快速入门:设置 Security Command Center

设置 Security Command Center

本页面介绍如何首次为组织设置 Security Command Center。如果您已为组织设置 Security Command Center,请参阅使用 Security Command Center 指南。

准备工作

创建组织

Security Command Center 需要与网域关联的组织资源,如果您想使用高级层级,则需要结算帐号。如果您尚未创建组织,请参阅创建和管理组织

设置权限

要设置 Security Command Center,您需要以下 Identity and Access Management (IAM) 角色:

  • 组织管理员 roles/resourcemanager.organizationAdmin
  • Security Center Admin roles/securitycenter.admin
  • Security Admin roles/iam.securityAdmin
  • Create Service Accounts roles/iam.serviceAccountCreator

详细了解 Security Command Center 角色

验证组织政策

如果您的组织政策已设为 按网域限制身份

  • 您必须登录允许的网域中的帐号的 Cloud Console。
  • 您的服务帐号必须位于允许的网域中,或是您网域内某个群组的成员。当启用了网域限制共享时,借助此要求,您就可以允许 @*.gserviceaccount.com 服务访问资源。

为您的组织设置 Security Command Center

如要为您的组织设置 Security Command Center,请选择您希望的 Security Command Center 层级,并启用要在 Security Command Center 信息中心中显示结果的服务或集成来源。然后选择要监控的资源或资产,并为 Security Command Center 服务帐户授予权限。

第 1 步:选择您的层级

您选择的 Security Command Center 层级决定了您可以使用的功能以及 Security Command Center 的使用费用。下表简要介绍了优质层级和标准层级提供的内置 Security Command Center 服务:

层级详情

标准层级特性

  • Security Health Analytics:在标准层级中,Security Health Analytics 可为 Google Cloud 提供代管式漏洞评估扫描服务,此功能可以自动检测您的 Google Cloud 资产中存在的最严重的漏洞和配置错误。标准层级中的 Security Health Analytics 包含以下发现类型:

    • DATAPROC_IMAGE_OUTDATED
    • LEGACY_AUTHORIZATION_ENABLED
    • MFA_NOT_ENFORCED
    • NON_ORG_IAM_MEMBER
    • OPEN_CISCOSECURE_WEBSM_PORT
    • OPEN_DIRECTORY_SERVICES_PORT
    • OPEN_FIREWALL
    • OPEN_GROUP_IAM_MEMBER
    • OPEN_RDP_PORT
    • OPEN_SSH_PORT
    • OPEN_TELNET_PORT
    • PUBLIC_BUCKET_ACL
    • PUBLIC_COMPUTE_IMAGE
    • PUBLIC_DATASET
    • PUBLIC_IP_ADDRESS
    • PUBLIC_LOG_BUCKET
    • PUBLIC_SQL_INSTANCE
    • SSL_NOT_ENFORCED
    • WEB_UI_ENABLED
  • Web Security Scanner 自定义扫描:在标准层级中,Web Security Scanner 支持对具有公共网址和 IP 地址且不受防火墙保护的已部署应用进行自定义扫描。所有项目都手动配置、管理和执行扫描,并且支持 OWASP 十大项目中的部分类别。
  • Security Command Center 错误:Security Command Center 提供了配置错误检测和修复指南,可确保 Security Command Center 及其服务正常运行。
  • 支持在组织级层授予用户 Identity and Access Management (IAM) 角色。
  • 您可以使用集成的 Google Cloud 服务,其中包括:

  • 与 BigQuery 集成,将发现结果导出到 BigQuery 以进行分析。
  • Forseti Security(Google Cloud 的开源安全工具包)以及第三方安全信息和事件管理 (SIEM) 应用集成。

高级层级特性

高级层级包含所有标准层级功能,并增加了以下功能:

  • Event Threat Detection 使用威胁情报、机器学习和其他高级方法监控组织的 Cloud Logging 和 Google Workspace,并检测以下威胁:
    • 恶意软件
    • 挖矿
    • SSH 暴力破解
    • 传出 DoS
    • IAM 异常授权
    • 数据渗漏

    Event Threat Detection 还会识别以下 Google Workspace 威胁:

    • 密码泄露
    • 已尝试的帐号入侵
    • 更改两步验证设置
    • 更改单点登录 (SSO) 设置
    • 受政府支持的攻击
  • Container Threat Detection 可检测以下容器运行时攻击:
    • 已执行添加的二进制文件
    • 已加载添加的库
    • 已执行恶意脚本
    • 反向 shell
  • Virtual Machine Threat Detection 可检测在虚拟机实例内运行的加密货币挖矿应用。
  • Security Health Analytics:高级层级包括所有 Security Health Analytics 检测器(140 多个)的代管式漏洞扫描,并提供对许多行业最佳做法的监控以及跨您的 Google Cloud 资产的合规性监控。您还可以在合规性信息中心查看这些结果,并将其导出为可管理的 CSV 文件。

    高级层级中的 Security Health Analytics 可基于以下各项标准进行监控和报告:

    • CIS 1.2
    • CIS 1.1
    • CIS 1.0
    • PCI DSS v3.2.1
    • NIST 800-53
    • ISO 27001
  • 高级层级中的 Web Security Scanner 包括所有标准层级功能以及支持 OWASP 十大类别的其他检测器。 Web Security Scanner 还会添加自动配置的代管式扫描
  • 快速漏洞检测可扫描网络和 Web 应用以检测安全系数低的凭据、不完整的软件安装以及其他极有可能被利用的严重漏洞。
  • 高级层级支持在组织、文件夹和项目级层授予用户 IAM 角色。
  • 高级层级包含持续导出功能,该功能可自动管理将新的发现结果导出到 Pub/Sub 的过程。
  • 如果您的资产监控需求增加,您可以申请提高 Cloud Asset Inventory 配额
  • Secured Landing Zone 服务只能在 Security Command Center 高级层级启用。启用后,如果已部署的蓝图的资源存在违反政策的情况,则此服务会显示发现结果,生成相应的提醒,并选择性地采取自动补救措施。
  • 虚拟机管理器漏洞报告

    • 如果您启用虚拟机管理器,则服务会自动将其漏洞报告(预览版)的发现结果写入 Security Command Center。这些报告可识别 Compute Engine 虚拟机上安装的操作系统中的漏洞。如需了解详情,请参阅 虚拟机管理器

    如需了解与使用 Security Command Center 相关的费用,请参阅价格页面。

    如需订阅 Security Command Center 高级层级,请与您的 Google Cloud 销售代表或 Cloud 合作伙伴联系。

    选择所需层级后,启动 Security Command Center 设置:

    1. 转到 Google Cloud 控制台中的 Security Command Center。

      转至 Security Command Center

    2. 组织下拉列表中,选择要为其启用 Security Command Center 的组织,然后点击选择

    接下来,您要为组织启用内置服务。

    第 2 步:选择服务

    选择服务页面上,您选择的层级中包含的所有内置服务默认在组织级层启用。每项服务都会扫描所有受支持的资源并报告整个组织的发现结果。如需停用任何服务,请点击服务名称旁边的下拉列表,然后选择默认停用

    如果您先启用标准层级,后来又订阅了高级层级,则除 Container Threat Detection 之外的所有内置高级服务默认在组织层级启用。Container Threat Detection 默认处于停用状态,需要您手动进行启用。如需启用 Container Threat Detection,请参阅使用 Container Threat Detection

    以下是特定服务的说明:

    • 为使 Container Threat Detection 正常运行,您需要确保集群采用了受支持的 Google Kubernetes Engine (GKE) 版本,并且 GKE 集群已正确配置。如需了解详情,请参阅使用 Container Threat Detection

    • Event Threat Detection 依赖于 Google Cloud 生成的日志。要使用 Event Threat Detection,您必须为组织、文件夹和项目启用日志

    • Security Command Center 中自动提供了异常值检测发现结果。 新手入门后,可以按照配置 Security Command Center 中的步骤停用异常检测。

    接下来,您可以选择启用或停用个人资源的服务。

    第 3 步:选择资源

    Security Command Center 设计为在组织级层运行。默认情况下,资源会继承组织的服务设置。所有启用的服务都会扫描组织中所有受支持的资源。此配置是最佳操作模式,可确保系统自动发现和更改新资源。

    如果您不希望 Security Command Center 扫描整个组织,则必须在高级设置菜单中排除个别资源。

    1. 转到高级设置菜单,然后点击节点以将其展开。

      高级设置菜单
      高级设置菜单(点击可放大)
    2. 要更改资源设置,请点击服务列中的下拉列表以选择启用选项。

      • 默认启用:为资源启用了服务。
      • 默认停用:为资源停用服务。
      • 继承:资源会使用在资源层次结构中为其父级选择的服务设置。

    点击搜索文件夹或项目后,系统会打开一个窗口,您可以在其中输入搜索字词,以便快速找到资源并更改其设置。

    接下来,您将向 Security Command Center 服务帐号授予权限。

    第 4 步:授予权限

    启用 Security Command Center 时,系统将使用以下格式为您创建一个服务帐号:

    service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
    

    ORGANIZATION_ID 替换为组织的数字标识符。

    此服务帐号在组织级层具有下列 IAM 角色:

    • securitycenter.serviceAgent 能够使Security Command Center 服务帐号可以持续创建和更新组织资产资源元数据的副本。要了解与此角色关联的权限,请参阅访问权限控制
    • serviceusage.serviceUsageAdmin。如需详细了解如何使用此角色,请参阅什么是 Service Usage
    • cloudfunctions.serviceAgent

    如需自动向服务帐号授予这些角色,请点击授予角色。如果您希望使用 Google Cloud CLI 手动授予所需的角色:

    1. 点击以展开手动授予角色部分,然后复制 gcloud CLI 命令。
    2. 在 Google Cloud 控制台工具栏中,点击激活 Cloud Shell
    3. 在分隔的终端窗口中,粘贴您复制的 gcloud CLI 命令,然后按 Enter 键。

    授予 Security Command Center 服务帐号所需的角色。

    接下来,您确认已显示 Security Command Center 设置,并且显示 Security Command Center 探索页面。

    第 5 步:等待扫描完成

    设置完之后,Security Command Center 将启动初始资源扫描,之后您可以使用信息中心审核并修复组织中的 Google Cloud 安全和数据风险。对某些产品启动扫描之前可能会有延迟。请阅读 Security Command Center 延迟时间概览以详细了解激活过程。

    如需详细了解每个内置服务,请参阅本网站上提供的指南。

    后续步骤