Security Command Center – Konzeptübersicht

Vorteile von Security Command Center

Security Command Center ist der zentrale Dienst für die Meldung von Sicherheitslücken und Bedrohungen in Google Cloud. Security Command Center trägt durch die Beurteilung Ihrer Sicherheits- und Datenangriffsfläche dazu bei, Ihren Sicherheitsstatus zu verbessern; Asset-Inventar und -Erkennung werden bereitgestellt, Fehlkonfigurationen, Sicherheitslücken und Bedrohungen werden identifiziert, und Ihnen wir dabei geholfen, Risiken zu minimieren und zu beheben.

Security Command Center-Stufen

Die ausgewählte Stufe bestimmt die eingebundenen Dienste von Security Command Center, die für Ihre Organisation verfügbar sind:

Details zu den Stufen
Features der Standard-Stufe Security Health Analytics: In der Standard-Stufe bietet Security Health Analytics verwaltetes Scannen auf Sicherheitslücken für Google Cloud. Hiermit können Sicherheitslücken und Fehlkonfigurationen mit hohem Schweregrad automatisch in Ihren Google Cloud-Assets erkannt werden. In der Standard-Stufe umfasst Security Health Analytics die folgenden Ergebnistypen: DATAPROC_IMAGE_OUTDATED LEGACY_AUTHORIZATION_ENABLED MFA_NOT_ENFORCED NON_ORG_IAM_MEMBER OPEN_CISCOSECURE_WEBSM_PORT OPEN_DIRECTORY_SERVICES_PORT OPEN_FIREWALL OPEN_GROUP_IAM_MEMBER OPEN_RDP_PORT OPEN_SSH_PORT OPEN_TELNET_PORT PUBLIC_BUCKET_ACL PUBLIC_COMPUTE_IMAGE PUBLIC_DATASET PUBLIC_IP_ADDRESS PUBLIC_LOG_BUCKET PUBLIC_SQL_INSTANCE SSL_NOT_ENFORCED WEB_UI_ENABLED Benutzerdefinierte Web Security Scanner-Analysen: In der Standardstufe unterstützt Web Security Scanner benutzerdefinierte Scans bereitgestellter Anwendungen mit öffentlichen URLs und IP-Adressen, die sich nicht hinter einer Firewall befinden. Scans werden manuell für alle Projekte konfiguriert, verwaltet und ausgeführt und unterstützen einen Teil der Kategorien in OWASP Top Ten Security Command Center-Fehler: Security Command Center bietet Erkennungshinweise und Korrekturrichtlinien für Konfigurationsfehler, die verhindern, dass Security Command Center und seine Dienste ordnungsgemäß funktionieren. Unterstützung für das Zuweisen von IAM-Rollen (Identity and Access Management) auf Organisationsebene Zugriff auf integrierte Google Cloud-Dienste, einschließlich der folgenden: Cloud Data Loss Prevention entdeckt, klassifiziert und schützt sensible Daten. Google Cloud Armor schützt Google Cloud-Deployments vor Bedrohungen. Die Anomalieerkennung identifiziert Sicherheitsanomalien für Ihre Projekte und VM-Instanzen, z. B. potenzielle gehackte Anmeldedaten und Mining von Kryptowährungen. Einbindung in BigQuery, wodurch Ergebnisse zur Analyse in BigQuery exportiert werden. Einbindung in Forseti Security, das Open-Source-Sicherheitstoolkit für Google Cloud und Drittanbieter-Sicherheitsinformationen und Ereignisverwaltungsanwendungen (SIEM).
Features der Premium-Stufe Die Premium-Stufe umfasst alle Features der Standardstufe und umfasst zusätzlich Folgendes: Event Threat Detection verwendet Bedrohungsinformationen, maschinelles Lernen und andere erweiterte Methoden, um Cloud Logging und Google Workspace in Ihrem Unternehmen zu überwachen und die folgenden Bedrohungen zu erkennen: Malware Kryptomining Brute-Force-SSH Ausgehender DoS Ungewöhnliche IAM-Gewährung Daten-Exfiltration Event Threat Detection erkennt außerdem folgende Google Workspace-Bedrohungen: Gehackte Passwörter Versuchte Kontoverletzungen Änderungen an den Einstellungen für die 2-Schritte-Bestätigung Änderungen an den Einstellungen für die Einmalanmeldung (SSO) Von staatlichen Stellen unterstützter Angriff Container Threat Detection erkennt die folgenden Container-Laufzeitangriffe: Ausgeführte Binärdatei hinzugeführt Hinzugefügte Mediathek geladen Schädliches Skript ausgeführt Reverse Shell Virtual Machine Threat Detection erkennt Anwendungen zum Mining von Kryptowährungen, die in VM-Instanzen ausgeführt werden. Security Health Analytics: Die Premium-Stufe umfasst verwaltete Scans auf Sicherheitslücken für alle Detektoren von Security Health Analytics (über 140) und bietet Monitoring für viele branchenübliche Best Practices sowie Compliance-Monitoring für alle Ihrer Google Cloud-Assets. Diese Ergebnisse können Sie in einem Compliance-Dashboard prüfen und als verwaltbare CSV-Dateien exportieren. In der Premium-Stufe umfasst Security Health Analytics das Monitoring und die Berichterstattung für folgende Standards: CIS 1.2 CIS 1.1 CIS 1.0 PCI DSS v3.2.1 NIST 800–53 ISO 27001 Web Security Scanner in der Premium-Stufe umfasst alle Features der Standard-Stufe und zusätzliche Detektoren, die Kategorien in den OWASP Top Ten unterstützen. Hinweis: Die Kategorie A09:2021 Sicherheits-Logging und -Monitoring-Fehler (früher A10:2017 Unzureichende Protokollierung und Überwachung)) wird nicht unterstützt. In dieser Kategorie werden Ineffizienzen beschrieben, mit denen Angreifer unerkannt bleiben können. Im Gegensatz zu den anderen neun OWASP-Kategorien bezieht sich sie nicht auf bestimmte Sicherheitslücken, die Angreifer ausnutzen können. Ebenso kann Web Security Scanner keine Webanwendungen angreifen, um eine erkennbare Antwort auszulösen. Die in dieser Kategorie enthaltenen Probleme erfordern eine menschliche Beurteilung. Web Security Scanner fügt außerdem verwaltete Scans hinzu, die automatisch konfiguriert werden. Bei diesen Scans werden die folgenden Sicherheitslücken in Ihren Google Cloud-Anwendungen ermittelt: Cross-Site-Scripting (XSS) Flash Injection Gemischte Inhalte Klartext-Passwörter Verwendung von unsicheren JavaScript-Bibliotheken Die Premium-Stufe umfasst Unterstützung für die Zuweisung von IAM-Rollen an Nutzer auf Organisations-, Ordner- und Projektebene. Die Premium-Stufe umfasst das Feature Kontinuierliche Exporte, mit dem automatisch Exporte neuer Ergebnisse nach Pub/Sub verwaltet werden. Sie können zusätzliche Kontingente für Cloud Asset Inventory anfordern, wenn erweitertes Asset-Monitoring erforderlich ist. Der Secured Landing Zone Service kann nur in der Premium-Stufe von Security Command Center aktiviert werden. Wenn dieser Dienst aktiviert ist, werden bei Richtlinienverstößen in den Ressourcen des bereitgestellten Blueprints Ergebnisse angezeigt, entsprechende Benachrichtigungen generiert und selektiv automatische Abhilfemaßnahmen ergriffen. Vorschau Diese Funktion unterliegt den Nutzungsbedingungen des Pre-GA-Angebots der Google Cloud-Nutzungsbedingungen. Pre-GA-Funktionen werden möglicherweise nur eingeschränkt unterstützt. Änderungen an Pre-GA-Funktionen sind möglicherweise nicht mit anderen Pre-GA-Versionen kompatibel. Weitere Informationen finden Sie unter Beschreibungen der Startphase. VM Manager-Berichte zu Sicherheitslücken Vorschau Diese Funktion unterliegt den Nutzungsbedingungen des Pre-GA-Angebots der Google Cloud-Nutzungsbedingungen. Pre-GA-Funktionen werden möglicherweise nur eingeschränkt unterstützt. Änderungen an Pre-GA-Funktionen sind möglicherweise nicht mit anderen Pre-GA-Versionen kompatibel. Weitere Informationen finden Sie unter Beschreibungen der Startphase. Wenn Sie VM Manager aktivieren, schreibt der Dienst die Erkenntnisse aus seinen Berichten zu Sicherheitslücken, die sich in der Vorschau befinden, automatisch in das Security Command Center. Die Berichte identifizieren Sicherheitslücken in den Betriebssystemen, die auf virtuellen Compute Engine-Maschinen installiert sind. Weitere Informationen finden Sie unter VM Manager.

Informationen zu den Kosten für die Verwendung einer Security Command Center-Stufe finden Sie unter Preise.

Wenn Sie die Security Command Center-Premiumstufe abonnieren möchten, wenden Sie sich an Ihren Kundenbetreuer.

Sicherheitsstatus verbessern

Security Command Center verwendet Cloud Asset Inventory, um einen vollständigen Einblick in Ihre Google Cloud-Infrastruktur und -Ressourcen zu erhalten, die auch als Assets bezeichnet werden. Integrierte Dienste wie Security Health Analytics, Event Threat Detection, Container Threat Detection und Web Security Scanner, verwenden fast 200 Erkennungsmodule, die Ihre Assets, Webanwendungen sowie den Cloud Logging Stream, die Google Workspace-Logs und Google Groups kontinuierlich überwachen und scannen.

Durch die Bedrohungsinformationen, das maschinelle Lernen und die einzigartigen Informationen von Google zur Architektur von Google Cloud erkennt Security Command Center Sicherheitslücken, Fehlkonfigurationen, Bedrohungen und Compliance-Verstöße nahezu in Echtzeit. Sicherheitsergebnisse und Compliance-Berichte unterstützen Sie dabei, Risiken zu bewerten und Prioritäten zu setzen. Sie erhalten außerdem verifizierte Anleitungen zur Fehlerbehebung sowie Tipps von Experten, um auf Ergebnisse zu reagieren.

Die folgende Abbildung zeigt die Kerndienste und Vorgänge im Security Command Center.

Umfassendes Inventar an Assets, Daten und Diensten

Security Command Center nimmt Daten zu neuen, geänderten und gelöschten Assets aus Cloud Asset Inventory auf, das kontinuierlich Assets in Ihrer Cloudumgebung überwacht. Security Command Center unterstützt eine große Teilmenge der Google Cloud-Assets. Bei den meisten Assets werden Konfigurationsänderungen, einschließlich IAM- und Organisationsrichtlinien, nahezu in Echtzeit erkannt. Sie können Änderungen in Ihrer Organisation schnell erkennen und folgende Fragen beantworten:

• Wie viele Projekte haben Sie und wie viele Projekte sind neu?
• Welche Google Cloud-Ressourcen sind bereitgestellt oder in Verwendung, wie virtuelle Maschinen (VMs) der Compute Engine, Cloud Storage-Buckets oder App Engine-Instanzen?
• Wie sieht der Bereitstellungsverlauf aus?
• Wie können Sie die folgenden Kategorien organisieren, kommentieren, in ihnen suchen, auswählen, filtern und sortieren?
  • Assets und Asset-Attribute
  • Sicherheitsmarkierungen, mit denen Sie Assets oder Ergebnisse in Security Command Center annotieren können
  • Zeitraum

Security Command Center kennt immer den aktuellen Status der unterstützten Assets und in der Google Cloud Console oder der Security Command Center API können Sie frühere Discovery-Scans prüfen, um Assets zwischen zwei Zeitpunkten zu vergleichen. Sie können auch nach nicht ausgelasteten Assets wie virtuellen Maschinen oder inaktiven IP-Adressen suchen.

Umsetzbare Erkenntnisse zur Sicherheit

Die integrierten Dienste von Security Command Center überwachen Ihre Assets und Logs kontinuierlich auf Indikatoren für Kompromisse und Konfigurationsänderungen, die bekannten Bedrohungen, Sicherheitslücken und Fehlkonfigurationen entsprechen. Um Kontext für Vorfälle zu bieten, werden Ergebnisse mit Informationen aus den folgenden Quellen angereichert:

• Chronicle, ein Google Cloud-Dienst, der Ergebnisse von Event Threat Detection aufnimmt und mit dem Sie Bedrohungen untersuchen und verwandte Entitäten in einer einheitlichen Zeitachse durchblättern können
• VirusTotal, ein Alphabet-eigener Dienst, der Kontext zu potenziell schädlichen Dateien, URLs, Domains und IP-Adressen bereitstellt
• MITRE-ATT&CK-Framework, das Techniken für Angriffe auf Cloud-Ressourcen erläutert und Anleitungen zur Behebung bietet
• Cloud-Audit-Logs (Administratoraktivitätslogs und Datenzugriffslogs)

Sie erhalten Benachrichtigungen zu neuen Ergebnissen nahezu in Echtzeit, damit Ihre Sicherheitsteams Daten erheben, Bedrohungen ermitteln und Maßnahmen ergreifen können, bevor sie zu Schäden oder Verlusten für das Unternehmen führen.

Mit einem zentralisierten Dashboard und einer robusten API können Sie schnell Folgendes tun:

• Fragen beantworten, wie:
  • Welche statischen IP-Adressen sind öffentlich zugänglich?
  • Welche Images werden auf den VMs ausgeführt?
  • Gibt es Beweise, dass Ihre VMs für das Mining von Kryptowährungen oder andere missbräuchliche Vorgänge verwendet werden?
  • Welche Dienstkonten wurden hinzugefügt oder entfernt?
  • Wie werden Firewalls konfiguriert?
  • Welche Storage-Buckets enthalten personenbezogene Daten oder vertrauliche Daten? Dieses Feature muss in Cloud Data Loss Prevention eingebunden werden.
  • Welche Cloud-Anwendungen sind anfällig für XSS-Sicherheitslücken (Cross-Site-Scripting)?
  • Sind meine Cloud Storage-Buckets mit dem Internet verbunden?
• Ergreifen Sie Maßnahmen, um Ihre Assets zu schützen:
  • Implementieren Sie bestätigte Korrekturschritte für Fehlkonfigurationen von Assets und Compliance-Verstöße.
  • Kombinieren Sie Bedrohungsinformationen von Google Cloud und Drittanbietern wie Palo Alto Networks, um Ihr Unternehmen besser vor kostspieligen Bedrohungen auf Computing-Ebene zu schützen.
  • Prüfen Sie, ob die entsprechenden IAM-Richtlinien vorhanden sind. Sie werden benachrichtigt, wenn Richtlinien falsch konfiguriert oder unerwartet geändert werden.
  • Integrieren Sie Ergebnisse aus Ihren eigenen oder Drittanbieterquellen für Google Cloud-Ressourcen oder Hybrid- oder Multi-Cloud-Ressourcen. Weitere Informationen finden Sie unter Sicherheitsdienst eines Drittanbieters hinzufügen.
  • Reagieren Sie auf Bedrohungen in Ihrer Google Workspace-Umgebung und auf unsichere Änderungen in Google Groups.

Security Command Center-Rollen werden auf Organisations-, Ordner- oder Projektebene zugewiesen. Die Möglichkeit, Ergebnisse, Assets und Sicherheitsquellen anzusehen, zu bearbeiten, zu erstellen oder zu aktualisieren, hängt von der Ebene ab, auf die Sie Zugriff haben. Weitere Informationen zu Security Command Center-Rollen finden Sie unter Zugriffssteuerung.

Einhaltung von Branchenstandards

Compliance-Berichte sind als Teil von Security Health Analytics verfügbar. Die meisten Detektoren des Dienstes sind einem oder mehreren der folgenden Compliancestandards zugeordnet:

• CIS Google Cloud Computing Foundations Benchmark v1.2.0 (CIS Google Cloud Foundation 1.0)
• CIS Google Cloud Computing Foundations Benchmark v1.1.0 (CIS Google Cloud Foundation 1.1)
• CIS Google Cloud Computing Foundations Benchmark v1.0.0 (CIS Google Cloud Foundation 1.0)
• Payment Card Industry Data Security Standard 3.2.1
• National Institute of Standards and Technology 800-53
• International Organization for Standardization 27001
• Open Web Application Security Project (OWASP) Top Ten

Security Health Analytics wertet den Sicherheitsstatus kontinuierlich anhand von Compliancestandards aus. Außerdem können Sie mit Security Command Center Folgendes tun:

• Compliance-Verstöße, die mit Ergebnissen verbunden sind, überwachen und beheben.
• Cloud-Audit-Logging-Ereignisse für Compute Engine, Netzwerkdienste, Cloud Storage, IAM und Binärautorisierung integrieren. So können Sie regulatorische Anforderungen erfüllen oder einen Audit-Trail bereitstellen, während Sie Vorfälle untersuchen.
• Wenn Sie Security Command Center Premium abonnieren, erhalten Sie zusätzliche Berichts- und Exportoptionen, damit alle Ressourcen die Complianceanforderungen erfüllen.

Flexible Plattform für Ihre Sicherheitsanforderungen

Security Command Center enthält Integrationsoptionen, mit denen Sie das Dienstprogramm des Dienstes optimieren können, um Ihren sich ändernden Sicherheitsanforderungen gerecht zu werden:

• Mit Pub/Sub Ergebnisse zur Analyse in Splunk oder andere SIEM-Tools exportieren.
• Mit Pub/Sub und Cloud Functions Ergebnisse schnell und automatisch beheben.
• Auf Open-Source-Tools zugreifen, um die Funktionalität zu erweitern und Antworten zu automatisieren.
• Mit Google Cloud-Sicherheitstools integrieren, einschließlich der folgenden:
  • Chronicle
  • Anomalieerkennung
  • Binärautorisierung
  • Cloud DLP
  • Google Cloud Armor
  • Forseti
  • Risk Manager
  • VM Manager
• Mit Sicherheitslösungen von Drittanbietern integrieren:
  • Die Google Cloud-Sicherheitsinformationen von Partnerprodukten werden in Security Command Center zusammengefasst und können in vorhandene Systeme und Workflows eingespeist werden.

Verwendungsweise von Security Command Center

Die folgende Tabelle enthält allgemeine Produktfeatures, Anwendungsfälle und Links zu relevanten Dokumentationen, damit Sie die benötigten Inhalte schnell finden können.

Feature	Anwendungsfälle	Verwandte Dokumente
Asset-Erkennung und Inventar	Entdecken Sie Assets, Dienste und Daten in Ihrer Organisation und sehen Sie sie an einem zentralen Ort an. Bewerten Sie Sicherheitslücken für unterstützte Assets und ergreifen Sie Maßnahmen, um Korrekturen für die schwerwiegendsten Probleme zu priorisieren. Prüfen Sie frühere Discovery-Scans, um neue, geänderte oder gelöschte Assets zu identifizieren.	Optimize-Sicherheitsbefehlszentrale Zugriffssteuerung Security Command Center-Dashboard verwenden Asset-Erkennung konfigurieren Assets auflisten
Identifikation von vertraulichen Daten	Finden Sie mit Cloud DLP heraus, wo sensible und regulierte Daten gespeichert werden. Verhindern Sie unbeabsichtigte Gefährdungen und achten Sie darauf, dass nur Personen mit berechtigtem Interesse Zugriff erhalten.	Cloud DLP-Ergebnisse an SCC senden
SIEM- und SOAR-Integration	Security Command Center-Daten ganz einfach in externe Systeme exportieren.	Security Command Center-Daten exportieren Kontinuierliche Exporte
Erkennung von Sicherheitslücken	Lassen Sie sich proaktiv über neue Sicherheitslücken und Änderungen auf Ihrer Angriffsfläche informieren. Ermitteln Sie häufige Sicherheitslücken wie Cross-Site-Scripting (XSS) und Flash Injection, die Ihre Anwendungen gefährden.	Web Security Scanner – Übersicht Ergebnisse zu Sicherheitslücken
Monitoring der Zugriffssteuerung	Stellen Sie sicher, dass die entsprechenden Richtlinien zur Zugriffssteuerung für Ihre Google Cloud-Ressourcen vorhanden sind. Sie werden benachrichtigt, wenn Richtlinien falsch konfiguriert oder unerwartet geändert werden.	Zugriffssteuerung
Bedrohungserkennung	Ermitteln Sie bösartige Aktivitäten und Nutzer in Ihrer Infrastruktur und erhalten Sie Benachrichtigungen bei aktiven Bedrohungen.	Event Threat Detection – Übersicht Container Threat Detection – Übersicht
Fehlererkennung	Benachrichtigungen zu Fehlern und Fehlkonfigurationen erhalten, die verhindern, dass Security Command Center und seine Dienste wie vorgesehen funktionieren.	Security Command Center-Fehler – Übersicht
Risiken beheben	Implementieren Sie verifizierte und empfohlene Anweisungen zur Fehlerbehebung, um Assets schnell zu schützen. Konzentrieren Sie sich auf die wichtigsten Felder in einem Ergebnis, um Sicherheitsanalysten schnell die Möglichkeit zu geben, fundierte Entscheidungen zu treffen. Reichern Sie zugehörige Sicherheitslücken und Bedrohungen an und verbinden Sie sie, um TTPs zu identifizieren und zu erfassen. Beheben Sie Fehler und Fehlkonfigurationen, die verhindern, dass Security Command Center und seine Dienste wie vorgesehen funktionieren.	Bedrohungen untersuchen und darauf reagieren Behebung von Security Health Analytics-Ergebnissen Web Security Scanner-Ergebnisse beheben Automatisierung der Sicherheitsantwort Fehler im Security Command Center beheben
Eingaben von Sicherheitstools von Drittanbietern	Integrieren Sie die Ausgabe Ihrer vorhandenen Sicherheitstools wie Cloudflare, CrowdStrike, Prisma Cloud von Palo Alto Networks und Qualys in das Security Command Center. Durch die Einbindung der Ausgabe können Sie Folgendes erkennen: DDoS-Angriffe Manipulierte Endpunkte Compliance-Richtlinienverstöße Netzwerkangriffe Sicherheitslücken und Bedrohungen für Instanzen	Security Command Center konfigurieren Sicherheitsquellen erstellen und verwalten
Benachrichtigungen in Echtzeit	Erhalten Sie Security Command Center-Benachrichtigungen per E-Mail, SMS, Slack, WebEx und anderen Diensten mit Pub/Sub-Benachrichtigungen. Passen Sie Ergebnisfilter an, um Ergebnisse auf Zulassungslisten auszuschließen.	Ergebnisbenachrichtigungen einrichten E-Mail- und Chatbenachrichtigungen in Echtzeit aktivieren Sicherheitsmarkierungen verwenden Security Command Center-Daten exportieren Benachrichtigungen filtern Assets zu Zulassungslisten hinzufügen
REST API und Client-SDKs	Verwenden Sie die Security Command Center REST API oder Client-SDKs, um die Einbindung in Ihre vorhandenen Sicherheitssysteme und Workflows zu vereinfachen.	Security Command Center konfigurieren Programmatischer Zugriff auf Security Command Center Security Command Center API

Nächste Schritte

• Erste Schritte mit der Kurzanleitung für Security Command Center
• Weitere Informationen zur Sicherheit der Google Cloud
• Weitere Informationen zur Verwendung des Security Command Center-Dashboards