Nesta página, descrevemos como configurar e usar o serviço de postura de segurança depois de ativar o Security Command Center. Para começar, você deve criar uma postura que inclui suas políticas, organizadas em conjuntos de políticas, e implanta a postura usando uma implantação da postura de segurança. Depois que uma postura é implantada, é possível monitorar o deslocamento e refinar ainda mais sua postura ao longo do tempo.
Antes de começar
Conclua essas tarefas antes de concluir as tarefas restantes nesta página.
Ativar o nível Premium ou Enterprise do Security Command Center
Verifique se o Nível Premium ou Enterprise do Security Command Center é ativado no nível da organização.
Se você quiser usar detectores da Análise de integridade da segurança como políticas, selecione a o serviço Análise de integridade da segurança durante o processo de ativação.
Configurar permissões
Para ter as permissões necessárias para usar a postura,
peça ao administrador para conceder a você
Administrador de postura de segurança (roles/securityposture.admin
) do IAM.
Para mais informações sobre como conceder papéis, consulte Gerenciar acesso.
Também é possível conseguir as permissões necessárias com papéis personalizados ou outros papéis predefinidos.
Para mais informações sobre os papéis e a postura de segurança de acesso, consulte IAM para nível de organização ativações.
Configurar a Google Cloud CLI
É necessário usar a Google Cloud CLI versão 461.0.0 ou posterior.
É possível usar as amostras da CLI do gcloud nesta página de um dos seguintes ambientes de desenvolvimento:
-
Cloud Shell: para usar um terminal on-line com a CLI gcloud já configurada, ative o Cloud Shell.
Na parte de baixo desta página, uma sessão do Cloud Shell é iniciada e exibe um prompt de linha de comando. A inicialização da sessão pode levar alguns segundos.
-
Shell local: para usar a CLI da gcloud em um ambiente de desenvolvimento local, instale e inicialize a CLI gcloud.
Para configurar a CLI da gcloud para usar a representação da conta de serviço para autenticação nas APIs do Google, em vez de suas credenciais de usuário, execute o seguinte comando:
gcloud config set auth/impersonate_service_account SERVICE_ACCT_EMAIL
Para mais informações, consulte Representação da conta de serviço.
Ativar APIs
Ative o Organization Policy Service e as APIs do serviço de postura de segurança:
gcloud services enable orgpolicy.googleapis.com securityposture.googleapis.com
Configurar a conexão com a AWS
Para usar detectores integrados da Análise de integridade da segurança específicos da AWS, é necessário ativar o Security Command Center Enterprise e connect para a AWS em busca de vulnerabilidades detecção.
Criar e implantar uma postura
Para começar a usar uma postura de segurança, conclua o seguinte:
Crie um arquivo YAML de postura que defina as políticas que se aplicam aos seus de segurança da nuvem.
Crie uma postura no Google Cloud baseada no arquivo YAML de postura.
Implantar a postura.
As seções a seguir dão instruções detalhadas.
Criar um arquivo YAML de postura
Uma postura consiste em um ou mais conjuntos de políticas que são implantados juntos. Esses os conjuntos de políticas incluem todas as políticas de prevenção e detecção incluir em sua postura.
Para criar sua postura, siga um destes procedimentos:
Copiar um modelo de postura predefinido. Se necessário, faça as edições necessárias políticas para que elas se apliquem ao seu ambiente e cumpram os regulamentos de segurança e segurança. Para obter instruções, consulte Criar um arquivo de postura a partir de um modelo de postura predefinido.
Extraia políticas do seu ambiente. Se necessário, faça as edições às políticas para que cumpram os requisitos regulatórios e de segurança de conformidade. Para instruções, consulte Criar um arquivo de postura extraindo políticas de um ambiente atual.
Criar um recurso do Terraform que defina a postura. Para instruções, consulte Criar um recurso do Terraform com política e definições.
As posturas são arquivos YAML. Para mais informações sobre o arquivo posture.yaml
e
seus pares de chave-valor, consulte YAML de postura de segurança
arquivo.
Criar um arquivo de postura a partir de um modelo predefinido
É possível usar um modelo de postura predefinido para criar um arquivo de postura.
Console
No console do Google Cloud, acesse a página Gerenciamento de postura.
Verifique se você está visualizando a organização para a qual ativou o nível Premium ou Enterprise do Security Command Center ativado.
Na guia Modelos, clique no modelo que você quer usar.
Na página Detalhes do modelo, clique em Criar postura.
Forneça um nome exclusivo para a postura e clique em Criar. A postura de detalhes será aberta.
Conclua uma das seguintes ações:
Se você puder usar a postura sem fazer nenhuma mudança (por exemplo, tiver usado um dos modelos _Essentials), será possível implantar a de uma postura avançada de segurança na nuvem. Para mais instruções, consulte Implantar um de segurança.
Se você precisar modificar qualquer um dos conjuntos ou políticas (por exemplo, você usou um dos modelos _Enhanced), conclua Modificar uma postura arquivo YAML e defina o estado da postura para
ACTIVE
.
gcloud
Analisar a postura predefinida modelos para determinar quais se aplicam ao seu ambiente. É possível aplicar algumas delas sem fazer alterações, mas outros exigem a personalização das políticas. de acordo com seu ambiente.
Use um dos métodos a seguir para copiar os arquivos YAML para seu próprio texto editor:
Copie o arquivo YAML do conteúdo de referência na postura predefinida de modelos.
Execute o comando
gcloud scc posture-templates describe
para copiar o YAML .
gcloud scc posture-templates describe \ organizations/ORGANIZATION_ID/locations/LOCATION/postureTemplates/POSTURE_TEMPLATE \ --revision-id=REVISION_ID
Substitua os seguintes valores:
ORGANIZATION_ID
é a organização em que você ativou o nível Premium ou Enterprise do Security Command Center.LOCATION
é o local em que em que você quer implantar e armazenar a postura. O único local aceito églobal
.POSTURE_TEMPLATE
é o nome do modelo do modelo de segurança da nuvem, conforme descrito nas Modelos de postura predefinidos.REVISION_ID
é a versão de revisão do de postura predefinida. Se você não incluir o ID de revisão, a versão mais recente versão da postura predefinida é exibida.
Por exemplo, para analisar a IA segura, é essencial adotar a postura predefinida na organização
3589215982
, execute o seguintes:gcloud scc posture-templates describe
organizations/3589215982/locations/global/postureTemplates/secure_ai_essential
--revision-id=v.1.0Conclua uma das seguintes ações:
Se você puder usar a postura sem fazer nenhuma mudança (por exemplo, tiver usado um dos modelos _Essentials), será possível criar a postura. Para mais instruções, consulte Criar uma postura.
Se você precisar modificar qualquer política ou conjunto de políticas, conclua Modificar um arquivo YAML de postura.
Criar um arquivo de postura extraindo políticas de um ambiente atual
Você pode extrair as políticas (da políticas da organização, inclusive as personalizadas e todos os detectores da Análise de integridade da segurança, incluindo os personalizados) que você configurou em um projeto, pasta ou organização atual para criar um arquivo de postura. Você não podem extrair políticas de uma organização, pasta ou projeto uma postura aplicada a ela.
Esse comando extrai apenas as políticas que você configurou anteriormente para o organização, pasta ou projeto e não extrai políticas da pastas ou organizações.
Se você conectou o Security Command Center Enterprise à AWS, esse comando também extrai os detectores específicos da AWS (Preview).
Execute o comando
gcloud scc postures extract
para extrair o políticas da organização e detectores da Análise de integridade da segurança no seu ambiente.gcloud scc postures extract \ POSTURE_NAME --workload=WORKLOAD
Substitua os seguintes valores:
POSTURE_NAME
é o nome do recurso relativo do de uma postura avançada de segurança na nuvem. Por exemplo,organizations/ORGANIZATION_ID/locations/LOCATION/postures/POSTURE_ID
.LOCATION
églobal
.POSTURE_ID
é um nome alfanumérico para seu postura exclusivos da sua organização.POSTURE_ID
é com até 63 caracteres.
WORKLOAD
é o projeto, a pasta ou a organização. de onde as políticas estão sendo extraídas. A carga de trabalho é uma das seguintes:projects/PROJECT_NUMBER
folder/FOLDER_ID
organizations/ORGANIZATION_ID
Por exemplo, para extrair políticas da pasta
3589215982
no diretório6589215984
organização, execute o seguinte:gcloud scc postures extract organizations/6589215984/locations/global/postures/myStagingPosture workload=folder/3589215982 > posture.yaml
Abra o arquivo
posture.yaml
resultante para edição.Conclua uma das seguintes ações:
Se você puder usar a postura sem fazer nenhuma mudança (por exemplo, tiver usado um dos modelos _Essentials), será possível criar a de uma postura avançada de segurança na nuvem. Para mais instruções, consulte Criar uma postura.
Se você precisar modificar qualquer política ou conjunto de políticas, conclua Modificar um arquivo YAML de postura.
Criar um recurso do Terraform com definições de política
É possível criar uma configuração do Terraform para criar um recurso de postura.
Por exemplo, é possível criar um recurso de postura que inclua restrições da política da organização e detectores de Análise de integridade da segurança integrados e personalizados. Suporte ao gerenciamento de postura integrado Os detectores da Análise de integridade da segurança específicos da AWS estão em Pré-lançamento.
resource "google_securityposture_posture" "posture_example" {
posture_id = "<POSTURE_ID>"
parent = "organizations/<ORGANIZATION_ID>"
location = "global"
state = "ACTIVE"
description = "a new posture"
policy_sets {
policy_set_id = "org_policy_set"
description = "set of org policies"
policies {
policy_id = "canned_org_policy"
constraint {
org_policy_constraint {
canned_constraint_id = "storage.uniformBucketLevelAccess"
policy_rules {
enforce = true
}
}
}
}
}
policy_sets {
policy_set_id = "sha_policy_set"
description = "set of sha policies"
policies {
policy_id = "sha_builtin_module"
constraint {
security_health_analytics_module {
module_name = "BIGQUERY_TABLE_CMEK_DISABLED"
module_enablement_state = "ENABLED"
}
}
description = "enable BIGQUERY_TABLE_CMEK_DISABLED"
}
policies {
policy_id = "aws_sha_builtin_module"
constraint {
security_health_analytics_module {
module_name = "S3_BUCKET_LOGGING_ENABLED"
module_enablement_state = "ENABLED"
}
}
description = "enable S3_BUCKET_LOGGING_ENABLED"
}
policies {
policy_id = "sha_custom_module"
constraint {
security_health_analytics_custom_module {
display_name = "custom_SHA_policy"
config {
predicate {
expression = "resource.rotationPeriod > duration('2592000s')"
}
custom_output {
properties {
name = "duration"
value_expression {
expression = "resource.rotationPeriod"
}
}
}
resource_selector {
resource_types = ["cloudkms.googleapis.com/CryptoKey"]
}
severity = "LOW"
description = "Custom Module"
recommendation = "Testing custom modules"
}
module_enablement_state = "ENABLED"
}
}
}
}
}
Para mais informações, consulte google_securityposture_posture.
Modificar um arquivo YAML de postura
Conclua as etapas a seguir para modificar um arquivo YAML de postura:
Abra o arquivo YAML de postura em um editor de texto.
Verificar
name
,description
estate
no início do arquivo.name: organizations/ORGANIZATION_ID/locations/LOCATION/posture/POSTURE_ID description: DESCRIPTION state: STATE
Consulte Arquivo YAML da postura de segurança para a descrição desses valores-chave.
Exemplo:
name: organizations/3589215982/locations/global/posture/stagingAIPosture description: This posture applies to staging environments for Vertex AI. state: ACTIVE
Personalize as políticas no arquivo para atender aos seus requisitos:
Analise as políticas atuais e os valores delas. Para políticas que exigem específicas do seu ambiente, defina os valores adequadamente. Por exemplo, para a política
ainotebooks.accessMode
no IA segura, postura predefinida estendida, adicione os modos de acesso permitidos empolicy_rules
:- policy_id: Define access mode for Vertex AI Workbench notebooks and instances compliance_standards: - standard: NIST SP 800-53 control: AC-3(3) - standard: NIST SP 800-53 control: AC-6(1) constraint: org_policy_constraint: canned_constraint_id: ainotebooks.accessMode policy_rules: - values: allowed_values: service-account description: This list constraint defines the modes of access allowed to Vertex AI Workbench notebooks and instances where enforced. The allow or deny list can specify multiple users with the service-account mode or single-user access with the single-user mode. The access mode to be allowed or denied must be listed explicitly.
Adicione outras restrições das políticas da organização, conforme documentado em Restrições da política da organização. Ao definir uma política da organização personalizada, confirme se o YAML inclui a definição da restrição personalizada. Não é possível usar um que você criou usando outros métodos (por exemplo, usando o console do Google Cloud). Por exemplo, talvez você queira definir
compute.trustedImageProjects
para definir que os projetos podem ser para armazenamento de imagens e instanciação de disco. Se você copiar esse exemplo, certifique-se de substituirallowed_values
pela lista adequada de projetos:- policy_id: Define projects with trusted images. compliance_standards: - standard: control: constraint: org_policy_constraint: canned_constraint_id: compute.trustedImageProjects policy_rules: - values: allowed_values: - project1 - project2 - projectN description: This is a complete list of projects from which images can be used.
Adicione outros detectores da Análise de integridade da segurança, como os documentados em Descobertas da Análise de integridade da segurança. Por exemplo, adicione um detector da Análise de integridade da segurança para criar uma descoberta projeto não está usando uma chave de API para autenticação:
- policy_id: API Key Exists constraint: securityHealthAnalyticsModule: moduleEnablementState: ENABLED moduleName: API_KEY_EXISTS
Como outro exemplo, adicione um módulo personalizado da Análise de integridade da segurança para detectar Os conjuntos de dados da Vertex AI são criptografados:
- policy_id: CMEK key is use for Vertex AI DataSet compliance_standards: - standard: NIST SP 800-53 control: SC-12 - standard: NIST SP 800-53 control: SC-13 constraint: security_health_analytics_custom_module: display_name: "vertexAIDatasetCMEKDisabled" config: customOutput: {} predicate: expression: "!has(resource.encryptionSpec)" resource_selector: resource_types: - aiplatform.googleapis.com/Dataset severity: CRITICAL description: "When enforced, this detector finds whether a dataset is not encrypted using CMEK." recommendation: "Restore the SHA module. See https://cloud.google.com/security-command-center/docs/custom-modules-sha-overview." module_enablement_state: ENABLED
Como outro exemplo, para o Security Command Center Enterprise, adicione uma Análise de integridade da segurança específico para a AWS (Visualização):
- policy_set_id: AWS policy set description: Policy set containing AWS built-in SHA modules for securing S3 buckets. policies: - policy_id: S3 bucket replication enabled compliance_standards: - standard: NIST 800-53 R5 control: SI-13(5) constraint: securityHealthAnalyticsModule: moduleEnablementState: ENABLED moduleName: S3_BUCKET_REPLICATION_ENABLED description: This control checks whether an Amazon S3 bucket has Cross-Region Replication enabled. The control fails if the bucket does not have Cross-Region Replication enabled or if Same-Region Replication is also enabled. - policy_id: S3 bucket logging enabled compliance_standards: - standard: NIST 800-53 R5 control: SI-7(8) - standard: PCI DSS 3.2.1 control: 10.3.1 constraint: securityHealthAnalyticsModule: moduleEnablementState: ENABLED moduleName: S3_BUCKET_LOGGING_ENABLED description: AWS S3 Server Access Logging feature records access requests to storage buckets which is useful for security audits. By default, server access logging is not enabled for S3 buckets.
Se você adicionar um detector específico para a AWS, será necessário implantar a postura no nível da organização.
Faça upload do seu arquivo de postura para um repositório de origem com controle de versões para que você pode acompanhar as alterações que fizer nele ao longo do tempo.
Criar uma postura
Conclua esta tarefa para criar um recurso de postura no Security Command Center que você que podem ser implantados. Se você criou uma postura a partir de um modelo predefinido usando no console do Google Cloud, o recurso de postura é criado automaticamente para para você.
gcloud
Execute o comando
gcloud scc postures create
para criar uma postura usando a arquivoposture.yaml
.gcloud scc postures create \ POSTURE_NAME --posture-from-file=POSTURE_FROM_FILE
Substitua os seguintes valores:
POSTURE_NAME
é o nome do recurso relativo do de uma postura avançada de segurança na nuvem. Por exemplo,organizations/ORGANIZATION_ID/locations/LOCATION/postures/POSTURE_ID
.LOCATION
églobal
.POSTURE_ID
é um nome alfanumérico para seu de segurança que seja exclusiva da sua organização.POSTURE_ID
é com até 63 caracteres.
POSTURE_FROM_FILE
é o caminho relativo ou absoluto para no arquivoposture.yaml
.
Por exemplo, para criar uma postura com o ID
posture-example-1
da organizaçãoorganizations/3589215982
, execute o seguintes:gcloud scc postures create organizations/3589215982/locations/global/postures/posture-example-1 --posture-from-file=posture.yaml
Se o processo de criação da postura falhar, exclua a postura, o problema e tente novamente.
Para verificar se a postura foi criada, consulte Visualizar um de segurança.
Para aplicar essa postura ao seu ambiente, é preciso implantar o de segurança.
Terraform
Se você criou uma configuração do Terraform para o recurso de postura, você precisa provisioná-lo usando pipeline de infraestrutura como código.
Para mais informações, acesse Terraform no Google Cloud.
Implantar uma postura
Depois de criar uma postura, é possível implantá-la em um projeto, pasta ou organização para que você possa aplicar as políticas e as definições delas a recursos específicos na organização e monitorar desvios. Só é possível implantar uma postura em um um projeto, uma pasta ou uma organização.
Verifique se seu estado de postura é ACTIVE
.
Quando você implanta a postura, as seguintes ações ocorrem:
As definições das políticas da organização e dos detectores da Análise de integridade da segurança são aplicada.
A restrição personalizada para políticas personalizadas da organização é criada com ID da restrição para incluir o ID de revisão de postura como um sufixo da restrição ID definido na postura.
O estado padrão dos módulos personalizados é definido como Ativado.
Console
No console do Google Cloud, acesse a página Gerenciamento de postura.
Verifique se você está visualizando a organização para a qual ativou o nível Premium ou Enterprise do Security Command Center ativado.
Na guia Posture, clique na postura que você quer implantar.
Na página Detalhes da postura, selecione a revisão da postura que você quer implantar.
Clique em Implantar no nó.
Selecione a organização, a pasta ou o projeto em que você quer implantar para a postura de segurança da nuvem. Se sua postura incluir um detector específico para a AWS, é necessário implantar a postura no nível da organização (Prévia).
Clique em Selecionar.
Repita as etapas 5 a 7 para cada organização, pasta ou projeto que você aplicar a postura.
gcloud
Execute o comando gcloud scc posture-deployments create
para implantar uma postura em um
um projeto, uma pasta ou uma organização.
gcloud scc posture-deployments create \ POSTURE_DEPLOYMENT_NAME --posture-name=POSTURE_NAME \ --posture-revision-id=POSTURE_REVISION_ID \ --target-resource=TARGET_RESOURCE
Substitua os seguintes valores:
POSTURE_DEPLOYMENT_NAME
é o nome do recurso relativo da implantação da postura de segurança. O formato éorganizations/ORGANIZATION_ID/locations/LOCATION/postureDeployments/POSTURE_DEPLOYMENT_ID
:LOCATION
églobal
.POSTURE_DEPLOYMENT_ID
é um nome exclusivo para a postura. implantação do Google Workspace.POSTURE_DEPLOYMENT_ID
é com até 63 caracteres.
--posture-name=POSTURE_NAME
é o nome do de segurança que você está implantando. O formato éorganizations/ORGANIZATION_ID/locations/LOCATION/postures/POSTURE_ID
:LOCATION
églobal
.POSTURE_ID
é um nome alfanumérico para seu de segurança que seja exclusiva da sua organização.
--posture-revision-id=POSTURE_REVISION_ID
é o revisão de postura que você quer implantar. Você pode obtê-lo na resposta que você recebe ao criar ou visualizar a postura.--target-resource=TARGET_RESOURCE
é o nome do organização, pasta ou projeto em que você quer implantar a postura. Você pode use um dos seguintes formatos:organizations/ORGANIZATION_ID
folders/FOLDER_ID
projects/PROJECT_NUMBER
Se sua postura incluir um detector específico para a AWS, é necessário implantar a postura no nível da organização (Prévia).
Por exemplo, para implantar uma postura, execute o seguinte comando:
gcloud scc posture-deployments create
organizations/3589215982/locations/global/postureDeployments/postureDeployment123
--posture-name=organizations/3589215982/locations/global/postures/StagingAIPosture
--posture-revision-id=version1 --target-resource=projects/4589215982
É possível visualizar informações de status à medida que o comando é concluído. Se a postura o processo de criação da implantação falhar, exclua a implantação o problema e tente novamente.
Terraform
É possível criar um recurso do Terraform para implantar uma postura.
resource "google_securityposture_posture_deployment" "posture_deployment_example" {
posture_deployment_id = "<POSTURE_DEPLOYMENT_ID>"
parent = "organizations/<ORGANIZATION_ID>"
location = "global"
description = "a new posture deployment"
target_resource = "<TARGET_RESOURCE>"
posture_id = "<POSTURE_NAME>"
posture_revision_id = "<POSTURE_REVISION_ID>"
}
Para mais informações, consulte google_securityposture_posture_deployment.
Depois de criar o recurso do Terraform, provisione-o usando o pipeline de infraestrutura como código.
Visualizar informações de postura e implantação de postura
É possível visualizar informações de implantação de postura e de implantação de postura para ver informações como as seguintes:
Quais posturas são implantadas e onde na hierarquia de recursos (organizações, projetos e pastas), eles são aplicados
As revisões e o estado das posturas
Os detalhes operacionais de uma implantação de postura
Ver uma postura
É possível visualizar informações sobre uma postura, como o estado e a política ).
Console
No console do Google Cloud, acesse a página Gerenciamento de postura.
Selecione a organização para a qual você ativou nível Premium ou Enterprise do Security Command Center ativado.
Na guia Posturas, clique na postura que você quer visualizar. O detalhes de postura sejam exibidos.
gcloud
Execute o comando gcloud scc postures describe
para conferir uma postura que você
criados.
gcloud scc postures describe POSTURE_NAME \ --revision-id=REVISION_ID
Substitua os seguintes valores:
POSTURE_NAME
é o nome do recurso relativo do de uma postura avançada de segurança na nuvem. Por exemplo,organizations/ORGANIZATION_ID/locations/LOCATION/postures/POSTURE_ID
.LOCATION
églobal
.POSTURE_ID
é um nome alfanumérico para sua postura exclusivos da sua organização.
revision-id=REVISION_ID
é uma sinalização opcional que especifica qual versão da postura será exibida. Se você não incluir a sinalização, a versão mais recente é retornada.
Por exemplo, para conferir uma postura com o nome
organizations/3589215982/locations/global/postures/posture-example-1
e o ID de revisão abcdefgh
, execute o seguinte:
gcloud scc postures describe \
organizations/3589215982/locations/global/postures/posture-example-1
--revision-id=abcdefgh
Conferir informações sobre uma operação de implantação de postura
Execute o comando gcloud scc posture-operations describe
para visualizar a
detalhes de uma operação de implantação de postura.
gcloud scc posture-operations describe OPERATION_NAME
Em que OPERATION_NAME
é o nome do recurso relativo para
a operação. O formato é
organizations/ORGANIZATION_ID/
:
LOCATION
/global/operations/OPERATION_IDLOCATION
é o local em que você
implantou a implantação da postura. Você pode obter o
OPERATION_ID
usando o argumento --async
.
ao executar o comando de postura.
Por exemplo, para visualizar uma operação de verificação com o nome
organizations/3589215982/locations/global/operations/operation-1694515698847-605272e4bcd7c-f93dade6-067467ae
,
execute o seguinte:
gcloud scc posture-operations describe
organizations/3589215982/locations/global/operations/operation-1694515698847-605272e4bcd7c-f93dade6-067467ae
Conferir informações sobre uma implantação de postura
É possível consultar onde uma postura foi implantada, bem como o estado da implantação.
Console
No console do Google Cloud, acesse a página Gerenciamento de postura.
Verifique se você está visualizando a organização para a qual ativou o nível Premium ou Enterprise do Security Command Center ativado.
Na guia Posturas, clique na postura que você implantou.
Clique na guia Deployments. É possível consultar os projetos, as pastas e organização na qual a postura é implantada, bem como a implantação estado.
gcloud
Execute o comando gcloud scc posture-deployments describe
para visualizar
informações sobre uma postura implantada.
gcloud scc posture-deployments describe POSTURE_DEPLOYMENT_NAME
Em que POSTURE_DEPLOYMENT_NAME
é o nome do recurso relativo para o
implantação da postura de segurança. O formato é
organizations/ORGANIZATION_ID/locations/LOCATION/postureDeployments/POSTURE_DEPLOYMENT_ID
:
LOCATION
églobal
.POSTURE_DEPLOYMENT_ID
é um nome exclusivo para a postura. implantação do Google Workspace.
Por exemplo, para conferir os detalhes de uma implantação de postura chamada
organizations/3589215982/locations/global/postureDeployments/Posture-deployment-example-1
,
execute o seguinte:
gcloud scc posture-deployments describe \
organizations/3589215982/locations/global/postureDeployments/Posture-deployment-example-1
Atualizar uma postura e implantação de postura
Você pode atualizar o seguinte:
O estado da postura.
As definições de política em uma postura.
A organização, as pastas ou os projetos em que uma postura é implantada.
Atualizar as definições de política em uma postura
Talvez seja necessário atualizar uma postura ao ativar mais serviços do Google Cloud, implantar recursos adicionais ou exigir outras políticas para atender a requisitos mudanças nos requisitos de conformidade. Se você estiver atualizando uma revisão de postura implantada, essa tarefa cria uma nova revisão de postura. Caso contrário, a revisão de postura que especificado quando você executa o comando de atualização é atualizado.
Abra um arquivo YAML em um editor de texto. Adicione os campos que você quer atualizar e com seus valores. Se você estiver atualizando conjuntos de políticas, certifique-se de que seus tem todos os conjuntos de políticas que você quer incluir na postura, incluindo os conjuntos de políticas que já existem. Para mais instruções, consulte Modificar um arquivo YAML de postura.
Execute o comando
gcloud scc postures update
para atualizar a postura.gcloud scc postures update POSTURE_NAME \ --posture-from-file=POSTURE_FROM_FILE \ --revision-id=POSTURE_REVISION_ID --update-mask=UPDATE_MASK
Substitua os seguintes valores:
POSTURE_NAME
é o nome do recurso relativo do de uma postura avançada de segurança na nuvem. Por exemplo,organizations/ORGANIZATION_ID/locations/LOCATION/postures/POSTURE_ID
.LOCATION
églobal
.POSTURE_ID
é um nome alfanumérico para sua postura exclusivos da sua organização.
POSTURE_FROM_FILE
é o caminho relativo ou absoluto para o arquivoposture.yaml
que inclui suas mudanças.--revision-id=REVISION_ID
é o revisão de postura que você quer implantar. Se a postura for atualmente implantados, o de postura de segurança cria automaticamente uma nova versão da com um ID de revisão diferente e inclui o ID de revisão no saída.--update-mask=UPDATE_MASK
é a lista de campos que que você deseja atualizar, no formato separado por vírgulas. Esse argumento é opcional. É possível definirUPDATE_MASK
como uma das seguintes opções: valores:*
ou não especificado: aplique as alterações feitas nos conjuntos de políticas e descrição da postura.policy_sets
: aplique as alterações feitas apenas nos conjuntos de políticas.description
: aplique as mudanças feitas apenas na descrição da postura.policy_sets, description
: aplique as alterações que você fez ao conjuntos de políticas e descrição da postura.state
: aplica apenas a mudança de estado.
Por exemplo, para atualizar uma postura com o nome
posture-example-1
no da organizaçãoorganizations/3589215982/locations/global
e da ID de revisão definido comoabcd1234
, execute o seguinte:gcloud scc postures update organizations/3589215982/locations/global/posture-example-1 --posture-from-file=posture.yaml --revision-id=abcd1234 --update-mask=policy_sets
Se o processo de atualização de postura falhar, resolva o erro e tente novamente.
Para verificar se a postura foi atualizada, consulte Visualizar um de segurança.
Mudar o estado de uma postura
O estado de uma postura determina se ela está disponível para implantação em um um projeto, uma pasta ou uma organização.
Uma postura pode ter os seguintes estados:
DRAFT
: a revisão de postura não está pronta para implantação. Não é possível implantar revisão de postura que está no estadoDRAFT
.ACTIVE
: a revisão de postura está disponível para implantação. É possível alterar estado deACTIVE
aDRAFT
ouDEPRECATED.
DEPRECATED
: uma revisão de posturaDEPRECATED
não pode ser implantada em um recurso. Você precisa excluir todas as implantações de postura atuais da postura antes de poder suspender o uso de uma revisão de postura. Se você quiser reimplantar uma postura revisão descontinuada, altere o estado dela paraACTIVE
.
Para mudar o estado de uma postura, execute o comando gcloud scc postures update
.
Não é possível atualizar o estado de postura ao mesmo tempo que atualiza outros
campos. Para instruções sobre como executar o comando gcloud scc postures update
,
consulte Modificar um arquivo YAML de postura.
Atualizar uma implantação de postura
Atualize uma implantação de postura em um projeto, pasta ou organização para implantar uma nova postura ou implantar uma nova revisão de uma postura.
Se a revisão de postura que você está atualizando incluir uma restrição personalizada da organização excluída usando o console do Google Cloud, não será possível atualizar a postura implantação usando o mesmo ID de postura. O serviço de políticas da organização impede a criação de restrições personalizadas para organizações com o mesmo nome. Em vez disso, você deve crie uma nova versão da postura ou use um ID de postura diferente.
Console
No console do Google Cloud, acesse a página Gerenciamento de postura.
Verifique se você está visualizando a organização ativada. com o nível Premium ou Enterprise do Security Command Center.
Na guia Posturas, clique na postura que você atualizou.
Na página Detalhes da postura, selecione a revisão da postura que você atualizado.
Clique em Implantar no nó.
Selecione a organização, a pasta ou o projeto em que você quer implantar para a postura de segurança da nuvem. Se aparecer uma mensagem informando que a implantação já existe, exclua a implantação antes de tentar novamente. Se sua postura incluir um detector específico para a AWS, você precisará implantar a postura no nível da organização (Prévia).
Clique em Selecionar.
gcloud
Execute o comando gcloud scc posture-deployments update
para implantar uma postura.
gcloud scc posture-deployments update \ POSTURE_DEPLOYMENT_NAME --description=DESCRIPTION \ --update-mask=UPDATE_MASK --posture-id=POSTURE_ID \ --posture-revision-id=POSTURE_REVISION_ID
Substitua os seguintes valores:
POSTURE_DEPLOYMENT_NAME
é o nome do recurso relativo da implantação da postura de segurança. O formato éorganizations/ORGANIZATION_ID/locations/LOCATION/postureDeployments/POSTURE_DEPLOYMENT_ID
:LOCATION
églobal
.POSTURE_DEPLOYMENT_ID
é um nome exclusivo para a postura. implantação do Google Workspace.
--description=DESCRIPTION
é a descrição opcional. para a postura implantada.--posture-id=POSTURE_ID
é o nome da sua postura. exclusivos da sua organização. O formato éorganizations/ORGANIZATION_ID/locations/LOCATION/postures/POSTURE_NAME
.--posture-revision-id=POSTURE_REVISION_ID
é o revisão de postura que você quer implantar. Você pode obtê-lo na resposta que você recebe ao criar a postura ou visualizar o de segurança.--update-mask=UPDATE_MASK
é a lista de campos que que você deseja atualizar, no formato separado por vírgulas. Esse argumento é opcional.
Por exemplo, para atualizar uma implantação de postura com o seguintes critérios:
- Organização:
organizations/3589215982/locations/global
- ID de implantação da postura:
postureDeploymentexample
- ID da postura:
StagingAIPosture
- Revisão:
version2
Execute este comando:
gcloud scc posture-deployments update
organizations/3589215982/locations/global/postureDeployments/postureDeploymentexample
--posture-id=organizations/3589215982/locations/global/postures/StagingAIPosture
--posture-revision-id=version2
É possível visualizar informações de status à medida que o comando é concluído. Se a postura falha no processo de atualização da implantação, exclua a implantação o problema e tente novamente.
Monitorar desvio de postura
É possível monitorar uma postura implantada em busca de desvios das políticas definidas de segurança da nuvem. Deslocamento é uma mudança de política que ocorre fora de uma postura. Por exemplo, o deslocamento ocorre quando um administrador altera a definição da política no console em vez de atualizar a implantação da postura.
O serviço de postura de segurança cria descobertas que podem ser visualizadas no no console do Google Cloud ou CLI gcloud sempre que ocorrer um deslocamento.
Console
Se você criou uma postura que se aplica às cargas de trabalho da Vertex AI, pode monitorar desvios de duas maneiras: na página Descobertas e no Visão geral. Para todas as outras posturas, é possível monitorar o desvio da Descobertas.
Para monitorar desvios na página Descobertas:
No console do Google Cloud, acesse a página Descobertas.
Verifique se você está visualizando a organização para a qual ativou o nível Premium ou Enterprise do Security Command Center ativado.
No painel Filtros rápidos, selecione a descoberta Violação de postura. Também é possível inserir o seguinte filtro na Visualização da consulta:
state="ACTIVE" AND NOT mute="MUTED" AND finding_class="POSTURE_VIOLATION"
Para ver os detalhes de uma descoberta, clique nela.
Para monitorar desvios na página Visão geral (cargas de trabalho da Vertex AI) ):
No console do Google Cloud, acesse a página Visão geral.
Verifique se você está visualizando a organização para a qual ativou o nível Premium ou Enterprise do Security Command Center ativado.
Revise o painel Descobertas da carga de trabalho da IA.
- A guia Vulnerabilidades mostra todas as vulnerabilidades relacionadas a qualquer módulos personalizados da Análise de integridade da segurança que se aplicam especificamente às cargas de trabalho da Vertex AI.
- A guia Desvio de política mostra qualquer desvio relacionado as políticas da organização que você aplicou em uma postura.
Para ver os detalhes de uma descoberta, clique nela.
gcloud
Na CLI gcloud, para visualizar as descobertas de deslocamento, execute o seguinte:
gcloud scc findings list ORGANIZATION_ID \ --filter="category=\"SECURITY_POSTURE_DRIFT\""
Em que ORGANIZATION_ID é o ID da organização.
Para mais informações sobre como abordar essas descobertas, consulte Serviço de postura de segurança descobertas. É possível exportar essas descobertas da mesma forma que você exporta outras descobertas do Security Command Center. Para mais informações, consulte Opções de integração e Como exportar dados do Security Command Center.
Para desativar uma descoberta de deslocamento, atualizar a implantação de postura com a mesma ID e revisão de postura.
Gerar uma descoberta de deslocamento para fins de teste
Depois de implantar uma postura, é possível monitorar o desvio das políticas. Para ver as descobertas de deslocamento em ação em um ambiente de teste, conclua o seguinte:
No console, acesse a página Política da organização.
Edite uma das políticas que você definiu na postura implantada. Para Por exemplo, ao usar uma postura de IA segura predefinida, é possível editar Restringir o acesso de IP público em novos notebooks do Vertex AI Workbench e de instâncias.
Depois de alterar a política, clique em Definir política.
Acesse a página Descobertas.
No painel Filtros rápidos, na seção Nome de exibição da origem, faça o seguinte: selecione Postura de segurança. Uma descoberta relacionada à sua mudança deve aparecer em cinco minutos.
Para conferir os detalhes da descoberta, clique nela.
Excluir uma implantação de postura
É possível excluir uma implantação de postura se ela não foi implantada corretamente, você não exigem uma postura específica ou não quer mais uma postura específica atribuídos a um projeto, uma pasta ou uma organização. Para excluir uma implantação de postura, a implantação da postura precisa estar em um dos seguintes estados:
ACTIVE
CREATE_FAILED
UPDATE_FAILED
DELETE_FAILED
Para verificar o estado de uma implantação de postura, consulte Ver informações sobre uma implantação de postura.
Ao excluir uma implantação de postura, você a remove do recurso (sua organização, pasta ou projeto) ao qual ele foi atribuído.
A saída para diferentes tipos de políticas é:
Quando você exclui uma implantação de postura que inclui organização personalizada as políticas da organização serão excluídas. No entanto, a fase e a restrição continua a existir.
Quando você exclui uma implantação de postura que inclui a Análise de integridade da segurança integrada detectores, o estado final dos módulos da Análise de integridade da segurança depende organização, pasta ou projeto em que a implantação existia.
- Se você implantou uma postura em uma pasta ou projeto, a postura Os detectores da Análise de integridade da segurança herdam o estado da organização pai ou pasta.
- Se você implantou uma postura no nível da organização, o Os detectores da Análise de integridade da segurança são revertidos para o estado padrão. Para uma descrição os estados padrão, consulte Ative e desative os detectores.
Execute o comando gcloud scc posture-deployments delete
para excluir uma postura
implantação do Google Workspace.
gcloud scc posture-deployments delete POSTURE_DEPLOYMENT_NAME
POSTURE_DEPLOYMENT_NAME
é o nome do recurso relativo da
implantação da postura de segurança. O formato é
organizations/ORGANIZATION_ID/locations/LOCATION/postureDeployments/POSTURE_DEPLOYMENT_ID
:
LOCATION
églobal
.POSTURE_DEPLOYMENT_ID
é o nome exclusivo da postura. implantação do Google Workspace.
Por exemplo, para excluir uma implantação de postura chamada
organizations/3589215982/locations/global/postureDeployments/posture-deployment-example-1
,
execute o seguinte:
gcloud scc posture-deployments delete \
organizations/3589215982/locations/global/postureDeployments/posture-deployment-example-1
Excluir uma postura
Quando você exclui uma postura, também exclui todas as revisões. Não é possível excluir uma de segurança que é implantada. Exclua a implantação da postura antes de concluir esta tarefa.
Execute o comando gcloud scc postures delete
para excluir uma postura.
gcloud scc postures delete POSTURE_NAME
POSTURE_NAME
é o nome do recurso relativo do
de uma postura avançada
de segurança na nuvem. Por exemplo,
organizations/ORGANIZATION_ID/locations/LOCATION/postures/POSTURE_ID
. O ID de postura é um nome alfanumérico para sua postura que é exclusivo da sua organização. LOCATION
é global
.
Por exemplo, para excluir uma postura denominada
organizations/3589215982/locations/global/postures/posture-example-1
,
execute o seguinte:
gcloud scc postures delete \
organizations/3589215982/locations/global/postures/posture-example-1