ファーストパーティのケースとアラートへのアクセスを制御する
このガイドは、データのロールベース アクセス制御（RBAC）を使用して、ファーストパーティ（1P）のケースとアラートへのアクセスを制御する Google SecOps 管理者とセキュリティ アナリストを対象としています。プラットフォームの SIEM 側でデータアクセス スコープを構成し、それらを SOAR 環境にマッピングして、ユーザーがアクセス権のあるデータから派生したアラートとケースのみを表示できるようにする方法について説明します。この方法により、データ ガバナンス ポリシーを適用し、セキュリティを強化できます。完了すると、組織はロールと責任に基づいてデータの可視性を制限し、コンプライアンスを強化してデータ漏洩のリスクを軽減できます。
主な用語
このガイドでは、データ RBAC のコンセプトとコンポーネントを説明するために、次の用語を使用します。
- ファーストパーティ（1P）アラート: Google SecOps SIEM 検出エンジンによって生成された検出（ルール、脅威インテリジェンスの一致、セキュリティ分析など）。これらの SIEM 検出結果が Google SecOps コネクタを使用して SOAR コンポーネントに取り込まれると、1P アラートが形成され、1P ケースにグループ化されます。
- サードパーティ（3P）アラート: 別の SOAR 統合を使用して、外部セキュリティ ツール（サードパーティのファイアウォールやエンドポイント検出エージェントなど）から SOAR コンポーネントに直接取り込まれたアラート。これらのアラートは SIEM 検出エンジンをバイパスし、SIEM データ アクセス スコープの対象になりません。
1P アラートの場合、Google SecOps は、基盤となるイベントの関連するデータスコープを SOAR コンポーネントに伝播します。この伝播により、アナリストは、基盤となるイベントのデータスコープにアクセスできる場合にのみ、アラートと関連するケースを表示できます。たとえば、財務部門のユーザーには、Google SecOps に取り込まれた財務データへのアクセス権を付与し、顧客の連絡先データへのアクセス権は付与しないようにできます。財務ユーザーは、財務データに関連付けられたアラートとケースのみを表示でき、顧客連絡先データに関連付けられたアラートやケースは表示できません。
始める前に
1P のケースとアラートのデータ RBAC を構成する前に、次の要件が満たされていることを確認してください。
- Google SecOps インスタンスが統合されている（SIEM と SOAR が有効になっている）必要があります。
- マルチインスタンス SIEM の動作: 単一の SOAR インスタンスに複数の SIEM インスタンスが接続されている場合、スコープの伝播と適用はプライマリ SIEM インスタンスにのみ適用されます。セカンダリ SIEM インスタンスのスコープは SOAR 側で無視され、これらのアラートは、SOAR で割り当てられた環境にアクセスできるすべてのユーザーに表示されます。
- Chronicle コネクタ: SIEM コンポーネントを SOAR コンポーネントに接続する Chronicle コネクタは、最新の Chronicle API を使用します。この機能を有効にする前に、コネクタが以前の Backstory API から Chronicle API にアップグレードされていることを確認してください。詳細については、Chronicle API にアップグレードするをご覧ください。
ファーストパーティのアラートとケースでデータ RBAC を有効にする
Google SecOps 管理者（ Google Cloud IAM 内の Chronicle API 管理者ロール）は、インスタンス内の 1P アラートとケースに対してデータ RBAC を有効にできます。次の 2 つのシナリオがあります。
シナリオ A: SIEM データアクセスがすでに適用されている
SIEM コンポーネントでデータアクセス制御がすでに有効になっている場合は、次の手順に沿って、SOAR コンポーネントの 1P アラートとケースに適用範囲を拡大します。
- Google SecOps にログインします。
- [SIEM 設定] > [データアクセス] で、スコープが正しく構成されていることを確認します。
- Google Cloud IAM を使用して、 Google Cloud コンソールでユーザーにデータスコープを割り当てる。
- Google SecOps で、[SIEM Settings] > [Data Access] に移動し、[Enable Data Access in SOAR] をクリックします。
- スコープを環境にマッピングするの説明に沿って、SIEM スコープを SOAR 環境にマッピングします。
SOAR コンポーネントのファースト パーティのアラートとケースにデータアクセスが適用されるようになりました。これは、新しいアラートとケースだけでなく、SIEM データアクセスが最初に適用された後に作成された既存のアラートとケースにも適用されます。
シナリオ B: SIEM データアクセスがまだ適用されていない
SIEM でデータアクセス制御をまだ有効にしていない場合は、SIEM と SOAR で同時に適用が有効になります。
- Google SecOps にログインします。
- [SIEM 設定] > [データアクセス] でスコープが正しく構成されていることを確認します。
- Google Cloud IAM を使用して、 Google Cloud コンソールでユーザーにデータスコープを割り当てます。
- Google SecOps で、[SIEM 設定] > [データアクセス] に移動し、[データアクセスを適用] をクリックします。
- スコープを環境にマッピングするの説明に従って、SIEM スコープを SOAR 環境にマッピングします。
データアクセスは、SIEM コンポーネントと、SOAR コンポーネントの新しいファーストパーティ アラートとケースで適用されるようになりました。
スコープを環境にマッピングする
SIEM データスコープを SOAR にリンクするには、SIEM データアクセス スコープを SOAR 環境にマッピングします。
- [SOAR 設定] > [環境] に移動して、環境構成ページにアクセスします。
- 既存の環境を選択して変更するか、[環境を追加] をクリックします。
- SIEM スコープをこの環境にリンクして、スコープを関連付けます。
- [データアクセス スコープ] フィールドを見つけて、必要な SIEM スコープを選択します。
- マッピング ルール:
- スコープは 1 つの環境にのみマッピングできます。
- 複数のスコープを 1 つの環境にマッピングできます。
- [保存] をクリックして、スコープと環境のマッピングを適用します。
環境フォールバック マッピング
スコープと環境のマッピングが構成されている場合、マッピングされたスコープを含む SIEM アラートは、関連付けられた SOAR 環境に自動的に割り当てられます。これにより、Chronicle コネクタの環境設定がオーバーライドされます。
SIEM アラートのスコープが設定されていない（グローバル）場合、またはスコープが環境にマッピングされていない場合、アラートはフォールバック環境に転送されます。フォールバック環境は、Chronicle コネクタの Environment または Environment Field Name 設定で定義されます。
アクセス評価について
このセクションでは、割り当てられたスコープと環境に基づいて、Google SecOps がケースとアラートに対するユーザー アクセスを評価する方法について説明します。1P ケースまたはアラートを表示するには、ユーザーが環境権限とスコープ権限の両方を満たしている必要があります。
スコープ伝播ロジック
- アラート スコープ: 取り込まれたアラートには、Google SecOps SIEM 検出ルールによって割り当てられたデータアクセス スコープが含まれます。
- ケースのスコープ: ケースは、関連するアラートのすべてのスコープの和集合を自動的に継承します。たとえば、ケースがアラート 1（スコープ A）とアラート 2（スコープ B）をグループ化している場合、ケースはスコープ A とスコープ B の両方を継承します。
アクセスルール
リソース（ケースまたはアラート）にアクセスするには、次の権限が必要です。
- リソースに割り当てられた SOAR 環境へのアクセス。
- リソースに割り当てられているすべてのデータアクセス スコープへのアクセス権。
評価シナリオ
次の表に、さまざまなシナリオでユーザー アクセスがどのように評価されるかを示します。
| ケースアラート | ケース スコープ | ユーザー割り当てスコープ | ユーザーのアクセスレベル | ケースと関連するアラートへのアクセス権が付与されているか？ | 根拠 |
|---|---|---|---|---|---|
| アラート 1（スコープ 1） | スコープ 1 | スコープ 1 | スコープ設定されたユーザー | はい | ユーザーは、ケースに割り当てられた単一のスコープにアクセスできます。 |
| アラート 1（スコープ 1）とアラート 2（スコープ 2） | スコープ 1 とスコープ 2 | スコープ 1 | スコープ設定されたユーザー | いいえ | ユーザーに Scope 2 がありません。ケースに割り当てられているすべてのスコープにアクセスできる必要があります。 |
| アラート 1（スコープ 1）とアラート 2（スコープ 2） | スコープ 1 とスコープ 2 | スコープ 1 とスコープ 2 | スコープ設定されたユーザー | はい | ユーザーは、ケースに割り当てられたすべてのスコープにアクセスできます。 |
| アラート 1（スコープ 1）とアラート 2（スコープ 2） | スコープ 1 とスコープ 2 | グローバル | グローバル ユーザー | はい | グローバル ユーザーはスコープ フィルタリングをバイパスして、すべてのケースを表示できます。 |
| アラート 1（グローバル スコープ） | グローバル | グローバル | グローバル ユーザー | はい | グローバル ユーザーはスコープ フィルタをバイパスして、すべてのケースを表示できます。 |
| アラート 1（スコープ 1）とアラート 2（グローバル スコープ） | グローバル | スコープ 1 | スコープ設定されたユーザー | いいえ | グローバル スコープのケースは、グローバル ユーザーに制限されます。 |
| アラート 1（スコープ 1）とアラート 2（グローバル スコープ） | グローバル | グローバル | グローバル ユーザー | はい | グローバル ユーザーはスコープ フィルタリングをバイパスして、すべてのケースを表示できます。 |
| アラート 1（グローバル スコープ） | グローバル | スコープ 1 | スコープ設定されたユーザー | いいえ | グローバル スコープのケースは、グローバル ユーザーに制限されます。 |
ケースのグループ化とエンティティのスコープ設定ルール
- 環境によるグループ化の制限: アラートを 1 つのケースにグループ化できるのは、マッピングされたスコープが同じ環境にアラートを転送する場合のみです。
- スコープの蓄積: スコープが異なるアラートが同じ環境にマッピングされ、ケースにグループ化されると、ケースはそれらのスコープをすべて継承します。
- スコープなしアラートの影響: スコープなしアラートがフォールバック環境でスコープありアラートとグループ化されると、ケースはグローバル スコープを継承し、グローバル ユーザーにのみ表示されるようになります。
- 一意のエンティティのスコープ設定: 一意のエンティティは、そのエンティティが出現するすべてのアラートのスコープを継承します。
- 関連エンティティのスコープ設定: 関連エンティティは、親アラートのスコープのみを継承します。
スコープと環境のマッピングを変更する
スコープ マッピングを変更または削除した場合の影響は、アラートとケースが新規か既存かによって異なります。
- スコープを移動する: スコープのマッピングを環境 A から環境 B に変更します。
- 新しいアラートとケース: 環境 B に転送されます。
- 既存のアラートとケース: 環境 A に残ります。ユーザーが環境 A と割り当てられたスコープの両方の権限を持っている場合、ユーザーはそれらにアクセスできます。
- スコープ マッピングを削除する: 環境からスコープのマッピングを解除します。
- 新しいアラートとケース: フォールバック環境にルーティングされます。グローバル ユーザーとフォールバック環境にアクセスできるユーザーにのみ表示されます。
- 既存のアラートとケース: 元の環境に残りますが、スコープがマッピングされなくなるため、グローバル ユーザーにのみ表示されるようになります。
手動ケースとオーバーフロー ケースを処理する
このセクションでは、手動で作成されたケースやアラートのオーバーフローによって作成されたケースを管理する方法について説明します。
手動ケースを作成する
- [Cases] タブで、[Create Manual Case] をクリックします。
- ターゲットの環境を選択します。
- [データアクセス スコープ] を選択します。リストには、環境にマッピングされ、ユーザー アカウントに割り当てられているスコープが表示されます。
- 重複するスコープが存在しない場合、リストは空になり、ケースを送信できません。
- グローバル ユーザーは、環境にマッピングされている任意のスコープを選択できます。
- ケースの詳細を入力し、[Submit]（送信）をクリックします。ケースとその手動アラートは、選択した範囲を継承します。
オーバーフロー ケース
オーバーフロー ケースは、共有エンティティ モデルに従わずに、複数のスコープにわたるアラートをグループ化します。グローバル スコープが割り当てられ、グローバル ユーザーにのみ表示されます。
[Cases] ページでスコープを見つける
ケースに割り当てられたデータアクセス スコープは、Google SecOps インターフェース内のいくつかの場所で確認できます。
ケースのヘッダー
割り当てられたスコープは、[環境] フィールドの横に読み取り専用のラベルとして表示されます。領域にカーソルを合わせると、リスト全体が表示されます。
ケースのリストの表
[ケース一覧] テーブルからスコープを直接確認することもできます。
- [ケースの一覧] テーブルに [データ アクセス スコープ] 列が表示されます。
- この列には、ケースに割り当てられたスコープが表示されます（複数ある場合はカンマ区切り）。
- 列のテキスト フィルタにスコープ名を入力して、キューをフィルタできます。
スコープの削除を処理する
このセクションでは、プラットフォームの SIEM 側でデータアクセス スコープが削除された場合に、既存のケースとアラートがどうなるかについて説明します。
管理者が [SIEM 設定] > [データアクセス] でデータアクセス スコープを削除した場合:
- スコープは、SOAR 環境から自動的にマッピング解除されます。
- アクセス制御: スコープが SIEM コンポーネントと Cloud IAM から削除されるため、これらの過去のケースとアラートにアクセスできるのは、グローバル ユーザー（またはキャッシュに保存されたトークン クレームを保持しているユーザー）のみです。
トラブルシューティング
このセクションでは、パフォーマンスの期待値の概要と、一般的なデプロイの問題に対するセルフサービスによる修正方法について説明します。
レイテンシと上限
スコープと環境のマッピングの変更や初期有効化が反映されるまでに、最大 30 秒かかることがあります。
検証とテスト
構成を検証するには、異なるスコープと環境権限を持つユーザー アカウントを使用して、ケースとアラートへのアクセスをテストします。ユーザーが、アクセスを許可されているデータのみを表示できることを確認します。
さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。