Zugriff auf 1P-Anfragen und ‑Benachrichtigungen steuern

Unterstützt in:

Dieser Leitfaden richtet sich an Google SecOps-Administratoren und Sicherheitsanalysten, die den Zugriff auf eigene (1P) Fälle und Benachrichtigungen mithilfe der datenrollenbasierten Zugriffssteuerung (RBAC) steuern möchten. Es wird erläutert, wie Sie Datenzugriffsbereiche auf der SIEM-Seite der Plattform konfigurieren und SOAR-Umgebungen zuordnen, damit Nutzer nur Benachrichtigungen und Fälle sehen, die aus Daten abgeleitet wurden, auf die sie zugreifen dürfen. Mit dieser Methode können Sie Data Governance-Richtlinien durchsetzen und erweiterte Sicherheitsfunktionen nutzen. Nach erfolgreichem Abschluss können Unternehmen die Datensichtbarkeit basierend auf Rollen und Verantwortlichkeiten einschränken, was die Compliance verbessert und das Risiko der Offenlegung von Daten verringert.

Schlüsselterminologie

In diesem Leitfaden werden die folgenden Begriffe verwendet, um Konzepte und Komponenten der rollenbasierten Zugriffssteuerung für Daten zu beschreiben.

  • Eigene Warnungen: Erkennungen, die von der Google SecOps SIEM-Erkennungs-Engine generiert werden, z. B. Regeln, Übereinstimmungen mit Threat Intelligence oder Sicherheitsanalysen. Wenn diese SIEM-Erkennungen mithilfe des Google SecOps-Connectors in die SOAR-Komponente aufgenommen werden, bilden sie 1P-Benachrichtigungen und werden in 1P-Supportanfragen gruppiert.
  • Benachrichtigungen von Drittanbietern: Benachrichtigungen, die über separate SOAR-Integrationen direkt aus externen Sicherheitstools (z. B. Firewalls von Drittanbietern oder Agents zur Endpunkterkennung) in die SOAR-Komponente aufgenommen werden. Diese Benachrichtigungen umgehen die SIEM-Erkennungs-Engine und unterliegen nicht den SIEM-Datenzugriffsbereichen.

Bei selbst erhobenen Benachrichtigungen gibt Google SecOps die zugehörigen Datenbereiche der zugrunde liegenden Ereignisse an die SOAR-Komponente weiter. Durch diese Weitergabe können Analysten Benachrichtigungen und die zugehörigen Fälle nur dann sehen, wenn sie Zugriff auf die Datenbereiche der zugrunde liegenden Ereignisse haben. So könnte beispielsweise ein Finanznutzer Zugriff auf die in Google SecOps aufgenommenen Finanzdaten, aber nicht auf die Kundenkontaktdaten erhalten. Der Finanznutzer kann nur die Benachrichtigungen und Fälle sehen, die mit den Finanzdaten verknüpft sind, und keine Benachrichtigungen oder Fälle, die mit den Kundendaten verknüpft sind.

Hinweis

Bevor Sie die RBAC für Daten für Fälle und Benachrichtigungen von Erstanbietern konfigurieren, müssen die folgenden Anforderungen erfüllt sein:

  • Ihre Google SecOps-Instanz muss einheitlich sein (SIEM und SOAR aktiviert).
  • Verhalten bei mehreren SIEM-Instanzen: Wenn mehrere SIEM-Instanzen mit einer einzelnen SOAR-Instanz verbunden sind, gelten die Weitergabe und Erzwingung von Bereichen nur für die primäre SIEM-Instanz. Bereiche aus sekundären SIEM-Instanzen werden auf der SOAR-Seite ignoriert und diese Benachrichtigungen sind für alle Nutzer sichtbar, die Zugriff auf ihre zugewiesene Umgebung in SOAR haben.
  • Chronicle-Connector: Der Chronicle-Connector, der die SIEM-Komponente mit der SOAR-Komponente verbindet, verwendet die moderne Chronicle API. Achten Sie darauf, dass der Connector von der Legacy-Backstory API auf die Chronicle API aktualisiert wurde, bevor Sie diese Funktion aktivieren. Weitere Informationen finden Sie unter Auf die Chronicle API umstellen.

Daten-RBAC für selbst erhobene Benachrichtigungen und Fälle aktivieren

Google SecOps-Administratoren (Rolle „Chronicle API Admin“ in Google Cloud IAM) können die Daten-RBAC für 1P-Benachrichtigungen und ‑Fälle in ihrer Instanz aktivieren. Es gibt zwei Szenarien:

Szenario A: Der Zugriff auf SIEM-Daten wird bereits erzwungen

Wenn die Datenzugriffssteuerung bereits in der SIEM-Komponente aktiv ist, gehen Sie so vor, um die Durchsetzung auf Benachrichtigungen und Fälle von Erstanbietern in der SOAR-Komponente auszuweiten:

  1. Melden Sie sich in Google SecOps an.
  2. Prüfen Sie, ob Ihre Bereiche unter SIEM-Einstellungen > Datenzugriff richtig konfiguriert sind.
  3. Weisen Sie Nutzern Datenbereiche in der Google Cloud -Konsole mit Google Cloud IAM zu.
  4. Gehen Sie in Google SecOps zu SIEM-Einstellungen > Datenzugriff und klicken Sie auf Datenzugriff in SOAR aktivieren.
  5. Ordnen Sie Ihre SIEM-Bereiche SOAR-Umgebungen zu, wie unter Bereiche Umgebungen zuordnen beschrieben.

Der Datenzugriff wird jetzt für selbst erhobene Benachrichtigungen und Fälle in der SOAR-Komponente erzwungen. Dies gilt für alle neuen Benachrichtigungen und Fälle sowie für bestehende, die nach der ersten Durchsetzung des SIEM-Datenzugriffs erstellt wurden.

Szenario B: Der SIEM-Datenzugriff wird NOCH NICHT erzwungen

Wenn Sie die Datenzugriffssteuerung in SIEM noch nicht aktiviert haben, wird die Erzwingung gleichzeitig für SIEM und SOAR aktiviert.

  1. Melden Sie sich in Google SecOps an.
  2. Prüfen Sie, ob Ihre Bereiche unter SIEM Settings > Data Access (SIEM-Einstellungen > Datenzugriff) richtig konfiguriert sind.
  3. Weisen Sie Nutzern Datenbereiche in der Google Cloud -Konsole mit Google Cloud IAM zu.
  4. Rufen Sie in Google SecOps SIEM Settings > Data Access auf und klicken Sie auf Enforce Data Access.
  5. Ordnen Sie Ihre SIEM-Bereiche SOAR-Umgebungen zu, wie unter Bereiche Umgebungen zuordnen beschrieben.

Der Datenzugriff wird jetzt in der SIEM-Komponente und für neue selbst erhobene Benachrichtigungen und Fälle in der SOAR-Komponente erzwungen.

Bereiche Umgebungen zuordnen

Wenn Sie SIEM-Datenbereiche mit SOAR verknüpfen möchten, müssen Sie Ihre SIEM-Datenzugriffsbereiche SOAR-Umgebungen zuordnen.

  1. Rufen Sie SOAR-Einstellungen > Umgebungen auf, um die Seite für die Umgebungskonfiguration aufzurufen.
  2. Wählen Sie eine vorhandene Umgebung aus, um sie zu ändern, oder klicken Sie auf Umgebung hinzufügen.
  3. Verknüpfen Sie SIEM-Bereiche mit dieser Umgebung, um Bereiche zuzuordnen.
    • Suchen Sie das Feld Bereiche für den Datenzugriff und wählen Sie die erforderlichen SIEM-Bereiche aus.
    • Zuordnungsregeln:
      • Ein Bereich kann nur einer Umgebung zugeordnet werden.
      • Mehrere Bereiche können einer einzelnen Umgebung zugeordnet werden.
  4. Klicken Sie auf Speichern, um die Zuordnung von Bereich zu Umgebung anzuwenden.

Umgebungs-Fallback-Zuordnung

Wenn die Zuordnung von Bereich zu Umgebung konfiguriert ist, werden SIEM-Benachrichtigungen mit einem zugeordneten Bereich automatisch der zugehörigen SOAR-Umgebung zugewiesen. Dadurch werden die Umgebungseinstellungen im Chronicle-Connector überschrieben.

Wenn eine SIEM-Benachrichtigung nicht auf einen Bereich beschränkt ist (global) oder ihr Bereich nicht einer Umgebung zugeordnet ist, wird sie an die Fallback-Umgebung weitergeleitet. Die Fallback-Umgebung wird durch die Einstellung Environment oder Environment Field Name im Chronicle-Connector definiert.

Zugriffsbewertung

In diesem Abschnitt wird beschrieben, wie Google SecOps den Nutzerzugriff auf Fälle und Benachrichtigungen auf Grundlage zugewiesener Bereiche und Umgebungen bewertet. Damit ein Nutzer eine 1P-Anfrage oder ‑Benachrichtigung aufrufen kann, muss er sowohl die Berechtigungen für die Umgebung als auch für den Umfang erfüllen.

Logik für die Weitergabe von Bereichen

  • Benachrichtigungsbereich: Eine aufgenommene Benachrichtigung enthält den Datenzugriffsbereich, der ihr von den Google SecOps SIEM-Erkennungsregeln zugewiesen wurde.
  • Fallumfang: Ein Fall übernimmt automatisch die Vereinigung aller Bereiche der zugehörigen Benachrichtigungen. Wenn ein Fall beispielsweise Benachrichtigung 1 (Bereich A) und Benachrichtigung 2 (Bereich B) gruppiert, übernimmt der Fall sowohl Bereich A als auch Bereich B.

Zugriffsregeln

Um auf eine Ressource (Fall oder Benachrichtigung) zuzugreifen, muss ein Nutzer Folgendes haben:

  1. Zugriff auf die SOAR-Umgebung, die der Ressource zugewiesen ist.
  2. Zugriff auf alle Datenzugriffsbereiche, die der Ressource zugewiesen sind.

Bewertungsszenarien

In der folgenden Tabelle sehen Sie, wie der Nutzerzugriff in verschiedenen Szenarien bewertet wird:

Benachrichtigungen zu Fällen Fallbereiche Vom Nutzer zugewiesene Bereiche Zugriffsebene des Nutzers Zugriff auf Fall und zugehörige Benachrichtigungen gewährt? Begründung
Benachrichtigung 1 (Scope-1-Emissionen) Bereich 1 Bereich 1 Nutzer mit eingeschränkten Berechtigungen Ja Der Nutzer hat Zugriff auf den einzelnen Bereich, der dem Fall zugewiesen ist.
Warnung 1 (Scope-1-Emissionen) und Warnung 2 (Scope-2-Emissionen) Scope 1 und Scope 2 Bereich 1 Nutzer mit eingeschränkten Berechtigungen Nein Dem Nutzer fehlt Scope 2. Er muss Zugriff auf alle dem Fall zugewiesenen Scopes haben.
Warnung 1 (Scope-1-Emissionen) und Warnung 2 (Scope-2-Emissionen) Scope 1 und Scope 2 Scope 1 und Scope 2 Nutzer mit eingeschränkten Berechtigungen Ja Der Nutzer hat Zugriff auf alle Bereiche, die dem Fall zugewiesen sind.
Warnung 1 (Scope-1-Emissionen) und Warnung 2 (Scope-2-Emissionen) Scope 1 und Scope 2 Global Globaler Nutzer Ja Globale Nutzer umgehen die Bereichsfilterung und können alle Fälle sehen.
Benachrichtigung 1 (globaler Bereich) Global Global Globaler Nutzer Ja Globale Nutzer umgehen die Bereichsfilterung und können alle Fälle sehen.
Warnung 1 (Bereich 1) und Warnung 2 (globaler Bereich) Global Bereich 1 Nutzer mit eingeschränkten Berechtigungen Nein Fälle mit globalem Umfang sind auf globale Nutzer beschränkt.
Warnung 1 (Bereich 1) und Warnung 2 (globaler Bereich) Global Global Globaler Nutzer Ja Globale Nutzer umgehen die Bereichsfilterung und können alle Fälle sehen.
Benachrichtigung 1 (globaler Bereich) Global Bereich 1 Nutzer mit eingeschränkten Berechtigungen Nein Fälle mit globalem Umfang sind auf globale Nutzer beschränkt.

Regeln für Fallgruppierung und Entitätsbereich

  • Gruppierung nach Umgebung: Warnungen können nur in einem Fall gruppiert werden, wenn sie aufgrund ihrer zugeordneten Bereiche an dieselbe Umgebung weitergeleitet werden.
  • Umfang kumulieren: Wenn Warnungen mit unterschiedlichen Umfängen derselben Umgebung zugeordnet und in einem Fall gruppiert werden, erbt der Fall alle diese Umfänge.
  • Auswirkungen von Warnungen ohne Bereich: Wenn eine Warnung ohne Bereich in der Fallback-Umgebung mit einer Warnung mit Bereich gruppiert wird, erhält der Fall den globalen Bereich und ist nur für globale Nutzer sichtbar.
  • Bereich für eindeutige Entitäten: Eine eindeutige Entität übernimmt die Bereiche aller Benachrichtigungen, in denen sie angezeigt wird.
  • Bereich der beteiligten Entitäten: Beteiligte Entitäten übernehmen nur den Bereich der übergeordneten Benachrichtigung.

Bereichs-Umgebungs-Zuordnungen ändern

Wenn Sie eine Bereichszuordnung ändern oder entfernen, hängt die Auswirkung davon ab, ob die Benachrichtigungen und Fälle neu oder bereits vorhanden sind.

  • Bereich verschieben: Die Zuordnung eines Bereichs von Umgebung A zu Umgebung B ändern:
    • Neue Benachrichtigungen und Fälle: Werden an Umgebung B weitergeleitet.
    • Vorhandene Benachrichtigungen und Anfragen: Sie verbleiben in Umgebung A. Nutzer können darauf zugreifen, wenn sie Berechtigungen für Umgebung A und den zugewiesenen Bereich haben.
  • Bereichszuordnung entfernen: Zuordnung eines Bereichs zu einer Umgebung aufheben:
    • News Alerts und Fälle: Werden an die Fallback-Umgebung weitergeleitet. Nur für globale Nutzer und Nutzer mit Zugriff auf die Fallback-Umgebung sichtbar.
    • Bestehende Benachrichtigungen und Fälle: Sie verbleiben in ihrer ursprünglichen Umgebung, sind aber nur für globale Nutzer sichtbar, da der Bereich nicht mehr zugeordnet ist.

Manuelle Fälle und Überlauffälle bearbeiten

In diesem Abschnitt wird beschrieben, wie Sie manuell erstellte Fälle oder Fälle, die durch Alert-Overflow entstehen, verwalten.

Manuelle Fälle erstellen

  1. Klicken Sie auf dem Tab Fälle auf Manuellen Fall erstellen.
  2. Wählen Sie die Zielumgebung aus.
  3. Wählen Sie einen Datenzugriffsbereich aus. In der Liste werden Bereiche angezeigt, die sowohl der Umgebung zugeordnet als auch Ihrem Nutzerkonto zugewiesen sind.
    • Wenn keine sich überschneidenden Bereiche vorhanden sind, ist die Liste leer und Sie können den Fall nicht einreichen.
    • Globale Nutzer können einen beliebigen Bereich auswählen, der der Umgebung zugeordnet ist.
  4. Geben Sie die Details zur Anfrage ein und klicken Sie auf Senden. Die Anfrage und die manuelle Benachrichtigung übernehmen den ausgewählten Umfang.

Überlaufanfragen

In Überlauffällen werden Benachrichtigungen über mehrere Bereiche hinweg gruppiert, ohne dem Modell der gemeinsamen Entität zu folgen. Ihnen wird der globale Bereich zugewiesen und sie sind nur für globale Nutzer sichtbar.

Bereiche auf der Seite „Fälle“ finden

Sie können die einem Fall zugewiesenen Datenzugriffsbereiche an verschiedenen Stellen in der Google SecOps-Benutzeroberfläche aufrufen.

Header der Supportanfrage

Zugewiesene Bereiche werden als schreibgeschützte Labels neben dem Feld Umgebung angezeigt. Bewegen Sie den Mauszeiger über den Bereich, um die vollständige Liste aufzurufen.

Tabelle mit Liste der Supportanfragen

Sie können die Bereiche auch direkt in der Tabelle „Vorgänge auflisten“ aufrufen:

  • In der Tabelle „Fälle auflisten“ ist die Spalte Datenzugriffsbereiche verfügbar.
  • In dieser Spalte werden die dem Fall zugewiesenen Zugriffsbereiche angezeigt (kommagetrennt, falls mehrere).
  • Sie können Ihre Warteschlange filtern, indem Sie den oder die Bereichsnamen in den Textfilter der Spalte eingeben.

Umgang mit gelöschten Bereichen

In diesem Abschnitt wird beschrieben, was mit vorhandenen Fällen und Benachrichtigungen passiert, wenn ein Datenzugriffsbereich auf der SIEM-Seite der Plattform gelöscht wird.

Wenn ein Administrator einen Datenzugriffsbereich unter SIEM-Einstellungen > Datenzugriff löscht:

  1. Der Bereich wird automatisch aus jeder SOAR-Umgebung entfernt.
  2. Zugriffserzwingung: Da der Bereich aus der SIEM-Komponente und Cloud IAM gelöscht wurde, können nur globale Nutzer (oder Nutzer, die noch den im Cache gespeicherten Token-Anspruch haben) auf diese historischen Fälle und Benachrichtigungen zugreifen.

Fehlerbehebung

In diesem Abschnitt werden die Leistungserwartungen beschrieben und Self-Service-Lösungen für häufige Bereitstellungsprobleme bereitgestellt.

Latenz und Limits

Es kann bis zu 30 Sekunden dauern, bis Änderungen an den Zuordnungen von Bereichen zu Umgebungen oder die erstmalige Aktivierung wirksam werden.

Validierung und Tests

Um Ihre Konfiguration zu validieren, testen Sie den Zugriff auf Fälle und Benachrichtigungen mit Nutzerkonten mit unterschiedlichen Berechtigungen für Bereiche und Umgebungen. Prüfen Sie, ob Nutzer nur die Daten sehen können, für die sie autorisiert sind.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten