Security Command Center を構成すると、セキュリティ ソースの追加、どのソースをどのリソースに適用するかの管理、Event Threat Detection と Container Threat Detection のロギングの設定などを行うことができます。
Security Command Center を構成するには、Google Cloud コンソールで Security Command Center の [設定] ページに移動し、変更する設定のタブをクリックします。
有効化レベル
Security Command Center は、組織レベル（組織）またはプロジェクト レベル（個々のプロジェクト）で有効にできます。
有効化レベルによって、構成可能なサービスの種類が異なります。プロジェクト レベルで Security Command Center が有効になっている場合、統合サービスはサポートされません。構成可能な Security Command Center サービスのみを構成できます。
次のセクションでは、組み込みサービスと統合サービスについて説明します。
有効化レベルの詳細については、Security Command Center の有効化の概要をご覧ください。
サービス
Security Command Center では、組み込みサービスと統合サービスの 2 種類のサービスが実行されます。組み込みサービスは、Security Command Center の一部です。統合サービスは、Security Command Center に検出結果を提供する Google Cloud またはサードパーティのサービスです。
組織レベルで有効にした Security Command Center に新しい統合サービスを追加するには、統合ガイドを完了し、Security Command Center ダッシュボードでセキュリティ サービスとして有効にします。この機能を使用すると、プロジェクトまたは組織のセキュリティ リスク、脆弱性、脅威を包括的に把握できます。
統合サービスを有効にすると、各セキュリティ サービスでモニタリングするリソースを構成できます。
組み込みのサービス
次の組み込みサービスは、Security Command Center の一部です。
- Container Threat Detection
- Event Threat Detection
- Rapid Vulnerability Detectionプレビュー
Secured Landing Zone サービスプレビュー
Security Health Analytics
セキュリティ対策
Virtual Machine Threat Detection
Web Security Scanner
一部の組み込みサービスは、Security Command Center のプレミアム ティアでのみ使用できます。Security Command Center のティアの詳細
組み込みサービスを有効または無効にする
組み込みサービスは、次のリソースに対して有効にできます。
- 組織
- A フォルダ
- プロジェクト
- Container Threat Detection のみを使用する場合、クラスタ
デフォルトでは、リソースは親リソースのサービス設定を継承します。
リソースの Security Command Center サービスを有効または無効にするには、次の手順を行います。
Google Cloud コンソールで、Security Command Center ページに移動します。
サービスを管理する組織、フォルダ、プロジェクトを選択します。
[ 設定] をクリックします。
変更するサービスの [設定を管理] をクリックします。
[サービスの有効化] タブで、サービスを有効にするために必要なリソースを見つけます。組織、フォルダ、プロジェクト、または（Container Threat Detection のみの）クラスタに対して組み込みサービスを有効にできます。
リソースに対して、サービスを [有効]、[無効]、または [継承] に設定します。
サービスのモジュールを表示する
一部のサービスでは、特定の検出機能（モジュール）を有効または無効にできます。サービスのモジュールとその現在のステータスを表示するには、次の操作を行います。
Google Cloud コンソールで、Security Command Center ページに移動します。
サービスを管理する組織、フォルダ、プロジェクトを選択します。
[ 設定] をクリックします。
表示するサービスの [設定を管理] をクリックします。
[モジュール] タブをクリックします。
サービスのモジュールとそれぞれのステータスが表示されます。
モジュールを有効または無効にする
Google Cloud コンソールで、Security Command Center ページに移動します。
サービスを管理する組織、フォルダ、プロジェクトを選択します。
[ 設定] をクリックします。
表示するサービスの [設定を管理] をクリックします。
[モジュール] タブをクリックします。
サービスのモジュールとそれぞれのステータスが表示されます。
変更する検出機能のステータスを [有効] または [無効] に設定します。
Security Command Center にサービスを追加する
Security Command Center を組織レベルで有効にすると、統合された Google Cloud サービスまたはサードパーティのセキュリティ サービスを Security Command Center に追加できます。
Google Cloud 統合サービスを追加する
特定の Google Cloud 統合サービスを Security Command Center に追加できます。
プロジェクト レベルで有効にした場合、Google Cloud 統合サービスはサポートされません。
[設定] ページで、[統合されたサービス] タブをクリックして、使用可能なサービスを表示します。組織レベルで有効にした Security Command Center と統合される Google Cloud セキュリティ サービスは次のとおりです。
- 異常検出
- Google Cloud Armor
- 機密データ保護
- Forseti Security
これらのサービスの詳細については、脆弱性と脅威のセキュリティ ソースをご覧ください。
Google Cloud セキュリティ サービスからの検出結果は、統合ガイドを完了した後で利用可能になります。
- 新しいサービスを追加するには、[サービスを追加] をクリックします。Google Cloud Marketplace の [Security Command Center Services] ページが表示されます。目的のサービスをクリックし、プロバイダの手順に沿って、統合サービスとして追加します。
- セキュリティ サービスからの検出結果を表示するには、サービス名の横にある切り替えボタンをクリックして、サービスを有効にします。サービスを組織内の特定のフォルダ、プロジェクト、クラスタに制限するには、このページで後述される [詳細設定] メニューを使用します。
統合ソースでは、組織外のサービス アカウントを使用します。たとえば、Google Cloud セキュリティ ソースでは、security-center-fpr.iam.gserviceaccount.com のサービス アカウントを使用します。
組織のポリシーがドメイン別に ID を制限するように設定されている場合は、許可されたドメイン内のグループに含まれる ID に Security Command Center サービス アカウントを追加する必要があります。組織レベルの Security Command Center サービス アカウント名の形式は次のとおりです。
service-org-ORGANIZATION_NUMBER@security-center-api.iam.gserviceaccount.com
ORGANIZATION_NUMBER は組織の数値 ID です。
[統合されたサービス] タブでは、新しいソースを追加するだけでなく、既存のソースを有効または無効にできます。
Google Cloud コンソールで、Security Command Center ページに移動します。
組織またはプロジェクトを選択します。
[ 設定] をクリックします。
[統合されたサービス] タブをクリックします。
有効にする統合ソースの横にある [ステータス] リストをクリックし、[有効にする] を選択します。
選択した統合ソースの検出結果が、Security Command Center ダッシュボードの [検出] ページに表示されます。
統合サービスを無効にするには、名前の横にあるプルダウン リストをクリックして、[デフォルトで無効] を選択します。
VM Manager の脆弱性レポート
VM Manager は、Compute Engine 上で Windows と Linux を実行している大規模な仮想マシン（VM）フリートでオペレーティング システムの管理を行うためのツールです。
プロジェクト レベルで有効にした場合、VM Manager はサポートされません。
Security Command Center Premium ティアで VM Manager を有効にすると、VM Manager はデフォルトで脆弱性レポートから high と critical の検出結果を Security Command Center に自動的に送信します。このレポートにより、Compute Engine VM にインストールされているオペレーティング システムの脆弱性が特定されます。
詳細については、VM Manager をご覧ください。
サードパーティのセキュリティ サービスの追加
Security Command Center を組織レベルで有効にすると、Cloud Marketplace パートナーとして登録されたサードパーティのセキュリティ サービスからの検出結果を表示できます。
プロジェクト レベルで有効にした Security Command Center では、サードパーティ サービスはサポートされていません。
Cloud Marketplace パートナーとして登録されるサードパーティのセキュリティ サービスは次のとおりです。
- Acalvio
- Capsule8
- Cavirin
- Chef
- Check Point CloudGuard Dome9
- CloudQuest
- McAfee
- Qualys
- Reblaze
- Palo Alto Networks の Prisma Cloud
- StackRox
- Tenable.io
Cloud Marketplace パートナーとして登録されていないセキュリティ サービスを統合するには、各プロバイダに、Security Command Center パートナーとしてオンボーディングするためのガイドを完了するよう依頼します。
新しいサードパーティのセキュリティ サービスを Security Command Center に追加するには、セキュリティ サービスを設定して、Security Command Center のダッシュボードで有効にします。
始める前に
登録済みの Cloud Marketplace パートナーのセキュリティ サービスを追加するには、次のものが必要です。
- 次の Identity and Access Management（IAM）ロール
- セキュリティ センター管理者 -
roles/securitycenter.admin - サービス アカウント管理者 -
roles/iam.serviceAccountAdmin
- セキュリティ センター管理者 -
- セキュリティ サービスに使用する Google Cloud プロジェクト
手順 1: セキュリティ サービスを設定する
サードパーティのセキュリティ サービスを設定するには、そのサービス用のサービス アカウントが必要です。新しいセキュリティ ソースを追加する際は、次のサービス アカウント オプションから選択できます。
- サービス アカウントを作成する。
- 独自の既存サービス アカウントを使用する。
- サービス プロバイダのサービス アカウントを使用する。
Cloud Marketplace パートナーとして登録されている新しいセキュリティ サービスを設定するには、次の手順を行います。
Google Cloud コンソールで Security Command Center の [Marketplace] ページに移動します。
[Marketplace] ページには、Security Command Center に直接関連付けられているセキュリティ サービスが表示されます。
- 追加するセキュリティ サービスが表示されない場合は、セキュリティを検索して、セキュリティ サービス プロバイダを選択します。
- セキュリティ サービス プロバイダが Cloud Marketplace に登録されていない場合は、プロバイダに、Security Command Center パートナーとしてオンボーディングするためのガイドを完了するよう依頼します。
Cloud Marketplace のセキュリティ サービス プロバイダのページで、[概要] にあるプロバイダの設定手順を行います。
プロバイダの設定作業が完了したら、プロバイダの [Marketplace] ページで [[プロバイダ名] サイトでお申し込み] をクリックします。
Google Cloud コンソールの [Security Command Center] ページで、セキュリティ サービスを使用する組織を選択します。
表示された [サービス アカウントを作成して [プロバイダ名] セキュリティ イベントを有効にする] ページで、プロバイダのサービス アカウントを受け入れるか（使用可能な場合）、独自に使用するサービス アカウントを作成または選択します。
- サービス アカウントを作成するには:
- [サービス アカウントを新規作成] を選択します。
- [プロジェクト] の横の [変更] をクリックし、このセキュリティ サービスに使用するプロジェクトを選択します。
- サービス アカウント名とサービス アカウント ID を追加します。
- 既存のサービス アカウントを使用するには:
- [既存のサービス アカウントを使用] を選択し、[サービス アカウント名] プルダウン リストから、使用するサービス アカウントを選択します。
- セキュリティ サービス プロバイダがサービス アカウントを管理している場合は、そのプロバイダから提供されたサービス アカウント ID を入力します。
- サービス アカウントを作成するには:
サービス アカウント情報の追加が完了したら、[送信] または [同意] をクリックします。
[ソースへの接続] ページが表示されたら、[インストール手順] の下にあるリンクをクリックして、インストールの完了方法を確認します。
設定を終えたら、[完了] をクリックします。
正しく構成されると、追加したセキュリティ サービスが Security Command Center で利用可能になります。
手順 2: セキュリティ サービスを有効にする
新しいセキュリティ サービスを設定したら、Security Command Center のダッシュボードで有効にする必要があります。
統合ソースでは、組織外のサービス アカウントを使用します。たとえば、Google Cloud セキュリティ ソースでは、security-center-fpr.iam.gserviceaccount.com のサービス アカウントを使用します。
組織のポリシーがドメイン別に ID を制限するように設定されている場合は、許可されたドメイン内のグループに含まれる ID に Security Command Center サービス アカウントを追加する必要があります。組織レベルの Security Command Center サービス アカウント名の形式は次のとおりです。
service-org-ORGANIZATION_NUMBER@security-center-api.iam.gserviceaccount.com
ORGANIZATION_NUMBER は組織の数値 ID です。
[統合されたサービス] タブでは、新しいソースを追加するだけでなく、既存のソースを有効または無効にできます。
Google Cloud コンソールで、Security Command Center ページに移動します。
組織またはプロジェクトを選択します。
[ 設定] をクリックします。
[統合されたサービス] タブをクリックします。
有効にする統合ソースの横にある [ステータス] リストをクリックし、[有効にする] を選択します。
選択した統合ソースの検出結果が、Security Command Center ダッシュボードの [検出] ページに表示されます。
プロバイダのサービス アカウントの変更
サービス アカウントの漏洩対策やローテーションのため、サードパーティのセキュリティ サービスに使用されるサービス アカウントを変更できます。セキュリティ サービスのサービス アカウントを変更するには、Security Command Center ダッシュボードで、サービス アカウントを更新する必要があります。その後、サービス プロバイダの指示に従って、サービスのサービス アカウントを更新します。
次の手順は、統合されたサードパーティ サービスをサポートしていない Security Command Center のプロジェクト レベルでの有効化には適用されません。
Google Cloud コンソールで、Security Command Center ページに移動します。
組織またはプロジェクトを選択します。
[ 設定] をクリックします。
[統合されたサービス] タブをクリックします。
統合サービスの横にあるプルダウン リストで、次の操作を行います。
- 統合サービスを一時的に無効にするには、[無効] を選択します。
- 次に、[サービス アカウントを管理] を選択します。
表示された [[プロバイダ名] の編集] パネルで、新しいサービス アカウントを入力して、[送信] をクリックします。
統合サービスの横にあるプルダウン リストから、[有効] を選択して、セキュリティ サービスを有効にします。
正しく構成されると、Security Command Center で統合されたサービスのサービス アカウントが更新されます。サービス プロバイダの指示に従って、サービスのサービス アカウント情報を更新します。
Cloud Logging エクスポート
[継続的エクスポート] タブで、Event Threat Detection と Container Threat Detection の検出結果に対するロギングを設定します。検出結果は、選択した Cloud Logging プロジェクトにエクスポートされます。
情報量によっては、Cloud Logging の費用が高額になる場合があります。サービスの使用量とその費用については、 Google Cloud Observability の費用の最適化をご覧ください。
検出結果を記録する手順は次のとおりです。
Google Cloud コンソールで、Security Command Center ページに移動します。
組織またはプロジェクトを選択します。
[ 設定] をクリックします。
[継続的エクスポート] タブをクリックします。
[エクスポート名] で [Logging エクスポート] をクリックします。
[シンク] で、 [検出を Logging にロギング] をオンにします。
[ロギング プロジェクト] で、検出結果を記録するプロジェクトを入力または検索します。
[保存] をクリックします。
[検出を Logging にロギング] をオンにします。Event Threat Detection と Container Threat Detection がログを書き込む場合、各ログエントリには Threat_detector リソースタイプが含まれ、検出結果と同じ情報が含まれます。ログを確認する手順については、Event Threat Detection の使用と Container Threat Detection の使用をご覧ください。
高価値リソースを指定する
Security Command Center は攻撃の発生可能性スコアを計算し、高価値として定義したリソースの漏えいの原因となる脆弱性や構成ミスに対する潜在的な攻撃パスを示します。
真に価値の高いリソースを正確に反映した攻撃の発生可能性スコアと攻撃パスを取得するには、リソース値の構成を作成する必要があります。
作成するリソース値の構成のコレクションは、高価値リソースセットを定義します。
独自の高価値リソースセットを作成するまで、Security Command Center は、デフォルトの高価値リソースセットを使用します。このリソースセットは、攻撃の発生可能性スコアがサポートするすべてのリソースタイプに一般的に適用されます。
詳しくは以下をご覧ください。
ミュートルール
[ミュートルール] タブに、組織、フォルダ、プロジェクトに設定されているミュートルールが一覧表示されます。このタブでは、ミュートルールの作成や既存のルールの管理ができます。
ミュートルールは、定義したフィルタに基づいて、今後の検出結果を自動的に抑制します。検出結果のミュートとミュートルールの操作の詳細については、Security Command Center の検出結果をミュートするをご覧ください。
ロール
Security Command Center の IAM ロールは、組織レベル、フォルダレベル、またはプロジェクト レベルで付与できます。検出結果、アセット、セキュリティ ソースを表示、編集、作成、更新する権限は、アクセス権が付与されているレベルによって異なります。Security Command Center のロールの詳細については、アクセス制御をご覧ください。
IAM のロールを付与、変更、取り消す方法については、プロジェクト、フォルダ、組織に対するアクセス権の管理をご覧ください。
次のステップ
Google Cloud のセキュリティ サービスと、それらが検出する脆弱性と脅威を表示する方法について確認する。
Security Command Center の最適化方法を確認する。