Datenflüsse und Protokolle prüfen

Unterstützt in:

In diesem Dokument wird die Architektur der Remote-Agent-Lösung beschrieben. Dabei werden die Rollen der drei Kernkomponenten definiert und der TLS-gesicherte, asynchrone Datenfluss veranschaulicht, der für die Ausführung von Remote-Aktionen und die Erfassung von Benachrichtigungen verwendet wird.

Komponentenarchitektur

Die Remote-Agent-Architektur besteht aus den folgenden drei Hauptkomponenten:

Komponente Funktionalität und Sicherheit Kommunikation
Google SecOps Initiiert Aufgaben und ruft Endergebnisse ab. Kommuniziert nicht direkt mit dem Remote-Agent. Kommuniziert über TLS auf Port 443 mit dem Publisher.
Publisher Verwalteter Dienst (von Google SecOps), der als sicherer Vermittler fungiert. Speichert temporäre, verschlüsselte Ausführungsdaten, Metadaten und Skripts/Abhängigkeiten. Protokolliert Datensätze (nicht vertraulich). Bindet an Port 443 für die Kommunikation mit Google SecOps und dem Remote-Agent.
Remote-Agent Wird in der Remote-Umgebung bereitgestellt. Kommuniziert mit Sicherheitsprodukten von Drittanbietern, um Aktionen auszuführen und Benachrichtigungen abzurufen. Speichert Connector-Informationen (Gzip) und eine lokale Konfigurationsdatei. Kommuniziert über TLS auf Port 443 mit dem Publisher.

Remotedatenfluss (Aufgabenausführung)

Wenn Sie eine Integration oder einen Connector für die Remote-Ausführung konfigurieren, ist der Datenfluss asynchron und aufgabenbasiert:

  1. Aufgabenveröffentlichung: Google SecOps veröffentlicht eine neue Aufgabe auf dem Publisher-Server.
  2. Aufgabenabfrage: Der Remote-Agent (der in der Remote-Umgebung installiert ist) fragt den Publisher kontinuierlich nach neuen Aufgaben ab (entweder für Remote-Aktionen oder für das Abrufen von Remote-Connector-Benachrichtigungen).
  3. Aufgabenausführung: Wenn der Remote-Agent eine neue Aufgabe findet, ruft er die vollständigen Aufgabendaten ab (mit Benachrichtigungskontext und Daten zur Aktionsausführung) und beginnt mit der Ausführung.
  4. Veröffentlichung der Ergebnisse: Der Remote-Agent veröffentlicht die Aktionsergebnisse, einschließlich der generierten Anhänge und ausgeführten Vorgänge, wieder auf dem Publisher.
  5. Abrufen der Ergebnisse: Der Google SecOps-Server fragt den Publisher ab. Sobald der Aufgabenstatus als abgeschlossen markiert ist, ruft Google SecOps die Endergebnisdaten und Anhänge ab und führt alle erforderlichen serverseitigen Restaufgaben aus.
  6. Bereinigung (ACK): Wenn Daten erfolgreich in Google SecOps aufgenommen wurden, wird eine Bestätigung (ACK) an den Publisher zurückgegeben und dann an den Agent weitergeleitet. Diese Bestätigung bestätigt den Abschluss des Datenflusses und löst das Löschen von Dateien sowohl auf dem Publisher als auch auf dem Agent aus.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten.