배포 요구사항 검토

다음에서 지원:

이 문서에서는 Google Security Operations 원격 에이전트를 배포하는 데 필요한 기술 및 환경 요구사항을 간략하게 설명합니다. 원격 에이전트는 Google Security Operations 플랫폼이 로컬 환경 내의 보안 도구 및 기기와 통신할 수 있도록 하는 브리지 역할을 합니다.

시작하기 전에

설치를 진행하기 전에 다음 기본 요건을 충족하는지 확인하세요.

  • 이메일 구성 (선택사항): 이메일로 설치 패키지를 전송해야 하는 경우에만 Content Hub에서 이메일 (SMTP/IMAP) 통합을 구성합니다. 구성된 경우 구성 페이지에서 공유 인스턴스를 사용합니다.
  • 서버 접근성: Google SecOps Publisher와 해당 환경 내의 대상 보안 도구 모두에서 에이전트 서버에 액세스할 수 있어야 합니다.

기술 요구사항

원격 에이전트를 호스팅하는 서버의 하드웨어 및 운영체제 요구사항을 검토합니다.

요구사항 기본 배포 확장된 배포
CPU 4코어 코어 8개
RAM 8GB 16GB
스토리지 100GB 100GB

지원되는 운영체제

다음은 최종 고객 서버의 기본 요건입니다 (원격 에이전트 수동 설치에만 해당).

  • Clean Centos 7.9
  • Red Hat Enterprise Linux (RHEL) 8.7
  • Debian 12

인프라에 RHEL 9 또는 10 (이상)이 필요한 경우 수동 설치 프로그램 대신 지원되는 컨테이너 엔진(Podman 또는 Docker)을 사용하여 원격 에이전트를 배포합니다.

지원되는 컨테이너 엔진

원격 에이전트는 다음 컨테이너 엔진을 지원합니다.

  • Podman (모든 신규 설치에 권장)
  • Docker

컨테이너화된 배포는 사전 빌드된 컨테이너 이미지 (원격 에이전트 버전 2.5.0.4 이상의 경우 Debian 12 기반)를 실행하며 RHEL 9 또는 10 (이상), RHEL 8, Debian 12를 실행하는 호스트에서 지원됩니다.

네트워크 및 방화벽 요구사항

원격 에이전트 호스트의 방화벽 규칙을 구성할 때는 다음 아웃바운드 연결 요구사항을 충족해야 합니다.

  • Google SecOps 인스턴스, 게시자, 위치 API 엔드포인트에 대한 TCP 포트 443의 아웃바운드 HTTPS 트래픽을 허용합니다. 필수 도메인 목록은 네트워크 액세스 및 도메인 허용 목록을 참조하세요. 방화벽 정책에서 와일드 카드 도메인 항목 (예: *.backstory.chronicle.security, *.siemplify-soar.com, *-chronicle.googleapis.com)을 허용하지 않는 경우 테넌트가 프로비저닝될 때 제공되는 테넌트별 SOAR URL, 게시자 호스트 이름 (SERVER_API_ROOT), 위치 API 엔드포인트(<var>REGION</var>-chronicle.googleapis.com, ONE_PLATFORM_URL_DOMAIN에 구성됨)를 사용합니다. 원격 에이전트 컨트롤 플레인 연결에는 리전 엔드포인트 형식(chronicle.<var>REGION</var>.rep.googleapis.com)이 지원되지 않습니다.
  • TCP 포트 443에서 필수 Google Cloud인증 엔드포인트(서비스 계정 인증의 경우 oauth2.googleapis.com, 워크로드 아이덴티티 제휴의 경우 sts.googleapis.com 및 iamcredentials.googleapis.com)로의 아웃바운드 HTTPS 트래픽을 허용합니다. Private Service Connect 구성을 포함한 자세한 내용은 네트워크 및 Private Service Connect 요구사항을 참조하세요.
  • Podman 또는 Docker 배포에 사용되는 Container Registry에 대한 TCP 포트 443의 아웃바운드 HTTPS 트래픽을 허용합니다. 필수 레지스트리에는 Artifact Registry의 *.pkg.dev (예: us-docker.pkg.dev) 및 gcr.io 또는 docker.io가 포함됩니다.
  • 원격 에이전트 트래픽의 애플리케이션 계층 프록시 및 심층 패킷 검사 (DPI) 방화벽에서 SSL/TLS 검사를 우회합니다. 이렇게 하면 프록시가 게시자 및 Google SecOps API 엔드포인트와의 TLS 핸드셰이크를 중단하지 않습니다.

강화된 환경 및 OS 보안 정책

Enforcing 모드의 SELinux, AppArmor, 엔드포인트 보안 소프트웨어와 같은 호스트 OS 강화 및 보안 시행 메커니즘은 보안 정책이 에이전트에서 실행하는 OS 명령어를 차단할 때 원격 에이전트 태스크를 실패하게 만들 수 있습니다.

강화된 호스트에 원격 에이전트를 배포하는 경우 원격 에이전트가 필요한 OS 명령어를 실행할 수 있도록 이러한 보안 시행 정책에서 원격 에이전트를 제외해야 합니다.

  • 컨테이너화된 배포 (Docker 또는 Podman)의 경우 --security-opt label=disable (SELinux의 경우) 또는 --security-opt apparmor=unconfined (AppArmor의 경우)를 docker run 또는 podman run 명령어에 추가하여 처음 시작할 때 원격 에이전트 컨테이너를 제외합니다.
  • 원격 에이전트 디렉터리(/opt/SiemplifyAgent, /home/siemplify_agent/agent_source, /var/log/SiemplifyAgent) 및 실행 파일 (/usr/local/bin/python3.11, /usr/local/bin/pip3, /usr/bin/supervisord)에 대해 커스텀 SELinux 정책 규칙, AppArmor 프로필 또는 엔드포인트 보안 및 바이러스 백신 예외를 구성합니다.
  • 또는 타겟팅된 정책 예외가 구성되지 않은 경우 /etc/selinux/config에서 SELINUX=permissive를 설정하거나 sudo setenforce 0를 일시적으로 실행하여 호스트 머신에서 SELinux를 Permissive 모드로 설정합니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.