סקירה כללית על גישה ל-SOAR
במאמר הזה נסביר איך המנגנונים האלה – תפקידי SOC, סביבות וקבוצות הרשאות או תפקידי IAM – פועלים יחד כדי לשלוט בגישת המשתמשים לחלקים שונים בפלטפורמה. בנוסף, נסביר איך המנגנונים האלה קובעים מי יכול לראות את הפניות.
הקצאת תפקידים ב-SOC
אתם יכולים להקצות זכויות גישה שונות לתפקידים ב-SOC כדי לשלוט בהיקף האחריות של כל קבוצת משתמשים ב-Google Security Operations. Google SecOps כולל תפקידים מוגדרים מראש של SOC, אבל אפשר גם להוסיף תפקידים בהתאמה אישית.
התפקידים המוגדרים מראש ב-SOC מוגדרים כך:
- רמה 1: ביצוע טריאז' בסיסי בהתראות.
- רמה 2: בדיקת איומי אבטחה בעדיפות גבוהה.
- רמה 3: טיפול באירועים חמורים.
- SOC Manager: ניהול צוות ה-SOC.
- CISO: משמש כמנהל ברמה העליונה בארגון.
- אדמין: גישה לכל פלטפורמת Google SecOps.
אפשר להגדיר אחד מהתפקידים האלה ב-SOC כברירת מחדל, והמערכת תקצה אותו אוטומטית למקרים נכנסים. לכל תפקיד SOC אפשר גם לצרף תפקידי SOC נוספים, כדי שהמשתמשים יוכלו לעקוב אחרי כל הבקשות שהוקצו לתפקידים האלה. לדוגמה, אנליסט ברמה 1 יכול לראות בקשות שמשויכות לתפקיד שלו ברמה 1 ולכל תפקיד נוסף.
אחרי שיוצרים כרטיס, אפשר להקצות אותו מחדש מתפקיד ברירת המחדל של SOC לתפקיד SOC ספציפי או למשתמש בודד – באופן ידני או באמצעות פעולה אוטומטית של playbook. הקצאת פנייה לתפקיד SOC מבטיחה שקבוצת אנשים תהיה מודעת לפנייה. כשמנתח מקצה לעצמו את הפנייה, הוא מציין שהוא מטפל בה.
מידע נוסף על תפקידים ב-SOC זמין במאמר ניהול תפקידים ב-SOC.סביבות וקבוצות סביבות
אתם יכולים להגדיר סביבות שונות וקבוצות סביבות כדי ליצור הפרדה לוגית של הנתונים. ההפרדה הזו חלה על רוב המודולים בפלטפורמה, כמו מקרים, תוכניות פעולה, הטמעה ולוחות בקרה. התהליך הזה שימושי לעסקים ולספקי שירותי אבטחה מנוהלים (MSSP) שצריכים לפלח את הפעולות והרשתות שלהם. לכל סביבה או קבוצה יכולים להיות תהליכים והגדרות אוטומטיים ייחודיים משלהם. במקרה של ספקי MSSP עם לקוחות רבים ושונים, כל סביבה או קבוצה יכולה לייצג לקוח נפרד.
אתם יכולים להגדיר את הגדרות הפלטפורמה כך שרק אנליסטים שמשויכים לסביבה או לקבוצה ספציפיות יוכלו לראות את המקרים שלה. לדוגמה, אפשר להגדיר את מודול ה-Playbook לכמה סביבות. המערכת משתמשת בסביבת ברירת המחדל כבסיס לפלטפורמה אם לא הגדרתם או בחרתם סביבות אחרות. לאדמינים של הפלטפורמה יש גישה לכל הסביבות ולקבוצות הסביבות הנוכחיות והעתידיות.
מידע נוסף על קבוצות סביבות זמין במאמר עבודה עם סביבות.קבוצות הרשאות או תפקידי IAM
ב-Google SecOps אפשר ליצור קבוצות של משתמשים ולהקצות רמות הרשאה שונות למודולים שונים. לפני העברת SOAR אל Google Cloud, ההרשאות האלה נשלטות על ידי קבוצות הרשאות בהגדרות SOAR. אחרי שתשלימו את ההעברה של SOAR אל Google Cloud, התפקידים האלה ינוהלו על ידי תפקידי IAM.
קבוצות הרשאות (לפני ההעברה)
פלטפורמת Google SecOps כוללת קבוצות הרשאות מוגדרות מראש, ואפשר להוסיף קבוצות הרשאות לפי הצורך. הקבוצות המוגדרות מראש הן:
- אדמין
- בסיסי
- קוראים
- צפייה בלבד
- שותפי עריכה
- מנוהל
- Managed-Plus
קבוצות הרשאות קובעות את רמת הגישה של כל קבוצה למודולים ולהגדרות שונים בפלטפורמה. אתם יכולים להגדיר הרשאות ברמה מפורטת.
לדוגמה:- הרמה העליונה: מאפשרת גישה למודול הדוחות לקבוצת הרשאות ספציפית.
- רמה בינונית: מאפשרת גישה רק לצפייה בדוחות מתקדמים.
- רמה מפורטת: המשתמשים יכולים לערוך דוחות מתקדמים.
תפקידים בניהול זהויות והרשאות גישה (IAM) (אחרי ההעברה)
אחרי שמשלימים את המיגרציה של SOAR אל Google Cloud, קבוצות ההרשאות מועברות לתפקידים ב-IAM. מידע נוסף על העברת קבוצות הרשאות לתפקידי IAM זמין במאמר העברת הרשאות SOAR ל-Google Cloud IAM. פלטפורמת Google SecOps תומכת בתפקידי IAM מוגדרים מראש וגם בתפקידים בהתאמה אישית, שאפשר להוסיף לפי הצורך. אלה התפקידים המוגדרים מראש ב-IAM SOAR:| תפקיד מוגדר מראש ב-IAM | כותרת | תיאור |
|---|---|---|
roles/chronicle.admin |
Chronicle API Admin | גישה מלאה לשירותי API ולאפליקציות של Google SecOps, כולל הגדרות גלובליות. |
roles/chronicle.editor |
Chronicle API Editor | שינוי הגישה למשאבי אפליקציות ולמשאבי API של Google SecOps. |
roles/chronicle.viewer |
Chronicle API Viewer | הרשאת קריאה בלבד למשאבי האפליקציה ולממשקי ה-API של Google SecOps. |
roles/chronicle.limitedViewer |
Chronicle API Limited Viewer | הרשאת קריאה בלבד במשאבי האפליקציה וממשקי ה-API של Google SecOps, לא כולל כללים של מנוע הזיהוי וחיפושים רטרואקטיביים. |
roles/chronicle.soarAdmin |
אדמין של Chronicle SOAR | גישת אדמין מלאה להגדרות ולניהול של SOAR. |
הגבלת פעולות
כל קבוצת הרשאות כוללת קטע שבו האדמין יכול לבחור פעולות שמוגבלות לקבוצת ההרשאות הספציפית הזו. כדי שפעולה מוגבלת תחול, צריך לבחור אותה בכל קבוצות ההרשאות שהוקצו לקבוצת המשתמשים. כלומר, אם קבוצת משתמשים ממופה לכמה קבוצות הרשאות, אבל הפעולה המוגבלת מוקצית רק לאחת מהקבוצות האלה, ההגבלה לא נאכפת.
משתמשים במפה
יש כמה דרכים למפות משתמשים, בהתאם לשאלה אם עברתם אל Google Cloud:לפני העברת SOAR – תפקידי SOC, קבוצות הרשאות וסביבות ממופים לקבוצות שונות של ספקי זהויות או לקבוצות של כתובות אימייל של משתמשים, בהתאם לאופן שבו בוצעה האימות למוצר. אפשר גם לציין מאפייני נושא של איחוד שירותי אימות הזהות של כוח העבודה במקום כתובות אימייל של משתמשים.
אחרי ההעברה של SOAR – התפקידים והסביבות של SOC ממופים לתפקידי IAM שונים.
מידע נוסף על מיפוי משתמשים בפלטפורמה זמין במסמך שרלוונטי לכם:
אם הגדרתם אימות באמצעות איחוד שירותי אימות הזהות של כוח עבודה, ואתם לפני העברה, צריך למפות קבוצות IdP לקבוצות הרשאות, לתפקידי SOC ולסביבות. אפשר לעיין במאמר בנושא מיפוי משתמשים בפלטפורמת Google SecOps.
אם הגדרתם אימות באמצעות Cloud Identity, ואתם לפני העברה, אתם צריכים למפות קבוצות של כתובות אימייל של משתמשים לקבוצות הרשאות, לתפקידי SOC ולסביבות. מיפוי משתמשים בפלטפורמה באמצעות Cloud Identity
אם הגדרתם אימות באמצעות Cloud Identity, ואחרי ההעברה, אתם ממפים תפקידי IAM לתפקידים ולסביבות של SOC. מיפוי משתמשים בפלטפורמה באמצעות Cloud Identity
לקוחות עצמאיים של Google SecOps SOAR, אפשר לעיין במאמר בנושא ניהול משתמשים.
הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.