Implementa una instancia

Compatible con:

Google SecOps

En este documento, se describe cómo incorporar (implementar) una instancia de Google SecOps (SIEM y SOAR) y habilitar las funciones de Google SecOps según tu nivel de paquete y derechos de Google SecOps. Estos pasos de incorporación se aplican a los siguientes paquetes de Google SecOps: Standard, Enterprise y Enterprise Plus.

Tu SME de incorporación designado, también conocido como SME de Google SecOps o administrador de facturación, realiza el proceso de incorporación. Esta persona es el punto de contacto principal de tu organización para Google SecOps.

Requisitos previos

Antes de incorporar una nueva instancia de Google SecOps, asegúrate de que tu organización cumpla con estos requisitos previos:

• Un registro activo para uno de los siguientes paquetes de Google SecOps: Standard, Enterprise o Enterprise Plus.

• Un contrato de Google SecOps firmado por tu organización Este contrato te otorga permiso para aprovisionar cada instancia nueva de Google SecOps.

• Si tu organización usa los Controles del servicio de VPC, debes configurar las reglas de entrada y salida pertinentes, que se documentan en Configura los Controles del servicio de VPC para Google SecOps.

• Si tu organización usa firewalls de salida, proxies corporativos o filtrado web, configura la lista de entidades permitidas de tu red para el acceso al navegador y la conectividad de la API. Para obtener más información, consulta Acceso a la red y lista de dominios permitidos y Verifica la configuración del firewall para la API de Chronicle.

Implementa una nueva instancia de Google SecOps

Sigue estos pasos para implementar una nueva instancia de Google SecOps:

1. Firmar el contrato de Google SecOps

   El aprovisionamiento de una nueva instancia de Google SecOps comienza cuando tu organización firma un contrato de Google SecOps. Esta acción activa el flujo de trabajo de incorporación interno de Google y registra los detalles del contrato en el sistema de Google, incluida tu cuenta de facturación y la dirección de correo electrónico de tu SME de incorporación.

2. Prepara tu entorno para la incorporación.

   Tu experto en incorporación debe preparar tu entorno antes de incorporar una nueva instancia de Google SecOps.

3. Incorpora una nueva instancia de Google SecOps.

4. Implementa instancias adicionales.

Prepara tu entorno para la incorporación

La SME de integración debe preparar tu entorno antes de integrar una instancia de Google SecOps, como se describe en estas secciones:

1. Otorga permisos para realizar la incorporación.
2. Configura una carpeta de Assured Workloads (opcional).
3. Configura un proyecto de Google Cloud .
4. Configura un proveedor de identidad.

Otorga permisos para realizar la incorporación

Para cada instancia nueva de Google SecOps, otorga los roles y permisos de incorporación necesarios a la SME de incorporación, como se describe en Roles y permisos obligatorios.

Configura una carpeta de Assured Workloads (opcional)

Para crear una carpeta de Assured Workloads, sigue estos pasos:

1. Ve a Productos compatibles por paquete de control.
2. En la lista, selecciona el tipo de paquete de control que deseas aplicar a la carpeta de Assured Workloads.
3. Asegúrate de tener los permisos necesarios que se indican en la sección Roles de IAM obligatorios.

4. Sigue los pasos de la sección Crea una carpeta de Assured Workloads para….

   Nota: Si administras varias organizaciones, selecciona la organización correcta en la que se debe crear la carpeta de Assured Workloads. En región, selecciona EE.UU., que corresponde a la multirregión de EE.UU..

Cuando configures tu carpeta, ten en cuenta estos lineamientos:

• Un usuario (instancia) controlado por el cumplimiento es aquel que debe cumplir con uno o más de los siguientes estándares de control de cumplimiento: FedRAMP, FedRAMP_MODERATE, PCI_DSS, FedRAMP_HIGH, IL4, IL5, CMEK_V1 o DRZ_ADVANCED.

• Todos los archivos asociados con un inquilino controlado por cumplimiento deben residir en una carpeta de Assured Workloads que esté configurada para el estándar de control de cumplimiento adecuado.

• Se crea una carpeta de Assured Workloads a nivel de la organización.

• Una organización puede crear varias carpetas de Assured Workloads, cada una dedicada a un paquete de control de cumplimiento específico según sus requisitos. Por ejemplo, una carpeta puede admitir instancias de FedRAMP_MODERATE, mientras que otra puede admitir instancias de FedRAMP_HIGH.

Ten en cuenta estos lineamientos cuando implementes un usuario (instancia) controlado por el cumplimiento:

• Debes vincular el usuario (instancia) controlado por el cumplimiento a un proyecto de Google Cloud que se encuentre dentro de una carpeta de Assured Workloads.

• Si planeas crear un proyecto de Google Cloud nuevo para tu instancia de Google SecOps, debes crear el proyecto dentro de una carpeta de Assured Workloads que esté configurada para el paquete de control de cumplimiento requerido.

• Si tu organización no tiene una carpeta de Assured Workloads, debes crear una.

Cada instancia nueva de Google SecOps debe vincularse a un proyecto deGoogle Cloud . Puedes usar un proyecto de Google Cloud existente o crear uno nuevo.

Para crear un proyecto de Google Cloud nuevo, sigue estos pasos:

1. Para un usuario (instancia) que cumple con FedRAMP, crea el proyecto dentro de la carpeta de Assured Workloads de tu organización. Si tu organización no tiene una carpeta de Assured Workloads para el paquete de control requerido, crea una.

2. Sigue los pasos que se indican en Crea un proyecto.

   Nota: Usa la convención de nombres <CUSTOMER-name>-chronicle y confirma que la cuenta de facturación del proyecto coincida con la cuenta de facturación de tu instancia de Google SecOps.
   Nota: Para asignar cargos a una cuenta de facturación diferente, debes ingresar un pedido nuevo.

Configura un proyecto de Google Cloud

Un proyecto de Google Cloud actúa como la capa de control de la instancia de Google SecOps vinculada.

Para configurarlo correctamente, sigue los pasos que se indican en Configura un proyecto de Google Cloud para Google SecOps.

Configura un proveedor de identidad

Configura un proveedor de identidad para administrar usuarios, grupos y la autenticación de tu instancia de Google SecOps.

Existen dos opciones admitidas:

• Opción 1: Google Cloud Identidad:

  Usa esta opción si tienes una cuenta de Google Workspace o si sincronizas identidades de tu IdP con Google Cloud.

  1. Crea cuentas de usuario administradas para controlar el acceso a los recursos de Google Cloud y a tu instancia de Google SecOps.

  2. Define políticas de IAM con roles predefinidos o personalizados para otorgar acceso a las funciones a usuarios y grupos.

  Para obtener instrucciones detalladas, consulta Configura un proveedor de identidad de Google Cloud .

  Nota: Esta opción no es compatible con los clientes que cumplen con FedRAMP, IL4 o IL5.

• Opción 2: Federación de identidades de personal:

  Usa esta opción si utilizas un IdP de terceros (como Okta o Azure AD).

  Configura la federación de identidades de personal de Google y crea un grupo de identidades de personal. La federación de identidades de personal de Google te permite otorgar acceso a los recursos de Google Cloud a las cargas de trabajo locales o de múltiples nubes, sin usar claves de cuentas de servicio.

  Para obtener instrucciones detalladas, consulta Configura un proveedor de identidad de terceros.

Incorpora una nueva instancia de Google SecOps

El sistema de Google envía un correo electrónico de invitación para la incorporación a Google SecOps a tu SME de incorporación. Este correo electrónico incluye un vínculo de activación para iniciar el proceso de configuración.

Importante: El proyecto de Google Cloud que aloja tu instancia de Google SecOps debe estar vinculado exactamente al mismo ID de cuenta de facturación que se usó para reservar tu pedido de suscripción a Google SecOps. Si estas cuentas no coinciden, el sistema no podrá aplicar los créditos de tu suscripción a tu uso, lo que generará cargos incorrectos. Para asignar cargos a una cuenta de facturación diferente, debes ingresar un pedido nuevo.

Después de preparar tu entorno para la incorporación, la SME de incorporación debe hacer lo siguiente:

• Haz clic en el vínculo de activación que aparece en el correo electrónico de invitación.

• Sigue los pasos que se indican en las siguientes secciones para implementar la instancia de Google SecOps:

  1. Configura una instancia nueva de Google SecOps y vincúlala a un proyecto de Google Cloud .
  2. Configura el control de acceso a las funciones con la IAM.
  3. Configura el RBAC de datos para los usuarios.
  4. Asigna grupos de IdP a parámetros de control de acceso para completar la implementación.

Roles y permisos requeridos

En esta sección, se enumeran los roles y los permisos necesarios para implementar una instancia de Google SecOps. Otorga estos permisos al SME de incorporación que realiza las tareas de implementación:

• Todos los roles y permisos se deben otorgar a nivel del proyecto. Estos permisos se aplican solo al proyecto de Google Cloud especificado y a la instancia de Google SecOps asociada. Para implementar instancias adicionales dentro de tu suscripción existente, puedes usar el flujo de trabajo de autoservicio en la consola de Google Cloud . Para obtener más detalles, consulta Implementa una instancia adicional.
• Si implementas otra instancia de Google SecOps con un contrato diferente, debes otorgar un nuevo conjunto de roles y permisos para esa implementación.

Otorga al SME de incorporación los roles y permisos que se indican en las siguientes secciones:

1. Permisos en la cuenta de facturación de Google
2. Roles de IAM predefinidos
3. Permisos para crear una carpeta de Assured Workloads
4. Permisos para agregar un proyecto de Google Cloud
5. Permisos para configurar un proveedor de identidad
   1. Permisos para configurar Cloud Identity o Google Workspace
   2. Permisos para configurar un proveedor de identidad de terceros
6. Permisos para vincular una instancia de Google SecOps a los servicios de Google Cloud
7. Permisos para configurar el control de acceso a las funciones con la IAM
8. Permisos para configurar el control de acceso a los datos
9. Requisitos de las funciones avanzadas de Google SecOps

Permisos en la cuenta de facturación de Google

Otorga a la SME de incorporación el permiso billing.resourceAssociations.list para la cuenta de facturación de Google especificada en el contrato. Para conocer los pasos detallados, consulta Actualiza los permisos del usuario para una cuenta de Facturación de Cloud.

Funciones predefinidas de IAM

Otorga al SME de incorporación los siguientes roles de IAM predefinidos:

• Administrador de la API de Chronicle
• Administrador del servicio de Chronicle

• Administrador de Chronicle SOAR

  Nota: El rol de IAM se debe otorgar incluso cuando se implementa una instancia que no es de SOAR.

Permisos para crear una carpeta de Assured Workloads

Nota: Estos permisos son necesarios para realizar los pasos que se indican en Crea una nueva carpeta de Assured Workloads.

Otorga al SME de incorporación el rol de Administrador de Assured Workloads (roles/assuredworkloads.admin), que contiene los permisos de IAM mínimos para crear y administrar carpetas de Assured Workloads.

Permisos para agregar un proyecto de Google Cloud

Nota: Estos permisos de IAM son necesarios para realizar los pasos que se indican en Configura un proyecto de Google Cloud para Google SecOps.

Otorga a la SME de integración los permisos de creador de proyectos necesarios para crear un proyecto de Google Cloud y habilitar la API de Chronicle:

• Si la pyme de incorporación tiene permisos de creador de proyectos (resourcemanager.projects.create) a nivel de la organización, no se requieren permisos adicionales.

• Si el experto en la materia de incorporación no tiene permisos de creador de proyectos a nivel de la organización, otorga los siguientes roles de IAM a nivel del proyecto:

  • Administrador del servicio de Chronicle (roles/chroniclesm.admin) (si no se otorgó este rol antes)
  • Editor (roles/editor)
  • Administrador de IAM de proyecto (roles/resourcemanager.projectIamAdmin)
  • Administrador de Service Usage (roles/serviceusage.serviceUsageAdmin)

Permisos para configurar un proveedor de identidad

Puedes usar un IdP para administrar usuarios, grupos y la autenticación.

Otorga los siguientes permisos al SME de incorporación para configurar un IdP:

Permisos para configurar Cloud Identity o Google Workspace

Nota: Estos permisos son necesarios para realizar los pasos que se indican en Configura un proveedor de identidad de Google Cloud .

• Para Cloud Identity, sigue estos pasos:

  Si usas Cloud Identity, otorga al SME de incorporación los roles y permisos que se describen en Administra el acceso a proyectos, carpetas y organizaciones.

• Para Google Workspace:

  Si usas Google Workspace, el experto en capacitación debe tener una cuenta de administrador de Cloud Identity y poder acceder a la Consola del administrador.

Para obtener más información sobre el uso de Cloud Identity o Google Workspace como proveedor de identidad, consulta Configura el proveedor de identidad de Google Cloud .

Permisos para configurar un IdP de terceros

Si usas un IdP de terceros (como Okta o Azure AD), configura la federación de identidades de personal junto con un grupo de identidades de personal para habilitar la autenticación segura.

Nota: Estos permisos son necesarios para realizar los pasos que se indican en Configura un IdP de terceros.

Otorga al experto en la materia de incorporación los siguientes roles y permisos de IAM:

• Editor (roles/editor): Permisos de editor del proyecto para el proyecto vinculado a Google SecOps.

• Permiso de Administrador de grupos de trabajadores de IAM (roles/iam.workforcePoolAdmin) a nivel de la organización.

  Usa el siguiente ejemplo para establecer el rol de roles/iam.workforcePoolAdmin:

    gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member "user:USER_EMAIL" \
    --role roles/iam.workforcePoolAdmin
  

  Reemplaza lo siguiente:

  • ORGANIZATION_ID: Es el ID de organización numérico.
  • USER_EMAIL: Es la dirección de correo electrónico del administrador.

• Permiso de Visualizador de la organización (resourcemanager.organizations.get) a nivel de la organización

Permisos para vincular una instancia de Google SecOps a los servicios de Google Cloud

Nota: Estos permisos son necesarios para realizar los pasos que se indican en Vincula Google SecOps a los servicios de Google Cloud .

Otórgale a la pyme de incorporación los mismos permisos que los Permisos para agregar un proyecto de Google Cloud .

Si planeas migrar una instancia existente de Google SecOps, necesitas permisos para acceder a Google SecOps. Para obtener una lista de roles predefinidos, consulta Roles predefinidos de Google SecOps en IAM.

Permisos para configurar el control de acceso a las funciones con la IAM

Nota: Estos permisos son necesarios para realizar los pasos que se indican en Configura el control de acceso a las funciones con la IAM.

• Otorga el rol de Administrador de IAM del proyecto (roles/resourcemanager.projectIamAdmin) a nivel del proyecto al SME de incorporación. Este permiso es necesario para asignar y modificar vinculaciones de roles de IAM para el proyecto.

• Asigna roles de IAM a los usuarios según sus responsabilidades. Para ver ejemplos, consulta Asigna roles a usuarios y grupos.

  Si planeas migrar una instancia existente de Google SecOps a IAM, otorga a la SME de incorporación los mismos permisos que los Permisos para configurar un proveedor de identidad.

Permisos para configurar el control de acceso a los datos

Nota: Estos permisos son necesarios para configurar el RBAC de datos para los usuarios.

Otorga al experto en la materia de incorporación los siguientes roles de IAM:

• Roles de administrador de la API de Chronicle (roles/chronicle.admin) y de visualizador de roles (roles/iam.roleViewer) para configurar el RBAC de datos para los usuarios.
• Rol de Administrador de IAM del proyecto (roles/resourcemanager.projectIamAdmin) o Administrador de seguridad (roles/iam.securityAdmin) para asignar los permisos a los usuarios

Si no tienes los roles necesarios, asígnalos en IAM.

Requisitos de capacidades avanzadas de Google SecOps

En la siguiente tabla, se enumeran las funciones avanzadas de Google SecOps y sus dependencias de un proyecto de Google Cloud proporcionado por el cliente y la federación de identidades de personal de Google.

Función	Google Cloud foundation	¿Requiere un proyecto de Google Cloud ?	¿Requiere integración de IAM?
Registros de auditoría de Cloud: actividades administrativas	Registros de auditoría de Cloud	Sí	Sí
Registros de auditoría de Cloud: acceso a los datos	Registros de auditoría de Cloud	Sí	Sí
Facturación de Cloud: suscripción en línea o pago por uso	Facturación de Cloud	Sí	No
APIs de Chronicle: acceso general, creación y administración de credenciales con un IdP de terceros	APIs deGoogle Cloud	Sí	Sí
APIs de Chronicle: acceso general, creación y administración de credenciales con Cloud Identity	Google Cloud APIs, Cloud Identity	Sí	Sí
Controles en cumplimiento: CMEK	Cloud Key Management Service o Cloud External Key Manager	Sí	No
Controles de cumplimiento: FedRAMP High o superior	Assured Workloads	Sí	Sí
Controles de cumplimiento: Servicio de políticas de la organización	Servicio de políticas de la organización	Sí	No
Administración de contactos: divulgaciones legales	Contactos esenciales	Sí	No
Supervisión de estado: interrupciones de la canalización de transferencia	Cloud Monitoring	Sí	No
Transferencia: webhook, Pub/Sub, Azure Event Hub, Amazon Kinesis Data Firehose	Identity and Access Management	Sí	No
Controles de acceso basados en roles: datos	Identity and Access Management	Sí	Sí
Controles de acceso basado en roles: funciones o recursos	Identity and Access Management	Sí	Sí
Acceso a la asistencia: envío y seguimiento de casos	Atención al cliente de Cloud	Sí	No
Autenticación unificada de SecOps	Federación de identidades de personal de Google	No	Sí

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.