מיפוי משתמשים באמצעות Cloud Identity
במאמר הזה מוסבר איך לבצע אימות ולמפות משתמשים עם זיהוי מאובטח ל-Google Security Operations.
שליטה בגישת המשתמשים
יש כמה דרכים לנהל את גישת המשתמשים להיבטים שונים של הפלטפורמה:
- קבוצות הרשאות: מגדירים את רמות הגישה של המשתמשים על ידי הקצאתם לקבוצות הרשאות ספציפיות. הקבוצות האלה קובעות אילו מודולים ותתי-מודולים המשתמשים יכולים לראות או לערוך. לדוגמה, יכול להיות שלמשתמש תהיה גישה לדפים Cases ו-Workdesk, אבל לא לדפים Playbooks ו-Settings. מידע נוסף זמין במאמר בנושא עבודה עם קבוצות הרשאות.
- תפקידים ב-SOC: הגדרת התפקיד של קבוצת משתמשים. אתם יכולים להקצות משתמשים לתפקידים ב-SOC כדי לייעל את ניהול המשימות. במקום להקצות מקרים, פעולות או תוכניות פעולה לאנשים ספציפיים, אפשר להקצות אותם לתפקיד ב-SOC. המשתמשים יכולים לראות את הפניות שמוקצות להם, לתפקיד שלהם או לתפקידים נוספים. מידע נוסף זמין במאמר בנושא עבודה עם תפקידים.
- סביבות או קבוצות סביבות: הגדרה של סביבות או קבוצות סביבות כדי לפלח נתונים ברשתות שונות או ביחידות עסקיות שונות. בדרך כלל משתמשים בהן עסקים וספקי שירותי אבטחה מנוהלים (MSSP). המשתמשים יכולים לגשת רק לנתונים בסביבות או בקבוצות שהוקצו להם. מידע נוסף זמין במאמר עבודה עם סביבות.
מיפוי של קבוצות משתמשים עם כתובות אימייל
בקטע הזה אפשר למפות כתובות אימייל של משתמשים או מאפייני נושא של איחוד שירותי אימות הזהויות של כוח העבודה לקבוצות, כדי לשלוט בגישת המשתמשים ב-Google SecOps.
השילוב של קבוצות הרשאות, תפקידי SOC וסביבות קובע את מסלול המשתמש ב-Google SecOps לכל קבוצה בפלטפורמה.
יש מגוון אפשרויות למיפוי. אתם יכולים למפות משתמשים עם קבוצות הרשאות, תפקידים בסביבת SOC וסביבות, בין אם מדובר בקבוצה אחת או בכמה קבוצות. התהליך הזה מבטיח שמשתמשים שונים שממופים לקבוצות שונות יקבלו בירושה את כל רמות ההרשאה הנדרשות.
כברירת מחדל, Google SecOps כולל קבוצה של אדמינים שמוגדרים כברירת מחדל.
כדי למפות קבוצות אימייל, מבצעים את השלבים הבאים:
- עוברים אל הגדרות > הגדרות SOAR > מתקדם > מיפוי קבוצות.
- חשוב לוודא שיש לכם את הפרטים הבאים:
- שמות קבוצות: השם שאתם מקצים לקבוצת אימייל, כמו
T1 analysts. - חברים בקבוצה: אוסף של כתובות אימייל של משתמשים או מאפייני נושא של איחוד שירותי אימות הזהות של כוח העבודה שמרכיבים את הקבוצה.
- שמות קבוצות: השם שאתם מקצים לקבוצת אימייל, כמו
- לוחצים על הוספה הוספה וממפים את כתובות האימייל או את מאפייני הנושא של איחוד שירותי אימות הזהות של כוח העבודה לכל קבוצה. אחרי שמוסיפים כל פריט, לוחצים על הוספה.
- כשמסיימים, לוחצים על הוספה. בכל פעם שמשתמש נכנס לפלטפורמה, הוא מתווסף אוטומטית לדף User Management (ניהול משתמשים), שנמצא בקטע Settings > Organization (הגדרות> ארגון).
כדי למנוע דחייה של משתמשים שמנסים להיכנס לפלטפורמת Google SecOps, אבל קבוצת האימייל שלהם לא ממופה, מומלץ להפעיל את הגדרות הגישה שמוגדרות כברירת מחדל ולהגדיר הרשאות אדמין בדף הזה. אחרי שמסיימים את ההגדרה הראשונית של האדמין, מומלץ לשנות את הרשאות האדמין לרמה מינימלית יותר.
מידע על מיפוי של כמה הרשאות בקבוצה זמין במאמר מיפוי משתמשים עם כמה פרמטרים של בקרת גישה.
מיפוי קבוצות לפרמטרים של בקרת גישה
בקטע הזה מתואר איך למפות קבוצות שונות של כתובות אימייל לפרמטר אחד או יותר של בקרת גישה בדף Group Mapping (מיפוי קבוצות). הגישה הזו מועילה ללקוחות שרוצים להצטרף ולספק קבוצות משתמשים על סמך התאמות אישיות ספציפיות, במקום להשתמש בתקנים של פלטפורמת Google SecOps. יכול להיות שמיפוי קבוצות לפרמטרים ידרוש מכם ליצור יותר קבוצות בהתחלה, אבל אחרי שהמיפוי מוגדר, משתמשים חדשים יכולים להצטרף ל-Google SecOps בלי שתצטרכו ליצור קבוצות נוספות.
למחוק משתמש
אם מוחקים קבוצות מכאן, צריך לוודא שמוחקים את המשתמשים הבודדים מהמסך ניהול משתמשים. מידע נוסף זמין במאמר בנושא השבתה או מחיקה של חשבון משתמש.תרחיש לדוגמה: הקצאת שדות הרשאה ייחודיים לכל קבוצת אימייל
התרחיש לדוגמה הבא ממחיש איך אפשר להשתמש בתכונה הזו כדי להוסיף משתמשים ולספק להם הרשאות בהתאם לצרכים של החברה.
לחברה שלך יש שלוש פרסונות שונות:
- אנליסטים של אבטחה (כולל חברי הקבוצה סשה וטל)
- מהנדסי SOC (כולל חברי הקבוצה קווין ונועם)
- מהנדסי NOC (כולל חברי הקבוצה Kim ו-Kai)
למנתחי אבטחה ולמהנדסי SOC יש את אותן קבוצות הרשאות (מנתח) ותפקידי SOC (רמה 1) ב-Google SecOps. למרות שלאנליסטים של האבטחה יש הרשאות בסביבת לונדון, למהנדסי ה-SOC יש הרשאות בסביבת מנצ'סטר. בינתיים, למהנדסי ה-NOC יש הרשאות בסביבת לונדון, אבל הם משויכים לקבוצת ההרשאות Basic ולתפקיד SOC ברמה Tier 2.
התרחיש הזה מודגם בטבלה הבאה:
| קבוצה | קבוצת הרשאות | תפקיד SOC | סביבה | חברי הקבוצה |
|---|---|---|---|---|
| מנתחי אבטחה | מנתח נתונים | קבוצה 1 | לונדון | sasha@company.com, tal@company.com |
| מהנדסי SOC | מנתח נתונים | קבוצה 1 | מנצ'סטר | quinn@company.com, noam@company.com |
| מהנדסי NOC | בסיסי | קבוצה 2 | לונדון | kim@company.com, kai@company.com |
הגדרת קבוצות אימייל
כדי להגדיר קבוצות אימייל ב-Google SecOps:
-
תכין לי את כתובות האימייל של הקבוצות הבאות:
- אנליסטים של אבטחה (כולל Sasha ו-Tal)
- מהנדסי SOC (כולל Quinn ו-Noam)
- מהנדסי NOC (כולל Kim ו-Kai)
- עוברים אל הגדרות > הגדרות SOAR > מתקדם > מיפוי קבוצות.
- לוחצים על הוספת קבוצה.
- מזינים את הפרטים הבאים בתיבת הדו-שיח:
- קבוצה:
Security analysts - קבוצת הרשאות:
Analyst - תפקיד SOC:
Tier 1 - סביבה: משאירים את השדה ריק
- חברי הקבוצה:
sasha@company.com, tal@company.com - בתיבת הדו-שיח הבאה, מזינים את הפרטים הבאים:
- קבוצה:
SOC engineers - קבוצת הרשאות:
Analyst - תפקיד SOC:
Tier 1 - סביבה: משאירים את השדה ריק
- חברי הקבוצה:
quinn@company.com, noam@company.com - בתיבת הדו-שיח הבאה, מזינים את הפרטים הבאים:
- קבוצה:
NOC engineers - קבוצת הרשאות:
Basic - תפקיד SOC:
Tier 2 - סביבה: משאירים את השדה ריק
- חברי הקבוצה:
kim@company.com,kai@company.com - בתיבת הדו-שיח הבאה, מזינים את הפרטים הבאים:
- קבוצה:
London - קבוצת הרשאות: משאירים את השדה ריק
- תפקיד SOC: משאירים את השדה ריק
- חברי הקבוצה: משאירים את השדה ריק
- סביבה:
London - בתיבת הדו-שיח הבאה, מזינים את הפרטים הבאים:
- קבוצה:
Manchester - קבוצת הרשאות: משאירים את השדה ריק
- תפקיד SOC: משאירים את השדה ריק
- חברי הקבוצה: משאירים את השדה ריק
- סביבה:
Manchester
לקוחות שמשתמשים בתכונה Case Federation, יכולים לעיין במאמר הגדרת גישה מאוחדת לכרטיסי תמיכה ב-Google SecOps.
מיפוי חשבונות שירות לגישה ל-API
כדי להעניק גישה לחשבון שירות או גישה לאיחוד שירותי אימות הזהות של עומסי עבודה ל-Google SecOps, צריך למפות את הזהות לפרמטרים של בקרת הגישה בפלטפורמה. המיפוי הזה הוא שלב חובה כדי לספק לזהות את הגישה הנדרשת לתפקידי SOC ולסביבות שנדרשות לביצוע משימות אוטומטיות או פעולות API.
- עוברים אל SOAR Settings (הגדרות SOAR) > Advanced (מתקדם) > Group Mapping (מיפוי קבוצות).
- לוחצים על הוספה הוספה.
ממלאים את השדות בתיבת הדו-שיח Add Mapping (הוספת מיפוי) כדי למפות את הזהות לפרמטרים של בקרת הגישה בפלטפורמה.
- בשדה ספק זהויות / קבוצת משתמשים, מזינים אחת מהאפשרויות הבאות:
- כתובת האימייל המלאה של חשבון השירות, אם הזהות הוגדרה באמצעות Cloud Identity.
- מחרוזת של נציג אינטרס של Workload Identity, אם הזהות הוגדרה באמצעות איחוד שירותי אימות הזהות של כוח העבודה.
מגדירים את השדות הבאים של בקרת הגישה:
שדה תיאור קבוצות הרשאות בוחרים את קבוצות ההרשאות כדי להגדיר לאילו מודולים ותתי-מודולים יש לזהות גישה. תפקידים ב-SOC בוחרים את התפקידים ב-SOC כדי להגדיר את התפקיד של הזהות (למשל, רמה 1). סביבות בוחרים את הסביבות או את קבוצות הסביבות שהזהות יכולה לגשת אליהן (למשל כל הסביבות). חברי הקבוצה מזינים את כתובות האימייל של המשתמשים הרלוונטיים, אם יש כאלה. אחרי כל כתובת אימייל שמוסיפים, לוחצים על Enter. פעולות מוגבלות בוחרים את הפעולות המוגבלות כדי להגביל פעולות ספציפיות במודולים.
- בשדה ספק זהויות / קבוצת משתמשים, מזינים אחת מהאפשרויות הבאות:
לוחצים על הוספה.
פתרון בעיות
לולאת הפניה חזרה לכתובת האתר המקורית להתחברות אינסופית
ב-Google SecOps, התחברות יכולה לגרום לטעינה אינסופית או לולאת הפניה חזרה לכתובת האתר המקורית גם אם מיפויי הקבוצות של ספק הזהויות, הצהרות ה-JWT וההרשאות של IAM מוגדרים בצורה נכונה.
אם משתמש נתקל בלולאת טעינה אינסופית, צריך לבדוק אם כל מודולי הנחיתה שמוגדרים כברירת מחדל בקבוצת ההרשאות שהוקצתה לו מושבתים. לדוגמה: דף הבית, מרכזי בקרה או פניות. כדי לשחזר את הגישה, עוברים אל הגדרות SOAR > הרשאות ומפעילים לפחות מודול נחיתה אחד שמוגדר כברירת מחדל.
הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.