Auswirkungen der Daten-RBAC auf Funktionen – Übersicht

Unterstützt in:

Die datenbasierte rollenbasierte Zugriffssteuerung (Daten-RBAC) ist ein Sicherheitsmodell, das den Nutzerzugriff auf Daten basierend auf den individuellen Nutzerrollen innerhalb einer Organisation einschränkt. Nachdem die RBAC für Daten in einer Umgebung konfiguriert wurde, werden in den Google Security Operations-Funktionen gefilterte Daten angezeigt. Die Daten-RBAC steuert den Nutzerzugriff gemäß den zugewiesenen Bereichen und sorgt dafür, dass Nutzer nur auf autorisierte Informationen zugreifen können. Auf dieser Seite erhalten Sie einen Überblick darüber, wie sich die rollenbasierte Zugriffssteuerung für Daten auf die einzelnen Google SecOps-Funktionen auswirkt.

Informationen zur Funktionsweise von Daten-RBAC finden Sie unter Daten-RBAC – Übersicht.

Die in den Suchergebnissen zurückgegebenen Daten basieren auf den Datenzugriffsbereichen des Nutzers. Nutzer können nur Ergebnisse aus Daten sehen, die den ihnen zugewiesenen Bereichen entsprechen. Wenn Nutzern mehr als ein Bereich zugewiesen ist, wird die Suche in den kombinierten Daten aller autorisierten Bereiche ausgeführt. Daten, die zu Bereichen gehören, auf die der Nutzer keinen Zugriff hat, werden nicht in den Suchergebnissen angezeigt.

Zugriff auf Fälle

Die Suche nach Fällen und dem Fallverlauf in der SIEM-Suche unterstützt keine Daten-RBAC-Bereiche. Ein Nutzer mit Berechtigungen zum Ausführen der SIEM-Suche kann in allen Datenbereichen nach Fällen und dem Fallverlauf suchen.

Regeln

Regeln sind Erkennungsmechanismen, die die aufgenommenen Daten analysieren und dabei helfen, potenzielle Sicherheitsbedrohungen zu identifizieren. Regeln können so kategorisiert werden:

  • Regeln mit Geltungsbereich: Diese Regeln sind mit einem bestimmten Datenbereich verknüpft. Bereichsbezogene Regeln können nur auf Daten angewendet werden, die der Definition dieses Bereichs entsprechen. Nutzer mit Zugriff auf einen Bereich können die zugehörigen Regeln aufrufen und verwalten.

  • Globale Regeln: Diese Regeln haben eine größere Sichtbarkeit und können auf Daten in allen Bereichen angewendet werden. Aus Sicherheits- und Kontrollgründen können nur Nutzer mit globalem Bereich globale Regeln ansehen und erstellen.

Benachrichtigungen werden nur für Ereignisse generiert, die dem Geltungsbereich der Regel entsprechen. Wenn einer Regel kein Bereich zugewiesen ist, wird sie im globalen Bereich ausgeführt und gilt für alle Daten.

Die Daten-RBAC wirkt sich folgendermaßen auf Regeln aus:

  • Daten-RBAC wird vor dem Zuweisen von Bereichen zu Regeln aktiviert: Allen vorhandenen Regeln wird automatisch der globale Bereich zugewiesen. Weisen Sie jeder Regel Bereiche entsprechend Ihren Anforderungen an die Datenzugriffssteuerung zu.

  • Die Daten-RBAC wird nach dem Zuweisen von Bereichen zu Regeln aktiviert: Bereichsbezogene Regeln werden auf aufgenommene Daten gemäß ihren definierten Bereichen angewendet, noch bevor die Daten-RBAC aktiviert wird. So können Nutzer Erkennungen sehen, die nach den Bereichszuweisungen generiert wurden.

Der mit einer Regel verknüpfte Bereich bestimmt, wie globale und bereichsbezogene Nutzer mit ihr interagieren können. Die Zugriffsberechtigungen sind in der folgenden Tabelle zusammengefasst:

Aktion Globaler Nutzer Nutzer mit eingeschränktem Zugriff
Darf bereichsbezogene Regeln ansehen Ja Ja (nur wenn der Geltungsbereich der Regel innerhalb der zugewiesenen Geltungsbereiche des Nutzers liegt)

Ein Nutzer mit den Bereichen A und B kann beispielsweise eine Regel mit Bereich A sehen, aber keine Regel mit Bereich C.
Darf globale Regeln ansehen Ja Nein
Kann bereichsbezogene Regeln erstellen und aktualisieren Ja Ja (nur wenn der Geltungsbereich der Regel innerhalb der zugewiesenen Geltungsbereiche des Nutzers liegt)

Ein Nutzer mit den Bereichen A und B kann beispielsweise eine Regel mit Bereich A erstellen, aber keine Regel mit Bereich C.
Kann globale Regeln erstellen und aktualisieren Ja Nein

Erkennungen

Erkennungen sind Benachrichtigungen, die auf potenzielle Sicherheitsbedrohungen hinweisen. Erkennungen werden durch benutzerdefinierte Regeln ausgelöst, die von Ihrem Sicherheitsteam für Ihre Google SecOps-Umgebung erstellt werden.

Erkennungen werden generiert, wenn eingehende Sicherheitsdaten den in einer Regel definierten Kriterien entsprechen. Bevor die RBAC für Daten aktiviert wird, können alle Nutzer alle Erkennungen sehen, unabhängig von der Bereichskennzeichnung. Nachdem die Daten-RBAC aktiviert wurde, können Nutzer nur noch Erkennungen sehen, die von Regeln stammen, die mit ihren zugewiesenen Bereichen verknüpft sind.

Ein Sicherheitsanalyst mit dem Datenbereich „Finanzen“ sieht beispielsweise nur Erkennungen, die von Regeln generiert wurden, die dem Datenbereich „Finanzen“ zugewiesen sind. Erkennungen von anderen Regeln werden nicht angezeigt.

Die Aktionen, die ein Nutzer für eine Erkennung ausführen kann (z. B. eine Erkennung als gelöst markieren), sind ebenfalls auf den Bereich beschränkt, in dem die Erkennung aufgetreten ist.

Ausgewählte Erkennungen

Erkennungen werden durch benutzerdefinierte Regeln ausgelöst, die von Ihrem Sicherheitsteam erstellt werden. Ausgewählte Erkennungen werden dagegen durch Regeln ausgelöst, die vom Google Cloud Threat Intelligence-Team (GCTI) bereitgestellt werden. Im Rahmen der ausgewählten Erkennungen stellt GCTI eine Reihe von YARA-L-Regeln bereit und verwaltet sie, mit denen Sie gängige Sicherheitsbedrohungen in Ihrer Google SecOps-Umgebung identifizieren können. Weitere Informationen finden Sie unter Ausgewählte Erkennungen zum Identifizieren von Bedrohungen verwenden.

Ausgewählte Erkennungen unterstützen keine rollenbasierte Zugriffssteuerung für Daten. Nur Nutzer mit globalem Bereich können auf ausgewählte Erkennungen zugreifen.

Auswirkungen der Daten-RBAC auf Fälle und Benachrichtigungen von Erstanbietern

In diesem Abschnitt wird zusammengefasst, wie Sie die rollenbasierte Zugriffssteuerung für Daten für eigene Benachrichtigungen und Fälle in Google Security Operations konfigurieren.

Zu den wichtigsten Themen gehören:

  • Voraussetzungen: Anforderungen für vereinheitlichte SIEM- und SOAR-Instanzen, Connector-Kompatibilität und die Auswirkungen der unwiderruflichen Aktivierung von Funktionen.
  • Aktivierung: Konfigurationsschritte zum Aktivieren der Erzwingung des Datenzugriffs für bestehende und neue SIEM-Erzwingungsszenarien.
  • Umgebungszuordnung: Anleitung zum Festlegen von Datengrenzen durch Zuordnen definierter SIEM-Bereiche zu SOAR-Umgebungen.
  • Zugriffsbewertung: Erläuterungen zur Weitergabe des Bereichs, zur Zugriffslogik und zu den Regeln für die Gruppierung von Entitäten und Fällen.
  • Lebenszyklusverwaltung: Richtlinien zum Ändern von Umgebungszuordnungen, Erstellen manueller Fälle, Umgang mit Überlaufszenarien und Löschen von Bereichen.
  • Schnittstellenüberwachung: Hier erfahren Sie, wie Sie Datenzugriffsbereiche in der Case Management-Benutzeroberfläche prüfen und filtern.

Weitere Informationen finden Sie unter Zugriff auf Fälle und Benachrichtigungen von Erstanbietern steuern.

Triage-Agent

Der Triage-Agent ist ein KI-basierter Assistent, der in Google Security Operations eingebettet ist. Es untersucht Sicherheitswarnungen, um festzustellen, ob es sich um echte Bedrohungen oder Fehlalarme handelt, und liefert eine zusammenfassende Erklärung für seine Bewertung.

Wenn die Daten-RBAC aktiviert ist, können nur Nutzer mit globalem Datenzugriff Triage-Agent-Prüfungen auslösen und ansehen. Weitere Informationen finden Sie unter Nutzerrollen.

Logs zu Rohdaten

Wenn die Daten-RBAC aktiviert ist, können nur Nutzer mit globalem Bereich auf geparste und ungeparste Rohlogs zugreifen.

Datentabellen

Datentabellen sind mehrspaltige Datenkonstrukte, mit denen Sie Ihre eigenen Daten in Google SecOps eingeben können. Diese können als Suchtabellen mit definierten Spalten und in Zeilen gespeicherten Daten dienen. Wenn Sie einer Datentabelle Bereiche zuweisen, können Sie steuern, welche Nutzer und Ressourcen darauf zugreifen und sie verwenden können.

Zugriffsberechtigungen für Nutzer in Datentabellen

Die mit einer Datentabelle verknüpften Bereiche bestimmen, wie globale und bereichsbezogene Nutzer mit ihr interagieren können. Die Zugriffsberechtigungen sind in der folgenden Tabelle zusammengefasst:

Aktion Globaler Nutzer Nutzer mit eingeschränktem Zugriff
Kann Datentabelle mit eingeschränktem Bereich erstellen Ja Ja (nur mit Bereichen, die mit den zugewiesenen Bereichen übereinstimmen oder eine Teilmenge davon sind)

Beispiel: Ein Nutzer mit den Bereichen A und B kann eine Datentabelle mit dem Bereich A oder mit den Bereichen A und B erstellen, aber nicht mit den Bereichen A, B und C.
Kann Datentabelle ohne Bereich erstellen Ja Nein
Kann Datentabelle mit eingeschränktem Bereich aktualisieren Ja Ja (nur mit Bereichen, die mit den zugewiesenen Bereichen übereinstimmen oder eine Teilmenge davon sind)

Ein Nutzer mit den Bereichen A und B kann beispielsweise eine Datentabelle mit dem Bereich A oder den Bereichen A und B ändern, aber keine Datentabelle mit den Bereichen A, B und C.
Kann Datentabelle ohne Bereich aktualisieren Ja Nein
Kann Datentabelle mit Bereich in eine ohne Bereich ändern Ja Nein
Kann Datentabelle mit eingeschränktem Bereich ansehen und verwenden Ja Ja (wenn mindestens ein übereinstimmender Bereich zwischen dem Nutzer und der Datentabelle vorhanden ist)

Beispiel: Ein Nutzer mit den Bereichen A und B kann eine Datentabelle mit den Bereichen A und B verwenden, aber keine Datentabelle mit den Bereichen C und D.
Kann Datentabelle ohne Bereich ansehen und verwenden Ja Ja
Kann Suchanfragen mit Datentabellen ohne Bereich ausführen Ja Ja
Kann Suchanfragen mit eingeschränkten Datentabellen ausführen Ja Ja (wenn mindestens ein übereinstimmender Bereich zwischen dem Nutzer und der Datentabelle vorhanden ist)

Beispiel: Ein Nutzer mit Bereich A kann Suchanfragen mit Datentabellen mit den Bereichen A, B und C ausführen, aber nicht mit Datentabellen mit den Bereichen B und C.

Referenzlisten

Referenzlisten sind Sammlungen von Werten, die zum Abgleichen und Filtern von Daten in der UDM-Suche und in Erkennungsregeln verwendet werden. Wenn Sie einer Referenzliste (bereichsbezogene Liste) Bereiche zuweisen, wird der Zugriff auf bestimmte Nutzer und Ressourcen wie Regeln und UDM-Suche beschränkt. Eine Referenzliste, der kein Bereich zugewiesen ist, wird als Liste ohne Bereich bezeichnet.

Zugriffsberechtigungen für Nutzer in Referenzlisten

Die mit einer Referenzliste verknüpften Bereiche bestimmen, wie globale und bereichsbezogene Nutzer mit ihr interagieren können. Die Zugriffsberechtigungen sind in der folgenden Tabelle zusammengefasst:

Aktion Globaler Nutzer Nutzer mit eingeschränktem Zugriff
Kann bereichsspezifische Liste erstellen Ja Ja (mit Bereichen, die den zugewiesenen Bereichen entsprechen oder eine Teilmenge der zugewiesenen Bereiche sind)

Beispielsweise kann ein Nutzer mit den Bereichen A und B eine Referenzliste mit Bereich A oder mit den Bereichen A und B erstellen, aber nicht mit den Bereichen A, B und C.
Kann Liste ohne Bereich erstellen Ja Nein
Kann Bereichsliste aktualisieren Ja Ja (mit Bereichen, die den zugewiesenen Bereichen entsprechen oder eine Teilmenge davon sind)

Beispiel: Ein Nutzer mit den Bereichen A und B kann eine Referenzliste mit Bereich A oder mit den Bereichen A und B ändern, aber keine Referenzliste mit den Bereichen A, B und C.
Kann Liste ohne Bereich aktualisieren Ja Nein
Kann Liste mit Bereich in Liste ohne Bereich ändern Ja Nein
Kann die Liste mit eingeschränktem Zugriff aufrufen und verwenden Ja Ja (wenn mindestens ein Bereich zwischen dem Nutzer und der Referenzliste übereinstimmt)

Ein Nutzer mit den Bereichen A und B kann beispielsweise eine Referenzliste mit den Bereichen A und B verwenden, aber keine Referenzliste mit den Bereichen C und D.
Kann Liste ohne Bereich aufrufen und verwenden Ja Ja
Kann UDM-Suchanfragen und Dashboard-Abfragen mit Referenzlisten ohne Bereich ausführen Ja Ja
Kann UDM-Such- und Dashboard-Abfragen mit Referenzlisten mit eingeschränktem Bereich ausführen Ja Ja (wenn mindestens ein Bereich zwischen dem Nutzer und der Referenzliste übereinstimmt)

Beispielsweise kann ein Nutzer mit Bereich A UDM-Suchanfragen mit Referenzlisten mit den Bereichen A, B und C ausführen, aber nicht mit Referenzlisten mit den Bereichen B und C.

Zugriffsberechtigungen für Regeln in Referenzlisten

Eine Regel mit Geltungsbereich kann eine Referenzliste verwenden, wenn es mindestens einen übereinstimmenden Geltungsbereich zwischen der Regel und der Referenzliste gibt. Eine Regel mit Bereich A kann beispielsweise eine Referenzliste mit den Bereichen A, B und C verwenden, aber keine Referenzliste mit den Bereichen B und C.

Eine Regel mit globalem Bereich kann jede Referenzliste verwenden.

Feeds und Forwarder

Daten-RBAC hat keine direkten Auswirkungen auf die Ausführung von Feeds und Forwardern. Während der Konfiguration können Nutzer den eingehenden Daten jedoch die Standardlabels (Logtyp, Namespace oder Aufnahmelabels) zuweisen. Die Daten-RBAC wird dann auf Features angewendet, die diese mit Labels versehenen Daten verwenden.

Dashboards

Mit Dashboards können Sie Visualisierungen aus verschiedenen Datenquellen erstellen. Jedes Dashboard besteht aus verschiedenen Diagrammen.

Dashboards unterstützen die rollenbasierte Zugriffssteuerung (RBAC) für Daten vollständig. Dieses Sicherheitsmodell filtert die in Dashboard-Widgets angezeigten Informationen basierend auf den Ihnen zugewiesenen Bereichen.

  • Datensichtbarkeit: In Widgets werden nur Ergebnisse aus Daten angezeigt, die Ihren zugewiesenen Bereichen entsprechen. Wenn ein Dashboard auf einer YARA-L-Abfrage basiert, wird diese Abfrage nur für autorisierte Daten ausgeführt.
  • Überschneidung von Bereichen: Wenn Sie mehrere Bereiche haben, werden im Dashboard die kombinierten Daten aus allen autorisierten Bereichen angezeigt.
  • Zugriffssteuerung: Während die RBAC für Funktionen bestimmt, wer ein Dashboard erstellen oder bearbeiten kann, bestimmt die RBAC für Daten, welche spezifischen Daten in den Diagrammen und Tabellen sichtbar sind.

Der spezifische Bereich, der mit einem Dashboard verknüpft ist, bestimmt die zulässige Interaktionsebene für globale und bereichsbezogene Nutzer:

  • Globale Nutzer: Haben vollständige Sichtbarkeit und Verwaltungsfunktionen für alle Dashboards, unabhängig vom Bereich.

  • Nutzer mit eingeschränktem Zugriff: Die Interaktion ist basierend auf den zugewiesenen Bereichen des Nutzers eingeschränkt.

Zugriff auf Fälle

Dashboards mit SOAR-Daten wie Fälle, Fallverlauf, Playbooks und Benachrichtigungen sind nur für globale Nutzer sichtbar.

Angewandte Threat Intelligence und IOC-Übereinstimmungen

IoCs und Advanced Threat Intelligence-Daten (ATI) liefern wichtige Informationen zu potenziellen Sicherheitsbedrohungen in Ihrer Umgebung.

Ausgewählte ATI-Erkennungen werden durch Regeln ausgelöst, die vom ATI-Team bereitgestellt werden. Diese Regeln nutzen Mandiant Threat Intelligence, um Bedrohungen mit hoher Priorität proaktiv zu identifizieren. Weitere Informationen finden Sie unter Applied Threat Intelligence – Übersicht.

IOC-Übereinstimmungen und ATI-Daten, die aus Kundenlogs abgeleitet werden, erfordern einen globalen Bereich für die Sichtbarkeit und sind für Nutzer mit eingeschränkten Bereichen nicht verfügbar.

Analysen des Nutzer- und Entitätsverhaltens (UEBA)

Die Kategorie „Risikoanalyse für UEBA“ bietet vordefinierte Regelsätze zum Erkennen potenzieller Sicherheitsbedrohungen. Diese Regelsätze verwenden maschinelles Lernen, um proaktiv Erkennungen auszulösen, indem sie Verhaltensmuster von Nutzern und Entitäten analysieren. Weitere Informationen finden Sie unter Übersicht über die Risikoanalyse für die UEBA-Kategorie.

UEBA unterstützt keine rollenbasierte Zugriffssteuerung (RBAC) für Daten. Nur Nutzer mit globalem Bereich können auf die Risikoanalysen für die UEBA-Kategorie zugreifen.

Entitätsdetails in Google SecOps

Die folgenden Felder, die ein Asset oder einen Nutzer beschreiben, werden auf mehreren Seiten in Google SecOps angezeigt, z. B. im Bereich Entitätskontext in der UDM-Suche. Bei der Daten-RBAC sind die Felder nur für Nutzer mit globalem Bereich verfügbar.

  • Zuerst aufgetreten
  • Zuletzt erfasst
  • Verbreitung

Nutzer mit eingeschränktem Zugriff können die Daten zum ersten und letzten Auftreten von Nutzern und Assets sehen, wenn diese Daten aus Daten innerhalb der zugewiesenen Bereiche des Nutzers berechnet werden.

Nächste Schritte

Daten-RBAC für Nutzer konfigurieren

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten