מיפוי משתמשים באמצעות Cloud Identity

נתמך ב:

Google SecOps

הערה: אם כבר השלמתם את שלב 2 של המעבר של SOAR אל Google Cloud, אתם צריכים להשתמש ב-IAM כדי לנהל את הגישה לתכונות ב-Google SecOps, כולל SOAR. העמודה קבוצת הרשאות עדיין מוצגת אחרי ההעברה בדף מיפוי קבוצות לצורך תאימות לדורות קודמים. אל תמחקו את המטלות האלה. העמודה תוסר עד 31 במרץ 2027 בלי להשפיע על הלקוחות. מידע נוסף זמין במאמר מעבר אל Google Cloud.

במאמר הזה מוסבר איך לאמת ולמפות משתמשים עם זיהוי מאובטח ב-Google Security Operations.

שליטה בגישת המשתמשים

יש כמה דרכים לנהל את הגישה של המשתמשים להיבטים שונים של הפלטפורמה:

• קבוצות הרשאות: מגדירים את רמות הגישה של המשתמשים על ידי הקצאה שלהם לקבוצות הרשאות ספציפיות. הקבוצות האלה קובעות אילו מודולים ומודולי משנה המשתמשים יכולים לראות או לערוך. לדוגמה, למשתמש יכולה להיות גישה לדפים Cases ו-Workdesk, אבל לא לדפים Playbooks ו-Settings. מידע נוסף זמין במאמר עבודה עם קבוצות הרשאות.
חשוב: בכל קבוצת הרשאות שמוקצית למשתמשים, צריך להפעיל לפחות מודול אחד של דף נחיתה שמוגדר כברירת מחדל בהגדרות ההרשאות של הקבוצה. לדוגמה, דף הבית, מרכזי בקרה או בקשות תמיכה. אם משביתים את כל מודולי הנחיתה שמוגדרים כברירת מחדל, זה יגרום לשגיאות בקצה העורפי וללולאה אינסופית של הפניות להתחברות.
• תפקידי SOC: הגדרת התפקיד של קבוצת משתמשים. כדי לייעל את ניהול המשימות, אתם יכולים להקצות למשתמשים תפקידים ב-SOC. במקום להקצות פניות, פעולות או פלייבוקים לאנשים ספציפיים, אפשר להקצות אותם לתפקיד ב-SOC. המשתמשים יכולים לראות את הבקשות שהוקצו להם, לתפקיד שלהם או לתפקידים נוספים. מידע נוסף זמין במאמר עבודה עם תפקידים.
• סביבות או קבוצות של סביבות: מגדירים סביבות או קבוצות של סביבות כדי לפלח נתונים ברשתות או ביחידות עסקיות שונות, בדרך כלל בשימוש על ידי עסקים וספקי שירותי אבטחה מנוהלים (MSSP). המשתמשים יכולים לגשת רק לנתונים בסביבות או בקבוצות שהוקצו להם. מידע נוסף זמין במאמר עבודה עם סביבות.

מיפוי קבוצות משתמשים של אימייל

בקטע הזה אתם יכולים למפות כתובות אימייל של משתמשים או מאפייני נושא של איחוד שירותי אימות הזהות של כוח העבודה לקבוצות, כדי לשלוט בגישה של המשתמשים ב-Google SecOps.

השילוב של קבוצות ההרשאות, התפקידים ב-SOC והסביבות קובע את התהליך שעובר המשתמש ב-Google SecOps לכל קבוצה בפלטפורמה.

יש כמה אפשרויות למיפוי. אתם יכולים למפות משתמשים עם קבוצת הרשאות אחת או יותר, תפקידי SOC וסביבות. התהליך הזה מבטיח שמשתמשים שונים שממופים לקבוצות שונות יקבלו את כל רמות ההרשאה הנדרשות.

כברירת מחדל, Google SecOps כולל קבוצה של אדמינים שמוגדרים כברירת מחדל.

הערה: אי אפשר להוסיף תפקידי IAM (מוגדרים מראש או בהתאמה אישית) כשמות של קבוצות במיפוי קבוצות.

כדי למפות קבוצות אימייל, מבצעים את השלבים הבאים:

1. עוברים אל הגדרות > ניהול גישה > מיפוי קבוצות.
2. חשוב לוודא שיש לכם את הפרטים הבאים:
   • שמות קבוצות: השם שאתם נותנים לקבוצת אימייל, למשל T1 analysts.
   • חברי הקבוצה: אוסף של כתובות אימייל של משתמשים או מאפייני נושא של איחוד שירותי אימות הזהות של כוח העבודה שמרכיבים את הקבוצה.
3. לוחצים על Add Add וממפים את כתובות האימייל או את מאפייני הנושא של איחוד שירותי אימות הזהות של כוח עבודה לכל קבוצה. לוחצים על הוספה אחרי שמוסיפים כל פריט.
4. כשמסיימים, לוחצים על הוספה. בכל פעם שמשתמש נכנס לפלטפורמה, הוא מתווסף אוטומטית לדף SOAR User Management, שנמצא בקטע Settings > ניהול הרשאות גישה > User Management.

כדי למנוע מצב שבו משתמשים מנסים להיכנס לפלטפורמת Google SecOps אבל קבוצת האימייל שלהם לא ממופה, מומלץ להפעיל את הגדרות ברירת המחדל של הגישה ולהגדיר הרשאות אדמין בדף הזה. אחרי שהאדמין משלים את ההגדרה הראשונית, מומלץ לשנות את הרשאות האדמין לרמה מינימלית יותר של הרשאות.

למידע על הרשאות מרובות במיפוי קבוצות, קראו את המאמר מיפוי משתמשים עם כמה פרמטרים של בקרת גישה.

מיפוי קבוצות לפרמטרים של בקרת גישה

בקטע הזה מוסבר איך למפות קבוצות שונות של אימייל לפרמטר אחד או יותר של בקרת גישה בדף Group Mapping. הגישה הזו מתאימה ללקוחות שרוצים להוסיף ולהקצות קבוצות משתמשים על סמך התאמות אישיות ספציפיות, במקום לפעול לפי התקן של פלטפורמת Google SecOps. יכול להיות שתצטרכו ליצור יותר קבוצות בהתחלה כדי למפות קבוצות לפרמטרים, אבל אחרי שהמיפוי מוגדר, משתמשים חדשים יכולים להצטרף ל-Google SecOps בלי ליצור קבוצות נוספות.

למחוק משתמש

אם מוחקים קבוצות מכאן, צריך למחוק את המשתמשים הספציפיים מהדף ניהול משתמשים ב-SOAR. מידע נוסף זמין במאמר השבתה או מחיקה של חשבון משתמש.

תרחיש לדוגמה: הקצאת שדות הרשאה ייחודיים לכל קבוצת אימייל

התרחיש לדוגמה הבא ממחיש איך להשתמש בתכונה הזו כדי להוסיף משתמשים ולהקצות להם הרשאות בהתאם לצרכים של החברה.

בחברה שלכם יש שלושה סוגי משתמשים:

• מנתחי אבטחה (כולל חברי הקבוצה סשה וטל)
• מהנדסי SOC (כולל חברי הקבוצה קווין ונועם)
• מהנדסי NOC (כולל חברי הקבוצה קים וקאי)

למנתחי אבטחה ולמהנדסי SOC יש את אותן קבוצות הרשאות ב-Google SecOps (מנתח) ואת אותם תפקידים ב-SOC (רמה 1). למנתחי האבטחה יש הרשאות לסביבה של לונדון, ולמהנדסי ה-SOC יש הרשאות לסביבה של מנצ'סטר. לעומת זאת, למהנדסי NOC יש הרשאות לסביבת London, אבל הם מוקצים לקבוצת ההרשאות Basic ולתפקיד SOC Tier 2.

התרחיש הזה מוצג בטבלה הבאה:

קבוצה	קבוצת הרשאות	תפקיד SOC	סביבה	חברי הקבוצה
מנתחי אבטחה	ניתוח נתונים	רמה 1	לונדון	[e-mail], [e-mail]
מהנדסי SOC	ניתוח נתונים	רמה 1	מנצ'סטר	[e-mail], [e-mail]
מהנדסי NOC	בסיסי	רמה 2	לונדון	[e-mail], [e-mail]

הגדרת קבוצות אימייל

כדי להגדיר קבוצות אימייל ב-Google SecOps:

1. יוצרים את כתובות האימייל הבאות של קבוצות:
   • מנתחי אבטחה (כולל שיר וטל)
   • מהנדסי SOC (כולל קווין ונועם)
   • מהנדסי NOC (כולל קים וקאי)
2. עוברים אל הגדרות > ניהול גישה > מיפוי קבוצות.
3. לוחצים על הוספת קבוצה.
4. מזינים את הפרטים הבאים בתיבת הדו-שיח:
• קבוצה: Security analysts
• קבוצת הרשאות: Analyst
• תפקיד SOC: ‏Tier 1
• סביבה: משאירים את השדה ריק
• חברי הקבוצה: [e-mail], [e-mail]
5. מזינים את הפרטים הבאים בתיבת הדו-שיח הבאה:
• קבוצה: SOC engineers
• קבוצת הרשאות: Analyst
• תפקיד SOC: ‏Tier 1
• סביבה: משאירים את השדה ריק
• חברי הקבוצה: [e-mail], [e-mail]
6. מזינים את הפרטים הבאים בתיבת הדו-שיח הבאה:
• קבוצה: NOC engineers
• קבוצת הרשאות: Basic
• תפקיד SOC: ‏Tier 2
• סביבה: משאירים את השדה ריק
• חברי הקבוצה: [e-mail], [e-mail]
7. מזינים את הפרטים הבאים בתיבת הדו-שיח הבאה:
• קבוצה: London
• קבוצת הרשאות: משאירים את השדה ריק
• תפקיד SOC: משאירים את השדה ריק
• חברי הקבוצה: משאירים את השדה ריק
• סביבה: London
8. מזינים את הפרטים הבאים בתיבת הדו-שיח הבאה:
• קבוצה: Manchester
• קבוצת הרשאות: משאירים את השדה ריק
• תפקיד SOC: משאירים את השדה ריק
• חברי הקבוצה: משאירים את השדה ריק
• סביבה: Manchester

אם אתם משתמשים בתכונה "איחוד בקשות תמיכה", קראו את המאמר הגדרת גישה מאוחדת לבקשות תמיכה ב-Google SecOps.

מיפוי חשבונות שירות לגישה ל-API

כדי לתת לחשבון שירות או לאיחוד שירותי אימות הזהות של עומסי עבודה גישה ל-Google SecOps, צריך למפות את הזהות לפרמטרים של בקרת הגישה בפלטפורמה. המיפוי הזה הוא שלב חובה כדי לספק לזהות את הגישה הנדרשת לתפקידי SOC ולסביבות שנדרשות לביצוע משימות אוטומטיות או פעולות API.

1. עוברים אל הגדרות > ניהול גישה > מיפוי קבוצות.
2. לוחצים על סמל ההוספה הוספה.

3. ממלאים את השדות בתיבת הדו-שיח Add Mapping כדי למפות את הזהות לפרמטרים של בקרת הגישה של הפלטפורמה.

   1. בשדה IdP / User group, מזינים אחת מהאפשרויות הבאות:
      • כתובת האימייל המלאה של חשבון השירות, אם הזהות הוגדרה באמצעות Cloud Identity.
      • מחרוזת חשבון המשתמש של Workload Identity, אם הזהות הוגדרה באמצעות איחוד שירותי אימות הזהות של כוח העבודה.

   2. מגדירים את השדות הבאים של בקרת הגישה:

      שדה	תיאור
      קבוצות הרשאות	בוחרים את קבוצות ההרשאות כדי להגדיר לאילו מודולים ומודולי משנה הזהות יכולה לגשת.
      תפקידים ב-SOC	בוחרים את התפקידים ב-SOC כדי להגדיר את התפקיד של הזהות (למשל, רמה 1).
      סביבות	בוחרים את הסביבות או את קבוצות הסביבות שהזהות יכולה לגשת אליהן (למשל All Environments).
      חברי הקבוצה	אם רלוונטי, מזינים את כתובות האימייל של המשתמשים הנדרשים. אחרי שמוסיפים כל כתובת אימייל, לוחצים על Enter.
      פעולות מוגבלות	כדי להגביל פעולות ספציפיות במודולים, בוחרים את הפעולות המוגבלות.

4. לוחצים על הוספה.

פתרון בעיות

לולאה אינסופית של הפניה חזרה לכתובת האתר המקורית להתחברות

ב-Google SecOps, התחברות יכולה לגרום לטעינה אינסופית או להפניה חזרה לכתובת האתר המקורית, גם אם המיפויים של קבוצות ה-IdP, טענות הנכוֹנוּת (assertions) של JWT והרשאות ה-IAM מוגדרים בצורה נכונה.

אם משתמש נתקל בלולאת טעינה אינסופית, צריך להשבית את המודולים של "הגדרות" > "ניהול הרשאות גישה" > "הרשאות (מפתחות API)". לדוגמה, דף הבית, מרכזי בקרה או בקשות תמיכה. כדי לשחזר את הגישה, עוברים אל הגדרות > ניהול גישה > הרשאות ומפעילים לפחות מודול אחד של דף נחיתה שמוגדר כברירת מחדל.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.