שיטות להטמעת נתונים וסוגי נתונים

נתמך ב:

כדי לעקוב ביעילות אחרי הסביבה שלכם ולחקור תקריות, Google Security Operations מאפשר לכם להזין מגוון רחב של נתוני אבטחה. השלב הראשון בבניית מצב אבטחה חזק הוא להבין את סוגי הנתונים שאפשר להעביר לפלטפורמה ואת השיטות שמשמשות להטמעת הנתונים.

סוגים של נתונים להעברה

‫Google SecOps מסווגת את הנתונים הנכנסים לארבעה סוגים עיקריים, שלכל אחד מהם יש מטרה ייחודית במחזור החיים של הזיהוי והחקירה:

  • יומנים גולמיים: אלה זרמי הנתונים המקוריים שלא עברו שינוי ממקורות האבטחה (למשל, חומות אש, כלי EDR ופלטפורמות ענן). היומנים מגיעים בפורמטים כמו JSON,‏ Syslog,‏ CSV או טקסט לא מובנה, ומשמשים כ "מקור האמת" לניתוח מעמיק ולציות לתקנות. מכיוון ששמות השדות משתנים בהתאם לספק, היומנים הגולמיים משמשים כקלט הראשוני לפני שהפלטפורמה מנתחת ומנרמלת את שמות השדות.
  • אירועי UDM: אירועים של מודל נתונים מאוחד (UDM) נוצרים כשמנתחי נתונים ממירים את היומנים הגולמיים שלכם לפורמט עקבי שלא תלוי בספק. לדוגמה, מונחים שונים כמו src_ip ו-client-ip עוברים סטנדרטיזציה לשדה principal.ip יחיד. מערכות במורד הזרם משתמשות ב-UDM כדי לספק יכולות כמו חיפוש מאוחד וכללי זיהוי.
  • נתוני הקשר של הישות: הנתונים האלה מספקים את התשובות לשאלות 'מי, מה ואיפה' כדי להפוך אירועים כלליים ללידים משמעותיים. נתוני ההקשר מאפשרים לדעת אם כתובת IP שייכת למנהל בכיר או לשרת ייצור קריטי. העשרת אירועים במטא-נתונים ממקורות כמו Active Directory או CMDB מאפשרת לאנליסטים לתעדף איומים על סמך סיכון ארגוני בפועל.
  • התראות: אלה אותות מהימנים שמציינים פעילות שדורשת טיפול מיידי. אפשר להזין התראות ישירות ממוצרי אבטחה חיצוניים (כמו CrowdStrike) או ליצור אותן באופן פנימי על ידי מנוע הזיהוי YARA-L של Google SecOps כשאירועים או ישויות ב-UDM מפעילים כלל. ההתראות משמשות כאבני הבניין העיקריות של מקרים שקשורים לאירועים.

הסבר על ישויות של הטמעה

ישויות מספקות הקשר חיוני לאירועים ברשת. אירוע רשת רגיל יכול להראות שהמשתמש abc@foo.corp הפעיל את shady.exe, אבל הוא לא יציין אם המשתמש הזה הוא עובד שפוטר לאחרונה.

מודל הנתונים של הישויות מאפשר לכם להטמיע את קשרי הגומלין האלה, ולתעד הקשרים חדשים ממערכות IAM, ניהול נקודות חולשה והגנה על נתונים, כדי לספק מודיעין איומי סייבר עשיר.

מנתחי הקשר של ישויות מוכנים לשימוש

כדי להפוך את הטמעת הנתונים לחלקה ככל האפשר, Google SecOps כולל מחברי API ומנתחי נתונים (parsers) שמוגדרים כברירת מחדל למקורות נפוצים רבים ומהימנים. אתם יכולים להטמיע נתונים של נכסים או של הקשר המשתמש מהמקורות הנתמכים הבאים:

  • ניהול זהויות, משאבי אנוש וגישה: הקשר הארגוני של Azure AD, הקשר של משתמש Duo, Google Cloud ניתוח IAM, Google Cloud הקשר של IAM, Google Cloud הקשר של הזהות, Microsoft AD, הקשר של משתמש Okta,‏ SailPoint IAM,‏ Workday, הרשאות Workspace ומשתמשי Workspace.
  • ניהול נכסים ומכשירים: JAMF,‏ ServiceNow CMDB,‏ Tanium Asset,‏ Workspace ChromeOS Devices ו-Workspace Mobile Devices.
  • אבטחה וניהול פגיעויות: Microsoft Defender for Endpoint,‏ Nucleus Unified Vulnerability Management,‏ Nucleus Asset Metadata ו-Rapid7 Insight.

סקירה כללית של שיטות להטמעת נתונים

שירות ההטמעה של Google SecOps פועל כשער לכל הנתונים הנכנסים. בהתאם למיקום הנתונים ולפורמט שלהם, Google SecOps משתמש במערכות העיקריות הבאות כדי לאחזר אותם:

  • ‫Google Cloud (שילוב ישיר): זוהי השיטה העיקרית, החסכונית ביותר והיעילה ביותר לכל היומנים הרגילים Google Cloud (למשל, יומני ביקורת, יומנים לתיעוד מידע על תעבורת ה-IP הנכנסת והיוצאת ב-VPC, יומני DNS ויומני חומת אש). ‫Google SecOps מאחזר את הנתונים האלה ישירות מהארגון שלך ב- Google Cloud .
  • ‫Bindplane Agent: צינור טלמטריה מנוהל ואמצעי לאיסוף יומנים מסביבות ומשרתים מקומיים (Windows או Linux). הוא מספק גמישות רבה ליומנים שלא מתאימים בקלות לשיטות אחרות (כמו חומות אש מקומיות), ומאפשר לכם לבצע עיבוד מקדים, סינון או שיפור של נתוני הענן לפני שהם מגיעים ל-Google SecOps. הסוכן Bindplane מנוהל באמצעות מסוף הניהול Bindplane OP.
  • פידים של נתונים: מומלץ להשתמש בהם עבור יומנים מבוססי-ענן (כמו EDR או אפליקציות SaaS) שכבר צורפו למאגרי אובייקטים (כמו Cloud Storage או Amazon S3), או עבור צדדים שלישיים שתומכים ב-webhook מבוסס-push. פידים של נתונים שולחים יומנים ישירות לשירות ההטמעה ומספקים תמיכה מוכנה מראש בשילובים מוגדרים מראש של API (תמיכה בשורות יומן בגודל של עד 4MB).
  • שיטות להטמעת נתונים ב-Chronicle API: מיועדות לאפליקציות בהתאמה אישית, לאפליקציות עם נפח נתונים גבוה או לאפליקציות שפותחו בתוך הארגון ולא מתאימות לשיטות אחרות. כדי להשתמש בשיטה הזו, צריך להגדיר Google Cloud אימות (חשבונות שירות או איחוד שירותי אימות הזהות של עומסי עבודה), להגדיר הרשאות IAM ולפתח שילובים בהתאמה אישית כדי לשלוח מטענים ייעודיים (payloads) בפורמט JSON לנקודות הקצה של ה-API.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.