발견 항목 문제 해결

이 문서에서는 보고서의 발견 사항을 수정하는 방법을 설명합니다.

보고서는 Security Command Center의 집계된 발견 항목과 Cloud 애셋 인벤토리의 인벤토리 데이터를 결합하여 조직 전반의 위험을 집계된 뷰로 제공합니다. 이러한 보고서는 CIS Google Cloud Computing Foundations 벤치마크 v1.2.0에 맞춰 조정됩니다. 이 프레임워크에 대한 자세한 내용은 CIS 벤치마크를 참고하세요.

사이버 보험 허브 보고서에 표시된 대로 가장 큰 영향을 미치는 결과를 해결하는 것부터 시작하는 것이 좋습니다.

시작하기 전에

보고서 만들기

CIS 벤치마크 발견 항목 해결

사이버 보험 허브는 Security Command Center 프리미엄 및 엔터프라이즈 등급과 통합되어 CIS 벤치마크 발견 항목의 해결 프로세스를 간소화합니다. Security Command Center 표준 등급 고객은 Security Command Center를 사용하여 Google Cloud 리소스의 모든 개별 CIS 벤치마크 발견 항목을 검사하고 수정할 수 없습니다. 프리미엄 등급 또는 엔터프라이즈 등급으로 업그레이드하여 전체 지원을 받으세요. 각 Security Command Center 등급을 활성화하는 방법에 관한 자세한 내용은 활성화 개요를 참고하세요.

Security Command Center 프리미엄 또는 Enterprise 등급으로 CIS 벤치마크 발견 항목 해결

Security Command Center를 사용하여 개별 발견 항목을 검사하고 수정하려면 다음 단계를 따르세요.

  1. 보고서의 CIS 벤치마크 주제 표에서 CIS 벤치마크 주제를 펼쳐 해당 주제의 CIS 벤치마크를 확인합니다.

  2. CIS 벤치마크 표 행에서 발견 항목 수를 클릭합니다.

    이 링크를 클릭하면 Security Command Center로 연결되어 해당 CIS 벤치마크와 관련된 활성 발견 항목이 표시됩니다.

  3. Security Command Center의 발견 사항 표에서 수정하려는 발견 사항의 카테고리를 클릭합니다.

    발견 사항을 해결하는 방법에 관한 정보가 포함된 창이 열립니다.

Security Command Center 스탠더드 등급으로 CIS 벤치마크 해결

사이버 보험 허브 보고서는 조직 전체에서 식별된 CIS 벤치마크 주제 표를 제공하지만 Security Command Center 표준 등급에서는 Security Command Center의 관련 발견 항목으로 직접 피벗할 수 없습니다.

일반 CIS 벤치마크를 수정하는 방법에 관한 안내를 보려면 다음 단계를 따르세요.

  1. 보고서의 CIS 벤치마크 주제 표에서 CIS 벤치마크 주제를 펼쳐 해당 주제의 CIS 벤치마크를 확인합니다.

  2. CIS 벤치마크 표 행에서 CIS 벤치마크 설명을 클릭합니다.

    해당 CIS 벤치마크의 일반적인 해결 안내로 연결됩니다.

다음 안내에 따라 사이버 보험 허브에서 지원하는 CIS 벤치마크의 결과를 수정할 수도 있습니다.

Identity and Access Management
1.1 회사 로그인 사용자 인증 정보가 사용되는지 확인
1.2 모든 비서비스 계정에 다중 인증이 사용 설정되어 있는지 확인합니다.
1.4 각 서비스 계정에 GCP 관리형 서비스 계정 키만 있는지 확인
1.5 서비스 계정에 관리자 권한이 없는지 확인
1.6 IAM 사용자에게 프로젝트 수준의 서비스 계정 사용자 또는 서비스 계정 토큰 생성자 역할이 할당되지 않았는지 확인
1.7 서비스 계정의 사용자 관리/외부 키가 최소 90일마다 순환되는지 확인
1.8 사용자에게 서비스 계정 관련 역할을 할당하는 동안 업무 분장이 적용되는지 확인합니다.
1.9 Cloud KMS CryptoKey에 익명 또는 공개적으로 액세스할 수 없는지 확인합니다.
1.10 KMS 암호화 키가 90일 내에 순환되는지 확인
1.11 사용자에게 KMS 관련 역할을 할당하는 동안 업무 분장이 적용되는지 확인
1.12 프로젝트에 API 키가 생성되지 않았는지 확인
1.13 지정된 호스트 및 앱에서만 API 키를 사용하도록 제한되어 있는지 확인
1.14 애플리케이션이 액세스해야 하는 API로만 API 키가 제한되어 있는지 확인
1.15. 90일마다 API 키가 순환되는지 확인
로깅 및 모니터링
2.1 프로젝트의 모든 사용자 및 서비스에서 Cloud Audit Logging이 올바르게 구성되었는지 확인합니다.
2.2 싱크가 모든 로그 항목에 구성되었는지 확인
2.3 로그 버킷의 보관 정책이 버킷 잠금을 사용하여 구성되었는지 확인
2.4 프로젝트 소유권 할당/변경사항에 대한 로그 측정항목 필터 및 알림이 있는지 확인
2.5 감사 구성 변경사항에 대한 로그 측정항목 필터 및 알림이 있는지 확인
2.6 커스텀 역할 변경사항에 대한 로그 측정항목 필터 및 알림이 있는지 확인
2.7 VPC 네트워크 방화벽 규칙 변경사항에 대한 로그 측정항목 필터 및 알림이 있는지 확인
2.8 VPC 네트워크 경로 변경사항에 대한 로그 측정항목 필터 및 알림이 있는지 확인
2.9 VPC 네트워크 변경사항에 대한 로그 측정항목 필터 및 알림이 있는지 확인
2.10 Cloud Storage IAM 권한 변경사항에 대한 로그 측정항목 필터 및 알림이 있는지 확인
2.11 SQL 인스턴스 구성 변경사항에 대한 로그 측정항목 필터 및 알림이 있는지 확인
2.12 모든 VPC 네트워크에 Cloud DNS 로깅이 사용 설정되어 있는지 확인
네트워킹
3.1 프로젝트에 기본 네트워크가 없는지 확인
3.2 프로젝트에 기존 네트워크가 없는지 확인
3.3 Cloud DNS에 DNSSEC가 사용 설정되어 있는지 확인
3.4 Cloud DNS DNSSEC의 키 서명 키에 RSASHA1이 사용되지 않았는지 확인
3.5 Cloud DNS DNSSEC의 영역 서명 키에 RSASHA1이 사용되지 않았는지 확인
3.6 SSH 액세스가 인터넷에서 제한되는지 확인
3.7 RDP 액세스가 인터넷에서 제한되어 있는지 확인
3.8 VPC 네트워크의 모든 서브넷에 VPC 흐름 로그가 사용 설정되어 있는지 확인
3.9 HTTPS 또는 SSL 프록시 부하 분산기가 취약한 암호화 스위트가 있는 SSL 정책을 허용하지 않는지 확인
가상 머신
4.1 인스턴스가 기본 서비스 계정을 사용하도록 구성되지 않았는지 확인
4.2 모든 Cloud API에 대한 전체 액세스 권한으로 기본 서비스 계정을 사용하도록 인스턴스를 구성하면 안 됩니다.
4.3 VM 인스턴스에 '프로젝트 차원 SSH 키 차단'이 사용 설정되어 있는지 확인
4.4 프로젝트에서 OS 로그인이 사용 설정되어 있는지 확인
4.5 VM 인스턴스에 '직렬 포트 연결 사용 설정'이 사용 설정되지 않았는지 확인
4.6 인스턴스에 IP 전달이 사용 설정되지 않았는지 확인
4.7 중요 VM의 VM 디스크가 고객 제공 암호화 키 (CSEK)로 암호화되었는지 확인
4.8 Compute 인스턴스가 보안 VM이 사용 설정된 상태로 시작되는지 확인
4.9 Compute 인스턴스에 공개 IP 주소가 없는지 확인
4.11 Compute 인스턴스에 컨피덴셜 컴퓨팅이 사용 설정되어 있는지 확인
스토리지
5.1 Cloud Storage 버킷에 익명 또는 공개적으로 액세스할 수 없는지 확인합니다.
5.2 Cloud Storage 버킷에 균일한 버킷 수준 액세스가 사용 설정되어 있는지 확인
Cloud SQL 데이터베이스 서비스
6.1.1 MySQL 데이터베이스 인스턴스에서 관리 권한으로 연결하는 것을 허용하지 않는지 확인
6.1.2 Cloud SQL MySQL 인스턴스의 'skip_show_database' 데이터베이스 플래그가 'on'으로 설정되어 있는지 확인
6.1.3 Cloud SQL MySQL 인스턴스의 'local_infile' 데이터베이스 플래그가 'off'로 설정되어 있는지 확인
6.2.1 Cloud SQL PostgreSQL 인스턴스의 'log_checkpoints' 데이터베이스 플래그가 'on'으로 설정되어 있는지 확인합니다.
6.2.2 Cloud SQL PostgreSQL 인스턴스의 'log_error_verbosity' 데이터베이스 플래그가 'DEFAULT' 또는 더 엄격한 값으로 설정되어 있는지 확인
6.2.3 Cloud SQL PostgreSQL 인스턴스의 'log_connections' 데이터베이스 플래그가 'on'으로 설정되어 있는지 확인합니다.
6.2.4 Cloud SQL PostgreSQL 인스턴스의 'log_disconnections' 데이터베이스 플래그가 'on'으로 설정되어 있는지 확인
6.2.5 Cloud SQL PostgreSQL 인스턴스의 'log_duration' 데이터베이스 플래그가 'on'으로 설정되어 있는지 확인
6.2.6 Cloud SQL PostgreSQL 인스턴스의 'log_lock_waits' 데이터베이스 플래그가 'on'으로 설정되어 있는지 확인
6.2.7 Cloud SQL PostgreSQL 인스턴스의 'log_statement' 데이터베이스 플래그가 적절하게 설정되어 있는지 확인
6.2.8 Cloud SQL PostgreSQL 인스턴스의 'log_hostname' 데이터베이스 플래그가 적절하게 설정되어 있는지 확인
6.2.9 Cloud SQL PostgreSQL 인스턴스의 'log_parser_stats' 데이터베이스 플래그가 'off'로 설정되어 있는지 확인
6.2.10 Cloud SQL PostgreSQL 인스턴스의 'log_planner_stats' 데이터베이스 플래그가 'off'로 설정되어 있는지 확인
6.2.11 Cloud SQL PostgreSQL 인스턴스의 'log_executor_stats' 데이터베이스 플래그가 'off'로 설정되어 있는지 확인
6.2.12 Cloud SQL PostgreSQL 인스턴스의 'log_statement_stats' 데이터베이스 플래그가 'off'로 설정되어 있는지 확인
6.2.13 Cloud SQL PostgreSQL 인스턴스의 'log_min_messages' 데이터베이스 플래그가 적절하게 설정되어 있는지 확인
6.2.14 Cloud SQL PostgreSQL 인스턴스의 'log_min_error_statement' 데이터베이스 플래그가 'Error' 또는 더 엄격한 값으로 설정되어 있는지 확인
6.2.15 Cloud SQL PostgreSQL 인스턴스의 'log_temp_files' 데이터베이스 플래그가 '0'으로 설정되어 있는지 확인합니다.
6.2.16 Cloud SQL PostgreSQL 인스턴스의 'log_min_duration_statement' 데이터베이스 플래그가 '-1'로 설정되어 있는지 확인
6.3.1 Cloud SQL SQL Server 인스턴스의 'external scripts enabled' 데이터베이스 플래그가 'off'로 설정되어 있는지 확인
6.3.2 Cloud SQL SQL Server 인스턴스의 'cross db ownership chaining' 데이터베이스 플래그가 'off'로 설정되어 있는지 확인
6.3.3 Cloud SQL SQL Server 인스턴스의 'user connections' 데이터베이스 플래그가 적절하게 설정되어 있는지 확인
6.3.4 Cloud SQL SQL Server 인스턴스의 'user options' 데이터베이스 플래그가 구성되지 않았는지 확인
6.3.5 Cloud SQL SQL Server 인스턴스의 'remote access' 데이터베이스 플래그가 'off'로 설정되어 있는지 확인
6.3.6 Cloud SQL SQL Server 인스턴스의 '3625 (trace 플래그)' 데이터베이스 플래그가 'off'로 설정되어 있는지 확인
6.3.7 SQL Server 인스턴스에서 Cloud SQL의 'contained database authentication' 데이터베이스 플래그가 'off'로 설정되어 있는지 확인
6.4 Cloud SQL 데이터베이스 인스턴스를 사용하려면 모든 수신 연결이 SSL을 사용해야 하는지 확인
6.5 Cloud SQL 데이터베이스 인스턴스가 외부에 공개되지 않았는지 확인
6.6 Cloud SQL 데이터베이스 인스턴스에 공개 IP가 없는지 확인
6.7 Cloud SQL 데이터베이스 인스턴스가 자동 백업으로 구성되었는지 확인
BigQuery
7.1 BigQuery 데이터 세트에 익명 또는 공개적으로 액세스할 수 없는지 확인
7.2 모든 BigQuery 테이블이 고객 관리 암호화 키 (CMEK)로 암호화되었는지 확인
7.3 모든 BigQuery 데이터 세트에 기본 고객 관리 암호화 키 (CMEK)가 지정되었는지 확인

다음 단계