Auf dieser Seite erfahren Sie, wie Sie die Standard- oder Premium-Stufe von Security Command Center für eine Organisation aktivieren. Wenn Security Command Center bereits für Ihre Organisation eingerichtet ist, lesen Sie den Leitfaden zur Verwendung von Security Command Center.
Security Command Center bietet drei Dienststufen: Standard, Premium und Enterprise. Die von Ihnen ausgewählte Stufe bestimmt, welche Features verfügbar sind und die Kosten für die Nutzung von Security Command Center. Enterprise aktivieren finden Sie unter Aktivieren Sie die Security Command Center Enterprise-Stufe.
Wenn Sie die Security Command Center Premium-Stufe auf Organisationsebene aktivieren möchten, wählen Sie in der Google Cloud Console eine Self-Service-Preisoption mit „Pay as you go“-Tarif aus.
Sie können die Datenstandortkontrollen aktivieren, wenn Sie Security Command Center zum ersten Mal aktivieren. Nach der Aktivierung können Datenstandortkontrollen nicht aktivieren oder deaktivieren. Weitere Informationen finden Sie unter Support für den Datenstandort.
Ausführliche Informationen zu den integrierten Security Command Center-Diensten, die für die einzelnen Stufen verfügbar sind, finden Sie unter Security Command Center-Stufen.
Informationen zu den mit der Verwendung von Security Command Center verbundenen Kosten finden Sie auf der Seite "Preise".
Informationen zum Aktivieren von Security Command Center nur für ein Projekt finden Sie unter Security Command Center für ein Projekt aktivieren.
Vorbereitung
Bevor Sie Security Command Center aktivieren können, benötigen Sie eine Organisation, die entsprechenden IAM-Berechtigungen (Identity and Access Management) und die entsprechenden Organisationsrichtlinien.
Organisation erstellen
Security Command Center benötigt eine Organisationsressource, die mit einer Domain verknüpft ist. Wenn Sie noch keine Organisation erstellt haben, lesen Sie den Hilfeartikel Organisationen erstellen und verwalten.
Berechtigungen einrichten
Zum Einrichten von Security Command Center benötigen Sie die folgenden IAM-Rollen:
- Organisationsadministrator
roles/resourcemanager.organizationAdmin - Sicherheitscenter-Administrator
roles/securitycenter.admin - Sicherheitsadministrator
roles/iam.securityAdmin - Dienstkonten
roles/iam.serviceAccountCreatorerstellen
Hier erhalten Sie weitere Informationen zu den Security Command Center-Rollen.
Organisationsrichtlinien prüfen
Wenn die Organisationsrichtlinien so konfiguriert sind, dass die Identitäten nach Domain eingeschränkt werden, gilt Folgendes:
- Sie müssen in der Google Cloud Console mit einem Konto angemeldet sein, eine zulässige Domain.
- Ihre Dienstkonten müssen sich in einer zulässigen Domain befinden oder Mitglieder einer Gruppe innerhalb Ihrer Domain sein. Mit dieser Anforderung können Sie Dienste zulassen, die die
@*.gserviceaccount.comDienstkonto für den Zugriff auf Ressourcen, wenn die Domain beschränkt ist Freigabe ist aktiviert.
Wenn in Ihren Organisationsrichtlinien die Ressourcennutzung eingeschränkt wird, prüfen Sie, ob securitycenter.googleapis.com zulässig ist.
Aktivierungsszenarien für eine Organisation
Auf dieser Seite werden die folgenden Aktivierungsszenarien behandelt:
- Aktivieren Sie in einer Organisation, in der Security Command Center noch nie aktiviert wurde, die Premium- oder Standard-Stufe von Security Command Center für die Organisation.
- Aktivieren Sie in einer Organisation, die die Standard-Stufe verwendet, die Premium-Stufe von Security Command Center für die Organisation.
- In Organisationen, die ein auslaufendes Abo der Premium-Stufe verwenden, auf das „Pay as you go“-Preismodell umstellen.
Security Command Center zum ersten Mal für eine Organisation aktivieren
Wenn Sie Security Command Center zum ersten Mal für eine Organisation aktivieren, folgen Sie in der Google Cloud Console einem interaktiven Aktivierungsprozess, um eine Dienstebene auszuwählen, die Kontrollen für den Datenstandort zu aktivieren und die erforderlichen Erkennungsdienste zu aktivieren. Wählen Sie dann die Ressourcen oder Assets aus, die Sie überwachen möchten, und gewähren Sie den erforderlichen Dienstkonten Berechtigungen.
Führen Sie die folgenden Schritte aus, um Security Command Center Premium zu aktivieren auf Organisationsebene erstellen.
Rufen Sie in der Google Cloud Console das Security Command Center auf.
Wählen Sie aus der Liste Organisation die gewünschte Organisation aus. für das Sie Security Command Center aktivieren möchten, und klicken Sie dann auf Auswählen.
Das Fenster Security Command Center einrichten wird geöffnet.
Wählen Sie unter Stufe auswählen eine Stufe aus.
Klicken Sie auf Weiter. Die Seite Dienste auswählen wird geöffnet.
Optional: Aktivieren Datenstandortkontrollen in Security Command Center indem Sie die folgenden Optionen auswählen:
Wählen Sie unter Datenstandort die Option Datenstandort aktivieren aus.
Wenn der Datenstandort aktiviert ist und ein Security Command Center-Dienst ein Sicherheitsproblem in einer Ressource erkennt, die sich in einem von Security Command Center unterstützter Datenspeicherort Security Command Center speichert das resultierende Ergebnis automatisch am selben Security Command Center-Speicherort auf, an dem befindet sich die betroffene Ressource.
Wählen Sie im Feld Standardstandort auswählen den Standardspeicherort in Security Command Center aus, an dem Ergebnisse für Ressourcen gespeichert werden sollen, die sich entweder nicht an einem von Security Command Center unterstützten Standort befinden oder für die in den Metadaten kein Standort angegeben ist.
Aktivieren Sie im Bereich Dienste die erforderlichen integrierten Security Command Center-Dienste. Jeder aktivierte Dienst scannt alle unterstützten Ressourcen und meldet Ergebnisse für Ihre gesamte Organisation. Klicken Sie auf die Liste neben dem Dienstnamen und wählen Sie Deaktivieren aus, um einen der Dienste zu deaktivieren.
Wenn die Standardstufe aktiviert ist, können Sie die Aktivierung von Premium-Diensten konfigurieren, bevor Sie die Premium-Stufe aktivieren. Die Konfiguration wird erst angewendet, wenn Sie die Premium-Stufe später für die Organisation aktivieren.
Hier sind Hinweise für bestimmte Dienste:
Damit Container Threat Detection ordnungsgemäß funktioniert, müssen Sie prüfen, ob Ihre Cluster auf einer unterstützten Version von Google Kubernetes Engine (GKE) basieren und ob Ihre GKE-Cluster richtig konfiguriert sind. Weitere Informationen finden Sie unter Container Threat Detection verwenden.
Event Threat Detection basiert auf Logs, die von Google Cloud generiert werden. Damit Sie Event Threat Detection verwenden können, müssen Sie für Ihre Organisation, Ordner und Projekte Logs aktivieren.
Die Ergebnisse der Anomalieerkennung sind automatisch in Security Command Center verfügbar. Sie können die Anomalieerkennung nach dem Onboarding deaktivieren. Folgen Sie dazu den Schritten unter Konfigurieren Sie Security Command Center-Dienste.
Auch wenn der Sicherheitsstatus nicht aufgeführt ist, Dienst aktiviert ist. automatisch, wenn Sie die Premium-Stufe auswählen.
Gewähren Sie unter Rollen gewähren die erforderlichen IAM-Berechtigungen. Rollen für die Dienst-Agents für Security Command Center.
Wenn Sie den Kundenservicemitarbeitern die Rollen gewähren, gewähren Sie ihnen die Berechtigungen, die das Security Command Center und seine Erkennungsdienste benötigen, um ihre Funktionen auszuführen.
Die Namen der Dienstkonten haben die folgenden Formate:
service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com.Sie weisen diesem Dienstkonto die IAM-Rolle
securitycenter.serviceAgentzu.service-org-ORGANIZATION_ID@gcp-sa-ktd-hpsa.iam.gserviceaccount.com.Sie gewähren die
roles/containerthreatdetection.serviceAgentIAM-Rolle für dieses Dienstkonto.
Anstelle von
ORGANIZATION_IDhat das Dienstkonto enthält die numerische Kennung Ihrer Organisation.Klicken Sie auf Rollen gewähren, um die Rollen hinzuzufügen.
Alternativ können Sie die Rollen auch manuell zuweisen. Gehen Sie dazu so vor:
- Maximieren Sie den Bereich Rollen manuell gewähren und kopieren Sie den Befehl der gcloud-Befehlszeile.
- Klicken Sie in der Symbolleiste der Google Cloud Console auf Cloud Shell aktivieren.
- Fügen Sie im geöffneten Terminalfenster die zuvor kopierten Befehle der gcloud-CLI ein und drücken Sie die Eingabetaste.
Informationen zu den Berechtigungen, die mit diesen Rollen verknüpft sind, finden Sie unter Zugriffssteuerung. Führen Sie einen der folgenden Schritte aus:
Prüfen Sie unter Einrichtung abschließen die Informationen und klicken Sie auf Fertigstellen.
Wenn Sie die Einrichtung abgeschlossen haben, beginnt Security Command Center einen ersten Asset-Scan, nachdem Mit der Google Cloud Console können Sie Google Cloud-Ressourcen prüfen und Fehler beheben. Sicherheits- und Datenrisiken im gesamten Projekt.
Bei einigen Produkten dauert es möglicherweise länger, bis Scans gestartet werden. Weitere Informationen zum Aktivierungsprozess finden Sie unter Security Command Center-Latenz – Übersicht.
Sehen Sie sich dazu die Dokumentation um zu sehen, ob Sie ihn weiter testen oder optimieren können.
Event Threat Detection stützt sich beispielsweise auf Logs, Google Cloud Einige Logs sind immer aktiviert, sodass die Ereignis-Bedrohungserkennung sie scannen kann, sobald sie aktiviert ist. Andere Protokolle wie Die meisten Audit-Logs zum Datenzugriff müssen vor Event Threat Detection aktiviert werden sie scannen können. Weitere Informationen finden Sie unter Logtypen und Aktivierungsanforderungen.
Weitere Informationen zum Testen und Verwenden der einzelnen integrierten Dienste finden Sie auf den folgenden Seiten:
Von der Standardstufe auf die Premiumstufe upgraden
Führen Sie die folgenden Schritte aus, um ein Upgrade von der Standardstufe von Security Command Center auf die Premium-Stufe von Security Command Center. Wenn Sie ein Abo verwenden möchten, wenden Sie sich zuerst an den Google Cloud-Vertrieb.
Führen Sie diese Aufgabe aus, wenn Ihre Organisation die zusätzlichen Funktionen zur Bedrohungserkennung und zur Bewertung der Sicherheitslage benötigt, die die Premium-Stufe von Security Command Center bietet.
Rufen Sie in der Google Cloud Console das Security Command Center auf.
Wählen Sie aus der Liste Organisation die Organisation aus, für die Sie ein Upgrade durchführen möchten. zur Security Command Center Premium-Stufe und klicken Sie dann auf Auswählen.
Klicken Sie auf der Seite „Security Command Center“ auf Premium-Abo abschließen.
Prüfen Sie, ob unter Stufe ändern Premium ausgewählt ist. Klicken Sie auf Weiter.
Aktivieren Sie unter Dienste überprüfen die Dienste, die Sie benötigen.
Klicken Sie auf Stufe aktualisieren.
Von einer Abooption der Premium-Stufe zur Pay-as-you-go-Option wechseln
Wenn Sie die Premium-Stufe von Security Command Center zuvor mit einem Abo abgeschlossen haben, können Sie Security Command Center in „Pay as you go“-Preise vor Ablauf des Abos. Durch diese Registrierung verliert Ihre Organisation nicht die Sicherheitsfunktionen, die die Premium-Stufe von Security Command Center bietet. Diese Preisänderung tritt nach Ablauf Ihres Abos in Kraft.
Rufen Sie in der Google Cloud Console Security Command Center auf.
Wählen Sie in der Liste Organisation die Organisation aus, für die Sie die Preisoption ändern möchten, und klicken Sie dann auf Auswählen.
Klicken Sie auf der Seite Übersicht des Security Command Centers auf Einstellungen. Die Seite Einstellungen wird geöffnet und der Tab Dienste wird angezeigt.
Klicken Sie auf der Seite Einstellungen auf Stufe – Details. Die Seite Stufe wird geöffnet.
Klicken Sie auf Stufe verwalten.
Prüfen Sie auf der Seite Stufe ändern, ob Premium ausgewählt ist, und klicken Sie auf Weiter.
Prüfen Sie auf der Seite Dienste überprüfen die von Ihnen aktivierten Dienste und klicken Sie auf Stufe aktualisieren.
Downgrade von der Pay-per-Use-Option der Premium-Stufe auf die Standardstufe
Führen Sie die folgenden Schritte aus, um von der „Pay as you go“-Zahlungsoption für die Premium-Stufe von Security Command Center zur Standardstufe von Security Command Center zu wechseln. Wenn Sie ein Abo haben, erhalten Sie standardmäßig automatisch ein Downgrade auf die Standardstufe, wenn das Abo abläuft.
Wenn Sie ein Downgrade auf die Standardstufe von Security Command Center durchführen, verlieren Sie den Zugriff auf Dienste und Funktionen der Premium-Stufe. Prüfen Sie, ob sich die Änderung nicht negativ auf das Sicherheitsrisikoprofil Ihres Unternehmens auswirkt.
Auch wenn die Standard-Stufe von Security Command Center kostenlos ist, können Ihnen indirekte Kosten entstehen. Weitere Informationen finden Sie unter Mögliche indirekte Kosten im Zusammenhang mit Security Command Center.
Wenn Sie nach Abschluss eines Upgrades wieder auf die Premium-Stufe auf Organisationsebene upgraden sind Ihre Konfigurationseinstellungen für die Dienste der Premium-Stufe wiederhergestellt.
Rufen Sie in der Google Cloud Console Security Command Center auf.
Wählen Sie aus der Liste Organisation die Organisation aus, Sie die Security Command Center-Stufe herunterstufen möchten, und klicken Sie auf Auswählen.
Klicken Sie auf der Seite Übersicht von Security Command Center auf Einstellungen. Die Seite Einstellungen wird geöffnet und der Tab Dienste wird angezeigt.
Klicken Sie auf der Seite Einstellungen auf Stufe – Details. Die Seite Stufe wird geöffnet.
Klicken Sie auf Stufe verwalten.
Prüfen Sie auf der Seite Stufe ändern, ob Standard ausgewählt ist, und klicken Sie auf Weiter.
Prüfen Sie auf der Seite Dienste überprüfen die von Ihnen aktivierten Dienste und klicken Sie auf Stufe aktualisieren.
Von Projekt- zur Aktivierung der Premium-Stufe auf Organisationsebene wechseln
So wechseln Sie von einer Aktivierung auf Projektebene zu einer Aktivierung auf Organisationsebene: können Sie dem Aktivierungsprozess folgen, der unter Security Command Center für eine Organisation zum ersten Mal aktivieren
Es gelten die folgenden Preisänderungen:
- Die Nutzung der Premium-Stufe von Security Command Center ist durch die Aktivierung auf Organisationsebene abgedeckt.
- Die Preisbedingungen für die Aktivierung von Security Command Center auf Organisationsebene gelten dann als geltende Preisbedingungen. Gebühren werden den Projekten zugeordnet, in denen die Nutzung erfolgt.
Wenn Sie zu einer Aktivierung auf Organisationsebene wechseln, löschen Sie das Security Command Center-Dienstkonto nicht, das beim Aktivieren von Security Command Center auf Projektebene erstellt wurde. Bestimmte Detektoren von Security Health Analytics funktioniert möglicherweise nicht mehr richtig, wenn Sie das Dienstkonto löschen.
Kosten mit der Premium-Stufe im Blick behalten
Zur Überwachung der mit der Premium-Stufe von Security Command Center verbundenen Kosten können Sie Cloud Billing Sie können Abrechnungsdaten nach BigQuery exportieren, oder ein Budget mit Ausgabenbenachrichtigungen erstellen. Weitere Informationen finden Sie unter Überwachen Sie die Kosten.
Nächste Schritte
- Hier erfahren Sie, wie Sie Security Command Center-Dienste konfigurieren
- Hier erfahren Sie, wie Sie Security Command Center in der Google Cloud Console verwenden
- Hier erfahren Sie, wie Sie mit Security Command Center-Ergebnisse.
- Weitere Informationen Google Cloud-Sicherheitsquellen: