RBAC für Daten konfigurieren

Unterstützt in:

Auf dieser Seite wird beschrieben, wie Administratoren der datenbasierten rollenbasierten Zugriffssteuerung (Daten-RBAC) die Daten-RBAC in Google Security Operations konfigurieren können. Durch das Erstellen und Zuweisen von Datenbereichen, die durch Labels definiert werden, können Sie dafür sorgen, dass nur autorisierte Nutzer auf Daten zugreifen können.

Die Daten-RBAC basiert auf IAM-Konzepten, einschließlich vordefinierter Rollen, benutzerdefinierter Rollen und IAM-Bedingungen.

Im Folgenden finden Sie eine allgemeine Übersicht über den Konfigurationsprozess:

  1. Implementierung planen: Identifizieren Sie die verschiedenen Datentypen, für die Sie den Nutzerzugriff einschränken möchten. Identifizieren Sie die verschiedenen Rollen in Ihrer Organisation und bestimmen Sie die Anforderungen an den Datenzugriff für jede Rolle.

  2. Optional: Benutzerdefinierte Labels erstellen: Erstellen Sie benutzerdefinierte Labels (zusätzlich zu den Standardlabels), um Ihre Daten zu kategorisieren.

  3. Datenbereiche erstellen: Definieren Sie Bereiche, indem Sie relevante Labels kombinieren.

  4. Nutzern Bereiche zuweisen: Weisen Sie Nutzerrollen in IAM Bereiche basierend auf ihren Verantwortlichkeiten zu.

  5. Daten-RBAC aktivieren: Aktivieren Sie die Daten-RBAC, um die Bereichszuweisungen anzuwenden. Sie haben die folgenden beiden Optionen, um die Daten-RBAC einzurichten:

    • Aktivieren Sie die Daten-RBAC, bevor Sie Bereiche zuweisen: Wenn die Daten-RBAC aktiviert ist, sind Regeln, Referenzlisten und Datentabellen keine Bereiche zugewiesen. Nur Nutzer mit globalem Zugriff haben Zugriff auf die Daten. Nutzer mit eingeschränktem Zugriff haben standardmäßig keinen Zugriff auf Daten. So wird unbeabsichtigter Zugriff verhindert und ein sicherer Ausgangspunkt geschaffen. Wenn Sie Zugriff gewähren möchten, definieren Sie Bereiche und weisen Sie sie Nutzern, Regeln und Referenzlisten entsprechend Ihren Anforderungen zu.

    • Daten-RBAC nach dem Zuweisen von Bereichen aktivieren: Wenn Sie Bereiche im Voraus einrichten und zuweisen, erhalten Nutzer sofort Zugriff auf Daten, sobald die Daten-RBAC aktiviert ist. Da Regeln außerdem Bereiche zugewiesen sind, werden die generierten Erkennungen mit Bereichen getaggt. So können Nutzer Erkennungen sehen, die nach den Bereichszuweisungen generiert wurden.

Hinweis

Benutzerdefinierte Labels erstellen und verwalten

Benutzerdefinierte Labels sind Metadaten, die Sie den von SIEM aufgenommenen Google SecOps-Daten hinzufügen können, um sie anhand von UDM-normalisierten Werten zu kategorisieren und zu organisieren.

Angenommen, Sie möchten die Netzwerkaktivität überwachen. Sie möchten DHCP-Ereignisse (Dynamic Host Configuration Protocol) von einer bestimmten IP-Adresse (10.0.0.1) verfolgen, von der Sie vermuten, dass sie manipuliert wurde.

Wenn Sie diese spezifischen Ereignisse filtern und identifizieren möchten, können Sie ein benutzerdefiniertes Label mit dem Namen „Verdächtige DHCP-Aktivität“ mit der folgenden Abfrage erstellen:

metadata.event_type = "NETWORK_DHCP" AND principal.ip = "10.0.0.1"

Das benutzerdefinierte Label funktioniert so:

Google SecOps nimmt kontinuierlich Netzwerkprotokolle und ‑ereignisse in sein UDM auf. Wenn ein DHCP-Ereignis aufgenommen wird, prüft Google SecOps, ob es den Kriterien des benutzerdefinierten Labels entspricht. Wenn das Feld metadata.event_type den Wert NETWORK_DHCP hat und das Feld principal.ip (die IP-Adresse des Geräts, das die DHCP-Lease anfordert) den Wert 10.0.0.1 hat, wendet Google SecOps das benutzerdefinierte Label auf das Ereignis an.

Mit dem Label „Verdächtige DHCP-Aktivität“ können Sie einen Bereich erstellen und den relevanten Nutzern zuweisen. Mit der Bereichszuweisung können Sie den Zugriff auf diese Ereignisse auf bestimmte Nutzer oder Rollen in Ihrer Organisation beschränken.

Anforderungen und Einschränkungen für benutzerdefinierte Labels

Wir empfehlen, die folgenden Limits und Anforderungen zu beachten, wenn Sie benutzerdefinierte Labels definieren und verwenden:

Anforderungen an Benennung und Syntax

  • Benutzerdefinierte Labelnamen müssen eindeutig sein und dürfen maximal 63 Zeichen lang sein. Der Name darf nur Kleinbuchstaben, numerische Zeichen und Bindestriche enthalten. Der Name eines gelöschten Labels kann nach dem Löschen nicht wiederverwendet werden.

Funktionale Einschränkungen

Die folgenden erweiterten Funktionen werden bei Abfragen mit benutzerdefinierten Labels nicht unterstützt:

  • Referenzlisten
  • Anreicherungsfelder
  • Datentabellen

Abfrageausführungszeit: Für Abfragen mit benutzerdefinierten Labels gilt ein maximales Zeitlimit von 5 Sekunden.

Benutzerdefiniertes Label erstellen

So erstellen Sie ein benutzerdefiniertes Label:

  1. Melden Sie sich in Google SecOps an.

  2. Klicken Sie auf Einstellungen > Zugriffsverwaltung > Datenzugriff.

  3. Klicken Sie auf dem Tab Benutzerdefinierte Labels auf Benutzerdefiniertes Label erstellen.

  4. Geben Sie im Fenster UDM-Suche Ihre Abfrage ein und klicken Sie auf Suche ausführen.

    Sie können die Abfrage verfeinern und auf Suche ausführen klicken, bis die Ergebnisse die Daten enthalten, die Sie mit Labels versehen möchten. Weitere Informationen zum Ausführen einer Abfrage finden Sie unter UDM-Suche eingeben.

  5. Klicken Sie auf Label erstellen.

  6. Wählen Sie im Fenster Label erstellen die Option Als neues Label speichern aus und geben Sie den Namen und die Beschreibung des Labels ein.

  7. Klicken Sie auf Label erstellen.

    Ein neues benutzerdefiniertes Label wird erstellt. Während der Datenaufnahme wird dieses Label auf Daten angewendet, die der UDM-Abfrage entsprechen. Das Label wird nicht auf Daten angewendet, die bereits aufgenommen wurden.

Benutzerdefiniertes Label ändern

Sie können nur die Labelbeschreibung und die mit einem Label verknüpfte Abfrage ändern. Labelnamen können nicht aktualisiert werden. Wenn Sie ein benutzerdefiniertes Label ändern, werden die Änderungen nur auf neue Daten und nicht auf bereits aufgenommene Daten angewendet.

So ändern Sie ein Label:

  1. Melden Sie sich in Google SecOps an.

  2. Klicken Sie auf Einstellungen > Zugriffsverwaltung > Datenzugriff.

  3. Klicken Sie auf dem Tab Benutzerdefinierte Labels neben dem Label, das Sie bearbeiten möchten, auf das Menü und wählen Sie Bearbeiten aus.

  4. Aktualisieren Sie im Fenster UDM-Suche Ihre Abfrage und klicken Sie auf Suche ausführen.

    Sie können die Abfrage verfeinern und auf Suche ausführen klicken, bis die Ergebnisse die Daten enthalten, die Sie mit Labels versehen möchten. Weitere Informationen zum Ausführen einer Abfrage finden Sie unter UDM-Suche eingeben.

  5. Klicken Sie auf Änderungen speichern.

Das benutzerdefinierte Label wird geändert.

Benutzerdefiniertes Label löschen

Wenn Sie ein Label löschen, können ihm keine neuen Daten mehr zugeordnet werden. Daten, die bereits mit dem Label verknüpft sind, bleiben mit dem Label verknüpft. Nach dem Löschen können Sie das benutzerdefinierte Label nicht wiederherstellen und den Labelnamen nicht mehr verwenden, um neue Labels zu erstellen.

  1. Klicken Sie auf Einstellungen > Zugriffsverwaltung > Datenzugriff.

  2. Klicken Sie auf dem Tab Benutzerdefinierte Labels auf das Menü für das Label, das Sie löschen möchten, und wählen Sie Löschen aus.

  3. Klicken Sie auf Löschen.

  4. Klicken Sie im Bestätigungsfenster auf Bestätigen.

Das benutzerdefinierte Label wird gelöscht.

Benutzerdefiniertes Label ansehen

So rufen Sie die Details eines benutzerdefinierten Labels auf:

  1. Klicken Sie auf Einstellungen > Zugriffsverwaltung > Datenzugriff.

  2. Klicken Sie auf dem Tab Benutzerdefinierte Labels neben dem Label, das Sie bearbeiten möchten, auf das Menü und wählen Sie Ansehen aus.

    Die Labeldetails werden angezeigt.

Bereiche erstellen und verwalten

Sie können Datenbereiche in der Google SecOps-Benutzeroberfläche erstellen und verwalten und diese Bereiche dann Nutzern oder Gruppen über IAM zuweisen. Sie können einen Bereich erstellen, indem Sie Labels anwenden, die die Daten definieren, auf die ein Nutzer mit dem Bereich Zugriff hat.

Bereiche erstellen

So erstellen Sie einen Bereich:

  1. Melden Sie sich in Google SecOps an.

  2. Klicken Sie auf Einstellungen > Zugriffsverwaltung > Datenzugriff.

  3. Klicken Sie auf dem Tab Bereiche auf Bereich erstellen.

  4. Führen Sie im Fenster Neuen Bereich erstellen die folgenden Schritte aus:

    1. Geben Sie einen Bereichsnamen und eine Beschreibung ein.

    2. Gehen Sie unter Bereichszugriff mit Labels definieren > Zugriff erlauben so vor:

      • Wenn Sie die Labels und die entsprechenden Werte auswählen möchten, auf die Nutzer Zugriff haben sollen, klicken Sie auf Bestimmte Labels zulassen.

        In einer Bereichsdefinition werden Labels desselben Typs (z. B. Logtyp) mit dem OR-Operator kombiniert, während Labels unterschiedlicher Typen (z. B. Logtyp und Namespace) mit dem AND-Operator kombiniert werden. Weitere Informationen dazu, wie Labels den Datenzugriff in Bereichen definieren, finden Sie unter Datensichtbarkeit mit Zulassungs- und Ablehnungs-Labels.

      • Wenn Sie Zugriff auf alle Daten gewähren möchten, wählen Sie Zugriff auf alles erlauben aus.

    3. Wenn Sie den Zugriff auf bestimmte Labels ausschließen möchten, wählen Sie Bestimmte Labels ausschließen aus. Wählen Sie dann den Labeltyp und die entsprechenden Werte aus, auf die Nutzer keinen Zugriff haben sollen.

      Wenn innerhalb eines Bereichs mehrere Labels für die Zugriffsverweigerung angewendet werden, wird der Zugriff verweigert, wenn eine Übereinstimmung mit einem dieser Labels besteht.

    4. Klicken Sie auf Bereich testen, um zu prüfen, wie die Labels auf den Bereich angewendet werden.

    5. Geben Sie im Fenster UDM-Suche Ihre Abfrage ein und klicken Sie auf Suche ausführen.

      Sie können die Abfrage verfeinern und auf Suche ausführen klicken, bis die Ergebnisse die Daten enthalten, die Sie mit Labels versehen möchten. Weitere Informationen zum Ausführen einer Abfrage finden Sie unter UDM-Suche eingeben.

    6. Klicken Sie auf Bereich erstellen.

    7. Bestätigen Sie im Fenster Bereich erstellen den Namen und die Beschreibung des Bereichs und klicken Sie auf Bereich erstellen.

Der Bereich wird erstellt. Sie müssen den Bereich Nutzern zuweisen, um ihnen Zugriff auf die Daten im Bereich zu gewähren.

Bereich ändern

Sie können nur die Beschreibung des Bereichs und die zugehörigen Labels ändern. Bereichsnamen können nicht aktualisiert werden. Nachdem Sie einen Bereich aktualisiert haben, werden die mit dem Bereich verknüpften Nutzer gemäß den neuen Labels eingeschränkt. Die an den Bereich gebundenen Regeln werden nicht mit dem aktualisierten Bereich abgeglichen.

So ändern Sie einen Bereich:

  1. Melden Sie sich in Google SecOps an.

  2. Klicken Sie auf Einstellungen > Zugriffsverwaltung > Datenzugriff.

  3. Klicken Sie auf dem Tab Bereiche auf das Menü für den Bereich, den Sie bearbeiten möchten, und wählen Sie Bearbeiten aus.

  4. Klicken Sie auf Bearbeiten, um die Beschreibung des Bereichs zu bearbeiten.

  5. Aktualisieren Sie im Abschnitt Bereichszugriff mit Labels definieren die Labels und die entsprechenden Werte nach Bedarf.

  6. Klicken Sie auf Geltungsbereich testen, um zu prüfen, wie die neuen Labels auf den Geltungsbereich angewendet werden.

  7. Geben Sie im Fenster UDM-Suche Ihre Abfrage ein und klicken Sie auf Suche ausführen.

    Sie können die Abfrage verfeinern und auf Suche ausführen klicken, bis die Ergebnisse die Daten enthalten, die Sie mit Labels versehen möchten. Weitere Informationen zum Ausführen einer Abfrage finden Sie unter UDM-Suche eingeben.

  8. Klicken Sie auf Änderungen speichern.

Der Bereich wurde geändert.

Bereich löschen

Wenn ein Bereich gelöscht wird, haben Nutzer keinen Zugriff mehr auf die mit dem Bereich verknüpften Daten. Nach dem Löschen kann der Name des Bereichs nicht wiederverwendet werden, um neue Bereiche zu erstellen.

So löschen Sie einen Bereich:

  1. Melden Sie sich in Google SecOps an.

  2. Klicken Sie auf Einstellungen > Zugriffsverwaltung > Datenzugriff.

  3. Klicken Sie auf dem Tab Bereiche neben dem Bereich, den Sie löschen möchten, auf Menü.

  4. Klicken Sie auf Löschen.

  5. Klicken Sie im Bestätigungsfenster auf Bestätigen.

Der Bereich wird gelöscht.

Bereich ansehen

So rufen Sie Bereichsdetails auf:

  1. Melden Sie sich in Google SecOps an.

  2. Klicken Sie auf Einstellungen > Zugriffsverwaltung > Datenzugriff.

  3. Klicken Sie auf dem Tab Bereiche neben dem Bereich, den Sie aufrufen möchten, auf das Menü und wählen Sie Ansehen aus.

Die Bereichsdetails werden angezeigt.

Nutzern einen Bereich zuweisen

Die Bereichszuweisung ist erforderlich, um den Datenzugriff für Nutzer mit eingeschränkten Berechtigungen zu steuern. Wenn Sie Nutzern bestimmte Bereiche zuweisen, wird festgelegt, welche Daten sie sehen und mit welchen sie interagieren können. Wenn einem Nutzer mehrere Bereiche zugewiesen sind, erhält er Zugriff auf die kombinierten Daten aus allen diesen Bereichen. Sie können Nutzern, die globalen Zugriff benötigen, die entsprechenden Bereiche zuweisen, damit sie alle Daten sehen und mit ihnen interagieren können. So weisen Sie einem Nutzer Bereiche zu:

  1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

    IAM aufrufen

  2. Wählen Sie das Projekt aus, das an Google SecOps gebunden ist.

  3. Klicken Sie auf Zugriffsrechte erteilen.

  4. Gehen Sie im Feld Neue Hauptkonten so vor:

    1. Wenn Sie die Workforce Identity-Föderation oder eine andere Drittanbieterauthentifizierung verwenden, fügen Sie Ihre Hauptkonto-ID so hinzu: 

      principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/USER_EMAIL_ADDRESS

      Ersetzen Sie Folgendes:

      • POOL_ID: die Kennung für den Pool, der für Ihren Identitätsanbieter erstellt wurde.
      • USER_EMAIL: Die E-Mail-Adresse des Nutzers.

    2. Wenn Sie Cloud Identity oder Google Workspace verwenden, fügen Sie Ihre Hauptkonto-ID so hinzu: 

      user:USER_EMAIL

      Ersetzen Sie Folgendes:

      • USER_EMAIL: Die E-Mail-Adresse des Nutzers.

  5. Wählen Sie im Menü Rollen zuweisen > Rolle auswählen die erforderliche Rolle aus. Klicken Sie auf Weitere Rolle hinzufügen, um mehrere Rollen hinzuzufügen. Informationen dazu, welche Rollen hinzugefügt werden müssen, finden Sie unter Nutzerrollen.

  6. Wenn Sie dem Nutzer einen Bereich zuweisen möchten, fügen Sie der Rolle „Chronicle Restricted Data Access“ Bedingungen hinzu, die dem Nutzer zugewiesen ist (gilt nicht für globale Zugriffsrollen).

    1. Klicken Sie für die Rolle Chronicle Restricted Data Access auf IAM-Bedingung hinzufügen. Das Fenster Bedingung hinzufügen wird angezeigt.

    2. Geben Sie den Titel der Bedingung und die optionale Beschreibung ein.

    3. Fügen Sie den Bedingungsausdruck hinzu.

      Sie können einen Bedingungsausdruck entweder mit dem Tool zur Bedingungserstellung oder dem Bedingungseditor hinzufügen.

      Das Tool zur Bedingungserstellung bietet eine interaktive Oberfläche, in der Sie die gewünschte Bedingung, den Operator und andere anwendbare Details zum Ausdruck auswählen können. Mit den folgenden Operatoren können Sie präzise Regeln erstellen, um den Zugriff auf mehrere Bereiche mit einer einzigen IAM-Bedingung zu steuern:

    • ENDS_WITH: Prüft, ob der Bereichsname mit einem bestimmten Wort endet. Wenn Sie nach dem genauen Wort suchen möchten, fügen Sie vor dem Wort ein / hinzu.

      Betrachten wir ein Beispiel für einen Datenzugriffsbereich mit dem Namen projects/1234/locations/us/instances/2342-434-44-3434-343434/dataAccessScopes/scopename.

      • ENDS_WITH /scopename entspricht dem genauen Namen und wird für den Beispielbereich als true ausgewertet.

      • ENDS_WITH scopename stimmt mit jedem Namen überein, der auf „scopename“ endet, und wird für den Beispielbereich und auch für projects/1234/locations/us/instances/2342-434-44-3434-343434/dataAccessScopes/testscopename als true ausgewertet.

    • STARTS_WITH: Prüft, ob der Bereichsname mit einem bestimmten Wort beginnt. Beispiel: STARTS_WITH projects/project1 gewährt Zugriff auf alle Bereiche in „project1“.

    • EQUALS_TO: Prüft, ob der Name genau mit einem bestimmten Wort oder einer bestimmten Wortgruppe übereinstimmt. Dadurch wird nur Zugriff auf einen Bereich gewährt. Beispiel: EQUALS_TO projects/1234/locations/us/instances/2342-434-44-3434-343434/dataAccessScopes/scopename wird für den Beispielbereich als true ausgewertet.

    So fügen Sie der Rolle Bereiche hinzu:

    1. Wählen Sie unter Bedingungstyp die Option Name, unter Operator den Operator aus und geben Sie unter Wert den Namen des Bereichs ein.

      /<scopename>

    2. Wenn Sie mehrere Bereiche zuweisen möchten, fügen Sie mit dem ODER-Operator weitere Bedingungen hinzu. Sie können für jede Rollenbindung bis zu 12 Bedingungen hinzufügen. Wenn Sie mehr als 12 Bedingungen hinzufügen möchten, erstellen Sie mehrere Rollenbindungen und fügen Sie jeder dieser Bindungen bis zu 12 Bedingungen hinzu.

      Weitere Informationen zu Bedingungen finden Sie unter Übersicht über IAM-Bedingungen.

    3. Klicken Sie auf Speichern.

      Der Bedingungseditor bietet eine textbasierte Oberfläche zur manuellen Eingabe eines Ausdrucks mit der CEL-Syntax.

    4. Geben Sie den folgenden Ausdruck ein:

      (scope-name: resource.name.endsWith('/SCOPENAME1') || resource.name.endsWith('/SCOPENAME2') || … || resource.name.endsWith('/SCOPENAME'))

      Ersetzen Sie /SCOPENAME1, /SCOPENAME2 und andere Platzhalter durch die Bereichsnamen, die Sie dem Hauptkonto zuweisen möchten.

    5. Klicken Sie auf Linter ausführen, um die CEL-Syntax zu validieren.

    6. Klicken Sie auf Speichern.

  7. Klicken Sie auf Änderungen testen, um zu sehen, wie sich Ihre Änderungen auf den Nutzerzugriff auf die Daten auswirken.

  8. Klicken Sie auf Speichern.

Die Nutzer können jetzt auf die Daten zugreifen, die mit den Bereichen verknüpft sind.

Daten-RBAC aktivieren

Wenn Sie die Daten-RBAC aktivieren, werden alle zugewiesenen Bereiche auf Regeln und Referenzlisten angewendet. So sehen Nutzer nur die Daten, die für ihre Bereiche relevant sind. So aktivieren Sie die Daten-RBAC:

  1. Melden Sie sich in Google SecOps an.

  2. Klicken Sie auf Einstellungen > Zugriffsverwaltung > Datenzugriff.

  3. Rufen Sie den Tab Zuweisungen auf und prüfen Sie die Bereichszuweisungen der Regeln und Referenzlisten. Verwenden Sie die Filter- oder Suchfunktionen, um bestimmte Elemente zu finden.

  4. Klicken Sie auf Datenzugriff erzwingen. Im Fenster „Datenzugriff erzwingen“ wird die Anzahl der Regeln und Referenzlisten angezeigt, die nach der Erzwingung der Daten-RBAC berücksichtigt werden.

  5. Klicken Sie auf Ja, erzwingen.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten