شروع کار با امنیت
Status200 تهدیدها را در داده‌هایی پیدا می‌کند که از قبل دارید - لاگ‌هایتان، ابزارهای امنیتی‌ای که به کار می‌برید و هر چیزی که برایش می‌فرستید -، یافته‌ها را در پرونده‌ها گروه‌بندی می‌کند و با پلی‌بوک‌ها به آن‌ها پاسخ می‌دهد. راه‌اندازی آن دو کلیک است و چیزی برای نصب وجود ندارد.
پیش از شروع
راه‌اندازی امنیت به نقش Project Owner، Project Admin یا Security Admin نیاز دارد. نقش‌های Security Member و Security Viewer یافته‌ها را می‌خوانند؛ نقش‌ها را ببینید.
راه‌اندازی
روشن کردن آنچه بیشتر تیم‌ها نیاز دارند
محصولات > رویدادهای امنیتی را باز کنید. در نمای کلی، روی روشن کردن موارد پیشنهادی کلیک کنید. این کار سه چیز را یک‌جا روشن می‌کند: یافتن رویدادهای امنیتی در لاگ‌های شما، قاعده‌های تشخیص پیشنهادی و Enrich New Cases، پلی‌بوکی که هر پروندهٔ تازه را با هوش تهدید مقایسه می‌کند و یک فهرست بررسی برای اولویت‌بندی در آن می‌گذارد.
ارسال یک حملهٔ آزمایشی
روی ارسال حمله آزمایشی کلیک کنید. ده‌دوازده ورود ناموفق از یک نشانی مخصوص مستندات از پردازش واقعی می‌گذرند: ذخیره می‌شوند، قاعدهٔ حملهٔ جست‌وجوی فراگیر آن‌ها را تشخیص می‌دهد و پرونده‌ای باز می‌شود. کسی فراخوانده نمی‌شود و هیچ SIEM آن‌ها را دریافت نمی‌کند.
باز کردن پرونده
روی باز کردن پرونده کلیک کنید. یک یافتهٔ واقعی این‌گونه است: رویدادهای پشت آن، نشانی‌ای که به آن مربوط است و آنچه Enrich New Cases پیدا کرد. وقتی کارتان تمام شد، آن را به‌عنوان آزمایش ببندید.
از آن پس، نمای کلی زیر نیاز به توجه با چیزهایی باز می‌شود که به کسی نیاز دارند: پرونده‌های باز شما، پرونده‌هایی که کسی برنداشته و گام‌های پلی‌بوک که منتظر تأیید هستند. وقتی هیچ‌کدام نباشد، همه‌چیز آرام است را نشان می‌دهد.
چگونه کار می‌کند
از داده‌های شما تا یک پرونده
| بخش | کجا | چه می‌کند |
|---|---|---|
| منابع | Connections | لاگ‌های شما، محصولات امنیتی‌ای که Status200 از آن‌ها دریافت می‌کند و هر چیزی که می‌فرستید |
| Detections | Detections | قاعده‌های Sigma و خوراک‌های هوش تهدید که در هر رویداد دنبال تهدید می‌گردند |
| پرونده‌های امنیتی | پرونده‌های امنیتی | آنچه پیدا شد، گروه‌بندی‌شده بر اساس کاربر، میزبان یا نشانی‌ای که به آن مربوط است |
| Playbooks | Playbooks | گام‌هایی که روی پرونده‌های تازه اجرا می‌شوند: غنی‌سازی، اطلاع‌رسانی، باز کردن رخداد یا مهار |
در بالای نمای کلی، زیر چیزهایی که به کسی نیاز دارند، هر بخش ارقامش را نشان می‌دهد: منابع و رویدادهای ۲۴ ساعت گذشتهٔ آن‌ها، قاعده‌های روشن، پرونده‌های باز و پلی‌بوک‌هایی که پاسخ می‌دهند. بخشی که راه‌اندازی نشده این را می‌گوید و صفحه‌ای را باز می‌کند که آن را در آن راه‌اندازی می‌کنید.
یافتن رویدادهای امنیتی در لاگ‌های شما
لاگ‌های شما در بالای Connections به نصب هیچ چیزی نیاز ندارد. وقتی یافتن رویدادهای امنیتی در لاگ‌های شما روشن باشد، Status200 هر دقیقه لاگ‌های تازهٔ پروژه را می‌خواند و خط‌هایی را که می‌شناسد به رویدادهای امنیتی تبدیل می‌کند:
| لاگ‌ها | آنچه به رویداد امنیتی تبدیل می‌شود |
|---|---|
| ورودهای SSH | ورودهای ناموفق و موفق SSH از لاگ احراز هویت، journal یا syslog یک سرور |
| sudo | فرمان‌هایی که به‌جای کاربری دیگر اجرا شده‌اند، گذرواژه‌های نادرست sudo و افرادی که اجازهٔ استفاده از sudo را ندارند |
| لاگ‌های ممیزی Kubernetes | تغییرات خوشه، پوسته‌های باز شده در پادها، رازهای خوانده شده و درخواست‌های ردشده |
| AWS CloudTrail | ورودها به کنسول، تغییرات در حساب‌های AWS شما و فراخوانی‌هایی که AWS رد کرد |
| حمله‌های وب | درخواست‌هایی در لاگ دسترسی یک سرور وب که تزریق SQL، پیمایش مسیر یا Log4Shell را امتحان می‌کنند |
لاگ‌های شما همان‌طور که هستند می‌مانند. تنها خط‌هایی که برای امنیت مهم‌اند به رویداد تبدیل می‌شوند: هرگز هر صفحه‌ای که یک سرور وب ارائه کرده یا هر خواندنی از یک API.
ارسال یافته‌های Status200 به سامانهٔ SIEM شما
اگر تیم شما از قبل با یک SIEM کار می‌کند، Status200 یافته‌هایش را به آنجا هم می‌فرستد. زیر Connections > ارسال به SIEM شما، روی افزودن مقصد کلیک کنید، منطقه، نمونه و کلید حساب سرویس Google SecOps خود را وارد کنید و پیش از ذخیره روی ارسال رویداد آزمایشی کلیک کنید. ارسال رویدادهای امنیتی به Google SecOps را ببینید.
عیب‌یابی
دکمهٔ Turn on recommended خاکستری است
نقش شما نمی‌تواند قاعده‌های تشخیص، پلی‌بوک‌ها یا منبع لاگ را اضافه کند. از یک Project Owner، Project Admin یا Security Admin کمک بخواهید، یا از آن‌ها بخواهید نقش Security Admin را به شما بدهند.
دکمهٔ Turn on recommended نتوانست همه را روشن کند
کارت هر چیزی را که نتوانست روشن کند همراه با دلیلش نام می‌برد: نقش شما، طرح شما، یا مشکلی در سمت Status200. بقیه موارد روشن است. آنچه را کارت نام می‌برد برطرف کنید، سپس روی تلاش دوباره کلیک کنید: فقط آنچه هنوز نیست روشن می‌شود و هیچ چیز دو بار اضافه نمی‌شود.
حملهٔ آزمایشی پرونده‌ای باز نکرد
پرونده معمولاً پیش از پاسخ دکمه باز می‌شود؛ وقتی قاعده هنوز در حال رسیدن است، این را می‌گوید و پرونده ظرف یک دقیقه باز می‌شود. دوباره پرونده‌های امنیتی را ببینید و در Detections بررسی کنید که قاعدهٔ حملهٔ جست‌وجوی فراگیر روشن باشد.
هیچ رویداد امنیتی‌ای از لاگ‌های من نمی‌آید
بررسی کنید که یافتن رویدادهای امنیتی در لاگ‌های شما روشن باشد و لاگ‌های شما نشان دهد آخرین بررسی کی بوده است. تنها گونه‌های خطی که در جدول بالا آمده‌اند به رویداد تبدیل می‌شوند: سروری که هیچ لاگ SSH، sudo، ممیزی، CloudTrail یا دسترسی نمی‌فرستد، چیزی برای یافتن ندارد.
نمای کلی می‌گوید آخرین رویداد امنیتی چند روز پیش رسیده است
از آن زمان چیزی به Security نرسیده است. Connections را باز کنید و بررسی کنید که لاگ‌های شما و هر اتصال هنوز روشن باشند، و هر کدام آخرین بار کی بررسی کرده است.
کارتی که Security را روشن می‌کند ناپدید شده است
کسی آن را با بستن کنار گذاشته است. تا وقتی هنوز چیزی برای تهدیدها پایش نمی‌شود، نمای کلی گزینهٔ راه‌اندازی Security را نشان می‌دهد که کارت را برمی‌گرداند.