קישור של מכונה אל Google Cloud

נתמך ב:

במאמר הזה מוסבר איך לקשר מכונה של Google SecOps למינוי חדש.

תרחישים של הפעלת מינוי

המסמך הזה רלוונטי לתרחישים הבאים של הפעלת מינויים:

ללקוחות חדשים:

  • כדי להקצות מכונה חדשה של Google SecOps בפעם הראשונה.
  • כדי לשמור את נתוני ה-POC מהוכחת ההיתכנות (POC) שהשלמתם לאחרונה.

ללקוחות קיימים:

  • כדי להפעיל חידושי מינויים ותיקונים בחוזה של מכונות Google SecOps קיימות.

תרחישים של Subscription Linking שלא נכללים במסמך הזה

התרחישים הבאים של קישור מכונות דורשים פעולות שונות שלא מתוארות במסמך הזה:

  • קישור של מופע של ספק שירותי אבטחה מנוהלים (MSSP):

    כדי לקשר את המכונה הראשונית של Google SecOps לספק שירותי אבטחה מנוהלים (MSSP), פנו לנציג Google (או אם הוא לא זמין, פנו לתמיכה של Google SecOps) כדי לקבל עזרה בהגדרה. אם המינוי ל-MSSP כבר פעיל ומקושר, אתם יכולים לפרוס מכונות נוספות באמצעות תהליך השירות העצמי במסוף Google Cloud. פרטים נוספים זמינים במאמר פריסת מכונה נוספת.

  • דיירים (מופעים) עם בקרת תאימות:

    • דייר (מופע) עם בקרת תאימות עומד באחד מתקני בקרת התאימות הבאים: FedRAMP,‏ FedRAMP_MODERATE,‏ HIPAA,‏ PCI_DSS,‏ FedRAMP_HIGH,‏ IL4,‏ IL5,‏ CMEK_V1 או DRZ_ADVANCED.

    • אם מדובר בדייר (מופע) מבוקר תאימות, פנו לנציג Google (או לתמיכה של Google SecOps אם הנציג לא זמין). הם מספקים הזמנה נפרדת שפועלת לפי תהליך עבודה שונה לדיירים עם בקרת תאימות.

      בתהליך העבודה המבוקר, שימו לב לנקודות הבאות:

      • אתם צריכים לאתר דייר (מופע) עם תאימות מבוקרת בפרויקט בתיקייה של Assured Workloads. פרטים נוספים זמינים במאמר איחוד שירותי אימות הזהות של כוח עבודה.

      • כשבוחרים פרויקט ב- Google Cloud שיכיל דייר (tenant) שמנוהל בהתאם לתקנות:

        1. בוחרים תיקיית Assured Workloads כדי לפתוח אותה.
        2. בתיקיית Assured Workloads, לוחצים על שם הפרויקט ב-Google Cloud .
        3. משלימים את ההגדרה כפי שמתואר בקטע הגדרת ה-IdP.

  • העברת מכונה של Google SecOps שאינה POC מפרויקט Google Cloud לפרויקט Bring Your Own Project (BYOP)‎‏ ( Google Cloud )

    אתם יכולים להעביר את המכונה של Google SecOps (והנתונים שלה) מפרויקט Google Cloud לפרויקט Bring Your Own Project (BYOP) ב- Google Cloud . פרטים נוספים זמינים במאמר העברת פרויקט שאינו POC ל-BYOP.

  • העברה של מכונה קיימת מדור קודם של Google SecOps:

    אתם יכולים להעביר מכונה קיימת מדור קודם של Google SecOps אל Google Cloud אם היא עומדת באחד מהתנאים הבאים:

    • לא פרוס בפרויקט Google Cloud .
    • לא משתמש באימות של Google Cloud (איחוד שירותי אימות הזהות של כוח עבודה או Cloud Identity).
    • לא משתמש ב Google Cloud ניהול זהויות והרשאות גישה (IAM) לבקרת גישה מבוססת-תפקיד (RBAC).

    כדי להעביר מכונה קיימת של Google SecOps, צריך לפעול לפי השלבים במדריך העברת תשתית SIEM מדור קודם ל-Google Cloud.

לפני שמתחילים

כדי להשתמש במכונה של Google SecOps עם שירותי Google Cloud, צריך לבצע את הפעולות הבאות:

  • בודקים את ההרשאות. חשוב לוודא שיש לכם את ההרשאות הנדרשות כדי לבצע את השלבים שמפורטים במאמר הזה. במאמר תפקידים והרשאות נדרשים מפורטות ההרשאות הנדרשות לכל שלב בתהליך ההצטרפות.

לפני שיוצרים מכונה חדשה של Google SecOps עם שירותי Google Cloud, צריך לבצע את הפעולות הבאות:

  • בחירת Google Cloud פרויקט: אתם יכולים ליצור פרויקט חדש ב- Google Cloudלמכונה של Google SecOps או לקשר אותה לפרויקט קיים ב- Google Cloud .

    כדי ליצור פרויקט חדש ב- Google Cloud ולהפעיל את Chronicle API, פועלים לפי ההוראות במאמר הגדרת פרויקט ב- Google Cloud ל-Google SecOps.

  • תכנון ההגדרה של ספק הזהויות (IdP) למכונה של Google SecOps:

    מופע Google SecOps משתמש בכניסה יחידה (SSO) ובספקי זהויות (IdP) כדי לאמת משתמשים ולאכוף אמצעי בקרה לגישה מאובטחת. כדי לנהל משתמשים, קבוצות ואימות במכונה של Google SecOps, צריך להגדיר את אחת מהאפשרויות הבאות: Cloud Identity,‏ Google Workspace או ספק זהויות של צד שלישי (כמו Okta או Azure AD):

  • הגדרת כללים ל-VPC Service Controls:

    אם הארגון שלכם משתמש ב-VPC Service Controls, אתם צריכים להגדיר את הכללים הרלוונטיים לתעבורת נתונים נכנסת ויוצאת, שמתועדים במאמר הגדרת VPC Service Controls ל-Google SecOps.

  • הגדרת כללים לרשימת ההיתרים של חומת האש ושרת ה-proxy:

    אם בארגון שלכם משתמשים בחומות אש או בשרתי proxy לאינטרנט, צריך לאפשר חיבורי HTTPS יוצאים וחיבורי WebSocket Secure (WSS)‎ ביציאת TCP 443 לדומיינים הנדרשים. מידע נוסף על גישה לרשת ורשימת הדומיינים המותרים

קישור של מכונת Google SecOps למינוי חדש

אחרי שהארגון שלכם חותם על חוזה המינוי החדש ל-Google SecOps, ‏ Google שולחת אימייל להפעלת המינוי למומחה להכשרת עובדים חדשים בארגון (איש הקשר הטכני שלכם) בתאריך ההתחלה של המינוי. האימייל הזה מכיל הוראות להפעלת המינוי וקישור חד-פעמי להפעלה, שתקף למשך 60 ימים.

כדי לקשר את המכונה של Google SecOps למינוי חדש:

  1. הפעלת המינוי
  2. בוחרים את הפרויקט Google Cloud .
  3. הוספת אנשי קשר חיוניים
  4. אימות פרטי הפריסה
  5. התחלת הגדרת המכונה

הפעלת המינוי

משלימים את הפעלת המינוי ל-Google SecOps:

  1. קוראים את הוראות ההפעלה בהודעת האימייל להפעלה.

  2. לוחצים על הקישור Activate Your Subscription כדי לפתוח את הדף Google Security Operations activation.

  3. בדף ההפעלה מוצגות ההרשאות של המינוי.

    קוראים ובודקים את פרטי הרשאת המינוי ואת מזהה החשבון לחיוב.

    • אם כל הפרטים נכונים, מסמנים את התיבה אני מסכים/ה להמשיך בתהליך ההפעלה. שימו לב למזהה החשבון לחיוב, כי תצטרכו אותו בשלבים הבאים.
    • כדי לעדכן את פרטי ההרשאה, פנו לנציג Google (או לGoogle SecOps Support אם הוא לא זמין).

  4. בקטע Create or start with an existing SecOps instance, מקשרים את המינוי החדש למכונה קיימת או יוצרים מכונה חדשה בהתאם לדרישות ההפעלה:

    • כדי ליצור מכונה חדשה של Google SecOps למינוי חדש:

      לוחצים על Create New Instance כדי לפתוח את הדף Link SecOps to a project.

    • כדי לחדש מינוי קיים ל-Google SecOps או להחיל תיקון במינוי:

      1. בוחרים באפשרות Existing Instance.

        המערכת מציגה רשימה של מכונות קיימות של Google SecOps שמקושרות לחשבון לחיוב. אחרי ההפעלה, המערכת מחילה את הרשאות המינוי החדשות על כל המופעים המקושרים האלה.

      2. בודקים שרשימת המכונות נכונה.

        אם חסרים מופעים ברשימה, מבצעים את אחת מהפעולות הבאות:

        • בודקים שהחשבונות לחיוב של הפרויקטים ב- Google Cloud שמארחים את המכונות החסרות תואמים לחשבון לחיוב של המינוי החדש. אם הם לא תואמים, צריך לעדכן את החשבונות לחיוב של Google Cloud הפרויקטים כך שיתאימו לחשבון לחיוב של המינוי החדש.
        • פונים לנציג Google (או לצוות התמיכה של Google SecOps אם הנציג לא זמין).

      3. (אופציונלי) אם רוצים ליצור עוד מכונה חדשה של Google SecOps במקביל להפעלת המינוי, מסמנים את התיבה אני רוצה ליצור מכונה חדשה….

      4. לוחצים על הפעלת המינוי.

        המערכת מחילה את הרשאות המינוי החדשות על כל המכונות שמקושרות לחשבון הזה לחיוב.

  1. בדף Link SecOps to a project, לוחצים על Select a project כדי לפתוח את הדף Select a resource.

  2. בדף Select a resource, בוחרים את ה-Organization מהרשימה.

  3. אופציונלי: מומלץ ליצור פרויקט חדש ב- Google Cloud לכל מכונה של Google SecOps.

    לוחצים על New Project כדי ליצור פרויקט חדש ב- Google Cloud למכונה, ופועלים לפי השלבים שמפורטים בקטע הגדרת פרויקט ב- Google Cloud ל-Google SecOps.

  4. בוחרים פרויקט Google Cloud מהרשימה Projects and folders:

    • הקריטריונים לבחירת פרויקטים:

      • אי אפשר לבחור פרויקט או תיקייה שמופיע לידם סמל האזהרה Warning. כדי לראות את הסיבה, מעבירים את העכבר מעל הסמל – למשל, חוסר בהרשאות או חוסר התאמה בחשבון לחיוב.

        • בפרויקט צריך להשתמש באותו חשבון לחיוב כמו במכונה של Google SecOps.

        • אפשר לקשר את הפרויקט ב- Google Cloud רק למכונה אחת של Google SecOps.

        • כדי לגשת לפרויקט ולעבוד איתו, אתם צריכים את הרשאות ה-IAM הנדרשות. ראו הרשאות להוספת פרויקט ב- Google Cloud .

    • בוחרים Google Cloud פרויקט:

      • לוחצים על שם הפרויקט ב- Google Cloud .

      • אם בחרתם פרויקט ואתם רוצים לבחור פרויקט אחר, בדף Link SecOps to a project לוחצים על הפרויקט כדי לפתוח את הדף Select a resource ובוחרים פרויקט אחר.

הוספת אנשי קשר חיוניים

כדאי להוסיף אנשי קשר כדי לקבל התראות קריטיות לגבי בעיות טכניות, בעיות אבטחה, בעיות משפטיות ובעיות בחיוב.

אחרי שבוחרים פרויקט, מופיעה הטבלה Essential contacts. בטבלה הזו מוצגות קטגוריות של התראות וכתובות אימייל שהקציתם כאנשי קשר. אתם צריכים להקצות איש קשר לפחות לארבע הקטגוריות הבאות: טכני, אבטחה, משפטי וחיוב.

כדי להקצות איש קשר לקטגוריית התראות:

  1. כדי לפתוח את החלון Edit contact, לוחצים על Add contact או על edit Edit בקטגוריית התראות שיש בה איש קשר קיים.

  2. מזינים את כתובת האימייל של איש הקשר ובוחרים קטגוריה אחת או יותר של התראות.

  3. לוחצים על Save.

    חוזרים על השלבים בקטגוריית ההתראות הבאה.

  4. אחרי שמקצים את אנשי הקשר, לוחצים על Next כדי לקשר את המכונה של Google SecOps לפרויקט שנבחר, ופותחים את הדף Deployment.

אימות פרטי הפריסה

בדף Deployment מוצגים הפרטים הסופיים לבדיקה לפני הפריסה.

מאמתים את הפרטים בכל אחד מהקטעים שמולאו מראש:

  1. פרטי הפריסה

    בקטע הזה מוצגים פרטי המכונה שמוגדרים בחוזה, למשל החברה, האזור, רמת החבילה ומשך שמירת הנתונים.

    • כדי לראות את פרטי המכונה, נכנסים לכתובתhttps://console.cloud.google.com/security/chronicle/settings.

    • כדי לעדכן את הפרטים, פנו לנציג Google (או לתמיכה של Google SecOps אם הוא לא זמין).

    לוחצים על הבא כדי לעבור לקטע הבא.

  2. בדיקת חשבון השירות

    בודקים את הפרטים של חשבון השירות שהמערכת יוצרת. לוחצים על הבא כדי לעבור לקטע הבא.

  3. הגדרת כניסה יחידה (SSO)

    בוחרים אחת מהאפשרויות הבאות של ספק SSO, בהתאם לספק הזהויות שבו אתם משתמשים כדי לנהל את הגישה של המשתמשים והקבוצות ל-Google SecOps:

    • ‫Google Cloud Identity: כדי להשתמש ב-Cloud Identity או ב-Google Workspace.

    • איחוד שירותי אימות הזהות של כוח עבודה: ספק הזהויות של הצד השלישי.

      אם ספק הזהויות שלכם לא מופיע ברשימה, צריך להגדיר אותו ואז לבחור אותו מהרשימה. פרטים נוספים זמינים במאמר הגדרה של ספק זהויות של צד שלישי.

      לוחצים על הבא כדי לעבור לקטע הבא.

  4. תנאים והגבלות

    מסמנים את התיבה אני מסכים/ה לתנאים… כדי לאשר את התנאים.

התחלת הגדרת המכונה

לוחצים על התחלת ההגדרה כדי להגדיר את מכונת Google SecOps לפי הפרטים שמוצגים.

המערכת בודקת אם Chronicle API מופעל. אם ה-API מופעל, הוא מריץ את תהליך הפריסה, שיכול להימשך עד 30 דקות.

  • כשהפריסה מסתיימת, המערכת שולחת לכם התראה.
  • אם הפריסה נכשלת, פנו לנציג Google (או אם הוא לא זמין, פנו לתמיכה של Google SecOps).

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.