快速入门：设置 Security Command Center

设置 Security Command Center

本页面介绍如何首次为组织设置 Security Command Center。如果您已为组织设置 Security Command Center，请参阅使用 Security Command Center 指南。

准备工作

创建组织

Security Command Center 需要与网域关联的组织资源，如果您想使用高级层级，则需要结算帐号。如果您尚未创建组织，请参阅创建和管理组织。

设置权限

要设置 Security Command Center，您需要以下 Identity and Access Management (IAM) 角色：

  • 组织管理员 roles/resourcemanager.organizationAdmin
  • Security Center Admin roles/securitycenter.admin
  • Security Admin roles/iam.securityAdmin
  • Create Service Accounts roles/iam.serviceAccountCreator

详细了解 Security Command Center 角色。

验证组织政策

如果您的组织政策已设为 按网域限制身份：

  • 您必须登录允许的网域中的帐号的 Cloud Console。
  • 您的服务帐号必须位于允许的网域中，或是您网域内某个群组的成员。当启用了网域限制共享时，借助此要求，您就可以允许 @*.gserviceaccount.com 服务访问资源。

为您的组织设置 Security Command Center

如要为您的组织设置 Security Command Center，请选择您希望的 Security Command Center 层级，并启用要在 Security Command Center 信息中心中显示结果的服务或集成来源。然后选择要监控的资源或资产，并为 Security Command Center 服务帐户授予权限。

第 1 步：选择您的层级

您选择的 Security Command Center 层级决定了您可以使用的功能以及 Security Command Center 的使用费用。下表简要介绍了优质层级和标准层级提供的内置 Security Command Center 服务：

层级详情

标准层级特性

  • Security Health Analytics：在标准层级中，Security Health Analytics 可为 Google Cloud 提供代管式漏洞评估扫描服务，此功能可以自动检测您的 Google Cloud 资产中存在的最严重的漏洞和配置错误。标准层级中的 Security Health Analytics 包含以下发现类型：

    • DATAPROC_IMAGE_OUTDATED
    • LEGACY_AUTHORIZATION_ENABLED
    • MFA_NOT_ENFORCED
    • NON_ORG_IAM_MEMBER
    • OPEN_CISCOSECURE_WEBSM_PORT
    • OPEN_DIRECTORY_SERVICES_PORT
    • OPEN_FIREWALL
    • OPEN_GROUP_IAM_MEMBER
    • OPEN_RDP_PORT
    • OPEN_SSH_PORT
    • OPEN_TELNET_PORT
    • PUBLIC_BUCKET_ACL
    • PUBLIC_COMPUTE_IMAGE
    • PUBLIC_DATASET
    • PUBLIC_IP_ADDRESS
    • PUBLIC_LOG_BUCKET
    • PUBLIC_SQL_INSTANCE
    • SSL_NOT_ENFORCED
    • WEB_UI_ENABLED
  • Web Security Scanner 自定义扫描：在标准层级中，Web Security Scanner 支持对具有公共网址和 IP 地址且不受防火墙保护的已部署应用进行自定义扫描。所有项目都手动配置、管理和执行扫描，并且支持 OWASP 十大项目中的部分类别。
  • Security Command Center 错误：Security Command Center 提供了配置错误检测和修复指南，可确保 Security Command Center 及其服务正常运行。
  • 支持在组织级层授予用户 Identity and Access Management (IAM) 角色。

  • 您可以使用集成的 Google Cloud 服务，其中包括：

  • 与 BigQuery 集成，将发现结果导出到 BigQuery 以进行分析。
  • 与 Forseti Security（Google Cloud 的开源安全工具包）以及第三方安全信息和事件管理 (SIEM) 应用集成。

高级层级特性

高级层级包含所有标准层级功能，并增加了以下功能：

  • Event Threat Detection 使用威胁情报、机器学习和其他高级方法监控组织的 Cloud Logging 和 Google Workspace，并检测以下威胁：
    • 恶意软件
    • 挖矿
    • SSH 暴力破解
    • 传出 DoS
    • IAM 异常授权
    • 数据渗漏

    Event Threat Detection 还会识别以下 Google Workspace 威胁：

    • 密码泄露
    • 已尝试的帐号入侵
    • 更改两步验证设置
    • 更改单点登录 (SSO) 设置
    • 受政府支持的攻击
  • Container Threat Detection 可检测以下容器运行时攻击：
    • 已执行添加的二进制文件
    • 已加载添加的库
    • 已执行恶意脚本
    • 反向 shell
  • Virtual Machine Threat Detection 可检测在虚拟机实例内运行的加密货币挖矿应用。

  • Security Health Analytics：高级层级包括所有 Security Health Analytics 检测器（140 多个）的代管式漏洞扫描，并提供对许多行业最佳做法的监控以及跨您的 Google Cloud 资产的合规性监控。您还可以在合规性信息中心查看这些结果，并将其导出为可管理的 CSV 文件。

    高级层级中的 Security Health Analytics 可基于以下各项标准进行监控和报告：

    • CIS 1.2
    • CIS 1.1
    • CIS 1.0
    • PCI DSS v3.2.1
    • NIST 800-53
    • ISO 27001
  • 高级层级中的 Web Security Scanner 包括所有标准层级功能以及支持 OWASP 十大类别的其他检测器。 Web Security Scanner 还会添加自动配置的代管式扫描。
  • 快速漏洞检测可扫描网络和 Web 应用以检测安全系数低的凭据、不完整的软件安装以及其他极有可能被利用的严重漏洞。
  • 高级层级支持在组织、文件夹和项目级层授予用户 IAM 角色。
  • 高级层级包含持续导出功能，该功能可自动管理将新的发现结果导出到 Pub/Sub 的过程。
  • 如果您的资产监控需求增加，您可以申请提高 Cloud Asset Inventory 配额。
  • Secured Landing Zone 服务只能在 Security Command Center 高级层级启用。启用后，如果已部署的蓝图的资源存在违反政策的情况，则此服务会显示发现结果，生成相应的提醒，并选择性地采取自动补救措施。

    • 虚拟机管理器漏洞报告

    • 如果您启用虚拟机管理器，则服务会自动将其漏洞报告（预览版）的发现结果写入 Security Command Center。这些报告可识别 Compute Engine 虚拟机上安装的操作系统中的漏洞。如需了解详情，请参阅 虚拟机管理器。

    如需了解与使用 Security Command Center 相关的费用，请参阅价格页面。

    如需订阅 Security Command Center 高级层级，请与您的 Google Cloud 销售代表或 Cloud 合作伙伴联系。

    选择所需层级后，启动 Security Command Center 设置：

    1. 转到 Google Cloud 控制台中的 Security Command Center。

      转至 Security Command Center

    2. 在组织下拉列表中，选择要为其启用 Security Command Center 的组织，然后点击选择。

    接下来，您要为组织启用内置服务。

    第 2 步：选择服务

    在选择服务页面上，您选择的层级中包含的所有内置服务默认在组织级层启用。每项服务都会扫描所有受支持的资源并报告整个组织的发现结果。如需停用任何服务，请点击服务名称旁边的下拉列表，然后选择默认停用。

    如果您先启用标准层级，后来又订阅了高级层级，则除 Container Threat Detection 之外的所有内置高级服务默认在组织层级启用。Container Threat Detection 默认处于停用状态，需要您手动进行启用。如需启用 Container Threat Detection，请参阅使用 Container Threat Detection。

    以下是特定服务的说明：

    • 为使 Container Threat Detection 正常运行，您需要确保集群采用了受支持的 Google Kubernetes Engine (GKE) 版本，并且 GKE 集群已正确配置。如需了解详情，请参阅使用 Container Threat Detection。

    • Event Threat Detection 依赖于 Google Cloud 生成的日志。要使用 Event Threat Detection，您必须为组织、文件夹和项目启用日志。

    • Security Command Center 中自动提供了异常值检测发现结果。 新手入门后，可以按照配置 Security Command Center 中的步骤停用异常检测。

    接下来，您可以选择启用或停用个人资源的服务。

    第 3 步：选择资源

    Security Command Center 设计为在组织级层运行。默认情况下，资源会继承组织的服务设置。所有启用的服务都会扫描组织中所有受支持的资源。此配置是最佳操作模式，可确保系统自动发现和更改新资源。

    如果您不希望 Security Command Center 扫描整个组织，则必须在高级设置菜单中排除个别资源。

    1. 转到高级设置菜单，然后点击节点以将其展开。

      高级设置菜单
      高级设置菜单（点击可放大）

    2. 要更改资源设置，请点击服务列中的下拉列表以选择启用选项。

      • 默认启用：为资源启用了服务。
      • 默认停用：为资源停用服务。
      • 继承：资源会使用在资源层次结构中为其父级选择的服务设置。

    点击搜索文件夹或项目后，系统会打开一个窗口，您可以在其中输入搜索字词，以便快速找到资源并更改其设置。

    接下来，您将向 Security Command Center 服务帐号授予权限。

    第 4 步：授予权限

    启用 Security Command Center 时，系统将使用以下格式为您创建一个服务帐号：

    service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com

    将 ORGANIZATION_ID 替换为组织的数字标识符。

    此服务帐号在组织级层具有下列 IAM 角色：

    • securitycenter.serviceAgent 能够使Security Command Center 服务帐号可以持续创建和更新组织资产资源元数据的副本。要了解与此角色关联的权限，请参阅访问权限控制。
    • serviceusage.serviceUsageAdmin。如需详细了解如何使用此角色，请参阅什么是 Service Usage？
    • cloudfunctions.serviceAgent

    如需自动向服务帐号授予这些角色，请点击授予角色。如果您希望使用 Google Cloud CLI 手动授予所需的角色：

    1. 点击以展开手动授予角色部分，然后复制 gcloud CLI 命令。
    2. 在 Google Cloud 控制台工具栏中，点击激活 Cloud Shell。
    3. 在分隔的终端窗口中，粘贴您复制的 gcloud CLI 命令，然后按 Enter 键。

    授予 Security Command Center 服务帐号所需的角色。

    接下来，您确认已显示 Security Command Center 设置，并且显示 Security Command Center 探索页面。

    第 5 步：等待扫描完成

    设置完之后，Security Command Center 将启动初始资源扫描，之后您可以使用信息中心审核并修复组织中的 Google Cloud 安全和数据风险。对某些产品启动扫描之前可能会有延迟。请阅读 Security Command Center 延迟时间概览以详细了解激活过程。

    如需详细了解每个内置服务，请参阅本网站上提供的指南。

    后续步骤