Configurer le RBAC des données

Compatible avec :

Cette page explique comment les administrateurs du contrôle des accès basé sur les rôles pour les données (RBAC pour les données) peuvent configurer le RBAC pour les données dans Google Security Operations. En créant et en attribuant des champs d'application des données, qui sont définis par des étiquettes, vous pouvez vous assurer que les données ne sont accessibles qu'aux utilisateurs autorisés.

Le RBAC des données s'appuie sur des concepts IAM, y compris les rôles prédéfinis, les rôles personnalisés et les conditions IAM.

Voici un aperçu général du processus de configuration :

  1. Planifiez votre implémentation : identifiez les différents types de données auxquels vous souhaitez restreindre l'accès des utilisateurs. Identifiez les différents rôles au sein de votre organisation et déterminez les exigences d'accès aux données pour chacun d'eux.

  2. Facultatif : Créez des étiquettes personnalisées : créez des étiquettes personnalisées (en plus des étiquettes par défaut) pour classer vos données.

  3. Créez des champs d'application des données : définissez des champs d'application en combinant les libellés pertinents.

  4. Attribuer des niveaux d'accès aux utilisateurs : attribuez des niveaux d'accès aux rôles utilisateur dans IAM en fonction de leurs responsabilités.

  5. Activez le contrôle RBAC des données : activez le contrôle RBAC des données pour appliquer les attributions de champ d'application. Vous disposez des deux options suivantes pour configurer le contrôle RBAC des données :

    • Activez le RBAC des données avant d'attribuer des niveaux d'accès : lorsque le RBAC des données est activé, aucun niveau d'accès n'est attribué aux règles, aux listes de référence ni aux tableaux de données. Seuls les utilisateurs disposant d'un accès global peuvent accéder aux données. Par défaut, les utilisateurs limités n'ont accès à aucune donnée. Cela empêche les accès non intentionnels et garantit un point de départ sécurisé. Pour accorder l'accès, définissez des champs d'application et attribuez-les aux utilisateurs, aux règles et aux listes de référence en fonction de vos besoins.

    • Activez le contrôle RBAC des données après avoir attribué des niveaux d'accès : la configuration et l'attribution de niveaux d'accès à l'avance permettent aux utilisateurs d'accéder immédiatement aux données lorsque le contrôle RBAC des données est activé. De plus, comme des champs d'application sont attribués aux règles, les détections générées sont taguées avec des champs d'application. Cela permet aux utilisateurs de voir les détections générées après l'attribution des portées.

Avant de commencer

Créer et gérer des étiquettes personnalisées

Les libellés personnalisés sont des métadonnées que vous pouvez ajouter aux données Google SecOps ingérées dans le SIEM pour les catégoriser et les organiser en fonction des valeurs normalisées de l'UDM.

Par exemple, supposons que vous souhaitiez surveiller l'activité réseau. Vous souhaitez suivre les événements DHCP (Dynamic Host Configuration Protocol) à partir d'une adresse IP spécifique (10.0.0.1) que vous soupçonnez d'être compromise.

Pour filtrer et identifier ces événements spécifiques, vous pouvez créer un libellé personnalisé nommé "Activité DHCP suspecte" avec la requête suivante :

metadata.event_type = "NETWORK_DHCP" AND principal.ip = "10.0.0.1"

Voici comment fonctionne l'étiquette personnalisée :

Google SecOps ingère en continu les journaux et événements réseau dans son UDM. Lorsqu'un événement DHCP est ingéré, Google SecOps vérifie s'il correspond aux critères du libellé personnalisé. Si le champ metadata.event_type est défini sur NETWORK_DHCP et si le champ principal.ip (adresse IP de l'appareil demandant le bail DHCP) est défini sur 10.0.0.1, Google SecOps applique le libellé personnalisé à l'événement.

Vous pouvez utiliser le libellé "Activité DHCP suspecte" pour créer un champ d'application et l'attribuer aux utilisateurs concernés. L'attribution de portée vous permet de restreindre l'accès à ces événements à des utilisateurs ou rôles spécifiques de votre organisation.

Exigences et limites concernant les libellés personnalisés

Nous vous recommandons de consulter les limites et les exigences suivantes lorsque vous définissez et utilisez des étiquettes personnalisées :

Exigences concernant les noms et la syntaxe

  • Les noms des étiquettes personnalisées doivent être uniques et ne peuvent pas comporter plus de 63 caractères. Le nom ne peut contenir que des lettres minuscules, des chiffres et des traits d'union. Une fois supprimé, le nom d'un libellé ne peut plus être réutilisé.

Limites fonctionnelles

Les requêtes d'étiquettes personnalisées ne sont pas compatibles avec les fonctionnalités avancées suivantes :

  • Listes de référence
  • Champs d'enrichissement
  • Tables de données

Temps d'exécution de la requête : la requête d'étiquette personnalisée est soumise à une limite de temps d'exécution maximale de cinq secondes.

Créer un libellé personnalisé

Pour créer un libellé personnalisé :

  1. Connectez-vous à Google SecOps.

  2. Cliquez sur Paramètres > Paramètres SIEM > Accès aux données.

  3. Dans l'onglet Étiquettes personnalisées, cliquez sur Créer une étiquette personnalisée.

  4. Dans la fenêtre Recherche UDM, saisissez votre requête, puis cliquez sur Exécuter la recherche.

    Vous pouvez affiner la requête et cliquer sur Exécuter la recherche jusqu'à ce que les résultats affichent les données que vous souhaitez étiqueter. Pour en savoir plus sur l'exécution d'une requête, consultez Saisir une recherche UDM.

  5. Cliquez sur Créer un libellé.

  6. Dans la fenêtre Créer un libellé, sélectionnez Enregistrer en tant que nouveau libellé, puis saisissez le nom et la description du libellé.

  7. Cliquez sur Créer un libellé.

    Une nouvelle étiquette personnalisée est créée. Lors de l'ingestion des données, cette étiquette est appliquée aux données qui correspondent à la requête UDM. L'étiquette n'est pas appliquée aux données déjà ingérées.

Modifier une étiquette personnalisée

Vous ne pouvez modifier que la description du libellé et la requête associée à un libellé. Les noms des libellés ne peuvent pas être modifiés. Lorsque vous modifiez un libellé personnalisé, les modifications ne sont appliquées qu'aux nouvelles données et non à celles qui ont déjà été ingérées.

Pour modifier une étiquette :

  1. Connectez-vous à Google SecOps.

  2. Cliquez sur Settings > SIEM Settings > Data Access (Paramètres > Paramètres du SIEM > Accès aux données).

  3. Dans l'onglet Libellés personnalisés, cliquez sur le menu  à côté du libellé que vous souhaitez modifier, puis sélectionnez Modifier.

  4. Dans la fenêtre Recherche UDM, modifiez votre requête, puis cliquez sur Exécuter la recherche.

    Vous pouvez affiner la requête et cliquer sur Lancer la recherche jusqu'à ce que les résultats affichent les données que vous souhaitez étiqueter. Pour en savoir plus sur l'exécution d'une requête, consultez Saisir une recherche UDM.

  5. Cliquez sur Enregistrer les modifications.

Le libellé personnalisé est modifié.

Supprimer l'étiquette personnalisée

La suppression d'une étiquette empêche l'association de nouvelles données à celle-ci. Les données déjà associées au libellé le restent. Une fois le libellé personnalisé supprimé, vous ne pourrez pas le récupérer ni réutiliser son nom pour créer d'autres libellés.

  1. Cliquez sur Settings > SIEM Settings > Data Access (Paramètres > Paramètres du SIEM > Accès aux données).

  2. Dans l'onglet Libellés personnalisés, cliquez sur le menu  du libellé que vous souhaitez supprimer, puis sélectionnez Supprimer.

  3. Cliquez sur Supprimer.

  4. Dans la fenêtre de confirmation, cliquez sur Confirmer.

Le libellé personnalisé est supprimé.

Afficher un libellé personnalisé

Pour afficher les détails d'un libellé personnalisé :

  1. Cliquez sur Settings > SIEM Settings > Data Access (Paramètres > Paramètres du SIEM > Accès aux données).

  2. Dans l'onglet Libellés personnalisés, cliquez sur le menu à côté du libellé que vous souhaitez modifier, puis sélectionnez Afficher.

    Les détails du libellé s'affichent.

Créer et gérer des champs d'application

Vous pouvez créer et gérer des périmètres de données dans l'interface utilisateur Google SecOps, puis les attribuer à des utilisateurs ou à des groupes via IAM. Vous pouvez créer un champ d'application en appliquant des libellés qui définissent les données auxquelles un utilisateur ayant ce champ d'application a accès.

Créer des niveaux d'accès

Pour créer un champ d'application, procédez comme suit :

  1. Connectez-vous à Google SecOps.

  2. Cliquez sur Settings > SIEM Settings > Data Access (Paramètres > Paramètres du SIEM > Accès aux données).

  3. Dans l'onglet Niveaux d'accès, cliquez sur Créer un niveau d'accès.

  4. Dans la fenêtre Créer un champ d'application, procédez comme suit :

    1. Saisissez un nom de champ d'application et une description.

    2. Dans Définir l'accès au champ d'application avec des libellés > Autoriser l'accès, procédez comme suit :

      • Pour sélectionner les libellés et les valeurs correspondantes auxquels vous souhaitez accorder l'accès aux utilisateurs, cliquez sur Autoriser certains libellés.

        Dans une définition de champ d'application, les étiquettes du même type (par exemple, le type de journal) sont combinées à l'aide de l'opérateur OR, tandis que les étiquettes de types différents (par exemple, le type de journal et l'espace de noms) sont combinées à l'aide de l'opérateur AND. Pour en savoir plus sur la façon dont les libellés définissent l'accès aux données dans les niveaux d'accès, consultez Visibilité des données avec les libellés "Autoriser" et "Refuser".

      • Pour autoriser l'accès à toutes les données, sélectionnez Autoriser l'accès à tout.

    3. Pour exclure l'accès à certains libellés, sélectionnez Exclure certains libellés, puis sélectionnez le type de libellé et les valeurs correspondantes auxquelles vous souhaitez refuser l'accès aux utilisateurs.

      Lorsqu'une portée comporte plusieurs libellés d'accès refusé, l'accès est refusé si l'un d'entre eux correspond.

    4. Cliquez sur Tester le niveau d'accès pour vérifier comment les étiquettes sont appliquées au niveau d'accès.

    5. Dans la fenêtre Recherche UDM, saisissez votre requête, puis cliquez sur Exécuter la recherche.

      Vous pouvez affiner la requête et cliquer sur Exécuter la recherche jusqu'à ce que les résultats affichent les données que vous souhaitez étiqueter. Pour en savoir plus sur l'exécution d'une requête, consultez Saisir une recherche UDM.

    6. Cliquez sur Créer un niveau d'accès.

    7. Dans la fenêtre Créer un champ d'application, confirmez le nom et la description du champ d'application, puis cliquez sur Créer un champ d'application.

Le champ d'application est créé. Vous devez attribuer le champ d'application aux utilisateurs pour leur donner accès aux données qu'il contient.

Modifier le champ d'application

Vous ne pouvez modifier que la description du champ d'application et les libellés associés. Les noms de portée ne peuvent pas être modifiés. Une fois que vous avez modifié un champ d'application, les utilisateurs associés à ce champ sont soumis aux nouvelles restrictions. Les règles associées au champ d'application ne sont pas remises en correspondance avec celui qui a été modifié.

Pour modifier un champ d'application :

  1. Connectez-vous à Google SecOps.

  2. Cliquez sur Paramètres > Paramètres SIEM > Accès aux données.

  3. Dans l'onglet Portées, cliquez sur le menu  correspondant à la portée que vous souhaitez modifier, puis sélectionnez Modifier.

  4. Cliquez sur Modifier pour modifier la description du champ d'application.

  5. Dans la section Définir l'accès au champ d'application avec des libellés, mettez à jour les libellés et leurs valeurs correspondantes si nécessaire.

  6. Cliquez sur Tester le champ d'application pour vérifier comment les nouveaux libellés sont appliqués au champ d'application.

  7. Dans la fenêtre Recherche UDM, saisissez votre requête, puis cliquez sur Lancer la recherche.

    Vous pouvez affiner la requête et cliquer sur Exécuter la recherche jusqu'à ce que les résultats affichent les données que vous souhaitez étiqueter. Pour en savoir plus sur l'exécution d'une requête, consultez Saisir une recherche UDM.

  8. Cliquez sur Enregistrer les modifications.

Le champ d'application est modifié.

Supprimer le champ d'application

Lorsqu'un champ d'application est supprimé, les utilisateurs n'ont plus accès aux données qui y sont associées. Une fois le niveau d'accès supprimé, son nom ne peut pas être réutilisé pour créer d'autres niveaux d'accès.

Pour supprimer un niveau d'accès, procédez comme suit :

  1. Connectez-vous à Google SecOps.

  2. Cliquez sur Settings > SIEM Settings > Data Access (Paramètres > Paramètres du SIEM > Accès aux données).

  3. Dans l'onglet Scopes (Portées), cliquez sur Menu à côté de la portée que vous souhaitez supprimer.

  4. Cliquez sur Supprimer.

  5. Dans la fenêtre de confirmation, cliquez sur Confirmer.

Le champ d'application est supprimé.

Afficher le champ d'application

Pour afficher les détails d'un champ d'application, procédez comme suit :

  1. Connectez-vous à Google SecOps.

  2. Cliquez sur Paramètres > Accès aux données.

  3. Dans l'onglet Champs d'application, cliquez sur Menu à côté du champ d'application que vous souhaitez afficher, puis sélectionnez Afficher.

Les détails du champ d'application s'affichent.

Attribuer un champ d'application aux utilisateurs

L'attribution de portées est nécessaire pour contrôler l'accès aux données des utilisateurs disposant d'autorisations restreintes. L'attribution de niveaux d'accès spécifiques aux utilisateurs détermine les données qu'ils peuvent consulter et avec lesquelles ils peuvent interagir. Lorsqu'un utilisateur se voit attribuer plusieurs niveaux d'accès, il a accès aux données combinées de tous ces niveaux. Vous pouvez attribuer les niveaux d'accès appropriés aux utilisateurs qui ont besoin d'un accès global afin qu'ils puissent afficher toutes les données et interagir avec elles. Pour attribuer des niveaux d'accès à un utilisateur, procédez comme suit :

  1. Dans la console Google Cloud , accédez à la page IAM.

    Accéder à IAM

  2. Sélectionnez le projet associé à Google SecOps.

  3. Cliquez sur  Accorder l'accès.

  4. Dans le champ Nouveaux comptes principaux, procédez comme suit :

    1. Si vous utilisez la fédération d'identité de personnel ou toute autre authentification tierce, ajoutez votre identifiant principal comme suit : 

      principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/USER_EMAIL_ADDRESS

      Remplacez les éléments suivants :

      • POOL_ID : identifiant du pool créé pour votre fournisseur d'identité.
      • USER_EMAIL : Adresse e-mail de l'utilisateur.

    2. Si vous utilisez Cloud Identity ou Google Workspace, ajoutez votre identifiant principal comme suit : 

      user:USER_EMAIL

      Remplacez les éléments suivants :

      • USER_EMAIL : Adresse e-mail de l'utilisateur.

  5. Dans le menu Attribuer des rôles > Sélectionner un rôle, sélectionnez le rôle requis. Cliquez sur Ajouter un autre rôle pour ajouter plusieurs rôles. Pour savoir quels rôles doivent être ajoutés, consultez Rôles utilisateur.

  6. Pour attribuer un champ d'application à l'utilisateur, ajoutez des conditions au rôle d'accès restreint aux données Chronicle qui lui est attribué (ne s'applique pas aux rôles d'accès global).

    1. Cliquez sur Ajouter une condition IAM en face du rôle Accès restreint aux données Chronicle. La fenêtre Ajouter une condition s'affiche.

    2. Saisissez le titre et la description facultative de la condition.

    3. Ajoutez l'expression de condition.

      Vous pouvez ajouter une expression de condition à l'aide du Générateur de conditions ou de l'Éditeur de conditions.

      Le générateur de conditions fournit une interface interactive permettant de sélectionner le type de condition, l'opérateur et d'autres informations applicables concernant l'expression. Les opérateurs suivants vous permettent de créer des règles précises pour contrôler l'accès à plusieurs niveaux d'accès avec une seule condition IAM :

    • ENDS_WITH : vérifie si le nom du champ d'application se termine par un mot spécifique. Pour rechercher le mot exact, ajoutez un / avant le mot.

      Prenons l'exemple d'un niveau d'accès aux données nommé projects/1234/locations/us/instances/2342-434-44-3434-343434/dataAccessScopes/scopename.

      • ENDS_WITH /scopename correspond au nom exact et est évalué comme true pour l'exemple de portée.

      • ENDS_WITH scopename correspond à tout nom se terminant par "scopename" et est évalué comme true pour l'exemple de portée et également pour projects/1234/locations/us/instances/2342-434-44-3434-343434/dataAccessScopes/testscopename.

    • STARTS_WITH : vérifie si le nom du champ d'application commence par un mot spécifique. Par exemple, STARTS_WITH projects/project1 accorde l'accès à tous les niveaux d'accès de "project1".

    • EQUALS_TO : vérifie si le nom correspond exactement à un mot ou une expression spécifique. Cela donne accès à un seul champ d'application. Par exemple, EQUALS_TO projects/1234/locations/us/instances/2342-434-44-3434-343434/dataAccessScopes/scopename est évalué comme true pour l'exemple de champ d'application.

    Pour ajouter des champs d'application au rôle, nous vous recommandons de procéder comme suit :

    1. Sélectionnez Nom dans Type de condition, l'opérateur dans Opérateur, puis saisissez le nom du champ d'application dans Valeur.

      /<scopename>

    2. Pour attribuer plusieurs champs d'application, ajoutez des conditions à l'aide de l'opérateur OR. Vous pouvez ajouter jusqu'à 12 conditions pour chaque liaison de rôle. Pour ajouter plus de 12 conditions, créez plusieurs liaisons de rôles et ajoutez jusqu'à 12 conditions à chacune d'elles.

      Pour en savoir plus sur les conditions, consultez la Présentation des conditions IAM.

    3. Cliquez sur Enregistrer.

      L'éditeur de conditions fournit une interface textuelle permettant de saisir manuellement une expression à l'aide de la syntaxe CEL.

    4. Saisissez l'expression suivante :

      (scope-name: resource.name.endsWith('/SCOPENAME1') || resource.name.endsWith('/SCOPENAME2') || … || resource.name.endsWith('/SCOPENAME'))

      Remplacez /SCOPENAME1, /SCOPENAME2 et les autres espaces réservés par les noms de champ d'application que vous souhaitez attribuer au compte principal.

    5. Cliquez sur Exécuter l'outil lint pour valider la syntaxe CEL.

    6. Cliquez sur Enregistrer.

  7. Cliquez sur Tester les modifications pour voir comment vos modifications affectent l'accès des utilisateurs aux données.

  8. Cliquez sur Enregistrer.

Les utilisateurs peuvent désormais accéder aux données associées aux champs d'application.

Activer le RBAC pour les données

L'activation du contrôle RBAC des données applique tous les niveaux d'accès attribués aux règles et aux listes de référence, ce qui garantit que les utilisateurs ne voient que les données correspondant à leurs niveaux d'accès. Pour activer le contrôle RBAC des données, procédez comme suit :

  1. Connectez-vous à Google SecOps.

  2. Cliquez sur Settings > SIEM Settings > Data Access (Paramètres > Paramètres du SIEM > Accès aux données).

  3. Accédez à l'onglet Attributions et examinez les attributions de champ d'application des règles et des listes de référence. Pour trouver des éléments spécifiques, utilisez les fonctionnalités de filtrage ou de recherche.

  4. Cliquez sur Appliquer l'accès aux données. La fenêtre "Appliquer l'accès aux données" affiche le nombre de règles et de listes de référence qui seront définies après l'application du RBAC pour les données.

  5. Cliquez sur Oui, appliquer.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.