デプロイの要件を確認する

以下でサポートされています。

このドキュメントでは、Google Security Operations リモート エージェントをデプロイするために必要な技術要件と環境要件について説明します。リモート エージェントはブリッジとして機能し、Google Security Operations プラットフォームがローカル環境内のセキュリティ ツールやデバイスと通信できるようにします。

始める前に

インストールを続行する前に、次の前提条件を満たしていることを確認してください。

  • メール構成（省略可）: インストール パッケージをメールで送信する必要がある場合にのみ、Content Hub でメール（SMTP / IMAP）統合を構成します。構成されている場合は、[構成] ページの [共有インスタンス] を使用します。
  • サーバーのアクセス性: エージェント サーバーは、対応する環境内の Google SecOps Publisher とターゲット セキュリティ ツールの両方からアクセスできる必要があります。

技術要件

リモート エージェントをホストするサーバーのハードウェアとオペレーティング システムのシステム要件は次のとおりです。

要件 基本的なデプロイ スケールアップされたデプロイ
CPU 4 コア 8 コア
RAM 8 GB 16 GB
ストレージ 100 GB 100 GB

サポートされているオペレーティング システム

エンド カスタマー サーバーの前提条件は次のとおりです（リモート エージェントの手動インストールのみ）。

  • クリーンな CentOS 7.9
  • Red Hat Enterprise Linux（RHEL）8.7
  • Debian 12

インフラストラクチャで RHEL 9 または 10（以降）が必要な場合は、手動インストーラではなく、サポートされているコンテナ エンジン（Podman または Docker）を使用してリモート エージェントをデプロイします。

サポートされているコンテナ エンジン

リモート エージェントは、次のコンテナ エンジンをサポートしています。

  • Podman（すべての新規インストールに推奨）
  • Docker

コンテナ化されたデプロイは、ビルド済みのコンテナ イメージ（2.5.0.4 より後のリモート エージェント バージョンの Debian 12 ベース）を実行し、RHEL 9 または 10（以降）、RHEL 8、Debian 12 を実行しているホストでサポートされています。

ネットワークとファイアウォールの要件

リモート エージェント ホストのファイアウォール ルールを構成する場合は、次のアウトバウンド接続の要件を満たしてください。

  • Google SecOps インスタンス、パブリッシャー、Location API エンドポイントへの TCP ポート 443 でのアウトバウンド HTTPS トラフィックを許可します。必要なドメインの一覧については、ネットワーク アクセスとドメインの許可リストをご覧ください。ファイアウォール ポリシーでワイルドカード ドメイン エントリ（*.backstory.chronicle.security、*.siemplify-soar.com、*-chronicle.googleapis.com など）が許可されていない場合は、テナントのプロビジョニング時に提供されたテナント固有の SOAR URL、パブリッシャーのホスト名（SERVER_API_ROOT）、Location API エンドポイント（<var>REGION</var>-chronicle.googleapis.com、ONE_PLATFORM_URL_DOMAIN で構成）を使用します。リージョン エンドポイント形式（chronicle.<var>REGION</var>.rep.googleapis.com）は、リモート エージェントのコントロール プレーン接続ではサポートされていません。
  • TCP ポート 443 で、必要な Google Cloud認証エンドポイント（oauth2.googleapis.com（サービス アカウント認証用）、sts.googleapis.com、iamcredentials.googleapis.com（Workload Identity 連携用））へのアウトバウンド HTTPS トラフィックを許可します。Private Service Connect の構成など、詳細については、ネットワークと Private Service Connect の要件をご覧ください。
  • Podman または Docker のデプロイに使用される Container Registry への TCP ポート 443 でのアウトバウンド HTTPS トラフィックを許可します。必要なレジストリには、*.pkg.dev（us-docker.pkg.dev など）と Artifact Registry の gcr.io、または docker.io が含まれます。
  • リモート エージェント トラフィックのアプリケーション レイヤ プロキシとディープ パケット インスペクション（DPI）ファイアウォールで SSL / TLS インスペクションをバイパスします。これにより、プロキシがパブリッシャーと Google SecOps API エンドポイントとの TLS handshake を中断するのを防ぐことができます。

強化された環境と OS セキュリティ ポリシー

ホスト OS の強化とセキュリティ適用メカニズム（Enforcing モードの SELinux、AppArmor、エンドポイント セキュリティ ソフトウェアなど）により、セキュリティ ポリシーがエージェントによって実行される OS コマンドをブロックすると、リモート エージェント タスクが失敗する可能性があります。

リモート エージェントを強化されたホストにデプロイする場合は、リモート エージェントをこれらのセキュリティ適用ポリシーから除外して、必要な OS コマンドを実行できるようにする必要があります。

  • コンテナ化されたデプロイ（Docker または Podman）の場合、docker run コマンドまたは podman run コマンドに --security-opt label=disable（SELinux の場合）または --security-opt apparmor=unconfined（AppArmor の場合）を追加して、リモート エージェント コンテナを初めて起動するときに除外します。
  • リモート エージェントのディレクトリ（/opt/SiemplifyAgent、/home/siemplify_agent/agent_source、/var/log/SiemplifyAgent）と実行可能ファイル（/usr/local/bin/python3.11、/usr/local/bin/pip3、/usr/bin/supervisord）に対して、カスタム SELinux ポリシールール、AppArmor プロファイル、エンドポイント セキュリティとウイルス対策の除外を構成します。
  • または、ターゲット ポリシーの除外が構成されていない場合は、/etc/selinux/config で SELINUX=permissive を設定して（または sudo setenforce 0 を一時的に実行して）、ホストマシンで SELinux を Permissive モードに設定します。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。