SOAR アクセスの概要

以下でサポートされています。

このドキュメントでは、SOC ロール、環境、権限グループまたは IAM ロールというメカニズムが連携して、プラットフォームのさまざまな部分へのユーザー アクセスを制御する方法について説明します。 また、これらのメカニズムによって、ケースを表示できるユーザーがどのように決定されるかについても説明します。

SOC ロールを割り当てる

SOC ロールに異なるアクセス権を割り当てて、Google Security Operations の各ユーザー グループの責任範囲を制御できます。 Google SecOps には事前定義された SOC ロールが含まれていますが、カスタムロールを追加することもできます。

事前定義された SOC ロールは次のように定義されています。

  • Tier 1: アラートの基本的なトリアージを行います。
  • Tier 2: 優先度の高いセキュリティ脅威を確認します。
  • Tier 3: 重大なインシデントに対応します。
  • SOC マネージャー: SOC チームを管理します。
  • CISO: 組織内の最上位の管理者として機能します。
  • 管理者: Google SecOps プラットフォーム全体にアクセスします。

これらの SOC ロールのいずれかをデフォルトとして設定すると、受信したケースに自動的に割り当てられます。各 SOC ロールには追加の SOC ロールを添付することもできるため、ユーザーはそれらのロールに割り当てられたすべてのケースをモニタリングできます。 たとえば、Tier 1 アナリストは、Tier 1 ロールと追加のロールに割り当てられたケースを確認できます。

ケースが作成されたら、デフォルトの SOC ロールから特定の SOC ロールまたは個々のユーザーに、手動またはハンドブックの自動アクションを使用して再割り当てできます。ケースを SOC ロールに割り当てることで、グループのメンバーがケースを認識できるようになります。アナリストがケースを自己割り当てた場合、そのアナリストがケースを処理していることを示します。

SOC ロールの詳細については、SOC ロールを管理するをご覧ください。

環境と環境グループ

さまざまな環境と環境グループを定義して、論理的なデータ分離を作成できます。 この分離は、ケース、ハンドブック、取り込み、ダッシュボードなど、ほとんどのプラットフォーム モジュールに適用されます。このプロセスは、オペレーションとネットワークを分割する必要がある企業やマネージド セキュリティ サービス プロバイダ（MSSP）に役立ちます。各環境またはグループには、独自の自動化プロセスと設定を設定できます。さまざまな顧客を持つ MSSP の場合、各環境またはグループは個別の顧客を表すことができます。

特定の環境またはグループに関連付けられたアナリストのみがそのケースを表示できるように、プラットフォームの設定を構成できます。たとえば、複数の環境に対してハンドブック モジュールを構成できます。他の環境を定義または選択していない場合、デフォルトの環境がプラットフォームのベースラインとして使用されます。プラットフォーム管理者は、現在および将来のすべての環境と環境グループにアクセスできます。

環境グループの詳細については、環境を操作する をご覧ください。

権限グループまたは IAM ロール

Google SecOps では、ユーザーのグループを作成し、さまざまなモジュールに異なる権限レベルを割り当てることができます。SOAR からに移行する Google Cloud前は、これらは SOAR 設定の権限グループによって制御されます。SOAR から Google Cloudへの移行が完了すると、これらは IAM ロールによって制御されます。


権限グループ（移行前）

Google SecOps プラットフォームには事前定義された権限グループが含まれており、必要に応じて権限グループを追加できます。事前定義されたグループは次のとおりです。

  • 管理者
  • 基本
  • リーダー
  • 閲覧専用
  • 共同編集者
  • 管理対象
  • Managed-Plus

権限グループは、各グループがプラットフォーム内のさまざまなモジュールと設定にアクセスできるレベルを制御します。権限は詳細なレベルで設定できます。

例:
  • 最上位レベル: 特定の権限グループに対してレポート モジュールへのアクセスを有効にします。
  • 中間レベル: 高度なレポートの表示のみにアクセスを有効にします。
  • 詳細レベル: ユーザーが高度なレポートを編集できるようにします。
権限グループの詳細については、権限グループを管理する をご覧ください。

Identity and Access Management ロール（移行後）

SOAR から Google Cloudへの移行が完了すると、権限グループが IAM ロールに移行されます。 権限グループから IAM ロールへの移行の詳細については、Google Cloud IAM への SOAR 権限の移行をご覧ください。 Google SecOps プラットフォームは、事前定義された IAM ロールとカスタムロールをサポートしています。カスタムロールは必要に応じて追加できます。事前定義された IAM SOAR ロールは次のとおりです。
IAM の事前定義ロール タイトル 説明
roles/chronicle.admin Chronicle API 管理者 グローバル設定を含む、Google SecOps アプリケーションと API サービスに対する完全なアクセス権。
roles/chronicle.editor Chronicle API 編集者 Google SecOps アプリケーションと API リソースに対するアクセス権を変更します。
roles/chronicle.viewer Chronicle API 閲覧者 Google SecOps アプリケーションと API リソースに対する読み取り専用アクセス権。
roles/chronicle.limitedViewer Chronicle API 制限付き閲覧者 Google SecOps アプリケーションと API リソースに対する読み取り専用アクセス権を付与します（検出エンジンルールと RetroHunt を除く）。
roles/chronicle.soarAdmin Chronicle SOAR 管理者 SOAR の設定と管理に対する完全な管理アクセス権。

アクションを制限する

各権限グループには、管理者が特定の権限グループに対して制限する アクションを選択できるセクションが含まれています。制限付き アクションを適用するには、 ユーザー グループに割り当てられたすべての権限グループで選択する必要があります。つまり、ユーザー グループが複数の権限グループにマッピングされていても、 制限付きアクションがそれらのグループの 1 つにのみ割り当てられている場合、 制限は適用されません。

ユーザーをマッピングする

に移行したかどうかによって、ユーザーをマッピングする方法は異なります Google Cloud：

  • SOAR 移行前 - プロダクトに対する認証方法に応じて、SOC ロール、権限グループ、環境がさまざまな IdP グループまたはユーザー メールグループにマッピングされます。

  • SOAR 移行後 - SOC ロールと環境がさまざまな IAM ロールにマッピングされます。

プラットフォームでユーザーをマッピングする方法の詳細については、該当するドキュメントをご覧ください。

さらにサポートが必要な場合コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。