El Administrador de cumplimiento incluye muchos controles integrados en la nube que puedes agregar a los frameworks y, luego, implementar en tu entorno. Si es necesario, puedes crear y administrar tus propios controles de nube personalizados, y actualizar los controles de nube integrados.
Antes de comenzar
-
Para obtener los permisos que necesitas para administrar los marcos de trabajo de los controles de Cloud, pídele a tu administrador que te otorgue los siguientes roles de IAM en tu organización:
-
Administrador de Compliance Manager (
roles/cloudsecuritycompliance.admin) -
Para crear o modificar controles de la nube basados en políticas de la organización, se requiere una de las siguientes opciones:
-
Administrador de políticas de la organización (
roles/orgpolicy.policyAdmin) -
Administrador de Assured Workloads (
roles/assuredworkloads.admin) -
Editor de Assured Workloads (
roles/assuredworkloads.editor)
-
Administrador de políticas de la organización (
Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.
También puedes obtener los permisos necesarios a través de roles personalizados o cualquier otro rol predefinido.
-
Administrador de Compliance Manager (
Ver controles de la nube
Completa los siguientes pasos para ver los controles de la nube integrados y los controles de la nube personalizados que ya creaste.
En la consola de Google Cloud , ve a la página Cumplimiento.
Selecciona tu organización.
En la pestaña Configurar, haz clic en Controles de la nube. Se muestran los controles de la nube disponibles.
El panel incluye información sobre qué frameworks incluyen el control de Cloud y la cantidad de recursos (organización, carpetas y proyectos) a los que se aplica el control de Cloud.
Para ver los detalles de un control de la nube, haz clic en su nombre.
Crear un control de la nube personalizado
Un control de nube personalizado se aplica a un solo tipo de recurso. El único tipo de datos admitido son los recursos de Cloud Asset Inventory. Los controles de nube personalizados no admiten parámetros.
En la consola de Google Cloud , ve a la página Cumplimiento.
Selecciona tu organización.
En la pestaña Configurar, haz clic en Controles de la nube. Se muestra la lista de los controles de nube disponibles.
Crea un control de nube con Gemini o de forma manual:
Usar Gemini
Pídele a Gemini que genere un control de nube para ti. Según tu instrucción, Gemini proporciona un identificador único, un nombre, lógica de detección asociada y posibles pasos de corrección.
Revisa las recomendaciones y realiza los cambios necesarios.
Guarda tu control de nube personalizado.
Crear manualmente
En ID de control de nube, proporciona un identificador único para tu control.
Ingresa un nombre y una descripción para ayudar a los usuarios de tu organización a comprender el propósito del control de nube personalizado.
Opcional: Selecciona las categorías del control. Haz clic en Continuar.
Selecciona un tipo de recurso disponible para tu control de nube personalizado. El Administrador de cumplimiento admite todos los tipos de recursos. Para encontrar el nombre de un recurso, consulta Tipos de recursos.
Proporciona la lógica de detección para tu control de nube en formato de Common Expression Language (CEL).
Las expresiones CEL te permiten definir cómo deseas evaluar las propiedades de un recurso. Para obtener más información y ejemplos, consulta Escribe reglas para los controles de nube personalizados. Haga clic en Continuar.
Si tu regla de evaluación no es válida, se mostrará un error.
Selecciona la gravedad adecuada de los hallazgos.
Escribe las instrucciones de corrección para que los administradores y los encargados de responder ante incidentes de tu organización puedan resolver los hallazgos relacionados con el control de la nube. Haz clic en Continuar.
Revisa tus entradas y, luego, haz clic en Crear.
Edita un control de nube personalizado
Después de crear un control de nube, puedes cambiar su nombre, descripción, reglas, pasos de corrección y nivel de gravedad. No puedes cambiar la categoría del control de nube.
En la consola de Google Cloud , ve a la página Cumplimiento.
Selecciona tu organización.
En la pestaña Configurar, haz clic en Controles de la nube. Se mostrará la lista de controles de nube disponibles.
Haz clic en el control de la nube que deseas editar.
En la página Detalles de los controles de Cloud, verifica que el control de Cloud no esté incluido en un framework. Si es necesario, edita el framework para quitar el control de nube.
Haz clic en Editar.
En la página Editar control de nube personalizado, cambia el nombre y la descripción según sea necesario. Haga clic en Continuar.
Actualiza las reglas, la gravedad del hallazgo y los pasos de corrección. Haz clic en Continuar.
Revisa los cambios y haz clic en Guardar.
Actualiza un control integrado en la nube a una versión más reciente
Google publica actualizaciones periódicas de sus controles integrados en la nube a medida que los servicios implementan funciones nuevas o surgen prácticas recomendadas nuevas. Las actualizaciones pueden incluir controles nuevos o cambios en los controles existentes.
Puedes ver las versiones de los controles integrados en el panel de controles de la nube en la pestaña Configurar o en la página de detalles del control de la nube.
Google te notifica en las notas de la versión cuando se actualizan los siguientes elementos:
- Nombre del control de la nube
- Categoría
- Cambio en la lógica de detección o prevención de una regla
- Lógica subyacente de una regla
Para actualizar un control de nube después de recibir una notificación, debes anular la asignación y volver a implementar los marcos que incluyen el control de nube. Para obtener instrucciones, consulta Cómo actualizar un framework a una versión más reciente.
Borra un control de nube personalizado
Borra un control de nube cuando ya no sea necesario. Solo puedes borrar los controles de la nube que crees. No puedes borrar los controles integrados en la nube.
En la consola de Google Cloud , ve a la página Cumplimiento.
Selecciona tu organización.
En la pestaña Configurar, haz clic en Controles de la nube. Se mostrará la lista de controles de nube disponibles.
Haz clic en el control de nube que deseas borrar.
En la página Detalles de los controles de Cloud, verifica que el control de Cloud no esté incluido en un framework. Si es necesario, edita el framework para quitar el control de nube.
Haz clic en Borrar.
En la ventana Borrar, revisa el mensaje. Escribe
Deletey haz clic en Confirmar.
Asignación de detectores de Security Health Analytics a controles de la nube
En la siguiente tabla, se muestra cómo se asignan los controles de la nube del Administrador de cumplimiento a los detectores de las estadísticas del estado de seguridad.
| Categoría del hallazgo en Security Health Analytics | Nombre del control de la nube en el Administrador de cumplimiento |
|---|---|
|
Habilita la Transparencia de acceso |
|
Bloquea los roles de administrador de las cuentas de servicio |
|
Configura el parámetro de configuración de entrada permitida para la restricción de la política de la organización de Cloud Run |
|
Configura el parámetro de configuración de salida de VPC permitido para la restricción de la política de la organización de Cloud Run |
|
Habilita las copias de seguridad automáticas de AlloyDB en el clúster |
|
Habilita las copias de seguridad de AlloyDB en el clúster |
|
Habilita la CMEK para los clústeres de AlloyDB |
|
Cómo establecer la marca de verbosidad de errores de registros para instancias de AlloyDB |
|
Configura la marca Log Min Error Statement para las instancias de AlloyDB |
|
Configura la marca Log Min Messages para instancias de AlloyDB |
|
Bloquea direcciones IP públicas para instancias de clúster de AlloyDB |
|
Inhabilita las funciones en versión alfa en los clústeres de GKE |
|
Restringe las claves de API solo a las APIs requeridas |
|
No disponible |
|
Solicitar rotación de la clave de API |
|
Configura métricas de registros y alertas para los cambios en el registro de auditorías |
|
Implementa el registro de eventos para los servicios de Google Cloud |
|
Habilita las copias de seguridad automáticas para las bases de datos de Cloud SQL |
|
Habilita la reparación automática para clústeres de GKE |
|
Habilita la actualización automática en clústeres de GKE |
|
Habilita la CMEK para las tablas de BigQuery |
|
Cómo exigir la autorización binaria en un clúster |
|
Habilita la CMEK para los buckets de Cloud Storage |
|
Configura métricas y alertas de registros para los cambios en la política de IAM de Cloud Storage |
|
Exige el registro del bucket de Cloud Storage |
|
Habilita el acceso uniforme a nivel de bucket en los buckets de Cloud Storage |
|
Habilita el servicio de Cloud Asset Inventory |
|
Habilita Cloud Logging en clústeres de GKE |
|
Habilita Cloud Monitoring en clústeres de GKE |
|
Habilita el Acceso privado a Google en una instancia |
|
Habilita la encriptación en clústeres de GKE |
|
Habilita los nodos de GKE protegidos en un clúster |
|
Bloquea las claves SSH de todo el proyecto en las instancias de Compute Engine |
|
Habilita el inicio seguro en instancias de Compute Engine |
|
Cómo bloquear puertos seriales para instancias de Compute Engine |
|
Habilita Confidential Computing para instancias de Compute Engine |
|
Cómo requerir Container-Optimized OS para un clúster de GKE |
|
No disponible |
|
Configura las métricas y alertas de registros para los cambios de roles personalizados |
|
Cómo requerir la CMEK en clústeres de Dataproc |
|
Usa las versiones de imagen más recientes en los clústeres de Dataproc |
|
Habilita las CMEK para los conjuntos de datos de BigQuery |
|
Usa redes con reglas de firewall personalizadas |
|
Usa cuentas de servicio personalizadas para instancias de Compute Engine |
|
Configura la política de la organización Inhabilitar el uso de IPv6 externa de VPC |
|
Configura la política de la organización Inhabilitar el uso de IPv6 externa de VPC |
|
Configura la política de la organización para inhabilitar el registro de puertos en serie de VM en Stackdriver |
|
Habilita la CMEK en los discos persistentes de Compute Engine |
|
Habilita la CSEK en los discos persistentes de Compute Engine |
|
Habilita el monitoreo de registros de Cloud DNS |
|
Habilita DNSSEC para Cloud DNS |
|
Aplica la regla de firewall de salida Deny All |
|
Cómo definir contactos esenciales |
|
Configura métricas de registros y alertas para los cambios en el firewall de la red de VPC |
|
Habilita el registro de reglas de firewall |
|
Habilita los registros de flujo para la subred de VPC |
|
Restringe el acceso a las APIs de Google Cloud para las instancias de Compute Engine |
|
Aplicar solo el tráfico HTTPS |
|
Define perímetros de servicio en los Controles del servicio de VPC |
|
Habilitar el Acceso al SO |
|
Habilita la supervisión de integridad en los clústeres de GKE |
|
Habilita la visibilidad dentro de los nodos para los clústeres de GKE |
|
Habilita el rango de alias de IP para clústeres de GKE |
|
Cómo evitar el reenvío de IP en instancias de Compute Engine |
|
Define el período de rotación para las claves de Cloud KMS |
|
No disponible |
|
No disponible |
|
Aplicar la separación de obligaciones |
|
Bloquea la autorización heredada en los clústeres de GKE |
|
Inhabilita los extremos heredados del servidor de metadatos en Compute Engine |
|
No usar redes heredadas |
|
Habilita el registro del balanceador de cargas |
|
Bloquea las políticas de retención de buckets de almacenamiento |
|
Configura receptores de registros |
|
Habilita las redes autorizadas del plano de control en los clústeres de GKE |
|
No disponible |
|
Configura métricas y alertas de registros para los cambios en la red de VPC |
|
Habilita la política de red en los clústeres de GKE |
|
Habilita la CMEK en los discos de arranque del grupo de nodos de GKE |
|
Habilita el arranque seguro para los nodos de GKE protegidos |
|
No disponible |
|
Habilita el control de versiones de objetos en buckets |
|
Bloquea las conexiones a los puertos de Cassandra desde todas las direcciones IP |
|
Bloquea las conexiones a los puertos de CiscoSecure/WebSM desde todas las direcciones IP |
|
Bloquea las conexiones a los puertos de los servicios de directorio desde todas las direcciones IP |
|
Bloquea las conexiones a los puertos DNS desde todas las direcciones IP |
|
Bloquea las conexiones a los puertos de Elasticsearch desde todas las direcciones IP |
|
No disponible |
|
Bloqueo de conexiones a puertos FTP desde todas las direcciones IP |
|
No disponible |
|
Bloquea las conexiones a puertos HTTP desde todas las direcciones IP |
|
Bloquea las conexiones a los puertos LDAP desde todas las direcciones IP |
|
Bloquea las conexiones a los puertos de Memcached desde todas las direcciones IP |
|
Bloquea las conexiones a los puertos de MongoDB desde todas las direcciones IP |
|
Bloquea las conexiones a los puertos de MySQL desde todas las direcciones IP |
|
Bloquea las conexiones a los puertos de NetBIOS desde todas las direcciones IP |
|
Bloquea las conexiones a los puertos de la base de datos de Oracle desde todas las direcciones IP |
|
Bloquea las conexiones a los puertos del servidor POP3 desde todas las direcciones IP |
|
Bloquea las conexiones a los puertos del servidor de PostgreSQL desde todas las direcciones IP |
|
Bloquea el acceso al puerto RDP |
|
Bloquea las conexiones a los puertos del servidor de Redis desde todas las direcciones IP |
|
Bloquea las conexiones a los puertos del servidor SMTP desde todas las direcciones IP |
|
Bloquea el acceso al puerto SSH |
|
Bloquea las conexiones a los puertos del servidor Telnet desde todas las direcciones IP |
|
Habilita la restricción de política de la organización de Confidential VM |
|
Habilita el Acceso al SO para todas las instancias a nivel del proyecto |
|
Usa cuentas de servicio con privilegios mínimos para los clústeres de GKE |
|
Crea clústeres de GKE con permisos de acceso de cuentas de servicio limitados |
|
Bloquea los roles de administrador de las cuentas de servicio |
|
No disponible |
|
No disponible |
|
Restringe los roles de IAM heredados |
|
Habilita los clústeres privados para GKE |
|
Habilita el Acceso privado a Google para subredes de VPC |
|
Restringe el acceso público a los buckets de Cloud Storage |
|
Restringe el acceso público a las imágenes de Compute |
|
Restringe el acceso público a los conjuntos de datos de BigQuery |
|
Restringe las direcciones IP públicas a las instancias de Compute Engine |
|
Restringe el acceso público a los buckets de Cloud Storage |
|
Restringe el acceso público a las instancias de bases de datos de Cloud SQL |
|
Encripta el tema de Pub/Sub con CMEK |
|
Habilita la marca Log Statement para PostgreSQL |
|
No disponible |
|
Suscribe un clúster de GKE a un canal de versiones |
|
Habilitar el Acceso al SO |
|
Define la salida del conector de VPC para Cloud Run Functions |
|
Habilita la restricción de política de la organización Restrict Authorized Networks on Cloud SQL Instances |
|
Configura métricas y alertas de registros para los cambios de ruta de VPC |
|
Evita RSASHA1 para la firma de DNSSEC |
|
No disponible |
|
No disponible |
|
Exige la rotación de claves de la cuenta de servicio |
|
Aplicar la separación de obligaciones |
|
Habilita la VM protegida para las instancias de Compute Engine |
|
Restringe la creación de redes predeterminadas para las instancias de Compute Engine |
|
Habilita las CMEK para las bases de datos de Cloud SQL |
|
Desactiva la marca de autenticación de base de datos contenida para SQL Server |
|
Desactiva la marca de encadenamiento de propiedad de bases de datos cruzadas para SQL Server |
|
Desactiva la marca de secuencias de comandos externas para SQL Server |
|
Configura métricas y alertas de registros para los cambios en la configuración de Cloud SQL |
|
Desactiva la marca local_infile para MySQL |
|
Habilita la marca Log Checkpoints para PostgreSQL |
|
Habilita la marca Log Connections para PostgreSQL |
|
Habilita la marca Log Disconnections para PostgreSQL |
|
Habilita la marca Log Duration para la instancia de PostgreSQL |
|
Habilita la marca de detalle de errores de registro para PostgreSQL |
|
Desactiva la marca Log Executor Stats para PostgreSQL |
|
Desactiva la marca Log Hostname para PostgreSQL |
|
Habilita la marca de espera de bloqueos de registro para la instancia de PostgreSQL |
|
Desactiva la marca de la instrucción de duración mínima del registro para PostgreSQL |
|
Habilita la marca Log Min Error Statement para PostgreSQL |
|
No disponible |
|
Habilita la marca Log Min Messages para PostgreSQL |
|
Desactiva la marca de estadísticas del analizador de registros para PostgreSQL |
|
Desactiva la marca Log Planner Stats para PostgreSQL |
|
Habilita la marca Log Statement para PostgreSQL |
|
Habilita la marca Log Temp Files para la instancia de PostgreSQL |
|
No disponible |
|
Bloquea las direcciones IP públicas para las instancias de Cloud SQL |
|
Desactiva la marca de acceso remoto para SQL Server |
|
Habilita la encriptación SSL en instancias de AlloyDB |
|
Habilita la marca Skip Show Database para MySQL |
|
Habilita la marca de base de datos de seguimiento 3625 para SQL Server |
|
No uses la marca de conexiones de usuario para SQL Server |
|
No uses la marca de opciones de usuario para SQL Server |
|
No disponible |
|
Aplica SSL para todas las conexiones entrantes a la base de datos |
|
Limita a tres la cantidad de usuarios de claves criptográficas de KMS |
|
Habilita el acceso uniforme a nivel de bucket en los buckets de Cloud Storage |
|
Restringe las claves de cuentas de servicio administradas por el usuario |
|
No disponible |
|
Restringe las políticas de SSL no seguras para las instancias de Compute Engine |
|
No uses la IU web de Kubernetes |
|
Habilita la federación de identidades para cargas de trabajo para GKE en clústeres |