Examiner les flux de données et les protocoles

Compatible avec :

Ce document décrit en détail l'architecture de la solution Remote Agent, en définissant les rôles des trois composants principaux et en illustrant le flux de données asynchrone sécurisé par TLS utilisé pour l'exécution des actions à distance et l'ingestion des alertes.

Architecture des composants

L'architecture de l'agent à distance est constituée des trois principaux composants suivants :

Composant Fonctionnalité et sécurité Communication
Google SecOps Lance des tâches et récupère les résultats finaux. Il ne communique pas directement avec l'agent à distance. Communique avec l'éditeur via TLS sur le port 443.
Éditeur Service géré (par Google SecOps) agissant comme un intermédiaire sécurisé. Stocke les données d'exécution, les métadonnées et les scripts/dépendances temporaires et chiffrés. Enregistre les journaux (non sensibles). Se lie au port 443 pour communiquer avec Google SecOps et l'agent distant.
Agent distant Déployé dans l'environnement distant. Communique avec des produits de sécurité tiers pour exécuter des actions et extraire des alertes. Stocke les informations du connecteur (Gzip) et un fichier de configuration local. Communique avec l'éditeur via TLS sur le port 443.

Flux de données à distance (exécution des tâches)

Lorsque vous configurez une intégration ou un connecteur pour qu'il s'exécute à distance, le flux de données est asynchrone et basé sur des tâches :

  1. Publication de la tâche : Google SecOps publie une nouvelle tâche sur le serveur Publisher.
  2. Requête de tâche : l'agent distant (installé dans l'environnement distant) interroge en permanence l'éditeur pour obtenir de nouvelles tâches (actions à distance ou extractions d'alertes de connecteur à distance).
  3. Exécution des tâches : lorsque l'agent à distance trouve une nouvelle tâche, il récupère les données complètes de la tâche (contenant le contexte de l'alerte et les données d'exécution de l'action) et commence l'exécution.
  4. Publication des résultats : l'agent à distance publie les résultats de l'action, y compris les pièces jointes générées et les opérations effectuées, et les renvoie à l'éditeur.
  5. Récupération des résultats : le serveur Google SecOps interroge l'éditeur. Une fois l'état de la tâche marqué comme terminé, Google SecOps récupère les données et les pièces jointes du résultat final, et effectue les tâches résiduelles côté serveur nécessaires.
  6. Nettoyage (ACK) : lorsqu'une ingestion de données dans Google SecOps réussit, un accusé de réception (ACK) est renvoyé à l'éditeur, puis transmis à l'agent. Cet ACK confirme que le flux de données est terminé, ce qui déclenche la suppression du fichier à la fois chez l'éditeur et chez l'agent.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.