הגדרת VPC Service Controls

נתמך ב:

במדריך הזה מוסבר איך להגדיר את VPC Service Controls ל-Google Security Operations.

בעזרת VPC Service Controls אתם יכולים להגדיר גבולות גזרה לשירות כדי להגן מפני זליגת נתונים. כדי ש-Google SecOps יוכל לגשת למשאבים ולשירותים מחוץ לגבולות הגזרה לשירות, צריך להגדיר את Google Security Operations עם VPC Service Controls.

מידע נוסף על VPC Service Controls זמין בסקירה הכללית על VPC Service Controls. אפשר גם לעיין בערך של Google Security Operations בטבלת המוצרים הנתמכים של VPC Service Controls.

לפני שמתחילים

  • מוודאים שיש לכם את התפקידים הנדרשים להגדרת VPC Service Controls ברמת הארגון.

  • כדי להשתמש ב-Google SecOps עם VPC Service Controls, אתם יכולים להשתמש רק בתכונות שתואמות ל-VPC Service Controls. ברשימה הבאה מפורטות התכונות שתואמות ל-VPC Service Controls:

    • ‫Google SecOps עם VPC Service Controls תומך רק ב Google Cloud אימות זהות, ספקי זהויות של צד שלישי ואיחוד שירותי אימות הזהות של כוח העבודה.
    • כדי להשתמש ב-VPC Service Controls עם Google SecOps, צריך להפעיל את התכונה RBAC ב-Google SecOps.

    • ‫Google SecOps עם VPC Service Controls תומך רק בממשקי ה-API הבאים שגלויים לכולם:

      • chronicle.googleapis.com
      • chronicleservicemanager.googleapis.com

      כדי להצטרף ל-VPC Service Controls, צריך להעביר את כל נקודות הקצה המתאימות ל-API של chronicle.googleapis.com.

    • ב-Google SecOps עם VPC Service Controls אפשר לייצא נתונים של מודל הנתונים המאוחד (UDM) של Google SecOps רק לפרויקט בניהול עצמי ב-BigQuery או באמצעות ייצוא מתקדם ל-BigQuery.

    • שירות VPC Service Controls תומך רק במרכזי הבקרה של Google SecOps.

    • אפשר ליצור פידים של Cloud Storage רק עם סוג המקור GOOGLE_CLOUD_STORAGE_V2 באמצעות מחברים בגרסה 2.

    • כשיוצרים מינויים חדשים ל-Pub/Sub ו-Google SecOps מוגבל בתוך גבולות הגזרה של VPC Service Controls, צריך לכתוב את היומנים ב-Cloud Storage ולהשתמש ב-GOOGLE_CLOUD_STORAGE_V2 או ב-GOOGLE_CLOUD_STORAGE_EVENT_DRIVEN במקום בפידים של CLOUD_PUB_SUB.

  • במכונה של Google SecOps שמשתמשת במפתחות הצפנה בניהול הלקוח (CMEK), מומלץ מאוד להשאיר את הפרויקט של Cloud Key Management Service באותו היקף כמו הפרויקט ב- Google Cloud שמקושר ל-Google SecOps, או להשאיר את המפתחות בתוך הפרויקט ב- Google Cloud שמקושר ל-Google SecOps.

  • בצד של SOAR בפלטפורמה, אם המכונה של Google SecOps משתמשת במפתחות הצפנה בניהול הלקוח (CMEK), ודאו שהמכונה של SOAR הועברה אל Google.com.

  • אם אתם משתמשים בייצוא נתונים מדור קודם של SOAR ל-BigQuery, למשל ל-Looker או ל-Managed BigQuery Export, ‏ Google ממליצה להשתמש במקום זאת בתכונה Bring Your Own BigQuery (BYOBQ)‎. מכיוון שמרכזי הבקרה של Looker הם תכונה מדור קודם, Google ממליצה להשתמש במקום זאת במרכזי בקרה. אם אתם ממשיכים להשתמש בייצוא נתונים מדור קודם של SOAR ל-BigQuery, אתם צריכים להגדיר כלל ייעודי לתעבורת נתונים יוצאת (egress) בהיקף השירות של VPC Service Controls. כדי לקבל את פרטי הכלל והפרויקט הנדרשים, כמו SOAR_TENANT_PROJECT_ID ו-BQ_TLA_PROJECT_NUMBER, פנו ל-Customer Engineer (CE) או פתחו בקשת תמיכה.

מגבלות

  • נקודת הקצה ל-API של Google SecOps Chronicle‏ ImportPushLogs לא תומכת ב-VPC Service Controls. עם זאת, המגבלה הזו לא מהווה סיכון של זליגת נתונים, כי נקודת הקצה ImportPushLogs משמשת רק כדי לדחוף נתונים למכונה של Google SecOps, ולא כדי לגשת לנתונים.

  • ב-Google SecOps עם VPC Service Controls אין תמיכה במרכזי בקרה של Looker.

  • Google Cloud ב-Pub/Sub אי אפשר ליצור מינוי חדש שמשתמש בנקודות קצה ל-API של Chronicle כדי להטמיע יומנים (הרשומה של Pub/Sub בטבלת המוצרים שנתמכים ב-VPC Service Controls). עם זאת, כל המינויים הקיימים ל-Pub/Sub (שנוצרו לפני העברת הפרויקט Google Cloud אל תוך ההיקף של VPC Service Controls) ימשיכו להטמיע יומנים כצפוי.

  • ב-Google SecOps עם VPC Service Controls אין תמיכה בקטגוריות קודמות בענן ובמחברי פידים של ממשקי API של צד שלישי.

הגדרת הכללים לתעבורת נתונים נכנסת (ingress) ויוצאת (egress)

מגדירים כללים לתעבורת נתונים נכנסת ויוצאת על סמך ההגדרה של גבולות הגזרה לשירות. מידע נוסף זמין במאמר סקירה כללית על גבולות גזרה לשירות.

אם נתקלתם בבעיות ב-VPC Service Controls, אתם יכולים להשתמש בכלי לניתוח הפרות של VPC Service Controls כדי לנפות באגים ולנתח את הבעיה. מידע נוסף זמין במאמר אבחון של דחיית גישה בכלי לניתוח הפרות.

הגדרת הכלל לתעבורת נתונים נכנסת (ingress) ל-SOAR

בקטע הזה מוסבר איך להגדיר את VPC Service Controls בצד של SOAR בפלטפורמה.

מגדירים את כלל התעבורה הנכנסת הבא לחשבון המשתמש ב- Google Cloud שציינתם כשהגדרתם את Google SecOps:

  - ingressFrom:
      identityType: ANY_SERVICE_ACCOUNT
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: secretmanager.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/PROJECT_NUMBER

מחליפים את PROJECT_NUMBER במספר הפרויקט ב- Google Cloud שמקושר ל-Google SecOps.

הגדרת הכללים ל-SIEM

בקטע הזה מוסבר איך להגדיר את VPC Service Controls בצד של ה-SIEM בפלטפורמה.

כלל תעבורת נתונים נכנסת ל-Advanced BigQuery Export

אם אתם משתמשים בתכונה ייצוא מתקדם ל-BigQuery, הגדירו את הכלל הבא לחשבון המשתמש ב- Google Cloud שציינתם כשהגדרתם את Google SecOps:

    - ingressFrom:
      identities:
      - serviceAccount:malachite-bq-export-entity-graph-batch-adv-bq@system.gserviceaccount.com
      - serviceAccount:malachite-customer-monitoring-exporter@system.gserviceaccount.com
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: bigquery.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/PROJECT_NUMBER

מחליפים את PROJECT_NUMBER במספר הפרויקט ב- Google Cloud שמקושר ל-Google SecOps.

כלל לתעבורת נתונים נכנסת (ingress) בטבלאות נתונים

אם אתם משתמשים בטבלאות נתונים, הגדירו את הכלל הבא ל Google Cloud חשבון המשתמש שציינתם כשהגדרתם את Google SecOps:

  - ingressFrom:
      identities:
      - user:malachite-data-plane-api@prod.google.com
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: storage.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/PROJECT_NUMBER

מחליפים את PROJECT_NUMBER במספר הפרויקט ב- Google Cloud שמקושר ל-Google SecOps.

הגדרת הכללים של Google SecOps באמצעות Security Command Center

בקטע הזה מוסבר איך להגדיר את VPC Service Controls ל-Google SecOps עם Security Command Center.

חשבונות השירות בכללים הבאים נוצרים רק במהלך הקצאת Google SecOps, לכן צריך להגדיר את הכללים של Security Command Center אחרי ההקצאה, אבל לפני שמתחילים להשתמש ב-Security Command Center.

מבצעים את המשימות הבאות בחשבון המשתמש ב- Google Cloud שציינתם כשהגדרתם את Google SecOps:

  1. מגדירים את כלל התעבורה הנכנסת הבא:

    - ingressFrom:
    identities:
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-chronicle-soar.iam.gserviceaccount.com
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@security-center-api.iam.gserviceaccount.com
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-csc-hpsa.iam.gserviceaccount.com
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-asm-hpsa.iam.gserviceaccount.com
    sources:
    - accessLevel: "*"
  ingressTo:
    operations:
    - serviceName: chronicle.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: securitycenter.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: cloudasset.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: monitoring.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: iam.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: orgpolicy.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: serviceusage.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: dns.googleapis.com
      methodSelectors:
      - method: "*"
    resources:
    - projects/PROJECT_NUMBER

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫GOOGLE_ORGANIZATION_NUMBER: מספר הארגון Google Cloud שלכם
    • ‫PROJECT_NUMBER: מספר הפרויקט ב- Google Cloud שמקושר ל-Google SecOps

  2. מגדירים את כלל התעבורה היוצאת הבא:

    - egressTo:
    operations:
    - serviceName: pubsub.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: securitycenter.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: cloudasset.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: iam.googleapis.com
      methodSelectors:
      - method: "*"
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: "*"
    resources:
    - "*"
  egressFrom:
    identities:
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@gcp-sa-chronicle-soar.iam.gserviceaccount.com
    - serviceAccount: service-org-GOOGLE_ORGANIZATION_NUMBER@security-center-api.iam.gserviceaccount.com
    sources:
    - resource: projects/PROJECT_NUMBER

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫GOOGLE_ORGANIZATION_NUMBER: מספר הארגון Google Cloud שלכם
    • ‫PROJECT_NUMBER: מספר הפרויקט ב- Google Cloud שמקושר ל-Google SecOps

הגדרת כלל תעבורת הנתונים הנכנסת (ingress) למפתחות הצפנה בניהול הלקוח (CMEK)

בקטע הזה מוסבר איך להגדיר את VPC Service Controls ל-Google SecOps עם מפתחות הצפנה בניהול הלקוח (CMEK). מפתחות CMEK הם מפתחות הצפנה שבבעלותכם, שאתם מנהלים ושמאוחסנים ב-Cloud Key Management Service.

מגדירים את כלל התעבורה הנכנסת הבא:

  - ingressFrom:
    identities:
    - serviceAccount: service-SECRET_MANAGER_PROJECT_NUMBER@gcp-sa-secretmanager.iam.gserviceaccount.com
    - serviceAccount: service-GOOGLE_MANAGED_BIGQUERY_PROJECT_NUMBER@gs-project-accounts.iam.gserviceaccount.com
    - serviceAccount: bq-GOOGLE_MANAGED_BIGQUERY_PROJECT_NUMBER@bigquery-encryption.iam.gserviceaccount.com
      sources:
      - accessLevel: "*"
    ingressTo:
      operations:
      - serviceName: secretmanager.googleapis.com
        methodSelectors:
        - method: "*"
      - serviceName: cloudkms.googleapis.com
        methodSelectors:
        - method: "*"
      resources:
      - projects/CMEK_PROJECT_NUMBER

מחליפים את מה שכתוב בשדות הבאים:

  • SECRET_MANAGER_PROJECT_NUMBER: הפרויקט שבו Google משתמשת כדי לאחסן סודות של תכונות מסוימות להטמעה. אתם יכולים לקבל את המידע הזה מנציג Google SecOps.
  • ‫GOOGLE_MANAGED_BIGQUERY_PROJECT_NUMBER: הפרויקט ש-Google משתמשת בו כדי לאחסן משאבים של BigQuery בשביל תכונות ייצוא מסוימות. אפשר לקבל את המזהה מהנציג של Google SecOps.
  • ‫CMEK_PROJECT_NUMBER: מספר הפרויקט שבו מאוחסנים מפתחות ה-CMEK