Soluciona los problemas de los resultados

Versión preliminar

Este producto está con sujeción a las "Condiciones de las Ofertas de la Fase Previa a la DG" de la sección de Términos Generales del Servicio de los Términos Específicos del Servicio. Los productos de la fase previa a la DG están disponibles sin modificaciones y pueden tener asistencia limitada. Para obtener más información, consulta las descripciones de la etapa de lanzamiento.

En este documento, se describe cómo corregir los hallazgos en los informes.

Un informe combina los resultados agregados de Security Command Center y los datos del inventario de Cloud Asset Inventory para brindar una vista agregada del riesgo en tu organización. Estos informes se alinean con la comparativa de CIS Google Cloud Computing Foundations v1.2.0. Para obtener más información sobre este framework, consulta CIS Benchmarks.

Como práctica recomendada, comienza por corregir los hallazgos que tengan el mayor impacto, como se indica en un informe de Cyber Insurance Hub.

Antes de comenzar

Crea un informe.

Cómo solucionar los problemas de los resultados de las comparativas de CIS

Cyber Insurance Hub se integró en los niveles Premium y Enterprise de Security Command Center para simplificar el proceso de corrección de los hallazgos de las comparativas del CIS. Si eres cliente del nivel Estándar de Security Command Center, no puedes usar Security Command Center para inspeccionar ni corregir todos los resultados individuales de la CIS Benchmark en tus recursos de Google Cloud . Actualiza al nivel Premium o Enterprise para obtener asistencia completa. Consulta la Descripción general de la activación para obtener información más detallada sobre cómo activar cada nivel de Security Command Center.

Cómo corregir los resultados de la comparativa de CIS con el nivel Premium o Enterprise de Security Command Center

Para inspeccionar y corregir hallazgos individuales con Security Command Center, sigue estos pasos:

1. En un informe, en la tabla de temas de comparativas de CIS, expande un tema de comparativas de CIS para ver las comparativas de CIS de ese tema.

2. En una fila de la tabla de comparativas de CIS, haz clic en el recuento de hallazgos.

   Este vínculo dirige a Security Command Center para mostrar los resultados activos relacionados con ese CIS Benchmark.

3. En Security Command Center, en la tabla de hallazgos, haz clic en la categoría del hallazgo que deseas corregir.

   Se abrirá un panel con información sobre cómo corregir ese hallazgo.

Cómo corregir comparativas de CIS con el nivel Estándar de Security Command Center

Si bien los informes de Cyber Insurance Hub proporcionan una tabla de los temas de CIS Benchmark identificados en tu organización, el nivel estándar de Security Command Center no te permite pasar directamente a los resultados relacionados en Security Command Center.

Para ver las instrucciones sobre cómo corregir las comparativas generales de CIS, sigue estos pasos:

1. En un informe, en la tabla de temas de comparativas de CIS, expande un tema de comparativas de CIS para ver las comparativas de CIS de ese tema.

2. En una fila de la tabla de comparativas de CIS, haz clic en la descripción de la comparativa de CIS.

   Este vínculo dirige a las instrucciones generales de corrección para ese CIS Benchmark.

También puedes seguir las siguientes instrucciones para corregir los hallazgos de los CIS Benchmarks compatibles con Cyber Insurance Hub:

Identity and Access Management
1.1 Asegúrate de usar las credenciales de acceso corporativo
1.2 Asegúrate de que la autenticación de varios factores esté habilitada para todas las cuentas que no sean de servicio
1.4 Asegúrate de que solo haya claves de cuentas de servicio administradas por GCP para cada cuenta de servicio
1.5 Asegúrate de que la cuenta de servicio no tenga privilegios de administrador
1.6 Asegúrate de que a los usuarios de IAM no se les asignen los roles Usuario de cuenta de servicio o Creador de tokens de cuentas de servicio a nivel del proyecto
1.7 Asegúrate de que las claves externas o administradas por el usuario de las cuentas de servicio se roten cada 90 días o menos
1.8 Asegúrate de que se aplique la separación de tareas cuando se asignen los roles relacionados con las cuentas de servicio a los usuarios
1.9 Asegúrate de que las claves criptográficas de Cloud KMS no sean accesibles de forma anónima o pública
1.10 Asegúrate de que las claves de encriptación de KMS se roten en un período de 90 días
1.11 Asegúrate de que se aplique la separación de tareas mientras se asignan los roles relacionados con KMS a los usuarios
1.12 Asegúrate de que las claves de API no se creen para un proyecto
1.13 Asegúrate de que solo las apps y los hosts especificados usen las claves de API
1.14 Asegúrate de que las claves de API solo estén restringidas a las APIs a las que la aplicación necesita acceder
1.15 Asegúrate de que las claves de API se roten cada 90 días
Logging y Monitoring
2.1 Asegúrate de que Cloud Audit Logging esté configurado correctamente en todos los servicios y todos los usuarios de un proyecto
2.2 Asegúrate de que los receptores estén configurados para todas las entradas de registro
2.3 Asegúrate de que las políticas de retención en los buckets de registro se configuren con el bloqueo del bucket
2.4 Asegúrate de que las alertas y el filtro de métricas de registros existan para las tareas o los cambios en la propiedad del proyecto
2.5 Asegúrate de que las alertas y el filtro de métricas de registros existan para los cambios de configuración de auditoría
2.6 Asegúrate de que las alertas y el filtro de métricas de registros existan para los cambios de roles personalizados
2.7 Asegúrate de que las alertas y el filtro de métricas de registros existan para los cambios en la regla de firewall de la red de VPC
2.8 Asegúrate de que las alertas y el filtro de métricas de registros existan para los cambios en la ruta de la red de VPC
2.9 Asegúrate de que las alertas y el filtro de métricas de registros existan para los cambios en la red de VPC
2.10 Asegúrate de que las alertas y el filtro de métricas de registros existan para los cambios de permiso de IAM de Cloud Storage
2.11 Asegúrate de que las alertas y el filtro de métricas de registros existan para los cambios en la configuración de la instancia de SQL
2.12 Asegúrate de que el registro de Cloud DNS esté habilitado para todas las redes de VPC
Redes
3.1 Asegúrate de que la red predeterminada no exista en un proyecto
3.2 Asegúrate de que no exista una red heredada para un proyecto
3.3 Asegúrate de que DNSSEC esté habilitado para Cloud DNS
3.4 Asegúrate de que RSASHA1 no se use para la clave de firma de claves en DNSSEC de Cloud DNS
3.5 Asegúrate de que RSASHA1 no se use para la clave de firma de zona en DNSSEC de Cloud DNS
3.6 Asegúrate de que el acceso SSH esté restringido desde Internet
3.7 Asegúrate de que el acceso RDP esté restringido desde Internet
3.8 Asegúrate de que los registros de flujo de VPC estén habilitados para cada subred de una red de VPC
3.9 Asegúrate de que ningún balanceador de cargas de proxy SSL o HTTPS permita políticas de SSL con conjuntos de algoritmos de cifrado débiles
Máquinas virtuales
4.1 Asegúrate de que las instancias no estén configuradas para usar la cuenta de servicio predeterminada
4.2 Asegúrate de que las instancias no estén configuradas para usar la cuenta de servicio predeterminada con acceso completo a todas las APIs de Cloud
4.3 Asegúrate de que la opción "Bloquear claves SSH del proyecto" esté habilitada para las instancias de VM
4.4 Asegúrate de que oslogin esté habilitado para un proyecto
4.5 Asegúrate de que la opción “Habilitar la conexión a los puertos en serie” no esté habilitada para las instancias de VM
4.6 Asegúrate de que el reenvío de IP no esté habilitado en las instancias
4.7 Asegúrate de que los discos de VM de las VMs críticas estén encriptados con claves de encriptación proporcionadas por el cliente (CSEK)
4.8 Asegúrate de que las instancias de Compute se inicien con la VM protegida habilitada
4.9 Asegúrate de que las instancias de Compute no tengan direcciones IP públicas
4.11 Asegúrate de que las instancias de Compute tengan habilitado Confidential Computing
Almacenamiento
5.1 Asegúrate de que el bucket de Cloud Storage no sea accesible de forma anónima o pública
5.2 Asegúrate de que los buckets de Cloud Storage tengan habilitado el acceso uniforme a nivel de bucket
Servicios de bases de datos de Cloud SQL
6.1.1 Asegúrate de que una instancia de la base de datos de MySQL no permita que nadie se conecte con privilegios administrativos
6.1.2 Asegúrate de que la marca de base de datos “skip_show_database” para la instancia de MySQL en Cloud SQL esté configurada como “activada”
6.1.3 Asegúrate de que la marca de base de datos “local_infile” para la instancia de MySQL en Cloud SQL esté configurada en “off”
6.2.1 Asegúrate de que la marca de base de datos “log_checkpoints” para la instancia de PostgreSQL en Cloud SQL esté configurada en “on”
6.2.2 Asegúrate de que la marca de base de datos “log_error_verbosity” para la instancia de PostgreSQL en Cloud SQL esté configurada como “PREDETERMINADA” o una variante más estricta
6.2.3 Asegúrate de que la marca de base de datos “log_connections” para la instancia de PostgreSQL en Cloud SQL esté configurada en “on”
6.2.4 Asegúrate de que la marca de base de datos “log_disconnections” para la instancia de PostgreSQL en Cloud SQL esté configurada en “on”
6.2.5 Asegúrate de que la marca de base de datos “log_duration” para la instancia de PostgreSQL en Cloud SQL esté configurada en “on”
6.2.6 Asegúrate de que la marca de base de datos “log_lock_waits” para la instancia de PostgreSQL en Cloud SQL esté configurada en “on”
6.2.7 Asegúrate de que la marca de base de datos “log_statement” para la instancia de PostgreSQL en Cloud SQL esté configurada correctamente
6.2.8 Asegúrate de que la marca de base de datos “log_hostname” para la instancia de PostgreSQL en Cloud SQL esté configurada correctamente
6.2.9 Asegúrate de que la marca de base de datos “log_parser_stats” para la instancia de PostgreSQL en Cloud SQL esté configurada en “off”
6.2.10 Asegúrate de que la marca de base de datos “log_planner_stats” para la instancia de PostgreSQL en Cloud SQL esté configurada en “off”
6.2.11 Asegúrate de que la marca de base de datos “log_executor_stats” para la instancia de PostgreSQL en Cloud SQL esté configurada en “off”
6.2.12 Asegúrate de que la marca de base de datos “log_statement_stats” para la instancia de PostgreSQL en Cloud SQL esté configurada en “off”
6.2.13 Asegúrate de que la marca de base de datos “log_min_messages” para la instancia de PostgreSQL en Cloud SQL esté configurada correctamente
6.2.14 Asegúrate de que la marca de base de datos “log_min_error_statement” para la instancia de PostgreSQL en Cloud SQL esté configurada en “Error” o un nivel más estricto
6.2.15 Asegúrate de que la marca de base de datos “log_temp_files” para la instancia de PostgreSQL en Cloud SQL esté configurada en “0”
6.2.16 Asegúrate de que la marca de base de datos “log_min_duration_statement” para la instancia de PostgreSQL en Cloud SQL esté configurada en “-1”
6.3.1 Asegúrate de que la marca de base de datos “external scripts enabled” para la instancia de SQL Server en Cloud SQL esté configurada como “off”
6.3.2 Asegúrate de que la marca de base de datos “cross db ownership chaining” para la instancia de SQL Server en Cloud SQL esté configurada en “off”
6.3.3 Asegúrate de que la marca de base de datos “user connections” para la instancia de SQL Server en Cloud SQL esté configurada según corresponda
6.3.4 Asegúrate de que la marca de base de datos “user options” para la instancia de SQL Server en Cloud SQL no esté configurada
6.3.5 Asegúrate de que la marca de base de datos “remote access” para la instancia de SQL Server en Cloud SQL esté configurada en “off”
6.3.6 Asegúrate de que la marca de base de datos “3625 (trace flag)” para la instancia de SQL Server en Cloud SQL esté configurada en “off”
6.3.7 Asegúrate de que la marca de base de datos “contained database authentication” para Cloud SQL en la instancia de SQL Server esté configurada en “off”
6.4 Asegúrate de que la instancia de base de datos de Cloud SQL requiera todas las conexiones entrantes para usar SSL
6.5 Asegúrate de que las instancias de base de datos de Cloud SQL no estén abiertas al mundo
6.6 Asegúrate de que las instancias de base de datos de Cloud SQL no tengan IPs públicas
6.7 Asegúrate de que las instancias de base de datos de Cloud SQL estén configuradas con copias de seguridad automáticas
BigQuery
7.1 Asegúrate de que los conjuntos de datos de BigQuery no sean accesibles de forma anónima o pública
7.2 Asegúrate de que todas las tablas de BigQuery estén encriptadas con una clave de encriptación administrada por el cliente (CMEK)
7.3 Asegúrate de que se especifique una clave de encriptación administrada por el cliente (CMEK) predeterminada para todos los conjuntos de datos de BigQuery

Próximos pasos

• Obtén más información para aprobar un informe.
• Obtén más información para compartir un informe con los socios de seguros.