Auf dieser Seite finden Sie einen Überblick über benutzerdefinierte Module von Security Health Analytics. Informationen zu integrierten Modulen finden Sie unter Integrierte Detektoren von Security Health Analytics.
Mit benutzerdefinierten Modulen können Sie die Erkennungsfunktionen von Security Health Analytics erweitern, indem Sie benutzerdefinierte Detektoren erstellen, die die von Ihnen angegebenen Google Cloud-Ressourcen und ‑Richtlinien anhand von Regeln prüfen, die Sie definieren, um nach Sicherheitslücken, Fehlkonfigurationen oder Compliance-Verstößen zu suchen.
Die Konfiguration oder Definition eines benutzerdefinierten Moduls, unabhängig davon, ob Sie es in derGoogle Cloud -Konsole erstellen oder selbst codieren, bestimmt die Ressourcen, die der Detektor prüft, die Eigenschaften, die der Detektor auswertet, und die Informationen, die der Detektor zurückgibt, wenn eine Sicherheitslücke oder Fehlkonfiguration erkannt wird.
Sie können benutzerdefinierte Module für jede Ressource oder jedes Asset erstellen, die von Security Command Center unterstützt werden.
Wenn Sie benutzerdefinierte Moduldefinitionen selbst codieren, verwenden Sie YAML- und CEL-Ausdrücke (Common Expression Language). Wenn Sie dieGoogle Cloud -Konsole zum Erstellen Ihrer benutzerdefinierten Module verwenden, wird der Großteil des Codes für Sie erstellt. Sie müssen jedoch die CEL-Ausdrücke codieren.
Ein Beispiel für die Definition eines benutzerdefinierten Moduls in einer YAML-Datei finden Sie unter Beispiel für die Definition eines benutzerdefinierten Moduls.
Benutzerdefinierte Module werden neben integrierten Detektoren von Security Health Analytics sowohl in Echtzeit- als auch in Batchscans ausgeführt. Im Echtzeitmodus werden Scans ausgelöst, wenn sich die Konfiguration eines Assets ändert. Batch-Scans werden einmal täglich mit allen Detektoren für registrierte Organisationen oder Projekte ausgeführt.
Während eines Scans wird jeder benutzerdefinierte Detektor auf alle übereinstimmenden Assets in jeder Organisation, jedem Ordner oder jedem Projekt angewendet, für die er aktiviert ist.
Ergebnisse von benutzerdefinierten Detektoren werden in Security Command Center geschrieben.
Hier finden Sie weitere Informationen:
- Benutzerdefinierte Module erstellen
- Security Health Analytics – Scantypen
- Unterstützte Ressourcentypen
- YAML
- Einführung in CEL
Integrierte Detektoren und benutzerdefinierte Module vergleichen
Benutzerdefinierte Module bieten umfassendere Erkennungsfunktionen als die integrierten Security Health Analytics-Detektoren. Benutzerdefinierte Module unterstützen jedoch einige Security Command Center-Funktionen nicht, die von den integrierten Detektoren bereitgestellt werden.
Funktionsunterstützung
Benutzerdefinierte Module von Security Health Analytics werden von Angriffspfadsimulationen nicht unterstützt. Ergebnisse, die von benutzerdefinierten Modulen generiert werden, enthalten keine Risikowerte für Angriffspfade oder Angriffspfade.
Erkennungslogik vergleichen
Ein Beispiel für die Möglichkeiten eines benutzerdefinierten Moduls: Vergleichen Sie, was der integrierte Detektor PUBLIC_SQL_INSTANCE prüft, mit dem, was Sie mit einem benutzerdefinierten Modul tun können.
Der integrierte Detektor PUBLIC_SQL_INSTANCE prüft, ob das Attribut authorizedNetworks von Cloud SQL-Instanzen auf 0.0.0.0/0 gesetzt ist.
Wenn dies der Fall ist, generiert der Detektor ein Ergebnis, in dem angegeben wird, dass die Cloud SQL-Instanz öffentlich zugänglich ist, da sie Verbindungen von allen IP-Adressen akzeptiert.
Mit einem benutzerdefinierten Modul können Sie komplexere Erkennungslogik implementieren, um Cloud SQL-Instanzen auf Folgendes zu prüfen:
- IP-Adressen mit bestimmten Präfixen mithilfe von Platzhaltern.
- Der Wert der Property
state, mit der Sie Instanzen ignorieren können, wenn der Wert aufMAINTENANCEfestgelegt ist, oder Ergebnisse auslösen können, wenn der Wert etwas anderes ist. - Der Wert des Attributs
region, mit dem Sie Ergebnisse nur für Instanzen mit öffentlichen IP-Adressen in bestimmten Regionen auslösen können.
Erforderliche IAM-Rollen und ‑Berechtigungen
IAM-Rollen bestimmen die Aktionen, die Sie mit benutzerdefinierten Modulen für Security Health Analytics ausführen können.
In der folgenden Tabelle finden Sie eine Liste der für benutzerdefinierte Security Health Analytics-Module erforderlichen Berechtigungen sowie die vordefinierten IAM-Rollen, die diese Berechtigungen enthalten.
Sie können die Google Cloud -Konsole oder die Security Command Center API verwenden, um diese Rollen auf Organisations-, Ordner- oder Projektebene anzuwenden.
| Erforderliche Berechtigungen | Rollen |
|---|---|
securitycentermanagement.securityHealthAnalyticsCustomModules.create |
roles/securitycentermanagement.shaCustomModulesEditor |
securitycentermanagement.securityHealthAnalyticsCustomModules.list |
roles/securitycentermanagement.shaCustomModulesViewer
|
Weitere Informationen zu IAM-Berechtigungen und -Rollen sowie zum Zuweisen von Berechtigungen finden Sie unter IAM-Rolle über die Google Cloud Console zuweisen.
Kontingente für benutzerdefinierte Module
Für benutzerdefinierte Module von Security Health Analytics gelten Kontingentlimits.
Das Standardkontingentlimit für das Erstellen benutzerdefinierter Module beträgt 100. Sie können jedoch bei Bedarf eine Kontingenterhöhung anfordern.
Für API-Aufrufe von benutzerdefinierten Modulmethoden gelten ebenfalls Kontingentlimits. In der folgenden Tabelle sind die Standardkontingentlimits für API-Aufrufe für benutzerdefinierte Module aufgeführt.
| API-Aufruftyp | Limit |
|---|---|
| CustomModules Read Requests (Get, List) | 1.000 API-Aufrufe pro Minute pro Organisation |
| CustomModules Write Requests (Create, Update, Delete) | 60 API-Aufrufe pro Minute pro Organisation |
| Testanfragen für benutzerdefinierte Module | 12 API-Aufrufe pro Minute pro Organisation |
Senden Sie für Kontingenterhöhungen eine Anfrage in der Google Cloud Console auf der Seite Kontingente.
Weitere Informationen zu Security Command Center-Kontingenten finden Sie unter Kontingente und Limits.
Unterstützte Ressourcentypen
In diesem Abschnitt werden die mit benutzerdefinierten Modulen unterstützten Google Cloud Ressourcentypen zusammengefasst.
Nächste Schritte
- Weitere Informationen zum Arbeiten mit benutzerdefinierten Modulen finden Sie unter Benutzerdefinierte Module für Security Health Analytics verwenden.
- Wenn Sie benutzerdefinierte Moduldefinitionen selbst codieren möchten, lesen Sie den Abschnitt Benutzerdefinierte Module für Security Health Analytics codieren.
- Informationen zum Testen benutzerdefinierter Module finden Sie unter Benutzerdefinierte Module für Security Health Analytics testen.