סקירה כללית על פלטפורמת SIEM

נתמך ב:

‫Google Security Operations SIEM הוא שירות ענן שפותח כשכבה ייעודית מעל תשתית הליבה של Google. בעזרת השירות הזה, ארגונים שומרים כמויות עצומות של נתוני מדידות שהם מייצרים לגבי שימוש ברשת ובאבטחה. בארגונים יכולים גם לנתח נתונים אלה ולבצע בהם חיפושים באופן פרטי. ‫Google Security Operations מנרמלת, מוסיפה לאינדקס, יוצרת מתאם ומנתחת את הנתונים כדי לספק ניתוח מיידי והקשר במקרה של פעילות מסוכנת.

‫Google Security Operations מאפשר לכם לבדוק את מידע האבטחה המצטבר של הארגון שלכם, החל מלפני חודשים או יותר. אפשר להשתמש ב-Google Security Operations כדי לחפש בכל הדומיינים שהגישה אליהם מתבצעת בארגון. אתם יכולים לצמצם את החיפוש לנכס, לדומיין או לכתובת IP ספציפיים כדי לבדוק אם הייתה פריצה.

סקירה כללית על פלטפורמת Google Security Operations

סקירה כללית על פלטפורמת Google Security Operations

איסוף נתונים

מערכת Google Security Operations יכולה לקבל נתוני טלמטריה מסוגים שונים של אבטחה באמצעות מגוון שיטות, כולל:

  • מעביר: רכיב תוכנה קל משקל, שמוטמע ברשת של הלקוח, שתומך ב-syslog, בלכידת מנות ובמאגרי נתונים קיימים של ניהול יומנים או של ניהול אבטחת מידע ואירועים (SIEM).

  • אוסף: רכיב תוכנה שמוטמע ברשת של הלקוח, שתומך בהעברה של מקורות נתונים רבים ל-Google SecOps.

  • ממשקי API להטמעת נתונים: ממשקי API שמאפשרים לשלוח יומנים ישירות לפלטפורמת Google Security Operations, וכך לא נדרשים רכיבי חומרה או תוכנה נוספים בסביבות של הלקוחות.

  • שילובים עם צד שלישי: שילוב עם ממשקי API בענן של צד שלישי כדי להקל על הטמעת יומנים, כולל מקורות כמו Office 365 ו-Azure AD.

ניתוח נתונים

יכולות הניתוח של Google Security Operations מסופקות לאנשי אבטחה כאפליקציה פשוטה שמבוססת על דפדפן. אפשר לגשת להרבה מהיכולות האלה גם באופן פרוגרמטי דרך ממשקי Read API. כשמנתחים מזהים איום פוטנציאלי, Google Security Operations מאפשרת להם לקבוע מהו האיום, מה הוא עושה, אם הוא משמעותי ומהי הדרך הטובה ביותר להגיב לו.

אבטחה ותאימות

‫Google Security Operations היא שכבה פרטית וייעודית שנבנתה על תשתית הליבה של Google. לכן, היא יורשת את יכולות האחסון והעיבוד, וגם את תכנון האבטחה והיכולות של התשתית הזו.

כחלק מתכנון האבטחה שלה, Google SecOps מאחסנת פרטי כניסה של משתמשים (לדוגמה, פרטי כניסה שאתם מספקים כדי שפיד של Google SecOps יוכל להטמיע נתוני יומן מ-API של צד שלישי) ב-Secret Manager.

מידע נוסף על אישורים רגולטוריים נתמכים, תקנים בתחום, גבולות של מיקום אחסון הנתונים (DRZ) ואמצעי אבטחה, וגם קישורים למסמכים הרשמיים שלהם, זמין במאמר תקני תאימות נתמכים.

תכונות של Google Security Operations

  • סריקת יומן גולמי: חיפוש ביומנים גולמיים שלא עברו ניתוח.
  • ביטויים רגולריים: חיפוש ביומנים הגולמיים שלא עברו ניתוח באמצעות ביטויים רגולריים.

תצוגות חקירה

  • תצוגת נכסים: בדיקת נכסים בארגון שלכם והאם הייתה אינטראקציה בינם לבין דומיינים חשודים.
  • תצוגת כתובת IP: תוכלו לבדוק כתובות IP ספציפיות בארגון שלכם ולראות את ההשפעה שלהן על הנכסים שלכם.
  • תצוגת גיבוב (hash): חיפוש קבצים ובדיקה שלהם על סמך ערך הגיבוב שלהם.
  • תצוגת דומיין: בדיקה של דומיינים ספציפיים בארגון וההשפעה שלהם על הנכסים.
  • תצוגת משתמש: חקירת משתמשים בארגון שאולי הושפעו מאירועי אבטחה.
  • סינון לפי נוהל: שיפור המידע על נכס, כולל לפי סוג אירוע, מקור יומן, סטטוס חיבור לרשת ודומיין ברמה עליונה (TLD).

מידע שנבחר במיוחד

  • בלוקים של תובנות לגבי נכסים: מציגים את הדומיינים וההתראות שכדאי לבדוק לעומק.
  • תרשים שכיחות: מציג את מספר הדומיינים שנכס התחבר אליהם במהלך תקופת זמן מסוימת.

Detection Engine

אתם יכולים להשתמש במנוע הזיהוי של Google Security Operations כדי לאוטומט את תהליך החיפוש בנתונים שלכם אחר בעיות אבטחה. אתם יכולים לציין כללים לחיפוש בכל הנתונים הנכנסים, ולקבל התראה כשמופיעים בארגון איומים פוטנציאליים וידועים.

VirusTotal

כדי לחקור לעומק נכס, דומיין או כתובת IP, אפשר להפעיל את VirusTotal מ-Google Security Operations על ידי לחיצה על VT Context.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.