数据 RBAC 对功能的影响概览
基于角色的数据访问控制 (数据 RBAC) 是一种安全模型，可根据组织内的各个用户角色限制用户对数据的访问。在环境中配置数据 RBAC 后，您会开始在 Google Security Operations 功能中看到经过滤的数据。数据 RBAC 会根据用户分配的范围控制用户访问权限，并确保用户只能访问已获授权的信息。本页面简要介绍了数据 RBAC 如何影响各项 Google SecOps 功能。
如需了解数据 RBAC 的运作方式，请参阅数据 RBAC 概览。
搜索
搜索结果中返回的数据取决于用户的数据访问权限范围。用户只能看到与分配给他们的范围相匹配的数据结果。如果用户有多个分配的范围，则系统会在所有已获授权范围的合并数据中执行搜索。用户无权访问的范围中的数据不会显示在搜索结果中。
Cases 访问权限
SIEM 搜索中的案例和案例历史记录搜索不支持数据 RBAC 范围。拥有执行 SIEM 搜索权限的用户可以在所有数据范围内搜索案例和案例历史记录。
规则
规则是一种检测机制，用于分析提取的数据并帮助识别潜在的安全威胁。规则可分为以下几类：
限定范围的规则：与特定数据范围相关联。 限定范围的规则只能对属于该范围定义的数据执行操作。 有权访问某个范围的用户可以查看和管理该范围的规则。
全局规则：这些规则具有更广泛的可见性，可以对所有范围的数据进行操作。为了维护安全性和控制，只有具有全局范围的用户才能查看和创建全局规则。
提醒生成仅限于与规则范围匹配的事件。如果规则没有分配的范围，则会在全局范围内运行，并应用于所有数据。
数据 RBAC 会通过以下方式影响规则：
在向规则分配范围之前启用数据 RBAC：所有现有规则都会自动分配全局范围。根据您的数据访问权限控制要求，为每个规则分配范围。
在为规则分配范围之后启用数据 RBAC：即使在启用数据 RBAC 之前，限定范围的规则也会根据其定义的范围对提取的数据进行操作。这样，用户就可以看到在范围分配后生成的检测结果。
与规则关联的范围决定了全局用户和范围限定用户如何与其交互。下表汇总了访问权限：
| 操作 | 全局用户 | 限定范围的用户 |
|---|---|---|
| 可以查看限定范围的规则 | 是 | 是（仅当规则的范围在用户分配的范围内时）
例如，具有范围 A 和 B 的用户可以看到具有范围 A 的规则，但看不到具有范围 C 的规则。 |
| 可以查看全局规则 | 是 | 否 |
| 可以创建和更新限定范围的规则 | 是 | 是（仅当规则的范围在用户分配的范围内时）
例如，拥有范围 A 和 B 的用户可以创建范围 A 的规则，但不能创建范围 C 的规则。 |
| 可以创建和更新全局规则 | 是 | 否 |
检测
检测结果是表示潜在安全威胁的提醒。检测由自定义规则触发，这些规则由您的安全团队为您的 Google SecOps 环境创建。
当传入的安全数据与规则中定义的条件匹配时，系统会生成检测结果。在启用数据 RBAC 之前，所有用户都可以查看所有检测结果，无论是否有任何范围标记。启用数据 RBAC 后，用户只能看到源自与其分配的范围关联的规则的检测结果。
例如，具有财务数据范围的安全分析师只能看到由分配给财务数据范围的规则生成的检测结果，而看不到任何其他规则的检测结果。
用户可以对检测结果执行的操作（例如，将检测结果标记为已解决）也仅限于检测结果发生的范围。
精选检测
检测由安全团队创建的自定义规则触发，而精选检测由 Google Cloud Threat Intelligence (GCTI) 团队提供的规则触发。作为精选检测的一部分，GCTI 提供并管理一组 YARA-L 规则，以帮助您识别 Google SecOps 环境中的常见安全威胁。如需了解详情，请参阅使用精选检测功能识别威胁。
精选检测不支持数据 RBAC。只有具有全局范围的用户才能访问精选检测。
数据 RBAC 对第一方案例和提醒的影响
本部分总结了如何在 Google Security Operations 中为第一方提醒和案例配置数据 RBAC。
主要主题包括：
- 前提条件：统一 SIEM 和 SOAR 实例的要求、连接器兼容性，以及启用不可逆功能的影响。
- 启用：在现有和新的 SIEM 强制执行场景中启用数据访问强制执行的配置步骤。
- 环境映射：通过将定义的 SIEM 范围映射到 SOAR 环境来建立数据边界的说明。
- 访问权限评估：说明范围传播、访问权限逻辑以及管理实体和案例分组的规则。
- 生命周期管理：有关修改环境映射、创建手动案例、处理溢出场景以及解决范围删除问题的指南。
- 界面监控：如何在支持请求管理界面中验证和过滤数据访问权限范围。
如需了解详情，请参阅控制对第一方案例和提醒的访问权限。
分类代理
分类智能体是 Google Security Operations 中嵌入的 AI 赋能助理。它会调查安全提醒，以确定它们是真正例还是假正例，并提供其评估的摘要说明。
启用数据 RBAC 后，只有拥有全局数据访问权限的用户才能触发和查看 Triage Agent 调查。如需了解详情，请参阅用户角色。
原始日志
启用数据 RBAC 后，只有具有全局范围的用户才能访问已解析和未解析的原始日志。
数据表
数据表是多列数据结构，可让您将自己的数据输入到 Google SecOps。它们可以充当包含已定义列且在行中存储了数据的对照表。通过为数据表分配范围，您可以控制哪些用户和资源可以访问和利用该数据表。
数据表中用户的访问权限
与数据表关联的范围决定了全局用户和范围用户可以如何与其交互。下表总结了访问权限：
| 操作 | 全局用户 | 限定范围的用户 |
|---|---|---|
| 可以创建限定范围的数据表 | 是 | 是（仅限与分配给他们的范围匹配或属于其子集的范围） 例如，具有范围 A 和 B 的限定范围内的用户可以创建具有范围 A 或具有范围 A 和 B 的数据表，但不能创建具有范围 A、B 和 C 的数据表。 |
| 可以创建无范围的数据表 | 是 | 否 |
| 可以更新限定范围的数据表 | 是 | 是（仅限与分配给他们的范围匹配或属于其子集的范围） 例如，具有范围 A 和 B 的用户可以修改具有范围 A 或范围 A 和 B 的数据表，但不能修改具有范围 A、B 和 C 的数据表。 |
| 可以更新无范围的数据表 | 是 | 否 |
| 可以将限定范围的数据表更新为不限定范围 | 是 | 否 |
| 可以查看和使用限定范围的数据表 | 是 | 是（如果用户和数据表之间至少有一个匹配的范围） 例如，具有范围 A 和 B 的用户可以使用具有范围 A 和 B 的数据表，但不能使用具有范围 C 和 D 的数据表。 |
| 可以查看和使用无范围的数据表 | 是 | 是 |
| 可以对无范围的数据表运行搜索查询 | 是 | 是 |
| 可以使用限定范围的数据表运行搜索查询 | 是 | 是（如果用户和数据表之间至少有一个匹配的范围） 例如，具有范围 A 的用户可以对具有范围 A、B 和 C 的数据表运行搜索查询，但不能对具有范围 B 和 C 的数据表运行搜索查询。 |
参考列表
参考列表是用于在 UDM 搜索和检测规则中匹配和过滤数据的值集合。为参考列表（限定范围的列表）分配范围会限制其对特定用户和资源（例如规则和 UDM 搜索）的访问权限。未分配范围的参考列表称为无范围列表。
参考名单中用户的访问权限
与参考列表关联的范围决定了全局用户和范围用户可以如何与其互动。下表总结了访问权限：
| 操作 | 全局用户 | 限定范围的用户 |
|---|---|---|
| 可以创建限定范围的列表 | 是 | 是（具有与其分配的范围匹配或属于其分配的范围子集的范围）
例如，具有范围 A 和 B 的限定范围内的用户可以创建具有范围 A 或范围 A 和 B 的参考列表，但不能创建具有范围 A、B 和 C 的参考列表。 |
| 可以创建未限定范围的列表 | 是 | 否 |
| 可以更新限定范围的列表 | 是 | 是（具有与其分配的范围匹配或属于其分配的范围子集的范围）
例如，具有范围 A 和 B 的用户可以修改具有范围 A 或范围 A 和 B 的参考列表，但无法修改具有范围 A、B 和 C 的参考列表。 |
| 可以更新无范围列表 | 是 | 否 |
| 可以将限定范围的列表更新为不限定范围的列表 | 是 | 否 |
| 可以查看和使用限定范围的列表 | 是 | 是（如果用户和参考名单之间至少有一个匹配的范围）
例如，拥有范围 A 和 B 的用户可以使用具有范围 A 和 B 的参考列表，但不能使用具有范围 C 和 D 的参考列表。 |
| 可以查看和使用无范围限制的列表 | 是 | 是 |
| 可以使用无范围参考列表运行 UDM 搜索和信息中心查询 | 是 | 是 |
| 可以使用限定范围的参考列表运行 UDM 搜索和信息中心查询 | 是 | 是（如果用户和参考名单之间至少有一个匹配的范围）
例如，具有范围 A 的用户可以使用范围 A、B 和 C 的参考列表运行 UDM 搜索查询，但不能使用范围 B 和 C 的参考列表。 |
参考列表中的规则的访问权限
如果规则和参考列表之间至少有一个匹配的范围，则限定范围的规则可以使用参考列表。例如，范围为 A 的规则可以使用范围为 A、B 和 C 的参考列表，但不能使用范围为 B 和 C 的参考列表。
具有全局范围的规则可以使用任何参考列表。
Feed 和转发器
数据 RBAC 不会直接影响 Feed 和转发器的执行。不过，在配置期间，用户可以为传入的数据分配默认标签（日志类型、命名空间或提取标签）。然后，数据 RBAC 会应用于使用此标记数据的功能。
信息中心
使用信息中心，您可以跨各种数据源构建可视化图表。每个信息中心都由不同的图表组成。
信息中心完全支持数据 RBAC。此安全模型会根据您分配的范围过滤信息中心微件中显示的信息。
- 数据公开范围：微件仅显示与您分配的范围匹配的数据结果。如果信息中心依赖于 YARA-L 查询，则该查询仅针对授权数据执行。
- 范围重叠：如果您有多个范围，信息中心会显示所有已获授权范围的合并数据。
- 访问权限控制：功能 RBAC 决定了谁可以创建或修改信息中心，而数据 RBAC 则决定了图表和表格中显示哪些特定数据。
与信息中心关联的具体范围决定了全局用户和范围限定用户的互动级别：
全局用户：无论范围如何，都可以全面了解和管理所有信息中心。
限定范围的用户：互动会根据用户分配的范围受到限制。
支持请求访问权限
包含 SOAR 数据（例如案例、案例历史记录、playbook 和提醒）的信息中心仅对全局用户可见。
实用威胁情报和 IOC 匹配项
IOC 和高级威胁情报 (ATI) 数据可提供有关环境中潜在安全威胁的关键信息。
ATI 精选检测由 ATI 团队提供的规则触发。这些规则使用 Mandiant 威胁情报主动识别高优先级威胁。如需了解详情，请参阅 Applied Threat Intelligence 概览。
IOC 匹配和源自客户日志的 ATI 数据需要全局范围才能查看，并且不适用于范围受限的用户。
用户和实体行为分析 (UEBA)
“UEBA 风险分析”类别提供预构建的规则集，用于检测潜在的安全威胁。这些规则集使用机器学习技术，通过分析用户和实体行为模式来主动触发检测。如需了解详情，请参阅UEBA 类别的风险分析概览。
UEBA 不支持数据 RBAC。只有具有全局范围的用户才能访问 UEBA 类别的风险分析。
Google SecOps 中的实体详细信息
以下字段用于描述资产或用户，会显示在 Google SecOps 的多个页面上，例如 UDM 搜索中的实体上下文面板。 使用数据 RBAC 时，这些字段仅适用于具有全局范围的用户。
- 首次出现时间
- 上次出现时间
- 普及率
如果首次看到和最后看到的数据是根据用户分配的范围中的数据计算得出的，则限定范围的用户可以查看用户和资产的首次看到和最后看到的数据。