הגדרת גישה לפיצ'רים

נתמך ב:

בקרת גישה מבוססת-תפקידים (RBAC) לתכונות קובעת את הגישה של המשתמשים לתכונות או לפונקציות ספציפיות במערכת, ומגדירה אילו תכונות נגישות למשתמשים על סמך התפקידים שלהם. בדף הזה מוסבר איך אפשר להגדיר ב-Google Security Operations בקרת גישה לתכונות.

במסמך הזה, המונח RBAC מדור קודם מתייחס למערכת בקרת הגישה שהייתה זמינה בעבר, שהוגדרה באמצעות הצד של SIEM ב-Google SecOps, ולא באמצעות ניהול הזהויות והרשאות הגישה (IAM). Feature RBAC הוא תיאור של בקרת גישה מבוססת-תכונות שמוגדרת באמצעות IAM.

‫Google SecOps משולב עם Google Cloud IAM כדי לספק הרשאות ותפקידים מוגדרים מראש ספציפיים ל-Google SecOps. השינוי הזה חל גם על תכונות SIEM וגם על תכונות SOAR, עבור לקוחות שהעבירו קבוצות הרשאות SOAR לתפקידי IAM.

אדמינים של Google SecOps יכולים לשלוט בגישה לתכונות על ידי יצירת כללי מדיניות ב-IAM שמקשרים משתמשים או קבוצות לתפקידים מוגדרים מראש, או ליצור תפקידי IAM בהתאמה אישית. התכונה הזו לא שולטת בגישה לרשומות UDM ספציפיות או לשדות ברשומת UDM.

במסמך הזה מוסבר על:

  • כאן מוסבר איך Google SecOps משתלב עם IAM.
  • הסבר על ההבדלים בין תפקידי RBAC של תכונות לבין תפקידי RBAC מדור קודם.
  • במאמר הזה מוסבר איך להעביר מכונת Google SecOps ל-RBAC של תכונות.
  • דוגמאות להקצאת הרשאות באמצעות IAM.
  • סיכום של ההרשאות והתפקידים המוגדרים מראש שזמינים ב-IAM.

רשימה של הרשאות נפוצות ב-Google SecOps ויומני הביקורת שהן יוצרות זמינה במאמר הרשאות ושיטות API לפי קבוצת משאבים. רשימה של כל ההרשאות ב-Google SecOps מופיעה במאמר הפניה להרשאות בניהול זהויות והרשאות גישה.

כל הרשאה ב-Google SecOps משויכת למשאב ול-method של Chronicle API. כשמשתמש או קבוצה מקבלים הרשאה, המשתמש יכול לגשת לתכונה ב-Google SecOps ולשלוח בקשה באמצעות שיטת ה-API שקשורה אליה.

איך Google SecOps משתלב עם IAM

כדי להשתמש ב-IAM, צריך לקשר את Google SecOps לפרויקט Google Cloudולהגדיר אותו עם Cloud Identity,‏ Google Workspace או Google Cloud איחוד שירותי אימות הזהות של כוח עבודה בתור מתווך בתהליך האימות לספק זהויות של צד שלישי. מידע על תהליך האימות של צד שלישי זמין במאמר שילוב של Google SecOps עם ספק זהויות של צד שלישי.

כדי לאמת ולשלוט בגישה לתכונות, Google SecOps מבצע את השלבים הבאים:

  1. אחרי שהמשתמש מתחבר ל-Google SecOps, הוא מקבל גישה לדף אפליקציה של Google SecOps. לחלופין, המשתמש יכול לשלוח בקשת API ל-Google SecOps.
  2. ‫Google SecOps מאמת את ההרשאות שניתנו בכללי המדיניות של IAM שהוגדרו למשתמש.
  3. מערכת IAM מחזירה את פרטי ההרשאה. אם המשתמש ניגש לדף של אפליקציה, Google SecOps מאפשר גישה רק לתכונות שהמשתמש קיבל אליהן גישה.
  4. אם המשתמש שלח בקשת API ואין לו הרשאה לבצע את הפעולה המבוקשת, תגובת ה-API כוללת שגיאה. אחרת, מוחזרת תגובה רגילה.

ב-Google SecOps יש קבוצה של תפקידים מוגדרים מראש עם קבוצה מוגדרת של הרשאות שקובעות אם למשתמש יש גישה לתכונה. מדיניות IAM אחת שולטת בגישה לתכונה באמצעות ממשק האינטרנט וה-API.

אם יש שירותים Google Cloud אחרים בפרויקט Google Cloud שמקושרים ל- Google SecOps, ואתם רוצים להגביל משתמש עם תפקיד אדמין IAM בפרויקט כך שהוא יוכל לשנות רק את המשאבים של Google SecOps, הקפידו להוסיף תנאי IAM למדיניות ההרשאות. במאמר הקצאת תפקידים למשתמשים ולקבוצות יש דוגמה לאופן ההקצאה.

אדמינים יכולים להתאים את הגישה לתכונות של Google SecOps בהתאם לתפקיד של העובד בארגון.

לפני שמתחילים

תכנון ההטמעה

יצירת כללי מדיניות של IAM שתומכים בדרישות הפריסה של הארגון. אתם יכולים להשתמש בתפקידים מוגדרים מראש של Google SecOps או בתפקידים בהתאמה אישית שאתם יוצרים.

בודקים את רשימת התפקידים וההרשאות המוגדרים מראש ב-Google SecOps בהשוואה לדרישות של הארגון. מזהים בארגון אילו משתמשים צריכים לקבל גישה לכל תכונה ב-Google SecOps. אם הארגון שלכם דורש מדיניות IAM ששונה מהתפקידים המוגדרים מראש ב-Google SecOps, אתם יכולים ליצור תפקידים בהתאמה אישית כדי לתמוך בדרישות האלה. מידע על תפקידים בהתאמה אישית ב-IAM זמין במאמר יצירה וניהול של תפקידים בהתאמה אישית.

סיכום של התפקידים וההרשאות ב-Google SecOps

בקטעים הבאים מופיע סיכום כללי של התפקידים המוגדרים מראש.

הרשימה העדכנית ביותר של ההרשאות ב-Google SecOps מופיעה במאמר הפניה להרשאות IAM. בקטע חיפוש הרשאה, מחפשים את המונח chronicle.

הרשימה העדכנית ביותר של התפקידים המוגדרים מראש ב-Google Security Operations מופיעה במאמר מסמך עזר בנושא תפקידים בסיסיים ומוגדרים מראש ב-IAM. בקטע Predefined roles, בוחרים באפשרות Chronicle API roles או מחפשים את המונח chronicle.

במאמר הרשאות Chronicle ב-IAM מפורטות שיטות API וההרשאות שנדרשות לשימוש בהן, וגם מידע על הדפים שבהם נעשה שימוש בהרשאות ועל המידע שמתועד ביומני הביקורת ב-Cloud כשמתבצעת קריאה ל-API.

תפקידים מוגדרים מראש ב-Google SecOps ב-IAM

‫Google SecOps מספקת את התפקידים המוגדרים מראש הבאים, כפי שהם מופיעים ב-IAM.

תפקיד מוגדר מראש ב-IAM כותרת תיאור
roles/chronicle.admin Chronicle API Admin גישה מלאה לשירותי API ולאפליקציות של Google SecOps, כולל הגדרות גלובליות.
roles/chronicle.editor Chronicle API Editor שינוי הגישה למשאבי אפליקציות ולמשאבי API של Google SecOps.
roles/chronicle.viewer Chronicle API Viewer הרשאת קריאה בלבד למשאבי ה-API ולאפליקציות של Google SecOps
roles/chronicle.limitedViewer Chronicle API Limited Viewer הרשאת קריאה בלבד במשאבי האפליקציה וממשקי ה-API של Google SecOps, לא כולל כללים של מנוע הזיהוי וחיפושים רטרואקטיביים.
roles/chronicle.soarAdmin אדמין של Chronicle SOAR גישה מלאה לאפליקציית Google SecOps SOAR ולשירותי ה-API שלה, כולל הגדרות גלובליות. אחרי המעבר ל- Google Cloud, תוכלו לנהל את ה-RBAC של התכונות בצד ה-SOAR של הפלטפורמה.

הרשאות Google SecOps ב-IAM

ההרשאות ב-Google SecOps זהות לגמרי ל-methods של Chronicle API. כל הרשאה ב-Google SecOps מאפשרת לבצע פעולה ספציפית בתכונה ספציפית של Google SecOps כשמשתמשים באפליקציית האינטרנט או ב-API. ממשקי Google SecOps API שמשמשים עם IAM נמצאים בשלב ההשקה אלפא.

שמות ההרשאות ב-Google SecOps הם בפורמט SERVICE.FEATURE.ACTION. לדוגמה, שם ההרשאה chronicle.dashboards.edit מורכב מהרכיבים הבאים:

  • ‫chronicle: שם שירות ה-API של Chronicle.
  • ‫dashboards: שם התכונה.
  • ‫edit: הפעולה שאפשר לבצע בתכונה.

שם ההרשאה מתאר את הפעולה שאפשר לבצע בתכונה ב-Google SecOps. לכל ההרשאות ב-Google SecOps יש chronicle שם שירות.

הקצאת תפקידים למשתמשים ולקבוצות

בקטעים הבאים מופיעים תרחישים לדוגמה ליצירת מדיניות IAM. המונח <project> מייצג את מזהה הפרויקט של הפרויקט שקישרתם ל-Google SecOps.

אחרי שמפעילים את Chronicle API, ההרשאות והתפקידים המוגדרים מראש של Google SecOps זמינים ב-IAM, ואפשר ליצור כללי מדיניות לתמיכה בדרישות הארגון.

אם יש לכם מכונת Google SecOps חדשה, אתם יכולים להתחיל ליצור מדיניות IAM כדי לעמוד בדרישות הארגון.

אם מדובר במכונת Google SecOps קיימת, במאמר העברת Google SecOps ל-IAM לצורך בקרת גישה לפיצ'רים מוסבר איך להעביר את המכונה ל-IAM.

דוגמה: הקצאת התפקיד 'אדמין IAM בפרויקט' בפרויקט ייעודי

בדוגמה הזו, הפרויקט מוקדש למופע של Google SecOps. מקצים למשתמש את התפקיד אדמין IAM בפרויקט כדי שהוא יוכל להקצות ולשנות את הקישורים של תפקידי ה-IAM בפרויקט. המשתמש יכול לנהל את כל התפקידים וההרשאות ב-Google SecOps בפרויקט ולבצע משימות שניתנות על ידי התפקיד Project IAM Admin.

הקצאת התפקיד באמצעות Google Cloud המסוף

בשלבים הבאים מוסבר איך להקצות תפקיד למשתמש באמצעות מסוף Google Cloud .

  1. פותחים את Google Cloud המסוף.
  2. בוחרים את הפרויקט שמקושר ל-Google SecOps.
  3. בוחרים באפשרות IAM & Admin (ניהול הרשאות גישה).
  4. לוחצים על הענקת גישה. מופיעה ההודעה Grant Access to <project> (הענקת גישה אל ).
  5. בקטע Add Principals (הוספת חשבונות משתמשים), מזינים את כתובת האימייל בחשבון המנוהל בשדה New principals (חשבונות משתמשים חדשים).
  6. בקטע Assign Roles (הקצאת תפקידים), בתפריט Select a role (בחירת תפקיד), בוחרים את התפקיד Project IAM Admin (אדמין של IAM בפרויקט).
  7. לוחצים על Save.
  8. פותחים את הדף IAM > Permissions כדי לוודא שהתפקיד הנכון הוענק למשתמש.

הקצאת התפקיד באמצעות Google Cloud CLI

בדוגמה הבאה מוצגת פקודה להענקת התפקיד chronicle.admin למשתמש באמצעות איחוד שירותי אימות הזהות של כוח העבודה.

gcloud projects add-iam-policy-binding PROJECT_ID  \
--member=principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/USER_EMAIL \
--role=roles/chronicle.admin

מחליפים את מה שכתוב בשדות הבאים:

בדוגמה הבאה מוסבר איך להשתמש בפקודה כדי להעניק למשתמש את התפקיד chronicle.admin כשמשתמשים ב-Cloud Identity או ב-Google Workspace.

gcloud projects add-iam-policy-binding PROJECT_ID  \
  --member "user:USER_EMAIL" \
  --role=roles/chronicle.admin

מחליפים את מה שכתוב בשדות הבאים:

דוגמה: הקצאת תפקיד אדמין IAM בפרויקט משותף

בדוגמה הזו, הפרויקט משמש לכמה אפליקציות. היא קשורה למכונת Google SecOps ומריצה שירותים שלא קשורים ל-Google SecOps. לדוגמה, משאב Compute Engine שמשמש למטרה אחרת.

במקרה כזה, אפשר להקצות למשתמש את התפקיד Project IAM Admin כדי שהוא יוכל להקצות ולשנות את קישורי תפקידי ה-IAM של הפרויקט ולהגדיר את Google SecOps. בנוסף, תוסיפו את IAM לתפקיד כדי להגביל את הגישה שלו לתפקידים שקשורים ל-Google SecOps בפרויקט בלבד. המשתמש הזה יכול להעניק רק תפקידים שצוינו בתנאי IAM.

למידע נוסף על תנאים ב-IAM, ראו סקירה כללית על תנאים ב-IAM וניהול של קישורי תפקידים מותנים.

הקצאת התפקיד באמצעות Google Cloud המסוף

בשלבים הבאים מוסבר איך להקצות תפקיד למשתמש באמצעות מסוף Google Cloud .

  1. פותחים את Google Cloud המסוף.
  2. בוחרים את הפרויקט שמקושר ל-Google SecOps.
  3. בוחרים באפשרות IAM & Admin (ניהול הרשאות גישה).
  4. לוחצים על הענקת גישה. מופיעה ההודעה Grant Access to <project> (הענקת גישה אל ).
  5. בתיבת הדו-שיח Grant Access to <project>, בקטע Add Principals, מזינים את כתובת האימייל של המשתמש בשדה New Principals.
  6. בקטע Assign Roles (הקצאת תפקידים), בתפריט Select a role (בחירת תפקיד), בוחרים את התפקיד Project IAM Admin (אדמין IAM של פרויקט).
  7. לוחצים על + Add IAM Condition (הוספת תנאי IAM).
  8. בתיבת הדו-שיח הוספת תנאי, מזינים את הפרטים הבאים:
    1. מזינים כותרת לתנאי.
    2. בוחרים באפשרות כלי לעריכת תנאים.
    3. מזינים את התנאי הבא:
  api.getAttribute(iam.googleapis.com/modifiedGrantsByRole,[]).hasOnly([roles/chronicle.googleapis.com/limitedViewer, roles/chronicle.googleapis.com/viewer, roles/chronicle.googleapis.com/editor, roles/chronicle.googleapis.com/admin])
  1. לוחצים על שמירה בתיבת הדו-שיח הוספת תנאי.
  2. בתיבת הדו-שיח Grant Access to <project>, לוחצים על Save.
  3. פותחים את הדף IAM > Permissions כדי לוודא שהתפקיד הנכון הוענק למשתמש.

הקצאת התפקיד באמצעות Google Cloud CLI

בדוגמת הפקודה הבאה מוצג איך להעניק למשתמש את התפקיד chronicle.admin ולהחיל תנאי IAM כשמשתמשים באיחוד שירותי אימות הזהות של כוח עבודה.

gcloud projects add-iam-policy-binding PROJECT_ID  \
--member=principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/USER_EMAIL \
--role=roles/chronicle.admin\
--condition=^:^'expression=api.getAttribute(iam.googleapis.com/modifiedGrantsByRole,[]).hasOnly([roles/chronicle.googleapis.com/limitedViewer, roles/chronicle.googleapis.com/viewer, roles/chronicle.googleapis.com/editor, roles/chronicle.googleapis.com/admin])':'title=Chronicle Role Admin'

מחליפים את מה שכתוב בשדות הבאים:

בדוגמה הבאה מוסבר איך להעניק לקבוצה את התפקיד chronicle.admin ולהחיל תנאי IAM כשמשתמשים ב-Cloud Identity או ב-Google Workspace.

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member=user:USER_EMAIL \
  --role=roles/chronicle.admin\
  --condition=^:^'expression=api.getAttribute(iam.googleapis.com/modifiedGrantsByRole,[]).hasOnly([roles/chronicle.googleapis.com/limitedViewer, roles/chronicle.googleapis.com/viewer, roles/chronicle.googleapis.com/editor, roles/chronicle.googleapis.com/admin])':'title=Chronicle Role Admin'

מחליפים את מה שכתוב בשדות הבאים:

דוגמה: הקצאת התפקיד Chronicle API Editor למשתמש

במצב כזה, רוצים לתת למשתמש את האפשרות לשנות את הגישה למשאבי Chronicle API.

הקצאת התפקיד באמצעות Google Cloud המסוף

  1. פותחים את Google Cloud המסוף.
  2. בוחרים את הפרויקט שמקושר ל-Google SecOps.
  3. בוחרים באפשרות IAM & Admin (ניהול הרשאות גישה).
  4. לוחצים על הענקת גישה. תיבת הדו-שיח Grant Access to <project> נפתחת.
  5. בקטע Add Principals (הוספת גורמים), בשדה New principals (גורמים חדשים), מזינים את כתובת האימייל של המשתמש.
  6. בקטע Assign Roles (הקצאת תפקידים), בתפריט Select a role (בחירת תפקיד), בוחרים בתפקיד Chronicle API Editor (עריכת Chronicle API).
  7. בתיבת הדו-שיח Grant Access to <project>, לוחצים על Save.
  8. פותחים את הדף IAM > Permissions כדי לוודא שהתפקיד הנכון הוענק למשתמש.

הקצאת התפקיד באמצעות Google Cloud CLI

בדוגמת הפקודה הבאה מוצג איך להעניק למשתמש את התפקיד chronicle.editor כשמשתמשים באיחוד שירותי אימות הזהות של כוח העבודה.

gcloud projects add-iam-policy-binding PROJECT_ID  \
  --member=principal://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/subject/USER_EMAIL \
  --role=roles/chronicle.editor

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה הפרויקט של הפרויקט שנוצר ב-קישור מופע של Google SecOps לפרויקט Google Cloud . במאמר יצירה וניהול של פרויקטים מפורטים השדות שמזהים פרויקט.
  • ‫WORKFORCE_POOL_ID: המזהה של מאגר הזהויות של כוח העבודה שנוצר עבור ספק הזהויות שלכם.

  • ‫USER_EMAIL: כתובת האימייל של המשתמש.

    בדוגמת הפקודה הבאה מוצג איך להעניק למשתמש את התפקיד chronicle.editor כשמשתמשים ב-Cloud Identity או ב-Google Workspace.

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member=user:USER_EMAIL \
  --role=roles/chronicle.editor

מחליפים את מה שכתוב בשדות הבאים:

דוגמה: יצירה והקצאה של תפקיד בהתאמה אישית לקבוצה

אם התפקידים המוגדרים מראש ב-Google SecOps לא מספקים את קבוצת ההרשאות שמתאימה לתרחיש השימוש בארגון שלכם, אתם יכולים ליצור תפקיד בהתאמה אישית ולהקצות לו הרשאות של Google SecOps. מקצים את התפקיד בהתאמה אישית למשתמש או לקבוצה. מידע נוסף על תפקידי IAM בהתאמה אישית זמין במאמר יצירה וניהול של תפקידים בהתאמה אישית.

כדי ליצור תפקיד בהתאמה אישית בשם LimitedAdmin, פועלים לפי השלבים הבאים.

  1. יוצרים קובץ YAML או JSON שמגדיר את התפקיד בהתאמה אישית, שנקרא LimitedAdmin, ואת ההרשאות שמוענקות לתפקיד הזה. קובץ YAML לדוגמה:

    title: "LimitedAdmin"
description: "Admin role with some permissions removed"
stage: "ALPHA"
includedPermissions:
- chronicle.collectors.create
- chronicle.collectors.delete
- chronicle.collectors.get
- chronicle.collectors.list
- chronicle.collectors.update
- chronicle.dashboards.copy
- chronicle.dashboards.create
- chronicle.dashboards.delete
- chronicle.dashboards.get
- chronicle.dashboards.list
- chronicle.extensionValidationReports.get
- chronicle.extensionValidationReports.list
- chronicle.forwarders.create
- chronicle.forwarders.delete
- chronicle.forwarders.generate
- chronicle.forwarders.get
- chronicle.forwarders.list
- chronicle.forwarders.update
- chronicle.instances.get
- chronicle.instances.report
- chronicle.legacies.legacyGetCuratedRulesTrends
- chronicle.legacies.legacyGetRuleCounts
- chronicle.legacies.legacyGetRulesTrends
- chronicle.legacies.legacyUpdateFinding
- chronicle.logTypeSchemas.list
- chronicle.multitenantDirectories.get
- chronicle.operations.cancel
- chronicle.operations.delete
- chronicle.operations.get
- chronicle.operations.list
- chronicle.operations.wait
- chronicle.parserExtensions.activate
- chronicle.parserExtensions.create
- chronicle.parserExtensions.delete
- chronicle.parserExtensions.generateKeyValueMappings
- chronicle.parserExtensions.get
- chronicle.parserExtensions.legacySubmitParserExtension
- chronicle.parserExtensions.list
- chronicle.parserExtensions.removeSyslog
- chronicle.parsers.activate
- chronicle.parsers.activateReleaseCandidate
- chronicle.parsers.copyPrebuiltParser
- chronicle.parsers.create
- chronicle.parsers.deactivate
- chronicle.parsers.delete
- chronicle.parsers.get
- chronicle.parsers.list
- chronicle.parsers.runParser
- chronicle.parsingErrors.list
- chronicle.validationErrors.list
- chronicle.validationReports.get
- resourcemanager.projects.get

  2. יוצרים את התפקיד בהתאמה אישית. בדוגמה הבאה מוצגת פקודה ב-CLI של gcloud ליצירת התפקיד המותאם אישית הזה באמצעות קובץ ה-YAML שיצרתם בשלב הקודם.

    gcloud iam roles create ROLE_NAME \
--project=PROJECT_ID \
--file=YAML_FILE_NAME

    מחליפים את מה שכתוב בשדות הבאים:

  3. מקצים את התפקיד בהתאמה אישית באמצעות Google Cloud CLI.

    בדוגמה הבאה מוצגת פקודה להקצאת התפקיד המותאם אישית limitedAdmin לקבוצת משתמשים באמצעות איחוד שירותי אימות הזהות של כוח העבודה.

    gcloud projects add-iam-policy-binding PROJECT_ID \
  --member=principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID \
  --role=projects/PROJECT_ID/roles/limitedAdmin

    מחליפים את מה שכתוב בשדות הבאים:

    בדוגמה הבאה מופיעה פקודה להקצאת התפקיד המותאם אישית limitedAdmin לקבוצת משתמשים, כשמשתמשים ב-Cloud Identity או ב-.

    gcloud projects add-iam-policy-binding PROJECT_ID \
  --member=groupid:GROUP_ID \
  --role=projects/PROJECT_ID/roles/limitedAdmin

    מחליפים את מה שכתוב בשדות הבאים:

אימות של רישום ביומן ביקורת

פעולות משתמשים ב-Google SecOps ובקשות ל-Chronicle API מתועדות כיומני ביקורת ב-Cloud. כדי לוודא שהיומנים נכתבים, מבצעים את השלבים הבאים:

  1. נכנסים ל-Google SecOps כמשתמש עם הרשאות גישה לכל תכונה. מידע נוסף זמין במאמר כניסה ל-Google SecOps.
  2. מבצעים פעולה, כמו חיפוש.
  3. ב Google Cloud מסוף Google Cloud, משתמשים ב-Logs Explorer כדי להציג את יומני הביקורת בפרויקט בענן שקשור ל- Google SecOps. יומני הביקורת של Google SecOps משתמשים בשם השירות chronicle.googleapis.com.

מידע נוסף על יומני הביקורת של Google SecOps

בהמשך מופיעה דוגמה ליומן שנכתב כשהמשתמש alice@example.com צפה ברשימת התוספים של כלי הניתוח ב-Google SecOps.

{
  "protoPayload": {
    "@type": "type.googleapis.com/google.cloud.audit.AuditLog",
    "authenticationInfo": {
      "principalEmail": "alice@example.com"
    },
    "requestMetadata": {
      "callerIp": "private",
      "callerSuppliedUserAgent": "abc_client",
      "requestAttributes": {
        "time": "2023-03-27T21:09:43.897772385Z",
        "reason": "8uSywAYeWhxBRiBhdXRoIFVwVGljay0-REFUIGV4Y2abcdef",
        "auth": {}
      },
      "destinationAttributes": {}
    },
    "serviceName": "chronicle.googleapis.com",
    "methodName": "google.cloud.chronicle.v1main.ParserService.ListParserExtensions",
    "authorizationInfo": [
      {
        "resource": "projects/100000000000/locations/us/instances/aaaa0aa0-000A-00a0-0000-0000a0aa0a1/logTypes/-",
        "permission": "chronicle.parserExtensions.list",
        "granted": true,
        "resourceAttributes": {}
      }
    ],
    "resourceName": "projects/100000000000/locations/us/instances/aaaa0aa0-000A-00a0-0000-0000a0aa0a1/logTypes/-",
    "numResponseItems": "12",
    "request": {
      "@type": "type.googleapis.com/google.cloud.chronicle.v1main.ListParserExtensionsRequest",
      "parent": "projects/100000000000/locations/us/instances/aaaa0aa0-000A-00a0-0000-0000a0aa0a1/logTypes/-"
    },
    "response": {
      "@type": "type.googleapis.com/google.cloud.chronicle.v1main.ListParserExtensionsResponse"
    }
  },
  "insertId": "1h0b0e0a0",
  "resource": {
    "type": "audited_resource",
    "labels": {
      "project_id": "dev-sys-server001",
      "method": "google.cloud.chronicle.v1main.ParserService.ListParserExtensions",
      "service": "chronicle.googleapis.com"
    }
  },
  "timestamp": "2023-03-27T21:09:43.744940164Z",
  "severity": "INFO",
  "logName": "projects/dev-sys-server001/logs/cloudaudit.googleapis.com%2Fdata_access",
  "receiveTimestamp": "2023-03-27T21:09:44.863100753Z"
}

העברת Google SecOps ל-RBAC כדי לשלוט בגישה לתכונות

אפשר להשתמש במידע שבקטעים האלה כדי להעביר מופע SIEM קיים של Google Security Operations ממערכת RBAC מדור קודם ל-RBAC לפי תכונות.

אחרי המעבר ל-RBAC לפי תכונות, אפשר גם לבצע ביקורת על הפעילות במופע Google SecOps באמצעות יומני הביקורת של Cloud.

ההבדלים בין RBAC מדור קודם לבין RBAC לפי תכונות

למרות שהשמות של התפקידים המוגדרים מראש ב-RBAC של התכונות דומים לשמות של התפקידים ב-RBAC מהגרסה הקודמת, התפקידים המוגדרים מראש ב-RBAC של התכונות לא מספקים גישה לפיצ'רים זהה כמו התפקידים ב-RBAC מהגרסה הקודמת. ההרשאות שמוקצות לכל תפקיד RBAC מוגדר מראש של תכונה הן מעט שונות. מידע נוסף זמין במאמר איך תפקידי IAM של RBAC תואמים לתפקידי RBAC מדור קודם.

אתם יכולים להשתמש בתפקידים המוגדרים מראש של Google SecOps כמו שהם, לשנות את ההרשאות שמוגדרות בכל תפקיד מוגדר מראש, או ליצור תפקידים בהתאמה אישית ולהקצות קבוצה שונה של הרשאות.

אחרי שמבצעים מיגרציה של מופע Google SecOps, אפשר לנהל תפקידים, הרשאות וכללי מדיניות RBAC של תכונות באמצעות IAM במסוף Google Cloud . הדפים הבאים באפליקציית Google SecOps שונו כדי להפנות משתמשים למסוף Google Cloud :

  • משתמשים וקבוצות
  • תפקידים

ב-RBAC מדור קודם, כל הרשאה מתוארת לפי שם התכונה ופעולה. הרשאות IAM ב-RBAC של התכונה מתוארות לפי שם המשאב והשיטה. בטבלה הבאה מופיעות שתי דוגמאות שממחישות את ההבדל, אחת שקשורה ללוחות בקרה והשנייה שקשורה לפידים.

  • דוגמה ללוח בקרה: כדי לשלוט בגישה ללוחות בקרה, מערכת RBAC מדור קודם מספקת חמש פעולות שאפשר לבצע בלוחות בקרה. ב-RBAC של התכונות יש הרשאות IAM דומות, עם הרשאה נוספת אחת, dashboards.list, שמאפשרת למשתמשים לראות רשימה של לוחות בקרה זמינים.

  • דוגמה ל-Feeds: כדי לשלוט בגישה ל-Feeds, ב-RBAC מדור קודם יש שבע פעולות שאפשר להפעיל או להשבית. עם RBAC של תכונות יש ארבע: feeds.delete,‏ feeds.create,‏ feeds.update ו-feeds.view.

תכונה הרשאה ב-RBAC מדור קודם הרשאת IAM ב-RBAC של התכונה תיאור פעולת המשתמש
מרכזי שליטה עריכה chronicle.dashboards.edit עריכת מרכזי בקרה
מרכזי שליטה העתקה chronicle.dashboards.copy העתקת לוחות בקרה
מרכזי שליטה יצירה chronicle.dashboards.create יצירת מרכזי בקרה
מרכזי שליטה תזמון chronicle.dashboards.schedule תזמון דוחות
מרכזי שליטה מחיקה chronicle.dashboards.delete מחיקת דוחות
מרכזי שליטה אין. האפשרות הזו זמינה רק ב-RBAC של תכונות. chronicle.dashboards.list רשימת מרכזי הבקרה הזמינים
עדכונים DeleteFeed chronicle.feeds.delete למחוק פיד.
עדכונים CreateFeed chronicle.feeds.create יוצרים פיד.
עדכונים UpdateFeed chronicle.feeds.update עדכון פיד.
עדכונים EnableFeed chronicle.feeds.update עדכון פיד.
עדכונים DisableFeed chronicle.feeds.update עדכון פיד.
עדכונים ListFeeds chronicle.feeds.view החזרת פיד אחד או יותר.
עדכונים GetFeed chronicle.feeds.view החזרת פיד אחד או יותר.

שלבים להעברת הרשאות קיימות לבקרת גישה

אחרי שמבצעים את השלבים להעברת מופע קיים של Google SecOps, אפשר גם להעביר את ההגדרה של בקרת הגישה לפיצ'רים.

‫Google SecOps מספק פקודות שנוצרות אוטומטית ויוצרות כללי מדיניות חדשים של IAM ל-RBAC, ששווים ל-RBAC מדור קודם שהוגדר ב-Google SecOps בדף SIEM Settings > Users and Groups.

מוודאים שיש לכם את ההרשאות הנדרשות שמתוארות במאמר הגדרת Google Cloud פרויקט ל-Google SecOps, ואז פועלים לפי השלבים במאמר העברת הרשאות ותפקידים קיימים ל-IAM.

איך תפקידים ב-IAM של RBAC בתכונות ממופים לתפקידים קודמים של RBAC

מידע המיפוי בקטע הזה ממחיש חלק מההבדלים בגישה לתפקידים מוגדרים מראש לפני ואחרי ההעברה. למרות שהשמות של תפקידי RBAC מדור קודם דומים לשמות של תפקידים מוגדרים מראש ב-IAM של RBAC לתכונות, הפעולות שלכל אחד מהם יש גישה אליהן שונות. בקטע הזה נספק מבוא לכמה מההבדלים האלה.

Chronicle API Limited Viewer

התפקיד הזה מעניק הרשאת קריאה בלבד למשאבי האפליקציה וממשקי ה-API של Google SecOps, למעט כללים של מנוע הזיהוי וסריקות רטרו. שם התפקיד הוא chronicle.limitedViewer.

רשימה מפורטת של ההרשאות זמינה במאמר Chronicle API Viewer.

Chronicle API Viewer

לתפקיד הזה מוקצית הרשאת קריאה בלבד למשאבי האפליקציה ול-API של Google SecOps. שם התפקיד הוא chronicle.viewer.

ההרשאות הבאות ממחישות חלק מההבדלים בין תפקידים דומים ב-RBAC מדור קודם לבין תפקידים ב-RBAC לפי תכונות. רשימה מפורטת של ההרשאות זמינה במאמר Chronicle API Viewer.

Feature RBAC IAM permission Equivalent permission is mapped to this legacy RBAC role
chronicle.ruleDeployments.get Viewer
chronicle.ruleDeployments.list Viewer
chronicle.rules.verifyRuleText Viewer
chronicle.rules.get Viewer
chronicle.rules.list Viewer
chronicle.legacies.legacyGetRuleCounts Viewer
chronicle.legacies.legacyGetRulesTrends Viewer
chronicle.rules.listRevisions Viewer
chronicle.legacies.legacyGetCuratedRulesTrends Viewer
chronicle.ruleExecutionErrors.list Viewer
chronicle.curatedRuleSets.get Viewer
chronicle.curatedRuleSetDeployments.get Viewer
chronicle.curatedRuleSets.list Viewer
chronicle.curatedRuleSetDeployments.list Viewer
chronicle.curatedRuleSetCategories.get Viewer
chronicle.curatedRuleSetCategories.list Viewer
chronicle.curatedRuleSetCategories.countAllCuratedRuleSetDetections Viewer
chronicle.curatedRuleSets.countCuratedRuleSetDetections Viewer
chronicle.curatedRules.get Viewer
chronicle.curatedRules.list Viewer
chronicle.referenceLists.list Viewer
chronicle.referenceLists.get Viewer
chronicle.referenceLists.verifyReferenceList Viewer
chronicle.retrohunts.get Viewer
chronicle.retrohunts.list Viewer
chronicle.dashboards.schedule Editor
chronicle.operations.get None. This is available in feature RBAC only.
chronicle.operations.list None. This is available in feature RBAC only.
chronicle.operations.wait None. This is available in feature RBAC only.
chronicle.instances.report None. This is available in feature RBAC only.
chronicle.collectors.get None. This is available in feature RBAC only.
chronicle.collectors.list None. This is available in feature RBAC only.
chronicle.forwarders.generate None. This is available in feature RBAC only.
chronicle.forwarders.get None. This is available in feature RBAC only.
chronicle.forwarders.list None. This is available in feature RBAC only.

Chronicle API Editor

התפקיד הזה מאפשר למשתמשים לשנות את הגישה למשאבי האפליקציה ולממשקי ה-API של Google SecOps. שם התפקיד הוא chronicle.editor.

ההרשאות הבאות ממחישות חלק מההבדלים בין תפקידי RBAC דומים מדור קודם לבין תפקידי RBAC של תכונות. רשימה מפורטת של ההרשאות זמינה במאמר Chronicle API Editor.

Feature RBAC IAM permission Equivalent permission is mapped to this legacy RBAC role
chronicle.ruleDeployments.update Editor
chronicle.rules.update Editor
chronicle.rules.create Editor
chronicle.referenceLists.create Editor
chronicle.referenceLists.update Editor
chronicle.rules.runRetrohunt Editor
chronicle.retrohunts.create Editor
chronicle.curatedRuleSetDeployments.batchUpdate Editor
chronicle.curatedRuleSetDeployments.update Editor
chronicle.dashboards.copy Editor
chronicle.dashboards.edit Editor
chronicle.dashboards.create Editor
chronicle.legacies.legacyUpdateFinding Editor
chronicle.dashboards.delete Editor
chronicle.operations.delete None. This is available in feature RBAC only.

Chronicle API Admin

לתפקיד הזה מוקצית גישה מלאה לאפליקציית Google SecOps ולשירותי ה-API שלה, כולל הגדרות גלובליות. שם התפקיד הוא chronicle.admin.

ההרשאות הבאות ממחישות חלק מההבדלים בין תפקידי RBAC דומים מדור קודם לבין תפקידי RBAC של תכונות. רשימה מפורטת של ההרשאות זמינה במאמר Chronicle API Admin.

Feature RBAC IAM permission Equivalent permission is mapped to this legacy RBAC role
chronicle.parserExtensions.delete Admin
chronicle.parsers.copyPrebuiltParser Admin
chronicle.extensionValidationReports.get Admin
chronicle.extensionValidationReports.list Admin
chronicle.validationErrors.list Admin
chronicle.parsers.runParser Admin
chronicle.parserExtensions.get Admin
chronicle.parserExtensions.list Admin
chronicle.validationReports.get Admin
chronicle.parserExtensions.create Admin
chronicle.parserExtensions.removeSyslog Admin
chronicle.parsers.activate Admin
chronicle.parserExtensions.activate Admin
chronicle.parsers.activateReleaseCandidate Admin
chronicle.parsers.deactivate Admin
chronicle.parsers.deactivate Admin
chronicle.parserExtensions.generateKeyValuechronicle.Mappings Admin
chronicle.parserExtensions.legacySubmitParserExtension Admin
chronicle.parsers.activate Admin
chronicle.parsers.activate Admin
chronicle.parsers.activate Admin
chronicle.parsers.list Admin
chronicle.parsers.create Admin
chronicle.parsers.delete Admin
chronicle.feeds.delete Admin
chronicle.feeds.create Admin
chronicle.feeds.update Admin
chronicle.feeds.enable Admin
chronicle.feeds.disable Admin
chronicle.feeds.list Admin
chronicle.feeds.get Admin
chronicle.feedSourceTypeSchemas.list Admin
chronicle.logTypeSchemas.list Admin
chronicle.operations.cancel Editor
chronicle.collectors.create None. This is available in feature RBAC only.
chronicle.collectors.delete None. This is available in feature RBAC only.
chronicle.collectors.update None. This is available in feature RBAC only.
chronicle.forwarders.create None. This is available in feature RBAC only.
chronicle.forwarders.delete None. This is available in feature RBAC only.
chronicle.forwarders.update None. This is available in feature RBAC only.
chronicle.parsingErrors.list None. This is available in feature RBAC only.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.