Mapear usuários com o Cloud Identity

Compatível com:

Google SecOps

Observação: se você já concluiu a Etapa 2 da migração do SOAR para o Google Cloud, use o IAM para gerenciar o acesso aos recursos do Google SecOps, incluindo o SOAR. A coluna Grupo de permissões ainda é exibida após a migração na página Mapeamento de grupos para compatibilidade com versões anteriores. Não exclua essas atividades. A coluna será removida até 31 de março de 2027 sem impacto para o cliente. Para mais informações, consulte Migrar para o Google Cloud.

Este documento explica como autenticar e mapear usuários com identificação segura para o Google Security Operations.

Controle o acesso dos usuários

Há várias maneiras de gerenciar o acesso do usuário a diferentes aspectos da plataforma:

• Grupos de permissões: defina os níveis de acesso dos usuários atribuindo-os a grupos de permissões específicos. Esses grupos determinam quais módulos e submódulos os usuários podem ver ou editar. Por exemplo, um usuário pode ter acesso às páginas Casos e Área de trabalho, mas ser restrito de Playbooks e Configurações. Para mais informações, consulte Trabalhar com grupos de permissões.
Importante: qualquer grupo de permissões atribuído aos usuários precisa ter pelo menos um módulo de destino padrão ativado nas configurações de Permissões. Por exemplo, Página inicial, Painéis ou Casos. Se você desativar todos os módulos de destino padrão, isso vai causar erros de back-end e resultar em um loop de redirecionamento de login infinito.
• Papéis do SOC: defina o papel de um grupo de usuários. Você pode atribuir usuários a funções do SOC para simplificar o gerenciamento de tarefas. Em vez de atribuir casos, ações ou playbooks a indivíduos, eles podem ser atribuídos a uma função do SOC. Os usuários podem ver os casos atribuídos a eles, à função deles ou a outras funções. Para mais informações, consulte Trabalhar com papéis.
• Ambientes ou grupos de ambientes: configure ambientes ou grupos de ambientes para segmentar dados em diferentes redes ou unidades de negócios, usados com frequência por empresas e provedores de serviços de segurança gerenciados (MSSPs, na sigla em inglês). Os usuários só podem acessar dados nos ambientes ou grupos atribuídos a eles. Para mais informações, consulte Trabalhar com ambientes.

Mapear grupos de usuários de e-mail

Nesta seção, é possível mapear e-mails de usuários ou atributos de assunto da federação de identidade de colaboradores em grupos para controlar o acesso de usuários no Google SecOps.

A combinação de grupos de permissões, funções de SOC e ambientes determina a jornada do usuário do Google SecOps para cada grupo na plataforma.

Há várias opções de mapeamento. É possível mapear usuários com um ou vários grupos de permissões, papéis do SOC e ambientes. Esse processo garante que diferentes usuários mapeados para diferentes grupos herdem todos os níveis de permissão necessários.

Por padrão, o Google SecOps inclui um grupo de administradores padrão.

Observação: os papéis do IAM (predefinidos ou personalizados) não podem ser adicionados como nomes de grupos no mapeamento de grupos.

Para mapear grupos de e-mail, siga estas etapas:

1. Acesse Configurações > Configurações do SOAR > Avançado > Mapeamento de grupos.
2. Verifique se você tem o seguinte:
   • Nomes de grupos: o nome que você atribui a um grupo de e-mails, como T1 analysts.
   • Membros do grupo: a coleção de e-mails de usuários ou atributos de assunto da federação de identidade de colaboradores que compõem esse grupo.
3. Clique em Adicionar Adicionar e mapeie os e-mails ou os atributos de assunto da federação de identidade de colaboradores para cada grupo. Pressione Adicionar depois de incluir cada item.
4. Quando terminar, clique em Adicionar. Sempre que um usuário faz login na plataforma, ele é adicionado automaticamente à página Gerenciamento de usuários, que fica em Configurações > Organização.

Quando os usuários tentam fazer login na plataforma Google SecOps, mas o grupo de e-mail deles não foi mapeado, para evitar que esses usuários sejam rejeitados, recomendamos ativar as Configurações de acesso padrão e definir permissões de administrador nesta página. Depois que a configuração inicial do administrador for concluída, sugerimos que você ajuste as permissões do administrador para um nível mais mínimo de permissões.

Para informações sobre várias permissões no mapeamento de grupos, consulte Mapear usuários com vários parâmetros de controle de acesso.

Mapear grupos para parâmetros de controle de acesso

Nesta seção, descrevemos como mapear diferentes grupos de e-mail para um ou mais parâmetros de controle de acesso na página Mapeamento de grupos. Essa abordagem é benéfica para clientes que querem integrar e provisionar grupos de usuários com base em personalizações específicas, em vez de aderir à padronização da plataforma do Google SecOps. Embora o mapeamento de grupos para parâmetros possa exigir a criação de mais grupos inicialmente, depois que o mapeamento é definido, novos usuários podem ingressar no Google SecOps sem a necessidade de criar outros grupos.

Excluir um usuário

Se você excluir grupos aqui, exclua os usuários individuais na tela Gerenciamento de usuários. Para mais informações, consulte Desativar ou excluir uma conta de usuário.

Caso de uso: atribuir campos de permissão exclusivos a cada grupo de e-mails

O caso de uso a seguir ilustra como usar esse recurso para ajudar a integrar e provisionar usuários de acordo com as necessidades da sua empresa.

Sua empresa tem três personas diferentes:

• Analistas de segurança (com os membros do grupo Sasha e Tal)
• Engenheiros do SOC (contendo os membros do grupo Quinn e Noam)
• Engenheiros de NOC (com os membros do grupo Kim e Kai)

Os analistas de segurança e os engenheiros de SOC têm os mesmos grupos de permissões do Google SecOps (analista) e papéis de SOC (nível 1). Enquanto os analistas de segurança têm permissões para o ambiente de Londres, os engenheiros de SOC têm permissões para o ambiente de Manchester. Enquanto isso, os engenheiros do NOC têm permissões para o ambiente de Londres, mas recebem o grupo de permissões Básico e o papel do SOC de Nível 2.

Esse cenário é ilustrado na tabela a seguir:

Grupo	Grupo de permissões	Papel no SOC	Ambiente	Participantes do grupo
Analistas de segurança	Analista	Nível 1	Londres	[e-mail], [e-mail]
Engenheiros de SOC	Analista	Nível 1	Manchester	[e-mail], [e-mail]
Engenheiros de NOC	Básico	Nível 2	Londres	[e-mail], [e-mail]

Configurar grupos de e-mail

Para configurar grupos de e-mail no Google SecOps, faça o seguinte:

1. Crie os seguintes grupos de e-mail:
   • Analistas de segurança (contendo Sasha e Tal)
   • Engenheiros de SOC (incluindo Quinn e Noam)
   • Engenheiros do NOC (contendo Kim e Kai)
2. Acesse Configurações > Configurações do SOAR > Avançado > Mapeamento de grupos.
3. Clique em Adicionar grupo.
4. Insira os seguintes detalhes na caixa de diálogo:
• Grupo: Security analysts
• Grupo de permissões: Analyst
• Papel no SOC: Tier 1
• Ambiente: deixe em branco
• Membros do grupo: [e-mail], [e-mail]
5. Insira os seguintes detalhes na próxima caixa de diálogo:
• Grupo: SOC engineers
• Grupo de permissões: Analyst
• Papel no SOC: Tier 1
• Ambiente: deixe em branco
• Membros do grupo: [e-mail], [e-mail]
6. Insira os seguintes detalhes na próxima caixa de diálogo:
• Grupo: NOC engineers
• Grupo de permissões: Basic
• Papel no SOC: Tier 2
• Ambiente: deixe em branco
• Membros do grupo: [e-mail], [e-mail]
7. Insira os seguintes detalhes na próxima caixa de diálogo:
• Grupo: London
• Grupo de permissões: deixe em branco
• Papel no SOC: deixe em branco
• Participantes do grupo: deixe em branco
• Ambiente: London
8. Insira os seguintes detalhes na próxima caixa de diálogo:
• Grupo: Manchester
• Grupo de permissões: deixe em branco
• Função do SOC: deixe em branco
• Membros do grupo: deixe em branco
• Ambiente: Manchester

Para clientes que usam o recurso de federação de casos, consulte Configurar o acesso federado a casos para o Google SecOps.

Mapear contas de serviço para acesso à API

Para conceder acesso à conta de serviço ou acesso à federação de identidade de carga de trabalho ao Google SecOps, é necessário mapear a identidade para os parâmetros de controle de acesso da plataforma. Esse mapeamento é uma etapa obrigatória para fornecer à identidade o acesso necessário aos papéis do SOC e aos ambientes necessários para realizar tarefas automatizadas ou operações de API.

1. Acesse Configurações do SOAR > Avançado > Mapeamento de grupos.
2. Clique em add Adicionar.

3. Preencha os campos na caixa de diálogo Adicionar mapeamento para mapear a identidade para os parâmetros de controle de acesso da plataforma.

   1. No campo IdP / Grupo de usuários, insira uma das seguintes opções:
      • O endereço de e-mail completo da sua conta de serviço, se a identidade tiver sido configurada usando o Cloud Identity.
      • A string principal da Identidade da carga de trabalho, se a identidade tiver sido configurada usando a federação de identidade de colaboradores.

   2. Configure os seguintes campos de controle de acesso:

      Campo	Descrição
      Grupos de permissões	Selecione os grupos de permissões para definir quais módulos e submódulos a identidade pode acessar.
      Funções do SOC	Selecione as funções do SOC para definir o papel da identidade (como Nível 1).
      Ambientes	Selecione os ambientes ou grupos de ambientes que a identidade pode acessar (como Todos os ambientes).
      Participantes do grupo	Insira os e-mails dos usuários necessários, se aplicável. Pressione Enter depois de adicionar cada e-mail.
      Ações restritas	Selecione as ações restritas para limitar operações específicas nos módulos.

4. Clique em Adicionar.

Solução de problemas

Loop infinito de redirecionamento de login

No Google SecOps, o login pode resultar em um loop infinito de carregamento ou loop de redirecionamento, mesmo quando os mapeamentos de grupos do IdP, as declarações JWT e as permissões do IAM estão configurados corretamente.

Se um usuário encontrar um loop de carregamento infinito, verifique se o grupo de permissões atribuído a ele tem todos os módulos de destino padrão desativados. Por exemplo, Página inicial, Painéis ou Casos. Acesse Configurações do SOAR > Permissões e ative pelo menos um módulo de destino padrão para restaurar o acesso.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.