Cette page décrit les règles détectives incluses dans la version 1.0 du modèle de posture prédéfini pour la norme ISO 27001. Ce modèle inclut un ensemble de règles qui définit les détecteurs Security Health Analytics qui s'appliquent aux charges de travail qui doivent être conformes à la norme ISO 27001.
Vous pouvez déployer ce modèle de stratégie sans apporter de modifications.
Détecteurs Security Health Analytics
Le tableau suivant décrit les détecteurs Security Health Analytics inclus dans ce modèle d'état.
Nom du détecteur | Description |
---|---|
SQL_CROSS_DB_OWNERSHIP_CHAINING |
Ce détecteur vérifie si l'indicateur |
INSTANCE_OS_LOGIN_DISABLED |
Ce détecteur vérifie si la connexion au système d'exploitation n'est pas activée. |
SQL_SKIP_SHOW_DATABASE_DISABLED |
Ce détecteur vérifie si l'option |
ESSENTIAL_CONTACTS_NOT_CONFIGURED |
Ce détecteur vérifie si vous avez au moins un contact essentiel. |
AUDIT_LOGGING_DISABLED |
Ce détecteur vérifie si la journalisation d'audit est désactivée pour une ressource. |
VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED |
Ce détecteur vérifie si les journaux de flux VPC ne sont pas activés. |
API_KEY_EXISTS |
Ce détecteur vérifie si un projet utilise des clés API au lieu de l'authentification standard. |
SQL_LOG_MIN_ERROR_STATEMENT_SEVERITY |
Ce détecteur vérifie si l'option |
LOCKED_RETENTION_POLICY_NOT_SET |
Ce détecteur vérifie si la règle de conservation verrouillée est définie pour les journaux. |
SQL_LOG_DISCONNECTIONS_DISABLED |
Ce détecteur vérifie si l'option |
COMPUTE_SERIAL_PORTS_ENABLED |
Ce détecteur vérifie si les ports série sont activés. |
COMPUTE_PROJECT_WIDE_SSH_KEYS_ALLOWED |
Ce détecteur vérifie si des clés SSH à l'échelle du projet sont utilisées. |
KMS_KEY_NOT_ROTATED |
Ce détecteur vérifie si la rotation du chiffrement Cloud Key Management Service n'est pas activée. |
DNS_LOGGING_DISABLED |
Ce détecteur vérifie si la journalisation DNS est activée sur le réseau VPC. |
SQL_LOCAL_INFILE |
Ce détecteur vérifie si l'indicateur |
SQL_LOG_MIN_DURATION_STATEMENT_ENABLED |
Ce détecteur vérifie si l'indicateur |
PUBLIC_DATASET |
Ce détecteur vérifie si un ensemble de données est configuré pour être ouvert l'accès public. Pour en savoir plus, consultez la page Résultats des failles liées aux ensembles de données. |
DISK_CSEK_DISABLED |
Ce détecteur vérifie si la compatibilité des clés de chiffrement fournies par le client (CSEK) est désactivée pour une VM. |
SQL_USER_CONNECTIONS_CONFIGURED |
Ce détecteur vérifie si l'option |
SERVICE_ACCOUNT_ROLE_SEPARATION |
Ce détecteur vérifie la séparation des tâches pour les clés de compte de service. |
AUDIT_CONFIG_NOT_MONITORED |
Ce détecteur vérifie si les modifications de configuration d'audit sont surveillées. |
BUCKET_IAM_NOT_MONITORED |
Ce détecteur vérifie si la journalisation est désactivée pour les modifications des autorisations IAM dans Cloud Storage. |
PUBLIC_SQL_INSTANCE |
Ce détecteur vérifie si une instance Cloud SQL autorise les connexions en provenance de toutes les adresses IP. |
AUTO_BACKUP_DISABLED |
Ce détecteur vérifie si les sauvegardes automatiques d'une base de données Cloud SQL ne sont pas activées. |
DATAPROC_CMEK_DISABLED |
Ce détecteur vérifie si la compatibilité CMEK est désactivée pour un cluster Dataproc. |
LOG_NOT_EXPORTED |
Ce détecteur vérifie si aucun récepteur de journaux n'est configuré pour une ressource. |
KMS_PROJECT_HAS_OWNER |
Ce détecteur vérifie si un utilisateur dispose de l'autorisation Propriétaire sur un projet qui inclut des clés. |
KMS_ROLE_SEPARATION |
Ce détecteur vérifie la séparation des tâches pour les clés Cloud KMS. |
API_KEY_APIS_UNRESTRICTED |
Ce détecteur vérifie si les clés API sont utilisées de façon trop étendue. |
SQL_LOG_MIN_MESSAGES |
Ce détecteur vérifie si l'indicateur |
SQL_PUBLIC_IP |
Ce détecteur vérifie si une base de données Cloud SQL dispose d'une adresse IP externe. |
DATASET_CMEK_DISABLED |
Ce détecteur vérifie si la prise en charge de CMEK est désactivée pour un ensemble de données BigQuery. |
FIREWALL_NOT_MONITORED |
Ce détecteur vérifie si les métriques et les alertes de journal ne sont pas configurées pour surveiller les modifications apportées aux règles de pare-feu de réseau VPC. |
SQL_LOG_STATEMENT |
Ce détecteur vérifie si l'option |
BIGQUERY_TABLE_CMEK_DISABLED |
Ce détecteur vérifie si une table BigQuery n'est pas configurée pour utiliser une clé de chiffrement gérée par le client (CMEK). Pour en savoir plus, consultez la page Résultats des failles liées aux ensembles de données. |
CONFIDENTIAL_COMPUTING_DISABLED |
Ce détecteur vérifie si l'informatique confidentielle est désactivée. |
SQL_INSTANCE_NOT_MONITORED |
Ce détecteur vérifie si la journalisation est désactivée pour les modifications de configuration Cloud SQL. |
KMS_PUBLIC_KEY |
Ce détecteur vérifie si une clé cryptographique Cloud Key Management Service est publiquement accessibles. Pour en savoir plus, consultez la page Résultats des failles liées à KMS. |
DEFAULT_NETWORK |
Ce détecteur vérifie si le réseau par défaut existe dans un projet. |
SQL_TRACE_FLAG_3625 |
Ce détecteur vérifie si l'option |
API_KEY_NOT_ROTATED |
Ce détecteur vérifie si une clé API a été alternée au cours des 90 derniers jours. |
DNSSEC_DISABLED |
Ce détecteur vérifie si la sécurité DNS (DNSSEC) est désactivée pour Cloud DNS. Pour en savoir plus, consultez la page Résultats des failles liées au DNS. |
SQL_LOG_CONNECTIONS_DISABLED |
Ce détecteur vérifie si l'indicateur |
LEGACY_NETWORK |
Ce détecteur vérifie si un ancien réseau existe dans un projet. |
PUBLIC_IP_ADDRESS |
Ce détecteur vérifie si une instance dispose d'une adresse IP externe. |
FULL_API_ACCESS |
Ce détecteur vérifie si une instance utilise un compte de service par défaut avec un accès complet à toutes les API Google Cloud. |
SQL_CONTAINED_DATABASE_AUTHENTICATION |
Ce détecteur vérifie si l'indicateur |
OS_LOGIN_DISABLED |
Ce détecteur vérifie si OS Login est désactivé. |
SQL_USER_OPTIONS_CONFIGURED |
Ce détecteur vérifie si l'option |
ADMIN_SERVICE_ACCOUNT |
Ce détecteur vérifie si un compte de service dispose des droits Administrateur, Propriétaire ou Éditeur. |
DEFAULT_SERVICE_ACCOUNT_USED |
Ce détecteur vérifie si le compte de service par défaut est utilisé. |
NETWORK_NOT_MONITORED |
Ce détecteur vérifie si les métriques de journal et les alertes ne sont pas configurées pour surveiller les modifications apportées au réseau VPC. |
PUBLIC_BUCKET_ACL |
Ce détecteur vérifie si un bucket est accessible publiquement. |
CUSTOM_ROLE_NOT_MONITORED |
Ce détecteur vérifie si la journalisation est désactivée pour les modifications de rôle personnalisé. |
SQL_LOG_ERROR_VERBOSITY |
Ce détecteur vérifie si l'indicateur |
LOAD_BALANCER_LOGGING_DISABLED |
Ce détecteur vérifie si la journalisation est désactivée pour l'équilibreur de charge. |
OVER_PRIVILEGED_SERVICE_ACCOUNT_USER |
Ce détecteur vérifie si un utilisateur dispose de rôles de compte de service au niveau du projet, plutôt qu'au niveau d'un compte de service spécifique. |
SQL_REMOTE_ACCESS_ENABLED |
Ce détecteur vérifie si l'option |
RSASHA1_FOR_SIGNING |
Ce détecteur vérifie si RSASHA1 est utilisé pour la signature de clé dans les zones Cloud DNS. |
CLOUD_ASSET_API_DISABLED |
Ce détecteur vérifie si l'inventaire des éléments Cloud est désactivé. |
BUCKET_POLICY_ONLY_DISABLED |
Ce détecteur vérifie si l'accès uniforme au niveau du bucket est configuré. |
ROUTE_NOT_MONITORED |
Ce détecteur vérifie si les métriques et les alertes de journal ne sont pas configurées pour surveiller les modifications apportées à la route de réseau VPC. |
OWNER_NOT_MONITORED |
Ce détecteur vérifie si la journalisation est désactivée pour les attributions et les modifications de propriétaire de projet. |
Afficher le modèle de posture
Pour afficher le modèle d'évaluation de la conformité à la norme ISO 27001, procédez comme suit :
gcloud
Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :
-
ORGANIZATION_ID
: ID numérique de l'organisation
Exécutez la commande gcloud scc posture-templates
describe
:
Linux, macOS ou Cloud Shell
gcloud scc posture-templates describe \ organizations/ORGANIZATION_ID/locations/global/postureTemplates/iso_27001
Windows (PowerShell)
gcloud scc posture-templates describe ` organizations/ORGANIZATION_ID/locations/global/postureTemplates/iso_27001
Windows (cmd.exe)
gcloud scc posture-templates describe ^ organizations/ORGANIZATION_ID/locations/global/postureTemplates/iso_27001
La réponse contient le modèle de posture.
REST
Avant d'utiliser les données de requête ci-dessous, effectuez les remplacements suivants :
-
ORGANIZATION_ID
: ID numérique de l'organisation
Méthode HTTP et URL :
GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/iso_27001
Pour envoyer votre requête, développez l'une des options suivantes :
La réponse contient le modèle de stratégie.