Configurar o RBAC de dados para usuários
Esta página descreve como o controle de acesso baseado em função de dados (RBAC de dados) os administradores podem configurar o RBAC de dados nas Operações de segurança do Google. Até a criação e atribuição de escopos de dados, que são definidos por rótulos; você garante que os dados só sejam acessíveis aos usuários autorizados.
O RBAC de dados depende de conceitos do IAM, incluindo papéis predefinidos, papéis personalizados e condições do IAM.
Confira a seguir uma visão geral de alto nível do processo de configuração:
Planeje sua implementação: identifique os diferentes tipos de dados que você quer restringir o acesso do usuário. Identifique as diferentes funções dentro de seu organização e determinar os requisitos de acesso aos dados para cada função.
Opcional: crie rótulos personalizados: crie rótulos personalizados (além dos padrão) para categorizar seus dados.
Criar escopos de dados:defina escopos combinando rótulos relevantes.
Atribuir escopos aos usuários: atribua escopos aos papéis do usuário no IAM com base nas responsabilidades dele.
Antes de começar
Para entender os principais conceitos do controle de acesso baseado em função (RBAC), os diferentes tipos de acesso e as os papéis de usuário correspondentes, o funcionamento dos rótulos e escopos e o impacto o RBAC de dados nos recursos do Google SecOps, consulte Visão geral do RBAC de dados.
Integre sua instância do Google SecOps. Para mais informações, consulte Como integrar ou migrar uma instância do Google Security Operations.
Verifique se você tem os papéis necessários.
Criar e gerenciar rótulos personalizados
Os rótulos personalizados são metadados que podem ser adicionados ao SIEM ingerido Dados de SecOps do Google para categorizar e organizar com base em valores normalizados por UDM.
Por exemplo, considere que você quer monitorar a atividade da rede. Você quer acompanhar os eventos do protocolo de configuração de host dinâmico (DHCP) de um endereço IP específico (10.0.0.1) que você suspeita que esteja comprometido.
Para filtrar e identificar esses eventos específicos, você pode criar um rótulo personalizado com o nome "Atividade DHCP suspeita" com a seguinte definição:
metadata.event\_type = "NETWORK\_DHCP" AND principal.ip = "10.0.0.1"
O rótulo personalizado funciona da seguinte maneira:
O Google SecOps ingere continuamente registros e eventos de rede nos
UDM. Quando um evento DHCP é ingerido, o Google SecOps verifica se ele
corresponde aos critérios do rótulo personalizado. Se o campo metadata.event\_type for
NETWORK\_DHCP e se o campo principal.ip (o endereço IP do dispositivo
solicitando o lease de DHCP) é 10.0.0.1, o Google SecOps aplica o
rótulo personalizado ao evento.
Você pode usar o marcador "Atividade DHCP suspeita" para criar um escopo e atribuir o escopo para os usuários relevantes. A atribuição de escopo permite restringir o acesso a esses eventos para usuários ou papéis específicos na organização.
Requisitos e limitações de rótulos
- Os nomes de rótulos precisam ser exclusivos e podem ter no máximo 63 caracteres. Eles podem conter somente letras minúsculas, caracteres numéricos e hifens. Eles e não poderá ser reutilizada após a exclusão.
- Os rótulos não podem usar listas de referência.
- Os rótulos não podem usar campos de enriquecimento.
Criar marcador personalizado
Para criar um rótulo personalizado, faça o seguinte:
Clique em Configurações > Configurações do SIEM > Acesso a dados.
Na guia Rótulos personalizados, clique em Criar rótulo personalizado.
Na janela Pesquisa de UDM, digite sua consulta e clique em Executar pesquisa.
Você pode refinar a consulta e clicar em Executar pesquisa até que os resultados sejam exibidos os dados que você quer rotular. Para mais informações sobre como executar uma consulta, consulte Digitar uma pesquisa de UDM.
Clique em Criar marcador.
Na janela Criar marcador, selecione Salvar como novo marcador e digite o o nome e a descrição do rótulo.
Clique em Criar marcador.
Um novo rótulo personalizado é criado. Durante a transferência de dados, esse rótulo é aplicado a dados que correspondem à consulta do UDM. O rótulo não é aplicado a dados já ingeridos.
Modificar rótulo personalizado
Só é possível modificar a descrição e a consulta associadas a um rótulo. Não é possível atualizar os nomes dos rótulos. Quando você modifica um rótulo personalizado, as mudanças são aplicadas apenas aos novos dados, e não aos que já foram ingeridos.
Para modificar um rótulo, faça o seguinte:
Clique em Configurações > Configurações do SIEM > Acesso a dados.
Na guia Rótulos personalizados, clique em . Menu no marcador que você quer editar e selecione Editar.
Na janela Pesquisa de UDM, atualize sua consulta e clique em Executar pesquisa.
Você pode refinar a consulta e clicar em Executar pesquisa até que os resultados sejam exibidos os dados que você quer rotular. Para mais informações sobre como executar uma consulta, consulte Digitar uma pesquisa de UDM.
Clique em Salvar alterações.
O rótulo personalizado foi modificado.
Excluir rótulo personalizado
A exclusão de um rótulo impede que novos dados sejam associados a ele. Dados que são já associado ao marcador permanece associado ao marcador. Depois exclusão, não será possível recuperar o rótulo personalizado nem reutilizar o nome dele para criar novos rótulos.
Clique em Configurações > Configurações do SIEM > Acesso a dados.
Na guia Rótulos personalizados, clique em Menu do marcador que você quer excluir e selecione Excluir.
Clique em Excluir.
Na janela de confirmação, clique em Confirmar.
O rótulo personalizado foi excluído.
Ver rótulo personalizado
Para conferir os detalhes de um rótulo personalizado, faça o seguinte:
Clique em Configurações > Configurações do SIEM > Acesso a dados.
Na guia Rótulos personalizados, clique em . Menu no marcador que você quer editar e selecione Ver.
Os detalhes do rótulo são exibidos.
Criar e gerenciar escopos
É possível criar e gerenciar escopos de dados no usuário do Google SecOps e atribua esses escopos a usuários ou grupos pelo IAM. É possível criar um escopo aplicando rótulos que definem os dados que um usuário com o escopo tem acesso.
Criar escopos
Para criar um escopo, faça o seguinte:
Clique em Configurações > Configurações do SIEM > Acesso a dados.
Na guia Escopos, clique em Criar escopo.
Na janela Criar novo escopo, faça o seguinte:
Insira o Nome do escopo e a Descrição.
Em Definir acesso ao escopo com rótulos > Permita o acesso:
Selecionar os rótulos e os valores correspondentes que você quer conceder acesso aos usuários, clique em Permitir determinados marcadores.
Em uma definição de escopo, rótulos do mesmo tipo (por exemplo, tipo de registro) são combinados usando o operador OR, enquanto os rótulos de diferentes tipos (por exemplo, tipo de registro e namespace) são combinados usando o operador E usando um operador lógico. Para mais informações sobre como os rótulos definem o acesso a dados em escopos, consulte Visibilidade de dados com rótulos de permissão e negação.
Para conceder acesso a todos os dados, selecione Permitir acesso a tudo.
Para excluir o acesso a alguns rótulos, selecione Excluir determinados rótulos e, em seguida, selecione o tipo de rótulo e os valores correspondentes que você quer negar aos usuários.
Quando vários rótulos de acesso de negação são aplicados em um escopo, o acesso é negado se corresponderem a qualquer um desses rótulos.
Clique em Testar escopo para verificar como os rótulos são aplicados ao escopo.
Na janela Pesquisa de UDM, digite sua consulta e clique em Executar pesquisa.
Você pode refinar a consulta e clicar em Executar pesquisa até que os resultados sejam exibidos os dados que você quer rotular. Para mais informações sobre como executar uma consulta, consulte Inserir uma pesquisa UDM.
Clique em Criar escopo.
Na janela Criar escopo, confirme o nome e a descrição do escopo e clique em Criar escopo.
O escopo é criado. Você precisa atribuir o escopo aos usuários para dar a eles acesso os dados no escopo.
Modificar escopo
Só é possível modificar a descrição do escopo e os rótulos associados. Os nomes de escopo não podem ser atualizados. Depois de atualizar um escopo, os usuários associados a ele são restritos de acordo com os novos rótulos. As regras vinculadas ao escopo são não corresponderá ao atualizado.
Para modificar um escopo, faça o seguinte:
Clique em Configurações > Configurações do SIEM > Acesso a dados.
Na guia Escopos, clique em . Menu correspondente ao escopo que você quer editar e selecione Editar.
Clique em Editar para editar o escopo. descrição.
Na seção Definir acesso ao escopo com rótulos, atualize os rótulos e os valores correspondentes, conforme necessário.
Clique em Escopo do teste para verificar como os novos rótulos são aplicados ao escopo.
Na janela Pesquisa de UDM, digite sua consulta e clique em Executar pesquisa.
Você pode refinar a consulta e clicar em Executar pesquisa até que os resultados sejam exibidos os dados que você quer rotular. Para mais informações sobre como executar uma consulta, consulte Inserir uma pesquisa UDM.
Clique em Salvar alterações.
O escopo foi modificado.
Excluir escopo
Quando um escopo é excluído, os usuários não têm acesso aos dados associados a escopo. Após a exclusão, o nome do escopo não poderá ser reutilizado para a criação de novos escopos.
Para excluir um escopo, faça o seguinte:
Clique em Configurações > Configurações do SIEM > Acesso a dados.
Na guia Escopos, clique em . Menu no escopo que você quer excluir.
Clique em Excluir.
Na janela de confirmação, clique em Confirmar.
O escopo foi excluído.
Ver escopo
Para conferir os detalhes do escopo, faça o seguinte:
Clique em Configurações > Acesso a dados.
Na guia Escopos, clique em . Menu no escopo que você quer visualizar e selecione Visualizar.
Os detalhes do escopo são exibidos.
Atribuir escopo aos usuários
A atribuição de escopo é necessária para controlar o acesso a dados de usuários com com restrições. A atribuição de escopos específicos aos usuários determina os dados para visualização e interação. Quando um usuário recebe vários escopos, elas obtêm acesso aos dados combinados de todos esses escopos. É possível atribuir escopos apropriados para usuários que precisam de acesso global para que os usuários possam visualizar e interagir com todos os dados. Para atribuir escopos a um usuário, faça o seguinte:
No console do Google Cloud, abra a página IAM.
Selecione o projeto vinculado ao Google SecOps.
Clique em CONCEDER ACESSO.
No campo Novos principais, adicione o identificador principal. da seguinte forma:
principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/USER_EMAIL_ADDRESS
Em Atribuir funções > No menu Selecionar um papel, escolha o papel necessário. Clique em Adicionar outro papel para adicionar vários papéis. Para entender quais funções precisam para adicionar, consulte Funções do usuário.
Para atribuir um escopo ao usuário, adicione condições à página do Chronicle Restricted Papel de acesso a dados atribuído ao usuário (não se aplica a acesso global funções de segurança.
Clique em Adicionar condição do IAM na Chronicle Restricted Data Access. A janela Adicionar condição será exibida.
Insira o título da condição e a descrição opcional.
Adicione a expressão de condição.
É possível adicionar uma expressão de condição usando o Criador de condições ou o Editor de condições.
O criador de condições fornece uma interface interativa para selecionar tipo de condição, operador e outros detalhes aplicáveis sobre a expressão. Adicione as condições de acordo com suas necessidades usando os operadores OR. Para adicionar escopos para o papel, recomendamos o seguinte:
Selecione Nome em Tipo de condição e Termina com em Operador. e digite
/<scopename>em Valor.Para atribuir vários escopos, adicione mais condições usando o operador OR. É possível adicionar até 12 condições para cada vinculação de papel. Para adicionar mais de 12 criar várias vinculações de papéis e adicionar até 12 condições cada uma dessas vinculações.
Para mais informações sobre condições, consulte Visão geral das condições do IAM.
Clique em Salvar.
O editor de condições fornece uma interface baseada em texto para inserir manualmente uma expressão usando a sintaxe CEL.
Digite a seguinte expressão:
(scope-name: resource.name.endsWith(/SCOPENAME1) || resource.name.endsWith(/SCOPENAME2) || … || resource.name.endsWith(/SCOPENAME))
Clique em Executar linter para validar a sintaxe CEL.
Clique em Salvar.
Observação: as vinculações de papéis condicionais não substituem as vinculações de papéis pelas condições Se um participante estiver vinculado a um papel e a vinculação de papel não tiver uma condição, o participante sempre terá esse papel. Adicionando o principal a uma vinculação condicional para o mesmo papel não tem efeito.
Clique em Testar alterações para ver como suas alterações afetam o acesso do usuário aos os dados.
Clique em Salvar.
Agora os usuários podem acessar os dados associados aos escopos.