בדיקת מחברים בהתאמה אישית

נתמך ב:

במאמר הזה מוסבר איך לבדוק מחבר על ידי הטמעת אימייל זדוני לדוגמה בפלטפורמת Google Security Operations. תהליך הבדיקה מדגים איך:

  • הטמעת אימייל זדוני לדוגמה.
  • מפעילים את המחבר.
  • טוענים את ההתראה לתור של בקשות התמיכה.
  • איך נתוני ההתראות מתורגמים.

אחרי שתסיימו את השלבים האלה, תוכלו לראות את הבקשה החדשה, לצפות בתצוגה מקדימה של תוכן האימייל ולהבין איך נתוני ההתראה מתורגמים ומוצגים בפלטפורמה לפני שהם ממופים ומעוצבים.

הטמעה של אימייל זדוני לדוגמה

כדי להטמיע אימייל זדוני לדוגמה בפלטפורמת Google SecOps, פועלים לפי השלבים הבאים:

  1. להכניס אימייל זדוני לפלטפורמה.
  2. מעתיקים את הטקסט לדוגמה של האימייל הבא ושולחים את האימייל הזה ממשתמש אחר:
    Subject: Your new salary notification
    

    Email body:
    Hello, You have an important email from the Human Resources Department with regards to your December 2018 Paycheck. This email is enclosed in the Marquette University secure network.
    Access the documents here: www.example.com. Ensure your login credentials are correct to avoid cancellations.
    
Faithfully,
    Human Resources
    
University of California, Berkeley

הפעלת המחבר

כדי להפעיל את המחבר, פועלים לפי השלבים הבאים:

  1. עוברים אל הגדרות > ניהול נתונים > מחברים.
  2. בכרטיסייה בדיקה, לוחצים על הפעלת המחבר פעם אחת. התוצאות מופיעות בקטע Output ומוצג בהן מופע חדש של מחבר שנוצר בפלטפורמה. בכל פעם שתפעילו את הפונקציה הזו, היא תפעל כאילו זו האיטרציה הראשונה. לא נשמרות חותמות זמן ולא נשמרים מזהים בקצה העורפי.
    אם המחבר פועל כמו שצריך, מופיעה התראה על אימייל אחד שלא נקרא. כדי לבצע את הבדיקה הזו, ודאו שבתיבת הדואר שלכם יש לפחות אימייל אחד שלא נקרא.
  3. אופציונלי: לוחצים על תצוגה מקדימה כדי לראות תצוגה מקדימה של האימייל.

טעינת ההתראה לתור של בקשות התמיכה

אחרי שמעבירים התראה לדוגמה, מעבירים את ההתראה לתור הפניות לפי השלבים הבאים:

  1. בוחרים את ההתראה ולוחצים על טעינה למערכת.
  2. בכרטיסייה Cases, בודקים את הפנייה שנוצרה.
  3. אחרי שהמחבר מקבל את האימייל ומתרגם את נתוני האימייל לנתוני Google SecOps, ההתראה מופיעה בכרטיסייה Cases בתור הבקשות לטיפול.

אחרי שהמחבר מתרגם את נתוני האימייל לפורמט של Google SecOps, ההתראה מופיעה בתור הבקשות. כשהפנייה מופיעה בפעם הראשונה, היא לא ממופה או ממוּדלת. השלבים הבאים מתרחשים בתהליך העבודה.

איך נתוני ההתראות מתורגמים

אתם יכולים לראות איך כל שדה בקוד של המחבר תואם לשדה הרלוונטי שמוצג בפרטי ההקשר של הפלטפורמה.

כדי לראות איך נתוני ההתראה מופיעים בפלטפורמה, לוחצים על ההתראה כדי לראות את פרטי ההקשר של ההתראה.

שדה הפלטפורמה תיאור מיפוי קוד
שם השדה/הערך נושא האימייל, לדוגמה: "הודעה על המשכורת החדשה שלך" alert_info.name = email_message_data['Subject']
RuleGenerator / Mail השם של הכלל ב-Google Security Operations SIEM שגורם ליצירת ההתראה alert_info.rule_generator = RULE_GENERATOR_EXAMPLE
TicketID המזהה הייחודי של הודעת האימייל alert_info.ticket_id = f"{alert_id}"
AlertID המזהה הייחודי של הודעת האימייל alert_info.display_id = f"{alert_id}"
DeviceProduct / Mail כפי שהגדרנו ב-CONSTANTS: ‏PRODUCT= "Mail" alert_info.device_product = PRODUCT
DeviceVendor / Mail כפי שהגדרנו ב-CONSTANTS: ‏VENDOR = "Mail" alert_info.device_vendor = VENDOR
‫DetectionTime / EndTime / StartTime / EstimatedStartTime השעה שבה הודעת האימייל התקבלה alert_info.start_time = datetime_in_unix_time
alert_info.end_time = datetime_in_unix_time
בעדיפות גבוהה / אינפורמטיבי כפי שהגדרנו בהתראה הזו:
  • אינפורמטיבי = 1-
  • נמוכה = 40
  • בינוני = 60
  • גבוהה = 80
  • קריטי = 100
 alert_info.priority = 60

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.