Ringkasan RBAC data

Didukung di:

Kontrol akses berbasis peran data (RBAC data) adalah model keamanan yang menggunakan peran pengguna individual untuk membatasi akses pengguna ke data dalam organisasi. Dengan RBAC data, administrator dapat menentukan cakupan dan menetapkannya kepada pengguna untuk membantu memastikan bahwa pengguna hanya dapat mengakses data yang diperlukan untuk fungsi pekerjaan mereka.

Halaman ini memberikan ringkasan tentang RBAC data, dan membantu Anda memahami cara label dan cakupan bekerja sama untuk menentukan izin akses data.

Perbedaan antara RBAC data dan RBAC fitur

RBAC data dan RBAC fitur adalah metode untuk mengontrol akses dalam sistem, tetapi keduanya berfokus pada aspek yang berbeda.

RBAC fitur mengontrol akses ke fitur atau fungsi tertentu dalam sistem. Fitur ini menentukan fitur mana yang dapat diakses pengguna berdasarkan peran mereka. Misalnya, analis junior mungkin hanya memiliki akses untuk melihat dasbor, tetapi tidak untuk membuat atau mengubah aturan deteksi, sementara analis senior mungkin memiliki izin untuk membuat dan mengelola aturan deteksi. Untuk mengetahui informasi selengkapnya tentang RBAC fitur, lihat Mengonfigurasi kontrol akses fitur menggunakan IAM.

RBAC data mengontrol akses ke data atau informasi tertentu dalam sistem. Aturan ini mengontrol apakah pengguna dapat melihat, mengedit, atau menghapus data berdasarkan peran mereka. Misalnya, dalam sistem pengelolaan hubungan pelanggan (CRM), sales representative mungkin memiliki akses ke data kontak pelanggan, tetapi tidak ke data keuangan, sedangkan manajer keuangan mungkin memiliki akses ke data keuangan, tetapi tidak ke data kontak pelanggan.

RBAC data dan RBAC fitur sering digunakan bersama untuk menyediakan sistem kontrol akses yang komprehensif. Misalnya, pengguna mungkin diizinkan untuk mengakses fitur tertentu (RBAC fitur), lalu dalam fitur tersebut, aksesnya ke data tertentu mungkin dibatasi berdasarkan perannya (RBAC data).

Merencanakan penerapan Anda

Untuk merencanakan implementasi, tinjau daftar peran dan izin Google SecOps yang telah ditetapkan di Google Security Operations dan sesuaikan dengan kebutuhan organisasi Anda. Buat strategi untuk menentukan cakupan dan memberi label pada data yang masuk. Pastikan Anda memiliki peran Role Viewer (roles/iam.roleViewer) untuk mengelola cakupan. Identifikasi anggota yang harus memiliki akses ke data dalam cakupan ini.

Jika organisasi Anda memerlukan kebijakan IAM di luar peran Google SecOps yang telah ditetapkan, buat peran khusus untuk mendukung persyaratan tertentu.

Peran pengguna

Pengguna dapat memiliki akses data tercakup (pengguna tercakup) atau akses data global (pengguna global).

  • Pengguna tercakup memiliki akses terbatas ke data berdasarkan cakupan yang ditetapkan. Cakupan ini membatasi visibilitas dan tindakan mereka pada data tertentu. Izin khusus yang terkait dengan akses yang tercakup dijelaskan dalam tabel berikut.

  • Pengguna global tidak memiliki cakupan yang ditetapkan dan memiliki akses tanpa batas ke semua data dalam Google SecOps. Izin khusus yang terkait dengan akses global dijelaskan dalam tabel berikut.

Akses global menggantikan akses tercakup. Jika pengguna diberi peran global dan peran yang memiliki cakupan, mereka memiliki akses ke semua data, terlepas dari batasan yang diberlakukan oleh peran yang memiliki cakupan.

Administrator RBAC data dapat membuat cakupan dan menetapkannya kepada pengguna untuk mengontrol akses data mereka dalam Google SecOps. Untuk membatasi pengguna ke cakupan tertentu, Anda harus menetapkan peran Chronicle API Restricted Data Access (roles/chronicle.restrictedDataAccess) kepada mereka bersama dengan peran yang telah ditetapkan atau peran khusus. Peran Akses Data Terbatas Chronicle API mengidentifikasi pengguna sebagai pengguna yang memiliki cakupan. Anda tidak perlu menetapkan peran Chronicle Restricted Data Access kepada pengguna yang memerlukan akses data global.

Peran berikut dapat ditetapkan kepada pengguna:

Jenis akses Peran Izin
Akses global yang telah ditentukan sebelumnya Pengguna global dapat diberi salah satu peran IAM bawaan.
Akses hanya baca tercakup yang telah ditetapkan Akses Data Terbatas Chronicle API (roles/chronicle.restrictedDataAccess) dan Pelihat Akses Data Terbatas Chronicle API (roles/chronicle.restrictedDataAccessViewer) Chronicle API Restricted Data Access Viewer
Akses cakupan kustom Akses Data Terbatas Chronicle API (roles/chronicle.restrictedDataAccess) dan peran kustom (untuk definisi RBAC fitur) Izin kustom dalam fitur
Akses global kustom izin chronicle.globalDataAccessScopes.permit dan Akses Data Global Chronicle API (roles/globalDataAccess) Izin global dalam fitur

Berikut adalah deskripsi setiap jenis akses yang ditampilkan dalam tabel:

Akses global yang telah ditentukan sebelumnya: akses ini biasanya diperlukan untuk pengguna yang memerlukan akses ke semua data. Anda dapat menetapkan satu atau beberapa peran kepada pengguna berdasarkan izin yang diperlukan.

Akses hanya baca tercakup yang telah ditetapkan: akses ini ditujukan untuk pengguna yang memerlukan akses hanya baca. Peran Akses Data Terbatas API Chronicle mengidentifikasi pengguna sebagai pengguna yang memiliki cakupan. Peran Pelihat Akses Data Terbatas Chronicle API memberikan akses lihat kepada pengguna dalam fitur mereka.

Akses yang dicakup kustom: peran Akses Data Terbatas Chronicle API mengidentifikasi pengguna sebagai pengguna yang dicakup. Peran khusus menentukan fitur yang dapat diakses pengguna. Cakupan yang ditambahkan ke peran Akses Data Terbatas Chronicle API menentukan data yang dapat diakses pengguna dalam fitur.

Untuk memverifikasi fungsi cakupan kustom RBAC dengan benar, sertakan izin chronicle.dataAccessScopes.list saat membuat peran kustom. Namun, jangan sertakan izinchronicle.DataAccessScopes.permit atau chronicle.globalDataAccessScopes.permit. Izin ini mungkin disertakan jika Anda telah menggunakan Editor Chronicle API atau Admin Chronicle API bawaan sebagai titik awal untuk peran kustom Anda.

Akses global kustom: akses ini ditujukan bagi pengguna yang memerlukan izin tidak terbatas dalam fitur yang ditetapkan untuk mereka. Untuk memberikan akses global kustom kepada pengguna, Anda harus menentukan izin chronicle.globalDataAccessScopes.permit selain peran kustom yang ditetapkan kepada pengguna.

Peran pengguna untuk Dasbor

Akses ke dasbor dikontrol oleh dua faktor utama: peran fungsional pengguna dan cakupan akses data mereka. Kombinasi kedua elemen ini menentukan akses dasbor. Peran yang ditetapkan kepada pengguna secara langsung mengubah antarmuka pengguna dan kemampuan yang tersedia. Berikut adalah peran standar paling umum yang memberikan akses pengguna ke dasbor:

Jenis akses Peran Deskripsi
Pelihat roles/chroniclesiem.viewer Memberikan akses hanya baca. Pengguna dapat membuka dan berinteraksi dengan semua dasbor, tetapi tidak dapat membuat atau mengeditnya.
Editor roles/chroniclesiem.editor Memberikan akses ke semua data dan semua izin, termasuk kemampuan untuk membuat, mengedit, dan menghapus dasbor kustom.
Administrator roles/chroniclesiem.admin Memberikan izin penuh, mirip dengan peran Editor, dengan akses ke semua data.
Pelihat yang dibatasi roles/chroniclesiem.restrictedViewer Mirip dengan peran Pelihat, tetapi semua data yang ditampilkan di dasbor difilter sesuai dengan cakupan log yang ditetapkan pengguna (RBAC Data).

Untuk mengetahui informasi selengkapnya tentang RBAC data dan RBAC fitur, lihat Perbedaan antara RBAC data dan RBAC fitur.

Izin untuk peran khusus

Anda dapat menentukan izin terperinci dengan membuat peran khusus.

Izin berikut berlaku untuk Dasbor:

  • chronicle.dashboards.list: Memungkinkan pengguna melihat daftar dasbor yang tersedia.

  • chronicle.dashboards.get: Memungkinkan pengguna membuka dan melihat konten dasbor.

  • chronicle.dashboards.create: Memungkinkan pengguna membuat dasbor baru.

  • chronicle.dashboards.update: Memungkinkan pengguna mengedit dan menyimpan perubahan pada dasbor yang ada.

  • chronicle.dashboards.delete: Mengizinkan pengguna menghapus dasbor kustom.

Misalnya, Anda dapat membuat peran khusus Pembuat Dasbor hanya dengan chronicle.dashboards.create dan chronicle.dashboards.list permissions. Pengguna dengan peran ini dapat membuat dasbor baru, tetapi tidak dapat mengedit dasbor yang ada.

Kontrol akses dengan cakupan dan label

Google SecOps memungkinkan Anda mengontrol akses data ke pengguna menggunakan cakupan. Cakupan ditentukan dengan bantuan label yang menentukan data yang dapat diakses oleh pengguna dalam cakupan. Selama penyerapan, metadata ditetapkan ke data dalam bentuk label seperti namespace (opsional), metadata penyerapan (opsional), dan jenis log (wajib). Ini adalah label default yang diterapkan ke data selama penyerapan. Selain itu, Anda dapat membuat label khusus. Anda dapat menggunakan label default dan kustom untuk menentukan cakupan dan tingkat akses data yang akan ditentukan oleh cakupan.

Visibilitas data dengan label izinkan dan tolak

Setiap cakupan berisi satu atau beberapa label izinkan akses dan secara opsional, label tolak akses. Label akses mengizinkan pengguna mengakses data yang terkait dengan label. Label penolakan akses menolak akses pengguna ke data yang terkait dengan label. Label tolak akses menggantikan label izinkan akses dalam membatasi akses pengguna.

Dalam definisi cakupan, label akses yang diizinkan dengan jenis yang sama (misalnya, jenis log) digabungkan menggunakan operator OR, sedangkan label dengan jenis yang berbeda (misalnya, jenis log dan label kustom) digabungkan menggunakan operator AND. Label tolak akses digabungkan menggunakan operator OR. Jika beberapa label tolak akses diterapkan dalam suatu cakupan, akses akan ditolak jika cocok dengan SALAH SATU label tersebut.

Misalnya, pertimbangkan sistem Cloud Logging yang mengategorikan log menggunakan jenis label berikut:

Jenis log: Akses, Sistem, Firewall

Namespace: App1, App2, Database

Tingkat Keparahan: Kritis, Peringatan

Pertimbangkan cakupan bernama Log terbatas yang memiliki akses berikut:

Jenis label Nilai yang diizinkan Nilai yang ditolak
Jenis log Akses, Firewall Sistem
Namespace App1 App2, Database
Keparahan Peringatan Kritis

Definisi cakupan terlihat seperti ini:

Izinkan: (Log type: "Access" OR "Firewall") AND (Namespace: "App1") AND (Severity: "Warning")

Tolak: Log type: "System" OR Namespace: App2 OR Namespace: Database OR Severity: "Critical"

Contoh log yang cocok dengan cakupan:

  • Log akses dari App1 dengan Severity: Warning
  • Log firewall dari App1 dengan Severity: Warning

Contoh log yang tidak sesuai dengan cakupan:

  • Log sistem dari App1 dengan Severity: Warning
  • Log akses dari Database dengan Tingkat Keparahan: Peringatan
  • Log firewall dari App2 dengan Tingkat Keparahan: Kritis

Visibilitas data dalam peristiwa yang diperkaya

Peristiwa yang diperkaya adalah peristiwa keamanan yang telah ditingkatkan dengan konteks dan informasi tambahan di luar yang terdapat dalam data log mentah. Peristiwa yang dipertkaya dapat diakses dalam cakupan hanya jika peristiwa dasarnya dapat diakses dalam cakupan dan salah satu label yang dipertkaya tidak menyertakan salah satu label penolakan cakupan.

Misalnya, pertimbangkan log mentah yang menunjukkan upaya login yang gagal dari alamat IP dan memiliki label yang telah di-enrich user_risk: high (menunjukkan pengguna berisiko tinggi). Pengguna dengan cakupan yang memiliki label tolak user_risk: high tidak dapat melihat upaya login yang gagal oleh pengguna berisiko tinggi.

Dampak RBAC data pada fitur Google Security Operations

Setelah RBAC data dikonfigurasi, pengguna mulai melihat data yang difilter di fitur Google Security Operations. Dampaknya bergantung pada cara fitur diintegrasikan dengan data yang mendasarinya. Untuk memahami pengaruh RBAC data terhadap setiap fitur, lihat Dampak RBAC data terhadap fitur Google Security Operations.

Langkah berikutnya

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.