データフローとプロトコルを確認する

以下でサポートされています。

このドキュメントでは、リモート エージェント ソリューションのアーキテクチャについて詳しく説明します。3 つのコア コンポーネントの役割を定義し、リモート アクションの実行とアラートの取り込みに使用される TLS で保護された非同期データフローについて説明します。

コンポーネント アーキテクチャ

リモート エージェントのアーキテクチャは、次の 3 つの主要コンポーネントで構成されています。

コンポーネント 機能とセキュリティ コミュニケーション
Google SecOps タスクを開始し、最終結果を取得します。リモート エージェントと直接通信しない。 ポート 443 で TLS を介してパブリッシャーと通信します。
パブリッシャー 安全な仲介役として機能するマネージド サービス（Google SecOps による）。暗号化された一時的な実行データ、メタデータ、スクリプト / 依存関係を保存します。ログレコード（機密情報以外）。 Google SecOps およびリモート エージェントとの通信のためにポート 443 にバインドします。
リモート エージェント リモート環境にデプロイされている。サードパーティのセキュリティ製品と通信して、アクションを実行し、アラートを pull します。コネクタ情報（Gzip）とローカル構成ファイルを保存します。 ポート 443 で TLS を介してパブリッシャーと通信します。

リモート エージェント ホストの TCP ポート 443 で許可する必要があるアウトバウンド ファイアウォール ドメイン、 Google Cloud 認証エンドポイント、Container Registry については、ネットワークとファイアウォールの要件とネットワーク アクセスとドメインの許可リストをご覧ください。

リモート データフロー（タスクの実行）

リモートで実行するように統合またはコネクタを構成すると、データフローは非同期でタスクベースになります。

  1. タスクのパブリッシュ: Google SecOps が新しいタスクをパブリッシャー サーバーにパブリッシュします。
  2. タスククエリ: リモート エージェント（リモート環境にインストールされている）は、新しいタスク（リモート アクションまたはリモート コネクタのアラートの pull）をパブリッシャーに継続的にクエリします。
  3. タスクの実行: リモート エージェントは、新しいタスクを見つけると、完全なタスクデータ（アラート コンテキストとアクション実行データを含む）を取得して実行を開始します。
  4. 結果の公開: リモート エージェントは、生成された添付ファイルや実行されたオペレーションなどのアクション結果をパブリッシャーに公開します。
  5. 結果の取得: Google SecOps サーバーがパブリッシャーをポーリングします。タスクのステータスが完了としてマークされると、Google SecOps は最終的な結果データと添付ファイルを取得し、必要なサーバー側の残存タスクを実行します。
  6. クリーンアップ（ACK）: データが Google SecOps に正常に取り込まれると、確認応答（ACK）がパブリッシャーに返され、エージェントにリレーされます。この ACK はデータフローの完了を確認し、パブリッシャーとエージェントの両方でファイルの削除をトリガーします。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。