為 SecOps 設定聯合案件存取權

支援的國家/地區：

案件管理聯盟功能可讓次要客戶擁有自己的獨立 Google Security Operations 平台，而非讓 Google SecOps 執行個體在共用執行個體中做為環境運作。這項設定非常適合代管式安全服務供應商 (MSSP)， 或需要在不同地理區域使用獨立平台的企業。

所有案件中繼資料都會從次要 (遠端) 平台同步至主要供應商平台，如下所示：

  • 如果獲得授權，主要平台分析師就能查看、存取及處理聯合案件。

  • 次要客戶可控管主要平台可存取的環境和案件。

如果主要平台分析師有權存取案件環境，當他們開啟遠端案件連結時，系統會將他們重新導向至遠端平台。在遠端平台上，主要平台分析師可以使用電子郵件地址和密碼登入。存取權需要有效憑證，且僅限目前工作階段。

在主要平台上設定中繼資料同步

Google 必須先在主要平台上啟用案件聯盟功能，您才能執行這些程序。

下載案件聯盟整合功能

如要下載案件聯盟整合功能，請按照下列步驟操作：

  1. 在主要平台中，前往「內容中心」。
  2. 按一下「案件聯盟整合設定」，然後選取「Is Primary」核取方塊，將資料同步至平台。
  3. 按一下 [儲存]。

建立案件聯盟同步工作

如要建立案件聯盟同步工作，請按照下列步驟操作：

  1. 依序前往「回應」>「工作排程器」，然後按一下「新增」。
  2. 在「Job Name」(工作名稱) 欄位中，選取「Case Federation Sync Job」(案件聯盟同步工作)。
  3. 在「整合」欄位中，選取「案件聯盟」。

  4. 點選「建立」。

    將排程間隔設為一分鐘，然後選取「Is Primary」(是否為主要) 核取方塊。

為主要平台使用者新增次要平台存取權

如要為一或多個遠端 (次要) 平台指派存取權，請按照下列步驟操作：
  1. 在主要平台中，依序前往「SOAR 設定」>「進階」>「IdP 群組對應」。
  2. 視需要新增或編輯使用者。如要進一步瞭解如何新增使用者，請參閱在 SecOps 平台中對應使用者。
  3. 在「平台」欄位中，選取所需數量的遠端平台。
  4. 按一下 [儲存]。

在主要平台上註冊新的次要平台

如要註冊次要平台，您需要主要平台的 Admin API 金鑰，並執行 API 呼叫來產生同步 API 金鑰。 如果沒有管理 API 金鑰，請按照下列步驟建立新金鑰：
  1. 依序前往「SOAR 設定」>「進階」>「API 金鑰」。
  2. 建立新的 Admin API 金鑰。
按照下列步驟產生同步 API 金鑰：
  1. 執行下列 API 呼叫。 
    curl --location "$PRIMARY_INSTANCE_URL/api/external/v1/federation/platforms" \
--header 'Content-Type: application/json' \
--header "AppKey: $ADMIN_API_KEY" \
--data '{
"displayName": "My Secondary Platform",
"host": "mysecondary.siemplify-soar.com"
}'
    這會傳回同步 API 金鑰，每個次要平台都有專屬金鑰，用於向主要平台進行驗證。

在次要 (遠端) 平台上設定中繼資料同步

如要在次要平台上啟用同步功能，請完成下列步驟。

下載案件聯盟整合功能

如要下載案件聯盟整合功能，請按照下列步驟操作：

  1. 在平台中前往「內容中心」。
  2. 按一下「案件聯盟整合設定」，然後點選「儲存」。請勿勾選「為主要聯絡人」核取方塊。
  3. 依序前往「回應」>「工作排程器」，然後按一下「新增」。
  4. 在「Job Name」(工作名稱) 欄位中，選取「Case Federation Sync Job」(案件聯盟同步工作)。
  5. 在「整合」欄位中，選取「案件聯盟」。
  6. 點選「建立」。
  7. 在「目標平台」欄位中，輸入主要供應商的主機名稱。 主機名稱取自主要供應商平台網址的開頭。
  8. 在「API key」欄位中，輸入您先前建立的同步 API 金鑰。
  9. 將預設同步時間設為一分鐘。
  10. 按一下 [儲存]。

授予主要使用者存取權

您可以透過這個程序，為相關主要平台角色授予特定環境的權限。主要分析師可藉此在次要平台中，將重心轉移到相關案件。

如要在次要平台建立或編輯使用者，請按照下列步驟操作：

  1. 在次要平台中，依序前往「SOAR Settings」>「Advanced」>「IdP Group Mapping」。
  2. 視需要新增或編輯使用者。如要進一步瞭解如何新增或編輯使用者，請參閱「在 Google SecOps 平台中對應使用者」。
  3. 在「環境」欄位中，選取主要平台分析師可存取的環境。
  4. 按一下 [儲存]。

從主要平台存取遠端案件

主要平台使用者可以在「案件」頁面以清單或並排檢視模式查看遠端案件

如要在遠端平台開啟案件，請按照下列步驟操作：

  1. 在「案件」頁面中，選取「清單檢視」或「並排檢視」。
  2. 執行下列任一操作：
    • 並排檢視
      1. 在案件佇列中，尋找標示「R」(代表遠端) 的案件。
      2. 按一下遠端案件，即可在對應的遠端平台中開啟案件。
    • 清單檢視
      1. 在「平台」欄中找出遠端案件。
      2. 按一下案件 ID，即可在遠端平台開啟案件。

  3. 使用電子郵件地址和密碼登入遠端平台。

    如果無法登入，表示次要客戶可能未授權您存取案件的來源環境。

刪除次要平台

如要從主要平台刪除次要平台，請執行下列指令： 

curl -X DELETE --location "$PRIMARY_INSTANCE_URL/api/external/v1/federation/platforms/{platform_id}" 

      --header "AppKey: $ADMIN_API_KEY"

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。