SOAR-Zugriff – Übersicht
In diesem Dokument wird beschrieben, wie diese Mechanismen – SOC-Rollen, Umgebungen und entweder Berechtigungsgruppen oder IAM-Rollen – zusammenwirken, um den Nutzerzugriff auf verschiedene Teile der Plattform zu steuern. Außerdem wird beschrieben, wie durch diese Mechanismen festgelegt wird, wer Supportanfragen sehen kann.
SOC-Rollen zuweisen
Sie können SOC-Rollen unterschiedliche Zugriffsrechte zuweisen, um den Verantwortungsbereich für jede Nutzergruppe in Google Security Operations zu steuern. Google SecOps umfasst vordefinierte SOC-Rollen. Sie können aber auch benutzerdefinierte Rollen hinzufügen.
Die vordefinierten SOC-Rollen sind so definiert:
- Tier 1: Führen Sie eine grundlegende Triage der Benachrichtigungen durch.
- Ebene 2: Sicherheitsbedrohungen mit hoher Priorität überprüfen.
- Tier 3: Umgang mit schwerwiegenden Vorfällen
- SOC-Manager: Verwalten Sie das SOC-Team.
- CISO: Fungieren als Manager auf höchster Ebene in Ihrer Organisation.
- Administrator: Zugriff auf die gesamte Google SecOps-Plattform.
Sie können eine dieser SOC-Rollen als Standard festlegen. Das System weist sie dann automatisch eingehenden Fällen zu. Jeder SOC-Rolle können auch zusätzliche SOC-Rollen zugewiesen werden, sodass Nutzer alle Fälle im Blick behalten können, die diesen Rollen zugewiesen sind. Ein Analyst der Stufe 1 kann beispielsweise Anfragen sehen, die seiner Rolle der Stufe 1 und allen zusätzlichen Rollen zugewiesen sind.
Nachdem ein Fall erstellt wurde, können Sie ihn manuell oder mit einer automatischen Playbook-Aktion von der SOC-Standardrolle einer bestimmten SOC-Rolle oder einem einzelnen Nutzer neu zuweisen. Wenn Sie einem Fall eine SOC-Rolle zuweisen, wird eine Gruppe von Personen darüber informiert. Wenn ein Analyst sich den Fall selbst zuweist, gibt er an, dass er ihn bearbeitet.
Weitere Informationen zu SOC-Rollen finden Sie unter SOC-Rollen verwalten.Umgebungen und Umgebungsgruppen
Sie können verschiedene Umgebungen und Umgebungsgruppen definieren, um eine logische Datentrennung zu erreichen. Diese Trennung gilt für die meisten Plattformmodule, z. B. für Fälle, Playbooks, die Aufnahme und Dashboards. Dieses Verfahren ist nützlich für Unternehmen und Managed Security Service Providers (MSSPs), die ihre Abläufe und Netzwerke segmentieren müssen. Jede Umgebung oder Gruppe kann eigene Automatisierungsprozesse und ‑einstellungen haben. Bei MSSPs mit vielen verschiedenen Kunden kann jede Umgebung oder Gruppe einen separaten Kunden darstellen.
Sie können Plattform-Einstellungen so konfigurieren, dass nur Analysten, die einer bestimmten Umgebung oder Gruppe zugeordnet sind, die zugehörigen Anfragen sehen können. Sie können das Playbooks-Modul beispielsweise für mehrere Umgebungen konfigurieren. Das System verwendet die Standardumgebung als Plattform-Baseline, wenn Sie keine anderen Umgebungen definiert oder ausgewählt haben. Plattformadministratoren haben Zugriff auf alle aktuellen und zukünftigen Umgebungen und Umgebungsgruppen.
Weitere Informationen zu Umgebungsgruppen finden Sie unter Mit Umgebungen arbeiten.Berechtigungsgruppen oder IAM-Rollen
Mit Google SecOps können Sie Nutzergruppen erstellen und verschiedenen Modulen unterschiedliche Berechtigungsstufen zuweisen. Vor der Migration von SOAR zu Google Cloud werden diese über Berechtigungsgruppen in den SOAR-Einstellungen gesteuert. Nach Abschluss der SOAR-Migration zu Google Cloudwerden diese durch IAM-Rollen gesteuert.
Berechtigungsgruppen (vor der Migration)
Die Google SecOps-Plattform umfasst vordefinierte Berechtigungsgruppen. Bei Bedarf können Sie Berechtigungsgruppen hinzufügen. Die vordefinierten Gruppen sind:
- Admin
- Einfach
- Leser
- Nur lesen
- Mitbearbeiterinnen und Mitbearbeiter
- Verwaltet
- Verwaltet mit erweitertem Zugriff
Berechtigungsgruppen steuern den Zugriff, den jede Gruppe auf verschiedene Module und Einstellungen auf der Plattform hat. Sie können Berechtigungen auf detaillierter Ebene festlegen.
Beispiel:- Oberste Ebene: Ermöglichen Sie den Zugriff auf das Modul „Berichte“ für eine bestimmte Berechtigungsgruppe.
- Mittlere Ebene: Ermöglicht den Zugriff nur zum Aufrufen erweiterter Berichte.
- Detaillierte Ebene: Nutzer können erweiterte Berichte bearbeiten.
IAM-Rollen (Identity and Access Management) nach der Migration
Nachdem Sie die SOAR-Migration zu Google Cloudabgeschlossen haben, werden die Berechtigungsgruppen in IAM-Rollen migriert. Weitere Informationen zum Migrieren von Berechtigungsgruppen zu IAM-Rollen finden Sie unter SOAR-Berechtigungen zu Google Cloud IAM migrieren. Die Google SecOps-Plattform unterstützt vordefinierte IAM-Rollen sowie benutzerdefinierte Rollen, die Sie nach Bedarf hinzufügen können. Die vordefinierten IAM-SOAR-Rollen sind:| Vordefinierte Rolle in IAM | Titel | Beschreibung |
|---|---|---|
roles/chronicle.admin |
Chronicle API-Administrator | Vollständiger Zugriff auf die Google SecOps-Anwendung und API-Dienste, einschließlich globaler Einstellungen. |
roles/chronicle.editor |
Chronicle API Editor | Zugriff auf Google SecOps-Anwendungs- und API-Ressourcen ändern. |
roles/chronicle.viewer |
Chronicle API-Betrachter | Lesezugriff auf Google SecOps-Anwendungs- und API-Ressourcen. |
roles/chronicle.limitedViewer |
Chronicle API Limited Viewer | Gewährt Lesezugriff auf Google SecOps-Anwendungs- und API-Ressourcen, mit Ausnahme von Regeln für die Erkennungs-Engine und RetroHunts. |
roles/chronicle.soarAdmin |
Chronicle SOAR Admin | Vollständiger Administratorzugriff auf SOAR-Einstellungen und ‑Verwaltung. |
Aktionen einschränken
Jede Berechtigungsgruppe enthält einen Bereich, in dem der Administrator Aktionen auswählen kann, die für diese bestimmte Berechtigungsgruppe eingeschränkt sind. Damit eine eingeschränkte Aktion angewendet wird, muss sie in allen Berechtigungsgruppen ausgewählt sein, die der Nutzergruppe zugewiesen sind. Wenn eine Nutzergruppe mehreren Berechtigungsgruppen zugeordnet ist, die eingeschränkte Aktion aber nur in einer dieser Gruppen zugewiesen ist, wird die Einschränkung nicht erzwungen.
Map users (Nutzer zuordnen)
Es gibt verschiedene Möglichkeiten, Nutzer zuzuordnen, je nachdem, ob Sie zu Google Cloudmigriert sind:Vor der SOAR-Migration werden SOC-Rollen, Berechtigungsgruppen und Umgebungen je nach Authentifizierungsmethode des Produkts verschiedenen IdP-Gruppen oder E‑Mail-Nutzergruppen zugeordnet. Sie können anstelle von Nutzer-E-Mail-Adressen auch Attribute für das Subjekt der Workforce Identity Federation angeben.
Nach der SOAR-Migration werden SOC-Rollen und ‑Umgebungen verschiedenen IAM-Rollen zugeordnet.
Weitere Informationen zum Zuordnen von Nutzern in der Plattform finden Sie im entsprechenden Dokument:
Wenn Sie die Authentifizierung über die Mitarbeiteridentitätsföderation eingerichtet haben und sich vor der Migration befinden, ordnen Sie IdP-Gruppen Berechtigungsgruppen, SOC-Rollen und Umgebungen zu. Weitere Informationen finden Sie unter Nutzer in der Google SecOps-Plattform zuordnen.
Wenn Sie die Authentifizierung mit Cloud Identity eingerichtet haben und sich vor der Migration befinden, ordnen Sie die E‑Mail-Gruppen der Nutzer Berechtigungsgruppen, SOC-Rollen und Umgebungen zu. Weitere Informationen finden Sie unter Nutzer auf der Plattform mithilfe von Cloud Identity zuordnen.
Wenn Sie die Authentifizierung über Cloud Identity eingerichtet haben, ordnen Sie nach der Migration IAM-Rollen SOC-Rollen und -Umgebungen zu. Weitere Informationen finden Sie unter Nutzer auf der Plattform mithilfe von Cloud Identity zuordnen.
Kunden, die Google SecOps SOAR als eigenständiges Produkt nutzen, finden Informationen unter Nutzer verwalten.
Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten