Zugriff auf 1P-Anfragen und ‑Benachrichtigungen steuern
Dieser Leitfaden richtet sich an Google SecOps-Administratoren und Sicherheitsanalysten, die den Zugriff auf 1P-Vorgänge und ‑Benachrichtigungen mithilfe der datenrollenbasierten Zugriffssteuerung (Role-Based Access Control, RBAC) steuern möchten. Darin wird beschrieben, wie Sie Datenzugriffsbereiche auf der SIEM-Seite der Plattform konfigurieren und SOAR-Umgebungen zuordnen, damit Nutzer nur Benachrichtigungen und Fälle sehen können, die aus Daten abgeleitet wurden, auf die sie Zugriff haben. Mit dieser Methode können Sie Data-Governance-Richtlinien durchsetzen und die Sicherheit verbessern. Nach erfolgreichem Abschluss können Organisationen die Datensichtbarkeit basierend auf Rollen und Verantwortlichkeiten einschränken, was die Compliance verbessert und das Risiko von Datenpannen verringert.
Schlüsselterminologie
In diesem Leitfaden werden die folgenden Begriffe verwendet, um Konzepte und Komponenten der rollenbasierten Zugriffssteuerung für Daten zu beschreiben.
- Erstanbieterwarnungen: Erkennungen, die von der Google SecOps SIEM-Erkennungs-Engine generiert werden, z. B. Regeln, Übereinstimmungen mit Threat Intelligence oder Sicherheitsanalysen. Wenn diese SIEM-Erkennungen über den Google SecOps-Connector in die SOAR-Komponente aufgenommen werden, bilden sie 1P-Benachrichtigungen und werden in 1P-Supportanfragen gruppiert.
- Drittanbieterbenachrichtigungen: Benachrichtigungen, die über separate SOAR-Integrationen direkt aus externen Sicherheitstools (z. B. Drittanbieterfirewalls oder Endpunkterkennungs-Agents) in die SOAR-Komponente aufgenommen werden. Diese Benachrichtigungen umgehen die SIEM-Erkennungs-Engine und unterliegen nicht den SIEM-Datenzugriffsbereichen.
Bei 1P-Benachrichtigungen überträgt Google SecOps die zugehörigen Datenbereiche der zugrunde liegenden Ereignisse an die SOAR-Komponente. Durch diese Weitergabe können Analysten Benachrichtigungen und die zugehörigen Fälle nur dann sehen, wenn sie Zugriff auf die Datenbereiche der zugrunde liegenden Ereignisse haben. So könnte beispielsweise ein Finanznutzer Zugriff auf die in Google SecOps aufgenommenen Finanzdaten, aber nicht auf die Kundenkontaktdaten erhalten. Der Finanznutzer kann nur die Benachrichtigungen und Fälle sehen, die mit den Finanzdaten verknüpft sind, nicht aber die Benachrichtigungen oder Fälle, die mit den Kundendaten verknüpft sind.
Hinweis
Bevor Sie die rollenbasierte Zugriffssteuerung für Daten für 1P-Fälle und ‑Benachrichtigungen konfigurieren, müssen die folgenden Anforderungen erfüllt sein:
- Ihre Google SecOps-Instanz muss einheitlich sein (SIEM und SOAR aktiviert).
- Verhalten bei mehreren SIEM-Instanzen: Wenn mehrere SIEM-Instanzen mit einer einzelnen SOAR-Instanz verbunden sind, gelten die Weitergabe und Erzwingung von Bereichen nur für die primäre SIEM-Instanz. Bereiche aus sekundären SIEM-Instanzen werden auf der SOAR-Seite ignoriert und diese Benachrichtigungen sind für jeden Nutzer mit Zugriff auf die zugewiesene Umgebung in SOAR sichtbar.
- Chronicle-Connector: Der Chronicle-Connector, der die SIEM-Komponente mit der SOAR-Komponente verbindet, verwendet die moderne Chronicle API. Achten Sie darauf, dass der Connector von der Legacy-Backstory API auf die Chronicle API aktualisiert wurde, bevor Sie diese Funktion aktivieren. Weitere Informationen finden Sie unter Auf die Chronicle API umstellen.
Daten-RBAC für selbst erhobene Benachrichtigungen und Fälle aktivieren
Google SecOps-Administratoren (Rolle „Chronicle API Admin“ in Google Cloud IAM) können die Daten-RBAC für 1P-Benachrichtigungen und ‑Fälle in ihrer Instanz aktivieren. Es gibt zwei Szenarien:
Szenario A: Der SIEM-Datenzugriff wird bereits erzwungen
Wenn in der SIEM-Komponente bereits Datenzugriffssteuerungen aktiv sind, gehen Sie so vor, um die Durchsetzung auf 1P-Benachrichtigungen und ‑Supportanfragen in der SOAR-Komponente auszuweiten:
- Melden Sie sich in Google SecOps an.
- Prüfen Sie, ob Ihre Bereiche unter SIEM Settings > Data Access (SIEM-Einstellungen > Datenzugriff) richtig konfiguriert sind.
- Weisen Sie Nutzern Datenbereiche in der Google Cloud Console mit Google Cloud IAM zu.
- Klicken Sie in Google SecOps auf SIEM Settings > Data Access (SIEM-Einstellungen > Datenzugriff) und dann auf Enable Data Access in SOAR (Datenzugriff in SOAR aktivieren).
- Ordnen Sie Ihre SIEM-Bereiche SOAR-Umgebungen zu, wie unter Bereiche Umgebungen zuordnen beschrieben.
Der Datenzugriff wird jetzt für selbst erhobene Benachrichtigungen und Fälle in der SOAR-Komponente erzwungen. Dies gilt für alle neuen Benachrichtigungen und Fälle sowie für bestehende, die nach der ursprünglichen Durchsetzung des SIEM-Datenzugriffs erstellt wurden.
Szenario B: SIEM-Datenzugriff wird NOCH NICHT erzwungen
Wenn Sie die Datenzugriffssteuerung in SIEM noch nicht aktiviert haben, wird die Erzwingung gleichzeitig für SIEM und SOAR aktiviert.
- Melden Sie sich in Google SecOps an.
- Prüfen Sie, ob Ihre Bereiche unter SIEM Settings > Data Access (SIEM-Einstellungen > Datenzugriff) richtig konfiguriert sind.
- Weisen Sie Nutzern Datenbereiche in der Google Cloud Console mit Google Cloud IAM zu.
- Klicken Sie in Google SecOps auf SIEM Settings > Data Access (SIEM-Einstellungen > Datenzugriff) und dann auf Enforce Data Access (Datenzugriff erzwingen).
- Ordnen Sie Ihre SIEM-Bereiche SOAR-Umgebungen zu, wie unter Bereiche Umgebungen zuordnen beschrieben.
Der Datenzugriff wird jetzt in der SIEM-Komponente und für neue selbst erhobene Benachrichtigungen und Fälle in der SOAR-Komponente erzwungen.
Bereiche Umgebungen zuordnen
Um SIEM-Datenbereiche mit SOAR zu verknüpfen, ordnen Sie Ihre SIEM-Datenzugriffsbereiche SOAR-Umgebungen zu.
- Rufen Sie die Seite „Umgebungskonfiguration“ unter SOAR-Einstellungen > Umgebungen auf.
- Wählen Sie eine vorhandene Umgebung aus, die Sie ändern möchten, oder klicken Sie auf Umgebung hinzufügen.
- Verknüpfen Sie Bereiche, indem Sie SIEM-Bereiche mit dieser Umgebung verknüpfen.
- Suchen Sie das Feld Bereiche für den Datenzugriff und wählen Sie die erforderlichen SIEM-Bereiche aus.
- Zuordnungsregeln:
- Ein Bereich kann nur einer Umgebung zugeordnet werden.
- Mehrere Bereiche können einer einzelnen Umgebung zugeordnet werden.
- Klicken Sie auf Speichern, um die Zuordnung von Bereich zu Umgebung anzuwenden.
Umgebungs-Fallback-Zuordnung
Wenn die Zuordnung von Bereich zu Umgebung konfiguriert ist, werden SIEM-Benachrichtigungen mit einem zugeordneten Bereich automatisch der zugehörigen SOAR-Umgebung zugewiesen. Dadurch werden die Umgebungseinstellungen im Chronicle-Connector überschrieben.
Wenn eine SIEM-Benachrichtigung nicht auf einen Bereich beschränkt ist (global) oder ihr Bereich nicht einer Umgebung zugeordnet ist, wird sie an die Fallback-Umgebung weitergeleitet. Die Fallback-Umgebung wird durch die Einstellung Environment oder Environment Field Name im Chronicle-Connector definiert.
Zugriffsauswertung
In diesem Abschnitt wird beschrieben, wie Google SecOps den Nutzerzugriff auf Fälle und Benachrichtigungen auf Grundlage zugewiesener Bereiche und Umgebungen bewertet. Um einen 1P-Fall oder eine 1P-Benachrichtigung aufzurufen, muss ein Nutzer sowohl die Umgebungs- als auch die Bereichsberechtigungen erfüllen.
Logik für die Weitergabe von Bereichen
- Umfang von Warnungen: Eine aufgenommene Warnung enthält den Datenzugriffsbereich, der ihr von den Google SecOps SIEM-Erkennungsregeln zugewiesen wurde.
- Fallbereich: Ein Fall übernimmt automatisch die Vereinigung aller Bereiche der zugehörigen Benachrichtigungen. Wenn in einer Anfrage beispielsweise Benachrichtigung 1 (Bereich A) und Benachrichtigung 2 (Bereich B) gruppiert werden, erbt die Anfrage sowohl Bereich A als auch Bereich B.
Zugriffsregeln
Um auf eine Ressource (Fall oder Benachrichtigung) zuzugreifen, muss ein Nutzer Folgendes haben:
- Zugriff auf die der Ressource zugewiesene SOAR-Umgebung.
- Zugriff auf alle Datenzugriffsbereiche, die der Ressource zugewiesen sind.
Bewertungsszenarien
In der folgenden Tabelle sehen Sie, wie der Nutzerzugriff in verschiedenen Szenarien bewertet wird:
| Benachrichtigungen zu Fällen | Fallbereiche | Vom Nutzer zugewiesene Bereiche | Zugriffsebene des Nutzers | Wurde Zugriff auf den Fall und die zugehörigen Benachrichtigungen gewährt? | Begründung |
|---|---|---|---|---|---|
| Benachrichtigung 1 (Sektor 1) | Bereich 1 | Bereich 1 | Nutzer mit eingeschränkten Berechtigungen | Ja | Der Nutzer hat Zugriff auf den einzelnen Zugriffsbereich, der dem Fall zugewiesen ist. |
| Warnung 1 (Scope 1) und Warnung 2 (Scope 2) | Scope 1 und Scope 2 | Bereich 1 | Nutzer mit eingeschränkten Berechtigungen | Nein | Dem Nutzer fehlt Bereich 2. Er muss Zugriff auf alle Bereiche haben, die dem Fall zugewiesen sind. |
| Warnung 1 (Scope 1) und Warnung 2 (Scope 2) | Scope 1 und Scope 2 | Scope 1 und Scope 2 | Nutzer mit eingeschränkten Berechtigungen | Ja | Der Nutzer hat Zugriff auf alle Bereiche, die dem Fall zugewiesen sind. |
| Warnung 1 (Scope 1) und Warnung 2 (Scope 2) | Scope 1 und Scope 2 | Global | Globaler Nutzer | Ja | Globale Nutzer umgehen die Bereichsfilterung und können alle Fälle sehen. |
| Benachrichtigung 1 (globaler Bereich) | Global | Global | Globaler Nutzer | Ja | Globale Nutzer umgehen die Bereichsfilterung und können alle Fälle sehen. |
| Warnung 1 (Scope 1) und Warnung 2 (globaler Geltungsbereich) | Global | Bereich 1 | Nutzer mit eingeschränkten Berechtigungen | Nein | Fälle mit globalem Umfang sind auf globale Nutzer beschränkt. |
| Warnung 1 (Scope 1) und Warnung 2 (globaler Geltungsbereich) | Global | Global | Globaler Nutzer | Ja | Globale Nutzer umgehen die Bereichsfilterung und können alle Fälle sehen. |
| Benachrichtigung 1 (globaler Bereich) | Global | Bereich 1 | Nutzer mit eingeschränkten Berechtigungen | Nein | Fälle mit globalem Umfang sind auf globale Nutzer beschränkt. |
Regeln für die Fallgruppierung und den Entitätsbereich
- Gruppierung nach Umgebung: Warnungen können nur in einem Fall gruppiert werden, wenn sie aufgrund der zugeordneten Bereiche an dieselbe Umgebung weitergeleitet werden.
- Umfang kumulieren: Wenn Warnungen mit unterschiedlichen Umfängen derselben Umgebung zugeordnet und in einem Fall gruppiert werden, erbt der Fall alle diese Umfänge.
- Auswirkungen von Warnungen ohne Bereich: Wenn eine Warnung ohne Bereich in der Fallback-Umgebung mit einer Warnung mit Bereich gruppiert wird, erbt der Fall den globalen Bereich und ist nur für globale Nutzer sichtbar.
- Bereich für eindeutige Entitäten: Eine eindeutige Entität übernimmt die Bereiche aller Benachrichtigungen, in denen sie vorkommt.
- Bereich der beteiligten Einheiten: Beteiligte Einheiten übernehmen nur den Bereich der übergeordneten Benachrichtigung.
Bereichs-Umgebungs-Zuordnungen ändern
Wenn Sie eine Bereichszuordnung ändern oder entfernen, hängt die Auswirkung davon ab, ob die Benachrichtigungen und Fälle neu oder bereits vorhanden sind.
- Bereich verschieben: Die Zuordnung eines Bereichs von Umgebung A zu Umgebung B ändern:
- Neue Benachrichtigungen und Fälle: Werden an Umgebung B weitergeleitet.
- Vorhandene Benachrichtigungen und Anfragen: Sie verbleiben in Umgebung A. Nutzer können darauf zugreifen, wenn sie Berechtigungen für Umgebung A und den zugewiesenen Bereich haben.
- Bereichszuordnung entfernen: So heben Sie die Zuordnung eines Bereichs zu einer Umgebung auf:
- Neue Benachrichtigungen und Fälle: Werden an die Fallback-Umgebung weitergeleitet. Nur für globale Nutzer und Nutzer mit Zugriff auf die Fallback-Umgebung sichtbar.
- Bestehende Benachrichtigungen und Fälle: Sie verbleiben in ihrer ursprünglichen Umgebung, sind aber nur für globale Nutzer sichtbar, da der Bereich nicht mehr zugeordnet ist.
Manuelle Fälle und Fälle mit Überlauf bearbeiten
In diesem Abschnitt wird beschrieben, wie Sie manuell erstellte Fälle oder Fälle, die durch Alert-Overflow entstehen, verwalten.
Manuelle Fälle erstellen
- Klicken Sie auf dem Tab Fälle auf Manuellen Fall erstellen.
- Wählen Sie die Ziel-Umgebung aus.
- Wählen Sie einen Datenzugriffsbereich aus. In der Liste werden Bereiche angezeigt, die sowohl der Umgebung zugeordnet als auch Ihrem Nutzerkonto zugewiesen sind.
- Wenn keine sich überschneidenden Bereiche vorhanden sind, ist die Liste leer und Sie können den Fall nicht einreichen.
- Globale Nutzer können einen beliebigen Bereich auswählen, der der Umgebung zugeordnet ist.
- Gib die Falldetails ein und klicke auf Senden. Die Anfrage und die manuelle Benachrichtigung übernehmen den ausgewählten Umfang.
Überlaufanfragen
In Überlauf-Fällen werden Benachrichtigungen aus mehreren Bereichen gruppiert, ohne dem Modell für gemeinsame Entitäten zu folgen. Ihnen wird der globale Bereich zugewiesen und sie sind nur für globale Nutzer sichtbar.
Bereiche auf der Seite „Fälle“ finden
Sie können die einem Fall zugewiesenen Datenzugriffsbereiche an mehreren Stellen in der Google SecOps-Benutzeroberfläche aufrufen.
Kopfzeile des Falls
Zugewiesene Bereiche werden als schreibgeschützte Labels neben dem Feld Umgebung angezeigt. Bewegen Sie den Mauszeiger über den Bereich, um die vollständige Liste aufzurufen.
Tabelle „Supportanfragen auflisten“
Sie können die Bereiche auch direkt in der Tabelle „Fälle auflisten“ aufrufen:
- In der Tabelle „Fälle auflisten“ ist eine Spalte Datenzugriffsbereiche verfügbar.
- In dieser Spalte werden die dem Fall zugewiesenen Zugriffsbereiche angezeigt (kommagetrennt, falls mehrere).
- Sie können Ihre Warteschlange filtern, indem Sie den oder die Bereichsnamen in den Textfilter der Spalte eingeben.
Umgang mit gelöschten Bereichen
In diesem Abschnitt wird beschrieben, was mit vorhandenen Fällen und Benachrichtigungen passiert, wenn ein Datenzugriffsbereich auf der SIEM-Seite der Plattform gelöscht wird.
Wenn ein Administrator einen Datenzugriffsbereich unter SIEM-Einstellungen > Datenzugriff löscht:
- Die Zuordnung des Bereichs zu einer SOAR-Umgebung wird automatisch aufgehoben.
- Zugriffsdurchsetzung: Da der Bereich aus der SIEM-Komponente und Cloud IAM gelöscht wird, können nur globale Nutzer (oder Nutzer, die den zwischengespeicherten Tokenanspruch noch haben) auf diese alten Fälle und Benachrichtigungen zugreifen.
Fehlerbehebung
In diesem Abschnitt werden die Leistungserwartungen beschrieben und Self-Service-Lösungen für häufige Bereitstellungsprobleme bereitgestellt.
Latenz und Limits
Es kann bis zu 30 Sekunden dauern, bis Änderungen an Zuordnungen von Bereichen zu Umgebungen oder die erstmalige Aktivierung wirksam werden.
Validierung und Tests
Um Ihre Konfiguration zu validieren, testen Sie den Zugriff auf Fälle und Benachrichtigungen mit Nutzerkonten mit unterschiedlichen Berechtigungen für Bereiche und Umgebungen. Prüfen Sie, ob Nutzer nur die Daten sehen können, für die sie autorisiert sind.
Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten