Fluxos e protocolos de dados
Compatível com:
Google secops
SOAR
Este documento detalha a arquitetura da solução de agente remoto, definindo as funções dos três componentes principais e ilustrando o fluxo de dados assíncrono e protegido por TLS usado para a execução de ações remotas e o carregamento de alertas.
Arquitetura de componentes
A arquitetura do agente remoto é criada a partir dos três componentes principais seguintes:
| Componente | Funcionalidade e segurança | Comunicação |
|---|---|---|
| Google SecOps | Inicia tarefas e obtém resultados finais. Não comunica diretamente com o agente remoto. | Comunica com o publicador através de TLS na porta 443. |
| Publisher | Serviço gerido (pelo Google SecOps) que atua como intermediário seguro. Armazena dados de execução, metadados e scripts/dependências temporários e encriptados. Regista registos (não confidenciais). | Faz a associação à porta 443 para comunicação com o Google SecOps e o agente remoto. |
| Agente remoto | Implementado no ambiente remoto. Comunica com produtos de segurança de terceiros para executar ações e receber alertas. Armazena informações do conetor (Gzip) e um ficheiro de configuração local. | Comunica com o publicador através de TLS na porta 443. |
Fluxo de dados remoto (execução de tarefas)
Quando configura uma integração ou um conetor para ser executado remotamente, o fluxo de dados é assíncrono e baseado em tarefas:
- Publicação de tarefas: o Google SecOps publica uma nova tarefa no servidor do publicador.
- Consulta de tarefas: o agente remoto (instalado no ambiente remoto) consulta continuamente o publicador para novas tarefas (para ações remotas ou obtenções de alertas de conetores remotos).
- Execução de tarefas: quando o agente remoto encontra uma nova tarefa, obtém os dados completos da tarefa (que contêm o contexto do alerta e os dados de execução da ação) e começa a execução.
- Publicação dos resultados: o agente remoto publica os resultados da ação, incluindo os anexos gerados e as operações realizadas, de volta para o publicador.
- Obtenção de resultados: o servidor do Google SecOps sonda o publicador. Assim que o estado da tarefa for marcado como concluído, o Google SecOps obtém os dados e os anexos dos resultados finais, executando todas as tarefas residuais necessárias no lado do servidor.
- Limpeza (ACK): quando os dados são carregados com êxito para o Google SecOps, é devolvido um reconhecimento (ACK) ao publicador e, em seguida, retransmitido para o agente. Este ACK confirma a conclusão do fluxo de dados, acionando a eliminação de ficheiros no publicador e no agente.
Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.