Auf dieser Seite finden Sie eine Übersicht über den Aktivierungsprozess, der beim Aktivieren von Security Command Center stattfindet. Das Ziel besteht darin, häufig gestellte Fragen zu beantworten:
- Was passiert, wenn Security Command Center aktiviert wird?
- Warum gibt es vor dem Start der ersten Scans eine Verzögerung?
- Was ist die erwartete Laufzeit für die ersten Scans und die laufenden Scans?
- Wie wirken sich Änderungen an Ressourcen und Einstellungen auf die Leistung aus?
Übersicht
Wenn Sie Security Command Center zum ersten Mal aktivieren, muss ein Aktivierungsprozess abgeschlossen werden, bevor Security Command Center Ihre Ressourcen scannen kann. Dann müssen die Scans abgeschlossen sein, bevor Sie eine vollständige Liste der Ergebnisse für Ihre Google Cloud Umgebung sehen.
Wie lange der Aktivierungsprozess und die Scans dauern, hängt von einer Reihe von Faktoren ab, z. B. von der Anzahl der Assets und Ressourcen in Ihrer Umgebung und davon, ob Security Command Center auf der Organisationsebene oder der Projektebeneaktiviert ist.
Bei Aktivierungen auf Organisationsebene muss Security Command Center bestimmte Schritte des Aktivierungsprozesses für jedes Projekt in der Organisation wiederholen. Je nach Anzahl der Projekte in einer Organisation kann die für den Aktivierungsprozess erforderliche Zeit zwischen Minuten und Stunden liegen. Bei Organisationen mit mehr als 100.000 Projekten, vielen Ressourcen in jedem Projekt und anderen erschwerenden Faktoren kann es bis zu 24 Stunden oder länger dauern, bis die Aktivierung und die ersten Scans abgeschlossen sind.
Bei Aktivierungen von Security Command Center auf Projektebene ist der Aktivierungsprozess viel schneller, da er auf das einzelne Projekt beschränkt ist, in dem Security Command Center aktiviert ist.
Die Faktoren, die zu Latenz beim Starten von Scans, bei der Verarbeitung von Änderungen an Einstellungen und bei der Laufzeit von Scans führen können, werden in den folgenden Abschnitten erläutert.
Latenz bei der Einrichtung
Bevor Scans gestartet werden, ermittelt und indexiert Security Command Center Ihre Ressourcen.
Zu den indexierten Diensten gehören App Engine, BigQuery, Cloud SQL, Cloud Storage, Compute Engine, Identity and Access Management und Google Kubernetes Engine.
Bei Aktivierungen von Security Command Center auf Projektebene beschränkt sich die Ermittlung und Indexierung auf das einzelne Projekt, in dem Security Command Center aktiviert ist.
Bei Aktivierungen auf Organisationsebene ermittelt und indexiert Security Command Center Ressourcen in Ihrer gesamten Organisation.
Während des Onboarding-Vorgangs werden zwei wichtige Schritte ausgeführt.
Asset-Scan
Security Command Center führt einen ersten Asset-Scan durch, um die Gesamtzahl, den Standort und den Zustand von Projekten, Ordnern, Dateien, Clustern, Identitäten, Zugriffsrichtlinien, registrierten Nutzern und anderen Ressourcen zu ermitteln. Dieser Vorgang ist normalerweise innerhalb von Minuten abgeschlossen.
API-Aktivierung
Wenn Ressourcen ermittelt werden, aktiviert Security Command Center Teile von Google Cloud die für den Betrieb von Security Health Analytics, Event Threat Detection, Container Threat Detection, und Web Security Scanner erforderlich sind. Bei einigen Erkennungsdiensten müssen bestimmte APIs für geschützte Projekte aktiviert sein, damit sie funktionieren.
Wenn Sie Security Command Center auf Projektebene aktivieren, dauert die API-Aktivierung in der Regel weniger als eine Minute.
Bei Aktivierungen auf Organisationsebene durchläuft Security Command Center alle Projekte, die Sie für den Scan ausgewählt haben, um die erforderlichen APIs zu aktivieren.
Die Anzahl der Projekte in einer Organisation legt weitgehend die Länge der Onboarding- und Aktivierungsprozesse fest. Da APIs für Projekte einzeln aktiviert werden müssen, ist die API-Aktivierung für gewöhnlich die zeitaufwendigste Aufgabe, insbesondere für Unternehmen mit mehr als 100.000 Projekten.
Die Zeit, die zum Aktivieren von Diensten in Projekten benötigt wird, skaliert linear. Das bedeutet, dass es in der Regel doppelt so lange dauert, Dienste und Sicherheitseinstellungen in einer Organisation mit 30.000 Projekten zu aktivieren als in einer mit 15.000 Projekten.
Bei einer Organisation mit 100.000 Projekten sollten die Einrichtung und Aktivierung der Dienststufen „Premium“ und „Enterprise“ (eingestellt) in weniger als fünf Stunden abgeschlossen sein. Die Zeit kann je nach vielen Faktoren variieren, z. B. der Anzahl der verwendeten Projekte oder Container und der Anzahl der Security Command Center-Dienste, die Sie aktivieren möchten.
Latenz beim ersten Scan
Wenn Sie Security Command Center einrichten, entscheiden Sie, welche integrierten und eingebundenen Dienste aktiviert werden sollen, und wählen die Google Cloud Ressourcen aus, die auf Bedrohungen und Sicherheitslücken analysiert oder gescannt werden sollen. Wenn APIs für Projekte aktiviert sind, starten ausgewählte Dienste ihre Scans. Die Dauer dieser Scans hängt auch von der Anzahl der Projekte in einer Organisation ab.
Ergebnisse von integrierten Diensten sind verfügbar, wenn die ersten Scans abgeschlossen wurden. Bei Diensten kann es zu Latenz kommen, wie in den folgenden Abschnitten beschrieben.
- Bedrohungserkennung für die Agent Platform (Vorschau) hat folgende Latenzen:
- Aktivierungslatenz von bis zu 3,5 Stunden für neu eingerichtete Projekte oder Organisationen.
- Erkennungslatenz von Minuten.
- Sicherheitslückenbewertung für die Agent Platform (Vorschau) scannt neue und aktualisierte Agent Platform-Instanzen und Container-Images während der Bereitstellung. Die Ergebnisse werden kurz nach dem Erkennen in Security Command Center angezeigt. Scans werden kontinuierlich ausgeführt, um neue Ergebnisse und Änderungen an Ergebnissen zu ermitteln.
- Bei der Cloud Run Threat Detection gibt es folgende Latenzen:
- Aktivierungslatenz von bis zu 3,5 Stunden für neu eingerichtete Projekte oder Organisationen.
- Erkennungslatenz von Minuten.
- Compliance-Manager: Informationen zur Scanlatenz des Compliance-Managers für Erkennungskontrollen finden Sie unter Scanlatenz des Compliance-Managers.
- Bei der Container Threat Detection gibt es folgende Latenzen:
- Aktivierungslatenz von bis zu 3,5 Stunden für neu eingerichtete Projekte oder Organisationen.
- Aktivierungslatenz von Minuten für neu erstellte Cluster.
- Erkennungslatenz von Minuten für Bedrohungen in Clustern, die aktiviert wurden.
Die Aktivierung von Event Threat Detection erfolgt innerhalb von Sekunden für integrierte Detektoren. Bei neuen oder aktualisierten benutzerdefinierten Detektoren kann es bis zu 15 Minuten dauern, bis die Änderungen wirksam werden. In der Praxis dauert es in der Regel weniger als 5 Minuten.
Bei integrierten und benutzerdefinierten Detektoren beträgt die Erkennungslatenz in der Regel weniger als 15 Minuten ab dem Zeitpunkt, an dem ein Log geschrieben wird, bis ein Ergebnis in Security Command Center verfügbar ist.
Scans auf externe Gefährdungen (Vorschau) können bis zu 12 Stunden dauern, bis sie nach der Aktivierung des Dienstes gestartet werden.
Es kann etwa 6 Stunden dauern, bis die Problemdaten für die Dienststufen „Security Command Center Premium“ und „Enterprise“ angezeigt werden.
Es kann etwa 2 Stunden dauern, bis die Daten des Sicherheitsgraphen für die Dienststufen „Security Command Center Premium“ und „Enterprise“ angezeigt werden.
Security Health Analytics: Informationen zur Scanlatenz von Security Health Analytics finden Sie unter Scanlatenz von Security Health Analytics.
Sensitive Data Protection: Informationen zur Scanlatenz von Sensitive Data Protection finden Sie unter Scanlatenz von Sensitive Data Protection.
VM Threat Detection hat eine Aktivierungslatenz von bis zu 48 Stunden bei neu eingerichteten Organisationen. Bei Projekten beträgt die Aktivierungslatenz bis zu 15 Minuten.
Sicherheitslückenbewertung für Google Cloud: Siehe Ergebnisse, die von der Sicherheitslückenbewertung für generiert wurden Google Cloud für Informationen zur Häufigkeit von Scans nach der Aktivierung.
Bei der Sicherheitslückenbewertung für Amazon Web Services (AWS) werden die Ressourcen in einem AWS-Konto etwa 15 Minuten nach der ersten Bereitstellung der erforderlichen CloudFormation-Vorlage im Konto gescannt. Wenn im AWS-Konto eine Software-Sicherheitslücke erkannt wird, ist das entsprechende Ergebnis etwa 10 Minuten später in Security Command Center verfügbar.
Wie lange ein Scan dauert, hängt von der Anzahl der EC2-Instanzen ab. In der Regel dauert ein Scan einer einzelnen EC2-Instanz weniger als 5 Minuten.
Nach dem Aktivieren des Dienstes kann es bis zu 24 Stunden dauern, bis Web Security Scanner gestartet wird. Nach dem ersten Scan wird er dann jede Woche ausgeführt.
Nach dem Aktivieren des Dienstes kann es bis zu 24 Stunden dauern, bis Scans zur Datensicherheitsstatus-Verwaltung (Data Security Posture Management, DSPM) gestartet werden.
VM Manager: Weitere Informationen finden Sie in der Spalte „Einstellungen für Asset-Scans“.
Security Command Center führt Fehlerdetektoren aus, die Konfigurationsfehler im Zusammenhang mit Security Command Center und seinen Diensten erkennen. Diese Fehlerdetektoren sind standardmäßig aktiviert und können nicht deaktiviert werden. Die Erkennungslatenzen variieren je nach Fehlerdetektor. Weitere Informationen finden Sie unter Security Command Center-Fehler.
Die IAM-Rollen für Security Command Center können auf Organisations-, Ordner- oder Projektebene zugewiesen werden. Die Möglichkeit, Ergebnisse, Assets und Sicherheitsquellen anzusehen, zu bearbeiten, zu erstellen oder zu aktualisieren, hängt von der Ebene ab, auf die Sie Zugriff haben. Weitere Informationen zu Security Command Center-Rollen finden Sie unter Zugriffssteuerung.
Vorläufige Ergebnisse ansehen
Während der erste Scan durchgeführt wird, können Sie jedoch einige Ergebnisse in der Google Cloud Console sehen, noch bevor der Einrichtungsprozess abgeschlossen ist. Vorläufige Ergebnisse sind präzise und praktisch, aber sie sind nicht aussagekräftig. Die Verwendung dieser Ergebnisse für eine Complianceprüfung innerhalb der ersten 24 Stunden wird nicht empfohlen.
Nachfolgende Scans
Änderungen in Ihrer Organisation oder Ihrem Projekt, z. B. das Verschieben von Ressourcen oder das Hinzufügen neuer Ordner und Projekte bei Aktivierungen auf Organisationsebene, haben in der Regel keine wesentlichen Auswirkungen auf die Zeit für die Ressourcenerkennung oder die Laufzeit von Scans. Einige Scans gehen jedoch nach festgelegten Zeitplänen aus, die festlegen, wie schnell die Security Command Center Änderungen erkennt.
- Bedrohungserkennung für die Agent Platform (Vorschau) verwendet einen Watcher-Prozess, um Ereignisinformationen zu erfassen, während die Agent-basierte Arbeitslast ausgeführt wird. Es kann bis zu einer Minute dauern, bis der Watcher-Prozess gestartet und Informationen erfasst werden.
- Sicherheitslückenbewertung für die Agent Platform (Vorschau) scannt Agent Platform-Instanzen und Container-Images kontinuierlich, um neue Ergebnisse und Änderungen an vorhandenen Ergebnissen zu ermitteln.
- Angriffspfadsimulationen: Weitere Informationen finden Sie im Abschnitt Angriffspfadsimulationen.
- Bei der Cloud Run Threat Detection wird ein Watcher-Prozess verwendet, um Container- und Ereignis informationen für die gesamte Dauer einer Cloud Run-Arbeitslast zu erfassen. Es kann bis zu einer Minute dauern, bis der Watcher-Prozess gestartet und Informationen erfasst werden.
- Externe Gefährdung (Vorschau) führt etwa alle 12 Stunden Batch-Scans aus.
- Event Threat Detection und Container Threat Detection: Diese Dienste werden in Echtzeit ausgeführt, wenn sie aktiviert sind, und erkennen sofort neue oder geänderte Ressourcen wie Cluster, Buckets oder Logs in aktivierten Projekten.
- Security Health Analytics: Informationen zu Scanarten finden Sie unter Scanarten von Security Health Analytics. Informationen zur Erkennungslatenz finden Sie unter Nachfolgende Scans von Security Health Analytics.
- Sensitive Data Protection: Informationen zur Scanlatenz von Sensitive Data Protection finden Sie unter Scanlatenz von Sensitive Data Protection.
- VM Threat Detection: Beim Speicher-Scanning scannt VM Threat Detection jede VM-Instanz
unmittelbar nach der
Erstellung der Instanz. Darüber hinaus scannt VM Threat Detection alle VM-Instanzen alle 30 Minuten.
- Bei der Erkennung von Kryptowährung-Mining generiert VM Threat Detection ein Ergebnis pro Prozess, pro VM und pro Tag. Jedes Ergebnis enthält nur die Bedrohungen, die mit dem Prozess verbunden sind, der durch das Ergebnis identifiziert wird. Wenn VM Threat Detection Bedrohungen findet, sie jedoch keinem Prozess zuordnen kann, fasst VM Threat Detection für jede VM alle nicht zugehörigen Bedrohungen in einem einzigen Ergebnis zusammen, das jeweils einmal innerhalb eines Zeitraums von 24 Stunden ausgeführt wird. Bei Bedrohungen, die länger als 24 Stunden andauern, generiert die VM Threat Detection alle 24 Stunden neue Ergebnisse.
- Bei der Erkennung von Kernel-Mode-Rootkits generiert VM Threat Detection alle drei Tage ein Ergebnis pro Kategorie und pro VM.
Beim Scannen von Persistent Disk, bei dem das Vorhandensein bekannter Malware erkannt wird, scannt VM Threat Detection jede VM-Instanz mindestens einmal täglich.
Bei der Sicherheitslückenbewertung für AWS werden dreimal täglich Scans ausgeführt. Wie lange ein Scan dauert, hängt von der Anzahl der EC2 Instanzen ab. In der Regel dauert ein Scan einer einzelnen EC2-Instanz weniger als 5 Minuten.
Wenn in einem AWS-Konto eine Software-Sicherheitslücke erkannt wird, ist das entsprechende Ergebnis etwa 10 Minuten später in Security Command Center verfügbar.
Web Security Scanner: Web Security Scanner wird wöchentlich am selben Tag wie der erste Scanvorgang ausgeführt. Da Web Security Scanner wöchentlich ausgeführt wird, werden Änderungen nicht in Echtzeit erkannt. Wenn Sie eine Ressource verschieben oder eine Anwendung ändern, kann es bis zu einer Woche dauern, bis die Änderung erkannt wird. Sie können On-Demand-Scans ausführen, um neue oder geänderte Ressourcen zwischen geplanten Scans zu prüfen.
DSPM: Ergebnisse, die von DSPM generiert werden, werden nahezu in Echtzeit im DSPM-Dashboard angezeigt.
VM Manager: Weitere Informationen finden Sie in der Spalte „Einstellungen für Asset-Scans“.
Security Command Center-Fehlerdetektoren werden regelmäßig im Batchmodus ausgeführt. Die Häufigkeit des Batchscans hängt vom Fehlerdetektor ab. Weitere Informationen finden Sie unter Security Command Center-Fehler.
Angriffspfadsimulationen
Angriffspfadsimulationen werden nach einem Zeitplan ausgeführt. Je nach Größe und Komplexität Ihrer Google Cloud Organisation kann sich die Zeit zwischen den Simulationen verlängern. Bei den größten Organisationen sind mindestens alle 48 Stunden neue Ergebnisse verfügbar.
Wenn Sie Security Command Center zum ersten Mal aktivieren, verwenden die Angriffspfadsimulationen einen Standardsatz hochwertiger Ressourcen, der sich auf eine Teilmenge der unterstützten Ressourcentypen in Ihrer Organisation konzentriert. Weitere Informationen finden Sie in der Liste der unterstützten Ressourcentypen.
Wenn Sie Ihren eigenen Satz hochwertiger Ressourcen definieren, indem Sie eine Konfiguration für den Wert von Ressourcen erstellen, kann sich die Zeit zwischen den Simulationsintervallen verkürzen, wenn die Anzahl der Ressourceninstanzen in Ihrem Satz hochwertiger Ressourcen deutlich geringer ist als im Standardsatz.
Korrelierte Bedrohungen
Informationen dazu, wann mit Problemen zu rechnen ist, die durch korrelierte Bedrohungen generiert werden, finden Sie unter Scanfrequenz.
Nächste Schritte
- Informationen zur Verwendung von Security Command Center in der Google Cloud Console
- Informationen zu Erkennungsdiensten.