Ringkasan migrasi SOAR

Didukung di:

Google SecOps SOAR

Dokumen ini menjelaskan proses dan linimasa untuk memigrasikan infrastruktur SOAR ke Google Cloud. Migrasi ini bertujuan untuk memodernisasi infrastruktur dan meningkatkan integrasinya dengan layanan Google Cloud , yang menguntungkan pelanggan terpadu Google Security Operations dan pengguna SOAR mandiri yang bertransisi ke Google Cloud.

Migrasi ini diperlukan untuk memberikan upgrade infrastruktur penting, termasuk peningkatan keandalan, peningkatan keamanan, kepatuhan yang lebih baik, dan kontrol akses yang lebih terperinci. Layanan ini juga memungkinkan akses ke kemampuan Agentic AI melalui integrasi Model Context Protocol (MCP) dan layanan terbaik di kelasnya, termasuk IAM untuk kontrol akses, Cloud Monitoring, dan Cloud Audit Logs.

Migrasi dilakukan dalam dua Tahap - Tahap 1 dan Tahap 2.

Tahap 1 mencakup migrasi berikut:

• Migrasi Project SOAR milik Google Anda ke infrastruktur Google Cloud . Hal ini dilakukan oleh Google.
• Migrasi Autentikasi SOAR ke Google Cloud (hanya berlaku untuk pelanggan SOAR mandiri).

Tahap 2 mencakup migrasi berikut:

• Migrasi Grup Izin dan Izin SOAR ke Google Cloud IAM.
• Migrasi API SOAR ke Chronicle API terpadu yang baru, yang memerlukan update pada skrip dan integrasi yang ada.
• Migrasi webhook.
• Migrasi infrastruktur autentikasi agen jarak jauh.

Memeriksa keberhasilan migrasi

• Periksa apakah Tahap 1 berhasil diselesaikan dengan membuka SOAR Settings > License Management dan pastikan Google.com muncul setelah nomor versi sistem.

• Periksa apakah penyelesaian Tahap 2 migrasi izin SOAR ke peran IAM berhasil dengan membuka SOAR Settings > License Management dan memverifikasi bahwa tertulis Google.com dan CloudIAM Enabled setelah nomor versi sistem.

Tahap migrasi 1 untuk pelanggan terpadu Google SecOps

Periksa notifikasi dalam produk untuk mengetahui tanggal migrasi Tahap 1 dan Formulir Google yang disertakan untuk mengonfirmasi slot waktu. Tahap 1 mencakup migrasi berikut.

• Memigrasikan Project SOAR milik Google ke Google Cloud

Migrasi ini melibatkan waktu nonaktif hingga 90 menit, yang membuat platform Google SecOps tidak dapat diakses. Selama periode nonaktif ini, layanan SIEM Anda akan terus beroperasi di latar belakang, sedangkan layanan SOAR akan dijeda untuk sementara. Setelah periode nonaktif, platform akan dapat diakses, dan layanan SOAR akan melanjutkan pemrosesan pemberitahuan yang dibuat atau diserap selama periode nonaktif.

Setelah migrasi selesai, kami akan mengirimkan email kepada Anda.

Tahap migrasi 1 untuk pelanggan mandiri SOAR

Catatan: Untuk panduan menyeluruh dan menyeluruh tentang petunjuk untuk Tahap 1 proses Migrasi SOAR, khususnya untuk pelanggan SOAR Standalone, lihat video Migrasi SOAR Google SecOps.

Bergantung pada kebutuhan dan kasus penggunaan, Anda dapat memilih salah satu opsi migrasi berikut:

• Opsi 1 (Direkomendasikan) — Menyatukan instance SOAR dengan instance SIEM yang ada: jika Anda memiliki instance SIEM yang tidak mengaktifkan SOAR, sebaiknya satukan instance SOAR ke dalam deployment SIEM yang ada kapan pun memungkinkan. Opsi ini menggunakan project Google Cloud yang terkait dengan instance SIEM yang ada dan menyatukan kedua produk di bawah satu antarmuka Google SecOps dengan autentikasi, kontrol akses, dan logging audit bersama.

  Perhatian: Opsi ini hanya berlaku jika SOAR belum diaktifkan di instance SIEM yang ada. Jika instance SIEM Anda sudah menyertakan SOAR sebagai bagian dari Google SecOps, jangan pilih opsi ini, karena memigrasikan instance SOAR mandiri ke dalamnya dapat menimpa konfigurasi dan data SOAR yang ada.
  Penting: Opsi ini hanya tersedia jika instance SIEM yang ada memiliki lisensi berbasis penyerapan (SIEM atau Google SecOps terpadu). Jika instance SIEM Anda memiliki lisensi berbasis karyawan lama, Anda tidak dapat menggunakan kembali project Google Cloud -nya untuk SOAR. Sebagai gantinya, pilih Opsi 2 untuk memisahkan deployment SIEM dan SOAR Anda. Untuk mengetahui informasi selengkapnya, lihat Memigrasikan instance MSSP SOAR ke Google Cloud.

• Opsi 2 — Men-deploy instance Google SecOps baru: Atau, jika Anda tidak memiliki instance SIEM yang sudah ada atau perlu memisahkan deployment SOAR dan SIEM, Anda dapat men-deploy instance Google SecOps baru di project Google Cloud khusus.

Anda akan mendapatkan pesan pemberitahuan dalam produk saat kami siap memulai Tahap 1 untuk Anda. Pastikan untuk melakukan hal berikut:

1. Identifikasi atau siapkan project Google Cloud berdasarkan opsi migrasi yang Anda pilih:
   • Opsi 1 (Unifikasi dengan SIEM yang ada): gunakan project Google Cloud yang ada yang ditautkan ke instance SIEM Anda.
   • Opsi 2 (Men-deploy instance Google SecOps baru): siapkan project Google Cloud . Anda juga dapat menggunakan project Google Cloud yang telah disiapkan untuk mengakses Dukungan Google SecOps, tetapi belum memiliki instance Google Security Operations.
2. Aktifkan Chronicle API di project Google Cloud (jika belum diaktifkan).
3. Siapkan Google Cloud Autentikasi untuk mengakses SOAR. Lihat Menyiapkan Google Cloud Autentikasi untuk mengakses SOAR.
4. Berikan Google Cloud project ID di formulir Google dalam notifikasi dalam produk dan konfirmasi tanggal dan slot waktu migrasi sebelum Anda mengirimkan formulir.
5. Setujui email undangan ke "halaman Dapatkan Google Security Operations" dan selesaikan penyiapan (jika men-deploy instance Google SecOps baru). Pastikan informasi wilayah Anda akurat.
6. Pastikan langkah-langkah sebelumnya telah disiapkan dengan benar dengan membaca Panduan validasi pra-migrasi.

Setelah Anda menyelesaikan langkah-langkahnya, Google akan melakukan migrasi pada tanggal dan waktu yang Anda jadwalkan. Migrasi memerlukan waktu non-operasional sekitar 2 jam untuk layanan SOAR. Setelah selesai, Anda akan menerima email berisi URL baru untuk mengakses platform SOAR. URL lama akan tetap berfungsi hingga 30 Juni 2026, dan akan dialihkan ke URL baru.

Menyiapkan autentikasi Google Cloud untuk mengakses SOAR

Bergantung pada jenis identitas yang ingin Anda gunakan, konfigurasikan salah satu opsi berikut. Anda mungkin memerlukan bantuan dari administrator identitas atau IdP Google Cloud Anda untuk menyelesaikan langkah-langkah ini.

Opsi 1: Mengonfigurasi Autentikasi Cloud Identity di Google Cloud (akun yang Dikelola Google)

Skenario ini berlaku jika Anda mengelola akun pengguna langsung dalam Cloud Identity menggunakan nama pengguna dan sandi yang dikelola Google. Hal ini tidak berlaku jika Anda menggunakan Cloud Identity untuk SSO dengan penyedia identitas pihak ketiga seperti Okta atau Azure AD.

Selesaikan langkah-langkah berikut:

1. Siapkan Cloud Identity di Google Cloud.

   Anda dapat melewati langkah ini jika sudah menyiapkan Cloud Identity dengan nama pengguna dan sandi yang dikelola Google.

2. Pastikan semua pengguna SOAR yang ada dikonfigurasi di konsol Admin Cloud Identity.

3. Berikan peran yang diperlukan di IAM dengan mengikuti format penetapan peran untuk Akun Google.

   1. Tetapkan peran IAM yang telah ditetapkan berikut di Google Cloud kepada SME orientasi:

      • Chronicle API Admin
      • Chronicle Service Admin
      • Admin Chronicle SOAR
      • Project IAM Admin
      • Service Usage Admin

   2. Tetapkan salah satu peran IAM yang telah ditetapkan berikut kepada semua pengguna SOAR yang ada:

      • Chronicle API Admin
      • Chronicle API Editor
      • Chronicle API Viewer
      • Chronicle API Limited Viewer

4. Selesaikan penyiapan autentikasi di SOAR dengan memetakan setiap pengguna (termasuk administrator) ke grup pengguna email.

   1. Buka SOAR Settings > Advanced > Group Mapping.

   2. Klik add Add dan isi informasi berikut:

      • IdP / User group: Nama grup pengguna email (seperti T1 analysts).
      • Grup Izin: Pilih grup izin.
      • SOC Roles: Pilih peran SOC.
      • Environments: Pilih lingkungan (seperti All Environments).
      • Group Members: Masukkan email pengguna yang diperlukan. Tekan Enter setelah menambahkan setiap email.
      Catatan: Jika Anda memiliki pemetaan grup pengguna email yang ada di halaman External Authentication, Anda harus membiarkannya apa adanya agar tidak mengganti autentikasi SOAR yang ada. Untuk autentikasi Google Cloud baru guna mengakses SOAR, Anda tetap harus menyiapkan pemetaan grup pengguna email di halaman Setelan SOAR > Lanjutan > Pemetaan Grup.

   3. Klik Tambahkan.

      Setiap kali pengguna login ke platform, mereka akan otomatis ditambahkan ke halaman SOAR Settings > Organization > User Management. Instance yang dimigrasikan akan mempertahankan pemetaan ini, yang berfungsi sebagai dasar untuk menentukan akses pengguna ke SOAR. Anda harus memastikan bahwa setiap pengguna dipetakan di halaman ini agar dapat mengakses Google SecOps.

Opsi 2: Mengonfigurasi Autentikasi Workforce Identity Federation di Google Cloud

Skenario ini berlaku jika Anda mengelola identitas pengguna menggunakan IdP pihak ketiga seperti Microsoft Azure Active Directory, Okta, Ping Identity, dan AD FS.

1. Siapkan Workforce Identity Federation di Google Cloud Anda dapat melewati langkah ini jika sudah disiapkan.
2. Pastikan semua pengguna yang ada di SOAR adalah bagian dari grup workforce pool yang disiapkan di Workforce Identity Federation.

3. Berikan peran yang diperlukan di IAM dengan mengikuti format penetapan peran untuk Workforce Identity.

   1. Tetapkan semua peran IAM yang telah ditetapkan berikut kepada SME orientasi.

      • Chronicle API Admin
      • Chronicle Service Admin
      • Admin Chronicle SOAR
      • Project IAM Admin
      • Service Usage Admin

   2. Tetapkan salah satu peran berikut di IAM kepada semua pengguna SOAR yang ada:

      • Chronicle API Admin
      • Chronicle API Editor
      • Chronicle API Viewer
      • Chronicle API Limited Viewer

4. Selesaikan penyiapan autentikasi di SOAR dengan memetakan semua grup IdP yang memerlukan akses ke SOAR.

   Pastikan pengguna yang ada dipetakan ke setidaknya salah satu grup IdP.

   1. Buka SOAR Settings > Advanced > Group Mapping.
   2. Klik add Add dan isi informasi berikut:
      • IdP / Grup pengguna: Masukkan nama grup dari IdP Anda.
      • Grup Izin: Pilih grup izin.
      • SOC Roles: Pilih peran SOC.
      • Environments: Pilih lingkungan (seperti All Environments).
   3. Pastikan Anda telah menambahkan grup IdP Admin dengan izin Admin untuk grup izin, Peran SOC, dan memilih Semua Lingkungan.
   4. Jika Anda memiliki pemetaan grup IdP yang ada di halaman External Authentication, Anda harus membiarkannya apa adanya agar tidak mengganti autentikasi SOAR yang ada. Untuk autentikasi Google Cloud baru guna mengakses SOAR, Anda tetap harus menyiapkan Pemetaan Grup IdP di halaman Settings > SOAR Settings > Advanced > Group Mapping.
   5. Klik Tambahkan. Setiap kali pengguna login ke platform, mereka akan otomatis ditambahkan ke halaman Setelan > Organisasi > Pengelolaan Pengguna. Instance yang dimigrasikan akan mempertahankan pemetaan ini, yang berfungsi sebagai dasar untuk menentukan akses pengguna ke SOAR. Anda harus memastikan bahwa setiap pengguna dipetakan di halaman ini agar dapat mengakses Google SecOps.
   Catatan: Petunjuk ini berlaku jika Anda menggunakan Workforce Identity Federation untuk integrasi Anda. Jika Anda telah memberikan peran IAM Service account token creator ke akun layanan Python [e-mail], Anda harus memberikan peran IAM Service account token creator yang sama ke akun layanan Python baru [e-mail] setelah migrasi. Akun Layanan baru akan dikirim melalui email setelah migrasi.

Migrasi tahap 2 untuk semua pelanggan

Penting: Anda harus menyelesaikan Tahap 1 sebelum memulai migrasi Tahap 2.

Migrasi Tahap 2 tersedia secara umum untuk semua pelanggan mulai 26 Januari 2026.

Batas waktu terakhir untuk menyelesaikan transisi Tahap 2 ke peran IAM adalah 30 November 2026. Batas waktu migrasi API diperpanjang hingga 31 Maret 2027.

Catatan: Prosedur ini berlaku untuk pelanggan mandiri Google SecOps SOAR dan pelanggan Google SecOps.

Memigrasikan grup izin SOAR ke Google Cloud IAM

Migrasikan grup izin dan izin SOAR ke IAM dengan sekali klik skrip migrasi di Google Cloud. Skrip ini membuat peran khusus baru untuk setiap grup izin dan menetapkannya ke pengguna untuk pelanggan Cloud Identity atau grup IdP untuk pelanggan Workforce Identity Federation. Anda juga dapat memigrasikan izin SOAR menggunakan Terraform.

Untuk mengetahui detail lengkap skrip migrasi dan perintah Terraform, lihat Memigrasikan izin SOAR ke IAM Google Cloud .

Untuk mengetahui informasi selengkapnya tentang cara menyiapkan izin, lihat Mengonfigurasi akses fitur.

Setelah migrasi izin, hal berikut akan terjadi:

• Halaman SOAR Settings > Organization > Permissions masih tersedia hingga 31 Maret 2027 (untuk kompatibilitas mundur dengan API lama). Jangan buat perubahan apa pun pada halaman ini. Izin semuanya dikelola melalui IAM.
• Kolom Grup Izin di halaman Pemetaan Grup ditampilkan untuk kompatibilitas mundur dengan API SOAR lama. Jangan hapus tugas ini. Kolom ini akan otomatis dihapus paling lambat 31 Maret 2027 tanpa dampak apa pun bagi pelanggan.
• Bagian tindakan yang dibatasi di halaman Izin akan dipindahkan ke halaman Pemetaan Grup.

Catatan: Jika tidak melihat skrip migrasi, Anda mungkin belum menyelesaikan tahap 1 migrasi. Hubungi perwakilan Google Anda.

Memigrasikan API SOAR ke Chronicle API

Jika Anda menggunakan SOAR API secara terprogram menggunakan panggilan API atau melalui integrasi, Anda dapat memigrasikannya ke endpoint beta SOAR v1 baru yang tersedia sebagai bagian dari Chronicle API.

Anda harus mengupdate skrip dan integrasi untuk mengganti endpoint API SOAR dengan endpoint API Chronicle yang sesuai. API SOAR dan Kunci API lama tersedia hingga 31 Maret 2027, setelah itu tidak akan berfungsi lagi. Untuk mengetahui informasi selengkapnya, lihat Memigrasikan endpoint ke Chronicle API.

Memigrasikan webhook

Anda harus memigrasikan webhook SOAR ke Chronicle API dengan melakukan hal berikut sebelum 31 Maret 2027:

Perbarui URL webhook di sisi klien dengan mengganti domain siemplify-soar.com lama dengan domain googleapis.com baru menggunakan format permintaan baru. Domain siemplify-soar.com lama akan terus berfungsi hingga 31 Maret 2027.

Misalnya, webhook yang ditentukan di: https://xxxx.siemplify-soar.com/api/external/v1/webhooks/{webhook_id}?api_key=xxxx

harus diperbarui menjadi: https://us-chronicle.googleapis.com/v1alpha/projects/{project_id}/locations/{location}/instances/{instance/{instance_id}/webhooks/{webhook_id}?api_key=xxxx

Autentikasi untuk webhook tidak berubah. Webhook akan terus menggunakan kunci API yang awalnya dibuat bersama link webhook.

Memigrasikan Infrastruktur Autentikasi Agen Jarak Jauh

Langkah-langkah berikut menjelaskan cara memigrasikan infrastruktur autentikasi Agen Jarak Jauh Anda ke autentikasi Akun Layanan Google Cloud . Proses ini tidak memerlukan migrasi atau penggantian instance atau host Agen Jarak Jauh.

1. Buat Akun Layanan, bukan kunci API untuk agen jarak jauh.
2. Melakukan upgrade versi utama remote agent.

Agen Jarak Jauh yang ada akan tersedia hingga 30 November 2026, dan setelah itu tidak akan berfungsi lagi. Untuk mengetahui petunjuk mendetail, lihat Memigrasikan Agen Jarak Jauh ke Google Cloud.

Dampak terhadap Log Audit SOAR

Log SOAR akan tersedia di Google Cloud setelah Anda menyelesaikan migrasi izin ke IAM. Semua panggilan yang dilakukan ke SOAR API lama hingga 31 Maret 2027 akan tetap dapat diakses di log Audit SOAR Untuk pelanggan Google SecOps, lihat Mengumpulkan log Google SecOps SOAR. Untuk pelanggan SOAR mandiri, lihat Mengumpulkan log SOAR

Perubahan lebih lanjut setelah migrasi:

Jenis lisensi Jenis lisensi kini ditentukan oleh izin yang ditetapkan pengguna di IAM.

Halaman landing Halaman landing akan dipindahkan dari halaman Izin ke menu Preferensi Pengguna, yang dapat diakses dari avatar Anda.

Langkah Berikutnya

• Panduan pra-validasi migrasi SOAR
• Memigrasikan instance mandiri SOAR MSSP
• Memigrasikan endpoint SOAR ke Chronicle API
• Memigrasikan infrastruktur autentikasi agen jarak jauh
• Memigrasikan izin SOAR ke Google Cloud IAM
• Pertanyaan umum (FAQ)

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.