كتم قصص XOps

تتناول هذه المقالة كيفية إنشاء قاعدة تكتم القصص XOps بحيث لا تظهر في منصة قصص الأحداث.

التعيين

تقوم محركات الترابط XOps (المنتجين) بتحليل بيانات الحركة للعثور على تطابقات لتهديدات محتملة أو تدهور في الشبكة. إذا تم تحديد تطابق، يتم توليد قصة في قصص العمل لمساعدتك في فهم وتحليل المشكلة. إذا كنت لا ترغب في إنشاء قصة، يمكنك تكوين قاعدة كتم القصص. يقلل هذا من تكوين قصص الإيجابيات الكاذبة ويساعدك على التركيز في تحليلك على التهديدات الحقيقية المحتملة أو مشكلات الشبكة. يمكن كتم القصص لفترة محددة أو غير محدودة

تدعم قواعد كتم القصص بشكل كامل القصص التي تم إنشاؤها بواسطة المنتجين مثل:

• شذوذ الاستخدام

• تنبيه نقطة نهاية Cato

• مدافع Microsoft لـ التطبيقات السحابية

• الوقاية من التهديدات

• بحث التهديدات

• عمليات الحساب

• عمليات الموقع

• تنبيه Entra ID

• Wiz

• أمان SaaS

• شبكات Cato

• تنبيه نقطة النهاية لـ Microsoft

• تنبيهات DSPM

• أمان البريد الإلكتروني لـ Microsoft

• بصيرة تنبؤية

• Google Applications

يمكنك رؤية القائمة الكاملة للمنتجين في سياسة الاكتشاف والاستجابة > علامة تبويب كتم القصص. بالنسبة لأنواع القصص الأخرى، يمكنك إنشاء قواعد كتم القصص استنادًا إلى مجموعة محدودة من الشروط.

لكتم القصة، يجب أن يكون هناك تطابق دقيق أو أن تحتوي على المسندات المدخلة في قاعدة كتم القصص. على سبيل المثال، إذا كانت القاعدة تحتوي على 3 نطاقات ولكن هناك 2 فقط في القصة، فإن القصة تُكتم. إذا كانت القاعدة تحتوي على 2 نطاقين والقصة تحتوي على 3، فإنها لا يتم كتمها. القصص المكتومة لا تُولد افتراضيًا؛ ومع ذلك، يمكن تجاوز ذلك عن طريق اختيارها كشرط.

ملاحظة: يمكن لعملاء MDR إنشاء وتحرير قواعد كتم القصص لمحرك عمليات الموقع. إذا كنت ترغب في تحديد قصص صامتة لمحركات أخرى، يرجى الاتصال بـ mdr@catonetworks.com.

المتطلبات السابقة

• يتطلب ترخيص XOps

كتم قصص الوقاية من التهديدات وبحث التهديدات

يمكنك تعريف حركة المرور من مصدر موثوق به والذي يتم استبعاده بعد ذلك من قصة. على سبيل المثال، تُنشأ قصص XOps للكشف عن محاولات الفحص المحتملة، ولكن المصدر معروف بأنها اختبارات اختراق مؤمنة. 

بالنسبة لقصص الوقاية من التهديدات وبحث التهديدات، تُنشأ قصة دائمًا حتى عندما تكون مكتومة. الكتم يطبق علم الكتم على القصة، مما يضمن استبعادها من التقارير وإخفائها من ورشة العمل القصصية عندما يتم تطبيق مرشحات الوقاية من التهديدات أو بحث التهديدات. القصص المكتومة أيضًا لا تُشغّل التحذيرات افتراضيًا وفقًا لسياسة الرد.

هناك طريقتان لإضافة قواعد كتم القصص لقصص منع التهديدات ومطاردة التهديدات:

• إنشاء قاعدة في صفحة الكشف والاستجابة

• إنشاء قاعدة من قصة في منصة قصص الأحداث. هذه الطريقة مفيدة عندما تلاحظ حركة مرور معينة في قصة تعلم أنها غير ضارة

كتم قصص الشذوذ في استخدام UEBA وحدث الشذوذ

هناك طريقتان لإضافة قواعد كتم القصص لقصص شذوذ الاستخدام و الشذوذ في الأحداث:

• إنشاء قاعدة في صفحة الكشف والاستجابة

• إنشاء قاعدة من قصة في منصة قصص الأحداث. هذه الطريقة مفيدة عندما تلاحظ حركة مرور معينة في قصة تعلم أنها غير ضارة

تصف الأقسام التالية إعدادات مفيدة متاحة لقواعد كتم قصص شذوذ الاستخدام والشذوذ في الأحداث.

فهم إعدادات كتم القصص لشذوذ الاستخدام

يقوم محرك شذوذ الاستخدام XOps بتحديد الشذوذ المتعلق بالاستخدام غير المعتاد في التطبيقات، ويُنشئ قصة عند الكشف عن شذوذ. تتيح لك سياسة كتم القصص تكوين قاعدة لقصة شذوذ الاستخدام عن طريق تحديد التطبيقات أو فئات التطبيقات لمحركات XOps للاستبعاد. على سبيل المثال، إذا كنت تعلم أن مستخدمًا معينًا يرفع كميات غير عادية من البيانات على OneDrive كجزء من متطلبات عمله، فقم بإنشاء قاعدة تم تكوينها بالمستخدم المحدد كـ مصدر وOneDrive كـ تطبيق.

يمكن أن يتضمن قصة شذوذ الاستخدام أكثر من تطبيق واحد. في هذه الحالة، يشير تطبيق المكون إلى التطبيق الأعلى في القصة. على سبيل المثال، إذا قمت بتكوين تطبيق كـ OneDrive، فهذا يعني أنه إذا كان التطبيق الأعلى في قصة شذوذ الاستخدام هو OneDrive، فلن يقوم محرك XOps بتوليد القصة. ومع ذلك، إذا كان التطبيق الأعلى هو تطبيق مختلف مثل Dropbox و OneDrive لديه الاستخدام الثاني الأعلى، فستظل القصة تُنشأ.

فهم إعدادات كتم القصص لقصص شذوذ الأحداث

يقوم محرك شذوذ XOps بالكشف عن الشذوذات التي تتضمن كيانًا على الشبكة يقوم بتفعيل عدد غير معتاد من الأحداث الأمنية، ويُنشئ قصة عند الكشف عن شذوذ. تتيح لك سياسة كتم القصص تكوين قاعدة لقصة شذوذ الأحداث عن طريق تحديد أنواع الأحداث لمحركات XOps للاستبعاد. يمكنك بعد ذلك تحديد استبعاد الأحداث التي تم إنشاؤها بواسطة قواعد معينة أو تهديدات IPS فقط.

على سبيل المثال، إذا كان المستخدم يُنشئ عددًا كبيرًا بشكل غير عادي من أحداث جدار الحماية WAN أثناء أداء نشاط معروف وغير ضار، فقم بإنشاء قاعدة مضبوطة بالمستخدم كـ مصدر وجدار الحماية WAN كنوع حدث مقياس شذوذ الأحداث. ثم حدد القاعدة ضمن قاعدة جدار الحماية WAN.

كتم قصص عمليات الموقع

يمكنك كتم القصص التي تم إنشاؤها بواسطة مشكلات الشبكة المحددة. على سبيل المثال، إذا كنت تعرف أن مزود خدمة الإنترنت المحلي لديه انقطاع مخطط له، يمكنك كتم القصص التي تُنشأ بواسطة إشارات انقطاع الموقع للفترة الزمنية للانقطاع.

بالنسبة لقصص عمليات الموقع، يتم إنشاء قصة دائمًا حتى لو كانت مكتومة. يطبق الكتم علم الكتم على القصة، مما يضمن استبعادها من التقارير وإخفائها عن واجهة قصص العمل عند تطبيق فلتر عمليات الشبكة. القصص المكتومة لا تقوم أيضًا بإرسال تنبيهات بشكل افتراضي وفقًا لسياسة الاستجابة. لعملاء ILMM فقط، يتم كتم هذه الأنواع من القصص بشكل افتراضي عندما لم يتم تسجيل روابط الموقع إلى الخدمة:

• الموقع متوقف

• الرابط متوقف

• رابط WAN البديل متوقف

• جودة SLA

يمكنك تحديد ما إذا تم كتم قصة في العمود كتم في الجدول الزمني للحوادث الخاصة بالقصة.

يمكنك إضافة قواعد كتم القصص لقصص عمليات الموقع عن طريق إنشاء قاعدة في صفحة الكشف والاستجابة.

كتم أنواع القصة الأخرى

يمكنك كتم أنواع قصص XOps الأخرى التي لم يتم وصفها في الأقسام أعلاه. يتضمن ذلك القصص التي يتم إنتاجها بواسطة منتج الحوادث العامة، مثل تلك التي تعتمد على Cyera وSentra للتكامل، وكذلك القصص التي يتم إنشاؤها باستخدام موصلات أخرى لتكامل الطرف الثالث، مثل موصل Microsoft Defender for Endpoint.

بالنسبة لهذه الأنواع من القصص، فإن قواعد كتم القصص تدعم فقط الحقول منتج ورقم الإشارة كمطابقة للشروط. هذا يسمح لك بكتم القصص من منتج محدد، أو كتم القصص المنتجة لإشارة معينة. الظروف الأخرى للقواعد غير مدعومة.

عناصر قاعدة كتم القصص في التحري والاستجابة

يوضح الجدول التالي العناصر التي يمكنك استخدامها لتعريف إعدادات قاعدة كتم القصص في التحري والاستجابة. عند تكوين عناصر متعددة في إعداد، هناك علاقة OR بينها. على سبيل المثال، إذا كانت هناك قاعدة مكونة تشمل مصادر بما في ذلك موقع ومستخدم، يتم تطبيق القاعدة عندما تتطابق الحركة مع الموقع أو المستخدم.

بالإضافة إلى الإعدادات المذكورة أعلاه، يتم عرض المعلومات التالية لكل قاعدة كتم القصص:

• المؤلف - اسم المستخدم الذي أنشأ القاعدة.

• تم الإنشاء في - تاريخ إنشاء القاعدة.

عرض قاعدة كتم قصص الكشف والاستجابة

لعرض قاعدة كتم قصص الكشف والاستجابة:

1. من قائمة التنقل، انقر على الصفحة الرئيسية > سياسة الكشف والرد.

إنشاء قاعدة كتم القصص في صفحة الكشف والاستجابة

أضف قاعدة كتم قصص جديدة وقم بتكوين الإعدادات التي تحدد الحركة المرورية التي يتم إهمالها بواسطة محركات الكشف والاستجابة.

لإنشاء قاعدة كتم قصص الكشف والاستجابة:

1. من قائمة التنقل، انقر على الصفحة الرئيسية > سياسة الكشف والرد.

2. حدد علامة التبويب كتم القصص.

3. اضغط على جديد. يفتح لوحة إضافة إلى كتم القصص.

4. قم بتكوين الإعدادات للقاعدة كما هو موضح أعلاه.

5. اضغط على حفظ. تمت إضافة القاعدة إلى قاعدة كتم القصص.

إنشاء قاعدة كتم القصص من قصة

عرض تحليل القصة في ورشة القصص واستخدام لوحة إجراءات القصة لإنشاء قاعدة كتم القصص.

يتم ملء الإعدادات التالية تلقائيًا بناءً على البيانات من القصة:

• اتجاه

• مصدر

  • إذا احتوت القصة على أنواع متعددة من البيانات للمصدر، يتم إضافتها جميعًا في الإعداد المصدر. على سبيل المثال، إذا حددت القصة IP و موقع للمصدر، فسيتم ملء كلاهما تلقائيًا في قسم المصدر للقاعدة.

• الوجهة - يتم ملئها تلقائيًا بناءً على الأهداف من القصة

  • إذا حددت القصة أهدافًا متعددة كأهداف، يتم إضافتها جميعًا في إعداد الوجهة

لإنشاء قاعدة كتم القصص من قصة:

1. من قائمة التنقل، انقر على الرئيسية > منصة العمل للروايات.

2. اضغط على القصة لفتح صفحة التحليل العميق للقصة.

3. انقر فوق لفتح لوحة إجراءات القصة.

4. اضغط على إضافة إلى كتم القصص الجديدة. يفتح لوحة إضافة إلى قاعدة كتم القصص الجديدة.

   

5. قم بتكوين الإعدادات للقاعدة كما هو موضح أعلاه.

6. انقر حفظ. تمت إضافة القاعدة إلى قاعدة كتم القصص.

7. لعرض قاعدة كتم قصص الكشف والاستجابة، من قائمة التنقل، اضغط على الصفحة الرئيسية > سياسة الكشف والاستجابة.