Diese Seite bietet einen Überblick über die benutzerdefinierten Module von Security Health Analytics.
Mit benutzerdefinierten Modulen können Sie die Erkennungsfunktionen von Security Health Analytics erweitern. Erstellen Sie dazu benutzerdefinierte Detektoren, die die von Ihnen festgelegten Google Cloud-Ressourcen und ‐Richtlinien mit von Ihnen definierten Regeln zur Prüfung auf Sicherheitslücken, Fehlkonfigurationen oder Complianceverstöße scannen.
Unabhängig davon, ob Sie ein benutzerdefiniertes Modul in der Google Cloud Console erstellen oder es selbst codieren, bestimmt die Konfiguration oder Definition eines benutzerdefinierten Moduls die Ressourcen, die der Detektor prüft, die Attribute, die der Detektor auswertet, und die Informationen, die der Detektor zurückgibt, wenn eine Sicherheitslücke oder Fehlkonfiguration erkannt wird.
Sie können benutzerdefinierte Module für jede Ressource oder jedes Asset erstellen, das von Security Command Center unterstützt wird.
Wenn Sie benutzerdefinierte Moduldefinitionen selbst codieren, verwenden Sie YAML- und Common Expression Language-Ausdrücke (CEL). Wenn Sie die Google Cloud Console zum Erstellen Ihrer benutzerdefinierten Module verwenden, wird der Großteil der Codierung für Sie erledigt. Allerdings müssen Sie die CEL-Ausdrücke codieren.
Ein Beispiel für die Definition eines benutzerdefinierten Moduls in einer YAML-Datei finden Sie unter Beispiel für die Definition eines benutzerdefinierten Moduls.
Benutzerdefinierte Module werden neben den integrierten Detektoren von Security Health Analytics sowohl in Echtzeit- als auch in Batchscans ausgeführt. Im Echtzeitmodus werden Scans ausgelöst, wenn sich die Konfiguration eines Assets ändert. Batchmodus-Scans werden einmal täglich mit allen Detektoren für registrierte Organisationen oder Projekte ausgeführt.
Während eines Scans wird jeder benutzerdefinierte Detektor auf alle übereinstimmenden Assets in allen Organisationen, Ordnern oder Projekten angewendet, für die er aktiviert ist.
Ergebnisse von benutzerdefinierten Detektoren werden in Security Command Center geschrieben.
Hier finden Sie weitere Informationen:
- Benutzerdefinierte Module erstellen
- Scantypen für Security Health Analytics
- Unterstützte Ressourcentypen
- YAML
- Einführung in CEL
Integrierte Detektoren und benutzerdefinierte Module vergleichen
Mit benutzerdefinierten Modulen können Sie Dinge erkennen, die Sie mit den integrierten Detektoren von Security Health Analytics nicht erkennen können. Integrierte Detektoren unterstützen jedoch bestimmte Funktionen von Security Command Center, die von benutzerdefinierten Modulen nicht unterstützt werden.
Unterstützte Funktionen
Benutzerdefinierte Module von Security Health Analytics werden von Angriffspfadsimulationen nicht unterstützt. Daher erhalten von benutzerdefinierten Modulen erzeugte Ergebnisse keine Angriffsrisikobewertungen oder Angriffspfade.
Erkennungslogik vergleichen
Vergleichen Sie beispielsweise, was der integrierte Detektor PUBLIC_SQL_INSTANCE
prüft, und was Sie mit einem benutzerdefinierten Modul tun können.
Der integrierte Detektor PUBLIC_SQL_INSTANCE
prüft, ob das Attribut authorizedNetworks
von Cloud SQL-Instanzen auf 0.0.0.0/0
gesetzt ist. Ist dies der Fall, gibt der Detektor ein Ergebnis aus, das angibt, dass die Cloud SQL-Instanz öffentlich zugänglich ist, da sie Verbindungen von allen IP-Adressen akzeptiert.
Mit einem benutzerdefinierten Modul können Sie eine komplexere Erkennungslogik implementieren, um Cloud SQL-Instanzen auf Folgendes zu prüfen:
- IP-Adressen mit bestimmten Präfixen mithilfe von Platzhaltern
- Der Wert des Attributs
state
, mit dem Sie Instanzen ignorieren können, wenn der Wert aufMAINTENANCE
gesetzt ist, oder Ergebnisse auslösen, wenn der Wert ein anderer Wert ist. - Der Wert des Attributs
region
, mit dem Sie Ergebnisse nur für Instanzen mit öffentlichen IP-Adressen in bestimmten Regionen auslösen können.
Erforderliche IAM-Rollen und -Berechtigungen
IAM-Rollen bestimmen die Aktionen, die Sie mit benutzerdefinierten Security Health Analytics-Modulen ausführen können.
Die folgende Tabelle enthält eine Liste der Berechtigungen für benutzerdefinierte Module von Security Health Analytics und die vordefinierten IAM-Rollen, die diese enthalten. Diese Berechtigungen sind mindestens bis zum 22. Januar 2024 gültig. Nach diesem Datum sind die in der zweiten Tabelle aufgeführten Berechtigungen erforderlich.
Sie können die Google Cloud Console oder die Security Command Center API verwenden, um diese Rollen auf Organisations-, Ordner- oder Projektebene anzuwenden.
Berechtigungen, die vor dem 22. Januar 2024 erforderlich sind | Rollen |
---|---|
securitycenter.securityhealthanalyticscustommodules.create |
roles/securitycenter.settingsEditor |
securitycenter.securityhealthanalyticscustommodules.get |
roles/securitycenter.settingsViewer |
securitycenter.securityhealthanalyticscustommodules.test |
roles/securitycenter.securityHealthAnalyticsCustomModulesTester |
Die folgende Tabelle enthält eine Liste der benutzerdefinierten Modulberechtigungen für Security Health Analytics, die ab dem 22. Januar 2024 erforderlich sind, sowie die vordefinierten IAM-Rollen, in denen sie enthalten sind.
Sie können die Google Cloud Console oder die Security Command Center API verwenden, um diese Rollen auf Organisations-, Ordner- oder Projektebene anzuwenden.
Berechtigungen, die ab dem 22. Januar 2024 erforderlich sind | Rollen |
---|---|
securitycentermanagement.securityHealthAnalyticsCustomModules.create
|
roles/securitycentermanagement.shaCustomModulesEditor |
securitycentermanagement.securityHealthAnalyticsCustomModules.list
|
roles/securitycentermanagement.shaCustomModulesViewer
|
Weitere Informationen zu IAM-Berechtigungen und -Rollen und deren Zuweisung finden Sie unter IAM-Rollen mit der Google Cloud Console zuweisen.
Kontingente für benutzerdefinierte Module
Benutzerdefinierte Module von Security Health Analytics unterliegen Kontingentlimits.
Das standardmäßige Kontingentlimit für die Erstellung benutzerdefinierter Module beträgt 100. Sie können bei Bedarf jedoch eine Kontingenterhöhung anfordern.
API-Aufrufe an benutzerdefinierte Modulmethoden unterliegen ebenfalls Kontingentlimits. In der folgenden Tabelle sind die standardmäßigen Kontingentlimits für API-Aufrufe von benutzerdefinierten Modulen aufgeführt.
API-Aufruftyp | Limit |
---|---|
CustomModules-Leseanfragen (Get, List) | 1.000 API-Aufrufe pro Minute und Organisation |
Benutzerdefinierte Module-Schreibanfragen (Erstellen, Aktualisieren, Löschen) | 60 API-Aufrufe pro Minute pro Organisation |
Testanfragen für CustomModules | 12 API-Aufrufe pro Minute pro Organisation |
Wenn Sie Kontingenterhöhungen wünschen, senden Sie in der Google Cloud Console auf der Seite Kontingente eine Anfrage.
Weitere Informationen zu Kontingenten für Security Command Center finden Sie unter Kontingente und Limits.
Unterstützte Ressourcentypen
Address
-
compute.googleapis.com/Address
Alert Policy
monitoring.googleapis.com/AlertPolicy
AlloyDB for PostgreSQL
-
alloydb.googleapis.com/Backup
-
alloydb.googleapis.com/Cluster
-
alloydb.googleapis.com/Instance
Artifact Registry Repository
-
artifactregistry.googleapis.com/Repository
Autoscaler
-
compute.googleapis.com/Autoscaler
Backend Bucket
-
compute.googleapis.com/BackendBucket
Backend Service
-
compute.googleapis.com/BackendService
BigQuery Data Transfer Service
-
bigquerydatatransfer.googleapis.com/TransferConfig
BigQuery Table
bigquery.googleapis.com/Table
Bucket
-
storage.googleapis.com/Bucket
Cloud Data Fusion
-
datafusion.googleapis.com/Instance
Cloud Function
-
cloudfunctions.googleapis.com/CloudFunction
Cloud Run
-
run.googleapis.com/DomainMapping
-
run.googleapis.com/Execution
-
run.googleapis.com/Job
-
run.googleapis.com/Revision
-
run.googleapis.com/Service
Cluster
-
container.googleapis.com/Cluster
Cluster Role
-
rbac.authorization.k8s.io/ClusterRole
Cluster Role Binding
-
rbac.authorization.k8s.io/ClusterRoleBinding
Commitment
-
compute.googleapis.com/Commitment
Composer Environment
-
composer.googleapis.com/Environment
Compute Project
-
compute.googleapis.com/Project
-
compute.googleapis.com/SecurityPolicy
CryptoKey
-
cloudkms.googleapis.com/CryptoKey
CryptoKey Version
-
cloudkms.googleapis.com/CryptoKeyVersion
Dataflow Job
-
dataflow.googleapis.com/Job
Dataproc Cluster
-
dataproc.googleapis.com/Cluster
Dataset
-
bigquery.googleapis.com/Dataset
Datastream Connection Profile
datastream.googleapis.com/ConnectionProfile
Datastream Private Connection
datastream.googleapis.com/PrivateConnection
Datastream Stream
datastream.googleapis.com/Stream
Disk
-
compute.googleapis.com/Disk
DNS Policy
-
dns.googleapis.com/Policy
File Instance
-
file.googleapis.com/Instance
Firewall
-
compute.googleapis.com/Firewall
Firewall Policy
-
compute.googleapis.com/FirewallPolicy
Folder
-
cloudresourcemanager.googleapis.com/Folder
Forwarding Rule
-
compute.googleapis.com/ForwardingRule
Global Forwarding Rule
-
compute.googleapis.com/GlobalForwardingRule
Health Check
-
compute.googleapis.com/HealthCheck
Hub
-
gkehub.googleapis.com/Feature
-
gkehub.googleapis.com/Membership
Image
-
compute.googleapis.com/Image
Instance
-
compute.googleapis.com/Instance
Instance Group
-
compute.googleapis.com/InstanceGroup
Instance Group Manager
-
compute.googleapis.com/InstanceGroupManagers
Interconnect Attachment
-
compute.googleapis.com/InterconnectAttachment
Keyring
-
cloudkms.googleapis.com/KeyRing
KMS Import Job
-
cloudkms.googleapis.com/ImportJob
Kubernetes Service
-
k8s.io/Service
Log Bucket
-
logging.googleapis.com/LogBucket
Log Metric
-
logging.googleapis.com/LogMetric
Log Sink
-
logging.googleapis.com/LogSink
Managed Zone
-
dns.googleapis.com/ManagedZone
Namespace
-
k8s.io/Namespace
Network
-
compute.googleapis.com/Network
Network Endpoint Group
-
compute.googleapis.com/NetworkEndpointGroup
Node
-
k8s.io/Node
Node Group
-
compute.googleapis.com/NodeGroup
Node Template
-
compute.googleapis.com/NodeTemplate
Nodepool
container.googleapis.com/NodePool
Organization
-
cloudresourcemanager.googleapis.com/Organization
Organization Policy Service v2
-
orgpolicy.googleapis.com/CustomConstraint
-
orgpolicy.googleapis.com/Policy
Packet Mirroring
-
compute.googleapis.com/PacketMirroring
Pod
-
k8s.io/Pod
Project
-
cloudresourcemanager.googleapis.com/Project
Pubsub Snapshot
-
pubsub.googleapis.com/Snapshot
Pubsub Subscription
-
pubsub.googleapis.com/Subscription
Pubsub Topic
-
pubsub.googleapis.com/Topic
Region Backend Service
-
compute.googleapis.com/RegionBackendService
Region Disk
-
compute.googleapis.com/RegionDisk
Reservation
-
compute.googleapis.com/Reservation
Resource Policy
-
compute.googleapis.com/ResourcePolicy
Router
-
compute.googleapis.com/Router
Role
-
rbac.authorization.k8s.io/Role
Role Binding
-
rbac.authorization.k8s.io/RoleBinding
Secret Manager
-
secretmanager.googleapis.com/Secret
Service Account Key
-
iam.googleapis.com/ServiceAccountKey
ServiceUsage Service
-
serviceusage.googleapis.com/Service
Snapshot
-
compute.googleapis.com/Snapshot
Spanner Database
-
spanner.googleapis.com/Database
Spanner Instance
-
spanner.googleapis.com/Instance
SQL Instance
-
sqladmin.googleapis.com/Instance
SSL Certificate
-
compute.googleapis.com/SslCertificate
SSL Policy
-
compute.googleapis.com/SslPolicy
Subnetwork
-
compute.googleapis.com/Subnetwork
Target HTTP Proxy
-
compute.googleapis.com/TargetHttpProxy
Target HTTPS Proxy
-
compute.googleapis.com/TargetHttpsProxy
Target Instance
-
compute.googleapis.com/TargetInstance
Target Pool
-
compute.googleapis.com/TargetPool
Target SSL Proxy
-
compute.googleapis.com/TargetSslProxy
Target VPN Gateway
-
compute.googleapis.com/TargetVpnGateway
URL Map
-
compute.googleapis.com/UrlMap
Vertex AI
-
aiplatform.googleapis.com/BatchPredictionJob
-
aiplatform.googleapis.com/CustomJob
-
aiplatform.googleapis.com/DataLabelingJob
-
aiplatform.googleapis.com/Dataset
-
aiplatform.googleapis.com/Endpoint
-
aiplatform.googleapis.com/HyperparameterTuningJob
-
aiplatform.googleapis.com/Model
-
aiplatform.googleapis.com/SpecialistPool
-
aiplatform.googleapis.com/TrainingPipeline
VPC Connector
-
vpcaccess.googleapis.com/Connector
VPN Gateway
-
compute.googleapis.com/VpnGateway
VPN Tunnel
-
compute.googleapis.com/VpnTunnel
Nächste Schritte
- Informationen zur Arbeit mit benutzerdefinierten Modulen finden Sie unter Benutzerdefinierte Module für Security Health Analytics verwenden.
- Wenn Sie benutzerdefinierte Moduldefinitionen selbst codieren möchten, lesen Sie Benutzerdefinierte Module für Security Health Analytics programmieren.
- Informationen zum Testen benutzerdefinierter Module finden Sie unter Benutzerdefinierte Module für Security Health Analytics testen.