Utiliser Security Health Analytics

Cette page explique comment gérer les résultats Security Health Analytics à l'aide de Security Command Center.

Security Health Analytics est un service intégré à Security Command Center qui analyse les ressources de votre environnement cloud et émet des résultats les erreurs de configuration détectées.

Pour recevoir les résultats de Security Health Analytics, le service doit être activé dans les services Security Command Center paramètres.

Afin de recevoir les résultats pour une autre plate-forme cloud, Security Command Center doit être connectée à l'autre plate-forme cloud ;

Les résultats des détecteurs Security Health Analytics sont inclus dans l'index de recherche console Google Cloud à l'aide de l'API Security Command Center et, si vous utilisez au niveau Entreprise de Security Command Center, Console Opérations de sécurité. Pour les résultats présentant un niveau de gravité de HIGH ou CRITICAL, Security Command Center ouvre un dans la console Opérations de sécurité.

Les analyses commencent environ une heure après l'activation de Security Command Center. Sur Google Cloud, l'exécution peut s'effectuer selon deux modes: le mode de traitement par lot, qui s’exécute une fois par jour ; et "Temps réel", qui analyse les ressources les modifications de configuration.

Détecteurs Security Health Analytics non compatibles avec le mode d'analyse en temps réel sont répertoriés dans Présentation de la latence de Security Command Center.

Security Health Analytics analyse les autres plates-formes cloud en mode de traitement par lot uniquement.

Les rôles IAM pour Security Command Center peuvent être attribués au niveau de l'organisation, d'un dossier ou d'un projet. Votre capacité à afficher, modifier, créer ou mettre à jour des résultats, des éléments, et les sources de sécurité dépendent du niveau d'accès accordé. Pour apprendre Pour en savoir plus sur les rôles de Security Command Center, consultez la page Contrôle des accès.

Activer et désactiver des détecteurs

La désactivation des détecteurs peut avoir un impact sur l'état des résultats actifs. Lorsqu’un détecteur est désactivé, les résultats existants sont automatiquement marqués comme inactifs.

Lorsque vous activez Security Command Center au niveau de l'organisation, pouvez désactiver Security Health Analytics ou des détecteurs spécifiques pour des dossiers ou projets. Si Security Health Analytics ou les détecteurs sont désactivés pour les dossiers et les projets, tous les résultats existants associés aux éléments de ces ressources sont marqués comme inactifs.

Pour en savoir plus sur l'état d'activation

Les détecteurs Security Health Analytics suivants pour Google Cloud sont désactivées par défaut:

• ALLOYDB_AUTO_BACKUP_DISABLED
• ALLOYDB_CMEK_DISABLED
• BIGQUERY_TABLE_CMEK_DISABLED
• BUCKET_CMEK_DISABLED
• CLOUD_ASSET_API_DISABLED
• DATAPROC_CMEK_DISABLED
• DATASET_CMEK_DISABLED
• DISK_CMEK_DISABLED
• DISK_CSEK_DISABLED
• NODEPOOL_BOOT_CMEK_DISABLED
• PUBSUB_CMEK_DISABLED
• SQL_CMEK_DISABLED
• SQL_NO_ROOT_PASSWORD
• SQL_WEAK_ROOT_PASSWORD
• VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED

Pour activer ou désactiver un module de détection Security Health Analytics, cliquez sur le pour la méthode de votre choix.

console Google Cloud

Vous pouvez activer ou désactiver les détecteurs dans l'onglet Modules de la Page Security Health Analytics dans les paramètres Security Command Center dans la console Google Cloud. Les détecteurs peuvent être activés ou désactivés au niveau de l'organisation ou du projet.

gcloud

Pour activer un détecteur (également appelé module), exécutez la commande modules activer gcloud alpha dans la Google Cloud CLI au niveau de l'organisation ou du projet.

Remarque : Cette commande n'est pas utilisée pour DISK_CSEK_DISABLED, qui doit être activée à l'aide d'une marque de sécurité dédiée, comme décrit dans la section Détecteur de cas particulier plus loin sur cette page.

Si vous avez activé Security Command Center au niveau de l'organisation, exécutez la commande suivante:

gcloud alpha scc settings services modules enable \
  --organization=ORGANIZATION_ID \
  --service=SECURITY_HEALTH_ANALYTICS \
  --module=DETECTOR_NAME

Remplacez les éléments suivants :

• ORGANIZATION_ID : ID de votre organisation.
• DETECTOR_NAME : nom du détecteur que vous souhaitez activer

Si vous avez activé Security Command Center au niveau du projet, exécutez la commande suivante:

gcloud alpha scc settings services modules enable \
  --project=PROJECT_ID \
  --service=SECURITY_HEALTH_ANALYTICS \
  --module=DETECTOR_NAME

Remplacez les éléments suivants :

• PROJECT_ID : ID de votre projet.
• DETECTOR_NAME : nom du détecteur que vous souhaitez activer

Pour désactiver un détecteur, exécutez les modules désactiver au niveau de l'organisation ou du projet.

Si vous avez activé Security Command Center au niveau de l'organisation, exécutez la commande suivante:

gcloud alpha scc settings services modules disable \
  --organization=ORGANIZATION_ID \
  --service=SECURITY_HEALTH_ANALYTICS \
  --module=DETECTOR_NAME

Remplacez les éléments suivants :

• ORGANIZATION_ID : ID de votre organisation.
• DETECTOR_NAME : nom du détecteur que vous souhaitez désactiver

Si vous avez activé Security Command Center au niveau du projet, exécutez la commande suivante:

gcloud alpha scc settings services modules disable \
  --project=PROJECT_ID \
  --service=SECURITY_HEALTH_ANALYTICS \
  --module=DETECTOR_NAME

Remplacez les éléments suivants :

• PROJECT_ID : ID de votre projet.
• DETECTOR_NAME : nom du détecteur que vous souhaitez désactiver

Filtrer les résultats dans la console Google Cloud

Une grande organisation peut avoir de nombreux résultats de failles à examiner, trier et suivre dans tout son déploiement. En utilisant les filtres disponibles sur les pages Failles et Résultats de Security Command Center. dans la console Google Cloud, vous pouvez vous concentrer sur le niveau de gravité le plus élevé les failles de votre entreprise et les examiner le type d'asset, le projet, etc.

Pour en savoir plus sur le filtrage des résultats de failles, consultez Filtrez les résultats de failles dans Security Command Center.

Gérer les résultats à l'aide de cas

Niveau Enterprise uniquement:cette fonctionnalité n'est disponible qu'avec le Niveau Enterprise de Security Command Center

Security Command Center ouvre automatiquement une demande dans la console Security Operations pour les résultats de failles et d'erreurs de configuration présentant un niveau de gravité de HIGH ou CRITICAL. Une demande peut contenir plusieurs résultats associés.

Le cas d'utilisation, qui peut être intégré votre système de billetterie préféré, afin de gérer l'enquête et la remédiation ; des résultats, en affectant des propriétaires, en examinant les informations connexes et, playbooks, automatisez votre workflow de réponse.

Si un résultat est associé à une demande d'assistance, vous trouverez un lien vers sa demande sur la des détails du résultat. Ouvrez la page d'informations d'un résultat de la la page Résultats de la console Google Cloud. Vous pouvez également voir le nombre total de cas de failles ouverts sur le la page Vue d'ensemble des risques de la console Google Cloud ;

Pour en savoir plus sur les demandes, consultez Présentation des demandes.

Ignorer les résultats

Pour contrôler le volume de résultats dans la console Google Cloud, pouvez manuellement ou ignorer de façon programmatique des résultats individuels ou créer des règles Ignorer ignorer automatiquement les résultats actuels et futurs en fonction des filtres que vous définissez.

Les résultats que vous ignorez dans la console Google Cloud sont masqués et mises sous silence, mais qui sont consignées pour l'audit et à des fins de conformité. Vous pouvez afficher les résultats ignorés ou les réactiver à tout moment. Pour en savoir plus, consultez la section Ignorer les résultats dans Security Command Center.

Marquer des éléments et des résultats avec des marques de sécurité

Dans Security Command Center, vous pouvez ajouter des propriétés personnalisées aux résultats et aux éléments à l'aide de marques de sécurité. Celles-ci vous permettent d'identifier les domaines d'intérêt prioritaires, tels que les projets de production, les résultats de tags avec des numéros de suivi des bugs et des incidents, etc.

Pour les éléments, vous ne pouvez ajouter des marques de sécurité qu'aux éléments qui Compatibilité avec Security Command Center. Pour obtenir la liste des éléments acceptés, consultez Types d'éléments compatibles avec Security Command Center

Ajouter des éléments à des listes d'autorisation

Listes d'autorisation avec marques de sécurité obsolètes: cette fonctionnalité est obsolète et ne sera plus disponible pour tous les utilisateurs à compter du 15 avril 2025. D'ici là, cette fonctionnalité est disponible uniquement dans les instances de Security Command Center activées avant le 26 juin 2023. Si votre activation de Security Command Center depuis le 26 juin 2023, utilisez la fonction Ignorer afin de supprimer les résultats pour certains éléments.

Pour en savoir plus, consultez Ignorer des résultats dans Security Command Center.

Bien que ce ne soit pas une méthode recommandée, vous pouvez supprimer les résultats inutiles en ajoutant des marques de sécurité dédiées aux éléments afin que les détecteurs Security Health Analytics ne génèrent pas de résultats de sécurité pour ces ressources.

L'approche recommandée et la plus efficace pour contrôler le volume des résultats consiste à ignorer des résultats. Ignorez les résultats dont vous n'avez pas besoin soit pour des éléments isolés, soit pour les résultats entrent dans des paramètres métier acceptables.

Lorsque vous appliquez des marques de sécurité dédiées à des éléments, ceux-ci sont ajouté à une liste d'autorisation dans Security Health Analytics, qui marque tous les résultats pour ces éléments comme résolu lors de la prochaine analyse de lot.

Les marques de sécurité dédiées doivent être appliquées directement aux éléments, et non aux résultats, comme décrit dans la section Fonctionnement des listes d'autorisation plus loin sur cette page. Si vous appliquez une marque à un résultat, l'élément sous-jacent peut toujours générer des résultats.

Fonctionnement des listes d'autorisation

Chaque détecteur Security Health Analytics possède un type de marque dédié pour la liste d'autorisation, sous la forme allow_FINDING_TYPE:true. Ajout de marque dédiée à un élément compatible avec Security Command Center vous permet d'exclure l'élément de la règle de détection.

Par exemple, pour exclure le type de résultat SSL_NOT_ENFORCED, définissez la valeur allow_ssl_not_enforced:true sur l'instance Cloud SQL associée. Le détecteur spécifié ne crée pas de résultats pour les éléments marqués.

Remarque : Les éléments des listes d'autorisation sont toujours analysés par les détecteurs, mais les résultats sont supprimés et ne sont pas écrits dans Security Command Center.

Pour obtenir la liste complète des types de résultats, consultez la Liste des détecteurs Security Health Analytics Pour en savoir plus sur les marques de sécurité et techniques liées à leur utilisation, consultez la page Utiliser des marques de sécurité.

Types d'élément

Cette section décrit le fonctionnement des marques de sécurité pour différents éléments.

• Éléments d'une liste d'autorisation:lorsque vous ajoutez une marque dédiée à un élément, tel qu'un bucket Cloud Storage ou un pare-feu, le résultat associé est marqué comme résolu lors de l'exécution de la prochaine analyse par lot. Le détecteur ne génère pas de nouveaux résultats ni ne met à jour les résultats existants pour l'élément tant que la marque n'est pas supprimée.

• Projets de liste d'autorisation: lorsque vous ajoutez une marque à une ressource de projet, les résultats pour lesquels le projet lui-même est la ressource analysée ou cible sont résolus. Toutefois, les éléments contenus dans le projet, tels que les machines virtuelles ou les clés cryptographiques, peuvent toujours générer des résultats. Cette marque de sécurité est uniquement disponible si vous activez le niveau Premium de Security Command Center au niveau de l'organisation.

• Dossiers de liste d'autorisation: lorsque vous ajoutez une marque à une ressource de dossier, les résultats pour lesquels le dossier lui-même est la ressource analysée ou cible sont résolus. Toutefois, les éléments contenus dans le dossier, y compris les projets, peuvent toujours générer des résultats. Cette marque de sécurité est uniquement disponible si vous activez le niveau Premium de Security Command Center au niveau de l'organisation.

• Détecteurs compatibles avec plusieurs éléments: si un détecteur est compatible avec plusieurs types d'éléments, vous devez appliquer la marque dédiée à chaque élément. Par exemple, le détecteur KMS_PUBLIC_KEY permet de gérer deux éléments Cloud Key Management Service: CryptoKey et le KeyRing. Si vous appliquez la marque allow_kms_public_key:true à l'élément CryptoKey, les résultats KMS_PUBLIC_KEY de cet élément sont résolus, mais peuvent toujours être générés pour l'élément KeyRing.

Les marques de sécurité ne sont mises à jour que lors des analyses par lot, et non en temps réel. Ainsi, si une marque de sécurité dédiée est supprimée et qu'un élément présente une faille, un délai de 24 heures peut être nécessaire pour que la marque soit supprimée et qu'un résultat soit écrit.

Détecteur de cas particulier : clés de chiffrement fournies par le client

Le détecteur DISK_CSEK_DISABLED n'est pas activé par défaut. Pour utiliser ce détecteur, vous devez marquer les éléments pour lesquels vous souhaitez utiliser des clés de chiffrement autogérées.

Pour activer le détecteur DISK_CSEK_DISABLED pour des éléments spécifiques, appliquez la marque de sécurité enforce_customer_supplied_disk_encryption_keys à l'élément ayant la valeur true.

Afficher le nombre de résultats actifs par type de résultat

Vous pouvez utiliser la console Google Cloud ou les commandes Google Cloud CLI pour afficher le nombre de résultats actifs par type de résultat.

console Google Cloud

La console Google Cloud vous permet d'afficher le nombre pour chaque type de résultat.

Pour afficher les résultats de Security Health Analytics par type de résultat, procédez comme suit :

1. Accédez à Security Command Center dans la console Google Cloud.

   Accéder à Security Command Center

2. Pour afficher les résultats de Security Health Analytics, cliquez sur la page Vulnerabilities (Failles).

3. Pour trier les résultats en fonction du nombre de résultats actifs pour chaque type de résultat, cliquez sur l'en-tête de colonne Actif.

Commandes CLI gcloud

Pour utiliser gcloud CLI afin d'obtenir le décompte de tous les résultats actifs, interrogez Security Command Center pour obtenir l'ID source de Security Health Analytics. Utilisez ensuite l'ID source pour interroger le nombre de résultats actifs.

Étape 1 : Obtenir l'ID source

Pour effectuer cette étape, vous devez disposer de l'ID de votre organisation. Pour obtenir l'ID de votre organisation, exécutez la commande gcloud organizations list et notez le numéro affiché à côté du nom de l'organisation.

Pour obtenir l'ID de source de Security Health Analytics, exécutez l'une des commandes suivantes, selon que vous avez activé Security Command Center au niveau de l'organisation ou du projet:

gcloud scc sources describe organizations/ORGANIZATION_ID \
  --source-display-name='Security Health Analytics'

gcloud scc sources describe projects/PROJECT_ID \
  --source-display-name='Security Health Analytics'

Si vous ne l'avez pas encore fait, vous êtes invité à activer l'API Security Command Center. Lorsque l'API Security Command Center est activée, exécutez à nouveau la commande précédente. La commande doit afficher un résultat semblable au suivant :

description: Scans for deviations from a GCP security baseline.
displayName: Security Health Analytics
name: organizations/ORGANIZATION_ID/sources/SOURCE_ID

Notez la valeur de SOURCE_ID afin de pouvoir l'utiliser à l'étape suivante.

Étape 2 : Obtenir le nombre de résultats actifs

Utilisez le SOURCE_ID que vous avez noté à l'étape précédente pour filtrer les résultats de Security Health Analytics. Les commandes de gcloud CLI suivantes renvoient un le nombre de résultats par catégorie.

Si vous avez activé Security Command Center au niveau de l'organisation, exécutez la commande suivante:

gcloud scc findings group organizations/ORGANIZATION_ID/sources/SOURCE_ID \
 --group-by=category --page-size=PAGE_SIZE

Si vous avez activé Security Command Center au niveau du projet, exécutez la commande suivante:

gcloud scc findings group projects/PROJECT_ID/sources/SOURCE_ID \
 --group-by=category --page-size=PAGE_SIZE

Vous pouvez définir la taille de la page sur une valeur ne dépassant pas 1 000. La commande doit afficher un résultat semblable à celui-ci, avec des résultats provenant de votre organisation :

groupByResults:
- count: '1'
  properties:
    category: MFA_NOT_ENFORCED
- count: '3'
  properties:
    category: ADMIN_SERVICE_ACCOUNT
- count: '2'
  properties:
    category: API_KEY_APIS_UNRESTRICTED
- count: '1'
  properties:
    category: API_KEY_APPS_UNRESTRICTED
- count: '2'
  properties:
    category: API_KEY_EXISTS
- count: '10'
  properties:
    category: AUDIT_CONFIG_NOT_MONITORED
- count: '10'
  properties:
    category: AUDIT_LOGGING_DISABLED
- count: '1'
  properties:
    category: AUTO_UPGRADE_DISABLED
- count: '10'
  properties:
    category: BUCKET_IAM_NOT_MONITORED
- count: '10'
  properties:
    category: BUCKET_LOGGING_DISABLED
nextPageToken: TOKEN
      readTime: '2019-08-05T21:56:13.862Z'
      totalSize: 50

Gérer les résultats de manière

L'utilisation de la Google Cloud CLI avec le SDK Security Command Center vous permet : presque tout ce que vous pouvez faire avec Security Command Center console Google Cloud. Vous pouvez également corriger de nombreux résultats à l'aide de la gcloud CLI. Pour en savoir plus, consultez la documentation sur les types de ressources décrits dans chaque résultat :

• Répertorier les résultats relatifs à la sécurité
• Créer, modifier et interroger des marques de sécurité
• Créer et mettre à jour des résultats de sécurité
• Créer, mettre à jour et répertorier des sources de résultats
• Configurer les paramètres de l'organisation

Pour exporter ou répertorier des éléments par programmation, utilisez l'inventaire des éléments cloud API. Pour en savoir plus, consultez Exporter l'historique et les métadonnées d'un élément.

Les méthodes et champs des éléments de l'API Security Command Center sont obsolètes. seront supprimées à partir du 26 juin 2024.

Tant qu'ils ne sont pas supprimés, les utilisateurs ayant activé Security Command Center auparavant Possibilité d'utiliser les méthodes d'élément de l'API Security Command Center à partir du 26 juin 2023 mais ces méthodes ne prennent en charge que les éléments Compatibilité avec Security Command Center.

Pour en savoir plus sur l'utilisation des méthodes obsolètes de l'API Asset, consultez les éléments des fiches.

Analyser des projets protégés par un périmètre de service

Cette fonctionnalité n'est disponible si vous activez le niveau Premium de Security Command Center au niveau de l'organisation.

Si un périmètre de service bloque l'accès à certains de vos projets et services, vous devez accorder au compte de service Security Command Center un accès entrant à ce périmètre de service. Sinon, Security Health Analytics ne peut pas produire de résultats liés aux projets et services protégés.

Remarque : Security Command Center fournit des détecteurs d'erreurs qui signalent des erreurs de configuration qui empêchent Security Command Center et ses services de fonctionner correctement. Si vous rencontrez une erreur VPC Service Controls Restriction (VPC_SC_RESTRICTION), consultez la section Limitation de VPC Service Controls.

L'identifiant du compte de service est une adresse e-mail au format suivant :

[e-mail]

Remplacez ORGANIZATION_ID par la valeur numérique. identifiant de votre organisation.

Pour accorder à un compte de service un accès entrant à un périmètre de service, procédez comme suit : ces étapes.

1. Accédez à VPC Service Controls.

   Accéder à VPC Service Controls

2. Dans la barre d'outils, sélectionnez votre organisation Google Cloud.

   

3. Dans la liste déroulante, sélectionnez la règle d'accès contenant le périmètre de service auquel vous souhaitez accorder l'accès.

   

   Les périmètres de service associés à la règle d'accès apparaissent dans la liste.

4. Cliquez sur le nom du périmètre de service.

5. Cliquez sur Modifier le périmètre.

6. Dans le menu de navigation, cliquez sur Règle d'entrée.

7. Cliquez sur Add rule (Ajouter une règle).

8. Configurez la règle comme suit :

   Attributs "FROM" du client API

   1. Pour Source, sélectionnez Toutes les sources.
   2. Pour Identité, sélectionnez Identités sélectionnées.
   3. Dans le champ Ajouter un utilisateur/compte de service, cliquez sur Sélectionner.
   4. Saisissez l'adresse e-mail du compte de service. Si vous avez à la fois des comptes de service au niveau de l'organisation et du projet, ajoutez-les tous les deux.
   5. Cliquez sur Enregistrer.

   Attributs "TO" des services/ressources GCP

   1. Pour Projet, sélectionnez Tous les projets.

   2. Pour Services, sélectionnez Tous les services ou les options suivantes : services individuels dont Security Health Analytics a besoin:

      • API BigQuery
      • API Binary Authorization
      • API Cloud Logging
      • API Cloud Monitoring
      • API Compute Engine
      • API Kubernetes Engine

   Si un périmètre de service restreint l'accès à un service requis, Security Health Analytics ne peut pas produire de résultats pour ce service.

9. Dans le menu de navigation, cliquez sur Enregistrer.

Pour plus d'informations, consultez la section Configurer les règles d'entrée et de sortie.

Étape suivante

• En savoir plus sur les détecteurs et les résultats de Security Health Analytics
• Lire les recommandations pour corriger les résultats de Security Health Analytics.
• Découvrez comment utiliser les marques de sécurité Security Command Center.
• En savoir plus sur les demandes
• Découvrez comment utiliser Security Command Center dans la console Google Cloud. pour examiner les éléments et les résultats.