VPC Service Controls konfigurieren

Unterstützt in:

In diesem Leitfaden wird beschrieben, wie Sie VPC Service Controls für Google Security Operations konfigurieren.

Mit VPC Service Controls können Sie einen Dienstperimeter einrichten, der vor Daten-Exfiltration schützt. Konfigurieren Sie Google Security Operations mit VPC Service Controls, damit Google SecOps auf Ressourcen und Dienste außerhalb des Dienstperimeters zugreifen kann.

Weitere Informationen zu VPC Service Controls finden Sie im Überblick über VPC Service Controls. Sie können sich auch den Eintrag zu Google Security Operations in der Tabelle der von VPC Service Controls unterstützten Produkte ansehen.

Hinweis

  • Sie benötigen die erforderlichen Rollen zum Konfigurieren von VPC Service Controls auf Organisationsebene.

  • Wenn Sie Google SecOps mit VPC Service Controls verwenden möchten, können Sie nur Funktionen verwenden, die mit VPC Service Controls kompatibel sind. Im Folgenden sind die mit VPC Service Controls kompatiblen Funktionen aufgeführt:

    • Google SecOps mit VPC Service Controls unterstützt nur die Google Cloud -Identitätsauthentifizierung, externe Identitätsanbieter und die Workforce Identity-Föderation.
    • Die RBAC-Funktion von Google SecOps muss aktiviert sein, damit VPC Service Controls mit Google SecOps verwendet werden kann.

    • Google SecOps mit VPC Service Controls unterstützt nur die folgenden öffentlichen APIs:

      • chronicle.googleapis.com
      • chronicleservicemanager.googleapis.com

      Für die Einbindung in VPC Service Controls müssen Sie alle entsprechenden Endpunkte zur chronicle.googleapis.com API migrieren.

    • Google SecOps mit VPC Service Controls unterstützt den Export von Google SecOps-UDM-Daten (Unified Data Model) nur in ein selbstverwaltetes BigQuery-Projekt oder über den erweiterten BigQuery-Export.

    • VPC Service Controls unterstützt nur Dashboards von Google SecOps.

    • Sie können Cloud Storage-Feeds nur mit dem Quelltyp GOOGLE_CLOUD_STORAGE_V2 und v2-Connectors erstellen.

    • Wenn Sie neue Pub/Sub-Abos erstellen und Google SecOps innerhalb eines VPC Service Controls-Perimeters eingeschränkt ist, müssen Sie Logs in Cloud Storage schreiben und GOOGLE_CLOUD_STORAGE_V2 oder GOOGLE_CLOUD_STORAGE_EVENT_DRIVEN anstelle Ihrer CLOUD_PUB_SUB-Feeds verwenden.

  • Für eine Google SecOps-Instanz, die kundenverwaltete Verschlüsselungsschlüssel (CMEK) verwendet, empfiehlt Google dringend, entweder Ihr Cloud Key Management Service-Projekt im selben Perimeter wie Ihr mit Google SecOps verknüpftes Google Cloud Projekt zu belassen oder Ihre Schlüssel im mit Google SecOps verknüpften Google Cloud Projekt selbst zu speichern.

  • Wenn Ihre Google SecOps-Instanz kundenverwaltete Verschlüsselungsschlüssel (CMEK) verwendet, prüfen Sie, ob Ihre SOAR-Instanz zu Google.com migriert wurde.

  • Wenn Sie Legacy-SOAR-Datenexporte nach BigQuery verwenden, z. B. für Looker oder Managed BigQuery Export, empfiehlt Google, stattdessen die Funktion Bring Your Own BigQuery (BYOBQ) zu verwenden. Da Looker-Dashboards eine Legacy-Funktion sind, empfiehlt Google, stattdessen Dashboards zu verwenden. Wenn Sie weiterhin Legacy-SOAR-Datenexporte nach BigQuery verwenden, müssen Sie eine dedizierte Regel für ausgehenden Traffic in Ihrem VPC Service Controls-Dienstperimeter konfigurieren. Wenn Sie die erforderlichen Regel- und Projektinformationen wie SOAR_TENANT_PROJECT_ID und BQ_TLA_PROJECT_NUMBER erhalten möchten, wenden Sie sich an Ihren Customer Engineer (CE) oder erstellen Sie eine Supportanfrage.

Beschränkungen

  • Der Google SecOps Chronicle API-Endpunkt ImportPushLogs unterstützt VPC Service Controls nicht. Diese Einschränkung stellt jedoch kein Risiko für die Daten-Exfiltration dar, da der ImportPushLogs-Endpunkt nur zum Senden von Daten an eine Google SecOps-Instanz und nicht für den Zugriff auf Daten verwendet wird.

  • Google SecOps mit VPC Service Controls unterstützt keine Looker-Dashboards.

  • Google Cloud Pub/Sub unterstützt nicht das Erstellen eines neuen Pub/Sub-Abos, das die Chronicle API-Endpunkte zum Aufnehmen von Logs verwendet (Pub/Sub-Eintrag in der Tabelle der von VPC Service Controls unterstützten Produkte). Vorhandene Pub/Sub-Abos, die vor dem Verschieben des Projekts Google Cloud in den VPC Service Controls-Perimeter erstellt wurden, nehmen jedoch weiterhin wie erwartet Logs auf.

  • Google SecOps mit VPC Service Controls unterstützt keine Legacy-Cloud-Bucket- und Drittanbieter-API-Feed-Connectors.

Regeln für ein- und ausgehenden Traffic konfigurieren

Konfigurieren Sie Regeln für ein- und ausgehenden Traffic basierend auf der Dienstperimeterkonfiguration. Weitere Informationen finden Sie unter Dienstperimeter – Übersicht.

Wenn Probleme mit VPC Service Controls auftreten, können Sie das Analysetool für Verstöße gegen VPC Service Controls verwenden, um das Problem zu beheben und zu analysieren. Weitere Informationen finden Sie unter Zugriffsverweigerung im Verstoßanalysator diagnostizieren.

Regel für eingehenden Traffic für SOAR konfigurieren

In diesem Abschnitt wird beschrieben, wie Sie VPC Service Controls für die SOAR-Seite der Plattform konfigurieren.

Konfigurieren Sie die folgende Regel für eingehenden Traffic für das Google Cloud -Nutzerkonto, das Sie beim Einrichten von Google SecOps angegeben haben:

  - ingressFrom:
      identityType: ANY_SERVICE_ACCOUNT
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: secretmanager.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/PROJECT_NUMBER

Ersetzen Sie PROJECT_NUMBER durch die Nummer Ihres mit Google SecOps verknüpften Google Cloud -Projekts.

Regeln für SIEM konfigurieren

In diesem Abschnitt wird beschrieben, wie Sie VPC Service Controls für die SIEM-Seite der Plattform konfigurieren.

Regeln für ein- und ausgehenden Traffic für Cloud Storage-basierte V2-Feeds

Konfigurieren Sie Regeln für ein- und ausgehenden Traffic basierend auf der Dienstperimeterkonfiguration. Weitere Informationen finden Sie unter Dienstperimeter – Übersicht. Wenn VPC Service Controls für das Google Cloud Projekt aktiviert ist, in dem Ihr Cloud Storage-Bucket gehostet wird, oder für Ihr mit Google SecOps verknüpftes Google Cloud Projekt (BYOP), konfigurieren Sie die erforderlichen Regeln für eingehenden und ausgehenden Traffic basierend auf Ihrer Perimetereinrichtung:

Fall Quell-Bucket-Projekt Mit Google SecOps verknüpftes Projekt (BYOP) Regeln für Quellperimeter Regeln für BYOP-Perimeter
Fall 1 In einem Perimeter Im selben Perimeter Keine Keine
Fall 2 Im Jahr CUSTOMER_SOURCE_PERIMETER In CUSTOMER_BYOP_PERIMETER (anderer Perimeter) Regel A1 (eingehend) und Regel A2 (ausgehend) Regel B1 (ausgehend)
Fall 3 Im Jahr CUSTOMER_SOURCE_PERIMETER Nicht in einem Perimeter Regel A1 (eingehend) und Regel A2 (ausgehend) Keine
Fall 4 Nicht in einem Perimeter Im Jahr CUSTOMER_BYOP_PERIMETER Keine Regel B1 (ausgehend)

Ersetzen Sie diese Platzhalter in den folgenden Regeln für ein- und ausgehenden Traffic:

  • CUSTOMER_SOURCE_PROJECT_NUMBER: Die numerische Projekt-ID des Google Cloud -Projekts, in dem der Cloud Storage-Quell-Bucket gehostet wird.
  • CUSTOMER_SOURCE_PERIMETER: Der VPC-SC-Perimeter, der das Quell-Bucket-Projekt schützt.
  • CUSTOMER_BYOP_PROJECT_NUMBER: Die numerische Projekt-ID Ihres mit Google SecOps verknüpften Google Cloud -Projekts (BYOP).
  • CUSTOMER_BYOP_PERIMETER: Der VPC-SC-Perimeter, der Ihr BYOP-Projekt schützt.
  • CHRONICLE_STS_SERVICE_AGENT: Das Storage Transfer Service (STS)-Dienstkonto, das in Google SecOps angezeigt wird, wenn Sie den Cloud Storage V2-Feed konfigurieren (z. B. project-123456789@storage-transfer-service.iam.gserviceaccount.com).
A. Regeln für den Projektperimeter des Quell-Buckets (CUSTOMER_SOURCE_PERIMETER)

Wenden Sie diese Regeln für die Fälle zwei und drei an, wie in der vorherigen Tabelle definiert.

Regel A1: Regel für eingehenden Traffic
  {
    "ingressFrom": {
      "identities": [
        "serviceAccount:<CHRONICLE_STS_SERVICE_AGENT>"
      ],
      "sources": [
        {
          "accessLevel": "*"
        }
      ]
    },
    "ingressTo": {
      "operations": [
        {
          "serviceName": "storage.googleapis.com",
          "methodSelectors": [
            { "method": "*" }
          ]
        }
      ],
      "resources": [
        "projects/<CUSTOMER_SOURCE_PROJECT_NUMBER>"
      ]
    }
  }
Regel A2: Regel für ausgehenden Traffic
  {
    "egressFrom": {
      "identities": [
        "serviceAccount:<CHRONICLE_STS_SERVICE_AGENT>"
      ]
    },
    "egressTo": {
      "operations": [
        {
          "serviceName": "storage.googleapis.com",
          "methodSelectors": [
            { "method": "google.storage.objects.create" },
            { "method": "google.storage.objects.delete" }
          ]
        }
      ],
      "resources": [
        "projects/<CUSTOMER_BYOP_PROJECT_NUMBER>"
      ]
    }
  }
B. Regeln für den BYOP-Projektperimeter (CUSTOMER_BYOP_PERIMETER)

Wenden Sie diese Regel für Fall 2 und 4 an, wie in der vorherigen Tabelle definiert.

Regel B1: Regel für ausgehenden Traffic
  {
    "egressFrom": {
      "identities": [
        "serviceAccount:<CHRONICLE_STS_SERVICE_AGENT>"
      ]
    },
    "egressTo": {
      "operations": [
        {
          "serviceName": "storage.googleapis.com",
          "methodSelectors": [
            { "method": "*" }
          ]
        }
      ],
      "resources": [
        "projects/<CUSTOMER_SOURCE_PROJECT_NUMBER>"
      ]
    }
  }

Wenn Probleme mit VPC Service Controls auftreten, können Sie das Analysetool für Verstöße gegen VPC Service Controls verwenden, um das Problem zu beheben und zu analysieren. Weitere Informationen finden Sie unter Zugriffsverweigerung im Verstoßanalysator diagnostizieren.

Regel für eingehenden Traffic für den erweiterten BigQuery-Export

Wenn Sie die Funktion Erweiterter BigQuery-Export verwenden, konfigurieren Sie die folgende Regel für das Nutzerkonto Google Cloud , das Sie beim Einrichten von Google SecOps angegeben haben:

    - ingressFrom:
      identities:
      - serviceAccount:malachite-bq-export-entity-graph-batch-adv-bq@system.gserviceaccount.com
      - serviceAccount:malachite-customer-monitoring-exporter@system.gserviceaccount.com
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: bigquery.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/PROJECT_NUMBER

Ersetzen Sie PROJECT_NUMBER durch die Nummer Ihres mit Google SecOps verknüpften Google Cloud -Projekts.

Regel für eingehenden Traffic für Datentabellen

Wenn Sie Datentabellen verwenden, konfigurieren Sie die folgende Regel für das Google Cloud Nutzerkonto, das Sie bei der Einrichtung von Google SecOps angegeben haben:

  - ingressFrom:
      identities:
      - user:malachite-data-plane-api@prod.google.com
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: storage.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/PROJECT_NUMBER

Ersetzen Sie PROJECT_NUMBER durch die Nummer Ihres mit Google SecOps verknüpften Google Cloud -Projekts.

Regeln für Google SecOps mit Security Command Center konfigurieren

In diesem Abschnitt wird beschrieben, wie Sie VPC Service Controls für Google SecOps mit Security Command Center konfigurieren.

Die Dienstkonten in den folgenden Regeln werden nur während der Google SecOps-Bereitstellung erstellt. Daher sollten Sie die Security Command Center-Regeln nach der Bereitstellung, aber vor der Verwendung von Security Command Center konfigurieren.

Führen Sie die folgenden Aufgaben für das Google Cloud -Nutzerkonto aus, das Sie beim Einrichten von Google SecOps angegeben haben:

  1. Konfigurieren Sie die folgende Regel für eingehenden Traffic:

    - ingressFrom:
    identities:
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-chronicle-soar.iam.gserviceaccount.com
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@security-center-api.iam.gserviceaccount.com
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-csc-hpsa.iam.gserviceaccount.com
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-asm-hpsa.iam.gserviceaccount.com
    sources:
    - accessLevel: "*"
  ingressTo:
    operations:
    - serviceName: chronicle.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: securitycenter.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: cloudasset.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: monitoring.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: iam.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: orgpolicy.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: serviceusage.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: dns.googleapis.com
      methodSelectors:
      - method: "*"
    resources:
    - projects/PROJECT_NUMBER

    Ersetzen Sie Folgendes:

    • GOOGLE_ORGANIZATION_NUMBER: Ihre Google Cloud Organisationsnummer
    • PROJECT_NUMBER: Ihre mit Google SecOps verknüpfte Google Cloud -Projektnummer

  2. Konfigurieren Sie die folgende Regel für ausgehenden Traffic:

    - egressTo:
    operations:
    - serviceName: pubsub.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: securitycenter.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: cloudasset.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: iam.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: "*"
    resources:
    - "*"
  egressFrom:
    identities:
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-chronicle-soar.iam.gserviceaccount.com
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@security-center-api.iam.gserviceaccount.com
    sources:
    - resource: projects/PROJECT_NUMBER

    Ersetzen Sie Folgendes:

    • GOOGLE_ORGANIZATION_NUMBER: Ihre Google Cloud Organisationsnummer
    • PROJECT_NUMBER: Ihre mit Google SecOps verknüpfte Google Cloud -Projektnummer

Regel für eingehenden Traffic für kundenverwaltete Verschlüsselungsschlüssel (CMEKs) konfigurieren

In diesem Abschnitt wird beschrieben, wie Sie VPC Service Controls für Google SecOps mit kundenverwalteten Verschlüsselungsschlüsseln (CMEKs) konfigurieren. CMEKs sind Verschlüsselungsschlüssel, die Sie besitzen, verwalten und in Cloud Key Management Service speichern.

Konfigurieren Sie die folgende Regel für eingehenden Traffic:

  - ingressFrom:
    identities:
    - serviceAccount: service-SECRET_MANAGER_PROJECT_NUMBER@gcp-sa-secretmanager.iam.gserviceaccount.com
    - serviceAccount: service-GOOGLE_MANAGED_BIGQUERY_PROJECT_NUMBER@gs-project-accounts.iam.gserviceaccount.com
    - serviceAccount: bq-GOOGLE_MANAGED_BIGQUERY_PROJECT_NUMBER@bigquery-encryption.iam.gserviceaccount.com
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: secretmanager.googleapis.com
        methodSelectors:
        - method: "*"
      - serviceName: cloudkms.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/CMEK_PROJECT_NUMBER

Ersetzen Sie Folgendes:

  • SECRET_MANAGER_PROJECT_NUMBER: das Projekt, das Google zum Speichern von Secrets für einige Aufnahme-Features verwendet. Sie können es von Ihrem Google SecOps-Ansprechpartner erhalten.
  • GOOGLE_MANAGED_BIGQUERY_PROJECT_NUMBER: das Projekt, das Google zum Speichern von BigQuery-Ressourcen für einige Exportfunktionen verwendet. Sie können es von Ihrem Google SecOps-Ansprechpartner erhalten.
  • CMEK_PROJECT_NUMBER: die Projektnummer, unter der die CMEKs gespeichert sind