סקירה כללית על מרכז התוכן

נתמך ב:

הרשאות ל-Content Hub

לקוחות שלא העבירו את מופע ה-SOAR שלהם אל Google Cloud, צריכים לוודא שההרשאות Marketplace ו-Response Integrations מוגדרות בדף SOAR Settings > Permissions.

כל שאר הלקוחות צריכים להגדיר את ההרשאות הבאות במודול IAM כדי לגשת למודולים ב-Content Hub.

שם הרשאת IAM השם המוצג תפקיד ב-IAM
chronicle.googleapis.com/featuredContentSearchQueries.get שליפת תוכן של שאילתת חיפוש chronicle.reader
chronicle.googleapis.com/featuredContentSearchQueries.list רשימה של תוכן שאילתות חיפוש chronicle.reader
chronicle.googleapis.com/featuredContentSearchQueries.install התקנת התוסף Search Query Content chronicle.writer
chronicle.googleapis.com/featuredContentRules.list List Featured Content Rules chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.get שליפת תוכן מלוח הבקרה chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.list צפייה ברשימה של תכנים בלוח הבקרה chronicle.reader
chronicle.googleapis.com/featuredContentNativeDashboards.install התקנת תוכן מרכז הבקרה chronicle.writer
chronicle.googleapis.com/feedPacks.get קבלת חבילות של פידים chronicle.reader
chronicle.googleapis.com/feedPacks.list הצגת רשימה של חבילות פיד chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.get קבלת מדריך הפעלה בנושא תוכן מוצג chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.list רשימה של מדריכים בנושא תוכן מומלץ chronicle.reader
chronicle.googleapis.com/featuredContentPlaybooks.install התקנת פלייבוק של תוכן מוצג chronicle.writer

סקירה כללית

מרכז התוכן משמש כפלטפורמה מרכזית לגילוי, לפריסה ולניהול של תוכן ב-Google SecOps.

במרכז התוכן אפשר:

  • אפשר לפרוס חבילות תוכן מקצה לקצה (כולל קליטת יומנים, גלאים מוכנים מראש ולוחות בקרה) כדי לאפשר למופע Google SecOps שלכם לעבוד עם מוצרים מהרשימה העליונה הנתמכת שהגדרנו.
  • התקנה של שילובים עם צד שלישי עבור מחזורי הפעלה ומחברים של SOAR.
  • צפייה וסינון של גלאים מוכנים מראש, בדיקה של מאפייני כלל ספציפיים והגדרות הכללים הרלוונטיות (שקיפות של גלאים מוכנים מראש). עוברים לדף Rule Set (קבוצת כללים) כדי לקבל יכולות ניהול מלאות.
  • כדאי להוסיף לוחות בקרה כדי לשפר את החשיפה.
  • כדי להשתמש שוב במהירות בשאילתות חיפוש שמורות, אפשר להוסיף אותן לחיפוש SIEM.
  • אפשר להתקין ולהפעיל Power Ups כדי להרחיב את היכולות של Playbook.
  • התקנה והפעלה של פלייבוקים כדי לספק תגובות SOAR.
  • אפשר לגשת לתרחישי שימוש מדור קודם של SOAR בדף Home.

סוגי תוכן

יש ארבעה סוגי תוכן במרכז התוכן:

  • ‫Google: תוכן שפותח, מתוחזק ואומת על ידי Google SecOps. הקטגוריה הזו כוללת פריטי תוכן חדשים ומעודכנים.
  • שותף: תוכן שפותח ומתוחזק על ידי שותף. התוכן הזה עובר בדיקות אוטומטיות של איכות ותיקוף על ידי Google. לגבי תוכן של שותפים, אנחנו מספקים פרטים ספציפיים ליצירת קשר עם התמיכה.
  • קהילה: תוכן שפותח ומתוחזק על ידי משתמשים בקהילה. התוכן הזה עובר בדיקות אוטומטיות של איכות ותיקוף על ידי Google.
  • בהתאמה אישית: תוכן שיצרתם ומוצג רק במרכז התוכן שלכם. התוכן הזה פרטי למכונה שלכם ולא מאומת על ידי Google SecOps.

מה אפשר לעשות בדף הבית?

הדף Home הוא דף הנחיתה הראשי של מרכז התוכן. מכאן אפשר לגשת אל:

  • חבילות תוכן, שילובים של תגובות, לוחות בקרה, שאילתות חיפוש, Power Ups וזיהויים שנאספו.
  • תרחישים לדוגמה לשימוש ב-SOAR מדור קודם. ‫Google ממליצה להשתמש בחבילות התוכן החדשות במקום בתרחישי השימוש מהדור הקודם, כי הן מציעות פתרונות מקיפים ומשולבים יותר.

אפשר לחפש בכל סוגי התוכן בו-זמנית, כולל חבילות תוכן, זיהויים, שילובים של תגובות ולוחות בקרה. היכולת הזו מייתרת את הצורך לעבור בין כרטיסיות נפרדות כדי למצוא נכסים קשורים. בפלטפורמה מוצגים התוצאות עם המספר הכולל של ההתאמות לכל סוג. כדי לראות פרטים נוספים, לוחצים על אחת מהתוצאות.

לדוגמה, אם מחפשים את Crowdstrike בשדה חיפוש, הפלטפורמה מחזירה את התוצאות הבאות:

  • חבילות תוכן (1): לדוגמה, חבילת Crowdstrike Falcon Comprehensive Pack.
  • זיהויים שנאספו (42): מוצגים ארבעת הכרטיסים העליונים, כמו Crowdstrike Falcon: Malware Detected (זיהוי תוכנות זדוניות) ו-Crowdstrike Falcon: Sensor Tampering (שיבוש חיישן). לוחצים על הצגת כל 42 התוצאות כדי לעבור ישירות לכרטיסייה זיהויים.
  • שילובים של תגובות (2): לדוגמה, Crowdstrike Falcon (תגובה) – משמש לפעולות ב-Playbook כמו 'בידוד מארח'.
  • מרכזי בקרה (3)

מה אפשר לעשות בדף חבילות התוכן?

בדף חבילות תוכן אפשר להגדיר פיד יחיד או כמה פידים, ולגשת לכל האפשרויות האחרות של מרכז התוכן.

כדי להוסיף את כל הנתונים בדף חבילות תוכן, פועלים לפי השלבים הבאים:

  1. מגדירים כמה פידים למשפחות מוצרים על סמך סוג היומן שאתם צריכים.
  2. אחרי שמגדירים את הפיד, אפשר להגדיר את שאר הרכיבים של חבילת התוכן (שמורידים אוטומטית ברקע).
    1. כדי להשתמש ב-Playbook, צריך ללחוץ על Configure Integrations ולהגדיר מופע כדי שה-Playbook יפעל. מידע נוסף זמין במאמר בנושא הגדרת מופעים של אינטגרציות.
    2. כדי לראות את תוכנית הפעולה שהורדתם או לבצע בה שינויים, או כדי להריץ אותה באמצעות הסימולטור, לוחצים על View Playbooks (הצגת תוכניות פעולה). מידע נוסף זמין במאמר בנושא עבודה עם סימולטור של ספר הפעלה. צריך להעתיק את שם הפלייבוק ולחפש אותו בתיקייה Default בדף Playbooks.
    3. לוחצים על הצגת כל כללי הזיהוי כדי לפתוח את הדף זיהויים שנאספו.
    4. לוחצים על See all Search Queries (הצגת כל שאילתות החיפוש) כדי לפתוח את הדף SIEM Search (חיפוש SIEM).
    5. לוחצים על See all Dashboards (הצגת כל לוחות הבקרה) כדי לפתוח את הדף Dashboards (לוחות בקרה).

מה אפשר לעשות בדף Curated Detections?

בדף Curated Detections (זיהויים שנאספו) אפשר לראות את כל ההגדרות של כללי הזיהוי הנתמכים ב-Google SecOps, כולל הלוגיקה והקוד של הכללים.

כדי לראות ולשנות את גלאים מוכנים מראש (כללים), בצע את הפעולות הבאות:

  1. מאתרים את קבוצת הכללים הנדרשת שרוצים לעדכן ולוחצים על הצגה וניהול.
  2. בסרגל הצד שנפתח בכרטיסייה סקירה כללית, לוחצים על ניהול הכלל. תועברו לכללי האיתור בדף איתורים שנבחרו בקפידה.
  3. לחלופין, בסרגל הצד שנפתח, לוחצים על הכרטיסייה הגדרת כלל. מוצגת הלוגיקה של הכלל. אי אפשר לשנות את הכלל מכאן, אבל אפשר ליצור כלל חדש בדף כללים. לוחצים על הצגת ביצועי הכלל כדי לעבור לדף זיהויים ולנהל את הכלל.

מה אפשר לעשות בדף 'שילובים של תשובות'?

בדף Response Integrations (שילובים של תגובות), אפשר לראות את פרטי השילוב, כולל הערות על הגרסה, ולהגדיר את השילובים של התגובות. אפשר להשתמש בהם לחיבורי SOAR ולספרי הפעלה.

אם עדכון גורם לבעיות או אם צריך לבטל שינויים בקוד בהתאמה אישית, אפשר גם לחזור לגרסה קודמת של שילוב.

כדי להתקין ולהגדיר שילוב:

  1. מאתרים את השילוב הנדרש ולוחצים על התקנה.
  2. אחרי שההתקנה מסתיימת בהצלחה, לוחצים על Configure (הגדרה) באותו שילוב כדי להתחיל בהגדרה. מידע נוסף זמין במאמר בנושא הגדרת מופעים של אינטגרציות.

מה אפשר לעשות בדף מרכזי הבקרה?

בדף מרכזי בקרה אפשר לראות פרטים של מרכזי בקרה שהותקנו מראש ולהוסיף מרכזי בקרה חדשים. כדי להציג או לנהל מרכז בקרה כלשהו, שהותקן מראש או נוסף ממרכז התוכן, עוברים לדף מרכזי בקרה. הערה: לוחות בקרה שנוספו דרך מרכז התוכן מסומנים בתווית Marketplace.

מה אפשר לעשות בדף 'ספרי הפעלה' ו'בלוקים'?

בדף Playbooks and Blocks (ספרי הפעלה ובלוקים) אפשר לראות ולהתקין גם ספרי הפעלה וגם בלוקים של ספרי הפעלה (ספרי הפעלה מוטמעים). אתם יכולים להציג את מדריכי ההפעלה לפי מסננים וקטגוריות שונים. לדוגמה, אתם יכולים להציג רק ספרי הפעלה שמכילים שילובים שכבר התקנתם במופע שלכם, או לבחור להציג רק ספרי הפעלה עם שילובים ספציפיים.

כדי לראות ולהתקין מדריך או בלוק של מדריך:

  1. מחפשים את ספר ההפעלה או את הבלוק שרוצים ולוחצים על הצגת פרטים.
  2. בחלונית הצדדית שנפתחת, מעיינים במידע ולוחצים על הוספה.
  3. בוחרים את הסביבה שרוצים להוסיף אליה את הפלייבוק או את הבלוק.
  4. לוחצים על הקישור כדי לעבור לדף של כלי התכנון, שבו מוצג תוכנית הפעולה שהוספתם. אפשר להוסיף את אותו מדריך הפעלה כמה פעמים. לכל מדריך יוקצה מספר עולה.

מידע נוסף מופיע בדף Playbooks.

מה אפשר לעשות בדף 'שאילתות חיפוש'?

בדף שאילתות חיפוש אפשר לראות את הפרטים של שאילתות החיפוש ולהוסיף שאילתות חדשות. אחרי שמוסיפים שאילתת חיפוש, היא מתווספת לחיפושים השמורים ומשותפת במופע. כדי לראות או לנהל שאילתות שמורות, עוברים לדף SIEM Search.

מה אפשר לעשות בדף Power Ups?

בדף Power Ups אפשר לראות פרטים, להתקין ולהגדיר את Google SecOps Power Ups לשימוש ב-playbooks. הוראות להגדרה מפורטות במאמר בנושא שימוש ב-Power Ups.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.