Auswirkungen von Daten-RBAC auf Funktionen – Übersicht

Unterstützt in:

Die rollenbasierte Zugriffssteuerung für Daten (Data RBAC) ist ein Sicherheitsmodell, das den Nutzerzugriff auf Daten basierend auf den einzelnen Nutzerrollen innerhalb einer Organisation einschränkt. Nachdem die RBAC für Daten in einer Umgebung konfiguriert wurde, werden in den Google Security Operations-Funktionen gefilterte Daten angezeigt. Die Daten-RBAC steuert den Nutzerzugriff gemäß den zugewiesenen Bereichen und sorgt dafür, dass Nutzer nur auf autorisierte Informationen zugreifen können. Auf dieser Seite erhalten Sie einen Überblick darüber, wie sich die datenbasierte rollenbasierte Zugriffssteuerung auf die einzelnen Google SecOps-Funktionen auswirkt.

Informationen zur Funktionsweise von Data RBAC finden Sie unter Data RBAC – Übersicht.

Die in den Suchergebnissen zurückgegebenen Daten basieren auf den Datenzugriffsbereichen des Nutzers. Nutzer können nur Ergebnisse aus Daten sehen, die den ihnen zugewiesenen Bereichen entsprechen. Wenn Nutzern mehrere Bereiche zugewiesen sind, wird die Suche in den kombinierten Daten aller autorisierten Bereiche ausgeführt. Daten, die zu Bereichen gehören, auf die der Nutzer keinen Zugriff hat, werden nicht in den Suchergebnissen angezeigt.

Zugriff auf Fälle

Bei der Suche nach Fällen und dem Fallverlauf in SIEM Search werden keine Daten-RBAC-Bereiche unterstützt. Ein Nutzer mit Berechtigungen zum Ausführen der SIEM-Suche kann in allen Datenbereichen nach Fällen und dem Fallverlauf suchen.

Regeln

Regeln sind Erkennungsmechanismen, mit denen die aufgenommenen Daten analysiert und potenzielle Sicherheitsbedrohungen erkannt werden. Regeln lassen sich in folgende Kategorien einteilen:

  • Regeln mit Bereich: Sie sind einem bestimmten Datenbereich zugeordnet. Bereichsbezogene Regeln können nur auf Daten angewendet werden, die der Definition dieses Bereichs entsprechen. Nutzer mit Zugriff auf einen Bereich können die zugehörigen Regeln ansehen und verwalten.

  • Globale Regeln: Diese Regeln haben eine größere Sichtbarkeit und können für Daten in allen Bereichen angewendet werden. Aus Sicherheitsgründen und zur Aufrechterhaltung der Kontrolle können nur Nutzer mit globalem Bereich globale Regeln ansehen und erstellen.

Die Benachrichtigungserstellung ist auf Ereignisse beschränkt, die dem Umfang der Regel entsprechen. Wenn einer Regel kein Bereich zugewiesen ist, wird sie im globalen Bereich ausgeführt und gilt für alle Daten.

Die Daten-RBAC wirkt sich auf Regeln folgendermaßen aus:

  • Daten-RBAC ist aktiviert bevor Regeln Bereiche zugewiesen werden:Allen vorhandenen Regeln wird automatisch der globale Bereich zugewiesen. Weisen Sie jeder Regel Bereiche entsprechend Ihren Anforderungen an die Datenzugriffssteuerung zu.

  • Die Daten-RBAC wird nach dem Zuweisen von Bereichen zu Regeln aktiviert: Regeln mit Bereichen werden auf erfasste Daten angewendet, die ihren definierten Bereichen entsprechen, auch bevor die Daten-RBAC aktiviert wird. So können Nutzer Erkennungen sehen, die nach den Bereichszuweisungen generiert wurden.

Der mit einer Regel verknüpfte Bereich bestimmt, wie globale und bereichsbezogene Nutzer mit ihr interagieren können. Die Zugriffsberechtigungen sind in der folgenden Tabelle zusammengefasst:

Aktion Globaler Nutzer Nutzer mit eingeschränkten Berechtigungen
Darf bereichsbezogene Regeln ansehen Ja Ja (nur, wenn der Geltungsbereich der Regel innerhalb der zugewiesenen Bereiche des Nutzers liegt)

Ein Nutzer mit den Bereichen A und B kann beispielsweise eine Regel mit Bereich A, aber nicht mit Bereich C sehen.
Darf globale Regeln ansehen Ja Nein
Kann Regeln mit eingeschränktem Umfang erstellen und aktualisieren Ja Ja (nur, wenn der Geltungsbereich der Regel innerhalb der zugewiesenen Bereiche des Nutzers liegt)

Ein Nutzer mit den Bereichen A und B kann beispielsweise eine Regel mit Bereich A, aber nicht mit Bereich C erstellen.
Kann globale Regeln erstellen und aktualisieren Ja Nein

Erkennungen

Erkennungen sind Warnungen, die auf potenzielle Sicherheitsbedrohungen hinweisen. Erkennungen werden durch benutzerdefinierte Regeln ausgelöst, die von Ihrem Sicherheitsteam für Ihre Google SecOps-Umgebung erstellt werden.

Erkennungen werden generiert, wenn eingehende Sicherheitsdaten mit den in einer Regel definierten Kriterien übereinstimmen. Bevor die rollenbasierte Zugriffssteuerung für Daten aktiviert wird, können alle Nutzer alle erkannten Ereignisse sehen, unabhängig von der Bereichskennzeichnung. Nachdem die Daten-RBAC aktiviert wurde, können Nutzer nur noch Erkennungen sehen, die aus Regeln stammen, die mit ihren zugewiesenen Bereichen verknüpft sind.

Ein Sicherheitsanalyst mit dem Bereich „Finanzdaten“ sieht beispielsweise nur Erkennungen, die von Regeln generiert werden, die dem Bereich „Finanzdaten“ zugewiesen sind, und keine Erkennungen aus anderen Regeln.

Die Aktionen, die ein Nutzer bei einer erkannten Auffälligkeit ausführen kann (z. B. eine erkannte Auffälligkeit als behoben markieren), sind ebenfalls auf den Bereich beschränkt, in dem die Auffälligkeit aufgetreten ist.

Ausgewählte Erkennungen

Erkennungen werden durch benutzerdefinierte Regeln ausgelöst, die von Ihrem Sicherheitsteam erstellt wurden. Ausgewählte Erkennungen werden dagegen durch Regeln ausgelöst, die vom Google Cloud Threat Intelligence-Team (GCTI) bereitgestellt werden. Im Rahmen der ausgewählten Erkennungen stellt GCTI eine Reihe von YARA-L-Regeln bereit und verwaltet sie, damit Sie häufige Sicherheitsbedrohungen in Ihrer Google SecOps-Umgebung erkennen können. Weitere Informationen finden Sie unter Ausgewählte Erkennungen verwenden, um Bedrohungen zu erkennen.

Ausgewählte Erkennungen unterstützen keine rollenbasierte Zugriffssteuerung für Daten. Nur Nutzer mit globalem Bereich können auf ausgewählte Erkennungen zugreifen.

Auswirkungen der Daten-RBAC auf eigene Fälle und Benachrichtigungen

In diesem Abschnitt wird zusammengefasst, wie Sie die rollenbasierte Zugriffssteuerung für Daten für eigene Benachrichtigungen und Fälle in Google Security Operations konfigurieren.

Zu den wichtigsten Themen gehören:

  • Voraussetzungen: Anforderungen für einheitliche SIEM- und SOAR-Instanzen, Connector-Kompatibilität und die Auswirkungen der irreversiblen Aktivierung von Funktionen.
  • Aktivierung: Konfigurationsschritte zum Aktivieren der Erzwingung des Datenzugriffs für bestehende und neue SIEM-Erzwingungsszenarien.
  • Umgebungszuordnung: Anleitungen zum Festlegen von Datengrenzen durch Zuordnen definierter SIEM-Bereiche zu SOAR-Umgebungen.
  • Zugriffsbewertung: Erläuterungen zur Bereichsübertragung, Zugriffslogik und zu Regeln für die Gruppierung von Einheiten und Fällen.
  • Lebenszyklusverwaltung: Richtlinien zum Ändern von Umgebungszuordnungen, zum Erstellen manueller Fälle, zum Behandeln von Überlauf-Szenarien und zum Beheben von Bereichslöschungen.
  • Schnittstellenüberwachung: Hier erfahren Sie, wie Sie Datenzugriffsbereiche in der Case Management-Benutzeroberfläche prüfen und filtern.

Weitere Informationen finden Sie unter Zugriff auf 1P-Vorgänge und ‑Benachrichtigungen steuern.

Triage-Agent

Der Triage-Agent ist ein KI-Assistent, der in Google Security Operations eingebettet ist. Es untersucht Sicherheitswarnungen, um festzustellen, ob es sich um echte Bedrohungen oder Fehlalarme handelt, und liefert eine zusammenfassende Erklärung für seine Bewertung.

Wenn die Daten-RBAC aktiviert ist, können nur Nutzer mit globalem Datenzugriff Triage Agent-Untersuchungen auslösen und ansehen. Weitere Informationen finden Sie unter Nutzerrollen.

Rohlogs

Wenn die datenbezogene rollenbasierte Zugriffssteuerung aktiviert ist, können nur Nutzer mit globalem Bereich auf nicht geparste Rohlogs zugreifen.

Datentabellen

Datentabellen sind mehrspaltige Datenkonstrukte, mit denen Sie Ihre eigenen Daten in Google SecOps eingeben können. Diese können als Suchtabellen mit definierten Spalten und in Zeilen gespeicherten Daten dienen. Durch die Zuweisung von Bereichen zu einer Datentabelle können Sie steuern, welche Nutzer und Ressourcen darauf zugreifen und sie verwenden können.

Zugriffsberechtigungen für Nutzer in Datentabellen

Die mit einer Datentabelle verknüpften Bereiche bestimmen, wie globale und bereichsbezogene Nutzer mit ihr interagieren können. Die Zugriffsberechtigungen sind in der folgenden Tabelle zusammengefasst:

Aktion Globaler Nutzer Nutzer im Geltungsbereich
Kann eine Tabelle mit eingeschränktem Bereich erstellen Ja Ja (nur mit Bereichen, die mit den zugewiesenen Bereichen übereinstimmen oder eine Teilmenge davon sind)

Ein Nutzer mit beschränktem Bereich und den Bereichen A und B kann beispielsweise eine Datentabelle mit Bereich A oder mit den Bereichen A und B erstellen, aber nicht mit den Bereichen A, B und C.
Kann Datentabelle ohne Bereich erstellen Ja Nein
Kann Datentabelle mit eingeschränktem Bereich aktualisieren Ja Ja (nur mit Bereichen, die mit den zugewiesenen Bereichen übereinstimmen oder eine Teilmenge davon sind)

Ein Nutzer mit den Bereichen A und B kann beispielsweise eine Datentabelle mit dem Bereich A oder mit den Bereichen A und B ändern, aber nicht eine Datentabelle mit den Bereichen A, B und C.
Kann nicht eingeschränkte Datentabelle aktualisieren Ja Nein
Kann eine Tabelle mit eingeschränktem Umfang in eine Tabelle ohne eingeschränkten Umfang ändern Ja Nein
Kann Datentabelle mit eingeschränktem Bereich ansehen und verwenden Ja Ja (wenn es mindestens einen übereinstimmenden Bereich zwischen dem Nutzer und der Datentabelle gibt)

Ein Nutzer mit den Bereichen A und B kann beispielsweise eine Datentabelle mit den Bereichen A und B verwenden, aber nicht eine Datentabelle mit den Bereichen C und D.
Kann Datentabelle ohne Bereich ansehen und verwenden Ja Ja
Suchanfragen mit Tabellen mit nicht eingeschränktem Umfang ausführen Ja Ja
Suchanfragen mit Tabellen mit eingeschränkten Daten ausführen Ja Ja (wenn mindestens ein übereinstimmender Bereich zwischen dem Nutzer und der Datentabelle vorhanden ist)

Ein Nutzer mit Bereich A kann beispielsweise Suchanfragen mit Datentabellen mit den Bereichen A, B und C ausführen, aber nicht mit Datentabellen mit den Bereichen B und C.

Referenzlisten

Referenzlisten sind Sammlungen von Werten, die zum Abgleichen und Filtern von Daten in UDM Search- und Erkennungsregeln verwendet werden. Wenn Sie einer Referenzliste (Liste mit Bereich) Bereiche zuweisen, wird der Zugriff darauf auf bestimmte Nutzer und Ressourcen wie Regeln und die UDM-Suche beschränkt. Eine Referenzliste, der kein Bereich zugewiesen ist, wird als Liste ohne Bereich bezeichnet.

Zugriffsberechtigungen für Nutzer in Referenzlisten

Die Bereiche, die mit einer Referenzliste verknüpft sind, bestimmen, wie globale und bereichsbezogene Nutzer mit ihr interagieren können. Die Zugriffsrechte sind in der folgenden Tabelle zusammengefasst:

Aktion Globaler Nutzer Nutzer mit eingeschränkten Berechtigungen
Kann Listen mit Bereich erstellen Ja Ja (mit Bereichen, die mit den zugewiesenen Bereichen übereinstimmen oder eine Teilmenge der zugewiesenen Bereiche sind)

Ein Nutzer mit beschränktem Bereich, der die Bereiche A und B hat, kann beispielsweise eine Referenzliste mit Bereich A oder mit den Bereichen A und B erstellen, aber nicht mit den Bereichen A, B und C.
Kann Liste ohne Bereich erstellen Ja Nein
Kann Bereichsliste aktualisieren Ja Ja (mit Bereichen, die mit den zugewiesenen Bereichen übereinstimmen oder eine Teilmenge davon sind)

Ein Nutzer mit den Bereichen A und B kann beispielsweise eine Referenzliste mit Bereich A oder mit den Bereichen A und B ändern, aber nicht eine Referenzliste mit den Bereichen A, B und C.
Kann Liste ohne Bereichsangabe aktualisieren Ja Nein
Kann bereichsbezogene Liste in nicht bereichsbezogene Liste ändern Ja Nein
Kann die Liste mit eingeschränktem Umfang aufrufen und verwenden Ja Ja (wenn es mindestens einen übereinstimmenden Bereich zwischen dem Nutzer und der Referenzliste gibt)

Ein Nutzer mit den Bereichen A und B kann beispielsweise eine Referenzliste mit den Bereichen A und B verwenden, aber keine Referenzliste mit den Bereichen C und D.
Kann die Liste ohne Bereichsangabe aufrufen und verwenden Ja Ja
UDM-Suchanfragen und Dashboard-Abfragen mit Referenzlisten ohne Bereich ausführen Ja Ja
UDM-Suchanfragen und Dashboard-Abfragen mit eingeschränkten Referenzlisten ausführen Ja Ja (wenn es mindestens einen übereinstimmenden Bereich zwischen dem Nutzer und der Referenzliste gibt)

Ein Nutzer mit dem Bereich A kann beispielsweise UDM-Suchanfragen mit Referenzlisten mit den Bereichen A, B und C ausführen, aber nicht mit Referenzlisten mit den Bereichen B und C.

Zugriffsberechtigungen für Regeln in Referenzlisten

Für eine Regel mit Bereich kann eine Referenzliste verwendet werden, wenn es mindestens einen übereinstimmenden Bereich zwischen der Regel und der Referenzliste gibt. Eine Regel mit Bereich A kann beispielsweise eine Referenzliste mit den Bereichen A, B und C verwenden, aber keine Referenzliste mit den Bereichen B und C.

Für eine Regel mit globalem Bereich kann jede Referenzliste verwendet werden.

Feeds und Weiterleitungen

Die Daten-RBAC hat keine direkten Auswirkungen auf die Ausführung von Feeds und Forwardern. Bei der Konfiguration können Nutzer den eingehenden Daten jedoch die Standardlabels (Logtyp, Namespace oder Ingestion-Labels) zuweisen. Die Daten-RBAC wird dann auf Features angewendet, die diese mit Labels versehenen Daten verwenden.

Dashboards

Mit Dashboards können Sie Visualisierungen aus verschiedenen Datenquellen erstellen. Jedes Dashboard besteht aus verschiedenen Diagrammen.

Dashboards unterstützen die datenbezogene rollenbasierte Zugriffssteuerung vollständig. Dieses Sicherheitsmodell filtert die in Dashboard-Widgets angezeigten Informationen basierend auf den Ihnen zugewiesenen Bereichen.

  • Datensichtbarkeit: In Widgets werden nur Ergebnisse aus Daten angezeigt, die Ihren zugewiesenen Bereichen entsprechen. Wenn ein Dashboard auf einer YARA‑L-Abfrage basiert, wird diese Abfrage nur für autorisierte Daten ausgeführt.
  • Überschneidung von Bereichen: Wenn Sie mehrere Bereiche haben, werden im Dashboard die kombinierten Daten aus allen autorisierten Bereichen angezeigt.
  • Zugriffssteuerung: Mit der rollenbasierten Zugriffssteuerung für Funktionen wird festgelegt, wer ein Dashboard erstellen oder bearbeiten darf. Mit der rollenbasierten Zugriffssteuerung für Daten wird festgelegt, welche Daten in den Diagrammen und Tabellen sichtbar sind.

Der spezifische Bereich, der einem Dashboard zugeordnet ist, bestimmt die zulässige Interaktion für globale und bereichsbezogene Nutzer:

  • Globale Nutzer: Sie haben unabhängig vom Umfang vollständigen Einblick in alle Dashboards und können sie verwalten.

  • Nutzer mit eingeschränktem Zugriff: Die Interaktion ist basierend auf den zugewiesenen Bereichen des Nutzers eingeschränkt.

Zugriff auf Supportanfragen

Dashboards mit SOAR-Daten wie Fälle, Fallverlauf, Playbooks und Benachrichtigungen sind nur für globale Nutzer sichtbar.

Applied Threat Intelligence und IOC-Übereinstimmungen

IoCs und ATI-Daten (Advanced Threat Intelligence) liefern wichtige Informationen zu potenziellen Sicherheitsbedrohungen in Ihrer Umgebung.

ATI-kuratierte Erkennungen werden durch Regeln ausgelöst, die vom ATI-Team bereitgestellt werden. Diese Regeln nutzen Mandiant-Bedrohungsdaten, um proaktiv Bedrohungen mit hoher Priorität zu erkennen. Weitere Informationen finden Sie unter Applied Threat Intelligence – Übersicht.

IOC-Abgleiche und ATI-Daten aus Kundenprotokollen erfordern einen globalen Bereich für die Sichtbarkeit und sind für Nutzer mit eingeschränkten Bereichen nicht verfügbar.

Analysen des Nutzer- und Entitätsverhaltens (User and Entity Behavior Analytics, UEBA)

Die Kategorie „Risikoanalyse für UEBA“ bietet vordefinierte Regelsätze zum Erkennen potenzieller Sicherheitsbedrohungen. Bei diesen Regelsätzen wird maschinelles Lernen verwendet, um durch die Analyse von Verhaltensmustern von Nutzern und Entitäten proaktiv Erkennungen auszulösen. Weitere Informationen finden Sie unter Übersicht über die Risikoanalyse für die UEBA-Kategorie.

UEBA unterstützt keine rollenbasierte Zugriffssteuerung (RBAC) für Daten. Nur Nutzer mit globalem Bereich können auf die Risikoanalysen für die UEBA-Kategorie zugreifen.

Entitätsdetails in Google SecOps

Die folgenden Felder, die ein Asset oder einen Nutzer beschreiben, werden auf mehreren Seiten in Google SecOps angezeigt, z. B. im Bereich Entitätskontext in der UDM-Suche. Bei der Daten-RBAC sind die Felder nur für Nutzer mit globalem Bereich verfügbar.

  • Zuerst aufgetreten
  • Zuletzt erfasst
  • Verbreitung

Nutzer mit eingeschränktem Zugriff können die Daten zum ersten und letzten Auftreten von Nutzern und Assets sehen, wenn diese Daten aus Daten innerhalb der zugewiesenen Bereiche des Nutzers berechnet werden.

Nächste Schritte

Daten-RBAC für Nutzer konfigurieren

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten