Activar Security Command Center en un proyecto

En esta página se explica cómo activar el nivel Standard o Premium de Security Command Center en un Google Cloud proyecto.

Para activar Security Command Center en toda una organización, consulta uno de los siguientes artículos:

Requisitos previos

Para activar Security Command Center en un proyecto, debes cumplir los siguientes requisitos previos, que se explican en las siguientes subsecciones:

  • Lee la información sobre los requisitos previos para saber en qué se diferencia la activación de Security Command Center a nivel de proyecto de la activación a nivel de organización.
  • Debes tener un Google Cloud proyecto asociado a una organización.
  • Tu cuenta de usuario debe tener asignados roles de gestión de identidades y accesos (IAM) que incluyan los permisos necesarios.
  • Si tu proyecto hereda políticas de organización que restringen las identidades por dominio, tus cuentas de usuario y de servicio deben estar en un dominio permitido.
  • Si vas a usar Container Threat Detection, tus clústeres de Google Kubernetes Engine deben ser compatibles con esta solución.

Información necesaria

Para saber en qué se diferencia la activación de Security Command Center a nivel de proyecto de la activación a nivel de organización, consulta el resumen de la habilitación de Security Command Center a nivel de proyecto.

Para obtener información sobre los servicios y los resultados de Security Command Center que no se admiten con las activaciones a nivel de proyecto, consulta Limitaciones de los servicios de activación a nivel de proyecto.

Requisitos del proyecto

Para activar Security Command Center en un proyecto, este debe estar asociado a una organización. Si necesitas crear un proyecto, consulta el artículo Crea y gestiona proyectos.

Roles de gestión de identidades y accesos que necesitas para completar esta tarea

Para configurar Security Command Center, tu cuenta de usuario debe tener asignados los siguientes roles de gestión de identidades y accesos en el proyecto en el que vas a habilitar Security Command Center:

  • Administrador del centro de seguridad roles/securitycenter.admin
  • Administrador de seguridad roles/iam.securityAdmin
  • A menos que las cuentas de servicio de Security Command Center necesarias ya existan debido a una activación a nivel de organización, cree cuentas de servicio roles/iam.serviceAccountCreator

Consulta más información sobre los roles de Security Command Center.

Verificar las políticas de la organización

Si tu proyecto hereda políticas de organización que están configuradas para restringir identidades por dominio, debes cumplir los siguientes requisitos:

  • Debes iniciar sesión en la consola Google Cloud con una cuenta que pertenezca a un dominio permitido.
  • Tus cuentas de servicio deben estar en un dominio permitido o ser miembros de un grupo de tu dominio. Este requisito te permite dar acceso a los servicios de @*.gserviceaccount.com a los recursos cuando se habilita el uso compartido restringido por dominio.

Confirmar las versiones de software de Container Threat Detection

Si tienes previsto usar Detección de amenazas de contenedores con Google Kubernetes Engine (GKE), asegúrate de que tus clústeres tengan una versión compatible de GKE y de que estén configurados correctamente. Para obtener más información, consulta Usar Container Threat Detection.

Situaciones de activación de un proyecto

En esta página se tratan los siguientes casos de activación:

  • En una organización que nunca haya activado Security Command Center, activa el nivel Premium o Standard de Security Command Center en un proyecto.
  • En una organización que utilice el nivel Standard, activa el nivel Premium de Security Command Center en un proyecto.
  • En una organización que usa una suscripción al nivel Premium que va a caducar, activa el nivel Premium de Security Command Center en un proyecto.

En función de si tu organización usa Security Command Center, puedes activar esta herramienta en un proyecto de diferentes formas.

Si tu organización no usa Security Command Center, la consola te guiará por una serie de páginas de configuración. Google Cloud

Si tu organización usa Security Command Center, puedes activar Security Command Center Premium en un proyecto mediante la pestaña Detalles del nivel de la página Configuración.

Determinar si Security Command Center ya está activo en tu organización

La forma de activar Security Command Center en un proyecto varía en función de si ya está activo en tu organización.

Para comprobar si Security Command Center ya está activo en tu organización, sigue estos pasos:

  1. Ve a la página Resumen de Security Command Center en la Google Cloud consola.

    Ir a Security Command Center

  2. Selecciona el nombre del proyecto en el que quieras activar Security Command Center.

    Después de seleccionar el proyecto, se abrirá una de las siguientes páginas:

    • Si Security Command Center está activo en tu organización, se abrirá la página Resumen de riesgos.
    • Si Security Command Center no se ha activado en la organización, se abrirá la página Obtener Security Command Center, desde la que podrá iniciar el proceso de activación de su proyecto.

  3. Si Security Command Center ya está activo en tu organización, comprueba el nivel de servicio que está activo.

    1. Abre la página Configuración de Security Command Center:

      Ir a Ajustes

    2. En la página Configuración, haz clic en Detalles del nivel. Se abrirá la página Nivel.

    3. En la fila Nivel, se indica el nivel de servicio que hereda el proyecto.

  4. Para activar Security Command Center en un proyecto, sigue el procedimiento correspondiente al estado de activación de Security Command Center en la organización principal:

Activar en un proyecto cuando Security Command Center esté activo en la organización

Si Security Command Center ya está activo en una organización, el único nivel de servicio que tendrás que activar a nivel de proyecto es el nivel Premium, ya que, como mínimo, el proyecto heredará el uso del nivel Standard.

Para ver las funciones que se incluyen en cada nivel, consulta Niveles de servicio.

Cuando Security Command Center está activo en una organización, puedes iniciar el proceso de activación a nivel de proyecto seleccionando tu proyecto en laGoogle Cloud consola y, a continuación, el nivel Premium en la página Configuración de Security Command Center.

  1. Abre la pestaña Detalles del nivel en la página Configuración:

    Ir a los detalles del nivel

    Se abrirá una página de selección de proyectos antes de que se te redirija a la página Detalles del nivel.

  2. Selecciona el proyecto. Se abrirá la página Detalles del nivel.

  3. En la página de detalles del nivel, haga clic en una de las siguientes opciones:

    • Gestionar el nivel de proyecto
    • Obtener Premium

    Se abrirá la página Gestionar tu nivel.

  4. En la página Gestionar tu nivel, selecciona Premium.

  5. Haz clic en Siguiente. Se abrirá la página Servicios.

  6. En la página Servicios, habilita o inhabilita cada servicio integrado según sea necesario. Para ello, selecciona uno de los siguientes valores en el menú situado a la izquierda del servicio en cuestión:

    • Heredar (la entrada predeterminada)
    • Habilitar
    • Inhabilitar

Has completado la activación de Security Command Center. A continuación, espera a que se completen los análisis iniciales.

Activar en un proyecto cuando Security Command Center no esté activo en la organización

Si tu organización no usa Security Command Center, la consola Google Cloud te guiará por una serie de páginas de configuración cuando actives Security Command Center en un proyecto.

Paso 1: Selecciona tu nivel

Si Security Command Center no está activo en tu organización, cuando abras Security Command Center en la consola de Google Cloud , se mostrará la página Obtener Security Command Center. Para iniciar el proceso de activación, selecciona un nivel.

Security Command Center tiene tres niveles: Standard, Premium y Enterprise. El nivel que elijas determinará las funciones que tengas disponibles y el coste de usar Security Command Center. Solo puedes activar el nivel Enterprise a nivel de organización. Para obtener más información, consulta el artículo Activar el nivel Enterprise de Security Command Center.

Para ver las funciones que se incluyen en cada nivel, consulta Niveles de servicio.

Para seleccionar tu nivel e iniciar el proceso de activación de Security Command Center, sigue estos pasos:

  1. Ve a la página de descripción general de Security Command Center en la Google Cloud consola.

    Ir a Security Command Center

  2. Selecciona el nombre del proyecto en el que quieras activar Security Command Center.

    Después de seleccionar el proyecto, se abrirá la página Obtener Security Command Center, donde podrás iniciar el proceso de activación seleccionando un nivel. Si se abre la consola de Security Command Center, significa que ya está activo en tu organización o proyecto.

  3. Selecciona el nivel Premium o Standard en función de los servicios que necesites.

  4. Haz clic en Siguiente. Se abrirá la página Seleccionar servicios.

En la siguiente sección, selecciona los servicios integrados que quieras habilitar en tu proyecto.

Paso 2: Selecciona los servicios

En la página Seleccionar servicios, se muestran todos los servicios integrados de Security Command Center.

  1. En la página Servicios, habilita o inhabilita cada servicio integrado según sea necesario. Para ello, selecciona uno de los siguientes valores en el menú situado a la izquierda del servicio en cuestión:

    • Heredar
    • Habilitar
    • Inhabilitar

    Una vez que hayas completado el proceso de activación, consulta la documentación de cada servicio que habilites para ver si hay algún paso adicional que debas seguir.

  2. Haz clic en Siguiente. Se abrirá la página Conceder roles.

Paso 3: Configura los agentes de servicio

Cuando activas Security Command Center por primera vez, Google Cloud se crean automáticamente agentes de servicio de gestión de identidades y accesos para Security Command Center y sus servicios de detección.

Como se describe en el siguiente procedimiento, asigna roles de gestión de identidades y accesos a estos agentes de servicio, que proporcionan los permisos que necesitan Security Command Center y sus servicios de detección para llevar a cabo sus funciones.

Si activas Security Command Center a nivel de proyecto y aún no está activo en tu organización, se crearán los siguientes agentes de servicio a nivel de proyecto:

  • service-project-PROJECT_NUMBER@security-center-api.iam.gserviceaccount.com. Asigna el securitycenter.serviceAgent rol de gestión de identidades y accesos a esta cuenta de servicio.

  • service-project-PROJECT_NUMBER@gcp-sa-ktd-hpsa.iam.gserviceaccount.com. Asigna el roles/containerthreatdetection.serviceAgent rol de gestión de identidades y accesos a esta cuenta de servicio.

En lugar de PROJECT_NUMBER, la cuenta de servicio contiene el número de tu proyecto.

Para conceder los roles de gestión de identidades y accesos a los agentes de servicio, sigue estos pasos:

  1. Opcionalmente, en la página Asignar roles, revisa el rol y los permisos que vas a conceder haciendo clic en Revisar permisos.

  2. Para conceder los roles necesarios automáticamente, haz clic en Conceder roles.

    También puedes asignar el rol manualmente siguiendo estos pasos:

    1. Haz clic en También puedes otorgar roles manualmente (gcloud).
    2. Copia los comandos de la interfaz de línea de comandos de gcloud.
    3. En la barra de herramientas de la consola Google Cloud , haz clic en Activar Cloud Shell.
    4. En la ventana de terminal que aparece, pega los comandos de la CLI de gcloud que has copiado y, a continuación, pulsa Intro.

  3. Haz clic en Siguiente. Se abrirá la página Completar configuración.

Paso 4: Confirma la activación

Para completar la activación de Security Command Center, sigue estos pasos:

  1. En la página Completar configuración, haz clic en Finalizar.

Cuando termines la configuración, Security Command Center iniciará un análisis inicial de los recursos. Después, podrás usar la consola para revisar y corregir Google Cloud los riesgos de seguridad y de datos de tu proyecto.

Puede que los análisis de algunos servicios tarden en iniciarse. Como es de esperar, la latencia de escaneo de los servicios de un proyecto individual suele ser menor que la de una organización, pero la mayoría de los motivos de la latencia siguen siendo los mismos. Para obtener más información sobre las latencias en las organizaciones, consulta el artículo Descripción general de la latencia de Security Command Center, donde se explica el proceso de activación.

En todos los casos de activación, optimiza y prueba los servicios integrados

Después de activar Security Command Center, consulta la documentación de cada servicio para ver si puedes probarlo u optimizarlo más.

Por ejemplo, Event Threat Detection se basa en los registros generados porGoogle Cloud. Algunos registros están siempre activados, por lo que Event Threat Detection puede empezar a analizarlos en cuanto se habilite. Otros registros, como la mayoría de los registros de auditoría de acceso a datos, deben activarse para que Detección de amenazas de eventos pueda analizarlos. Para obtener más información, consulta Tipos de registros y requisitos de activación.

Para obtener más información sobre cómo probar y usar cada uno de los servicios integrados, consulta las siguientes páginas:

Siguientes pasos

Consulta más información sobre Security Command Center y sus servicios integrados.