Como integrar ou migrar uma instância do Google Security Operations

O Google Security Operations se vincula a um projeto do Google Cloud fornecido pelo cliente para uma integração mais próxima com os serviços do Google Cloud, como o Identity and Access Management, o Cloud Monitoring e os Registros de auditoria do Cloud. Os clientes podem usar o IAM e a federação de identidade de colaboradores para fazer a autenticação usando o provedor de identidade atual deles.

Os documentos a seguir orientam você no processo de integração de uma nova instância do Google Security Operations ou da migração de uma instância existente.

Funções exigidas

As seções a seguir descrevem as permissões necessárias para cada fase do processo de integração, mencionada na seção anterior.

Configurar um projeto do Google Cloud para o Google Security Operations

Para concluir as etapas em Configurar um projeto do Google Cloud para o Google Security Operations, você precisa das seguintes permissões do IAM.

Se você tiver a permissão Criador de projetos (resourcemanager.projects.create) no nível da organização, nenhuma outra permissão será necessária para criar um projeto e ativar a API Chronicle.

Se você não tiver essa permissão, serão necessárias as seguintes permissões no nível do projeto:

Configurar um provedor de identidade

É possível usar o Cloud Identity, o Google Workspace ou um provedor de identidade de terceiros (como o Okta ou o Azure AD) para gerenciar usuários, grupos e autenticação.

Permissões para configurar o Cloud Identity ou o Google Workspace

Se você estiver usando o Cloud Identity, precisará ter os papéis e as permissões descritos em Gerenciar o acesso a projetos, pastas e organizações.

Se você estiver usando o Google Workspace, é necessário ter uma conta de administrador do Cloud Identity e conseguir fazer login no Admin Console.

Consulte Configurar o provedor de identidade do Google Cloud para mais informações sobre como usar o Cloud Identity ou o Google Workspace como provedor.

Permissões para configurar um provedor de identidade de terceiros

Se você usar um provedor de identidade de terceiros, vai configurar a federação de identidade de colaboradores e um pool de identidades de colaboradores.

Para concluir as etapas em Configurar um provedor de identidade terceirizado para as Operações de segurança do Google, você precisa das seguintes permissões do IAM.

  • Permissões de editor do projeto para o projeto vinculado às Operações de segurança do Google que você criou anteriormente.

  • Permissão de Administrador de pool de força de trabalho do IAM (roles/iam.workforcePoolAdmin) no nível da organização.

    Use o seguinte comando como exemplo para definir o papel roles/iam.workforcePoolAdmin:

    gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member "user:USER_EMAIL" \
--role roles/iam.workforcePoolAdmin

    Substitua:

    • ORGANIZATION_ID: o ID numérico da organização.
    • USER_EMAIL: o endereço de e-mail do usuário administrador.

Saiba mais em Configurar um provedor de identidade de terceiros.

Para concluir as etapas em Vincular as operações de segurança do Google aos serviços do Google Cloud, você precisa das mesmas permissões definidas na seção Configurar um projeto do Google Cloud para as Operações de segurança do Google.

Se você planeja migrar uma instância atual do Google SecOps, precisa de permissões para acessá-lo. Para uma lista de papéis predefinidos, consulte Papéis predefinidos do Google SecOps no IAM

Configurar o controle de acesso a recursos usando o IAM

Para concluir as etapas em Configurar o controle de acesso a recursos usando o IAM, você precisa da seguinte permissão do IAM no projeto para conceder e modificar as vinculações de papéis do IAM do projeto:

Consulte Atribuir papéis a usuários e grupos para ver um exemplo de como fazer isso.

Se você planeja migrar uma instância atual das Operações de segurança do Google para o IAM, precisa das mesmas permissões definidas na seção Configurar um provedor de identidade terceirizado para Operações de segurança do Google.

Configurar o controle de acesso aos dados

Para configurar o RBAC de dados para usuários, é necessário ter os papéis de Administrador da API Chronicle (roles/chronicle.admin) e de Leitor de papéis (roles/iam.roleViewer). Para atribuir os escopos aos usuários, é necessário ter o papel de Administrador de IAM do projeto (roles/resourcemanager.projectIamAdmin) ou de Administrador de segurança (roles/iam.securityAdmin).

Se você não tiver os papéis necessários, atribua-os no IAM.

Requisitos dos recursos avançados do Google Security Operations

A tabela a seguir lista os recursos avançados do Google Security Operations e as dependências deles em um projeto do Google Cloud fornecido pelo cliente e na federação de identidade de colaboradores do Google.

Capacidade Base do Google Cloud Requer um projeto do Google Cloud? Requer integração com o IAM?
Registros de auditoria do Cloud: atividades administrativas Registros de auditoria do Cloud Sim Sim
Registros de auditoria do Cloud: acesso a dados Registros de auditoria do Cloud Sim Sim
Cloud Billing: assinatura on-line ou pagamento por uso Cloud Billing Sim No
APIs Google Security Operations: acesso geral, criação e gerenciamento de credenciais usando IdP de terceiros APIs Google Cloud Sim Sim
APIs Google Security Operations: acesso geral, criação e gerenciamento de credenciais usando o Cloud Identity APIs do Google Cloud e Cloud Identity Sim Sim
Controles em compliance: CMEK Cloud Key Management Service ou Cloud External Key Manager Sim No
Controles de compliance: FedRAMP de nível alto ou superior Assured Workloads Sim Sim
Controles em compliance: serviço de políticas da organização Serviço de política da organização Sim No
Controles de conformidade: VPC Service Controls VPC Service Controls Sim No
Gerenciamento de contatos: declarações legais Contatos essenciais Sim No
Monitoramento da integridade: interrupções do pipeline de ingestão Cloud Monitoring Sim No
Ingestão: webhook, Pub/Sub, Azure Event Hub e Amazon Kinesis Data Firehose Identity and Access Management Sim No
Controles de acesso com base em papéis: dados Identity and Access Management Sim Sim
Controles de acesso baseados em funções: funcionalidades ou recursos Identity and Access Management Sim Sim
Acesso ao suporte: envio e rastreamento de casos Cloud Customer Care Sim No
Autenticação unificada de SecOps Federação de identidade de colaboradores do Google No Sim