Gå til innhold
Dokumentasjon
Kom i gang med sikkerhet

Kom i gang med sikkerhet

Vis som Markdown

Status200 finner trusler i data du allerede har - loggene dine, sikkerhetsverktøyene du bruker og alt du sender det -, samler funnene i saker og svarer med playbooks. To klikk setter det opp, og det er ingenting å installere.

Sett det oppSlå på det de fleste team trenger, og se et testangrep åpne en sak.Slik fungerer detKilder, deteksjoner, saker og playbooks, og hva hver av dem gjør.Loggene dineSikkerhetshendelsene som allerede ligger i loggene du sender til Status200.SIEM-et dittSend det Status200 finner til Google SecOps.

Før du begynner

Det kreves rollen Project Owner, Project Admin eller Security Admin for å sette opp sikkerhet. Rollene Security Member og Security Viewer leser det som blir funnet; se Roller.

Sett det opp

  1. Slå på det de fleste team trenger

    Åpne Produkter → Security Events. Klikk på Slå på anbefalt på Oversikt. Det slår på tre ting samtidig: Finn sikkerhetshendelser i loggene dine, de anbefalte deteksjonsreglene og Enrich New Cases, en playbook som sjekker hver nye sak mot trusseletterretning og legger igjen en sjekkliste for triage på den.

  2. Send et testangrep

    Klikk på Send et testangrep. Et dusin mislykkede pålogginger fra én dokumentasjonsadresse går gjennom den virkelige behandlingen: De lagres, brute force-regelen fanger dem, og en sak åpnes. Ingen blir varslet, og ingen SIEM mottar dem.

  3. Åpne saken

    Klikk på Åpne saken. Slik ser et ekte funn ut: hendelsene bak det, adressen det gjelder, og hva Enrich New Cases fant. Lukk den som en test når du er ferdig.

Deretter åpner Oversikt på det som trenger noen, under Krever oppmerksomhet: de åpne sakene dine, de ingen har tatt, og playbook-trinnene som venter på en godkjenning. Når det ikke er noen, står det Alt er rolig.

Slik fungerer det

flowchart LR sources["Kilder: loggene<br/>dine og sikkerhets-<br/>verktøyene dine"] --> rules["Deteksjoner:<br/>regler og<br/>trusseletterretning"] rules --> cases["Sikkerhets-<br/>saker"] cases --> playbooks["Playbooks"] rules --> siem["SIEM-et ditt"]

Fra dataene dine til en sak

DelHvorHva den gjør
KilderConnectionsLoggene dine, sikkerhetsproduktene Status200 henter fra, og alt du sender
DetectionsDetectionsSigma-regler og feeder med trusseletterretning som ser etter trusler i hver hendelse
SikkerhetssakerSikkerhetssakerDet som ble funnet, gruppert etter brukeren, verten eller adressen det gjelder
PlaybooksPlaybooksTrinn som kjører på nye saker: beriker dem, varsler, åpner en hendelse eller demmer inn

Øverst på Oversikt, under det som trenger noen, viser hver del tallene sine: kildene og hendelsene deres de siste 24 timene, reglene som er slått på, de åpne sakene og playbookene som svarer. En del som ikke er satt opp, sier det og åpner siden der du setter den opp.

Finn sikkerhetshendelser i loggene dine

Kortet Loggene dine, øverst på Connections, trenger ingen installasjon. Med Finn sikkerhetshendelser i loggene dine slått på leser Status200 prosjektets nye logger hvert minutt og gjør linjene det kjenner igjen til sikkerhetshendelser:

LoggerHva som blir en sikkerhetshendelse
SSH-påloggingerMislykkede og vellykkede SSH-pålogginger fra en servers auth-logg, journal eller syslog
sudoKommandoer kjørt som en annen bruker, feil sudo-passord og personer som ikke får bruke sudo
Kubernetes-revisjonsloggerEndringer i klyngen, skall åpnet i pods, leste hemmeligheter og avviste forespørsler
AWS CloudTrailPålogginger til konsollen, endringer i AWS-kontoene dine og kall som AWS avviste
WebangrepForespørsler i en webservers tilgangslogg som prøver SQL-injeksjon, path traversal eller Log4Shell

Loggene dine forblir som de er. Bare linjene som betyr noe for sikkerheten, blir hendelser: aldri hver side en webserver har levert, eller hver lesing av et API.

Send det Status200 finner til SIEM-et ditt

Jobber teamet ditt allerede i et SIEM, sender Status200 funnene sine dit også. Klikk på Legg til mål under Connections → Send til SIEM-et ditt, fyll inn region, instans og tjenestekontonøkkel for Google SecOps-instansen din, og klikk på Send en testhendelse før du lagrer. Se Send sikkerhetshendelser til Google SecOps.

Feilsøking

Turn on recommended er nedtonet

Rollen din kan ikke legge til deteksjonsregler, playbooks eller loggkilden. Spør en Project Owner, en Project Admin eller en Security Admin, eller be dem gi deg rollen Security Admin.

Turn on recommended kunne ikke slå på alt

Kortet nevner alt det ikke kunne slå på, og hvorfor: rollen din, planen din eller en feil hos Status200. Alt annet er slått på. Rett det kortet nevner, og klikk deretter på Prøv igjen: bare det som fortsatt mangler, slås på, og ingenting legges til to ganger.

Testangrepet åpnet ingen sak

Saken åpnes som regel før knappen svarer; når regelen fortsatt henger etter, sier den fra, og saken åpnes innen et minutt. Se under Sikkerhetssaker igjen, og sjekk under Detections at brute force-regelen er slått på.

Det kommer ingen sikkerhetshendelse fra loggene mine

Sjekk at Finn sikkerhetshendelser i loggene dine er slått på, og at kortet Loggene dine viser når det sist ble sjekket. Bare typene linjer i tabellen over blir hendelser: En server som ikke sender SSH-, sudo-, revisjons-, CloudTrail- eller tilgangslogger, har ingenting å finne.

Oversikt sier at den siste sikkerhetshendelsen kom for dager siden

Ingenting har nådd Security siden da. Åpne Connections, og sjekk at Loggene dine og hver tilkobling fortsatt er slått på, og når hver sist sjekket.

Kortet som slår på Security, er borte

Noen lukket det med Lukk. Så lenge ingenting overvåkes for trusler ennå, tilbyr Oversikt Sett opp Security, som henter det tilbake.

Neste steg

Sikkerhetshendelser (SIEM)Send hendelser, søk i dem og skriv deteksjonsregler.Sikkerhetssaker og playbooks (SOAR)Behandle sakene og svare med playbooks.Trusseletterretning (STIX/TAXII)Sammenlign hendelsene dine med kjente ondsinnede indikatorer.Google SecOpsHent inn deteksjoner fra Google SecOps, og send det Status200 finner dit.