Examiner les exigences de déploiement

Compatible avec :

Ce document décrit les exigences techniques et environnementales nécessaires au déploiement d'un agent distant Google Security Operations. L'agent distant sert de passerelle, permettant à votre plate-forme Google Security Operations de communiquer avec les outils et appareils de sécurité de votre environnement local.

Avant de commencer

Avant de procéder à l'installation, vérifiez que vous remplissez les conditions préalables suivantes :

  • Configuration de la messagerie (facultatif) : configurez l'intégration de la messagerie (SMTP/IMAP) dans Content Hub uniquement si vous avez besoin que le package d'installation soit envoyé par e-mail. Si cette option est configurée, utilisez Instances partagées sur la page Configurer.
  • Accessibilité du serveur : le serveur de l'agent doit être accessible à la fois par l'éditeur Google SecOps et par les outils de sécurité cibles dans l'environnement correspondant.

Exigences techniques

Vérifiez la configuration matérielle et le système d'exploitation requis pour le serveur hébergeant l'agent distant :

Exigence Déploiement de base Déploiement à plus grande échelle
Processeur 4 cœurs 8 cœurs
RAM 8 Go 16 Go
Stockage 100 Go 100 Go

Systèmes d'exploitation compatibles

Voici les conditions préalables pour le serveur du client final (pour l'installation manuelle de l'agent distant uniquement) :

  • CentOS 7.9 propre
  • Red Hat Enterprise Linux (RHEL) 8.7
  • Debian 12

Si votre infrastructure nécessite RHEL 9 ou 10 (ou une version ultérieure), déployez l'agent distant à l'aide d'un moteur de conteneur compatible (Podman ou Docker) plutôt que du programme d'installation manuel.

Moteurs de conteneurs compatibles

L'agent distant est compatible avec les moteurs de conteneurs suivants :

  • Podman (recommandé pour toutes les nouvelles installations)
  • Docker

Les déploiements conteneurisés exécutent une image de conteneur prédéfinie (basée sur Debian 12 pour les versions de l'agent distant ultérieures à la version 2.5.0.4) et sont compatibles avec les hôtes exécutant RHEL 9 ou 10 (ou version ultérieure), ainsi que RHEL 8 et Debian 12.

Exigences relatives au réseau et au pare-feu

Lorsque vous configurez des règles de pare-feu pour l'hôte de l'agent distant, respectez les exigences de connectivité sortante suivantes :

  • Autorisez le trafic HTTPS sortant sur le port TCP 443 vers votre instance Google SecOps, l'éditeur et les points de terminaison de l'API de localisation. Pour obtenir la liste des domaines requis, consultez Accès réseau et liste d'autorisation de domaines. Si votre stratégie de pare-feu n'autorise pas les entrées de domaine avec des caractères génériques (telles que *.backstory.chronicle.security, *.siemplify-soar.com ou *-chronicle.googleapis.com), utilisez l'URL SOAR spécifique au locataire, le nom d'hôte de l'éditeur (SERVER_API_ROOT) et le point de terminaison de l'API de localisation (<var>REGION</var>-chronicle.googleapis.com, configuré dans ONE_PLATFORM_URL_DOMAIN) fournis lors du provisionnement de votre locataire. Le format de point de terminaison régional (chronicle.<var>REGION</var>.rep.googleapis.com) n'est pas compatible avec la connectivité du plan de contrôle de l'agent distant.
  • Autorisez le trafic HTTPS sortant sur le port TCP 443 vers les points de terminaison d'authentification Google Cloudrequis : oauth2.googleapis.com (pour l'authentification du compte de service), sts.googleapis.com et iamcredentials.googleapis.com (pour la fédération d'identité de charge de travail). Pour en savoir plus, y compris sur la configuration de Private Service Connect, consultez Exigences concernant le réseau et Private Service Connect.
  • Autorisez le trafic HTTPS sortant sur le port TCP 443 vers les registres de conteneurs utilisés pour les déploiements Podman ou Docker. Les registres requis incluent *.pkg.dev (comme us-docker.pkg.dev) et gcr.io pour Artifact Registry, ou docker.io.
  • Contournez l'inspection SSL/TLS sur les proxys de couche d'application et les pare-feu d'inspection approfondie des paquets (DPI) pour le trafic de l'agent distant. Cela empêche les proxys d'interrompre les handshakes TLS avec vos points de terminaison d'API Publisher et Google SecOps.

Environnements renforcés et règles de sécurité de l'OS

Les mécanismes de renforcement de l'OS hôte et d'application de la sécurité, tels que SELinux en mode Enforcing, AppArmor ou un logiciel de sécurité des points de terminaison, peuvent entraîner l'échec des tâches de l'agent distant lorsque la règle de sécurité bloque les commandes de l'OS exécutées par l'agent.

Si vous déployez l'agent distant sur un hôte renforcé, vous devez l'exclure de ces règles d'application de la sécurité afin qu'il puisse exécuter les commandes d'OS requises :

  • Pour les déploiements en conteneur (Docker ou Podman), excluez le conteneur de l'agent distant lors de son premier démarrage en ajoutant --security-opt label=disable (pour SELinux) ou --security-opt apparmor=unconfined (pour AppArmor) à votre commande docker run ou podman run.
  • Configurez des règles de stratégie SELinux personnalisées, des profils AppArmor ou des exceptions de sécurité des points de terminaison et d'antivirus pour les répertoires de l'agent distant (/opt/SiemplifyAgent, /home/siemplify_agent/agent_source et /var/log/SiemplifyAgent) et les exécutables (/usr/local/bin/python3.11, /usr/local/bin/pip3 et /usr/bin/supervisord).
  • Vous pouvez également définir SELinux sur le mode Permissive sur la machine hôte en définissant SELINUX=permissive dans /etc/selinux/config (ou en exécutant temporairement sudo setenforce 0) si les exemptions de règles ciblées ne sont pas configurées.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.