設定 SOAR 的案件聯盟存取權

支援的國家/地區：

案件管理聯盟功能可讓次要客戶擁有自己的獨立 SOAR 平台，不必將 SOAR 執行個體做為共用平台環境代管。這項設定非常適合代管式安全服務供應商 (MSSP)， 或需要在不同地理區域使用獨立平台的企業。

所有案件中繼資料都會從次要 (遠端) 平台同步至主要供應商平台，如下所示：

  • 如果獲得授權，主要平台分析師就能查看、存取及處理聯合案件。

  • 次要客戶可控管主要平台可存取的環境和案件。

如果主要平台分析師開啟遠端案件連結，且具備存取案件環境的必要權限，系統會將他們重新導向遠端平台。主要平台分析師可以在遠端平台使用電子郵件地址和密碼登入。存取權需要有效憑證，且僅限目前工作階段。

在主要平台建立或編輯使用者

如要指派一或多個遠端平台的存取權，請按照下列步驟操作：
  1. 在主要平台中，依序前往「設定」>「機構」>「使用者管理」。
  2. 按一下「新增」。
  3. 輸入必要的資訊。
  4. 在「平台」欄位中，選取所需數量的遠端平台。
  5. 按一下 [儲存]。

在主要平台上註冊新的次要平台

如要註冊次要平台，您需要主要平台的 Admin API 金鑰，並執行 API 呼叫來產生同步 API 金鑰。 如果沒有管理 API 金鑰，請按照下列步驟建立新金鑰：
  1. 依序前往「SOAR 設定」>「進階」>「API 金鑰」。
  2. 建立新的 Admin API 金鑰。
按照下列步驟產生同步 API 金鑰：
  1. 執行下列 API 呼叫。 
    curl --location "$PRIMARY_INSTANCE_URL/api/external/v1/federation/platforms" \
--header 'Content-Type: application/json' \
--header "AppKey: $ADMIN_API_KEY" \
--data '{
"displayName": "My Secondary Platform",
"host": "mysecondary.siemplify-soar.com"
}'
    這會傳回同步 API 金鑰，每個次要平台都有專屬金鑰，用於向主要平台驗證。

在次要 (遠端) 平台上設定中繼資料同步

如要在次要平台上啟用同步功能，請完成下列步驟。

下載 Case Federation 整合功能

如要下載案件聯盟整合功能，請按照下列步驟操作：

  1. 在平台中前往「內容中心」。
  2. 按一下「案件聯盟整合設定」> 按一下「儲存」。請勿勾選「設為主要」核取方塊。
  3. 依序前往「回應」>「IDE」，然後按一下「新增」。
  4. 選取「工作」。
  5. 在「Job Name」(工作名稱) 欄位中，選取「Case Federation Sync Job」(案件聯盟同步工作)。
  6. 在「整合」欄位中，選取「案件聯盟」。
  7. 點選「建立」。
  8. 在「目標平台」欄位中，輸入主要供應商的主機名稱。 主機名稱取自主供應商平台網址的開頭。
  9. 在「API key」(API 金鑰) 欄位中，輸入主要供應商提供的 API 金鑰。
  10. 將預設同步時間設為一分鐘。

在次要平台建立或編輯使用者

如要授予主要分析師所選環境的存取權，請按照下列步驟操作：
  1. 在次要平台中，依序前往「設定」>「機構」>「使用者管理」
  2. 按一下「新增」。
  3. 輸入必要的資訊。
  4. 在「環境」欄位中，選取主要平台分析師可存取的環境。
  5. 按一下 [儲存]。

從主要平台存取遠端案件

主要平台分析師可以從本機平台移至遠端 (次要) 平台，查看及管理案件。您可以在「案件」頁面，透過案件清單檢視畫面或案件並排檢視畫面執行這項操作。

如要透過遠端平台開啟案件，請按照下列步驟操作：

  1. 在「案件」頁面中，選取「清單檢視」或「並排檢視」。
  2. 執行下列任一操作：
    • 並排檢視
      1. 在案件佇列中，尋找標示「R」(代表遠端) 的案件。
      2. 按一下案件，在遠端平台中開啟。
    • 清單檢視
      1. 掃描「平台」資料欄，找出源自遠端平台的案件。
      2. 按一下案件 ID，在遠端平台開啟案件。

  3. 使用電子郵件地址和密碼登入遠端平台。

    如果無法登入，表示次要客戶可能未授權您存取案件的來源環境。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。