בדיקה של קבצים חשודים וטיפול בהם

ב-Evidence Locker, קבצים חשודים או רגישים נשמרים בקטגוריה של Google Cloud Storage ‏ (GCS). כדי ליצור קטגוריה, צריך לבצע את השלבים הבאים. מומלץ להכיר קצת את Google Cloud Storage.

טיפ: כלל למניעת אובדן נתונים בענן (DLP) ב-Google Cloud שהוא מקל מדי יכול לגרום לשמירה של הרבה קבצים בקטגוריה, וכתוצאה מכך לעלויות אחסון גבוהות. ליצור כללים ששומרים רק קבצים חשודים מאוד.

1. יוצרים פרויקט בענן ב-Google Cloud. הוראות מפורטות זמינות במאמר יצירה וניהול של פרויקטים.
   • לחשבון השירות ולמשתמש ב-Google Cloud צריכות להיות הרשאות אדמין ב-Storage בפרויקט בענן של Google שמכיל את הקטגוריה. הקצאת תפקידים ברמת הפרויקט, ברמת הקטגוריה או ברמת התיקייה המנוהלת.
2. מפעילים את Cloud Resource Manager API בפרויקט:
   • Cloud Resource Manager API מאפשר לנהל באופן פרוגרמטי משאבי קונטיינרים, כמו ארגונים ופרויקטים, ב-Google Cloud.
   • נכנסים ל-Cloud Resource Manager API של project_number.
3. יצירת קטגוריה עם מפתח הצפנה בניהול הלקוח (CMEK).
   • מפעילים את KMS API. שימוש במפתחות הצפנה בניהול הלקוח
   • (אופציונלי) כדי ליצור אוסף מפתחות ומפתח CMEK, עוברים אל Security > Key Management > Create Keyring.
   • יוצרים קטגוריה ב-Cloud Storage > Buckets. יצירת קטגוריות
     • הקטגוריה ב-GCS צריכה להיות בבעלות הארגון שלכם ובאותו דומיין.
     • מפתח ה-CMEK צריך להיות באותו אזור שבו נמצאת הקטגוריה. מידע נוסף
   • (אופציונלי אבל מומלץ): מגדירים זמן חיים (TTL) לקבצים. לדוגמה, למחוק אותן באופן אוטומטי אחרי 30 ימים.

1. במסוף Google Admin, נכנסים לתפריט אפליקציות שירותי Google נוספים.

   לקטע "שירותי Google נוספים"

   כדי לעשות את זה צריך הרשאות אדמין להגדרות השירות.

2. לוחצים על שירותי האבטחה של Chrome Enterprise.
3. לוחצים על מופעל לכולם או על מושבת לכולם, ואז לוחצים על שמירה.
4. (אופציונלי) אם רוצים להפעיל או להשבית שירות ביחידה ארגונית:
   1. בצד ימין, בוחרים את היחידה הארגונית.
   2. כדי לשנות את סטטוס השירות, לוחצים על מופעל או מושבת.
   3. בוחרים אחת מהאפשרויות הבאות:
      • אם ההגדרה של סטטוס השירות היא עבר בירושה ואתם רוצים שהבחירה שלכם תישמר גם אם ההגדרה הראשית תשתנה, לחצו על שינוי מברירת המחדל.
      • אם ההגדרה של סטטוס השירות היא בוטל ואתם רוצים לחזור לערך של ההגדרה הראשית, לחצו על קבלה בירושה. אם אתם רוצים שהבחירה שלכם תישמר גם אם ההגדרה הראשית תשתנה, לחצו על שמירה.

        מידע נוסף על מבנים ארגוניים

5. לוחצים על הגדרות של Evidence Locker.
6. לוחצים על צריך להזין את שם הקטגוריה של Google Cloud Storage.
7. אם אין לכם חשבון שירות, לוחצים על יצירת חשבון שירות. כדי להמשיך, צריך חשבון שירות.
8. מוסיפים את חשבון השירות לקטגוריה של Google Cloud Storage‏ (GCS).
   חשוב: לחשבון השירות צריכות להיות הרשאות אדמין של Storage בפרויקט ב-GCP שמכיל את הקטגוריה. איך יוצרים קטגוריה של Cloud Storage ב-Google Cloud Storage
   1. במסוף Google Cloud, נכנסים לתפריט "ניהול זהויות והרשאות גישה (IAM)" "ניהול משאבים".
   2. עוברים לפרויקט ב-GCS שמכיל את הקטגוריה.
   3. לוחצים על הכרטיסייה Permissions (הרשאות).
   4. בוחרים את חשבון השירות של Evidence Locker.
   5. לוחצים על הענקת גישה.
   6. בשדה New principle (חשבון משתמש חדש), מזינים את חשבון השירות שיצרתם.
   7. בשדה Role, בוחרים באפשרות Storage Admin.
   8. (אופציונלי): משתמשים שאין להם הרשאת סופר-אדמין צריכים גם הרשאות אדמין של Storage בפרויקט ב-GCP שמכיל את הקטגוריה. ההרשאה הזו נדרשת כדי לבחור קטגוריה ב-GCS מהפרויקט.
   9. לוחצים על שמירה.
9. בהגדרות של Evidence Locker במסוף Admin ב-Google Workspace, מזינים את שם הקטגוריה ב-Google Cloud.
10. (אופציונלי) כדי לשמור עותקים של קבצים שסומנו כתוכנות זדוניות ב-Evidence Locker, בוחרים באפשרות שמירת תוכן שמכיל תוכנות זדוניות ב-Evidence Locker.
11. לוחצים על שמירה.

1. במסוף Google Admin, נכנסים לתפריט אפליקציות שירותי Google נוספים.

   לקטע "שירותי Google נוספים"

   כדי לעשות את זה צריך הרשאות אדמין להגדרות השירות.

2. לוחצים על שירותי האבטחה של Chrome Enterprise.
3. לוחצים על הגדרות של Evidence Locker.
4. לוחצים על ומחכים שחשבון השירות של הארגון יופיע.
5. מתחת לשדה של שם הקטגוריה, בוחרים באפשרות שמירת תוכן שמכיל תוכנות זדוניות ב-Evidence Locker.

אתם יכולים להעתיק קבצים לקטגוריה של Evidence Locker כשיש הפרה של כלל הגנה על נתונים. רק קבצים שהופעלו על ידי הפעולות הבאות מועתקים:

• הקובץ הועלה
• הקובץ הורד
• הדפסה

תוכן שמסומן באמצעות "הדבקת תוכן" לא מועתק ל-Evidence Locker.

1. במסוף Google Admin, נכנסים לתפריט כללים.

   כניסה לדף Rules

   כדי לעשות את זה, צריך הרשאות אדמין לצפייה בכללי ההרשאות.

2. בתפריט הנפתח, בוחרים באפשרות הגנה על נתונים.
3. מקלידים שם ותיאור לכלל.
4. בקטע "היקף ההרשאות", בוחרים את היחידות הארגוניות או הקבוצות שהכלל יחול עליהן.
   הערה: אם בוחרים בהיקף של קבוצה, רק הקבוצות שנוצרו על ידי אדמינים במסוף Google Admin נתמכות.
5. בקטע "אפליקציות", בוחרים את האפשרויות של Chrome: הקובץ הועלה, הקובץ הורד ו/או התוכן הודפס.
6. בקטע "פעולות", מתחת ל-Evidence Locker, בוחרים באפשרות שמירת תוכן ב-Evidence Locker שהועלה, ירד או הודפס וזוהה על ידי הכלל הזה.

מידע נוסף זמין במאמר יצירת כללים להגנה על נתונים.

1. במסוף Google Admin, נכנסים לתפריט אבטחה מרכז האבטחה כלי חקירה.

   לכלי החקירה

   כדי לעשות את זה צריך הרשאות אדמין למרכז האבטחה.

   נדרשות הרשאות האדמין הספציפיות הבאות למרכז האבטחה. הרשאות אדמין בכלי לחקירת אבטחה

   • כדי להוריד קבצים חשודים ולנהל אותם:
     ניהול > Chrome
   • כדי לראות את התוכן של קבצים חשודים:
     הצגת תוכן רגיש > Chrome
2. לוחצים על מקור נתונים ובוחרים באפשרות אירועים ביומן של Chrome.
3. מאתרים את הרשומות של החיפוש וגוללים שמאלה.
4. בעמודה נתיב הקובץ ב-Evidence Locker, לוחצים על הקישור לקובץ השמור.
   פרטי הקובץ מוצגים בחלונית הצדדית. לדוגמה, השם המקורי של הקובץ והנתיב שלו בקטגוריה של Google Cloud Storage.
5. בתחתית המסך, לוחצים על הורדת הקובץ.

קובץ ה-ZIP שהורדתם מוגן בסיסמה. הסיסמה היא "protected" והיא זהה לכל הקבצים.

1. במסוף Google Admin, נכנסים לתפריט אבטחה מרכז האבטחה כלי חקירה.

   לכלי החקירה

   כדי לעשות את זה צריך הרשאות אדמין למרכז האבטחה.

2. לוחצים על מקור נתונים ובוחרים באפשרות אירועים של רישום כללים. לוחצים על חיפוש.
3. מאתרים את השורה הפעולה הושלמה עם הכלל הרצוי וגוללים שמאלה כדי למצוא את העמודה נתיב הקובץ בכספת הראיות.
4. זה הנתיב שבו הקובץ מאוחסן. כדי לראות פעולות נוספות, לוחצים על סמל האפשרויות הנוספות .