סקירה כללית של מרכזי הבקרה

נתמך ב:

במסמך הזה מפורט מדריך טכני לשימוש במנוע של לוחות הבקרה של Google Security Operations כדי ליצור תרשימים של נתונים ממקורות שונים של טלמטריה.

מסגרת לוחות הבקרה מבוססת על ארכיטקטורה מודולרית שבה ווידג'טים (תרשימים) בודדים מתקשרים עם מקורות נתונים ספציפיים באמצעות תחביר YARA-L 2.0. באמצעות מאפייני הסכימה ופונקציות הצבירה של YARA-L, אפשר ליצור תצוגות חזותיות לצורך מעקב בזמן אמת, ניתוח איומים וביקורת תפעולית.

למידע נוסף על התשתית הבסיסית של לוחות הבקרה, אפשר לעיין במאמר סקירה כללית על לוחות הבקרה.

לפני שמתחילים

מוודאים שמופע Google SecOps עומד בדרישות התצורה הבאות:

הרשאות IAM נדרשות

כדי לגשת למרכזי בקרה, נדרשות ההרשאות הבאות:

הרשאת IAM מטרה
chronicle.nativeDashboards.list הצגת רשימת כל מרכזי הבקרה.
chronicle.nativeDashboards.get צפייה בלוח בקרה, החלת מסנן על לוח בקרה, וגם החלת מסנן גלובלי.
chronicle.nativeDashboards.create יוצרים מרכז בקרה חדש.
chronicle.nativeDashboards.duplicate יוצרים עותק של מרכז בקרה קיים.
chronicle.nativeDashboards.update הוספה ועריכה של תרשימים, הוספת מסנן, שינוי הגישה ללוח הבקרה וגם ניהול המסנן הגלובלי של הזמן.
chronicle.nativeDashboards.delete מחיקת מרכז בקרה

הסבר על לוחות בקרה

מרכזי הבקרה מספקים תובנות לגבי אירועי אבטחה, זיהויים ונתונים קשורים. בקטע הזה מפורטות מקורות הנתונים הנתמכים ומוסבר איך בקרת גישה מבוססת-תפקידים (RBAC) משפיעה על הנראות ועל הגישה לנתונים בלוחות הבקרה.

  • investigation
  • response_platform_info
  • case_name
  • feedback_summary
  • feedback_history
  • soar_alert
  • soar_alert_metadata

מקורות נתונים נתמכים

לוחות הבקרה כוללים את מקורות הנתונים הבאים, שלכל אחד מהם יש קידומת YARA-L תואמת:

מקור הנתונים מרווח הזמן של השאילתה קידומת YARA-L סכימה דוגמאות ללוחות בקרה
היסטוריית בקשות התמיכה 365 ימים case_history Fields (SOAR) | Template דוגמאות
פניות והתראות 365 ימים case Fields (SOAR) | Template דוגמאות
זיהויים 365 ימים detection שדות | תבנית דוגמאות
תרשים ישויות 365 ימים graph שדות | תבנית דוגמאות
אירועים 90 ימים no prefix Fields (UDM) | Template דוגמאות
מדדי הטמעה 365 ימים ingestion שדות | תבנית דוגמאות
IoCs 365 ימים ioc שדות | תבנית דוגמאות
פלייבוקים 365 ימים playbook Fields (SOAR) | Template דוגמאות
קבוצות כללים 365 ימים ruleset שדות | תבנית דוגמאות
כללים ללא מגבלת זמן rules שדות | תבנית דוגמאות
סוכן למיון ולחקירה ‫366 ימים gemini_investigation, gemini_investigation_feedback שדות | תבנית דוגמאות

ההשפעה של RBAC על נתונים

בקרת גישה מבוססת-תפקידים (RBAC) לנתונים היא מודל אבטחה שמשתמש בתפקידי משתמשים פרטניים כדי להגביל את גישת המשתמשים לנתונים בארגון. ה-RBAC של נתונים מאפשר לאדמינים להגדיר היקפים ולהקצות אותם למשתמשים, כדי להבטיח שהגישה תוגבל רק לנתונים שנדרשים לתפקידים שלהם. כל השאילתות בלוחות הבקרה פועלות לפי כללי RBAC של נתונים. מידע נוסף על בקרת גישה והיקפים זמין במאמר בקרת גישה והיקפים ב-RBAC של נתונים. מידע נוסף על RBAC של נתונים בלוחות בקרה זמין במאמר הגדרת RBAC של נתונים בלוחות בקרה

אירועים, גרף ישויות והתאמות ל-IOC

הנתונים שמוחזרים מהמקורות האלה מוגבלים להיקפי הגישה שהוקצו למשתמש, וכך מובטח שהוא יראה רק תוצאות מנתונים מורשים. אם למשתמש יש כמה היקפי גישה, השאילתות כוללות נתונים מכל היקפי הגישה שהוקצו לו. נתונים שלא נמצאים בהיקפים שהמשתמש יכול לגשת אליהם לא מופיעים בתוצאות החיפוש בלוח הבקרה.

כללים

המשתמשים יכולים לראות רק כללים שמשויכים להיקפים שהוקצו להם.

זיהוי וערכות כללים עם זיהויים

מערכת ה-Detections יוצרת זיהויים כשנתוני אבטחה נכנסים תואמים לקריטריונים שמוגדרים בכלל. המשתמשים יכולים לראות רק זיהויים שמקורם בכללים שמשויכים להיקפים שהוקצו להם. רק משתמשים גלובליים יכולים לראות את קבוצות הכללים עם הזיהויים.

מקורות נתונים של SOAR

מרכזי בקרה עם נתוני SOAR, כמו Cases (פניות), Case history (היסטוריית פניות), Playbooks (ספרי הפעלה) ו-Alerts (התראות), גלויים רק למשתמשים גלובליים.

לוחות הבקרה של בקשות התמיכה וההיסטוריה שלהן לא תומכים במנגנוני גישה ל-SOAR (כמו סביבות ותפקידי SOC). משתמש עם הרשאות גישה למרכזי בקרה יכול לצפות בבקשות תמיכה בכל הסביבות ובכל התפקידים ב-SOC.

מדדי הטמעה

רכיבי ההטמעה הם שירותים או צינורות שמעבירים יומנים אל הפלטפורמה מפידים של יומנים ממקורות. כל רכיב אוסף קבוצה ספציפית של שדות יומן בסכימת המדדים שלו להעברה.

אדמינים יכולים להשתמש ב-RBAC כדי להגביל את הנראות של נתוני תקינות המערכת, כמו נפח ההטמעה, השגיאות וקצב העברת הנתונים, בהתאם להיקף העסקי של המשתמש.

לוח הבקרה 'העברת נתונים' ו'בריאות' משתמש בהיקפי גישה לנתונים. כשמשתמש עם הרשאה מוגבלת טוען את לוח הבקרה, המערכת מסננת באופן אוטומטי את המדדים כדי להציג רק נתונים שתואמים לתוויות שהוקצו לו.

אפשר לסנן באמצעות התוויות הבאות:

  • מרחב שמות: השיטה העיקרית להפרדה (לדוגמה, Eu-Prod, Alpha-Corp).
  • סוג היומן: הפרדה לפי תפקידים (לדוגמה, GCP_VPC_FLOW, CROWDSTRIKE_EDR).
  • מקור ההטמעה: מעקב אחרי מקורות ברמת פירוט גבוהה (לדוגמה, מזהה ספציפי של מעביר).

סוגי יומנים לא צפויים במדדי ההטמעה

יכול להיות שחלק מלוחות הבקרה יציגו רשומות של סוגי יומנים כמו UNSPECIFIED_LOG_TYPE או מזהים פנימיים, כולל LT_X (כאשר X הוא מספר). LT_Xהמזהים האלה משמשים במערכת Google SecOps כדי לזהות באופן ייחודי סוגים של יומנים בהתאמה אישית שנוצרו על ידי לקוח.

הערכים האלה יכולים להופיע גם אם לא הושלם בהצלחה תהליך הטמעת הנתונים או הניתוח עבור סוגי היומנים הספציפיים האלה. זה קורה כי מדדים מסוימים של המערכת מתועדים בלי קשר לסטטוס הסופי של ההטמעה.

כדי להתמקד בנתונים שהוטמעו ונותחו בהצלחה, אפשר להשתמש ביכולות הסינון בממשק לוח הבקרה כדי להחריג או לסנן באופן ספציפי את UNSPECIFIED_LOG_TYPE ומזהים אחרים של סוגי יומנים פנימיים לא צפויים מהתצוגות.

מגבלות

  • תווית מותאמת אישית: הקצאת היקף משתמש שמכיל תווית מותאמת אישית – כמו תווית שנוצרה באמצעות ביטוי רגולרי של UDM או טבלאות נתונים – משביתה אוטומטית את RBAC למדדי הטמעה עבור אותו משתמש. כתוצאה מכך, המשתמש לא יראה נתונים במרכזי הבקרה שלו. במסגרות של מעקב אחרי הטמעה, צריך להשתמש רק בתוויות רגילות כמו Log Type,‏ Namespace ו-Ingestion Source.

  • הגבלה על מקורות להעברה: סינון לפי מקור להעברה חל רק על המדד 'מספר הרשומות ביומן'. אם מסננים את התרשימים לפי מקור ההטמעה בלבד, יכול להיות שלא יוצגו בהם נתונים של מדדי רוחב פס (בבייטים) או שיעורי שגיאה. מומלץ לסנן לפי מרחב שמות כדי לקבל תמונה רחבה יותר של תקינות המערכת.

תכונות מתקדמות ומעקב

כדי לשפר את הזיהוי והניראות, אפשר להשתמש בהגדרות מתקדמות, כמו כללי YARA-L 2.0 ומדדי הטמעה. בקטע הזה נסביר על התובנות האלה, כדי לעזור לכם לבצע אופטימיזציה של יעילות הזיהוי ולעקוב אחרי עיבוד הנתונים.

מאפיינים של YARA-L 2.0

ל-YARA-L 2.0 יש את המאפיינים הייחודיים הבאים כשמשתמשים בו בלוחות בקרה:

  • לוחות הבקרה כוללים מקורות נתונים נוספים, כמו תרשים ישויות, מדדי הטמעה, קבוצות כללים וזיהויים. חלק ממקורות הנתונים האלה עדיין לא זמינים בכללי YARA-L ובחיפוש במודל הנתונים המאוחד (UDM).

  • אפשר לעיין בפונקציות YARA-L 2.0 ללוחות בקרה של Google Security Operations ובפונקציות מצטברות שכוללות מדדים סטטיסטיים.

  • השאילתה ב-YARA-L 2.0 חייבת להכיל מקטע match או מקטע outcome, או את שניהם.

  • הסעיף events של כלל YARA-L מרומז ולא צריך להצהיר עליו בשאילתות.

  • הקטע condition של כלל YARA-L לא זמין בלוחות בקרה.

  • לוחות בקרה לא תומכים בכללים מהקטגוריה Risk Analytics for UEBA.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.