O Gestor de conformidade inclui muitos controlos na nuvem incorporados que pode adicionar a frameworks e implementar no seu ambiente. Se necessário, pode criar e gerir os seus próprios controlos na nuvem personalizados e atualizar os controlos na nuvem incorporados.
Antes de começar
-
Para receber as autorizações de que precisa para gerir frameworks de controlos na nuvem, peça ao seu administrador que lhe conceda as seguintes funções de IAM na sua organização:
-
Administrador do Compliance Manager (
roles/cloudsecuritycompliance.admin) -
Para criar ou modificar controlos na nuvem baseados em políticas da organização, tem de ter uma das seguintes opções:
-
Administrador da política da organização (
roles/orgpolicy.policyAdmin) -
Administrador do Assured Workloads (
roles/assuredworkloads.admin) -
Editor do Assured Workloads (
roles/assuredworkloads.editor)
-
Administrador da política da organização (
Para mais informações sobre a atribuição de funções, consulte o artigo Faça a gestão do acesso a projetos, pastas e organizações.
Também pode conseguir as autorizações necessárias através de funções personalizadas ou outras funções predefinidas.
-
Administrador do Compliance Manager (
Ver controlos na nuvem
Conclua os passos seguintes para ver os controlos na nuvem integrados e quaisquer controlos na nuvem personalizados que já tenha criado.
Na Google Cloud consola, aceda à página Conformidade.
Selecione a sua organização.
No separador Configurar, clique em Controlos na nuvem. Os controlos na nuvem disponíveis são apresentados.
O painel de controlo inclui informações sobre as estruturas que incluem o controlo na nuvem e o número de recursos (organização, pastas e projetos) aos quais o controlo na nuvem é aplicado.
Para ver detalhes sobre um controlo na nuvem, clique no nome do controlo.
Crie um controlo na nuvem personalizado
Um controlo da nuvem personalizado aplica-se apenas a um tipo de recurso. O único tipo de dados suportado são os recursos do Cloud Asset Inventory. Os controlos na nuvem personalizados não suportam parâmetros.
Na Google Cloud consola, aceda à página Conformidade.
Selecione a sua organização.
No separador Configurar, clique em Controlos na nuvem. É apresentada a lista de controlos na nuvem disponíveis.
Crie um controlo de nuvem com o Gemini ou manualmente:
Usar o Gemini
Peça ao Gemini para gerar um controlo na nuvem para si. Com base no seu comando, o Gemini fornece um identificador exclusivo, um nome, uma lógica de deteção associada e possíveis passos de correção.
Reveja as recomendações e faça as alterações necessárias.
Guarde o controlo na nuvem personalizado.
Criar manualmente
Em ID do controlo na nuvem, indique um identificador exclusivo para o seu controlo.
Introduza um nome e uma descrição para ajudar os utilizadores na sua organização a compreenderem o objetivo do controlo na nuvem personalizado.
Opcional: selecione as categorias para o controlo. Clique em Continuar.
Selecione um tipo de recurso disponível para o seu controlo na nuvem personalizado. O Compliance Manager suporta todos os tipos de recursos. Para encontrar o nome de um recurso, consulte o artigo Tipos de recursos.
Forneça a lógica de deteção para o seu controlo na nuvem no formato do idioma de expressão comum (IEC).
As expressões CEL permitem-lhe definir como quer avaliar as propriedades de um recurso. Para mais informações e exemplos, consulte o artigo Escreva regras para controlos na nuvem personalizados. Clique em Continuar.
Se a regra de avaliação não for válida, é apresentado um erro.
Selecione uma gravidade das conclusões adequada.
Escreva as instruções de correção para que os responsáveis pela resposta a incidentes e os administradores da sua organização possam resolver todas as conclusões relativas ao controlo na nuvem. Clique em Continuar.
Reveja as suas entradas e, de seguida, clique em Criar.
Edite um controlo na nuvem personalizado
Depois de criar um controlo na nuvem, pode alterar o respetivo nome, descrição, regras, passos de correção e nível de gravidade. Não pode alterar a categoria do controlo na nuvem.
Na Google Cloud consola, aceda à página Conformidade.
Selecione a sua organização.
No separador Configurar, clique em Controlos na nuvem. É apresentada a lista de controlos na nuvem disponíveis.
Clique no controlo na nuvem que quer editar.
Na página Detalhes dos controlos na nuvem, verifique se o controlo na nuvem não está incluído numa estrutura. Se necessário, edite a estrutura para remover o controlo na nuvem.
Clique em Edit.
Na página Editar controlo na nuvem personalizado, altere o nome e a descrição conforme necessário. Clique em Continuar.
Atualizar as regras, a gravidade da localização e os passos de remediação. Clique em Continuar.
Reveja as alterações e clique em Guardar.
Atualize um controlo na nuvem integrado para um lançamento mais recente
A Google publica atualizações regulares aos seus controlos na nuvem integrados à medida que os serviços implementam novas funcionalidades ou surgem novas práticas recomendadas. As atualizações podem incluir novos controlos ou alterações aos controlos existentes.
Pode ver os lançamentos de controlos na nuvem incorporados no painel de controlo na nuvem no separador Configurar ou na página de detalhes dos controlos na nuvem.
A Google envia-lhe uma notificação nas notas de lançamento quando os seguintes itens são atualizados:
- Nome do controlo da nuvem
- Categoria dos resultados
- Alteração na lógica de deteção ou preventiva numa regra
- Lógica subjacente de uma regra
Para atualizar um controlo na nuvem depois de receber uma notificação, tem de anular a atribuição e voltar a implementar as frameworks que incluem o controlo na nuvem. Para ver instruções, consulte o artigo Atualize uma framework para uma versão mais recente.
Elimine um controlo da nuvem personalizado
Elimine um controlo na nuvem quando já não for necessário. Só pode eliminar os controlos na nuvem que criou. Não pode eliminar os controlos na nuvem incorporados.
Na Google Cloud consola, aceda à página Conformidade.
Selecione a sua organização.
No separador Configurar, clique em Controlos na nuvem. É apresentada a lista de controlos na nuvem disponíveis.
Clique no controlo na nuvem que quer eliminar.
Na página Detalhes dos controlos na nuvem, verifique se o controlo na nuvem não está incluído numa estrutura. Se necessário, edite a estrutura para remover o controlo na nuvem.
Clique em Eliminar.
Na janela Eliminar, reveja a mensagem. Escreva
Deletee clique em Confirmar.
Mapeamento de detetores do Security Health Analytics para controlos na nuvem
A tabela seguinte mostra como os controlos na nuvem do Compliance Manager são mapeados para os detetores do Security Health Analytics.
| Categoria de resultados na análise de estado de segurança | Nome do controlo na nuvem no Gestor de conformidade |
|---|---|
|
Ative a Transparência de acesso |
|
Bloqueie funções de administrador de contas de serviço |
|
Configure as definições de entrada permitidas para a restrição da política da organização do Cloud Run |
|
Configure as definições de saída da VPC permitidas para a restrição de políticas da organização do Cloud Run |
|
Ative as cópias de segurança automáticas do AlloyDB no cluster |
|
Ative as cópias de segurança do AlloyDB no cluster |
|
Ative as CMEK para clusters do AlloyDB |
|
Defina o sinalizador de detalhe do erro de registo para instâncias do AlloyDB |
|
Defina o sinalizador de declaração de erro mínimo do registo para instâncias do AlloyDB |
|
Defina a flag Log Min Messages para instâncias do AlloyDB |
|
Bloqueie endereços IP públicos para instâncias de clusters do AlloyDB |
|
Desative as funcionalidades alfa em clusters do GKE |
|
Restrinja as chaves da API apenas às APIs necessárias |
|
Não disponível |
|
Exija a alteração da chave da API |
|
Configure métricas de registo e alertas para alterações de registo de auditoria |
|
Implemente o registo de eventos para os serviços Google Cloud |
|
Ative as cópias de segurança automáticas para bases de dados do Cloud SQL |
|
Ative a reparação automática para clusters do GKE |
|
Ative a atualização automática em clusters do GKE |
|
Ative as CMEK para tabelas do BigQuery |
|
Exija a autorização binária num cluster |
|
Ative as CMEK para contentores do Cloud Storage |
|
Configure métricas de registo e alertas para alterações à Política IAM do Cloud Storage |
|
Exija o registo em contentores do Cloud Storage |
|
Ative o acesso de nível de contentor uniforme nos contentores do Cloud Storage |
|
Ative o serviço Cloud Asset Inventory |
|
Ative o Cloud Logging em clusters do GKE |
|
Ative o Cloud Monitoring em clusters do GKE |
|
Ative o acesso privado à Google numa instância |
|
Ative a encriptação em clusters do GKE |
|
Ative os nós do GKE protegidos num cluster |
|
Bloqueie chaves SSH ao nível do projeto em instâncias do Compute Engine |
|
Ative o arranque seguro em instâncias do Compute Engine |
|
Bloqueie portas de série para instâncias do Compute Engine |
|
Ative a computação confidencial para instâncias do Compute Engine |
|
Exija o SO otimizado para contentores para um cluster do GKE |
|
Não disponível |
|
Configure métricas de registo e alertas para alterações de funções personalizadas |
|
Exija CMEK em clusters do Dataproc |
|
Use as versões de imagem mais recentes em clusters do Dataproc |
|
Ative as CMEK para conjuntos de dados do BigQuery |
|
Use redes com regras de firewall personalizadas |
|
Use contas de serviço personalizadas para instâncias do Compute Engine |
|
Configure a política da organização Disable VPC External IPv6 Usage |
|
Configure a política da organização Disable VPC External IPv6 Usage |
|
Configure a política Disable VM Serial Port Logging to Stackdriver Organization |
|
Ative as CMEK em discos persistentes do Compute Engine |
|
Ative a CSEK em Persistent Disks do Compute Engine |
|
Ative a monitorização de registos do Cloud DNS |
|
Ative as DNSSEC para o Cloud DNS |
|
Aplique a regra de firewall de negação de todo o tráfego de saída |
|
Defina contactos essenciais |
|
Configure métricas de registo e alertas para alterações da firewall de rede de VPC |
|
Ative o registo de regras de firewall |
|
Ative os registos de fluxo para a sub-rede da VPC |
|
Restrinja o acesso à API às APIs Google Cloud para instâncias do Compute Engine |
|
Aplique apenas tráfego HTTPS |
|
Defina perímetros de serviço nos VPC Service Controls |
|
Ativar OS Login |
|
Ative a monitorização da integridade em clusters do GKE |
|
Ative a visibilidade intranós para clusters do GKE |
|
Ative o intervalo de alias de IP para clusters do GKE |
|
Impeça o encaminhamento de IP em instâncias do Compute Engine |
|
Defina o período de rotação para chaves do Cloud KMS |
|
Não disponível |
|
Não disponível |
|
Aplique a separação de funções |
|
Bloqueie a autorização antiga em clusters do GKE |
|
Desative os pontos finais do servidor de metadados antigos no Compute Engine |
|
Não use redes antigas |
|
Ative o registo do equilibrador de carga |
|
Bloqueie as políticas de retenção do contentor de armazenamento |
|
Configure sinks de registo |
|
Ative as redes autorizadas do plano de controlo em clusters do GKE |
|
Não disponível |
|
Configure métricas de registo e alertas para alterações à rede VPC |
|
Ative a política de rede em clusters do GKE |
|
Ative as CMEK em discos de arranque de pools de nós do GKE |
|
Ative o arranque seguro para nós do GKE protegidos |
|
Não disponível |
|
Ative o controlo de versões de objetos em contentores |
|
Bloqueie ligações a portas Cassandra de todos os endereços IP |
|
Bloquear ligações a portas CiscoSecure/WebSM de todos os endereços IP |
|
Bloqueie ligações a portas de serviços de diretório de todos os endereços IP |
|
Bloqueie ligações a portas DNS de todos os endereços IP |
|
Bloqueie as ligações às portas do Elasticsearch a partir de todos os endereços IP |
|
Não disponível |
|
Bloqueie ligações a portas FTP de todos os endereços IP |
|
Não disponível |
|
Bloqueie ligações a portas HTTP de todos os endereços IP |
|
Bloqueie ligações a portas LDAP de todos os endereços IP |
|
Bloqueie ligações a portas Memcached a partir de todos os endereços IP |
|
Bloquear ligações a portas MongoDB a partir de todos os endereços IP |
|
Bloqueie ligações a portas MySQL a partir de todos os endereços IP |
|
Bloqueie ligações a portas NetBIOS a partir de todos os endereços IP |
|
Bloqueie as ligações às portas da base de dados do Oracle a partir de todos os endereços IP |
|
Bloqueie ligações a portas do servidor POP3 a partir de todos os endereços IP |
|
Bloqueie as ligações às portas do servidor PostgreSQL a partir de todos os endereços IP |
|
Bloqueie o acesso à porta RDP |
|
Bloqueie ligações a portas do servidor Redis a partir de todos os endereços IP |
|
Bloquear ligações a portas do servidor SMTP a partir de todos os endereços IP |
|
Bloqueie o acesso à porta SSH |
|
Bloquear ligações a portas de servidor Telnet a partir de todos os endereços IP |
|
Ative a restrição da política de organização de VMs confidenciais |
|
Ative o Início de sessão do SO para todas as instâncias ao nível do projeto |
|
Use contas de serviço com o menor número possível de privilégios para clusters do GKE |
|
Crie clusters do GKE com âmbitos de acesso da conta de serviço limitados |
|
Bloqueie funções de administrador de contas de serviço |
|
Não disponível |
|
Não disponível |
|
Restrinja funções de IAM antigas |
|
Ative os clusters privados para o GKE |
|
Ative o acesso privado à Google para sub-redes de VPC |
|
Restrinja o acesso público a contentores do Cloud Storage |
|
Restrinja o acesso público a imagens de computação |
|
Restrinja o acesso público a conjuntos de dados do BigQuery |
|
Restrinja os endereços IP públicos a instâncias do Compute Engine |
|
Restrinja o acesso público a contentores do Cloud Storage |
|
Restrinja o acesso público a instâncias de base de dados do Cloud SQL |
|
Criptografe o tópico do Pub/Sub com a CMEK |
|
Ative a flag de declaração de registo para o PostgreSQL |
|
Não disponível |
|
Subscreva um cluster do GKE a um canal de lançamento |
|
Ativar OS Login |
|
Defina a saída do conetor de VPC para funções do Cloud Run |
|
Ative a restrição da política da organização "Restrinja as redes autorizadas nas instâncias do Cloud SQL" |
|
Configure métricas de registo e alertas para alterações de rotas da VPC |
|
Evite o RSASHA1 para a assinatura DNSSEC |
|
Não disponível |
|
Não disponível |
|
Exija a alteração da chave da conta de serviço |
|
Aplique a separação de funções |
|
Ative a VM protegida para instâncias do Compute Engine |
|
Restrinja a criação da rede predefinida para instâncias do Compute Engine |
|
Ative as CMEK para bases de dados do Cloud SQL |
|
Desative o indicador de autenticação de base de dados autónoma para o SQL Server |
|
Desative o indicador de encadeamento de propriedade entre bases de dados para o SQL Server |
|
Desative a flag de scripts externos para o SQL Server |
|
Configure métricas de registo e alertas para alterações de configuração do Cloud SQL |
|
Desative a flag local_infile para o MySQL |
|
Ative a flag de pontos de verificação de registos para o PostgreSQL |
|
Ative a sinalização de ligações de registo para o PostgreSQL |
|
Ative a sinalização de desativação de registos para o PostgreSQL |
|
Ative a flag de duração do registo para a instância do PostgreSQL |
|
Ative a sinalização de verbosidade de erros de registo para o PostgreSQL |
|
Desative a sinalização de estatísticas do executor de registos para o PostgreSQL |
|
Desative a sinalização de nome de anfitrião de registo para o PostgreSQL |
|
Ative a flag de espera de bloqueios de registos para a instância do PostgreSQL |
|
Desative a flag de declaração de duração mínima do registo para o PostgreSQL |
|
Ative a flag Log Min Error Statement para o PostgreSQL |
|
Não disponível |
|
Ative a flag Log Min Messages para o PostgreSQL |
|
Desative a sinalização de estatísticas do analisador de registos para o PostgreSQL |
|
Desative a sinalização Log Planner Stats para o PostgreSQL |
|
Ative a flag de declaração de registo para o PostgreSQL |
|
Ative a sinalização de ficheiros temporários de registo para a instância do PostgreSQL |
|
Não disponível |
|
Bloqueie endereços IP públicos para instâncias do Cloud SQL |
|
Desative a flag de acesso remoto para o SQL Server |
|
Ative a encriptação SSL em instâncias do AlloyDB |
|
Ative a opção Skip Show Database Flag for MySQ |
|
Ative a flag de base de dados de rastreio 3625 para o SQL Server |
|
Não use a flag de ligações de utilizadores para o SQL Server |
|
Não use a opção de utilizador para o SQL Server |
|
Não disponível |
|
Aplique o SSL a todas as ligações de base de dados recebidas |
|
Limite os utilizadores de chaves criptográficas do KMS a três |
|
Ative o acesso de nível de contentor uniforme nos contentores do Cloud Storage |
|
Restrinja as chaves de contas de serviço geridas pelo utilizador |
|
Não disponível |
|
Restrinja políticas de SSL inseguras para instâncias do Compute Engine |
|
Não use a IU Web do Kubernetes |
|
Ative a federação de identidades de cargas de trabalho para o GKE em clusters |