Modello di postura predefinito per NIST SP 800-53

In questa pagina vengono descritti i criteri di rilevamento inclusi nella versione 1.0 del modello di postura predefinito per lo standard del National Institute of Standards and Technology (NIST) SP 800-53. Questo modello include un set di criteri che definisce i rilevatori di Security Health Analytics che si applicano ai carichi di lavoro che devono essere conformi allo standard NIST SP 800-53.

Puoi eseguire il deployment di questo modello di postura senza apportare modifiche.

Rilevatori di Security Health Analytics

La tabella seguente descrive i rilevatori di Security Health Analytics inclusi in questo modello di postura.

Nome rilevatore Descrizione
BIGQUERY_TABLE_CMEK_DISABLED

Questo rilevatore verifica se una tabella BigQuery non è configurata per l'utilizzo di una chiave di crittografia gestita dal cliente (CMEK). Per ulteriori informazioni, consulta la sezione Risultati sulle vulnerabilità dei set di dati.
PUBLIC_DATASET

Questo rilevatore verifica se un set di dati è configurato per essere aperto all'accesso pubblico. Per ulteriori informazioni, consulta la sezione Risultati sulle vulnerabilità dei set di dati.
SQL_CROSS_DB_OWNERSHIP_CHAINING

Questo rilevatore verifica se il flag cross_db_ownership_chaining in Cloud SQL per SQL Server non è disattivato.
INSTANCE_OS_LOGIN_DISABLED

Questo rilevatore verifica se OS Login non è attivo.
SQL_SKIP_SHOW_DATABASE_DISABLED

Questo rilevatore verifica se il flag skip_show_database in Cloud SQL per MySQL non è attivo.
SQL_EXTERNAL_SCRIPTS_ENABLED

Questo rilevatore verifica se il flag external scripts enabled in Cloud SQL per SQL Server non è disattivato.
VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED

Questo rilevatore verifica se Log di flusso VPC non è attivo.
API_KEY_EXISTS

Questo rilevatore verifica se un progetto utilizza chiavi API anziché l'autenticazione standard.
SQL_LOG_MIN_ERROR_STATEMENT_SEVERITY

Questo rilevatore verifica se il flag log_min_error_statement in Cloud SQL per PostgreSQL non ha un livello di gravità appropriato.
COMPUTE_SERIAL_PORTS_ENABLED

Questo rilevatore verifica se le porte seriali sono abilitate.
SQL_LOG_DISCONNECTIONS_DISABLED

Questo rilevatore verifica se il flag log_disconnections in Cloud SQL per PostgreSQL non è attivo.
COMPUTE_PROJECT_WIDE_SSH_KEYS_ALLOWED

Questo rilevatore verifica se vengono utilizzate chiavi SSH a livello di progetto.
KMS_PROJECT_HAS_OWNER

Questo rilevatore verifica se un utente dispone dell'autorizzazione Proprietario per un progetto che include chiavi.
KMS_KEY_NOT_ROTATED

Questo rilevatore controlla se la rotazione per la crittografia di Cloud Key Management Service non è attiva.
ESSENTIAL_CONTACTS_NOT_CONFIGURED

Questo rilevatore verifica se hai almeno un contatto necessario.
AUDIT_LOGGING_DISABLED

Questo rilevatore verifica se l'audit logging è disattivato per una risorsa.
LOCKED_RETENTION_POLICY_NOT_SET

Questo rilevatore verifica se il criterio di conservazione bloccato è impostato per i log.
DNS_LOGGING_DISABLED

Questo rilevatore verifica se il logging DNS è abilitato sulla rete VPC.
LOG_NOT_EXPORTED

Questo rilevatore verifica se per una risorsa non è configurato un sink di log.
KMS_ROLE_SEPARATION

Questo rilevatore verifica la separazione dei doveri per le chiavi Cloud KMS.
DISK_CSEK_DISABLED

Questo rilevatore verifica se il supporto della chiave di crittografia fornita dal cliente (CSEK) è disattivato per una VM.
SQL_USER_CONNECTIONS_CONFIGURED

Questo rilevatore verifica se è configurato il flag user connections in Cloud SQL per SQL Server.
API_KEY_APIS_UNRESTRICTED

Questo rilevatore controlla se le chiavi API vengono utilizzate in modo troppo ampio.
SQL_LOG_MIN_MESSAGES

Questo rilevatore verifica se il flag log_min_messages in Cloud SQL per PostgreSQL non è impostato su warning.
SQL_LOCAL_INFILE

Questo rilevatore verifica se il flag local_infile in Cloud SQL per MySQL non è disattivato.
SQL_LOG_MIN_DURATION_STATEMENT_ENABLED

Questo rilevatore verifica se il flag log_min_duration_statement in Cloud SQL per PostgreSQL non è impostato su -1.
DATASET_CMEK_DISABLED

Questo rilevatore verifica se il supporto CMEK è disattivato per un set di dati BigQuery.
OPEN_SSH_PORT

Questo rilevatore verifica se un firewall ha una porta SSH aperta che consente un accesso generico. Per ulteriori informazioni, consulta Risultati di vulnerabilità firewall.
FIREWALL_NOT_MONITORED

Questo rilevatore verifica se le metriche di log e gli avvisi non sono configurati per monitorare le modifiche alle regole del firewall VPC.
SQL_LOG_STATEMENT

Questo rilevatore verifica se il flag log_statement nel server Cloud SQL per PostgreSQL non è impostato su ddl.
SQL_PUBLIC_IP

Questo rilevatore verifica se un database Cloud SQL ha un indirizzo IP esterno.
IP_FORWARDING_ENABLED

Questo rilevatore verifica se l'inoltro IP è attivo.
DATAPROC_CMEK_DISABLED

Questo rilevatore verifica se il supporto CMEK è disattivato per un cluster Dataproc.
CONFIDENTIAL_COMPUTING_DISABLED

Questo rilevatore verifica se Confidential Computing è disattivato.
KMS_PUBLIC_KEY

Questo rilevatore verifica se una chiave di crittografia di Cloud Key Management Service è accessibile pubblicamente. Per saperne di più, consulta la sezione Risultati di vulnerabilità KMS.
SQL_INSTANCE_NOT_MONITORED

Questo rilevatore verifica se il logging è disattivato per le modifiche alla configurazione di Cloud SQL.
SQL_TRACE_FLAG_3625

Questo rilevatore verifica se il flag 3625 (trace flag) in Cloud SQL per SQL Server non è attivo.
DEFAULT_NETWORK

Questo rilevatore verifica se in un progetto esiste la rete predefinita.
DNSSEC_DISABLED

Questo rilevatore verifica se la sicurezza DNS (DNSSEC) è disattivata per Cloud DNS. Per saperne di più, consulta la sezione Risultati di vulnerabilità DNS.
API_KEY_NOT_ROTATED

Questo rilevatore verifica se una chiave API è stata ruotata negli ultimi 90 giorni.
SQL_LOG_CONNECTIONS_DISABLED

Questo rilevatore verifica se il flag log_connections in Cloud SQL per PostgreSQL non è attivo.
LEGACY_NETWORK

Questo rilevatore verifica se in un progetto esiste una rete legacy.
IAM_ROOT_ACCESS_KEY_CHECK

Questo rilevatore verifica se la chiave di accesso principale IAM è accessibile.
PUBLIC_IP_ADDRESS

Questo rilevatore verifica se un'istanza ha un indirizzo IP esterno.
OPEN_RDP_PORT

Questo rilevatore verifica se un firewall ha una porta RDP aperta.
INSTANCE_OS_LOGIN_DISABLED

Questo rilevatore verifica se OS Login non è attivo.
ADMIN_SERVICE_ACCOUNT

Questo rilevatore verifica se un account di servizio dispone dei privilegi Amministratore, Proprietario o Editor.
SQL_USER_OPTIONS_CONFIGURED

Questo rilevatore verifica se è configurato il flag user options in Cloud SQL per SQL Server.
FULL_API_ACCESS

Questo rilevatore verifica se un'istanza utilizza un account di servizio predefinito con accesso completo a tutte le API Google Cloud.
DEFAULT_SERVICE_ACCOUNT_USED

Questo rilevatore verifica se è in uso l'account di servizio predefinito.
NETWORK_NOT_MONITORED

Questo rilevatore verifica se le metriche di log e gli avvisi non sono configurati per monitorare le modifiche alla rete VPC.
SQL_CONTAINED_DATABASE_AUTHENTICATION

Questo rilevatore verifica se il flag contained database authentication in Cloud SQL per SQL Server non è disattivato.
PUBLIC_BUCKET_ACL

Questo rilevatore verifica se un bucket è accessibile pubblicamente.
LOAD_BALANCER_LOGGING_DISABLED

Questo rilevatore verifica se il logging è disattivato per il bilanciatore del carico.
OVER_PRIVILEGED_SERVICE_ACCOUNT_USER

Questo rilevatore verifica se un utente dispone di ruoli per l'account di servizio a livello di progetto, anziché per un account di servizio specifico.
SQL_REMOTE_ACCESS_ENABLED

Questo rilevatore verifica se il flag remote_access in Cloud SQL per SQL Server non è disattivato.
CUSTOM_ROLE_NOT_MONITORED

Questo rilevatore verifica se il logging è disattivato per le modifiche ai ruoli personalizzati.
AUTO_BACKUP_DISABLED

Questo rilevatore verifica se in un database Cloud SQL non sono attivati i backup automatici.
RSASHA1_FOR_SIGNING

Questo rilevatore verifica se RSASHA1 viene utilizzato per la firma della chiave nelle zone Cloud DNS.
CLOUD_ASSET_API_DISABLED

Questo rilevatore verifica se Cloud Asset Inventory è disattivato.
SQL_LOG_ERROR_VERBOSITY

Questo rilevatore verifica se il flag log_error_verbosity in Cloud SQL per PostgreSQL non è impostato su default.
ROUTE_NOT_MONITORED

Questo rilevatore verifica se le metriche di log e gli avvisi non sono configurati per monitorare le modifiche alle route di rete VPC.
BUCKET_POLICY_ONLY_DISABLED

Questo rilevatore verifica se è configurato un accesso uniforme a livello di bucket.
BUCKET_IAM_NOT_MONITORED

Questo rilevatore verifica se il logging è disattivato per le modifiche alle autorizzazioni IAM in Cloud Storage.
PUBLIC_SQL_INSTANCE

Questo rilevatore verifica se Cloud SQL consente le connessioni da tutti gli indirizzi IP.
SERVICE_ACCOUNT_ROLE_SEPARATION

Questo rilevatore verifica la separazione dei doveri per le chiavi degli account di servizio.
AUDIT_CONFIG_NOT_MONITORED

Questo rilevatore verifica se le modifiche alla configurazione dell'audit vengono monitorate.
OWNER_NOT_MONITORED

Questo rilevatore verifica se il logging è disattivato per le assegnazioni e le modifiche alla proprietà dei progetti.

Definizione YAML

Di seguito è riportata la definizione YAML per il modello di postura per NIST 800-53.

name: organizations/123/locations/global/postureTemplates/nist_800_53
description: Posture Template to make your workload NIST800-53 compliant.
revision_id: v.1.0
state: ACTIVE
policy_sets:
- policy_set_id: NIST800-53 detective policy set
  description: 68 SHA modules that new customers can automatically enable.
  policies:
  - policy_id: BigQuery table CMEK disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: BIGQUERY_TABLE_CMEK_DISABLED
  - policy_id: Public dataset
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: PUBLIC_DATASET
  - policy_id: SQl cross db ownership
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_CROSS_DB_OWNERSHIP_CHAINING
  - policy_id: Instance OS login disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: INSTANCE_OS_LOGIN_DISABLED
  - policy_id: SQL skip show database disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_SKIP_SHOW_DATABASE_DISABLED
  - policy_id: SQL external scripts enabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_EXTERNAL_SCRIPTS_ENABLED
  - policy_id: VPC flow logs settings not recommended
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED
  - policy_id: API key exists
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: API_KEY_EXISTS
  - policy_id: SQL log min error statement severity
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_LOG_MIN_ERROR_STATEMENT_SEVERITY
  - policy_id: Compute serial ports enabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: COMPUTE_SERIAL_PORTS_ENABLED
  - policy_id: SQL log disconnections disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_LOG_DISCONNECTIONS_DISABLED
  - policy_id: Compute project wide SHH keys allowed
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: COMPUTE_PROJECT_WIDE_SSH_KEYS_ALLOWED
  - policy_id: KMS project has owner
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: KMS_PROJECT_HAS_OWNER
  - policy_id: KMS key not rotated
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: KMS_KEY_NOT_ROTATED
  - policy_id: Essential contacts not configured
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: ESSENTIAL_CONTACTS_NOT_CONFIGURED
  - policy_id: Audit logging disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: AUDIT_LOGGING_DISABLED
  - policy_id: Locked retention policy not set
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: LOCKED_RETENTION_POLICY_NOT_SET
  - policy_id: DNS logging disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: DNS_LOGGING_DISABLED
  - policy_id: Log not exported
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: LOG_NOT_EXPORTED
  - policy_id: KMS role separation
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: KMS_ROLE_SEPARATION
  - policy_id: Disk CSEK disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: DISK_CSEK_DISABLED
  - policy_id: SQL user connections configured
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_USER_CONNECTIONS_CONFIGURED
  - policy_id: API key APIs unrestricted
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: API_KEY_APIS_UNRESTRICTED
  - policy_id: SQL log min messages
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_LOG_MIN_MESSAGES
  - policy_id: SQL log infile
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_LOCAL_INFILE
  - policy_id: SQL log min duration statement enabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_LOG_MIN_DURATION_STATEMENT_ENABLED
  - policy_id: Dataset CMEK disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: DATASET_CMEK_DISABLED
  - policy_id: Open SSH port
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: OPEN_SSH_PORT
  - policy_id: Firewall not monitored
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: FIREWALL_NOT_MONITORED
  - policy_id: SQL log statement
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_LOG_STATEMENT
  - policy_id: SQL public IP
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_PUBLIC_IP
  - policy_id: IP forwarding enabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: IP_FORWARDING_ENABLED
  - policy_id: Dataproc CMEK disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: DATAPROC_CMEK_DISABLED
  - policy_id: Confidential computing disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: CONFIDENTIAL_COMPUTING_DISABLED
  - policy_id: KMS public key
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: KMS_PUBLIC_KEY
  - policy_id: SQL instance not monitored
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_INSTANCE_NOT_MONITORED
  - policy_id: SQL trace flag 3625
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_TRACE_FLAG_3625
  - policy_id: Default network
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: DEFAULT_NETWORK
  - policy_id: DNSSEC disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: DNSSEC_DISABLED
  - policy_id: API key not rotated
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: API_KEY_NOT_ROTATED
  - policy_id: SQL log connections disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_LOG_CONNECTIONS_DISABLED
  - policy_id: Legacy network
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: LEGACY_NETWORK
  - policy_id: IAM root access key check
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: IAM_ROOT_ACCESS_KEY_CHECK
  - policy_id: Public IP address
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: PUBLIC_IP_ADDRESS
  - policy_id: Open RDP port
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: OPEN_RDP_PORT
  - policy_id: OS login disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: OS_LOGIN_DISABLED
  - policy_id: Admin service account
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: ADMIN_SERVICE_ACCOUNT
  - policy_id: SQL user options configured
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_USER_OPTIONS_CONFIGURED
  - policy_id: Full API access
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: FULL_API_ACCESS
  - policy_id: Default service account used
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: DEFAULT_SERVICE_ACCOUNT_USED
  - policy_id: Network not monitored
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: NETWORK_NOT_MONITORED
  - policy_id: SQL contained database authentication
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_CONTAINED_DATABASE_AUTHENTICATION
  - policy_id: Public bucket ACL
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: PUBLIC_BUCKET_ACL
  - policy_id: Load balancer logging disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: LOAD_BALANCER_LOGGING_DISABLED
  - policy_id: Over privileged service account user
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: OVER_PRIVILEGED_SERVICE_ACCOUNT_USER
  - policy_id: SQL remote access enabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_REMOTE_ACCESS_ENABLED
  - policy_id: Custom role not monitored
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: CUSTOM_ROLE_NOT_MONITORED
  - policy_id: Auto backup disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: AUTO_BACKUP_DISABLED
  - policy_id: RSASHA1 for signing
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: RSASHA1_FOR_SIGNING
  - policy_id: Cloud asset API disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: CLOUD_ASSET_API_DISABLED
  - policy_id: SQL log error verbosity
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_LOG_ERROR_VERBOSITY
  - policy_id: Route not monitored
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: ROUTE_NOT_MONITORED
  - policy_id: Bucket policy only disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: BUCKET_POLICY_ONLY_DISABLED
  - policy_id: Bucket IAM not monitored
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: BUCKET_IAM_NOT_MONITORED
  - policy_id: Publc SQL instance
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: PUBLIC_SQL_INSTANCE
  - policy_id: Service account role separation
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SERVICE_ACCOUNT_ROLE_SEPARATION
  - policy_id: Audit config not monitored
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: AUDIT_CONFIG_NOT_MONITORED
  - policy_id: Owner not monitored
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: OWNER_NOT_MONITORED

Passaggi successivi