הכלי Compliance Manager כולל הרבה אמצעי בקרה מובנים בענן שאפשר להוסיף למסגרות ולפרוס בסביבה שלכם. אם צריך, אפשר ליצור ולנהל אמצעי בקרה מותאמים אישית בענן ולעדכן אמצעי בקרה מובנים בענן.
לפני שמתחילים
-
כדי לקבל את ההרשאות שדרושות לניהול מסגרות של אמצעי בקרה בענן, צריך לבקש מהאדמין להקצות לכם את תפקידי ה-IAM הבאים בארגון:
-
אדמין ב-Compliance Manager (
roles/cloudsecuritycompliance.admin) -
כדי ליצור או לשנות אמצעי בקרה בענן שמבוססים על מדיניות הארגון, צריך אחת מההרשאות הבאות:
-
אדמין של מדיניות הארגון (
roles/orgpolicy.policyAdmin) -
אדמין של Assured Workloads (
roles/assuredworkloads.admin) -
עורך Assured Workloads (
roles/assuredworkloads.editor)
-
אדמין של מדיניות הארגון (
להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.
יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.
-
אדמין ב-Compliance Manager (
הצגת אמצעי בקרה בענן
כדי לראות את אמצעי הבקרה המובנים בענן ואת אמצעי הבקרה המותאמים אישית בענן שכבר יצרתם, פועלים לפי השלבים הבאים.
נכנסים לדף Compliance במסוף Google Cloud .
בוחרים את הארגון.
בכרטיסייה Configure (הגדרה), לוחצים על Cloud Controls (אמצעי בקרה בענן). מוצגים האמצעים הזמינים לשליטה בענן.
לוח הבקרה כולל מידע על המסגרות שכוללות את אמצעי הבקרה בענן, ועל מספר המשאבים (ארגון, תיקיות ופרויקטים) שאמצעי הבקרה בענן חל עליהם.
כדי לראות פרטים על אמצעי בקרה בענן, לוחצים על שם אמצעי הבקרה.
יצירת אמצעי בקרה מותאם אישית בענן
אמצעי בקרה מותאם אישית בענן חל רק על סוג משאב אחד. סוג הנתונים היחיד שנתמך הוא משאבים במאגר משאבי הענן. אין תמיכה בפרמטרים באמצעי בקרה מותאמים אישית בענן.
נכנסים לדף Compliance במסוף Google Cloud .
בוחרים את הארגון.
בכרטיסייה Configure (הגדרה), לוחצים על Cloud Controls (אמצעי בקרה בענן). מוצגת רשימה של אמצעי בקרה זמינים בענן.
יוצרים אמצעי בקרה בענן, באמצעות Gemini או באופן ידני:
שימוש ב-Gemini
יש לך שאלה ל-Gemini ליצור בשבילכם אמצעי בקרה בענן. בהתאם להנחיה שלכם, Gemini מספק מזהה ייחודי, שם, לוגיקת זיהוי משויכת ושלבים אפשריים לתיקון.
בודקים את ההמלצות ומבצעים את השינויים הנדרשים.
שומרים את אמצעי הבקרה המותאם אישית של הענן.
יצירה ידנית
בשדה מזהה בקרת ענן, מזינים מזהה ייחודי לבקרה.
מזינים שם ותיאור כדי לעזור למשתמשים בארגון להבין את המטרה של אמצעי הבקרה המותאם אישית בענן.
אופציונלי: בוחרים את הקטגוריות של אמצעי הבקרה. לוחצים על Continue.
בוחרים סוג משאב זמין לאמצעי הבקרה המותאם אישית בענן. Compliance Manager תומך בכל סוגי המשאבים. כדי למצוא את השם של משאב, אפשר לעיין במאמר סוגי נכסים.
צריך לספק את לוגיקת הזיהוי של אמצעי הבקרה בענן בפורמט Common Expression Language (CEL).
ביטויים ב-CEL מאפשרים להגדיר איך רוצים להעריך את המאפיינים של משאב. מידע נוסף ודוגמאות זמינים במאמר כתיבת כללים לבקרות מותאמות אישית בענן. לוחצים על Continue.
אם כלל ההערכה לא תקין, מוצגת שגיאה.
בוחרים רמת חומרה מתאימה לממצאים.
חשוב לכתוב את ההוראות לתיקון שגיאות כך שצוותי התגובה לאירועים ואדמינים בארגון יוכלו לפתור את כל הממצאים שקשורים לבקרת הענן. לוחצים על Continue.
בודקים את הערכים שהזנתם ולוחצים על יצירה.
עריכה של אמצעי בקרה מותאם אישית בענן
אחרי שיוצרים אמצעי בקרה בענן, אפשר לשנות את השם, התיאור, הכללים, שלבי התיקון ורמת החומרה שלו. אי אפשר לשנות את הקטגוריה של אמצעי הבקרה בענן.
נכנסים לדף Compliance במסוף Google Cloud .
בוחרים את הארגון.
בכרטיסייה Configure (הגדרה), לוחצים על Cloud Controls (אמצעי בקרה בענן). מוצגת רשימה של אמצעי בקרה זמינים בענן.
לוחצים על אמצעי הבקרה בענן שרוצים לערוך.
בדף Cloud controls details, מוודאים שהבקרה בענן לא נכללת במסגרת. אם צריך, עורכים את המסגרת כדי להסיר את אמצעי הבקרה של הענן.
לוחצים על Edit.
בדף Edit custom cloud control (עריכת אמצעי בקרה מותאם אישית בענן), משנים את השם והתיאור לפי הצורך. לוחצים על Continue.
עדכון הכללים, מידת החומרה ושלבי התיקון. לוחצים על Continue.
בודקים את השינויים ולוחצים על שמירה.
עדכון של אמצעי בקרה מובנה בענן לגרסה חדשה יותר
Google מפרסמת עדכונים קבועים לבקרות המובנות שלה בענן, כששירותים פורסים תכונות חדשות או כשמתגלים שיטות מומלצות חדשות. העדכונים יכולים לכלול אמצעי בקרה חדשים או שינויים באמצעי בקרה קיימים.
אפשר לראות את הגרסאות של אמצעי הבקרה המובנים בענן במרכז הבקרה של אמצעי הבקרה בענן בכרטיסייה Configure או בדף הפרטים של אמצעי הבקרה בענן.
Google מודיעה לכם בנתוני הגרסה כשהפריטים הבאים מתעדכנים:
- שם אמצעי הבקרה בענן
- קטגוריית התוצאות
- שינוי בלוגיקה של זיהוי או מניעה בכלל
- הלוגיקה הבסיסית של כלל
כדי לעדכן אמצעי בקרה בענן אחרי שמתקבלת התראה, צריך לבטל את ההקצאה ולפרוס מחדש את המסגרות שכוללות את אמצעי הבקרה בענן. הוראות מפורטות מופיעות במאמר בנושא עדכון של מסגרת לגרסה חדשה יותר.
מחיקה של אמצעי בקרה מותאם אישית בענן
למחוק אמצעי בקרה בענן כשכבר לא צריך אותו. אתם יכולים למחוק רק אמצעי בקרה בענן שאתם יצרתם. אי אפשר למחוק פקדים מובנים בענן.
נכנסים לדף Compliance במסוף Google Cloud .
בוחרים את הארגון.
בכרטיסייה Configure (הגדרה), לוחצים על Cloud Controls (אמצעי בקרה בענן). מוצגת רשימה של אמצעי בקרה זמינים בענן.
לוחצים על אמצעי הבקרה בענן שרוצים למחוק.
בדף Cloud controls details, מוודאים שהבקרה בענן לא נכללת במסגרת. אם צריך, עורכים את המסגרת כדי להסיר את אמצעי הבקרה של הענן.
לוחצים על Delete.
בחלון מחיקה, בודקים את ההודעה. מקלידים
Deleteולוחצים על אישור.
מיפוי של גלאים ב-Security Health Analytics לאמצעי בקרה בענן
בטבלה הבאה אפשר לראות איך אמצעי הבקרה בענן של Compliance Manager ממופים לגלאים של Security Health Analytics.
| איפה נמצאת הקטגוריה ב-Security Health Analytics | שם אמצעי הבקרה ב-Cloud ב-Compliance Manager |
|---|---|
|
הפעלת Access Transparency |
|
חסימת תפקידי אדמין מחשבונות שירות |
|
הגדרת האילוץ Allowed Ingress Settings (הגדרות כניסה מותרות) במדיניות הארגון של Cloud Run |
|
הגדרת האילוץ 'הגדרות יציאה מ-VPC מותרות' במדיניות הארגון של Cloud Run |
|
הפעלת גיבויים אוטומטיים של AlloyDB באשכול |
|
הפעלת גיבויים של AlloyDB באשכול |
|
הפעלת CMEK עבור אשכולות AlloyDB |
|
הגדרת דגל של רמת פירוט שגיאות ביומן למופעי AlloyDB |
|
הגדרת הדגל Log Min Error Statement עבור מופעי AlloyDB |
|
הגדרת הדגל Log Min Messages למופעי AlloyDB |
|
חסימה של כתובות IP ציבוריות למכונות של אשכול AlloyDB |
|
השבתת תכונות בשלב אלפא באשכולות GKE |
|
הגבלת מפתחות API רק לממשקי API נדרשים |
|
לא זמין |
|
דרישה להחלפת מפתח API |
|
הגדרה של מדדי יומן והתראות לשינויים ביומן הביקורת |
|
הטמעה של רישום אירועים בשירותי Google Cloud |
|
הפעלת גיבויים אוטומטיים למסדי נתונים של Cloud SQL |
|
הפעלת תיקון אוטומטי באשכולות GKE |
|
הפעלת שדרוג אוטומטי באשכולות GKE |
|
הפעלת CMEK לטבלאות ב-BigQuery |
|
דרישה להרשאת Binary Authorization באשכול |
|
הפעלת CMEK לקטגוריות של Cloud Storage |
|
הגדרת מדדי יומנים והתראות לשינויים במדיניות IAM של Cloud Storage |
|
דרישה לרישום ביומן של קטגוריית Cloud Storage |
|
הפעלת גישה אחידה ברמת הקטגוריה בקטגוריות של Cloud Storage |
|
הפעלת שירות מאגר משאבי הענן |
|
הפעלת Cloud Logging באשכולות GKE |
|
הפעלת Cloud Monitoring באשכולות GKE |
|
הפעלת גישה פרטית ל-Google במופע |
|
הפעלת הצפנה באשכולות GKE |
|
הפעלת צומתי GKE מוגנים באשכול |
|
חסימת מפתחות SSH ברמת הפרויקט במכונות של Compute Engine |
|
הפעלת אתחול מאובטח במכונות ב-Compute Engine |
|
חסימת יציאות טוריות במכונות Compute Engine |
|
הפעלת Confidential Computing במכונות של Compute Engine |
|
דרישה לשימוש במערכת הפעלה שמותאמת לקונטיינרים באשכול GKE |
|
לא זמין |
|
הגדרת מדדים והתראות ביומן לשינויים בתפקידים מותאמים אישית |
|
דרישה לשימוש ב-CMEK באשכולות Dataproc |
|
שימוש בגרסאות התמונות העדכניות ביותר באשכולות Dataproc |
|
הפעלת CMEK למערכי נתונים ב-BigQuery |
|
שימוש ברשתות עם כללי חומת אש בהתאמה אישית |
|
שימוש בחשבונות שירות בהתאמה אישית למכונות Compute Engine |
|
הגדרת מדיניות ארגונית להשבתת השימוש ב-IPv6 חיצוני ב-VPC |
|
הגדרת מדיניות ארגונית להשבתת השימוש ב-IPv6 חיצוני ב-VPC |
|
הגדרת המדיניות Disable VM Serial Port Logging to Stackdriver Organization |
|
הפעלת CMEK בדיסקים לאחסון מתמיד ב-Compute Engine |
|
הפעלת CSEK בדיסקים לאחסון מתמיד ב-Compute Engine |
|
הפעלת מעקב אחר יומנים של Cloud DNS |
|
הפעלת DNSSEC ב-Cloud DNS |
|
אכיפת כלל חומת אש לדחיית כל התעבורה היוצאת |
|
הגדרת אנשי קשר חיוניים |
|
הגדרת מדדי יומן והתראות לשינויים בחומת אש של רשת VPC |
|
הפעלת רישום ביומן של כללים לחומת האש |
|
הפעלת יומני זרימה עבור רשת משנה של VPC |
|
הגבלת הגישה לממשקי API של Google Cloud למכונות של Compute Engine |
|
אכיפה של תנועת HTTPS בלבד |
|
הגדרת גבולות גזרה לשירות ב-VPC Service Controls |
|
הפעלה של OS Login |
|
הפעלת מעקב אחר תקינות באשכולות GKE |
|
הפעלת חשיפה של צמתים באשכולות GKE |
|
הפעלת טווח של כתובות IP וירטואליות באשכולות GKE |
|
מניעת העברת IP במכונות Compute Engine |
|
הגדרת תקופת רוטציה למפתחות Cloud KMS |
|
לא זמין |
|
לא זמין |
|
אכיפת הפרדת סמכויות |
|
חסימת הרשאות מדור קודם באשכולות GKE |
|
השבתה של נקודות קצה קודמות של שרת המטא-נתונים ב-Compute Engine |
|
לא להשתמש ברשתות מדור קודם |
|
הפעלת רישום ביומן של מאזן העומסים |
|
נעילה של מדיניות שמירת נתונים בקטגוריית אחסון |
|
הגדרת פריטי Sink ביומן |
|
הפעלת רשתות מורשות במישור הבקרה באשכולות GKE |
|
לא זמין |
|
הגדרת מדדי יומן והתראות לשינויים ברשת VPC |
|
הפעלת מדיניות רשת באשכולות GKE |
|
הפעלת CMEK בדיסקים של אתחול מאגר הצמתים ב-GKE |
|
הפעלת אתחול מאובטח לצומתי GKE מוגנים |
|
לא זמין |
|
הפעלת ניהול גרסאות של אובייקטים בקטגוריות |
|
חסימת חיבורים ליציאות של Cassandra מכל כתובות ה-IP |
|
חסימת חיבורים ליציאות CiscoSecure/WebSM מכל כתובות ה-IP |
|
חסימת חיבורים ליציאות של שירותי ספריות מכל כתובות ה-IP |
|
חסימת חיבורים ליציאות DNS מכל כתובות ה-IP |
|
חסימת חיבורים ליציאות Elasticsearch מכל כתובות ה-IP |
|
לא זמין |
|
חסימת חיבורים ליציאות FTP מכל כתובות ה-IP |
|
לא זמין |
|
חסימת חיבורים ליציאות HTTP מכל כתובות ה-IP |
|
חסימת חיבורים ליציאות LDAP מכל כתובות ה-IP |
|
חסימת חיבורים ליציאות Memcached מכל כתובות ה-IP |
|
חסימת חיבורים ליציאות MongoDB מכל כתובות ה-IP |
|
חסימת חיבורים ליציאות MySQL מכל כתובות ה-IP |
|
חסימת חיבורים ליציאות NetBIOS מכל כתובות ה-IP |
|
חסימת חיבורים ליציאות של מסד הנתונים של Oracle מכל כתובות ה-IP |
|
חסימת חיבורים ליציאות של שרתי POP3 מכל כתובות ה-IP |
|
חסימת חיבורים ליציאות של שרת PostgreSQL מכל כתובות ה-IP |
|
חסימת הגישה ליציאת RDP |
|
חסימת חיבורים ליציאות של שרת Redis מכל כתובות ה-IP |
|
חסימת חיבורים ליציאות של שרת SMTP מכל כתובות ה-IP |
|
חסימת הגישה ליציאת SSH |
|
חסימת חיבורים ליציאות של שרת Telnet מכל כתובות ה-IP |
|
הפעלת האילוץ של מדיניות הארגון בנושא מכונות וירטואליות חסויות |
|
הפעלת OS Login לכל המקרים ברמת הפרויקט |
|
שימוש בחשבונות שירות עם הרשאות מינימליות באשכולות GKE |
|
יצירת אשכולות GKE עם היקפי גישה מוגבלים לחשבונות שירות |
|
חסימת תפקידי אדמין מחשבונות שירות |
|
לא זמין |
|
לא זמין |
|
הגבלת תפקידים מדור קודם ב-IAM |
|
הפעלת אשכולות פרטיים ב-GKE |
|
הפעלת גישה פרטית ל-Google עבור רשתות משנה של VPC |
|
הגבלת הגישה הציבורית לקטגוריות של Cloud Storage |
|
הגבלת הגישה הציבורית לתמונות Compute |
|
הגבלת גישה ציבורית למערכי נתונים ב-BigQuery |
|
הגבלת כתובות IP ציבוריות למכונות Compute Engine |
|
הגבלת הגישה הציבורית לקטגוריות של Cloud Storage |
|
הגבלת הגישה הציבורית למכונות של מסדי נתונים ב-Cloud SQL |
|
הצפנה של נושא Pub/Sub באמצעות CMEK |
|
הפעלת הדגל Log Statement ל-PostgreSQL |
|
לא זמין |
|
הרשמה של אשכול GKE לערוץ הפצה |
|
הפעלה של OS Login |
|
הגדרת יציאה של מחבר VPC לפונקציות Cloud Run |
|
הפעלת ההגבלה של רשתות מורשות במכונות Cloud SQL אילוץ של מדיניות הארגון |
|
הגדרת מדדי יומן והתראות לשינויים בנתיבי VPC |
|
הימנעות משימוש ב-RSASHA1 לחתימה על DNSSEC |
|
לא זמין |
|
לא זמין |
|
דרישה לרוטציה של מפתחות לחשבונות שירות |
|
אכיפת הפרדת סמכויות |
|
הפעלת מכונה וירטואלית מוגנת למכונות Compute Engine |
|
הגבלת יצירת רשתות ברירת מחדל למכונות Compute Engine |
|
הפעלת CMEK למסדי נתונים של Cloud SQL |
|
השבתה של דגל האימות של מסד נתונים עצמאי ב-SQL Server |
|
השבתה של הדגל 'שרשור בעלות בין מסדי נתונים' ב-SQL Server |
|
השבתת הדגל של סקריפטים חיצוניים ב-SQL Server |
|
הגדרת מדדי יומן והתראות לשינויים בהגדרות של Cloud SQL |
|
השבתת הדגל Local Infile ל-MySQL |
|
הפעלת הדגל Log Checkpoints ל-PostgreSQL |
|
הפעלת הדגל Log Connections (יומני חיבורים) ל-PostgreSQL |
|
הפעלת הדגל Log Disconnections (יומן ניתוקים) ב-PostgreSQL |
|
הפעלת הדגל Log Duration (משך היומן) במכונת PostgreSQL |
|
הפעלת הדגל Log Error Verbosity ל-PostgreSQL |
|
השבתה של Log Executor Stats Flag ל-PostgreSQL |
|
השבתה של Log Hostname Flag ל-PostgreSQL |
|
הפעלת הדגל Log Locks Wait (המתנה של נעילת יומנים) במכונת PostgreSQL |
|
השבתה של הדגל Log Min Duration Statement ב-PostgreSQL |
|
הפעלת הדגל Log Min Error Statement ל-PostgreSQL |
|
לא זמין |
|
הפעלת הדגל Log Min Messages ל-PostgreSQL |
|
השבתה של Log Parser Stats Flag ל-PostgreSQL |
|
השבתה של Log Planner Stats Flag ל-PostgreSQL |
|
הפעלת הדגל Log Statement ל-PostgreSQL |
|
הפעלת הדגל Log Temp Files (רישום קבצים זמניים ביומן) למכונת PostgreSQL |
|
לא זמין |
|
חסימת כתובות IP ציבוריות למכונות של Cloud SQL |
|
השבתת הדגל של גישה מרחוק ל-SQL Server |
|
הפעלת הצפנת SSL במכונות AlloyDB |
|
הפעלת האפשרות Skip Show Database Flag for MySQ |
|
הפעלת הדגל 3625 Trace Database ל-SQL Server |
|
לא להשתמש בדגל של חיבורי משתמשים ל-SQL Server |
|
לא להשתמש בדגל של אפשרויות משתמש ל-SQL Server |
|
לא זמין |
|
אכיפת SSL לכל החיבורים הנכנסים למסד הנתונים |
|
הגבלת מספר המשתמשים במפתחות הצפנה של KMS לשלושה |
|
הפעלת גישה אחידה ברמת הקטגוריה בקטגוריות של Cloud Storage |
|
הגבלת מפתחות של חשבונות שירות בניהול המשתמשים |
|
לא זמין |
|
הגבלת מדיניות SSL לא מאובטחת למכונות של Compute Engine |
|
לא להשתמש בממשק האינטרנט של Kubernetes |
|
הפעלה של איחוד זהויות של עומסי עבודה ל-GKE באשכולות |