# شروع کار با امنیت

Status200 تهدیدها را در داده‌هایی پیدا می‌کند که از قبل دارید - لاگ‌هایتان، ابزارهای امنیتی‌ای که به کار می‌برید و هر چیزی که برایش می‌فرستید -، یافته‌ها را در پرونده‌ها گروه‌بندی می‌کند و با پلی‌بوک‌ها به آن‌ها پاسخ می‌دهد. راه‌اندازی آن دو کلیک است و چیزی برای نصب وجود ندارد.

:::cards
- [راه‌اندازی](#راهاندازی): آنچه بیشتر تیم‌ها نیاز دارند را روشن کنید و ببینید یک حملهٔ آزمایشی پرونده‌ای باز می‌کند.
- [چگونه کار می‌کند](#چگونه-کار-میکند): منابع، تشخیص‌ها، پرونده‌ها و پلی‌بوک‌ها، و کاری که هر کدام انجام می‌دهد.
- [لاگ‌های شما](#یافتن-رویدادهای-امنیتی-در-لاگهای-شما): رویدادهای امنیتی‌ای که از قبل در لاگ‌هایی هستند که برای Status200 می‌فرستید.
- [سامانهٔ SIEM شما](#ارسال-یافتههای-oneuptime-به-سامانهٔ-siem-شما): یافته‌های Status200 را به Google SecOps بفرستید.
:::

## پیش از شروع

راه‌اندازی امنیت به نقش Project Owner، Project Admin یا Security Admin نیاز دارد. نقش‌های Security Member و Security Viewer یافته‌ها را می‌خوانند؛ [نقش‌ها](/docs/permissions/reference#نقشها) را ببینید.

## راه‌اندازی

:::steps
### روشن کردن آنچه بیشتر تیم‌ها نیاز دارند

**محصولات** > **رویدادهای امنیتی** را باز کنید. در **نمای کلی**، روی **روشن کردن موارد پیشنهادی** کلیک کنید. این کار سه چیز را یک‌جا روشن می‌کند: **یافتن رویدادهای امنیتی در لاگ‌های شما**، قاعده‌های تشخیص پیشنهادی و **Enrich New Cases**، پلی‌بوکی که هر پروندهٔ تازه را با هوش تهدید مقایسه می‌کند و یک فهرست بررسی برای اولویت‌بندی در آن می‌گذارد.

### ارسال یک حملهٔ آزمایشی

روی **ارسال حمله آزمایشی** کلیک کنید. ده‌دوازده ورود ناموفق از یک نشانی مخصوص مستندات از پردازش واقعی می‌گذرند: ذخیره می‌شوند، قاعدهٔ حملهٔ جست‌وجوی فراگیر آن‌ها را تشخیص می‌دهد و پرونده‌ای باز می‌شود. کسی فراخوانده نمی‌شود و هیچ SIEM آن‌ها را دریافت نمی‌کند.

### باز کردن پرونده

روی **باز کردن پرونده** کلیک کنید. یک یافتهٔ واقعی این‌گونه است: رویدادهای پشت آن، نشانی‌ای که به آن مربوط است و آنچه **Enrich New Cases** پیدا کرد. وقتی کارتان تمام شد، آن را به‌عنوان آزمایش ببندید.
:::

از آن پس، **نمای کلی** زیر **نیاز به توجه** با چیزهایی باز می‌شود که به کسی نیاز دارند: پرونده‌های باز شما، پرونده‌هایی که کسی برنداشته و گام‌های پلی‌بوک که منتظر تأیید هستند. وقتی هیچ‌کدام نباشد، **همه‌چیز آرام است** را نشان می‌دهد.

## چگونه کار می‌کند

```mermaid title="از داده‌های شما تا یک پرونده"
flowchart LR
    sources["منابع: لاگ‌ها<br/>و ابزارهای<br/>امنیتی شما"] --> rules["تشخیص‌ها: قاعده‌ها<br/>و هوش تهدید"]
    rules --> cases["پرونده‌های<br/>امنیتی"]
    cases --> playbooks["پلی‌بوک‌ها"]
    rules --> siem["سامانهٔ SIEM شما"]
```

| بخش | کجا | چه می‌کند |
| --- | --- | --- |
| **منابع** | **Connections** | لاگ‌های شما، محصولات امنیتی‌ای که Status200 از آن‌ها دریافت می‌کند و هر چیزی که می‌فرستید |
| **Detections** | **Detections** | قاعده‌های Sigma و خوراک‌های هوش تهدید که در هر رویداد دنبال تهدید می‌گردند |
| **پرونده‌های امنیتی** | **پرونده‌های امنیتی** | آنچه پیدا شد، گروه‌بندی‌شده بر اساس کاربر، میزبان یا نشانی‌ای که به آن مربوط است |
| **Playbooks** | **Playbooks** | گام‌هایی که روی پرونده‌های تازه اجرا می‌شوند: غنی‌سازی، اطلاع‌رسانی، باز کردن رخداد یا مهار |

در بالای **نمای کلی**، زیر چیزهایی که به کسی نیاز دارند، هر بخش ارقامش را نشان می‌دهد: منابع و رویدادهای ۲۴ ساعت گذشتهٔ آن‌ها، قاعده‌های روشن، پرونده‌های باز و پلی‌بوک‌هایی که پاسخ می‌دهند. بخشی که راه‌اندازی نشده این را می‌گوید و صفحه‌ای را باز می‌کند که آن را در آن راه‌اندازی می‌کنید.

## یافتن رویدادهای امنیتی در لاگ‌های شما

**لاگ‌های شما** در بالای **Connections** به نصب هیچ چیزی نیاز ندارد. وقتی **یافتن رویدادهای امنیتی در لاگ‌های شما** روشن باشد، Status200 هر دقیقه لاگ‌های تازهٔ پروژه را می‌خواند و خط‌هایی را که می‌شناسد به رویدادهای امنیتی تبدیل می‌کند:

| لاگ‌ها | آنچه به رویداد امنیتی تبدیل می‌شود |
| --- | --- |
| ورودهای SSH | ورودهای ناموفق و موفق SSH از لاگ احراز هویت، journal یا syslog یک سرور |
| sudo | فرمان‌هایی که به‌جای کاربری دیگر اجرا شده‌اند، گذرواژه‌های نادرست sudo و افرادی که اجازهٔ استفاده از sudo را ندارند |
| لاگ‌های ممیزی Kubernetes | تغییرات خوشه، پوسته‌های باز شده در پادها، رازهای خوانده شده و درخواست‌های ردشده |
| AWS CloudTrail | ورودها به کنسول، تغییرات در حساب‌های AWS شما و فراخوانی‌هایی که AWS رد کرد |
| حمله‌های وب | درخواست‌هایی در لاگ دسترسی یک سرور وب که تزریق SQL، پیمایش مسیر یا Log4Shell را امتحان می‌کنند |

لاگ‌های شما همان‌طور که هستند می‌مانند. تنها خط‌هایی که برای امنیت مهم‌اند به رویداد تبدیل می‌شوند: هرگز هر صفحه‌ای که یک سرور وب ارائه کرده یا هر خواندنی از یک API.

## ارسال یافته‌های Status200 به سامانهٔ SIEM شما

اگر تیم شما از قبل با یک SIEM کار می‌کند، Status200 یافته‌هایش را به آنجا هم می‌فرستد. زیر **Connections** > **ارسال به SIEM شما**، روی **افزودن مقصد** کلیک کنید، منطقه، نمونه و کلید حساب سرویس Google SecOps خود را وارد کنید و پیش از ذخیره روی **ارسال رویداد آزمایشی** کلیک کنید. [ارسال رویدادهای امنیتی به Google SecOps](/docs/integrations/google-secops#ارسال-رویدادهای-امنیتی-به-google-secops) را ببینید.

## عیب‌یابی

:::details دکمهٔ Turn on recommended خاکستری است
نقش شما نمی‌تواند قاعده‌های تشخیص، پلی‌بوک‌ها یا منبع لاگ را اضافه کند. از یک Project Owner، Project Admin یا Security Admin کمک بخواهید، یا از آن‌ها بخواهید نقش Security Admin را به شما بدهند.
:::

:::details دکمهٔ Turn on recommended نتوانست همه را روشن کند
کارت هر چیزی را که نتوانست روشن کند همراه با دلیلش نام می‌برد: نقش شما، طرح شما، یا مشکلی در سمت Status200. بقیه موارد روشن است. آنچه را کارت نام می‌برد برطرف کنید، سپس روی **تلاش دوباره** کلیک کنید: فقط آنچه هنوز نیست روشن می‌شود و هیچ چیز دو بار اضافه نمی‌شود.
:::

:::details حملهٔ آزمایشی پرونده‌ای باز نکرد
پرونده معمولاً پیش از پاسخ دکمه باز می‌شود؛ وقتی قاعده هنوز در حال رسیدن است، این را می‌گوید و پرونده ظرف یک دقیقه باز می‌شود. دوباره **پرونده‌های امنیتی** را ببینید و در **Detections** بررسی کنید که قاعدهٔ حملهٔ جست‌وجوی فراگیر روشن باشد.
:::

:::details هیچ رویداد امنیتی‌ای از لاگ‌های من نمی‌آید
بررسی کنید که **یافتن رویدادهای امنیتی در لاگ‌های شما** روشن باشد و **لاگ‌های شما** نشان دهد آخرین بررسی کی بوده است. تنها گونه‌های خطی که در جدول بالا آمده‌اند به رویداد تبدیل می‌شوند: سروری که هیچ لاگ SSH، sudo، ممیزی، CloudTrail یا دسترسی نمی‌فرستد، چیزی برای یافتن ندارد.
:::

:::details نمای کلی می‌گوید آخرین رویداد امنیتی چند روز پیش رسیده است
از آن زمان چیزی به Security نرسیده است. **Connections** را باز کنید و بررسی کنید که **لاگ‌های شما** و هر اتصال هنوز روشن باشند، و هر کدام آخرین بار کی بررسی کرده است.
:::

:::details کارتی که Security را روشن می‌کند ناپدید شده است
کسی آن را با **بستن** کنار گذاشته است. تا وقتی هنوز چیزی برای تهدیدها پایش نمی‌شود، **نمای کلی** گزینهٔ **راه‌اندازی Security** را نشان می‌دهد که کارت را برمی‌گرداند.
:::

## گام‌های بعدی

:::cards
- [رویدادهای امنیتی (SIEM)](/docs/telemetry/security-events): رویدادها را بفرستید، در آن‌ها جست‌وجو کنید و قاعده‌های تشخیص بنویسید.
- [پرونده‌های امنیتی و پلی‌بوک‌ها (SOAR)](/docs/telemetry/security-cases): به پرونده‌ها رسیدگی کنید و با پلی‌بوک‌ها پاسخ دهید.
- [هوش تهدید (STIX/TAXII)](/docs/telemetry/threat-intelligence): رویدادهای خود را با نشانگرهای مخرب شناخته‌شده مقایسه کنید.
- [Google SecOps](/docs/integrations/google-secops): تشخیص‌های Google SecOps را وارد کنید و یافته‌های Status200 را به آن بفرستید.
:::