Ce guide décrit l'intégration entre Security Command Center, Google Security Operations (Google SecOps) et Backup and DR. Cette intégration permet de générer des alertes pour les actions à haut risque qui se produisent dans Backup and DR et qui sont exposées dans Security Command Center et Google SecOps.
Avec Security Command Center et Google SecOps pour Backup and DR, vous pouvez :
- Recevoir des alertes instantanées sur les actions à haut risque, telles que la suppression de la protection d'une charge de travail
- Examiner les menaces et identifier les ressources de sauvegarde concernées
- Regrouper les menaces de sauvegarde dans des cas pour une résolution rapide et systématique
Security Command Center ingère les journaux et les événements de across Google Cloud pour identifier les risques de sécurité potentiels. Google SecOps, inclus dans Security Command Center Enterprise, est un outil SIEM (gestion des informations et des événements de sécurité) et SOAR (orchestration de la sécurité, automatisation et réponse) qui agrège et met en corrélation de manière intelligente les menaces provenant de plusieurs sources. Google SecOps permet également de gérer les cas et de résoudre les menaces.
Avant de commencer
Activez Security Command Center Premium s'il n'est pas déjà activé. Vous pouvez le faire à l'aide de la Google Cloud console. Pour Security Command Center Enterprise, contactez l'équipe de gestion de votre Google Cloud compte.
Générer un résultat
Les actions à haut risque effectuées par un utilisateur dans Backup and DR sont surveillées à l'aide d'Event Threat Detection (qui fait partie de Security Command Center Premium et Security Command Center Enterprise). Ces actions sont surveillées en temps réel, mises en corrélation avec d'autres événements à risque dans Google Cloud, et exposées sous forme de résultats (Security Command Center), d'alertes (Google SecOps) et de cas organisés automatiquement (Google SecOps).
Ces actions incluent les suivantes :
- Supprimer une sauvegarde
- Supprimer un plan de sauvegarde
- Supprimer la protection de sauvegarde d'une charge de travail
- Supprimer l'infrastructure de sauvegarde qui peut avoir un impact sur la récupération
Vous trouverez la liste complète des détections dans la documentation de Security Command Center.
Résultats en temps réel dans Security Command Center
Lorsqu'une action est considérée comme un risque de sécurité par Security Command Center, un résultat est généré. Un administrateur de la sécurité peut ensuite examiner de plus près les ressources concernées et suivre les étapes recommandées. Les résultats incluent des informations sur les ressources concernées, le moment où l'événement de sécurité s'est produit et les actions à entreprendre pour résoudre une menace.
Security Command Center propose des outils d'investigation intégrés pour les clients. Les liens vers Cloud Logging, l'indicateur MITRE et les ressources concernées permettent une résolution rapide.
- L'intégration de Cloud Logging vous permet d'accéder à une requête Cloud Logging détaillée.
- L'intégration de Cloud Monitoring permet de créer des alertes supplémentaires sur des événements similaires.
- Les classifications MITRE indiquent le type d'attaque indiqué par un résultat, comme illustré dans cet exemple.
Gestion des cas et résolution dans Google SecOps
Google SecOps propose des détections organisées qui exposent les événements à haut risque sous forme d'alertes. Parmi ces détections organisées figurent les menaces potentielles pour les sauvegardes et les ressources de sauvegarde. Les détections optimisées ne nécessitent aucune configuration supplémentaire. Les alertes sont également regroupées dans des cas pour le tri et la résolution.
La détection des menaces pour Backup and DR est disponible pour tous les clients Security Command Center Premium et Security Command Center Enterprise. Google SecOps pour Backup and DR est disponible exclusivement pour les clients Security Command Center Enterprise.