כללים מורכבים

נתמך ב:

במאמר הזה מוסבר על קבוצות הכללים המורכבות, על מקורות הנתונים הנדרשים ועל אפשרויות ההגדרה לשינוי ההתראות שנוצרות. הקבוצות האלה של כללים מספקות התראות מדויקות יותר. הם קובעים רמות חומרה, רמת סמך, סיכון ועדיפות בכל תוכן הזיהוי שמופעל על ידי Google Security Operations עבור סביבות נקודות קצה ו- Google Cloud.

תיאור של קבוצות כללים

הקטגוריה Composite Rules (כללים מורכבים) כוללת את קבוצות הכללים הבאות:

הסבר על כללים מורכבים של נקודות קצה

הכללים האלה מבצעים קורלציה בין ממצאים מכמה כללי זיהוי שקשורים לאותה נקודת קצה במהלך תקופת זמן מוגדרת. רמות הביטחון והסיכון נקבעות על סמך מאפיינים ספציפיים של הזיהויים האלה.

הסבר על כללים מורכבים ב-Cloud

הכללים האלה מבצעים קורלציה בין ממצאים מכמה כללי זיהוי שמשויכים לאותוGoogle Cloud חשבון או Google Cloud משאב במהלך תקופה מוגדרת. רמות הביטחון והסיכון מבוססות על מאפיינים ספציפיים של הזיהויים האלה.

הסבר על כללים מורכבים של ATI

כללי ATI מורכבים מזהים כמה זיהויים ייחודיים של Applied Threat Intelligence מאותו קמפיין, מאותה וריאציה של תוכנה זדונית או מאותו שחקן איומים, כדי לספק הקשר סביבתי נוסף לכל איום פוטנציאלי. כך תוכלו להתמקד באשכולות של פעילות כדי לתעדף את הפעולות. כדי לוודא שהכללים האלה יפיקו התראות, צריך להפעיל חבילות של כללי מודיעין איומים, כמו Active Breach,‏ High או Medium.

מכשירים נתמכים וסוגי יומנים

הכללים האלה מסתמכים בעיקר על יומני ביקורת של Cloud, יומנים של זיהוי נקודות קצה ותגובה, ויומנים של שרתי proxy ברשת. ‫Google SecOps UDM מבצעת נורמליזציה אוטומטית של מקורות היומן האלה. בקטגוריות הבאות מפורטים מקורות היומן החשובים ביותר שנדרשים כדי שהתוכן המורכב שנבחר בקפידה יפעל בצורה יעילה:

מקורות יומן של כללי קומפוזיציה של נקודות קצה

Google Cloud מקורות ביומן של כללים מורכבים

Google Cloud ומקורות יומן של כללים בנקודות קצה

רשימה מלאה של הזיהויים המותאמים שזמינים לכם מופיעה במאמר שימוש בזיהויים מותאמים. אם אתם צריכים להפעיל את מקורות הזיהוי באמצעות מנגנון אחר, אתם יכולים לפנות לנציג שלכם ב-Google SecOps.

‫Google SecOps מספקת מנתחי ברירת מחדל שמנתחים ומנרמלים יומנים גולמיים כדי ליצור רשומות UDM עם נתונים שנדרשים על ידי קבוצות של כללי זיהוי מורכבים ומסוננים. רשימה של כל מקורות הנתונים הנתמכים ב-Google SecOps מופיעה במאמר מנתחי ברירת מחדל נתמכים.

שינוי כללים בקבוצת כללים

אתם יכולים להתאים אישית את ההתנהגות של הכללים בתוך קבוצת כללים כדי לענות על הצרכים של הארגון. כדי לשנות את אופן הפעולה של כל כלל, בוחרים אחד ממצבי הזיהוי הבאים ומגדירים אם הכללים ייצרו התראות.

  • רחב: מזהה התנהגות חריגה או התנהגות שיש בה פוטנציאל להיות זדונית, אבל יכול להפיק יותר תוצאות חיוביות שגויות בגלל האופי הכללי של הכלל.

כדי לשנות את ההגדרות:

  1. ברשימת הכללים, מסמנים את התיבה לצד כל כלל שרוצים לשנות.

  2. מגדירים את ההגדרות Status ו-Alerting לכללים באופן הבא:

    • סטטוס: הסטטוס שמופיע כאן מציין את המצב (מדויק או רחב) של הכלל שנבחר. מגדירים את הערך Enabled כדי להפעיל את הסטטוס של הכלל במצב.

    • התראות: קובע אם הכלל יוצר התראה בדף התראות. כדי להפעיל את ההתראות, בוחרים באפשרות מופעל.

שינוי ההתראות מקבוצות כללים

כדי לצמצם את מספר ההתראות שנוצרות על ידי כלל מורכב, אפשר להשתמש בהחרגות של כללים.

החרגה של כלל מציינת קריטריונים שמונעים מכלל או מקבוצת כללים להעריך אירועים מסוימים. כדי לצמצם את נפח הזיהוי, אפשר להשתמש בהחרגות. מידע נוסף זמין במאמר הגדרת החרגות של כללים.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.