הסבר על פלטפורמת Google SecOps
בפלטפורמת Google Security Operations, תראו שיש אזורים שמחולקים ל-SIEM ול-SOAR. הסיבה לכך היא שהפלטפורמה מספקת כלים לניהול אבטחת מידע ואירועים (SIEM) ולתזמור, אוטומציה ותגובה של אבטחה (SOAR). חלקים מסוימים בפלטפורמת Google SecOps ספציפיים ל-SIEM או ל-SOAR בלבד, ולכן הם מסומנים בהתאם.
חיפוש SIEM וחיפוש SOAR
בפלטפורמת Google SecOps יש דף חיפוש ל-SIEM ודף חיפוש אחר ל-SOAR.
בדף SIEM Search אפשר למצוא ולחקור את הדברים הבאים:
- אירועים במודל נתונים מאוחד (UDM): מודל UDM הוא פורמט נתונים סטנדרטי שמשמש ב-Google SecOps כדי לייצג אירועי אבטחה ממקורות שונים באופן עקבי. אירוע נוצר ממקור יומן גולמי שמוטמע ב-Google SecOps ומעובד בתהליך ההטמעה והנורמליזציה של Google SecOps.
- התראות: זיהויים של כללי התראה שהופעלו בהם התראות, או התראות שהוטמעו ממחברי SOAR ו-webhooks.
- יומנים גולמיים: נתוני טלמטריה גולמיים של יומנים שלא נותחו.
- צירופים: התאמה ושילוב של נתונים גולמיים ממקורות שונים על סמך ערכי שדות משותפים.
- סטטיסטיקה: אירועי UDM עם התוצאות מקובצות לניתוח סטטיסטי.
- בקשות תמיכה והיסטוריית בקשות תמיכה: בקשות תמיכה בנושא אבטחה ויומני ביקורת של היסטוריית בקשות תמיכה, שאפשר לקשר לנתוני אבטחה אחרים.
מידע נוסף על חיפוש ב-SIEM זמין במאמר הסבר על חיפוש.
הדף SOAR Search מתמקד בשני תחומים עיקריים: בקשות וישויות. בדף הזה אפשר לחפש בקשות פתוחות או סגורות, או לחפש ישויות שהיו מעורבות בבקשות. אתם יכולים להציג פירוט של הישויות שאתם מחפשים כדי לראות מידע נוסף עליהן. אתם יכולים לבצע עדכונים בכמות גדולה, כמו מיזוג בקשות תמיכה בתוצאות החיפוש. מידע נוסף זמין במאמר חיפוש בקשות וישויות.
מרכזי בקרה של SIEM מדור קודם ומרכזי בקרה של SOAR מדור קודם
בלוחות הבקרה של Legacy SIEM מוצג מידע על נתוני האירועים ב-UDM. המידע הזה כולל נתוני טלמטריה של אבטחה, מדדי הטמעה, זיהויים, התראות, IOCs ועוד. מידע נוסף זמין במאמר סקירה כללית של מרכז הבקרה של SIEM מדור קודם.
במרכזי הבקרה הקודמים של SOAR מוצג מידע על בקשות תמיכה, פלייבוקים ונתונים של מנתחי SOC. אתם יכולים ליצור מרכזי בקרה חדשים ולשתף אותם עם משתמשים אחרים. מידע נוסף זמין במאמר סקירה כללית של מרכזי הבקרה הקודמים של SOAR.
למידע כללי על מרכזי בקרה, קראו את סקירה כללית על מרכזי בקרה.
הטמעת נתונים באמצעות Google SecOps SIEM ומערכות SIEM של צד שלישי
פלטפורמת Google SecOps מאפשרת לכם לא רק להטמיע התראות באמצעות פלטפורמת ה-SIEM המובנית (שמטמיעה יומנים גולמיים באמצעות מחברים ופידים של נתונים), אלא גם מקבלת התראות ממערכות ומכלים של SIEM של צד שלישי (באמצעות SOAR > מחברים ו-Webhooks).
כך אתם יכולים להשתמש במערכות SIEM אחרות בנוסף ל-Google SecOps SIEM. Google ממליצה להשתמש ב-SIEM המובנה בכל מקום שאפשר כדי ליהנות מחוויה יעילה יותר.
אפשר לקבץ התראות שהתקבלו גם ממערכת ה-SIEM המובנית וגם ממערכות של צד שלישי למקרים, ולבחון אותן כחלק מהתכונות של ניהול המקרים. התראות שנקלטות ממערכות של צד שלישי נשלחות לצד ה-SIEM של הפלטפורמה, ואפשר לראות אותן באמצעות חיפוש SIEM, אבל הן לא כפופות לכללי ה-SIEM המובנים.
הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.