Configurar o VPC Service Controls

Compatível com:

Neste guia, descrevemos como configurar o VPC Service Controls para o Google Security Operations.

O VPC Service Controls permite configurar um perímetro de serviço para evitar a exfiltração de dados. Configure o Google Security Operations com o VPC Service Controls para que o Google SecOps possa acessar recursos e serviços fora do perímetro de serviço.

Para saber mais sobre o VPC Service Controls, consulte a Visão geral do VPC Service Controls. Consulte também a entrada do Google Security Operations na tabela de produtos compatíveis com o VPC Service Controls.

Antes de começar

  • Verifique se você tem os papéis necessários para configurar o VPC Service Controls no nível da organização.

  • Para usar o Google SecOps com o VPC Service Controls, você só pode usar recursos compatíveis com o VPC Service Controls. Confira a seguir uma lista de recursos compatíveis com o VPC Service Controls:

    • O Google SecOps com o VPC Service Controls é compatível apenas com Google Cloud autenticação de identidade, provedores de identidade de terceiros e federação de identidade de colaboradores.
    • O RBAC de recursos do Google SecOps precisa estar ativado para usar o VPC Service Controls com o Google SecOps.

    • O Google SecOps com VPC Service Controls é compatível apenas com as seguintes APIs públicas:

      • chronicle.googleapis.com
      • chronicleservicemanager.googleapis.com

      Para integrar o VPC Service Controls, migre todos os endpoints correspondentes para a API chronicle.googleapis.com.

    • O Google SecOps com o VPC Service Controls só permite a exportação de dados do modelo unificado de dados (UDM, na sigla em inglês) do Google SecOps para um projeto autogerenciado do BigQuery ou usando a exportação avançada do BigQuery.

    • O VPC Service Controls é compatível apenas com os painéis do Google SecOps.

    • Só é possível criar feeds do Cloud Storage com o tipo de origem GOOGLE_CLOUD_STORAGE_V2 usando conectores v2.

    • Ao criar novas assinaturas do Pub/Sub quando o Google SecOps está restrito em um perímetro do VPC Service Controls, o Google SecOps exige que você grave registros no Cloud Storage e use GOOGLE_CLOUD_STORAGE_V2 ou GOOGLE_CLOUD_STORAGE_EVENT_DRIVEN em vez dos seus feeds CLOUD_PUB_SUB.

  • Para uma instância do Google SecOps que usa chaves de criptografia gerenciadas pelo cliente (CMEK), o Google recomenda manter o projeto do Cloud Key Management Service no mesmo perímetro do projeto Google Cloud vinculado ao Google SecOps ou manter as chaves no próprio projeto Google Cloud vinculado ao Google SecOps.

  • Para o lado SOAR da plataforma, se a instância do Google SecOps usar chaves de criptografia gerenciadas pelo cliente (CMEK), confirme se a instância do SOAR foi migrada para o Google.com.

Limitações

  • O endpoint de API do Google SecOps Chronicle ImportPushLogs não é compatível com o VPC Service Controls. No entanto, essa limitação não representa um risco de exfiltração de dados, porque o endpoint ImportPushLogs é usado apenas para enviar dados a uma instância do Google SecOps, não para acessar dados.

  • O Google SecOps com VPC Service Controls não é compatível com painéis do Looker.

  • Google Cloud O Pub/Sub não permite criar uma assinatura que use os endpoints da API Chronicle para ingerir registros (entrada do Pub/Sub na tabela de produtos compatíveis com o VPC Service Controls). No entanto, todas as assinaturas do Pub/Sub criadas antes de mover o projeto Google Cloud para dentro do perímetro do VPC Service Controls vão continuar ingerindo registros conforme o esperado.

  • O Google SecOps com VPC Service Controls não é compatível com conectores legados de bucket na nuvem e feeds de API de terceiros.

Configurar as regras de entrada e saída

Configure regras de entrada e saída com base na configuração do perímetro de serviço. Para mais informações, consulte Visão geral do perímetro de serviço.

Se você tiver problemas com o VPC Service Controls, use o analisador de violações para depurar e analisar o problema. Para mais informações, consulte Diagnosticar uma negação de acesso no analisador de violações.

Configurar a regra de entrada para SOAR

Nesta seção, descrevemos como configurar o VPC Service Controls para o lado SOAR da plataforma.

Configure a seguinte regra de entrada para a conta de usuário Google Cloud especificada ao configurar o Google SecOps:

  - ingressFrom:
      identityType: ANY_SERVICE_ACCOUNT
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: secretmanager.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/PROJECT_NUMBER

Substitua PROJECT_NUMBER pelo número do projeto do Google SecOps vinculado ao Google Cloud .

Configurar as regras para o SIEM

Nesta seção, descrevemos como configurar o VPC Service Controls para o lado do SIEM da plataforma.

Regra de entrada para o BigQuery Export avançado

Se você estiver usando o recurso BigQuery Export avançado, configure a seguinte regra para a conta de usuário Google Cloud especificada ao configurar o Google SecOps:

    - ingressFrom:
      identities:
      - serviceAccount:malachite-bq-export-entity-graph-batch-adv-bq@system.gserviceaccount.com
      - serviceAccount:malachite-customer-monitoring-exporter@system.gserviceaccount.com
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: bigquery.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/PROJECT_NUMBER

Substitua PROJECT_NUMBER pelo número do projeto do Google SecOps vinculado ao Google Cloud .

Regra de entrada para tabelas de dados

Se você estiver usando tabelas de dados, configure a seguinte regra para a conta de usuário Google Cloud especificada ao configurar o Google SecOps:

  - ingressFrom:
      identities:
      - user:malachite-data-plane-api@prod.google.com
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: storage.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/PROJECT_NUMBER

Substitua PROJECT_NUMBER pelo número do projeto do Google SecOps vinculado ao Google Cloud .

Configurar a regra de entrada para o gerenciamento de casos

Se você usa a nova experiência de gerenciamento de casos, configure a seguinte regra de entrada para a conta de usuário Google Cloud especificada ao configurar o Google SecOps:

  - ingressFrom:
      identities:
      - user:malachite-case-management-service@prod.google.com
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: trafficdirector.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/PROJECT_NUMBER

Substitua PROJECT_NUMBER pelo número do projeto do Google SecOps vinculado ao Google Cloud .

Configurar as regras do Google SecOps com o Security Command Center

Nesta seção, descrevemos como configurar o VPC Service Controls para o Google SecOps com o Security Command Center.

As contas de serviço nas regras a seguir são criadas apenas durante o provisionamento do Google SecOps. Portanto, configure as regras do Security Command Center após o provisionamento, mas antes de começar a usar o Security Command Center.

Conclua as tarefas a seguir para a conta de usuário Google Cloud especificada ao configurar o Google SecOps:

  1. Configure a seguinte regra de entrada:

    - ingressFrom:
    identities:
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-chronicle-soar.iam.gserviceaccount.com
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@security-center-api.iam.gserviceaccount.com
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-csc-hpsa.iam.gserviceaccount.com
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-asm-hpsa.iam.gserviceaccount.com
    sources:
    - accessLevel: "*"
  ingressTo:
    operations:
    - serviceName: chronicle.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: securitycenter.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: cloudasset.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: monitoring.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: iam.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: orgpolicy.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: serviceusage.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: dns.googleapis.com
      methodSelectors:
      - method: "*"
    resources:
    - projects/PROJECT_NUMBER

    Substitua:

    • GOOGLE_ORGANIZATION_NUMBER: o número da sua Google Cloud organização
    • PROJECT_NUMBER: o número do projeto do Google SecOps vinculado a Google Cloud

  2. Configure a seguinte regra de saída:

    - egressTo:
    operations:
    - serviceName: pubsub.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: securitycenter.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: cloudasset.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: iam.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: "*"
    resources:
    - "*"
  egressFrom:
    identities:
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-chronicle-soar.iam.gserviceaccount.com
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@security-center-api.iam.gserviceaccount.com
    sources:
    - resource: projects/PROJECT_NUMBER

    Substitua:

    • GOOGLE_ORGANIZATION_NUMBER: o número da sua Google Cloud organização
    • PROJECT_NUMBER: o número do projeto do Google SecOps vinculado a Google Cloud

Configurar a regra de entrada para chaves de criptografia gerenciadas pelo cliente (CMEKs)

Nesta seção, descrevemos como configurar o VPC Service Controls para o Google SecOps com chaves de criptografia gerenciadas pelo cliente (CMEKs). As CMEKs são chaves de criptografia que você possui, gerencia e armazena no Cloud Key Management Service.

Configure a seguinte regra de entrada:

  - ingressFrom:
    identities:
    - serviceAccount: service-SECRET_MANAGER_PROJECT_NUMBER@gcp-sa-secretmanager.iam.gserviceaccount.com
    - serviceAccount: service-GOOGLE_MANAGED_BIGQUERY_PROJECT_NUMBER@gs-project-accounts.iam.gserviceaccount.com
    - serviceAccount: bq-GOOGLE_MANAGED_BIGQUERY_PROJECT_NUMBER@bigquery-encryption.iam.gserviceaccount.com
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: secretmanager.googleapis.com
        methodSelectors:
        - method: "*"
      - serviceName: cloudkms.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/CMEK_PROJECT_NUMBER

Substitua:

  • SECRET_MANAGER_PROJECT_NUMBER: o projeto que o Google usa para armazenar secrets de alguns recursos de ingestão, que você pode receber do seu representante do Google SecOps
  • GOOGLE_MANAGED_BIGQUERY_PROJECT_NUMBER: o projeto que o Google usa para armazenar recursos do BigQuery em alguns recursos de exportação. Você pode conseguir esse projeto com seu representante do Google SecOps.
  • CMEK_PROJECT_NUMBER: o número do projeto que armazena as CMEKs