Panoramica della migrazione SOAR

Supportato in:

Questo documento descrive il processo e le tempistiche per la migrazione dell'infrastruttura SOAR a Google Cloud. La migrazione mira a modernizzare l'infrastruttura e a migliorare la sua integrazione con i servizi Google Cloud , a vantaggio sia dei clienti unificati di Google Security Operations sia degli utenti SOAR autonomi che eseguono la transizione a Google Cloud.

Questa migrazione è necessaria per fornire upgrade dell'infrastruttura critica, tra cui maggiore affidabilità, sicurezza migliorata, maggiore conformità e controllo dell'accesso più granulare. Consente inoltre di accedere alle funzionalità di AI agentica tramite l'integrazione di Model Context Protocol (MCP) e servizi di prim'ordine, tra cui IAM per controllo dell'accesso, Cloud Monitoring e Cloud Audit Logs.

La migrazione viene eseguita in due fasi: Fase 1 e Fase 2.

La fase 1 include le seguenti migrazioni:

  • Migrazione del tuo progetto SOAR di proprietà di Google all'infrastruttura Google Cloud . Questa operazione viene eseguita da Google.
  • Migrazione dell'autenticazione SOAR a Google Cloud (applicabile solo ai clienti SOAR autonomi).

La fase 2 include le seguenti migrazioni:

  • Migrazione dei gruppi di autorizzazioni e delle autorizzazioni SOAR a Google Cloud IAM.
  • Migrazione delle API SOAR alla nuova API Chronicle unificata, che richiede aggiornamenti agli script e alle integrazioni esistenti.
  • Migrazione dei webhook.
  • Migrazione dell'infrastruttura di autenticazione degli agenti remoti.

Verifica che la migrazione sia riuscita

  • Verifica il completamento della Fase 1 andando su Impostazioni SOAR > Gestione delle licenze e controllando che sia presente la dicitura Google.com dopo il numero di versione del sistema.

  • Verifica che la migrazione delle autorizzazioni SOAR ai ruoli IAM della fase 2 sia stata completata correttamente andando su Impostazioni SOAR > License Manager e verificando che dopo il numero di versione del sistema siano presenti le diciture Google.com e CloudIAM abilitato.

Fase 1 della migrazione per i clienti unificati di Google SecOps

Controlla la notifica all'interno del prodotto per conoscere la data della Fase 1 della migrazione e il modulo Google incluso per confermare la fascia oraria. La fase 1 include le seguenti migrazioni.

  • Esegui la migrazione del progetto SOAR di proprietà di Google a Google Cloud

La migrazione comporta un periodo di inattività di massimo 90 minuti durante il quale la piattaforma Google SecOps non è accessibile. Durante questo periodo di inattività, i servizi SIEM continueranno a funzionare in background, mentre i servizi SOAR verranno temporaneamente messi in pausa. Al termine del tempo di inattività, la piattaforma sarà accessibile e i servizi SOAR riprenderanno a elaborare gli avvisi generati o importati durante il tempo di inattività.

Al termine della migrazione, ti invieremo un'email.

Fase 1 della migrazione per i clienti SOAR autonomi

A seconda delle tue esigenze e dei tuoi casi d'uso, puoi scegliere una delle seguenti opzioni di migrazione:

  • Opzione 1 (consigliata): unifica l'istanza SOAR con un'istanza SIEM esistente: se hai un'istanza SIEM esistente in cui SOAR non è abilitato, ti consigliamo di unificare l'istanza SOAR nel deployment SIEM esistente, se possibile. Questa opzione utilizza il progetto Google Cloud associato alla tua istanza SIEM esistente e unifica entrambi i prodotti in un'unica interfaccia Google SecOps con autenticazione, controllo dell'accesso e audit logging condivisi.

  • Opzione 2: esegui il deployment di una nuova istanza di Google SecOps: in alternativa, se non hai un'istanza SIEM esistente o devi mantenere separati i deployment SOAR e SIEM, puoi eseguire il deployment di una nuova istanza di Google SecOps in un progetto Google Cloud dedicato.

Riceverai un messaggio di avviso all'interno del prodotto quando saremo pronti ad avviare la Fase 1 per te. Assicurati di svolgere le seguenti operazioni:

  1. Identifica o configura il tuo progetto Google Cloud in base all'opzione di migrazione scelta:
    • Opzione 1 (unificazione con un SIEM esistente): utilizza il progetto Google Cloud esistente collegato alla tua istanza SIEM.
    • Opzione 2 (esegui il deployment di una nuova istanza di Google SecOps): configura un progetto Google Cloud . Puoi anche utilizzare un progetto Google Cloud configurato per accedere all'assistenza Google SecOps, ma che non ha ancora un'istanza di Google Security Operations.
  2. Abilita l'API Chronicle nel progetto Google Cloud (se non è già abilitata).
  3. Configura l'autenticazione Google Cloud per accedere a SOAR. Consulta Configura l'autenticazione Google Cloud per accedere a SOAR.
  4. Fornisci l'ID progetto Google Cloud nel modulo Google nella notifica all'interno del prodotto e conferma la data e la fascia oraria della migrazione prima di inviare il modulo.
  5. Accetta l'email di invito alla pagina "Ottieni Google Security Operations" e completa la configurazione (se esegui il deployment di una nuova istanza di Google SecOps). Assicurati che le informazioni sulla regione siano accurate.
  6. Verifica che i passaggi precedenti siano stati configurati correttamente consultando la guida alla convalida pre-migrazione.

Una volta completati i passaggi, Google esegue la migrazione alla data e all'ora pianificate. La migrazione richiede circa 2 ore di inattività per i servizi SOAR. Al termine, riceverai un'email con il nuovo URL per accedere alla piattaforma SOAR. Il vecchio URL rimane attivo fino al 30 giugno 2026 e reindirizza al nuovo URL.

Configura l'autenticazione Google Cloud per accedere a SOAR

A seconda del tipo di identità che vuoi utilizzare, configura una delle seguenti opzioni. Per completare questi passaggi, potresti aver bisogno dell'assistenza dell'amministratore di Google Cloud e dell'identità o dell'IdP.

Opzione 1: configura l'autenticazione di Cloud Identity in Google Cloud (account gestiti da Google)

Questo scenario è applicabile se gestisci gli account utente direttamente in Cloud Identity utilizzando nomi utente e password gestiti da Google. Non si applica se utilizzi Cloud Identity per il Single Sign-On (SSO) con un provider di identità di terze parti come Okta o Azure AD.

Completa i seguenti passaggi:

  1. Configura Cloud Identity in Google Cloud.

    Puoi saltare questo passaggio se hai già configurato Cloud Identity con nome utente e password gestiti da Google.

  2. Assicurati che tutti gli utenti SOAR esistenti siano configurati nella Console di amministrazione Cloud Identity.

  3. Concedi i ruoli richiesti in IAM seguendo il formato di assegnazione dei ruoli per gli Account Google.

    1. Assegna i seguenti ruoli IAM predefiniti in Google Cloud all'esperto di onboarding:

    2. Assegna uno dei seguenti ruoli IAM predefiniti a tutti gli utenti SOAR esistenti:

  4. Completa la configurazione dell'autenticazione in SOAR mappando ogni utente (inclusi gli amministratori) a un gruppo di utenti email.

    1. Vai a Impostazioni SOAR > Avanzate > Mappatura dei gruppi.

    2. Fai clic su add Aggiungi e compila le seguenti informazioni:

      • IdP / Gruppo di utenti: il nome del gruppo di utenti email (ad esempio Analisti T1).
      • Gruppi di autorizzazioni: seleziona i gruppi di autorizzazioni.
      • Ruoli del SOC: seleziona i ruoli del SOC.
      • Ambienti: seleziona gli ambienti (ad esempio Tutti gli ambienti).
      • Membri del gruppo: inserisci gli indirizzi email degli utenti richiesti. Premi Invio dopo aver aggiunto ogni indirizzo email.

    3. Fai clic su Aggiungi.

      Ogni volta che un utente accede alla piattaforma, viene aggiunto automaticamente alla pagina Impostazioni SOAR > Organizzazione > Gestione utenti. L'istanza di cui è stata eseguita la migrazione conserva queste mappature, che fungono da base per determinare l'accesso degli utenti a SOAR. Per accedere a Google SecOps, devi assicurarti che ogni utente sia mappato in questa pagina.

Opzione 2: configura l'autenticazione della federazione delle identità per la forza lavoro in Google Cloud

Questo scenario è applicabile se gestisci le identità utente utilizzando IdP di terze parti come Microsoft Azure Active Directory, Okta, Ping Identity e AD FS.

  1. Configura la federazione delle identità per la forza lavoro in Google Cloud Puoi saltare questo passaggio se è già stata configurata.
  2. Assicurati che tutti gli utenti esistenti in SOAR facciano parte dei gruppi di pool della forza lavoro configurati nella federazione delle identità per la forza lavoro.

  3. Concedi i ruoli richiesti in IAM seguendo il formato di assegnazione dei ruoli per le identità della forza lavoro.

    1. Assegna tutti i seguenti ruoli IAM predefiniti all'esperto di onboarding.

    2. Assegna uno dei seguenti ruoli in IAM a tutti gli utenti SOAR esistenti:

  4. Completa la configurazione dell'autenticazione in SOAR mappando tutti i gruppi IdP che devono accedere a SOAR.

    Assicurati che gli utenti esistenti siano mappati ad almeno uno dei gruppi IdP.

    1. Vai a Impostazioni SOAR > Avanzate > Mappatura dei gruppi.
    2. Fai clic su add Aggiungi e compila le seguenti informazioni:
      • IdP / Gruppo di utenti: inserisci il nome del gruppo dal tuo IdP.
      • Gruppi di autorizzazioni: seleziona i gruppi di autorizzazioni.
      • Ruoli del SOC: seleziona i ruoli del SOC.
      • Ambienti: seleziona gli ambienti (ad esempio Tutti gli ambienti).
    3. Assicurati di aver aggiunto il gruppo IdP amministratore con autorizzazioni amministrative per i gruppi di autorizzazioni, i ruoli SOC e seleziona Tutti gli ambienti.
    4. Se nella pagina Autenticazione esterna sono presenti mappature di gruppi IdP, lasciale invariate per non eseguire l'override dell'autenticazione SOAR esistente. Per accedere a SOAR con la nuova Google Cloud autenticazione, devi comunque configurare la mappatura dei gruppi IdP nella pagina Impostazioni > Impostazioni SOAR > Avanzate > Mappatura dei gruppi.
    5. Fai clic su Aggiungi. Ogni volta che un utente accede alla piattaforma, viene aggiunto automaticamente alla pagina Impostazioni > Organizzazione > Gestione utenti. L'istanza di cui è stata eseguita la migrazione conserva queste mappature, che fungono da base per determinare l'accesso degli utenti a SOAR. Per accedere a Google SecOps, devi assicurarti che ogni utente sia mappato in questa pagina.

Migrazione della fase 2 per tutti i clienti

Importante: devi completare la fase 1 prima di iniziare la migrazione della fase 2.

La migrazione della fase 2 è in disponibilità generale per tutti i clienti dal 26 gennaio 2026.

La scadenza finale per completare la transizione della Fase 2 ai ruoli IAM è il 30 novembre 2026. La scadenza per la migrazione dell'API è stata estesa al 31 marzo 2027.

Esegui la migrazione dei gruppi di autorizzazioni SOAR a Google Cloud IAM

Esegui la migrazione dei gruppi di autorizzazioni e delle autorizzazioni SOAR a IAM con un solo clic dello script di migrazione in Google Cloud. Lo script crea nuovi ruoli personalizzati per ogni gruppo di autorizzazioni e li assegna agli utenti per i clienti di Cloud Identity o ai gruppi IdP per i clienti della federazione delle identità per la forza lavoro. Puoi anche eseguire la migrazione delle autorizzazioni SOAR utilizzando Terraform.

Per i dettagli completi dello script di migrazione e dei comandi Terraform, consulta Esegui la migrazione delle autorizzazioni SOAR a Google Cloud IAM.

Per saperne di più su come configurare le autorizzazioni, consulta Configura l'accesso alle funzionalità.

Dopo la migrazione delle autorizzazioni, si verifica quanto segue:

  • La pagina Impostazioni SOAR > Organizzazione > Autorizzazioni è ancora disponibile fino al 31 marzo 2027 (per la compatibilità con le versioni precedenti delle API legacy). Non apportare modifiche a questa pagina. Le autorizzazioni sono tutte gestite tramite IAM.
  • La colonna Gruppo di autorizzazioni nella pagina Mappatura dei gruppi viene visualizzata per la compatibilità con le versioni precedenti dell'API SOAR legacy. Non eliminare queste assegnazioni. La colonna verrà rimossa automaticamente entro il 31 marzo 2027 senza alcun impatto sui clienti.
  • La sezione delle azioni limitate nella pagina Autorizzazioni verrà spostata nella pagina Mappatura dei gruppi.

Esegui la migrazione delle API SOAR all'API Chronicle

Se utilizzi l'API SOAR in modo programmatico tramite chiamate API o integrazioni, puoi eseguirne la migrazione ai nuovi endpoint beta di SOAR v1 disponibili nell'ambito dell'API Chronicle.

Devi aggiornare gli script e le integrazioni per sostituire gli endpoint API SOAR con gli endpoint API Chronicle corrispondenti. L'API SOAR e le chiavi API legacy sono disponibili fino al 31 marzo 2027, dopodiché non funzioneranno più. Per saperne di più, consulta Esegui la migrazione degli endpoint all'API Chronicle.

Esegui la migrazione dei webhook

Devi eseguire la migrazione dei webhook SOAR all'API Chronicle seguendo questi passaggi prima del 31 marzo 2027:

Aggiorna l'URL webhook sul lato client sostituendo il dominio siemplify-soar.com precedente con il nuovo dominio googleapis.com utilizzando il nuovo formato della richiesta. Il dominio siemplify-soar.com precedente continuerà a funzionare fino al 31 marzo 2027.

Ad esempio, un webhook definito su: https://xxxx.siemplify-soar.com/api/external/v1/webhooks/{webhook_id}?api_key=xxxx

dovrà essere aggiornato a: https://us-chronicle.googleapis.com/v1alpha/projects/{project_id}/locations/{location}/instances/{instance/{instance_id}/webhooks/{webhook_id}?api_key=xxxx

L'autenticazione per i webhook rimane invariata. I webhook continuano a utilizzare la chiave API creata inizialmente insieme al link del webhook.

Esegui la migrazione dell'infrastruttura di autenticazione dell'agente remoto

I passaggi seguenti descrivono in dettaglio come eseguire la migrazione dell'infrastruttura di autenticazione degli agenti remoti all'autenticazione dei service account Google Cloud . Questo processo non richiede la migrazione o la sostituzione delle istanze o degli host dell'agente remoto.

  1. Crea un service account anziché una chiave API per l'agente remoto.
  2. Esegui l'upgrade della versione principale dell'agente remoto.

Gli agenti remoti esistenti saranno disponibili fino al 30 novembre 2026, dopodiché non funzioneranno più. Per istruzioni dettagliate, consulta Esegui la migrazione degli agenti remoti a Google Cloud.

Impatto sugli audit log SOAR

I log SOAR diventeranno disponibili in Google Cloud una volta completata la migrazione delle autorizzazioni a IAM. Tutte le chiamate effettuate all'API SOAR legacy fino al 31 marzo 2027 rimarranno accessibili negli audit log di SOAR. Per i clienti di Google SecOps, consulta Raccogli i log di Google SecOps SOAR. Per i clienti SOAR autonomi, consulta Raccogli i log SOAR

Ulteriori modifiche dopo la migrazione:

Tipo di licenza Il tipo di licenza è ora determinato dalle autorizzazioni assegnate all'utente in IAM.

Pagina di destinazione La pagina di destinazione verrà spostata dalla pagina Autorizzazioni al menu Preferenze utente, accessibile dal tuo avatar.

Passaggi successivi

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.