Esegui il deployment di un'istanza

Supportata in:

Google SecOps

Questo documento descrive come eseguire l'onboarding (deployment) di un'istanza Google SecOps (SIEM e SOAR) e attivare le funzionalità di Google SecOps in base al livello e ai diritti del pacchetto Google SecOps. Questi passaggi di onboarding si applicano ai seguenti pacchetti Google SecOps: Standard, Enterprise ed Enterprise Plus.

L'esperto in materia di onboarding designato, chiamato anche esperto in materia di Google SecOps o amministratore della fatturazione, esegue il processo di onboarding. Questa persona funge da punto di contatto principale della tua organizzazione per Google SecOps.

Prerequisiti

Prima di poter eseguire l'onboarding di una nuova istanza di Google SecOps, assicurati che la tua organizzazione soddisfi i seguenti prerequisiti:

• Una registrazione attiva per uno dei seguenti pacchetti Google SecOps: Standard, Enterprise o Enterprise Plus.

• Un contratto Google SecOps firmato dalla tua organizzazione. Questo contratto ti autorizza a eseguire il provisioning di ogni nuova istanza di Google SecOps.

• Se la tua organizzazione utilizza i Controlli di servizio VPC, devi configurare le regole in entrata e in uscita pertinenti, documentate in Configura i Controlli di servizio VPC per Google SecOps.

• Se la tua organizzazione utilizza firewall in uscita, proxy aziendali o filtri web, configura la lista consentita della rete per l'accesso al browser e la connettività API. Per saperne di più, consulta Accesso alla rete e lista consentita dei domini e Verifica la configurazione del firewall per l'API Chronicle.

Esegui il deployment di una nuova istanza Google SecOps

Per eseguire il deployment di una nuova istanza di Google SecOps:

1. Firma il contratto di Google SecOps.

   Il provisioning di una nuova istanza Google SecOps inizia quando la tua organizzazione firma un contratto Google SecOps. Questa azione attiva il workflow di onboarding interno di Google e registra i dettagli del contratto nel sistema di Google, inclusi il tuo account di fatturazione e l'indirizzo email dell'esperto in materia di onboarding.

2. Prepara l'ambiente per l'onboarding.

   L'esperto in materia di onboarding deve preparare l'ambiente prima di eseguire l'onboarding di una nuova istanza di Google SecOps.

3. Esegui l'onboarding di una nuova istanza Google SecOps.

4. Esegui il deployment di istanze aggiuntive.

Prepara l'ambiente per l'onboarding

L'esperto di onboarding deve preparare l'ambiente prima di eseguire l'onboarding di un'istanza di Google SecOps, come descritto in queste sezioni:

1. Concedi le autorizzazioni per eseguire l'onboarding.
2. Configura una cartella Assured Workloads (facoltativo).
3. Configura un progetto Google Cloud .
4. Configura un provider di identità.

Concedi le autorizzazioni per eseguire l'onboarding

Per ogni nuova istanza di Google SecOps, concedi i ruoli e le autorizzazioni di onboarding richiesti all'esperto di onboarding, come descritto in Ruoli e autorizzazioni richiesti.

Configura una cartella Assured Workloads (facoltativo)

Per creare una cartella Assured Workloads, segui questi passaggi:

1. Vai a Prodotti supportati per pacchetto di controlli.
2. Nell'elenco, seleziona il tipo di pacchetto di controlli che vuoi applicare alla cartella Assured Workloads.
3. Assicurati di disporre delle autorizzazioni necessarie elencate nella sezione Ruoli IAM richiesti.

4. Segui i passaggi descritti nella sezione Crea una cartella Assured Workloads per….

   Nota: se gestisci più organizzazioni, seleziona l'organizzazione corretta in cui creare la cartella Assured Workloads. In Regione, seleziona Stati Uniti, che corrisponde alla multiregione Stati Uniti.

Quando configuri la cartella, tieni presente queste linee guida:

• Un tenant (istanza) controllato per la conformità è un tenant che deve essere conforme a uno o più dei seguenti standard di controllo della conformità: FedRAMP, FedRAMP_MODERATE, PCI_DSS, FedRAMP_HIGH, IL4, IL5, CMEK_V1 o DRZ_ADVANCED.

• Tutti i file associati a un tenant controllato per la conformità devono risiedere in una cartella Assured Workloads configurata per lo standard di controllo della conformità appropriato.

• Viene creata una cartella Assured Workloads a livello di organizzazione.

• Un'organizzazione può creare più cartelle Assured Workloads, ciascuna dedicata a un pacchetto di controlli di conformità specifico in base ai suoi requisiti. Ad esempio, una cartella può supportare istanze FedRAMP_MODERATE, mentre un'altra istanze FedRAMP_HIGH.

Tieni presente queste linee guida quando esegui il deployment di un tenant (istanza) controllato dalla conformità:

• Devi collegare il tenant (istanza) controllato per la conformità a un progetto Google Cloudche si trova all'interno di una cartella Assured Workloads.

• Se prevedi di creare un nuovo progetto Google Cloud per la tua istanza di Google SecOps, devi creare il progetto all'interno di una cartella Assured Workloads configurata per il pacchetto di controlli di conformità richiesto.

• Se la tua organizzazione non dispone di una cartella Assured Workloads, devi crearne una.

Ogni nuova istanza di Google SecOps deve essere collegata a un progettoGoogle Cloud . Puoi utilizzare un progetto Google Cloud esistente o crearne uno nuovo.

Per creare un nuovo progetto Google Cloud :

1. Per un tenant (istanza) conforme a FedRAMP, crea il progetto all'interno della cartella Assured Workloads della tua organizzazione. Se la tua organizzazione non dispone di una cartella Assured Workloads per il pacchetto di controlli richiesto, creane una.

2. Segui i passaggi descritti in Crea un progetto.

   Nota: utilizza la convenzione di denominazione <CUSTOMER-name>-chronicle e verifica che l'account di fatturazione del progetto corrisponda a quello dell'istanza Google SecOps.
   Nota: per allocare gli addebiti a un account di fatturazione diverso, devi inserire un nuovo ordine.

Configura un progetto Google Cloud

Un progetto Google Cloud funge da livello di controllo per l'istanza Google SecOps collegata.

Per configurarlo correttamente, segui i passaggi descritti in Configura un progetto Google Cloud per Google SecOps.

Configura un provider di identità

Configura un provider di identità per gestire utenti, gruppi e autenticazione per la tua istanza di Google SecOps.

Sono supportate due opzioni:

• Opzione 1: Google Cloud Identity:

  Utilizza questa opzione se hai un account Google Workspace o se sincronizzi le identità dal tuo IdP a Google Cloud.

  1. Crea account utente gestiti per controllare l'accesso alle risorse Google Cloud e alla tua istanza Google SecOps.

  2. Definisci i criteri IAM utilizzando ruoli predefiniti o personalizzati per concedere l'accesso alle funzionalità a utenti e gruppi.

  Per istruzioni dettagliate, consulta Configura un provider di identità Google Cloud .

  Nota: questa opzione non è supportata per i clienti con conformità FedRAMP, IL4 o IL5.

• Opzione 2: Federazione delle identità per la forza lavoro:

  Utilizza questa opzione se utilizzi un IdP di terze parti (come Okta o Azure AD).

  Configura la federazione delle identità per la forza lavoro di Google e crea un pool di identità per la forza lavoro. La federazione delle identità per la forza lavoro di Google ti consente di concedere ai workload on-premise o multi-cloud l'accesso alle risorse Google Cloud , senza utilizzare le chiavi dei account di servizio.

  Per istruzioni dettagliate, consulta Configura un provider di identità di terze parti.

Esegui l'onboarding di una nuova istanza Google SecOps

Il sistema Google invia un'email di invito all'onboarding di Google SecOps al tuo esperto in materia di onboarding. Questa email include un link di attivazione per avviare la procedura di configurazione.

Importante: il progetto Google Cloud che ospita l'istanza Google SecOps deve essere collegato esattamente allo stesso ID account di fatturazione utilizzato per prenotare l'ordine di abbonamento a Google SecOps. Se questi account non corrispondono, il sistema non può applicare i crediti dell'abbonamento al tuo utilizzo, il che comporta addebiti errati. Per allocare gli addebiti a un altro account di fatturazione, devi inserire un nuovo ordine.

Dopo aver preparato l'ambiente per l'onboarding, l'esperto di onboarding deve eseguire le seguenti operazioni:

• Fai clic sul link di attivazione nell'email di invito.

• Segui i passaggi descritti nelle sezioni seguenti per eseguire il deployment dell'istanza Google SecOps:

  1. Configura una nuova istanza Google SecOps e collegala a un progetto Google Cloud .
  2. Configura il controllo dell'accesso alle funzionalità utilizzando IAM.
  3. Configura l'RBAC dei dati per gli utenti.
  4. Mappa i gruppi IdP ai controllo dell'accesso dell'accesso per completare il deployment.

Ruoli e autorizzazioni richiesti

Questa sezione elenca i ruoli e le autorizzazioni necessari per eseguire il deployment di un'istanza Google SecOps. Concedi queste autorizzazioni all'esperto di onboarding che esegue le attività di deployment:

• Tutti i ruoli e le autorizzazioni devono essere concessi a livello di progetto. Queste autorizzazioni si applicano solo al progetto Google Cloud specificato e all'istanza Google SecOps associata. Per eseguire il deployment di istanze aggiuntive nell'ambito del tuo abbonamento esistente, puoi utilizzare il workflow self-service nella console Google Cloud . Per maggiori dettagli, consulta Esegui il deployment di un'istanza aggiuntiva.
• Se esegui il deployment di un'altra istanza di Google SecOps con un contratto diverso, devi concedere un nuovo insieme di ruoli e autorizzazioni per quel deployment.

Concedi all'esperto di onboarding i ruoli e le autorizzazioni elencati nelle sezioni seguenti:

1. Autorizzazioni nell'account di fatturazione Google
2. Ruoli IAM predefiniti
3. Autorizzazioni per creare una cartella Assured Workloads
4. Autorizzazioni per aggiungere un progetto Google Cloud
5. Autorizzazioni per configurare un provider di identità
   1. Autorizzazioni per configurare Cloud Identity o Google Workspace
   2. Autorizzazioni per configurare un provider di identità di terze parti
6. Autorizzazioni per collegare un'istanza Google SecOps ai servizi Google Cloud
7. Autorizzazioni per configurare controllo dell'accesso alle funzionalità utilizzando IAM
8. Autorizzazioni per configurare il controllo dell'accesso ai dati
9. Requisiti delle funzionalità avanzate di Google SecOps

Autorizzazioni nell'account di fatturazione Google

Concedi all'esperto di onboarding l'autorizzazione billing.resourceAssociations.list per l'account di fatturazione Google specificato nel contratto. Per i passaggi dettagliati, consulta Aggiorna le autorizzazioni utente per un account di fatturazione Cloud.

Ruoli IAM predefiniti

Concedi all'esperto di onboarding i seguenti ruoli IAM predefiniti:

• Chronicle API Admin
• Chronicle Service Admin

• Chronicle SOAR Admin

  Nota: il ruolo IAM deve essere concesso anche quando esegui il deployment di un'istanza non SOAR.

Autorizzazioni per creare una cartella Assured Workloads

Nota: queste autorizzazioni sono necessarie per eseguire i passaggi descritti in Crea una nuova cartella Assured Workloads.

Concedi all'esperto di onboarding il ruolo Assured Workloads Administrator (roles/assuredworkloads.admin), che contiene le autorizzazioni IAM minime per creare e gestire le cartelle Assured Workloads.

Autorizzazioni per aggiungere un progetto Google Cloud

Nota: queste autorizzazioni IAM sono necessarie per eseguire i passaggi descritti in Configura un progetto Google Cloud per Google SecOps.

Concedi all'esperto di onboarding le autorizzazioni di Project Creator necessarie per creare un progetto Google Cloud e abilitare l'API Chronicle:

• Se l'esperto di onboarding dispone delle autorizzazioni di creatore di progetti (resourcemanager.projects.create) a livello di organizzazione, non sono necessarie ulteriori autorizzazioni.

• Se l'esperto di onboarding non dispone delle autorizzazioni di Project Creator a livello di organizzazione, concedi i seguenti ruoli IAM a livello di progetto:

  • Chronicle Service Admin (roles/chroniclesm.admin) (se questo ruolo non è stato concesso in precedenza)
  • Editor (roles/editor)
  • Project IAM Admin (roles/resourcemanager.projectIamAdmin)
  • Service Usage Admin (roles/serviceusage.serviceUsageAdmin)

Autorizzazioni per configurare un provider di identità

Puoi utilizzare un IdP per gestire utenti, gruppi e autenticazione.

Concedi le seguenti autorizzazioni all'esperto di onboarding per la configurazione di un IdP:

Autorizzazioni per configurare Cloud Identity o Google Workspace

Nota: queste autorizzazioni sono necessarie per eseguire i passaggi descritti in Configura un provider di identità Google Cloud .

• Per Cloud Identity:

  Se utilizzi Cloud Identity, concedi all'esperto in materia di onboarding i ruoli e le autorizzazioni descritti in Gestisci l'accesso a progetti, cartelle e organizzazioni.

• Per Google Workspace:

  Se utilizzi Google Workspace, l'esperto di onboarding deve disporre di un account amministratore Cloud Identity e deve essere in grado di accedere alla Console di amministrazione.

Per saperne di più sull'utilizzo di Cloud Identity o Google Workspace come provider di identità, consulta Configura il provider di identità Google Cloud .

Autorizzazioni per configurare un IdP di terze parti

Se utilizzi un IdP di terze parti (come Okta o Azure AD), configura la federazione delle identità per la forza lavoro insieme a un pool di identità per la forza lavoro per abilitare l'autenticazione sicura.

Nota: queste autorizzazioni sono necessarie per eseguire i passaggi descritti in Configura un IdP di terze parti.

Concedi all'esperto di onboarding i seguenti ruoli e autorizzazioni IAM:

• Editor (roles/editor): autorizzazioni di Editor progetto per il progetto associato a Google SecOps.

• Autorizzazione IAM Workforce Pool Admin (roles/iam.workforcePoolAdmin) a livello di organizzazione.

  Utilizza il seguente esempio per impostare il ruolo roles/iam.workforcePoolAdmin:

    gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member "user:USER_EMAIL" \
    --role roles/iam.workforcePoolAdmin
  

  Sostituisci quanto segue:

  • ORGANIZATION_ID: ID organizzazione numerico.
  • USER_EMAIL: l'indirizzo email dell'amministratore.

• Autorizzazione Organization Viewer (resourcemanager.organizations.get) a livello di organizzazione.

Autorizzazioni per collegare un'istanza Google SecOps ai servizi Google Cloud

Nota: queste autorizzazioni sono necessarie per eseguire i passaggi descritti in Collega Google SecOps ai servizi Google Cloud .

Concedi all'esperto di onboarding le stesse autorizzazioni delle autorizzazioni per aggiungere un progetto Google Cloud .

Se prevedi di eseguire la migrazione di un'istanza Google SecOps esistente, devi disporre delle autorizzazioni per accedere a Google SecOps. Per un elenco dei ruoli predefiniti, consulta Ruoli predefiniti di Google SecOps in IAM.

Autorizzazioni per configurare il controllo dell'accesso alle funzionalità utilizzando IAM

Nota: queste autorizzazioni sono necessarie per eseguire i passaggi descritti in Configura controllo dell'accesso alle funzionalità utilizzando IAM.

• Concedi il ruolo Project IAM Admin (roles/resourcemanager.projectIamAdmin) a livello di progetto all'esperto del settore dell'onboarding. Questa autorizzazione è necessaria per assegnare e modificare le associazioni dei ruoli IAM per il progetto.

• Assegna i ruoli IAM agli utenti in base alle loro responsabilità. Per esempi, consulta Assegna ruoli a utenti e gruppi.

  Se prevedi di eseguire la migrazione di un'istanza Google SecOps esistente a IAM, concedi all'esperto di onboarding le stesse autorizzazioni di Autorizzazioni per configurare un provider di identità.

Autorizzazioni per configurare controllo dell'accesso ai dati

Nota: queste autorizzazioni sono necessarie per configurare l'RBAC dei dati per gli utenti.

Concedi all'esperto di onboarding i seguenti ruoli IAM:

• Ruoli Chronicle API Admin (roles/chronicle.admin) e Role Viewer (roles/iam.roleViewer) per configurare il RBAC dei dati per gli utenti.
• Ruolo Project IAM Admin (roles/resourcemanager.projectIamAdmin) o Amministratore sicurezza (roles/iam.securityAdmin) per assegnare gli ambiti agli utenti.

Se non disponi dei ruoli richiesti, assegnali in IAM.

Requisiti delle funzionalità avanzate di Google SecOps

La tabella seguente elenca le funzionalità avanzate di Google SecOps e le relative dipendenze da un progetto Google Cloud fornito dal cliente e dalla federazione delle identità della forza lavoro di Google.

Capacità	Google Cloud foundation	Richiede il progetto Google Cloud ?	Richiede l'integrazione IAM?
Cloud Audit Logs: attività amministrative	Cloud Audit Logs	Sì	Sì
Cloud Audit Logs: accesso ai dati	Cloud Audit Logs	Sì	Sì
Fatturazione Cloud: abbonamento online o pagamento a consumo	Fatturazione Cloud	Sì	No
API Chronicle: accesso generale, creazione e gestione delle credenziali utilizzando un IdP di terze parti	APIGoogle Cloud	Sì	Sì
API Chronicle: accesso generale, creazione e gestione delle credenziali utilizzando Cloud Identity	Google Cloud API, Cloud Identity	Sì	Sì
Controlli conformi: CMEK	Cloud Key Management Service o Cloud External Key Manager	Sì	No
Controlli conformi: FedRAMP High o superiore	Assured Workloads	Sì	Sì
Controlli conformi: servizio policy dell'organizzazione	Servizio Policy dell'organizzazione	Sì	No
Gestione dei contatti: divulgazioni legali	Contatti fondamentali	Sì	No
Monitoraggio dello stato: interruzioni della pipeline di importazione	Cloud Monitoring	Sì	No
Importazione: webhook, Pub/Sub, Azure Event Hub, Amazon Kinesis Data Firehose	Identity and Access Management	Sì	No
Controlli degli accessi basati su ruoli: dati	Identity and Access Management	Sì	Sì
Controlli degli accessi basati sui ruoli: funzionalità o risorse	Identity and Access Management	Sì	Sì
Accesso all'assistenza: invio e monitoraggio delle richieste	Assistenza clienti Google Cloud	Sì	No
Autenticazione SecOps unificata	Federazione delle identità per la forza lavoro di Google	No	Sì

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.