Analisar fluxos de dados e protocolos
Este documento detalha a arquitetura da solução de agente remoto, definindo as funções dos três componentes principais e ilustrando o fluxo de dados assíncrono protegido por TLS usado para execução de ações remotas e ingestão de alertas.
Arquitetura de componentes
A arquitetura do agente remoto é composta por três componentes principais:
| Componente | Funcionalidade e segurança | Comunicação |
|---|---|---|
| Google SecOps | Inicia tarefas e recupera os resultados finais. Não se comunica diretamente com o agente remoto. | Comunica-se com o Publisher por TLS na porta 443. |
| Editor | Serviço gerenciado (pelo Google SecOps) que atua como um intermediário seguro. Armazena dados de execução, metadados e scripts/dependências temporários e criptografados. Registros de atividades (não confidenciais). | Vincula-se à porta 443 para comunicação com o Google SecOps e o agente remoto. |
| Agente remoto | Implantado no ambiente remoto. Comunica-se com produtos de segurança de terceiros para executar ações e extrair alertas. Armazena informações do conector (Gzip) e um arquivo de configuração local. | Comunica-se com o Publisher por TLS na porta 443. |
Para os domínios de firewall de saída, os endpoints de autenticação do Google Cloud e os registros do Container Registry que você precisa permitir na porta TCP 443 para o host do agente remoto, consulte Requisitos de rede e firewall e Acesso à rede e lista de permissões de domínio.
Fluxo de dados remoto (execução de tarefas)
Quando você configura uma integração ou um conector para execução remota, o fluxo de dados é assíncrono e baseado em tarefas:
- Publicação de tarefas: o Google SecOps publica uma nova tarefa no servidor do editor.
- Consulta de tarefas: o agente remoto (instalado no ambiente remoto) consulta continuamente o Publisher em busca de novas tarefas (para ações remotas ou extrações de alertas do conector remoto).
- Execução da tarefa: quando o agente remoto encontra uma nova tarefa, ele busca os dados completos da tarefa (contendo o contexto do alerta e os dados de execução da ação) e inicia a execução.
- Publicação de resultados: o agente remoto publica os resultados da ação, incluindo os anexos gerados e as operações realizadas, de volta para o editor.
- Recuperação de resultados: o servidor do Google SecOps pesquisa o Publisher. Depois que o status da tarefa é marcado como concluído, o Google SecOps recupera os dados e anexos do resultado final, realizando as tarefas residuais necessárias do lado do servidor.
- Limpeza (ACK): quando os dados são ingeridos com sucesso no Google SecOps, um reconhecimento (ACK) é retornado ao editor e, em seguida, transmitido ao agente. Esse ACK confirma a conclusão do fluxo de dados, acionando a exclusão de arquivos no editor e no agente.
Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.