Configurar los Controles del servicio de VPC

Compatible con:

En esta guía, se describe cómo configurar los Controles del servicio de VPC para Google Security Operations.

Los Controles del servicio de VPC te permiten configurar un perímetro de servicio para protegerte contra el robo de datos. Configura Google Security Operations con los Controles del servicio de VPC para que Google SecOps pueda acceder a los recursos y servicios fuera de su perímetro de servicio.

Consulta Descripción general de los Controles del servicio de VPC para obtener más información sobre estos. También puedes ver la entrada de Google Security Operations en la tabla de productos compatibles con los Controles del servicio de VPC.

Antes de comenzar

  • Asegúrate de tener los roles necesarios para configurar los Controles del servicio de VPC a nivel de la organización.

  • Para usar Google SecOps con los Controles del servicio de VPC, solo puedes usar las funciones que cumplen con los Controles del servicio de VPC. A continuación, se enumeran las funciones compatibles con los Controles del servicio de VPC:

    • Google SecOps con los Controles del servicio de VPC solo admite la autenticación de identidad de Google Cloud , los proveedores de identidad de terceros y la federación de identidades de personal.
    • Se debe habilitar el RBAC de funciones de Google SecOps para usar los Controles del servicio de VPC con Google SecOps.

    • Google SecOps con Controles del servicio de VPC solo admite las siguientes APIs públicas:

      • chronicle.googleapis.com
      • chronicleservicemanager.googleapis.com

      Para incorporarte a los Controles del servicio de VPC, debes migrar todos los extremos correspondientes a la API de chronicle.googleapis.com.

    • Google SecOps con Controles del servicio de VPC admite la exportación de datos del modelo de datos unificado (UDM) de Google SecOps solo a un proyecto de BigQuery autoadministrado o con la exportación avanzada de BigQuery.

    • Los Controles del servicio de VPC solo admiten los paneles de Google SecOps.

    • Solo puedes crear feeds de Cloud Storage con el tipo de fuente GOOGLE_CLOUD_STORAGE_V2 usando conectores de la versión 2.

    • Cuando creas suscripciones nuevas de Pub/Sub cuando Google SecOps está restringido dentro de un perímetro de Controles del servicio de VPC, Google SecOps requiere que escribas registros en Cloud Storage y uses GOOGLE_CLOUD_STORAGE_V2 o GOOGLE_CLOUD_STORAGE_EVENT_DRIVEN en lugar de tus feeds de CLOUD_PUB_SUB.

  • Para una instancia de Google SecOps que usa claves de encriptación administradas por el cliente (CMEK), Google recomienda que mantengas tu proyecto de Cloud Key Management Service dentro del mismo perímetro que tu proyecto de Google Cloud vinculado a Google SecOps o que mantengas tus claves dentro del propio proyecto de Google Cloud vinculado a Google SecOps.

  • En el lado de SOAR de la plataforma, si tu instancia de Google SecOps usa claves de encriptación administradas por el cliente (CMEK), confirma que tu instancia de SOAR se migre a Google.com.

  • Si usas exportaciones de datos de SOAR heredadas a BigQuery, como para Looker o BigQuery Export administrado, Google recomienda que uses la función Trae tu propio BigQuery (BYOBQ) en su lugar. Debido a que los paneles de Looker son una función heredada, Google también recomienda que uses Paneles en su lugar. Si sigues usando las exportaciones de datos de SOAR heredadas a BigQuery, debes configurar una regla de salida dedicada en el perímetro de servicio de los Controles del servicio de VPC. Para obtener la información necesaria sobre la regla y el proyecto, como SOAR_TENANT_PROJECT_ID y BQ_TLA_PROJECT_NUMBER, comunícate con tu ingeniero de Atención al cliente (CE) o abre un caso de asistencia.

Limitaciones

  • El extremo de API de Google SecOps Chronicle ImportPushLogs no admite los Controles del servicio de VPC. Sin embargo, esta limitación no representa un riesgo de robo de datos, ya que el extremo ImportPushLogs solo se usa para enviar datos a una instancia de Google SecOps, no para acceder a ellos.

  • Google SecOps con Controles del servicio de VPC no admite los paneles de Looker.

  • Google Cloud Pub/Sub no admite la creación de una nueva suscripción a Pub/Sub que use los extremos de la API de Chronicle para transferir registros (entrada de Pub/Sub en la tabla de productos compatibles con los Controles del servicio de VPC). Sin embargo, las suscripciones de Pub/Sub existentes (creadas antes de mover el proyecto de Google Cloud al perímetro de los Controles del servicio de VPC) seguirán transfiriendo registros como se espera.

  • Google SecOps con Controles del servicio de VPC no admite conectores de feeds de APIs de terceros ni de bucket de Cloud heredados.

Configura las reglas de entrada y salida

Configura las reglas de entrada y salida según la configuración del perímetro de servicio. Para obtener más información, consulta Descripción general del perímetro de servicio.

Si tienes problemas con los Controles del servicio de VPC, usa el analizador de incumplimientos de los Controles del servicio de VPC para depurar y analizar el problema. Para obtener más información, consulta Diagnostica una denegación de acceso en el analizador de incumplimientos.

Configura la regla de entrada para SOAR

En esta sección, se describe cómo configurar los Controles del servicio de VPC para el lado de SOAR de la plataforma.

Configura la siguiente regla de entrada para la cuenta de usuario de Google Cloud que especificaste cuando configuraste Google SecOps:

  - ingressFrom:
      identityType: ANY_SERVICE_ACCOUNT
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: secretmanager.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/PROJECT_NUMBER

Reemplaza PROJECT_NUMBER por el número de proyecto de Google Cloud vinculado a Google SecOps.

Configura las reglas para la SIEM

En esta sección, se describe cómo configurar los Controles del servicio de VPC para el lado de SIEM de la plataforma.

Regla de entrada para BigQuery Export avanzado

Si usas la función Exportación avanzada de BigQuery, configura la siguiente regla para la cuenta de usuario de Google Cloud que especificaste cuando configuraste Google SecOps:

    - ingressFrom:
      identities:
      - serviceAccount:malachite-bq-export-entity-graph-batch-adv-bq@system.gserviceaccount.com
      - serviceAccount:malachite-customer-monitoring-exporter@system.gserviceaccount.com
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: bigquery.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/PROJECT_NUMBER

Reemplaza PROJECT_NUMBER por el número de proyecto de Google Cloud vinculado a Google SecOps.

Regla de entrada para tablas de datos

Si usas tablas de datos, configura la siguiente regla para la cuenta de usuario de Google Cloud que especificaste cuando configuraste Google SecOps:

  - ingressFrom:
      identities:
      - user:malachite-data-plane-api@prod.google.com
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: storage.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/PROJECT_NUMBER

Reemplaza PROJECT_NUMBER por el número de proyecto de Google Cloud vinculado a Google SecOps.

Configura las reglas de Google SecOps con Security Command Center

En esta sección, se describe cómo configurar los Controles del servicio de VPC para Google SecOps con Security Command Center.

Las cuentas de servicio de las siguientes reglas solo se crean durante el aprovisionamiento de Google SecOps. Por lo tanto, debes configurar las reglas de Security Command Center después del aprovisionamiento, pero antes de comenzar a usar Security Command Center.

Completa las siguientes tareas para la cuenta de usuario de Google Cloud que especificaste cuando configuraste Google SecOps:

  1. Configura la siguiente regla de entrada:

    - ingressFrom:
    identities:
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-chronicle-soar.iam.gserviceaccount.com
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@security-center-api.iam.gserviceaccount.com
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-csc-hpsa.iam.gserviceaccount.com
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-asm-hpsa.iam.gserviceaccount.com
    sources:
    - accessLevel: "*"
  ingressTo:
    operations:
    - serviceName: chronicle.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: securitycenter.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: cloudasset.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: monitoring.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: iam.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: orgpolicy.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: serviceusage.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: dns.googleapis.com
      methodSelectors:
      - method: "*"
    resources:
    - projects/PROJECT_NUMBER

    Reemplaza lo siguiente:

    • GOOGLE_ORGANIZATION_NUMBER: Es el número de tu organización de Google Cloud .
    • PROJECT_NUMBER: Es el número de tu proyecto de Google Cloud vinculado a Google SecOps.

  2. Configura la siguiente regla de salida:

    - egressTo:
    operations:
    - serviceName: pubsub.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: securitycenter.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: cloudasset.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: iam.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: "*"
    resources:
    - "*"
  egressFrom:
    identities:
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-chronicle-soar.iam.gserviceaccount.com
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@security-center-api.iam.gserviceaccount.com
    sources:
    - resource: projects/PROJECT_NUMBER

    Reemplaza lo siguiente:

    • GOOGLE_ORGANIZATION_NUMBER: Es el número de tu organización de Google Cloud .
    • PROJECT_NUMBER: Es el número de tu proyecto de Google Cloud vinculado a Google SecOps.

Configura la regla de entrada para las claves de encriptación administradas por el cliente (CMEK)

En esta sección, se describe cómo configurar los Controles del servicio de VPC para Google SecOps con claves de encriptación administradas por el cliente (CMEK). Las CMEK son claves de encriptación que posees, administras y almacenas en Cloud Key Management Service.

Configura la siguiente regla de entrada:

  - ingressFrom:
    identities:
    - serviceAccount: service-SECRET_MANAGER_PROJECT_NUMBER@gcp-sa-secretmanager.iam.gserviceaccount.com
    - serviceAccount: service-GOOGLE_MANAGED_BIGQUERY_PROJECT_NUMBER@gs-project-accounts.iam.gserviceaccount.com
    - serviceAccount: bq-GOOGLE_MANAGED_BIGQUERY_PROJECT_NUMBER@bigquery-encryption.iam.gserviceaccount.com
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: secretmanager.googleapis.com
        methodSelectors:
        - method: "*"
      - serviceName: cloudkms.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/CMEK_PROJECT_NUMBER

Reemplaza lo siguiente:

  • SECRET_MANAGER_PROJECT_NUMBER: Es el proyecto que Google usa para almacenar secretos de algunas funciones de transferencia, que puedes obtener de tu representante de Google SecOps.
  • GOOGLE_MANAGED_BIGQUERY_PROJECT_NUMBER: Es el proyecto que Google usa para almacenar recursos de BigQuery para algunas funciones de exportación, que puedes obtener de tu representante de Google SecOps.
  • CMEK_PROJECT_NUMBER: Es el número del proyecto que almacena las CMEK.