Men-deploy instance

Didukung di:

Google SecOps

Dokumen ini menjelaskan cara melakukan orientasi (men-deploy) instance Google SecOps (SIEM dan SOAR), serta mengaktifkan fitur Google SecOps berdasarkan tingkat dan hak paket Google SecOps Anda. Langkah-langkah aktivasi ini berlaku untuk paket Google SecOps berikut: Standard, Enterprise, dan Enterprise Plus.

SME orientasi yang Anda tunjuk, yang juga disebut sebagai SME Google SecOps atau administrator penagihan, melakukan proses orientasi. Orang ini berfungsi sebagai kontak utama organisasi Anda untuk Google SecOps.

Prasyarat

Sebelum Anda dapat melakukan aktivasi instance Google SecOps baru, pastikan organisasi Anda telah memenuhi prasyarat berikut:

• Pendaftaran aktif untuk salah satu paket Google SecOps berikut: Standard, Enterprise, atau Enterprise Plus.

• Kontrak Google SecOps yang ditandatangani dari organisasi Anda. Kontrak ini memberi Anda izin untuk menyediakan setiap instance Google SecOps baru.

• Jika organisasi Anda menggunakan Kontrol Layanan VPC, Anda harus mengonfigurasi aturan ingress dan egress yang relevan, yang didokumentasikan dalam Mengonfigurasi Kontrol Layanan VPC untuk Google SecOps.

• Jika organisasi Anda menggunakan firewall traffic keluar, proxy perusahaan, atau pemfilteran web, konfigurasikan daftar yang diizinkan jaringan Anda untuk akses browser dan konektivitas API. Untuk mengetahui informasi selengkapnya, lihat Akses jaringan dan daftar domain yang diizinkan dan Memverifikasi konfigurasi firewall untuk Chronicle API.

Men-deploy instance Google SecOps baru

Lakukan langkah-langkah berikut untuk men-deploy instance Google SecOps baru:

1. Menandatangani kontrak Google SecOps.

   Penyediaan instance Google SecOps baru dimulai saat organisasi Anda menandatangani kontrak Google SecOps. Tindakan ini memicu alur kerja aktivasi internal Google dan mendaftarkan detail kontrak dalam sistem Google, termasuk akun penagihan dan alamat email SME aktivasi Anda.

2. Menyiapkan lingkungan Anda untuk orientasi.

   SME orientasi Anda harus menyiapkan lingkungan Anda sebelum Anda melakukan orientasi instance Google SecOps baru.

3. Melakukan aktivasi instance Google SecOps baru.

4. Men-deploy instance tambahan.

Menyiapkan lingkungan Anda untuk orientasi

SME aktivasi harus menyiapkan lingkungan Anda sebelum mengaktifkan instance Google SecOps, seperti yang dijelaskan di bagian berikut:

1. Berikan izin untuk melakukan orientasi.
2. Siapkan folder Assured Workloads (opsional).
3. Konfigurasikan project Google Cloud .
4. Mengonfigurasi penyedia identitas.

Memberikan izin untuk melakukan orientasi

Untuk setiap instance Google SecOps baru, berikan peran dan izin orientasi yang diperlukan kepada SME orientasi, seperti yang dijelaskan dalam Peran dan izin yang diperlukan.

Menyiapkan folder Assured Workloads (opsional)

Untuk membuat folder Assured Workloads, lakukan hal berikut:

1. Buka Produk yang didukung menurut paket kontrol.
2. Dalam daftar, pilih jenis paket kontrol yang ingin Anda terapkan ke folder Assured Workloads.
3. Pastikan Anda memiliki izin yang diperlukan yang tercantum di bagian Peran IAM yang diperlukan.

4. Ikuti langkah-langkah di bagian Membuat folder Assured Workloads untuk....

   Catatan: Jika Anda mengelola beberapa organisasi, pilih organisasi yang benar tempat folder Assured Workloads harus dibuat. Untuk region, pilih US, yang sesuai dengan multi-region US.

Saat menyiapkan folder, pertimbangkan panduan berikut:

• Tenant (instance) yang dikontrol kepatuhan adalah tenant yang harus mematuhi satu atau beberapa standar kontrol kepatuhan berikut: FedRAMP, FedRAMP_MODERATE, PCI_DSS, FedRAMP_HIGH, IL4, IL5, CMEK_V1, atau DRZ_ADVANCED.

• Semua file yang terkait dengan tenant yang dikontrol kepatuhan harus berada di folder Assured Workloads yang dikonfigurasi untuk standar kontrol kepatuhan yang sesuai.

• Folder Assured Workloads dibuat di level organisasi.

• Organisasi dapat membuat beberapa folder Assured Workloads, yang masing-masing didedikasikan untuk paket kontrol kepatuhan tertentu berdasarkan persyaratannya. Misalnya, satu folder dapat mendukung instance FedRAMP_MODERATE, sedangkan folder lainnya mendukung instance FedRAMP_HIGH.

Pertimbangkan panduan berikut saat Anda men-deploy tenant (instance) yang dikontrol kepatuhan:

• Anda harus menautkan tenant (instance) yang dikontrol kepatuhan ke project Google Cloud yang berada dalam folder Assured Workloads.

• Jika Anda berencana membuat project Google Cloud baru untuk instance Google SecOps, Anda harus membuat project tersebut dalam folder Assured Workloads yang dikonfigurasi untuk paket kontrol kepatuhan yang diperlukan.

• Jika organisasi Anda tidak memiliki folder Assured Workloads, Anda harus membuatnya.

Setiap instance Google SecOps baru harus ditautkan ke projectGoogle Cloud . Anda dapat menggunakan project Google Cloud yang sudah ada atau membuat project baru.

Untuk membuat project Google Cloud baru:

1. Untuk tenant (instance) yang mematuhi FedRAMP, buat project dalam folder Assured Workloads organisasi Anda. Jika organisasi Anda tidak memiliki folder Assured Workloads untuk paket kontrol yang diperlukan, buat folder.

2. Ikuti langkah-langkah di Membuat project.

   Catatan: Gunakan konvensi penamaan <CUSTOMER-name>-chronicle dan pastikan akun penagihan project cocok dengan akun penagihan instance Google SecOps Anda.
   Catatan: Untuk mengalokasikan tagihan ke akun penagihan yang berbeda, Anda harus memasukkan pesanan baru.

Mengonfigurasi project Google Cloud

Project Google Cloud bertindak sebagai lapisan kontrol untuk instance Google SecOps yang ditautkan.

Untuk menyiapkannya dengan benar, ikuti langkah-langkah di Mengonfigurasi project Google Cloud untuk Google SecOps.

Mengonfigurasi penyedia identitas

Konfigurasikan penyedia identitas untuk mengelola pengguna, grup, dan autentikasi untuk instance Google SecOps Anda.

Ada dua opsi yang didukung:

• Opsi 1: Google Cloud Identity:

  Gunakan opsi ini jika Anda memiliki akun Google Workspace, atau Anda menyinkronkan identitas dari IdP ke Google Cloud.

  1. Buat akun pengguna terkelola untuk mengontrol akses ke resource Google Cloud dan instance Google SecOps Anda.

  2. Tentukan kebijakan IAM menggunakan peran bawaan atau khusus untuk memberikan akses fitur kepada pengguna dan grup.

  Untuk mengetahui petunjuk mendetail, lihat Mengonfigurasi penyedia identitas Google Cloud .

  Catatan: Opsi ini tidak didukung untuk pelanggan kepatuhan FedRAMP, IL4, atau IL5.

• Opsi 2: Workforce Identity Federation:

  Gunakan opsi ini jika Anda menggunakan IdP pihak ketiga (seperti Okta atau Azure AD).

  Konfigurasikan Workforce Identity Federation Google dan buat workforce identity pool. Workforce Identity Federation Google memungkinkan Anda memberikan akses workload lokal atau multi-cloud ke resource Google Cloud , tanpa menggunakan kunci akun layanan.

  Untuk mengetahui petunjuk mendetail, lihat Mengonfigurasi penyedia identitas pihak ketiga.

Melakukan aktivasi instance Google SecOps baru

Sistem Google akan mengirimkan email undangan orientasi Google SecOps ke SME orientasi Anda. Email ini menyertakan link aktivasi untuk memulai proses penyiapan.

Penting: Project Google Cloud yang menghosting instance Google SecOps Anda harus ditautkan ke ID akun penagihan yang sama persis dengan yang digunakan untuk memesan langganan Google SecOps Anda. Jika akun ini tidak cocok, sistem tidak dapat menerapkan kredit langganan ke penggunaan Anda, sehingga menyebabkan tagihan yang salah. Untuk mengalokasikan tagihan ke akun penagihan yang berbeda, Anda harus memasukkan pesanan baru.

Setelah menyiapkan lingkungan untuk orientasi, SME orientasi harus melakukan hal berikut:

• Klik link aktivasi di email undangan.

• Lakukan langkah-langkah di bagian berikut untuk men-deploy instance Google SecOps:

  1. Konfigurasi instance Google SecOps baru dan tautkan ke project Google Cloud .
  2. Konfigurasikan kontrol akses fitur menggunakan IAM.
  3. Mengonfigurasi RBAC data untuk pengguna.
  4. Petakan grup IdP ke parameter kontrol akses untuk menyelesaikan deployment.

Peran dan izin yang diperlukan

Bagian ini mencantumkan peran dan izin yang diperlukan untuk men-deploy instance Google SecOps. Berikan izin ini kepada SME orientasi yang melakukan tugas deployment:

• Semua peran dan izin harus diberikan di level project. Izin ini hanya berlaku untuk project Google Cloud yang ditentukan dan instance Google SecOps terkait. Untuk men-deploy instance tambahan dalam langganan yang ada, Anda dapat menggunakan alur kerja layanan mandiri di konsol Google Cloud . Untuk mengetahui detailnya, lihat Men-deploy instance tambahan.
• Jika Anda men-deploy instance Google SecOps lain berdasarkan kontrak yang berbeda, Anda harus memberikan kumpulan peran dan izin baru untuk deployment tersebut.

Berikan peran dan izin yang tercantum di bagian berikut kepada SME orientasi:

1. Izin di akun penagihan Google
2. Peran IAM yang telah ditetapkan
3. Izin untuk membuat folder Assured Workloads
4. Izin untuk menambahkan project Google Cloud
5. Izin untuk mengonfigurasi penyedia identitas
   1. Izin untuk mengonfigurasi Cloud Identity atau Google Workspace
   2. Izin untuk mengonfigurasi penyedia identitas pihak ketiga
6. Izin untuk menautkan instance Google SecOps ke layanan Google Cloud
7. Izin untuk mengonfigurasi kontrol akses fitur menggunakan IAM
8. Izin untuk mengonfigurasi kontrol akses data
9. Persyaratan kemampuan lanjutan Google SecOps

Izin di akun penagihan Google

Beri SME orientasi izin billing.resourceAssociations.list untuk akun penagihan Google yang ditentukan dalam kontrak. Untuk mengetahui langkah-langkah mendetail, lihat Memperbarui izin pengguna untuk akun Penagihan Cloud.

Peran IAM yang telah ditetapkan

Berikan peran IAM yang telah ditetapkan berikut kepada SME orientasi:

• Chronicle API Admin
• Chronicle Service Admin

• Admin Chronicle SOAR

  Catatan: Peran IAM harus diberikan bahkan saat men-deploy instance non-SOAR.

Izin untuk membuat folder Assured Workloads

Catatan: Izin ini diperlukan untuk melakukan langkah-langkah dalam Membuat folder Assured Workloads baru.

Berikan peran Assured Workloads Administrator (roles/assuredworkloads.admin) kepada SME orientasi, yang berisi izin IAM minimum untuk membuat dan mengelola folder Assured Workloads.

Izin untuk menambahkan project Google Cloud

Catatan: Izin IAM ini diperlukan untuk melakukan langkah-langkah dalam Mengonfigurasi project Google Cloud untuk Google SecOps.

Beri SME orientasi izin pembuat project yang diperlukan untuk membuat project Google Cloud dan mengaktifkan Chronicle API:

• Jika SME aktivasi memiliki izin project creator (resourcemanager.projects.create) di level organisasi, tidak diperlukan izin tambahan.

• Jika SME orientasi tidak memiliki izin pembuat project di level organisasi, berikan peran IAM level project berikut:

  • Chronicle Service Admin (roles/chroniclesm.admin) (jika peran ini belum diberikan sebelumnya)
  • Editor (roles/editor)
  • Project IAM Admin (roles/resourcemanager.projectIamAdmin)
  • Service Usage Admin (roles/serviceusage.serviceUsageAdmin)

Izin untuk mengonfigurasi penyedia identitas

Anda dapat menggunakan IdP untuk mengelola pengguna, grup, dan autentikasi.

Berikan izin berikut kepada SME orientasi untuk mengonfigurasi IdP:

Izin untuk mengonfigurasi Cloud Identity atau Google Workspace

Catatan: Izin ini diperlukan untuk melakukan langkah-langkah dalam Mengonfigurasi penyedia identitas Google Cloud .

• Untuk Cloud Identity:

  Jika Anda menggunakan Cloud Identity, berikan peran dan izin kepada SME orientasi yang dijelaskan dalam Mengelola akses ke project, folder, dan organisasi.

• Untuk Google Workspace:

  Jika Anda menggunakan Google Workspace, SME orientasi harus memiliki akun administrator Cloud Identity dan dapat login ke konsol Admin.

Untuk mengetahui informasi selengkapnya tentang penggunaan Cloud Identity atau Google Workspace sebagai penyedia identitas, lihat Mengonfigurasi penyedia identitas Google Cloud .

Izin untuk mengonfigurasi IdP pihak ketiga

Jika Anda menggunakan IdP pihak ketiga (seperti Okta atau Azure AD), konfigurasikan Workforce Identity Federation bersama dengan workforce identity pool untuk mengaktifkan autentikasi yang aman.

Catatan: Izin ini diperlukan untuk melakukan langkah-langkah dalam Mengonfigurasi IdP pihak ketiga.

Berikan peran dan izin IAM berikut kepada SME orientasi:

• Editor (roles/editor): Izin Project Editor ke project yang terikat dengan Google SecOps.

• Izin IAM Workforce Pool Admin (roles/iam.workforcePoolAdmin) di level organisasi.

  Gunakan contoh berikut untuk menetapkan peran roles/iam.workforcePoolAdmin:

    gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member "user:USER_EMAIL" \
    --role roles/iam.workforcePoolAdmin
  

  Ganti kode berikut:

  • ORGANIZATION_ID: ID organisasi numerik.
  • USER_EMAIL: alamat email administrator.

• Izin Organization Viewer (resourcemanager.organizations.get) di tingkat organisasi.

Izin untuk menautkan instance Google SecOps ke layanan Google Cloud

Catatan: Izin ini diperlukan untuk melakukan langkah-langkah di bagian Menautkan Google SecOps ke layanan Google Cloud .

Berikan izin yang sama kepada SME orientasi seperti Izin untuk menambahkan project Google Cloud .

Jika Anda berencana memigrasikan instance Google SecOps yang ada, Anda memerlukan izin untuk mengakses Google SecOps. Untuk mengetahui daftar peran yang telah ditetapkan, lihat Peran bawaan Google SecOps di IAM.

Izin untuk mengonfigurasi kontrol akses fitur menggunakan IAM

Catatan: Izin ini diperlukan untuk melakukan langkah-langkah dalam Mengonfigurasi kontrol akses fitur menggunakan IAM.

• Berikan peran Project IAM Admin (roles/resourcemanager.projectIamAdmin) di level project kepada SME orientasi. Izin ini diperlukan untuk menetapkan dan mengubah binding peran IAM untuk project.

• Tetapkan peran IAM kepada pengguna berdasarkan tanggung jawab mereka. Untuk mengetahui contohnya, lihat Menetapkan peran kepada pengguna dan grup.

  Jika Anda berencana memigrasikan instance Google SecOps yang ada ke IAM, berikan izin yang sama kepada SME orientasi seperti Izin untuk mengonfigurasi penyedia identitas.

Izin untuk mengonfigurasi kontrol akses data

Catatan: Izin ini diperlukan untuk mengonfigurasi RBAC data bagi pengguna.

Berikan peran IAM berikut kepada SME orientasi:

• Peran Chronicle API Admin (roles/chronicle.admin) dan Role Viewer (roles/iam.roleViewer), untuk mengonfigurasi RBAC data bagi pengguna.
• Peran Project IAM Admin (roles/resourcemanager.projectIamAdmin) atau Security Admin (roles/iam.securityAdmin), untuk menetapkan cakupan kepada pengguna.

Jika Anda tidak memiliki peran yang diperlukan, tetapkan peran di IAM.

Persyaratan kemampuan lanjutan Google SecOps

Tabel berikut mencantumkan kemampuan lanjutan Google SecOps dan dependensinya pada project Google Cloud yang disediakan pelanggan dan workforce identity federation Google.

Kemampuan	Google Cloud foundation	Memerlukan project Google Cloud ?	Memerlukan integrasi IAM?
Cloud Audit Logs: aktivitas administratif	Cloud Audit Logs	Ya	Ya
Cloud Audit Logs: akses data	Cloud Audit Logs	Ya	Ya
Penagihan Cloud: langganan online atau bayar sesuai penggunaan	Penagihan Cloud	Ya	Tidak
Chronicle API: akses umum, membuat dan mengelola kredensial menggunakan IdP pihak ketiga	Google Cloud API	Ya	Ya
Chronicle API: akses umum, membuat dan mengelola kredensial menggunakan Cloud Identity	Google Cloud API, Cloud Identity	Ya	Ya
Kontrol yang mematuhi kebijakan: CMEK	Cloud Key Management Service atau Cloud External Key Manager	Ya	Tidak
Kontrol yang mematuhi: FedRAMP High atau yang lebih tinggi	Assured Workloads	Ya	Ya
Kontrol yang sesuai: Organization Policy Service	Organization Policy Service	Ya	Tidak
Pengelolaan kontak: pengungkapan informasi berdasarkan hukum	Kontak Penting	Ya	Tidak
Pemantauan kondisi: pemadaman layanan pipeline penyerapan	Cloud Monitoring	Ya	Tidak
Penyerapan: webhook, Pub/Sub, Azure Event Hub, Amazon Kinesis Data Firehose	Identity and Access Management	Ya	Tidak
Kontrol akses berbasis peran: data	Identity and Access Management	Ya	Ya
Kontrol akses berbasis peran: fitur atau resource	Identity and Access Management	Ya	Ya
Akses dukungan: pengiriman kasus, pelacakan	Cloud Customer Care	Ya	Tidak
Autentikasi SecOps terpadu	Workforce identity federation Google	Tidak	Ya

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.