סקירה כללית על ההשפעה של RBAC על תכונות
בקרת גישה מבוססת-תפקידים לנתונים (data RBAC) היא מודל אבטחה שמגביל את הגישה של המשתמשים לנתונים על סמך התפקידים של כל משתמש בארגון. אחרי שמגדירים את ה-RBAC של הנתונים בסביבה, מתחילים לראות נתונים מסוננים בתכונות של Google Security Operations. בקרת גישה מבוססת-תפקידים (RBAC) לנתונים שולטת בגישה של המשתמשים בהתאם להיקפי ההרשאות שהוקצו להם, ומוודאת שהמשתמשים יכולים לגשת רק למידע שהם מורשים לגשת אליו. בדף הזה מוסבר איך בקרת גישה מבוססת-תפקידים (RBAC) משפיעה על כל תכונה ב-Google SecOps.
כדי להבין איך פועל RBAC של נתונים, קראו את הסקירה הכללית של RBAC של נתונים.
חיפוש
הנתונים שמוחזרים בתוצאות החיפוש מבוססים על היקפי הגישה של המשתמש לנתונים. המשתמשים יכולים לראות רק תוצאות מנתונים שתואמים להיקפים שהוקצו להם. אם למשתמשים מוקצה יותר מהיקף אחד, החיפוש מתבצע בכל הנתונים המשולבים של כל ההיקפים המורשים. נתונים ששייכים להיקפים שלמשתמש אין גישה אליהם לא מופיעים בתוצאות החיפוש.
גישה לפניות
חיפוש של בקשות תמיכה והיסטוריית בקשות תמיכה ב-SIEM Search לא תומך בהיקפים של בקרת גישה מבוססת-תפקיד (RBAC) לנתונים. משתמש עם הרשאות לביצוע חיפוש ב-SIEM יכול לחפש אירועים והיסטוריית אירועים בכל היקפי הנתונים.
כללים
כללים הם מנגנוני זיהוי שמנתחים את הנתונים שנאספו ועוזרים לזהות איומי אבטחה פוטנציאליים. אפשר לסווג את הכללים באופן הבא:
כללים מוגדרים: משויכים להיקף נתונים ספציפי. כללים עם היקף הרשאות יכולים לפעול רק על נתונים שנכללים בהגדרה של אותו היקף. משתמשים שיש להם גישה להיקף מסוים יכולים לראות ולנהל את הכללים שלו.
כללים גלובליים: עם הרשאות גישה רחבות יותר, הכללים האלה יכולים לפעול על נתונים בכל ההיקפים. כדי לשמור על האבטחה והשליטה, רק משתמשים עם היקף גלובלי יכולים לראות וליצור כללים גלובליים.
יצירת ההתראות מוגבלת לאירועים שתואמים להיקף של הכלל. אם לא הוקצה לכלל היקף, הוא פועל בהיקף הגלובלי וחול על כל הנתונים.
השפעות של RBAC על כללים:
הפעלתם את RBAC לנתונים לפני שהקציתם היקפים לכללים: כל הכללים הקיימים מוקצים באופן אוטומטי להיקף גלובלי. מקצים היקפים לכל כלל בהתאם לדרישות של בקרת הגישה לנתונים.
הפעלת RBAC של נתונים אחרי הקצאת היקפים לכללים: כללים עם היקפים פועלים על נתונים שנשלחו בהתאם להיקפים שהוגדרו להם, עוד לפני שהופעל RBAC של נתונים. כך המשתמשים יכולים לראות זיהויים שנוצרו אחרי הקצאת ההיקפים.
ההיקף שמשויך לכלל קובע איך משתמשים גלובליים ומשתמשים ברמת ההיקף יכולים לבצע איתו אינטראקציה. הרשאות הגישה מסוכמות בטבלה הבאה:
| פעולה | משתמש גלובלי | משתמש עם הרשאה מוגבלת |
|---|---|---|
| יכולים לראות כללים ברמת ההיקף | כן | כן (רק אם היקף ההרשאות של הכלל נמצא בתוך היקפי ההרשאות שהוקצו למשתמש)
לדוגמה, משתמש עם היקפי ההרשאות א' וב' יכול לראות כלל עם היקף ההרשאות א', אבל לא כלל עם היקף ההרשאות ג'. |
| הרשאה לראות את הכללים הגלובליים | כן | לא |
| יכולים ליצור ולעדכן כללים ברמת ההיקף | כן | כן (רק אם היקף ההרשאות של הכלל נמצא בתוך היקפי ההרשאות שהוקצו למשתמש)
לדוגמה, משתמש עם היקפי ההרשאות א' ו-ב' יכול ליצור כלל עם היקף ההרשאות א', אבל לא כלל עם היקף ההרשאות ג'. |
| יכולים ליצור ולעדכן כללים גלובליים | כן | לא |
זיהויים
זיהויים הם התראות שמצביעות על איומי אבטחה פוטנציאליים. הזיהויים מופעלים על ידי כללים בהתאמה אישית, שנוצרים על ידי צוות האבטחה שלכם בסביבת Google SecOps.
זיהויים נוצרים כשנתוני האבטחה הנכנסים תואמים לקריטריונים שהוגדרו בכלל. לפני שמפעילים את בקרת הגישה מבוססת התפקידים (RBAC) לנתונים, כל המשתמשים יכולים לראות את כל הזיהויים, בלי קשר לתיוג ההיקף. אחרי שמפעילים את בקרת הגישה מבוססת התפקידים (RBAC) לנתונים, המשתמשים יכולים לראות רק זיהויים שמקורם בכללים שמשויכים להיקפים שהוקצו להם.
לדוגמה, אנליסט אבטחה עם היקף נתוני הכספים רואה רק זיהויים שנוצרו על ידי כללים שהוקצו להיקף נתוני הכספים, ולא רואה זיהויים מכללים אחרים.
הפעולות שמשתמש יכול לבצע בגילוי (לדוגמה, סימון גילוי כ"טופל") מוגבלות גם הן להיקף שבו הגילוי התרחש.
גלאים מוכנים מראש
הגלאים מופעלים על ידי כללים בהתאמה אישית שנוצרו על ידי צוות האבטחה שלכם, ואילו הגלאים המוכנים מראש מופעלים על ידי כללים שסופקו על ידי צוות Google Cloud Threat Intelligence (GCTI). כחלק מהגלאים המוכנים מראש, GCTI מספק ומנהל קבוצה של כללי YARA-L כדי לעזור לכם לזהות איומי אבטחה נפוצים בסביבת Google SecOps. מידע נוסף מופיע במאמר שימוש בגלאים מוכנים מראש לזיהוי איומים.
גלאים מוכנים מראש לא תומכים ב-RBAC של נתונים. רק משתמשים עם היקף גלובלי יכולים לגשת לגלאים מוכנים מראש.
ההשפעה של RBAC על נתונים במקרים ובהתראות של צד ראשון
בקטע הזה מוסבר איך להגדיר בקרת גישה מבוססת-תפקידים (RBAC) לנתונים של התראות ומקרים מאינטראקציה ישירה (First-Party) ב-Google Security Operations.
הנושאים העיקריים כוללים:
- דרישות מוקדמות: דרישות למכונות מאוחדות של SIEM ו-SOAR, תאימות למחברים וההשלכות של הפעלת תכונות בלתי הפיכות.
- הפעלה: שלבי ההגדרה להפעלת אכיפת הגישה לנתונים בתרחישי אכיפה קיימים וחדשים של SIEM.
- מיפוי סביבה: הוראות להגדרת גבולות נתונים על ידי מיפוי היקפים מוגדרים של SIEM לסביבות SOAR.
- הערכת גישה: הסברים על הפצת היקף, לוגיקת גישה וכללים שקובעים את קיבוץ הישויות והמקרים.
- ניהול מחזור חיים: הנחיות לשינוי מיפויים של סביבות, יצירת בקשות תמיכה ידניות, טיפול בתרחישים של חריגה מהמכסה וטיפול במחיקות של היקפים.
- מעקב אחרי הממשק: איך לאמת ולסנן את היקפי הגישה לנתונים בממשק המשתמש של Case Management.
מידע נוסף זמין במאמר שליטה בגישה לבקשות תמיכה ולהתראות של צד ראשון.
סוכן המיון
סוכן המיון הוא עוזר דיגיטלי מבוסס-AI שמוטמע ב-Google Security Operations. הוא חוקר התראות אבטחה כדי לקבוע אם הן חיוביות אמיתיות או חיוביות מוטעות, ומספק הסבר מסכם להערכה שלו.
כשהאפשרות "בקרת גישה מבוססת-תפקיד (RBAC) לנתונים" מופעלת, רק משתמשים עם גישה גלובלית לנתונים יכולים להפעיל ולראות חקירות של Triage Agent. מידע נוסף זמין במאמר תפקידי משתמשים.
יומנים גולמיים
כשהתכונה "בקרת גישה מבוססת-תפקיד (RBAC) לנתונים" מופעלת, רק משתמשים עם היקף גלובלי יכולים לגשת ליומנים גולמיים מנותחים ולא מנותחים.
טבלאות נתונים
טבלאות נתונים הן מבני נתונים עם כמה עמודות שמאפשרים להזין נתונים משלכם ב-Google SecOps. הם יכולים לשמש כטבלאות חיפוש עם עמודות מוגדרות והנתונים מאוחסנים בשורות. הקצאת היקפי הרשאות לטבלת נתונים מאפשרת לכם לקבוע אילו משתמשים ומשאבים יכולים לגשת אליה ולהשתמש בה.
הרשאות גישה למשתמשים בטבלאות נתונים
ההיקפים שמשויכים לטבלת נתונים קובעים איך משתמשים גלובליים ומשתמשים עם היקף מוגדר יכולים לבצע פעולות בטבלה. הרשאות הגישה מסוכמות בטבלה הבאה:
| פעולה | משתמש גלובלי | משתמש עם הרשאה מוגבלת |
|---|---|---|
| יכול ליצור טבלת נתונים ברמת ההיקף | כן | כן (רק עם היקפים שתואמים להיקפים שהוקצו להם או שהם קבוצת משנה שלהם) לדוגמה, משתמש עם היקפי ההרשאות א' וב' יכול ליצור טבלת נתונים עם היקף ההרשאות א' או עם היקפי ההרשאות א' וב', אבל לא עם היקפי ההרשאות א', ב' וג'. |
| יכול ליצור טבלת נתונים ללא היקף | כן | לא |
| יכולים לעדכן את טבלת הנתונים של התחום | כן | כן (רק עם היקפים שתואמים להיקפים שהוקצו להם או שהם קבוצת משנה שלהם) לדוגמה, משתמש עם היקפי ההרשאות א' וב' יכול לשנות טבלת נתונים עם היקף ההרשאות א' או עם היקפי ההרשאות א' וב', אבל לא טבלת נתונים עם היקפי ההרשאות א', ב' וג'. |
| יכול לעדכן טבלת נתונים ללא היקף | כן | לא |
| אפשר לעדכן טבלת נתונים מוגדרת לטבלה לא מוגדרת | כן | לא |
| אפשר לראות את טבלת הנתונים המוגדרת ולהשתמש בה | כן | כן (אם יש לפחות היקף אחד תואם בין המשתמש לטבלת הנתונים) לדוגמה, משתמש עם היקפי ההרשאות א' וב' יכול להשתמש בטבלת נתונים עם היקפי ההרשאות א' וב', אבל לא בטבלת נתונים עם היקפי ההרשאות ג' וד'. |
| אפשר לראות טבלת נתונים ללא היקף ולהשתמש בה | כן | כן |
| יכולת להריץ שאילתות חיפוש עם טבלאות נתונים ללא היקף מוגדר | כן | כן |
| יכול להריץ שאילתות חיפוש עם טבלאות נתונים מוגדרות | כן | כן (אם יש לפחות היקף אחד תואם בין המשתמש לטבלת הנתונים) לדוגמה, משתמש עם היקף הרשאות א' יכול להריץ שאילתות חיפוש עם טבלאות נתונים עם היקפי הרשאות א', ב' וג', אבל לא עם טבלאות נתונים עם היקפי הרשאות ב' וג'. |
רשימות של מקורות מידע
רשימות עזר הן אוספים של ערכים שמשמשים להתאמה ולסינון של נתונים בחיפוש ב-UDM ובכללי זיהוי. הקצאת היקפים לרשימת עזר (רשימה מוגבלת) מגבילה את הגישה אליה למשתמשים ולמשאבים ספציפיים, כמו כללים וחיפוש ב-UDM. רשימת עזר שלא הוקצה לה היקף נקראת רשימה ללא היקף.
הרשאות גישה למשתמשים ברשימות עזר
ההיקפים שמשויכים לרשימת עזר קובעים איך משתמשים גלובליים ומשתמשים עם היקף מוגדר יכולים להשתמש בה. הרשאות הגישה מסוכמות בטבלה הבאה:
| פעולה | משתמש גלובלי | משתמש עם הרשאה מוגבלת |
|---|---|---|
| יכול ליצור רשימה מוגדרת היקף | כן | כן (עם היקפים שתואמים להיקפים שהוקצו להם או שהם קבוצת משנה של ההיקפים שהוקצו להם)
לדוגמה, משתמש עם היקפי ההרשאות א' וב' יכול ליצור רשימת עזר עם היקף ההרשאות א' או עם היקפי ההרשאות א' וב', אבל לא עם היקפי ההרשאות א', ב' וג'. |
| אפשר ליצור רשימה ללא היקף | כן | לא |
| אפשר לעדכן את הרשימה המוגבלת | כן | כן (עם היקפים שתואמים להיקפים שהוקצו להם או שהם קבוצת משנה של ההיקפים שהוקצו להם)
לדוגמה, משתמש עם היקפי ההרשאות א' וב' יכול לשנות רשימת קובצי עזר עם היקף ההרשאות א' או עם היקפי ההרשאות א' וב', אבל לא רשימת קובצי עזר עם היקפי ההרשאות א', ב' וג'. |
| יכול לעדכן רשימה ללא היקף | כן | לא |
| אפשר לעדכן רשימה מוגבלת לרשימה לא מוגבלת | כן | לא |
| אפשר לראות את הרשימה המוגבלת ולהשתמש בה | כן | כן (אם יש לפחות היקף אחד תואם בין המשתמש לבין רשימת ההפניות)
לדוגמה, משתמש עם היקפי ההרשאות א' וב' יכול להשתמש ברשימת קובצי עזר עם היקפי ההרשאות א' וב', אבל לא ברשימת קובצי עזר עם היקפי ההרשאות ג' וד'. |
| אפשר לראות רשימה ללא היקף ולהשתמש בה | כן | כן |
| יכולת להריץ חיפוש ב-UDM ושאילתות במרכז הבקרה עם רשימות עזר ללא היקף | כן | כן |
| יכולים להריץ שאילתות של חיפוש ב-UDM ושל מרכז הבקרה עם רשימות עזר מוגדרות. | כן | כן (אם יש לפחות היקף אחד תואם בין המשתמש לבין רשימת ההפניות)
לדוגמה, משתמש עם היקף הרשאות א' יכול להריץ שאילתות חיפוש ב-UDM עם רשימות עזר עם היקפי הרשאות א', ב' וג', אבל לא עם רשימות עזר עם היקפי הרשאות ב' וג'. |
הרשאות גישה לכללים ברשימות של קובצי עזר
כלל ברמת היקף יכול להשתמש ברשימת עזר אם יש לפחות היקף תואם אחד בין הכלל לבין רשימת העזר. לדוגמה, כלל עם היקף A יכול להשתמש ברשימת עזר עם ההיקפים A, B ו-C, אבל לא ברשימת עזר עם ההיקפים B ו-C.
כלל עם היקף גלובלי יכול להשתמש בכל רשימת הפניות.
פידים ורכיבי העברה
בקרת גישה מבוססת-תפקיד (RBAC) לנתונים לא משפיעה באופן ישיר על הפעלת הפיד והמעביר. עם זאת, במהלך ההגדרה, המשתמשים יכולים להקצות את תוויות ברירת המחדל (סוג היומן, מרחב השמות או תוויות ההטמעה) לנתונים הנכנסים. לאחר מכן, המערכת מחילה את בקרת הגישה מבוססת התפקידים (RBAC) על תכונות שמשתמשות בנתונים המתויגים האלה.
מרכזי שליטה
אתם יכולים להשתמש במרכזי בקרה כדי ליצור המחשות חזותיות של נתונים ממקורות שונים. כל מרכז בקרה מורכב מתרשימים שונים.
מרכזי הבקרה תומכים באופן מלא ב-RBAC של נתונים. מודל האבטחה הזה מסנן את המידע שמוצג בווידג'טים של מרכז הבקרה בהתאם להיקפים שהוקצו לכם.
- חשיפת נתונים: הווידג'טים מציגים רק תוצאות מנתונים שתואמים להיקפים שהוקצו לכם. אם מרכז הבקרה מסתמך על שאילתת YARA-L, השאילתה הזו פועלת רק על נתונים מורשים.
- חפיפה בהיקף: אם יש לכם כמה היקפים, בלוח הבקרה מוצגים הנתונים המשולבים מכל ההיקפים המורשים.
- בקרת גישה: בעוד שבקרת גישה מבוססת-תפקיד (RBAC) של תכונות קובעת מי יכול ליצור או לערוך מרכז בקרה, בקרת גישה מבוססת-תפקיד (RBAC) של נתונים קובעת אילו נתונים ספציפיים מוצגים בתרשימים ובטבלאות.
ההיקף הספציפי שמשויך ללוח בקרה קובע את רמת האינטראקציה שמותרת למשתמשים גלובליים ומשתמשים עם היקף הרשאות:
משתמשים גלובליים: יכולים לראות את כל מרכזי הבקרה ולנהל אותם, בלי קשר להיקף.
משתמשים עם היקף הרשאות מוגדר: האינטראקציה מוגבלת על סמך היקפי ההרשאות שהוקצו למשתמש.
גישה לבקשות תמיכה
רק משתמשים גלובליים יכולים לראות מרכזי בקרה עם נתוני SOAR, כמו בקשות תמיכה, היסטוריית בקשות תמיכה, פלייבוקים והתראות.
מודיעין איומי סייבר יישומי והתאמות של IOC
נתוני IOC ו-ATI מספקים מידע קריטי על איומי אבטחה פוטנציאליים בסביבה שלכם.
הגלאים המוכנים מראש של ATI מופעלים על ידי כללים שסופקו על ידי צוות ATI. הכללים האלה משתמשים במודיעין איומי סייבר של Mandiant כדי לזהות באופן יזום איומים בעדיפות גבוהה. מידע נוסף מופיע במאמר סקירה כללית על Applied Threat Intelligence.
כדי לראות התאמות של IOC ונתוני ATI שנגזרו מיומני לקוחות, נדרש היקף גלובלי, והם לא זמינים למשתמשים עם היקפים מוגבלים.
ניתוח התנהגות של משתמשים וישויות (UEBA)
בקטגוריה Risk Analytics for UEBA יש קבוצות כללים מוגדרות מראש לזיהוי איומי אבטחה פוטנציאליים. קבוצות הכללים האלה משתמשות בלמידת מכונה כדי לנתח דפוסי התנהגות של משתמשים וישויות, ולהפעיל זיהויים באופן יזום. מידע נוסף זמין במאמר סקירה כללית של ניתוח סיכונים בקטגוריה UEBA.
ב-UEBA אין תמיכה ב-RBAC של נתונים. רק משתמשים עם היקף גלובלי יכולים לגשת לניתוח הסיכונים בקטגוריה UEBA.
פרטי הישות ב-Google SecOps
השדות הבאים, שמתארים נכס או משתמש, מופיעים בכמה דפים ב-Google SecOps, כמו החלונית Entity Context בחיפוש ב-UDM. עם RBAC של נתונים, השדות זמינים רק למשתמשים עם היקף גלובלי.
- הוצגה לראשונה
- התחברת לאחרונה
- שכיחות
משתמשים עם הרשאות ברמת ההיקף יכולים לראות את נתוני הפעם הראשונה והפעם האחרונה שבהן נראו משתמשים ונכסים, אם הנתונים האלה מחושבים על סמך נתונים שנמצאים בהיקפים שהוקצו למשתמש.
המאמרים הבאים
הגדרת בקרת גישה מבוססת-תפקיד (RBAC) לנתונים של משתמשים
הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.