סקירה כללית על ייצוא נתונים מ-Security Command Center

בדף הזה מוסבר על שתי שיטות לייצוא נתונים מ-Security Command Center באמצעות המסוף Google Cloud :

הנתונים שאפשר לייצא מ-Security Command Center כוללים נכסים, ממצאים וסימני אבטחה.

אפשר גם לייצא את הממצאים ל-BigQuery או ל-Cloud Logging. מידע נוסף זמין במקורות המידע הבאים:

הערה: לא מומלץ להשתמש בקריאות לרשימת API לייצוא נתונים באופן פרוגרמטי. קריאות לרשימת ה-API מחזירות עד 1,000 ממצאים לכל קריאה ודורשות חלוקה לעמודים, ולכן הן לא יעילות לייצוא של כמויות גדולות של נתונים. בסביבות בקנה מידה ארגוני עם מיליוני ממצאים, אפשר להשתמש בייצוא ממצאים בכמות גדולה ל-BigQuery לצורך דיווח על תאימות, ניתוח מגמות היסטוריות ולוחות בקרה בהתאמה אישית.

ייצוא חד-פעמי

ייצוא חד-פעמי מאפשר להעביר ולהוריד באופן ידני ממצאים ונכסים עדכניים והיסטוריים.

כדי להעביר ממצאים, אפשר להשתמש במסוף Google Cloud כדי להעביר נתונים בפורמט JSON,‏ JSONL או CSV לקטגוריה של Cloud Storage. אפשר גם להוריד מספר מוגבל של ממצאים לתחנת העבודה בפורמט CSV.

לגבי נכסים, אפשר להוריד את הנתונים מהמסוף לתחנת העבודה המקומית כקובץ CSV.

לפני שמתחילים

לפני שמתחילים ייצוא חד-פעמי, צריך לקבל תפקידים והרשאות ספציפיים ב-IAM (הפלטפורמה לניהול זהויות והרשאות גישה) ולקרוא על המגבלות בנוגע למיקום אחסון הנתונים.

התפקידים הנדרשים

כדי לקבל את ההרשאות שדרושות לביצוע ייצוא חד-פעמי, צריך לבקש מהאדמין להקצות לכם את תפקידי ה-IAM הבאים בפרויקט, בתיקייה או בארגון שמהם רוצים לייצא נתונים:

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

התפקידים המוגדרים מראש האלה כוללים את ההרשאות שנדרשות לביצוע ייצוא חד-פעמי. כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:

ההרשאות הנדרשות

כדי לבצע ייצוא חד-פעמי, נדרשות ההרשאות הבאות:

  • securitycenter.assets.group
  • securitycenter.assets.list
  • securitycenter.findings.group
  • securitycenter.findings.list
  • securitycenter.sources.get
  • securitycenter.sources.list
  • securitycenter.userinterfacemetadata.get
  • ביצוע ייצוא להפעלות ברמת הארגון: resourcemanager.organizations.get
  • לבצע ייצואים להפעלות ברמת הפרויקט: resourcemanager.projects.get

יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

מידע נוסף על תפקידים ב-Security Command Center זמין במאמר בקרת גישה.

מגבלות על מיקום אחסון הנתונים בייצוא חד-פעמי

אי אפשר לכלול במסנן של ייצוא חד-פעמי ל-Cloud Storage נתונים שחלים עליהם אמצעי בקרה על מיקום אחסון הנתונים.

אם מציינים מסנן ממצאים עם מאפיין שמכיל נתונים מבוקרים, מערכת Security Command Center מחזירה הודעת שגיאה כשמנסים לייצא.

ייצוא נתונים באמצעות מסוף Google Cloud

באמצעות מסוף Google Cloud , אפשר:

ייצוא ממצאים לקטגוריה של Cloud Storage

בקטע הזה מוסבר איך לייצא נתונים מ-Security Command Center לקטגוריה של Cloud Storage. כשלוחצים על Export בדף Findings במסוף Google Cloud , ‏ Security Command Center מקבל באופן אוטומטי הרשאות או פרטי כניסה לכתיבה לקטגוריה של Cloud Storage.

אפשר לייצא קובץ JSON, קובץ JSONL או קובץ CSV לקטגוריה קיימת של Cloud Storage, או ליצור קטגוריה במהלך תהליך הייצוא. אתם יכולים לייצא את כל הממצאים הנוכחיים, או לבחור את המסננים שבהם אתם רוצים להשתמש לפני הייצוא.

  1. במסוף Google Cloud , עוברים לדף Findings של Security Command Center.

    כניסה לדף Findings

  2. בוחרים פרויקט, תיקייה או ארגון.

  3. כדי לייצא את הממצאים שרוצים, צריך להחיל מסננים על שאילתת הממצאים. מידע נוסף על יצירת מסננים זמין במאמר חיפוש ומציגה של ממצאים ספציפיים.

  4. כשמסיימים ליצור מסנן, לוחצים על Export (ייצוא) ואז, בקטע One-time (חד-פעמי), לוחצים על Cloud storage (אחסון בענן).

  5. בדף ייצוא, מגדירים את הייצוא:

    1. בקטע ייצוא אל, מציינים את השדות הבאים:
      1. בשדה Project name (שם הפרויקט), מציינים את הפרויקט שמכיל את הקטגוריה של Cloud Storage.
      2. בשדה Export path (נתיב הייצוא), שמופיע רק אחרי שמציינים פרויקט, לוחצים על Browse (עיון).
      3. בחלונית בחירת אובייקט, בוחרים קטגוריה קיימת של Cloud Storage או יוצרים קטגוריית אחסון.
      4. אחרי שבוחרים או יוצרים קטגוריה, בשדה שם הקובץ מזינים שם לקובץ הייצוא.
      5. לוחצים על בחירה.
    2. בקטע קריטריונים לייצוא, מציינים את השדות הבאים:
      1. לוחצים על קיבוץ התוצאות לפי ובוחרים איך רוצים לקבץ את הנתונים המיוצאים.
      2. לוחצים על השדה Format ובוחרים באפשרות JSON,‏ JSONL או CSV.
      3. לוחצים בשדה Time range (טווח תאריכים) ובוחרים את התקופה שממנה רוצים לייצא את הממצאים.
    3. בקטע Findings query (שאילתת ממצאים), מוודאים שהשאילתה מופיעה כמו שציפיתם.
    4. מתחת לשאילתה, מוודאים שמספר הממצאים התואמים וסוג הממצאים הם מה שציפיתם.
    5. לוחצים על ייצוא.

    אם בחרתם קובץ קיים בדלי, תוצג תיבת הדו-שיח אישור החלפה.

    • כדי להחליף את הקובץ הקיים, לוחצים על אישור.
    • כדי לשנות את הקובץ שאליו אתם כותבים, לוחצים על ביטול, ואז לוחצים על עיון בתיבה נתיב הייצוא ובוחרים או יוצרים קובץ אחר.

הנתונים שהגדרתם נשמרים בקטגוריה של Cloud Storage שציינתם.

הורדת נתונים שיוצאו מקטגוריה של Cloud Storage

כדי להוריד את נתוני ה-JSON,‏ JSONL או CSV שיוצאו:

  1. נכנסים לדף Storage browser במסוף Google Cloud .

    כניסה לדף Storage browser

  2. בוחרים את הפרויקט ולוחצים על מאגר הנתונים שאליו ייצאתם את הנתונים.

  3. מסמנים את התיבה לצד קובץ הייצוא ולוחצים על הורדה.

  4. בתיבת הדו-שיח שמירת קובץ, בוחרים את המיקום שבו רוצים לשמור את הקובץ ולוחצים על שמירה.

קובץ ה-JSON,‏ JSONL או CSV יורד למיקום שציינתם.

ייצוא הממצאים לקובץ CSV

כדי להגדיר את הייצוא, אפשר לסנן את הממצאים לפי קטגוריה, חומרה ומאפיינים אחרים. כל הממצאים שתואמים למסנן נכללים בקובץ ה-CSV.

אפשר להוריד עד 1,000 ממצאים ישירות לתחנת העבודה. אם מספר הממצאים עולה על 1,000, תתבקשו לצמצם את השאילתה כדי לקבל פחות תוצאות. אפשר גם לייצא את הנתונים לקטגוריה של Cloud Storage.

כדי להוריד נתוני ממצאים לקובץ CSV:

  1. נכנסים לדף Findings ב-Security Command Center במסוף Google Cloud .

    כניסה לדף Findings

  2. בוחרים פרויקט, תיקייה או ארגון.

  3. אופציונלי: כדי לצמצם את הבחירה של הממצאים שרוצים לייצא, אפשר למצוא ולראות ממצאים ספציפיים.

  4. לוחצים על ייצוא > CSV. קובץ ה-CSV יורד לתחנת העבודה המקומית.

ייצוא נכסים לקובץ CSV

אפשר להוריד את נתוני הנכסים לקובץ CSV מהדף Assets במסוףGoogle Cloud .

כדי להוריד נתוני נכסים לקובץ CSV:

  1. במסוף Google Cloud , עוברים לדף Assets של Security Command Center.

    עוברים לדף 'נכסים'.

  2. בוחרים פרויקט, תיקייה או ארגון.

  3. אופציונלי: משתמשים בחלונית Quick filters או בשדה Filter בחלונית התוצאות של הנכסים כדי לבחור את הנכסים שרוצים לייצא. מידע נוסף על סינון נכסים זמין במאמר סינון נכסים.

  4. לוחצים על ייצוא > הורדת CSV. הנתונים של הנכסים בחלונית התוצאות יורדו לתחנת העבודה שלכם.

ייצוא רציף

ייצוא רציף מפשט את התהליך של ייצוא אוטומטי של ממצאים מ-Security Command Center אל Pub/Sub. כשנכתבים ממצאים חדשים, הם מיוצאים אוטומטית לנושאי Pub/Sub ייעודיים כמעט בזמן אמת, כך שתוכלו לשלב אותם בתהליך העבודה הקיים.

מידע נוסף על Pub/Sub זמין במאמר מה זה Pub/Sub?

לפני שמתחילים

לפני שמתחילים ייצוא רציף, צריך לקבל תפקידים והרשאות ספציפיים ב-IAM, ולהכיר את המגבלות של מיקום אחסון הנתונים ואת התאימות ל-Pub/Sub.

התפקידים הנדרשים

כדי לקבל את ההרשאות שדרושות ליצירה ולניהול של ייצוא רציף, צריך לבקש מהאדמין להקצות לכם את תפקידי ה-IAM הבאים בפרויקט, בתיקייה או בארגון שמהם רוצים לייצא נתונים:

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

התפקידים המוגדרים מראש האלה כוללים את ההרשאות שנדרשות ליצירה ולניהול של ייצוא רציף. כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:

ההרשאות הנדרשות

כדי ליצור ולנהל ייצוא רציף, צריך את ההרשאות הבאות:

  • צפייה בנושאים ב-Pub/Sub או פרסום שלהם:
    • pubsub.topics.publish
    • pubsub.topics.list
  • כדי להציג את הדף 'ייצוא רציף':
    • securitycenter.notificationconfig.get
    • securitycenter.notificationconfig.list
  • ניהול של ייצוא רציף:
    • securitycenter.notificationconfig.create
    • securitycenter.notificationconfig.update
    • securitycenter.notificationconfig.delete

יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

מידע נוסף על תפקידים ב-Security Command Center זמין במאמר בקרת גישה.

מיקום אחסון הנתונים וייצוא רציף

אם מיקום אחסון הנתונים מופעל ב-Security Command Center, ההגדרות שמגדירות ייצוא רציף אל Pub/Sub –notificationConfig משאבים – כפופות לבקרה של מיקום אחסון הנתונים ומאוחסנות במיקום של Security Command Center שאתם בוחרים.

כדי לייצא ממצאים במיקום של Security Command Center אל Pub/Sub, צריך להגדיר את הייצוא הרציף באותו מיקום של Security Command Center שבו נמצאים הממצאים.

המסננים שמשמשים לייצוא מתמשך יכולים להכיל נתונים שחלים עליהם אמצעי בקרה על מיקום הנתונים, ולכן חשוב לציין את המיקום הנכון לפני שיוצרים אותם. ב-Security Command Center אין הגבלה על המיקום שבו יוצרים ייצוא.

ייצוא רציף נשמר רק במיקום שבו הוא נוצר, ואי אפשר לראות או לערוך אותו במיקומים אחרים.

אחרי שיוצרים ייצוא מתמשך, אי אפשר לשנות את המיקום שלו. כדי לשנות את המיקום, צריך למחוק את הייצוא הרציף וליצור אותו מחדש במיקום החדש.

כדי ללמוד איך להשתמש ב-Security Command Center כשמיקום אחסון הנתונים מופעל, ראו נקודות קצה אזוריות של Security Command Center.

תאימות למדיניות אחסון הודעות ב-Pub/Sub

ב-Pub/Sub אפשר להגדיר מדיניות לאחסון הודעות. המדיניות הזו מבטיחה ש-Pub/Sub יאחסן ויעבד הודעות רק בקבוצה של Google Cloud אזורים שאתם מציינים, ללא קשר למקום שממנו מגיעות בקשות הפרסום או ההרשמה.

עם זאת, ייצוא רציף לא תואם לאפשרות enforceInTransit של מדיניות אחסון הודעות. כשמגדירים ייצוא רציף, לא בוחרים נושא Pub/Sub שיש לו מדיניות אחסון הודעות עם enforceInTransit מופעלת. יכול להיות שנושא כזה לא יקבל התראות על ממצאים מ-Security Command Center.

מידע נוסף מופיע במאמר סקירה כללית על מדיניות אחסון הודעות.

יצירת ייצוא רציף ל-Pub/Sub

ייצוא רציף מאפשר לכם להגדיר אוטומציה של ייצוא כל הממצאים עתידיים ל-Pub/Sub, או ליצור מסננים לייצוא ממצאים עתידיים שעומדים בקריטריונים ספציפיים. אפשר לסנן את הממצאים לפי קטגוריה, מקור, סוג נכס, סימון אבטחה, חומרה, מצב ומשתנים אחרים.

בארגון אפשר ליצור עד 500 ייצואים רציפים.

כדי ליצור ייצוא ל-Pub/Sub:

  1. נכנסים לדף Findings ב-Security Command Center במסוף Google Cloud .

    כניסה לדף Findings

  2. בוחרים פרויקט, תיקייה או ארגון.

  3. בשדה Findings query results (תוצאות שאילתת הממצאים), בוחרים את הממצאים לייצוא באחת מהשיטות הבאות:

    • לוחצים על הוספת מסנן כדי לבחור את המאפיינים של הממצאים שרוצים לייצא.

      בתפריט הוספת מסנן אפשר לבחור מאפיינים וערכים נתמכים של ממצאים.

      1. בתפריט Select filter, בוחרים מאפיין של ממצא או מקלידים את השם שלו בתיבה Search finding attributes. תוצג רשימה של מאפייני המשנה הזמינים.
      2. בוחרים מאפיין משנה. מוצג שדה בחירה שבו אפשר ליצור את הצהרת השאילתה באמצעות מאפיין המשנה שבחרתם, אופרטור שאילתה וערך אחד או יותר למאפיין המשנה.

      3. בחלונית, בוחרים את האופרטור וערך אחד או יותר של מאפיין המשנה. מידע נוסף על אופרטורים של שאילתות ועל הפונקציות שבהן הם משתמשים זמין במאמר בנושא אופרטורים של שאילתות בתפריט הוספת מסננים.

        אם רוצים להתחיל מחדש, לוחצים על איפוס.

      4. לוחצים על אישור.

        התפריט נסגר והשאילתה מתעדכנת.

      5. חוזרים על הפעולות עד ששאילתת הממצאים מכילה את כל המאפיינים הרצויים.

    • קידוד ידני של שאילתת החיפוש בעורך השאילתות. אתם יכולים להשתמש באופרטורים של SQL סטנדרטי AND,‏ OR,‏ equals (שווה ל-=),‏ has (מכיל :) ו-not (לא -) כדי לציין את מאפייני הממצאים ואת הערכים של הממצאים שאתם רוצים לייצא.

      כשמקלידים את השאילתה, מופיע תפריט השלמה אוטומטית שבו אפשר לבחור שמות של מסננים ופונקציות.

      לדוגמה, השאילתה הבאה משתיקה ממצאים ברמת חומרה נמוכה וברמת חומרה בינונית anomalous IAM grant ב-prod-project, ומוציאה מכללל סוגי משאבים שבהם השם מכיל את מחרוזת המשנה compute:

      severity="LOW" OR severity="MEDIUM" AND category="Persistence:
IAM Anomalous Grant" AND resource.project_display_name="prod-project"
AND -resource.type:"compute"

      דוגמאות נוספות לסינון ממצאים מופיעות במאמר בנושא סינון התראות.

  4. בודקים את השאילתה שנוצרה כדי לוודא שהיא מדויקת. כדי לבצע שינויים, מוחקים או מוסיפים מאפיינים וערכי סינון לפי הצורך.

  5. לוחצים על רענון הממצאים של ההתאמות. בטבלה מוצגות תוצאות שתואמות לשאילתה. מידע נוסף על שליחת שאילתות לגבי ממצאים זמין במאמר בנושא עריכת שאילתת ממצאים במסוף Google Cloud .

  6. לוחצים על ייצוא, ואז בקטע רציף לוחצים על Pub/Sub.

  7. בודקים את המסנן כדי לוודא שהוא נכון, ואם צריך, חוזרים לדף ממצאים כדי לשנות אותו.

  8. בקטע שם הייצוא הרציף, מזינים שם לייצוא.

  9. בקטע תיאור של ייצוא רציף, מזינים תיאור לייצוא.

  10. בקטע ייצוא אל, בוחרים פרויקט לייצוא. אי אפשר ליצור פרויקט בדף הזה. כדי ליצור פרויקט חדש, אפשר לעיין במאמר בנושא יצירת פרויקט.

  11. בקטע Pub/Sub topic, בוחרים את הנושא שאליו רוצים לייצא את הממצאים. כדי ליצור נושא:

    1. לוחצים על יצירת נושא.

    2. מזינים מזהה נושא, ואז בוחרים אפשרויות אחרות לפי הצורך:

      1. מידע ולמידה על יצירה וניהול סכימות
      2. מידע על שימוש במפתחות הצפנה בניהול הלקוח (CMEK) עם Pub/Sub

    3. לוחצים על יצירת נושא.

  12. אופציונלי: כדי לקבל התראות כשממצאים נמחקים מ-Security Command Center בגלל מדיניות שמירת נתונים, מסמנים את תיבת הסימון קבלת התראות על מחיקה עקב שמירת נתונים.

  13. לוחצים על Save. יוצג אישור ותועברו בחזרה לדף הממצאים.

  14. פועלים לפי ההוראות ליצירת מינוי לנושא Pub/Sub.

ההגדרה של הייצוא ל-Pub/Sub הושלמה. כדי לפרסם התראות, נוצר עבורכם חשבון שירות בפורמט service-org-ORGANIZATION_ID@gcp-sa-scc-notification.. לחשבון השירות הזה מוקצה באופן אוטומטי התפקיד roles/securitycenter.notificationServiceAgent ברמת הארגון. התפקיד הזה בחשבון השירות נדרש כדי שההתראות יפעלו.

בדיקה של ייצוא רציף

כדי לוודא שהייצוא פועל, מבצעים את השלבים הבאים כדי להעביר את הממצאים בין מצב פעיל למצב לא פעיל.

  1. נכנסים לדף Findings ב-Security Command Center במסוף Google Cloud .

    כניסה לדף Findings

  2. לוחצים על עריכת השאילתה. עורך השאילתות ייפתח.

  3. עורכים את השאילתה כך שיוצגו גם ממצאים פעילים וגם ממצאים לא פעילים. השאילתה הבאה משמיטה את המאפיין state כדי להציג את כל הממצאים למעט אלה שהושתקו:

    NOT mute="MUTED"
    1. אם צריך, משתמשים בכלי לעריכת שאילתות כדי להזין מחדש משתני מסנן שתואמים למסנן הייצוא שאתם בודקים.
    2. בוחרים ממצא ואז לוחצים על שינוי הסטטוס הפעיל > לא פעיל.
    3. בוחרים שוב את הממצא שסימנתם כלא פעיל, לוחצים על שינוי מצב הפעילות > פעיל. התראה נשלחת לגבי ממצא חדש שמוגדר כפעיל.
    4. נכנסים לדף Pub/Sub במסוף Google Cloud .

    מעבר אל Pub/Sub

    1. ברשימת הנושאים, לוחצים על שם הנושא.
    2. עוברים לכרטיסייה הודעות ובוחרים את המינוי מהרשימה כדי לראות את ההתראה על הממצא.
    3. אופציונלי: לוחצים על שליפה כדי לרענן את ההודעות.

ניהול של ייצוא רציף

כדי לראות, לערוך או למחוק ייצואים:

  1. נכנסים לדף Settings של Security Command Center במסוף Google Cloud .

    כניסה לדף Settings

  2. בוחרים פרויקט, תיקייה או ארגון.

  3. לוחצים על ייצוא רציף. מוצגת רשימה של ייצוא רציף של הפרויקט, התיקייה או הארגון.

בדף ייצוא רציף שבקטע הגדרות, אפשר ליצור, לראות, לערוך ולמחוק ייצוא רציף.

כדי לראות ממצאים שתואמים לפילטר ייצוא:

בדף ייצוא רציף, ליד שם הייצוא, לוחצים על אפשרויות נוספות ואז על הצגת מסננים קשורים.

הדף Findings נטען עם הממצאים שתואמים למסנן הייצוא.

עריכה של ייצוא רציף

  1. בדף ייצוא רציף, לוחצים על השם של הייצוא שרוצים להציג או לשנות, או לוחצים על סמל האפשרויות הנוספות .
  2. לוחצים על עריכה.
  3. מזינים תיאור חדש, משנים את הפרויקט שבו נשמרים הייצוא, מזינים נושא חדש של Pub/Sub, או מסמנים או מבטלים את הסימון בתיבת הסימון קבלת התראות על מחיקה של נתונים שנשמרו.
  4. כשמסיימים, לוחצים על Save.

מחיקה של ייצוא רציף

  1. בדף ייצוא רציף, לוחצים על השם של הייצוא שרוצים למחוק.
  2. לוחצים על מחיקה.
  3. בתיבת הדו-שיח, לוחצים על מחיקה. הייצוא נמחק.

המאמרים הבאים