת אש). ‫Google SecOps מאחזר את הנתונים האלה ישירות מהארגון שלך ב- Google Cloud .
  • ‫Bindplane Agent: סוכן וצינור טלמטריה מנוהל שמשמש לאיסוף יומנים מסביבות ומשרתים מקומיים (Windows או Linux). הוא מספק גמישות רבה ליומנים שלא מתאימים בקלות לשיטות אחרות (כמו חומות אש מקומיות), ומאפשר לכם לבצע עיבוד מקדים, סינון או שיפור של נתוני הענן לפני שהם מגיעים ל-Google SecOps. הסוכן Bindplane מנוהל באמצעות מסוף הניהול Bindplane OP.
  • פידים של נתונים: מומלץ להשתמש בהם ליומנים מבוססי-ענן (כמו EDR או אפליקציות SaaS) שכבר צורפו למאגרי אובייקטים (כמו Cloud Storage או Amazon S3), או לצדדים שלישיים שתומכים ב-webhook מבוסס-push. פידים של נתונים שולחים יומנים ישירות לשירות ההטמעה ומספקים תמיכה מוכנה מראש בשילובים מוגדרים מראש של API (תמיכה בשורות יומן בגודל של עד 4MB).
  • שיטות להטמעת נתונים ב-Chronicle API: מיועדות לאפליקציות בהתאמה אישית, לאפליקציות עם נפח נתונים גדול או לאפליקציות שפותחו בתוך הארגון ולא מתאימות לשיטות אחרות. השיטה הזו מחייבת הגדרת Google Cloud אימות (חשבונות שירות או איחוד זהויות של עומסי עבודה), הגדרת הרשאות IAM ופיתוח שילובים בהתאמה אישית כדי לשלוח מטענים ייעודיים (payloads) בפורמט JSON לנקודות הקצה של ה-API.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.