Cette page fournit des recommandations pour gérer les services et les fonctionnalités de Security Command Center afin de vous aider à tirer le meilleur parti du produit.
Security Command Center est une plate-forme puissante qui permet de surveiller les données et les risques de sécurité dans toute votre organisation ou sur des projets individuels. Security Command Center est conçu pour offrir une protection maximale avec une configuration minimale. Toutefois, vous pouvez prendre des mesures pour adapter la plate-forme à votre workflow et vous assurer que vos ressources sont protégées.
Activer le niveau Premium ou Enterprise
Les niveaux Premium et Enterprise de Security Command Center offrent la meilleure protection grâce aux nombreuses fonctionnalités cloud de sécurité et d'opérations de sécurité, y compris la détection des menaces, la détection des failles logicielles, les évaluations de la conformité, des opérations de sécurité et bien plus encore. Le niveau Standard n'offre que des services et des fonctionnalités limités.
Pour en savoir plus sur toutes les fonctionnalités de Security Command Center, consultez la page Présentation de Security Command Center.
Pour en savoir plus sur les fonctionnalités incluses dans chaque niveau, consultez les informations suivantes:
Utiliser les activations du niveau Premium au niveau du projet
Vous pouvez activer vous-même le niveau Premium pour des organisations ou des projets individuels dans la console Google Cloud.
Avec les activations au niveau du projet, certaines fonctionnalités nécessitant un accès au niveau de l'organisation ne sont pas disponibles, quel que soit le niveau d'accès. Pour en savoir plus, consultez la section Disponibilité des fonctionnalités avec activations au niveau du projet.
Les activations du niveau Premium sont facturées en fonction de la consommation des ressources, sauf si vous souscrivez un abonnement au niveau de l'organisation. Pour en savoir plus, reportez-vous à la page Tarifs.
Pour en savoir plus sur l'activation de l'un ou l'autre des niveaux de Security Command Center, consultez la page Présentation de l'activation de Security Command Center.
Activer tous les services intégrés
Nous vous recommandons d'activer tous les services intégrés, conformément aux bonnes pratiques recommandées par chaque service.
Si Security Command Center est déjà activé, vous pouvez vérifier quels services sont activés sur la page Paramètres.
Vous pouvez désactiver n'importe quel service, mais il est préférable de garder tous les services de votre niveau activés en permanence. En laissant tous les services activés, vous bénéficiez de mises à jour continues et vous vous assurez que des protections sont fournies pour les ressources nouvelles et modifiées.
Avant d'activer Web Security Scanner en production, consultez les bonnes pratiques concernant Web Security Scanner.
Envisagez également d'activer les services intégrés (détection des anomalies, Sensitive Data Protection et Google Cloud Armor), d'explorer des services de sécurité tiers et d'activer Cloud Logging pour Event Threat Detection et Container Threat Detection. Selon la quantité d'informations, les coûts liés à Sensitive Data Protection et Google Cloud Armor peuvent être importants. Suivez les bonnes pratiques pour maîtriser les coûts de Sensitive Data Protection et consultez le guide des tarifs de Google Cloud Armor.
Activer les journaux pour Event Threat Detection
Si vous utilisez Event Threat Detection, vous devrez peut-être activer certains journaux analysés par Event Threat Detection. Bien que certains journaux soient toujours activés, tels que les journaux d'audit des activités d'administration de Cloud Logging, d'autres, tels que la plupart des journaux d'audit des accès aux données, sont désactivés par défaut et doivent être activés pour qu'Event Threat Detection puisse les analyser.
Voici certains des journaux que vous devriez envisager d'activer:
- Journaux d'audit des accès aux données Cloud Logging
- Journaux Google Workspace (activations au niveau de l'organisation uniquement)
Les journaux que vous devez activer dépendent des éléments suivants:
- Les services Google Cloud que vous utilisez
- Les besoins de votre entreprise en termes de sécurité
Logging peut facturer l'ingestion et le stockage de certains journaux. Avant d'activer les journaux, consultez les tarifs de Logging.
Une fois qu'un journal est activé, Event Threat Detection commence à l'analyser automatiquement.
Pour en savoir plus sur les modules de détection qui nécessitent quels journaux et ceux que vous devez activer, consultez la section Journaux à activer.
Définissez votre ensemble de ressources à forte valeur
Pour vous aider à hiérarchiser les résultats de failles et d'erreurs de configuration qui exposent les ressources que vous devez protéger en priorité, spécifiez les ressources à forte valeur qui appartiennent à votre ensemble de ressources à forte valeur.
Les résultats qui exposent les ressources de votre ensemble de ressources à forte valeur obtiennent des scores d'exposition aux attaques plus élevés.
Vous spécifiez les ressources appartenant à votre ensemble de ressources à forte valeur en créant des configurations de valeur de ressource. Tant que vous n'avez pas créé votre première configuration de valeur de ressource, Security Command Center utilise un ensemble de ressources par défaut à forte valeur qui n'est pas personnalisé selon vos priorités en termes de sécurité.
Utiliser Security Command Center dans la console Google Cloud
Dans la console Google Cloud, Security Command Center fournit des fonctionnalités et des éléments visuels qui ne sont pas encore disponibles dans l'API Security Command Center. Ses fonctionnalités, telles qu'une interface intuitive, des graphiques mis en forme, des rapports de conformité et des hiérarchies visuelles des ressources, vous permettent de mieux comprendre votre organisation. Pour en savoir plus, consultez la page Utiliser Security Command Center dans la console Google Cloud.
Étendre les fonctionnalités avec l'API et gcloud
Si vous avez besoin d'un accès automatisé, essayez l'API Security Command Center, qui vous permet d'accéder à votre environnement Security Command Center et de le contrôler. Vous pouvez utiliser l'explorateur d'API ("Essayer cette API" dans les panneaux des pages de référence de l'API) pour explorer de manière interactive l'API Security Command Center sans clé API. Vous pouvez vérifier les méthodes et les paramètres disponibles, exécuter des requêtes et afficher les réponses en temps réel.
L'API Security Command Center permet aux analystes et aux administrateurs de gérer vos ressources et vos résultats. Les ingénieurs peuvent utiliser l'API pour créer des solutions personnalisées de surveillance et de création de rapports.
Étendre les fonctionnalités avec des modules de détection personnalisés
Si vous avez besoin de détecteurs qui répondent aux besoins uniques de votre organisation, envisagez de créer des modules personnalisés:
- Les modules personnalisés pour Security Health Analytics vous permettent de définir vos propres règles de détection des failles, des erreurs de configuration ou des cas de non-conformité.
- Les modules personnalisés pour Event Threat Detection vous permettent de surveiller votre flux Logging afin de détecter les menaces basées sur les paramètres que vous spécifiez.
Vérifier et gérer les ressources
Security Command Center affiche tous vos éléments sur la page Éléments de la console Google Cloud. Vous pouvez les interroger et afficher des informations les concernant, y compris les résultats associés, leur historique des modifications, leurs métadonnées et les stratégies IAM.
Les informations d'éléments figurant sur la page Éléments sont lues à partir de l'inventaire des éléments cloud. Pour recevoir des notifications en temps réel concernant les modifications de ressources et de règles, créez un flux et abonnez-vous à celui-ci.
Pour en savoir plus, consultez la page Éléments.
Répondre rapidement aux failles et aux menaces
Les résultats de Security Command Center fournissent des enregistrements des problèmes de sécurité détectés, qui incluent des informations détaillées sur les ressources affectées et des instructions détaillées pour analyser et corriger les failles et les menaces.
Les résultats des failles décrivent la faille ou la configuration détectées, calculent un score d'exposition aux attaques et une gravité estimée. Les résultats de failles vous avertissent également des cas de non-respect des normes ou des benchmarks de sécurité. Pour en savoir plus, consultez Analyses comparatives acceptées.
Avec Security Command Center Premium, les résultats des failles incluent également des informations de Mandiant sur l'exploitabilité et l'impact potentiel de la vulnérabilité en fonction de l'enregistrement CVE correspondant. Vous pouvez utiliser ces informations pour hiérarchiser la correction de la faille. Pour en savoir plus, consultez la section Hiérarchiser en fonction de l'impact et de l'exploitabilité de la faille CVE.
Les résultats de menaces incluent les données du framework MITRE ATT&CK, qui explique les techniques d'attaque contre les ressources cloud et fournit des conseils de résolution des problèmes, ainsi que VirusTotal, un service appartenant à Alphabet qui fournit du contexte sur des fichiers, des URL, des domaines et des adresses IP potentiellement malveillants.
Les guides suivants constituent un point de départ pour vous aider à résoudre les problèmes et à protéger vos ressources.
- Corriger les résultats de Security Health Analytics
- Corriger les problèmes identifiés par Web Security Scanner
- Résultats et solutions des analyses de détection rapide des failles
- Examiner et contrer les menaces
Contrôler le volume des résultats
Pour contrôler le volume des résultats dans Security Command Center, vous pouvez désactiver manuellement ou automatiquement des résultats individuels, ou créer des règles de blocage qui désactivent automatiquement les résultats actuels et futurs en fonction des filtres que vous définissez.
Les résultats ignorés sont masqués et mis sous silence, mais ils sont toujours consignés à des fins d'audit et de conformité. Vous pouvez afficher les résultats ignorés ou les réactiver à tout moment. Pour en savoir plus, consultez la section Ignorer les résultats dans Security Command Center.
La désactivation des résultats est l'approche recommandée et la plus efficace pour contrôler le volume de résultats. Vous pouvez également utiliser des marques de sécurité pour ajouter des éléments à des listes d'autorisation.
Chaque détecteur de Security Health Analytics comporte un type de marque dédié qui vous permet d'exclure les ressources marquées de la règle de détection. Cette fonctionnalité est utile lorsque vous ne souhaitez pas générer de résultats pour des ressources ou des projets spécifiques.
Pour en savoir plus sur les marques de sécurité, consultez la page Utiliser des marques de sécurité.
Définir les notifications
Les notifications vous informent des résultats nouveaux et mis à jour en quasi-temps réel et, grâce aux notifications par e-mail et par chat, peuvent le faire même lorsque vous n'êtes pas connecté à Security Command Center. Pour en savoir plus, consultez la page Configurer des notifications de résultat.
Security Command Center Premium vous permet de créer des exportations continues afin de simplifier le processus d'exportation des résultats vers Pub/Sub.
Découvrir Cloud Functions
Cloud Functions est un service Google Cloud qui vous permet de connecter des services cloud et d'exécuter du code en réponse à des événements. Vous pouvez utiliser l'API Notifications et Cloud Functions pour envoyer des résultats à des systèmes tiers de remédiation et d'assistance, ou pour effectuer des actions automatisées comme la fermeture automatique des résultats.
Pour commencer, accédez au dépôt Open Source du code Cloud Functions de Security Command Center. Le dépôt contient des solutions permettant d'effectuer des actions automatisées sur les résultats de sécurité.
Laisser les communications activées
Security Command Center est régulièrement mis à jour avec de nouveaux détecteurs et de nouvelles fonctionnalités. Les notes de version vous informent des modifications apportées au produit et des mises à jour de la documentation. Vous pouvez toutefois définir vos préférences de communication dans la console Google Cloud pour recevoir des informations sur les produits et promotions spéciales, par e-mail ou sur mobile. Vous pouvez également nous indiquer si vous souhaitez participer aux enquêtes utilisateur et aux programmes pilotes.
Si vous avez des commentaires ou des questions, vous pouvez en faire part à votre commercial, à notre équipe d'assistance Cloud ou en signalant un bug.
Étapes suivantes
En savoir plus sur l'utilisation de Security Command Center.
Découvrez comment configurer les services Security Command Center.