Auf dieser Seite finden Sie eine Übersicht über benutzerdefinierte Module von Security Health Analytics. Informationen zu vordefinierten Modulen finden Sie unter Vordefinierte Detektoren von Security Health Analytics.
Mit benutzerdefinierten Modulen können Sie die Erkennungsfunktionen von Security Health Analytics erweitern, indem Sie benutzerdefinierte Detektoren erstellen, die die von Ihnen angegebenen Ressourcen und Richtlinien anhand von Regeln prüfen, die Sie definieren, um nach Sicherheitslücken, Fehlkonfigurationen oder Complianceverstößen zu suchen. Google Cloud
Die Konfiguration oder Definition eines benutzerdefinierten Moduls, unabhängig davon, ob Sie es in der Google Cloud Console erstellen oder selbst codieren, bestimmt die Ressourcen, die der Detektor prüft, die Eigenschaften, die der Detektor auswertet, und die Informationen, die der Detektor zurückgibt, wenn eine Sicherheitslücke oder Fehlkonfiguration erkannt wird.
Sie können benutzerdefinierte Module für jede Ressource oder jedes Asset erstellen, die von Security Command Center unterstützt werden.
Wenn Sie benutzerdefinierte Moduldefinitionen selbst codieren, verwenden Sie YAML- und Common Expression Language (CEL)-Ausdrücke. Wenn Sie die Google Cloud Console verwenden, um benutzerdefinierte Module zu erstellen, wird der Großteil des Codes für Sie erstellt. Sie müssen jedoch die CEL-Ausdrücke codieren.
Ein Beispiel für eine benutzerdefinierte Moduldefinition in einer YAML-Datei finden Sie unter Beispiel für eine benutzerdefinierte Moduldefinition.
Benutzerdefinierte Module werden neben den vordefinierten Detektoren von Security Health Analytics im Echtzeit-, Batch- oder Mischmodus ausgeführt. Weitere Informationen zu diesen Modi finden Sie unter Scantypen von Security Health Analytics.
Während eines Scans wird jeder benutzerdefinierte Detektor auf alle übereinstimmenden Assets in jeder Organisation, jedem Ordner oder Projekt angewendet, für die er aktiviert ist.
Ergebnisse von benutzerdefinierten Detektoren werden in Security Command Center geschrieben.
Hier finden Sie weitere Informationen:
- Benutzerdefinierte Module erstellen
- Scantypen von Security Health Analytics
- Unterstützte Ressourcentypen
- YAML
- Einführung in CEL
Vergleich von vordefinierten Detektoren und benutzerdefinierten Modulen
Benutzerdefinierte Module bieten umfassendere Erkennungsfunktionen als vordefinierte Security Health Analytics-Detektoren. Benutzerdefinierte Module unterstützen jedoch einige Security Command Center-Funktionen nicht, die von den vordefinierten Detektoren bereitgestellt werden.
Funktionsunterstützung
Benutzerdefinierte Module von Security Health Analytics werden nicht von Angriffspfadsimulationen unterstützt. Ergebnisse, die von benutzerdefinierten Modulen erzeugt werden, enthalten keine Risikowerte für Angriffspfade oder Angriffspfade.
Vergleich der Erkennungslogik
Ein Beispiel für einige der Möglichkeiten, die Sie mit einem benutzerdefinierten Modul haben, ist der Vergleich der Prüfungen des vordefinierten Detektors PUBLIC_SQL_INSTANCE mit den Möglichkeiten eines benutzerdefinierten Moduls.
Der vordefinierte Detektor PUBLIC_SQL_INSTANCE prüft, ob die Eigenschaft authorizedNetworks von Cloud SQL-Instanzen auf 0.0.0.0/0 gesetzt ist.
Wenn dies der Fall ist, generiert der Detektor ein Ergebnis, das besagt, dass die Cloud SQL-Instanz öffentlich zugänglich ist, da sie Verbindungen von allen IP-Adressen akzeptiert.
Mit einem benutzerdefinierten Modul können Sie eine komplexere Erkennungslogik implementieren, um Cloud SQL-Instanzen auf Folgendes zu prüfen:
- IP-Adressen mit bestimmten Präfixen mithilfe von Platzhaltern.
- Den Wert der Eigenschaft
state. Sie können Instanzen ignorieren, wenn der Wert aufMAINTENANCEgesetzt ist, oder Ergebnisse auslösen, wenn der Wert etwas anderes ist. - Den Wert der Eigenschaft
region. Sie können Ergebnisse nur für Instanzen mit öffentlichen IP-Adressen in bestimmten Regionen auslösen.
Erforderliche IAM-Rollen und ‑Berechtigungen
IAM-Rollen bestimmen die Aktionen, die Sie mit benutzerdefinierten Modulen von Security Health Analytics ausführen können.
Die folgende Tabelle enthält eine Liste der erforderlichen Berechtigungen für benutzerdefinierte Module von Security Health Analytics sowie die vordefinierten IAM-Rollen, die diese Berechtigungen enthalten.
Sie können die Google Cloud Console oder die Security Command Center API verwenden, um diese Rollen auf Organisationsebene, Ordnerebene oder Projektebene anzuwenden.
| Erforderliche Berechtigungen | Rollen |
|---|---|
securitycentermanagement.securityHealthAnalyticsCustomModules.create |
roles/securitycentermanagement.shaCustomModulesEditor |
securitycentermanagement.securityHealthAnalyticsCustomModules.list |
roles/securitycentermanagement.shaCustomModulesViewer
|
Weitere Informationen zu IAM-Berechtigungen und ‑Rollen sowie zum Zuweisen von Berechtigungen finden Sie unter IAM-Rolle über die Google Cloud Console zuweisen.
Kontingente für benutzerdefinierte Module
Für benutzerdefinierte Module von Security Health Analytics gelten Kontingentlimits.
Das Standardkontingentlimit für die Erstellung benutzerdefinierter Module beträgt 100. Sie können jedoch bei Bedarf eine Kontingenterhöhung anfordern.
Für API-Aufrufe von Methoden für benutzerdefinierte Module gelten ebenfalls Kontingentlimits. In der folgenden Tabelle sind die Standardkontingentlimits für API-Aufrufe für benutzerdefinierte Module aufgeführt.
| API-Aufruftyp | Limit |
|---|---|
| Leseanfragen für benutzerdefinierte Module (Get, List) | 1.000 API-Aufrufe pro Minute pro Organisation |
| Schreibanfragen für benutzerdefinierte Module (Erstellen, Aktualisieren, Löschen) | 60 API-Aufrufe pro Minute pro Organisation |
| Testanfragen für benutzerdefinierte Module | 12 API-Aufrufe pro Minute pro Organisation |
Senden Sie für Kontingenterhöhungen eine Anfrage in der Google Cloud Console auf der Seite Kontingente.
Weitere Informationen zu Security Command Center-Kontingenten finden Sie unter Kontingente und Limits.
Unterstützte Ressourcentypen
In diesem Abschnitt werden die Google Cloud Ressourcentypen zusammengefasst, die mit benutzerdefinierten Modulen unterstützt werden.
Nächste Schritte
- Informationen zur Verwendung benutzerdefinierter Module finden Sie unter Benutzerdefinierte Module für Security Health Analytics verwenden.
- Informationen zum selbstständigen Codieren benutzerdefinierter Moduldefinitionen finden Sie unter Benutzerdefinierte Module für Security Health Analytics codieren.
- Informationen zum Testen benutzerdefinierter Module finden Sie unter Benutzerdefinierte Module für Security Health Analytics testen.