הפעלת גישה מאוחדת

נתמך ב:

התכונה 'פדרציה של ניהול אירועים' מאפשרת ללקוחות משניים להשתמש בפלטפורמת Google Security Operations נפרדת משלהם, במקום להשתמש במופע Google SecOps שלהם כסביבות בתוך מופע משותף. ההגדרה הזו מתאימה במיוחד לספקי שירותי אבטחה מנוהלים (MSSP) או לארגונים שזקוקים לפלטפורמות עצמאיות באזורים גיאוגרפיים שונים.

כל המטא-נתונים של בקשת התמיכה מסונכרנים מהפלטפורמה המשנית (המרוחקת) לפלטפורמה של הספק הראשי באופן הבא:

  • מנתחי פלטפורמה ראשיים יכולים לצפות במקרים מאוחדים, לגשת אליהם ולפעול בהם אם ניתנה להם גישה.
  • לקוחות משניים שומרים על השליטה בסביבות ובמקרים שאליהם יש לפלטפורמה הראשית גישה.

כשמנתח פלטפורמה ראשי פותח קישור לבקשת תמיכה מרוחקת, המערכת מפנה אותו לפלטפורמה המרוחקת, אם יש לו את ההרשאות הנדרשות לגישה לסביבה של בקשת התמיכה. בפלטפורמה המרוחקת, האנליסט הראשי של הפלטפורמה יכול להיכנס באמצעות כתובת האימייל והסיסמה שלו. הגישה דורשת פרטי כניסה תקינים והיא ניתנת רק לסשן הנוכחי.

הוספת גישה לפלטפורמה משנית למשתמשים בפלטפורמה הראשית

כדי להקצות גישה לפלטפורמה משנית אחת או יותר, פועלים לפי השלבים הבאים:

  1. בפלטפורמה הראשית, עוברים אל SOAR Settings (הגדרות SOAR) > Advanced (מתקדם) > Group Mapping (מיפוי קבוצות).
  2. מוסיפים או עורכים משתמשים לפי הצורך. מידע נוסף על הוספת משתמשים זמין במאמר בנושא מיפוי משתמשים בפלטפורמת SecOps.
  3. בשדה פלטפורמה, בוחרים את כל הפלטפורמות המרוחקות שרוצים.
  4. לוחצים על Save.

רישום פלטפורמה משנית חדשה בפלטפורמה הראשית

כדי לרשום פלטפורמה משנית, צריך מפתח Admin API לפלטפורמה הראשית ולבצע קריאה ל-API כדי ליצור מפתח API לסנכרון.

אם אין לכם מפתח Admin API, אתם יכולים ליצור אחד חדש לפי השלבים הבאים, או לקרוא מידע נוסף על ניהול מפתחות API:

  1. עוברים אל SOAR Settings > Advanced > API keys (הגדרות SOAR > מתקדם > מפתחות API).
  2. יוצרים מפתח חדש ל-Admin API.

כדי ליצור מפתח API לסנכרון:

  1. מריצים את הקריאה הבאה ל-API, כאשר המשתנה $PRIMARY_INSTANCE_URL הוא כתובת ה-URL הבסיסית של מופע ה-SOAR הראשי, לדוגמה https://primaryinstance.siemplify-soar.com, והערך של "host". במטען הייעודי של הנתונים, מגדירים את הערך של host למופע המשני של SOAR, בלי הקידומת https (לדוגמה, mysecondary.siemplify-soar.com).

    curl --location "$PRIMARY_INSTANCE_URL/api/external/v1/federation/platforms" \
--header 'Content-Type: application/json' \
--header "AppKey: $ADMIN_API_KEY" \
--data '{
"displayName": "My Secondary Platform",
"host": "mysecondary.siemplify-soar.com"
}'

    הפעולה הזו מחזירה מפתח API לסנכרון, שהוא ייחודי לכל פלטפורמה משנית ומשמש לאימות בפלטפורמה הראשית.

הגדרת סנכרון מטא-נתונים בפלטפורמה המשנית (המרוחקת)

כדי להפעיל את הסנכרון בפלטפורמה המשנית, מבצעים את השלבים הבאים במופע המשני של SecOps.

הורדת השילוב Case Federation

כדי להוריד את השילוב של Case Federation:

  1. בפלטפורמה, עוברים אל Content Hub.
  2. בוחרים בכרטיסייה Response Integrations (שילובים של תגובות) ומחפשים את Case Federation (איחוד של כרטיסי תמיכה).
  3. לוחצים על Case Federation integration configuration (הגדרת שילוב של Case Federation) ואז על Save (שמירה). לא מסמנים את תיבת הסימון Is Primary (האם זה ראשי).
  4. עוברים אל תגובה > מתזמן המשימות, ואז לוחצים על הוספההוספה.
  5. בשדה Job Name, בוחרים באפשרות Case Federation Sync Job.
  6. בשדה Integration, בוחרים באפשרות Case Federation.
  7. לוחצים על יצירה.
  8. בשדה Target Platform (פלטפורמת היעד), מזינים את שם המארח של הספק הראשי. שם המארח הוא כתובת ה-URL של הפלטפורמה ללא הקידומת https:// (לדוגמה, primaryinstance.siemplify-soar.com).
  9. בשדה API key, מזינים את מפתח ה-API של הסנכרון שיצרתם קודם.
  10. מגדירים את זמן הסנכרון שמוגדר כברירת מחדל לדקה אחת.
  11. לוחצים על Save.

הענקת גישה למשתמשים הראשיים

התהליך הזה מאפשר להעניק הרשאות לסביבות ספציפיות עבור הדמויות הרלוונטיות בפלטפורמה הראשית. כך האנליסט הראשי יכול לעבור למקרים הרלוונטיים בפלטפורמה המשנית.

כדי ליצור או לערוך משתמש בפלטפורמה המשנית:

  1. בפלטפורמה המשנית, עוברים אל SOAR Settings (הגדרות SOAR) > Advanced (מתקדם) > IAM Role Mapping (מיפוי תפקידי IAM).
  2. מוסיפים או עורכים משתמשים לפי הצורך. מידע נוסף על הוספה או עריכה של משתמשים זמין במאמר מיפוי משתמשים בפלטפורמת Google SecOps.
  3. בשדה סביבה, בוחרים את הסביבות שאנליסטים בפלטפורמה הראשית יכולים לגשת אליהן.
  4. לוחצים על Save.

גישה לתיקים מרחוק מהפלטפורמה הראשית

משתמשים בפלטפורמה הראשית יכולים לראות את הפניות מרחוק בתצוגת רשימה או בתצוגה זו לצד זו בדף פניות.

כדי לפתוח בקשות בפלטפורמה המרוחקת:

  1. בדף Cases, בוחרים באפשרות list view או באפשרות side-by-side view.

  2. מבצעים אחת מהפעולות הבאות:

    • תצוגה זו לצד זו
      1. בתור של פניות התמיכה, מחפשים פניות שמסומנות באות R (לציון פניות מרחוק).
      2. לוחצים על כרטיס תמיכה מרחוק כדי לפתוח אותו בפלטפורמה המתאימה לתמיכה מרחוק.
    • תצוגת רשימה
      1. מחפשים את המקרים המרוחקים בעמודה פלטפורמה.
      2. לוחצים על מספר הפנייה כדי לפתוח את הפנייה בפלטפורמה המרוחקת.

  3. נכנסים לפלטפורמה המרוחקת באמצעות כתובת האימייל והסיסמה.

    אם אתם לא מצליחים להיכנס, יכול להיות שהלקוח המשני לא העניק לכם גישה לסביבת המקור של הפנייה.

רשימת פלטפורמות משניות

כדי להציג את הפלטפורמות המשניות מהפלטפורמה הראשית, מריצים את הפקודה הבאה, שמחזירה רשימה של שמות ומזהים של פלטפורמות:

curl --location "$PRIMARY_INSTANCE_URL/api/external/v1/federation/platforms/{platform_id}" \
      --header 'Content-Type: application/json' \
      --header "AppKey: $ADMIN_API_KEY"

מחיקת פלטפורמות משניות

כדי למחוק פלטפורמות משניות מהפלטפורמה הראשית, מריצים את הפקודה הבאה:

curl -X DELETE --location "$PRIMARY_INSTANCE_URL/api/external/v1/federation/platforms/{platform_id}" \
      --header "AppKey: $ADMIN_API_KEY"

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.