Security Graph של Security Command Center הוא מסד נתונים שמודע ליחסים בין ישויות, וממפה את משאבי הענן, ההגדרות שלהם ואינדיקטורים משויכים לסיכון, כמו נקודות חולשה, הרשאות גישה, רגישות הנתונים וחשיפה לרשת. התרשים מספק תצוגה מקיפה של נכסי הענן והקשרים ביניהם.
במאמר הזה מוסבר איך להשתמש בחיפוש בתרשים, תכונה שמאפשרת ליצור שאילתות בהתאמה אישית כדי לחקור את Security Graph ולזהות בעיות אבטחה פוטנציאליות בסביבה שלכם.
התכונה "חיפוש בתרשים" לא זמינה בהפעלות ברמת הפרויקט. מידע נוסף זמין במאמר זמינות התכונות בהפעלות ברמת הפרויקט.
רכיבי השאילתה
שאילתות ב-Security Graph מורכבות משלושה סוגים עיקריים של רכיבים:
- צומת: ממצא אבטחה או משאב בענן.
- סעיף Where (מסנן): מסנן שמופעל על צומת כדי לצמצם את השאילתה על סמך המאפיינים הספציפיים של הצומת.
- חיבור: קשר כיווני בין שני צמתים.
הדוגמה הבאה מציגה שאילתה במסוף Google Cloud , באמצעות הרכיבים האלה.
מבנה השאילתה לדוגמה הזה מזהה קשר בין ישויות אבטחה כדי לעזור לכם לזהות את הסיכון. קודם כל, השאילתה מגדירה את הנושאים העיקריים, או הצמתים, של החקירה: נקודת החולשה של CVE והמכונה הווירטואלית (GCE). החיבור, שמזוהה באמצעות הביטוי שמשפיע על, מקשר באופן מפורש בין שני הצמתים האלה. לבסוף, השאילתה מכווננת באמצעות כמה מאפיינים, שנקראים סעיפי where או מסננים, בכל צומת. המסננים שבהם משתמשים כאן כוללים את חומרת נקודת החולשה ואת הנגישות של המכונה הווירטואלית ברשת. ביחד, הרכיבים האלה עוזרים לזהות סיכונים פוטנציאליים בסביבה.
צומת
צומת מייצג ממצא אבטחה או משאב בענן.
דוגמאות לצומת במסוף Google Cloud :
- נקודת חולשה מסוג CVE: נקודת חולשה מסוג Common Vulnerabilities and Exposures, כפי שהוגדרה על ידי MITRE Corporation.
- Virtual Machine (GCE): מכונה של Compute Engine.
- GKE Deployment: משאב של Google Kubernetes Engine.
- IAM Service Account: חשבון שירות בניהול זהויות והרשאות גישה (IAM).
- מערך נתונים ב-BigQuery: מאגר של נתונים ב-BigQuery. למידע נוסף, קראו את המאמר מבוא למערכי נתונים.
הצמתים מקובצים לפי קטגוריות כמו Compute, Kubernetes, Identity ו-Databases. אתם יכולים לעיין בכל סוגי הצמתים הזמינים או לחפש אותם במסוףGoogle Cloud כשאתם יוצרים את השאילתה.
פסוקית Where (מסנן)
סעיף where הוא מסנן שמוחל על צומת כדי לצמצם את השאילתה על סמך המאפיינים הספציפיים שמשויכים לצומת.
הנה כמה דוגמאות למסננים:
- Severity = Critical: פריט עם חומרה קריטית, למשל CVE.
- Has Full API Access = True: מציין שלצומת יש גישה מלאה לכל ממשקי ה-API של Google Cloud .
- Exploitation Activity = Confirmed: מציין מקרים ידועים, מדווחים או צפויים של ניצול פרצת אבטחה בשטח.
המסננים שמוצגים במסוף Google Cloud תלויים בהקשר ובסוג הצומת שבחרתם.
חיבור
חיבור הוא קשר כיווני בין שני צמתים.
דוגמאות לחיבורים:
- that affects: מגדיר את הקשר בין שני צמתים שנבחרו – לדוגמה, חולשת אבטחה מסוג CVE שקשורה למכונה וירטואלית של Compute Engine.
- that uses: מגדיר את הקשר בין שני צמתים שנבחרו – לדוגמה, מכונה וירטואלית של Compute Engine ביחס לחשבון שירות של IAM.
החיבורים מותאמים להקשר, ורק קשרים תקינים מוצגים לסוג הצומת שנבחר.
יצירת שאילתה
אתם יכולים לשלוח שאילתות ל-Security Graph כדי לחקור את סביבת הענן לפי קריטריונים שחשובים לכם. ביצוע שאילתות בתרשים ושיפור שלהן יכולים לעזור לכם לזהות חולשות אבטחה ספציפיות שאתם רוצים לעקוב אחריהן.
במסוף Google Cloud , נכנסים לדף Graph search של Security Command Center.
משתמשים בעורך השאילתות כדי ליצור את השאילתה. בוחרים אחת מהאפשרויות הבאות:
- יצירת שאילתה בהתאמה אישית.
- בוחרים הצעה לחיפוש מוגדר מראש ומשתמשים בה כמו שהיא.
- לשנות הצעה מוגדרת מראש לחיפוש כדי להתאים אותה לצרכים שלכם.
מריצים את השאילתה.
בודקים את תוצאות השאילתה בטבלה. אתם יכולים להתאים אישית את תצוגת התוצאות על ידי בחירת העמודות שיוצגו. אפשר גם למיין כל עמודה בסדר עולה או יורד.
אופציונלי: כדי לייצא את תוצאות השאילתה כקובץ CSV, לוחצים על הורדת קובץ CSV.
יצירת שאילתות בהתאמה אישית
אתם יכולים להגדיר שאילתות בהתאמה אישית כדי לזהות נקודות חולשה באבטחה שספציפיות לסביבה שלכם.
כדי ליצור שאילתה בהתאמה אישית, אפשר להתחיל שאילתה חדשה או להתאים אישית הצעה לחיפוש קיימת, לפי השלבים הבאים:
במסוף Google Cloud , נכנסים לדף Graph search ב-Security Command Center.
בשדה Show, לוחצים על Add ובוחרים משאב או ממצא בתור הצומת הראשי של השאילתה, ואז לוחצים על Continue. מופיעה תיבת דו-שיח של הצומת שנבחר.
כדי לשפר את השאילתה, אפשר לבצע כל אחת מהפעולות הבאות:
- כדי לסנן לפי אחד מהמאפיינים של הצומת, לוחצים על המתג Where של אותו מאפיין. בשדה Filter value שמופיע, מזינים או בוחרים ערך שהמאפיין חייב להכיל.
- כדי לסנן לפי החיבורים של הצומת לצמתים אחרים, לוחצים על המתג לצד סוג החיבור, כמו שמשפיע על או שמשתמש ב-, כדי להפעיל אותו.
כדי לשנות את השאילתה, אפשר לבצע כל אחת מהפעולות הבאות:
- כדי להוסיף רכיבים לשאילתה, לוחצים על Add ליד צומת או חיבור.
- כדי להסיר רכיב מהשאילתה, לוחצים על Close.
לוחצים על הפעלת השאילתה.
הצמתים, המסננים והחיבורים הזמינים מתעדכנים במסוף Google Cloud .
איך משתמשים בהצעות לחיפוש או משנים אותן
כמה הצעות לחיפוש מסופקות כנקודות התחלה. אתם יכולים להשתמש בהצעות האלה כמו שהן, או להתאים אותן אישית לפי הדרישות הספציפיות שלכם.
במסוף Google Cloud , נכנסים לדף Graph search ב-Security Command Center.
בוחרים הצעה לחיפוש כדי לראות מידע מפורט יותר על השאילתה.
לוחצים על שימוש בהצעה.
אופציונלי: משנים את פרטי השאילתה בעורך לפי הצורך. מידע נוסף זמין במאמר יצירת שאילתות בהתאמה אישית.
לוחצים על Run query.
פתרון בעיות בשאילתות שלא מחזירות תוצאות
אם השאילתה לא מחזירה תוצאות, נסו את השלבים הבאים כדי לפתור בעיות ולהתאים.
שימוש בהצעת חיפוש מוגדרת מראש
ההצעות לחיפוש שמוגדרות מראש הן דוגמאות שנועדו להחזיר תוצאות שרלוונטיות למגוון סביבות. אתם יכולים לשנות את הצעות החיפוש בהתאם לצרכים הספציפיים שלכם.
לפשט או לשנות את השאילתה
כדי להרחיב את היקף השאילתה, הסירו או צמצמו את המסננים.
נסו לשלוח שאילתה לגבי סוג נכס או מאפיין אחד כדי לוודא שמוחזרים נתונים.
אל תשלבו יותר מדי אילוצים. אם תעשו את זה, יכול להיות שתוצאות מסוימות יוחרגו בטעות.
אימות הרשאות הגישה
חשוב לוודא שיש לכם את ההרשאות הנדרשות כדי לראות את הנתונים שאתם שולחים לגביהם שאילתה. בלי הרשאת הגישה הנכונה, יכול להיות שחלק מהנכסים או הקשרים יוסתרו או לא ייכללו בתוצאות.
צריך להמתין לסנכרון הנתונים
יכול להיות שיעברו כמה דקות או שעות עד שמשאבים שנוצרו או עודכנו לאחרונה יופיעו בתרשים. לדוגמה, יכולים להיות עיכובים אם הוספתם משאב או עדכנתם את מדיניות ה-IAM. אם בדיוק ביצעתם שינויים בסביבת הענן, נסו להריץ את השאילתה שוב אחרי זמן מה.
כיסוי התרשים
יכול להיות שחלק מסוגי הנתונים או הקשרים לא יהיו זמינים ב-Security Graph, בהתאם לסביבה שלכם ולסוגי הנתונים הנתמכים. אם אתם לא רואים את הנתונים שציפיתם לראות, יכול להיות שהם לא זמינים בתרשים.
עזרה נוספת
אם ניסיתם את השלבים הקודמים ועדיין לא קיבלתם את התוצאות הצפויות, פנו לאדמין של הפרויקט או עיינו במאמר קבלת תמיכה כדי לקבל עזרה בבדיקת ההגדרות וההרשאות של השאילתה.