פריסת מכונה נוספת

נתמך ב:

Google SecOps

המדריך הזה עוזר למנהלי פלטפורמות ולמהנדסי אבטחה לפרוס מכונות נוספות של Google SecOps במינוי מאוחד קיים. במאמר מוסבר איך להקצות ולקשר מכונות חדשות באמצעות תהליך העבודה בשירות עצמי במסוף Google Cloud . בשיטה הזו, אתם יכולים להרחיב את פעולות האבטחה של ריבוי דיירים ביחידות עסקיות, בחברות בת או בלקוחות מנוהלים, בלי לחכות לסיוע ידני מהתמיכה. פריסה מוצלחת מייעלת את בידוד הסביבה תוך שמירה על אפס זמן השבתה של מכונות פעילות קיימות.

תרחישים נפוצים לדוגמה

בתרחישים הבאים לדוגמה מתואר איך ארגונים פורסים מכונות נוספות כדי לבודד סביבות ולהרחיב את הפעילות:

בידוד של יחידות עסקיות וחברות בת

• המטרה: פריסת מכונות ייעודיות ליחידות עסקיות, לחברות בת או לסביבות תפעוליות שונות (כמו פיתוח, Staging וייצור) במסגרת חוזה אחד.
• הערך: אכיפה של גבולות נתונים מחמירים ואמצעי בקרת גישה עצמאיים, תוך איחוד החיוב במינוי אחד.

הצטרפות לקוחות של ספק שירותי אבטחה מנוהלים

• המטרה: הקצאת מכונות נפרדות של Google SecOps ללקוחות מנוהלים ספציפיים, במסגרת מינוי פעיל לספק שירותי אבטחה מנוהלים (MSSP).
• ערך: האצת תהליך ההצטרפות של הלקוחות ושמירה על בידוד הדיירים בלי העברת בקשות תמיכה לטיפול ברמה גבוהה יותר באופן ידני.

מונחים חשובים

• מכונה מאוחדת: דייר ב-Google SecOps שמשלב את היכולות של SIEM ו-SOAR בסביבה אחת שמקושרת לפרויקט ב- Google Cloud .
• חוזה הורה: הסכם המינוי הפעיל ל-Google SecOps שמשויך לחשבון לחיוב ב-Cloud, שקובע את המיקום האזורי, את רמת החבילה ואת הגדרות ברירת המחדל לשמירת נתונים בכל המופעים המקושרים.
• פרויקט בקרה אדמיניסטרטיבית: הפרויקט הייעודי ב- Google Cloud שמקושר למכונה ספציפית של Google SecOps, ששולט בהרשאות (IAM), בממשקי ה-API ובהגדרות המשאבים של אותו דייר.

לפני שמתחילים

לפני שמתחילים, ודאו שיש לכם את ההרשאות הנדרשות ושהגדרתם את הסביבה:

• הרשאות: צריכים להיות לכם התפקידים הבאים:
  • הרשאות בחשבון לחיוב: אתם צריכים את ההרשאה billing.resourceAssociations.list או את התפקיד משתמש בחשבון לחיוב (roles/billing.user) בחשבון לחיוב ב-Cloud שמשויך לחוזה שלכם ב-Google SecOps.
  • הרשאות בפרויקט היעד: בפרויקט היעד ב- Google Cloud שמארח את המכונה החדשה, אתם צריכים את התפקידים הבאים:
  • אדמין IAM בפרויקט (roles/resourcemanager.projectIamAdmin)
  • עריכה (roles/editor)
  • אדמין של שימוש בשירות (roles/serviceusage.serviceUsageAdmin)
  • אדמין של שירות Chronicle‏ (roles/chroniclesm.admin)
  • הרשאות להגדרת ספק זהויות: אם אתם משתמשים בספק זהויות (IdP) של צד שלישי, אתם צריכים את התפקיד אדמין של מאגר כוח עבודה ב-IAM‏ (roles/iam.workforcePoolAdmin) ברמת הארגון.
• בדיקת הסביבה: צריך לקשר כל מכונה של Google SecOps לפרויקט ייעודי ב- Google Cloud שמשתמש באותו חשבון לחיוב ב-Cloud כמו חוזה המינוי שלכם ל-Google SecOps. איך מקשרים מכונה ל- Google Cloud

מגבלות

הקצאת מכונות נוספות בשירות עצמי כפופה למגבלות התמיכה הבאות:

• לפחות מכונה פעילה אחת: לארגון שלכם צריכה להיות לפחות מכונה אחת קיימת של Google SecOps שכבר הוגדרה ופעילה במסגרת חוזה המינוי. הקצאת הרשאות בשירות עצמי מושבתת אם אין מכונה פעילה.
• מספר מקסימלי של מכונות: אפשר להשתמש בניהול עצמי רק אם המספר הכולל של המכונות שמקושרות לחשבון לחיוב ב-Cloud ולחוזה המינוי קטן מ-25. אם מקושרים 25 מופעים או יותר, הלחצן Add instance נשאר מושבת.
• מינוי פעיל: החוזה של המינוי ל-Google SecOps צריך להיות פעיל ותקף. אי אפשר להקצות מכונות נוספות אם המינוי פג או הושעה.
• רמת Standard,‏ Enterprise או Enterprise Plus: המינוי חייב להיות רישום פעיל לאחת מהחבילות הנתמכות של Google SecOps.
• רק מכונות מאוחדות: כל המכונות הקיימות בחוזה שלכם חייבות להיות מכונות מאוחדות. אי אפשר להקצות משאבים בשירות עצמי אם יש מכונה קיימת במסגרת ההסכם שהיא רק ל-SIEM.
• רק במקרים של אי-תאימות: הקצאה בשירות עצמי זמינה רק בסביבות מסחריות רגילות. אם באחד מהמכונות הקיימות בחוזה שלכם מוגדרים אמצעי בקרה לתאימות או דרישות ריבוניות (לדוגמה, FedRAMP,‏ IL4,‏ IL5,‏ IL6,‏ CMEK או DRZ_Advanced), האפשרות להקצאה בשירות עצמי מושבתת. בסביבות עם בקרת תאימות, פנו לנציג Google או לתמיכה של Google SecOps כדי שצוות הנדסת התאימות יקצה את המשאבים באופן ידני.
• התאמה של מיקום אחסון הנתונים: כל המופעים הנוספים נמצאים באותו אזור גיאוגרפי (לדוגמה, us או europe) כמו המופע הראשוני. האזור שנבחר נעול בהתאם לחוזה הראשי ואי אפשר לשנות אותו.
• ירושה של שמירת נתונים: מופעים נוספים יורשים באופן אוטומטי את משך שמירת הנתונים החוזי של הסכם המינוי הראשי.

הכנת פרויקט ב- Google Cloud

מכינים את הפרויקט הייעודי ב- Google Cloud שישמש כשכבת הבקרה האדמיניסטרטיבית של המכונה החדשה:

1. יצירה או בחירה של פרויקט ייעודי: מומלץ ליצור פרויקט חדש וייעודי ב- Google Cloud לכל מכונה חדשה. פועלים לפי השלבים שמפורטים במאמר יצירת פרויקט.
2. אימות השיוך של החשבון לחיוב: הפרויקט ב- Google Cloud צריך להשתמש באותו חשבון לחיוב ב-Cloud שמופיע בחוזה המינוי ל-Google SecOps.
3. אימות הזמינות של הפרויקט: הפרויקט ב- Google Cloud לא יכול להיות מקושר כבר למכונה אחרת של Google SecOps. בכל פרויקט יכול להיות רק מכונה אחת.

4. הגדרת VPC Service Controls (אופציונלי): אם הארגון שלכם משתמש ב-VPC Service Controls, אתם צריכים להגדיר את כללי תעבורת הנתונים הנכנסת והיוצאת שמתוארים במאמר הגדרת VPC Service Controls ל-Google SecOps.

   הערה: אם הפרויקט משתמש בחשבון לחיוב ב-Cloud אחר או שהוא כבר מקושר למכונה קיימת, בחירת הפרויקט תיכשל במהלך ההגדרה. לפני שמתחילים את הפריסה, צריך לוודא שהשיוך לחיוב מופיע בדף Billing.

פריסת מכונה נוספת

כדי לפרוס מכונה נוספת של Google SecOps באמצעות מסוףGoogle Cloud , צריך לבצע את הפעולות שמפורטות בקטעים הבאים:

1. פתיחת הדף של Google SecOps
2. בחירת פרויקט היעד
3. הוספת אנשי קשר חיוניים
4. בדיקת פרטי הפריסה והגדרת כניסה יחידה (SSO)
5. התחלת הגדרת המכונה

פתיחת הדף של Google SecOps

פותחים את הדף Google SecOps במסוף Google Cloud כדי להתחיל את הפריסה:

1. נכנסים לדף Google SecOps במסוף Google Cloud .
2. בטבלה Instances מופיעים כל המופעים הקיימים של Google SecOps שמשויכים לחשבון לחיוב.

3. לוחצים על Add instance.

   הערה: אם הלחצן Add instance לא זמין או מושבת, יכול להיות שלחשבון שלכם אין הרשאות חיוב, אין לו מכונה ראשונית שהוגדרה, יש לו 25 מכונות או יותר שמקושרות לחשבון לחיוב ולחוזה, או שהוא שייך למינוי שמנוהל על ידי תאימות. לפני שמנסים שוב, כדאי לעיין בקטע מגבלות ולוודא את התפקידים בחשבון לחיוב.

בוחרים את פרויקט היעד.

מקשרים את הפרויקט המוכן ב- Google Cloud למכונה החדשה של Google SecOps:

1. בדף Link SecOps to a project, לוחצים על Select a project כדי לפתוח את תיבת הדו-שיח Select a resource.
2. בוחרים את הארגון מהרשימה הנפתחת.
3. ברשימה Projects and folders, בוחרים את הפרויקט ב- Google Cloud שהכנתם למכונה הזו.

4. לוחצים על השם של הפרויקט שעומד בדרישות של Google Cloud כדי לבחור אותו.

   הערה: Google Cloud בפרויקטים שאי אפשר לבחור מופיע סמל אזהרה warning. מעבירים את העכבר מעל סמל האזהרה כדי לראות את ההגבלה הספציפית (לדוגמה, חוסר התאמה בחשבון לחיוב, הרשאות לא מספיקות או שיוך קיים למכונה של Google SecOps) ובוחרים פרויקט תואם.

הוספת אנשי קשר חיוניים

להקצות אנשי קשר שיקבלו התראות קריטיות בנושאים טכניים, אבטחה, משפטיים וחיוב:

1. בטבלה Essential contacts, לוחצים על Add contact (או על סמל העריכה לצד קטגוריה קיימת).
2. מזינים את כתובת האימייל של איש הקשר.
3. בוחרים קטגוריה אחת או יותר של התראות. צריך להקצות לפחות איש קשר אחד לכל אחת מהקטגוריות הבאות:
   • מידע טכני
   • אבטחה
   • נושאים משפטיים
   • חיוב
4. לוחצים על Save.

5. אחרי שמקצים אנשי קשר לכל הקטגוריות הנדרשות, לוחצים על Next כדי לפתוח את הדף Deployment.

   הערה: אם יש קטגוריית חובה של אנשי קשר שלא הוקצתה, הלחצן Next יישאר מושבת. כדי להמשיך, צריך להקצות לפחות כתובת אימייל תקינה אחת לכל קטגוריה.

בדיקת פרטי הפריסה והגדרת כניסה יחידה (SSO)

בודקים את הגדרות החוזה שעברו בירושה ומגדירים אימות משתמשים למכונה החדשה:

1. בדיקת פרטי הפריסה: בודקים את הגדרות הפריסה שמולאו מראש:

   • אזור: המיקום הגיאוגרפי של המשתמש. האזור נעול בהתאם לחוזה הראשי ואי אפשר לשנות אותו.
   • רמת החבילה: רמת החבילה של Google SecOps שקיבלתם מהמינוי.
   • משך שמירת הנתונים: משך שמירת הנתונים שמוגדר במינוי.

   לוחצים על הבא.

2. בדיקת חשבון השירות: מאשרים את הפרטים של חשבון השירות שהמערכת יצרה לפעולות במכונה, ולוחצים על Next.

3. הגדרת כניסה יחידה (SSO): בוחרים את ספק הזהויות שמשמש לניהול האימות ובקרת הגישה של המשתמשים:

   • ‫Google Cloud Identity: בוחרים באפשרות הזו אם משתמשים ב-Cloud Identity או ב-Google Workspace. למידע נוסף, קראו את המאמר הגדרת ספק זהויות של Google Cloud .
   • איחוד שירותי אימות הזהות של כוח עבודה: בוחרים באפשרות הזו אם משתמשים בספק זהויות של צד שלישי (כמו Okta או Microsoft Entra ID). פרטים נוספים זמינים במאמר הגדרת ספק זהויות של צד שלישי.

   לוחצים על הבא.

4. אישור התנאים וההגבלות: קוראים את התנאים וההגבלות ומסמנים את תיבת הסימון של ההסכמה.

   הערה: לפני שמשלימים את ההגדרה, צריך לוודא שההגדרה של ספק הזהויות שבחרתם פעילה. אם מאגרי הזהויות של כוח העבודה לא מוגדרים כמו שצריך, המשתמשים לא יוכלו להיכנס לחשבון אחרי שהפריסה תושלם.

התחלת הגדרת המכונה

מפעילים את צינור עיבוד הנתונים האוטומטי להקצאת משאבים כדי לפרוס את המכונה:

1. לוחצים על התחלת ההגדרה כדי להתחיל את הפריסה.
2. צינור עיבוד הנתונים האוטומטי להקצאת משאבים מקשר את הפרויקט ב- Google Cloud לחוזה, מגדיר את מאגר הנתונים, מגדיר את Service Infrastructure ומפעיל את המכונה.

3. בסיום הפריסה, המכונה החדשה מופיעה בטבלה Instances עם הסטטוס Active. אחרי שמתחילים את ההגדרה, יכול להיות שיעברו בין 30 דקות לשעה עד שהמכונה החדשה תופיע בטבלה Instances.

   הערה: אם הפריסה נכשלת, ודאו ש-Chronicle API מופעל בפרויקט היעד ב- Google Cloud . אם הבעיה נמשכת, פנו לנציג Google או לצוות התמיכה של Google SecOps.

דוגמאות ומידע נוסף

כדי להכין את פרויקט היעד באמצעות Google Cloud CLI (‏gcloud CLI) ולהשלים את המשימות שאחרי הפריסה, אתם יכולים להשתמש בפקודות ובקישורים שבקטע הזה.

הפעלת Chronicle API באמצעות Google Cloud CLI

מריצים את פקודת ה-CLI הבאה של gcloud כדי להפעיל את Chronicle API בפרויקט היעד ב- Google Cloud לפני שמתחילים את הפריסה:

gcloud services enable chronicle.googleapis.com \
    --project=PROJECT_ID

מחליפים את PROJECT_ID במזהה הפרויקט הייעודי ב- Google Cloud.

איך מקצים תפקידי IAM ברמת הפרויקט באמצעות Google Cloud CLI

מריצים את פקודות ה-CLI הבאות של gcloud כדי להקצות את התפקידים הנדרשים ברמת הפרויקט לאדמין שמבצע את הפריסה:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="user:ADMIN_EMAIL" \
    --role="roles/chroniclesm.admin"

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="user:ADMIN_EMAIL" \
    --role="roles/serviceusage.serviceUsageAdmin"

מחליפים את PROJECT_ID במזהה הפרויקט הייעודי ואת ADMIN_EMAIL בכתובת האימייל של האדמין.

מסמכים קשורים

אחרי פריסת המכונה החדשה, מבצעים את משימות ההגדרה הבאות:

• הגדרת בקרת גישה לתכונות באמצעות IAM.
• הגדרת בקרת גישה מבוססת-תפקיד (RBAC) לנתונים עבור משתמשים.
• נכנסים לחשבון במכונה החדשה.

פתרון בעיות

בקטע הזה מפורטות ציפיות הביצועים ומוצעים תיקונים בשירות עצמי לבעיות נפוצות בפריסה.

זמן אחזור ומגבלות

הקצאת מכונה נוספת של Google SecOps נמשכת בדרך כלל בין 30 דקות לשעה, עד להשלמת הקצאת התשתית, קישור האחסון והפעלת הדייר, ועד שהמכונה החדשה מופיעה בטבלה Instances אחרי שמפעילים את ההקצאה. במהלך ההקצאה, המכונות הפעילות הקיימות במסגרת החוזה ממשיכות לפעול ללא זמן השבתה או נעילת סשנים. במהלך התקופה הזו, אל תרעננו את דף ההגדרה ואל תשלחו בקשות הגדרה כפולות.

תיקון שגיאות

אתם יכולים להיעזר בטבלה הבאה כדי לאבחן ולפתור בעיות במהלך הקצאת המכונה:

שגיאה	תיאור	תיקון
הלחצן Add instance מושבת	הלחצן Add instance בדף Google SecOps לא זמין.	מוודאים שהמינוי החוזי פעיל, שהמכונה הראשונית כבר הוגדרה, שפחות מ-25 מכונות מקושרות לחשבון לחיוב ולחוזה, שהוקצה לחשבון התפקיד roles/billing.user ושהמינוי לא מנוהל על ידי תאימות.
הגדרת המינוי לא תקינה או שהתוקף שלה פג	בדף ההגדרה מוצגת הודעת האזהרה "הגדרת המינוי לא תקינה או שתוקפה פג", והאינטראקציות בדף מושבתות.	מוודאים שהמינוי ל-Google SecOps פעיל ולא פג תוקף או הושעה. אם פג התוקף של טוקן החוזה להצטרפות (תקף ל-30 יום), פנו לנציג של Google או לתמיכה של Google SecOps.
סמל אזהרה לגבי בחירת פרויקט	סמל אזהרה warning מופיע לצד הפרויקט Google Cloud בתיבת הדו-שיח Select a resource.	כדי לראות את ההגבלה, מעבירים את הסמן מעל סמל האזהרה warning. מוודאים שהפרויקט משתמש באותו חשבון לחיוב ב-Cloud כמו חוזה המינוי, ושהוא לא מקושר למכונה אחרת.
הכפתור הבא מושבת בדף אנשי קשר חיוניים	אי אפשר לעבור מהדף Essential contacts לדף Deployment.	מקצים לפחות כתובת אימייל ליצירת קשר אחת תקינה לכל אחת מקטגוריות ההתראות הבאות: טכני, אבטחה, משפטי וחיוב.
הגדרת הפריסה נכשלה	ההקצאה נכשלת אחרי שלוחצים על התחלת ההגדרה.	מוודאים שהאפשרות chronicle.googleapis.com מופעלת בפרויקט היעד Google Cloud , ושלחשבון שלכם יש את התפקידים roles/chroniclesm.admin ו-roles/serviceusage.serviceUsageAdmin.

אימות ובדיקה

כדי לוודא שהמכונה הנוספת נפרסה בהצלחה:

1. נכנסים לדף Google SecOps במסוף Google Cloud .
2. בטבלה Instances, מוודאים שהסטטוס של המכונה החדשה הוא Active.
3. בוחרים את פרויקט היעד ב- Google Cloud שמארח את המכונה החדשה, ואז לוחצים על הקישור למכונה כדי לפתוח את ממשק האינטרנט של Google SecOps ונכנסים באמצעות ספק הזהויות שהגדרתם.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.