이 페이지에서는 Virtual Private Cloud(VPC) 네트워킹을 위한 사전 정의된 상황(확장 요소)의 v.1.0 버전에 포함된 예방 및 감지 정책에 대해 설명합니다. 이 상황에는 두 가지 정책 집합이 포함됩니다.
VPC 네트워킹에 적용되는 조직 정책 제약조건을 포함하는 정책 집합
VPC 네트워킹에 적용되는 Security Health Analytics 감지기를 포함하는 정책 집합
이 사전 정의된 상황을 사용해서 VPC 네트워킹 보호에 도움이 되는 보안 상황을 구성할 수 있습니다. 이 사전 정의된 상황을 배포하려면 환경에 적용되도록 일부 정책을 맞춤설정해야 합니다.
조직 정책 제약조건
다음 표에서는 이 상황에 포함된 조직 정책 제약조건을 설명합니다.
정책
설명
규정 준수 표준
compute.skipDefaultNetworkCreation
이 불리언 제약 조건은 각각의 새로운 프로젝트에서 기본 VPC 네트워크 및 기존 방화벽 규칙이 자동으로 생성되지 않도록 방지하여 네트워크 및 방화벽 규칙이 의도한 대로 생성될 수 있도록 보장합니다.
값은 true이며 기본 VPC 네트워크가 생성되지 않도록 방지합니다.
NIST SP 800-53 제어: SC-7 및 SC-8
ainotebooks.restrictPublicIp
이 불리언 제약 조건은 새로 만든 Vertex AI Workbench 노트북 및 인스턴스에 대한 공개 IP 액세스를 제한합니다. 기본적으로 공개 IP 주소는 Vertex AI Workbench 노트북 및 인스턴스에 액세스할 수 있습니다.
값은 true이며 새로운 Vertex AI Workbench 노트북 및 인스턴스에서 공개 IP 주소를 제한합니다.
NIST SP 800-53 제어: SC-7 및 SC-8
compute.disableNestedVirtualization
이 불리언 제약 조건은 모니터링되지 않은 중첩된 인스턴스와 관련된 보안 위험을 줄이기 위해 모든 Compute Engine VM에 대해 중첩된 가상화를 사용 중지합니다.
값은 true이며 VM 중첩된 가상화를 사용 중지합니다.
NIST SP 800-53 제어: SC-7 및 SC-8
compute.vmExternalIpAccess
이 목록 제약 조건은 외부 IP 주소를 사용하도록 허용되는 Compute Engine VM 인스턴스를 정의합니다. 기본적으로 모든 VM 인스턴스에서 외부 IP 주소를 사용할 수 있습니다. 이 제약 조건에는 projects/PROJECT_ID/zones/ZONE/instances/INSTANCE 형식이 사용됩니다.
이 사전 정의된 상황을 채택할 때 이 값을 구성해야 합니다.
NIST SP 800-53 제어: SC-7 및 SC-8
ainotebooks.restrictVpcNetworks
이 목록 제약조건은 해당 제약조건이 적용되는 새 Vertex AI Workbench 인스턴스를 만들 때 사용자가 선택할 수 있는 VPC 네트워크를 정의합니다.
이 사전 정의된 상황을 채택할 때 이 값을 구성해야 합니다.
NIST SP 800-53 제어: SC-7 및 SC-8
compute.vmCanIpForward
이 목록 제약 조건은 사용자가 새 Vertex AI Workbench 인스턴스를 만들 때 선택할 수 있는 VPC 네트워크를 정의합니다. 기본적으로 VPC 네트워크에 Vertex AI Workbench 인스턴스를 만들 수 있습니다.
이 사전 정의된 상황을 채택할 때 이 값을 구성해야 합니다.
NIST SP 800-53 제어: SC-7 및 SC-8
Security Health Analytics 감지기
다음 표에서는 사전 정의된 상황에 포함된 Security Health Analytics 감지기에 대해 설명합니다. 이러한 감지기에 대한 자세한 내용은 취약점 발견 항목을 참조하세요.
검사 프로그램 이름
설명
FIREWALL_NOT_MONITORED
이 감지기는 로그 측정항목 및 알림이 VPC 방화벽 규칙 변경사항을 모니터링하도록 구성되지 않았는지 확인합니다.
NETWORK_NOT_MONITORED
이 감지기는 로그 측정항목 및 알림이 VPC 네트워크 변경사항을 모니터링하도록 구성되지 않았는지 확인합니다.
ROUTE_NOT_MONITORED
이 감지기는 로그 측정항목 및 알림이 VPC 네트워크 경로 변경사항을 모니터링하도록 구성되지 않았는지 확인합니다.
DNS_LOGGING_DISABLED
이 감지기는 VPC 네트워크에서 DNS 로깅이 사용 설정되었는지 확인합니다.
FLOW_LOGS_DISABLED
이 감지기는 VPC 서브네트워크에서 흐름 로그가 사용 설정되었는지 확인합니다.
VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED
이 감지기는 VPC 서브네트워크의 enableFlowLogs 속성이 누락되었거나 false로 설정되었는지 확인합니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-01-23(UTC)"],[],[],null,["| Premium and Enterprise [service tiers](/security-command-center/docs/service-tiers) (requires [organization-level activation](/security-command-center/docs/activate-scc-overview#overview_of_organization-level_activation))\n\nThis page describes the preventative and detective policies that are included in\nthe v.1.0 version of the predefined posture for Virtual Private Cloud (VPC)\nnetworking, extended. This posture includes two policy sets:\n\n- A policy set that includes organization policy constraints that apply to\n VPC networking.\n\n- A policy set that includes Security Health Analytics detectors that apply to\n VPC networking.\n\nYou can use this predefined posture to configure a security posture that helps\nprotect VPC networking. If you want to deploy this predefined\nposture, you must customize some of the policies so that they apply to your\nenvironment.\n\nOrganization policy constraints\n\nThe following table describes the organization policy constraints that are\nincluded in this posture.\n\n| Policy | Description | Compliance standard |\n|---------------------------------------|--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|---------------------------------------|\n| `compute.skipDefaultNetworkCreation` | This boolean constraint disables the automatic creation of a default VPC network and default firewall rules in each new project, ensuring that network and firewall rules are intentionally created. The value is `true` to avoid creating the default VPC network. | NIST SP 800-53 control: SC-7 and SC-8 |\n| `ainotebooks.restrictPublicIp` | This boolean constraint restricts public IP access to newly created Vertex AI Workbench notebooks and instances. By default, public IP addresses can access Vertex AI Workbench notebooks and instances. The value is `true` to restrict public IP access on new Vertex AI Workbench notebooks and instances. | NIST SP 800-53 control: SC-7 and SC-8 |\n| `compute.disableNestedVirtualization` | This boolean constraint disables nested virtualization for all Compute Engine VMs to decrease the security risk related to unmonitored nested instances. The value is `true` to turn off VM nested virtualization. | NIST SP 800-53 control: SC-7 and SC-8 |\n| `compute.vmExternalIpAccess` | This list constraint defines the Compute Engine VM instances that are allowed to use external IP addresses. By default, all VM instances are allowed to use external IP addresses. The constraint uses the format `projects/`\u003cvar translate=\"no\"\u003ePROJECT_ID\u003c/var\u003e`/zones/`\u003cvar translate=\"no\"\u003eZONE\u003c/var\u003e`/instances/`\u003cvar translate=\"no\"\u003eINSTANCE\u003c/var\u003e. You must configure this value when you adopt this predefined posture. | NIST SP 800-53 control: SC-7 and SC-8 |\n| `ainotebooks.restrictVpcNetworks` | This list constraint defines the VPC networks a user can select when creating new Vertex AI Workbench instances where this constraint is enforced. You must configure this value when you adopt this predefined posture. | NIST SP 800-53 control: SC-7 and SC-8 |\n| `compute.vmCanIpForward` | This list constraint defines the VPC networks that a user can select when creating new Vertex AI Workbench instances. By default, you can create a Vertex AI Workbench instance with any VPC network. You must configure this value when you adopt this predefined posture. | NIST SP 800-53 control: SC-7 and SC-8 |\n\nSecurity Health Analytics detectors\n\nThe following table describes the Security Health Analytics detectors that are included in\nthe predefined posture. For more information about these detectors, see\n[Vulnerability findings](/security-command-center/docs/concepts-vulnerabilities-findings).\n\n| Detector name | Description |\n|------------------------------------------|-------------------------------------------------------------------------------------------------------------|\n| `FIREWALL_NOT_MONITORED` | This detector checks whether log metrics and alerts aren't configured to monitor VPC firewall rule changes. |\n| `NETWORK_NOT_MONITORED` | This detector checks whether log metrics and alerts aren't configured to monitor VPC network changes. |\n| `ROUTE_NOT_MONITORED` | This detector checks whether log metrics and alerts aren't configured to monitor VPC network route changes. |\n| `DNS_LOGGING_DISABLED` | This detector checks whether DNS logging is enabled on the VPC network. |\n| `FLOW_LOGS_DISABLED` | This detector checks whether flow logs are enabled on the VPC subnetwork. |\n| `VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED` | This detector checks whether the `enableFlowLogs` property of VPC subnetworks is missing or set to `false`. |\n\nView the posture template\n\n\nTo view the posture template for VPC networking, extended, do the following: \n\ngcloud\n\n\nBefore using any of the command data below,\nmake the following replacements:\n\n- \u003cvar translate=\"no\"\u003eORGANIZATION_ID\u003c/var\u003e: the numeric ID of the organization\n\n\nExecute the\n\n\n[`gcloud scc posture-templates\ndescribe`](/sdk/gcloud/reference/scc/posture-templates/describe)\n\n\ncommand:\n\nLinux, macOS, or Cloud Shell \n\n```bash\ngcloud scc posture-templates describe \\\n organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended\n```\n\nWindows (PowerShell) \n\n```bash\ngcloud scc posture-templates describe `\n organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended\n```\n\nWindows (cmd.exe) \n\n```bash\ngcloud scc posture-templates describe ^\n organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended\n```\n\nThe response contains the posture template.\n\nREST\n\n\nBefore using any of the request data,\nmake the following replacements:\n\n- \u003cvar translate=\"no\"\u003eORGANIZATION_ID\u003c/var\u003e: the numeric ID of the organization\n\n\nHTTP method and URL:\n\n```\nGET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended\n```\n\nTo send your request, expand one of these options:\n\ncurl (Linux, macOS, or Cloud Shell) **Note:** The following command assumes that you have logged in to the `gcloud` CLI with your user account by running [`gcloud init`](/sdk/gcloud/reference/init) or [`gcloud auth login`](/sdk/gcloud/reference/auth/login) , or by using [Cloud Shell](/shell/docs), which automatically logs you into the `gcloud` CLI . You can check the currently active account by running [`gcloud auth list`](/sdk/gcloud/reference/auth/list).\n\n\nExecute the following command:\n\n```\ncurl -X GET \\\n -H \"Authorization: Bearer $(gcloud auth print-access-token)\" \\\n \"https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended\"\n```\n\nPowerShell (Windows) **Note:** The following command assumes that you have logged in to the `gcloud` CLI with your user account by running [`gcloud init`](/sdk/gcloud/reference/init) or [`gcloud auth login`](/sdk/gcloud/reference/auth/login) . You can check the currently active account by running [`gcloud auth list`](/sdk/gcloud/reference/auth/list).\n\n\nExecute the following command:\n\n```\n$cred = gcloud auth print-access-token\n$headers = @{ \"Authorization\" = \"Bearer $cred\" }\n\nInvoke-WebRequest `\n -Method GET `\n -Headers $headers `\n -Uri \"https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended\" | Select-Object -Expand Content\n```\n\nThe response contains the posture template.\n\nWhat's next\n\n- [Create a security posture using this predefined posture](/security-command-center/docs/how-to-use-security-posture)."]]
