Postur yang telah ditentukan sebelumnya untuk aman secara default, esensial

Halaman ini menjelaskan kebijakan pencegahan yang disertakan dalam postur yang telah ditentukan sebelumnya untuk aman secara default, esensial versi v1.0. Postur ini membantu mencegah kesalahan konfigurasi umum dan masalah keamanan umum yang disebabkan oleh setelan default.

Anda dapat menggunakan postur standar ini untuk mengonfigurasi postur keamanan yang membantu melindungi resource Google Cloud. Anda dapat men-deploy postur standar ini tanpa melakukan perubahan apa pun.

Kebijakan Deskripsi Standar kepatuhan
iam.disableServiceAccountKeyCreation

Batasan ini mencegah pengguna membuat kunci persisten untuk akun layanan guna mengurangi risiko kredensial akun layanan yang terekspos.

Nilainya adalah true untuk menonaktifkan pembuatan kunci akun layanan.

 Kontrol NIST SP 800-53: AC-2
iam.automaticIamGrantsForDefaultServiceAccounts

Batasan ini mencegah akun layanan default menerima peran Editor Identity and Access Management (IAM) yang terlalu permisif saat pembuatan.

Nilainya adalah false untuk menonaktifkan pemberian IAM otomatis untuk akun layanan default.

 Kontrol NIST SP 800-53: AC-3
iam.disableServiceAccountKeyUpload

Batasan ini menghindari risiko kebocoran dan penggunaan kembali materi kunci kustom dalam kunci akun layanan.

Nilainya adalah true untuk menonaktifkan upload kunci akun layanan.

 Kontrol NIST SP 800-53: AC-6
storage.publicAccessPrevention

Kebijakan ini mencegah bucket Cloud Storage terbuka untuk akses publik yang tidak diautentikasi.

Nilainya adalah true untuk mencegah akses publik ke bucket.

 Kontrol NIST SP 800-53: AC-3 dan AC-6
storage.uniformBucketLevelAccess

Kebijakan ini mencegah bucket Cloud Storage menggunakan ACL per objek (sistem terpisah dari kebijakan IAM) untuk memberikan akses, sehingga menerapkan konsistensi untuk pengelolaan dan audit akses.

Nilainya adalah true untuk menerapkan akses level bucket yang seragam.

 Kontrol NIST SP 800-53: AC-3 dan AC-6
compute.requireOsLogin

Kebijakan ini memerlukan Login OS di VM yang baru dibuat untuk mengelola kunci SSH dengan lebih mudah, memberikan izin level resource dengan kebijakan IAM, dan mencatat akses pengguna.

Nilainya adalah true untuk mewajibkan Login OS.

 Kontrol NIST SP 800-53: AC-3 dan AU-12
compute.disableSerialPortAccess

Kebijakan ini mencegah pengguna mengakses port serial VM yang dapat digunakan untuk akses backdoor dari platform kontrol Compute Engine API.

Nilainya adalah true untuk menonaktifkan akses port serial VM.

 Kontrol NIST SP 800-53: AC-3 dan AC-6
compute.restrictXpnProjectLienRemoval

Kebijakan ini mencegah penghapusan project host VPC Bersama secara tidak sengaja dengan membatasi penghapusan lien project.

Nilainya adalah true untuk membatasi penghapusan lien project VPC Bersama.

 Kontrol NIST SP 800-53: AC-3 dan AC-6
compute.vmExternalIpAccess

Kebijakan ini mencegah pembuatan instance Compute Engine dengan alamat IP publik, yang dapat mengeksposnya ke traffic internet masuk dan traffic internet keluar.

Nilainya adalah denyAll untuk menonaktifkan semua akses dari alamat IP publik. Jika Anda ingin mengubahnya untuk mengizinkan instance VM tertentu memiliki akses publik, tetapkan nilai yang diizinkan:

policy_rules:
    - values:
      allowed_values:
      - is:projects/PROJECT_ID/zones/ZONE/instances/INSTANCE
Kontrol NIST SP 800-53: AC-3 dan AC-6
compute.skipDefaultNetworkCreation

Kebijakan ini menonaktifkan pembuatan otomatis jaringan VPC default dan aturan firewall default di setiap project baru, sehingga memastikan bahwa jaringan dan aturan firewall dibuat secara sengaja.

Nilainya adalah true untuk menghindari pembuatan jaringan VPC default.

 Kontrol NIST SP 800-53: AC-3 dan AC-6
compute.setNewProjectDefaultToZonalDNSOnly

Kebijakan ini membatasi developer aplikasi agar tidak memilih setelan DNS lama untuk instance Compute Engine yang memiliki keandalan layanan yang lebih rendah daripada setelan DNS modern.

Nilainya adalah Zonal DNS only untuk project baru.

 Kontrol NIST SP 800-53: AC-3 dan AC-6
sql.restrictPublicIp

Kebijakan ini mencegah pembuatan instance Cloud SQL dengan alamat IP publik, yang dapat mengeksposnya ke traffic internet masuk dan traffic internet keluar.

Nilainya adalah true untuk membatasi akses ke instance Cloud SQL berdasarkan alamat IP publik.

 Kontrol NIST SP 800-53: AC-3 dan AC-6
sql.restrictAuthorizedNetworks

Kebijakan ini mencegah rentang jaringan publik atau non-RFC 1918 mengakses database Cloud SQL.

Nilainya adalah true untuk membatasi jaringan yang diizinkan di instance Cloud SQL.

 Kontrol NIST SP 800-53: AC-3 dan AC-6
compute.restrictProtocolForwardingCreationForTypes

Kebijakan ini memungkinkan penerusan protokol VM hanya untuk alamat IP internal.

Nilainya adalah INTERNAL untuk membatasi penerusan protokol berdasarkan jenis alamat IP.

 Kontrol NIST SP 800-53: AC-3 dan AC-6
compute.disableVpcExternalIpv6

Kebijakan ini mencegah pembuatan subnet IPv6 eksternal, yang dapat terkena traffic internet masuk dan keluar.

Nilainya adalah true untuk menonaktifkan subnet IPv6 eksternal.

 Kontrol NIST SP 800-53: AC-3 dan AC-6
compute.disableNestedVirtualization

Kebijakan ini menonaktifkan virtualisasi bertingkat untuk semua VM Compute Engine guna mengurangi risiko keamanan yang terkait dengan instance bertingkat yang tidak dipantau.

Nilainya adalah true untuk menonaktifkan virtualisasi bertingkat VM.

 Kontrol NIST SP 800-53: AC-3 dan AC-6

Melihat template postur

Untuk melihat template postur untuk aman secara default, esensial, lakukan tindakan berikut:

gcloud

Sebelum menggunakan salah satu data perintah di bawah, lakukan penggantian berikut:

  • ORGANIZATION_ID: ID numerik organisasi

Jalankan perintah gcloud scc posture-templates describe:

Linux, macOS, atau Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_essential

Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_essential

Windows (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_essential

Respons berisi template postur.

REST

Sebelum menggunakan salah satu data permintaan, lakukan penggantian berikut:

  • ORGANIZATION_ID: ID numerik organisasi

Metode HTTP dan URL: 

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_essential

Untuk mengirim permintaan, perluas salah satu opsi berikut:

Respons berisi template postur.

Langkah selanjutnya