监控、日志记录和提醒指南

以下最低可行安全平台指南与监控、日志记录和提醒支柱保持一致。

基本级别指南

请先实施以下监控、日志记录和提醒指南。

推荐项	订阅安全公告
说明	订阅 Google Cloud 服务的安全公告通知，以便接收有关漏洞和缓解措施的提醒。 在有与您的 Google Cloud 服务（例如 GKE）相关的安全公告时，该服务可以消息的形式，将这些事件的通知发布到您配置的 Pub/Sub 主题。您可以在 Pub/Sub 订阅上接收这些通知，与第三方服务集成，并且可以过滤要接收的通知类型。
相关信息	安全公告
商品 ID	MVSP-CO-1.54
映射	相关 NIST-800-53 控制： SI-5 相关 CRI 配置文件控制措施： PR.IP-1.4

推荐项	配置重要联系人组
说明	配置重要联系人，以确保受监控的群组别名或邮件列表接收重要通知。 Google 会将关键安全提醒（例如潜在的账号盗用）发送到列为重要联系人的电子邮件地址。如果个人电子邮件地址用于此目的，则当该人员不在或已离开公司时，提醒将无法送达。 使用受监控的群组电子邮件地址有助于确保这些时间敏感型提醒送达能够快速响应的活跃团队。
相关信息	重要联系人概览
商品 ID	MSVP-CO-1-55
映射	相关 NIST-800-53 控制： IR-4 相关 CRI 配置文件控制措施： PR.IP-1.4 Compliance Manager 控制： 定义重要联系人

推荐项	监控结算异常
说明	使用 Cloud Billing 中的结算异常功能跟踪预期支出的任何峰值或偏差。 云账单中突然出现意外峰值是账号被盗用的主要迹象。意外的结算峰值有时是由已获得访问权限并使用资源进行未经授权活动的攻击者造成的。 启用结算异常检测功能可提供重要的早期预警系统，以便您自动标记此可疑活动。
相关信息	查看和管理费用异常值 设置程序化通知
商品 ID	MSVP-CO-1-56
映射	相关 NIST-800-53 控制： AU-6 相关 CRI 配置文件控制措施： DE.AE-1.1

中级指南

在实施基本指南后，请实施以下监控、日志记录和提醒指南。

推荐项	启用防火墙规则日志记录
说明	默认情况下，防火墙规则不会自动写入日志。通过防火墙规则日志记录，你可以审核 验证和分析防火墙规则所带来的影响例如，您可以确定用于拒绝流量的防火墙规则是否如期发挥作用。如果您想确定有多少连接受到给定防火墙规则的影响，日志记录也很有用。 为每个防火墙规则启用日志记录。您可以使用用于创建防火墙的流水线配置日志记录。
相关信息	使用防火墙规则日志记录
商品 ID	MSVP-CO-1-58
映射	相关 NIST-800-53 控制： AU-2 AU-3 AU-8 AU-9 相关 CRI 配置文件控制措施： DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4 Compliance Manager 控制： 启用防火墙规则日志记录

推荐项	共享 Cloud Identity 中的审核日志
说明	如果使用 Cloud Identity，请将 Cloud Identity 中的审核日志共享到 Google Cloud。 来自 Google Workspace 或 Cloud Identity 的管理员活动审核日志通常在 Google 管理控制台中管理和查看，与环境中的日志分开。 Google Cloud 这些日志包含与您的 Google Cloud 环境相关的信息，例如用户登录事件。 我们建议您将 Cloud Identity 审核日志共享到您的 Google Cloud 环境，以便集中管理来自所有来源的日志。
相关信息	Google Workspace 的审核日志 与服务共享数据 Google Cloud
商品 ID	MSVP-CO-1-59
映射	相关 NIST-800-53 控制： AC-2 AC-3 AC-8 AC-9 相关 CRI 配置文件控制措施： DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 Compliance Manager 控制： 导入 Google Workspace 审核日志

高级指南

在实施中级指南后，请实施以下监控、日志记录和提醒指南。

推荐项	启用 Access Transparency 日志
说明	标准日志会显示您组织的用户在做什么，而 Access Transparency 日志会显示 Google 支持人员在访问账号时做什么。此访问权限通常仅在响应支持请求时才会发生。Access Transparency 日志提供所有访问权限的完整且可验证的审核跟踪记录，这对于满足严格的合规性和数据治理要求至关重要。 您可以在组织级层启用 Access Transparency。
相关信息	启用 Access Transparency
商品 ID	MSVP-CO-1-57
映射	相关 NIST-800-53 控制： AU-2 AU-3 AU-8 AU-9 相关 CRI 配置文件控制措施： DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4 Compliance Manager 控制： 启用 Access Transparency

推荐项	将日志导出到日志接收器以进行长期存储
说明	创建日志接收器以导出日志，用于安全监控解决方案，并设置保留期限以满足您的要求。 默认日志保留期限通常不够长，无法满足 PCI 或 HIPAA 等合规性法规规定的 1-7 年要求。 创建日志接收器以将日志导出到长期存储位置对于履行某些法律和监管义务至关重要。借助日志接收器，您还可以将日志发送到集中式安全监控系统，以进行高级威胁检测。
相关信息	路由日志条目
商品 ID	MSVP-CO-1-60
映射	相关 NIST-800-53 控制： AU-9 相关 CRI 配置文件控制措施： PR.DS-4.1 Compliance Manager 控制： 配置日志接收器

后续步骤

• 最低可行安全平台概览