資料 RBAC 對功能影響的總覽

支援的國家/地區：

資料角色式存取控管 (資料 RBAC) 是一種安全模型，可根據機構內個別使用者的角色，限制使用者存取資料。在環境中設定資料 RBAC 後，您會在 Google Security Operations 功能中看到經過篩選的資料。資料 RBAC 會根據指派的範圍控管使用者存取權，確保使用者只能存取授權資訊。本頁面概略說明資料 RBAC 對各項 Google SecOps 功能的影響。

如要瞭解資料 RBAC 的運作方式，請參閱「資料 RBAC 總覽」。

搜尋結果傳回的資料取決於使用者的資料存取權範圍。使用者只能看到與指派範圍相符的資料結果。如果使用者有多個已指派的範圍，系統會對所有授權範圍的合併資料執行搜尋。如果使用者無權存取特定範圍的資料，搜尋結果就不會顯示該範圍的資料。

案件存取權

在 SIEM 搜尋中搜尋案件和案件記錄時，不支援資料 RBAC 範圍。具備 SIEM 搜尋權限的使用者，可以搜尋所有資料範圍內的案件和案件記錄。

規則

規則是偵測機制，可分析擷取的資料，協助找出潛在安全威脅。規則可分為下列幾類：

  • 範圍規則：與特定資料範圍相關聯。範圍規則只能對符合範圍定義的資料執行操作。 有權存取範圍的使用者可以查看及管理規則。

  • 全域規則：這些規則可提供更廣泛的資料檢視權限，並對所有範圍的資料執行作業。為維護安全和控管權，只有具備全域範圍的使用者可以查看及建立全域規則。

只有符合規則範圍的事件才會產生快訊。如果規則沒有指派範圍，就會在全域範圍中執行，並套用至所有資料。

資料 RBAC 會以以下方式影響規則：

  • 在指派規則範圍「之前」啟用資料 RBAC：所有現有規則都會自動指派全域範圍。根據資料存取控管需求，為每項規則指派範圍。

  • 在指派規則範圍後啟用資料 RBAC：即使尚未啟用資料 RBAC，範圍規則也會根據定義的範圍，對擷取的資料執行作業。這樣一來，使用者就能查看範圍指派後產生的偵測結果。

與規則相關聯的範圍會決定全域和範圍內使用者與規則的互動方式。下表匯總了存取權限：

Action 全球使用者 範圍使用者
可查看範圍規則 是 是 (僅限規則範圍在使用者獲派範圍內的情況)

舉例來說，如果使用者具有範圍 A 和 B，則可查看範圍 A 的規則，但無法查看範圍 C 的規則。
可查看全域規則 是 否
可建立及更新範圍規則 是 是 (前提是規則範圍在使用者獲派的範圍內)

舉例來說，如果使用者擁有範圍 A 和 B，則可以建立範圍 A 的規則，但無法建立範圍 C 的規則。
可建立及更新全域規則 是 否

偵測項目

偵測項目是代表潛在安全威脅的警示。偵測事件是由安全團隊為 Google SecOps 環境建立的自訂規則觸發。

當傳入的安全資料符合規則中定義的條件時，系統就會產生偵測結果。啟用資料 RBAC 前，所有使用者都能查看所有偵測結果，不受範圍標記限制。啟用資料 RBAC 後，使用者只能查看與所屬範圍相關聯的規則所產生的偵測結果。

舉例來說，如果資安分析師的資料範圍是財務，就只會看到指派給財務資料範圍的規則所產生的偵測結果，不會看到其他規則的偵測結果。

使用者可對偵測結果執行的動作 (例如將偵測結果標示為已解決)，也僅限於偵測結果發生的範圍。

精選偵測規則

偵測是由貴機構資安團隊建立的自訂規則觸發，而精選偵測是由 Google Cloud 威脅情報 (GCTI) 團隊提供的規則觸發。GCTI 會提供並管理一組 YARA-L 規則，協助您在 Google SecOps 環境中找出常見的安全威脅，這些規則是精選偵測規則的一部分。詳情請參閱「使用精選偵測規則找出威脅」。

精選偵測規則不支援資料 RBAC。只有全域範圍的使用者可以存取精選偵測規則。

資料 RBAC 對第一方案件和快訊的影響

本節將摘要說明如何在 Google Security Operations 中，為第一方快訊和案件設定資料 RBAC。

主要主題包括：

  • 必要條件：統一 SIEM 和 SOAR 執行個體的需求、連接器相容性，以及啟用不可逆功能的影響。
  • 啟用：啟用現有和新的 SIEM 強制執行情境的資料存取權強制執行功能。
  • 環境對應：操作說明，可將定義的 SIEM 範圍對應至 SOAR 環境，建立資料界線。
  • 存取權評估：說明範圍傳播、存取權邏輯，以及控管實體和案件分組的規則。
  • 生命週期管理：修改環境對應、建立手動案件、處理溢位情境，以及解決範圍刪除問題的指南。
  • 介面監控：如何在案件管理 UI 中驗證及篩選資料存取權範圍。

詳情請參閱「控管第一方案件和快訊的存取權」。

Triage Agent

Triage Agent 是 Google Security Operations 內建的 AI 輔助助理，Gemini 會調查安全性警示，判斷是誤判還是實際事件，並提供評估結果摘要。

啟用資料 RBAC 後，只有具備全域資料存取權的使用者，才能觸發及查看 Triage Agent 調查。詳情請參閱「使用者角色」。

原始記錄

啟用資料 RBAC 後，只有具備全域範圍的使用者才能存取未剖析的原始記錄。

資料表

資料表是多欄資料結構，可用於將自有資料輸入 Google SecOps。資料表還能做為對照表使用，裡面的資料欄經過定義，資料則會儲存在資料列。為資料表指派範圍，即可控管哪些使用者和資源可以存取及使用資料表。

資料表使用者的存取權限

與資料表相關聯的範圍會決定全域和範圍使用者與資料表的互動方式。下表匯總了存取權限：

Action 全球使用者 範圍使用者
可建立範圍資料表 是 是 (僅限與指派範圍相符或屬於指派範圍子集的範圍)

舉例來說，如果範圍受限的使用者具有範圍 A 和 B，則可建立範圍為 A 或範圍為 A 和 B 的資料表，但無法建立範圍為 A、B 和 C 的資料表。
可建立無範圍資料表 是 否
可更新範圍內的資料表 是 是 (僅限與指派範圍相符或屬於指派範圍子集的範圍)

舉例來說，如果使用者具備範圍 A 和 B，則可修改範圍 A 或範圍 A 和 B 的資料表，但無法修改範圍 A、B 和 C 的資料表。
可更新未設範圍的資料表 是 否
可將限定範圍的資料表更新為不限定範圍 是 否
可查看及使用範圍資料表 是 是 (如果使用者和資料表之間至少有一個相符的範圍)

舉例來說，如果使用者具備範圍 A 和 B，則可使用範圍 A 和 B 的資料表，但無法使用範圍 C 和 D 的資料表。
可查看及使用無範圍資料表 是 是
可使用未限定範圍的資料表執行搜尋查詢 是 是
可使用範圍限定的資料表執行搜尋查詢 是 是 (如果使用者和資料表之間至少有一個相符的範圍)

舉例來說，如果使用者具有範圍 A，就能使用範圍 A、B 和 C 的資料表執行搜尋查詢，但無法使用範圍 B 和 C 的資料表。

參照清單

參照清單是值的集合，用於比對和篩選 UDM 搜尋和偵測規則中的資料。將範圍指派給參照清單 (範圍清單) 後，只有特定使用者和資源 (例如規則和 UDM 搜尋) 才能存取該清單。未指派範圍的參照清單稱為無範圍清單。

參考清單中使用者存取權限

與參照清單相關聯的範圍，會決定全域和範圍使用者與該清單的互動方式。下表匯總了存取權限：

動作 全球使用者 範圍使用者
可以建立有範圍限制的清單 是 是 (範圍與指派範圍相符，或是指派範圍的子集)

舉例來說，如果使用者有 A 和 B 範圍，可以建立範圍為 A 或範圍為 A 和 B 的參照清單，但無法建立範圍為 A、B 和 C 的參照清單。
可建立沒有範圍限制的清單 是 否
可更新範圍清單 是 是 (範圍與指派的範圍相符，或屬於指派範圍的子集)

舉例來說，如果使用者具有範圍 A 和 B，可以修改範圍為 A 或 A 和 B 的參照清單，但無法修改範圍為 A、B 和 C 的參照清單。
可更新未限定範圍的清單 是 否
可將範圍清單更新為無範圍 是 否
可查看及使用範圍清單 是 是 (如果使用者和參照清單之間至少有一個相符的範圍)

舉例來說，如果使用者具有 A 和 B 範圍，則可使用具有 A 和 B 範圍的參照清單，但無法使用具有 C 和 D 範圍的參照清單。
可查看及使用無範圍清單 是 是
可使用未限定範圍的參考清單，執行 UDM 搜尋和資訊主頁查詢 是 是
可使用範圍限定的參照清單執行 UDM 搜尋和查詢資訊主頁 是 是 (如果使用者和參照清單之間至少有一個相符的範圍)

舉例來說，範圍為 A 的使用者可以執行 UDM 搜尋查詢，並使用範圍為 A、B 和 C 的參照清單，但無法使用範圍為 B 和 C 的參照清單。

參考清單中規則的存取權限

如果規則和參照清單之間至少有一個相符的範圍，範圍規則就可以使用參照清單。舉例來說，範圍為 A 的規則可以使用範圍為 A、B 和 C 的參照清單，但不能使用範圍為 B 和 C 的參照清單。

全域範圍的規則可以使用任何參照清單。

動態饋給和轉送者

資料 RBAC 不會直接影響動態饋給和轉寄站的執行。不過，使用者可以在設定期間，將預設標籤 (記錄類型、命名空間或擷取標籤) 指派給傳入的資料。接著，資料 RBAC 會套用至使用這類標籤資料的功能。

資訊主頁

使用資訊主頁，建立各種資料來源的圖表。每個資訊主頁都包含不同的圖表。

資訊主頁完全支援資料 RBAC。這個安全模式會根據您獲派的範圍，篩選顯示在資訊主頁小工具中的資訊。

  • 資料顯示：小工具只會顯示符合您指派範圍的資料結果。如果資訊主頁仰賴 YARA-L 查詢，該查詢只會對授權資料執行。
  • 範圍重疊：如果您有多個範圍，資訊主頁會顯示所有授權範圍的合併資料。
  • 存取控管：功能 RBAC 決定誰可以建立或編輯資訊主頁，資料 RBAC 則決定圖表和表格中顯示哪些特定資料。

與資訊主頁相關聯的特定範圍，會決定全域和範圍內使用者可進行的互動層級：

  • 全域使用者：全面掌握所有資訊主頁，並具備管理功能，不受範圍限制。

  • 限定範圍使用者：互動權限會依指派的範圍而受限。

案件存取權

只有全域使用者才能查看含有 SOAR 資料的資訊主頁，例如案件、案件記錄、應對手冊和快訊。

應用威脅情報和 IOC 比對

IOC 和進階威脅情報 (ATI) 資料可提供重要資訊，協助您瞭解環境中的潛在安全威脅。

ATI 精選偵測規則是由 ATI 團隊提供的規則觸發。這些規則會使用 Mandiant 威脅情報，主動找出高優先順序的威脅。詳情請參閱「應用威脅情報總覽」。

如要查看從客戶記錄檔衍生的 IOC 比對和 ATI 資料，必須將範圍設為全域，受限範圍的使用者無法查看。

使用者與實體行為分析 (UEBA)

UEBA 類別的風險分析提供預先建立的規則集，可偵測潛在安全威脅。這些規則集會運用機器學習技術分析使用者和實體的行為模式，主動觸發偵測機制。詳情請參閱「UEBA 類別的風險分析總覽」。

UEBA 不支援資料 RBAC。只有具備全域範圍的使用者，才能存取 UEBA 類別的風險分析。

Google SecOps 中的實體詳細資料

下列欄位用於描述資產或使用者，會顯示在 Google SecOps 的多個頁面中，例如 UDM 搜尋中的「Entity Context」(實體背景資訊) 面板。啟用資料 RBAC 後，只有全域範圍的使用者才能存取這些欄位。

  • 首次出現時間
  • 上次出現時間
  • 普及度

如果初次和最後一次出現的資料是根據使用者指派範圍內的資料計算而得，範圍內使用者就能查看使用者和資產的初次和最後一次出現資料。

後續步驟

為使用者設定資料 RBAC

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。