מתן גישה ל-Event Threat Detection ל-VPC Service Controls perimeters

כשמוסיפים כללי תעבורת נתונים נכנסת להיקפי השירות של VPC Service Controls, אפשר לעקוב אחרי זרמי הרישום ביומן באמצעות Event Threat Detection ב-Security Command Center בפרויקטים מוגבלים. מידע נוסף זמין בסקירה הכללית של Event Threat Detection.

לפני שמתחילים

מוודאים שיש לכם בארגון את התפקיד או התפקידים הבאים: סוכן שירות ב-Cloud Asset (roles/cloudasset.serviceAgent).

בדיקת התפקידים

  1. נכנסים לדף IAM במסוף Google Cloud .

    כניסה לדף IAM
  2. בוחרים את הארגון.

  3. בעמודה Principal, מחפשים את כל השורות שמזהות אתכם או קבוצה שאתם חברים בה. כדי לברר לאילו קבוצות אתם שייכים, פנו לאדמין.

  4. בכל השורות שבהן אתם מופיעים, בודקים בעמודה Role אם רשימת התפקידים כוללת את התפקידים הנדרשים.

מתן התפקידים

  1. נכנסים לדף IAM במסוף Google Cloud .

    כניסה לדף IAM
  2. בוחרים את הארגון.
  3. לוחצים על Grant access.

  4. בשדה New principals, מזינים את מזהה המשתמש. ‫ בדרך כלל זה המזהה של משתמש במאגר זהויות של כוח עבודה. למידע נוסף, קראו את המאמר ייצוג המשתמשים במאגרי כוח עבודה בכללי מדיניות IAM או פנו לאדמין שלכם.

  5. לוחצים על Select a role ומחפשים את התפקיד.
  6. כדי לתת עוד תפקידים, לוחצים על Add another role ומוסיפים אותם.
  7. לוחצים על Save.

יצירת כללי תעבורת הנתונים הנכנסת (ingress)

כדי לאפשר ל-Event Threat Detection לעקוב אחרי מקורות נתונים של רישום ביומן ב-Security Command Center בתוך היקפי השירות של VPC Service Controls, צריך להוסיף את כללי הכניסה הנדרשים בהיקפים האלה. צריך לבצע את השלבים האלה בכל היקף שרוצים ש-Event Threat Detection יעקוב אחריו.

מידע נוסף זמין במאמר עדכון כללי מדיניות של תעבורת נתונים נכנסת ויוצאת של גבולות גזרה לשירות, במסמכי התיעוד של VPC Service Controls.

המסוף

  1. נכנסים לדף VPC Service Controls במסוף Google Cloud .

    כניסה ל-VPC Service Controls

  2. בוחרים את הארגון.

  3. ברשימה הנפתחת, בוחרים את מדיניות הגישה שמכילה את גבולות הגזרה לשירות שרוצים לתת לו גישה.

    גבולות הגזרה לשירות שמשויכים למדיניות הגישה מופיעים ברשימה.

  4. לוחצים על השם של גבולות גזרה לשירות שרוצים לעדכן.

    כדי למצוא את גבולות הגזרה לשירות שצריך לשנות, אפשר לבדוק ביומנים אם יש רשומות שמראות הפרות של RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER. ברשומות האלה, בודקים את השדה servicePerimeterName: 

    accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME
  5. לוחצים על עריכה.

הוספת כלל תעבורת נתונים נכנסת

  1. לוחצים על Ingress policy.
  2. לוחצים על Add an ingress rule.

  3. בקטע מאת, מגדירים את הפרטים הבאים:

    1. בקטע Identities > Identity, בוחרים באפשרות Select identities & groups.
    2. לוחצים על הוספת זהויות.

    3. מזינים את כתובת האימייל שמזהה את סוכן השירות של Cloud Security Command Center. הפורמט של הכתובת הזו הוא: 

      service-org-ORGANIZATION_ID@security-center-api.

      מחליפים את ORGANIZATION_ID במזהה הארגון.

    4. בוחרים את סוכן השירות או מקישים על ENTER, ואז לוחצים על Add identities.

  4. בקטע To, מגדירים את הפרטים הבאים:

    1. בקטע Resources > Projects, בוחרים באפשרות All projects.
    2. בקטע Operations or IAM roles, לוחצים על Select operations.

    3. לוחצים על Add operations ומוסיפים את הפעולות הבאות:

      • מוסיפים את השירות cloudasset.googleapis.com.
        1. לוחצים על כל השיטות.
        2. לוחצים על הוספת כל השיטות.
  5. לוחצים על Save.

gcloud

  1. אם עדיין לא הוגדר פרויקט לחיוב על מכסות, מגדירים אותו. בוחרים פרויקט שבו פועל Access Context Manager API. 

    gcloud config set billing/quota_project QUOTA_PROJECT_ID

    מחליפים את QUOTA_PROJECT_ID במזהה הפרויקט שרוצים להשתמש בו לחיוב ולמכסות.

  2. יוצרים קובץ בשם ingress-rule.yaml עם התוכן הבא:

    - ingressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.
    sources:
    - accessLevel: '*'
  ingressTo:
    operations:
    - serviceName: cloudasset.googleapis.com
      methodSelectors:
      - method: '*'
    resources:
    - '*'

    מחליפים את ORGANIZATION_ID במזהה הארגון.

  3. מוסיפים את כלל הכניסה להיקף:

    gcloud access-context-manager perimeters update PERIMETER_NAME \
    --set-ingress-policies=ingress-rule.yaml

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫PERIMETER_NAME: שם ההיקף. לדוגמה, accessPolicies/1234567890/servicePerimeters/example_perimeter.

      כדי למצוא את גבולות הגזרה לשירות שצריך לשנות, אפשר לבדוק ביומנים אם יש רשומות שמראות הפרות של RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER. ברשומות האלה, בודקים את השדה servicePerimeterName: 

      accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME

מידע נוסף זמין במאמר כללי תעבורת נתונים נכנסת ויוצאת.

המאמרים הבאים