שימוש ב-Mandiant Attack Surface Management עם VPC Service Controls

‫Enterprise (יצא משימוש) רמת השירות (לא זמינה אם מופעלים בקרות מיקום אחסון הנתונים)

רמת השירות Enterprise של Security Command Center תושבת ב-21 במאי 2027. אם הארגון שלכם משתמש ברמת השירות Enterprise, הארגון יעבור אוטומטית לרמת השירות Premium ב-21 במאי 2027 או אחרי התאריך הזה. אם יש לכם שאלות, אתם יכולים לפנות לנציג החשבון או לGoogle Cloud מומחה מכירות.

במאמר הזה מוסבר איך להוסיף כללי תעבורה נכנסת כדי לאפשר ל-Mandiant Attack Surface Management לפעול בתוך מתחמי VPC Service Controls. אם הארגון שלכם משתמש ב-VPC Service Controls, כדי להגביל את השירותים בפרויקטים שאתם רוצים ש-Mandiant Attack Surface Management יעקוב אחריהם, אתם צריכים לבצע את המשימה הזו. מידע נוסף על Mandiant Attack Surface Management זמין במאמר סקירה כללית של Mandiant Attack Surface Management.

התפקידים הנדרשים

כדי לקבל את ההרשאות שנדרשות לשימוש ב-Mandiant Attack Surface Management בתוך service perimeters של VPC Service Controls. , צריך לבקש מהאדמין להקצות לכם את תפקיד ה-IAM‏ Access Context Manager Editor ‏ (roles/accesscontextmanager.policyEditor) בארגון. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

יצירת כללי תעבורת נתונים נכנסת (ingress)

כדי לאפשר את השימוש ב-Mandiant Attack Surface Management ב-Security Command Center בתוך גבולות של VPC Service Controls, צריך להוסיף את כללי הכניסה הנדרשים בגבולות האלה. מבצעים את השלבים האלה לכל היקף שרוצים ש-Mandiant Attack Surface Management יעקוב אחריו.

מידע נוסף זמין במאמר בנושא עדכון מדיניות הכניסה והיציאה של גבולות גזרה לשירות.

המסוף

מעבר אל גבולות גזרה לשירות

1. נכנסים לדף VPC Service Controls במסוף Google Cloud .

   מעבר אל VPC Service Controls

2. בוחרים את הארגון.

3. ברשימה הנפתחת, בוחרים את מדיניות הגישה שמכילה את גבולות הגזרה לשירות שרוצים להעניק לו גישה.

   גבולות הגזרה לשירות שמשויכים למדיניות הגישה מופיעים ברשימה.

4. לוחצים על השם של גבולות גזרה לשירות שרוצים לעדכן.

   כדי למצוא את גבולות הגזרה לשירות שצריך לשנות, אפשר לבדוק ביומנים ערכים שמציינים RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER הפרות. ברשומות האלה, בודקים את השדה servicePerimeterName:

   accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME

5. לוחצים על עריכה.

הוספת כלל לכניסת תנועה

1. לוחצים על Ingress policy (מדיניות כניסה).
2. לוחצים על הוספת כלל תעבורה נכנסת.

3. בקטע מאת, מגדירים את הפרטים הבאים:

   1. בקטע זהויות > זהות, בוחרים באפשרות בחירת זהויות וקבוצות.
   2. לוחצים על הוספת זהויות.

   3. מזינים את כתובת האימייל שמזהה את סוכן השירות של Attack Surface Management. הכתובת הזו היא בפורמט הבא:

      [e-mail]

      מחליפים את ORGANIZATION_ID במזהה הארגון.

   4. בוחרים את סוכן השירות או לוחצים על ENTER, ואז לוחצים על הוספת זהויות.

4. בקטע To (אל), מגדירים את הפרטים הבאים:

   1. בקטע Resources > Projects (משאבים > פרויקטים), בוחרים באפשרות All projects (כל הפרויקטים).
   2. בקטע Operations or IAM roles (פעולות או תפקידי IAM), בוחרים באפשרות Select operations (בחירת פעולות).

   3. לוחצים על הוספת פעולות ומוסיפים את הפעולות הבאות:

      • מוסיפים את השירות cloudasset.googleapis.com.
        1. לוחצים על כל השיטות.
        2. לוחצים על הוספת כל האמצעים.
      • מוסיפים את השירות cloudresourcemanager.googleapis.com.
        1. לוחצים על כל השיטות.
        2. לוחצים על הוספת כל האמצעים.
      • מוסיפים את השירות dns.googleapis.com.
        1. לוחצים על כל השיטות.
        2. לוחצים על הוספת כל האמצעים.
5. לוחצים על Save.

gcloud

אזהרה: הדגלים --set-ingress-policies ו---set-egress-policies מחליפים את כל מדיניות הכניסה או היציאה הקיימת בהיקף. אם יש לכם כללי מדיניות קיימים, אתם צריכים לאחזר אותם קודם, להוסיף את כלל המדיניות החדש לקובץ ה-YAML המתאים של תעבורת הנתונים הנכנסת (ingress) או תעבורת הנתונים היוצאת (egress), ואז להריץ את פקודת העדכון.

1. אם עדיין לא הגדרתם פרויקט מכסת, צריך להגדיר אותו. בוחרים פרויקט שמופעל בו Access Context Manager API.

   gcloud config set billing/quota_project QUOTA_PROJECT_ID

   מחליפים את QUOTA_PROJECT_ID במזהה הפרויקט שרוצים להשתמש בו לחיוב ולמכסת השימוש.

2. יוצרים קובץ בשם ingress-rule.yaml עם התוכן הבא:

   - ingressFrom:
       identities:
       - serviceAccount:[e-mail]
       sources:
       - accessLevel: '*'
     ingressTo:
       operations:
       - serviceName: cloudasset.googleapis.com
         methodSelectors:
         - method: '*'
       - serviceName: cloudresourcemanager.googleapis.com
         methodSelectors:
         - method: '*'
       - serviceName: dns.googleapis.com
         methodSelectors:
         - method: '*'
       resources:
       - '*'

   מחליפים את ORGANIZATION_ID במזהה הארגון.

3. מוסיפים את כלל הכניסה להיקף:

   gcloud access-context-manager perimeters update PERIMETER_NAME \
       --set-ingress-policies=ingress-rule.yaml

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫PERIMETER_NAME: שם ההיקף. לדוגמה, accessPolicies/1234567890/servicePerimeters/example_perimeter.

     כדי למצוא את גבולות הגזרה לשירות שרוצים לשנות, אפשר לבדוק ביומנים רשומות שבהן מופיע RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER הפרה. ברשומות האלה, בודקים את השדה servicePerimeterName:

     accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME

מידע נוסף זמין במאמר בנושא כללי כניסה ויציאה.

המאמרים הבאים

• מידע נוסף על Mandiant Attack Surface Management