בדף הזה מוסבר מה קורה כשמפעילים את Security Command Center. הוא נועד לענות על שאלות נפוצות:
- מה קורה כשמפעילים את Security Command Center?
- למה יש השהיה לפני שהסריקות הראשונות מתחילות?
- כמה זמן נמשכות הסריקות הראשונות והסריקות השוטפות?
- איך שינוי של משאבים והגדרות ישפיע על הביצועים?
סקירה כללית
כשמפעילים את Security Command Center בפעם הראשונה, צריך להשלים את תהליך ההפעלה כדי ש-Security Command Center יוכל להתחיל לסרוק את המשאבים. הסריקות צריכות להסתיים כדי שתוכלו לראות את כל הממצאים בסביבתGoogle Cloud .
משך הזמן של תהליך ההפעלה והסריקות תלוי בכמה גורמים, כולל מספר הנכסים והמשאבים בסביבה שלכם, והשאלה אם Security Command Center מופעל ברמת הארגון או ברמת הפרויקט.
כשמפעילים את Security Command Center ברמת הארגון, צריך לחזור על שלבים מסוימים בתהליך ההפעלה בכל פרויקט בארגון. בהתאם למספר הפרויקטים בארגון, תהליך ההפעלה יכול להימשך בין כמה דקות לכמה שעות. בארגונים עם יותר מ-100,000 פרויקטים, הרבה משאבים בכל פרויקט וגורמים מורכבים אחרים, יכול להיות שההפעלה והסריקות הראשוניות יימשכו עד 24 שעות או יותר.
כשמפעילים את Security Command Center ברמת הפרויקט, תהליך ההפעלה מהיר הרבה יותר כי הוא מוגבל לפרויקט היחיד שבו מפעילים את Security Command Center.
בקטעים הבאים נדון בגורמים שיכולים להוביל לעיכוב בהתחלת הסריקות, בעיבוד השינויים בהגדרות ובזמן הריצה של הסריקות.
עיכוב בתהליך ההצטרפות
לפני שהסריקות מתחילות, Security Command Center מגלה את המשאבים שלכם ומוסיף אותם לאינדקס.
השירותים שנוספו לאינדקס כוללים את App Engine, BigQuery, Cloud SQL, Cloud Storage, Compute Engine, ניהול זהויות והרשאות גישה (IAM) ו-Google Kubernetes Engine.
כשמפעילים את Security Command Center ברמת הפרויקט, הגילוי וההוספה לאינדקס מוגבלים לפרויקט היחיד שבו Security Command Center מופעל.
כשמפעילים את Security Command Center ברמת הארגון, הוא מזהה את המשאבים בארגון ומוסיף אותם לאינדקס.
במהלך תהליך ההצטרפות הזה, מתרחשים שני שלבים קריטיים.
סריקת נכסים
ב-Security Command Center מתבצעת סריקה ראשונית של הנכסים כדי לזהות את המספר הכולל, המיקום והמצב של הפרויקטים, התיקיות, הקבצים, האשכולות, הזהויות, כללי מדיניות הגישה, המשתמשים הרשומים ומשאבים אחרים. בדרך כלל התהליך הזה מסתיים תוך כמה דקות.
הפעלת ה-API
כשהמשאבים מזוהים, Security Command Center מפעיל את החלקים שלGoogle Cloud שנדרשים להפעלה של Security Health Analytics, Event Threat Detection, זיהוי איומים בקונטיינר ו-Web Security Scanner. כדי ששירותי זיהוי מסוימים יפעלו, צריך להפעיל ממשקי API ספציפיים בפרויקטים המוגנים.
כשמפעילים את Security Command Center ברמת הפרויקט, הפעלת ה-API בדרך כלל נמשכת פחות מדקה.
כשמפעילים את Security Command Center ברמת הארגון, הוא עובר על כל הפרויקטים שבחרתם לסריקה ומפעיל את ממשקי ה-API הנדרשים.
מספר הפרויקטים בארגון קובע במידה רבה את משך תהליכי ההצטרפות וההפעלה. מכיוון שצריך להפעיל את ממשקי ה-API בכל פרויקט בנפרד, הפעלת ה-API היא בדרך כלל המשימה שדורשת הכי הרבה זמן, במיוחד בארגונים עם יותר מ-100,000 פרויקטים.
הזמן שנדרש כדי להפעיל שירותים בפרויקטים משתנה באופן ליניארי. כלומר, בדרך כלל, הפעלת שירותים והגדרות אבטחה בארגון עם 30,000 פרויקטים נמשכת פי שניים מאשר בארגון עם 15,000 פרויקטים.
בארגון עם 100,000 פרויקטים, תהליך ההצטרפות וההפעלה של רמות השירות Premium ו-Enterprise (הוצאה משימוש) אמור להסתיים תוך פחות מחמש שעות. משך הזמן יכול להשתנות בהתאם לגורמים רבים, כולל מספר הפרויקטים או הקונטיינרים שבהם אתם משתמשים ומספר השירותים של Security Command Center שאתם בוחרים להפעיל.
זמן האחזור של הסריקה הראשונית
כשמגדירים את Security Command Center, בוחרים אילו שירותים מובְנים ומשולבים להפעיל, ואת Google Cloud המשאבים שרוצים לנתח או לסרוק כדי לאתר איומים ונקודות חולשה. כשמפעילים ממשקי API בפרויקטים, השירותים שנבחרו מתחילים את הסריקות שלהם. משך הסריקות האלה תלוי גם במספר הפרויקטים בארגון.
הממצאים מהשירותים המובנים זמינים אחרי שהסריקות הראשוניות מסתיימות. השירותים חווים זמן אחזור כמו שמתואר בקטעים הבאים.
- זיהוי איומים בפלטפורמת הסוכנים (גרסת טרום-השקה (Preview)) פועל בזמני האחזור הבאים:
- זמן אחזור של עד 3.5 שעות להפעלה של פרויקטים או ארגונים חדשים.
- זמן אחזור של דקות בזיהוי.
- הערכת נקודות חולשה ב-Agent Platform (גרסת טרום-השקה (Preview)) סורקת מכונות וקובצי אימג' של קונטיינרים חדשים ומעודכנים ב-Agent Platform במהלך הפריסה. הממצאים מופיעים ב-Security Command Center זמן קצר אחרי שהם מזוהים. הסריקות פועלות באופן רציף כדי לזהות ממצאים חדשים ושינויים בממצאים.
- זמני האחזור של זיהוי איומים ב-Cloud Run:
- זמן אחזור של עד 3.5 שעות להפעלה של פרויקטים או ארגונים חדשים.
- זמן אחזור של דקות בזיהוי.
- thought Compliance Manager: קראו את המאמר זמן האחזור של הסריקה ב-Compliance Manager לאמצעי בקרה לזיהוי.
- זמני האחזור של זיהוי איומים בקונטיינר:
- זמן אחזור של עד 3.5 שעות להפעלה של פרויקטים או ארגונים חדשים.
- זמן אחזור של דקות להפעלה של אשכולות חדשים שנוצרו.
- זמן אחזור של דקות לזיהוי איומים באשכולות שהופעלו.
ההפעלה של Event Threat Detection מתרחשת תוך שניות בגלאים מובנים. אם הוספתם או עדכנתם גלאים בהתאמה אישית, יכול להיות שיעברו עד 15 דקות לפני שהשינויים ייכנסו לתוקף. בפועל, בדרך כלל זה לוקח פחות מ-5 דקות.
בגלאים מובנים ומותאמים אישית, זמן האחזור של הגילוי הוא בדרך כלל פחות מ-15 דקות מהזמן שבו נכתב היומן ועד שהממצא זמין ב-Security Command Center.
הסריקות של External Exposure (גרסת טרום-השקה (Preview)) יכולות להתחיל עד 12 שעות אחרי הפעלת השירות.
נתוני הבעיות של Security Command Center ברמות Premium ו-Enterprise מופיעים תוך כ-6 שעות.
נתוני תרשים האבטחה ברמות Premium ו-Enterprise של Security Command Center מופיעים תוך כשעתיים.
Security Health Analytics: ראו זמן האחזור של הסריקה ב-Security Health Analytics.
Sensitive Data Protection: קראו את המאמר זמן האחזור של סריקת Sensitive Data Protection.
בארגונים חדשים, יכול להיות שיעברו עד 48 שעות עד ש-VM Threat Detection יופעל. בפרויקטים, זמן האחזור של ההפעלה הוא עד 15 דקות.
הערכת נקודות חולשה ב- Google Cloud: במאמר ממצאים שנוצרו על ידי הערכת נקודות חולשה ב- Google Cloud מוסבר מהי תדירות הסריקות אחרי שמפעילים את השירות.
הערכת נקודות חולשה ב-Amazon Web Services (AWS) מתחילה לסרוק את המשאבים בחשבון AWS כ-15 דקות אחרי הפריסה הראשונה של תבנית CloudFormation הנדרשת בחשבון. כשמזוהה נקודת חולשה בתוכנה בחשבון AWS, הממצא התואם זמין ב-Security Command Center כ-10 דקות לאחר מכן.
משך הזמן שלוקח להשלים סריקה תלוי במספר המכונות של EC2. בדרך כלל, סריקה של מכונת EC2 אחת נמשכת פחות מ-5 דקות.
הסריקות של Web Security Scanner יכולות להתחיל עד 24 שעות אחרי הפעלת השירות, והן פועלות מדי שבוע אחרי הסריקה הראשונה.
הסריקות של ניהול אבטחת המידע (DSPM) יכולות להתחיל עד 24 שעות אחרי הפעלת השירות.
VM Manager: מידע נוסף זמין בעמודה Asset scan settings.
ב-Security Command Center פועלים גלאי שגיאות, שמזהים שגיאות בהגדרות שקשורות ל-Security Command Center ולשירותים שלו. הגלאים האלה מופעלים כברירת מחדל ואי אפשר להשבית אותם. זמן האחזור של זיהוי שגיאות משתנה בהתאם לגלאי השגיאות. מידע נוסף זמין במאמר שגיאות ב-Security Command Center.
אפשר להקצות את תפקידי ה-IAM של Security Command Center ברמת הארגון, התיקייה או הפרויקט. היכולת שלכם להציג, לערוך, ליצור או לעדכן ממצאים, נכסים ומקורות אבטחה תלויה ברמת הגישה שקיבלתם. למידע נוסף על התפקידים ב-Security Command Center, קראו את המאמר בקרת גישה.
צפייה בממצאים ראשוניים
יכול להיות שיופיעו ממצאים מסוימים במסוף Google Cloud בזמן שהסריקות הראשוניות מתבצעות, אבל לפני שתהליך ההצטרפות הושלם. הממצאים הראשוניים מדויקים וניתן לפעול לפיהם, אבל הם לא מקיפים. לא מומלץ להשתמש בממצאים האלה להערכת תאימות ב-24 השעות הראשונות.
סריקות נוספות
שינויים שבוצעו בארגון או בפרויקט, כמו העברת משאבים או הוספת תיקיות ופרויקטים חדשים (להפעלות ברמת הארגון), בדרך כלל לא ישפיעו באופן משמעותי על זמן גילוי המשאבים או על זמן הריצה של הסריקות. עם זאת, חלק מהסריקות מתבצעות לפי לוחות זמנים קבועים, שקובעים את המהירות שבה Security Command Center מזהה שינויים.
- Agent Platform Threat Detection (גרסת טרום-השקה (Preview)) משתמש בתהליך מעקב כדי לאסוף מידע על אירועים בזמן שעומס העבודה של הסוכן פועל. תהליך הצפייה יכול להימשך עד דקה כדי להתחיל ולאסוף מידע.
- הערכת נקודות חולשה ב-Agent Platform (גרסת טרום-השקה (Preview)) סורקת באופן רציף את המכונות ואת קובצי האימג' של הקונטיינרים ב-Agent Platform כדי לזהות ממצאים חדשים ושינויים בממצאים קיימים.
- הדמיות של נתיבי התקפה: מידע נוסף זמין בקטע הדמיות של נתיבי התקפה.
- ב-Cloud Run Threat Detection נעשה שימוש בתהליך מעקב כדי לאסוף מידע על קונטיינרים ואירועים, לאורך כל משך הזמן של עומס העבודה ב-Cloud Run. תהליך המעקב יכול להימשך עד דקה כדי להתחיל ולאסוף מידע.
- External Exposure (גרסת טרום-השקה (Preview)) מריץ סריקות באצווה בערך כל 12 שעות.
- Event Threat Detection ו-זיהוי איומים בקונטיינר: השירותים האלה פועלים בזמן אמת כשהם מופעלים, ומזהים באופן מיידי משאבים חדשים או משאבים שהשתנו, כמו אשכולות, קטגוריות או יומנים, בפרויקטים שבהם הם מופעלים.
- Security Health Analytics: מידע על סוגי הסריקות מופיע במאמר סוגי הסריקות של Security Health Analytics. למידע על זמן האחזור של הזיהוי, קראו את המאמר סריקות עוקבות של Security Health Analytics.
- Sensitive Data Protection: קראו את המאמר זמן האחזור של סריקת Sensitive Data Protection.
- זיהוי איומים במכונות וירטואליות: כדי לסרוק את הזיכרון, המערכת סורקת כל מכונה וירטואלית מיד אחרי שהיא נוצרת. בנוסף, הכלי VM Threat Detection סורק כל מכונה וירטואלית כל 30 דקות.
- בזיהוי כריית מטבעות וירטואליים, VM Threat Detection יוצר ממצא אחד לכל תהליך, לכל VM, לכל יום. כל ממצא כולל רק את האיומים שמשויכים לתהליך שזוהה על ידי הממצא. אם VM Threat Detection מזהה איומים אבל לא יכול לשייך אותם לתהליך כלשהו, הוא מקבץ את כל האיומים הלא משויכים במכונה הווירטואלית לממצא אחד, שנוצר פעם אחת בכל 24 שעות. אם האיום נמשך יותר מ-24 שעות, המערכת "זיהוי איומים במכונות וירטואליות" יוצרת ממצאים חדשים פעם ב-24 שעות.
- בזיהוי של Rootkit במצב ליבה, הכלי "זיהוי איומים במכונות וירטואליות" יוצר ממצא אחד לכל קטגוריה, לכל מכונה וירטואלית, כל שלושה ימים.
בסריקה של Persistent Disk, שמזהה נוכחות של תוכנות זדוניות ידועות, VM Threat Detection סורק כל מכונה וירטואלית לפחות פעם ביום.
הערכת נקודות חולשה ב-AWS מריצה סריקות שלוש פעמים ביום. משך הזמן שלוקח להשלים סריקה תלוי במספר המכונות של EC2. בדרך כלל, סריקה של מכונת EC2 אחת נמשכת פחות מ-5 דקות.
כשמזוהה נקודת חולשה בתוכנה בחשבון AWS, הממצא התואם מופיע ב-Security Command Center אחרי כ-10 דקות.
Web Security Scanner: הסריקה פועלת מדי שבוע, באותו יום שבו בוצעה הסריקה הראשונית. הסריקה של Web Security Scanner מתבצעת פעם בשבוע, ולכן היא לא מזהה שינויים בזמן אמת. אם תעבירו משאב או תשנו אפליקציה, יכול להיות שהשינוי יזוהה רק אחרי שבוע. אתם יכולים להריץ סריקות על פי דרישה כדי לבדוק משאבים חדשים או משאבים שהשתנו בין הסריקות המתוזמנות.
DSPM: ממצאים שנוצרו על ידי DSPM מופיעים כמעט בזמן אמת בלוח הבקרה של DSPM.
VM Manager: מידע נוסף זמין בעמודה Asset scan settings.
גלאי זיהוי השגיאות של Security Command Center פועלים מדי פעם במצב אצווה. תדירות הסריקה של קבוצות משתנה בהתאם לזיהוי השגיאות. למידע נוסף, קראו את המאמר שגיאות ב-Security Command Center.
הדמיות של נתיבי תקיפה
הסימולציות של נתיבי ההתקפה פועלות לפי לוח זמנים. בהתאם לגודל ולמורכבות של Google Cloud הארגון, יכול להיות שהזמן בין הסימולציות יתארך, ותוצאות חדשות יהיו זמינות לפחות כל 48 שעות בארגונים הגדולים ביותר.
כשמפעילים את Security Command Center בפעם הראשונה, הסימולציות של מסלולי ההתקפה משתמשות בקבוצת ברירת מחדל של משאבים בעלי ערך גבוה, שמתמקדת בקבוצת משנה של סוגי המשאבים הנתמכים שנמצאים בארגון. למידע נוסף, קראו את רשימת סוגי המשאבים הנתמכים.
כשמתחילים להגדיר קבוצת משאבים בעלי ערך גבוה על ידי יצירת הגדרה של ערך משאב, יכול להיות שמשך הזמן בין מרווחי הסימולציה ירד אם מספר המופעים של המשאבים בקבוצת המשאבים בעלי הערך הגבוה נמוך משמעותית מהקבוצה שמוגדרת כברירת מחדל.
איומים קשורים
בקטע תדירות הסריקה מוסבר מתי צפויות להיווצר בעיות על ידי Correlated Threats.