ניתוח סיכונים באמצעות מרכז הבקרה

נתמך ב:

מרכז הבקרה Risk Analytics מאפשר לכם לראות את הסביבה שלכם מנקודת מבט שמבוססת על סיכונים. הצגה חזותית של מגמות הסיכון של ישויות עוזרת לזהות התנהגות חריגה ולהבין את הסיכון הפוטנציאלי שהישויות מהוות לארגון.

בלוח הבקרה ניתוח סיכונים מופיעה רשימה של ישויות בסיכון ופרטים על גורמי הסיכון. במערכות שמשתמשות ב-RBAC של נתונים, רק משתמשים עם היקף גלובלי יכולים לגשת לניתוח סיכונים. מידע נוסף זמין במאמר ההשפעה של RBAC על ניתוח סיכונים.

כדי להיכנס למרכז הבקרה Risk Analytics:

  1. בסרגל הניווט, לוחצים על זיהוי.
  2. בקטע זיהוי, לוחצים על ניתוח סיכונים.

מספר הישויות, חישוב של ציון סיכונים וטבלת הישויות

בהתאם למסננים שתבחרו, בלוח הבקרה Risk Analytics יוצגו רק 10,000 הישויות עם הסיכון הגבוה ביותר בארגון. כל התרשימים והטבלאות במרכז הבקרה מייצגים רק את קבוצת הישויות הזו.

בתרשים Total entity count שבפינה השמאלית העליונה מוצג מספר הישויות שנמצאות במעקב בארגון שלכם, עם סיכון גבוה מ-0. ישויות עם ציון סיכון 0 עדיין נמצאות במעקב, אבל הן לא מיוצגות בתרשים הזה. המספר הכולל מחולק בין נכסים ומשתמשים.

מידע נוסף על ישויות זמין במאמר אובייקטים לוגיים: אירוע וישות. איך מחושב ציון הסיכון?

בטבלה Entities יש כמה עמודות שקשורות לחישוב של ציון סיכונים של הישות:

עמודה ערך
שם הישות שם הישות.
סוג ישות סוג הישות (נכס או משתמש).
מנורמל הציונים המנורמלים מחושבים לפי ישויות, ומוצגים בסולם של 0-1,000 באמצעות נרמול מינימום-מקסימום.
שינוי מנורמל השינוי בציון הסיכון המנורמל של הישות מאז חלון חישוב הסיכון הקודם.
מגמה מנורמלת עלייה או ירידה בשינוי באחוזים של ציון הסיכון המנורמל בהשוואה לחלון הסיכון הקודם.
תוכנית בסיסית ציון הסיכון הבסיסי של הישות שווה לציון הסיכון המקסימלי של הממצא, בתוספת השקלול כפול סכום ציוני הסיכון של שאר הממצאים.

ברירת המחדל של השקלול היא 0 .2, ואפשר לשנות אותה בהגדרות.
שינוי בסיס השינוי בציון הסיכון של הישות הבסיסית מאז חלון חישוב הסיכון הקודם.
מגמת הבסיס עלייה או ירידה בשינוי באחוזים של ציון הסיכון הבסיסי בהשוואה לחלון הסיכון הקודם.
מספר הממצאים מספר הממצאים (התראות וזיהויים) שכוללים את הישות הזו במהלך חלון חישוב הסיכון.
הוצגה לראשונה בחלון חותמת הזמן שבה הישות זוהתה לראשונה בממצא (התראה או זיהוי) במהלך חלון חישוב הסיכון.
נראה לאחרונה בחלון חותמת הזמן של הפעם האחרונה שבה הישות הופיעה בממצא (התראה או זיהוי) במהלך חלון חישוב הסיכון.

שינוי חלון חישוב הסיכון

הסיכון המחושב שמהווה ישות משתנה בהתאם לתקופת הזמן שנבדקת. שינוי ההגדרה Risk Calculation Window בפינה הימנית העליונה (בוחרים באפשרות 24 Hour Window או 7 Day Window) משנה את ציון הסיכון המחושב שמוצג כאן. יכול להיות שתרצו לשנות את ההגדרה הזו בהתאם לסוג המתקפה שאתם מחפשים. לדוגמה, מתקפות כוח גס (brute force) בולטות יותר כשמגדירים את חלון חישוב הסיכון ל-24 שעות. מסגרות זמן ארוכות יותר מאפשרות לזהות התקפות לטווח ארוך. ציוני הסיכון של הישויות משתנים בהתאם לחלון חישוב הסיכון שנבחר.

ציוני הסיכון של הישויות מחושבים מחדש כמה פעמים ביום, גם לחלונות מבט לאחור של 24 שעות וגם לחלונות מבט לאחור של 7 ימים, על סמך הממצאים שנוצרו בתקופות המבט לאחור הרלוונטיות. בלוח הבקרה של הסיכונים מוצגים ציוני הסיכון שחושבו לאחרונה. אפשר גם לראות את ציוני הסיכון ההיסטוריים על ידי בחירת תאריך ושעה ספציפיים בבורר התאריכים לצד ההגדרה "חלון חישוב הסיכון". יוצגו הסיכונים של הישות שחושבו לחלון של 24 שעות או 7 ימים שמסתיים בתאריך ובשעה שנבחרו.

צמצום החיפוש באמצעות מסננים מהירים

מסננים מהירים מאפשרים לצמצם את החיפוש כך שיוצגו רק תוצאות שרלוונטיות לצרכים הספציפיים שלכם.

כדי להשתמש במסננים מהירים בלוח הבקרה ניתוח סיכונים, מבצעים את הפעולות הבאות:

  1. לוחצים על filter_alt מעל הטבלה Entities. מופיע החלון Filters.
  2. בוחרים אחת מהעמודות:
    • מספר הממצאים
    • ציון סיכון מנורמל של ישות
    • מגמת הסיכון המנורמלת של הישות
    • סוג
  3. בוחרים באפשרות הצגה בלבד או סינון.
  4. בוחרים ערך (אפשר לבחור יותר מערך אחד כדי להרחיב את הטווח):
    • מספר הממצאים: ערכים מ-0 עד יותר מ-1,000.
    • ציון סיכון מנורמל של ישות: ערכים מ-0 עד 1,000.
    • מגמת סיכון מנורמלת של ישות: אחוזים מ-‎-99% ומטה ועד 199% ומעלה.
    • סוג: בוחרים באפשרות נכסים או משתמשים.
  5. (אופציונלי) כדי להוסיף עוד מסננים, לוחצים על Add filter וחוזרים על התהליך משלב 2.
  6. כשמסיימים להגדיר את המסננים, לוחצים על אישור.

לדוגמה, אם בוחרים באפשרות Normalized entity risk trend, בוחרים באפשרות Show only ומסמנים את התיבה >199%, יוצגו רק הישויות עם שינוי בסיכון הישות המנורמל שגדול מ-199%.

בדיקת ישות באמצעות דף הישות

כדי לחקור ישות, פועלים לפי השלבים הבאים:

  1. גללו בעמודה Entity Name או השתמשו בשורת החיפוש כדי למצוא ישות.
  2. לוחצים על הישות שרוצים לחקור.

דף הישות ייפתח. בדף הזה אפשר לבחון רק את הממצאים שמשויכים לישות הספציפית הזו. התרשים Findings timeline בחלק העליון עוקב אחרי חישוב של ציון סיכונים של הישויות והממצאים לאורך זמן. התרשים הזה מורכב ממדדים שחושבו מראש ומוצגים בפורמט של תרשים קו כדי להראות מגמות לאורך זמן. אפשר לראות חריגות כקפיצות בתרשים הקו. מתחת לתרשים מופיעה הטבלה Findings, שבה מוצגים האירועים והפעילויות שהישות שנבחרה משויכת אליהם.

בפינה הימנית התחתונה יש חלונית שניתן לכווץ, View entity details, שמכילה סיכום של פרטים חשובים על הישות שנבחרה. כדי לבדוק לעומק את הישות שנבחרה, לוחצים על View entity details. הישות תוצג בתצוגה Asset או בתצוגה User, בהתאם לסוג הישות (נכס או משתמש). מידע נוסף זמין במאמרים בדיקת ישות של נכס ובדיקת משתמש.

איך חוקרים ישות באמצעות ניתוח ישויות

ניתוח ישויות מספק למנתחי SOC ולמאתרי איומים תצוגה מפורטת של התנהגות הישות, כולל פרופיל הבסיס של הישות, חריגות והעשרות לפי הקשר.

בדף הישות, בוחרים טווח זמן של עד 90 ימים ב-Findings timeline ולוחצים על View analytics for selection. פעולה זו פותחת סרגל צד שמציג את הניתוח שמשויך לישות הזו בטווח תאריכים שנבחר. כל ניתוח מציג נתונים מצטברים של כל ערכי הניתוח בטווח תאריכים. כשמזוהה ניתוח, הוא כולל רשימה של התראות וזיהויים קשורים שאפשר לבדוק לעומק בלחיצה על View more כדי לפתוח את התצוגה המתאימה של Alerts או Detection. מידע נוסף מופיע במאמר בדיקת התראה.

אלה הנתונים שמוצגים בניתוח של הישות:

  • מספר שמות האירועים של ההתראות
  • ניסיונות אימות שהצליחו
  • ניסיונות האימות נכשלים
  • סה"כ ניסיונות אימות
  • בייטים יוצאים של DNS
  • שאילתות DNS נכשלות
  • שאילתות DNS שהושלמו בהצלחה
  • סה"כ שאילתות DNS
  • הפעלות קבצים שהצליחו
  • הפעלת הקובץ נכשלה
  • סה"כ הפעלות של קבצים
  • שאילתות HTTP שהצליחו
  • שאילתות HTTP נכשלות
  • סה"כ שאילתות HTTP
  • בייטים נכנסים ברשת
  • בייטים יוצאים ברשת
  • סה"כ בייטים ברשת
  • מספר ניסיונות האימות הכולל ב-Workspace
  • סה"כ הודעות אימייל שנשלחו ב-Workspace
  • בייטים יוצאים ברשת של Workspace
  • סה"כ בייטים ברשת של Workspace
  • פעולות שינוי כוללות בסביבת העבודה
  • סך כל פעולות ההורדה ב-Workspace

שינוי של ציון הסיכון של ישות

כשמידע או אירועים חיצוניים משפיעים על הסיכון האמיתי של ישות, אפשר לעדכן את ציון הסיכון של הישות.

לדוגמה, אתם יכולים להפחית באופן זמני את ציון הסיכון של עובד שסיים תרגיל של צוות אדום (כמו בדיקת חדירה), כדי שהמנתחים לא יצטרכו לבזבז זמן על חקירת הסיבה לעלייה בסיכון של אותו עובד. אפשר גם להגדיל באופן זמני את ציון הסיכון של עובד שמעורב בתיק משפטי.

  1. בטבלה Entities שבדף Risk Analytics, מעבירים את הסמן מעל העמודה הימנית ביותר בשורה. יכול להיות שתצטרכו לגלול את המסך שמאלה. לוחצים על more_vert

    ולוחצים על עדכון ציון הסיכון של הישות.

  2. בתיבת הדו-שיח Update entity risk score, מגדירים את הערכים הבאים:

    • גורם הכפלה: מאפשר להגדיל או להקטין את ציון הסיכון של ישות באמצעות גורם הכפלה של 0.0 עד 100.0. לדוגמה, אם גיליתם ראיות חדשות לגבי ישות שמכפילות את הסיכון של הישות, עדכנו את מקדם הכפל ל-50 כדי לשקף את גורם הסיכון האמיתי של הישות.
    • תקופה: פרק הזמן שבו מוחל המכפיל. אפשר לבחור באפשרות עכשיו או בטווח שבין יום אחד ל-14 ימים. אם בוחרים באפשרות עכשיו, המכפיל מוחל על ציון הסיכון של הישות בחלון הנוכחי לחישוב של ציון סיכונים. החישוב כולל רק התראות וזיהויים קיימים. כשהתקופה שנבחרה מסתיימת, העדכונים של ציון הסיכון של הישות מפסיקים וציון הסיכון חוזר למצב רגיל.
    • סיבה: מאפשרת להוסיף הקשר למשתמשים אחרים לגבי הסיבה לעדכון. בוחרים אחת מהאפשרויות הבאות: הוכחה חדשה, ציון סיכון שגוי, פרופיל סיכון שהשתנה, דרישות תאימות או אחר.

אם תנסו לבצע שינוי שכבר בוצע (לדוגמה, אם תרצו לעדכן את מקדם ההכפלה של ישות ל-25%, אבל חבר צוות אחר כבר ביצע את השינוי הזה), תופיע תיבת דו-שיח שבה יצוין שהשינוי כבר בוצע, כולל מידע על מי שביצע את השינוי ומתי.

הצגת עדכונים של ציון הסיכון בפרטי הישות

בדף Entity profile אפשר לראות את כל העדכונים של ציון הסיכון של ישות.

  1. לוחצים על הישות שרוצים לראות את היסטוריית העדכונים של ציון הסיכון שלה כדי לפתוח את הדף Entity profile.
  2. ב-Event timeline chart, כל פעם שמישהו שינה את ציון הסיכון של הישות, מופיעה התווית Risk Score modification בטקסט לבן.
  3. מציבים את הסמן מעל הטקסט כדי להציג תיבת דו-שיח עם התאריך, המשתמש והסיבה לשינוי.

רשימות של אתרים למעקב

בדף Watchlists אתם יכולים לעקוב אחרי ישויות ספציפיות בארגון.

  1. בסרגל הניווט הימני, לוחצים על זיהוי.
  2. בקטע זיהוי, לוחצים על ניתוח סיכונים.
  3. לוחצים על הכרטיסייה רשימות צפייה.

הוספת רשימה של אתרים למעקב

כדי להוסיף רשימת מעקב לחשבון Google Security Operations: אפשר להגדיר עד 200 רשימות מעקב.

  1. לוחצים על יצירת רשימת מעקב.
  2. מציינים שם לרשימת הצפייה.
  3. (אופציונלי) מציינים תיאור.
  4. (אופציונלי) מציינים גורם מכפיל בין 0 ל-100. ערך ברירת המחדל הוא 1.
  5. (אופציונלי) מציינים ישויות בצד שמאל של החלון, לפי ההוראות בקטע הוספת ישויות לרשימת מעקב. אפשר להוסיף כאן את סוגי הישויות הבאים:
    • ASSET_IP_ADDRESS
    • EMAIL
    • EMPLOYEE_ID
    • HOSTNAME
    • MAC
    • PRODUCT_OBJECT_ID
    • PRODUCT_SPECIFIC_ID
    • USERNAME
    • WINDOWS_SID
  6. לוחצים על יצירת רשימת מעקב.

הצמדת רשימת מניות למעקב

  1. לוחצים על עריכת התצוגה.
  2. לוחצים על תיבת הסימון לצד רשימת המעקב שרוצים להצמיד.
  3. לוחצים על Save.

ביטול ההצמדה של רשימת מניות למעקב

  1. בלוח הבקרה רשימות צפייה, בוחרים את רשימת הצפייה שרוצים לבטל את ההצמדה שלה ולוחצים על more_vert .
  2. לוחצים על הסרה מהתצוגה.

עריכת רשימת צפייה

  1. במרכז הבקרה Watchlists, בוחרים את רשימת המעקב שרוצים לערוך ולוחצים על הסמל more_vert .
  2. לוחצים על עריכת רשימת הצפייה.

מחיקה של רשימת מניות למעקב

  1. במרכז הבקרה רשימות צפייה, בוחרים את רשימת הצפייה שרוצים למחוק ולוחצים על more_vert .
  2. לוחצים על מחיקת רשימת הצפייה.

הוספת ישויות לרשימת מעקב

כדי להוסיף ישויות לרשימת מעקב, צריך לציין את שם הישות, הסוג שלה ומרחב השמות (אופציונלי) שורה אחר שורה, באחד מהפורמטים הבאים.

  • ‫NAME,‏TYPE

  • ‫NAME,‏TYPE,‏NAMESPACE

    הערך TYPE יכול להיות אחד מהבאים:

    • ASSET_IP_ADDRESS
    • EMAIL
    • EMPLOYEE_ID
    • HOSTNAME
    • MAC
    • PRODUCT_OBJECT_ID
    • PRODUCT_SPECIFIC_ID
    • USERNAME
    • WINDOWS_SID

    אפשר לציין את NAMESPACE רק לסוגי הישויות הבאים של הנכסים:

    • ASSET_IP_ADDRESS
    • HOSTNAME
    • MAC
    • PRODUCT_OBJECT_ID
    • PRODUCT_SPECIFIC_ID

לדוגמה:

205.148.5.0,ASSET_IP_ADDRESS
website.com,HOSTNAME,chronicle

בדוגמה הזו, שתי ישויות נוספו לרשימת המעקב: כתובת ה-IP של הנכס 205.148.5.0 ושם המארח website.com במרחב השמות chronicle. רשימת מעקב יכולה להכיל עד 10,000 ישויות.

הסרת ישויות מרשימת מעקב

כדי להסיר ישויות מרשימת מעקב, מסירים את השורות שמייצגות את הישויות שרוצים להסיר ולוחצים על Save.

שינוי ההגדרות של ציון הסיכון

בדף Entity Risk Score אתם יכולים להגדיר איך יחושבו ציוני הסיכון של ישויות, התראות וזיהויים. בדף הזה אתם יכולים להתאים אישית את אופן חישוב הסיכון, בהתאם לצרכים הייחודיים של החיפוש שלכם.

בדף ציון הסיכון של הישות יש שלושה שדות שאפשר לעדכן:

כדי לשנות את ההגדרות האלה:

  1. בסרגל הניווט, לוחצים על הגדרות > זיהוי > ציוני סיכון של ישויות.
  2. מעדכנים את ציוני הסיכון בהתאם.
  3. לוחצים על Save. כשחוזרים לדף הראשי של ניתוח סיכונים, מופיעה הודעה בחלק העליון של המסך שמאשרת שבוצע שינוי ב-חישוב של ציון סיכונים של ישות.
  4. (אופציונלי) כדי לאפס את הערכים האלה, לוחצים על Reset משמאל לערך.

העדכונים יחולו רק על התראות וזיהויים חדשים. יכול להיות שיעברו עד 30 דקות לפני שהשינויים ייכנסו לתוקף.

שקלול חישוב של ציון סיכונים של הישות

השקלול קובע איך ציוני הסיכון של ההתראות והגילויים משפיעים על חישוב ציוני הסיכון של הישויות. השקלול הוא ערך בין 0 ל-1, וברירת המחדל היא 0.2.

ריכזנו כאן כמה דוגמאות שמראות איך מספרים שונים משפיעים על חישוב ציון הסיכון של הישות:

  • שקלול חישוב של ציון סיכונים של הישות 0. ציון הסיכון הגולמי הוא ציון הסיכון המקסימלי של הזיהוי מבין כל הזיהויים של הישות.
  • שקלול ציון הסיכון של הישות 1. ציון הסיכון הגולמי הוא הסכום של כל ציוני הסיכון של הזיהויים של הישות.
  • שקלול חישוב של ציון סיכונים של הישות 0.5. ציון הסיכון נותן משקל מלא לזיהוי עם ציון הסיכון המקסימלי לישות, וחצי מהמשקל לכל שאר הזיהויים.

ציון הסיכון שמוגדר כברירת מחדל לזיהויים

ציון סיכון שמוגדר כברירת מחדל לזיהויים מאפשר להקצות ערך ברירת מחדל לציוני סיכון של זיהויים. ציוני הסיכון של הזיהויים משמשים לחישוב ציוני הסיכון של הישויות. ציוני הסיכון של הזיהויים מוגדרים כשכותבים כלל. אם לא מוגדר ציון סיכון בכלל, המערכת משתמשת בערך ברירת המחדל. ציון ברירת המחדל הוא 15, וטווח ציון הסיכון הוא 0-100.

ציון הסיכון שמוגדר כברירת מחדל להתראות

בדומה לשדה Default risk score for detections, בשדה הזה אפשר להקצות ערך ברירת מחדל לחישוב של ציון סיכונים של ההתראות. אם לא מוגדר ציון סיכון בכלל, המערכת משתמשת בציון ברירת המחדל 40. טווח ציון הסיכון הוא 0-1000.

למידע על הגדרת ציון הסיכון בכלל, ראו תחביר של קטע התוצאה.

מקדם ההתראות שנסגרו

מקדם ההתראות הסגורות משנה את חישוב של ציון סיכונים של התראות שסומנו כסגורות על ידי מנתחי נתונים. זהו משתנה מסוג מספר ממשי בין 0 ל-1, כולל. ערך ברירת המחדל הוא 1.0, כלומר כל ההתראות הפתוחות והסגורות שומרות על הניקוד המקורי שלהן. אם הערך של מקדם ההתראות הסגורות הוא 0.0, כל ההתראות הסגורות מקבלות ציון סיכון 0 ולא מגדילות יותר את ציון הסיכון של הישות הכוללת.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.