Instanz bereitstellen

Unterstützt in:

Google SecOps

In diesem Dokument wird beschrieben, wie Sie eine Google SecOps-Instanz (SIEM und SOAR) einrichten (bereitstellen) und Google SecOps-Funktionen basierend auf Ihrer Google SecOps-Paketstufe und Ihren Berechtigungen aktivieren. Diese Onboarding-Schritte gelten für die folgenden Google SecOps-Pakete: Standard, Enterprise und Enterprise Plus.

Der von Ihnen benannte Onboarding-SME, auch als Google SecOps-SME oder Abrechnungsadministrator bezeichnet, führt den Onboarding-Prozess durch. Diese Person ist der Hauptansprechpartner Ihrer Organisation für Google SecOps.

Vorbereitung

Bevor Sie eine neue Google SecOps-Instanz einrichten können, müssen die folgenden Voraussetzungen erfüllt sein:

• Eine aktive Registrierung für eines der folgenden Google SecOps-Pakete: Standard, Enterprise oder Enterprise Plus.

• Einen von Ihrer Organisation unterzeichneten Google SecOps-Vertrag. Mit diesem Vertrag erhalten Sie die Berechtigung, jede neue Google SecOps-Instanz bereitzustellen.

• Wenn Ihre Organisation VPC Service Controls verwendet, müssen Sie die entsprechenden Regeln für eingehenden und ausgehenden Traffic konfigurieren. Diese sind unter VPC Service Controls für Google SecOps konfigurieren dokumentiert.

• Wenn Ihre Organisation Firewalls für ausgehenden Traffic, Unternehmensproxys oder Webfilter verwendet, konfigurieren Sie die Netzwerk-Zulassungsliste für den Browserzugriff und die API-Konnektivität. Weitere Informationen finden Sie unter Netzwerkzugriff und Domain-Zulassungsliste und Firewallkonfiguration für die Chronicle API prüfen.

Neue Google SecOps-Instanz bereitstellen

Führen Sie die folgenden Schritte aus, um eine neue Google SecOps-Instanz bereitzustellen:

1. Unterzeichnen Sie den Google SecOps-Vertrag.

   Die Bereitstellung einer neuen Google SecOps-Instanz beginnt, wenn Ihre Organisation einen Google SecOps-Vertrag unterzeichnet. Diese Aktion löst den internen Onboarding-Workflow von Google aus und registriert die Vertragsdetails im Google-System, einschließlich Ihres Rechnungskontos und der E-Mail-Adresse des Onboarding-SME.

2. Umgebung für das Onboarding vorbereiten

   Ihr Onboarding-SME sollte Ihre Umgebung vorbereiten, bevor Sie eine neue Google SecOps-Instanz einrichten.

3. Neue Google SecOps-Instanz einrichten

4. Zusätzliche Instanzen bereitstellen

Umgebung für das Onboarding vorbereiten

Der Onboarding-SME sollte Ihre Umgebung vor dem Onboarding einer Google SecOps-Instanz vorbereiten, wie in den folgenden Abschnitten beschrieben:

1. Berechtigungen zum Onboarding erteilen
2. Assured Workloads-Ordner einrichten (optional)
3. Google Cloud -Projekt konfigurieren
4. Identitätsanbieter konfigurieren

Berechtigungen zum Onboarding erteilen

Weisen Sie dem Onboarding-SME für jede neue Google SecOps-Instanz die erforderlichen Onboarding-Rollen und -Berechtigungen zu, wie unter Erforderliche Rollen und Berechtigungen beschrieben.

Assured Workloads-Ordner einrichten (optional)

So erstellen Sie einen Assured Workloads-Ordner:

1. Rufen Sie Unterstützte Produkte nach Kontrollpaket auf.
2. Wählen Sie in der Liste den Typ des Kontrollpakets aus, den Sie auf den Assured Workloads-Ordner anwenden möchten.
3. Prüfen Sie, ob Sie die im Abschnitt Erforderliche IAM-Rollen aufgeführten Berechtigungen haben.

4. Folgen Sie der Anleitung im Abschnitt Assured Workloads-Ordner erstellen für….

   Hinweis: Wenn Sie mehrere Organisationen verwalten, wählen Sie die richtige Organisation aus, in der der Assured Workloads-Ordner erstellt werden soll. Wählen Sie für Region die Option US aus, die der multiregionalen Region „US“ entspricht.

Beachten Sie beim Einrichten des Ordners die folgenden Richtlinien:

• Ein Compliance-gesteuerter Mandant (Instanz) muss einem oder mehreren der folgenden Compliance-Kontrollstandards entsprechen: FedRAMP, FedRAMP_MODERATE, PCI_DSS, FedRAMP_HIGH, IL4, IL5, CMEK_V1 oder DRZ_ADVANCED.

• Alle Dateien, die mit einem Compliance-kontrollierten Mandanten verknüpft sind, müssen sich in einem Assured Workloads-Ordner befinden, der für den entsprechenden Compliancekontrollstandard konfiguriert ist.

• Ein Assured Workloads-Ordner wird auf Organisationsebene erstellt.

• Eine Organisation kann mehrere Assured Workloads-Ordner erstellen, die jeweils einem bestimmten Compliance-Kontrollpaket basierend auf den Anforderungen zugeordnet sind. Beispielsweise kann ein Ordner FedRAMP_MODERATE-Instanzen unterstützen, während ein anderer FedRAMP_HIGH-Instanzen unterstützt.

Beachten Sie die folgenden Richtlinien, wenn Sie einen compliancegesteuerten Mandanten (Instanz) bereitstellen:

• Sie müssen den compliancegesteuerten Mandanten (Instanz) mit einem Google Cloud-Projekt verknüpfen, das sich in einem Assured Workloads-Ordner befindet.

• Wenn Sie ein neues Google Cloud -Projekt für Ihre Google SecOps-Instanz erstellen möchten, müssen Sie das Projekt in einem Assured Workloads-Ordner erstellen, der für das erforderliche Compliance-Kontrollpaket konfiguriert ist.

• Wenn Ihre Organisation keinen Assured Workloads-Ordner hat, müssen Sie einen erstellen.

Jede neue Google SecOps-Instanz muss mit einemGoogle Cloud -Projekt verknüpft werden. Sie können ein vorhandenes Google Cloud -Projekt verwenden oder ein neues erstellen.

So erstellen Sie ein neues Google Cloud -Projekt:

1. Erstellen Sie für einen FedRAMP-konformen Mandanten (Instanz) das Projekt im Assured Workloads-Ordner Ihrer Organisation. Wenn Ihre Organisation keinen Assured Workloads-Ordner für das erforderliche Kontrollpaket hat, erstellen Sie einen.

2. Folgen Sie der Anleitung unter Projekt erstellen.

   Hinweis: Verwenden Sie die Namenskonvention <CUSTOMER-name>-chronicle und prüfen Sie, ob das Rechnungskonto des Projekts mit dem Rechnungskonto Ihrer Google SecOps-Instanz übereinstimmt.
   Hinweis: Wenn Sie Gebühren einem anderen Rechnungskonto zuweisen möchten, müssen Sie eine neue Bestellung aufgeben.

Projekt in Google Cloud konfigurieren

Ein Google Cloud Projekt fungiert als Steuerungsebene für die verknüpfte Google SecOps-Instanz.

Folgen Sie der Anleitung unter Google Cloud -Projekt für Google SecOps konfigurieren, um es richtig einzurichten.

Identitätsanbieter konfigurieren

Konfigurieren Sie einen Identitätsanbieter, um Nutzer, Gruppen und die Authentifizierung für Ihre Google SecOps-Instanz zu verwalten.

Es gibt zwei unterstützte Optionen:

• Option 1: Google Cloud Identity:

  Verwenden Sie diese Option, wenn Sie ein Google Workspace-Konto haben oder Identitäten von Ihrem IdP mit Google Cloudsynchronisieren.

  1. Erstellen Sie verwaltete Nutzerkonten, um den Zugriff auf Google Cloud -Ressourcen und Ihre Google SecOps-Instanz zu steuern.

  2. Definieren Sie IAM-Richtlinien mit vordefinierten oder benutzerdefinierten Rollen, um Nutzern und Gruppen Zugriff auf Funktionen zu gewähren.

  Eine ausführliche Anleitung finden Sie unter Google Cloud -Identitätsanbieter konfigurieren.

  Hinweis: Diese Option wird für Kunden mit FedRAMP-, IL4- oder IL5-Compliance nicht unterstützt.

• Option 2: Workforce Identity-Föderation:

  Verwenden Sie diese Option, wenn Sie einen externen IdP wie Okta oder Azure AD verwenden.

  Konfigurieren Sie die Workforce Identity-Föderation von Google und erstellen Sie einen Workforce Identity-Pool. Mit der Mitarbeiteridentitätsföderation von Google können Sie lokalen oder Multi-Cloud-Arbeitslasten Zugriff auf Ressourcen von Google Cloud gewähren, ohne Dienstkontoschlüssel zu verwenden.

  Eine ausführliche Anleitung finden Sie unter Drittanbieter-Identitätsanbieter konfigurieren.

Neue Google SecOps-Instanz einrichten

Das Google-System sendet eine E-Mail-Einladung für das Google SecOps-Onboarding an Ihren Onboarding-SME. Diese E-Mail enthält einen Aktivierungslink, über den Sie die Einrichtung starten können.

Wichtig: Das Google Cloud -Projekt, in dem Ihre Google SecOps-Instanz gehostet wird, muss mit genau derselben Rechnungskonto-ID verknüpft sein, die für die Buchung Ihrer Google SecOps-Abobestellung verwendet wurde. Wenn diese Konten nicht übereinstimmen, kann das System Ihr Aboguthaben nicht auf Ihre Nutzung anwenden, was zu falschen Gebühren führt. Wenn Sie Gebühren einem anderen Rechnungskonto zuweisen möchten, müssen Sie eine neue Bestellung aufgeben.

Nachdem Sie Ihre Umgebung für das Onboarding vorbereitet haben, sollte der Onboarding-SME Folgendes tun:

• Klicken Sie in der E‑Mail-Einladung auf den Aktivierungslink.

• Führen Sie die Schritte in den folgenden Abschnitten aus, um die Google SecOps-Instanz bereitzustellen:

  1. Konfigurieren Sie eine neue Google SecOps-Instanz und verknüpfen Sie sie mit einem Google Cloud -Projekt.
  2. Funktionszugriffssteuerung mit IAM konfigurieren
  3. Daten-RBAC für Nutzer konfigurieren
  4. Ordnen Sie IdP-Gruppen den Parametern für die Zugriffssteuerung zu, um die Bereitstellung abzuschließen.

Erforderliche Rollen und Berechtigungen

In diesem Abschnitt sind die Rollen und Berechtigungen aufgeführt, die zum Bereitstellen einer Google SecOps-Instanz erforderlich sind. Erteilen Sie dem Onboarding-SME, der die Bereitstellungsaufgaben ausführt, die folgenden Berechtigungen:

• Alle Rollen und Berechtigungen müssen auf Projektebene gewährt werden. Diese Berechtigungen gelten nur für das angegebene Google Cloud -Projekt und die zugehörige Google SecOps-Instanz. Wenn Sie zusätzliche Instanzen im Rahmen Ihres bestehenden Abos bereitstellen möchten, können Sie den Selfservice-Workflow in der Google Cloud Console verwenden. Weitere Informationen finden Sie unter Zusätzliche Instanz bereitstellen.
• Wenn Sie eine weitere Google SecOps-Instanz im Rahmen eines anderen Vertrags bereitstellen, müssen Sie für diese Bereitstellung neue Rollen und Berechtigungen zuweisen.

Weisen Sie dem Onboarding-SME die Rollen und Berechtigungen zu, die in den folgenden Abschnitten aufgeführt sind:

1. Berechtigungen im Google-Rechnungskonto
2. Vordefinierte IAM-Rollen
3. Berechtigungen zum Erstellen eines Assured Workloads-Ordners
4. Berechtigungen zum Hinzufügen eines Google Cloud -Projekts
5. Berechtigungen zum Konfigurieren eines Identitätsanbieters
   1. Berechtigungen zum Konfigurieren von Cloud Identity oder Google Workspace
   2. Berechtigungen zum Konfigurieren eines externen Identitätsanbieters
6. Berechtigungen zum Verknüpfen einer Google SecOps-Instanz mit Google Cloud -Diensten
7. Berechtigungen zum Konfigurieren der Funktionszugriffssteuerung mit IAM
8. Berechtigungen zum Konfigurieren der Datenzugriffssteuerung
9. Anforderungen für erweiterte Google SecOps-Funktionen

Berechtigungen im Google-Rechnungskonto

Gewähren Sie dem Onboarding-SME die Berechtigung billing.resourceAssociations.list für das im Vertrag angegebene Google-Rechnungskonto. Eine detaillierte Anleitung finden Sie unter Nutzerberechtigungen für ein Cloud-Rechnungskonto aktualisieren.

Vordefinierte IAM-Rollen

Weisen Sie dem Onboarding-SME die folgenden vordefinierten IAM-Rollen zu:

• Chronicle API-Administrator
• Chronicle Service Admin

• Chronicle SOAR Admin

  Hinweis: Die IAM-Rolle sollte auch dann zugewiesen werden, wenn Sie eine Nicht-SOAR-Instanz bereitstellen.

Berechtigungen zum Erstellen eines Assured Workloads-Ordners

Hinweis: Diese Berechtigungen sind erforderlich, um die Schritte unter Neuen Assured Workloads-Ordner erstellen auszuführen.

Weisen Sie dem Onboarding-SME die Rolle Assured Workloads-Administrator (roles/assuredworkloads.admin) zu. Diese enthält die minimalen IAM-Berechtigungen zum Erstellen und Verwalten von Assured Workloads-Ordnern.

Berechtigungen zum Hinzufügen eines Google Cloud -Projekts

Hinweis: Diese IAM-Berechtigungen sind erforderlich, um die Schritte unter Google Cloud -Projekt für Google SecOps konfigurieren auszuführen.

Gewähren Sie dem Onboarding-SME die Berechtigungen zum Erstellen von Projekten, die zum Erstellen eines Google Cloud -Projekts und zum Aktivieren der Chronicle API erforderlich sind:

• Wenn der Onboarding-SME die Berechtigung Project Creator (resourcemanager.projects.create) auf Organisationsebene hat, sind keine zusätzlichen Berechtigungen erforderlich.

• Wenn der Onboarding-SME keine Berechtigungen zum Erstellen von Projekten auf Organisationsebene hat, weisen Sie die folgenden IAM-Rollen auf Projektebene zu:

  • Chronicle Service Admin (roles/chroniclesm.admin) (falls diese Rolle nicht bereits zugewiesen wurde)
  • Bearbeiter (roles/editor)
  • Projekt-IAM-Administrator (roles/resourcemanager.projectIamAdmin)
  • Service Usage-Administrator (roles/serviceusage.serviceUsageAdmin)

Berechtigungen zum Konfigurieren eines Identitätsanbieters

Sie können einen IdP verwenden, um Nutzer, Gruppen und die Authentifizierung zu verwalten.

Gewähren Sie dem Onboarding-SME die folgenden Berechtigungen zum Konfigurieren eines IdP:

Berechtigungen zum Konfigurieren von Cloud Identity oder Google Workspace

Hinweis: Diese Berechtigungen sind erforderlich, um die Schritte unter Google Cloud -Identitätsanbieter konfigurieren auszuführen.

• Bei Cloud Identity:

  Wenn Sie Cloud Identity verwenden, weisen Sie dem Onboarding-SME die Rollen und Berechtigungen zu, die unter Zugriff auf Projekte, Ordner und Organisationen verwalten beschrieben sind.

• Für Google Workspace:

  Wenn Sie Google Workspace verwenden, muss der Onboarding-SME ein Cloud Identity-Administratorkonto haben und sich in der Admin-Konsole anmelden können.

Weitere Informationen zur Verwendung von Cloud Identity oder Google Workspace als Identitätsanbieter finden Sie unter Google Cloud -Identitätsanbieter konfigurieren.

Berechtigungen zum Konfigurieren eines Drittanbieter-IdP

Wenn Sie einen externen IdP wie Okta oder Azure AD verwenden, konfigurieren Sie die Workforce Identity-Föderation zusammen mit einem Workforce Identity-Pool, um eine sichere Authentifizierung zu ermöglichen.

Hinweis: Diese Berechtigungen sind erforderlich, um die Schritte unter IdP eines Drittanbieters konfigurieren auszuführen.

Weisen Sie dem Onboarding-SME die folgenden IAM-Rollen und -Berechtigungen zu:

• Bearbeiter (roles/editor): Projektbearbeiter-Berechtigungen für das an Google SecOps gebundene Projekt.

• IAM Workforce Pool Admin (roles/iam.workforcePoolAdmin)-Berechtigung auf Organisationsebene.

  Verwenden Sie das folgende Beispiel, um die Rolle roles/iam.workforcePoolAdmin festzulegen:

    gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member "user:USER_EMAIL" \
    --role roles/iam.workforcePoolAdmin
  

  Ersetzen Sie Folgendes:

  • ORGANIZATION_ID: numerische Organisations-ID.
  • USER_EMAIL: E-Mail-Adresse des Administrators.

• Organization Viewer (resourcemanager.organizations.get)-Berechtigung auf Organisationsebene.

Berechtigungen zum Verknüpfen einer Google SecOps-Instanz mit Diensten von Google Cloud

Hinweis: Diese Berechtigungen sind erforderlich, um die Schritte unter Google SecOps mit Google Cloud -Diensten verknüpfen auszuführen.

Erteilen Sie dem Onboarding-SME dieselben Berechtigungen wie unter Berechtigungen zum Hinzufügen eines Google Cloud -Projekts beschrieben.

Wenn Sie eine vorhandene Google SecOps-Instanz migrieren möchten, benötigen Sie Berechtigungen für den Zugriff auf Google SecOps. Eine Liste der vordefinierten Rollen finden Sie unter Vordefinierte Google SecOps-Rollen in IAM.

Berechtigungen zum Konfigurieren der Funktionszugriffssteuerung mit IAM

Hinweis: Diese Berechtigungen sind erforderlich, um die Schritte unter Funktionszugriffssteuerung mit IAM konfigurieren auszuführen.

• Weisen Sie dem Onboarding-SME die Rolle Project IAM Admin (roles/resourcemanager.projectIamAdmin) auf Projektebene zu. Diese Berechtigung ist erforderlich, um IAM-Rollenbindungen für das Projekt zuzuweisen und zu ändern.

• Weisen Sie Nutzern IAM-Rollen basierend auf ihren Verantwortlichkeiten zu. Beispiele finden Sie unter Nutzern und Gruppen Rollen zuweisen.

  Wenn Sie eine vorhandene Google SecOps-Instanz zu IAM migrieren möchten, gewähren Sie dem Onboarding-SME dieselben Berechtigungen wie die Berechtigungen zum Konfigurieren eines Identitätsanbieters.

Berechtigungen zum Konfigurieren der Datenzugriffssteuerung

Hinweis: Diese Berechtigungen sind erforderlich, um die datenbasierte rollenbasierte Zugriffssteuerung für Nutzer zu konfigurieren.

Weisen Sie dem Onboarding-SME die folgenden IAM-Rollen zu:

• Chronicle API-Administrator (roles/chronicle.admin) und Rollenbetrachter (roles/iam.roleViewer) zum Konfigurieren der RBAC für Nutzer.
• Rolle „Project IAM Admin“ (roles/resourcemanager.projectIamAdmin) oder „Security Admin“ (roles/iam.securityAdmin), um Nutzern die Bereiche zuzuweisen.

Wenn Sie nicht die erforderlichen Rollen haben, weisen Sie die Rollen in IAM zu.

Anforderungen für erweiterte Funktionen von Google SecOps

In der folgenden Tabelle sind die erweiterten Funktionen von Google SecOps und ihre Abhängigkeiten von einem vom Kunden bereitgestellten Google Cloud -Projekt und der Google Workforce Identity-Föderation aufgeführt.

Funktion	Google Cloud Foundation	Erfordert Google Cloud -Projekt?	IAM-Integration erforderlich?
Cloud-Audit-Logs: Administratoraktivitäten	Cloud-Audit-Logs	Ja	Ja
Cloud-Audit-Logs: Datenzugriff	Cloud-Audit-Logs	Ja	Ja
Cloud Billing: Online-Abo oder „Pay as you go“	Cloud Billing	Ja	Nein
Chronicle APIs: allgemeiner Zugriff, Erstellung und Verwaltung von Anmeldedaten mit Drittanbieter-IdP	Google Cloud APIs	Ja	Ja
Chronicle APIs: Allgemeiner Zugriff, Erstellen und Verwalten von Anmeldedaten mit Cloud Identity	Google Cloud APIs, Cloud Identity	Ja	Ja
Konforme Kontrollen: CMEK	Cloud Key Management Service oder Cloud External Key Manager	Ja	Nein
Konforme Kontrollen: FedRAMP High oder höher	Assured Workloads	Ja	Ja
Compliance-Kontrollen: Organisationsrichtliniendienst	Organisationsrichtliniendienst	Ja	Nein
Kontaktverwaltung: rechtliche Offenlegungen	Wichtige Kontakte	Ja	Nein
Statusüberwachung: Ausfälle der Aufnahmepipeline	Cloud Monitoring	Ja	Nein
Aufnahme: Webhook, Pub/Sub, Azure Event Hub, Amazon Kinesis Data Firehose	Identity and Access Management	Ja	Nein
Rollenbasierte Zugriffssteuerung: Daten	Identity and Access Management	Ja	Ja
Rollenbasierte Zugriffssteuerung: Funktionen oder Ressourcen	Identity and Access Management	Ja	Ja
Supportzugriff: Einreichen und Verfolgen von Anfragen	Cloud Customer Care	Ja	Nein
Einheitliche SecOps-Authentifizierung	Google-Mitarbeiteridentitätsföderation	Nein	Ja

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten