Configurar los Controles del servicio de VPC

Compatible con:

Google SecOps

En esta guía, se describe cómo configurar los Controles del servicio de VPC para Google Security Operations.

Los Controles del servicio de VPC te permiten configurar un perímetro de servicio para protegerte contra el robo de datos. Configura Google Security Operations con los Controles del servicio de VPC para que Google SecOps pueda acceder a los recursos y servicios fuera de su perímetro de servicio.

Consulta Descripción general de los Controles del servicio de VPC para obtener más información sobre estos. También puedes consultar la entrada de Google Security Operations en la tabla de productos compatibles con los Controles del servicio de VPC.

Antes de comenzar

• Asegúrate de tener los roles necesarios para configurar los Controles del servicio de VPC a nivel de la organización.

• Para usar Google SecOps con los Controles del servicio de VPC, solo puedes usar las funciones que cumplen con los Controles del servicio de VPC. A continuación, se enumeran las funciones compatibles con los Controles del servicio de VPC:

  • Google SecOps con los Controles del servicio de VPC solo admite la autenticación de identidad de Google Cloud , los proveedores de identidad de terceros y la federación de identidades de personal.
  • Se debe habilitar el RBAC de funciones de Google SecOps para usar los Controles del servicio de VPC con Google SecOps.

  • Google SecOps con Controles del servicio de VPC solo admite las siguientes APIs públicas:

    • chronicle.googleapis.com
    • chronicleservicemanager.googleapis.com

    Para incorporarte a los Controles del servicio de VPC, debes migrar todos los extremos correspondientes a la API de chronicle.googleapis.com.

  • Google SecOps con Controles del servicio de VPC admite la exportación de datos del modelo de datos unificado (UDM) de Google SecOps solo a un proyecto de BigQuery autoadministrado o con la exportación avanzada de BigQuery.

  • Los Controles del servicio de VPC solo admiten los paneles de Google SecOps.

  • Solo puedes crear feeds de Cloud Storage con el tipo de fuente GOOGLE_CLOUD_STORAGE_V2 usando conectores de la versión 2.

  • Cuando creas suscripciones nuevas de Pub/Sub cuando Google SecOps está restringido dentro de un perímetro de Controles del servicio de VPC, Google SecOps requiere que escribas registros en Cloud Storage y uses GOOGLE_CLOUD_STORAGE_V2 o GOOGLE_CLOUD_STORAGE_EVENT_DRIVEN en lugar de tus feeds de CLOUD_PUB_SUB.

• Para una instancia de Google SecOps que usa claves de encriptación administradas por el cliente (CMEK), Google recomienda que mantengas tu proyecto de Cloud Key Management Service dentro del mismo perímetro que tu proyecto de Google Cloud vinculado a Google SecOps o que mantengas tus claves dentro del propio proyecto de Google Cloud vinculado a Google SecOps.

• En el lado de SOAR de la plataforma, si tu instancia de Google SecOps usa claves de encriptación administradas por el cliente (CMEK), confirma que tu instancia de SOAR se migró a Google.com.

• Si usas exportaciones de datos de SOAR heredadas a BigQuery, como para Looker o BigQuery Export administrado, Google recomienda que uses la función Trae tu propio BigQuery (BYOBQ) en su lugar. Debido a que los paneles de Looker son una función heredada, Google también recomienda que uses Paneles en su lugar. Si sigues usando las exportaciones de datos de SOAR heredadas a BigQuery, debes configurar una regla de salida dedicada en el perímetro de servicio de los Controles del servicio de VPC. Para obtener la información necesaria sobre la regla y el proyecto, como SOAR_TENANT_PROJECT_ID y BQ_TLA_PROJECT_NUMBER, comunícate con tu ingeniero de Atención al cliente (CE) o abre un caso de asistencia.

Limitaciones

• El extremo de API de Google SecOps Chronicle ImportPushLogs no admite los Controles del servicio de VPC. Sin embargo, esta limitación no representa un riesgo de robo de datos, ya que el extremo ImportPushLogs solo se usa para enviar datos a una instancia de Google SecOps, no para acceder a ellos.

• Google SecOps con los Controles del servicio de VPC no admite los paneles de Looker.

• Google Cloud Pub/Sub no admite la creación de una nueva suscripción a Pub/Sub que use los extremos de la API de Chronicle para transferir registros (entrada de Pub/Sub en la tabla de productos compatibles con los Controles del servicio de VPC). Sin embargo, las suscripciones de Pub/Sub existentes (creadas antes de mover el proyecto de Google Cloud dentro del perímetro de los Controles del servicio de VPC) seguirán transfiriendo registros como se espera.

• Google SecOps con Controles del servicio de VPC no admite conectores de feeds de APIs de terceros ni de bucket de Cloud heredados.

Configura las reglas de entrada y salida

Configura las reglas de entrada y salida según la configuración del perímetro de servicio. Para obtener más información, consulta Descripción general del perímetro de servicio.

Advertencia: Después de configurar las reglas de entrada y salida, ejecuta Google SecOps con los Controles del servicio de VPC en modo de ejecución de prueba durante las primeras semanas. Audita tus Registros de auditoría de Cloud para detectar cualquier incumplimiento antes de mover la configuración al modo de aplicación forzosa. Entre las posibles causas de los incumplimientos, se encuentran las integraciones de respuestas de Content Hub en tu sistema sin las reglas de entrada o salida necesarias.

Si tienes problemas con los Controles del servicio de VPC, usa el analizador de incumplimientos de los Controles del servicio de VPC para depurar y analizar el problema. Para obtener más información, consulta Diagnostica una denegación de acceso en el analizador de incumplimientos.

Configura la regla de entrada para SOAR

En esta sección, se describe cómo configurar los Controles del servicio de VPC para el lado de SOAR de la plataforma.

Configura la siguiente regla de entrada para la cuenta de usuario de Google Cloud que especificaste cuando configuraste Google SecOps:

  - ingressFrom:
      identityType: ANY_SERVICE_ACCOUNT
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: secretmanager.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/PROJECT_NUMBER

Reemplaza PROJECT_NUMBER por el número de proyecto de Google Cloud vinculado a Google SecOps.

Configura las reglas para la SIEM

En esta sección, se describe cómo configurar los Controles del servicio de VPC para el lado de SIEM de la plataforma.

Reglas de entrada y salida para feeds de la versión 2 basados en Cloud Storage

Configura las reglas de entrada y salida según la configuración del perímetro de servicio. Consulta Descripción general del perímetro de servicio para obtener más información. Si los Controles del servicio de VPC están habilitados en el proyecto de Google Cloud que aloja tu bucket de Cloud Storage de origen o en tu proyecto de Google Cloud vinculado a Google SecOps (BYOP), configura las reglas de entrada y salida requeridas según la configuración de tu perímetro:

Caso	Proyecto del bucket de origen	Proyecto vinculado a Google SecOps (BYOP)	Reglas para el perímetro de origen	Reglas para el perímetro de BYOP
Caso uno	En un perímetro	En el mismo perímetro	Ninguno	Ninguno
Caso dos	En CUSTOMER_SOURCE_PERIMETER	En CUSTOMER_BYOP_PERIMETER (perímetro diferente)	Regla A1 (entrada) y regla A2 (salida)	Regla B1 (salida)
Caso tres	En CUSTOMER_SOURCE_PERIMETER	No está en un perímetro	Regla A1 (entrada) y regla A2 (salida)	Ninguno
Caso cuatro	No está en un perímetro	En CUSTOMER_BYOP_PERIMETER	Ninguno	Regla B1 (salida)

Reemplaza estos marcadores de posición en las reglas de entrada y salida que se indican a continuación:

• CUSTOMER_SOURCE_PROJECT_NUMBER: Es el ID numérico del proyecto de Google Cloud que aloja el bucket de Cloud Storage de origen.
• CUSTOMER_SOURCE_PERIMETER: Es el perímetro de VPC-SC que protege el proyecto del bucket de origen.
• CUSTOMER_BYOP_PROJECT_NUMBER: Es el ID numérico del proyecto de Google SecOps vinculado Google Cloud (BYOP).
• CUSTOMER_BYOP_PERIMETER: Es el perímetro de VPC-SC que protege tu proyecto de BYOP.
• CHRONICLE_STS_SERVICE_AGENT: Es la cuenta de servicio del Servicio de transferencia de almacenamiento (STS) que se muestra en Google SecOps cuando se configura el feed de Cloud Storage V2 (por ejemplo, [e-mail]).

A. Reglas para el perímetro del proyecto del bucket de origen (CUSTOMER_SOURCE_PERIMETER)

Aplica estas reglas para los casos dos y tres, como se define en la tabla anterior.

Regla A1: Regla de entrada

  {
    "ingressFrom": {
      "identities": [
        "serviceAccount:<CHRONICLE_STS_SERVICE_AGENT>"
      ],
      "sources": [
        {
          "accessLevel": "*"
        }
      ]
    },
    "ingressTo": {
      "operations": [
        {
          "serviceName": "storage.googleapis.com",
          "methodSelectors": [
            { "method": "*" }
          ]
        }
      ],
      "resources": [
        "projects/<CUSTOMER_SOURCE_PROJECT_NUMBER>"
      ]
    }
  }

Regla A2: Regla de salida

  {
    "egressFrom": {
      "identities": [
        "serviceAccount:<CHRONICLE_STS_SERVICE_AGENT>"
      ]
    },
    "egressTo": {
      "operations": [
        {
          "serviceName": "storage.googleapis.com",
          "methodSelectors": [
            { "method": "google.storage.objects.create" },
            { "method": "google.storage.objects.delete" }
          ]
        }
      ],
      "resources": [
        "projects/<CUSTOMER_BYOP_PROJECT_NUMBER>"
      ]
    }
  }

B. Reglas para el perímetro del proyecto de BYOP (CUSTOMER_BYOP_PERIMETER)

Aplica esta regla para los casos dos y cuatro, como se define en la tabla anterior.

Regla B1: Regla de salida

  {
    "egressFrom": {
      "identities": [
        "serviceAccount:<CHRONICLE_STS_SERVICE_AGENT>"
      ]
    },
    "egressTo": {
      "operations": [
        {
          "serviceName": "storage.googleapis.com",
          "methodSelectors": [
            { "method": "*" }
          ]
        }
      ],
      "resources": [
        "projects/<CUSTOMER_SOURCE_PROJECT_NUMBER>"
      ]
    }
  }

Advertencia: Después de configurar las reglas de entrada y salida, ejecuta Google SecOps con los Controles del servicio de VPC en modo de ejecución de prueba durante las primeras semanas. Audita tus Registros de auditoría de Cloud para detectar cualquier incumplimiento antes de mover la configuración al modo de aplicación forzosa. Entre las posibles causas de los incumplimientos, se encuentran las integraciones de respuestas de Content Hub en tu sistema sin las reglas de entrada o salida necesarias.

Si tienes problemas con los Controles del servicio de VPC, usa el analizador de incumplimientos de los Controles del servicio de VPC para depurar y analizar el problema. Para obtener más información, consulta Diagnostica una denegación de acceso en el analizador de incumplimientos.

Regla de entrada para BigQuery Export avanzado

Si usas la función Exportación avanzada de BigQuery, configura la siguiente regla para la cuenta de usuario de Google Cloud que especificaste cuando configuraste Google SecOps:

    - ingressFrom:
      identities:
      - serviceAccount:[e-mail]
      - serviceAccount:[e-mail]
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: bigquery.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/PROJECT_NUMBER

Reemplaza PROJECT_NUMBER por el número de proyecto de Google Cloud vinculado a Google SecOps.

Regla de entrada para tablas de datos

Si usas tablas de datos, configura la siguiente regla para la cuenta de usuario de Google Cloud que especificaste cuando configuraste Google SecOps:

  - ingressFrom:
      identities:
      - user:[e-mail]
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: storage.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/PROJECT_NUMBER

Reemplaza PROJECT_NUMBER por el número de proyecto de Google Cloud vinculado a Google SecOps.

Configura las reglas de Google SecOps con Security Command Center

En esta sección, se describe cómo configurar los Controles del servicio de VPC para Google SecOps con Security Command Center.

Las cuentas de servicio de las siguientes reglas solo se crean durante el aprovisionamiento de Google SecOps. Por lo tanto, debes configurar las reglas de Security Command Center después del aprovisionamiento, pero antes de comenzar a usar Security Command Center.

Nota: En la plataforma de Google SecOps, la integración de Security Command Center se llama Google Security Command Center. Para obtener más información, consulta Recopila los hallazgos de Security Command Center y Problemas de Security Command Center.

Completa las siguientes tareas para la cuenta de usuario de Google Cloud que especificaste cuando configuraste Google SecOps:

1. Configura la siguiente regla de entrada:

   - ingressFrom:
       identities:
       - serviceAccount: [e-mail]
       - serviceAccount: [e-mail]
       - serviceAccount: [e-mail]
       - serviceAccount: [e-mail]
       sources:
       - accessLevel: "*"
     ingressTo:
       operations:
       - serviceName: chronicle.googleapis.com
         methodSelectors:
         - method: "*"
       - serviceName: securitycenter.googleapis.com
         methodSelectors:
         - method: "*"
       - serviceName: compute.googleapis.com
         methodSelectors:
         - method: "*"
       - serviceName: cloudasset.googleapis.com
         methodSelectors:
         - method: "*"
       - serviceName: monitoring.googleapis.com
         methodSelectors:
         - method: "*"
       - serviceName: iam.googleapis.com
         methodSelectors:
         - method: "*"
       - serviceName: orgpolicy.googleapis.com
         methodSelectors:
         - method: "*"
       - serviceName: serviceusage.googleapis.com
         methodSelectors:
         - method: "*"
       - serviceName: dns.googleapis.com
         methodSelectors:
         - method: "*"
       resources:
       - projects/PROJECT_NUMBER
   

   Reemplaza lo siguiente:

   • GOOGLE_ORGANIZATION_NUMBER: Es el número de tu organización de Google Cloud .
   • PROJECT_NUMBER: Es el número de tu proyecto de Google Cloud vinculado a Google SecOps.

2. Configura la siguiente regla de salida:

   - egressTo:
       operations:
       - serviceName: pubsub.googleapis.com
         methodSelectors:
         - method: "*"
       - serviceName: securitycenter.googleapis.com
         methodSelectors:
         - method: "*"
       - serviceName: cloudasset.googleapis.com
         methodSelectors:
         - method: "*"
       - serviceName: iam.googleapis.com
         methodSelectors:
         - method: "*"
       - serviceName: compute.googleapis.com
         methodSelectors:
         - method: "*"
       resources:
       - "*"
     egressFrom:
       identities:
       - serviceAccount: [e-mail]
       - serviceAccount: [e-mail]
       sources:
       - resource: projects/PROJECT_NUMBER
   

   Reemplaza lo siguiente:

   • GOOGLE_ORGANIZATION_NUMBER: Es el número de tu organización de Google Cloud .
   • PROJECT_NUMBER: Es el número de tu proyecto de Google Cloud vinculado a Google SecOps.

Configura la regla de entrada para las claves de encriptación administradas por el cliente (CMEK)

En esta sección, se describe cómo configurar los Controles del servicio de VPC para Google SecOps con claves de encriptación administradas por el cliente (CMEK). Las CMEK son claves de encriptación que posees, administras y almacenas en Cloud Key Management Service.

Configura la siguiente regla de entrada:

  - ingressFrom:
    identities:
    - serviceAccount: [e-mail]
    - serviceAccount: [e-mail]
    - serviceAccount: [e-mail]
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: secretmanager.googleapis.com
        methodSelectors:
        - method: "*"
      - serviceName: cloudkms.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/CMEK_PROJECT_NUMBER

Reemplaza lo siguiente:

• SECRET_MANAGER_PROJECT_NUMBER: Es el proyecto que Google usa para almacenar secretos de algunas funciones de transferencia, que puedes obtener de tu representante de Google SecOps.
• GOOGLE_MANAGED_BIGQUERY_PROJECT_NUMBER: Es el proyecto que Google usa para almacenar recursos de BigQuery para algunas funciones de exportación, que puedes obtener de tu representante de Google SecOps.
• CMEK_PROJECT_NUMBER: Es el número del proyecto que almacena las CMEK.