Google Security Operations הוסיפה ל־SOAR אפשרות לתייג פעילויות בודדות בתוך ה־Case Wall ולסנן את ציר הזמן לפיהן. במקום להסתפק בתגית כללית על האירוע או ההתראה, צוות SOC יכול כעת לסמן בנפרד הערה, משימה, פעולה ידנית או אוטומטית וממצא פורנזי.
היכולת פורסמה בעדכוני Google SecOps של 5 בנובמבר 2026. היא נראית קטנה, אך מטפלת בבעיה יומיומית: בתיק חקירה ארוך מצטברות עשרות ולעיתים מאות פעילויות, והאנליסט צריך לאתר במהירות מה רלוונטי לצוות שלו, מה כבר אומת ומה עדיין דורש פעולה.
מהו Case Wall?
ה־Case Wall הוא היומן הכרונולוגי של תיק החקירה ב־Google SecOps SOAR. הוא מרכז אירועים ופעולות מרגע פתיחת התיק ועד לסגירתו: משימות, הערות משתמשים, הודעות מוצמדות, פעולות ידניות ופעולות Playbook, שינויים בסטטוס, קבצים, תובנות ומידע על ההתראות המשויכות.
עד כה ניתן היה לסנן לפי סוגי תוכן ולסמן פריטים כמועדפים. התיוג החדש מוסיף שכבה סמנטית שהארגון עצמו מגדיר. אותה פעולה יכולה לקבל תגית שמציינת למשל Forensics, Containment, Legal, Tier-2 או Customer-Update, ולאחר מכן להופיע בתצוגה מסוננת.
למה זה שונה מתגית על התיק?
תגית ברמת התיק מתארת את האירוע כולו. תגית ברמת הפעילות מתארת פריט מסוים בתוך הרצף. ההבחנה הזו מאפשרת לשמור תיק אחד משותף למספר צוותים, בלי ליצור עותקים נפרדים ובלי לאלץ כל צוות לעבור על כל ציר הזמן.
Google מציגה תרחיש שבו כמה צוותי SOC עובדים על אותו אירוע: כל צוות מתייג את הפעולות, ההערות או הממצאים שרלוונטיים לו, ואז מסנן את ה־Case Wall כדי לראות רק אותם. אפשר לסנן לפי תגית אחת או יותר וכך לבודד תצפיות פורנזיות, העברות אחריות וצעדי תיקון.
דוגמאות שימוש מעשיות
- הפרדה בין חקירה לתגובה: תגיות
Investigationו־Remediationמאפשרות להציג בנפרד ראיות וצעדים שבוצעו. - העברה בין משמרות: תגית
Handoffמסמנת את הפריטים שהמשמרת הבאה חייבת לקרוא. - תיעוד רגולטורי: תגיות
PrivacyאוLegalמרכזות פעילויות שדורשות בדיקת DPO או יועץ משפטי. - מעקב אחר Playbook: תגית
Automation-Failedיכולה לרכז פעולות אוטומטיות שנכשלו ודורשות טיפול ידני. - תקשורת עם לקוח: תגית
Customer-Updateמסייעת לבנות סיכום מדויק בלי לחשוף את כל פרטי החקירה.
גם דרך API
בתיעוד ה־Chronicle API מופיעות פעולות להוספת תגיות ל־Case Wall Record, להסרתן ולשאילת רשימת התגיות הזמינות. משאב הפעילות מחזיק מערך של תגיות, ולכל תגית מזהה ושם תצוגה. המשמעות היא שניתן לשלב את מנגנון התיוג ב־Playbooks, באינטגרציות ובתהליכי דיווח — ולא רק להשתמש בו ידנית דרך הממשק.
עם זאת, ממשק ה־API הרלוונטי מתועד תחת v1alpha, ולכן צוותים שמפתחים עליו אוטומציה צריכים להתייחס לשינויים אפשריים ולבדוק תאימות לפני פריסה רחבה.
איך להטמיע בלי ליצור כאוס חדש
- להגדיר מילון תגיות קצר ואחיד במקום לאפשר לכל אנליסט להמציא שמות דומים.
- להפריד בין תגיות של צוות, של שלב תגובה ושל דרישת ציות.
- לקבוע אילו תגיות חובה לפני סגירת תיק, למשל
Root-Causeו־Lessons-Learned. - לשלב תגיות ב־Playbooks רק לאחר שנבדקה המשמעות שלהן בממשק ובדוחות.
- לבדוק אחת לרבעון תגיות כפולות, לא בשימוש או בעלות משמעות לא ברורה.
לצוות SOC קטן השיפור יכול לקצר זמן חיפוש. בארגון גדול הוא עשוי לשפר גם הפרדת אחריות, ביקורת ותיעוד אירועים. הערך יגיע לא מעצם קיום התגיות, אלא ממשמעת שמות ותהליך עבודה עקבי.
