Auf dieser Seite erfahren Sie, wie Sie die Standard- oder Premium-Stufe von Security Command Center für eine Organisation aktivieren. Wenn Security Command Center bereits für Ihre Organisation eingerichtet ist, lesen Sie den Leitfaden zur Verwendung von Security Command Center.
Security Command Center bietet drei Dienststufen: Standard, Premium und Enterprise. Die ausgewählte Stufe bestimmt die für Sie verfügbaren Features und die Kosten für die Nutzung von Security Command Center. Informationen zum Aktivieren der Enterprise-Stufe finden Sie unter Security Command Center Enterprise-Stufe aktivieren.
Wenn Sie die Premium-Stufe von Security Command Center auf Organisationsebene aktivieren möchten, wählen Sie in der Google Cloud Console ein Self-Service-„Pay as you go“-Preismodell aus.
Sie können Datenstandortkontrollen aktivieren, wenn Sie Security Command Center zum ersten Mal aktivieren. Nach der Aktivierung können Sie Datenstandortkontrollen nicht mehr aktivieren oder deaktivieren. Weitere Informationen finden Sie unter Unterstützung des Datenstandorts.
Ausführliche Informationen zu den integrierten Security Command Center-Diensten, die in den einzelnen Stufen verfügbar sind, finden Sie unter Security Command Center-Stufen.
Informationen zu den mit der Verwendung von Security Command Center verbundenen Kosten finden Sie auf der pricing.
Informationen zum Aktivieren von Security Command Center nur für ein Projekt finden Sie unter Security Command Center für ein Projekt aktivieren.
Vorbereitung
Bevor Sie Security Command Center aktivieren, benötigen Sie eine Organisation, die entsprechenden IAM-Berechtigungen (Identity and Access Management) und die entsprechenden Organisationsrichtlinien.
Organisation erstellen
Security Command Center erfordert eine Organisationsressource, die einer Domain zugeordnet ist. Wenn Sie noch keine Organisation erstellt haben, lesen Sie Organisationen erstellen und verwalten.
Berechtigungen einrichten
Zum Einrichten von Security Command Center benötigen Sie die folgenden IAM-Rollen:
- Organisationsadministrator
roles/resourcemanager.organizationAdmin - Sicherheitscenter-Administrator
roles/securitycenter.admin - Sicherheitsadministrator
roles/iam.securityAdmin - Dienstkonten
roles/iam.serviceAccountCreatorerstellen
Hier erhalten Sie weitere Informationen zu den Security Command Center-Rollen.
Organisationsrichtlinien prüfen
Wenn die Organisationsrichtlinien so konfiguriert sind, dass die Identitäten nach Domain eingeschränkt werden, gilt Folgendes:
- Sie müssen in der Google Cloud Console mit einem Konto in einer zulässigen Domain angemeldet sein.
- Ihre Dienstkonten müssen sich in einer zulässigen Domain befinden oder Mitglieder einer Gruppe innerhalb Ihrer Domain sein. Mit dieser Anforderung können Sie Diensten, die das Dienstkonto
@*.gserviceaccount.comverwenden, auf Ressourcen zugreifen, wenn die domaineingeschränkte Freigabe aktiviert ist.
Wenn in Ihren Organisationsrichtlinien die Ressourcennutzung eingeschränkt festgelegt ist, prüfen Sie, ob securitycenter.googleapis.com zulässig ist.
Aktivierungsszenarien für eine Organisation
Auf dieser Seite werden die folgenden Aktivierungsszenarien behandelt:
- Aktivieren Sie in einer Organisation, in der Security Command Center noch nie aktiviert wurde, die Premium- oder Standard-Stufe von Security Command Center für eine Organisation.
- Aktivieren Sie in einer Organisation, die die Standard-Stufe verwendet, die Premium-Stufe von Security Command Center für die Organisation.
- In einer Organisation, die ein auslaufendes Abo der Premium-Stufe verwendet, müssen Sie auf das „Pay as you go“-Preismodell umstellen.
Security Command Center zum ersten Mal für eine Organisation aktivieren
Wenn Sie Security Command Center zum ersten Mal für eine Organisation aktivieren möchten, führen Sie in der Google Cloud Console einen geführten Aktivierungsprozess aus, um eine Dienststufe auszuwählen sowie Datenstandortkontrollen und die benötigten Erkennungsdienste zu aktivieren. Anschließend wählen Sie die Ressourcen oder Assets aus, die Sie überwachen möchten, und gewähren den erforderlichen Dienstkonten Berechtigungen.
Führen Sie die folgenden Schritte aus, um die Premium-Stufe von Security Command Center auf Organisationsebene zu aktivieren.
Gehen Sie in der Google Cloud Console zum Security Command Center.
Wählen Sie in der Liste Organisation die Organisation aus, für die Sie Security Command Center aktivieren möchten, und klicken Sie dann auf Auswählen.
Das Fenster Security Command Center abrufen wird geöffnet.
Wählen Sie unter Stufe auswählen eine Stufe aus.
Klicken Sie auf Weiter. Die Seite Dienste auswählen wird geöffnet.
Optional: Aktivieren Sie Security Command Center-Datenstandortkontrollen, indem Sie die folgenden Optionen auswählen:
Wählen Sie unter Datenstandort die Option Datenstandort aktivieren aus.
Wenn der Datenstandort aktiviert ist und ein Security Command Center-Dienst ein Sicherheitsproblem in einer Ressource erkennt, die sich an einem von Security Command Center unterstützten Datenstandort befindet, speichert Security Command Center den resultierenden Ergebniseintrag automatisch am selben Security Command Center-Standort, an dem sich die betroffene Ressource befindet.
Wählen Sie im Feld Standardstandort auswählen den Standardspeicherort für Security Command Center aus, an dem Ergebnisse für Ressourcen gespeichert werden sollen, die sich entweder nicht an einem Standort befinden, der von Security Command Center unterstützt wird, oder für die in ihren Metadaten kein Speicherort angegeben ist.
Aktivieren Sie im Abschnitt Dienste die benötigten integrierten Security Command Center-Dienste. Jeder aktivierte Dienst scannt alle unterstützten Ressourcen und meldet Ergebnisse für Ihre gesamte Organisation. Klicken Sie zum Deaktivieren der Dienste auf die Liste neben dem Dienstnamen und wählen Sie Deaktivieren aus.
Wenn die Standard-Stufe aktiviert ist, können Sie die Aktivierung von Premium-Diensten konfigurieren, bevor Sie die Premium-Stufe aktivieren. Die Konfiguration gilt erst, wenn Sie die Premium-Stufe für die Organisation später aktivieren.
Hier sind Hinweise für bestimmte Dienste:
Damit Container Threat Detection ordnungsgemäß funktioniert, müssen Ihre Cluster eine unterstützte Version von Google Kubernetes Engine (GKE) verwenden und Ihre GKE-Cluster richtig konfiguriert sein. Weitere Informationen finden Sie unter Container Threat Detection verwenden.
Event Threat Detection basiert auf Logs, die von Google Cloud generiert werden. Aktivieren Sie Logs für Ihre Organisation, Ordner und Projekte, um Event Threat Detection verwenden zu können.
Die Ergebnisse der Anomalieerkennung sind automatisch in Security Command Center verfügbar. Die Anomalieerkennung kann nach dem Onboarding deaktiviert werden. Folgen Sie dazu den Schritten unter Security Command Center-Dienste konfigurieren.
Wenn der Dienst für den Sicherheitsstatus nicht aufgeführt ist, wird er automatisch aktiviert, wenn Sie die Premium-Stufe auswählen.
Gewähren Sie unter Rollen gewähren den Dienst-Agents für Security Command Center die erforderlichen IAM-Rollen.
Durch das Zuweisen der Rollen an die Dienst-Agents erteilen Sie die Berechtigungen, die Security Command Center und seine Erkennungsdienste zum Ausführen ihrer Funktionen benötigen.
Die Dienstkontonamen haben die folgenden Formate:
service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com.Sie gewähren diesem Dienstkonto die IAM-Rolle
securitycenter.serviceAgent.service-org-ORGANIZATION_ID@gcp-sa-ktd-hpsa.iam.gserviceaccount.com.Sie gewähren diesem Dienstkonto die IAM-Rolle
roles/containerthreatdetection.serviceAgent.
Anstelle von
ORGANIZATION_IDenthält das Dienstkonto die numerische Kennzeichnung Ihrer Organisation.Klicken Sie auf Rollen gewähren, um die Rollen hinzuzufügen.
Alternativ können Sie die Rollen manuell gewähren, indem Sie die folgenden Schritte ausführen:
- Maximieren Sie den Abschnitt Zugriffsrollen manuell zuweisen und kopieren Sie den gcloud CLI-Befehl.
- Klicken Sie in der Symbolleiste der Google Cloud Console auf Cloud Shell aktivieren.
- Fügen Sie im geöffneten Terminalfenster die zuvor kopierten Befehle der gcloud-CLI ein und drücken Sie die Eingabetaste.
Weitere Informationen zu den mit diesen Rollen verknüpften Berechtigungen finden Sie unter Zugriffssteuerung. Führen Sie einen der folgenden Schritte aus:
Überprüfen Sie die Informationen unter Einrichtung abschließen und klicken Sie auf Fertigstellen.
Wenn Sie die Einrichtung abgeschlossen haben, startet Security Command Center einen ersten Asset-Scan. Anschließend können Sie mit der Google Cloud Console die Sicherheits- und Datenrisiken von Google Cloud in Ihrem Projekt prüfen und beheben.
Bei einigen Produkten dauert es möglicherweise länger, bis Scans gestartet werden. Weitere Informationen zum Aktivierungsprozess finden Sie unter Security Command Center-Latenz – Übersicht.
Sehen Sie in der Dokumentation für jeden Dienst nach, ob Sie ihn weiter testen oder optimieren können.
Event Threat Detection stützt sich beispielsweise auf Logs, die von Google Cloud generiert wurden. Einige Logs sind immer aktiviert, sodass Event Threat Detection sofort nach der Aktivierung mit dem Scannen beginnen kann. Andere Logs, z. B. die meisten Audit-Logs zum Datenzugriff, müssen aktiviert werden, bevor Event Threat Detection sie scannen kann. Weitere Informationen finden Sie unter Protokolltypen und Aktivierungsanforderungen.
Weitere Informationen zum Testen und Verwenden der integrierten Dienste finden Sie auf den folgenden Seiten:
Upgrade von der Standard- auf die Premium-Stufe
Führen Sie die folgenden Schritte aus, um ein Upgrade von der Standard-Stufe von Security Command Center auf die Premium-Stufe von Security Command Center durchzuführen. Wenn Sie ein Abo verwenden möchten, wenden Sie sich zuerst an den Google Cloud-Vertrieb.
Führen Sie diese Aufgabe aus, wenn Ihre Organisation die zusätzlichen Funktionen zur Bedrohungserkennung und zum Sicherheitsstatus benötigt, die die Premium-Stufe von Security Command Center bietet.
Gehen Sie in der Google Cloud Console zum Security Command Center.
Wählen Sie in der Liste Organisation die Organisation aus, für die Sie ein Upgrade auf die Premium-Stufe von Security Command Center ausführen möchten, und klicken Sie dann auf Auswählen.
Klicken Sie auf der Seite „Security Command Center“ auf Premium abonnieren.
Prüfen Sie unter Stufe ändern, ob Premium ausgewählt ist. Klicken Sie auf Weiter.
Aktivieren Sie unter Dienste prüfen die gewünschten Dienste.
Klicken Sie auf Stufe aktualisieren.
Von der Abooption der Premium-Stufe zur „Pay as you go“-Option wechseln
Wenn Sie die Premium-Stufe von Security Command Center zuvor mit einem Abo aktiviert haben, können Sie Security Command Center vor Ablauf Ihres Abos für „Pay as you go“-Preise registrieren. Durch diese Registrierung wird sichergestellt, dass Ihre Organisation nicht die Sicherheitsfunktionen der Premium-Stufe von Security Command Center verliert. Diese Preisänderung tritt nach Ablauf Ihres Abos in Kraft.
Gehen Sie in der Google Cloud Console zum Security Command Center.
Wählen Sie in der Liste Organisation die Organisation aus, für die Sie die Preisoption ändern möchten, und klicken Sie dann auf Auswählen.
Klicken Sie auf der Seite Übersicht von Security Command Center auf Einstellungen. Die Seite Einstellungen wird geöffnet und zeigt den Tab Dienste an.
Klicken Sie auf der Seite Einstellungen auf Ebenendetails. Die Seite Tier wird geöffnet.
Klicken Sie auf Stufe verwalten.
Prüfen Sie auf der Seite Stufe ändern, ob Premium ausgewählt ist, und klicken Sie auf Weiter.
Überprüfen Sie auf der Seite Dienste überprüfen die aktivierten Dienste und klicken Sie auf Stufe aktualisieren.
Downgrade von der „Pay as you go“-Option der Premium-Stufe auf die Standard-Stufe
Führen Sie die folgenden Schritte aus, um von der Zahlungsoption „Pay as you go“ für die Premium-Stufe von Security Command Center zur Standard-Stufe von Security Command Center zu wechseln. Wenn Sie ein Abo haben, wird bei Ablauf des Abos automatisch ein Downgrade auf die Standard-Stufe ausgeführt.
Wenn Sie ein Downgrade auf die Standard-Stufe von Security Command Center ausführen, verlieren Sie den Zugriff auf die Dienste und Funktionen der Premium-Stufe. Prüfen Sie, ob das Sicherheitsrisikoprofil Ihrer Organisation negativ beeinflusst wird, bevor Sie diese Änderung vornehmen.
Auch wenn die Standard-Stufe von Security Command Center kostenlos ist, können indirekte Kosten anfallen. Weitere Informationen finden Sie unter Mögliche indirekte Kosten im Zusammenhang mit Security Command Center.
Wenn Sie nach Abschluss dieser Aufgabe wieder auf die Premium-Stufe auf Organisationsebene upgraden, werden die Konfigurationseinstellungen für die Dienste der Premium-Stufe wiederhergestellt.
Gehen Sie in der Google Cloud Console zum Security Command Center.
Wählen Sie in der Liste Organisation die Organisation aus, für die Sie ein Downgrade der Security Command Center-Stufe ausführen möchten, und klicken Sie dann auf Auswählen.
Klicken Sie auf der Seite Übersicht von Security Command Center auf Einstellungen. Die Seite Einstellungen wird geöffnet und zeigt den Tab Dienste an.
Klicken Sie auf der Seite Einstellungen auf Ebenendetails. Die Seite Tier wird geöffnet.
Klicken Sie auf Stufe verwalten.
Prüfen Sie auf der Seite Stufe ändern, ob Standard ausgewählt ist, und klicken Sie auf Weiter.
Überprüfen Sie auf der Seite Dienste überprüfen die aktivierten Dienste und klicken Sie auf Stufe aktualisieren.
Von einer Aktivierung der Premium-Stufe auf Projektebene zu einer Aktivierung der Premium-Stufe auf Organisationsebene wechseln
Wenn Sie von einer Aktivierung auf Projektebene zu einer Aktivierung auf Organisationsebene wechseln möchten, können Sie dem Aktivierungsprozess folgen, der unter Security Command Center zum ersten Mal für eine Organisation aktivieren beschrieben wird.
Es gelten die folgenden Preisänderungen:
- Die Nutzung der Premium-Stufe von Security Command Center wird durch die Aktivierung auf Organisationsebene abgedeckt.
- Die Preisbedingungen für die Aktivierung von Security Command Center auf Organisationsebene werden dann zu den geltenden Preisbedingungen. Gebühren werden den Projekten zugeordnet, in denen die Nutzung erfolgt.
Wenn Sie zu einer Aktivierung auf Organisationsebene wechseln, löschen Sie nicht das Security Command Center-Dienstkonto, das bei der Aktivierung von Security Command Center auf Projektebene erstellt wurde. Bestimmte Security Health Analytics-Detektoren funktionieren möglicherweise nicht richtig, wenn Sie das Dienstkonto löschen.
Kosten mit der Premium-Stufe im Blick behalten
Zum Überwachen der mit der Premium-Stufe von Security Command Center verbundenen Kosten können Sie Cloud Billing verwenden. Sie können Abrechnungsdaten zur detaillierten Analyse nach BigQuery exportieren oder ein Budget mit Benachrichtigungen zu Ausgaben erstellen. Weitere Informationen finden Sie unter Kosten überwachen.
Nächste Schritte
- Security Command Center-Dienste konfigurieren
- Security Command Center in der Google Cloud Console verwenden
- Informationen zur Verwendung von Security Command Center-Ergebnissen
- Weitere Informationen zu Google Cloud-Sicherheitsquellen.