Panoramica dell'impatto dell'RBAC dei dati sulle funzionalità

Supportata in:

Il controllo degli accessi basato su ruoli dei dati (RBAC dei dati) è un modello di sicurezza che limita l'accesso degli utenti ai dati in base ai singoli ruoli utente all'interno di un'organizzazione. Dopo aver configurato l'RBAC dei dati in un ambiente, inizierai a visualizzare i dati filtrati nelle funzionalità di Google Security Operations. L'RBAC dei dati controlla l'accesso degli utenti in base agli ambiti assegnati e garantisce che gli utenti possano accedere solo alle informazioni autorizzate. Questa pagina fornisce una panoramica dell'impatto del RBAC dei dati su ogni funzionalità di Google SecOps.

Per capire come funziona l'RBAC dei dati, consulta la panoramica dell'RBAC dei dati.

I dati restituiti nei risultati di ricerca si basano sugli ambiti di accesso ai dati dell'utente. Gli utenti possono visualizzare solo i risultati dei dati che corrispondono agli ambiti assegnati. Se agli utenti è assegnato più di un ambito, la ricerca viene eseguita sui dati combinati di tutti gli ambiti autorizzati. I dati appartenenti ad ambiti a cui l'utente non ha accesso non vengono visualizzati nei risultati di ricerca.

Accesso alle richieste

La ricerca di richieste e cronologia delle richieste nella ricerca SIEM non supporta gli ambiti RBAC dei dati. Un utente con le autorizzazioni per eseguire la ricerca SIEM può cercare le richieste e la cronologia delle richieste in tutti gli ambiti dei dati.

Regole

Le regole sono meccanismi di rilevamento che analizzano i dati importati e aiutano a identificare potenziali minacce alla sicurezza. Le regole possono essere classificate come segue:

  • Regole con ambito: associate a un ambito di dati specifico. Le regole con ambito possono operare solo sui dati che rientrano nella definizione dell'ambito. Gli utenti con accesso a un ambito possono visualizzare e gestire le relative regole.

  • Regole globali: con una visibilità più ampia, queste regole possono operare sui dati in tutti gli ambiti. Per mantenere la sicurezza e il controllo, solo gli utenti con ambito globale possono visualizzare e creare regole globali.

La generazione di avvisi è limitata agli eventi che corrispondono all'ambito della regola. Se a una regola non è assegnato un ambito, viene eseguita nell'ambito globale e si applica a tutti i dati.

L'RBAC dei dati influisce sulle regole nei seguenti modi:

  • RBAC dei dati viene attivato prima di assegnare gli ambiti alle regole: a tutte le regole esistenti viene assegnato automaticamente l'ambito globale. Assegna gli ambiti a ciascuna regola in base ai requisiti di controllo dell'accesso ai dati.

  • L'RBAC dei dati viene attivato dopo l'assegnazione degli ambiti alle regole: le regole con ambito operano sui dati importati in base agli ambiti definiti, anche prima dell'attivazione dell'RBAC dei dati. In questo modo, gli utenti possono visualizzare i rilevamenti generati dopo le assegnazioni degli ambiti.

L'ambito associato a una regola determina il modo in cui gli utenti globali e con ambito possono interagire con la regola. Le autorizzazioni di accesso sono riassunte nella tabella seguente:

Azione Utente globale Utente con ambito
Può visualizzare le regole con ambito Sì Sì (solo se l'ambito della regola rientra negli ambiti assegnati all'utente)

Ad esempio, un utente con gli ambiti A e B può visualizzare una regola con l'ambito A, ma non una regola con l'ambito C.
Può visualizzare le regole globali Sì No
Può creare e aggiornare regole con ambito Sì Sì (solo se l'ambito della regola rientra negli ambiti assegnati all'utente)

Ad esempio, un utente con gli ambiti A e B può creare una regola con l'ambito A, ma non una regola con l'ambito C.
Può creare e aggiornare regole globali Sì No

Rilevamenti

I rilevamenti sono avvisi che indicano potenziali minacce alla sicurezza. I rilevamenti vengono attivati da regole personalizzate, create dal tuo team di sicurezza per il tuo ambiente Google SecOps.

I rilevamenti vengono generati quando i dati di sicurezza in entrata corrispondono ai criteri definiti in una regola. Prima dell'attivazione del RBAC dei dati, tutti gli utenti hanno visibilità su tutti i rilevamenti, indipendentemente dal tagging dell'ambito. Dopo l'attivazione dell'RBAC dei dati, gli utenti possono visualizzare solo i rilevamenti provenienti da regole associate agli ambiti assegnati.

Ad esempio, un analista della sicurezza con l'ambito dei dati finanziari vede solo i rilevamenti generati dalle regole assegnate all'ambito dei dati finanziari e non vede i rilevamenti di altre regole.

Anche le azioni che un utente può intraprendere in relazione a un rilevamento (ad esempio, contrassegnarlo come risolto) sono limitate all'ambito in cui si è verificato il rilevamento.

Rilevamenti predefiniti

I rilevamenti vengono attivati da regole personalizzate create dal tuo team della sicurezza, mentre i rilevamenti predefiniti vengono attivati da regole fornite dal team di Google Cloud Threat Intelligence (GCTI). Nell'ambito dei rilevamenti predefiniti, GCTI fornisce e gestisce un insieme di regole YARA-L per aiutarti a identificare le minacce alla sicurezza comuni all'interno del tuo ambiente Google SecOps. Per saperne di più, consulta Utilizza i rilevamenti predefiniti per identificare le minacce.

I rilevamenti predefiniti non supportano il RBAC dei dati. Solo gli utenti con ambito globale possono accedere ai rilevamenti predefiniti.

Impatto dell'RBAC dei dati su richieste e avvisi proprietari

Questa sezione riassume come configurare l'RBAC dei dati per gli avvisi e i casi proprietari all'interno di Google Security Operations.

Gli argomenti principali includono:

  • Prerequisiti: requisiti per le istanze SIEM e SOAR unificate, compatibilità dei connettori e implicazioni dell'attivazione irreversibile delle funzionalità.
  • Attivazione: passaggi di configurazione per attivare l'applicazione dell'accesso ai dati per gli scenari di applicazione SIEM esistenti e nuovi.
  • Mappatura dell'ambiente: istruzioni per stabilire i confini dei dati mappando gli ambiti SIEM definiti agli ambienti SOAR.
  • Valutazione dell'accesso: spiegazioni della propagazione dell'ambito, della logica di accesso e delle regole che regolano il raggruppamento di entità e casi.
  • Gestione del ciclo di vita: linee guida per la modifica delle mappature dell'ambiente, la creazione di richieste manuali, la gestione degli scenari di overflow e la gestione delle eliminazioni dell'ambito.
  • Monitoraggio dell'interfaccia: come verificare e filtrare gli ambiti di accesso ai dati nell'interfaccia utente di Case Management.

Per saperne di più, consulta Controlla l'accesso a richieste e avvisi di Google.

Agente di triage

L'agente di triage è un assistente basato sull'AI incorporato in Google Security Operations. Esamina gli avvisi di sicurezza per determinare se sono veri o falsi positivi e fornisce una spiegazione riassuntiva della sua valutazione.

Quando l'RBAC dei dati è abilitato, solo gli utenti con accesso ai dati globali possono attivare e visualizzare le indagini dell'agente di triage. Per saperne di più, consulta Ruoli utente.

Log non elaborati

Quando l'RBAC dei dati è abilitato, i log non elaborati analizzati e non analizzati sono accessibili solo agli utenti con ambito globale.

Tabelle dati

Le tabelle di dati sono costrutti di dati multicolonna che ti consentono di inserire i dati in Google SecOps. Possono fungere da tabelle di ricerca con colonne definite e i dati archiviati in righe. Assegnando gli ambiti a una tabella di dati, puoi controllare quali utenti e risorse possono accedervi e utilizzarla.

Autorizzazioni di accesso per gli utenti nelle tabelle di dati

Gli ambiti associati a una tabella di dati determinano il modo in cui gli utenti globali e con ambito possono interagire con la tabella. Le autorizzazioni di accesso sono riassunte nella seguente tabella:

Azione Utente globale Utente con ambito
Può creare una tabella di dati con ambito Sì Sì (solo con ambiti che corrispondono o sono un sottoinsieme degli ambiti assegnati)

Ad esempio, un utente con ambito con gli ambiti A e B può creare una tabella dati con l'ambito A o con gli ambiti A e B, ma non con gli ambiti A, B e C.
Può creare una tabella di dati senza ambito Sì No
Può aggiornare la tabella dei dati con ambito Sì Sì (solo con ambiti che corrispondono o sono un sottoinsieme degli ambiti assegnati)

Ad esempio, un utente con gli ambiti A e B può modificare una tabella di dati con l'ambito A o con gli ambiti A e B, ma non una tabella di dati con gli ambiti A, B e C.
Può aggiornare la tabella dei dati senza ambito Sì No
Può aggiornare la tabella dati con ambito a senza ambito Sì No
Può visualizzare e utilizzare la tabella dei dati con ambito Sì Sì (se esiste almeno un ambito corrispondente tra l'utente e la tabella di dati)

Ad esempio, un utente con gli ambiti A e B può utilizzare una tabella di dati con gli ambiti A e B, ma non una tabella di dati con gli ambiti C e D.
Può visualizzare e utilizzare la tabella dei dati senza ambito Sì Sì
Può eseguire query di ricerca con tabelle di dati senza ambito Sì Sì
Può eseguire query di ricerca con tabelle di dati con ambito Sì Sì (se esiste almeno un ambito corrispondente tra l'utente e la tabella di dati)

Ad esempio, un utente con ambito A può eseguire query di ricerca con tabelle di dati con ambiti A, B e C, ma non con tabelle di dati con ambiti B e C.

Elenchi di riferimento

Gli elenchi di riferimento sono raccolte di valori utilizzati per la corrispondenza e il filtro dei dati nella ricerca UDM e nelle regole di rilevamento. L'assegnazione di ambiti a un elenco di riferimento (elenco con ambito) limita l'accesso a utenti e risorse specifici, come le regole e la ricerca UDM. Un elenco di riferimento a cui non è assegnato un ambito è chiamato elenco senza ambito.

Autorizzazioni di accesso per gli utenti negli elenchi di riferimento

Gli ambiti associati a un elenco di riferimento determinano il modo in cui gli utenti globali e con ambito possono interagire con l'elenco. Le autorizzazioni di accesso sono riassunte nella seguente tabella:

Azione Utente globale Utente con ambito
Può creare un elenco con ambito Sì Sì (con ambiti che corrispondono agli ambiti assegnati o che sono un sottoinsieme degli ambiti assegnati)

Ad esempio, un utente con ambito con gli ambiti A e B può creare un elenco di riferimento con l'ambito A o con gli ambiti A e B, ma non con gli ambiti A, B e C.
Può creare un elenco senza ambito Sì No
Può aggiornare l'elenco con ambito Sì Sì (con ambiti che corrispondono agli ambiti assegnati o che sono un sottoinsieme degli ambiti assegnati)

Ad esempio, un utente con ambiti A e B può modificare un elenco di riferimento con ambito A o con ambiti A e B, ma non un elenco di riferimento con ambiti A, B e C.
Può aggiornare l'elenco senza ambito Sì No
Può aggiornare l'elenco con ambito in un elenco senza ambito Sì No
Può visualizzare e utilizzare l'elenco con ambito Sì Sì (se esiste almeno un ambito corrispondente tra l'utente e l'elenco di riferimento)

Ad esempio, un utente con gli ambiti A e B può utilizzare un elenco di riferimento con gli ambiti A e B, ma non un elenco di riferimento con gli ambiti C e D.
Può visualizzare e utilizzare l'elenco senza ambito Sì Sì
Può eseguire query di ricerca e dashboard UDM con elenchi di riferimento senza ambito Sì Sì
Può eseguire query di ricerca UDM e della dashboard con elenchi di riferimento con ambito Sì Sì (se esiste almeno un ambito corrispondente tra l'utente e l'elenco di riferimento)

Ad esempio, un utente con ambito A può eseguire query di ricerca UDM con elenchi di riferimento con ambiti A, B e C, ma non con elenchi di riferimento con ambiti B e C.

Autorizzazioni di accesso per le regole negli elenchi di riferimento

Una regola con ambito può utilizzare un elenco di riferimento se esiste almeno un ambito corrispondente tra la regola e l'elenco di riferimento. Ad esempio, una regola con ambito A può utilizzare un elenco di riferimento con ambiti A, B e C, ma non un elenco di riferimento con ambiti B e C.

Una regola con ambito globale può utilizzare qualsiasi elenco di riferimento.

Feed e forwarder

RBAC dei dati non influisce direttamente sull'esecuzione del feed e del forwarder. Tuttavia, durante la configurazione, gli utenti possono assegnare le etichette predefinite (tipo di log, spazio dei nomi o etichette di importazione) ai dati in entrata. L'RBAC dei dati viene quindi applicato alle funzionalità che utilizzano questi dati etichettati.

Dashboard

Utilizza le dashboard per creare visualizzazioni in varie origini dati. Ogni dashboard è composta da diversi grafici.

Le dashboard supportano completamente il RBAC dei dati. Questo modello di sicurezza filtra le informazioni visualizzate nei widget della dashboard in base agli ambiti assegnati.

  • Visibilità dei dati: i widget mostrano solo i risultati dei dati che corrispondono agli ambiti assegnati. Se una dashboard si basa su una query YARA-L, questa viene eseguita solo sui dati autorizzati.
  • Sovrapposizione degli ambiti: se hai più ambiti, la dashboard mostra i dati combinati di tutti gli ambiti autorizzati.
  • Controllo degli accessi: mentre l'RBAC delle funzionalità determina chi può creare o modificare una dashboard, l'RBAC dei dati determina quali dati specifici sono visibili all'interno di grafici e tabelle.

L'ambito specifico associato a una dashboard determina il livello di interazione consentito per gli utenti globali e con ambito:

  • Utenti globali: mantengono la visibilità completa e le funzionalità di gestione su tutte le dashboard, indipendentemente dall'ambito.

  • Utenti con ambito: l'interazione è limitata in base agli ambiti assegnati all'utente.

Accesso alle richieste

Le dashboard con dati SOAR, come Richieste, Cronologia delle richieste, Playbook e Avvisi, sono visibili solo agli utenti globali.

Applied Threat Intelligence e corrispondenze IOC

I dati sugli IOC e sull'Advanced Threat Intelligence (ATI) forniscono informazioni critiche sulle potenziali minacce alla sicurezza all'interno del tuo ambiente.

I rilevamenti predefiniti di ATI vengono attivati dalle regole fornite dal team ATI. Queste regole utilizzano la threat intelligence di Mandiant per identificare in modo proattivo le minacce ad alta priorità. Per saperne di più, consulta la panoramica di Applied Threat Intelligence.

Le corrispondenze degli IOC e i dati ATI derivati dai log dei clienti richiedono un ambito globale per la visibilità e non sono disponibili per gli utenti con ambiti limitati.

Analisi comportamentale di entità e utente (UEBA)

La categoria Analisi dei rischi per UEBA offre set di regole predefiniti per rilevare potenziali minacce alla sicurezza. Questi set di regole utilizzano il machine learning per attivare in modo proattivo i rilevamenti analizzando i pattern di comportamento di utenti ed entità. Per saperne di più, consulta Panoramica dell'analisi dei rischi per la categoria UEBA.

UEBA non supporta il RBAC dei dati. Solo gli utenti con ambito globale possono accedere all'analisi dei rischi per la categoria UEBA.

Dettagli delle entità in Google SecOps

I seguenti campi, che descrivono un asset o un utente, vengono visualizzati in più pagine di Google SecOps, ad esempio nel riquadro Contesto entità nella ricerca UDM. Con l'RBAC dei dati, i campi sono disponibili solo per gli utenti con ambito globale.

  • Prima visualizzazione
  • Ultima visualizzazione
  • Prevalenza

Gli utenti con ambito possono visualizzare i dati relativi alla prima e all'ultima occorrenza di utenti e asset se la prima e l'ultima occorrenza vengono calcolate in base ai dati compresi negli ambiti assegnati all'utente.

Passaggi successivi

Configura l'RBAC dei dati per gli utenti

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.