Implantar uma instância

Compatível com:

Google SecOps

Neste documento, descrevemos como integrar (implantar) uma instância do Google SecOps (SIEM e SOAR) e ativar os recursos do Google SecOps com base no nível do pacote e nos direitos do Google SecOps. Estas etapas de integração se aplicam aos seguintes pacotes do Google SecOps: Standard, Enterprise e Enterprise Plus.

O especialista em integração designado, também conhecido como especialista do Google SecOps ou administrador de faturamento, realiza o processo de integração. Essa pessoa é o principal ponto de contato da sua organização para o Google SecOps.

Pré-requisitos

Antes de integrar uma nova instância do Google SecOps, verifique se sua organização atende a estes pré-requisitos:

• Um registro ativo em um dos seguintes pacotes do Google SecOps: Standard, Enterprise ou Enterprise Plus.

• Um contrato assinado do Google SecOps da sua organização. Esse contrato concede permissão para provisionar cada nova instância do Google SecOps.

• Se a organização usa o VPC Service Controls, é necessário configurar as regras de entrada e saída relevantes, que estão documentadas em Configurar o VPC Service Controls para o Google SecOps.

• Se a organização usa firewalls de saída, proxies corporativos ou filtragem da Web, configure a lista de permissões da rede para acesso ao navegador e conectividade da API. Para mais informações, consulte Acesso à rede e lista de permissões de domínios e Verificar a configuração do firewall para a API Chronicle.

Implantar uma nova instância do Google SecOps

Siga estas etapas para implantar uma nova instância do Google SecOps:

1. Assine o contrato do Google SecOps.

   O provisionamento de uma nova instância do Google SecOps começa quando sua organização assina um contrato do Google SecOps. Essa ação aciona o fluxo de trabalho de integração interno do Google e registra os detalhes do contrato no sistema do Google, incluindo sua conta de faturamento e o endereço de e-mail do especialista no assunto de integração.

2. Prepare o ambiente para a integração.

   O especialista em integração precisa preparar o ambiente antes de integrar uma nova instância do Google SecOps.

3. Integre uma nova instância do Google SecOps.

4. Implante outras instâncias.

Preparar o ambiente para integração

O especialista em integração precisa preparar seu ambiente antes de integrar uma instância do Google SecOps, conforme descrito nestas seções:

1. Conceder permissões para realizar a integração.
2. Configure uma pasta do Assured Workloads (opcional).
3. Configurar um projeto do Google Cloud .
4. Configurar um provedor de identidade.

Conceder permissões para realizar a integração

Para cada nova instância do Google SecOps, conceda os papéis e as permissões de integração necessários ao especialista em integração, conforme descrito em Papéis e permissões necessários.

Configurar uma pasta do Assured Workloads (opcional)

Para criar uma pasta do Assured Workloads, faça o seguinte:

1. Acesse Produtos compatíveis por pacote de controle.
2. Na lista, selecione o tipo de pacote de controle que você quer aplicar à pasta do Assured Workloads.
3. Verifique se você tem as permissões necessárias listadas na seção Papéis do IAM obrigatórios.

4. Siga as etapas na seção Criar uma pasta do Assured Workloads para....

   Observação : se você gerencia várias organizações, selecione a organização correta em que a pasta do Assured Workloads deve ser criada. Em região, selecione EUA, que corresponde à multirregião dos EUA.

Ao configurar a pasta, considere estas diretrizes:

• Um locatário (instância) controlado por compliance é aquele que precisa estar em conformidade com um ou mais dos seguintes padrões de controle de compliance: FedRAMP, FedRAMP_MODERATE, PCI_DSS, FedRAMP_HIGH, IL4, IL5, CMEK_V1 ou DRZ_ADVANCED.

• Todos os arquivos associados a um locatário controlado por compliance precisam residir em uma pasta do Assured Workloads configurada para o padrão de controle de compliance apropriado.

• Uma pasta do Assured Workloads é criada no nível da organização.

• Uma organização pode criar várias pastas do Assured Workloads, cada uma dedicada a um pacote de controle de compliance específico com base nos requisitos dela. Por exemplo, uma pasta pode ser compatível com instâncias FedRAMP_MODERATE, enquanto outra pode ser compatível com instâncias FedRAMP_HIGH.

Considere estas diretrizes ao implantar um locatário (instância) controlado por compliance:

• É preciso vincular o locatário (instância) controlado por compliance a um projeto do Google Cloud que esteja localizado em uma pasta do Assured Workloads.

• Se você planeja criar um novo projeto do Google Cloud para sua instância do Google SecOps, crie o projeto em uma pasta do Assured Workloads configurada para o pacote de controle de conformidade necessário.

• Se a organização não tiver uma pasta do Assured Workloads, crie uma.

Cada nova instância do Google SecOps precisa ser vinculada a um projeto doGoogle Cloud . Use um projeto do Google Cloud atual ou crie um novo.

Para criar um novo projeto do Google Cloud :

1. Para um locatário (instância) em conformidade com o FedRAMP, crie o projeto na pasta do Assured Workloads da sua organização. Se a organização não tiver uma pasta do Assured Workloads para o pacote de controle necessário, crie uma.

2. Siga as etapas em Criar um projeto.

   Observação: use a convenção de nomenclatura <CUSTOMER-name>-chronicle e confirme se a conta de faturamento do projeto corresponde à conta de faturamento da instância do Google SecOps.
   Observação : para alocar cobranças a uma conta de faturamento diferente, é necessário fazer um novo pedido.

Configurar um projeto do Google Cloud

Um projeto do Google Cloud funciona como a camada de controle da instância vinculada do Google SecOps.

Para configurar corretamente, siga as etapas em Configurar um projeto do Google Cloud para o Google SecOps.

Configurar um provedor de identidade

Configure um provedor de identidade para gerenciar usuários, grupos e autenticação na sua instância do Google SecOps.

Há duas opções disponíveis:

• Opção 1: Google Cloud Identity:

  Use essa opção se você tiver uma conta do Google Workspace ou se sincronizar identidades do IdP com o Google Cloud.

  1. Crie contas de usuário gerenciadas para controlar o acesso aos recursos do Google Cloud e à sua instância do Google SecOps.

  2. Defina políticas do IAM usando papéis predefinidos ou personalizados para conceder acesso aos recursos a usuários e grupos.

  Para instruções detalhadas, consulte Configurar um provedor de identidade do Google Cloud .

  Observação: essa opção não está disponível para clientes em conformidade com FedRAMP, IL4 ou IL5.

• Opção 2: Federação de identidade de colaboradores:

  Use essa opção se você usa um IdP de terceiros (como o Okta ou o Azure AD).

  Configure a federação de identidade de colaboradores do Google e crie um pool de identidades de colaboradores. Com a federação de identidade da força de trabalho do Google, é possível conceder acesso a recursos do Google Cloud a cargas de trabalho locais ou multicloud, sem usar chaves de conta de serviço.

  Para instruções detalhadas, consulte Configurar um provedor de identidade de terceiros.

Integrar uma nova instância do Google SecOps

O sistema do Google envia um e-mail de convite de integração do Google SecOps para sua SME de integração. Esse e-mail inclui um link de ativação para iniciar o processo de configuração.

Importante : o projeto do Google Cloud que hospeda sua instância do Google SecOps precisa estar vinculado ao mesmo ID da conta de faturamento usado para reservar seu pedido de assinatura do Google SecOps. Se essas contas não forem iguais, o sistema não poderá aplicar os créditos da assinatura ao seu uso, o que vai resultar em cobranças incorretas. Para alocar cobranças a uma conta de faturamento diferente, insira um novo pedido.

Depois de preparar o ambiente para a integração, o especialista em integração precisa fazer o seguinte:

• Clique no link de ativação no e-mail de convite.

• Siga as etapas nas seções a seguir para implantar a instância do Google SecOps:

  1. Configure uma nova instância do Google SecOps e vincule-a a um projeto do Google Cloud .
  2. Configurar o controle de acesso a recursos usando o IAM.
  3. Configurar o RBAC de dados para usuários.
  4. Mapeie os grupos do IdP para os parâmetros de controle de acesso para concluir a implantação.

Papéis e permissões necessárias

Nesta seção, listamos os papéis e as permissões necessários para implantar uma instância do Google SecOps. Conceda estas permissões ao especialista em integração que realiza as tarefas de implantação:

• Todos os papéis e permissões precisam ser concedidos no nível do projeto. Essas permissões se aplicam apenas ao projeto do Google Cloud especificado e à instância associada do Google SecOps. Para implantar outras instâncias na sua assinatura atual, use o fluxo de trabalho de autoatendimento no console do Google Cloud . Para mais detalhes, consulte Implantar uma instância adicional.
• Se você implantar outra instância do Google SecOps em um contrato diferente, será necessário conceder um novo conjunto de papéis e permissões para essa implantação.

Conceda ao especialista em integração os papéis e as permissões listados nas seções a seguir:

1. Permissões na conta de faturamento do Google
2. Papéis predefinidos do IAM
3. Permissões para criar uma pasta do Assured Workloads
4. Permissões para adicionar um projeto do Google Cloud
5. Permissões para configurar um provedor de identidade
   1. Permissões para configurar o Cloud Identity ou o Google Workspace
   2. Permissões para configurar um provedor de identidade de terceiros
6. Permissões para vincular uma instância do Google SecOps aos serviços do Google Cloud
7. Permissões para configurar o controle de acesso a recursos usando o IAM
8. Permissões para configurar o controle de acesso aos dados
9. Requisitos dos recursos avançados do Google SecOps

Permissões na conta de faturamento do Google

Conceda à SME de integração a permissão billing.resourceAssociations.list para a conta de faturamento do Google especificada no contrato. Para ver as etapas detalhadas, consulte Atualizar as permissões do usuário para uma conta do Cloud Billing.

Papéis de IAM predefinidos

Conceda ao especialista em integração os seguintes papéis predefinidos do IAM:

• Administrador da API Chronicle
• Administrador de serviço do Chronicle

• Administrador do Chronicle SOAR

  Observação: o papel do IAM precisa ser concedido mesmo ao implantar uma instância que não seja do SOAR.

Permissões para criar uma pasta do Assured Workloads

Observação : essas permissões são necessárias para realizar as etapas em Criar uma nova pasta do Assured Workloads.

Conceda ao especialista em integração o papel de Administrador do Assured Workloads (roles/assuredworkloads.admin), que contém as permissões mínimas do IAM para criar e gerenciar pastas do Assured Workloads.

Permissões para adicionar um projeto do Google Cloud

Observação: essas permissões do IAM são necessárias para realizar as etapas em Configurar um projeto do Google Cloud para o Google SecOps.

Conceda ao especialista em integração as permissões de criador de projetos necessárias para criar um projeto do Google Cloud e ativar a API Chronicle:

• Se o SME de integração tiver permissões de criador de projetos (resourcemanager.projects.create) no nível da organização, nenhuma outra permissão será necessária.

• Se o especialista em integração não tiver permissões de Criador de projetos no nível da organização, conceda os seguintes papéis do IAM para envolvidos no projeto:

  • Administrador de serviço do Chronicle (roles/chroniclesm.admin) (se esse papel não tiver sido concedido anteriormente)
  • Editor (roles/editor)
  • Administrador de IAM do projeto (roles/resourcemanager.projectIamAdmin)
  • Administrador do Service Usage (roles/serviceusage.serviceUsageAdmin)

Permissões para configurar um provedor de identidade

É possível usar um IdP para gerenciar usuários, grupos e autenticação.

Conceda as seguintes permissões ao especialista em integração para configurar um IdP:

Permissões para configurar o Cloud Identity ou o Google Workspace

Observação: essas permissões são necessárias para realizar as etapas em Configurar um provedor de identidade do Google Cloud .

• Para o Cloud Identity:

  Se você estiver usando o Cloud Identity, conceda ao especialista em integração os papéis e as permissões descritos em Gerenciar o acesso a projetos, pastas e organizações.

• Para o Google Workspace:

  Se você estiver usando o Google Workspace, o SME de integração precisará ter uma conta de administrador do Cloud Identity e conseguir fazer login no Admin Console.

Para mais informações sobre como usar o Cloud Identity ou o Google Workspace como provedor de identidade, consulte Configurar o provedor de identidade do Google Cloud .

Permissões para configurar um IdP de terceiros

Se você usa um IdP de terceiros (como o Okta ou o Azure AD), configure a federação de identidade de colaboradores com um pool de identidades de colaboradores para permitir a autenticação segura.

Observação: essas permissões são necessárias para realizar as etapas em Configurar um IdP de terceiros.

Conceda ao especialista em integração os seguintes papéis e permissões do IAM:

• Editor (roles/editor): permissões de Editor do projeto para o projeto vinculado ao Google SecOps.

• Permissão Administrador de pool de colaboradores do IAM (roles/iam.workforcePoolAdmin) no nível da organização.

  Use o exemplo a seguir para definir o papel roles/iam.workforcePoolAdmin:

    gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member "user:USER_EMAIL" \
    --role roles/iam.workforcePoolAdmin
  

  Substitua:

  • ORGANIZATION_ID: ID da organização.
  • USER_EMAIL: endereço de e-mail do administrador.

• Permissão de Leitor da organização (resourcemanager.organizations.get) no nível da organização.

Permissões para vincular uma instância do Google SecOps aos serviços do Google Cloud

Observação: essas permissões são necessárias para realizar as etapas em Vincular o Google SecOps aos serviços do Google Cloud .

Conceda à SME de integração as mesmas permissões que as Permissões para adicionar um projeto do Google Cloud .

Se você planeja migrar uma instância atual do Google SecOps, precisa de permissões para acessar o Google SecOps. Para uma lista de papéis predefinidos, consulte Papéis predefinidos do Google SecOps no IAM.

Permissões para configurar o controle de acesso a recursos usando o IAM

Observação : essas permissões são necessárias para realizar as etapas em Configurar o controle de acesso a recursos usando o IAM.

• Conceda o papel de Administrador do IAM do projeto (roles/resourcemanager.projectIamAdmin) no nível do projeto ao SME de integração. Essa permissão é necessária para atribuir e modificar vinculações de papéis do IAM para o projeto.

• Atribua papéis do IAM aos usuários com base nas responsabilidades deles. Para ver exemplos, consulte Atribuir papéis a usuários e grupos.

  Se você planeja migrar uma instância atual do Google SecOps para o IAM, conceda ao especialista em integração as mesmas permissões que as Permissões para configurar um provedor de identidade.

Permissões para configurar o controle de acesso a dados

Observação: essas permissões são necessárias para configurar o RBAC de dados para os usuários.

Conceda ao especialista em integração os seguintes papéis do IAM:

• Papéis de administrador da API Chronicle (roles/chronicle.admin) e de leitor de papéis (roles/iam.roleViewer), para configurar o RBAC de dados para usuários.
• Papel de Administrador do IAM do projeto (roles/resourcemanager.projectIamAdmin) ou Administrador de segurança (roles/iam.securityAdmin) para atribuir os escopos aos usuários.

Se você não tiver os papéis necessários, atribua os papéis no IAM.

Requisitos de recursos avançados do Google SecOps

A tabela a seguir lista os recursos avançados do Google SecOps e as dependências deles em um projeto do Google Cloud fornecido pelo cliente e na federação de identidade de colaboradores do Google.

Capacidade	Google Cloud foundation	Requer o projeto Google Cloud ?	Requer integração com o IAM?
Registros de auditoria do Cloud: atividades administrativas	Registros de auditoria do Cloud	Sim	Sim
Registros de auditoria do Cloud: acesso a dados	Registros de auditoria do Cloud	Sim	Sim
Cloud Billing: assinatura on-line ou pagamento por uso	Cloud Billing	Sim	Não
APIs do Chronicle: acesso geral, criação e gerenciamento de credenciais usando IdP de terceiros	Google Cloud APIs	Sim	Sim
APIs do Chronicle: acesso geral, criação e gerenciamento de credenciais usando o Cloud Identity	Google Cloud APIs, Cloud Identity	Sim	Sim
Controles em conformidade: CMEK	Cloud Key Management Service ou Cloud External Key Manager	Sim	Não
Controles em conformidade: FedRAMP High ou superior	Assured Workloads	Sim	Sim
Controles em conformidade: Serviço de Política da Organização	Serviço de política da organização	Sim	Não
Gerenciamento de contatos: declarações legais	Contatos essenciais	Sim	Não
Monitoramento de integridade: interrupções no pipeline de ingestão	Cloud Monitoring	Sim	Não
Ingestão: webhook, Pub/Sub, Hub de Eventos do Azure, Amazon Kinesis Data Firehose	Identity and Access Management	Sim	Não
Controles de acesso com base em papéis: dados	Identity and Access Management	Sim	Sim
Controles de acesso com base em papéis: recursos	Identity and Access Management	Sim	Sim
Acesso ao suporte: envio e acompanhamento de casos	Cloud Customer Care	Sim	Não
Autenticação unificada do SecOps	Federação de identidade de colaboradores do Google	Não	Sim

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.