Guide de démarrage rapide : Configurer Security Command Center

Configurer Security Command Center

Cette page vous explique comment configurer Security Command Center dans votre organisation pour la première fois. Si Security Command Center est déjà configuré dans votre organisation, consultez le guide Utiliser Security Command Center.

Avant de commencer

Créer une organisation

Security Command Center nécessite une ressource d'organisation associée à un domaine et, si vous souhaitez utiliser le niveau Premium, un compte de facturation. Si vous n'avez pas créé d'organisation, consultez la page Créer et gérer des organisations.

Configurer les autorisations

Pour configurer Security Command Center, vous devez disposer des rôles IAM (Identity and Access Management) suivants :

  • Administrateur de l'organisation roles/resourcemanager.organizationAdmin
  • Administrateur du centre de sécurité roles/securitycenter.admin
  • Administrateur de sécurité roles/iam.securityAdmin
  • Créateur de compte de service roles/iam.serviceAccountCreator

Apprenez-en plus sur les rôles Security Command Center.

Vérifier les règles d'administration

Si les règles de votre organisation sont configurées pour restreindre les identités par domaine :

  • Vous devez être connecté à Google Cloud Console avec un compte appartenant à un domaine autorisé.
  • Vos comptes de service doivent appartenir à un domaine autorisé ou être des membres d'un groupe au sein de votre domaine. Cela vous permet d'autoriser les services @*.gserviceaccount.com à accéder aux ressources lorsque le partage limité au domaine est activé.

Configurer Security Command Center pour votre organisation

Pour configurer Security Command Center pour votre organisation, choisissez le niveau Security Command Center souhaité et activez les services ou les sources intégrées pour lesquelles vous souhaitez afficher les résultats dans le tableau de bord Security Command Center. Vous sélectionnez ensuite les ressources ou les éléments à surveiller et accordez des autorisations pour le compte de service Security Command Center.

Étape 1 : Choisir votre niveau

Le niveau Security Command Center que vous sélectionnez détermine les fonctionnalités à votre disposition et le coût d'utilisation de Security Command Center. Le tableau suivant présente les services Security Command Center intégrés disponibles avec les niveaux Premium et Standard :

Détail des niveaux

Fonctionnalités du niveau Standard

  • Security Health Analytics : au niveau Standard, Security Health Analytics fournit une analyse gérée de l'évaluation des failles pour Google Cloud, afin de détecter automatiquement les failles et les erreurs de configuration les plus graves liées à vos ressources Google Cloud. Au niveau Standard, Security Health Analytics fournit les types de résultats suivants :

    • DATAPROC_IMAGE_OUTDATED
    • LEGACY_AUTHORIZATION_ENABLED
    • MFA_NOT_ENFORCED
    • NON_ORG_IAM_MEMBER
    • OPEN_CISCOSECURE_WEBSM_PORT
    • OPEN_DIRECTORY_SERVICES_PORT
    • OPEN_FIREWALL
    • OPEN_GROUP_IAM_MEMBER
    • OPEN_RDP_PORT
    • OPEN_SSH_PORT
    • OPEN_TELNET_PORT
    • PUBLIC_BUCKET_ACL
    • PUBLIC_COMPUTE_IMAGE
    • PUBLIC_DATASET
    • PUBLIC_IP_ADDRESS
    • PUBLIC_LOG_BUCKET
    • PUBLIC_SQL_INSTANCE
    • SSL_NOT_ENFORCED
    • WEB_UI_ENABLED
  • Analyses personnalisées de Web Security Scanner : au niveau Standard, Web Security Scanner accepte les analyses personnalisées des applications déployées avec des URL publiques et les adresses IP qui ne sont pas protégées par un pare-feu. Les analyses sont configurées, gérées et exécutées manuellement pour tous les projets, et elles sont compatibles avec un sous-ensemble de catégories du Top 10 de l'OWASP.
  • Erreurs Security Command Center : Security Command Center fournit des conseils de détection et de résolution pour les erreurs de configuration qui empêchent Security Command Center et ses services de fonctionner correctement.
  • Possibilité d'accorder un rôle IAM (Identity and Access Management) aux utilisateurs au niveau de l'organisation

  • Accès aux services Google Cloud intégrés, y compris :

    • Cloud Data Loss Prevention identifie, classe et protège les données sensibles.
    • Google Cloud Armor protège les déploiements de Google Cloud contre les menaces.
    • La détection d'anomalies identifie les anomalies de sécurité pour vos projets et instances de machines virtuelles (VM), telles que les potentielles fuites d'identifiants et le minage de cryptomonnaie.
  • L'intégration à BigQuery, qui exporte les résultats vers BigQuery à des fins d'analyse.
  • L'intégration à Forseti Security, la boîte à outils de sécurité Open Source pour Google Cloud, et aux applications tierces de gestion des informations et des événements de sécurité (SIEM).

Fonctionnalités du niveau Premium

Le niveau Premium comprend toutes les fonctionnalités du niveau Standard, mais également les éléments suivants :

  • Event Threat Detection utilise des informations sur les menaces, le machine learning et d'autres méthodes avancées pour surveiller Cloud Logging et Google Workspace au sein de votre organisation, et détecter les menaces suivantes :
    • Logiciels malveillants
    • Minage de cryptomonnaie
    • Attaques par force brute SSH
    • DoS sortant
    • Octroi anormal d'autorisations IAM
    • Exfiltration de données

    Event Threat Detection identifie également les menaces Google Workspace suivantes :

    • Mots de passe volés
    • Tentatives de piratage de compte
    • Modifications apportées aux paramètres de la validation en deux étapes
    • Modifications apportées aux paramètres d'authentification unique (SSO)
    • Attaques soutenues par un gouvernement
  • Container Threat Detection détecte les attaques d'exécution de conteneurs suivantes:
    • Fichier binaire ajouté exécuté
    • Ajout de bibliothèque chargée
    • Script malveillant exécuté
    • Interface système inversée
  • Virtual Machine Threat Detection détecte les applications de minage de cryptomonnaie exécutées dans des instances de VM.

  • Security Health Analytics : au niveau Premium, inclut des analyses des failles gérées pour tous les détecteurs Security Health Analytics (plus de 140) et permet de surveiller vos ressources Google Cloud pour s'assurer qu'elles sont conformes à diverses bonnes pratiques du secteur. Les résultats peuvent être examinés dans un tableau de bord de conformité et exportés sous forme de fichiers CSV gérables.

    Au niveau Premium, Security Health Analytics fournit des services de surveillance et de reporting pour les normes suivantes :

    • CIS 1.2
    • CIS 1.1
    • CIS 1.0
    • PCI DSS v3.2.1
    • NIST 800-53
    • ISO 27001
  • Web Security Scanner au niveau Premium inclut toutes les fonctionnalités du niveau Standard et des détecteurs supplémentaires compatibles avec les catégories du top 10 de l'OWASP. Web Security Scanner ajoute également des analyses gérées qui sont configurées automatiquement.
  • La fonctionnalité Détection rapide des failles analyse les réseaux et les applications Web pour détecter les identifiants faibles, les installations logicielles incomplètes et d'autres failles critiques susceptibles d'être exploitées.
  • Le niveau Premium inclut la possibilité d'attribuer des rôles IAM aux utilisateurs au niveau de l'organisation, du dossier et du projet.
  • Le niveau Premium inclut la fonctionnalité d'exportations continues, qui gère automatiquement l'exportation des nouveaux résultats vers Pub/Sub.
  • Vous pouvez demander un quota supplémentaire dans l'inventaire des éléments cloud si vous avez besoin d'une surveillance étendue des éléments.
  • Le service Secured Landing Zone ne peut être activé qu'au niveau Premium de Security Command Center. Lorsqu'il est activé, ce service affiche les résultats en cas de non-respect des règles dans les ressources du plan déployé, génère les alertes correspondantes et prend des mesures correctives automatiques.

    • Rapports de failles de VM Manager

    • Si vous activez VM Manager, le service écrit automatiquement les résultats dans ses rapports de failles en version bêta dans Security Command Center. Les rapports identifient les failles dans les systèmes d'exploitation installés sur des machines virtuelles Compute Engine. Pour en savoir plus, consultez la section VM Manager.

    Pour en savoir plus sur les coûts associés à l'utilisation de Security Command Center, consultez la page Tarifs.

    Pour vous abonner au niveau Premium de Security Command Center, contactez votre conseiller commercial Google Cloud ou votre partenaire cloud.

    Après avoir sélectionné le niveau souhaité, démarrez la configuration de Security Command Center :

    1. Accédez à Security Command Center dans la console Google Cloud.

      Accéder à Security Command Center

    2. Dans la liste déroulante Organisation, sélectionnez l'organisation pour laquelle vous souhaitez activer Security Command Center, puis cliquez sur Sélectionner.

    Sélectionnez ensuite les services intégrés que vous souhaitez activer pour votre organisation.

    Étape 2 : Choisir les services

    Sur la page Sélectionner des services, tous les services intégrés inclus dans le niveau que vous avez choisi sont activés par défaut au niveau de l'organisation. Chaque service analyse toutes les ressources compatibles et génère des rapports pour l'ensemble de votre organisation. Pour désactiver un service, cliquez sur la liste déroulante en regard du nom du service et sélectionnez Désactiver par défaut.

    Si vous activez le niveau Standard et que vous vous abonnez ultérieurement au niveau Premium, tous les services Premium intégrés, à l'exception de Container Threat Detection, sont activés par défaut au niveau de l'organisation. Container Threat Detection est désactivé par défaut jusqu'à ce que vous l'activiez manuellement. Pour activer Container Threat Detection, consultez la page Utiliser Container Threat Detection.

    Les remarques suivantes concernent des services spécifiques :

    • Pour que Container Threat Detection fonctionne correctement, vous devez vous assurer que vos clusters disposent d'une version compatible de Google Kubernetes Engine (GKE) et que vos clusters GKE sont correctement configurés. Pour en savoir plus, consultez la page Utiliser Container Threat Detection.

    • Event Threat Detection s'appuie sur les journaux générés par Google Cloud. Pour utiliser Event Threat Detection, vous devez activer les journaux de votre organisation, vos dossiers et vos projets.

    • Les résultats de la détection d'anomalies sont automatiquement disponibles dans Security Command Center. Vous pouvez désactiver la détection d'anomalies après l'intégration en suivant les étapes décrites dans la section Configurer Security Command Center.

    Vous pouvez ensuite activer ou désactiver des services pour des ressources individuelles.

    Étape 3 : Choisir les ressources

    Security Command Center est conçu pour fonctionner au niveau de l'organisation. Par défaut, les ressources héritent des paramètres de service de l'organisation. Tous les services activés exécutent toutes les analyses de toutes les ressources compatibles dans votre organisation. Cette configuration est le mode de fonctionnement optimal pour garantir que les ressources nouvelles et modifiées sont automatiquement détectées et protégées.

    Si vous ne souhaitez pas que Security Command Center analyse l'ensemble de votre organisation, vous devez exclure des ressources individuelles dans le menu Paramètres avancés.

    1. Accédez au menu Paramètres avancés, puis cliquez sur le nœud pour le développer.

      Menu des paramètres avancés
      Menu "Paramètres avancés" (cliquez pour agrandir)

    2. Pour modifier les paramètres de ressource, cliquez sur la liste déroulante de la colonne de service et choisissez une option d'activation.

      • Activer par défaut : le service est activé pour la ressource.
      • Désactiver par défaut : le service est désactivé pour la ressource.
      • Hériter : la ressource utilise le paramètre de service sélectionné pour son parent dans la hiérarchie des ressources.

    Lorsque vous cliquez sur Rechercher un dossier ou un projet, une fenêtre vous permettant de saisir des termes de recherche s'ouvre ce qui vous permet de trouver rapidement des ressources et de modifier leurs paramètres.

    Ensuite, accordez des autorisations au compte de service Security Command Center.

    Étape 4 : Accorder des autorisations

    Lorsque vous activez Security Command Center, un compte de service est créé pour vous au format suivant :

    service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com

    Remplacez ORGANIZATION_ID par l'identifiant numérique de votre organisation.

    Ce compte de service dispose des rôles IAM suivants au niveau de l'organisation :

    • securitycenter.serviceAgent permet au compte de service Security Command Center de créer et de mettre à jour régulièrement sa propre copie des métadonnées d'inventaire des éléments de votre organisation. Pour en savoir plus sur les autorisations associées à ce rôle, consultez la page Contrôle des accès.
    • serviceusage.serviceUsageAdmin. Pour en savoir plus sur l'utilisation de ce rôle, consultez la page Qu'est-ce que Service Usage ?.
    • cloudfunctions.serviceAgent

    Pour attribuer automatiquement ces rôles au compte de service, cliquez sur Attribuer des rôles. Si vous préférez attribuer manuellement les rôles requis à l'aide de Google Cloud CLI, procédez comme suit :

    1. Cliquez pour développer la section Attribuer des rôles manuellement, puis copiez la commande de gcloud CLI.
    2. Dans la barre d'outils de la console Google Cloud, cliquez sur Activer Cloud Shell.
    3. Dans la fenêtre de terminal qui s'affiche, collez les commandes de gcloud CLI que vous avez copiées, puis appuyez sur Entrée.

    Les rôles requis sont attribués au compte de service Security Command Center.

    Vérifiez ensuite la configuration de Security Command Center et la page Explorer de Security Command Center s'affiche.

    Étape 5 : Attendre la fin des analyses

    Une fois la configuration terminée, Security Command Center lance une analyse initiale des éléments. Vous pouvez ensuite utiliser le tableau de bord pour examiner et corriger les risques liés à la sécurité et aux données de Google Cloud au sein de votre organisation. Le lancement des analyses de certains produits peut prendre quelques instants. Pour obtenir plus d'informations sur le processus d'activation, consultez la page Présentation de la latence sur Security Command Center.

    Pour en savoir plus sur chaque service intégré, consultez les guides disponibles sur ce site.

    Étapes suivantes