ניהול של בלוקים להעשרת נתונים

במאמר הזה מוסבר איך בלוקים של העשרה נותנים לכם שליטה מפורטת בתהליך העשרת הנתונים. תהליך ההעשרה שמוגדר כברירת מחדל משתמש בנתונים לפי הקשר ממקורות שונים, מנתח את הנתונים ומחליף את נתוני השדות של מודל הנתונים המאוחד (UDM) בהתאם ללוגיקה פנימית. תהליך ברירת המחדל בדרך כלל פועל כצפוי. עם זאת, במקרים מסוימים, החלפת הנתונים בשדה UDM גורמת להתנהגות לא צפויה, כמו הפעלה לא תקינה של כללי מנוע הזיהוי.

הגדרה וצפייה בבלוקים של העשרה

רק משתמשי Google Security Operations עם הרשאות אדמין ב-Chronicle ועריכה יכולים להגדיר בלוקים להעשרת נתונים. כל משתמשי Google SecOps יכולים לראות את הממשק Enrichment Blocks.

ההגדרה הבסיסית של בלוק העשרה דורשת שלושה פרמטרים עוקבים: סוג העשרה, סוג יומן היעד ומקור. האפשרויות שזמינות ל-Target Log Type תלויות ב-Enrichment Type שנבחר, והאפשרויות שזמינות ל-Source תלויות ב-Target Log Type שנבחר.

אי אפשר למחוק בלוק העשרה.

אפשר להפעיל, להשבית ולהפעיל מחדש בלוקים של העשרה.

תיבת הדו-שיח בלוקים להעשרה כוללת את הכרטיסיות בלוקים מופעלים ובלוקים מושבתים. הטבלאות בשתי הכרטיסיות מציגות את פרמטרים הבסיסיים של הגדרת החסימה, את התאריך לפי שעון UTC שבו החסימה הופעלה בפעם האחרונה ואת הסיבה לחסימה שצוינה על ידי המשתמש (אופציונלי). הטבלה בכרטיסייה חסימות מושבתות כוללת את התאריך לפי שעון UTC שבו החסימה הושבתה.

לוגיקה מתוקנת של זמן חסימת העשרה

שינוי בסטטוס של בלוק העשרה נכנס לתוקף תוך 5-10 דקות.

ההשפעה העיקרית של הפעלה או השבתה של בלוק היא שעת ההתחלה המסונכרנת שלו:

  • הפעלת חסימה (הסרת העשרה): מערכת Google SecOps מסירה את ההעשרה מכל השדות המשויכים החל מהשעה 00:00:00 לפי שעון UTC בתאריך הנוכחי, וממשיכה הלאה.

  • השבתת חסימה (העשרה מחדש): מערכת Google SecOps מעשירה מחדש את כל השדות המשויכים החל מהשעה 00:00:00 UTC של התאריך הנוכחי, וממשיכה להעשיר אותם בהמשך.

דוגמה: ביום שלישי, 16 בספטמבר, בשעה 23:59:59 לפי שעון UTC, אתם מפעילים בלוק העשרה. מערכת Google SecOps מסירה את ההעשרה מכל השדות המועשרים המשויכים החל מיום שלישי, 16 בספטמבר, בשעה 0:00:00 (לפי שעון UTC), וממשיכה ליישם את חסימת ההעשרה מאותו רגע ואילך. ביום רביעי, 17 בספטמבר, בשעה 09:00:00 לפי שעון UTC, אתם משביתים את בלוק ההעשרה. מערכת Google SecOps מעשירה מחדש את כל השדות המשויכים החל מיום רביעי, 17 בספטמבר בשעה 0:00:00 (לפי שעון UTC), וממשיכה להעשיר את כל הנתונים הרלוונטיים מאותו רגע ואילך.

יצירה והפעלה של בלוק העשרה

כדי ליצור ולהפעיל בלוק העשרה:

  1. עוברים אל הגדרות > זיהוי > בלוקים של העשרה.

  2. קובעים את ההגדרות הבאות:

    1. ברשימה Enrichment Type, בוחרים אחת מהאפשרויות הבאות:

      • כל הסוגים. ההגדרה הזו חלה על כל הפריטים ברשימה, שמאוכלסת על סמך סוגי הנתונים והיומנים ש-Google SecOps מטמיעה.
      • נכס. כשהאפשרות הזו לא נמצאת בבלוק ההעשרה, היא מבצעת את הפעולות הבאות:
        • מחלץ שדות, כמו hostname, asset_id, mac, ip (אם asset_id ריק).
        • העשרת שדות שכוללים כל דבר בקטגוריה Asset (לדוגמה, hostname, asset_id, mac או ip) מ-Noun.
        • משתמש במקורות העשרה, כמו DHCP ו-Asset Context (לדוגמה, Tanium Asset או CrowdStrike).
      • GeoIP. כשהאפשרות הזו לא נמצאת בבלוק ההעשרה, היא מבצעת את הפעולות הבאות:
        • מחלץ שדות, כמו ip אם הוא ציבורי או ניתן לניתוב.
        • מעשיר שדות שכוללים את artifact.ip, artifact.location, artifact.network, location.
        • משתמש במקורות העשרה משירות Google GeoIP.
      • Google Threat Intel. כשהאפשרות הזו לא נמצאת בבלוק ההעשרה, היא מבצעת את הפעולות הבאות:
        • מחלץ שדות רלוונטיים.
        • מעשירה את השדות File או process.file.
        • משתמש במקורות העשרה מהמטא-נתונים של הקובץ ב-VirusTotal.
      • תהליך. כשהאפשרות הזו לא נמצאת בבלוק ההעשרה, היא מבצעת את הפעולות הבאות:
        • מחלץ שדות, כמו process.product_specific_process_id.
        • מעשיר שדות, כולל כל מה שמופיע בקטע Process.
        • שימוש במקורות להעשרת נתונים, כמו יומני EDR (לדוגמה, מ-CrowdStrike או מ-SentinelOne).
      • משתמש. כשהאפשרות הזו לא נמצאת בבלוק ההעשרה, היא מבצעת את הפעולות הבאות:
        • מחלץ שדות כמו user.email_addresses,‏ user.userid,‏ user.windows_sid,‏ user.employee_id,‏ user.product_object_id.
        • העשרת שדות שכוללים כל דבר בקטגוריה User.
        • משתמש במקורות העשרה, כמו יומנים של הקשר המשתמש (לדוגמה, מ-Workday או מ-Windows AD).

    2. ברשימה Target Log Type, בוחרים את האפשרות הרצויה, בהתאם ל-Enrichment Type שנבחר. דוגמאות לאפשרויות: All Types,‏ Windows_Sysmon,‏ CB_EDR ו-BRO_JSON.

    3. ברשימה מקור, בוחרים את האפשרות הרצויה. האפשרויות הזמינות תלויות ב-Target Log Type שנבחר. דוגמאות לאפשרויות: All Types,‏ INFOBLOX_DHCP,‏ WINDOWS_AD ו-VIRUSTOTAL_FILE_METADATA.

  3. לוחצים על Enable Block כדי לפתוח את תיבת הדו-שיח Enable Block ולהציג את ההגדרות מהשלבים הקודמים.

  4. אופציונלי: בשדה הסיבה לחסימה, מזינים את הסיבה לחסימת ההעשרה.

  5. אחרי שבודקים את המידע, לוחצים על הפעלת החסימה. בטבלה Enabled Blocks מוצגת שורה של בלוק ההעשרה שהופעל.

    אחרי כ-5 עד 10 דקות, מערכת Google SecOps מיישמת את חסימת ההעשרה (כלומר, מבטלת את ההעשרה של כל השדות המועשרים המשויכים) החל מהשעה 0:00:00 של התאריך הנוכחי לפי שעון UTC ואילך. אחרי פרק הזמן הזה, מומלץ לוודא שהתוצאות הן כמו שציפיתם.

השבתה של בלוק העשרה

כדי להשבית בלוק העשרה:

  1. עוברים אל הגדרות > זיהוי > בלוקים של העשרה.
  2. בכרטיסייה Enabled Blocks, מוצאים את בלוק ההעשרה, לוחצים על More באותה שורה ובוחרים באפשרות Disable Block. תיפתח תיבת דו-שיח לאישור.

  3. בודקים את הפרטים ולוחצים על השבתת החסימה. בטבלה Disabled Blocks מופיעה שורה של בלוק ההעשרה המושבת, והשורה התואמת מוסרת מהטבלה Enabled Blocks.

    אחרי כ-5 עד 10 דקות, מערכת Google SecOps מעשירה מחדש את כל השדות המשויכים החל מהשעה 0:00:00 של התאריך הנוכחי לפי שעון UTC ואילך. אחרי פרק הזמן הזה, מומלץ לוודא שהתוצאות הן כמו שציפיתם.

הפעלה מחדש של בלוק העשרה

כדי להפעיל מחדש בלוק העשרה:

  1. עוברים אל הגדרות > זיהוי > בלוקים של העשרה.
  2. בכרטיסייה Disabled Blocks, מוצאים את הבלוק להעשרת נתונים, לוחצים על More בשורה הזו ובוחרים באפשרות Enable Block. תיפתח תיבת דו-שיח לאישור.

  3. בודקים את הפרטים ולוחצים על הפעלת החסימה. בטבלה Enabled Blocks מוצגת שורה של בלוק ההעשרה שהופעל מחדש, והשורה התואמת מוסרת מהטבלה Disabled Blocks.

    אחרי כ-5 עד 10 דקות, מערכת Google SecOps מיישמת את חסימת ההעשרה (כלומר, מבטלת את ההעשרה של כל השדות המועשרים המשויכים) החל מהשעה 0:00:00 של התאריך הנוכחי לפי שעון UTC ואילך. אחרי פרק הזמן הזה, מומלץ לוודא שהתוצאות הן כמו שציפיתם.

תהליך עבודה לדוגמה של בלוק העשרה

תהליך העבודה הזה מדגים איך להשתמש בבלוק העשרה כדי לפתור בעיה של כלל שהופעל באופן שגוי בגלל החלפת נתונים לא רצויה:

  1. אימות הכלל: אתם מקבלים התראה ומחליטים שהיא הופעלה באופן לא תקין. אתם מוודאים שהלוגיקה של הכלל נכונה – הוא לא מועמד להחרגה מהכלל.
  2. זיהוי מקור היומן: אתם בודקים את ההתראה ומבינים שתנאי ההפעלה התקיימו ביומן של CrowdStrike.

  3. בדיקת מקור ההעשרה: משתמשים במציג האירועים כדי לזהות איזה מקור חיצוני שינה את השדה הקריטי. בשלבים הבאים מוסבר איך לפתוח את מציג האירועים (אבל יש גם דרכים אחרות):

    1. במסוף Google SecOps, עוברים אל Detections‏ >‏ Alerts & IOCs.
    2. בוחרים את הזיהוי שהופעל באופן שגוי ומעיינים בפרטי האירוע.
    3. לוחצים על חותמת הזמן של האירוע כדי לפתוח את סטטיסטיקת האירועים. הכרטיסייה שדות אירועים מוצגת כברירת מחדל. כל שדה מועשר מזוהה באמצעות E, והרחבת הצומת מציגה את מקורות ההעשרה.
    4. בכרטיסייה Event Fields, מרחיבים את הצומת של השדה המועשר הבעייתי כדי לזהות את המקור. אתם מגלים שהשדה שהפעיל את ההתראה הועשר על ידי Okta.

  4. יצירה והפעלה של בלוק העשרה: יוצרים ומפעילים בלוק העשרה שמשבית את הנתונים של User מ-Okta כמקור העשרה ביומני CrowdStrike.

  5. אימות הפתרון: אחרי שממתינים 5-10 דקות עד שבלוק ההעשרה נכנס לתוקף, מוודאים שההתראה כבר לא מופעלת באופן שגוי.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.