このページでは、Security Command Center の概要について説明します。Security Command Center は、Enterprise ティアで、クラウド セキュリティとエンタープライズ セキュリティ運用を組み合わせ、Mandiant の専門知識と Gemini の AI から得られる分析情報を提供します。
Security Command Center を使用すると、セキュリティ オペレーション センター（SOC）アナリスト、脆弱性と体制のアナリスト、コンプライアンス マネージャーなどのセキュリティ専門家が、複数のクラウドにまたがるセキュリティ問題を迅速に評価、調査、対応できます。
各クラウド デプロイメントには、すべて固有のリスクがあります。Security Command Center を使用すると、Google Cloud 上のプロジェクトまたは組織の攻撃対象領域と、他のクラウド環境の攻撃対象領域を把握して評価できます。リソースを保護するように適切に構成された Security Command Center を使用すると、クラウド環境で検出された脆弱性と脅威を把握し、修正の優先順位付けを行うことができます。
Security Command Center は多くの Google Cloud サービスと統合されており、複数のクラウド環境のセキュリティ問題を検出できます。これらのサービスは、リソースのメタデータのスキャン、クラウドログのスキャン、コンテナのスキャン、仮想マシンのスキャンなど、さまざまな方法で問題を検出します。
Google Security Operations や Mandiant などの統合サービスには、検出された問題の調査と対応の優先順位付けと管理に不可欠な機能と情報が提供されています。
脅威を管理する
Premium ティアと Enterprise ティアでは、Security Command Center は組み込みの Google Cloud サービスと統合された Google Cloud サービスの両方を使用して脅威を検出します。これらのサービスは、Google Cloud のログ、コンテナ、仮想マシンをスキャンして、脅威の兆候を探します。
Event Threat Detection や Container Threat Detection など、これらのサービスは、脅威インジケーターを検出すると、検出結果を発行します。検出結果は、クラウド環境でサービスが検出した個々の脅威などの問題のレポートまたは記録です。検出結果を発行するサービスは、検出結果のソースとも呼ばれます。
Security Command Center Enterprise では、検出結果によってアラートがトリガーされ、検出結果の重大度によっては、ケースが生成される場合があります。チケット発行システムでケースを使用して、1 つ以上のアラートの調査にオーナーを割り当て、対応できます。
Security Command Center Enterprise は、他のクラウド プラットフォームのデプロイメント内の脅威も検出できます。他のクラウド プラットフォームのデプロイで脅威を検出するため、Security Command Center は、接続を確立した後に他のクラウド プラットフォームからログを取り込みます。
詳しくは次のページをご覧ください。
脅威の検出と対応の機能
Security Command Center を使用すると、SOC アナリストは次のセキュリティ目標を達成できます。
- クラウド環境で潜在的な脅威を示すイベントを検出し、関連する検出結果やアラートを優先度別に分類する。
- 統合されたケース ワークフローを使用して、オーナーを割り当て、調査と対応の進捗状況を追跡します。必要に応じて、Jira や ServiceNow などの任意のチケット発行システムを統合できます。
- 強力な検索機能と相互参照機能を使用して、脅威アラートを調査する。
- レスポンス ワークフローを定義し、アクションを自動化して、クラウド環境への潜在的な攻撃に対処する。ハンドブックを使用して対応ワークフローと自動化アクションを定義する詳細については、ハンドブックを使用するをご覧ください。
- 誤検出の検出結果やアラートをミュートまたは除外します。
- 不正使用された ID とアクセス権限に関連する脅威に焦点を当てる。
- Security Command Center を使用して、AWS などの他のクラウド環境で潜在的な脅威を検出し、調査して対応する。
脆弱性の管理
Security Command Center は、包括的な脆弱性検出を提供し、環境内のリソースを自動的にスキャンして、攻撃にさらされる可能性のあるソフトウェアの脆弱性、構成ミス、その他のセキュリティ問題を検出します。このような問題は、まとめて脆弱性と呼ばれます。
Security Command Center では、組み込みの Google Cloud サービスと、統合された Google Cloud サービスの両方を使用して、セキュリティの問題を検出します。検出結果を発行するサービスは、検出結果のソースとも呼ばれます。サービスが問題を検出すると、検出結果を発行して問題を記録します。
デフォルトでは、重大度と重大度の脆弱性検出結果に対してケースが自動的に開かれ、修復の優先順位付けをサポートします。ケースを使用して所有者を割り当て、修復作業の進捗状況を追跡できます。
詳しくは以下をご覧ください。
有害な組み合わせ
エンタープライズ ティアの機能である Security Command Center Risk Engine は、特定のパターンで同時に発生すると、価値の高いリソースへのパスを作成し、攻撃者がリソースに到達して不正使用する可能性があるセキュリティ問題のグループを検出します。
この種のパターン化されたセキュリティ問題のグループは、有害な組み合わせと呼ばれます。Risk Engine は、有害な組み合わせを検出すると、検出結果を発行します。有害な組み合わせの検出結果ごとに、Security Command Center はセキュリティ運用コンソールにケースを作成し、有害な組み合わせの解決を管理および追跡できるようにします。
続きは、有害な組み合わせの概要をご覧ください。
ソフトウェアの脆弱性
ソフトウェアの脆弱性を特定して、理解し、優先付けできるように、Security Command Center はクラウド環境内の仮想マシン（VM）とコンテナの脆弱性の観点から評価します。Security Command Center は、検出された脆弱性ごとに、検出結果レコードまたは検出結果に関する詳細情報を提供します。検出結果に含まれる情報には、以下のものがあります。
- 影響を受けるリソースの詳細
- 関連する CVE レコードに関する情報（CVE アイテムの影響と悪用可能性に関する Mandiant の評価など）
- 攻撃の発生可能性スコア（対策の優先順位付けに役立つ）
- 脆弱性によって公開される高価値リソースに攻撃者が到達する可能性のあるパスを視覚的に示す
ソフトウェアの脆弱性は、次のサービスによって検出されます。
- Compute Engine 仮想マシンのオペレーティング システム用の VM Manager
- コンテナ内のオペレーティング システムの Google Kubernetes Engine セキュリティ ポスチャー ダッシュボード
- AWS にある EC2 インスタンスの アマゾン ウェブ サービス（AWS）の脆弱性評価
- App Engine、Google Kubernetes Engine（GKE）、Compute Engine で実行されているウェブ アプリケーション用の Web Security Scanner
構成ミス
Security Command Center は、構成ミスをスキャンするサービスの検出機能を、業界の一般的なコンプライアンス標準のコントロールにマッピングします。マッピングでは、構成ミスが違反しているコンプライアンス標準が表示されるだけでなく、さまざまな標準に対するコンプライアンスの測定値を確認できます。この測定値はレポートとしてエクスポートできます。
詳細については、コンプライアンスを評価して報告するをご覧ください。
ポスチャー違反
Security Command Center のプレミアム ティアとエンタープライズ ティアには、セキュリティ対策サービスが含まれています。このサービスは、クラウド環境にデプロイしたセキュリティ対策で定義されているポリシーにクラウド リソースが違反している場合に検出結果を出力します。
詳細については、セキュリティ ポスチャー サービスをご覧ください。
インフラストラクチャをコードとして検証する
Infrastructure as Code（IaC）ファイルが、Google Cloud 組織で定義した組織のポリシーと Security Health Analytics 検出機能と一致していることを確認できます。この機能により、組織の標準に違反するリソースをデプロイしないようにできます。組織のポリシーを定義し、必要に応じて Security Health Analytics サービスを有効にすると、Google Cloud CLI を使用して Terraform 計画ファイルを検証できます。また、検証プロセスを Cloud Build、Jenkins、または GitHub アクション デベロッパー ワークフローに統合できます。詳細については、組織のポリシーに照らして IaC を検証するをご覧ください。
他のクラウド プラットフォームの脆弱性と構成ミスを検出する
Security Command Center Enterprise は、複数のクラウド環境の脆弱性を検出できます。他のクラウド サービス プロバイダの脆弱性を検出するには、まずプロバイダへの接続を確立してリソース メタデータを取り込む必要があります。
詳細については、脆弱性の検出とリスク評価のために AWS に接続するをご覧ください。
脆弱性とポスチャ―の管理機能
Security Command Center を使用すると、脆弱性アナリスト、セキュリティ対策管理者、その他のセキュリティ担当者は、次のセキュリティ目標を達成できます。
- クラウド環境を潜在的な攻撃にさらす可能性のある、ソフトウェアの脆弱性、構成ミス、対策違反など、さまざまな種類の脆弱性を検出します。
- 脆弱性の検出結果とアラートの攻撃の発生可能性スコアを使用して、リスクの高い問題への対応と修正に集中します。
- ケースを使用して、優先するチケット発行システム（Jira や ServiceNow など）を統合し、オーナーを割り当てて脆弱性の修正の進捗状況を追跡します。
- 攻撃の発生可能性スコアを下げて、クラウド環境内の高価値リソースをプロアクティブに保護する
- Security Command Center が体制を評価し、違反をアラートするために使用するクラウド環境のカスタム セキュリティ ポスチャーを定義します。
- 誤検出の検出結果やアラートをミュートまたは除外します。
- ID と過剰な権限に関連する脆弱性に焦点を当てる。
- AWS などの他のクラウド環境の脆弱性とリスク評価を Security Command Center で検出して管理します。
攻撃の発生可能性スコアと攻撃パスを使用してリスクを評価する
プレミアム ティアとエンタープライズ ティアを組織レベルで有効にすると、Security Command Center は、高価値リソースの攻撃の発生可能性スコアと、高価値リソースに影響する脆弱性と構成ミスの検出結果を提供します。
このスコアを使用して、脆弱性と構成ミスの修正に優先順位を付けたり、最も露出している高価値リソースのセキュリティに優先順位を付けたり、クラウド環境が攻撃に対してどの程度露出しているかを一般に評価したりできます。
Google Cloud コンソールの [リスクの概要] ページの [未対応の脆弱性] ペインで、攻撃の発生可能性スコア別の検出結果 タブには、環境内で攻撃の発生可能性スコアが最も高い検出結果と、検出結果スコアの分布が表示されます。
詳細については、攻撃の発生可能性スコアと攻撃パスをご覧ください。
ケースを使用して検出結果とアラートを管理する
Security Command Center Enterprise は、検出結果とアラートの管理、オーナーの割り当て、検出されたセキュリティの問題に対する調査と対応の管理に役立つケースを作成します。重大度と重大度の重大な問題については、ケースが自動的に開きます。
ケースは、Jira や ServiceNow などの任意のチケット発行システムと統合できます。ケースが更新されると、そのケースのオープン チケットが自動的に更新されます。同様に、チケットが更新されると、対応するケースも更新できます。
詳細については、Google SecOps ドキュメントのケースの概要をご覧ください。
対応ワークフローと自動アクションを定義する
レスポンス ワークフローを定義し、アクションを自動化して、クラウド環境で検出されたセキュリティ問題を調査して対応します。
ハンドブックを使用して対応ワークフローと自動化アクションを定義する詳細については、ハンドブックを使用するをご覧ください。
マルチクラウドのサポート: 他のクラウド プラットフォームでデプロイを保護
Security Command Center のサービスと機能を拡張して、他のクラウド プラットフォームのデプロイもカバーできます。これにより、すべてのクラウドで検出されたすべての脅威と脆弱性を 1 か所で管理できます。
Security Command Center を別のクラウド サービス プロバイダに接続する方法については、次のページをご覧ください。
- 脅威の検出については、脅威検出のために AWS に接続するをご覧ください。
- 脆弱性の検出と攻撃の発生可能性スコアについては、脆弱性の検出とリスク評価のために AWS に接続するをご覧ください。
サポートされているクラウド サービス プロバイダ
Security Command Center は、アマゾン ウェブ サービス（AWS）に接続できます。
セキュリティ ポスチャーの定義と管理
Security Command Center のプレミアム ティアとエンタープライズ ティアを組織レベルで有効にすると、クラウド ネットワークやクラウド サービスなどのクラウド アセットに必要な状態を定義するセキュリティ ポスチャーを作成、管理し、クラウド環境内のセキュリティを最適化できます。セキュリティ ポスチャーは、ビジネスのセキュリティと規制のニーズに合わせてカスタマイズできます。セキュリティ ポスチャーを定義することで、組織に対するサイバーセキュリティ リスクを最小限に抑え、攻撃の発生を防ぐことができます。
Security Command Center のセキュリティ ポスチャー サービスを使用して、セキュリティ ポスチャーを定義してデプロイし、定義した体制からのブレや不正な変更を検出します。
組織レベルで Security Command Center を有効にすると、セキュリティ対策サービスが自動的に有効になります。
詳細については、セキュリティ ポスチャーの概要をご覧ください。
アセットを特定する
Security Command Center には、クラウド環境内のアセットを継続的にモニタリングする Cloud Asset Inventory のアセット情報が含まれています。ほとんどのアセットでは、IAM や組織のポリシーを含む構成の変更がほぼリアルタイムで検出されます。
Google Cloud コンソールの [アセット] ページでは、サンプル アセットクエリの簡単な適用、編集、実行、プリセット時間の制約の追加、独自のアセットクエリの作成が可能です。
Security Command Center のプレミアム ティアまたはエンタープライズ ティアをご利用の場合、攻撃パスのシミュレーションにより、どの資産がリスク評価の対象となる価値の高いリソースに指定されているかを確認できます。
組織またはプロジェクトの変更内容をすばやく確認し、次のような質問に答えることができます。
- プロジェクトの数と作成日
- デプロイ済みまたは使用中の Google Cloud リソース（Compute Engine 仮想マシン（VM）、Cloud Storage バケット、App Engine インスタンスなど）。
- デプロイの履歴
- 次のカテゴリの整理、アノテーション、検索、選択、フィルタリング、並べ替えを行う方法
- アセットとアセット プロパティ
- セキュリティ マーク（Security Command Center でアセットや検出結果にアノテーションを付けられるようにするマーク）
- 期間
Cloud Asset Inventory は、サポートされているアセットの現在の状態を常に把握しています。Google Cloud コンソールで、検出スキャンの履歴を確認して、アセットを時点間で比較できます。仮想マシンやアイドル状態の IP アドレスなど、活用されていないアセットを探すこともできます。
Security Command Center の Gemini の機能
Security Command Center には Gemini が組み込まれており、検出結果と攻撃経路の概要を提供し、検出された脅威と脆弱性の検索と調査を支援します。
Gemini については、Gemini の概要をご覧ください。
検出結果と攻撃パスの Genmini のサマリー
Security Command Center Enterprise または Premium を使用している場合、Gemini には、Security Command Centerが Vulnerability および Misconfiguration クラスの検出結果に対して生成する各検出結果およびシミュレートされた各攻撃パスの説明が動的に生成されます。
サマリーは自然言語で作成されているため、検出結果とそれに付随する可能性のある攻撃パスをすばやく把握して対処できます。
サマリーは、Google Cloud コンソールの次の場所に表示されます。
- 個々の検出結果の名前をクリックすると、検出結果の詳細ページの上部にサマリーが表示されます。
- Security Command Center のプレミアム ティアとエンタープライズ ティアでは、検出結果に攻撃の発生可能性スコアがある場合、攻撃の発生可能性スコアと AI の概要 をクリックすると攻撃パスの右に概要を表示することができます。
AI 生成のサマリーに必要な IAM 権限
AI の概要を表示するには、必須の IAM 権限が必要です。
検出結果には、securitycenter.findingexplanations.get IAM 権限が必要です。この権限を含む最も制限の少ない IAM 事前定義ロールは、セキュリティ センターの検出閲覧者（roles/securitycenter.findingsViewer）です。
攻撃パスの場合は、securitycenter.exposurepathexplan.get IAM 権限が必要です。この権限を含む最も制限の少ない IAM 事前定義ロールは、セキュリティ センター露出経路閲覧者（roles/securitycenter.exposurePathsViewer）です。
Google Cloud コンソールでは、プレビュー中に、これらの権限をカスタム IAM ロールに追加できません。
カスタムロールに権限を追加するには、Google Cloud CLI を使用します。
Google Cloud CLI を使用してカスタムロールに権限を追加する方法については、カスタムロールの作成と管理をご覧ください。
脅威調査のための自然言語検索
脅威の検出結果、アラートなどの情報を検索するには、自然言語クエリと Gemini を使用します。詳細については、Google SecOps ドキュメントの自然言語を使用して UDM 検索クエリを生成するをご覧ください。
ケースの AI 調査ウィジェット
検出結果やアラートのケースを理解して調査できるように、Gemini では各ケースの概要と、ケースの調査に役立つ次のステップが表示されます。ケースを表示すると、概要と次のステップが [AI 調査] ウィジェットに表示されます。
セキュリティに関する実用的な分析情報
Security Command Center の組み込みと統合 Google Cloud サービスは、アセットとログを継続的にモニタリングし、セキュリティ侵害インジケーターや既知の脅威、脆弱性、構成ミスと一致する構成の変更を検出します。インシデントのコンテキストを提供するため、検出結果は次のソースの情報で拡充されます。
- Enterprise ティアと Premium ティアの場合:
- Security Command Center の検出結果と、それらに含まれる攻撃パスを理解して対処する際に役立つ AI 生成のサマリー。詳細については、AI で生成されるサマリーをご覧ください。
- 脆弱性の検出結果には、対応する CVE エントリの情報（CVE スコアなど）と、脆弱性の潜在的な影響と悪用可能性に関する Mandiant の評価が含まれます。
- 強力な SIEM および SOAR 検索機能により、脅威と脆弱性を調査し、統合されたタイムライン内の関連エンティティをピボットできます。
- VirusTotal は、悪意のある可能性のあるファイル、URL、ドメイン、IP アドレスに関するコンテキストを提供する、Alphabet 社のサービスです。
- MITRE ATT&CK フレームワーク: クラウド リソースに対する攻撃の手法を解明し、修復するためのガイダンスを提供します。
- Cloud Audit Logs（管理アクティビティ ログとデータアクセス ログ）
新しい検出結果がほぼリアルタイムで通知されるため、セキュリティ チームはデータを収集し、脅威を特定して、ビジネス上の損害や損失が生じる前に推奨事項に対処できます。
セキュリティ対策と堅牢な API を一元管理することで、次のことが可能になります。
- 次のことを確認する。
- 一般に公開されている静的 IP アドレス
- VM で実行されているイメージ
- VM が暗号通貨マイニングなどの不正なオペレーションに使用されている証拠の有無
- 追加または削除されたサービス アカウント
- ファイアウォールの構成方法
- 個人を特定できる情報（PII）または機密データを含むストレージ バケット。この機能には、機密データ保護との統合が必要です。
- クロスサイト スクリプティング（XSS）の脆弱性に対して脆弱なクラウド アプリケーション
- インターネットに公開されている Cloud Storage バケットはありますか？
- アセットを保護するために、次の操作を行います。
- アセットの構成ミスとコンプライアンス違反に関する検証済みの修正手順を実装する。
- Google Cloud と Palo Alto Networks などのサードパーティ プロバイダによる脅威インテリジェンスを組み合わせて、コストのかかるコンピューティング レイヤの脅威からの企業の保護を強化します。
- 適切な IAM ポリシーが適用されていることを確認し、ポリシーが誤って構成されたときや予期せず変更されたときにアラートを受け取る。
- Google Cloud のリソースや、その他のハイブリッドまたはマルチクラウドのリソースに関する、独自のソースまたはサードパーティのソースからの検出結果を統合します。詳細については、サードパーティのセキュリティ サービスの追加をご覧ください。
- Google Workspace 環境の脅威と Google グループの安全でない変更に対応する。
ID とアクセスの構成ミス
Security Command Center を使用すると、Google Cloud の ID とアクセスの構成ミスの検出結果を簡単に特定して解決できます。構成ミスの検出結果では、正しく構成されていないプリンシパル（identities）、または Google Cloud のリソースに対する過剰であるか機密性の高い IAM 権限（access）が付与されているプリンシパルを特定します。
クラウド インフラストラクチャ資格管理
ID とアクセス関連のセキュリティの問題の管理は、クラウド インフラストラクチャ資格管理（CIEM）と呼ばれることもあります。Security Command Center には、組織の ID とアクセス構成のセキュリティを包括的に把握するのに役立つ CIEM 機能が用意されています。Security Command Center は、Google Cloud やアマゾン ウェブ サービス（AWS）など、複数のクラウド プラットフォームでこれらの機能を提供します。CIEM を使用すると、クラウド環境で過剰な権限を持つプリンシパルを確認できます。CIEM は、Google Cloud IAM に加えて、他の ID プロバイダ（Entra ID（Azure AD）や Okta など）のプリンシパルが Google Cloud リソースに対して持っている権限を調査する機能をサポートしています。複数のクラウド プロバイダの最も重大な ID とアクセスの検出結果は、Google Cloud コンソールの Security Command Center の [概要] ページの [ID とアクセスの検出結果] ペインで確認できます。
Security Command Center の CIEM 機能の詳細については、Cloud Infrastructure Entitlement Management の概要をご覧ください。
ID とアクセスクエリのプリセット
Google Cloud コンソールの [脆弱性] ページでは、関連する脆弱性検出機能または脆弱性カテゴリを表示するクエリ プリセット（定義済みクエリ）を選択できます。それぞれのカテゴリについて、アクティブな検出結果の数が表示されます。
クエリのプリセットの詳細については、クエリのプリセットを適用するをご覧ください。
業界標準のコンプライアンスを管理する
Security Command Center は、さまざまなセキュリティ標準のコントロールにマッピングされた検出機能でコンプライアンスをモニタリングします。
サポートされている各セキュリティ標準について、Security Command Center はコントロールのサブセットを確認します。確認されたコントロールについては、合格した数が Security Command Center に表示されます。合格していないコントロールについては、コントロールが不合格になったことを説明する検出結果のリストが Security Command Center に表示されます。
CIS は、Security Command Center の検出機能と、サポートされている各バージョンの CIS Google Cloud Foundations Benchmark とのマッピングを確認して認定します。追加のコンプライアンス マッピングは参考用として含まれています。
Security Command Center は、定期的に、新しいベンチマークのバージョンと標準のサポートを追加します。古いバージョンは引き続きサポートされますが、最終的には非推奨になります。入手可能な最新のサポート対象ベンチマークまたは標準の使用をおすすめします。
セキュリティ ポスチャー サービスを使用すると、組織のポリシーと Security Health Analytics の検出機能をビジネスに適用される標準とコントロールにマッピングできます。セキュリティ ポスチャーを作成した後は、ビジネスのコンプライアンスに影響を与える可能性がある環境の変更をモニタリングできます。
コンプライアンス管理の詳細については、セキュリティ標準のコンプライアンスを評価して報告するをご覧ください。
サポートされているセキュリティ標準
Google Cloud
Security Command Center は、Google Cloud の検出機能を、以下の 1 つ以上のコンプライアンス標準にマッピングします。
- Center for Information Security（CIS）Controls 8.0
- CIS Google Cloud Computing Foundations Benchmark v2.0.0、v1.3.0、v1.2.0、v1.1.0、v1.0.0
- CIS Kubernetes Benchmark v1.5.1
- Cloud Controls Matrix（CCM）4
- HIPAA（医療保険の相互運用性と説明責任に関する法律）
- 国際標準化機構（ISO）27001、2022、2013
- 米国国立標準技術研究所（NIST）800-53 R5 および R4
- NIST CSF 1.0
- Open Web Application Security Project（OWASP）トップ 10（2021 および 2017）
- Payment Card Industry データ セキュリティ基準（PCI DSS）4.0 および 3.2.1
- System and Organization Controls（SOC）2 2017 年 Trusted Services Criteria（TSC）
AWS
Security Command Center は、Amazon Web Services（AWS）の検出機能を以下の 1 つ以上のコンプライアンス標準にマッピングします。
セキュリティ ニーズに対応する柔軟なプラットフォーム
Security Command Center には、進化するセキュリティ ニーズに対応できるようサービスのユーティリティを向上させるカスタマイズと統合オプションが含まれています。
カスタマイズ設定
カスタマイズ オプションには次のものがあります。
- Security Health Analytics のカスタム モジュールを作成して、脆弱性、構成ミス、コンプライアンス違反などの検出ルールを独自に定義します。
- Event Threat Detection のカスタム モジュールを作成して、指定したパラメータに基づいて脅威のロギング ストリームをモニタリングします。
- さまざまな規制基準への準拠に影響する可能性のある環境の変更をモニタリングできるセキュリティ ポスチャーを作成します。
統合オプション
統合オプションには次のものがあります。
- Pub/Sub を使用して、分析用に Splunk やその他の SIEM に検出結果をエクスポートする。
- Pub/Sub と Cloud Run functions を使用して、検出結果を迅速かつ自動的に修正する。
- オープンソースのツールにアクセスして、機能を拡張し、レスポンスを自動化する。
- Google Cloud セキュリティ サービスと統合する。たとえば、次のものと統合されます。
- サードパーティのパートナー セキュリティ ソリューションとの統合:
- パートナー製品から得られた Google Cloud セキュリティの分析情報は、Security Command Center に集約され、既存のシステムやワークフローにその情報を追加できます。
Security Command Center を使用するタイミング
次の表に、プロダクト機能の概要、ユースケース、必要なコンテンツをすばやく見つけることができる関連ドキュメントへのリンクを示します。
| 機能 | ユースケース | 関連ドキュメント |
|---|---|---|
| アセットの識別と審査 |
|
|
| 機密データの識別 |
|
機密データ保護の結果を Security Command Center に送信する |
| サードパーティの SIEM と SOAR のプロダクトのインテグレーション |
|
|
| 構成ミスの検出 |
|
|
| ソフトウェアの脆弱性の検出 |
|
|
| ID とアクセス制御のモニタリング |
|
|
| 脅威の検出 |
|
|
| エラー検出 |
|
Security Command Center のエラーの概要 |
| 修復の優先順位付け |
|
攻撃の発生可能性スコアと攻撃パスの概要 |
| リスクの修正 |
|
|
| ポスチャーの管理 |
|
|
| サードパーティのセキュリティ ツールの入力 |
|
|
| リアルタイムの通知 |
|
|
| REST API とクライアント SDK |
|
データ所在地の制御
データ所在地の要件を満たすには、Security Command Center スタンダードまたはプレミアムを初めて有効にする際に、データ所在地のコントロールを有効にします。
データ所在地の制御を有効にすると、Security Command Center の検出結果、ミュートルール、継続的なエクスポート、BigQuery エクスポートの保存と処理が、Security Command Center がサポートするデータ所在地マルチリージョンのいずれかに制限されます。
詳細については、データ所在地に関する計画をご覧ください。
Security Command Center のサービスティア
Security Command Center には、Standard、Premium、Enterprise の 3 つのサービスティアがあります。
選択したティアによって、Security Command Center で使用できる機能とサービスが異なります。
Security Command Center のサービスティアについてご不明な点がある場合は、アカウント担当者または Google Cloud の営業担当者までお問い合わせください。
Security Command Center のティアの使用に関連する費用については、料金をご覧ください。
スタンダード ティア
スタンダード ティアには、以下のサービスと機能が含まれます。
-
Security Health Analytics: スタンダード ティアの Security Health Analytics は、Google Cloud のマネージド脆弱性評価スキャン機能を提供します。このスキャンでは、Google Cloud アセットの最も重大な脆弱性と構成ミスを自動的に検出できます。スタンダード ティアの Security Health Analytics には、次の検出タイプが含まれます。
Dataproc image outdatedLegacy authorization enabledMFA not enforcedNon org IAM memberOpen ciscosecure websm portOpen directory services portOpen firewallOpen group IAM memberOpen RDP portOpen SSH portOpen Telnet portPublic bucket ACLPublic Compute imagePublic datasetPublic IP addressPublic log bucketPublic SQL instanceSSL not enforcedWeb UI enabled
- Web Security Scanner のカスタム スキャン: スタンダード ティアの Web Security Scanner は、ファイアウォール内にない公開 URL と IP アドレスにデプロイされたアプリケーションのカスタム スキャンをサポートします。スキャンでは、すべてのプロジェクトに対して手動で構成、管理、実行され、OWASP トップ 10 のカテゴリの一部がサポートされます。
- Security Command Center のエラー: Security Command Center には、Security Command Center とそのサービスの正常な動作を妨げる構成エラーの検出と修復のガイダンスが用意されています。
- 継続的エクスポート機能: 新しい検出結果の Pub/Sub へのエクスポートを自動的に管理します。
-
統合された Google Cloud サービスにアクセスします。これには、次のサービスが含まれます。
- 機密データの保護は、機密データを検出、分類、保護します。
- Google Cloud Armor。脅威から Google Cloud のデプロイを保護します。
- 異常検出。プロジェクトと仮想マシン（VM）インスタンスのセキュリティ異常（漏洩された認証情報や暗号通貨マイニングなど）を特定します。
- Policy Controller では、Kubernetes クラスタにプログラム可能なポリシーを適用し、利用できます。
- GKE セキュリティ対策ダッシュボードの検出結果: Kubernetes ワークロードのセキュリティ構成ミス、対処可能なセキュリティに関する公開情報、コンテナ オペレーティング システムまたは言語パッケージの脆弱性に関する検出結果を表示します。 GKE セキュリティ ポスチャー ダッシュボードの検出結果と Security Command Center のインテグレーションは、プレビューで利用できます。
- BigQuery との統合。分析のために検出結果を BigQuery にエクスポートします。
- Sensitive Actions Service は、Google Cloud の組織、フォルダ、プロジェクトで悪意のある行為者によって行われ、ビジネスに被害を及ぼす可能性のあるアクションを検出します。
- Security Command Center を組織レベルで有効にすると、組織レベル、フォルダレベル、プロジェクト レベルでユーザーに IAM ロールを付与できます。
- データ所在地の制御を有効にすると、Security Command Center の検出結果、ミュートルール、継続的なエクスポート、BigQuery エクスポートの保存と処理が、Security Command Center がサポートするデータ所在地マルチリージョンのいずれかに制限されます。
詳細については、データ所在地に関する計画をご覧ください。
プレミアム ティア
プレミアム ティアには、スタンダード ティアのすべてのサービスと機能に加え、次のサービスや機能が含まれます。
- 攻撃パス シミュレーションは、潜在的な攻撃者が高価値リソースに到達するための経路を特定することで、脆弱性や構成ミスの検出結果を特定、優先順位付けするのに役立ちます。シミュレーションでは、攻撃の発生可能性スコアを計算して、それらのリソースを露出する検出結果に攻撃の発生可能性スコアを割り当てます。インタラクティブな攻撃パスを使用すると、考えられる攻撃パスを可視化し、パス、関連する検出結果、影響を受けるリソースに関する情報を提供できます。
-
脆弱性の検出結果には、Mandiant が提供する CVE 評価が含まれており、修復の優先順位付けに役立ちます。
コンソールの [概要] ページの [上位の CVE の検出結果] セクションには、Mandiant が評価した脆弱性の検出結果が悪用可能性と潜在的な影響ごとにグループ化されて表示されます。 [検出結果] ページでは、CVE ID で検出結果をクエリできます。
詳細については、CVE の影響と脆弱性悪用可能性による優先順位付けをご覧ください。
- Event Threat Detection は、脅威インテリジェンス、ML、その他の高度な方法で Cloud Logging と Google Workspace をモニタリングし、マルウェア、暗号通貨のマイニング、データの引き出しなどの脅威を検出します。組み込みの Event Threat Detection 検出機能の完全なリストについては、Event Threat Detection のルールをご覧ください。Event Threat Detection カスタム検出機能を作成することもできます。カスタム検出ルールの作成に使用できるモジュール テンプレートについては、Event Threat Detection のカスタム モジュールの概要をご覧ください。
- Container Threat Detection は、次のコンテナ ランタイム攻撃を検出します。
- 追加されたバイナリの実行
- 追加されたライブラリの読み込み
- 実行: 追加された悪意のあるバイナリが実行された
- 実行: 追加された悪意のあるライブラリが読み込まれた
- 実行: 組み込まれた悪意のあるバイナリが実行された
- 実行: コンテナ エスケープ
- 実行: Kubernetes 攻撃ツールの実行
- 実行: ローカル偵察ツールの実行
- 実行: 変更された悪意のあるバイナリが実行された
- 実行: 変更された悪意のあるライブラリが読み込まれた
- 悪意のあるスクリプトの実行
- リバースシェル
- 予期しない子シェル
-
次の Policy Intelligence 機能を使用できます。
- IAM Recommender の高度な機能は次のとおりです。
- 基本ロール以外のロールに関する推奨事項
- 組織、フォルダ、プロジェクト以外のリソースに付与されたロールに関する推奨事項（Cloud Storage バケットに付与されるロールに関する推奨事項など）
- カスタムロールを提案する推奨事項
- ポリシーの分析情報
- ラテラル ムーブメントの分析情報
- 大規模な Policy Analyzer（組織ごとに 1 日あたり 20 クエリを超える）。この上限はすべての Policy Analyzer ツールで共有されます。
- 組織のポリシー分析の可視化。
- IAM Recommender の高度な機能は次のとおりです。
- Cloud Asset Inventory でアセットをクエリできます。
- Virtual Machine Threat Detection は、VM インスタンスで実行され、悪質な可能性のあるアプリケーションを検出します。
-
プレミアム ティアの Security Health Analytics には、次の機能が含まれています。
- すべての Security Health Analytics 検出機能に対するマネージド脆弱性スキャン
- 業界の多くのベスト プラクティスのモニタリング
- コンプライアンス モニタリングSecurity Health Analytics の検出機能は、一般的なセキュリティ ベンチマークのコントロールにマッピングされます。
- カスタム モジュールのサポート。独自の Security Health Analytics 検出機能を作成できます。
プレミアム ティアの Security Health Analytics は、業界標準のコンプライアンスを管理するで説明されている標準をサポートしています。
- プレミアム ティアの Web Security Scanner には、スタンダード ティアのすべての機能と、OWASP トップ 10 のカテゴリに対応する追加の検出項目が含まれます。 Web Security Scanner では、自動的に構成されるマネージド スキャンも行われます。
Google Cloud アセット全体のコンプライアンス モニタリング。
一般的なセキュリティ ベンチマークとセキュリティ標準のコンプライアンスを測定するために、Security Command Center の脆弱性スキャナの検出機能は、一般的なセキュリティ標準コントロールにマッピングされています。
標準のコンプライアンスの確認、遵守していないコントロールの特定、レポートのエクスポートなどを行うことができます。詳細については、セキュリティ標準のコンプライアンスを評価して報告するをご覧ください。
- 拡張アセット モニタリングが必要になった場合は、追加の Cloud Asset Inventory 割り当てをリクエストできます。
- セキュリティ対策サービスを使用すると、Google Cloud のセキュリティの全体的なステータスを定義、評価、モニタリングできます。セキュリティ対策サービスを使用するには、組織レベルで Security Command Center のプレミアム ティアを有効にする必要があります。
- IaC 検証を使用すると、Google Cloud 組織で定義した組織のポリシーと Security Health Analytics 検出機能に照らして Infrastructure as Code（IaC）を検証できます。IaC 検証を使用するには、組織レベルで Security Command Center プレミアム ティアを有効にする必要があります。
- VM Manager の脆弱性レポート
- VM Manager を有効にすると、このサービスでは、脆弱性レポート（プレビュー版）からの検出結果を Security Command Center に自動的に書き込みます。このレポートによって、Compute Engine 仮想マシンにインストールされているオペレーティング システムの脆弱性が特定されます。詳細については、VM Manager をご覧ください。
エンタープライズ ティア
Enterprise 階層は、SOC アナリスト、脆弱性アナリスト、その他のクラウド セキュリティ プロフェッショナルが、複数のクラウド サービス プロバイダのセキュリティを 1 か所で管理できるようにする、完全なクラウドネイティブ アプリケーション保護プラットフォーム（CNAPP）です。
エンタープライズ ティアでは、検出と調査の機能、ケース管理のサポート、体制管理（カスタム体制ルールの定義とデプロイ、脆弱性や構成ミスがクラウド環境にもたらすリスクの定量化と可視化など）を提供します。
エンタープライズ ティアには、スタンダード ティアとプレミアム ティアのすべてのサービスと機能に加え、次の追加サービスや機能が含まれます。
エンタープライズ ティアの機能とサービスの概要
エンタープライズ ティアには、一般提供が開始されたすべてのスタンダード ティアおよびプレミアム ティアのサービスと機能が含まれます。
エンタープライズ ティアにより、Security Command Center に次のサービスと機能が追加されます。
- Security Command Center Risk Engine による有害な組み合わせの検出。詳細については、有害な組み合わせの概要をご覧ください。
- マルチクラウド サポートSecurity Command Center を AWS などの他のクラウド プロバイダに接続して、脅威、脆弱性、構成ミスを検出できます。また、他のプロバイダで価値の高いリソースを指定した後、攻撃の発生可能性スコアと攻撃パスを使用して攻撃の発生可能性を評価することもできます。
- クラウド環境向けの SIEM（セキュリティ情報およびイベント管理）機能。複数のクラウド環境の脅威のログやその他のデータをスキャンし、脅威検出ルールを定義して、蓄積されたデータを検索します。詳細については、Google SecOps SIEM のドキュメントをご覧ください。
- クラウド環境用の SOAR（セキュリティ オーケストレーション、自動化、対応）機能。ケースの管理、レスポンス ワークフローの定義、回答データの検索を行います。詳細については、Google SecOps SOAR のドキュメントをご覧ください。
- クラウド環境向けの CIEM（Cloud Infrastructure Entitlement Management）機能。構成が誤っているプリンシパル アカウント（ID）や、クラウド リソースに対する過剰または機密性の高い IAM 権限（アクセス）が付与されているプリンシパル アカウントを特定します。続きは、Cloud Infrastructure Entitlement Management の概要をご覧ください。
- 次の組み込みの Google Cloud サービスと統合された Google Cloud サービスにより、クラウド環境全体で VM とコンテナのソフトウェア脆弱性の検出を強化します。
- Google Kubernetes Engine（GKE）Enterprise エディション
- AWS の脆弱性評価
- VM Manager
Google Security Operations を利用したエンタープライズ テイアの機能
Security Command Center の Enterprise ティアのケース管理機能、ハンドブック機能、その他の SIEM と SOAR の機能は、Google Security Operations を利用しています。これらの機能の一部を使用すると、ウェブ インターフェースに Google SecOps の名前が表示され、Google SecOps のドキュメントに誘導される場合があります。
特定の Google SecOps 機能は、Security Command Center でサポートされていないか、制限されていますが、Enterprise ティアの早期サブスクリプションでは、使用が無効になることも制限されることもありません。次の機能は、記載されている制限に従ってのみ使用してください。
クラウドログの取り込みは、次のようなクラウド脅威検出に関連するログに制限されます。
Google Cloud
- Cloud Audit Logs: 管理アクティビティ ログ
- Cloud Audit Logs: データアクセス ログ
- Compute Engine syslog
- GKE 監査ログ
Google Workspace
- Google Workspace のイベント
- Google Workspace のアラート
AWS
- CloudTrail 監査ログ
- Syslog
- 認証ログ
- GuardDuty イベント
キュレートされた検出は、クラウド環境内の脅威を検出するものに限定されます。
Google Cloud Marketplace のインテグレーションは次のものに限定されます。
- Siemplify
- ツール
- VirusTotal V3
- Google Cloud Asset Inventory
- Google Security Command Center
- Jira
- 関数
- Google Cloud IAM
- メール V2
- Google Cloud コンピューティング
- Google Chronicle
- Mitre Att&ck
- Mandiant Threat Intelligence
- Google Cloud Policy Intelligence
- Google Cloud Recommender
- Siemplify Utilities
- Service Now
- CSV
- SCC Enterprise
- AWS IAM
- AWS EC2
カスタムの単一イベントルールの数は 20 ルールに制限されています。
UEBA（ユーザーとエンティティの行動分析）のリスク分析は利用できません。
高度な脅威インテリジェンスは使用できません。
Google SecOps に対する Gemini のサポートは、自然言語検索とケース調査の概要に限定されています。
データの保持期間は 3 か月間です。
Security Command Center の有効化レベル
Security Command Center は、個別のプロジェクト（プロジェクト レベルでの有効化）または組織全体（組織レベルでの有効化）で有効にできます。
Enterprise ティアでは、組織レベルでの有効化が必要です。
Security Command Center の有効化の詳細については、Security Command Center の有効化の概要をご覧ください。
次のステップ
- Security Command Center の有効化について確認する。
- Security Command Center の検出サービスの詳細を確認する。
- Google Cloud コンソールで Security Command Center を使用する方法を確認する。