Examiner les flux de données et les protocoles
Ce document détaille l'architecture de la solution d'agent distant, en définissant les rôles des trois composants principaux et en illustrant le flux de données asynchrone sécurisé par TLS utilisé pour l'exécution des actions à distance et l'ingestion des alertes.
Architecture des composants
L'architecture de l'agent distant est constituée des trois composants principaux suivants :
| Composant | Fonctionnalité et sécurité | Communication |
|---|---|---|
| Google SecOps | Lance les tâches et récupère les résultats finaux. Il ne communique pas directement avec l'agent distant. | Communique avec l'éditeur via TLS sur le port 443. |
| Éditeur | Service géré (par Google SecOps) agissant comme un intermédiaire sécurisé. Stocke les données d'exécution, les métadonnées et les scripts/dépendances temporaires et chiffrés. Enregistrements de journaux (non sensibles). | Se lie au port 443 pour communiquer avec Google SecOps et l'agent distant. |
| Agent distant | Déployé dans l'environnement distant. Communique avec des produits de sécurité tiers pour exécuter des actions et extraire des alertes. Stocke les informations du connecteur (Gzip) et un fichier de configuration local. | Communique avec l'éditeur via TLS sur le port 443. |
Pour connaître les domaines de pare-feu sortants, les points de terminaison d'authentification Google Cloud et les registres de conteneurs que vous devez autoriser sur le port TCP 443 pour l'hôte de l'agent distant, consultez Exigences relatives au réseau et au pare-feu et Accès au réseau et liste d'autorisation de domaines.
Flux de données à distance (exécution de la tâche)
Lorsque vous configurez une intégration ou un connecteur pour qu'ils s'exécutent à distance, le flux de données est asynchrone et basé sur des tâches :
- Publication de la tâche : Google SecOps publie une nouvelle tâche sur le serveur de publication.
- Requête de tâche : l'agent distant (installé dans l'environnement distant) interroge en continu l'éditeur pour obtenir de nouvelles tâches (soit pour des actions à distance, soit pour des extractions d'alertes de connecteur distant).
- Exécution de la tâche : lorsque l'agent distant trouve une nouvelle tâche, il récupère les données complètes de la tâche (contenant le contexte de l'alerte et les données d'exécution de l'action) et commence l'exécution.
- Publication des résultats : l'agent distant publie les résultats de l'action, y compris les pièces jointes générées et les opérations effectuées, auprès du Publisher.
- Récupération des résultats : le serveur Google SecOps interroge l'éditeur. Une fois l'état de la tâche marqué comme terminé, Google SecOps récupère les données et les pièces jointes du résultat final, et effectue toutes les tâches résiduelles nécessaires côté serveur.
- Nettoyage (ACK) : lorsque les données sont bien ingérées dans Google SecOps, un accusé de réception (ACK) est renvoyé au Publisher, puis transmis à l'agent. Cet ACK confirme la fin du flux de données, ce qui déclenche la suppression du fichier sur l'éditeur et l'agent.
Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.