En esta página, se describen las políticas de detección que se incluyen en la versión v1.0 de la plantilla de postura predefinida para las versiones 3.2.1 y 1.0 de las Normas de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS). Esta plantilla incluye un conjunto de políticas que define los detectores de Security Health Analytics que se aplican a las cargas de trabajo que deben cumplir con el estándar PCI DSS.
Puedes implementar esta plantilla de postura sin hacer ningún cambio.
Detectores de estadísticas de estado de seguridad
En la siguiente tabla, se describen los detectores de Security Health Analytics que se incluyen en esta plantilla de postura.
Nombre del detector | Descripción |
---|---|
PUBLIC_DATASET |
Este detector verifica si un conjunto de datos está configurado para estar abierto al acceso público. Para obtener más información, consulta Hallazgos de vulnerabilidades de los conjuntos de datos. |
NON_ORG_IAM_MEMBER |
Este detector verifica si un usuario no está usando las credenciales de la organización. |
KMS_PROJECT_HAS_OWNER |
Este detector verifica si un usuario tiene el permiso de Propietario en un proyecto que incluye claves. |
AUDIT_LOGGING_DISABLED |
Este detector verifica si el registro de auditoría está desactivado para un recurso. |
SSL_NOT_ENFORCED |
Este detector verifica si una instancia de base de datos de Cloud SQL no usa SSL para todas las conexiones entrantes. Para obtener más información, consulta Hallazgos de vulnerabilidades de SQL. |
LOCKED_RETENTION_POLICY_NOT_SET |
Este detector verifica si la política de retención bloqueada se configuró para los registros. |
KMS_KEY_NOT_ROTATED |
Este detector verifica si la rotación para la encriptación de Cloud Key Management Service no está activada. |
OPEN_SMTP_PORT |
Este detector verifica si un firewall tiene un puerto SMTP abierto que permita el acceso genérico. Para obtener más información, consulta Hallazgos de vulnerabilidades de firewall. |
SQL_NO_ROOT_PASSWORD |
Este detector verifica si una base de datos de Cloud SQL con una dirección IP pública no tiene una contraseña para la cuenta raíz. |
OPEN_LDAP_PORT |
Este detector verifica si un firewall tiene un puerto LDAP abierto que permite el acceso genérico. Para obtener más información, consulta Hallazgos de vulnerabilidades de firewall. |
OPEN_ORACLEDB_PORT |
Este detector verifica si un firewall tiene un puerto abierto de base de datos de Oracle que permite el acceso genérico. Para obtener más información, consulta Hallazgos de vulnerabilidades de firewall. |
OPEN_SSH_PORT |
Este detector verifica si un firewall tiene un puerto SSH abierto que permite el acceso genérico. Para obtener más información, consulta Hallazgos de vulnerabilidades de firewall. |
MFA_NOT_ENFORCED |
Este detector comprueba si un usuario no está usando la verificación en 2 pasos. |
COS_NOT_USED |
Este detector verifica si las VMs de Compute Engine no usan Container-Optimized OS. Para obtener más información, consulta Hallazgos de vulnerabilidades de los contenedores. |
HTTP_LOAD_BALANCER |
Este detector verifica si la instancia de Compute Engine usa un balanceador de cargas configurado para usar un proxy HTTP de destino en lugar de un proxy HTTPS de destino. Para obtener más información, consulta Hallazgos de vulnerabilidades de instancias de procesamiento. |
EGRESS_DENY_RULE_NOT_SET |
Este detector verifica si una regla de denegación de salida no está configurada en un firewall. Para obtener más información, consulta Hallazgos de vulnerabilidades de firewall. |
PUBLIC_LOG_BUCKET |
Este detector verifica si un bucket con un receptor de registros es de acceso público. |
OPEN_DIRECTORY_SERVICES_PORT |
Este detector verifica si un firewall tiene un puerto DIRECTORY_SERVICES abierto que permite el acceso genérico. Para obtener más información, consulta Hallazgos de vulnerabilidades de firewall. |
OPEN_MYSQL_PORT |
Este detector verifica si un firewall tiene un puerto MySQL abierto que permite el acceso genérico. Para obtener más información, consulta Hallazgos de vulnerabilidades de firewall. |
OPEN_FTP_PORT |
Este detector verifica si un firewall tiene un puerto FTP abierto que permite el acceso genérico. Para obtener más información, consulta Hallazgos de vulnerabilidades de firewall. |
OPEN_FIREWALL |
Este detector verifica si un firewall está abierto al acceso público. Para obtener más información, consulta Hallazgos de vulnerabilidades de firewall. |
WEAK_SSL_POLICY |
Este detector verifica si una instancia tiene una política de SSL débil. |
OPEN_POP3_PORT |
Este detector verifica si un firewall tiene un puerto POP3 abierto que permite el acceso genérico. Para obtener más información, consulta Hallazgos de vulnerabilidades de firewall. |
OPEN_NETBIOS_PORT |
Este detector verifica si un firewall tiene un puerto NETBIOS abierto que permite el acceso genérico. Para obtener más información, consulta Hallazgos de vulnerabilidades de firewall. |
FLOW_LOGS_DISABLED |
Este detector verifica si los registros de flujo están habilitados en la subred de VPC. |
OPEN_MONGODB_PORT |
Este detector verifica si un firewall tiene un puerto abierto de base de datos de Mongo que permite el acceso genérico. Para obtener más información, consulta Hallazgos de vulnerabilidades de firewall. |
MASTER_AUTHORIZED_NETWORKS_DISABLED |
Este detector verifica si las redes autorizadas del plano de control no están habilitadas en los clústeres de GKE. Para obtener más información, consulta Hallazgos de vulnerabilidades de los contenedores. |
OPEN_REDIS_PORT |
Este detector verifica si un firewall tiene un puerto REDIS abierto que permite el acceso genérico. Para obtener más información, consulta Hallazgos de vulnerabilidades de firewall. |
OPEN_DNS_PORT |
Este detector verifica si un firewall tiene un puerto DNS abierto que permite el acceso genérico. Para obtener más información, consulta Hallazgos de vulnerabilidades de firewall. |
OPEN_TELNET_PORT |
Este detector verifica si un firewall tiene un puerto TELNET abierto que permite el acceso genérico. Para obtener más información, consulta Hallazgos de vulnerabilidades de firewall. |
OPEN_HTTP_PORT |
Este detector verifica si un firewall tiene un puerto HTTP abierto que permite el acceso genérico. Para obtener más información, consulta Hallazgos de vulnerabilidades de firewall. |
CLUSTER_LOGGING_DISABLED |
Este detector verifica que el registro no esté habilitado para un clúster de GKE. Para obtener más información, consulta Hallazgos de vulnerabilidades de los contenedores. |
FULL_API_ACCESS |
Este detector verifica si una instancia usa una cuenta de servicio predeterminada con acceso completo a todas las APIs de Google Cloud. |
OBJECT_VERSIONING_DISABLED |
Este detector verifica si el control de versiones de objetos está habilitado en los buckets de almacenamiento con receptores. |
PUBLIC_IP_ADDRESS |
Este detector verifica si una instancia tiene una dirección IP pública. |
AUTO_UPGRADE_DISABLED |
Este detector verifica si la función de actualización automática de un clúster de GKE está inhabilitada. Para obtener más información, consulta Hallazgos de vulnerabilidades de los contenedores. |
LEGACY_AUTHORIZATION_ENABLED |
Este detector verifica si la autorización heredada está habilitada en los clústeres de GKE. Para obtener más información, consulta Hallazgos de vulnerabilidades de los contenedores. |
CLUSTER_MONITORING_DISABLED |
Este detector verifica si la supervisión está inhabilitada en los clústeres de GKE. Para obtener más información, consulta Hallazgos de vulnerabilidades de los contenedores. |
OPEN_CISCOSECURE_WEBSM_PORT |
Este detector verifica si un firewall tiene un puerto CISCOSECURE_WEBSM abierto que permite el acceso genérico. Para obtener más información, consulta Hallazgos de vulnerabilidades de firewall. |
OPEN_RDP_PORT |
Este detector verifica si un firewall tiene un puerto RDP abierto que permite el acceso genérico. Para obtener más información, consulta Hallazgos de vulnerabilidades de firewall. |
WEB_UI_ENABLED |
Este detector verifica si la IU web de GKE está habilitada. Para obtener más información, consulta Hallazgos de vulnerabilidades de los contenedores. |
FIREWALL_RULE_LOGGING_DISABLED |
Este detector verifica si el registro de las reglas de firewall está inhabilitado. Para obtener más información, consulta Hallazgos de vulnerabilidades de firewall. |
OVER_PRIVILEGED_SERVICE_ACCOUNT_USER |
Este detector verifica si un usuario tiene roles de cuenta de servicio a nivel de proyecto, en lugar de para una cuenta de servicio específica. |
PRIVATE_CLUSTER_DISABLED |
Este detector verifica si un clúster de GKE tiene inhabilitado el clúster privado. Para obtener más información, consulta Hallazgos de vulnerabilidades de los contenedores. |
PRIMITIVE_ROLES_USED |
Este detector verifica si un usuario tiene un rol básico (Propietario, Editor o Visualizador). Para obtener más información, consulta Hallazgos de vulnerabilidades de IAM. |
REDIS_ROLE_USED_ON_ORG |
Este detector verifica si el rol de IAM de Redis se asignó a una organización o carpeta. Para obtener más información, consulta Hallazgos de vulnerabilidades de IAM. |
PUBLIC_BUCKET_ACL |
Este detector verifica si un bucket es de acceso público. |
OPEN_MEMCACHED_PORT |
Este detector verifica si un firewall tiene un puerto MEMCACHED abierto que permite el acceso genérico. Para obtener más información, consulta Hallazgos de vulnerabilidades de firewall. |
OVER_PRIVILEGED_ACCOUNT |
Este detector verifica si una cuenta de servicio tiene un acceso demasiado amplio al proyecto en un clúster. Para obtener más información, consulta Hallazgos de vulnerabilidades de los contenedores. |
AUTO_REPAIR_DISABLED |
Este detector verifica si la función de reparación automática de un clúster de GKE está inhabilitada. Para obtener más información, consulta Hallazgos de vulnerabilidades de los contenedores. |
NETWORK_POLICY_DISABLED |
Este detector verifica si la política de red está inhabilitada en un clúster. Para obtener más información, consulta Hallazgos de vulnerabilidades de los contenedores. |
CLUSTER_PRIVATE_GOOGLE_ACCESS_DISABLED |
Este detector verifica si los hosts del clúster no están configurados para usar solo direcciones IP internas privadas para acceder a las APIs de Google. Para obtener más información, consulta Hallazgos de vulnerabilidades de los contenedores. |
OPEN_CASSANDRA_PORT |
Este detector verifica si un firewall tiene un puerto Cassandra abierto que permite el acceso genérico. Para obtener más información, consulta Hallazgos de vulnerabilidades de firewall. |
TOO_MANY_KMS_USERS |
Este detector verifica si hay más de tres usuarios de claves criptográficas. Para obtener más información, consulta Hallazgos de vulnerabilidades de KMS. |
OPEN_POSTGRESQL_PORT |
Este detector verifica si un firewall tiene un puerto PostgreSQL abierto que permite el acceso genérico. Para obtener más información, consulta Hallazgos de vulnerabilidades de firewall. |
IP_ALIAS_DISABLED |
Este detector verifica si se creó un clúster de GKE con el rango de direcciones IP de alias inhabilitado. Para obtener más información, consulta Hallazgos de vulnerabilidades de los contenedores. |
PUBLIC_SQL_INSTANCE |
Este detector verifica si Cloud SQL permite conexiones desde todas las direcciones IP. |
OPEN_ELASTICSEARCH_PORT |
Este detector verifica si un firewall tiene un puerto abierto Elasticsearch que permite el acceso genérico. Para obtener más información, consulta Hallazgos de vulnerabilidades de firewall. |
Definición de YAML
A continuación, se muestra la definición YAML de la plantilla de postura para PCI DSS.
name: organizations/123/locations/global/postureTemplates/pci_dss_v_3_2_1
description: Posture Template to make your workload PCI-DSS v3.2.1 compliant.
revision_id: v.1.0
state: ACTIVE
policy_sets:
- policy_set_id: PCI-DSS v3.2.1 detective policy set
description: 58 SHA modules that new customers can automatically enable.
policies:
- policy_id: Public dataset
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: PUBLIC_DATASET
- policy_id: Non org IAM member
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: NON_ORG_IAM_MEMBER
- policy_id: KMS project has owner
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: KMS_PROJECT_HAS_OWNER
- policy_id: Audit logging disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: AUDIT_LOGGING_DISABLED
- policy_id: SSL not enforced
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: SSL_NOT_ENFORCED
- policy_id: Locked retention policy not set
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: LOCKED_RETENTION_POLICY_NOT_SET
- policy_id: KMS key not rotated
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: KMS_KEY_NOT_ROTATED
- policy_id: Open SMTP port
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: OPEN_SMTP_PORT
- policy_id: SQL no root password
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: SQL_NO_ROOT_PASSWORD
- policy_id: Open LDAP port
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: OPEN_LDAP_PORT
- policy_id: Open oracle db port
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: OPEN_ORACLEDB_PORT
- policy_id: Open SSH port
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: OPEN_SSH_PORT
- policy_id: MFA not enforced
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: MFA_NOT_ENFORCED
- policy_id: COS not used
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: COS_NOT_USED
- policy_id: HTTP load balancer
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: HTTP_LOAD_BALANCER
- policy_id: Egress deny rule not set
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: EGRESS_DENY_RULE_NOT_SET
- policy_id: Public log bucket
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: PUBLIC_LOG_BUCKET
- policy_id: Open directory services port
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: OPEN_DIRECTORY_SERVICES_PORT
- policy_id: Open mysql port
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: OPEN_MYSQL_PORT
- policy_id: Open FTP port
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: OPEN_FTP_PORT
- policy_id: Open firewall
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: OPEN_FIREWALL
- policy_id: Weak SSL policy
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: WEAK_SSL_POLICY
- policy_id: Open POP3 port
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: OPEN_POP3_PORT
- policy_id: Open netbios port
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: OPEN_NETBIOS_PORT
- policy_id: Flow logs disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: FLOW_LOGS_DISABLED
- policy_id: Open mongo db port
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: OPEN_MONGODB_PORT
- policy_id: Master authorized networks disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: MASTER_AUTHORIZED_NETWORKS_DISABLED
- policy_id: Open redis port
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: OPEN_REDIS_PORT
- policy_id: Open dns port
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: OPEN_DNS_PORT
- policy_id: Open telnet port
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: OPEN_TELNET_PORT
- policy_id: Open HTTP port
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: OPEN_HTTP_PORT
- policy_id: Cluster logging disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: CLUSTER_LOGGING_DISABLED
- policy_id: Full API access
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: FULL_API_ACCESS
- policy_id: Object versioning disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: OBJECT_VERSIONING_DISABLED
- policy_id: Public IP address
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: PUBLIC_IP_ADDRESS
- policy_id: Auto upgrade disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: AUTO_UPGRADE_DISABLED
- policy_id: Legacy authorization enabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: LEGACY_AUTHORIZATION_ENABLED
- policy_id: Cluster monitoring disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: CLUSTER_MONITORING_DISABLED
- policy_id: Open ciscosecure websm port
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: OPEN_CISCOSECURE_WEBSM_PORT
- policy_id: Open RDP port
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: OPEN_RDP_PORT
- policy_id: Web UI enabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: WEB_UI_ENABLED
- policy_id: Firewall rule logging disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: FIREWALL_RULE_LOGGING_DISABLED
- policy_id: Over privileged service account user
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: OVER_PRIVILEGED_SERVICE_ACCOUNT_USER
- policy_id: Private cluster disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: PRIVATE_CLUSTER_DISABLED
- policy_id: Primitive roles used
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: PRIMITIVE_ROLES_USED
- policy_id: Redis role used on org
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: REDIS_ROLE_USED_ON_ORG
- policy_id: Public bucket ACL
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: PUBLIC_BUCKET_ACL
- policy_id: Open memcached port
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: OPEN_MEMCACHED_PORT
- policy_id: Over privileged account
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: OVER_PRIVILEGED_ACCOUNT
- policy_id: Auto repair disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: AUTO_REPAIR_DISABLED
- policy_id: Network policy disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: NETWORK_POLICY_DISABLED
- policy_id: Cluster private google access disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: CLUSTER_PRIVATE_GOOGLE_ACCESS_DISABLED
- policy_id: Open cassandra port
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: OPEN_CASSANDRA_PORT
- policy_id: Too many KMS users
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: TOO_MANY_KMS_USERS
- policy_id: Open postgresql port
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: OPEN_POSTGRESQL_PORT
- policy_id: IP alias disabled
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: IP_ALIAS_DISABLED
- policy_id: Public SQL instance
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: PUBLIC_SQL_INSTANCE
- policy_id: Open elasticsearch port
constraint:
securityHealthAnalyticsModule:
moduleEnablementState: ENABLED
moduleName: OPEN_ELASTICSEARCH_PORT