Compliance Manager enthält viele integrierte Cloud-Steuerelemente, die Sie Frameworks hinzufügen und in Ihrer Umgebung bereitstellen können. Bei Bedarf können Sie eigene benutzerdefinierte Cloud-Kontrollen erstellen und verwalten sowie integrierte Cloud-Kontrollen aktualisieren.
Hinweise
-
Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für Ihre Organisation zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Verwalten von Cloud-Kontrollframeworks benötigen:
-
Compliance Manager-Administrator (
roles/cloudsecuritycompliance.admin) -
Zum Erstellen oder Ändern von Cloud-Steuerelementen, die auf Organisationsrichtlinien basieren, ist eine der folgenden Rollen erforderlich:
-
Administrator für Unternehmensrichtlinien (
roles/orgpolicy.policyAdmin) -
Assured Workloads-Administrator (
roles/assuredworkloads.admin) -
Assured Workloads-Bearbeiter (
roles/assuredworkloads.editor)
-
Administrator für Unternehmensrichtlinien (
Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.
Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.
-
Compliance Manager-Administrator (
Cloud-Kontrollen ansehen
Führen Sie die folgenden Schritte aus, um integrierte Cloud-Steuerelemente und alle benutzerdefinierten Cloud-Steuerelemente aufzurufen, die Sie bereits erstellt haben.
Rufen Sie in der Google Cloud Console die Seite Compliance auf.
Wählen Sie Ihre Organisation aus.
Klicken Sie auf dem Tab Konfigurieren auf Cloud-Steuerung. Die verfügbaren Cloud-Steuerelemente werden angezeigt.
Das Dashboard enthält Informationen dazu, in welchen Frameworks die Cloud-Kontrolle enthalten ist, und die Anzahl der Ressourcen (Organisation, Ordner und Projekte), auf die die Cloud-Kontrolle angewendet wird.
Wenn Sie Details zu einer Cloud-Steuerung aufrufen möchten, klicken Sie auf den Namen der Steuerung.
Benutzerdefinierte Cloud-Kontrolle erstellen
Eine benutzerdefinierte Cloud-Kontrolle gilt nur für einen Ressourcentyp. Der einzige unterstützte Datentyp sind Cloud Asset Inventory-Ressourcen. Benutzerdefinierte Cloud-Steuerungen unterstützen keine Parameter.
Rufen Sie in der Google Cloud Console die Seite Compliance auf.
Wählen Sie Ihre Organisation aus.
Klicken Sie auf dem Tab Konfigurieren auf Cloud-Steuerung. Die Liste der verfügbaren Cloud-Steuerelemente wird angezeigt.
Erstellen Sie eine Cloud-Steuerung mit Gemini oder manuell:
Gemini verwenden
Lassen Sie Gemini eine Cloud-Kontrolle für Sie generieren. Basierend auf Ihrem Prompt stellt Gemini eine eindeutige Kennung, einen Namen, die zugehörige Erkennungslogik und mögliche Abhilfemaßnahmen bereit.
Prüfen Sie die Empfehlungen und nehmen Sie die erforderlichen Änderungen vor.
Speichern Sie Ihre benutzerdefinierte Cloud-Kontrolle.
Manuell erstellen
Geben Sie unter ID der Cloud-Kontrolle eine eindeutige Kennung für die Steuerung ein.
Geben Sie einen Namen und eine Beschreibung ein, damit Nutzer in Ihrer Organisation den Zweck der benutzerdefinierten Cloud-Kontrolle nachvollziehen können.
Optional: Wählen Sie die Kategorien für die Kontrollgruppe aus. Klicken Sie auf Weiter.
Wählen Sie einen verfügbaren Ressourcentyp für Ihre benutzerdefinierte Cloud-Kontrolle aus. Compliance Manager unterstützt alle Ressourcentypen. Den Namen einer Ressource finden Sie unter Asset-Typen.
Geben Sie die Erkennungslogik für Ihre Cloud-Kontrolle im CEL-Format (Common Expression Language) an.
Mit CEL-Ausdrücken können Sie definieren, wie die Attribute einer Ressource ausgewertet werden sollen. Weitere Informationen und Beispiele finden Sie unter Regeln für benutzerdefinierte Cloud-Steuerelemente schreiben. Klicken Sie auf Weiter.
Wenn Ihre Auswertungsregel ungültig ist, wird ein Fehler angezeigt.
Wählen Sie einen angemessenen Schweregrad für die Ergebnisse aus.
Formulieren Sie die Anweisungen zur Fehlerbehebung so, dass die für die Reaktion auf Vorfälle zuständigen Mitarbeiter und Administratoren in Ihrer Organisation alle Ergebnisse für die Cloud-Steuerung beheben können. Klicken Sie auf Weiter.
Prüfen Sie Ihre Einträge und klicken Sie dann auf Erstellen.
Benutzerdefinierte Cloud-Kontrolle bearbeiten
Nachdem Sie eine Cloud-Kontrolle erstellt haben, können Sie ihren Namen, ihre Beschreibung, ihre Regeln, ihre Abhilfemaßnahmen und ihren Schweregrad ändern. Sie können die Kategorie der Cloud-Steuerung nicht ändern.
Rufen Sie in der Google Cloud Console die Seite Compliance auf.
Wählen Sie Ihre Organisation aus.
Klicken Sie auf dem Tab Konfigurieren auf Cloud-Steuerung. Die Liste der verfügbaren Cloud-Steuerelemente wird angezeigt.
Klicken Sie auf die Cloud-Steuerung, die Sie bearbeiten möchten.
Prüfen Sie auf der Seite Details zur Cloud-Steuerung, ob die Cloud-Steuerung in einem Framework enthalten ist. Bearbeiten Sie das Framework bei Bedarf, um die Cloud-Steuerung zu entfernen.
Klicken Sie auf Bearbeiten.
Ändern Sie auf der Seite Benutzerdefinierte Cloud-Kontrolle bearbeiten den Namen und die Beschreibung nach Bedarf. Klicken Sie auf Weiter.
Aktualisieren Sie die Regeln, die Schweregrade und die Schritte zur Fehlerbehebung. Klicken Sie auf Weiter.
Prüfen Sie Ihre Änderungen und klicken Sie auf Speichern.
Ein integriertes Cloud-Steuerelement auf eine neuere Version aktualisieren
Google veröffentlicht regelmäßig Updates für die integrierten Cloud-Steuerelemente, wenn neue Funktionen in Diensten bereitgestellt werden oder neue Best Practices entstehen. Aktualisierungen können neue Steuerelemente oder Änderungen an vorhandenen Steuerelementen umfassen.
Sie können die Releases der integrierten Cloud-Steuerelemente im Cloud-Steuerelemente-Dashboard auf dem Tab Konfigurieren oder auf der Detailseite des Cloud-Steuerelements ansehen.
Google benachrichtigt Sie in den Versionshinweisen, wenn die folgenden Elemente aktualisiert werden:
- Name der Cloud-Kontrolle
- Ergebniskategorie
- Änderung der Erkennungs- oder Präventionslogik in einer Regel
- Zugrunde liegende Logik einer Regel
Wenn Sie eine Cloud-Steuerung aktualisieren möchten, nachdem Sie eine Benachrichtigung erhalten haben, müssen Sie die Frameworks, die die Cloud-Steuerung enthalten, entfernen und neu bereitstellen. Eine Anleitung dazu finden Sie unter Framework auf eine neuere Version aktualisieren.
Benutzerdefinierte Cloud-Kontrolle löschen
Löschen Sie eine Cloud-Steuerung, wenn sie nicht mehr benötigt wird. Sie können nur Cloud-Kontrollen löschen, die Sie selbst erstellt haben. Sie können keine integrierten Cloud-Steuerungen löschen.
Rufen Sie in der Google Cloud Console die Seite Compliance auf.
Wählen Sie Ihre Organisation aus.
Klicken Sie auf dem Tab Konfigurieren auf Cloud-Steuerung. Die Liste der verfügbaren Cloud-Steuerelemente wird angezeigt.
Klicken Sie auf die Cloud-Steuerung, die Sie löschen möchten.
Prüfen Sie auf der Seite Details zur Cloud-Steuerung, ob die Cloud-Steuerung in einem Framework enthalten ist. Bearbeiten Sie das Framework bei Bedarf, um die Cloud-Steuerung zu entfernen.
Klicken Sie auf Löschen.
Sehen Sie sich im Fenster Löschen die Meldung an. Geben Sie
Deleteein und klicken Sie auf Bestätigen.
Zuordnung von Security Health Analytics-Detektoren zu Cloud-Kontrollen
In der folgenden Tabelle sehen Sie, wie Compliance Manager-Cloud-Einstellungen Security Health Analytics-Detektoren zugeordnet werden.
| Ergebniskategorie in Security Health Analytics | Name der Cloud-Kontrolle in Compliance Manager |
|---|---|
|
Access Transparency aktivieren |
|
Administratorrollen für Dienstkonten blockieren |
|
Einschränkung „Organisationsrichtlinie für Cloud Run: Zulässige Einstellungen für eingehenden Traffic“ konfigurieren |
|
Einschränkung der Organisationsrichtlinie „Zulässige Einstellungen für ausgehenden VPC-Traffic für Cloud Run“ konfigurieren |
|
Automatische AlloyDB-Sicherungen für Cluster aktivieren |
|
AlloyDB-Sicherungen für Cluster aktivieren |
|
CMEK für AlloyDB-Cluster aktivieren |
|
Flag „Log Error Verbosity“ für AlloyDB-Instanzen festlegen |
|
Flag „log_min_error_statement“ für AlloyDB-Instanzen festlegen |
|
Flag „Log Min Messages“ für AlloyDB-Instanzen festlegen |
|
Öffentliche IP-Adressen für AlloyDB-Clusterinstanzen blockieren |
|
Alpha-Features in GKE-Clustern deaktivieren |
|
API-Schlüssel nur für erforderliche APIs einschränken |
|
Nicht verfügbar |
|
Rotation des API-Schlüssels erforderlich machen |
|
Logmesswerte und Benachrichtigungen für Änderungen am Audit-Logging konfigurieren |
|
Ereignisprotokollierung für Google Cloud-Dienste implementieren |
|
Automatische Sicherungen für Cloud SQL-Datenbanken aktivieren |
|
Automatische Reparatur für GKE-Cluster aktivieren |
|
Automatisches Upgrade für GKE-Cluster aktivieren |
|
CMEK für BigQuery-Tabellen aktivieren |
|
Binärautorisierung für einen Cluster anfordern |
|
CMEK für Cloud Storage-Buckets aktivieren |
|
Logmesswerte und Benachrichtigungen für Änderungen an Cloud Storage-IAM-Richtlinien konfigurieren |
|
Cloud Storage-Bucket-Logging erforderlich |
|
Einheitlichen Zugriff auf Bucket-Ebene für Cloud Storage-Buckets aktivieren |
|
Cloud Asset Inventory-Dienst aktivieren |
|
Cloud Logging in GKE-Clustern aktivieren |
|
Cloud Monitoring für GKE-Cluster aktivieren |
|
Privaten Google-Zugriff für eine Instanz aktivieren |
|
Verschlüsselung in GKE-Clustern aktivieren |
|
Shielded GKE-Knoten in einem Cluster aktivieren |
|
Projektweite SSH-Schlüssel für Compute Engine-Instanzen blockieren |
|
Secure Boot auf Compute Engine-Instanzen aktivieren |
|
Serielle Ports für Compute Engine-Instanzen blockieren |
|
Confidential Computing für Compute Engine-Instanzen aktivieren |
|
Container-Optimized OS für einen GKE-Cluster erforderlich machen |
|
Nicht verfügbar |
|
Logmesswerte und Benachrichtigungen für Änderungen an benutzerdefinierten Rollen konfigurieren |
|
CMEK für Dataproc-Cluster erforderlich machen |
|
Neueste Image-Versionen in Dataproc-Clustern verwenden |
|
CMEK für BigQuery-Datasets aktivieren |
|
Netzwerke mit benutzerdefinierten Firewallregeln verwenden |
|
Benutzerdefinierte Dienstkonten für Compute Engine-Instanzen verwenden |
|
Organisationsrichtlinie „Externe VPC-IPv6-Nutzung deaktivieren“ konfigurieren |
|
Organisationsrichtlinie „Externe VPC-IPv6-Nutzung deaktivieren“ konfigurieren |
|
Organisationsrichtlinie „Disable VM Serial Port Logging to Stackdriver“ konfigurieren |
|
CMEK für nichtflüchtige Compute Engine-Speicher aktivieren |
|
CSEK für nichtflüchtige Compute Engine-Speicher aktivieren |
|
Cloud DNS-Logs-Monitoring aktivieren |
|
DNSSEC für Cloud DNS aktivieren |
|
Firewallregel „Alle ausgehenden Verbindungen ablehnen“ erzwingen |
|
Wichtige Kontakte definieren |
|
Logmesswerte und Benachrichtigungen für Änderungen an der VPC-Netzwerk-Firewall konfigurieren |
|
Logging von Firewallregeln aktivieren |
|
Flusslogs für VPC-Subnetz aktivieren |
|
API-Zugriff auf Google Cloud APIs für Compute Engine-Instanzen einschränken |
|
Nur HTTPS-Traffic erzwingen |
|
Dienstperimeter in VPC Service Controls definieren |
|
OS Login aktivieren |
|
Integritätsmonitoring für GKE-Cluster aktivieren |
|
Knoteninterne Sichtbarkeit für GKE-Cluster aktivieren |
|
IP-Aliasbereich für GKE-Cluster aktivieren |
|
IP-Weiterleitung für Compute Engine-Instanzen verhindern |
|
Rotationszeitraum für Cloud KMS-Schlüssel definieren |
|
Nicht verfügbar |
|
Nicht verfügbar |
|
Aufgabentrennung erzwingen |
|
Legacy-Autorisierung in GKE-Clustern blockieren |
|
Legacy-Metadatenserver-Endpunkte in Compute Engine deaktivieren |
|
Legacy-Netzwerke nicht verwenden |
|
Load-Balancer-Logging aktivieren |
|
Aufbewahrungsrichtlinien für Speicher-Buckets sperren |
|
Logsenken konfigurieren |
|
Autorisierte Netzwerke der Steuerungsebene in GKE-Clustern aktivieren |
|
Nicht verfügbar |
|
Logmesswerte und Benachrichtigungen für Änderungen am VPC-Netzwerk konfigurieren |
|
Netzwerkrichtlinie für GKE-Cluster aktivieren |
|
CMEK für GKE-Knotenpool-Bootlaufwerke aktivieren |
|
Secure Boot für Shielded GKE-Knoten aktivieren |
|
Nicht verfügbar |
|
Objektversionierung für Buckets aktivieren |
|
Verbindungen zu Cassandra-Ports von allen IP-Adressen blockieren |
|
Verbindungen zu CiscoSecure/WebSM-Ports von allen IP-Adressen blockieren |
|
Verbindungen zu Ports von Verzeichnisdiensten von allen IP-Adressen blockieren |
|
Verbindungen zu DNS-Ports von allen IP-Adressen blockieren |
|
Verbindungen zu Elasticsearch-Ports von allen IP-Adressen blockieren |
|
Nicht verfügbar |
|
Verbindungen zu FTP-Ports von allen IP-Adressen blockieren |
|
Nicht verfügbar |
|
Verbindungen zu HTTP-Ports von allen IP-Adressen blockieren |
|
Verbindungen zu LDAP-Ports von allen IP-Adressen blockieren |
|
Verbindungen zu Memcached-Ports von allen IP-Adressen blockieren |
|
Verbindungen zu MongoDB-Ports von allen IP-Adressen blockieren |
|
Verbindungen zu MySQL-Ports von allen IP-Adressen blockieren |
|
Verbindungen zu NetBIOS-Ports von allen IP-Adressen blockieren |
|
Verbindungen zu Oracle-Datenbankports von allen IP-Adressen blockieren |
|
Verbindungen zu POP3-Serverports von allen IP-Adressen blockieren |
|
Verbindungen zu PostgreSQL-Serverports von allen IP-Adressen blockieren |
|
Zugriff auf RDP-Port blockieren |
|
Verbindungen zu Redis-Serverports von allen IP-Adressen blockieren |
|
Verbindungen zu SMTP-Serverports von allen IP-Adressen blockieren |
|
Zugriff auf SSH-Port blockieren |
|
Verbindungen zu Telnet-Serverports von allen IP-Adressen blockieren |
|
Einschränkung für Organisationsrichtlinie für Confidential VMs aktivieren |
|
OS Login für alle Instanzen auf Projektebene aktivieren |
|
Dienstkonten mit minimalen Berechtigungen für GKE-Cluster verwenden |
|
GKE-Cluster mit eingeschränkten Dienstkonto-Zugriffsbereichen erstellen |
|
Administratorrollen für Dienstkonten blockieren |
|
Nicht verfügbar |
|
Nicht verfügbar |
|
Einschränken von Legacy-IAM-Rollen |
|
Private Cluster für GKE aktivieren |
|
Privaten Google-Zugriff für VPC-Subnetze aktivieren |
|
Öffentlichen Zugriff auf Cloud Storage-Buckets einschränken |
|
Öffentlichen Zugriff auf Compute-Images einschränken |
|
Öffentlichen Zugriff auf BigQuery-Datasets einschränken |
|
Öffentliche IP-Adressen auf Compute Engine-Instanzen beschränken |
|
Öffentlichen Zugriff auf Cloud Storage-Buckets einschränken |
|
Öffentlichen Zugriff auf Cloud SQL-Datenbankinstanzen einschränken |
|
Pub/Sub-Thema mit CMEK verschlüsseln |
|
Flag „log_statement“ für PostgreSQL aktivieren |
|
Nicht verfügbar |
|
GKE-Cluster für eine Release-Version registrieren |
|
OS Login aktivieren |
|
Ausgehenden Traffic des VPC-Connectors für Cloud Run-Funktionen definieren |
|
Einschränkung der Organisationsrichtlinie „Autorisierte Netzwerke auf Cloud SQL-Instanzen einschränken“ aktivieren |
|
Logmesswerte und Benachrichtigungen für Änderungen an VPC-Routen konfigurieren |
|
RSASHA1 für DNSSEC-Signierung vermeiden |
|
Nicht verfügbar |
|
Nicht verfügbar |
|
Rotation von Dienstkontoschlüsseln erzwingen |
|
Aufgabentrennung erzwingen |
|
Shielded VM für Compute Engine-Instanzen aktivieren |
|
Erstellung von Standardnetzwerken für Compute Engine-Instanzen einschränken |
|
CMEK für Cloud SQL-Datenbanken aktivieren |
|
Deaktivieren des Flags „Authentifizierung für eigenständige Datenbanken“ für SQL Server |
|
Deaktivieren des Flags „cross db ownership chaining“ für SQL Server |
|
Flag „external scripts enabled“ für SQL Server deaktivieren |
|
Logmesswerte und Benachrichtigungen für Änderungen an der Cloud SQL-Konfiguration konfigurieren |
|
„Local Infile“-Flag für MySQL deaktivieren |
|
Flag „log_checkpoints“ für PostgreSQL aktivieren |
|
Flag „Log Connections“ für PostgreSQL aktivieren |
|
Flag „Log Disconnections“ für PostgreSQL aktivieren |
|
„Log Duration“-Flag für PostgreSQL-Instanz aktivieren |
|
Flag für die Ausführlichkeit von Fehlermeldungen für PostgreSQL aktivieren |
|
Flag „Log Executor Stats“ für PostgreSQL deaktivieren |
|
Deaktivieren des Flags „Log Hostname“ für PostgreSQL |
|
Das Flag „Log Locks Wait“ für die PostgreSQL-Instanz aktivieren |
|
Flag für Logmindestdauer für PostgreSQL deaktivieren |
|
Flag „Log Min Error Statement“ für PostgreSQL aktivieren |
|
Nicht verfügbar |
|
Flag „log_min_messages“ für PostgreSQL aktivieren |
|
Flag „Statistiken für Logparser“ für PostgreSQL deaktivieren |
|
Flag „Log Planner Stats“ für PostgreSQL deaktivieren |
|
Flag „log_statement“ für PostgreSQL aktivieren |
|
Flag „Temporäre Dateien protokollieren“ für PostgreSQL-Instanz aktivieren |
|
Nicht verfügbar |
|
Öffentliche IP-Adressen für Cloud SQL-Instanzen blockieren |
|
Flag für den Remotezugriff für SQL Server deaktivieren |
|
SSL-Verschlüsselung für AlloyDB-Instanzen aktivieren |
|
Das Flag „skip_show_database“ für MySQL aktivieren |
|
Aktivieren des Datenbank-Flags 3625 (Trace-Flag) für SQL Server |
|
Flag „user connections“ für SQL Server nicht verwenden |
|
Das Flag „user options“ für SQL Server nicht verwenden |
|
Nicht verfügbar |
|
SSL für alle eingehenden Datenbankverbindungen erzwingen |
|
Anzahl der Nutzer von KMS-Crypto-Schlüsseln auf drei beschränken |
|
Einheitlichen Zugriff auf Bucket-Ebene für Cloud Storage-Buckets aktivieren |
|
Vom Nutzer verwaltete Dienstkontoschlüssel einschränken |
|
Nicht verfügbar |
|
Unsichere SSL-Richtlinien für Compute Engine-Instanzen einschränken |
|
Kubernetes-Web-UI nicht verwenden |
|
Workload Identity-Föderation für GKE in Clustern aktivieren |