Esamina i requisiti di deployment

Supportata in:

Questo documento descrive i requisiti tecnici e ambientali necessari per eseguire il deployment di un agente remoto di Google Security Operations. L'agente remoto funge da ponte, consentendo alla tua piattaforma Google Security Operations di comunicare con gli strumenti e i dispositivi di sicurezza all'interno del tuo ambiente locale.

Prima di iniziare

Prima di procedere con l'installazione, verifica di soddisfare i seguenti prerequisiti:

  • Configurazione email (facoltativa): configura l'integrazione dell'email (SMTP/IMAP) nell'hub dei contenuti solo se richiedi l'invio del pacchetto di installazione via email. Se configurate, utilizza le Istanze condivise nella pagina Configura.
  • Accessibilità del server: il server dell'agente deve essere accessibile sia al publisher Google SecOps sia agli strumenti di sicurezza di destinazione all'interno dell'ambiente corrispondente.

Requisiti tecnici

Esamina i seguenti requisiti hardware e del sistema operativo per il server che ospita l'agente remoto:

Requisito Deployment di base Deployment con scale up
CPU 4 core 8 core
RAM 8 GB 16 GB
Archiviazione 100 GB 100 GB

Sistemi operativi supportati

Di seguito sono riportati i prerequisiti per il server del cliente finale (solo per l'installazione manuale dell'agente remoto):

  • Clean Centos 7.9
  • Red Hat Enterprise Linux (RHEL) 8.7
  • Debian 12

Se la tua infrastruttura richiede RHEL 9 o 10 (o versioni successive), esegui il deployment dell'agente remoto utilizzando un container engine supportato (Podman o Docker) anziché il programma di installazione manuale.

Motori dei container supportati

L'agente remoto supporta i seguenti motori per container:

  • Podman (consigliato per tutte le nuove installazioni)
  • Docker

I deployment containerizzati eseguono un'immagine container predefinita (basata su Debian 12 per le versioni dell'agente remoto successive alla 2.5.0.4) e sono supportati su host che eseguono RHEL 9 o 10 (o versioni successive), nonché RHEL 8 e Debian 12.

Requisiti di rete e firewall

Quando configuri le regole firewall per l'host dell'agente remoto, soddisfa i seguenti requisiti di connettività in uscita:

  • Consenti il traffico HTTPS in uscita sulla porta TCP 443 verso la tua istanza di Google SecOps, il publisher e gli endpoint API di geolocalizzazione. Per l'elenco dei domini richiesti, consulta Accesso alla rete e lista consentita dei domini. Se la policy del firewall non consente voci di dominio con caratteri jolly (come *.backstory.chronicle.security, *.siemplify-soar.com o *-chronicle.googleapis.com), utilizza l'URL SOAR specifico del tenant, il nome host del publisher (SERVER_API_ROOT) e l'endpoint API di geolocalizzazione (<var>REGION</var>-chronicle.googleapis.com, configurato in ONE_PLATFORM_URL_DOMAIN) forniti al momento del provisioning del tenant. Il formato dell'endpoint regionale (chronicle.<var>REGION</var>.rep.googleapis.com) non è supportato per la connettività del control plane dell'agente remoto.
  • Consenti il traffico HTTPS in uscita sulla porta TCP 443 verso gli endpoint di autenticazione Google Cloudrichiesti: oauth2.googleapis.com (per l'autenticazione dei account di servizio), sts.googleapis.com e iamcredentials.googleapis.com (per la federazione delle identità per i workload). Per ulteriori informazioni, inclusa la configurazione di Private Service Connect, consulta Requisiti di rete e di Private Service Connect.
  • Consenti il traffico HTTPS in uscita sulla porta TCP 443 verso i Container Registry utilizzati per i deployment Podman o Docker. I registry obbligatori includono *.pkg.dev (ad esempio us-docker.pkg.dev) e gcr.io per Artifact Registry o docker.io.
  • Bypassa l'ispezione SSL/TLS sui proxy a livello di applicazione e sui firewall di ispezione approfondita dei pacchetti (DPI) per il traffico dell'agente remoto. In questo modo, i proxy non interrompono gli handshake TLS con gli endpoint API del publisher e di Google SecOps.

Ambienti con protezione avanzata e policy di sicurezza del sistema operativo

I meccanismi di protezione e applicazione della sicurezza del sistema operativo host, come SELinux in modalità Enforcing, AppArmor o il software di sicurezza degli endpoint, possono causare l'errore delle attività dell'agente remoto quando la policy di sicurezza blocca i comandi del sistema operativo eseguiti dall'agente.

Se esegui il deployment dell'agente remoto su un host con protezione avanzata, devi esentarlo da queste norme relative all'applicazione delle norme di sicurezza in modo che possa eseguire i comandi del sistema operativo richiesti:

  • Per i deployment containerizzati (Docker o Podman), esenta il container dell'agente remoto quando lo avvii per la prima volta aggiungendo --security-opt label=disable (per SELinux) o --security-opt apparmor=unconfined (per AppArmor) al comando docker run o podman run.
  • Configura regole di policy SELinux personalizzate, profili AppArmor o esenzioni di sicurezza degli endpoint e antivirus per le directory dell'agente remoto (/opt/SiemplifyAgent, /home/siemplify_agent/agent_source e /var/log/SiemplifyAgent) e gli eseguibili (/usr/local/bin/python3.11, /usr/local/bin/pip3 e /usr/bin/supervisord).
  • In alternativa, imposta SELinux sulla modalità Permissive sulla macchina host impostando SELINUX=permissive in /etc/selinux/config (o eseguendo temporaneamente sudo setenforce 0) se non sono configurate esenzioni della policy target.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.