גישה למכונה של Google SecOps

נתמך ב:

המדריך הזה עוזר לאדמינים ב-Google SecOps להגדיר את הגישה של המשתמשים למכונה חדשה שהוקצתה ב-Google SecOps. כדי לשמור על האבטחה ועל היעילות התפעולית, חשוב להגדיר נכון את בקרת הגישה ולהבין איך לפתור בעיות נפוצות.

לפני שמתחילים

הגדרת הרשאות הגישה של המשתמשים

כדי לאפשר למשתמשים לגשת למכונה של Google SecOps, נכנסים למכונה ופועלים לפי השלבים הבאים.

  1. הגדרת משתמשים: עובדים עם האדמין של ניהול הזהויות כדי להגדיר את המשתמשים בהגדרת האימות שבחרתם:

    • ‫Cloud Identity: צריך להוסיף חשבונות משתמשים ל-Cloud Identity. מידע נוסף זמין במאמר הגדרת ספק זהויות ב-Google Cloud.

    • ספק זהויות של צד שלישי:

      • אתם צריכים להוסיף חשבונות של משתמשים וקבוצות לספק הזהויות של הצד השלישי.
      • כחלק מההגדרה של איחוד שירותי אימות הזהות של כוח העבודה, צריך להגדיר משתמשים וקבוצות. מידע נוסף זמין במאמר הגדרת ספק זהויות של צד שלישי.

  2. הקצאת תפקידים ב-IAM: מקצים למשתמשים תפקידים ספציפיים מוגדרים מראש או בהתאמה אישית ב-IAM, בהתאם לתכונות שהם צריכים לגשת אליהן. מידע נוסף זמין במאמר הגדרת בקרת גישה לתכונות באמצעות IAM.

  3. מיפוי הרשאות SOAR: בדף מיפוי קבוצות, ממפים משתמשים לסביבות ה-SOAR הנדרשות, לקבוצות ההרשאות של SOAR (אם לא עברתם ל-IAM) ולתפקידי SOC של SOAR. מידע נוסף זמין במאמר שליטה בגישה לפלטפורמה.

השבתת הגדרות הגישה שמוגדרות כברירת מחדל ל-SOAR

כברירת מחדל, בדף Group Mapping ב-SOAR מופעל המתג Default Access Settings. הפעולה הזו מעניקה את ההרשאות הבאות לכל המשתמשים והקבוצות שלא מוגדרים במפורש בטבלה מיפוי קבוצות:

אחרי שמגדירים את הרשומות (השורות) הנדרשות בטבלה Group Mappings, מומלץ להשבית את המתג Default Access Settings כדי לאכוף את העיקרון של הרשאות מינימליות.

לפתור בעיות שקשורות לגישה

אם המשתמשים נתקלים בבעיות בכניסה ל-Google SecOps, יכול להיות שהסיבה לכך היא הגדרת ה-IAM בפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.

לדוגמה, יכול להיות שתוצג למשתמשים הודעת השגיאה הבאה: Cannot Authenticate user, because user does not have access to the GCP project associated with this Chronicle customer.

בדרך כלל, השגיאה הזו מופיעה כי בפרויקט Google Cloud המשויך לא הוקצו תפקידי ה-IAM הנדרשים לחשבון או לקבוצה של המשתמש.

סיבות נפוצות ופתרונות

שגיאה תיאור פתרון
המשתמש או הקבוצה חסרים בהגדרות של IAM יכול להיות שמדיניות ה-IAM של הפרויקט המקושר ב- Google Cloud לא כוללת את המשתמש או הקבוצה, או שאדמין הסיר אותם.
  1. במסוף Google Cloud , נכנסים לקטע IAM & Admin ‏> IAM בפרויקט Google Cloud שמקושר למכונה של Google SecOps, ומוודאים שהמשתמש או הקבוצה חברים בפרויקט.
  2. בודקים שהמשתמש או הקבוצה מופיעים בהגדרות של IAM, ושיש להם את התפקידים הנדרשים כדי לגשת למכונה של Google SecOps.
  3. אם צריך, מקצים את התפקידים המתאימים. מידע נוסף על התפקידים הנדרשים זמין במאמר הגדרת בקרת גישה לתכונות באמצעות IAM.
תפקידי IAM שגויים המשתמש או הקבוצה כלולים בהגדרות של IAM, אבל אין להם את התפקידים הספציפיים שנדרשים כדי לגשת למכונה של Google SecOps.
  • מוודאים שלמשתמש או לקבוצה הוקצו התפקידים הנכונים (תפקידים מוגדרים מראש או תפקידים בהתאמה אישית) ב- Google Cloud IAM (בקטע IAM וניהול > IAM) בהתאם למדיניות הגישה של הארגון. מידע נוסף על תפקידים זמין במאמר הגדרת בקרת גישה לתכונות באמצעות IAM.
  • מוסיפים את המשתמש או הקבוצה למדיניות ה-IAM או משנים את התפקידים שלהם לפי הצורך כדי לתת גישה. הערה: רק האדמינים של הפרויקטים בארגון יכולים לבצע את השינויים האלה ב-IAM. Google Cloud צוות התמיכה לא יכול לבצע את השינויים האלה.
שינויים אחרונים ב-IAM יכול להיות שאדמין או כלי אוטומציה שינו לאחרונה את כללי מדיניות ה-IAM, וזה השפיע על הגישה של המשתמשים בלי כוונה.
  • בודקים את יומני הביקורת של Cloud בפרויקט Google Cloud המקושר כדי לעקוב אחרי השינויים האחרונים בהרשאות IAM. מסננים את היומנים לפי שינויים במדיניות IAM כדי לזהות שינויים שאולי הסירו או שינו את הגישה הנדרשת.
  • כדי לבדוק את יומני הביקורת במסוף Google Cloud , נכנסים אל Logging‏ > Logs Explorer. בודקים ביומני הביקורת של Cloud אם יש פעולות SetIamPolicy שבוצעו לאחרונה ויכולות להעיד על שינויים בהרשאות.

מידע נוסף על התפקידים הנדרשים זמין במאמר הגדרת בקרת גישה לתכונות באמצעות IAM.

אם חומות אש של תעבורת נתונים יוצאת או שרתי proxy לאינטרנט חוסמים את הכניסה לדפדפן או את טעינת הדפים, צריך לאפשר חיבורים יוצאים של HTTPS ו-WebSocket Secure ‏(WSS) ביציאת TCP‏ 443. מוסיפים לרשימת ההיתרים את הדומיינים הנדרשים של Google SecOps, של איחוד שירותי אימות הזהות של כוח העבודה, של IdP ושל Google Cloud , כדי שההפניות האוטומטיות לאימות ונכסי ממשק המשתמש יוכלו להיטען. מידע נוסף זמין במאמר גישה לרשת ורשימת היתרים של דומיינים.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.