Auf dieser Seite wird beschrieben, wie Sie Konfigurationen für Ressourcenwerte erstellen, bearbeiten, löschen und ansehen.
Verwenden Sie Konfigurationen für den Wert von Ressourcen, um einen Satz hochwertiger Ressourcen zu erstellen. Der Satz hochwertiger Ressourcen bestimmt, welche Ihrer Ressourceninstanzen (auch als Ressourcen bezeichnet) bei den Simulationen des Angriffspfads hochwertige Ressourcen berücksichtigen.
Sie können Ressourcenwertkonfigurationen für die Ressourcen in Google Cloud oder, wenn Sie die Enterprise-Stufe von Security Command Center haben, für Ressourcen bei anderen Cloud-Dienstanbietern definieren, mit denen Security Command Center verbunden ist.
Bei Ausführung von Angriffspfadsimulationen identifizieren sie Angriffspfade und berechnen Angriffsrisikobewertungen für Ressourcen, die als hochwertige Ressourcen gekennzeichnet sind, sowie für Ergebnisse der Klassen Vulnerability und Misconfiguration.
Angriffspfadsimulationen können bis zu viermal täglich (alle sechs Stunden) ausgeführt werden. Wenn Ihr Unternehmen wächst, dauern die Simulationen länger, werden aber immer mindestens einmal täglich ausgeführt. Simulationsausführungen werden nicht durch das Erstellen, Ändern oder Löschen von Ressourcen- oder Ressourcenwertkonfigurationen ausgelöst.
Eine Einführung in Sets mit hohem Wert und Ressourcenwertkonfigurationen finden Sie unter Sets hochwertiger Ressourcen.
Hinweise
Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für Ihre Organisation zu gewähren, damit Sie die erforderlichen Berechtigungen zum Ansehen und Arbeiten mit Ressourcenwertkonfigurationen erhalten:
-
Konfigurationseditor für Ressourcenwerte (
roles/securitycenter.resourceValueConfigEditor) -
Betrachter von Ressourcenwertkonfigurationen (
roles/securitycenter.resourceValueConfigsViewer) -
Sicherheitscenter-Einstellungsbearbeiter (
roles/securitycenter.settingsEditor)
Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff verwalten.
Möglicherweise können Sie die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.
Konfiguration für den Wert von Ressourcen erstellen
Sie können Ressourcenwertkonfigurationen in der Google Cloud Console auf der Seite Einstellungen von Security Command Center über den Tab Simulation des Angriffspfads erstellen.
Klicken Sie zum Erstellen einer Konfiguration für Ressourcenwert auf den Tab für Ihren Cloud-Dienstanbieter und führen Sie die folgenden Schritte aus:
Google Cloud
Rufen Sie in den Einstellungen von Security Command Center die Seite Angriffspfadsimulation auf:
Wählen Sie Ihre Organisation aus. Die Seite Angriffspfadsimulation wird geöffnet.
Klicken Sie auf Neue Konfiguration erstellen. Der Bereich Konfiguration für Ressourcenwert erstellen wird geöffnet.
Geben Sie im Feld Name einen Namen für diese Ressourcenwertkonfiguration an.
Optional: Geben Sie eine Beschreibung der Konfiguration ein.
Wählen Sie unter Cloud-Anbieter die Option Google Cloud aus.
Klicken Sie im Feld Bereich auswählen auf Auswählen und wählen Sie im Projektbrowser ein Projekt, einen Ordner oder die Organisation aus. Diese Konfiguration gilt nur für Ressourceninstanzen im angegebenen Bereich.
Klicken Sie im Feld Ressourcentyp auswählen in das Feld, um das Drop-down-Menü aufzurufen, und wählen Sie einen Ressourcentyp oder Beliebig aus. Die Konfiguration gilt für Instanzen des angegebenen Ressourcentyps oder, wenn Sie Beliebig auswählen, für Instanzen aller unterstützten Ressourcentypen. Beliebig ist die Standardeinstellung.
Optional: Klicken Sie im Bereich Label auf Label hinzufügen, um ein oder mehrere Labels anzugeben. Wenn ein Label angegeben wird, gilt die Konfiguration nur für Ressourcen, die das Label in ihren Metadaten enthalten.
Wenn Sie ein neues Label auf Ressourcen anwenden, kann es mehrere Stunden dauern, bis das Label durch eine Konfiguration abgeglichen werden kann.
Optional: Klicken Sie im Bereich Tag auf Tag hinzufügen, um ein oder mehrere Tags anzugeben. Wenn ein Tag angegeben ist, gilt die Konfiguration nur für Ressourcen, die das Tag in ihren Metadaten enthalten.
Wenn Sie ein neues Tag für eine Ressource definieren, kann es mehrere Stunden dauern, bis das Tag für den Abgleich durch eine Konfiguration verfügbar ist.
Legen Sie den Prioritätswert für die übereinstimmenden Ressourcen fest. Geben Sie dazu eine der folgenden Optionen an:
Optional: Wenn Sie den Erkennungsdienst für den Schutz sensibler Daten verwenden, aktivieren Sie Security Command Center so, dass der Prioritätswert unterstützter Datenressourcen anhand von Datensensitivitätsklassifizierungen aus dem Schutz sensibler Daten automatisch festgelegt wird. Gehen Sie dazu so vor:
- Klicken Sie auf den Schieberegler neben Erkenntnisse aus dem Schutz sensibler Daten einschließen.
- Wählen Sie im ersten Feld Ressourcenwert zuweisen den Prioritätswert aus, der übereinstimmenden Ressourcen zugewiesen werden soll, die Daten mit hoher Vertraulichkeit enthalten.
- Wählen Sie im zweiten Feld Ressourcenwert zuweisen den Prioritätswert aus, der übereinstimmenden Ressourcen zugewiesen werden soll, die Daten mit mittlerer Vertraulichkeit enthalten.
Wählen Sie im Feld Ressourcenwert auswählen einen Wert aus, der den Ressourceninstanzen zugewiesen werden soll. Dieser Wert ist relativ zu den anderen Ressourceninstanzen in Ihrem Satz hochwertiger Ressourcen. Der Wert wird bei der Berechnung der Angriffsrisikobewertungen verwendet.
Klicken Sie auf Speichern.
AWS
Damit Security Command Center Angriffsrisikobewertungen und Angriffspfade für die Ressourcen zurückgeben kann, die Sie in einer Ressourcenwertkonfiguration angeben, muss Security Command Center mit AWS verbunden sein. Weitere Informationen finden Sie unter Multi-Cloud-Unterstützung.
Rufen Sie in den Einstellungen von Security Command Center die Seite Angriffspfadsimulation auf:
Wählen Sie Ihre Organisation aus. Die Seite Angriffspfadsimulation wird geöffnet.
Klicken Sie auf Neue Konfiguration erstellen. Der Bereich Konfiguration für Ressourcenwert erstellen wird geöffnet.
Geben Sie im Feld Name einen Namen für diese Ressourcenwertkonfiguration an.
Optional: Geben Sie eine Beschreibung der Konfiguration ein.
Wählen Sie unter Cloud-Anbieter die Option AWS aus.
Optional: Geben Sie im Feld Account ID (Konto-ID) eine 12-stellige AWS-Konto-ID ein. Wenn kein Wert angegeben ist, gilt die Konfiguration des Ressourcenwerts für alle AWS-Konten, die in der AWS-Verbindungskonfiguration angegeben sind.
Optional: Geben Sie im Feld Region eine AWS-Region ein. Beispiel:
us-east-1Wenn keine Vorgabe erfolgt, gilt die Konfiguration des Ressourcenwerts für alle AWS-Regionen.Klicken Sie im Feld Ressourcentyp auswählen in das Feld, um das Drop-down-Menü aufzurufen, und wählen Sie einen Ressourcentyp oder Beliebig aus. Die Konfiguration gilt für Instanzen des angegebenen Ressourcentyps oder, wenn Sie Beliebig auswählen, für Instanzen aller unterstützten Ressourcentypen. Beliebig ist die Standardeinstellung.
Optional: Klicken Sie im Bereich Tag auf Tag hinzufügen, um ein oder mehrere Tags anzugeben. Wenn ein Tag angegeben ist, gilt die Konfiguration nur für Ressourcen, die das Tag in ihren Metadaten enthalten.
Wenn Sie ein neues Tag für eine Ressource definieren, kann es mehrere Stunden dauern, bis das Tag für den Abgleich durch eine Konfiguration verfügbar ist.
Wählen Sie im Feld Ressourcenwert auswählen einen Prioritätswert aus, der den Ressourceninstanzen zugewiesen werden soll. Dieser Wert ist relativ zu den anderen Ressourceninstanzen in Ihrem Satz hochwertiger Ressourcen. Der Wert wird bei der Berechnung der Angriffsrisikobewertungen verwendet.
Klicken Sie auf Speichern.
Die neue Konfiguration wird erst nach Ausführung der nächsten Angriffspfadsimulation in den Angriffsrisikobewertungen und Angriffspfaden berücksichtigt.
Konfiguration bearbeiten
Mit Ausnahme des Namens können Sie jede Spezifikation in einer Konfiguration von Ressourcenwerten aktualisieren.
So aktualisieren Sie eine vorhandene Konfiguration für Ressourcenwerte:
Rufen Sie in den Einstellungen von Security Command Center die Seite Angriffspfadsimulation auf:
Wählen Sie Ihre Organisation aus. Die Seite Angriffspfadsimulation wird mit den vorhandenen Konfigurationen geöffnet.
Klicken Sie in der Spalte Konfigurationsname auf den Namen der Konfiguration, die Sie aktualisieren möchten. Die Seite Konfiguration des Ressourcenwerts bearbeiten wird geöffnet.
Aktualisieren Sie die Spezifikationen in der Konfiguration nach Bedarf.
Optional: Klicken Sie auf Vorschau übereinstimmender Ressourcen, um zu sehen, wie viele Ressourcen mit der aktualisierten Konfiguration übereinstimmen und eine Liste der einzelnen übereinstimmenden Ressourceninstanzen.
Klicken Sie auf Speichern.
Die Änderungen werden erst nach Ausführung der nächsten Angriffspfadsimulation in den Angriffsrisikobewertungen und Angriffspfaden widergespiegelt.
Konfiguration löschen
So löschen Sie eine Konfiguration für Ressourcenwerte:
Rufen Sie in den Einstellungen von Security Command Center die Seite Angriffspfadsimulation auf:
Wählen Sie Ihre Organisation aus. Die Seite Angriffspfadsimulation wird geöffnet.
Rufen Sie unter Ressourcenwertkonfigurationen rechts in der Zeile der Konfiguration, die Sie löschen möchten, das Aktionsmenü durch Klicken auf die vertikalen Punkte auf. Wenn Sie die vertikalen Punkte nicht sehen, scrollen Sie nach rechts.
Wählen Sie im angezeigten Aktionsmenü die Option Löschen aus.
Wählen Sie im Dialogfeld zur Bestätigung die Option Bestätigen aus.
Die Konfiguration wird gelöscht.
Konfiguration ansehen
Sie können alle vorhandenen Konfigurationen für Ressourcenwerte in den Einstellungen von Security Command Center auf der Seite Angriffspfadsimulation ansehen.
Wenn Sie eine bestimmte Konfiguration für Ressourcenwerte ansehen möchten, rufen Sie die Seite Simulation des Angriffspfads auf
Wählen Sie Ihre Organisation aus. Die Seite Angriffspfadsimulation wird geöffnet.
Scrollen Sie auf der Seite Simulation des Angriffspfads unter Ressourcenwertkonfigurationen in der Liste der Ressourcenwertkonfigurationen, bis Sie die benötigte Konfiguration finden.
Klicken Sie auf den Namen der Konfiguration, um die Konfigurationseigenschaften aufzurufen. Die Attribute werden auf der Seite Konfiguration für Ressourcenwert bearbeiten angezeigt.
Fehlerbehebung
Wenn nach dem Erstellen, Bearbeiten oder Löschen von Konfigurationen für Ressourcenwerte Fehler auftreten, können Sie in der Google Cloud Console nach Ergebnissen der Klasse SCC Error suchen. Gehen Sie dazu so vor:
Rufen Sie in der Google Cloud Console die Seite Ergebnisse auf:
Scrollen Sie im Bereich Schnellfilter zum Abschnitt Ergebnisklasse und wählen Sie SCC-Fehler aus.
Scannen Sie im Bereich Ergebnisse der Abfrageergebnisse die Ergebnisse nach den folgenden
SCC Error-Ergebnissen und klicken Sie auf den Kategorienamen:APS no resource value configs match any resourcesAPS resource value assignment limit exceeded
Der Bereich mit den Ergebnisdetails wird geöffnet.
Prüfen Sie im Bereich mit den Ergebnisdetails die Informationen im Abschnitt Nächste Schritte.
Die Abhilfemaßnahmen für die Ergebnisse der Angriffspfadsimulation SCC Error in der Dokumentation finden Sie unter:
- APS-Konfigurationen für keine Ressourcenwerte stimmen mit Ressourcen überein
- Limit für Wertezuweisung für APS-Ressourcen überschritten
Nächste Schritte
Informationen zum Arbeiten mit Security Command Center-Ergebnissen finden Sie unter Mit Ergebnissen in der Google Cloud Console arbeiten.