Configurazione dei Controlli di servizio VPC
Questa guida descrive come configurare i Controlli di servizio VPC per Google Security Operations.
I Controlli di servizio VPC ti consentono di configurare un perimetro di servizio per proteggerti dall'esfiltrazione di dati. Configura Google Security Operations con i Controlli di servizio VPC in modo che Google SecOps possa accedere a risorse e servizi al di fuori del proprio perimetro di servizio.
Per saperne di più sui Controlli di servizio VPC, consulta la Panoramica dei Controlli di servizio VPC. Puoi anche visualizzare la voce di Google Security Operations nella tabella dei prodotti supportati dai Controlli di servizio VPC.
Prima di iniziare
- Assicurati di disporre dei ruoli richiesti per configurare i Controlli di servizio VPC a livello di organizzazione.
Per utilizzare Google SecOps con i Controlli di servizio VPC, puoi utilizzare solo le funzionalità conformi ai Controlli di servizio VPC. Di seguito sono elencate le funzionalità conformi ai Controlli di servizio VPC:
- Google SecOps con Controlli di servizio VPC supporta solo l'autenticazione dell'identità Google Cloud , i provider di identità di terze parti e la federazione delle identità per la forza lavoro.
- Per utilizzare i Controlli di servizio VPC con Google SecOps, è necessario attivare il RBAC delle funzionalità di Google SecOps.
Google SecOps con Controlli di servizio VPC supporta solo le seguenti API rivolte al pubblico:
chronicle.googleapis.comchronicleservicemanager.googleapis.com
Per eseguire l'onboarding nei Controlli di servizio VPC, devi eseguire la migrazione di tutti gli endpoint corrispondenti all'API
chronicle.googleapis.com.Google SecOps con Controlli di servizio VPC supporta l'esportazione dei dati del modello di dati unificato (UDM) di Google SecOps solo in un progetto BigQuery autogestito o utilizzando BigQuery Export avanzato.
I Controlli di servizio VPC supportano solo le dashboard di Google SecOps.
Puoi creare feed di Cloud Storage solo con il tipo di origine
GOOGLE_CLOUD_STORAGE_V2utilizzando i connettori v2.Quando crei nuove sottoscrizioni Pub/Sub quando Google SecOps è limitato all'interno di un perimetro dei Controlli di servizio VPC, Google SecOps richiede di scrivere i log in Cloud Storage e di utilizzare GOOGLE_CLOUD_STORAGE_V2 o GOOGLE_CLOUD_STORAGE_EVENT_DRIVEN anziché i feed CLOUD_PUB_SUB.
Per un'istanza Google SecOps che utilizza chiavi di crittografia gestite dal cliente (CMEK), Google consiglia vivamente di mantenere il progetto Cloud Key Management Service all'interno dello stesso perimetro del progetto Google Cloud collegato a Google SecOps o di mantenere le chiavi all'interno del progetto Google Cloud collegato a Google SecOps.
Per il lato SOAR della piattaforma, se la tua istanza Google SecOps utilizza chiavi di crittografia gestite dal cliente (CMEK), verifica che la tua istanza SOAR sia stata migrata a Google.com.
Se utilizzi le esportazioni dei dati SOAR legacy in BigQuery, ad esempio per Looker o BigQuery Export gestito, Google consiglia di utilizzare la funzionalità Bring Your Own BigQuery (BYOBQ). Poiché le dashboard di Looker sono una funzionalità legacy, Google consiglia anche di utilizzare le dashboard. Se continui a utilizzare le esportazioni di dati SOAR legacy in BigQuery, devi configurare una regola in uscita dedicata nel perimetro di servizio dei Controlli di servizio VPC. Per ottenere le informazioni richieste sulla regola e sul progetto, ad esempio
SOAR_TENANT_PROJECT_IDeBQ_TLA_PROJECT_NUMBER, contatta il tuo Customer Engineer (CE) o apri una richiesta di assistenza.
Limitazioni
L'endpoint API Google SecOps Chronicle
ImportPushLogsnon supporta i Controlli di servizio VPC. Tuttavia, questa limitazione non comporta un rischio di esfiltrazione dei dati, perché l'endpointImportPushLogsviene utilizzato solo per l'invio di dati a un'istanza di Google SecOps, non per l'accesso ai dati.Google SecOps con i Controlli di servizio VPC non supporta le dashboard di Looker.
Google Cloud Pub/Sub non supporta la creazione di una nuova sottoscrizione Pub/Sub che utilizza gli endpoint API di Chronicle per l'importazione dei log (voce Pub/Sub nella tabella dei prodotti supportati dai Controlli di servizio VPC). Tuttavia, tutte le sottoscrizioni Pub/Sub esistenti (create prima di spostare il progetto Google Cloud all'interno del perimetro dei Controlli di servizio VPC) continueranno ad acquisire i log come previsto.
Google SecOps con Controlli di servizio VPC non supporta i connettori di feed API di bucket cloud legacy e di terze parti.
Configura le regole in entrata e in uscita
Configura le regole in entrata e in uscita in base alla configurazione del perimetro di servizio. Per saperne di più, consulta Panoramica del perimetro di servizio.
Se riscontri problemi con i Controlli di servizio VPC, utilizza lo strumento di analisi delle violazioni dei Controlli di servizio VPC per eseguire il debug e analizzare il problema. Per saperne di più, consulta Diagnostica un rifiuto dell'accesso nello strumento di analisi delle violazioni.
Configura la regola in entrata per SOAR
Questa sezione descrive come configurare i Controlli di servizio VPC per il lato SOAR della piattaforma.
Configura la seguente regola in entrata per l'account utente Google Cloud che hai specificato durante la configurazione di Google SecOps:
- ingressFrom:
identityType: ANY_SERVICE_ACCOUNT
sources:
- accessLevel: "*"
ingressTo:
operations:
- serviceName: secretmanager.googleapis.com
methodSelectors:
- method: "*"
resources:
- projects/PROJECT_NUMBER
Sostituisci PROJECT_NUMBER con il numero di progetto Google Cloud collegato a Google SecOps.
Configura le regole per SIEM
Questa sezione descrive come configurare i Controlli di servizio VPC per il lato SIEM della piattaforma.
Regole in entrata e in uscita per i feed V2 basati su Cloud Storage
Configura le regole in entrata e in uscita in base alla configurazione del perimetro di servizio. Per saperne di più, consulta la panoramica del perimetro di servizio. Se i Controlli di servizio VPC sono abilitati nel progetto Google Cloud che ospita il bucket Cloud Storage di origine o nel progetto Google Cloud collegato a Google SecOps (BYOP), configura le regole in entrata e in uscita richieste in base alla configurazione del perimetro:
| Richiesta | Progetto bucket di origine | Progetto collegato a Google SecOps (BYOP) | Regole per il perimetro di origine | Regole per il perimetro BYOP |
|---|---|---|---|---|
| Caso 1 | In un perimetro | Nello stesso perimetro | Nessuno | Nessuno |
| Caso 2 | In CUSTOMER_SOURCE_PERIMETER | In CUSTOMER_BYOP_PERIMETER (perimetro diverso) | Regola A1 (in entrata) e Regola A2 (in uscita) | Regola B1 (traffico in uscita) |
| Caso 3 | In CUSTOMER_SOURCE_PERIMETER | Non in un perimetro | Regola A1 (in entrata) e Regola A2 (in uscita) | Nessuno |
| Caso 4 | Non in un perimetro | In CUSTOMER_BYOP_PERIMETER | Nessuno | Regola B1 (traffico in uscita) |
Sostituisci questi segnaposto nelle regole in entrata e in uscita seguenti:
CUSTOMER_SOURCE_PROJECT_NUMBER: l'ID progetto numerico del progetto Google Cloud che ospita il bucket Cloud Storage di origine.CUSTOMER_SOURCE_PERIMETER: il perimetro VPC-SC che protegge il progetto del bucket di origine.CUSTOMER_BYOP_PROJECT_NUMBER: l'ID progetto numerico del tuo progetto Google Cloud collegato a Google SecOps (BYOP).CUSTOMER_BYOP_PERIMETER: il perimetro VPC-SC che protegge il progetto BYOP.CHRONICLE_STS_SERVICE_AGENT: il account di servizio di Storage Transfer Service (STS) mostrato in Google SecOps durante la configurazione del feed Cloud Storage V2 (ad esempio, project-123456789@storage-transfer-service.).
A. Regole per il perimetro del progetto del bucket di origine (CUSTOMER_SOURCE_PERIMETER)
Applica queste regole per i casi due e tre come definito nella tabella precedente.
Regola A1: regola in entrata
{
"ingressFrom": {
"identities": [
"serviceAccount:<CHRONICLE_STS_SERVICE_AGENT>"
],
"sources": [
{
"accessLevel": "*"
}
]
},
"ingressTo": {
"operations": [
{
"serviceName": "storage.googleapis.com",
"methodSelectors": [
{ "method": "*" }
]
}
],
"resources": [
"projects/<CUSTOMER_SOURCE_PROJECT_NUMBER>"
]
}
}
Regola A2: regola in uscita
{
"egressFrom": {
"identities": [
"serviceAccount:<CHRONICLE_STS_SERVICE_AGENT>"
]
},
"egressTo": {
"operations": [
{
"serviceName": "storage.googleapis.com",
"methodSelectors": [
{ "method": "google.storage.objects.create" },
{ "method": "google.storage.objects.delete" }
]
}
],
"resources": [
"projects/<CUSTOMER_BYOP_PROJECT_NUMBER>"
]
}
}
B. Regole per il perimetro del progetto BYOP (CUSTOMER_BYOP_PERIMETER)
Applica questa regola per i casi due e quattro, come definito nella tabella precedente.
Regola B1: regola in uscita
{
"egressFrom": {
"identities": [
"serviceAccount:<CHRONICLE_STS_SERVICE_AGENT>"
]
},
"egressTo": {
"operations": [
{
"serviceName": "storage.googleapis.com",
"methodSelectors": [
{ "method": "*" }
]
}
],
"resources": [
"projects/<CUSTOMER_SOURCE_PROJECT_NUMBER>"
]
}
}
Se riscontri problemi con i Controlli di servizio VPC, utilizza lo strumento di analisi delle violazioni dei Controlli di servizio VPC per eseguire il debug e analizzare il problema. Per saperne di più, consulta Diagnostica un rifiuto dell'accesso nello strumento di analisi delle violazioni.
Regola in entrata per BigQuery Export avanzato
Se utilizzi la funzionalità BigQuery Export avanzata, configura la seguente regola per l'account utente Google Cloud che hai specificato durante la configurazione di Google SecOps:
- ingressFrom:
identities:
- serviceAccount:malachite-bq-export-entity-graph-batch-adv-bq@
- serviceAccount:malachite-customer-monitoring-exporter@
sources:
- accessLevel: "*"
ingressTo:
operations:
- serviceName: bigquery.googleapis.com
methodSelectors:
- method: "*"
resources:
- projects/PROJECT_NUMBER
Sostituisci PROJECT_NUMBER con il numero di progetto Google Cloud collegato a Google SecOps.
Regola in entrata per le tabelle di dati
Se utilizzi le tabelle di dati, configura la seguente regola per l'account utente Google Cloud che hai specificato durante la configurazione di Google SecOps:
- ingressFrom:
identities:
- user:malachite-data-plane-api@prod.google.com
sources:
- accessLevel: "*"
ingressTo:
operations:
- serviceName: storage.googleapis.com
methodSelectors:
- method: "*"
resources:
- projects/PROJECT_NUMBER
Sostituisci PROJECT_NUMBER con il numero di progetto Google Cloud collegato a Google SecOps.
Configura le regole per Google SecOps con Security Command Center
Questa sezione descrive come configurare i Controlli di servizio VPC per Google SecOps con Security Command Center.
I service account nelle seguenti regole vengono creati solo durante il provisioning di Google SecOps, pertanto devi configurare le regole di Security Command Center dopo il provisioning, ma prima di iniziare a utilizzare Security Command Center.
Completa le seguenti attività per l'account utente Google Cloud che hai specificato durante la configurazione di Google SecOps:
Configura la seguente regola in entrata:
- ingressFrom: identities: - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-chronicle-soar. - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@security-center-api. - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-csc-hpsa. - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-asm-hpsa. sources: - accessLevel: "*" ingressTo: operations: - serviceName: chronicle.googleapis.com methodSelectors: - method: "*" - serviceName: securitycenter.googleapis.com methodSelectors: - method: "*" - serviceName: compute.googleapis.com methodSelectors: - method: "*" - serviceName: cloudasset.googleapis.com methodSelectors: - method: "*" - serviceName: monitoring.googleapis.com methodSelectors: - method: "*" - serviceName: iam.googleapis.com methodSelectors: - method: "*" - serviceName: orgpolicy.googleapis.com methodSelectors: - method: "*" - serviceName: serviceusage.googleapis.com methodSelectors: - method: "*" - serviceName: dns.googleapis.com methodSelectors: - method: "*" resources: - projects/PROJECT_NUMBERSostituisci quanto segue:
GOOGLE_ORGANIZATION_NUMBER: il numero della tua organizzazione Google CloudPROJECT_NUMBER: il numero di progetto Google Cloud collegato a Google SecOps
Configura la seguente regola in uscita:
- egressTo: operations: - serviceName: pubsub.googleapis.com methodSelectors: - method: "*" - serviceName: securitycenter.googleapis.com methodSelectors: - method: "*" - serviceName: cloudasset.googleapis.com methodSelectors: - method: "*" - serviceName: iam.googleapis.com methodSelectors: - method: "*" - serviceName: compute.googleapis.com methodSelectors: - method: "*" resources: - "*" egressFrom: identities: - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-chronicle-soar. - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@security-center-api. sources: - resource: projects/PROJECT_NUMBERSostituisci quanto segue:
GOOGLE_ORGANIZATION_NUMBER: il numero della tua organizzazione Google CloudPROJECT_NUMBER: il numero di progetto Google Cloud collegato a Google SecOps
Configura la regola in entrata per le chiavi di crittografia gestite dal cliente (CMEK)
Questa sezione descrive come configurare i Controlli di servizio VPC per Google SecOps con chiavi di crittografia gestite dal cliente (CMEK). Le CMEK sono chiavi di crittografia di tua proprietà, che gestisci e archivi in Cloud Key Management Service.
Configura la seguente regola in entrata:
- ingressFrom:
identities:
- serviceAccount: service-SECRET_MANAGER_PROJECT_NUMBER@gcp-sa-secretmanager.
- serviceAccount: service-GOOGLE_MANAGED_BIGQUERY_PROJECT_NUMBER@gs-project-accounts.
- serviceAccount: bq-GOOGLE_MANAGED_BIGQUERY_PROJECT_NUMBER@bigquery-encryption.
sources:
- accessLevel: "*"
ingressTo:
operations:
- serviceName: secretmanager.googleapis.com
methodSelectors:
- method: "*"
- serviceName: cloudkms.googleapis.com
methodSelectors:
- method: "*"
resources:
- projects/CMEK_PROJECT_NUMBER
Sostituisci quanto segue:
SECRET_MANAGER_PROJECT_NUMBER: il progetto utilizzato da Google per archiviare i secret per alcune funzionalità di importazione, che puoi ottenere dal tuo rappresentante di Google SecOpsGOOGLE_MANAGED_BIGQUERY_PROJECT_NUMBER: il progetto utilizzato da Google per archiviare le risorse BigQuery per alcune funzionalità di esportazione, che puoi ottenere dal tuo rappresentante di Google SecOpsCMEK_PROJECT_NUMBER: il numero di progetto in cui sono archiviate le CMEK