Vincular uma instância ao Google Cloud

Compatível com:

Neste documento, descrevemos como vincular uma instância do Google SecOps a uma nova assinatura.

Cenários de ativação de assinatura

Este documento se aplica aos seguintes cenários de ativação de assinatura:

Para novos clientes:

  • Provisionar uma nova instância do Google SecOps pela primeira vez.
  • Para reter os dados da sua prova de conceito (POC) concluída recentemente.

Para quem já é cliente:

  • Ativar renovações de assinatura e alterações contratuais para instâncias atuais do Google SecOps.

Cenários de vinculação de assinatura não abordados neste documento

Os seguintes cenários de vinculação de instâncias exigem ações diferentes que não são descritas neste documento:

  • Vincular uma instância de provedor de serviços de segurança gerenciados (MSSP):

    Para vincular a instância inicial do Google SecOps a um provedor de serviços de segurança gerenciados (MSSP, na sigla em inglês), entre em contato com seu representante do Google (ou, se ele não estiver disponível, fale com o suporte do Google SecOps) para receber ajuda com a configuração. Se a assinatura do MSSP já estiver ativa e vinculada, será possível implantar outras instâncias usando o fluxo de autoatendimento no console do Google Cloud. Para mais detalhes, consulte Implantar uma instância extra.

  • Locatários (instâncias) controlados por compliance:

    • Um locatário (instância) controlado por compliance está em conformidade com um dos seguintes padrões de controle de compliance: FedRAMP, FedRAMP_MODERATE, HIPAA, PCI_DSS, FedRAMP_HIGH, IL4, IL5, CMEK_V1 ou DRZ_ADVANCED.

    • Para um locatário (instância) controlado por compliance, entre em contato com seu representante do Google (ou, se ele não estiver disponível, fale com o suporte do Google SecOps). Eles fornecem um convite separado que segue um fluxo de trabalho diferente para locatários controlados por compliance.

      No fluxo de trabalho controlado por compliance, observe o seguinte:

      • É preciso localizar um locatário (instância) controlado por compliance em um projeto dentro de uma pasta do Assured Workloads. Consulte Federação de identidade de colaboradores para mais detalhes.

      • Ao selecionar um projeto do Google Cloud para manter um locatário controlado por compliance:

        1. Selecione uma pasta do Assured Workloads para abrir.
        2. Na pasta do Assured Workloads, clique no nome de um projeto do Google Cloud .
        3. Conclua a configuração conforme descrito em Configurar o IdP.

  • Migrar uma instância do Google SecOps que não seja de POC de um projeto do Google Cloud para um projeto do tipo Traga seu próprio projeto (BYOP) do Google Cloud

    É possível migrar sua instância do Google SecOps (e os dados dela) de um projeto do Google Cloud para um projeto do tipo Traga seu próprio projeto (BYOP, na sigla em inglês) do Google Cloud . Para mais detalhes, consulte Migrar um projeto que não é de POC para um BYOP.

  • Migrar uma instância legada do Google SecOps:

    É possível migrar uma instância legada do Google SecOps para o Google Cloud se ela atender a qualquer uma das seguintes condições:

    • Não está implantada no seu projeto do Google Cloud .
    • Não usa a autenticação do Google Cloud (federação de identidade de colaboradores / Cloud Identity).
    • Não usa o Google Cloud Identity and Access Management (IAM) para controle de acesso baseado em papéis (RBAC).

    Para migrar uma instância do Google SecOps, siga as etapas no guia Migrar a infraestrutura legada do SIEM para o Google Cloud.

Antes de começar

Antes de usar uma instância do Google SecOps com os serviços do Google Cloud, faça o seguinte:

  • Verifique as permissões. Verifique se você tem as permissões necessárias para concluir as etapas deste documento. Para informações sobre as permissões necessárias para cada fase do processo de integração, consulte Papéis e permissões necessários.

Antes de criar uma nova instância do Google SecOps com os serviços do Google Cloud, faça o seguinte:

  • Escolha um projeto do Google Cloud : crie um novo projeto do Google Cloud para sua instância do Google SecOps ou vincule-o a um projeto do Google Cloud atual.

    Para criar um novo projeto do Google Cloud e ativar a API Chronicle, siga as etapas em Configurar um projeto do Google Cloud para o Google SecOps.

  • Planeje a configuração do provedor de identidade (IdP) para a instância do Google SecOps:

    Sua instância do Google SecOps usa Logon único (SSO) e provedores de identidade (IdP) para autenticação de usuários e para aplicar controles de acesso seguros. Configure uma das seguintes opções para gerenciar usuários, grupos e autenticação na sua instância do Google SecOps: Cloud Identity, Google Workspace ou um provedor de identidade de terceiros (como Okta ou Azure AD):

  • Configure regras para o VPC Service Controls:

    Se a organização usa o VPC Service Controls, é necessário configurar as regras de entrada e saída relevantes, que estão documentadas em Configurar o VPC Service Controls para o Google SecOps.

  • Configure as regras de lista de permissões de firewall e proxy:

    Se a organização usa firewalls ou proxies da Web, permita conexões HTTPS de saída e WebSocket Secure (WSS) na porta TCP 443 para os domínios necessários. Para mais informações, consulte Acesso à rede e lista de permissões de domínio.

Vincular uma instância do Google SecOps a uma nova assinatura

Depois que sua organização assinar o novo contrato de assinatura do Google SecOps, o Google vai enviar um e-mail de ativação da assinatura para o especialista em integração da sua organização (seu ponto de contato técnico) na data de início da assinatura. Esse e-mail contém instruções de ativação da assinatura e um link de ativação único, válido por 60 dias.

Para vincular sua instância do Google SecOps a uma nova assinatura, siga estas etapas:

  1. Ativar a assinatura
  2. Selecione o projeto Google Cloud
  3. Adicionar contatos essenciais
  4. Verificar os detalhes da implantação
  5. Iniciar a configuração da instância

Ativar a assinatura

Conclua a ativação da assinatura do Google SecOps:

  1. Leia as instruções de ativação no e-mail de ativação.

  2. Clique no link Ativar sua assinatura para abrir a página Ativação do Google Security Operations.

  3. A página de ativação mostra os Direitos da sua assinatura.

    Leia e verifique os detalhes do direito de assinatura e o ID da conta de faturamento.

    • Se todos os detalhes estiverem corretos, marque a caixa de seleção Li e concordo com os detalhes e quero prosseguir com a ativação. Anote o ID da conta de faturamento para usar nas próximas etapas.
    • Para atualizar os detalhes de um direito de acesso, entre em contato com seu representante do Google (ou, se ele não estiver disponível, fale com o suporte do Google SecOps).

  4. Na seção Criar ou começar com uma instância do SecOps, vincule sua nova assinatura a uma instância atual ou crie uma nova com base nos requisitos de ativação:

    • Para criar uma instância do Google SecOps para uma nova assinatura:

      Selecione Criar nova instância para abrir a página Vincular o SecOps a um projeto.

    • Para renovar uma assinatura do Google SecOps ou aplicar uma alteração de assinatura:

      1. Selecione Instância atual.

        O sistema exibe uma lista de instâncias do Google SecOps vinculadas à conta de faturamento. Após a ativação, o sistema aplica os novos direitos de assinatura a todas essas instâncias vinculadas.

      2. Verifique se a lista de instâncias está correta.

        Se alguma instância estiver faltando na lista, siga um destes procedimentos:

        • Verifique se as contas de faturamento dos projetos do Google Cloud que hospedam as instâncias ausentes correspondem à conta de faturamento da nova assinatura. Se não forem iguais, atualize as contas de faturamento dos projetos do Google Cloud para que correspondam à conta de faturamento da nova assinatura.
        • Entre em contato com seu representante do Google ou, se ele não estiver disponível, com o suporte do Google SecOps.

      3. (Opcional) Se você quiser criar outra instância do Google SecOps ao mesmo tempo em que ativa a assinatura, marque a caixa de seleção Quero criar uma nova instância….

      4. Clique em Ativar assinatura.

        O sistema aplica os novos direitos de assinatura a todas as instâncias vinculadas a essa conta de faturamento.

  1. Na página Vincular o SecOps a um projeto, clique em Selecionar um projeto para abrir a página Selecionar um recurso.

  2. Na página Selecionar um recurso, selecione sua Organização na lista.

  3. Opcional: recomendamos que você crie um novo projeto do Google Cloud dedicado para cada instância do Google SecOps.

    Clique em Novo projeto para criar um novo projeto do Google Cloud para sua instância e siga as etapas em Configurar um projeto do Google Cloud para o Google SecOps.

  4. Selecione um projeto do Google Cloud na lista Projetos e pastas da seguinte maneira:

    • Critérios de seleção de projetos:

      • Não é possível selecionar um projeto ou uma pasta que tenha um ícone de aviso Aviso ao lado. Para ver o motivo, mantenha o ponteiro sobre o ícone, por exemplo, permissões ausentes ou incompatibilidade de conta de faturamento.

        • O projeto precisa usar a mesma conta de faturamento da instância do Google SecOps.

        • É possível vincular o projeto do Google Cloud a apenas uma instância do Google SecOps.

        • É preciso ter as permissões do IAM necessárias para acessar e trabalhar com o projeto. Consulte Permissões para adicionar um projeto do Google Cloud .

    • Selecione um projeto do Google Cloud :

      • Clique no nome do projeto do Google Cloud .

      • Depois de selecionar um projeto, se você quiser selecionar outro, faça o seguinte: na página Vincular o SecOps a um projeto, clique no projeto para abrir a página Selecionar um recurso e selecione outro projeto.

Adicionar contatos essenciais

Adicione contatos para receber notificações críticas sobre problemas técnicos, de segurança, jurídicos e de faturamento.

Depois de selecionar um projeto, a tabela Contatos essenciais será exibida. Essa tabela mostra as Categorias de notificação e os endereços de E-mail que você atribuiu como contatos. É preciso atribuir um contato a pelo menos estas quatro categorias obrigatórias: técnico, segurança, jurídico e faturamento.

Atribua um contato a uma categoria de notificação da seguinte maneira:

  1. Para abrir a janela Editar contato, clique em Adicionar contato ou em editar Editar em uma categoria de notificação que tenha um contato.

  2. Insira o endereço de e-mail da pessoa de contato e selecione uma ou mais categorias de notificação.

  3. Clique em Salvar.

    Repita as etapas para a próxima categoria de notificação.

  4. Depois de atribuir os contatos, clique em Próxima para vincular sua instância do Google SecOps ao projeto selecionado e abrir a página Implantação.

Verificar os detalhes da implantação

A página Implantação mostra os detalhes finais para você revisar antes de implantar.

Valide os detalhes em cada seção preenchida:

  1. Detalhes da implantação

    Nesta seção, mostramos os detalhes da instância definidos pelo contrato, como empresa, região, nível do pacote e duração da retenção de dados.

    • Para ver as informações da instância, acesse https://console.cloud.google.com/security/chronicle/settings.

    • Para atualizar qualquer informação, entre em contato com seu representante do Google (ou, se ele não estiver disponível, entre em contato com o suporte do Google SecOps).

    Clique em Próxima para acessar a próxima seção.

  2. Analisar conta de serviço

    Analise os detalhes da conta de serviço que o sistema cria. Clique em Próxima para acessar a próxima seção.

  3. Configurar o Logon único (SSO)

    Escolha uma das seguintes opções de provedor de SSO com base no provedor de identidade que você usa para gerenciar o acesso de usuários e grupos ao Google SecOps:

    • Google Cloud Identity: para usar o Cloud Identity ou o Google Workspace.

    • Federação de identidade de colaboradores: seu provedor de identidade de terceiros.

      Se o provedor de identidade não estiver listado, configure-o e selecione-o na lista. Para mais detalhes, consulte Configurar um provedor de identidade de terceiros.

      Clique em Próxima para acessar a próxima seção.

  4. Termos de Serviço

    Marque a caixa de seleção Concordo com… para aceitar os termos.

Iniciar a configuração da instância

Clique em Iniciar configuração para configurar sua instância do Google SecOps de acordo com os detalhes exibidos.

O sistema verifica se a API Chronicle está ativada. Se a API estiver ativada, ela vai executar o processo de implantação, que pode levar até 30 minutos para ser concluído.

  • Quando a implantação for concluída, o sistema vai enviar uma notificação.
  • Se a implantação falhar, entre em contato com seu representante do Google ou, se ele não estiver disponível, com o suporte do Google SecOps.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.