Mengonfigurasi Kontrol Layanan VPC

Didukung di:

Panduan ini menjelaskan cara mengonfigurasi Kontrol Layanan VPC untuk Google Security Operations.

Kontrol Layanan VPC memungkinkan Anda menyiapkan perimeter layanan untuk mencegah pemindahan data yang tidak sah. Konfigurasikan Google Security Operations dengan Kontrol Layanan VPC agar Google SecOps dapat mengakses resource dan layanan di luar perimeter layanannya.

Untuk mempelajari lebih lanjut tentang Kontrol Layanan VPC, baca Ringkasan Kontrol Layanan VPC. Anda juga dapat melihat entri Google Security Operations di tabel produk yang didukung Kontrol Layanan VPC.

Sebelum memulai

  • Pastikan Anda memiliki peran yang diperlukan untuk mengonfigurasi Kontrol Layanan VPC di tingkat organisasi.

  • Untuk menggunakan Google SecOps dengan Kontrol Layanan VPC, Anda hanya dapat menggunakan fitur yang mematuhi Kontrol Layanan VPC. Berikut adalah daftar fitur yang sesuai dengan Kontrol Layanan VPC:

    • Google SecOps dengan Kontrol Layanan VPC hanya mendukung autentikasi Identity Google Cloud , penyedia identitas pihak ketiga, dan Workforce Identity Federation.
    • RBAC fitur Google SecOps harus diaktifkan untuk menggunakan Kontrol Layanan VPC dengan Google SecOps.

    • Google SecOps dengan Kontrol Layanan VPC hanya mendukung API yang ditampilkan secara publik berikut:

      • chronicle.googleapis.com
      • chronicleservicemanager.googleapis.com

      Untuk mengaktifkan Kontrol Layanan VPC, Anda harus memigrasikan semua endpoint yang sesuai ke chronicle.googleapis.com API.

    • Google SecOps dengan Kontrol Layanan VPC mendukung ekspor data Unified Data Model (UDM) Google SecOps hanya ke project BigQuery yang dikelola sendiri atau menggunakan BigQuery Export Lanjutan.

    • Kontrol Layanan VPC hanya mendukung Dasbor Google SecOps.

    • Anda hanya dapat membuat feed Cloud Storage dengan jenis sumber GOOGLE_CLOUD_STORAGE_V2 menggunakan konektor v2.

    • Saat Anda membuat langganan Pub/Sub baru ketika Google SecOps dibatasi dalam perimeter Kontrol Layanan VPC, Google SecOps mengharuskan Anda menulis log ke Cloud Storage dan menggunakan GOOGLE_CLOUD_STORAGE_V2 atau GOOGLE_CLOUD_STORAGE_EVENT_DRIVEN, bukan feed CLOUD_PUB_SUB.

  • Untuk instance Google SecOps yang menggunakan kunci enkripsi yang dikelola pelanggan (CMEK), Google sangat menyarankan agar Anda menyimpan project Cloud Key Management Service dalam perimeter yang sama dengan project Google Cloud yang ditautkan ke Google SecOps atau menyimpan kunci Anda di dalam project Google Cloud yang ditautkan ke Google SecOps itu sendiri.

  • Untuk sisi SOAR platform, jika instance Google SecOps Anda menggunakan kunci enkripsi yang dikelola pelanggan (CMEK), pastikan instance SOAR Anda dimigrasikan ke Google.com.

  • Jika Anda menggunakan ekspor data SOAR lama ke BigQuery, seperti untuk Looker atau BigQuery Export Terkelola, Google merekomendasikan agar Anda menggunakan fitur Bring Your Own BigQuery (BYOBQ). Karena dasbor Looker adalah fitur lama, Google juga merekomendasikan agar Anda menggunakan Dasbor. Jika Anda terus menggunakan ekspor data SOAR lama ke BigQuery, Anda harus mengonfigurasi aturan egress khusus di perimeter layanan Kontrol Layanan VPC Anda. Untuk mendapatkan informasi aturan dan project yang diperlukan, seperti SOAR_TENANT_PROJECT_ID dan BQ_TLA_PROJECT_NUMBER, hubungi Customer Engineer (CE) Anda atau buka kasus dukungan.

Batasan

  • Endpoint Google SecOps Chronicle API ImportPushLogs tidak mendukung Kontrol Layanan VPC. Namun, batasan ini tidak menimbulkan risiko pemindahan data yang tidak sah, karena endpoint ImportPushLogs hanya digunakan untuk mengirim data ke instance Google SecOps, bukan untuk mengakses data.

  • Google SecOps dengan Kontrol Layanan VPC tidak mendukung dasbor Looker.

  • Google Cloud Pub/Sub tidak mendukung pembuatan langganan Pub/Sub baru yang menggunakan endpoint Chronicle API untuk menyerap log (Entri Pub/Sub dalam tabel produk yang didukung Kontrol Layanan VPC). Namun, langganan Pub/Sub yang sudah ada (dibuat sebelum memindahkan project Google Cloud ke dalam perimeter Kontrol Layanan VPC) akan terus menyerap log seperti yang diharapkan.

  • Google SecOps dengan Kontrol Layanan VPC tidak mendukung bucket cloud lama dan konektor feed API pihak ketiga.

Mengonfigurasi aturan ingress dan egress

Konfigurasikan aturan ingress dan egress berdasarkan konfigurasi perimeter layanan. Untuk mengetahui informasi selengkapnya, lihat Ringkasan perimeter layanan.

Jika Anda mengalami masalah dengan Kontrol Layanan VPC, gunakan penganalisis pelanggaran Kontrol Layanan VPC untuk men-debug dan menganalisis masalah tersebut. Untuk mengetahui informasi selengkapnya, lihat Mendiagnosis penolakan akses di penganalisis pelanggaran.

Mengonfigurasi aturan ingress untuk SOAR

Bagian ini menjelaskan cara mengonfigurasi Kontrol Layanan VPC untuk sisi SOAR platform.

Konfigurasikan aturan ingress berikut untuk akun pengguna Google Cloud yang Anda tentukan saat menyiapkan Google SecOps:

  - ingressFrom:
      identityType: ANY_SERVICE_ACCOUNT
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: secretmanager.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/PROJECT_NUMBER

Ganti PROJECT_NUMBER dengan nomor project Google Cloud yang ditautkan ke Google SecOps.

Mengonfigurasi aturan untuk SIEM

Bagian ini menjelaskan cara mengonfigurasi Kontrol Layanan VPC untuk sisi SIEM platform.

Aturan ingress dan egress untuk feed V2 berbasis Cloud Storage

Konfigurasikan aturan ingress dan egress berdasarkan konfigurasi perimeter layanan. Lihat Ringkasan perimeter layanan untuk mengetahui informasi selengkapnya. Jika Kontrol Layanan VPC diaktifkan di project Google Cloud yang menghosting bucket Cloud Storage sumber atau di project Google Cloud yang ditautkan ke Google SecOps (BYOP), konfigurasikan aturan ingress dan egress yang diperlukan berdasarkan penyiapan perimeter Anda:

Kasus Project bucket sumber Project yang ditautkan ke Google SecOps (BYOP) Aturan untuk Perimeter Sumber Aturan untuk Perimeter BYOP
Kasus satu Dalam perimeter Dalam perimeter yang sama Tidak ada Tidak ada
Kasus dua Di CUSTOMER_SOURCE_PERIMETER Di CUSTOMER_BYOP_PERIMETER (perimeter berbeda) Aturan A1 (Ingress) dan Aturan A2 (Egress) Aturan B1 (Egress)
Kasus tiga Di CUSTOMER_SOURCE_PERIMETER Tidak dalam perimeter Aturan A1 (Ingress) dan Aturan A2 (Egress) Tidak ada
Kasus empat Tidak dalam perimeter Di CUSTOMER_BYOP_PERIMETER Tidak ada Aturan B1 (Egress)

Ganti placeholder ini dalam aturan ingress dan egress berikut:

  • CUSTOMER_SOURCE_PROJECT_NUMBER: Project ID numerik dari project Google Cloud yang menghosting bucket Cloud Storage sumber.
  • CUSTOMER_SOURCE_PERIMETER: Perimeter VPC-SC yang melindungi project bucket sumber.
  • CUSTOMER_BYOP_PROJECT_NUMBER: Project ID numerik dari project yang ditautkan ke Google SecOps Google Cloud (BYOP).
  • CUSTOMER_BYOP_PERIMETER: Perimeter VPC-SC yang melindungi project BYOP Anda.
  • CHRONICLE_STS_SERVICE_AGENT: Akun layanan Storage Transfer Service (STS) yang ditampilkan di Google SecOps saat mengonfigurasi feed Cloud Storage V2 (misalnya, project-123456789@storage-transfer-service.).
A. Aturan untuk perimeter project bucket sumber (CUSTOMER_SOURCE_PERIMETER)

Terapkan aturan ini untuk kasus dua dan tiga seperti yang ditentukan dalam tabel sebelumnya.

Aturan A1: Aturan masuk
  {
    "ingressFrom": {
      "identities": [
        "serviceAccount:<CHRONICLE_STS_SERVICE_AGENT>"
      ],
      "sources": [
        {
          "accessLevel": "*"
        }
      ]
    },
    "ingressTo": {
      "operations": [
        {
          "serviceName": "storage.googleapis.com",
          "methodSelectors": [
            { "method": "*" }
          ]
        }
      ],
      "resources": [
        "projects/<CUSTOMER_SOURCE_PROJECT_NUMBER>"
      ]
    }
  }
Aturan A2: Aturan egress
  {
    "egressFrom": {
      "identities": [
        "serviceAccount:<CHRONICLE_STS_SERVICE_AGENT>"
      ]
    },
    "egressTo": {
      "operations": [
        {
          "serviceName": "storage.googleapis.com",
          "methodSelectors": [
            { "method": "google.storage.objects.create" },
            { "method": "google.storage.objects.delete" }
          ]
        }
      ],
      "resources": [
        "projects/<CUSTOMER_BYOP_PROJECT_NUMBER>"
      ]
    }
  }
B. Aturan untuk perimeter project BYOP (CUSTOMER_BYOP_PERIMETER)

Terapkan aturan ini untuk kasus dua dan empat seperti yang ditentukan dalam tabel sebelumnya.

Aturan B1: Aturan egress
  {
    "egressFrom": {
      "identities": [
        "serviceAccount:<CHRONICLE_STS_SERVICE_AGENT>"
      ]
    },
    "egressTo": {
      "operations": [
        {
          "serviceName": "storage.googleapis.com",
          "methodSelectors": [
            { "method": "*" }
          ]
        }
      ],
      "resources": [
        "projects/<CUSTOMER_SOURCE_PROJECT_NUMBER>"
      ]
    }
  }

Jika Anda mengalami masalah dengan Kontrol Layanan VPC, gunakan penganalisis pelanggaran Kontrol Layanan VPC untuk men-debug dan menganalisis masalah tersebut. Untuk mengetahui informasi selengkapnya, lihat Mendiagnosis penolakan akses di penganalisis pelanggaran.

Aturan ingress untuk BigQuery Export Lanjutan

Jika Anda menggunakan fitur Advanced BigQuery Export, konfigurasikan aturan berikut untuk akun pengguna Google Cloud yang Anda tentukan saat menyiapkan Google SecOps:

    - ingressFrom:
      identities:
      - serviceAccount:malachite-bq-export-entity-graph-batch-adv-bq@
      - serviceAccount:malachite-customer-monitoring-exporter@
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: bigquery.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/PROJECT_NUMBER

Ganti PROJECT_NUMBER dengan nomor project Google Cloud yang ditautkan ke Google SecOps.

Aturan ingress untuk tabel data

Jika Anda menggunakan tabel data, konfigurasikan aturan berikut untuk akun pengguna Google Cloud yang Anda tentukan saat menyiapkan Google SecOps:

  - ingressFrom:
      identities:
      - user:malachite-data-plane-api@prod.google.com
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: storage.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/PROJECT_NUMBER

Ganti PROJECT_NUMBER dengan nomor project Google Cloud yang ditautkan ke Google SecOps.

Mengonfigurasi aturan untuk Google SecOps dengan Security Command Center

Bagian ini menjelaskan cara mengonfigurasi Kontrol Layanan VPC untuk Google SecOps dengan Security Command Center.

Akun layanan dalam aturan berikut hanya dibuat selama penyediaan Google SecOps. Oleh karena itu, Anda harus mengonfigurasi aturan Security Command Center setelah penyediaan, tetapi sebelum mulai menggunakan Security Command Center.

Selesaikan tugas berikut untuk akun pengguna Google Cloud yang Anda tentukan saat menyiapkan Google SecOps:

  1. Konfigurasikan aturan ingress berikut:

    - ingressFrom:
    identities:
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-chronicle-soar.
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@security-center-api.
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-csc-hpsa.
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-asm-hpsa.
    sources:
    - accessLevel: "*"
  ingressTo:
    operations:
    - serviceName: chronicle.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: securitycenter.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: cloudasset.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: monitoring.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: iam.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: orgpolicy.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: serviceusage.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: dns.googleapis.com
      methodSelectors:
      - method: "*"
    resources:
    - projects/PROJECT_NUMBER

    Ganti kode berikut:

    • GOOGLE_ORGANIZATION_NUMBER: nomor organisasi Google Cloud Anda
    • PROJECT_NUMBER: nomor project Google Cloud yang ditautkan ke Google SecOps Anda

  2. Konfigurasikan aturan egress berikut:

    - egressTo:
    operations:
    - serviceName: pubsub.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: securitycenter.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: cloudasset.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: iam.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: "*"
    resources:
    - "*"
  egressFrom:
    identities:
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-chronicle-soar.
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@security-center-api.
    sources:
    - resource: projects/PROJECT_NUMBER

    Ganti kode berikut:

    • GOOGLE_ORGANIZATION_NUMBER: nomor organisasi Google Cloud Anda
    • PROJECT_NUMBER: nomor project Google Cloud yang ditautkan ke Google SecOps Anda

Mengonfigurasi aturan ingress untuk kunci enkripsi yang dikelola pelanggan (CMEK)

Bagian ini menjelaskan cara mengonfigurasi Kontrol Layanan VPC untuk Google SecOps dengan kunci enkripsi yang dikelola pelanggan (CMEK). CMEK adalah kunci enkripsi yang Anda miliki, kelola, dan simpan di Cloud Key Management Service.

Konfigurasikan aturan ingress berikut:

  - ingressFrom:
    identities:
    - serviceAccount: service-SECRET_MANAGER_PROJECT_NUMBER@gcp-sa-secretmanager.
    - serviceAccount: service-GOOGLE_MANAGED_BIGQUERY_PROJECT_NUMBER@gs-project-accounts.
    - serviceAccount: bq-GOOGLE_MANAGED_BIGQUERY_PROJECT_NUMBER@bigquery-encryption.
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: secretmanager.googleapis.com
        methodSelectors:
        - method: "*"
      - serviceName: cloudkms.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/CMEK_PROJECT_NUMBER

Ganti kode berikut:

  • SECRET_MANAGER_PROJECT_NUMBER: project yang digunakan Google untuk menyimpan secret untuk beberapa fitur penyerapan, yang dapat Anda dapatkan dari perwakilan Google SecOps Anda
  • GOOGLE_MANAGED_BIGQUERY_PROJECT_NUMBER: project yang digunakan Google untuk menyimpan resource BigQuery untuk beberapa fitur ekspor, yang dapat Anda dapatkan dari perwakilan Google SecOps
  • CMEK_PROJECT_NUMBER: nomor project yang menyimpan CMEK