סקירה כללית של ניתוח סיכונים

נתמך ב:

ניתוח סיכונים משמש לזיהוי התנהגות חריגה ולהבנת הסיכון הפוטנציאלי שישויות מהוות לארגון. במערכות שמשתמשות ב-RBAC של נתונים, רק משתמשים עם היקף גלובלי יכולים לגשת לניתוח הסיכונים. מרכז הבקרה Risk Analytics מורכב מהקטע Behavioral Analytics, שבו מפורטות ישויות לפי חישוב של ציון סיכונים של Google Security Operations Entities, ומהקטע Watchlist, שבו מפורטות ישויות לפי חישובי סיכון פנימיים של הארגון.

ציוני הסיכון משמשים בכל חלקי Google SecOps. ההגדרה והתפקיד של הציונים האלה משתנים בהתאם לתכונה שבה אתם משתמשים.

התכונה "ניתוח סיכונים" זמינה ברישיונות Enterprise ו-Enterprise Plus, או כתוסף לרישיון Google SecOps SIEM נפרד.

ישויות, סיכונים וממצאים ב-Risk Analytics

בקטע הזה מוגדרים המושגים "ישויות", "סיכון" ו"ממצאים" כפי שהם מוצגים בלוח הבקרה Risk Analytics.

  • ישויות: ייצוג לפי הקשר של נכס או משתמש בסביבה שלכם. כל האירועים שמשויכים לישויות מספקים הקשר לגבי רמת הסיכון של הישות. מידע נוסף זמין במאמר אובייקטים לוגיים: אירוע וישות.

  • Risk calculation window: מאפשר לשנות את מסגרת הזמן של לוח הבקרה, כדי שתוכלו לבחון את הנתונים בתקופות זמן שונות. לדוגמה, אפשר לחשוף ניסיונות התחברות בכוח באמצעות חלון זמן קצר יותר, או לבחון פעילות זדונית לטווח ארוך על ידי הגדרת חלון זמן ארוך יותר.

  • מנורמל: ציונים מנורמלים מוגדרים בין 1 ל-1,000 כדי להבחין בין הישויות ללא ציונים לבין הישויות שיש להן זיהויים בחלון הסיכון.

  • מגמה מנורמלת: השינוי בציון הסיכון המנורמל של הישות מאז החלון הקודם.

  • בסיס: ציוני הבסיס מחושבים על ידי הוספת חישוב של ציון סיכונים של הממצאים (התראות וזיהויים) של ישות במהלך חלון הסיכון, תוך שימוש בשקלול.

    השקלול קובע איך ציוני הסיכון של ההתראות והגילויים תורמים לחישוב של ציון סיכונים של ישות. הערך של השקלול יכול להיות בין 0 ל-1.
    אם ערך השקלול הוא 1, לשקלול לא תהיה השפעה. כל שאר הערכים הם אחוזים (לדוגמה, 0.5 שווה ל-50%). ערך ברירת המחדל של השקלול הוא 0 .2, ואפשר לשנות אותו בהגדרות. מידע נוסף זמין במאמר שקלול של ציון הסיכון של ישות.

  • שינוי בבסיס: השינוי בציון הסיכון של ישות הבסיס מאז החלון הקודם.

  • הפעם הראשונה/האחרונה שבה הישות נראתה בחלון: חותמת הזמן שמתאימה לפעם הראשונה או האחרונה שבה הישות נראתה בממצא (התראה או זיהוי) בתקופה שצוינה בחלון הסיכון.

ממצאים בניתוח סיכונים

המונחים הבאים מופיעים בדף "ממצאים" (כדי לפתוח ישות בדף "ממצאים", לוחצים עליה בטבלת הישויות).

  • ממצאים: מספר הממצאים (התראות וזיהויים) שכוללים את הישות הזו בתקופה שבחלון הסיכון.

  • חומרה: רמת החומרה מוגדרת על ידי המקור כשהממצא נוצר.

  • עדיפות: העדיפות מוגדרת על ידי המקור כשנוצר ממצא.

  • ציון סיכון: ציוני הסיכון נקבעים על ידי המקור כשנוצר ממצא. אם לא מגדירים את חישוב של ציון סיכונים, המערכת משתמשת בציון הסיכון שמוגדר כברירת מחדל להתראות ולזיהויים. ציון הסיכון שמוגדר כברירת מחדל להתראות הוא 40. ציון הסיכון שמוגדר כברירת מחדל לזיהויים הוא 15.

חישוב של ציון סיכונים

חישוב ציון הסיכון של כל ישות מבוסס על ציון הסיכון של הממצאים, והוא משתנה בהתאם לקבוצת פרמטרים שאתם יכולים לציין ולקבוצת פרמטרים שנשלטת על ידי Google SecOps. כדי לגשת לפרמטרים שאפשר לשלוט בהם, עוברים לסרגל הניווט ולוחצים על הגדרות > זיהוי > ציוני סיכון של ישויות:

  • מקדם התראה סגורה: אם מנתחי האבטחה מסמנים התראה כסגורה, היא מוכפלת במקדם הזה של נקודה צפה (floating-point). הטווח הוא 0-1. ערך ברירת המחדל הוא 1.

  • ציון סיכון ברירת מחדל לזיהוי: מציינים את ציון הסיכון לזיהויים במנוע הכללים. הטווח הוא 0-1,000. ערך ברירת המחדל הוא 15.

הפרמטרים הבאים מצוינים על ידי Google SecOps:

  • שינוי ציון הסיכון באמצעות TTL: ציון הסיכון הבסיסי של הישות משתנה לפי פקטור הכפלה של טווח הזמן.

  • שינוי של ציון הסיכון בלי TTL: ציון הסיכון של הזיהוי משתנה באמצעות גורם מכפיל.

אלה הנוסחאות שמשמשות לחישוב ציון הסיכון וציון הסיכון המנורמל:

  • חישוב של ציון סיכונים: (ציון הסיכון של ישות הבסיס) = (ציון הסיכון המקסימלי של הממצא) + (שקלול * (סכום ציוני הסיכון של שאר הממצאים))

  • ציון סיכון מנורמל: ציוני הסיכון הבסיסיים של הישויות מנורמלים בכל הישויות. ציון הסיכון הבסיסי של הישות מבוסס על נורמליזציה של מינימום-מקסימום, והוא נע בין 1 ל-1,000. ישויות ללא סיכון לא נכללות.

סדר העדיפויות של הישויות בחישוב של ציון סיכונים

כדי להקצות את חישוב של ציון סיכונים, מערכת Google SecOps משתמשת בקבוצת משנה של סוגי שמות עצם ברמה העליונה (principal,‏ src,‏ target ו-about) ומקצה חישוב של ציון סיכונים לפי שדות השם הסודי של סוגי המשנה של האירועים user ו-asset. חישוב של ציון סיכונים לא תומך בסוגי הישויות RESOURCE או GROUP.

מערכת Google SecOps מקצה את ציון הסיכון לשם הסודי (האינדיקטור) הכי אמין שזמין לישות בחלון זמן נתון לחישוב הסיכון. שדות של שמות סודיים בדירוג גבוה יותר מקבלים קדימות בהקצאת ציון הסיכון, כאשר 1 הוא הדירוג הגבוה ביותר. אם הכינוי עם הדירוג הגבוה ביותר לא זמין בחלון הסיכון, מערכת Google SecOps מקצה את הניקוד לכינוי הזמין הבא עם הדירוג הגבוה ביותר.

בשדות של כינויים ב-user, מערכת Google SecOps משתמשת בדירוג הבא כשהיא מקצה את ציון הסיכון:

  1. windows_sid
  2. email_addresses
  3. userid
  4. employee_id
  5. product_object_id

בשדות של כינויים ב-asset, מערכת Google SecOps משתמשת בדירוג הבא כשהיא מקצה את ציון הסיכון:

  1. hostname
  2. mac
  3. asset_id
  4. ip
  5. product_object_id

דוגמה לחישוב של ציון סיכון

כך מחושב הציון של זיהוי הסיכון של ישות:

  1. קלט: זיהויים שנוצרו על ידי כללים מקובצים על סמך האינדיקטורים הבסיסיים שלהם.
  2. (אופציונלי) מקדם התראה סגורה: אם ציון הסיכון של הזיהוי הוא של התראה סגורה, הציון מוכפל במקדם ההתראה הסגורה.
  3. (אופציונלי) שינוי של ציון הסיכון שמוגדר כברירת מחדל אם לא מגדירים במפורש ציון סיכון לזיהוי בכלל, המערכת משתמשת בציון הסיכון שמוגדר כברירת מחדל. אפשר לשנות את ציוני הסיכון שמוגדרים כברירת מחדל לשליחת התראות או לאי-שליחת התראות בהגדרות של חישוב של ציון סיכונים של הישות.
  4. (אופציונלי) שינוי של זיהויים מורכבים: כברירת מחדל, Google SecOps מקצה את ציון הסיכון לכל הישויות באירועים שנדגמו. הוא גם מקצה את הניקוד לכל הישויות שמתועדות בקטעים match ו-outcome של הכלל. כדי להקצות את ציון הסיכון לישויות ספציפיות, צריך לציין בכלל את משתנה התוצאה $risk_entity_to_score.
  5. חישוב ציון הסיכון: מכפילים את מקדם השקלול בסכום של כל הזיהויים (חוץ מציון הסיכון המקסימלי של הזיהוי), ואז מוסיפים את התוצאה לציון הסיכון המקסימלי של הזיהוי. הערך הזה מייצג את ציון הסיכון הגולמי של הישות.
  6. משקל השינוי: ציון הסיכון הגולמי של הישות מוכפל במשקל השינוי. השינוי הזה הוא פעולה חד-פעמית, אלא אם מוגדר TTL. הערך הזה הוא ציון הסיכון הבסיסי של הישות.
  7. משקל רשימת המעקב: אם ישות היא חלק מרשימת מעקב, משקל רשימת המעקב מתווסף לחישוב של ציון סיכונים של הזיהוי.
  8. ציון סיכון מנורמל: ציון הסיכון הבסיסי של הישות מנורמל בכל הישויות באמצעות נרמול מינימום-מקסימום.

הגדרות של ציון הסיכון

בדף Entity risk scores אתם יכולים להגדיר איך יחושבו ציוני הסיכון של ישויות, התראות וזיהויים. אתם יכולים להחיל שקלול על חישובים של ציוני סיכון של ישויות, ולהגדיר ציוני סיכון להתראות ולזיהויים כברירת מחדל. השינויים חלים רק על התראות וזיהויים חדשים, ויכול להיות שיעברו עד 30 דקות לפני שהם ייכנסו לתוקף.

  • שקלול של ציון הסיכון של הישות: השקלול מגדיר איך ציוני הסיכון של ההתראות והזיהויים נכללים בחישובים של ציון הסיכון של הישות. השקלול הוא ערך בין 0 ל-1. הנוסחה לחישוב של ציון סיכונים של ישות בסיסית מוגדרת כך:

    ציון הסיכון הבסיסי של הישות = (ציון הסיכון המקסימלי של הממצא) + (שקלול * (סכום ציוני הסיכון הנותרים של הממצאים))

  • ציוני סיכון להתראות כברירת מחדל: בדף הגדרות, מציינים את ציון הסיכון להתראות כברירת מחדל. ערך ברירת המחדל הוא 40. אפשר לשנות את ציוני הסיכון של התראות ספציפיות בכללים עצמם. ההגדרות האלה מבטלות את כל הגדרות ברירת המחדל שנקבעו בדף Settings.

  • ציוני סיכון שמוגדרים כברירת מחדל לזיהויים: בדף ההגדרות, מציינים את ציון הסיכון שמוגדר כברירת מחדל לזיהויים. ערך ברירת המחדל הוא 15. אתם יכולים לשנות את ציוני הסיכון של זיהויים ספציפיים בכללים עצמם. ההגדרות האלה מבטלות את כל ברירות המחדל שנקבעו בדף Settings.

ניתוח סיכונים כמעט בזמן אמת ללקוחות Enterprise

החישוב המהיר הזה מאפשר לכם להשתמש בהתראות מבוססות-סיכון (RBA) כדי לעמוד ביעדי רמת השירות (SLO) של התראות בארגון, על ידי צמצום העיכוב בזיהוי נכסים שסביר להניח שנפגעו ובתגובה אליהם.

רזולוציית MRI לחישוב של ציון סיכונים ב-UEBA

בניתוח התנהגות של משתמשים וישויות (UEBA), לוגיקת הרזולוציה של האינדיקטור הכי אמין (MRI) מזהה את המזהה הכי סמכותי של ישות נתמכת (משתמש או נכס) כשיש כמה אינדיקטורים. התהליך הזה נדרש כדי להוסיף את האתר לאינדקס ולחשב את ציון הסיכונים. חישוב של ציון סיכונים אינו נתמך עבור סוגי ישויות RESOURCE או GROUP. כך אפשר לוודא שהסיכון משויך לזהות הכי יציבה שזמינה למשתמש במקורות נתונים שונים. כדי לזהות את האינדיקטור האמין יותר, בתהליך של פתרון MRI מתבצעות הפעולות הבאות:

  • עדיפות לפי סוג: לכל קטגוריית אינדיקטורים יש מפת עדיפות פנימית, שבה ערכים גבוהים יותר מצביעים על אמינות גבוהה יותר. לדוגמה, WINDOWS_SID (עדיפות 4) אמין יותר באופן טבעי מאשר מזהה עובד (עדיפות 1).
  • הכרעה במקרה של שוויון: אם לשני אינדיקטורים יש אותה עדיפות, המערכת משווה בין השמות המוצגים ומרחבי השמות שלהם כדי להחליט איזה אינדיקטור אמין יותר.

היררכיית המהימנות בתוך סוגי הישויות

בהיררכיה הבאה מפורטים האינדיקטורים הזמינים, מהמהימן ביותר (עדיפות 4) ועד להכי פחות מהימן (עדיפות 0) בכל סוג ישות.

  1. אינדיקטורים של משתמשים
    1. ‫Windows SID: עדיפות 4
    2. אימייל: עדיפות 3
    3. שם משתמש: עדיפות 2
    4. מזהה עובד: עדיפות 1
    5. מזהה אובייקט המוצר: עדיפות 0
  2. אינדיקטורים של נכסים
    1. שם מארח: שמות מארחים ברמה העליונה מקבלים עדיפות אם הם מוגדרים (עדיפות 4)
    2. כתובת MAC: עדיפות 3
    3. מזהה ספציפי למוצר או מזהה נכס: עדיפות 2
    4. כתובת ה-IP של הנכס: עדיפות 1
    5. מזהה אובייקט המוצר: עדיפות 0

רזולוציית היקף MRI

היקף הפתרון של MRI מוגבל לסוגי הישויות הבאים:

  • ASSET_IP_ADDRESS
  • MAC, HOSTNAME
  • PRODUCT_SPECIFIC_ID
  • אימייל
  • שם משתמש
  • WINDOWS_SID
  • EMPLOYEE_ID
  • PRODUCT_OBJECT_ID.

אנחנו לא משתמשים ברזולוציית MRI עם אינדיקטורים של תהליכים וקבצים.

משתנה תוצאה risk_entity_to_score

כברירת מחדל, מערכת Google SecOps מקצה את ציון הסיכון לכל הישויות באירועים שנדגמו. הוא גם מקצה את הניקוד לכל הישויות שמופיעות בקטעים match ו-outcome של הכלל. כדי להקצות את חישוב של ציון סיכונים לישויות ספציפיות, צריך לציין את משתנה התוצאה risk_entity_to_score בכלל.

משתנה התוצאה risk_entity_to_score מציין את הישות שצריך לדרג, ולא את השדה שבו הדירוג יוצג. כדי למנוע פיצול של הסיכונים, מערכת Google SecOps מאחדת את הסיכונים במסגרת ה-MRI שזמין לישות שנבחרה בחלון נתון לחישוב סיכונים. אם מציינים מזהה שאינו MRI ב-risk_entity_to_score, מערכת Google SecOps לא מקצה את הניקוד למזהה הזה באופן ישיר. במקום זאת, הוא מעדכן את ה-MRI שזמין לאותה ישות בחלון הסיכון.

מידע נוסף זמין במאמר משתנה התוצאה risk_entity_to_score.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.