管理 MSSP 遷移作業

支援的國家/地區：

本文詳細說明將受管理安全服務供應商 (MSSP) 的 SOAR 獨立執行個體基礎架構遷移至 Google Cloud的第 1 階段。

完成第 1 階段後，MSSP 應繼續進行SOAR 遷移總覽中的第 2 階段，因為這對所有客戶 (包括 MSSP 和非 MSSP) 都是相同的。

步驟 1： Google Cloud 專案識別和設定

合作夥伴需要根據授權，找出要將 SOAR 執行個體遷移至哪個 Google Cloud 專案，如下所示：

  • 如果合作夥伴擁有租戶的擷取授權 (SIEM / 統一 SecOps)，可以選擇使用主要 SIEM 的 Google Cloud 專案代管主要 SOAR。或者，他們可以建立個別專案 Google Cloud ，將 SIEM 和 SOAR 分開。

  • 如果合作夥伴的租戶採用員工授權，則需要建立個別專案 Google Cloud 來代管 SOAR，將 SIEM 和 SOAR 分開。

合作夥伴也可以使用可能已設定存取 Chronicle 支援服務的專案，但該專案尚未擁有 Google SecOps 租戶。 Google Cloud

步驟 2：在客戶 Google Cloud 專案中啟用 Chronicle API

步驟 3：設定 Google Cloud 驗證機制，以便存取 SOAR

合作夥伴必須設定 Google Cloud 驗證，才能存取 SOAR。

如果合作夥伴只有一個 IdP，可以選擇設定 Cloud Identity (由 Google 管理的帳戶) 或員工身分聯盟。在「SOAR 遷移總覽」文件中，這兩種方法分別稱為選項 1 和選項 2。

如果合作夥伴有多個 IdP，必須完成下列步驟來設定員工身分聯盟：

  1. 合作夥伴必須透過員工身分聯盟，為 SOAR 中的每個前端路徑設定外部 IdP。
  2. 合作夥伴必須為每個 IdP 建立一個工作團隊集區，並設定工作團隊集區提供者與第三方 IdP 之間的對應。針對每個前端路徑重複執行這項操作。
  3. 按照「選項 2：在 Google Cloud中設定員工身分聯盟驗證」的步驟 3 說明，在 IAM 中將必要角色授予導入主題專家和所有 SOAR 使用者。

  4. 在 SOAR 的新「群組對應」頁面中，更新每個工作團隊集區和 IdP 的 IdP 群組對應。

    1. 按一下「Workforce Pools」(工作團隊集區) 右側的「Add」(新增)。
    2. 新增您在員工身分聯盟中設定的工作團隊集區名稱。

    3. 如要將 IdP 群組新增至「群組對應」表格，請按照下列步驟操作。

      1. 按一下右側的「新增」。
      2. 從 IdP 新增群組名稱。
      3. 選擇 SOAR 權限群組、環境和 SOC 角色的必要存取權。
      4. 按一下 [儲存]。
      5. 請確認您也已新增具備管理員權限的管理員 IdP 群組，可存取權限群組、SOC 角色和「選取所有環境」。

    4. 針對其他工作團隊集區重複步驟 a 到 c。

  5. 如果「外部驗證」頁面中已有任何 IdP 群組對應，請勿修改，因為在遷移完成前，您仍需使用這些對應驗證 SOAR。

  6. 完成上述步驟後，請按一下「新增」。使用者每次登入平台時，系統都會自動將他們新增至「設定」>「機構」>「使用者管理」頁面。

SOAR 設定 - IAM 角色對應

步驟 4：確認遷移日期

在產品內通知的 Google 表單中提供 Google Cloud 專案 ID，並在提交表單前確認遷移日期和時間。

如果 MSSP 有多個前端路徑，請填寫 Google 表單，為每個提供者新增工作團隊集區 ID、提供者 ID 和前端路徑的詳細資料。

供應商詳細資料

步驟 5：邀請電子郵件

接受邀請電子郵件，前往「取得 Google Security Operations」頁面，然後完成設定。請確認區域資訊正確無誤，與邀請電子郵件中的資訊一致。

步驟 6：設定驗證

如要驗證設定，建議按照 SOAR 遷移前驗證指南中的操作說明進行。

步驟 7：遷移

Google 會執行遷移作業。遷移期間，SOAR 服務會停機兩小時。

遷移完成後，我們會傳送電子郵件，當中隨附存取 SOAR 平台的新網址。

在遷移期間和之後，請與合作夥伴代表協調，確保遷移後不會遇到任何問題。

後續步驟

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。