O Compliance Manager inclui muitos controles de nuvem integrados que podem ser adicionados a frameworks e implantados no seu ambiente. Se necessário, crie e gerencie seus próprios controles de nuvem personalizados e atualize os controles de nuvem integrados.
Antes de começar
-
Para receber as permissões necessárias para gerenciar frameworks de controles na nuvem, peça ao administrador para conceder a você os seguintes papéis do IAM na sua organização:
-
Administrador do Compliance Manager (
roles/cloudsecuritycompliance.admin) -
Para criar ou modificar controles na nuvem com base em políticas da organização, faça uma destas ações:
-
Administrador de políticas da organização (
roles/orgpolicy.policyAdmin) -
Administrador do Assured Workloads (
roles/assuredworkloads.admin) -
Editor do Assured Workloads (
roles/assuredworkloads.editor)
-
Administrador de políticas da organização (
Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.
Também é possível conseguir as permissões necessárias usando papéis personalizados ou outros papéis predefinidos.
-
Administrador do Compliance Manager (
Ver controles de nuvem
Siga estas etapas para conferir os controles de nuvem integrados e os controles personalizados que você já criou.
No console Google Cloud , acesse a página Conformidade.
Selecione a organização.
Na guia Configurar, clique em Controles na nuvem. Os controles de nuvem disponíveis são mostrados.
O painel inclui informações sobre quais frameworks incluem o controle de nuvem e o número de recursos (organização, pastas e projetos) em que ele é aplicado.
Para ver detalhes sobre um controle de nuvem, clique no nome dele.
Criar Cloud Control personalizado
Um controle personalizado da nuvem se aplica a apenas um tipo de recurso. O único tipo de dados aceito são os recursos do Inventário de recursos do Cloud. Os controles personalizados da nuvem não são compatíveis com parâmetros.
No console Google Cloud , acesse a página Conformidade.
Selecione a organização.
Na guia Configurar, clique em Controles na nuvem. A lista de controles de nuvem disponíveis é exibida.
Crie um controle de nuvem com o Gemini ou manualmente:
Usar o Gemini
Peça ao Gemini para gerar um controle de nuvem. Com base no seu comando, o Gemini fornece um identificador exclusivo, um nome, uma lógica de detecção associada e possíveis etapas de correção.
Revise as recomendações e faça as mudanças necessárias.
Salve o controle de nuvem personalizado.
Criar manualmente
Em ID de controle do Cloud, forneça um identificador exclusivo para seu controle.
Insira um nome e uma descrição para ajudar os usuários da sua organização a entender a finalidade do controle de nuvem personalizado.
Opcional: selecione as categorias do controle. Clique em Continuar.
Selecione um tipo de recurso disponível para seu controle de nuvem personalizado. O Compliance Manager é compatível com todos os tipos de recursos. Para encontrar o nome de um recurso, consulte Tipos de recursos.
Forneça a lógica de detecção para seu controle de nuvem no formato Common Expression Language (CEL).
Com as expressões CEL, é possível definir como você quer avaliar as propriedades de um recurso. Para mais informações e exemplos, consulte Escrever regras para controles de nuvem personalizados. Clique em Continuar.
Se a regra de avaliação não for válida, um erro será exibido.
Selecione uma gravidade de descoberta adequada.
Escreva instruções de correção para que os responsáveis pela resposta a incidentes e os administradores da sua organização possam resolver qualquer descoberta para o controle da nuvem. Clique em Continuar.
Revise as entradas e clique em Criar.
Editar um controle de nuvem personalizado
Depois de criar um controle na nuvem, é possível mudar o nome, a descrição, as regras, as etapas de correção e o nível de gravidade dele. Não é possível mudar a categoria do controle de nuvem.
No console Google Cloud , acesse a página Conformidade.
Selecione a organização.
Na guia Configurar, clique em Controles na nuvem. A lista de controles de nuvem disponíveis é exibida.
Clique no controle de nuvem que você quer editar.
Na página Detalhes do controle da nuvem, verifique se o controle não está incluído em uma estrutura. Se necessário, edite a estrutura para remover o controle de nuvem.
Clique em Editar.
Na página Editar controle de nuvem personalizado, mude o nome e a descrição conforme necessário. Clique em Continuar.
Atualize as regras, a gravidade da descoberta e as etapas de correção. Clique em Continuar.
Revise as mudanças e clique em Salvar.
Atualizar um controle de nuvem integrado para uma versão mais recente
O Google publica atualizações regulares dos controles de nuvem integrados à medida que os serviços implantam novos recursos ou novas práticas recomendadas surgem. As atualizações podem incluir novos controles ou mudanças nos controles atuais.
É possível conferir as versões dos controles integrados na nuvem no painel de controle da nuvem, na guia Configurar ou na página de detalhes do controle na nuvem.
O Google envia uma notificação nas notas da versão quando os seguintes itens são atualizados:
- Nome do Cloud Control
- Categoria da descoberta
- Mudança na lógica de detecção ou prevenção em uma regra
- Lógica subjacente de uma regra
Para atualizar um controle de nuvem depois de receber uma notificação, é necessário cancelar a atribuição e reimplantar as estruturas que incluem o controle de nuvem. Para instruções, consulte Atualizar um framework para uma versão mais recente.
Excluir um controle de nuvem personalizado
Exclua um controle de nuvem quando ele não for mais necessário. Só é possível excluir controles de nuvem que você criou. Não é possível excluir controles integrados da nuvem.
No console Google Cloud , acesse a página Conformidade.
Selecione a organização.
Na guia Configurar, clique em Controles na nuvem. A lista de controles de nuvem disponíveis é exibida.
Clique no controle de nuvem que você quer excluir.
Na página Detalhes do controle da nuvem, verifique se o controle não está incluído em uma estrutura. Se necessário, edite a estrutura para remover o controle de nuvem.
Clique em Excluir.
Na janela Excluir, revise a mensagem. Digite
Deletee clique em Confirmar.
Mapeamento dos detectores do Security Health Analytics para controles de nuvem
A tabela a seguir mostra como os controles de nuvem do Gerenciador de compliance são mapeados para os detectores do Security Health Analytics.
| Categoria de descoberta no Security Health Analytics | Nome do controle de nuvem no Gerenciador de compliance |
|---|---|
|
Ativar a transparência no acesso |
|
Bloquear funções de administrador em contas de serviço |
|
Configurar a restrição de política da organização do Cloud Run para configurações de entrada permitidas |
|
Configurar a restrição da política da organização de saída de VPC permitida para o Cloud Run |
|
Ativar backups automáticos do AlloyDB no cluster |
|
Ativar backups do AlloyDB no cluster |
|
Ativar a CMEK para clusters do AlloyDB |
|
Definir a flag de nível de detalhes do erro de registro para instâncias do AlloyDB |
|
Definir a flag de instrução de erro mínima do registro para instâncias do AlloyDB |
|
Definir a flag "Log Min Messages" para instâncias do AlloyDB |
|
Bloquear endereços IP públicos para instâncias de cluster do AlloyDB |
|
Desativar recursos Alfa em clusters do GKE |
|
Restringir chaves de API apenas para as APIs necessárias |
|
Indisponível |
|
Exigir rotação da chave de API |
|
Configurar métricas e alertas de registro para mudanças no Audit Logging |
|
Implementar o registro de eventos para serviços do Google Cloud |
|
Ativar backups automáticos para bancos de dados do Cloud SQL |
|
Ativar o reparo automático para clusters do GKE |
|
Ativar o upgrade automático em clusters do GKE |
|
Ativar a CMEK para tabelas do BigQuery |
|
Exigir autorização binária em um cluster |
|
Ativar a CMEK para buckets do Cloud Storage |
|
Configurar métricas e alertas de registros para mudanças na política do IAM do Cloud Storage |
|
Exigir geração de registros do bucket do Cloud Storage |
|
Ativar o acesso uniforme no nível do bucket nos buckets do Cloud Storage |
|
Ativar o serviço do Inventário de recursos do Cloud |
|
Ativar o Cloud Logging em clusters do GKE |
|
Ativar o Cloud Monitoring em clusters do GKE |
|
Ativar o Acesso privado do Google em uma instância |
|
Ativar a criptografia em clusters do GKE |
|
Ativar nós protegidos do GKE em um cluster |
|
Bloquear chaves SSH em todo o projeto em instâncias do Compute Engine |
|
Ativar a inicialização segura em instâncias do Compute Engine |
|
Bloquear portas seriais para instâncias do Compute Engine |
|
Ativar a Computação confidencial para instâncias do Compute Engine |
|
Exigir o Container-Optimized OS para um cluster do GKE |
|
Indisponível |
|
Configurar métricas e alertas de registro para mudanças de função personalizada |
|
Exigir CMEK em clusters do Dataproc |
|
Usar as versões mais recentes de imagens em clusters do Dataproc |
|
Ativar a CMEK para conjuntos de dados do BigQuery |
|
Usar redes com regras de firewall personalizadas |
|
Usar contas de serviço personalizadas para instâncias do Compute Engine |
|
Configurar a política da organização "Desativar o uso do IPv6 externo da VPC" |
|
Configurar a política da organização "Desativar o uso do IPv6 externo da VPC" |
|
Configurar a política da organização "Desativar o registro da porta serial da VM para o Stackdriver" |
|
Ativar a CMEK em discos permanentes do Compute Engine |
|
Ativar CSEK em discos permanentes do Compute Engine |
|
Ativar o monitoramento de registros do Cloud DNS |
|
Ativar a DNSSEC para o Cloud DNS |
|
Aplicar a regra de firewall de saída "Negar tudo" |
|
Definir contatos essenciais |
|
Configurar métricas e alertas de registro para mudanças no firewall de rede VPC |
|
Ativar a geração de registros de regras de firewall |
|
Ativar registros de fluxo para sub-rede VPC |
|
Restringir o acesso à API às APIs do Google Cloud para instâncias do Compute Engine |
|
Aplicar somente o tráfego HTTPS |
|
Definir perímetros de serviço no VPC Service Controls |
|
Ativar o Login do SO |
|
Ativar o monitoramento de integridade nos clusters do GKE |
|
Ativar a visibilidade intranós para clusters do GKE |
|
Ativar o intervalo de alias de IP para clusters do GKE |
|
Impedir o encaminhamento de IP em instâncias do Compute Engine |
|
Definir o período de rotação das chaves do Cloud KMS |
|
Indisponível |
|
Indisponível |
|
Aplicar a separação de tarefas |
|
Bloquear a autorização legada em clusters do GKE |
|
Desativar endpoints legados do servidor de metadados no Compute Engine |
|
Não usar redes legadas |
|
Ativar a geração de registros do balanceador de carga |
|
Bloquear políticas de retenção de buckets de armazenamento |
|
Configurar coletores de registros |
|
Ativar as redes autorizadas do plano de controle nos clusters do GKE |
|
Indisponível |
|
Configurar métricas e alertas de registro para mudanças na rede VPC |
|
Ativar a política de rede em clusters do GKE |
|
Ativar a CMEK em discos de inicialização do pool de nós do GKE |
|
Ativar a inicialização segura para nós protegidos do GKE |
|
Indisponível |
|
Ativar o controle de versão de objeto em buckets |
|
Bloquear conexões com portas do Cassandra de todos os endereços IP |
|
Bloquear conexões com portas CiscoSecure/WebSM de todos os endereços IP |
|
Bloquear conexões com portas de serviços de diretório de todos os endereços IP |
|
Bloquear conexões com portas DNS de todos os endereços IP |
|
Bloquear conexões com portas do Elasticsearch de todos os endereços IP |
|
Indisponível |
|
Conexões bloqueadas com portas FTP de todos os endereços IP |
|
Indisponível |
|
Bloquear conexões com portas HTTP de todos os endereços IP |
|
Bloquear conexões com portas LDAP de todos os endereços IP |
|
Bloquear conexões com portas do Memcached de todos os endereços IP |
|
Bloquear conexões com portas do MongoDB de todos os endereços IP |
|
Bloquear conexões com portas do MySQL de todos os endereços IP |
|
Bloquear conexões com portas NetBIOS de todos os endereços IP |
|
Bloquear conexões com portas do Oracle Database de todos os endereços IP |
|
Bloquear conexões com portas do servidor POP3 de todos os endereços IP |
|
Bloquear conexões com portas do servidor PostgreSQL de todos os endereços IP |
|
Bloquear o acesso à porta RDP |
|
Bloquear conexões com portas do servidor Redis de todos os endereços IP |
|
Bloquear conexões com portas de servidor SMTP de todos os endereços IP |
|
Bloquear o acesso à porta SSH |
|
Bloquear conexões com portas de servidor Telnet de todos os endereços IP |
|
Ativar a restrição de política da organização para VM confidencial |
|
Ativar o Login do SO para todas as instâncias no nível do projeto |
|
Usar contas de serviço com privilégios mínimos para clusters do GKE |
|
Criar clusters do GKE com escopos de acesso de conta de serviço limitados |
|
Bloquear funções de administrador em contas de serviço |
|
Indisponível |
|
Indisponível |
|
Restringir papéis legados do IAM |
|
Ativar clusters particulares para o GKE |
|
Ativar o Acesso privado do Google para sub-redes da VPC |
|
Restringir o acesso público aos buckets do Cloud Storage |
|
Restringir o acesso público a imagens do Compute |
|
Restringir o acesso público aos conjuntos de dados do BigQuery |
|
Restringir endereços IP públicos a instâncias do Compute Engine |
|
Restringir o acesso público aos buckets do Cloud Storage |
|
Restringir o acesso público a instâncias de banco de dados do Cloud SQL |
|
Criptografar o tópico do Pub/Sub com CMEK |
|
Ativar a flag de instrução de registro para PostgreSQL |
|
Indisponível |
|
Inscrever um cluster do GKE em um canal de lançamento |
|
Ativar o Login do SO |
|
Definir a saída do conector de acesso VPC para funções do Cloud Run |
|
Ativar a restrição de política da organização "Restringir redes autorizadas em instâncias do Cloud SQL" |
|
Configurar métricas e alertas de registro para mudanças de rota da VPC |
|
Evitar RSASHA1 para assinatura de DNSSEC |
|
Indisponível |
|
Indisponível |
|
Exigir rotação de chaves da conta de serviço |
|
Aplicar a separação de tarefas |
|
Ativar a VM protegida para instâncias do Compute Engine |
|
Restringir a criação de redes padrão para instâncias do Compute Engine |
|
Ativar a CMEK para bancos de dados do Cloud SQL |
|
Desativar a flag de autenticação de banco de dados contido para SQL Server |
|
Desativar a flag de encadeamento de propriedade entre bancos de dados para o SQL Server |
|
Desativar a flag de scripts externos para o SQL Server |
|
Configurar métricas e alertas de registro para mudanças na configuração do Cloud SQL |
|
Desativar a flag local_infile para MySQL |
|
Ativar a flag de pontos de verificação de registros para PostgreSQL |
|
Ativar a flag "Log Connections" para PostgreSQL |
|
Ativar a flag "Log Disconnections" para PostgreSQL |
|
Ativar a flag de duração do registro para a instância do PostgreSQL |
|
Ativar a flag de verbosidade de erro de registro para PostgreSQL |
|
Desativar a flag de estatísticas do executor de registros para PostgreSQL |
|
Desativar a flag de nome do host de registro para PostgreSQL |
|
Ativar a flag de espera de bloqueios de registros para a instância do PostgreSQL |
|
Desativar a flag de instrução de duração mínima de registros para PostgreSQL |
|
Ativar a flag "Log Min Error Statement" para PostgreSQL |
|
Indisponível |
|
Ativar a flag "Log Min Messages" para PostgreSQL |
|
Desativar a flag de estatísticas do analisador de registros para PostgreSQL |
|
Desativar a flag de estatísticas do planejador de registros para PostgreSQL |
|
Ativar a flag de instrução de registro para PostgreSQL |
|
Ativar a flag "Log Temp Files" para a instância do PostgreSQL |
|
Indisponível |
|
Bloquear endereços IP públicos para instâncias do Cloud SQL |
|
Desativar a flag de acesso remoto para o SQL Server |
|
Ativar a criptografia SSL em instâncias do AlloyDB |
|
Ativar a flag "Skip Show Database" para MySQL |
|
Ativar a flag de banco de dados de rastreamento 3625 para o SQL Server |
|
Não usar a flag de conexões de usuário para o SQL Server |
|
Não use a flag de opções do usuário para o SQL Server |
|
Indisponível |
|
Aplicar SSL a todas as conexões de banco de dados de entrada |
|
Limitar usuários de chaves criptográficas do KMS a três |
|
Ativar o acesso uniforme no nível do bucket nos buckets do Cloud Storage |
|
Restringir chaves de contas de serviço gerenciadas pelo usuário |
|
Indisponível |
|
Restringir políticas de SSL inseguras para instâncias do Compute Engine |
|
Não usar a interface da Web do Kubernetes |
|
Ativar a federação de identidade da carga de trabalho do GKE em clusters |