پرونده‌های امنیتی و پلی‌بوک‌ها (SOAR)
رویدادهای امنیتی آنچه را قاعده‌های تشخیص، هوش تهدید و محصولات امنیتی متصل شما پیدا می‌کنند به پرونده تبدیل می‌کند: برای هر چیزی که ارزش بررسی دارد یک پرونده، که هر تشخیصی دربارهٔ همان کاربر، میزبان یا نشانی در آن گرد می‌آید. تحلیلگران در یک صف به پرونده‌ها رسیدگی می‌کنند، و پلی‌بوک‌ها خودکار یا با یک کلیک به آن‌ها پاسخ می‌دهند.
چگونه کار می‌کند
از یک تشخیص تا یک پروندهٔ بسته
برای صف، محصولات > رویدادهای امنیتی > پرونده‌های امنیتی > پرونده‌های باز را باز کنید. سپرده‌شده به من، بی‌مسئول، پرونده‌های بسته و همه پرونده‌ها صفحه‌های جداگانه‌ای در کنار آن‌اند که هر کدام پرونده‌هایی را فهرست می‌کند که نامش می‌گوید.
پیش از شروع
پرونده‌ها و پلی‌بوک‌ها از سه نقش Security پیروی می‌کنند. Project Owner و Project Admin هر کاری را می‌توانند انجام دهند.
| نقش | چه کاری می‌تواند بکند |
|---|---|
| Security Admin | همه چیز، از جمله حذف پرونده‌ها و راه‌اندازی پلی‌بوک‌ها |
| Security Member | باز کردن، واگذاری، تغییر و بستن پرونده‌ها، نوشتن یادداشت، اجرای پلی‌بوک‌ها و تأیید یا رد گام‌های آن‌ها |
| Security Viewer | خواندن پرونده‌ها، تشخیص‌ها، یادداشت‌ها، پلی‌بوک‌ها و اجراهای آن‌ها |
هر یک از این‌ها را می‌توان جداگانه هم اعطا کرد، از ساختن یک پرونده تا تأیید گام‌های یک پلی‌بوک؛ مرجع دسترسی‌ها را ببینید.
پرونده‌ها از کجا می‌آیند
| منبع | چه زمانی پرونده باز می‌کند | خاموش کردن با |
|---|---|---|
| قاعده‌های تشخیص | قاعده‌ای تطابق پیدا کند | Open a Case on Match، در گام هنگام تطابق از فرم قاعده |
| هوش تهدید | رویدادی از یک شاخص شناخته‌شده نام ببرد | Open a Case on Match، در گام هنگام تطابق از فرم فید |
| محصولات متصل | هشدار خودِ یک محصول در آستانهٔ اتصال یا بالاتر از آن وارد شود | تنظیم Open Cases From روی هرگز، در گام Polling از فرم اتصال |
| افراد | کسی از پرونده‌های امنیتی، یا با Open Case در پنل یک رویداد، پرونده‌ای باز کند | هیچ |
همهٔ منبع‌ها به‌طور پیش‌فرض روشن‌اند. یک اتصال برای هشدارهای بالا و بالاتر پرونده باز می‌کند، مگر اینکه سطح دیگری برگزینید؛ هشدارهای پایین‌تر از آن همچنان به‌صورت رویداد وارد می‌شوند.
تشخیص‌ها چگونه گروه‌بندی می‌شوند
هر تشخیص دربارهٔ یک موجودیت است: مقداری که قاعده‌اش بر پایهٔ آن گروه‌بندی می‌کند، مانند نشانی IP در قاعده‌ای که حملهٔ جست‌وجوی فراگیر را تشخیص می‌دهد، یا شاخصی که یک تطابق هوش تهدید از آن نام می‌برد. تشخیصی که موجودیتی ندارد تنها می‌ماند.
- وقتی پرونده‌ای باز از پیش دربارهٔ همان موجودیت باشد، تشخیص به آن می‌پیوندد. موجودیت‌ها و نگاشت ATT&CK پرونده گسترده‌تر می‌شوند، و اولویتش تا اولویت تشخیص بالا می‌رود و هرگز پایین نمی‌آید.
- وقتی هیچ پروندهٔ بازی دربارهٔ آن نباشد، پرونده‌ای تازه به نام تشخیص و با اولویت آن باز می‌شود.
- تشخیصی که دوباره فعال شود، به‌جای افزودن ردیفی تازه، شمارش ردیف خودش را بالا می‌برد.
اولویت یک پرونده از شدت تشخیص می‌آید:
| شدت | اولویت |
|---|---|
| Critical یا Fatal | بحرانی |
| High | High |
| Medium، Unknown یا Other | Medium |
| Low | Low |
| Informational | اطلاع‌رسانی |
رسیدگی به یک پرونده
یک پرونده چهار وضعیت را پشت سر می‌گذارد. می‌تواند از یکی بپرد، مانند مثبت کاذبی که مستقیماً از «جدید» بسته می‌شود، و می‌توان آن را دوباره باز کرد.
| وضعیت | معنا |
|---|---|
| جدید | هنوز کسی به آن نگاه نکرده است |
| در حال بررسی | کسی در حال روشن کردن این است که چه رخ داده |
| Contained | تهدید دیگر نمی‌تواند آسیبی بزند؛ پاک‌سازی هنوز مانده است |
| بسته | تمام‌شده، با حکمی دربارهٔ اینکه چه بود |
صفحهٔ پرونده هر آنچه برای رسیدگی به آن لازم است در خود دارد:
- در بالا: Assign to Me، Run Playbook، اعلام حادثه و Close Case، گام‌های وضعیت، و اولویت در منوی کنار آن‌ها.
- Status200 AI: برداشت Status200 AI از پرونده، اولویت و پلی‌بوکی که پیشنهاد می‌دهد، و شواهد پشت آن‌ها. Status200 AI در امنیت را ببینید.
- Detections: آنچه فعال شد و پرونده را باز کرد یا به آن پیوست، چند بار، و آخرین رویداد منطبق.
- موجودیت‌ها: کاربران، میزبان‌ها و نشانی‌هایی که پرونده دربارهٔ آن‌هاست، با فعالیتشان در همهٔ رویدادهای امنیتی شما در ۷ روز گذشته. هر کدام در هم‌بسته‌سازی باز می‌شود.
- MITRE ATT&CK: تاکتیک‌ها و تکنیک‌هایی که تشخیص‌های پرونده به آن‌ها نگاشت می‌شوند، هر کدام با پیوندی به صفحه‌اش در attack.mitre.org.
- اجراهای پلی‌بوک: آنچه هر پلی‌بوک گام به گام روی پرونده انجام داد، و گام‌هایی که منتظر تأییدند.
- یادداشت‌ها و خط زمانی: آنچه تیم نوشته است، و هر آنچه رخ داده، همراه با اینکه چه کسی انجامش داده است.
برای رسیدگی هم‌زمان به چند پرونده، آن‌ها را در صف برگزینید و Assign to Me، Change Status یا Change Priority را به کار ببرید.
بستن یک پرونده
Close Case یک حکم و یک یادداشت پایانی اختیاری می‌خواهد:
| حکم | معنا |
|---|---|
| True Positive | فعالیتی مخرب یا غیرمجاز واقعاً رخ داده است |
| Benign Positive | فعالیت واقعی اما مورد انتظار بود، مانند یک آزمون نفوذ یا یک کار مدیریتی |
| False Positive | تشخیص نادرست بود: قاعده یا داده فعالیتی عادی را اشتباه خوانده است |
| Undetermined | اطلاعات کافی برای قضاوت وجود نداشت |
حکم‌ها در نمای کلی شمرده می‌شوند. قاعده‌ای که پرونده‌هایش پیوسته با حکم False Positive بسته می‌شوند، قاعده‌ای است که باید تنظیمش کرد.
پرونده‌ای که از هشدارهای Google SecOps باز شده، وقتی اتصالش بستن هشدارها هنگام بسته شدن پرونده‌شان را روشن داشته باشد، آن‌ها را در Google SecOps هم با حکم و یادداشت بستن می‌بندد: Google SecOps را ببینید.
اعلام یک حادثه
اعلام حادثه برای پرونده یک حادثهٔ Status200 با شدتی که برمی‌گزینید باز می‌کند، و این دو را از هر دو سو به هم پیوند می‌دهد: شرح حادثه از پرونده نام می‌برد، و سرآیند پرونده به حادثه پیوند دارد. از آنجا به بعد کشیک، صفحه‌های وضعیت و گزارش پس از حادثه کار را به دست می‌گیرند. این کار به نقشی نیاز دارد که هم بتواند به پرونده‌ها رسیدگی کند و هم حادثه بسازد.
اعلان‌ها
Status200 افراد را از سه رویداد در یک پرونده باخبر می‌کند. لازم نیست کسی چیزی را راه‌اندازی کند: پروژه‌ای که فقط روشن کردن موارد پیشنهادی را زده است، از پرونده‌های High و بحرانی خود با ایمیل و پوش باخبر می‌شود.
| اعلان | چه کسی باخبر می‌شود | به‌طور پیش‌فرض |
|---|---|---|
| پرونده امنیتی جدید | هر کسی که می‌تواند پرونده‌های پروژه را ببیند، وقتی پرونده‌ای با اولویتی که او برگزیده یا بالاتر باز می‌شود، یا به آن می‌رسد | ایمیل و پوش، برای پرونده‌های High و بحرانی |
| پرونده امنیتی سپرده‌شده به من | کسی که پرونده به او واگذار شده است، و اعضای تیمی که پرونده به آن واگذار شده است | ایمیل و پوش |
| گام پلی‌بوک در انتظار تأیید من | کسانی در پرونده که می‌توانند گام را تأیید کنند: کسی که پرونده به او واگذار شده و اعضای تیمش. وقتی هیچ‌یک از آن‌ها نتواند تأیید کند، همهٔ کسانی در پروژه که می‌توانند | ایمیل و پوش |
- فقط کسانی که می‌توانند پرونده را ببینند از آن باخبر می‌شوند: Project Owner، Project Admin، و نقش‌های Security Admin، Security Member و Security Viewer. نقشی که به برخی برچسب‌ها محدود شده است، فقط از پرونده‌هایی با آن برچسب‌ها باخبر می‌شود.
- هیچ‌کس از کاری که خودش کرده باخبر نمی‌شود: کسی که پرونده‌ای را دستی باز می‌کند، آن را واگذار می‌کند یا اجرایی را آغاز می‌کند، دربارهٔ آن اعلانی نمی‌گیرد.
- هر کس فقط یک بار از یک پرونده باخبر می‌شود. پرونده‌ای که با اولویت Medium باز می‌شود و بعد به بحرانی می‌رسد، هنگام بالا رفتن به کسانی می‌رسد که High یا بحرانی را برگزیده‌اند، و دوباره به کسانی نمی‌رسد که Medium را برگزیده‌اند، چون هنگام باز شدنش از آن باخبر شده‌اند.
- حملهٔ آزمایشی‌ای که ارسال حمله آزمایشی می‌فرستد، پرونده‌ای باز می‌کند که به هیچ‌کس اعلان نمی‌دهد.
- یک پروندهٔ بحرانی و گامی که منتظر تأیید است بی‌درنگ فرستاده می‌شوند و هرگز در یک تجمیع ایمیل‌ها نگه داشته نمی‌شوند.
- خط زمانی پرونده می‌گوید چه کسی، و کی، باخبر شد.
انتخاب آنچه از آن باخبر می‌شوید
هر کس خودش برای خودش انتخاب می‌کند، زیر تنظیمات کاربر > تنظیمات اعلان > امنیت: کانال‌های هر اعلان (ایمیل، SMS، تماس، پوش، Telegram، Slack، Microsoft Teams یا وب‌هوک)، و زیر پرونده امنیتی جدید، اولویتی که از آن به بالا اعلان می‌گیرد:
| انتخاب | اعلان دربارهٔ پرونده‌هایی با اولویت |
|---|---|
| فقط بحرانی | بحرانی |
| بالا و بحرانی | High و بحرانی (پیش‌فرض) |
| متوسط و بالاتر | بحرانی، High و Medium |
| پایین و بالاتر | هر اولویتی جز اطلاع‌رسانی |
| همه پرونده‌ها | هر اولویتی |
پیام‌های WhatsApp برای پرونده‌های امنیتی فرستاده نمی‌شوند. اعلان پوش اپلیکیشن Status200 را باز می‌کند، و پیوندش پرونده را در مرورگر باز می‌کند.
ارسال به کانال‌های Slack و Microsoft Teams
برای ارسال به یک کانال، قاعده‌ای زیر محصولات > رویدادهای امنیتی > فضای کاری > Slack (یا Microsoft Teams) بیفزایید. وقتی هیچ‌کدام وصل نباشد، تنها گزینهٔ این بخش اتصال Slack یا Teams است. یک قاعده کانال‌هایی را که باید به آن‌ها ارسال کند (و در Microsoft Teams، گفتگوها را) و، اگر بخواهید، پرونده‌هایی را که برای آن‌هاست نام می‌برد:
| شرط | تطبیق بر پایهٔ |
|---|---|
| اولویت پرونده امنیتی | بحرانی، High، Medium، Low یا اطلاع‌رسانی |
| عنوان پرونده امنیتی، توضیحات پرونده امنیتی | متنی که عنوان یا توضیحات پرونده دربر دارد، با آن آغاز می‌شود یا با آن پایان می‌یابد |
| وضعیت پرونده امنیتی | جدید، در حال بررسی، Contained یا بسته |
| منبع پرونده امنیتی | Detection Rule، Threat Intel، Connected Product یا Manual |
| برچسب‌های پرونده امنیتی | برچسب‌های پرونده |
هر یک از سه اعلان به کانال‌های همهٔ قاعده‌هایی فرستاده می‌شود که پرونده در آن لحظه با آن‌ها تطابق دارد. قاعده‌ای که در آن اولویت پرونده امنیتی هر یک از بحرانی و High را دربر دارد، پرونده‌های High و بحرانی را هنگام باز شدن ارسال می‌کند، و پرونده‌ای با اولویت Medium را وقتی به High می‌رسد. یک پروندهٔ امنیتی هرگز کانال جداگانهٔ خودش را نمی‌گیرد.
پلی‌بوک‌ها
یک پلی‌بوک فهرستی از گام‌هاست که روی یک پرونده اجرا می‌شوند. آن را زیر محصولات > رویدادهای امنیتی > Playbooks، از یک قالب یا از صفر، بسازید و گام‌هایش را در صفحهٔ خود آن اضافه کنید.
یک پلی‌بوک کی اجرا می‌شود
| اجراها | چه زمانی |
|---|---|
| Case Opened | یک بار، هنگام باز شدن یک پرونده |
| Detection Added | هر بار که تشخیصی تازه به یک پروندهٔ باز بپیوندد |
| بررسی‌شده به‌عنوان احتمالاً مخرب | یک بار، وقتی بررسی اولیهٔ Status200 AI پرونده را احتمالاً مخرب بخواند |
| Manual | فقط وقتی کسی آن را از یک پرونده اجرا کند |
هر پلی‌بوک فعالی را می‌توان با Run Playbook روی یک پرونده دستی هم اجرا کرد. پلی‌بوکی را که خودکار اجرا می‌شود می‌توان محدودتر کرد:
- For Cases At Least: فقط پرونده‌هایی با این اولویت یا بالاتر.
- Only For Detections From: فقط وقتی تشخیصِ پشت پرونده از این منبع آمده باشد.
- Only For These Detection Rules: فقط وقتی از یکی از این قاعده‌ها آمده باشد.
پلی‌بوک غیرفعال نه خودکار اجرا می‌شود و نه دستی.
گام‌ها
| دسته | گام | چه می‌کند |
|---|---|---|
| Case | Assign the case | پرونده را به یک فرد، یک تیم یا هر دو می‌سپارد |
| Case | Set the priority | اولویت پرونده را بالا یا پایین می‌برد |
| Case | Set the status | پرونده را به «در حال بررسی»، «Contained» یا «بسته» می‌برد، با حکمی که برمی‌گزینید |
| Case | Add a note | یادداشتی روی پرونده می‌نویسد، مانند یک چک‌لیست برای تحلیلگر |
| Case | Add labels | به پرونده برچسب می‌زند |
| Investigate | Check entities against threat intel | هر موجودیت را در هوش تهدید شما جستجو می‌کند، و در صورت تطابق می‌تواند اولویت را بالا ببرد |
| Investigate | Look up entity activity | رویدادهای امنیتی هر موجودیت را در یک بازهٔ اخیر می‌شمارد، و نتیجه را روی پرونده یادداشت می‌کند |
| Notify | Email people | خلاصه‌ای از پرونده را، با پیوندی به آن، برای کاربران و تیم‌ها ایمیل می‌کند |
| Notify | Post to Slack | خلاصه‌ای از پرونده را در یک کانال Slack می‌فرستد |
| Notify | Post to Microsoft Teams | خلاصه‌ای از پرونده را در یک کانال Microsoft Teams می‌فرستد |
| Escalate | Page on-call | یک سیاست کشیک را اجرا می‌کند |
| Escalate | Declare an incident | یک حادثهٔ Status200 پیوندخورده با پرونده باز می‌کند |
| Contain | Suspend the user in Okta | کاربری را که پرونده دربارهٔ اوست در Okta معلق می‌کند |
| Contain | End the user's Okta sessions | کاربری را که پرونده دربارهٔ اوست از Okta بیرون می‌برد و توکن‌هایش را باطل می‌کند |
| Contain | Contain the host in CrowdStrike | میزبانی را که پرونده دربارهٔ آن است با CrowdStrike Falcon در شبکه مهار می‌کند |
| Contain | Isolate the device in Microsoft Defender | میزبانی را که پرونده دربارهٔ آن است با Microsoft Defender for Endpoint ایزوله می‌کند |
| Contain | Unsuspend the user in Okta | تعلیق کاربری را که پرونده دربارهٔ اوست در Okta برمی‌دارد |
| Contain | Lift containment in CrowdStrike | مهار شبکه‌ای CrowdStrike Falcon را از روی میزبانی که پرونده دربارهٔ آن است برمی‌دارد |
| Contain | Release the device in Microsoft Defender | میزبانی را که پرونده دربارهٔ آن است در Microsoft Defender for Endpoint از حالت ایزوله بیرون می‌آورد |
| Automate | Send a webhook | پرونده را به‌صورت JSON به یک URL می‌فرستد |
| Automate | Run a workflow | یک گردش کار Status200 را با پرونده به‌عنوان ورودی‌اش آغاز می‌کند |
یک پلی‌بوک حداکثر ۲۵ گام دارد. گام‌ها به ترتیب اجرا می‌شوند، هر کدام پس از پایان گام پیش از خود. هر گام همچنین می‌تواند:
- Needs Approval: اجرا را پیش از این گام نگه دارد تا کسی آن را روی پرونده تأیید کند. چهار گامی که دسترسی کسی را قطع می‌کنند همیشه این کار را می‌کنند، مگر اینکه یک Security Admin آن را خاموش کند.
- Only If Threat Intel Matched: از این گام بگذرد، مگر اینکه یک گام Check entities against threat intel پیش‌تر در همین اجرا شاخصی شناخته‌شده پیدا کرده باشد.
- Carry On If It Fails: حتی اگر این گام شکست بخورد، گام بعدی را اجرا کند. اگر خاموش باشد، گام ناموفق اجرا را متوقف می‌کند.
مهار
گام‌های Contain از راه یک اتصال رویداد امنیتی به محصول عمل می‌کنند، که به چیزی بیش از دسترسی خواندن نیاز دارد:
| گام | اتصال | چه لازم دارد |
|---|---|---|
| Suspend the user in Okta، End the user's Okta sessions، Unsuspend the user in Okta | Okta System Log | یک توکن API که اجازهٔ مدیریت کاربران را دارد |
| Contain the host in CrowdStrike، Lift containment in CrowdStrike | CrowdStrike Falcon | یک کلاینت API با دسترسی نوشتن روی Hosts |
| Isolate the device in Microsoft Defender، Release the device in Microsoft Defender | Microsoft Defender XDR | یک اپلیکیشن با مجوز Machine.Isolate |
یک گام Contain فقط روی کاربران یا میزبان‌هایی عمل می‌کند که پرونده دربارهٔ آن‌هاست، و هرگز روی همهٔ آن‌هایی که پرونده از آن‌ها نام می‌برد عمل نمی‌کند:
- مقداری که یکی از تشخیص‌های پرونده بر پایهٔ آن گروه‌بندی شده است، مانند حسابی که یک قاعدهٔ سفر ناممکن بر پایهٔ آن گروه‌بندی می‌کند، یا میزبانی که هشدار یک محصول متصل از آن نام می‌برد.
- کاربر یا میزبانی از پرونده که هوش تهدید شما آن را به‌عنوان یک شاخص می‌شناسد.
پرونده‌ای که بر پایهٔ یک نشانی گروه‌بندی شده، مانند یک حملهٔ جست‌وجوی فراگیر علیه VPN شما، دربارهٔ هیچ‌کدام نیست: از گام‌های Contain آن گذشته می‌شود، و حسابی که امتحان کرده و دروازه‌ای که هدف گرفته دست‌نخورده می‌مانند. یک گام حداکثر روی ۱۰ کاربر یا میزبان عمل می‌کند. هر کدام را با نامش در محصول پیدا می‌کند، و روی اجرا می‌گوید با هر یک چه کرد: انجام شد، از پیش انجام شده بود، پیدا نشد، رد شد، یا محافظت‌شده.
موجودیت‌های محافظت‌شده
Protected Entities، زیر Playbooks در منو، کاربران و میزبان‌هایی را فهرست می‌کند که هیچ پلی‌بوکی آن‌ها را مهار نمی‌کند، مانند حساب‌های اضطراری، کنترل‌کننده‌های دامنه و دروازه‌های VPN. تطابق یک مقدار به بزرگی و کوچکی حروف حساس نیست، و * جای هر رشته‌ای از نویسه‌ها را می‌گیرد: svc-* از همهٔ حساب‌های سرویس محافظت می‌کند. یک گام، کاربر یا میزبان محافظت‌شده را محافظت‌شده گزارش می‌کند و به آن دست نمی‌زند. نگهداری این فهرست با Security Admin است.
تأیید
چهار گامی که دسترسی کسی را قطع می‌کنند منتظر تأیید می‌مانند. فقط یک Security Admin می‌تواند Needs Approval را برای یکی از آن‌ها خاموش کند، و Status200 ثبت می‌کند چه کسی این کار را کرده است. در تأیید، کاربران یا میزبان‌هایی که گام روی آن‌ها عمل خواهد کرد زیر Act On فهرست شده‌اند، همه تیک‌خورده: تیک هر کدام را که گام نباید به آن دست بزند بردارید. موارد محافظت‌شده برای انتخاب پیشنهاد نمی‌شوند. کسی که اجرایی را آغاز کرده نمی‌تواند گام‌های آن را تأیید کند: کس دیگری این کار را می‌کند، هرچند او همچنان می‌تواند آن را رد کند.
بازگردانی
گام‌های بازگردانی، مانند گام‌هایی که اثرشان را برمی‌گردانند، روی کاربران یا میزبان‌هایی عمل می‌کنند که پرونده دربارهٔ آن‌هاست. وقتی اجرا متوقف شد، کاربر یا میزبان مهارشده روی گام خود دکمه‌ای مخصوص به خودش هم دارد: Unsuspend، Lift Containment یا آزادسازی. یک نشست پایان‌یافتهٔ Okta را نمی‌توان بازگرداند. هر بازگردانی در خط زمانی پرونده و در گزارش ممیزی پروژه نگه داشته می‌شود.
پیام‌ها
یک یادداشت، یک ایمیل، یک پست Slack و یک پست Teams می‌توانند مقدارهای پرونده را به کار ببرند:
| جای‌نگهدار | به چه تبدیل می‌شود |
|---|---|
{{case.number}} | شمارهٔ پرونده، مانند CASE-42 |
{{case.title}} | عنوان پرونده |
{{case.priority}} | Critical، High، Medium، Low یا Informational |
{{case.status}} | New، Investigating، Contained یا Closed |
{{case.assignee}} | کسی که پرونده به او واگذار شده است |
{{case.url}} | پیوندی به پرونده در Status200 |
{{case.entities}} | کاربران، میزبان‌ها و نشانی‌هایی که پرونده دربارهٔ آن‌هاست |
{{case.detections}} | چند تشخیص در پرونده هست |
ایمیل یا پستی که پیام خودش را ندارد، خلاصه‌ای از پرونده را می‌فرستد.
اجراها و تأییدها
هر اجرا، گام به گام، روی پرونده‌اش و زیر محصولات > رویدادهای امنیتی > Playbooks > اجراهای پلی‌بوک فهرست می‌شود:
| وضعیت اجرا | معنا |
|---|---|
| Queued | منتظر یک کارگر |
| در حال اجرا | در حال اجرای گام‌هایش |
| Waiting for Approval | پیش از گامی که تأیید لازم دارد نگه داشته شده |
| موفق | همهٔ گام‌ها اجرا شدند، یا از آن‌ها گذشته شد |
| ناموفق | گامی شکست خورد و اجرا متوقف شد |
| لغوشده | کسی آن را لغو کرد، یا گامی را رد کرد |
گامی که منتظر تأیید است، روی اجرا Approve و Reject را با یک نظر اختیاری نشان می‌دهد. تأیید، اجرا را از همان گام ادامه می‌دهد؛ رد کردن به آن پایان می‌دهد. تصمیم، تصمیم‌گیرنده و نظر او روی گام، در خط زمانی پرونده و در گزارش ممیزی پروژه نگه داشته می‌شوند. در انتظار تأیید، زیر Playbooks در منو، اجراهایی را که منتظر تصمیم‌اند فهرست می‌کند و می‌شمارد؛ اجراهای پلی‌بوک همهٔ اجراها را فهرست می‌کند.
اجرایی که دیگر خبری از کارگرش به آن نمی‌رسد، مثلاً پس از یک راه‌اندازی دوباره، دوباره برداشته می‌شود: اجرای در صف پس از ۲ دقیقه دوباره در صف قرار می‌گیرد، و اجرایی که ۳۰ دقیقه هیچ خبری نداده ناموفق می‌شود.
نمای کلی
محصولات > رویدادهای امنیتی > نمای کلی جایی است که این محصول با آن باز می‌شود:
- پرونده‌های بازی که به شما واگذار شده‌اند، پرونده‌های بازی که هنوز کسی آن‌ها را برنداشته، و گام‌های پلی‌بوکی که منتظر تأییدند؛ هر شمار صفحه‌ای را باز می‌کند که آن‌ها را فهرست می‌کند.
- میانگین زمان تا پذیرش، میانگین زمان تا مهار و میانگین زمان تا بستن، روی پرونده‌هایی که در ۳۰ روز گذشته باز شده‌اند: از باز شدن یک پرونده تا وقتی کسی آن را بر عهده بگیرد (فردی را به آن بگمارد، یا آن را از «جدید» بیرون ببرد)، تا «Contained»، و تا «بسته». پرونده‌ای که هنوز منتظر است در میانگین شمرده نمی‌شود.
- پرونده‌های بازشده در هر روز از ۳۰ روز گذشته، بر پایهٔ اولویت، و تشخیص‌های ثبت‌شده در هر روز از ۱۴ روز گذشته، بر پایهٔ منبع.
- پرونده‌های باز بر پایهٔ اولویت و وضعیت، حکم‌های ۳۰ روز گذشته، تاکتیک‌های ATT&CK پشت پرونده‌ها، تشخیص‌هایی که بیش از همه فعال شده‌اند، و موجودیت‌هایی که بیشترین یافته‌ها از آن‌ها نام برده‌اند.
بالای این‌ها، نواری نشان می‌دهد امنیت چگونه راه‌اندازی شده است: منابع، تشخیص‌ها، پرونده‌ها و پلی‌بوک‌ها، هر کدام با ارقامش. پروژه‌ای که هنوز آن را راه‌اندازی نکرده، آنجا روشن کردن موارد پیشنهادی و ارسال حمله آزمایشی را می‌بیند؛ شروع کار با امنیت را ببینید. وقتی هیچ چیزی به کسی نیاز ندارد، صفحه همه‌چیز آرام است را نشان می‌دهد، و نمودارها به‌محض آنکه چیزی برای نمایش باشد ظاهر می‌شوند.
یافتن تهدیدها
- موجودیت‌ها کاربران، میزبان‌ها، نشانی‌ها و هش‌هایی را که یافته‌های شما بیش از همه از آن‌ها نام می‌برند، در روز، هفته یا ماه گذشته رتبه‌بندی می‌کند، و هر مقداری را در ۳۰ روز رویداد جستجو می‌کند.
- Rule Library قاعده‌های تشخیص آماده‌ای برای تهدیدهای هویت، نقاط پایانی، ابر، شبکه، وب و Kubernetes دارد. هر کدام یک قاعدهٔ Sigma است که برای فیلدهایی نوشته شده که هر منبع متصل به آن‌ها یکسان‌سازی می‌شود. افزودن قاعده آن را به‌صورت یکی از قاعده‌های تشخیص خودتان می‌سازد، روشن، و با باز کردن پرونده به‌جای هشدار؛ آن را مانند هر قاعدهٔ دیگری زیر Detection Rules تغییر دهید. قاعده‌هایی که با پیشنهادی علامت خورده‌اند، تهدیدها را در داده‌هایی پیدا می‌کنند که Status200 از قبل دارد، و یک دکمه آن‌هایی را که هنوز ندارید اضافه می‌کند.
- ATT&CK Coverage ماتریس MITRE ATT&CK را رسم می‌کند و تکنیک‌هایی را که قاعده‌های فعال شما پوشش می‌دهند روشن نشان می‌دهد، و دور تکنیک‌هایی را که یک قاعدهٔ کتابخانه پوشش می‌داد خط می‌کشد.
خودکارسازی
- گردش‌های کاری: یک پرونده یا یک یادداشت می‌تواند هنگام ساخته شدن، به‌روزرسانی یا حذف، یک گردش کار را آغاز کند. گام Run a workflow گردش کاری را آغاز می‌کند که راه‌انداز آن یک وب‌هوک است.
- API: پرونده‌ها، یادداشت‌ها، تشخیص‌ها، پلی‌بوک‌ها، اجراها و موجودیت‌های محافظت‌شده همان REST API بقیهٔ Status200 را دارند، زیر
/security-case،/security-case-note،/security-detection،/security-playbook،/security-playbook-runو/security-protected-entity. مرجع API را ببینید. - عامل‌های هوش مصنوعی: سرور MCP ابزارهایی برای پرونده‌ها، یادداشت‌ها، تشخیص‌ها و پلی‌بوک‌ها دارد. سرور MCP را ببینید.
رفع اشکال
قاعده تطابق پیدا می‌کند، اما پرونده‌ای باز نمی‌شود
Open a Case on Match را در گام هنگام تطابق از فرم قاعده بررسی کنید. تشخیصی دربارهٔ موجودیتی که از پیش پرونده‌ای باز دارد، به‌جای باز کردن پرونده‌ای دیگر به همان پرونده می‌پیوندد: آن را زیر Detections در پروندهٔ باز پیدا کنید.
کسی از یک پرونده باخبر نشد
خط زمانی پرونده را نگاه کنید، که می‌گوید به چه کسانی اعلان داده شد. اعلان پرونده امنیتی جدید به کسانی می‌رود که پرونده به اولویت برگزیدهٔ آن‌ها می‌رسد، پس پرونده‌ای با اولویت Medium به هیچ‌یک از کسانی که پیش‌فرض، یعنی بالا و بحرانی، را نگه داشته‌اند اعلان نمی‌دهد. بررسی کنید که کسانی که باید باخبر شوند بتوانند پرونده‌های امنیتی را ببینند (یک نقش Security، یا Project Owner یا Project Admin)، و که این اعلان برایشان زیر تنظیمات کاربر > تنظیمات اعلان > امنیت روشن باشد.
یک پلی‌بوک اجرا نشد
بررسی کنید که فعال باشد، که تنظیم تریگر آن مناسب باشد (Case Opened فقط یک بار، هنگام باز شدن پرونده، اجرا می‌شود)، و که پرونده با تنظیم‌های For Cases At Least، Only For Detections From و Only For These Detection Rules آن جور درآید. پرونده‌ای که دستی باز شده تشخیصی ندارد، پس پلی‌بوکی که به یک منبع یا به قاعده‌هایی محدود شده روی آن اجرا نمی‌شود.
یک گام Contain شکست خورد
اجرا را روی پرونده باز کنید: گام برای هر کاربر یا میزبان می‌گوید که آیا محصول آن را رد کرد، پیدایش نکرد، یا در دسترس نبود. بررسی کنید که اعتبارنامهٔ اتصال اجازهٔ این تغییر را داشته باشد، و آزمایش اتصال را در ردیف آن به کار ببرید.
از یک گام Contain گذشته شد
پرونده دربارهٔ هیچ کاربر یا میزبانی نیست، مثلاً فقط دربارهٔ یک نشانی است، یا همهٔ کاربران یا میزبان‌هایی که پرونده دربارهٔ آن‌هاست محافظت‌شده‌اند. اجرا را روی پرونده باز کنید: گام می‌گوید کدام‌یک.