VPC Service Controls konfigurieren

Unterstützt in:

In dieser Anleitung wird beschrieben, wie Sie VPC Service Controls für Google Security Operations konfigurieren.

Mit VPC Service Controls können Sie einen Dienstperimeter einrichten, um sich vor Daten-Exfiltration zu schützen. Konfigurieren Sie Google Security Operations mit VPC Service Controls, damit Google SecOps auf Ressourcen und Dienste außerhalb des Dienstperimeters zugreifen kann.

Weitere Informationen zu VPC Service Controls finden Sie unter Überblick über VPC Service Controls. Sie finden den Eintrag zu Google Security Operations auch in der Tabelle der von VPC Service Controls unterstützten Produkte.

Hinweis

Beschränkungen

  • Der Google SecOps Chronicle API-Endpunkt ImportPushLogs unterstützt VPC Service Controls nicht. Diese Einschränkung stellt jedoch kein Risiko für die Daten-Exfiltration dar, da der Endpunkt ImportPushLogs nur zum Übertragen von Daten an eine Google SecOps-Instanz und nicht für den Zugriff auf Daten verwendet wird.

  • Google SecOps mit VPC Service Controls unterstützt keine Looker-Dashboards.

  • Google Cloud Mit Pub/Sub kann kein neues Pub/Sub-Abo erstellt werden, das die Chronicle API-Endpunkte zum Erfassen von Logs verwendet (Pub/Sub-Eintrag in der Tabelle der von VPC Service Controls unterstützten Produkte). Vorhandene Pub/Sub-Abos, die vor dem Verschieben Google Cloud des Projekts in den VPC Service Controls-Perimeter erstellt wurden, erfassen jedoch weiterhin Logs wie erwartet.

  • Google SecOps mit VPC Service Controls unterstützt keine Legacy-Cloud-Bucket- und Drittanbieter-API-Feed-Connectors.

Regeln für ein- und ausgehenden Traffic konfigurieren

Konfigurieren Sie Regeln für ein- und ausgehenden Traffic basierend auf der Konfiguration des Dienstperimeters. Weitere Informationen finden Sie in der Übersicht über Dienstperimeter.

Wenn Probleme mit VPC Service Controls auftreten, verwenden Sie die VPC Service Controls-Analyse für Verstöße, um das Problem zu beheben und zu analysieren. Weitere Informationen finden Sie unter Zugriff verweigert in der Analyse für Verstöße diagnostizieren.

Regel für eingehenden Traffic für SOAR konfigurieren

In diesem Abschnitt wird beschrieben, wie Sie VPC Service Controls für die SOAR-Seite der Plattform konfigurieren.

Konfigurieren Sie die folgende Regel für eingehenden Traffic für das Google Cloud Nutzerkonto, das Sie beim Einrichten von Google SecOps angegeben haben:

  - ingressFrom:
      identityType: ANY_SERVICE_ACCOUNT
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: secretmanager.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/PROJECT_NUMBER

Ersetzen Sie PROJECT_NUMBER durch die Nummer Ihres mit Google SecOps verknüpften Google Cloud Projekts.

Regeln für SIEM konfigurieren

In diesem Abschnitt wird beschrieben, wie Sie VPC Service Controls für die SIEM-Seite der Plattform konfigurieren.

Regel für eingehenden Traffic für Advanced BigQuery Export

Wenn Sie die Funktion Advanced BigQuery Export verwenden, konfigurieren Sie die folgende Regel für das Google Cloud Nutzerkonto, das Sie beim Einrichten von Google SecOps angegeben haben:

    - ingressFrom:
      identities:
      - serviceAccount:malachite-bq-export-entity-graph-batch-adv-bq@system.gserviceaccount.com
      - serviceAccount:malachite-customer-monitoring-exporter@system.gserviceaccount.com
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: bigquery.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/PROJECT_NUMBER

Ersetzen Sie PROJECT_NUMBER durch die Nummer Ihres mit Google SecOps verknüpften Google Cloud Projekts.

Regel für eingehenden Traffic für Datentabellen

Wenn Sie Datentabellen verwenden, konfigurieren Sie die folgende Regel für das Google Cloud Nutzerkonto, das Sie beim Einrichten von Google SecOps angegeben haben:

  - ingressFrom:
      identities:
      - user:malachite-data-plane-api@prod.google.com
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: storage.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/PROJECT_NUMBER

Ersetzen Sie PROJECT_NUMBER durch die Nummer Ihres mit Google SecOps verknüpften Google Cloud Projekts.

Regel für eingehenden Traffic für das Fallmanagement konfigurieren

Wenn Sie das neue Fallmanagement verwenden, konfigurieren Sie die folgende Regel für eingehenden Traffic für das Google Cloud Nutzerkonto, das Sie beim Einrichten von Google SecOps angegeben haben:

  - ingressFrom:
      identities:
      - user:malachite-case-management-service@prod.google.com
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: trafficdirector.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/PROJECT_NUMBER

Ersetzen Sie PROJECT_NUMBER durch die Nummer Ihres mit Google SecOps verknüpften Google Cloud Projekts.

Regeln für Google SecOps mit Security Command Center konfigurieren

In diesem Abschnitt wird beschrieben, wie Sie VPC Service Controls für Google SecOps mit Security Command Center konfigurieren.

Die Dienstkonten in den folgenden Regeln werden nur bei der Bereitstellung von Google SecOps erstellt. Daher sollten Sie die Security Command Center-Regeln nach der Bereitstellung, aber vor der Verwendung von Security Command Center konfigurieren.

Führen Sie die folgenden Aufgaben für das Google Cloud Nutzerkonto aus, das Sie beim Einrichten von Google SecOps angegeben haben:

  1. Konfigurieren Sie die folgende Regel für eingehenden Traffic:

    - ingressFrom:
    identities:
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-chronicle-soar.iam.gserviceaccount.com
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@security-center-api.iam.gserviceaccount.com
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-csc-hpsa.iam.gserviceaccount.com
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-asm-hpsa.iam.gserviceaccount.com
    sources:
    - accessLevel: "*"
  ingressTo:
    operations:
    - serviceName: chronicle.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: securitycenter.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: cloudasset.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: monitoring.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: iam.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: orgpolicy.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: serviceusage.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: dns.googleapis.com
      methodSelectors:
      - method: "*"
    resources:
    - projects/PROJECT_NUMBER

    Ersetzen Sie Folgendes:

    • GOOGLE_ORGANIZATION_NUMBER: Ihre Google Cloud Organisationsnummer
    • PROJECT_NUMBER: Nummer Ihres mit Google SecOps verknüpften Google Cloud Projekts

  2. Konfigurieren Sie die folgende Regel für ausgehenden Traffic:

    - egressTo:
    operations:
    - serviceName: pubsub.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: securitycenter.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: cloudasset.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: iam.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: "*"
    resources:
    - "*"
  egressFrom:
    identities:
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-chronicle-soar.iam.gserviceaccount.com
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@security-center-api.iam.gserviceaccount.com
    sources:
    - resource: projects/PROJECT_NUMBER

    Ersetzen Sie Folgendes:

    • GOOGLE_ORGANIZATION_NUMBER: Ihre Google Cloud Organisationsnummer
    • PROJECT_NUMBER: Nummer Ihres mit Google SecOps verknüpften Google Cloud Projekts

Regel für eingehenden Traffic für vom Kunden verwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEK) konfigurieren

In diesem Abschnitt wird beschrieben, wie Sie VPC Service Controls für Google SecOps mit vom Kunden verwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEK) konfigurieren. CMEKs sind Verschlüsselungsschlüssel, die Ihnen gehören, von Ihnen verwaltet und in Cloud Key Management Service gespeichert werden.

Konfigurieren Sie die folgende Regel für eingehenden Traffic:

  - ingressFrom:
    identities:
    - serviceAccount: service-SECRET_MANAGER_PROJECT_NUMBER@gcp-sa-secretmanager.iam.gserviceaccount.com
    - serviceAccount: service-GOOGLE_MANAGED_BIGQUERY_PROJECT_NUMBER@gs-project-accounts.iam.gserviceaccount.com
    - serviceAccount: bq-GOOGLE_MANAGED_BIGQUERY_PROJECT_NUMBER@bigquery-encryption.iam.gserviceaccount.com
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: secretmanager.googleapis.com
        methodSelectors:
        - method: "*"
      - serviceName: cloudkms.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/CMEK_PROJECT_NUMBER

Ersetzen Sie Folgendes:

  • SECRET_MANAGER_PROJECT_NUMBER: Das Projekt, das Google zum Speichern von Secrets für einige Erfassungsfunktionen verwendet. Sie erhalten die Projektnummer von Ihrem Google SecOps-Ansprechpartner.
  • GOOGLE_MANAGED_BIGQUERY_PROJECT_NUMBER: Das Projekt, das Google zum Speichern von BigQuery-Ressourcen für einige Exportfunktionen verwendet. Sie erhalten die Projektnummer von Ihrem Google SecOps-Ansprechpartner.
  • CMEK_PROJECT_NUMBER: Die Projektnummer, unter der die CMEKs gespeichert sind.