Bedingungen für Nutzeraktivitäten in einer Zugriffsrichtlinie für Console und APIs konfigurieren

In diesem Dokument wird beschrieben, wie Sie Bedingungen für Nutzeraktivitäten in einer Zugriffsrichtlinie für die Console und APIs konfigurieren. Die Bedingungen für Nutzeraktivitäten basieren auf über 60 Sicherheitsrisikoindikatoren von Event Threat Detection in Security Command Center. Viele davon können durch bestimmte Nutzeraktionen ausgelöst werden.

Sie können die Sicherheit Ihrer Organisation verbessern und eine dynamische risikobasierte Zugriffssteuerung erreichen, indem Sie Ihrer Zugriffsrichtlinie für die Console und APIs risikobasierte Bedingungen hinzufügen, die auf Nutzeraktivitäten basieren.

Mit diesen Bedingungen können Sie identitätsbasierte Angriffe in großem Maßstab proaktiv angehen und Risiken minimieren, indem Sie für Nutzer Aufforderungen zur erneuten Authentifizierung auslösen, wenn der definierte Risikoschwellenwert überschritten wird. Wenn beispielsweise jemand versucht, von einer bekannten gefährlichen IP-Adresse aus auf Ihre Systeme zuzugreifen, sich von einem Ort aus anmeldet, von dem er sich normalerweise nicht anmeldet, oder Verhaltensweisen zeigt, die auf einen Versuch hindeuten, Sicherheitsmaßnahmen zu umgehen, wird er aufgefordert, sich neu zu authentifizieren.

Weitere Informationen dazu, wie das Hinzufügen von Bedingungen für Nutzeraktivitäten zu Ihrer Zugriffs richtlinie die Sicherheit verbessert, finden Sie unter Identity Threat Detection and Response (ITDR) mit kontextsensitiven Zugriff.

Hinweis

Beachten Sie bei der Einrichtung dieser Funktion Folgendes:

  • Bedingungen für Nutzeraktivitäten sind eine Premium-Funktion und erfordern eine Security Command Center Premium- oder Enterprise-Lizenz.

  • Die Funktion für Bedingungen für Nutzeraktivitäten ist nur für Google-Identitätsnutzerkonten in einer bestimmten Gruppe verfügbar. Nutzer mit Einmalanmeldung (Single Sign-On, SSO) und Dienstkonten werden für diese Funktion nicht unterstützt.

  • Sie können Bedingungen für Nutzeraktivitäten nicht mit der Mitarbeiteridentitätsföderation verwenden.

  • In diesem Dokument bezieht sich eine App entweder auf die Google Cloud Console oder auf eine benutzerdefinierte App, z. B. eine Tableau-App, mit der Sie Daten aus einem Cloud Storage-Bucket oder BigQuery abrufen können.

Bedingungen für Nutzeraktivitäten in Ihrer Zugriffsrichtlinie konfigurieren

Sie können eine Zugriffsrichtlinie auf folgende Weise konfigurieren:

  • Erstellen Sie eine neue Zugriffsrichtlinie und Zugriffsebene.
  • Erstellen oder aktualisieren Sie eine Zugriffsebene und fügen Sie sie dann einer Richtlinie hinzu.

Neue Zugriffsrichtlinie und Zugriffsebene mit Bedingungen für Nutzeraktivitäten erstellen

Führen Sie die folgenden Schritte aus, um eine Zugriffsebene und eine Zugriffsrichtlinie für die Console und APIs zu erstellen.

Console

  1. Öffnen Sie in der Google Cloud Console die Zugriffsrichtlinie für Console und APIs Seite.

    Zugriffsrichtlinie für Console und APIs aufrufen

  2. Wählen Sie in der Drop-down-Liste Organisation auswählen Ihre Organisation aus und klicken Sie dann auf Auswählen.

  3. Klicken Sie auf Zugriffsrichtlinie hinzufügen.

  4. Wählen Sie im Dialogfeld Zugriffsrichtlinie erstellen eine Gruppe aus, für die Sie den Zugriff einschränken möchten.

  5. Wählen Sie unter Anwendungen auswählen, die auf Google Cloud zugreifen die Apps aus, für die Sie den Zugriff einschränken möchten. Die Zugriffsbedingungen gelten für die ausgewählten Anwendungen. Wenn Sie keine Anwendungen auswählen, schränken die Bedingungen den Zugriff auf alle Anwendungen ein, mit Ausnahme von Bedingungen für Nutzeraktivitäten. Bedingungen für Nutzeraktivitäten gelten nur für die Google Cloud Console.

  6. Unter Zugriffsebene können Sie eine vorhandene Zugriffsebene für den Probelauf oder eine aktive Zugriffsebene auswählen oder eine neue Zugriffsebene erstellen.

    1. Klicken Sie auf Neue Zugriffsebene erstellen, um eine Zugriffsebene zu erstellen.

    2. Geben Sie in das Feld Titel der Zugriffsebene einen Titel für die Zugriffsebene ein. Der Titel darf maximal 50 Zeichen lang sein und muss mit einem Buchstaben beginnen. Er darf nur Zahlen, Buchstaben, Unterstriche und Leerzeichen enthalten.

    3. Geben Sie die Bedingungen an unter denen Prinzipale auf die Console und APIs zugreifen können.

    4. Für Nutzeraktivität enthalten die Empfohlenen Einstellungen alle folgenden Risikotypen. Deaktivieren Sie alle Risikotypen, die bei der Bestimmung des Zugriffs nicht berücksichtigt werden sollen.

      • Verdächtige Aktionen: Potenziell schädliche Aktionen wie das Entfernen oder Reduzieren von Sicherheitsbeschränkungen.
      • Identitätsreputation: Änderungen an den Kontoeinstellungen oder dem Kontostatus, z. B. Änderungen an Gruppenmitgliedschaften oder Aktivierung (nicht inaktiv).
      • Schädliche Quelle: Aktivitäten aus einer verdächtigen Quelle, z. B. einer IP-Adresse, die mit böswilligen Akteuren in Verbindung steht.
      • Wiederholte Aktionen: Zu viele fehlgeschlagene Zugriffsversuche, z. B. Ablehnungen durch Identity and Access Management (IAM).
      • Atypischer Standort: Zugriff von ungewöhnlichen Standorten, z. B. aus einem neuen geografischen Gebiet.

      Die Einstellung Risikoreaktion > Erneute Authentifizierung erforderlich gibt an, dass Nutzer sich neu authentifizieren müssen, wenn der von Google festgelegte Risikoschwellenwert für den Nutzer basierend auf den von Ihnen zuvor festgelegten Bedingungen für Nutzeraktivitäten überschritten wird.

    5. Wenn Sie mehr als eine Bedingung erstellt haben, geben Sie mit Bedingung kombinieren mit an, ob Anfragen auf dieser Zugriffsebene mindestens eine der Bedingungen (OR) oder alle Bedingungen (AND) erfüllen müssen.

    6. Klicken Sie auf Speichern.

  7. Wählen Sie auf der Seite Zugriffsrichtlinie erstellen eine der folgenden Optionen aus.

    • Probelauf: Hiermit können Sie Ihre Änderungen testen, bevor Sie die Richtlinie erzwingen. Wir empfehlen, mit einem Probelauf zu beginnen, die Richtlinienergebnisse zu verwenden, um Änderungen vorzunehmen, und dann die Richtlinie zu erzwingen.
    • Erzwingen: Hiermit erzwingen Sie die Richtlinie.
    • Abbrechen: Hiermit brechen Sie die Richtlinie ab.

gcloud

  1. Erstellen Sie die YAML-Datei custom-level-spec.yaml.

    expression: "noRiskSignals(userRisk, [RiskType.IDENTITY_REPUTATION, RiskType.MALICIOUS_SOURCE])"

  2. Führen Sie den folgenden Befehl aus:

    gcloud access-context-manager levels create risk_based_access_level\
  --title=TITLE \
  --custom-level-spec=YAML_FILE \
  --description="A risk-based access level" \
  --policy=POLICY_NAME

    Ersetzen Sie Folgendes:

    • TITLE: Ein beschreibender Titel für Ihre Zugriffsebene.
    • YAML_FILE: Ihre benutzerdefinierte YAML-Datei für die Zugriffsebenenspezifikation, z. B. custom-level-spec.yaml.
    • POLICY_NAME: Der Name Ihrer Access Context Manager-Richtlinie.

  3. Binden Sie die Zugriffsebene an eine Richtlinie.

Zugriffsebene erstellen oder aktualisieren und einer Richtlinie hinzufügen

Wenn Sie Bedingungen für Nutzeraktivitäten in Ihre Richtlinie aufnehmen möchten, erstellen Sie eine neue Zugriffsebene oder aktualisieren Sie eine vorhandene und fügen Sie sie dann einer Richtlinie hinzu.

Console

  1. Wenn Sie beim Erstellen oder Aktualisieren einer Zugriffsebene Bedingungen für Nutzeraktivitäten hinzufügen möchten, führen Sie die Schritte in der folgenden Dokumentation aus und geben Sie Nutzeraktivität an:

  2. Wenn Sie einer vorhandenen Richtlinie eine Zugriffsebene mit Nutzeraktivitäten hinzufügen möchten, aktualisieren Sie die Zugr1ffsrichtlinie und fügen Sie die Zugriffsebene hinzu.

gcloud

  1. Erstellen Sie eine Zugriffsebene mit Bedingungen für Nutzeraktivitäten:

    gcloud access-context-manager levels create risk_based_access_level \
  --title=TITLE \
  --custom-level-spec=risk_level.yaml \
  --description="A risk-based access level" \
  --policy=POLICY_NAME

    Ersetzen Sie Folgendes:

    • TITLE: Ein beschreibender Titel für Ihre Zugriffsebene, z. B. NoAtypicalLocationRisk.
    • risk_level.yaml: Der Pfad zur YAML-Datei, die Sie im vorherigen Schritt erstellt haben.
    • POLICY_NAME: Der Name Ihrer Access Context Manager-Richtlinie, der Sie die Zugriffsebene hinzufügen möchten.

    Beispiel für eine YAML-Datei risk_level.yaml:

    expression: "noRiskSignals(userRisk, [RiskType.ATYPICAL_LOCATION, RiskType.BAD_NETWORK_SIGNALS])"

    Dieser Ausdruck gibt an, dass die Zugriffsebene gewährt wird, wenn das Risiko des Nutzers keine atypischen Standorte oder schlechten Netzwerksignale umfasst.

  2. Binden Sie die Zugriffsebene an einen Bereich und eine Gruppe:

    gcloud access-context-manager cloud-bindings create \
--group-key=GROUP_KEY \
--organization=ORGANIZATION_ID \
--binding-file=BINDING_YAML

    Ersetzen Sie Folgendes:

    • GROUP_KEY: Die E-Mail-Adresse oder ID Ihrer Google-Gruppe.
    • ORGANIZATION_ID: Die ID Ihrer Organisation.
    • BINDING_YAML: Ihre YAML-Konfigurationsdatei.

    Beispiel für eine YAML-Datei:

    scopedAccessSettings:
 - scope:
     clientScope:
       restrictedClientApplication:
         name: Cloud Console
   activeSettings:
     accessLevels:
     - accessPolicies/123/accessLevels/access_level_1
   dryRunSettings:
     accessLevels:
     - accessPolicies/123/accessLevels/dry_run_access_level_1

Zugriffsebene mit Bedingungen für Nutzeraktivitäten einer Zugriffsrichtlinie hinzufügen

Wenn Sie einer vorhandenen Richtlinie eine risikobasierte Zugriffsebene hinzufügen möchten, können Sie die Zugriffsrichtlinie aktualisieren und die Zugriffsebene hinzufügen.