Auf dieser Seite werden zwei Methoden zum Exportieren von Security Command Center-Daten mit der Google Cloud Console beschrieben:
- Einmalige Exporte für vorhandene Ergebnisse, Assets und Sicherheitsmarkierungen
- Kontinuierliche Exporte, mit denen neue Ergebnisse automatisch nach Pub/Sub exportiert werden
Exportierbare Security Command Center-Daten umfassen Assets, Ergebnisse und Sicherheitsmarkierungen.
Sie können Ergebnisse auch nach BigQuery oder Cloud Logging exportieren. Weitere Informationen finden Sie in den folgenden Ressourcen:
- Ergebnisse zur Analyse nach BigQuery streamen
- Ergebnisse im Bulk nach BigQuery exportieren
- Logs in Logging exportieren
Einmalige Exporte
Mit einmaligen Exporten können Sie aktuelle und vergangene Ergebnisse und Assets manuell übertragen und herunterladen.
Sie können die Google Cloud -Konsole verwenden, um Daten zu Ergebnissen im JSON-, JSONL- oder CSV-Format in einen Cloud Storage-Bucket zu übertragen. Sie können auch eine begrenzte Anzahl von Ergebnissen im CSV-Format auf Ihre Workstation herunterladen.
Für Assets können Sie die Daten aus der Google Cloud Konsole als CSV-Datei auf Ihren lokalen Computer herunterladen.
Hinweis
Bevor Sie einen einmaligen Export starten, müssen Sie bestimmte IAM-Rollen (Identity and Access Management) und -Berechtigungen erhalten und sich mit den Einschränkungen bezüglich des Datenstandorts vertraut machen.
Erforderliche Rollen
Um die Berechtigungen zu erhalten, die Sie für einmalige Exporte benötigen, bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für das Projekt, den Ordner oder die Organisation zuzuweisen, aus denen Sie Daten exportieren möchten:
- Sicherheitscenter-Admin-Betrachter (
roles/securitycenter.adminViewer) -
Ergebnisse in einen Cloud Storage-Bucket exportieren:
Storage-Administrator (
roles/storage.admin)
Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.
Diese vordefinierten Rollen enthalten die Berechtigungen, die für einmalige Exporte erforderlich sind. Maximieren Sie den Abschnitt Erforderliche Berechtigungen, um die notwendigen Berechtigungen anzuzeigen:
Erforderliche Berechtigungen
Die folgenden Berechtigungen sind für einmalige Exporte erforderlich:
-
securitycenter.assets.group -
securitycenter.assets.list -
securitycenter.findings.group -
securitycenter.findings.list -
securitycenter.sources.get -
securitycenter.sources.list -
securitycenter.userinterfacemetadata.get -
Exporte für Aktivierungen auf Organisationsebene durchführen:
resourcemanager.organizations.get -
Exporte für Aktivierungen auf Projektebene ausführen:
resourcemanager.projects.get
Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.
Weitere Informationen zu Security Command Center-Rollen finden Sie unter Zugriffssteuerung.
Einschränkungen für den Datenstandort bei einmaligen Exporten
Sie können keine Ihrer Daten, die der Datenstandortkontrolle unterliegen, in den Filter eines einmaligen Exports nach Cloud Storage aufnehmen.
Wenn Sie im Ergebnisfilter eine Property angeben, die kontrollierte Daten enthält, gibt Security Command Center beim Exportversuch eine Fehlermeldung zurück.
Daten mit der Google Cloud Console exportieren
Mit der Google Cloud Console können Sie Folgendes tun:
- Ergebnisse in einen Cloud Storage-Bucket exportieren
- Ergebnisse in eine CSV-Datei exportieren
- Assets in eine CSV-Datei exportieren
Ergebnisse in einen Cloud Storage-Bucket exportieren
In diesem Abschnitt wird beschrieben, wie Sie Daten aus Security Command Center in einen Cloud Storage-Bucket exportieren. Wenn Sie in der Google Cloud Console auf der Seite Ergebnisse auf Exportieren klicken, erhält Security Command Center automatisch Anmeldedaten oder Berechtigungen, um in den Cloud Storage-Bucket zu schreiben.
Sie können eine JSON-, JSONL- oder CSV-Datei in einen vorhandenen Cloud Storage-Bucket exportieren oder während des Exportvorgangs einen Bucket erstellen. Sie können alle aktuellen Ergebnisse exportieren oder die Filter auswählen, die Sie vor dem Export verwenden möchten.
Rufen Sie in der Google Cloud Console die Seite Ergebnisse des Security Command Center auf.
Wählen Sie ein Projekt, einen Ordner oder eine Organisation aus.
Wählen Sie die Ergebnisse aus, die Sie exportieren möchten, indem Sie Filter auf die Abfrage anwenden. Weitere Informationen zum Erstellen von Filtern finden Sie unter Bestimmte Ergebnisse suchen und ansehen.
Wenn Sie mit der Erstellung eines Filters fertig sind, klicken Sie auf Exportieren und dann unter Einmalig auf Cloud Storage.
Konfigurieren Sie auf der Seite Export den Export:
- Geben Sie im Bereich Exportieren nach die folgenden Felder an:
- Geben Sie im Feld Project name (Projektname) das Projekt an, das den Cloud Storage-Bucket enthält.
- Klicken Sie im Feld Pfad exportieren, das erst angezeigt wird, nachdem Sie ein Projekt angegeben haben, auf Durchsuchen.
- Wählen Sie im Bereich Objekt auswählen einen vorhandenen Cloud Storage-Bucket aus oder erstellen Sie einen Storage-Bucket.
- Nachdem Sie einen Bucket ausgewählt oder erstellt haben, geben Sie unter Dateiname einen Namen für die Exportdatei ein.
- Klicken Sie auf Auswählen.
- Geben Sie im Abschnitt Exportkriterien die folgenden Felder an:
- Klicken Sie auf Ergebnisse gruppieren nach und wählen Sie aus, wie die Exportdaten gruppiert werden sollen.
- Klicken Sie in das Feld Format und wählen Sie JSON, JSONL oder CSV aus.
- Klicken Sie in das Feld Zeitbereich und wählen Sie den Zeitraum aus, aus dem Sie Ergebnisse exportieren möchten.
- Prüfen Sie im Abschnitt Abfrage für Ergebnisse, ob die Abfrage wie erwartet angezeigt wird.
- Prüfen Sie unter der Abfrage, ob die Anzahl und der Typ der übereinstimmenden Ergebnisse Ihren Erwartungen entsprechen.
- Klicken Sie auf Exportieren.
Wenn Sie eine vorhandene Datei im Bucket ausgewählt haben, wird das Dialogfeld Überschreibung bestätigen angezeigt.
- Wenn Sie die vorhandene Datei überschreiben möchten, klicken Sie auf Bestätigen.
- Wenn Sie die Datei ändern möchten, in die Sie schreiben, klicken Sie auf Abbrechen. Klicken Sie dann im Feld Pfad exportieren auf Durchsuchen und wählen Sie eine andere Datei aus oder erstellen Sie eine neue.
- Geben Sie im Bereich Exportieren nach die folgenden Felder an:
Die konfigurierten Daten werden in dem von Ihnen angegebenen Cloud Storage-Bucket gespeichert.
Exportierte Daten aus einem Cloud Storage-Bucket herunterladen
Führen Sie die folgenden Schritte aus, um die exportierten JSON-, JSONL- oder CSV-Daten herunterzuladen:
Rufen Sie in der Google Cloud Console die Seite Storage-Browser auf.
Wählen Sie Ihr Projekt aus und klicken Sie auf den Bucket, in den Sie Daten exportiert haben.
Klicken Sie auf das Kästchen neben der Exportdatei und dann auf Herunterladen.
Wählen Sie im Dialogfeld Datei speichern den Speicherort für die Datei aus und klicken Sie auf Speichern.
Die JSON-, JSONL- oder CSV-Datei wird in den angegebenen Speicherort heruntergeladen.
Ergebnisse in eine CSV-Datei exportieren
Sie können den Export konfigurieren, indem Sie Ergebnisse nach Kategorie, Schweregrad und anderen Attributen filtern. Alle Ergebnisse, die dem Filter entsprechen, sind in der CSV-Datei enthalten.
Sie können bis zu 1.000 Ergebnisse direkt auf Ihre Workstation herunterladen. Wenn die Anzahl der Ergebnisse 1.000 überschreitet, werden Sie aufgefordert, Ihre Abfrage zu verfeinern, um weniger Ergebnisse zu erhalten. Alternativ können Sie die Daten in einen Cloud Storage-Bucket exportieren.
So laden Sie Daten zu Ergebnissen in eine CSV-Datei herunter:
Rufen Sie in der Google Cloud Console die Seite Ergebnisse von Security Command Center auf.
Wählen Sie ein Projekt, einen Ordner oder eine Organisation aus.
Optional: Wenn Sie die Auswahl der Ergebnisse, die Sie exportieren möchten, eingrenzen möchten, suchen und sehen Sie sich bestimmte Ergebnisse an.
Klicken Sie auf Exportieren > CSV. Die CSV-Datei wird auf Ihre lokale Workstation heruntergeladen.
Assets in eine CSV-Datei exportieren
Sie können Asset-Daten auf der Seite Assets in derGoogle Cloud -Konsole als CSV-Datei herunterladen.
So laden Sie Asset-Daten in eine CSV-Datei herunter:
Rufen Sie in der Google Cloud Console die Seite Assets von Security Command Center auf.
Wählen Sie ein Projekt, einen Ordner oder eine Organisation aus.
Optional: Wählen Sie im Bereich Schnellfilter oder im Feld Filter des Bereichs mit den Asset-Ergebnissen die Assets aus, die Sie exportieren möchten. Weitere Informationen zum Filtern von Assets
Klicken Sie auf Exportieren CSV-Datei herunterladen. Die Daten für die Assets im Ergebnisbereich werden auf Ihre Workstation heruntergeladen.
Kontinuierliche Exporte
Kontinuierliche Exporte vereinfachen den automatischen Export von Ergebnissen des Security Command Center in Pub/Sub. Wenn neue Ergebnisse geschrieben werden, werden sie nahezu in Echtzeit automatisch in ausgewählte Pub/Sub-Themen exportiert, damit Sie sie in Ihren bestehenden Workflow einbinden können.
Weitere Informationen zu Pub/Sub finden Sie unter Was ist Pub/Sub?.
Hinweis
Bevor Sie einen kontinuierlichen Export starten, müssen Sie bestimmte IAM-Rollen und ‑Berechtigungen abrufen und sich mit den Einschränkungen des Datenstandorts und der Pub/Sub-Kompatibilität vertraut machen.
Erforderliche Rollen
Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für das Projekt, den Ordner oder die Organisation zuzuweisen, aus denen Sie Daten exportieren möchten, um die Berechtigungen zu erhalten, die Sie zum Erstellen und Verwalten von kontinuierlichen Exporten benötigen:
-
Kontinuierliche Exporte ansehen:
Sicherheitscenter-Admin-Betrachter (
roles/securitycenter.adminViewer) -
Kontinuierliche Exporte ansehen, erstellen und verwalten:
Sicherheitscenter-Administratorbearbeiter (
roles/securitycenter.adminEditor)
Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.
Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Erstellen und Verwalten von kontinuierlichen Exporten erforderlich sind. Maximieren Sie den Abschnitt Erforderliche Berechtigungen, um die notwendigen Berechtigungen anzuzeigen:
Erforderliche Berechtigungen
Die folgenden Berechtigungen sind erforderlich, um kontinuierliche Exporte zu erstellen und zu verwalten:
-
Pub/Sub-Themen ansehen oder veröffentlichen:
-
pubsub.topics.publish -
pubsub.topics.list
-
-
Rufen Sie die Seite für kontinuierliche Exporte auf:
-
securitycenter.notificationconfig.get -
securitycenter.notificationconfig.list
-
-
Kontinuierliche Exporte verwalten:
-
securitycenter.notificationconfig.create -
securitycenter.notificationconfig.update -
securitycenter.notificationconfig.delete
-
Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.
Weitere Informationen zu Security Command Center-Rollen finden Sie unter Zugriffssteuerung.
Datenstandort und kontinuierliche Exporte
Wenn Datenstandort für Security Command Center aktiviert ist, unterliegen die Konfigurationen, die kontinuierliche Exporte in Pub/Sub definieren – notificationConfig-Ressourcen – der Datenstandortkontrolle und werden an einem von Ihnen ausgewählten Security Command Center-Standort gespeichert.
Wenn Sie Ergebnisse in einem Security Command Center-Standort nach Pub/Sub exportieren möchten, müssen Sie den kontinuierlichen Export am selben Security Command Center-Standort wie die Ergebnisse konfigurieren.
Da die in kontinuierlichen Exporten verwendeten Filter Daten enthalten können, die den Anforderungen an den Datenstandort unterliegen, müssen Sie den richtigen Standort angeben, bevor Sie sie erstellen. Security Command Center schränkt nicht ein, an welchem Speicherort Sie Exporte erstellen.
Kontinuierliche Exporte werden nur an dem Ort gespeichert, an dem sie erstellt werden. Sie können nicht an anderen Orten aufgerufen oder bearbeitet werden.
Nachdem Sie einen kontinuierlichen Export erstellt haben, können Sie seinen Speicherort nicht mehr ändern. Wenn Sie den Speicherort ändern möchten, müssen Sie den kontinuierlichen Export löschen und am neuen Speicherort neu erstellen.
Informationen zur Verwendung von Security Command Center, wenn der Datenstandort aktiviert ist, finden Sie unter Regionale Endpunkte für Security Command Center.
Kompatibilität mit Pub/Sub-Richtlinien für die Speicherung von Nachrichten
Mit Pub/Sub können Sie eine Richtlinie für die Nachrichtenspeicherung festlegen. Diese Richtlinie sorgt dafür, dass Pub/Sub Nachrichten nur in den von Ihnen angegebenen Google Cloud Regionen speichert und verarbeitet, unabhängig davon, woher die Veröffentlichungs- oder Aboanfragen stammen.
Kontinuierliche Exporte sind jedoch nicht mit der Option enforceInTransit von Nachrichtenspeicherrichtlinien kompatibel. Wenn Sie kontinuierliche Exporte konfigurieren, wählen Sie kein Pub/Sub-Thema aus, für das eine Richtlinie zur Nachrichtenspeicherung mit aktiviertem enforceInTransit festgelegt ist. Ein solches Thema empfängt möglicherweise keine Ergebnisbenachrichtigungen von Security Command Center.
Weitere Informationen finden Sie unter Übersicht über die Richtlinie zur Nachrichtenspeicherung.
Kontinuierlichen Export nach Pub/Sub erstellen
Mit kontinuierlichen Exporten können Sie den Export aller zukünftigen Ergebnisse nach Pub/Sub automatisieren oder Filter erstellen, um zukünftige Ergebnisse zu exportieren, die bestimmte Kriterien erfüllen. Sie können Ergebnisse nach Kategorie, Quelle, Inhaltstyp, Sicherheitsmarkierungen, Schweregrad, Status und anderen Variablen filtern.
Ihre Organisation kann maximal 500 kontinuierliche Exporte erstellen.
So erstellen Sie einen Export für Pub/Sub:
Rufen Sie in der Google Cloud Console die Seite Ergebnisse von Security Command Center auf.
Wählen Sie ein Projekt, einen Ordner oder eine Organisation aus.
Wählen Sie im Feld Ergebnisse der Ergebnisabfrage die zu exportierenden Ergebnisse mit einer der folgenden Methoden aus:
Klicken Sie auf Filter hinzufügen, um die Eigenschaften der Ergebnisse auszuwählen, die Sie exportieren möchten.
Im Menü Filter hinzufügen können Sie unterstützte Ergebnisattribute und -werte auswählen.
- Wählen Sie im Menü Filter auswählen ein Ergebnisattribut aus oder geben Sie seinen Namen in das Feld Ergebnisattribute suchen ein. Eine Liste der verfügbaren untergeordneten Attribute wird angezeigt.
- Wählen Sie ein Unterattribut aus. In einem Auswahlfeld können Sie die Abfrageanweisung mit dem ausgewählten Unterattribut, einem Abfrageoperator und einem oder mehreren Werten für das Unterattribut erstellen.
-
Wählen Sie im Bereich den Operator und einen oder mehrere Werte für das Unterattribut aus. Weitere Informationen zu Abfrageoperatoren und den zugehörigen Funktionen finden Sie unter Abfrageoperatoren im Menü Filter hinzufügen.
Wenn Sie von vorn beginnen möchten, klicken Sie auf Zurücksetzen.
-
Klicken Sie auf Übernehmen.
Das Menü wird geschlossen und Ihre Abfrage wird aktualisiert.
- Wiederholen Sie diesen Vorgang, bis die Ergebnisabfrage alle gewünschten Attribute enthält.
Sie können die Abfrage für den Befund manuell im Abfrageeditor codieren. Sie können die Standard-SQL-Operatoren
AND,OR, gleich (=), enthält (:) und nicht (-) verwenden, um die Ergebnisattribute und Werte der Ergebnisse anzugeben, die Sie exportieren möchten.Während der Eingabe in der Abfrage wird ein Menü zur automatischen Vervollständigung angezeigt, in dem Sie Filternamen und Funktionen auswählen können.
Die folgende Abfrage blendet beispielsweise
anomalous IAM grant-Ergebnisse mit niedrigem und mittlerem Schweregrad inprod-projectaus und schließt Ressourcentypen aus, bei denen der Name den Teilstringcomputeenthält:severity="LOW" OR severity="MEDIUM" AND category="Persistence: IAM Anomalous Grant" AND resource.project_display_name="prod-project" AND -resource.type:"compute"Weitere Beispiele zum Filtern von Ergebnissen finden Sie unter Benachrichtigungen filtern.
Prüfen Sie die resultierende Abfrage auf Richtigkeit. Wenn Sie Änderungen vornehmen möchten, löschen Sie Attribute oder fügen Sie welche hinzu und filtern Sie Werte nach Bedarf.
Klicken Sie auf Übereinstimmende Ergebnisse aktualisieren. Eine Tabelle zeigt Ergebnisse an, die Ihrer Abfrage entsprechen. Weitere Informationen zum Abfragen von Ergebnissen finden Sie unter Ergebnisabfrage in der Google Cloud Console bearbeiten.
Klicken Sie auf Exportieren und dann unter Kontinuierlich auf Pub/Sub.
Überprüfen Sie den Filter auf seine Richtigkeit und kehren Sie bei Bedarf zur Seite Ergebnisse zurück, um ihn zu ändern.
Geben Sie unter Name des kontinuierlichen Exports einen Namen für den Export ein.
Geben Sie unter Beschreibung des kontinuierlichen Exports eine Beschreibung für den Export ein.
Wählen Sie unter Exportieren nach ein Projekt für den Export aus. Auf dieser Seite können Sie kein Projekt erstellen. Informationen zum Erstellen eines neuen Projekts finden Sie unter Projekt erstellen.
Wählen Sie unter Pub/Sub-Thema das Thema aus, in das Sie die Ergebnisse exportieren möchten. So erstellen Sie ein Thema:
- Wählen Sie Thema erstellen aus.
Geben Sie eine Themen-ID ein und wählen Sie nach Bedarf weitere Optionen aus:
Klicken Sie auf Thema erstellen.
Klicken Sie auf Speichern. Sie erhalten eine Bestätigung und werden zur Seite "Ergebnisse" zurückgeleitet.
Folgen Sie der Anleitung, um ein Abo für Ihr Pub/Sub-Thema zu erstellen.
Die Konfiguration des Pub/Sub-Exports ist abgeschlossen. Zum Veröffentlichen von Benachrichtigungen wird ein Dienstkonto für Sie im Format service-org-ORGANIZATION_ID@gcp-sa-scc-notification.iam.gserviceaccount.com erstellt.
Diesem Dienstkonto wird die Rolle roles/securitycenter.notificationServiceAgent automatisch auf Organisationsebene zugewiesen. Diese Dienstkontorolle ist erforderlich, damit Benachrichtigungen funktionieren.
Kontinuierliche Exporte testen
Um zu bestätigen, dass ein Export funktioniert, führen Sie die folgenden Schritte aus, um zwischen dem aktiven und inaktiven Status zu wechseln.
Rufen Sie in der Google Cloud Console die Seite Ergebnisse von Security Command Center auf.
Klicken Sie auf Abfrage bearbeiten. Der Abfrageeditor wird geöffnet.
Bearbeiten Sie die Abfrage so, dass sowohl aktive als auch inaktive Ergebnisse angezeigt werden. In der folgenden Abfrage wird die Eigenschaft
stateausgelassen, um alle Ergebnisse mit Ausnahme der stummgeschalteten Ergebnisse anzuzeigen:NOT mute="MUTED"
- Verwenden Sie bei Bedarf den Abfrageeditor, um Filtervariablen noch einmal einzugeben, die dem zu testenden Exportfilter entsprechen.
- Wählen Sie einen Befund aus und klicken Sie dann auf Aktiven Status ändern > Inaktiv.
- Wählen Sie das Ergebnis, das Sie als inaktiv markiert haben, noch einmal aus und klicken Sie auf Aktiven Status ändern>Aktiv. Für das neu aktive Ergebnis wird eine Benachrichtigung gesendet.
- Rufen Sie in der Google Cloud Console die Seite „Pub/Sub“ auf.
- Klicken Sie in der Themenliste auf den Namen Ihres Themas.
- Rufen Sie den Tab Nachrichten auf und wählen Sie Ihr Abo aus der Liste aus, um die Ergebnisbenachrichtigung zu sehen.
- Optional: Klicken Sie auf Abrufen, um die Nachrichten zu aktualisieren.
Kontinuierliche Exporte verwalten
So können Sie Exporte aufrufen, bearbeiten oder löschen:
Rufen Sie in der Google Cloud Console die Seite Einstellungen des Security Command Center auf.
Wählen Sie ein Projekt, einen Ordner oder eine Organisation aus.
Wählen Sie Kontinuierliche Exporte aus. Sie sehen eine Liste kontinuierlicher Exporte für Ihr Projekt, Ihren Ordner oder Ihre Organisation.
Auf der Seite Kontinuierliche Exporte in den Einstellungen können Sie kontinuierliche Exporte erstellen, ansehen, bearbeiten und löschen.
Ähnliche Ergebnisse ansehen
So rufen Sie Ergebnisse auf, die mit einem Exportfilter übereinstimmen:
Wählen Sie auf der Seite Kontinuierliche Exporte neben dem Namen eines Exports Mehr aus und klicken Sie dann auf Zugehörige Filter ansehen.
Die Seite Ergebnisse wird geladen. Die Ergebnisse entsprechen den Exportfiltern.
Kontinuierliche Exporte bearbeiten
- Klicken Sie auf der Seite Kontinuierliche Exporte auf den Namen des Exports, den Sie ansehen oder ändern möchten, oder klicken Sie auf Mehr .
- Wählen Sie Bearbeiten aus.
- Geben Sie eine neue Beschreibung ein, ändern Sie das Projekt, in dem Exporte gespeichert werden, oder geben Sie ein neues Pub/Sub-Thema ein.
- Wenn Sie fertig sind, klicken Sie auf Speichern.
Kontinuierliche Exporte löschen
- Klicken Sie auf der Seite Kontinuierliche Exporte auf den Namen des Exports, den Sie löschen möchten.
- Klicken Sie auf delete Löschen.
- Klicken Sie im Dialogfeld auf Löschen. Der Export wird gelöscht.