סקירה כללית של Security Health Analytics

‫Security Health Analytics הוא שירות מנוהל של Security Command Center שסורק את סביבות הענן שלכם כדי לזהות טעויות נפוצות בהגדרות, שעלולות לחשוף אתכם להתקפות.

התכונה Security Health Analytics מושבתת בהפעלות חדשות של Security Command Center במהדורות Standard-legacy,‏ Premium ו-Enterprise. בארגונים כאלה, אפשר להשתמש ב-Compliance Manager כדי לסרוק את הסביבה ולחפש הגדרות שגויות.

תכונות של Security Health Analytics לפי רמה

התכונות של Security Health Analytics שזמינות לכם משתנות בהתאם לרמת השירות שבה מופעל Security Command Center. במאמר ממצאים של Security Health Analytics אפשר לראות אילו ממצאים זמינים בכל אחת מהרמות.

תכונות במסלול Standard-legacy

ברמת Standard-legacy, הכלי Security Health Analytics יכול לזהות רק קבוצה בסיסית של נקודות חולשה ברמת חומרה בינונית וגבוהה.

תכונות במסלול הרגיל

אם רמת השירות Standard הופעלה בארגון לאחרונה, כלומר הארגון לא עבר מיגרציה מרמת השירות Standard מדור קודם, לא ניתן להשתמש ב-Security Health Analytics. כדאי להשתמש ב-Compliance Manager Security Essentials framework וב-Vulnerability Assessment for Google Cloud כדי לסרוק את הסביבה שלכם ולחפש טעויות בהגדרות ונקודות חולשה שעלולות לחשוף אתכם להתקפה.

אם הארגון שלכם עבר ממהדורת Standard מדור קודם למהדורת Standard, הגלאים הבאים של Security Health Analytics מועברים לאמצעי בקרה של Compliance Manager במסגרת Security Essentials:

הכלי Security Health Analytics מופעל וכל הגלאים ממשיכים ליצור ממצאים, אבל הממצאים שנוצרו על ידי הגרסה של הגלאים שהועברו ב-Security Health Analytics מסומנים במזהה של ערך השדה: launch_state="LAUNCH_STATE_DEPRECATED" ולא מוצגים בחלק מדפי המסוף. Google Cloud

לרוב הגלאים של SHA יש אמצעי בקרה מקבילים ב-Compliance Manager. מידע נוסף זמין במאמר בנושא מיפוי של גלאים ב-Security Health Analytics לאמצעי בקרה בענן.

כדי לראות את הממצאים שנוצרו על ידי הגרסה של Compliance Manager של הגלאים שהועברו, משתמשים בפקודה הבאה:

  • הדף ממצאים
  • הדף Compliance > הכרטיסייה Monitor

כדי לראות את הממצאים שנוצרו על ידי הגרסה של Security Health Analytics של גלאי התוכן שהועברו, משתמשים באפשרויות הבאות:

  • בדף ממצאים, מסירים את המונח launch_state="LAUNCH_STATE_DEPRECATED" מהשאילתה.
  • נקודות חולשה בגרסה הקודמת

הגלאים הבאים לא מועברים למסגרת Security Essentials ב-Compliance Manager:

אפשר להפעיל את גלאי האבטחה האלה בכרטיסייה הגדרות > Security Health Analytics > מודולים.

כדי לראות את הממצאים שנוצרו על ידי מזהי התוכן האלה של Security Health Analytics, משתמשים באפשרויות הבאות:

  • הדף ממצאים

  • סקירת סיכונים > לוח הבקרה כל הסיכונים:

    • החלונית הגדרות שגויות נפוצות
    • החלונית Misconfigurations by date

הממצאים שנוצרו על ידי מזהי התוכן האלה של Security Health Analytics לא מופיעים בדף תאימות.

תכונות של מסלול פרימיום

אם רמת הפרימיום הופעלה לאחרונה בארגון, כלומר הארגון לא עבר מיגרציה מרמת סטנדרט, לא ניתן להשתמש ב-Security Health Analytics ולא ניתן להפעיל אותה. בארגונים כאלה, אפשר להשתמש ב-Compliance Manager כדי לסרוק את הסביבה ולחפש הגדרות שגויות.

אם מתבצעת העברה ממסלול Standard למסלול Premium, הכלי Security Health Analytics כולל את התכונות הבאות:

  • כל המזהים של Google Cloud, וגם מספר תכונות אחרות לזיהוי פגיעויות, כמו האפשרות ליצור מודולים מותאמים אישית לזיהוי.
  • הממצאים ממופים לבקרי תאימות לצורך דיווח על תאימות. מידע נוסף זמין במאמר גלאים ותאימות.
  • בסימולציות של נתיבי תקיפה ב-Security Command Center מחושבים ציוני החשיפה לתקיפה ונתיבי תקיפה פוטנציאליים עבור רוב הממצאים של Security Health Analytics. מידע נוסף זמין במאמר סקירה כללית של ציוני חשיפה להתקפות ונתיבי התקפה.

אם הארגון שלכם שודרג מרמת Standard לרמת Premium, תוכלו לקרוא מידע על השינויים ביכולות של כלי האבחון של Security Health Analytics במאמר בנושא מעבר בין רמות.

תכונות של מהדורת Enterprise

אם רמת Enterprise הופעלה לאחרונה בארגון, כלומר הארגון לא הועבר מרמת Standard, לא ניתן להשתמש ב-Security Health Analytics ולא ניתן להפעיל אותה. בארגונים כאלה, אפשר להשתמש ב-Compliance Manager כדי לסרוק את הסביבה ולחפש הגדרות שגויות.

אם הארגון שלכם שודרג מרמת Standard לרמת Enterprise, תוכלו לקרוא את המאמר מעבר בין רמות כדי לקבל מידע על קבוצת היכולות ששונתה של כלי הזיהוי של Security Health Analytics.

מעבר בין רמות

ב-Security Command Center במסלול Premium ובמסלולי Enterprise יש יותר גלאים מאשר במסלול Standard מדור קודם. אם אתם משתמשים בחבילת Premium או Enterprise ומתכננים לשדרג לחבילת Standard או Standard-legacy, מומלץ לפתור את כל הממצאים לפני שתשנו את החבילה.

כשמסיימים תקופת ניסיון ב-Premium או ב-Enterprise, או כשמשדרגים לאחור מאחד מהמסלולים האלה למסלול Standard או Standard-legacy, הסטטוס של הממצאים שנוצרו במסלול הגבוה יותר מוגדר לINACTIVE.

אם לארגון שלכם לא היה Security Command Center והוא הופעל אוטומטית ברמת Standard, ואז שדרגתם לרמת Premium או Enterprise, אתם יכולים להשתמש במסגרת Security Essentials ב-Compliance Manager כדי להגדיר את הזיהויים.

אם הארגון שלכם עבר למהדורת Standard ממהדורת Standard מדור קודם, ואז שדרגתם למהדורת Premium או Enterprise, ‏ Security Health Analytics נשאר מופעל באופן חלקי. אי אפשר להפעיל גלאים של Security Health Analytics ברמות Premium או Enterprise. כדי להגדיר את זיהויים, צריך להשתמש במסגרות של Compliance Manager שזמינות ברמות Premium ו-Enterprise.

רוב הגלאים של Security Health Analytics ברמת Premium ו-Enterprise מועברים למסגרת Security Essentials ב-Compliance Manager.

מידע נוסף על מסגרות ועל אמצעי בקרה בענן ב-Compliance Manager זמין במאמר מסגרות ב-Compliance Manager.

מידע על המיפוי של גלאים ב-Security Health Analytics לאמצעי בקרה בענן ב-Compliance Manager זמין במאמר מיפוי של גלאים ב-Security Health Analytics לאמצעי בקרה בענן.

תמיכה בריבוי עננים

הכלי Security Health Analytics יכול לזהות הגדרות שגויות בפריסות שלכם בפלטפורמות ענן אחרות.

כלי Security Health Analytics תומך בספקי שירותי ענן אחרים:

שירותים נתמכים Google Cloud

הסריקה של Security Health Analytics לזיהוי נקודות חולשה מנוהלת על ידי Google Cloud מעקב אחרי סוגים ספציפיים של משאבים בשירותים נתמכים כדי לזהות נקודות חולשה נפוצות וטעויות בהגדרות. הכלי Security Health Analytics לא סורק את כל סוגי המשאבים בשירות.

מזהי התוכן המובנים של Security Health Analytics סורקים את השירותים והמשאבים הבאים Google Cloud:

  • ‫AlloyDB ל-PostgreSQL:
    • משאבים: אשכולות ומופעים של מסדי נתונים
    • הגדרות:
      • גיבויים
      • CMEK
      • SSL
      • רישום ביומן של סימונים
  • ‫BigQuery:
    • משאבים: מערכי נתונים וטבלאות
    • הגדרות:
      • גישה לנתונים ציבוריים
      • הצפנה באמצעות CMEK
  • מאגר משאבי ענן:
    • משאבים: הפעלה של Cloud Asset API ברמת הפרויקט
  • ‫Cloud DNS:
    • משאבים: תחומים מנוהלים ומדיניות DNS
    • הגדרות:
      • DNSSEC
      • רישום שאילתות ביומן
  • ‫Cloud Key Management Service ‏ (Cloud KMS):
    • משאבים: אוספי מפתחות, CryptoKeys ומשימות ייבוא מפתחות
    • הגדרות וכללי מדיניות:
      • רוטציית מפתחות
      • גישה ציבורית
      • הפרדת תפקידים
  • ‫Cloud Logging:
    • משאבים: מאגרי יומנים, הגדרות של יומני ביקורת וייצוא של sink ביומן
  • ‫Cloud Monitoring:
    • מקורות מידע: מדיניות התראות וערוצי התראות לגבי ספי מדדים בנושא שינויים רגישים
  • ‫Pub/Sub:
    • משאבים: נושאים
    • הגדרות:
      • הצפנה באמצעות CMEK
  • ‫Cloud SQL:
    • מקורות מידע: מכונות של Cloud SQL
    • הגדרות וקביעות תצורה:
      • כתובות IP ציבוריות
      • אכיפת SSL
      • גיבויים
      • דגלים לניהול מסד נתונים
  • ‫Cloud Storage:
    • משאבים: קטגוריות אחסון (לא מתבצע סריקה של אובייקטים בודדים בתוך קטגוריות)
    • הגדרות וכללי מדיניות:
      • רשימות ACL ציבוריות
      • גישה אחידה ברמת הקטגוריה
      • CMEK
      • מדיניות שמירה
      • ניהול גרסאות של אובייקטים
  • ‫Compute Engine:
    • Resources:
      • מכונות וירטואליות
      • דיסקים לאחסון מתמיד
      • תמונות בהתאמה אישית
      • רשתות VPC ורשתות משנה
      • כללי חומת אש
      • מדיניות SSL
      • שירותים לקצה העורפי ושרתי proxy של מאזן עומסים
  • ‫Managed Service for Apache Spark:
    • משאבים: אשכולות
    • הגדרות:
      • סטטוס גרסת התמונה
      • הצפנה באמצעות CMEK
  • ‫Google Kubernetes Engine:
    • משאבים: אשכולות GKE ומאגרי צמתים
    • תכונות והגדרות:
      • תיקון אוטומטי
      • שדרוג אוטומטי
      • Workload Identity
      • צמתים מוגנים
      • הגדרות של אשכול פרטי
  • ניהול זהויות והרשאות גישה (IAM):
    • משאבים והגדרות:
      • חשבונות שירות
      • מפתחות של חשבונות שירות בניהול המשתמשים
      • הקצאות של תפקידים בסיסיים
      • אכיפת MFA
  • מנהל המשאבים:
    • משאבים: ארגונים, תיקיות ופרויקטים
    • הגדרות ומדיניות:
      • הגבלות על מפתחות API
      • אנשי קשר חיוניים
      • מדיניות הארגון
  • שירותים שנסרקים על ידי גלאי מדיניות הארגון:
    • המשאבים בשירותים הבאים נסרקים כדי לוודא שהם עומדים בדרישות של מדיניות הארגון, כולל הגבלת מיקום המשאבים:
      • Gemini Enterprise Agent Platform: מערכי נתונים, מודלים ונקודות קצה
      • ‫Artifact Registry: מאגרים
      • ‫Managed Service for Apache Airflow: סביבות
      • ‫Dataflow: משימות

רשימה מפורטת של כל סוגי המשאבים והגלאים הנתמכים זמינה בחומר העזר בנושא ממצאים של Security Health Analytics.

סוגי סריקות ב-Security Health Analytics

סריקות של Security Health Analytics פועלות בשלושה מצבים:

  • סריקה באצווה: כל אמצעי הזיהוי מתוזמנים להפעלה מעת לעת עבור כל הארגונים או הפרויקטים הרשומים.

    מידע על תדירות הסריקות זמין במאמר בנושא השהיית סריקה ב-Security Health Analytics.

  • סריקה בזמן אמת: רק ב Google Cloud פריסות נתמכות, גלאים מתחילים סריקות בכל פעם שמזוהה שינוי בהגדרת משאב. הממצאים נכתבים ב-Security Command Center. אין תמיכה בסריקות בזמן אמת בפריסות בפלטפורמות ענן אחרות.

  • מצב מעורב: יכול להיות שחלק מהגלאים שתומכים בסריקות בזמן אמת לא יזהו שינויים בזמן אמת בכל סוגי המשאבים הנתמכים. במקרים כאלה, שינויים בהגדרות של סוגי משאבים מסוימים מתועדים באופן מיידי, ושינויים בהגדרות של סוגי משאבים אחרים מתועדים בסריקות אצווה. חריגים מצוינים בטבלאות של הממצאים ב-Security Health Analytics.

‫Security Health Analytics סורק משאבים בפלטפורמות ענן אחרות רק במצב אצווה.

זמן האחזור של סריקת Security Health Analytics

בקטעים הבאים מוסבר כמה זמן חולף עד שהממצאים נוצרים בסריקה הראשונית, ומה התדירות של הסריקות הבאות.

סריקה ראשונית

במהדורות Premium ו-Enterprise, הסריקה הראשונית מתחילה כשעה אחרי הפעלת השירות. הסריקות הראשונות של Security Health Analytics יכולות להימשך עד 12 שעות.

במהדורות Standard ו-Standard-legacy של Security Command Center, הסריקות מופעלות כל 48 שעות, ולכן יכול להיות שיהיה עיכוב של 72 שעות עד לקבלת הממצא הראשוני.

יכול להיות שתראו ממצאים מסוימים במסוף Google Cloud בזמן הסריקות הראשוניות, אבל לפני השלמת תהליך ההצטרפות. הממצאים הראשוניים מדויקים וניתן לפעול לפיהם, אבל הם לא מקיפים. לא מומלץ להשתמש בממצאים האלה להערכת תאימות ב-24 השעות הראשונות.

סריקות נוספות

אחרי הסריקה הראשונית, הגילויים מופעלים מעת לעת במצב אצווה.

  • במהדורות Premium ו-Enterprise, סריקות אצווה מופעלות מדי יום.
  • במהדורות Standard ו-Standard-legacy, סריקות אצווה מופעלות כל 48 שעות.

גלאי יכול לפעול במצב אצווה, במצב בזמן אמת או במצב משולב. מידע נוסף על המצבים האלה זמין במאמר סוגי סריקות ב-Security Health Analytics.

בסריקה בזמן אמת, שינויים רלוונטיים Google Cloud בהגדרת המשאבים עשויים להוביל לממצאים מעודכנים. העדכון עשוי להימשך כמה דקות, בהתאם לסוג הנכס ולשינוי. יכול להיות שגלאי לא יתמוך בסריקה בזמן אמת אם הזיהוי מתבסס על מידע מחוץ להגדרות של משאב.

כדי לדעת אם גלאי מסוים תומך בסריקה בזמן אמת, אפשר לעיין בעמודה Asset scan settings של הגלאי בקטע Security Health Analytics finding reference במאמר Vulnerabilities findings.

הפעלת גלאי ב-Security Health Analytics

‫Security Health Analytics משתמש במזהים כדי לזהות נקודות חולשה והגדרות שגויות בסביבת הענן. כל גלאי מתאים לקטגוריית ממצאים.

ב-Security Health Analytics יש הרבה גלאים מובנים שבודקים פגיעויות וטעויות בהגדרות במגוון רחב של קטגוריות וסוגי משאבים.

במהדורות Premium ו-Enterprise (הוצאה משימוש), אפשר גם ליצור גלאים מותאמים אישית משלכם שיכולים לבדוק אם יש נקודות חולשה או תצורות שגויות שלא נכללות בגלאים המובנים או שספציפיות לסביבה שלכם.

מידע נוסף על הגלאים המובנים של Security Health Analytics זמין במאמר גלאים מובנים של Security Health Analytics.

מידע נוסף על יצירה ושימוש במודולים מותאמים אישית זמין במאמר מודולים מותאמים אישית ב-Security Health Analytics.

הפעלה והשבתה של גלאים

לא כל הגלאים המובנים של Security Health Analytics מופעלים כברירת מחדל.

במאמר הפעלה והשבתה של גלאים מוסבר איך להפעיל גלאים מוטמעים לא פעילים.

כדי להפעיל או להשבית מודול זיהוי מותאם אישית ב-Security Health Analytics, אפשר לעדכן את המודול המותאם אישית באמצעות Google Cloud מסוף Google Cloud, ה-CLI של gcloud או Security Command Center API.

מידע נוסף על עדכון מודולים מותאמים אישית של Security Health Analytics זמין במאמר בנושא עדכון מודול מותאם אישית.

חיישנים מובנים והפעלות ברמת הפרויקט

כשמפעילים את Security Command Center רק לפרויקט מסוים, לא אפשרי להשתמש בחלק מהגלאים המובנים של Security Health Analytics כי הם דורשים הרשאות ברמת הארגון.

מבין הגלאים המובנים שנדרשת הפעלה ברמת הארגון כדי להשתמש בהם, אתם יכולים להפעיל את אלה שזמינים במסלול Standard-legacy של Security Command Center להפעלות ברמת הפרויקט, על ידי הפעלת המסלול Standard-legacy בארגון שלכם.

אין תמיכה בהפעלות ברמת הפרויקט של גלאים מובנים שנדרשים גם לרמת Premium וגם להרשאות ברמת הארגון.

רשימה של גלאים מובנים ברמת Standard-legacy שנדרשת הפעלה שלהם ברמת הארגון ב-Security Command Center Standard-legacy לפני שאפשר להשתמש בהם בהפעלה ברמת הפרויקט מופיעה במאמר קטגוריות של ממצאים ברמת Standard-legacy.

לרשימה של גלאים מובנים במסלול פרימיום שלא נתמכים בהפעלות ברמת הפרויקט, ראו ממצאי Security Health Analytics שלא נתמכים.

מזהים מותאמים אישית של מודולים והפעלות ברמת הפרויקט

הסריקות של גלאים של מודולים בהתאמה אישית שיוצרים בפרויקט מוגבלות להיקף הפרויקט, ללא קשר לרמת ההפעלה של Security Command Center. גלאים של מודולים בהתאמה אישית יכולים לסרוק רק את המשאבים שזמינים לפרויקט שבו הם נוצרו.

מידע נוסף על מודולים בהתאמה אישית זמין במאמר מודולים בהתאמה אישית ב-Security Health Analytics.

גלאים מובנים ב-Security Health Analytics

בקטע הזה מתוארות הקטגוריות ברמה הגבוהה של הגלאים, שמפורטות לפי פלטפורמת הענן וקטגוריית הממצאים שהם יוצרים.

מזהים מובנים לפי קטגוריה ברמה גבוהה Google Cloud

המזהים של Security Health Analytics ל- Google Cloudוהממצאים שהם יוצרים מקובצים בקטגוריות הבאות ברמה גבוהה.

גלאי Security Health Analytics עוקבים אחרי קבוצת משנה של Google Cloud סוגי המשאבים שנתמכים על ידי מאגר משאבי ענן.

כדי לראות את הגלאים הספציפיים שכלולים בכל קטגוריה, לוחצים על שם הקטגוריה.

גלאים מובנים ל-AWS

רשימה של כל הגלאים של Security Health Analytics ל-AWS זמינה במאמר בנושא ממצאים ב-AWS.

מודולים מותאמים אישית של Security Health Analytics

מודולים מותאמים אישית של Security Health Analytics הם גלאים מותאמים אישית שלGoogle Cloud שמרחיבים את יכולות הזיהוי של Security Health Analytics מעבר לאלה שמסופקות על ידי הגלאים המובנים.

אין תמיכה במודולים בהתאמה אישית בפלטפורמות אחרות של ענן.

אפשר ליצור מודולים מותאמים אישית באמצעות תהליך העבודה המודרך במסוףGoogle Cloud , או ליצור את ההגדרה של המודול המותאם אישית בעצמכם בקובץ YAML ואז להעלות אותו ל-Security Command Center באמצעות פקודות Google Cloud CLI או Security Command Center API.

מידע נוסף זמין במאמר סקירה כללית של מודולים בהתאמה אישית ל-Security Health Analytics.

מזהים ותאימות

המדד של Security Command Center לציות למדדי השוואה לאבטחה מבוסס במידה רבה על הממצאים שנוצרים על ידי מזהי הפגיעות של Security Health Analytics.

הכלי Security Health Analytics עוקב אחרי התאימות שלכם לגלאים שממופים לאמצעי הבקרה של מגוון רחב של תקני אבטחה.

עבור כל תקן אבטחה נתמך, Security Health Analytics בודק קבוצת משנה של אמצעי הבקרה. במקרה של אמצעי הבקרה שנבדקו, ב-Security Command Center מוצג כמה מהם עברו את הבדיקה. ב-Security Command Center מוצגת רשימת ממצאים לגבי אמצעי הבקרה שלא עברו את הבדיקה, עם תיאור של הכשלים.

‫CIS בודק ומאשר את המיפויים של גלאי Security Health Analytics לכל גרסה נתמכת של CIS Google Cloud Foundations Benchmark. מיפויים נוספים לתאימות כלולים למטרות עיון בלבד.

‫Security Health Analytics מוסיף תמיכה בגרסאות חדשות של מדדים ותקנים מעת לעת. גרסאות ישנות יותר ממשיכות להיות נתמכות, אבל בסופו של דבר הן יוצאות משימוש. מומלץ להשתמש בנקודת ההשוואה הנתמכת או בתקן העדכניים ביותר שזמינים.

בעזרת שירות מצב האבטחה, אתם יכולים למפות את מדיניות הארגון ואת אמצעי הזיהוי של Security Health Analytics לתקנים ולאמצעי הבקרה שרלוונטיים לעסק שלכם. אחרי שיוצרים מצב אבטחה, אפשר לעקוב אחרי שינויים בסביבה שיכולים להשפיע על התאימות של העסק.

בעזרת Compliance Manager, אפשר להטמיע מסגרות שממפות אמצעי בקרה רגולטוריים לאמצעי בקרה בענן. אחרי שיוצרים מסגרת, אפשר לעקוב אחרי שינויים בסביבה שעשויים להשפיע על התאימות של העסק ועל הביקורת של הסביבה.

מידע נוסף על ניהול התאימות זמין במאמר בנושא הערכה ודיווח על תאימות לתקני אבטחה.

תקני אבטחה נתמכים

Google Cloud

Security Health Analytics ממפה גלאים של Google Cloud לפחות אחד מהתקנים הבאים לתאימות:

AWS

במהדורת Enterprise (הוצאה משימוש),‏ Security Health Analytics ממפה גלאים ל-Amazon Web Services‏ (AWS) לאחד או יותר מהתקנים הבאים לתאימות:

מידע נוסף על תאימות זמין במאמר בנושא הערכה ודיווח על תאימות למדדי אבטחה.