이 페이지에서는 국제표준화기구(ISO) 27001 표준의 사전 정의된 상황 템플릿 v1.0 버전에 포함된 감지 정책을 설명합니다. 이 템플릿에는 ISO 27001 표준을 준수해야 하는 워크로드에 적용되는 Security Health Analytics 감지기를 정의하는 정책 집합이 포함되어 있습니다.
변경 없이 이 상황 템플릿을 배포할 수 있습니다.
Security Health Analytics 감지기
다음 표에서는 이 상황 템플릿에 포함된 Security Health Analytics 감지기에 대해 설명합니다.
검사 프로그램 이름 | 설명 |
---|---|
SQL_CROSS_DB_OWNERSHIP_CHAINING |
이 감지기는 SQL Server용 Cloud SQL에서 |
INSTANCE_OS_LOGIN_DISABLED |
이 감지기는 OS 로그인이 사용 설정되지 않았는지 확인합니다. |
SQL_SKIP_SHOW_DATABASE_DISABLED |
이 감지기는 MySQL용 Cloud SQL에서 |
ESSENTIAL_CONTACTS_NOT_CONFIGURED |
이 감지기는 필수 연락처가 하나 이상 있는지 확인합니다. |
AUDIT_LOGGING_DISABLED |
이 감지기는 리소스에 대해 감사 로깅이 사용 중지되었는지 확인합니다. |
VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED |
이 감지기는 VPC 흐름 로그가 사용 설정되지 않았는지 확인합니다. |
API_KEY_EXISTS |
이 감지기는 프로젝트가 표준 인증 대신 API 키를 사용하는지 확인합니다. |
SQL_LOG_MIN_ERROR_STATEMENT_SEVERITY |
이 감지기는 PostgreSQL용 Cloud SQL의 |
LOCKED_RETENTION_POLICY_NOT_SET |
이 감지기는 잠금 보관 정책이 로그에 설정되었는지 확인합니다. |
SQL_LOG_DISCONNECTIONS_DISABLED |
이 감지기는 PostgreSQL용 Cloud SQL에서 |
COMPUTE_SERIAL_PORTS_ENABLED |
이 감지기는 직렬 포트가 사용 설정되었는지 확인합니다. |
COMPUTE_PROJECT_WIDE_SSH_KEYS_ALLOWED |
이 감지기는 프로젝트 전체 SSH 키가 사용 중인지 확인합니다. |
KMS_KEY_NOT_ROTATED |
이 감지기는 Cloud Key Management Service 암호화의 순환이 사용 설정되지 않았는지 확인합니다. |
DNS_LOGGING_DISABLED |
이 감지기는 VPC 네트워크에서 DNS 로깅이 사용 설정되었는지 확인합니다. |
SQL_LOCAL_INFILE |
이 감지기는 MySQL용 Cloud SQL에서 |
SQL_LOG_MIN_DURATION_STATEMENT_ENABLED |
이 감지기는 PostgreSQL용 Cloud SQL의 |
PUBLIC_DATASET |
이 감지기는 데이터 세트가 공개 액세스에 개방되도록 구성되었는지 확인합니다. 자세한 내용은 데이터 세트 취약점 발견 항목을 참조하세요. |
DISK_CSEK_DISABLED |
이 감지기는 VM에 대해 고객 제공 암호화 키(CSEK) 지원이 사용 중지되어 있는지 확인합니다. |
SQL_USER_CONNECTIONS_CONFIGURED |
이 감지기는 SQL Server용 Cloud SQL에 |
SERVICE_ACCOUNT_ROLE_SEPARATION |
이 감지기는 서비스 계정 키의 업무 분장을 확인합니다. |
AUDIT_CONFIG_NOT_MONITORED |
이 감지기는 감사 구성 변경사항이 모니터링 중인지 확인합니다. |
BUCKET_IAM_NOT_MONITORED |
이 감지기는 Cloud Storage에서 IAM 권한 변경사항에 대한 로깅이 사용 중지되었는지 확인합니다. |
PUBLIC_SQL_INSTANCE |
이 감지기는 Cloud SQL에서 모든 IP 주소의 연결을 허용하는지 확인합니다. |
AUTO_BACKUP_DISABLED |
이 감지기는 Cloud SQL 데이터베이스에 자동 백업이 사용 설정되지 않았는지 확인합니다. |
DATAPROC_CMEK_DISABLED |
이 감지기는 Dataproc 클러스터에 대해 CMEK 지원이 사용 중지되었는지 확인합니다. |
LOG_NOT_EXPORTED |
이 감지기는 리소스에 로그 싱크가 구성되지 않았는지 확인합니다. |
KMS_PROJECT_HAS_OWNER |
이 감지기는 사용자에게 키가 포함된 프로젝트에 대한 소유자 권한이 있는지 확인합니다. |
KMS_ROLE_SEPARATION |
이 감지기는 Cloud KMS 키의 업무 분장을 확인합니다. |
API_KEY_APIS_UNRESTRICTED |
이 감지기는 API 키가 너무 광범위하게 사용되고 있는지 확인합니다. |
SQL_LOG_MIN_MESSAGES |
이 감지기는 PostgreSQL용 Cloud SQL의 |
SQL_PUBLIC_IP |
이 감지기는 Cloud SQL 데이터베이스에 외부 IP 주소가 있는지 확인합니다. |
DATASET_CMEK_DISABLED |
이 감지기는 BigQuery 데이터 세트에 대해 CMEK 지원이 사용 중지되었는지 확인합니다. |
FIREWALL_NOT_MONITORED |
이 감지기는 로그 측정항목 및 알림이 VPC 방화벽 규칙 변경사항을 모니터링하도록 구성되지 않았는지 확인합니다. |
SQL_LOG_STATEMENT |
이 감지기는 PostgreSQL용 Cloud SQL Server의 |
BIGQUERY_TABLE_CMEK_DISABLED |
이 감지기는 BigQuery 테이블이 고객 관리 암호화 키(CMEK)를 사용하도록 구성되지 않았는지 확인합니다. 자세한 내용은 데이터 세트 취약점 발견 항목을 참조하세요. |
CONFIDENTIAL_COMPUTING_DISABLED |
이 감지기는 컨피덴셜 컴퓨팅이 사용 중지되었는지 확인합니다. |
SQL_INSTANCE_NOT_MONITORED |
이 감지기는 Cloud SQL 구성 변경사항에 대한 로깅이 사용 중지되었는지 확인합니다. |
KMS_PUBLIC_KEY |
이 감지기는 Cloud Key Management Service 암호화 키에 공개적으로 액세스할 수 있는지 확인합니다. 자세한 내용은 KMS 취약점 발견 항목을 참조하세요. |
DEFAULT_NETWORK |
이 감지기는 프로젝트에 기본 네트워크가 있는지 확인합니다. |
SQL_TRACE_FLAG_3625 |
이 감지기는 SQL Server용 Cloud SQL에서 |
API_KEY_NOT_ROTATED |
이 감지기는 API 키가 지난 90일 내에 순환되었는지 확인합니다. |
DNSSEC_DISABLED |
이 감지기는 Cloud DNS에 대해 DNS 보안(DNSSEC)이 사용 중지되어 있는지 확인합니다. 자세한 내용은 DNS 취약점 발견 항목을 참조하세요. |
SQL_LOG_CONNECTIONS_DISABLED |
이 감지기는 PostgreSQL용 Cloud SQL에서 |
LEGACY_NETWORK |
이 감지기는 프로젝트에 기존 네트워크가 있는지 확인합니다. |
PUBLIC_IP_ADDRESS |
이 감지기는 인스턴스에 외부 IP 주소가 있는지 확인합니다. |
FULL_API_ACCESS |
이 감지기는 인스턴스가 모든 Google Cloud API에 대한 전체 액세스 권한을 가진 기본 서비스 계정을 사용 중인지 확인합니다. |
SQL_CONTAINED_DATABASE_AUTHENTICATION |
이 감지기는 SQL Server용 Cloud SQL에서 |
OS_LOGIN_DISABLED |
이 감지기는 OS 로그인이 사용 중지되었는지 확인합니다. |
SQL_USER_OPTIONS_CONFIGURED |
이 감지기는 SQL Server용 Cloud SQL에 |
ADMIN_SERVICE_ACCOUNT |
이 감지기는 서비스 계정에 관리자, 소유자, 편집자 권한이 있는지 확인합니다. |
DEFAULT_SERVICE_ACCOUNT_USED |
이 감지기는 기본 서비스 계정이 사용 중인지 확인합니다. |
NETWORK_NOT_MONITORED |
이 감지기는 로그 측정항목 및 알림이 VPC 네트워크 변경사항을 모니터링하도록 구성되지 않았는지 확인합니다. |
PUBLIC_BUCKET_ACL |
이 감지기는 버킷에 공개적으로 액세스할 수 있는지 확인합니다. |
CUSTOM_ROLE_NOT_MONITORED |
이 감지기는 커스텀 역할 변경사항에 대한 로깅이 사용 중지되었는지 확인합니다. |
SQL_LOG_ERROR_VERBOSITY |
이 감지기는 PostgreSQL용 Cloud SQL의 |
LOAD_BALANCER_LOGGING_DISABLED |
이 감지기는 부하 분산기에 대해 로깅이 사용 중지되었는지 확인합니다. |
OVER_PRIVILEGED_SERVICE_ACCOUNT_USER |
이 감지기는 사용자에게 특정 서비스 계정 대신 프로젝트 수준의 서비스 계정 역할이 있는지 확인합니다. |
SQL_REMOTE_ACCESS_ENABLED |
이 감지기는 SQL Server용 Cloud SQL에서 |
RSASHA1_FOR_SIGNING |
이 감지기는 Cloud DNS 영역의 키 서명에 RSASHA1이 사용되는지 확인합니다. |
CLOUD_ASSET_API_DISABLED |
이 감지기는 Cloud 애셋 인벤토리가 사용 중지되어 있는지 확인합니다. |
BUCKET_POLICY_ONLY_DISABLED |
이 감지기는 균일한 버킷 수준 액세스가 구성되었는지 확인합니다. |
ROUTE_NOT_MONITORED |
이 감지기는 로그 측정항목 및 알림이 VPC 네트워크 경로 변경사항을 모니터링하도록 구성되지 않았는지 확인합니다. |
OWNER_NOT_MONITORED |
이 감지기는 프로젝트 소유권 할당 및 변경사항에 대해 로깅이 사용 중지되었는지 확인합니다. |
YAML 정의
다음은 ISO 27001의 상황 템플릿에 대한 YAML 정의입니다.
name: organizations/123/locations/global/postureTemplates/iso_27001
description: Posture Template to make your workload ISO-27001 compliant.
revision_id: v.1.0
state: ACTIVE
policy_sets:
- policy_set_id: ISO-27001 detective policy set
description: 63 SHA modules that new customers can automatically enable.
policies:
- policy_id: SQL cross DB ownership chaining
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: SQL_CROSS_DB_OWNERSHIP_CHAINING
- policy_id: Instance OS login disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: INSTANCE_OS_LOGIN_DISABLED
- policy_id: SQL skip show database disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: SQL_SKIP_SHOW_DATABASE_DISABLED
- policy_id: Essential contacts not configured
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: ESSENTIAL_CONTACTS_NOT_CONFIGURED
- policy_id: Audit logging disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: AUDIT_LOGGING_DISABLED
- policy_id: VPC flow logs settings not recommended
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED
- policy_id: API key exists
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: API_KEY_EXISTS
- policy_id: SQL log min error statement severity
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: SQL_LOG_MIN_ERROR_STATEMENT_SEVERITY
- policy_id: Locked retention policy not set
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: LOCKED_RETENTION_POLICY_NOT_SET
- policy_id: SQL log disconnections disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: SQL_LOG_DISCONNECTIONS_DISABLED
- policy_id: Compute serial ports enabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: COMPUTE_SERIAL_PORTS_ENABLED
- policy_id: Compute project wide ssh keys allowed
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: COMPUTE_PROJECT_WIDE_SSH_KEYS_ALLOWED
- policy_id: KMS key not rotated
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: KMS_KEY_NOT_ROTATED
- policy_id: DNS logging disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: DNS_LOGGING_DISABLED
- policy_id: SQL local infile
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: SQL_LOCAL_INFILE
- policy_id: SQL log min duration statement enabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: SQL_LOG_MIN_DURATION_STATEMENT_ENABLED
- policy_id: Public dataset
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: PUBLIC_DATASET
- policy_id: Disk CSEK disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: DISK_CSEK_DISABLED
- policy_id: SQL user connections configured
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: SQL_USER_CONNECTIONS_CONFIGURED
- policy_id: Service account role separation
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: SERVICE_ACCOUNT_ROLE_SEPARATION
- policy_id: Audit config not monitored
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: AUDIT_CONFIG_NOT_MONITORED
- policy_id: Bucket IAM not monitored
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: BUCKET_IAM_NOT_MONITORED
- policy_id: Public SQL instance
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: PUBLIC_SQL_INSTANCE
- policy_id: Auto backup disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: AUTO_BACKUP_DISABLED
- policy_id: Dataproc CMEK disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: DATAPROC_CMEK_DISABLED
- policy_id: Log not exported
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: LOG_NOT_EXPORTED
- policy_id: KMS project has owner
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: KMS_PROJECT_HAS_OWNER
- policy_id: KMS role separation
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: KMS_ROLE_SEPARATION
- policy_id: API key APIs unrestricted
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: API_KEY_APIS_UNRESTRICTED
- policy_id: SQL log min messages
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: SQL_LOG_MIN_MESSAGES
- policy_id: SQL public IP
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: SQL_PUBLIC_IP
- policy_id: Dataset CMEK disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: DATASET_CMEK_DISABLED
- policy_id: Firewall not monitored
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: FIREWALL_NOT_MONITORED
- policy_id: SQL log statement
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: SQL_LOG_STATEMENT
- policy_id: BigQuery table CMEK disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: BIGQUERY_TABLE_CMEK_DISABLED
- policy_id: Confidential computing disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: CONFIDENTIAL_COMPUTING_DISABLED
- policy_id: SQL instance not monitored
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: SQL_INSTANCE_NOT_MONITORED
- policy_id: KMS public key
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: KMS_PUBLIC_KEY
- policy_id: Default network
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: DEFAULT_NETWORK
- policy_id: SQL trace flag 3625
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: SQL_TRACE_FLAG_3625
- policy_id: API key not rotated
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: API_KEY_NOT_ROTATED
- policy_id: DNSSEC disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: DNSSEC_DISABLED
- policy_id: SQL log connections disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: SQL_LOG_CONNECTIONS_DISABLED
- policy_id: Legacy network
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: LEGACY_NETWORK
- policy_id: Public IP address
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: PUBLIC_IP_ADDRESS
- policy_id: Full API access
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: FULL_API_ACCESS
- policy_id: SQL contained database authentication
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: SQL_CONTAINED_DATABASE_AUTHENTICATION
- policy_id: OS login disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: OS_LOGIN_DISABLED
- policy_id: SQL user options configured
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: SQL_USER_OPTIONS_CONFIGURED
- policy_id: Admin service account
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: ADMIN_SERVICE_ACCOUNT
- policy_id: Default service account used
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: DEFAULT_SERVICE_ACCOUNT_USED
- policy_id: Network not monitored
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: NETWORK_NOT_MONITORED
- policy_id: Public bucket ACL
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: PUBLIC_BUCKET_ACL
- policy_id: Custom role not monitored
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: CUSTOM_ROLE_NOT_MONITORED
- policy_id: SQL log error verbosity
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: SQL_LOG_ERROR_VERBOSITY
- policy_id: Load balancer logging disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: LOAD_BALANCER_LOGGING_DISABLED
- policy_id: Over privileged service account user
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: OVER_PRIVILEGED_SERVICE_ACCOUNT_USER
- policy_id: SQL remote access enabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: SQL_REMOTE_ACCESS_ENABLED
- policy_id: RSASHA1 for signing
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: RSASHA1_FOR_SIGNING
- policy_id: Cloud asset API disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: CLOUD_ASSET_API_DISABLED
- policy_id: Bucket policy only disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: BUCKET_POLICY_ONLY_DISABLED
- policy_id: Route not monitored
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: ROUTE_NOT_MONITORED
- policy_id: Owner not monitored
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: OWNER_NOT_MONITORED