Collega un'istanza a Google Cloud

Supportata in:

Questo documento descrive come collegare un'istanza Google SecOps a un nuovo abbonamento.

Scenari di attivazione dell'abbonamento

Questo documento si applica ai seguenti scenari di attivazione dell'abbonamento:

Per i nuovi clienti:

  • Per eseguire il provisioning di una nuova istanza Google SecOps per la prima volta.
  • Per conservare i dati del proof of concept (POC) completato di recente.

Per i clienti esistenti:

  • Per attivare i rinnovi degli abbonamenti e gli emendamenti contrattuali per le istanze Google SecOps esistenti.

Scenari di Subscription Linking non trattati in questo documento

I seguenti scenari di collegamento delle istanze richiedono azioni diverse che non sono descritte in questo documento:

  • Collega un'istanza di un fornitore di servizi di sicurezza gestiti (MSSP):

    Per collegare l'istanza Google SecOps iniziale per un fornitore di servizi di sicurezza gestiti (MSSP), contatta il tuo rappresentante di Google (o, se non è disponibile, l'assistenza Google SecOps) per ricevere assistenza con la configurazione. Se il tuo abbonamento MSSP è già attivo e collegato, puoi eseguire il deployment di istanze aggiuntive utilizzando il flusso self-service nella console Google Cloud. Per maggiori dettagli, vedi Esegui il deployment di un'istanza aggiuntiva.

  • Tenant (istanze) controllati per la conformità:

    • Un tenant (istanza) controllato per la conformità è conforme a uno dei seguenti standard di controllo della conformità: FedRAMP, FedRAMP_MODERATE, HIPAA, PCI_DSS, FedRAMP_HIGH, IL4, IL5, CMEK_V1 o DRZ_ADVANCED.

    • Per un tenant (istanza) controllato dalla conformità, contatta il tuo rappresentante di Google (o, se non è disponibile, rivolgiti all'assistenza Google SecOps). Forniscono un invito separato che segue un workflow diverso per i tenant controllati per la conformità.

      Nel workflow controllato dalla conformità, tieni presente quanto segue:

      • Devi individuare un tenant (istanza) controllato dalla conformità in un progetto all'interno di una cartella Assured Workloads. Per maggiori dettagli, consulta Federazione delle identità per la forza lavoro.

      • Quando selezioni un progetto Google Cloud per contenere un tenant controllato dalla conformità:

        1. Seleziona una cartella Assured Workloads per aprirla.
        2. All'interno della cartella Assured Workloads, fai clic sul nome di un progettoGoogle Cloud .
        3. Completa la configurazione come descritto in Configura l'IdP.

  • Esegui la migrazione di un'istanza Google SecOps non POC da un progetto Google Cloud a un progetto Bring Your Own Project (BYOP) Google Cloud

    Puoi eseguire la migrazione dell'istanza Google SecOps (e dei relativi dati) da un progetto Google Cloud a un progetto Bring Your Own Project (BYOP) Google Cloud . Per maggiori dettagli, consulta Esegui la migrazione di un progetto non POC a un BYOP.

  • Esegui la migrazione di un'istanza Google SecOps legacy esistente:

    Puoi eseguire la migrazione di un'istanza Google SecOps legacy esistente a Google Cloud se soddisfa una delle seguenti condizioni:

    • Non è stato eseguito il deployment nel tuo progetto Google Cloud .
    • Non utilizza l'autenticazione Google Cloud (federazione delle identità per la forza lavoro/Cloud Identity).
    • Non utilizza Google Cloud Identity and Access Management (IAM) per il controllo degli accessi basato su ruoli (RBAC).

    Per eseguire la migrazione di un'istanza Google SecOps esistente, segui i passaggi descritti nella guida Esegui la migrazione dell'infrastruttura SIEM legacy a Google Cloud.

Prima di iniziare

Prima di poter utilizzare un'istanza Google SecOps con i servizi Google Cloud, devi:

  • Verifica le autorizzazioni. Assicurati di disporre delle autorizzazioni necessarie per completare i passaggi descritti in questo documento. Per informazioni sulle autorizzazioni richieste per ogni fase del processo di onboarding, consulta Ruoli e autorizzazioni richiesti.

Prima di poter creare una nuova istanza Google SecOps con i servizi Google Cloud, devi:

  • Scegli un progetto Google Cloud : puoi creare un nuovo progetto Google Cloudper la tua istanza Google SecOps o collegarlo a un progetto Google Cloud esistente.

    Per creare un nuovo progetto Google Cloud e abilitare l'API Chronicle, segui i passaggi descritti in Configura un progetto Google Cloud per Google SecOps.

  • Pianifica la configurazione del provider di identità (IdP) per l'istanza Google SecOps:

    La tua istanza di Google SecOps utilizza il Single Sign-On (SSO) e i provider di identità (IdP) per l'autenticazione degli utenti e per applicare controlli di accesso sicuri. Configura una delle seguenti opzioni per gestire utenti, gruppi e autenticazione per la tua istanza di Google SecOps: Cloud Identity, Google Workspace o un provider di identità di terze parti (come Okta o Azure AD):

  • Configura le regole per i Controlli di servizio VPC:

    Se la tua organizzazione utilizza i Controlli di servizio VPC, devi configurare le regole in entrata e in uscita pertinenti, documentate in Configura i Controlli di servizio VPC per Google SecOps.

  • Configura le regole della lista consentita per firewall e proxy:

    Se la tua organizzazione utilizza firewall o proxy web, consenti le connessioni HTTPS e WebSocket Secure (WSS) in uscita sulla porta TCP 443 ai domini richiesti. Per saperne di più, consulta Accesso alla rete e lista consentita dei domini.

Collega un'istanza Google SecOps a un nuovo abbonamento

Dopo che la tua organizzazione ha firmato il nuovo contratto di abbonamento a Google SecOps, Google invia un'email di attivazione dell'abbonamento all'esperto in materia di onboarding della tua organizzazione (il tuo punto di contatto tecnico) nella data di inizio dell'abbonamento. Questa email contiene le istruzioni per l'attivazione dell'abbonamento e un link di attivazione monouso, valido per 60 giorni.

Per collegare la tua istanza Google SecOps a un nuovo abbonamento, completa i seguenti passaggi:

  1. Attiva l'abbonamento
  2. Seleziona il progetto Google Cloud
  3. Aggiungi contatti fondamentali
  4. Verifica i dettagli del deployment
  5. Avvia la configurazione dell'istanza

Attiva l'abbonamento

Completa l'attivazione dell'abbonamento a Google SecOps:

  1. Leggi le istruzioni di attivazione nell'email di attivazione.

  2. Fai clic sul link Attiva l'abbonamento per aprire la pagina di attivazione di Google Security Operations.

  3. La pagina di attivazione mostra i diritti del tuo abbonamento.

    Leggi e controlla i dettagli dei diritti di abbonamento e l'ID account di fatturazione.

    • Se tutti i dettagli sono corretti, seleziona la casella di controllo Ho… accettato di procedere con l'attivazione. Prendi nota dell'ID account di fatturazione da utilizzare nei passaggi successivi.
    • Per aggiornare i dettagli dei diritti, contatta il tuo rappresentante di Google (o, se non è disponibile, contatta l'assistenza di Google SecOps).

  4. Nella sezione Inizia con un'istanza SecOps esistente o creane una nuova, collega il nuovo abbonamento a un'istanza esistente o crea una nuova istanza in base ai requisiti di attivazione:

    • Per creare una nuova istanza di Google SecOps per un nuovo abbonamento:

      Seleziona Crea nuova istanza per aprire la pagina Collega SecOps a un progetto.

    • Per rinnovare un abbonamento a Google SecOps esistente o applicare un emendamento all'abbonamento:

      1. Seleziona Istanza esistente.

        Il sistema visualizza un elenco di istanze Google SecOps esistenti collegate all'account di fatturazione. Dopo l'attivazione, il sistema applica i nuovi diritti di abbonamento a tutte queste istanze collegate.

      2. Controlla che l'elenco delle istanze sia corretto.

        Se nell'elenco mancano delle istanze, esegui una delle seguenti operazioni:

        • Verifica che gli account di fatturazione dei Google Cloud progetti che ospitano le istanze mancanti corrispondano all'account di fatturazione del nuovo abbonamento. Se non corrispondono, aggiorna gli account di fatturazione dei progetti Google Cloud in modo che corrispondano all'account di fatturazione del nuovo abbonamento.
        • Contatta il tuo rappresentante di Google (o, se non è disponibile, l'assistenza di Google SecOps).

      3. (Facoltativo) Se vuoi creare una nuova istanza di Google SecOps aggiuntiva contemporaneamente all'attivazione dell'abbonamento, seleziona la casella di controllo Voglio creare una nuova istanza….

      4. Fai clic su Attiva abbonamento.

        Il sistema applica i nuovi diritti di abbonamento a tutte le istanze collegate a questo account di fatturazione.

  1. Nella pagina Collega SecOps a un progetto, fai clic su Seleziona un progetto per aprire la pagina Seleziona una risorsa.

  2. Nella pagina Seleziona una risorsa, seleziona la tua organizzazione dall'elenco.

  3. (Facoltativo) Ti consigliamo di creare un nuovo progetto Google Cloud dedicato per ogni istanza di Google SecOps.

    Fai clic su Nuovo progetto per creare un nuovo progetto Google Cloud per la tua istanza e segui i passaggi descritti in Configura un progetto Google Cloud per Google SecOps.

  4. Seleziona un progetto Google Cloud dall'elenco Progetti e cartelle come segue:

    • Criteri di selezione dei progetti:

      • Non puoi selezionare un progetto o una cartella con un'icona di avviso Avviso accanto. Per visualizzare il motivo, tieni il puntatore sopra l'icona, ad esempio autorizzazioni mancanti o mancata corrispondenza dell'account di fatturazione.

        • Il progetto deve utilizzare lo stesso account di fatturazione dell'istanza Google SecOps.

        • Puoi collegare il progetto Google Cloud a un'unica istanza di Google SecOps.

        • Devi disporre delle autorizzazioni IAM necessarie per accedere e lavorare con il progetto. Consulta Autorizzazioni per aggiungere un progetto Google Cloud .

    • Seleziona un progetto Google Cloud :

      • Fai clic sul nome del progetto Google Cloud .

      • Dopo aver selezionato un progetto, se vuoi selezionarne un altro, segui questi passaggi: nella pagina Collega SecOps a un progetto, fai clic sul progetto per aprire la pagina Seleziona una risorsa e seleziona un altro progetto.

Aggiungi contatti fondamentali

Aggiungi contatti per ricevere notifiche critiche relative a problemi tecnici, di sicurezza, legali e di fatturazione.

Dopo aver selezionato un progetto, viene visualizzata la tabella Contatti essenziali. Questa tabella mostra le Categorie di notifica e gli indirizzi Email che hai assegnato come contatti. Devi assegnare un contatto ad almeno queste quattro categorie obbligatorie: tecnico, sicurezza, legale e fatturazione.

Assegna un contatto a una categoria di notifica nel seguente modo:

  1. Per aprire la finestra Modifica contatto, fai clic su Aggiungi contatto o su modifica Modifica in una categoria di notifica con un contatto esistente.

  2. Inserisci l'indirizzo email della persona di contatto e seleziona una o più categorie di notifica.

  3. Fai clic su Salva.

    Ripeti i passaggi per la categoria di notifiche successiva.

  4. Dopo aver assegnato i contatti, fai clic su Avanti per collegare l'istanza Google SecOps al progetto selezionato e apri la pagina Deployment.

Verifica i dettagli del deployment

La pagina Deployment mostra i dettagli finali da esaminare prima di eseguire il deployment.

Convalida i dettagli in ogni sezione precompilata:

  1. Dettagli deployment

    Questa sezione mostra i dettagli dell'istanza impostati dal contratto, ad esempio azienda, regione, livello del pacchetto e durata della conservazione dei dati.

    • Per visualizzare le informazioni sull'istanza, vai a https://console.cloud.google.com/security/chronicle/settings.

    • Per aggiornare le informazioni, contatta il tuo rappresentante di Google (o, se non è disponibile, l'assistenza Google SecOps).

    Fai clic su Avanti per passare alla sezione successiva.

  2. Rivedi il service account

    Esamina i dettagli del account di servizio creato dal sistema. Fai clic su Avanti per passare alla sezione successiva.

  3. Configura il Single Sign-On (SSO)

    Scegli una delle seguenti opzioni del provider SSO in base al provider di identità che utilizzi per gestire l'accesso di utenti e gruppi a Google SecOps:

    • Google Cloud Identity: per utilizzare Cloud Identity o Google Workspace.

    • Federazione delle identità per la forza lavoro: il tuo provider di identità di terze parti.

      Se il tuo provider di identità non è elencato, configuralo e selezionalo dall'elenco. Per maggiori dettagli, consulta Configura un provider di identità di terze parti.

      Fai clic su Avanti per passare alla sezione successiva.

  4. Termini di servizio

    Seleziona la casella di controllo Accetto… per accettare i termini.

Avvia la configurazione dell'istanza

Fai clic su Avvia configurazione per configurare l'istanza di Google SecOps in base ai dettagli visualizzati.

Il sistema verifica se l'API Chronicle è abilitata. Se l'API è abilitata, esegue il processo di deployment, che può richiedere fino a 30 minuti.

  • Al termine del deployment, il sistema ti invia una notifica.
  • Se il deployment non va a buon fine, contatta il tuo rappresentante di Google (o, se non è disponibile, contatta l'assistenza di Google SecOps).

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.