Zugriff auf 1P-Fälle und ‑Benachrichtigungen steuern
Diese Anleitung richtet sich an Google SecOps-Administratoren und Sicherheitsanalysten, die den Zugriff auf 1P-Fälle und ‑Benachrichtigungen (First-Party) mithilfe der datenbezogenen rollenbasierten Zugriffssteuerung (Role-Based Access Control, RBAC) steuern möchten. Darin wird erläutert, wie Sie Datenzugriffsbereiche auf der SIEM-Seite der Plattform konfigurieren und sie SOAR-Umgebungen zuordnen, damit Nutzer nur Benachrichtigungen und Fälle sehen können, die aus Daten abgeleitet wurden, auf die sie Zugriff haben. Mit dieser Methode können Sie Data Governance-Richtlinien durchsetzen und die Sicherheit verbessern. Nach erfolgreicher Konfiguration können Unternehmen die Datensichtbarkeit basierend auf Rollen und Verantwortlichkeiten einschränken, die Compliance verbessern und das Risiko einer Datenpanne verringern.
Schlüsselterminologie
In dieser Anleitung werden die folgenden Begriffe verwendet, um Konzepte und Komponenten der datenbezogenen RBAC zu beschreiben.
- 1P-Benachrichtigungen (First-Party): Erkennungen, die von der Google SecOps SIEM-Erkennungs-Engine generiert werden, z. B. Regeln, Übereinstimmungen mit Threat Intelligence oder Sicherheitsanalysen. Wenn diese SIEM-Erkennungen mit dem Google SecOps-Connector in die SOAR-Komponente aufgenommen werden, bilden sie 1P-Benachrichtigungen und werden in 1P-Fällen gruppiert.
- 3P-Benachrichtigungen (Third-Party): Benachrichtigungen, die über separate SOAR-Integrationen direkt aus externen Sicherheitstools (z. B. Firewalls von Drittanbietern oder Endpunkterkennungs-Agents) in die SOAR-Komponente aufgenommen werden. Diese Benachrichtigungen umgehen die SIEM-Erkennungs-Engine und unterliegen nicht den SIEM-Datenzugriffsbereichen.
Bei 1P-Benachrichtigungen überträgt Google SecOps die zugehörigen Datenbereiche der zugrunde liegenden Ereignisse an die SOAR-Komponente. So können Analysten Benachrichtigungen und die zugehörigen Fälle nur dann sehen, wenn sie Zugriff auf die Datenbereiche der zugrunde liegenden Ereignisse haben. Einem Finanznutzer könnte beispielsweise Zugriff auf die in Google SecOps aufgenommenen Finanzdaten gewährt werden, nicht aber auf die Kontaktdaten von Kunden. Der Finanznutzer kann nur die Benachrichtigungen und Fälle sehen, die mit den Finanzdaten verknüpft sind, und keine Benachrichtigungen oder Fälle, die mit den Kontaktdaten von Kunden verknüpft sind.
Hinweis
Bevor Sie die datenbezogene RBAC für 1P-Fälle und ‑Benachrichtigungen konfigurieren, müssen die folgenden Anforderungen erfüllt sein:
- Ihre Google SecOps-Instanz muss einheitlich sein (SIEM und SOAR aktiviert).
- SIEM-Verhalten bei mehreren Instanzen: Wenn mehrere SIEM-Instanzen mit einer einzelnen SOAR-Instanz verbunden sind, gelten die Bereichsübertragung und ‑durchsetzung nur für die primäre SIEM-Instanz. Bereiche aus sekundären SIEM-Instanzen werden auf der SOAR-Seite ignoriert und diese Benachrichtigungen sind für alle Nutzer sichtbar, die Zugriff auf ihre zugewiesene Umgebung in SOAR haben.
- Chronicle-Connector: Der Chronicle-Connector, der die SIEM-Komponente mit der SOAR-Komponente verbindet, verwendet die moderne Chronicle API. Achten Sie darauf, dass der Connector vor der Aktivierung dieses Features von der Legacy-Backstory API auf die Chronicle API aktualisiert wird. Weitere Informationen finden Sie unter Auf die Chronicle API aktualisieren.
Datenbezogene RBAC für 1P-Benachrichtigungen und ‑Fälle aktivieren
Google SecOps-Administratoren (Rolle „Chronicle API Admin“ in Google Cloud IAM) können die datenbezogene RBAC für 1P-Benachrichtigungen und ‑Fälle in ihrer Instanz aktivieren. Es gibt zwei Szenarien:
Szenario A: SIEM-Datenzugriff wird bereits erzwungen
Wenn die Datenzugriffssteuerung in der SIEM-Komponente bereits aktiv ist, gehen Sie so vor, um die Durchsetzung auf 1P-Benachrichtigungen und ‑Fälle in der SOAR-Komponente auszuweiten:
- Melden Sie sich an in Google SecOps.
- Prüfen Sie, ob Ihre Bereiche unter SIEM-Einstellungen > Datenzugriff richtig konfiguriert sind.
- Weisen Sie Nutzern Datenbereiche zu in der Google Cloud Console mit Google Cloud IAM.
- Rufen Sie in Google SecOps SIEM-Einstellungen > Datenzugriff auf und klicken Sie auf Datenzugriff in SOAR aktivieren.
- Ordnen Sie Ihre SIEM-Bereiche SOAR-Umgebungen zu, wie unter Bereiche Umgebungen zuordnen beschrieben.
Der Datenzugriff wird jetzt für 1P-Benachrichtigungen und ‑Fälle in der SOAR-Komponente erzwungen. Dies gilt für alle neuen Benachrichtigungen und Fälle sowie für vorhandene, die nach der ersten Durchsetzung des SIEM-Datenzugriffs erstellt wurden.
Szenario B: SIEM-Datenzugriff wird noch NICHT erzwungen
Wenn Sie die Datenzugriffssteuerung in SIEM noch nicht aktiviert haben, wird die Durchsetzung gleichzeitig für SIEM und SOAR aktiviert.
- Melden Sie sich an in Google SecOps.
- Prüfen Sie, ob Ihre Bereiche unter SIEM-Einstellungen > Datenzugriff richtig konfiguriert sind.
- Weisen Sie Nutzern Datenbereiche zu in der Google Cloud Console mit Google Cloud IAM.
- Rufen Sie in Google SecOps SIEM-Einstellungen > Datenzugriff auf und klicken Sie auf Datenzugriff erzwingen.
- Ordnen Sie Ihre SIEM-Bereiche SOAR-Umgebungen zu, wie unter Bereiche Umgebungen zuordnen beschrieben.
Der Datenzugriff wird jetzt in der SIEM-Komponente und für neue 1P-Benachrichtigungen und ‑Fälle in der SOAR-Komponente erzwungen.
Bereiche Umgebungen zuordnen
Wenn Sie SIEM-Datenbereiche mit SOAR verknüpfen möchten, ordnen Sie Ihre SIEM-Datenzugriffsbereiche SOAR-Umgebungen zu.
- Rufen Sie SOAR-Einstellungen > Umgebungen auf, um die Seite mit der Umgebungskonfiguration aufzurufen.
- Wählen Sie eine vorhandene Umgebung aus, die Sie ändern möchten, oder klicken Sie auf Umgebung hinzufügen.
- Verknüpfen Sie Bereiche, indem Sie SIEM-Bereiche mit dieser Umgebung verknüpfen.
- Suchen Sie das Feld Datenzugriffsbereiche und wählen Sie die erforderlichen SIEM-Bereiche aus.
- Zuordnungsregeln:
- Ein Bereich kann nur einer Umgebung zugeordnet werden.
- Mehrere Bereiche können einer einzelnen Umgebung zugeordnet werden.
- Klicken Sie auf Speichern , um die Zuordnung von Bereich zu Umgebung anzuwenden.
Fallback-Zuordnung für Umgebung
Wenn die Zuordnung von Bereich zu Umgebung konfiguriert ist, werden SIEM-Benachrichtigungen mit einem zugeordneten Bereich automatisch der zugehörigen SOAR-Umgebung zugewiesen. Dadurch werden die Umgebungseinstellungen im Chronicle-Connector überschrieben.
Wenn eine SIEM-Benachrichtigung keinen Bereich hat (global) oder ihr Bereich keiner Umgebung zugeordnet ist, wird sie an die Fallback-Umgebung weitergeleitet. Die Fallback-Umgebung wird durch die Einstellung Environment oder Environment Field Name im Chronicle-Connector definiert.
Zugriffsauswertung
In diesem Abschnitt wird beschrieben, wie Google SecOps den Nutzerzugriff auf Fälle und Benachrichtigungen basierend auf zugewiesenen Bereichen und Umgebungen auswertet. Um einen 1P-Fall oder eine 1P-Benachrichtigung aufzurufen, muss ein Nutzer sowohl die Berechtigungen für die Umgebung als auch für den Bereich erfüllen.
Logik für die Bereichsübertragung
- Bereich der Benachrichtigung: Eine aufgenommene Benachrichtigung enthält den Datenzugriffsbereich, der ihr von den Google SecOps SIEM-Erkennungsregeln zugewiesen wurde.
- Bereich des Falls: Ein Fall übernimmt automatisch die Vereinigung aller Bereiche aus den zugehörigen Benachrichtigungen. Wenn beispielsweise ein Fall Benachrichtigung 1 (Bereich A) und Benachrichtigung 2 (Bereich B) gruppiert, übernimmt der Fall sowohl Bereich A als auch Bereich B.
Zugriffsregeln
Um auf eine Ressource (Fall oder Benachrichtigung) zuzugreifen, muss ein Nutzer Folgendes haben:
- Zugriff auf die SOAR-Umgebung , die der Ressource zugewiesen ist.
- Zugriff auf alle Datenzugriffsbereiche, die der Ressource zugewiesen sind.
Bewertungsszenarien
In der folgenden Tabelle wird gezeigt, wie der Nutzerzugriff in verschiedenen Szenarien bewertet wird:
| Benachrichtigungen zu Fällen | Bereiche des Falls | Nutzerzugewiesene Bereiche | Zugriffsebene des Nutzers | Zugriff auf Fall und zugehörige Benachrichtigungen gewährt? | Begründung |
|---|---|---|---|---|---|
| Benachrichtigung 1 (Bereich 1) | Bereich 1 | Bereich 1 | Nutzer mit Bereich | Ja | Der Nutzer hat Zugriff auf den einzelnen Bereich, der dem Fall zugewiesen ist. |
| Benachrichtigung 1 (Bereich 1) und Benachrichtigung 2 (Bereich 2) | Bereich 1 und Bereich 2 | Bereich 1 | Nutzer mit Bereich | Nein | Dem Nutzer fehlt Bereich 2. Er muss Zugriff auf alle Bereiche haben, die dem Fall zugewiesen sind. |
| Benachrichtigung 1 (Bereich 1) und Benachrichtigung 2 (Bereich 2) | Bereich 1 und Bereich 2 | Bereich 1 und Bereich 2 | Nutzer mit Bereich | Ja | Der Nutzer hat Zugriff auf alle Bereiche, die dem Fall zugewiesen sind. |
| Benachrichtigung 1 (Bereich 1) und Benachrichtigung 2 (Bereich 2) | Bereich 1 und Bereich 2 | Global | Globaler Nutzer | Ja | Globale Nutzer umgehen die Bereichsfilterung und können alle Fälle sehen. |
| Benachrichtigung 1 (globaler Bereich) | Global | Global | Globaler Nutzer | Ja | Globale Nutzer umgehen die Bereichsfilterung und können alle Fälle sehen. |
| Benachrichtigung 1 (Bereich 1) und Benachrichtigung 2 (globaler Bereich) | Global | Bereich 1 | Nutzer mit Bereich | Nein | Fälle mit globalem Bereich sind auf globale Nutzer beschränkt. |
| Benachrichtigung 1 (Bereich 1) und Benachrichtigung 2 (globaler Bereich) | Global | Global | Globaler Nutzer | Ja | Globale Nutzer umgehen die Bereichsfilterung und können alle Fälle sehen. |
| Benachrichtigung 1 (globaler Bereich) | Global | Bereich 1 | Nutzer mit Bereich | Nein | Fälle mit globalem Bereich sind auf globale Nutzer beschränkt. |
Regeln für die Fallgruppierung und den Bereich von Entitäten
- Gruppierung nach Umgebung: Benachrichtigungen können nur dann in einem Fall gruppiert werden, wenn sie aufgrund ihrer zugeordneten Bereiche an die gleiche Umgebung weitergeleitet werden.
- Bereichsakkumulation: Wenn Benachrichtigungen mit unterschiedlichen Bereichen derselben Umgebung zugeordnet werden und in einem Fall gruppiert werden, übernimmt der Fall alle diese Bereiche.
- Auswirkungen von Benachrichtigungen ohne Bereich: Wenn eine Benachrichtigung ohne Bereich in der Fallback-Umgebung mit einer Benachrichtigung mit Bereich gruppiert wird, übernimmt der Fall den globalen Bereich und ist nur für globale Nutzer sichtbar.
- Bereich für eindeutige Entitäten: Eine eindeutige Entität übernimmt die Bereiche aller Benachrichtigungen, in denen sie vorkommt.
- Bereich für beteiligte Entitäten: Beteiligte Entitäten übernehmen nur den Bereich der übergeordneten Benachrichtigung.
Zuordnungen von Bereich zu Umgebung ändern
Wenn Sie eine Bereichszuordnung ändern oder entfernen, hängen die Auswirkungen davon ab, ob die Benachrichtigungen und Fälle neu oder bereits vorhanden sind.
- Bereich verschieben: Zuordnung eines Bereichs von Umgebung A zu Umgebung B ändern:
- Neue Benachrichtigungen und Fälle: Werden an Umgebung B weitergeleitet.
- Vorhandene Benachrichtigungen und Fälle: Bleiben in Umgebung A. Nutzer können darauf zugreifen, wenn sie Berechtigungen für Umgebung A und den zugewiesenen Bereich haben.
- Bereichszuordnung entfernen: Zuordnung eines Bereichs zu einer Umgebung aufheben:
- Neue Benachrichtigungen und Fälle: Werden an die Fallback-Umgebung weitergeleitet. Nur für globale Nutzer und Nutzer mit Zugriff auf die Fallback-Umgebung sichtbar.
- Vorhandene Benachrichtigungen und Fälle: Bleiben in ihrer ursprünglichen Umgebung, sind aber nur für globale Nutzer sichtbar, da der Bereich nicht mehr zugeordnet ist.
Manuelle und Überlauf-Fälle verarbeiten
In diesem Abschnitt wird beschrieben, wie Sie Fälle verwalten, die manuell erstellt wurden oder durch einen Benachrichtigungsüberlauf entstehen.
Manuelle Fälle erstellen
- Klicken Sie auf dem Tab Fälle auf Manuellen Fall erstellen.
- Wählen Sie die Ziel-Umgebung aus.
- Wählen Sie einen Datenzugriffsbereich aus. In der Liste werden Bereiche angezeigt, die sowohl der Umgebung zugeordnet als auch Ihrem Nutzerkonto zugewiesen sind.
- Wenn keine überlappenden Bereiche vorhanden sind, ist die Liste leer und Sie können den Fall nicht senden.
- Globale Nutzer können jeden Bereich auswählen, der der Umgebung zugeordnet ist.
- Geben Sie die Falldetails ein und klicken Sie auf Senden. Der Fall und die manuelle Benachrichtigung übernehmen den ausgewählten Bereich.
Überlauf-Fälle
Überlauf-Fälle gruppieren Benachrichtigungen über mehrere Bereiche hinweg, ohne dem Modell der gemeinsamen Entität zu folgen. Ihnen wird der globale Bereich zugewiesen und sie sind nur für globale Nutzer sichtbar.
Bereiche auf der Seite „Fälle“ finden
Sie können die einem Fall zugewiesenen Datenzugriffsbereiche an mehreren Stellen in der Google SecOps-Benutzeroberfläche sehen.
Fallheader
Zugewiesene Bereiche werden als schreibgeschützte Labels neben dem Feld Umgebung angezeigt. Bewegen Sie den Mauszeiger über den Bereich, um die vollständige Liste zu sehen.
Tabelle „Fälle auflisten“
Sie können die Bereiche auch direkt in der Tabelle „Fälle auflisten“ sehen:
- In der Tabelle „Fälle auflisten“ ist die Spalte Datenzugriffsbereiche verfügbar.
- In dieser Spalte werden die dem Fall zugewiesenen Bereiche angezeigt (kommagetrennt, wenn mehrere vorhanden sind).
- Sie können Ihre Warteschlange filtern, indem Sie die Namen der Bereiche in den Textfilter der Spalte eingeben.
Bereichslöschungen verarbeiten
In diesem Abschnitt wird erläutert, was mit vorhandenen Fällen und Benachrichtigungen passiert, wenn ein Datenzugriffsbereich auf der SIEM-Seite der Plattform gelöscht wird.
Wenn ein Administrator einen Datenzugriffsbereich unter SIEM-Einstellungen > Datenzugriff löscht:
- Die Zuordnung des Bereichs zu einer SOAR-Umgebung wird automatisch aufgehoben.
- Durchsetzung des Zugriffs: Da der Bereich aus der SIEM-Komponente und Cloud IAM gelöscht wurde, können nur globale Nutzer (oder Nutzer, die noch den Anspruch auf das im Cache gespeicherte Token haben) auf diese alten Fälle und Benachrichtigungen zugreifen.
Fehlerbehebung
In diesem Abschnitt werden die Leistungserwartungen beschrieben und Self-Service-Lösungen für häufige Bereitstellungsprobleme bereitgestellt.
Latenz und Limits
Es kann bis zu 30 Sekunden dauern, bis Änderungen an Zuordnungen von Bereich zu Umgebung oder die erste Aktivierung wirksam werden.
Überprüfung und Tests
Um Ihre Konfiguration zu überprüfen, testen Sie den Zugriff auf Fälle und Benachrichtigungen mit Nutzerkonten mit unterschiedlichen Berechtigungen für Bereiche und Umgebungen. Prüfen Sie, ob Nutzer nur die Daten sehen können, für die sie autorisiert sind.
Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten