זיהוי איומים באמצעות כללים מאוחדים

נתמך ב:

המדריך הזה מיועד למהנדסי זיהוי שרוצים לזהות איומים בארגון שלהם. במאמר מוסבר איך להשתמש בממשק Unified Rules כדי לשפר את יכולות זיהוי האיומים.

תרחישים נפוצים לדוגמה

תרחישים נפוצים לשימוש בתהליך העבודה הזה:

פריסת כללים מואצת

המטרה: לזהות במהירות ולהפעיל גלאים מוכנים מראש לטקטיקות ספציפיות של יריבים (לדוגמה, Initial Access).

ערך: מקצר את הזמן הממוצע לזיהוי (MTTD) של וקטורי תקיפה נפוצים, בלי שצריך לפתח כללים באופן ידני.

ניהול מרוכז של מחזור החיים של הכללים

המטרה: מעקב אחרי ההפעלה, הסטטוס והיסטוריית הפריסה של הכללים ממסוף אחד.

הערך: שיפור הפיקוח התפעולי ולוודא שהזיהויים הפעילים פועלים כצפוי.

מונחים חשובים

  • גלאים מוכנים מראש: קבוצות של גלאים מוכנים מראש שמנוהלות על ידי מומחי האבטחה של Google Cloud.

  • ממשק כללים מאוחד: מסוף ניהול מאוחד לכללי YARA-L בהתאמה אישית ולתוכן שנאסף.

  • פריסת כלל: המצב של כלל (פעיל או בארכיון) והגדרת ההתראות שמשויכת אליו.

  • חיפוש רטרואקטיבי: תהליך שמריץ כלל על נתונים היסטוריים כדי למצוא מקרים קודמים של איום.

לפני שמתחילים

אם הצוות שלכם משתמש בתפקידים מותאמים אישית ב-IAM, ודאו שיש לכם את ההרשאות הבאות כדי לעבוד עם מרכז הבקרה והעורך של הכללים המאוחדים.

אם הארגון שלכם משתמש בבקרת גישה מבוססת-תפקידים (RBAC) לנתונים, אתם צריכים גם גישה להיקפים שמשויכים לכללים שאתם רוצים לנהל. מידע נוסף זמין במאמר סקירה כללית על בקרת גישה מבוססת-תפקידים (RBAC) לנתונים.

הרשאות למרכז הבקרה של הכללים המאוחדים

הרשאה הרשאת ה-IAM הנדרשת
View
  • chronicle.rules.list
  • chronicle.retrohunts.list
  • chronicle.ruleDeployments.list
  • chronicle.legacies.legacySearchCustomerStats
  • chronicle.legacies.legacyGetRuleCounts
  • chronicle.legacies.legacyGetRulesTrends
  • chronicle.legacies.legacyGetCuratedRulesTrends
  • chronicle.sharedPreferenceSets.get
  • chronicle.sharedPreferenceSets.list
  • chronicle.rules.get
  • chronicle.rules.listRevisions
  • chronicle.legacies.legacyTestRuleStreaming
  • chronicle.legacies.legacyFetchAlertsView
Edit
  • chronicle.retrohunts.create
  • chronicle.ruleDeployments.update
  • chronicle.rules.modifyRules
  • chronicle.rules.create
  • chronicle.rules.update
  • chronicle.rules.verifyRuleText

תצוגות שמורות – הצגה ויצירה של תצוגות שמורות של כללים

בקטע הזה מפורטות ההרשאות שנדרשות כדי ליצור תצוגות שמורות. תצוגות שמורות מאפשרות לכם ליצור ולשמור קבוצה מותאמת אישית של מסנני כללים, קבוצות של עמודות וסדר מיון, כדי שתוכלו לגשת אליהם במהירות במרכז הבקרה כללים מאוחדים.

הרשאה הרשאת ה-IAM הנדרשת
Manage
  • chronicle.sharedPreferenceSets.get
  • chronicle.sharedPreferenceSets.list
  • chronicle.sharedPreferenceSets.create
  • chronicle.sharedPreferenceSets.update
  • chronicle.sharedPreferenceSets.delete

הרשאות של עורך הכללים

רכיב הרשאת IAM (אם משתמשים ב-IAM) הרשאת ניתוח נתונים (אם אתם משתמשים ב-RBAC מדור קודם)
הדף עורך הכללים

chronicle.ruleDeployments.list

chronicle.rules.list

 detectRulesView
קטע של רשימת קובצי עזר קשורים

chronicle.referenceLists.get

chronicle.referenceLists.list

 referenceListView
קטע של טבלת נתונים קשורה

chronicle.dataTables.get

chronicle.dataTables.list

 לא רלוונטי
הלחצן יצירת כלל חדש

chronicle.rules.verifyRuleText

chronicle.rules.create

 detectRulesCreate
הלחצן בדיקת הכלל chronicle.legacies.legacyRunTestRule detectRulesRun
התפריט היקף הכלל chronicle.rules.update detectRulesEdit
הכפתור שמירת הכלל chronicle.rules.update detectRulesEdit
הלחצן שמירה ככלל חדש chronicle.rules.create detectRulesCreate
הלחצן חיפוש רטרואקטיבי של כלל chronicle.retrohunts.create detectRulesRun
המתג הכלל פעיל chronicle.ruleDeployments.update detectRulesEdit
מתג התראה על כלל chronicle.ruleDeployments.update detectRulesEdit
המתג תדירות הפעלת הכלל chronicle.ruleDeployments.update detectRulesEdit
מתג העברה לארכיון ואחזור מהארכיון של כללים chronicle.ruleDeployments.update detectRulesEdit
הצגת הכלל שנבחר בעורך chronicle.featuredContentRules.list לא רלוונטי

ניהול ההעדפות של הממשק המאוחד

אתם יכולים לעבור בין הממשק המאוחד לבין התצוגה הקודמת גם במרכז הבקרה של הכללים המאוחדים וגם בכלי לעריכת כללים. אחרי שבוחרים, המכונה שומרת את ההעדפה וטוענת את הגרסה הספציפית הזו כברירת מחדל.

  • מרכז הבקרה "כללים מאוחדים": כדי להצטרף למרכז הבקרה כללים מאוחדים, עוברים למרכז הבקרה כללים ולוחצים על רוצה לנסות את הדף החדש "כללים מאוחדים"?. כדי לבטל את ההצטרפות, לוחצים על חזרה למרכז הבקרה הקודם של הכללים.

  • עורך הכללים: כדי להצטרף לעורך הכללים החדש, עוברים לדף של עורך הכללים ולוחצים על דף עורך הכללים החדש. כדי לבטל את ההצטרפות, לוחצים על דף עורך הכללים הקודם.

תצוגות שמורות שנבחרו בשבילכם

מרכז הבקרה Unified Rules כולל תצוגות שמורות שמוגדרות כברירת מחדל, שמאפשרות לסנן ולארגן כללים במהירות. בטבלה הבאה מתוארות התצוגות השמורות שנבחרו כברירת מחדל:

תצוגה שמורה תיאור קריטריונים לסינון
כללים לא תקינים הצגת כללים שיש בהם בעיות בהרצה או שהם במצב הרצה שאינו ברירת מחדל. כללים שלא הועברו לארכיון, שבהם execution_state לא שווה ל-default.
כללים פעילים של Google ששולחים התראות הצגת כללים שנבחרו בקפידה ונוצרו על ידי Google, שפועלים ומוגדרים ליצירת התראות. כללים שבהם rule_owner מוגדר ל-GOOGLE, ‏archived מוגדר ל-false, ‏alerting_enabled מוגדר ל-true ו-live_mode_enabled מוגדר ל-true.
כללים שמשתמשים באק"ג הצגת כללים שמבוססים על נתונים של תרשים הקשר של ישויות (ECG). כללים שלא הועברו לארכיון ומשתמשים במאפיין graph.entity.
כללים בנושא התמדה והסלמת הרשאות הצגת כללים שקשורים לטקטיקות של התמדה והסלמת הרשאות (privilege escalation). כללים שלא הועברו לארכיון ומתויגים בתור TA0003 (התמדה) או TA0004 (הסלמת הרשאות).
כללים מומלצים של Mandiant הצגת כללים ברמת סמך גבוהה שנבדקו על ידי מומחים ונאספו על ידי Mandiant. מידע נוסף זמין במאמר הכללים המומלצים של Mandiant. כללים שלא הועברו לארכיון ומתויגים בתווית google.mandiant.recommended.

זיהוי מהיר יותר של איומים באמצעות כללים מותאמים אישית

אתם יכולים להשתמש בממשק Unified Rules כדי לזהות גילויים של טקטיקות ספציפיות של MITRE ATT&CK. כדי למצוא כללים שקשורים לגישה ראשונית ושההתראות מופעלות בהם:

  1. עוברים אל מרכז הבקרה כללים מאוחדים.

  2. אפשר להשתמש בשורת החיפוש כדי לסנן איומים ספציפיים.

    לדוגמה, כדי למצוא כללים שנבחרו וקשורים לגישה ראשונית (טקטיקת MITRE ATT&CK‏ TA0001), משתמשים בשאילתת החיפוש הבאה:

    alerting_enabled = true AND tags:"TA0001"

    לסינון מורכב, אפשר לעיין בתחביר המתקדם בדף הכללים של חיפוש.

  3. אופציונלי: בוחרים כלל מתוצאות החיפוש כדי לראות את פרטי הכלל.

  4. לוחצים על Menu ליד הכלל שרוצים לפרוס.

  5. כדי להתחיל לזהות איומים באופן פעיל, לוחצים על המתגים Live rule ו-Alerting.

אתם יכולים לעקוב אחרי ההפעלה, הסטטוס והיסטוריית ההתראות של הכלל ממרכז הבקרה.

שימוש בתצוגות שמורות

מרכז הבקרה Unified Rules תומך בתצוגות שמורות. תצוגות שמורות מאפשרות לכם ליצור ולשמור קבוצה מותאמת אישית של מסנני כללים, קבוצות של עמודות וסדר מיון, כדי שתוכלו לגשת אליהם במהירות במרכז הבקרה כללים מאוחדים.

איך יוצרים תצוגה בהתאמה אישית

  1. עוברים אל מרכז הבקרה כללים מאוחדים.

  2. לוחצים על התפריט תצוגות שמורות ובוחרים באפשרות שמירה כתצוגה חדשה.

  3. מקלידים את שם התצוגה ולוחצים על שמירה.

  4. מגדירים את המסננים, העמודות וסדר המיון של היעדים במרכז הבקרה כללים מאוחדים.

החלה של תצוגה שמורה

כדי לעדכן את מרכז הבקרה באמצעות הגדרה שמורה:

  1. עוברים אל מרכז הבקרה כללים מאוחדים.

  2. לוחצים על התפריט תצוגות שמורות ובוחרים את התצוגה השמורה הרצויה מהרשימה.

  3. לוחצים על Save.

ניהול התצוגות השמורות

כדי לשנות, לשנות את השם, להסתיר או למחוק תצוגה שמורה:

  1. לוחצים על התפריט תצוגות שמורות ובוחרים באפשרות ניהול תצוגות.

  2. לוחצים על Save.

פתרון בעיות

בקטע הזה מוסבר איך לפתור בעיות נפוצות ומהן המגבלות של ממשק הכללים המאוחדים.

זמן אחזור ומגבלות

  • הפעלת הכלל: יכול להיות עיכוב קצר בהפצה (בדרך כלל כמה דקות) בין שמירת הכלל לבין הצגת מדדי ההפעלה הראשונים שלו בלוח הבקרה.

  • מגבלות על חיפוש רטרואקטיבי: אי אפשר להריץ גלאים מוכנים מראש כחיפושים רטרואקטיביים. בנוסף, חיפושים רטרואקטיביים כפופים למגבלות של חלון המבט לאחור בהתאם לרמת שמירת הנתונים שלכם.

תיקון שגיאות

קוד שגיאה תיאור הבעיה תיקון
‫403 אסור אין לך הרשאות לצפות בתוכן שנבחר. מוודאים שההרשאה chronicle.featuredContentRules.list נוספה לתפקיד שלכם ב-IAM.
הפריסה נכשלה שגיאת תחביר או התנגשות בכלל. כדי לאמת את התחביר של YARA-L, משתמשים בלחצן Test rule בעורך הכללים.
user does not have access to scope <scope_name> למשתמש אין את הרשאות ה-RBAC לנתונים שנדרשות להיקף שהוקצה לכלל. מוודאים שיש לכם גישה להיקף ההרשאות הנדרש. מידע נוסף זמין במאמר הגדרת Data RBAC למשתמשים.
The rule has been modified by someone else משתמש אחר שמר גרסה חדשה של הכלל מאז שפתחת אותו. מעתיקים את השינויים, מרעננים את הדף כדי לטעון את הגרסה העדכנית, ואז מחילים ושומרים את השינויים מחדש.
rules editing not enabled האפשרות לערוך כללים מושבתת במכונה של Google SecOps. כדי להפעיל את עריכת הכללים, צריך לפנות לאדמין.

המאמרים הבאים

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.