為 SecOps 設定聯合案件存取權

支援的國家/地區：

案件管理聯盟功能可讓次要客戶擁有自己的獨立 Google Security Operations 平台，而不是共用執行個體中的環境，這項設定非常適合代管式安全服務供應商 (MSSP)， 或需要在不同地理區域使用獨立平台的企業。

所有案件中繼資料都會從次要 (遠端) 平台同步至主要供應商平台，如下所示：

  • 如果獲得授權，主要平台分析師就能查看、存取及處理聯合案件。

  • 次要客戶可控管主要平台可存取的環境和案件。

如果主要平台分析師有權存取案件環境，當他們開啟遠端案件連結時，系統會將他們重新導向至遠端平台。在遠端平台上，主要平台分析師可以使用電子郵件地址和密碼登入。存取權需要有效憑證，且僅限目前工作階段。

在主要平台上設定中繼資料同步

如要啟用中繼資料同步功能，請在主要平台執行下列步驟：

設定遠端平台顯示名稱

如要設定遠端平台顯示名稱，請按照下列步驟操作：

  1. 在下列範例中，使用 curl 指令為遠端平台指派專屬顯示名稱。顯示名稱長度上限為 255 個字元。 
    curl -X POST
https://federation.siemplify-soar.com/api/external/v1/federation/platforms \
-H "Content-Type: application/json" \
-d '{
    "displayName": "Sample Platform",
    "host": "https://federation.siemplify-soar.com" 
}'
  2. 將產生的 API 金鑰儲存在安全地點。次要客戶會使用這項資訊設定新的案件聯盟同步工作。

下載案件聯盟整合功能

如要下載案件聯盟整合功能，請按照下列步驟操作：

  1. 在主要平台中，前往「Marketplace」Marketplace。
  2. 按一下「案件聯盟整合設定」，然後選取「是否為主要」核取方塊，將資料同步至平台。
  3. 按一下 [儲存]。

建立案件聯盟同步作業

如要建立案件聯盟同步工作，請按照下列步驟操作：

  1. 依序前往「回應」>「IDE」，然後按一下「新增」。
  2. 選取「工作」。
  3. 在「Job Name」(工作名稱) 欄位中，選取「Case Federation Sync Job」(案件聯盟同步工作)。
  4. 在「整合」欄位中，選取「案件同盟」。

  5. 點選「建立」。

    將排程間隔設為一分鐘。請勿修改任何其他參數。

為使用者新增主要 (遠端) 平台存取權

如要指派一或多個遠端平台的存取權，請按照下列步驟操作：
  1. 在主要平台中，依序前往「SOAR 設定」>「進階」>「IdP 群組對應」。
  2. 視需要新增或編輯使用者。如要進一步瞭解如何新增使用者，請參閱在 SecOps 平台中對應使用者。
  3. 在「平台」欄位中，選取所需數量的遠端平台。
  4. 按一下 [儲存]。

在次要 (遠端) 平台上設定中繼資料同步

如要在次要平台上啟用同步功能，請完成下列步驟。

下載案件聯盟整合功能

如要下載案件聯盟整合功能，請按照下列步驟操作：

  1. 在平台中前往 Marketplace。
  2. 按一下「案件聯盟整合設定」，然後按一下「儲存」。請勿勾選「為主要聯絡人」核取方塊。
  3. 依序前往「回應」>「IDE」，然後按一下「新增」。
  4. 選取「工作」。
  5. 在「Job Name」(工作名稱) 欄位中，選取「Case Federation Sync Job」(案件聯盟同步工作)。
  6. 在「整合」欄位中，選取「案件同盟」。
  7. 點選「建立」。
  8. 在「目標平台」欄位中，輸入主要供應商的主機名稱。 主機名稱取自主要供應商平台網址的開頭。
  9. 在「API 金鑰」欄位中，輸入主要供應商提供的 API 金鑰。
  10. 將預設同步時間設為一分鐘。
  11. 按一下 [儲存]。

授予主要使用者存取權

這個程序可讓您為相關主要平台角色授予特定環境的權限。主要分析師可藉此在次要平台中，將重心轉移到相關案件。

如要在次要平台建立或編輯使用者，請按照下列步驟操作：

  1. 在次要平台中，依序前往「SOAR Settings」>「Advanced」>「IdP Group Mapping」。
  2. 視需要新增或編輯使用者。如要進一步瞭解如何新增或編輯使用者，請參閱「在 Google SecOps 平台中對應使用者」。
  3. 在「環境」欄位中，選取主要平台分析師可存取的環境。
  4. 按一下 [儲存]。

從主要平台存取遠端案件

主要平台使用者可以在「案件」頁面以清單或並排檢視模式查看遠端案件

如要在遠端平台開啟案件，請按照下列步驟操作：

  1. 在「案件」頁面中，選取「清單檢視」或「並排檢視」。
  2. 請執行下列任一動作：
    • 並排檢視
      1. 在案件佇列中，尋找標示「R」(代表遠端) 的案件。
      2. 按一下遠端案件，即可在對應的遠端平台中開啟案件。
    • 清單檢視
      1. 在「平台」欄中找出遠端案件。
      2. 按一下案件 ID，即可在遠端平台開啟案件。

  3. 使用電子郵件地址和密碼登入遠端平台。

    如果無法登入，表示次要客戶可能未授權您存取案件的來源環境。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。