הגדרת RBAC לנתונים

נתמך ב:

בדף הזה מוסבר איך אדמינים של בקרת גישה מבוססת-תפקידים לנתונים (data RBAC) יכולים להגדיר data RBAC ב-Google Security Operations. באמצעות יצירה והקצאה של היקפי נתונים, שמוגדרים על ידי תוויות, אפשר לוודא שרק משתמשים מורשים יוכלו לגשת לנתונים.

ה-RBAC של הנתונים מבוסס על מושגים של IAM, כולל תפקידים מוגדרים מראש, תפקידים בהתאמה אישית ותנאי IAM.

סקירה כללית של תהליך ההגדרה:

  1. תכנון ההטמעה: צריך לזהות את סוגי הנתונים השונים שרוצים להגביל את הגישה של המשתמשים אליהם. מזהים את התפקידים השונים בארגון וקובעים את דרישות הגישה לנתונים לכל תפקיד.

  2. אופציונלי: יצירת תוויות מותאמות אישית: אפשר ליצור תוויות מותאמות אישית (בנוסף לתוויות ברירת המחדל) כדי לסווג את הנתונים.

  3. יצירת היקפי נתונים: מגדירים היקפים על ידי שילוב של תוויות רלוונטיות.

  4. הקצאת היקפים למשתמשים: הקצאת היקפים לתפקידי משתמשים ב-IAM על סמך האחריות שלהם.

  5. הפעלת RBAC של נתונים: מפעילים RBAC של נתונים כדי להחיל את הקצאות ההיקף. יש שתי אפשרויות להגדרת RBAC לנתונים:

    • הפעלת RBAC לנתונים לפני הקצאת היקפי גישה: כשמפעילים RBAC לנתונים, לא מוקצים היקפי גישה לכללים, לרשימות הפניות ולטבלאות הנתונים. רק למשתמשים עם גישה גלובלית יש גישה לנתונים. כברירת מחדל, למשתמשים עם הרשאות מוגבלות אין גישה לנתונים. כך נמנעת גישה לא מכוונת ומובטחת נקודת התחלה מאובטחת. כדי להעניק גישה, מגדירים היקפי גישה ומקצים אותם למשתמשים, לכללים ולרשימות הפניות בהתאם לדרישות.

    • הפעילו את בקרת הגישה מבוססת התפקידים (RBAC) לנתונים אחרי הקצאת ההיקפים: הגדרה והקצאה של היקפים מראש מאפשרת למשתמשים גישה מיידית לנתונים כשבקרת הגישה מבוססת התפקידים (RBAC) לנתונים מופעלת. בנוסף, מכיוון שלכללים מוקצים היקפי הרשאות, הגילויים שנוצרים מתויגים בהיקפי הרשאות. כך המשתמשים יכולים לראות את הגילויים שנוצרו אחרי הקצאות ההיקפים.

לפני שמתחילים

יצירה וניהול של תוויות מותאמות אישית

תוויות מותאמות אישית הן מטא-נתונים שאפשר להוסיף לנתונים של Google SecOps שמועברים ל-SIEM, כדי לסווג ולארגן אותם על סמך ערכים מנורמלים של UDM.

לדוגמה, נניח שאתם רוצים לעקוב אחרי הפעילות ברשת. אתם רוצים לעקוב אחרי אירועים של פרוטוקול להקצאת כתובות דינמיות (DHCP) מכתובת IP ספציפית (10.0.0.1) שלדעתכם נפרצה.

כדי לסנן ולזהות את האירועים הספציפיים האלה, אפשר ליצור תווית בהתאמה אישית עם השם Suspicious DHCP Activity (פעילות DHCP חשודה) באמצעות השאילתה הבאה:

metadata.event_type = "NETWORK_DHCP" AND principal.ip = "10.0.0.1"

התווית המותאמת אישית פועלת באופן הבא:

מערכת Google SecOps קולטת באופן רציף יומני רשת ואירועים ל-UDM שלה. כשאירוע DHCP מוזן, Google SecOps בודק אם הוא תואם לקריטריונים של התווית המותאמת אישית. אם השדה metadata.event_type הוא NETWORK_DHCP ואם השדה principal.ip (כתובת ה-IP של המכשיר שמבקש את הקצאת ה-DHCP) הוא 10.0.0.1, ‏ Google SecOps מחיל את התווית המותאמת אישית על האירוע.

אתם יכולים להשתמש בתווית Suspicious DHCP Activity (פעילות חשודה של DHCP) כדי ליצור היקף ולהקצות את ההיקף למשתמשים הרלוונטיים. הקצאת היקף ההרשאות מאפשרת להגביל את הגישה לאירועים האלה למשתמשים או לתפקידים ספציפיים בארגון.

דרישות ומגבלות של תוויות מותאמות אישית

מומלץ לעיין במגבלות ובדרישות הבאות כשמגדירים תוויות מותאמות אישית ומשתמשים בהן:

דרישות לגבי שמות ותחביר

  • השמות של התוויות המותאמות אישית חייבים להיות ייחודיים, והאורך המקסימלי שלהם הוא 63 תווים. השם יכול להכיל רק אותיות קטנות, ספרות ומקפים. אחרי שמוחקים שם של תווית, אי אפשר להשתמש בו שוב.

מגבלות פונקציונליות

שאילתות של תוויות מותאמות אישית לא תומכות בתכונות המתקדמות הבאות:

  • רשימות של הפניות
  • שדות העשרה
  • טבלאות נתונים

זמן ביצוע השאילתה: שאילתת תווית מותאמת אישית כפופה למגבלת זמן ביצוע מקסימלית של 5 שניות.

יצירת תווית מותאמת אישית

כדי ליצור תווית בהתאמה אישית:

  1. מתחברים ל-Google SecOps.

  2. לוחצים על הגדרות > הגדרות SIEM > גישה לנתונים.

  3. בכרטיסייה תוויות מותאמות אישית, לוחצים על יצירת תווית מותאמת אישית.

  4. בחלון UDM Search, מקלידים את השאילתה ולוחצים על Run Search.

    אפשר לשפר את השאילתה וללחוץ על הפעלת חיפוש עד שהתוצאות יציגו את הנתונים שרוצים לתייג. מידע נוסף על הפעלת שאילתה זמין במאמר הזנת חיפוש UDM.

  5. לוחצים על יצירת תווית.

  6. בחלון Create label, בוחרים באפשרות Save as new label ומזינים את שם התווית והתיאור שלה.

  7. לוחצים על יצירת תווית.

    נוצרת תווית מותאמת אישית חדשה. במהלך הטמעת הנתונים, התווית הזו מוחלת על נתונים שתואמים לשאילתת UDM. התווית לא חלה על נתונים שכבר נבלעו.

שינוי של תווית מותאמת אישית

אפשר לשנות רק את תיאור התווית ואת השאילתה שמשויכת לתווית. אי אפשר לעדכן את שמות התוויות. כשמשנים תווית מותאמת אישית, השינויים חלים רק על נתונים חדשים ולא על נתונים שכבר נאספו.

כדי לשנות תווית:

  1. מתחברים ל-Google SecOps.

  2. לוחצים על הגדרות > הגדרות SIEM > גישה לנתונים.

  3. בכרטיסייה תוויות מותאמות אישית, לוחצים על תפריט לצד התווית שרוצים לערוך ובוחרים באפשרות עריכה.

  4. בחלון UDM Search, מעדכנים את השאילתה ולוחצים על Run Search (הפעלת החיפוש).

    אפשר לשפר את השאילתה וללחוץ על הפעלת חיפוש עד שהתוצאות יציגו את הנתונים שרוצים לתייג. מידע נוסף על הרצת שאילתה זמין במאמר הזנת חיפוש ב-UDM.

  5. לוחצים על שמירת השינויים.

התווית המותאמת אישית משתנה.

מחיקת תווית מותאמת אישית

אם מוחקים תווית, אי אפשר לשייך אליה נתונים חדשים. נתונים שכבר משויכים לתווית יישארו משויכים לתווית. אחרי המחיקה, אי אפשר לשחזר את התווית המותאמת אישית או להשתמש שוב בשם התווית כדי ליצור תוויות חדשות.

  1. לוחצים על הגדרות > הגדרות SIEM > גישה לנתונים.

  2. בכרטיסייה תוויות בהתאמה אישית, לוחצים על התפריט של התווית שרוצים למחוק ובוחרים באפשרות מחיקה.

  3. לוחצים על Delete.

  4. בחלון האישור, לוחצים על אישור.

התווית המותאמת אישית נמחקת.

הצגת תווית מותאמת אישית

כדי לראות את הפרטים של תווית מותאמת אישית:

  1. לוחצים על הגדרות > הגדרות SIEM > גישה לנתונים.

  2. בכרטיסייה תוויות מותאמות אישית, לוחצים על תפריט לצד התווית שרוצים לערוך ובוחרים באפשרות הצגה.

    פרטי התווית מוצגים.

יצירה וניהול של היקפים

אתם יכולים ליצור ולנהל היקפי נתונים בממשק המשתמש של Google SecOps, ואז להקצות את ההיקפים האלה למשתמשים או לקבוצות דרך IAM. כדי ליצור היקף הרשאות, אפשר להוסיף תוויות שמגדירות את הנתונים שלמשתמש עם היקף ההרשאות יש גישה אליהם.

יצירת היקפים

כדי ליצור היקף:

  1. מתחברים ל-Google SecOps.

  2. לוחצים על הגדרות > הגדרות SIEM > גישה לנתונים.

  3. בכרטיסייה Scopes, לוחצים על Create scope.

  4. בחלון Create new scope (יצירת היקף חדש), מבצעים את הפעולות הבאות:

    1. מזינים את שם ההיקף ואת התיאור.

    2. בקטע הגדרת היקף הגישה באמצעות תוויות > מתן גישה, מבצעים את הפעולות הבאות:

      • כדי לבחור את התוויות והערכים התואמים שלהן שרוצים לתת למשתמשים גישה אליהם, לוחצים על מתן הרשאה לתוויות מסוימות.

        בהגדרה של היקף, תוויות מאותו סוג (לדוגמה, סוג יומן) משולבות באמצעות האופרטור OR, ותוויות מסוגים שונים (לדוגמה, סוג יומן ומרחב שמות) משולבות באמצעות האופרטור AND. במאמר הרשאות גישה לנתונים באמצעות תוויות הרשאה ודחייה מוסבר איך תוויות מגדירות את הגישה לנתונים בהיקפים.

      • כדי לתת גישה לכל הנתונים, בוחרים באפשרות מתן גישה לכל הנתונים.

    3. כדי להחריג גישה לתוויות מסוימות, בוחרים באפשרות החרגת תוויות מסוימות, ואז בוחרים את סוג התווית ואת הערכים התואמים שרוצים למנוע מהמשתמשים גישה אליהם.

      אם חלות כמה תוויות של דחיית גישה בהיקף מסוים, הגישה נדחית אם יש התאמה לאחת מהתוויות האלה.

    4. לוחצים על בדיקת ההיקף כדי לוודא שהתוויות מוחלות על ההיקף.

    5. בחלון UDM Search, מקלידים את השאילתה ולוחצים על Run Search (הפעלת החיפוש).

      אפשר לשפר את השאילתה וללחוץ על הפעלת חיפוש עד שהתוצאות יציגו את הנתונים שרוצים לתייג. מידע נוסף על הפעלת שאילתה זמין במאמר הזנת חיפוש UDM.

    6. לוחצים על יצירת היקף.

    7. בחלון Create scope, מאשרים את השם והתיאור של ההיקף ולוחצים על Create scope.

ההיקף נוצר. כדי לתת למשתמשים גישה לנתונים בהיקף, צריך להקצות להם את ההיקף.

שינוי היקף ההרשאות

אפשר לשנות רק את התיאור של ההיקף ואת התוויות שמשויכות אליו. אי אפשר לעדכן את שמות ההיקפים. אחרי שמעדכנים היקף, המשתמשים שמשויכים אליו מוגבלים בהתאם לתוויות החדשות. הכללים שמשויכים להיקף לא מותאמים מחדש לכלל המעודכן.

כדי לשנות היקף:

  1. מתחברים ל-Google SecOps.

  2. לוחצים על הגדרות > הגדרות SIEM > גישה לנתונים.

  3. בכרטיסייה היקפים, לוחצים על תפריט שמתאים להיקף שרוצים לערוך ובוחרים באפשרות עריכה.

  4. לוחצים על עריכה כדי לערוך את תיאור ההיקף.

  5. בקטע Define scope access with labels, מעדכנים את התוויות ואת הערכים שלהן לפי הצורך.

  6. לוחצים על היקף הבדיקה כדי לוודא איך התוויות החדשות מוחלות על ההיקף.

  7. בחלון UDM Search, מקלידים את השאילתה ולוחצים על Run Search (הפעלת החיפוש).

    אפשר לשנות את השאילתה וללחוץ על הפעלת החיפוש עד שיוצגו בתוצאות הנתונים שרוצים לתייג. מידע נוסף על הפעלת שאילתה זמין במאמר הזנת חיפוש UDM.

  8. לוחצים על שמירת השינויים.

היקף ההרשאה משתנה.

מחיקת היקף הרשאות

כשמוחקים היקף, למשתמשים אין גישה לנתונים שמשויכים להיקף. אחרי המחיקה, אי אפשר להשתמש שוב בשם של היקף ההרשאות כדי ליצור היקפי הרשאות חדשים.

כדי למחוק היקף:

  1. מתחברים ל-Google SecOps.

  2. לוחצים על הגדרות > הגדרות SIEM > גישה לנתונים.

  3. בכרטיסייה Scopes, לוחצים על Menu לצד ההיקף שרוצים למחוק.

  4. לוחצים על Delete.

  5. בחלון האישור, לוחצים על אישור.

ההיקף נמחק.

הצגת ההיקף

כדי לראות את פרטי ההיקף:

  1. מתחברים ל-Google SecOps.

  2. לוחצים על הגדרות > גישה לנתונים.

  3. בכרטיסייה היקפים, לוחצים על תפריט לצד ההיקף שרוצים לראות ובוחרים באפשרות הצגה.

פרטי ההרשאות מוצגים.

הקצאת היקף למשתמשים

כדי לשלוט בגישה לנתונים של משתמשים עם הרשאות מוגבלות, צריך להקצות להם היקף. הקצאת היקפים ספציפיים למשתמשים קובעת את הנתונים שהם יכולים לראות ולקיים איתם אינטראקציה. כשמקצים למשתמש כמה היקפים, הוא מקבל גישה לנתונים המשולבים מכל ההיקפים האלה. אתם יכולים להקצות את ההיקפים המתאימים למשתמשים שזקוקים לגישה גלובלית, כדי שהם יוכלו לראות את כל הנתונים ולקיים איתם אינטראקציה. כדי להקצות היקפי הרשאות למשתמש:

  1. נכנסים לדף IAM במסוף Google Cloud .

    כניסה לדף IAM

  2. בוחרים את הפרויקט שמקושר ל-Google SecOps.

  3. לוחצים על Grant access.

  4. בשדה New principals, מבצעים את הפעולות הבאות:

    1. אם אתם משתמשים באיחוד שירותי אימות הזהות של כוח העבודה או בכל אימות אחר של צד שלישי, מוסיפים את מזהה הישות המורשית באופן הבא: 

      principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/USER_EMAIL_ADDRESS

      מחליפים את מה שכתוב בשדות הבאים:

      • ‫POOL_ID: המזהה של המאגר שנוצר בשביל ספק הזהויות.
      • ‫USER_EMAIL: כתובת האימייל של המשתמש.

    2. אם אתם משתמשים ב-Cloud Identity או ב-Google Workspace, הוסיפו את מזהה הישות המורשית באופן הבא: 

      user:USER_EMAIL

      מחליפים את מה שכתוב בשדות הבאים:

      • ‫USER_EMAIL: כתובת האימייל של המשתמש.

  5. בתפריט Assign roles > Select a role, בוחרים את התפקיד הנדרש. כדי להוסיף כמה תפקידים, לוחצים על הוספת תפקיד נוסף. כדי להבין אילו תפקידים צריך להוסיף, אפשר לעיין במאמר תפקידי משתמשים.

  6. כדי להקצות היקף למשתמש, מוסיפים תנאים לתפקיד Chronicle Restricted Data Access שמוקצה למשתמש (לא רלוונטי לתפקידי גישה גלובליים).

    1. לוחצים על הוספת תנאי IAM לצד התפקיד Chronicle Restricted Data Access. מופיע החלון הוספת תנאי.

    2. מזינים את שם התנאי ואת התיאור האופציונלי.

    3. מוסיפים את ביטוי התנאי.

      אפשר להוסיף ביטוי תנאי באמצעות הכלי להגדרת תנאים או באמצעות עורך התנאים.

      הכלי להגדרת תנאים הוא ממשק אינטראקטיבי שבו בוחרים את סוג התנאי, האופרטור ופרטים רלוונטיים אחרים של הביטוי. האופרטורים הבאים מאפשרים ליצור כללים מדויקים לשליטה בגישה לכמה היקפים באמצעות תנאי IAM אחד:

    • ‫ENDS_WITH: בודקת אם שם ההיקף מסתיים במילה ספציפית. כדי להתאים את המילה המדויקת, מוסיפים / לפני המילה.

      נניח שיש היקף גישה לנתונים בשם projects/1234/locations/us/instances/2342-434-44-3434-343434/dataAccessScopes/scopename.

      • ENDS_WITH /scopename זהה לשם המדויק ומוערך כ-true עבור ההיקף לדוגמה.

      • ‫ENDS_WITH scopename מתאים לכל שם שמסתיים ב-scopename ומוערך כ-true עבור היקף הדוגמה וגם עבור projects/1234/locations/us/instances/2342-434-44-3434-343434/dataAccessScopes/testscopename.

    • ‫STARTS_WITH: בודקת אם שם ההיקף מתחיל במילה ספציפית. לדוגמה, STARTS_WITH projects/project1 מעניק גישה לכל ההיקפים ב-project1.

    • ‫EQUALS_TO: בודקת אם השם זהה בדיוק למילה או לביטוי ספציפיים. הגישה ניתנת רק להיקף אחד. לדוגמה, הפונקציה EQUALS_TO projects/1234/locations/us/instances/2342-434-44-3434-343434/dataAccessScopes/scopename מחזירה את הערך true עבור היקף הדוגמה.

    כדי להוסיף היקפים לתפקיד, מומלץ לבצע את הפעולות הבאות:

    1. בוחרים באפשרות שם בסוג התנאי, באופרטור באופרטור ומזינים את שם ההיקף בערך.

      /<scopename>

    2. כדי להקצות כמה היקפים, מוסיפים עוד תנאים באמצעות האופרטור OR. אפשר להוסיף עד 12 תנאים לכל קשירת תפקיד. כדי להוסיף יותר מ-12 תנאים, צריך ליצור כמה קישורי תפקידים ולהוסיף עד 12 תנאים לכל אחד מהקישורים האלה.

      מידע נוסף על תנאים מופיע במאמר סקירה כללית על תנאים ב-IAM.

    3. לוחצים על Save.

      עורך התנאים הוא ממשק מבוסס-טקסט שבו מזינים ידנית ביטוי בתחביר CEL.

    4. מזינים את הביטוי הבא:

      (scope-name: resource.name.endsWith('/SCOPENAME1') || resource.name.endsWith('/SCOPENAME2') || … || resource.name.endsWith('/SCOPENAME'))

      מחליפים את ערכי ה-placeholder‏ /SCOPENAME1,‏ /SCOPENAME2 ואחרים בשמות ההיקפים שרוצים להקצות למשתמש.

    5. לוחצים על Run Linter כדי לאמת את תחביר ה-CEL.

    6. לוחצים על Save.

  7. לוחצים על בדיקת שינויים כדי לראות איך השינויים משפיעים על גישת המשתמשים לנתונים.

  8. לוחצים על Save.

עכשיו המשתמשים יכולים לגשת לנתונים שמשויכים להיקפי ההרשאות.

הפעלת RBAC של נתונים

כשמפעילים את בקרת הגישה מבוססת התפקידים (RBAC) לנתונים, כל היקפי ההרשאות שהוקצו חלים על הכללים ועל רשימות העזר, וכך המשתמשים רואים רק את הנתונים שרלוונטיים להיקפי ההרשאות שלהם. כדי להפעיל את בקרת הגישה מבוססת התפקידים (RBAC) לנתונים:

  1. מתחברים ל-Google SecOps.

  2. לוחצים על הגדרות > הגדרות SIEM > גישה לנתונים.

  3. עוברים לכרטיסייה הקצאות ובודקים את הקצאות ההיקף של הכללים ורשימות ההפניות. כדי למצוא פריטים ספציפיים, משתמשים בפונקציות הסינון או החיפוש.

  4. לוחצים על החלת גישה לנתונים. בחלון 'אכיפת גישה לנתונים' מוצג מספר הכללים והרשימות להפניה שיוגדרו לאחר אכיפת RBAC לנתונים.

  5. לוחצים על כן, אכיפה.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.