אימות של אמצעי הבקרה וההגדרות של האבטחה

המדריך הזה מיועד למהנדסי אבטחה שרוצים לבדוק את האבטחה באופן יזום על ידי הדמיית התקפות בסביבת Google Cloud שלהם. הוא מסביר איך להטמיע תהליך מתמשך של אימות אבטחה.

ב-Security Validation נעשה שימוש בפעולות ובסקריפטים שמחקים טכניקות של תוקפים כדי להפעיל התראות זיהוי בפרויקטים שלכם ב- Google Cloud . הפעלה רציפה מזהה נקודות חולשה, וצוותי האבטחה יכולים לצמצם את הסיכון על ידי וידוא שההגדרות האישיות ואמצעי הבקרה מגיבים לאיומים האחרונים כצפוי.

השלמה מוצלחת של התהליך הזה מספקת הוכחה מדידה לשיפור מצב האבטחה, ומבטיחה שכללי הזיהוי או השילובים החדשים שהוטמעו פועלים בצורה תקינה בלי התערבות ידנית.

תרחישים נפוצים לדוגמה

בקטע הזה מפורטים תרחישים נפוצים לדוגמה של אימות אבטחה.

זיהוי רגרסיה במצב האבטחה

המטרה: לזהות מתי התנהגות של תוקף שנחסמה בעבר מבוצעת בהצלחה בסביבה.

הערך: התראה לצוותי האבטחה והתפעול על שינוי לא מכוון בהגדרות, כדי שיוכלו לתקן נקודות חולשה לפני שינצלו אותן.

אימות הכוונון של אמצעי הבקרה לאבטחה

מטרה: לוודא שכללי הזיהוי או השילובים של המוצרים שהוטמעו לאחרונה פועלים כמצופה.

ערך: הוכחה מדידה לכך שעדכוני הכללים או השינויים בסביבה שיפרו את מצב האבטחה, ומאפשרת לצוותים לקבוע בביטחון בסיס חדש.

מונחים חשובים

  • הקשר של אימות אבטחה: הקשר של אימות אבטחה מגדיר את הסביבה לבדיקות האבטחה. הוא מציין באיזה פרויקט להשתמש, באיזה חשבון להריץ את הבדיקה וכל פרט אחר שנדרש לפעולות שלכם.

  • פעולת אימות אבטחה: סקריפט שנועד לחקות טכניקות של תוקפים בעולם האמיתי, ומשמש להפעלת כללי זיהוי כדי לאמת את מצב האבטחה.

  • הרצת בסיס: הרצה ספציפית שהושלמה של Security Validation, שמשמשת כנקודת ייחוס סטנדרטית להשוואה עם הרצות עתידיות.

  • מעקב: משימה מתוזמנת (SecurityValidationJob ב-API) שמפעילה פעולת אימות אבטחה ומעריכה את התוצאות בהשוואה לבסיס השוואה מוגדר.

  • סטטוס חריגה: אינדיקטור התקינות של כלי מעקב, שמבוסס על השאלה אם ההפעלות האחרונות תואמות לקו הבסיס (תקין) או מראות סטייה (זוהתה חריגה).

  • חלון קורלציה: פרק הזמן של 12 שעות אחרי ההפעלה, שבו המערכת מחפשת אירועים וזיהויים קשורים ומשייכת אותם, על סמך תבנית מסנן האירועים במטא-נתונים של הפעולה שהופעלה.

  • זמן קצוב לתפוגה של המעקב: משך הזמן המקסימלי שהמערכת ממתינה אחרי הרצה של אירועים וזיהויים כדי ליצור התאמה לפני הערכת סטטוס השינוי הסופי. הזמן הקצוב לתפוגה פועל בתוך חלון השיוך הגדול יותר של 12 שעות. כדי שהמעקב ייחשב כמוצלח, צריך לראות את התוצאות הצפויות לפני שנגמר הזמן הקצוב לתפוגה של המעקב. אם הבדיקות לא עוברות לפני הזמן הקצוב לתפוגה, המערכת מסמנת את המעקב כ-failed. כברירת מחדל, משך הזמן הוא 8 שעות, אבל אפשר להגדיר אותו לטווח שבין 15 דקות ל-10 שעות.

לפני שמתחילים

מוודאים שההגדרות וההרשאות הבאות קיימות.

ההגדרה הנדרשת

חשוב לוודא שההגדרות הבאות קיימות:

  • הדייר שלכם צריך להפעיל את אימות האבטחה.

  • אימות האבטחה פועל רק בפרויקטים בניהול עצמי.

  • אתם צריכים פרויקט אחד או שניים ב- Google Cloud . אפשר להשתמש באותו פרויקט גם להרצה וגם לטירגוט, אבל מומלץ להשתמש בפרויקטים נפרדים כדי לשפר את האבטחה, לשמור על ניקיון הבדיקות ולנהל את ההגדרה בקלות רבה יותר.

    • פרויקט הרצה: הכלי "אימות אבטחה" מריץ את בדיקות האבטחה בפרויקט ההרצה. לשם כך, הוא משתמש ב-Cloud Run וב-Cloud Storage. המשימות והקטגוריות האלה מיועדות לשימוש רק על ידי שירות האימות. אין לתת למשתמשים אחרים גישה אליהם.

      כדי ליצור הקשר של אימות אבטחה לפרויקט, צריך להפעיל בו את Cloud Run API, את Resource Manager API ואת IAM API, וצריכות להיות לכם ההרשאות resourcemanager.projects.SetIamPolicy,‏ storage.buckets.SetIamPolicy,‏ storage.buckets.create ו-storage.buckets.delete. רשימת התפקידים שכוללים את ההרשאה הזו מופיעה במאמר העזרה בנושא הרשאות IAM.

    • פרויקט היעד: הפרויקט שבו פועלות הקריאות ל-API שנוצרות על ידי סקריפט הפעולה של אימות האבטחה. הצלחת הפעולות תלויה בשאלה אם ממשקי ה-API הנדרשים שמשמשים את הפעולות מופעלים בפרויקט הזה, ואם לחשבונות השירות בהקשר של אימות האבטחה יש את ההרשאות הנדרשות.

  • חשבונות שירות: נדרש חשבון שירות אחד או יותר בפרויקט הביצוע. החשבונות האלה מריצים את הסקריפטים של הפעולות. כל משתמש שצריך להריץ פעולה בהקשר ספציפי, חייב לקבל את ההרשאה iam.serviceAccounts.actAs בחשבונות השירות באותו הקשר.

ההרשאות הנדרשות

מקצים אחד מהתפקידים המוגדרים מראש הבאים בפרויקט של מכונת SecOps.

  • chronicle.viewer: הרשאת קריאה בלבד לפעולות, להקשרים, למשימות ולמשאבי ההרצה של Security Validation.

  • ‫chronicle.editor: כולל את כל ההרשאות של viewer, ואת היכולת ליצור, לעדכן, להריץ ולמחוק הקשרים ומשימות של Security Validation.

  • ‫chronicle.admin: כולל את כל ההרשאות של editor, ואת היכולת ליצור, לעדכן ולמחוק פעולות מותאמות אישית של אימות אבטחה (API בלבד).

אם אתם לא משתמשים בתפקידים המוגדרים מראש שצוינו למעלה, אתם יכולים להקצות הרשאות מקבילות באמצעות תפקיד בהתאמה אישית או באמצעות הקצאת התפקיד chronicle.securityValidationAdmin, שכולל את אותן הרשאות כמו chronicle.admin.

למידע נוסף, קראו על התפקידים הנדרשים.

הטמעת אימות אבטחה רציף

אימות מצב האבטחה כולל תהליך מובנה:

  • הגדרת הסביבה

  • הרצת סימולציות כדי לקבוע נקודת השוואה

  • אוטומציה של הסימולציות כדי לזהות שינויים.

תהליך העבודה הזה מבטיח שאמצעי הבקרה על האבטחה יישארו יעילים גם כשהסביבה משתנה.

יצירת הקשר של אימות אבטחה

הקשר של אימות אבטחה מגדיר את הסביבה לבדיקות האבטחה. הוא מציין באיזה פרויקט להשתמש, באיזה חשבון להריץ את הבדיקה וכל פרט אחר שנדרש לפעולות שלכם. אפשר להשתמש באותו הקשר לפעולות שונות.

כדי ליצור הקשר של אימות אבטחה:

  1. נכנסים ל-Google SecOps.

  2. עוברים אל אימות אבטחה ואז אל הכרטיסייה הקשרי ביצוע.

  3. לוחצים על Add Execution Context.

  4. בתיבת הדו-שיח Add Execution Context:

    1. בקטע Basic Properties, מזינים את השם והתיאור של ההקשר ולוחצים על Next.

    2. בקטע Environment Settings, מזינים את מזהה הפרויקט ב- Google Cloud , את חשבון השירות לביצוע ואת חשבון השירות לניקוי. לוחצים על הבא.

      מומלץ להשתמש בחשבונות שירות נפרדים ל-action profile (כדי להריץ סקריפטים של פעולות) ול-setup/cleanup profile (כדי להריץ את הסקריפטים של ההגדרה והניקוי שהם חלק מפעולות מסוימות). אפשר לתת לחשבונות השירות האלה הרשאות שונות בפרויקט היעד.

    3. בקטע Runtime Variables, מוסיפים משתנה אחד או יותר כדי לשנות באופן דינמי את פרמטרי ברירת המחדל. מוסיפים צמדי מפתח/ערך, כאשר key הוא שם הפרמטר ו-value הוא הערך שמחליף אותו.

    4. לוחצים על יצירה.

הפעלת פעולת אימות האבטחה

כדי להריץ פעולת אימות אבטחה בהקשר של אימות אבטחה:

  1. נכנסים ל-Google SecOps.

  2. עוברים אל אימות אבטחה ואז אל הכרטיסייה ספריית תוכן.

  3. בוחרים פעולה ולוחצים על הפעלה.

  4. בתיבת הדו-שיח, בוחרים את הקשר ההפעלה שיצרתם ולוחצים על Run Now.

הרצה חדשה נוצרת ומופיעה בכרטיסייה היסטוריית הרצה.

ניהול של Security Validation Monitors

אתם יכולים להריץ מחדש באופן אוטומטי פעולות שהצליחו על בסיס קבוע באמצעות תכונת המעקב. הוא מאפשר מעקב רציף אחרי מצב האבטחה בלי התערבות ידנית.

יצירת מעקב

אפשר ליצור מעקב רק מהרצה שהסתיימה בהצלחה. כדי ליצור מעקב מהרצה:

  1. נכנסים ל-Google SecOps.

  2. עוברים אל Security Validation ואז לכרטיסייה Execution history.

  3. לוחצים על Execution ID של הרצה ולוחצים על Create Monitor.

  4. אופציונלי: בחלון Create Monitor, נותנים שם למעקב.

    אם לא תזינו שם למעקב, המעקב יזוהה באמצעות מזהה מעקב.

    בודקים את פרטי הביצוע של תוכנית הבסיס שמוצגים בחלון הזה.

  5. לוחצים על הבא.

  6. קובעים את הגדרות המעקב.

    אפשר להפעיל את המעקב בשעות ספציפיות או בכל שעה.

    כדי להפעיל את הכלי לניטור בזמנים ספציפיים, מבצעים את הפעולות הבאות:

    1. בתפריט הנפתח שעה, בוחרים באפשרות הפעלה בשעה ספציפית.

    2. מציינים את השעה בתיבת הטקסט הסמוכה.

    3. באפשרות ימים, בוחרים אחת מהאפשרויות הבאות:

      • מדי יום: פועל כל יום בשעה שצוינה.

      • ימים בשבוע: הפעלה רק בימים שנבחרו (לדוגמה, ראשון, שלישי, חמישי) בשעה שצוינה.

      • ‫Day of the month: הפעלה פעם בחודש ביום שצוין (לדוגמה, ב-15 בחודש) בשעה שצוינה.

    4. בתפריט הנפתח Months, בוחרים באפשרות Monthly (כדי להפעיל בכל חודש) או באפשרות Specific Months כדי לציין את החודשים המדויקים שבהם רוצים להפעיל את ה-Monitor (לדוגמה, ינואר, אפריל, יולי).

    5. בתפריט הנפתח אזור זמן, בוחרים את אזור הזמן הרצוי. כברירת מחדל, השדה הזה מוגדר לאזור הזמן שמוגדר בהעדפות המשתמש (שעשוי להיות שונה מהגדרות הדפדפן). כדי למצוא או לשנות את הגדרת ברירת המחדל הזו, עוברים אל פרופיל > העדפות משתמש > לוקליזציה > אזור זמן.

    6. לוחצים על הבא.

    כדי להפעיל את המעקב במרווחים של שעה:

    1. בתפריט הנפתח זמן, בוחרים באפשרות חזרה מדי שעה.

    2. בשדה hour(s)‎ מגדירים את תדירות החזרה של מחזור המעקב, ובשדה minute(s)‎ מגדירים את הדקה הספציפית. לדוגמה, אם מגדירים שעה ו-30 דקות, המעקב יפעל כל שעה ב-30 דקות אחרי השעה (הוא לא יפעל כל 90 דקות).

    3. באפשרות שעות, בוחרים אחת מהאפשרויות הבאות:

      • כל שעות היום: הכלי יפעל מסביב לשעון, בכל שעה ביום, בהתאם לתדירות שצוינה.

      • שעת התחלה וסיום: הכלי יפעל רק בטווח השעות שצוין (לדוגמה, בין 8:00 ל-17:00).

    4. באפשרות ימים, בוחרים אחת מהאפשרויות הבאות:

      • מדי יום: פועל כל יום בשעה שצוינה.

      • ימים בשבוע: הפעלה רק בימים שנבחרו (לדוגמה, ראשון, שלישי, חמישי) בשעה שצוינה.

      • ‫Day of the month: הפעלה פעם בחודש ביום שצוין (לדוגמה, ב-15 בחודש) בשעה שצוינה.

    5. בתפריט הנפתח Months, בוחרים באפשרות Monthly (כדי להפעיל את המעקב בכל חודש) או באפשרות Specific Months כדי לציין את החודשים המדויקים שבהם המעקב יפעל (לדוגמה, ינואר, אפריל, יולי).

    6. בתפריט הנפתח אזור זמן, בוחרים את אזור הזמן הרצוי. כברירת מחדל, השדה הזה מוגדר לאזור הזמן שמוגדר בהעדפות המשתמש (שעשוי להיות שונה מהגדרות הדפדפן). כדי למצוא או לשנות את הגדרת ברירת המחדל הזו, עוברים אל פרופיל > העדפות משתמש > לוקליזציה > אזור זמן.

    7. לוחצים על הבא.

  7. בקטע תוצאות צפויות, מסמנים את התנאים או מבטלים את הסימון שלהם לפי הצורך. צריך לבחור לפחות תנאי אחד.

    • תוצאת הפעולה תואמת לקו הבסיס: בודק אם מצב הביצוע, התוצאה והסיבה לתוצאה תואמים לקו הבסיס. כל שלושת הפרמטרים צריכים להתאים כדי שהבדיקה תניב ערך True.

    • התאמה בין אירועים קשורים למוצרים:

      • התכונה מקבצת אירועים קשורים לפי מוצר.

      • הפונקציה בודקת אם בהפעלה הנוכחית יש לפחות אירוע אחד לכל מוצר שמופיע בקו הבסיס.

      • הבדיקה מתעלמת מאירועים של מוצרים שאין להם אירועים בקו הבסיס.

      • הערך שלו הוא false אם אירועים שתואמים לקו הבסיס לא מגיעים לפני הזמן הקצוב לתפוגה.

    • כללי זיהוי מקושרים שמתריעים על התאמה לערך הבסיס:

      • הזיהויים מקובצים לפי כלל ומצב התראה.

      • הפונקציה בודקת אם בהרצה הנוכחית יש לפחות זיהוי אחד מכלל שיש לו זיהויים בהרצת הבסיס.

      • המערכת מתעלמת מזיהויים של כללים שלא זוהו בהרצה הבסיסית.

      • הערך שמוחזר הוא false אם לא מתקבלים זיהויים שתואמים לערך הבסיס לפני הזמן הקצוב לתפוגה.

  8. לוחצים על Create כדי ליצור את המעקב.

הצגה והפעלה של מעקב

כדי לראות את המעקב שיצרתם:

  1. עוברים אל Security Validation ואז לכרטיסייה Monitors. חלק מהעמודות מוסתרות כברירת מחדל. כדי לנהל את החשיפה של העמודות, לוחצים על Column manager.

  2. מאתרים את המסך הספציפי ברשימה.

  3. לוחצים על הקישור של המעקב כדי לפתוח את דף הפרטים שלו.

  4. לוחצים על הפעלה מיידית כדי להפעיל את הכלי.

בדף הפרטים של Monitor מוצגת סקירה כללית מרוכזת של Monitor. הוא עוזר לכם להעריך את הסטטוס והתקינות הכלליים של המעקב במבט חטוף. הוא מספק את המידע החשוב הבא על המוניטור:

סיכום מצב תקינות

כרטיסי המדדים הבאים מספקים סקירה כללית על היציבות של Monitor:

  • Monitor Health Status: מצב הבריאות הנוכחי של המעקב, על סמך ההפעלה האחרונה עם תוצאת מעקב סופית (לדוגמה, Healthy), וכמה זמן הוא נמצא במצב הזה.

  • ‫Latest Healthy or Unhealthy Result: מצביע על ההפעלה האחרונה שחרגה מהבסיס להשוואה.

  • עדכניות התוצאות: הזמן שחלף מאז ההרצה האחרונה עם סטטוס מעקב סופי.

התוצאות הצפויות

בקטע הזה מוגדרים הקריטריונים להצלחה שנגזרים מההרצה הבסיסית.

  • תוצאת הפעולה והסיבה: תוצאת הפעולה והסיבה שתואמות להרצה של תוכנית הבסיס (לדוגמה, NOT_BLOCKED עם סיבה נלווית).

  • מוצרים שיצרו אירועים: רשימת המוצרים של אירועים קשורים שתואמים להרצה של תרחיש הבסיס.

  • ‫Alerting Detection Rules: רשימת כללי הגילוי המתואמים של ההתראות שתואמים להרצה הבסיסית.

בטבלה Monitor Results מוצגות כל ההפעלות של המעקב. הטבלה תומכת בחיפוש טקסט, בסינון ובהגדרת עמודות.

הפעלה או השבתה של מעקב

כדי להפעיל או להשבית את Monitor:

  1. עוברים אל Security Validation ואז לכרטיסייה Monitors.

  2. לוחצים על המתג סטטוס כדי להפעיל או להשבית את המעקב. אפשר גם ללחוץ על Pause Monitor או על Restart Monitor בדף Monitor details כדי לשנות את הסטטוס.

שינוי או מחיקה של מעקב

כדי לשנות או למחוק מעקב:

  1. עוברים אל Security Validation ואז לכרטיסייה Monitors.

  2. לוחצים על התפריט של המעקב שרוצים לשנות.

  3. לוחצים על Edit Monitor כדי לשנות את המסך או על Delete Monitor כדי למחוק אותו. אפשר גם ללחוץ על Edit Monitor בדף Monitor details כדי לשנות אותו.

  4. לוחצים על עדכון או על אישור כדי להחיל את השינויים.

בדיקת התוצאות של Monitor

כדי לראות את כל ההפעלות של כלי המעקב:

  1. עוברים אל Security Validation ואז לכרטיסייה Monitors.

  2. לוחצים על התפריט ב-Monitor.

  3. לוחצים על הצגת כל התוצאות. מופיע הדף Execution history.

ההפעלות מסוננות כדי להציג את כל ההפעלות שמשויכות לאותו מעקב ספציפי.

הצגת התוצאות של ההפעלה האחרונה

כדי לראות את התוצאות של ההפעלה האחרונה של כלי המעקב:

  1. עוברים אל Security Validation ואז לכרטיסייה Monitors.

  2. לוחצים על התפריט ב-Monitor.

  3. לוחצים על הצגת התוצאות של ההרצה האחרונה כדי לפתוח את פרטי ההרצה.

המערכת מציגה את פרטי ההפעלה האחרונה של ה-Monitor.

בדיקת תוצאות ההרצה

אפשר לראות את פעולת אימות האבטחה שמבצעים בכרטיסייה Execution History. כדי לבדוק את תוצאות ההפעלה:

  1. נכנסים ל-Google SecOps.

  2. עוברים אל Security Validation ואז אל הכרטיסייה Execution History כדי לעקוב אחרי סטטוס ההרצה.

    בעמודה Run status מצוין אם ההפעלה הצליחה או נכשלה. אם הפעולה בוצעה בהצלחה, תוכלו לראות ב-Google SecOps את האירועים שנוצרו ואת הגילויים שהופעלו על ידי פעולת אימות האבטחה.

  3. לוחצים על מזהה ההפעלה כדי לראות את פרטי ההפעלה.

בדף Action Execution Details מוצגים הסטטוס, התוצאה וניתוח מעמיק של פעולת האימות. אתם יכולים להשתמש בדף הזה כדי לבדוק את מצב האבטחה שלכם, על ידי הבנה של כללי הזיהוי שהפעילות הפעילה.

התקדמות השיוך מציגה את ההתקדמות בזמן אמת של תהליך העבודה של השיוך להפעלה. בזמן שההתאמה פועלת, יכול להיות שמספר האירועים הכולל יגדל עד שהמשימה תסתיים.

ניתוח הטבלה Correlated Rules

בטבלה Correlated Rules מופיעים כללי הזיהוי שהופעלו במהלך הפעולה, כולל כללים בהתאמה אישית וכללים שנבחרו בקפידה.

בטבלה מוצגים גם כללים בהתאמה אישית וגם כללים שנבחרו על ידי המערכת. הוא כולל שתי קבוצות: * כללים שמוגדרים במפורש במטא-נתונים של הפעולה * כללים נוספים שמופעלים על ידי אירועים קשורים

כך תוכלו לזהות אילו כללים פעלו כמצופה ואילו כללים דורשים בדיקה נוספת.

הטבלה כוללת את העמודות הבאות:

  • שם הכלל: שם כלל הזיהוי. לוחצים על שם הכלל כדי לראות את הגדרת הכלל ואת היסטוריית הזיהוי שלו.

  • מספר הזיהויים: מספר הזיהויים שהופעלו על ידי הכלל. הערך 0 מציין שלא נמצאו אירועים תואמים.

  • ‫Detections: קישור לדף Detections שבו מוצגים הזיהויים שהופעלו בהרצה הזו.

  • משויך לפעולה: מציין אם הכלל היה חלק מהמטא-נתונים של הפעולה:

    • כן: המטא-נתונים של הפעולה כוללים את הכלל. המערכת מצפה שהאירוע יופעל כשהפעולה תתבצע.

    • לא: המטא-נתונים של הפעולה הזו לא כוללים את הכלל, אבל הלוגיקה שלו תאמה לאירועים שנוצרו והפעילה אותו.

הטבלה הבאה עוזרת לזהות את התוצאות:

העמודה "משויך לפעולה" עמודת מספר הזיהויים מה המשמעות של
YES 1 או יותר הצלחה: כלל צפוי הפעיל בהצלחה זיהוי אחד או יותר.
NO 1 או יותר הפעילות הפעילה כלל לא צפוי.
YES 0 כלל שהיה אמור להפעיל זיהויים לא הפעיל אותם.

ניתוח אירועים קשורים

אחרי שמריצים פעולת אימות אבטחה, משתמשים באירועים המתואמים כדי להעריך איך הסביבה ואמצעי הבקרה של האבטחה הגיבו לאיום המדומה.

הניתוח כולל שני רכיבים: סטטוס בזמן אמת של תהליך העבודה של המתאם וטבלה מפורטת של כל האירועים שנוצרו.

בעמודה Event Correlation Status מוצג המצב הנוכחי של תהליך העבודה, והוא יכול להיות אחד מהבאים:

  • פועל: המערכת מחפשת באופן פעיל אירועים קשורים.

  • הושלם: כל פעילויות ההתאמה בין האירועים הושלמו בהצלחה.

  • ‫Errored: אירעה שגיאה בתהליך העבודה של הקורלציה והוא לא הושלם.

השדה Correlation workflow complete at מציין את הזמן המשוער שבו תהליך הקורלציה צפוי להסתיים או הסתיים.

בטבלת האירועים מפורטים כל האירועים שנוצרו על ידי הפעולה. אתם יכולים להשתמש בנתונים האלה כדי לנתח תשובות ספציפיות בסביבה ובאמצעי הבקרה שלכם לאבטחה.

הטבלה כוללת את העמודות הבאות:

  • אירוע: מזהה האירוע. לוחצים כדי לראות את פרטי האירוע בחיפוש ב-UDM.

  • חותמת הזמן של האירוע: הזמן שבו האירוע התרחש במערכת המקור (לדוגמה, השרת או חומת האש).

  • חותמת זמן של התצפית: הזמן שבו שירות אימות האבטחה מצא את האירוע וקישר אותו להפעלה.

  • מוצר: המוצר שיצר את האירוע.

  • פעולת תוצאת האבטחה: תוצאת האירוע (Blocked או Not blocked), על סמך השדה security_result.action של אירוע ה-UDM.

יכול להיות שהפעולות יטרגטו אזורים מחוץ למכונה של Google SecOps שבה הן פועלות. בתוצאות הביצוע מוצגים יומנים שאוחזרו מפרויקט הביצוע.

גישה לנכסים ולקובצי עזר מתקדמים

בנכסים הבאים יש דוגמאות להגדרות ומיפוי של נתוני עזר.

הטמעה לדוגמה: יצירת אסימון גישה באמצעות signJWT

נבחן דוגמה לפעולה "יצירת אסימון גישה באמצעות ההרשאה signJWT". בדוגמה הזו אנחנו מניחים שכבר הגדרתם הקשר של אימות אבטחה, ואתם מריצים את הפעולה בהקשר הזה. הפעולה אמורה ליצור יומני ביקורת של Cloud ולהפעיל את כלל זיהוי האיומים "יצירת אסימון גישה באמצעות signJWT".

צריך לבצע את ההגדרות הבאות:

  • ממשקי API מופעלים: צריך להפעיל את ה-API של פרטי הכניסה לחשבון השירות של ניהול זהויות והרשאות גישה (IAM) גם בפרויקט היעד וגם בפרויקט הביצוע.

  • הרשאות של חשבון שירות: לחשבון השירות שצוין בשדה profile של הקשר אימות האבטחה צריכה להיות ההרשאה iam.serviceAccounts.signJwt בפרויקט היעד. אפשר להקצות את ההרשאה הזו באמצעות התפקיד "יצירת אסימונים בחשבון שירות" (roles/iam.serviceAccountTokenCreator). אפשר להקצות את התפקיד הזה בפרויקט או בחשבון השירות של היעד (שבפעולה הזו הוא חשבון השירות שמשמש כברירת המחדל של Compute Engine בפרויקט היעד).

  • רישום ביומן הביקורת של IAM: צריך להפעיל את רישום ביומן הביקורת של IAM (ADMIN_READ) בפרויקט היעד כדי לתעד את האירועים שנוצרו על ידי הפעולה הזו.

  • מסנן ייצוא בהתאמה אישית: כדי להטמיע את האירועים שנוצרו על ידי הפעולה הזו באמצעות הטמעת Google Cloud SecOps, צריך להגדיר מסנן ייצוא בהתאמה אישית שכולל את log_id("cloudaudit.googleapis.com/data_access").

  • קבוצת כללים: כדי לראות את הגילויים בתצוגת החיפוש והחקירה, צריך להפעיל את קבוצת הכללים "איומים בענן" -> "ניצול לרעה של IAM‏ [Google Cloud]" ולהגדיר אותה לשליחת התראות.

דוגמאות לתזמון מעקב

אפשר להשתמש בדוגמאות האלה כהפניה כשמגדירים לוחות זמנים חוזרים למעקב רציף.

הגדרות אישיות מתי התרחיש פועל
שעה: הפעלה בשעה ספציפית (22:00)
ימים: ימים בשבוע (יום שני)
חודשים: חודשי
אזור זמן: EST 		הכלל פועל בכל יום שני בשעה 22:00 לפי שעון החוף המזרחי בארה"ב.
Time: Run at specific time (01:00)
Days: Day of the month (1)
Months: Specify (Jan, Apr, Jul, Oct)
Timezone: PST 		הכלל פועל בשעה 01:00 לפי שעון החוף המערבי בארה"ב ביום הראשון של ינואר, אפריל, יולי ואוקטובר.
שעה: הפעלה בשעה ספציפית (14:00)
ימים: כל יום
חודשים: כל חודש
אזור זמן: UTC 		הוא פועל כל יום בשעה 14:00 לפי אזור זמן אוניברסלי מתואם (UTC).
שעה: הפעלה בשעה ספציפית (09:30)
ימים: יום בחודש (15)
חודשים: ציון החודשים (פברואר, אפריל, יוני, אוגוסט, אוקטובר, דצמבר)
אזור זמן: EST 		פועל ב-9:30 לפי שעון החוף המזרחי בארה"ב ב-15 בכל חודש שני (פברואר, אפריל, יוני, אוגוסט, אוקטובר, דצמבר).
זמן: חזרה מדי שעה
מרווח: כל שעה
שעות: כל השעות 		פועל בלי הפסקה. הסקריפט פועל בדיוק בתחילת כל שעה, 24 שעות ביממה (לדוגמה, 1:00, 2:00, 3:00 וכן הלאה).
זמן: חזרה מדי שעה
אינטרוול: כל 4 שעות
שעות: שעת התחלה ושעת סיום (22:00 עד 6:00) 		הפעולה מתבצעת רק בלילה. הסקריפט פועל בשעות 22:00, 02:00 ו-06:00 כדי לתעד את סטטוס השרת בתקופות של תנועה נמוכה.

פתרון בעיות

זמן אחזור ומגבלות

בגלל חלון הקורלציה, התוצאות של הפעלות חדשות של מעקב לא מאוכלסות באופן מיידי בנתוני הגילוי והאירועים.

תיקון שגיאות

שגיאה תיאור הבעיה תיקון
שגיאה בהרשאת IAM ההרשאה iam.serviceaccounts.actAs נדחתה בחשבון השירות. אם יצרתם או עדכנתם את ההקשר ממש לפני הרצת הפעולה, המתינו כמה דקות ונסו שוב. השינויים ב-IAM עקביים, אבל יכול להיות שיעבור זמן עד שהקצאות התפקידים יופצו במערכת.

צריך לוודא שלזהות שמפעילה את הפעולה יש את ההרשאה `iam.serviceaccounts.actAs` בחשבון השירות שצוין.

אימות ובדיקה

כדי לוודא שהמעקב מוגדר בצורה נכונה בלי לחכות למרווח הזמן הבא שנקבע, לוחצים על הכפתור Run now בדף הפרטים של המעקב. אחרי שחלון הקורלציה חלף, מרעננים את הדף כדי לבדוק את סטטוס ההפעלה.