Visão geral do impacto do RBAC de dados nos recursos

Compatível com:

O controle de acesso baseado em função de dados (RBAC de dados) é um modelo de segurança que restringe o acesso do usuário aos dados com base nas funções individuais do usuário em uma organização. Depois que o RBAC de dados é configurado em um ambiente, você começa a ver dados filtrados nos recursos do Google Security Operations. O RBAC de dados controla o acesso do usuário de acordo com os escopos atribuídos e garante que os usuários possam acessar apenas informações autorizadas. Esta página apresenta uma visão geral de como o RBAC de dados afeta cada recurso do Google SecOps.

Para entender como o RBAC de dados funciona, consulte Visão geral do RBAC de dados.

Os dados retornados nos resultados da pesquisa são baseados nos escopos de acesso aos dados do usuário. Os usuários só podem ver resultados de dados que correspondem aos escopos atribuídos a eles. Se os usuários tiverem mais de um escopo atribuído, a pesquisa será executada nos dados combinados de todos os escopos autorizados. Os dados pertencentes a escopos a que o usuário não tem acesso não aparecem nos resultados da pesquisa.

Acesso ao Cases

As pesquisas de casos e histórico de casos na Pesquisa do SIEM não são compatíveis com escopos de RBAC de dados. Um usuário com permissões para realizar pesquisas do SIEM pode pesquisar casos e o histórico deles em todos os escopos de dados.

Regras

As regras são mecanismos de detecção que analisam os dados ingeridos e ajudam a identificar possíveis ameaças à segurança. As regras podem ser categorizadas da seguinte forma:

  • Regras no escopo: associadas a um escopo de dados específico. As regras com escopo só podem operar em dados que se enquadram na definição desse escopo. Os usuários com acesso a um escopo podem ver e gerenciar as regras dele.

  • Regras globais: com maior visibilidade, essas regras podem operar em dados de todos os escopos. Para manter a segurança e o controle, apenas usuários com escopo global podem visualizar e criar regras globais.

A geração de alertas é restrita a eventos que correspondem ao escopo da regra. Se uma regra não tiver um escopo atribuído, ela será executada no escopo global e será aplicada a todos os dados.

O RBAC de dados afeta as regras das seguintes maneiras:

  • O RBAC de dados é ativado antes da atribuição de escopos a regras:todas as regras atuais recebem automaticamente o escopo global. Atribua escopos a cada regra de acordo com seu requisito de controle de acesso aos dados.

  • O RBAC de dados é ativado depois da atribuição de escopos às regras: as regras com escopo operam nos dados ingeridos de acordo com os escopos definidos, mesmo antes da ativação do RBAC de dados. Isso permite que os usuários vejam as detecções geradas após as atribuições de escopo.

O escopo associado a uma regra determina como os usuários globais e com escopo podem interagir com ela. As permissões de acesso estão resumidas na tabela a seguir:

Ação Usuário global Usuário no escopo
Pode ver regras com escopo Sim Sim, somente se o escopo da regra estiver dentro dos escopos atribuídos ao usuário

Por exemplo, um usuário com escopos A e B pode ver uma regra com escopo A, mas não uma regra com escopo C.
Pode ver as regras globais Sim Não
Pode criar e atualizar regras com escopo Sim Sim, somente se o escopo da regra estiver dentro dos escopos atribuídos ao usuário

Por exemplo, um usuário com os escopos A e B pode criar uma regra com o escopo A, mas não uma regra com o escopo C.
Pode criar e atualizar regras globais Sim Não

Detecções

As detecções são alertas que indicam possíveis ameaças à segurança. As detecções são acionadas por regras personalizadas, que são criadas pela equipe de segurança para seu ambiente do Google SecOps.

As detecções são geradas quando os dados de segurança recebidos correspondem aos critérios definidos em uma regra. Antes de ativar o RBAC de dados, todos os usuários têm visibilidade de todas as detecções, independente da inclusão de tags de escopo. Depois que o RBAC de dados é ativado, os usuários só podem ver detecções originadas de regras associadas aos escopos atribuídos a eles.

Por exemplo, um analista de segurança com o escopo de dados financeiros só vê detecções geradas por regras atribuídas a esse escopo e não vê detecções de outras regras.

As ações que um usuário pode realizar em uma detecção (por exemplo, marcar uma detecção como resolvida) também são limitadas ao escopo em que ela ocorreu.

Detecções especializadas

As detecções são acionadas por regras personalizadas criadas pela sua equipe de segurança, enquanto as detecções especializadas são acionadas por regras fornecidas pela equipe de inteligência contra ameaças do Google Cloud (GCTI, na sigla em inglês). Como parte das detecções especializadas, a GCTI fornece e gerencia um conjunto de regras YARA-L para ajudar você a identificar ameaças de segurança comuns no ambiente do Google SecOps. Para mais informações, consulte Usar detecções especializadas para identificar ameaças.

As detecções especializadas não são compatíveis com o RBAC de dados. Somente usuários com escopo global podem acessar as detecções especializadas.

Impacto do RBAC de dados em casos e alertas próprios

Esta seção resume como configurar o controle de acesso baseado em função (RBAC) de dados para alertas e casos próprios no Google Security Operations.

Os principais tópicos incluem:

  • Pré-requisitos: requisitos para instâncias unificadas de SIEM e SOAR, compatibilidade de conectores e as implicações da ativação irreversível de recursos.
  • Ativação: etapas de configuração para ativar a aplicação do acesso a dados em cenários de aplicação do SIEM atuais e novos.
  • Mapeamento de ambiente: instruções para estabelecer limites de dados mapeando escopos definidos do SIEM para ambientes do SOAR.
  • Avaliação de acesso: explicações sobre propagação de escopo, lógica de acesso e regras que regem o agrupamento de entidades e casos.
  • Gerenciamento do ciclo de vida: diretrizes para modificar mapeamentos de ambiente, criar casos manuais, lidar com cenários de estouro e resolver exclusões de escopo.
  • Monitoramento da interface: como verificar e filtrar escopos de acesso aos dados na interface do Case Management.

Para mais informações, consulte Controlar o acesso a casos e alertas de terceiros.

Agente de triagem

O Agente de triagem é um assistente com tecnologia de IA integrado ao Google Security Operations. Ele investiga alertas de segurança para determinar se são verdadeiros ou falsos positivos e fornece uma explicação resumida da avaliação.

Quando o RBAC de dados está ativado, apenas usuários com acesso global aos dados podem acionar e visualizar investigações do agente de triagem. Para mais informações, consulte Funções do usuário.

Registros brutos

Com o RBAC de dados ativado, os registros brutos não analisados só podem ser acessados por usuários com escopo global.

Tabela de dados

As tabelas de dados são estruturas com várias colunas que permitem a inserção dos seus próprios dados no Google SecOps. Elas podem atuar como tabelas de consulta com colunas definidas e os dados armazenados em linhas. Ao atribuir escopos a uma tabela de dados, você controla quais usuários e recursos podem acessar e usar essa tabela.

Permissões de acesso para usuários em tabelas de dados

Os escopos associados a uma tabela de dados determinam como os usuários globais e no escopo podem interagir com ela. As permissões de acesso estão resumidas na tabela a seguir:

Ação Usuário global Usuário com escopo
Pode criar uma tabela de dados com escopo Sim Sim (somente com escopos que correspondem ou são um subconjunto dos escopos atribuídos)

Por exemplo, um usuário com os escopos A e B pode criar uma tabela de dados com o escopo A ou com os escopos A e B, mas não com os escopos A, B e C.
Pode criar uma tabela de dados sem escopo Sim Não
Pode atualizar a tabela de dados no escopo Sim Sim (somente com escopos que correspondem ou são um subconjunto dos escopos atribuídos)

Por exemplo, um usuário com escopos A e B pode modificar uma tabela de dados com escopo A ou com escopos A e B, mas não uma tabela de dados com escopos A, B e C.
Pode atualizar a tabela de dados sem escopo Sim Não
Pode atualizar a tabela de dados com escopo para sem escopo Sim Não
Pode ver e usar a tabela de dados no escopo Sim Sim, se houver pelo menos um escopo correspondente entre o usuário e a tabela de dados.

Por exemplo, um usuário com os escopos A e B pode usar uma tabela de dados com os escopos A e B, mas não uma tabela de dados com os escopos C e D.
Pode ver e usar a tabela de dados sem escopo Sim Sim
Pode executar consultas de pesquisa com tabelas de dados sem escopo Sim Sim
Pode executar consultas de pesquisa com tabelas de dados no escopo Sim Sim, se houver pelo menos um escopo correspondente entre o usuário e a tabela de dados.

Por exemplo, um usuário com escopo A pode executar consultas de pesquisa com tabelas de dados com escopos A, B e C, mas não com tabelas de dados com escopos B e C.

Listas de referências

As listas de referência são coleções de valores usadas para correspondência e filtragem de dados nas regras de pesquisa e detecção da UDM. A atribuição de escopos a uma lista de referência (lista com escopo) restringe o acesso a usuários e recursos específicos, como regras e pesquisa de UDM. Uma lista de referência sem escopo atribuído é chamada de lista sem escopo.

Permissões de acesso para usuários em listas de referência

Os escopos associados a uma lista de referência determinam como os usuários globais e com escopo podem interagir com ela. As permissões de acesso estão resumidas na tabela a seguir:

Ação Usuário global Usuário no escopo
Pode criar uma lista com escopo Sim Sim (com escopos que correspondem aos atribuídos ou são um subconjunto deles)

Por exemplo, um usuário com escopos A e B pode criar uma lista de referência com escopo A ou com escopos A e B, mas não com escopos A, B e C.
Pode criar uma lista sem escopo Sim Não
Pode atualizar a lista com escopo Sim Sim (com escopos que correspondem aos escopos atribuídos ou são um subconjunto deles)

Por exemplo, um usuário com os escopos A e B pode modificar uma lista de referência com o escopo A ou com os escopos A e B, mas não uma lista de referência com os escopos A, B e C.
Pode atualizar a lista sem escopo Sim Não
É possível atualizar uma lista com escopo para sem escopo Sim Não
Pode ver e usar a lista com escopo Sim Sim, se houver pelo menos um escopo correspondente entre o usuário e a lista de referência.

Por exemplo, um usuário com escopos A e B pode usar uma lista de referência com escopos A e B, mas não uma lista com escopos C e D.
Pode ver e usar a lista sem escopo Sim Sim
Pode executar pesquisas de UDM e consultas de painel com listas de referência sem escopo Sim Sim
Pode executar pesquisas UDM e consultas de painel com listas de referência no escopo Sim Sim, se houver pelo menos um escopo correspondente entre o usuário e a lista de referência.

Por exemplo, um usuário com escopo A pode executar consultas de pesquisa da UDM com listas de referência com escopos A, B e C, mas não com listas de referência com escopos B e C.

Permissões de acesso para regras em listas de referência

Uma regra com escopo pode usar uma lista de referência se houver pelo menos um escopo correspondente entre a regra e a lista de referência. Por exemplo, uma regra com escopo A pode usar uma lista de referência com escopos A, B e C, mas não uma lista com escopos B e C.

Uma regra com escopo global pode usar qualquer lista de referências.

Feeds e encaminhadores

O RBAC de dados não afeta diretamente a execução do feed e do encaminhador. No entanto, durante a configuração, os usuários podem atribuir os rótulos padrão (tipo de registro, namespace ou rótulos de ingestão) aos dados recebidos. O RBAC de dados é aplicado aos recursos que usam esses dados rotulados.

Painéis

Use os painéis para criar visualizações em várias fontes de dados. Cada painel é composto por gráficos diferentes.

Os painéis são totalmente compatíveis com o RBAC de dados. Esse modelo de segurança filtra as informações mostradas nos widgets do painel com base nos escopos atribuídos.

  • Visibilidade dos dados: os widgets mostram apenas resultados de dados que correspondem aos escopos atribuídos. Se um painel depende de uma consulta YARA-L, ela só é executada em dados autorizados.
  • Sobreposição de escopos: se você tiver vários escopos, o painel vai mostrar os dados combinados de todos os escopos autorizados.
  • Controle de acesso: enquanto o RBAC de recursos determina quem pode criar ou editar um painel, o RBAC de dados determina quais dados específicos ficam visíveis nos gráficos e tabelas.

O escopo específico associado a um painel determina o nível de interação permitido para usuários globais e com escopo:

  • Usuários globais: mantêm visibilidade e recursos de gerenciamento completos em todos os painéis, independente do escopo.

  • Usuários no escopo: a interação é restrita com base nos escopos atribuídos ao usuário.

Acesso ao caso

Os painéis com dados de SOAR, como casos, histórico de casos, playbooks e alertas, só ficam visíveis para usuários globais.

Inteligência contra ameaças aplicada e correspondências de IOC

Os dados de IOCs e inteligência avançada contra ameaças (ATI, na sigla em inglês) fornecem informações importantes sobre possíveis ameaças à segurança no seu ambiente.

As detecções especializadas da ATI são acionadas por regras fornecidas pela equipe da ATI. Essas regras usam a inteligência de ameaças da Mandiant para identificar proativamente ameaças de alta prioridade. Para mais informações, consulte Visão geral da inteligência contra ameaças aplicada.

As correspondências de IOC e os dados de ATI derivados de registros de clientes exigem escopo global para visibilidade e não estão disponíveis para usuários com escopos restritos.

Análise de comportamento de usuários e entidades (UEBA)

A categoria "Análise de risco para UEBA" oferece conjuntos de regras pré-criados para detectar possíveis ameaças à segurança. Esses conjuntos de regras usam o aprendizado de máquina para acionar detecções de forma proativa, analisando padrões de comportamento de usuários e entidades. Para mais informações, consulte Visão geral da categoria Análise de risco para UEBA.

A UEBA não oferece suporte ao RBAC de dados. Somente usuários com escopo global podem acessar a análise de risco da categoria UEBA.

Detalhes da entidade no Google SecOps

Os campos a seguir, que descrevem um recurso ou um usuário, aparecem em várias páginas do Google SecOps, como o painel Contexto da entidade na pesquisa da UDM. Com o RBAC de dados, os campos ficam disponíveis apenas para os usuários com escopo global.

  • Visto pela primeira vez
  • Visto pela última vez
  • Prevalência

Os usuários com escopo podem ver os dados da primeira e da última visualização de usuários e recursos se eles forem calculados com base nos dados dos escopos atribuídos ao usuário.

A seguir

Configurar o RBAC de dados para usuários

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.