כללים משולבים

נתמך ב:

במאמר הזה נסביר על קבוצות הכללים המשולבות, על מקורות הנתונים הנדרשים ועל אפשרויות ההגדרה להתאמת ההתראות שהן יוצרות. קבוצות הכללים האלה מספקות התראות מדויקות יותר. הם קובעים את רמות החומרה, המהימנות, הסיכון והעדיפות בכל תוכן הזיהוי שמופעל ב-Google Security Operations בסביבות של Google Cloudושל נקודות קצה.

תיאור של קבוצות כללים

הקטגוריה "כללים מורכבים" כוללת את קבוצות הכללים הבאות:

הסבר על כללים מורכבים של נקודות קצה (endpoint)

הכללים האלה יוצרים קורלציה בין ממצאים מכמה כללי זיהוי שקשורים לאותה נקודת קצה, לאורך תקופה מוגדרת. רמות הסמך והסיכון נקבעות לפי מאפיינים ספציפיים של הזיהויים האלה.

הסבר על כללים מורכבים בענן

הכללים האלה מקשרים בין ממצאים מכמה כללי זיהוי שמשויכים לאותוGoogle Cloud חשבון או Google Cloud משאב במהלך תקופה מוגדרת. רמות הסמך והסיכון מבוססות על מאפיינים ספציפיים של הזיהויים האלה.

הסבר על כללי ATI משולבים

כללי ATI מורכבים מזהים כמה זיהויים ייחודיים של מודיעין איומי סייבר מאותו מבצע, מאותו וריאנט של תוכנה זדונית או מאותו גורם איום, כדי לספק הקשר סביבתי נוסף לכל איום פוטנציאלי. כך תוכלו להתמקד באשכולות של פעילות כדי לקבוע סדרי עדיפויות. כדי לוודא שהכללים האלה יוצרים התראות, צריך להפעיל חבילות כללים של מודיעין איומי סייבר Applied Threat Intelligence, כמו Active Breach,‏ High או Medium.

מכשירים וסוגי יומנים נתמכים

הכללים האלה מסתמכים בעיקר על יומני הביקורת של Cloud, יומני זיהוי ותגובה בנקודות קצה ויומני שרת proxy ברשת. ‫Google SecOps UDM מנרמל באופן אוטומטי את מקורות היומנים האלה. בקטגוריות הבאות מפורטים מקורות היומנים החשובים ביותר שנדרשים כדי שהתוכן המשולב שנאסף יפעל ביעילות:

מקורות יומנים של כללים מורכבים בנקודות קצה

מקורות יומן של כללים מורכבים ב-Google Cloud

מקורות של יומני כללים ל-Google Cloud ולנקודות קצה

רשימה מלאה של הגלאים המוכנים מראש זמינה במאמר שימוש בגלאים מוכנים מראש. אם אתם צריכים להפעיל את מקורות הזיהוי באמצעות מנגנון אחר, פנו לנציג של Google SecOps.

ב-Google SecOps יש מנתחי נתונים שמוגדרים כברירת מחדל. הם מנתחים ומנרמלים את היומנים הגולמיים כדי ליצור רשומות UDM עם הנתונים שנדרשים לקבוצות של כללי זיהוי מורכבים ומוכנים מראש. כאן מפורטים כל מקורות הנתונים שנתמכים ב-Google SecOps.

שינוי כללים בקבוצת כללים

אתם יכולים להתאים אישית את ההתנהגות של הכללים בקבוצת כללים בהתאם לצורכי הארגון. כדי לשנות את אופן הפעולה של כל כלל, בוחרים באחד ממצבי הזיהוי הבאים ומגדירים אם הכללים ייצרו התראות.

  • רחב: זיהוי התנהגות שעלולה להיות זדונית או חריגה, אבל יכול להיות שיהיו יותר תוצאות חיוביות מוטעות בגלל האופי הכללי של הכלל.

כדי לשנות את ההגדרות:

  1. ברשימת הכללים, מסמנים את התיבה לצד כל כלל שרוצים לשנות.

  2. מגדירים את ההגדרות Status ו-Alerting לכללים באופן הבא:

    • סטטוס: החלת המצב (מדויק או רחב) על הכלל שנבחר. מגדירים את הערך Enabled כדי להפעיל את הסטטוס של הכלל במצב.

    • התראות: קובע אם הכלל יוצר התראה בדף התראות. כדי להפעיל את ההתראות, מעבירים את המתג למצב מופעל.

כוונון התראות מקבוצות כללים

כדי לצמצם את מספר ההתראות שנוצרות על ידי קבוצת כללים, אפשר להחיל החרגות של כללים על הכללים הבסיסיים שנבחרו. אל תפעילו החרגת כלל ישירות על כלל מורכב.

החרגת כלל מציינת קריטריונים שמונעים מאירועים תואמים להפעיל גילויים בכלל או בקבוצת כללים שנבחרו. מידע נוסף מופיע במאמר הגדרת השתקת התראות.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.