Panoramica dell'esportazione dei dati di Security Command Center

Questa pagina descrive due metodi per esportare i dati di Security Command Center utilizzando la console Google Cloud :

I dati esportabili di Security Command Center includono asset, risultati e indicatori di sicurezza.

Puoi anche esportare i risultati in BigQuery o Cloud Logging. Per maggiori informazioni, consulta le seguenti risorse:

Esportazioni una tantum

Le esportazioni una tantum ti consentono di trasferire e scaricare manualmente le risorse e i risultati attuali e storici.

Per i risultati, puoi utilizzare la console Google Cloud per trasferire i dati in formato JSON, JSONL o CSV in un bucket Cloud Storage. Puoi anche scaricare un numero limitato di risultati sulla tua workstation in formato CSV.

Per gli asset, puoi scaricare i dati dalla console Google Cloud alla tua workstation locale come file CSV.

Prima di iniziare

Prima di avviare un'esportazione una tantum, devi ottenere ruoli e autorizzazioni Identity and Access Management (IAM) specifici e acquisire familiarità con le limitazioni relative alla residenza dei dati.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per eseguire esportazioni una tantum, chiedi all'amministratore di concederti i seguenti ruoli IAM nel progetto, nella cartella o nell'organizzazione da cui vuoi esportare i dati:

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Questi ruoli predefiniti contengono le autorizzazioni necessarie per eseguire esportazioni una tantum. Per vedere quali sono esattamente le autorizzazioni richieste, espandi la sezione Autorizzazioni obbligatorie:

Autorizzazioni obbligatorie

Per eseguire esportazioni una tantum sono necessarie le seguenti autorizzazioni:

  • securitycenter.assets.group
  • securitycenter.assets.list
  • securitycenter.findings.group
  • securitycenter.findings.list
  • securitycenter.sources.get
  • securitycenter.sources.list
  • securitycenter.userinterfacemetadata.get
  • Esegui esportazioni per le attivazioni a livello di organizzazione: resourcemanager.organizations.get
  • Esegui esportazioni per le attivazioni a livello di progetto: resourcemanager.projects.get

Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

Per saperne di più sui ruoli di Security Command Center, consulta Controllo dell'accesso.

Limitazioni alla residenza dei dati per le esportazioni una tantum

Non puoi includere i tuoi dati soggetti al controllo della residenza dei dati nel filtro di un'esportazione una tantum in Cloud Storage.

Se specifichi una proprietà che contiene dati controllati nel filtro dei risultati, Security Command Center restituisce un messaggio di errore quando tenti l'esportazione.

Esportare i dati utilizzando la console Google Cloud

Utilizzando la console Google Cloud , puoi:

Esporta i risultati in un bucket Cloud Storage

Questa sezione descrive come esportare i dati di Security Command Center in un bucket Cloud Storage. Quando fai clic su Esporta nella pagina Risultati della console Google Cloud , Security Command Center ottiene automaticamente le credenziali o le autorizzazioni per scrivere nel bucket Cloud Storage.

Puoi esportare un file JSON, JSONL o CSV in un bucket Cloud Storage esistente o crearne uno durante il processo di esportazione. Puoi esportare tutti i risultati attuali o selezionare i filtri che vuoi utilizzare prima dell'esportazione.

  1. Nella console Google Cloud , vai alla pagina Risultati di Security Command Center.

    Vai a Risultati

  2. Seleziona un progetto, una cartella o un'organizzazione.

  3. Seleziona i risultati che devi esportare applicando filtri alla query dei risultati. Per ulteriori informazioni sulla creazione di filtri, consulta Trovare e visualizzare risultati specifici.

  4. Al termine della creazione di un filtro, fai clic su Esporta e poi, in Una tantum, fai clic su Cloud Storage.

  5. Nella pagina Esporta, configura l'esportazione:

    1. Nella sezione Esporta in, specifica i seguenti campi:
      1. Nel campo Nome progetto, specifica il progetto che contiene il bucket Cloud Storage.
      2. Nel campo Percorso di esportazione, che viene visualizzato solo dopo aver specificato un progetto, fai clic su Sfoglia.
      3. Nel riquadro Seleziona oggetto, seleziona un bucket Cloud Storage esistente o creane uno.
      4. Dopo aver selezionato o creato un bucket, in Nome file, inserisci un nome per il file di esportazione.
      5. Fai clic su Seleziona.
    2. Nella sezione Criteri di esportazione, specifica i seguenti campi:
      1. Fai clic su Raggruppa risultati per e seleziona il modo in cui vuoi raggruppare i dati esportati.
      2. Fai clic sul campo Formato e seleziona JSON, JSONL o CSV.
      3. Fai clic sul campo Intervallo di tempo e seleziona il periodo di tempo da cui esportare i risultati.
    3. Nella sezione Query sui risultati, verifica che la query venga visualizzata come previsto.
    4. Sotto la query, verifica che il numero e il tipo di risultati corrispondenti corrispondano alle tue aspettative.
    5. Fai clic su Esporta.

    Se hai selezionato un file esistente nel bucket, viene visualizzata la finestra di dialogo Conferma sovrascrittura.

    • Per sovrascrivere il file esistente, fai clic su Conferma.
    • Per modificare il file in cui stai scrivendo, fai clic su Annulla, poi su Sfoglia nella casella Percorso di esportazione e seleziona o crea un altro file.

I dati configurati vengono salvati nel bucket Cloud Storage che hai specificato.

Scaricare i dati esportati da un bucket Cloud Storage

Per scaricare i dati JSON, JSONL o CSV esportati, svolgi i seguenti passaggi:

  1. Vai alla pagina Browser di archiviazione nella console Google Cloud .

    Vai al browser di Storage

  2. Seleziona il progetto, quindi fai clic sul bucket in cui hai esportato i dati.

  3. Seleziona la casella di controllo accanto al file di esportazione, quindi fai clic su Scarica.

  4. Nella finestra di dialogo Salva file, seleziona la posizione in cui vuoi salvare il file, quindi fai clic su Salva.

Il file JSON, JSONL o CSV viene scaricato nella posizione specificata.

Esportare i risultati in un file CSV

Per configurare l'esportazione, puoi filtrare i risultati per categoria, gravità e altre proprietà. Tutti i risultati che corrispondono al filtro sono inclusi nel file CSV.

Puoi scaricare fino a 1000 risultati direttamente sulla tua workstation. Se il numero di risultati supera 1000, ti viene chiesto di perfezionare la query per ottenere meno risultati. In alternativa, puoi esportare i dati in un bucket Cloud Storage.

Per scaricare i dati dei risultati in un file CSV:

  1. Nella console Google Cloud , vai alla pagina Risultati di Security Command Center.

    Vai a Risultati

  2. Seleziona un progetto, una cartella o un'organizzazione.

  3. (Facoltativo) Per perfezionare la selezione dei risultati che vuoi esportare, trova e visualizza risultati specifici.

  4. Fai clic su Esporta > CSV. Il file CSV viene scaricato sulla tua workstation locale.

Esportare gli asset in un file CSV

Puoi scaricare i dati delle risorse in un file CSV dalla pagina Risorse della console Google Cloud .

Per scaricare i dati degli asset in un file CSV:

  1. Nella console Google Cloud , vai alla pagina Asset di Security Command Center.

    Vai ad Asset

  2. Seleziona un progetto, una cartella o un'organizzazione.

  3. (Facoltativo) Utilizza il riquadro Filtri rapidi o il campo Filtro del riquadro dei risultati degli asset per selezionare gli asset da esportare. Per saperne di più sul filtraggio degli asset, consulta Filtrare gli asset.

  4. Fai clic su Esporta > Scarica CSV. I dati degli asset nel riquadro dei risultati vengono scaricati sulla tua workstation.

Esportazioni continue

Le esportazioni continue semplificano la procedura di esportazione automatica dei risultati di Security Command Center in Pub/Sub. Quando vengono scritti nuovi risultati, questi vengono esportati automaticamente negli argomenti Pub/Sub designati quasi in tempo reale, consentendoti di integrarli nel tuo flusso di lavoro esistente.

Per saperne di più su Pub/Sub, consulta Che cos'è Pub/Sub?

Prima di iniziare

Prima di avviare un'esportazione continua, devi ottenere ruoli e autorizzazioni IAM specifici e acquisire familiarità con le limitazioni della residenza dei dati e la compatibilità di Pub/Sub.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per creare e gestire le esportazioni continue, chiedi all'amministratore di concederti i seguenti ruoli IAM nel progetto, nella cartella o nell'organizzazione da cui vuoi esportare i dati:

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Questi ruoli predefiniti contengono le autorizzazioni necessarie per creare e gestire le esportazioni continue. Per vedere quali sono esattamente le autorizzazioni richieste, espandi la sezione Autorizzazioni obbligatorie:

Autorizzazioni obbligatorie

Per creare e gestire le esportazioni continue sono necessarie le seguenti autorizzazioni:

  • Visualizza o pubblica argomenti Pub/Sub:
    • pubsub.topics.publish
    • pubsub.topics.list
  • Visualizza la pagina delle esportazioni continue:
    • securitycenter.notificationconfig.get
    • securitycenter.notificationconfig.list
  • Gestisci le esportazioni continue:
    • securitycenter.notificationconfig.create
    • securitycenter.notificationconfig.update
    • securitycenter.notificationconfig.delete

Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

Per saperne di più sui ruoli di Security Command Center, consulta Controllo dell'accesso.

Residenza dei dati ed esportazioni continue

Se la residenza dei dati è abilitata per Security Command Center, le configurazioni che definiscono le esportazioni continue in Pub/Sub, ovvero le risorse notificationConfig, sono soggette al controllo della residenza dei dati e vengono archiviate in una posizione di Security Command Center che selezioni.

Per esportare i risultati in una posizione di Security Command Center in Pub/Sub, devi configurare l'esportazione continua nella stessa posizione di Security Command Center dei risultati.

Poiché i filtri utilizzati nelle esportazioni continue possono contenere dati soggetti a controlli di residenza, assicurati di specificare la posizione corretta prima di crearli. Security Command Center non limita la località in cui creare le esportazioni.

Le esportazioni continue vengono archiviate solo nella posizione in cui vengono create e non possono essere visualizzate o modificate in altre posizioni.

Una volta creato un'esportazione continua, non puoi modificarne la posizione. Per modificare la posizione, devi eliminare l'esportazione continua e ricrearla nella nuova posizione.

Per scoprire come utilizzare Security Command Center quando la residenza dei dati è abilitata, consulta la sezione Endpoint regionali di Security Command Center.

Compatibilità con le policy di archiviazione dei messaggi Pub/Sub

Pub/Sub consente di impostare una policy di archiviazione dei messaggi. Queste norme garantiscono che Pub/Sub archivi ed elabori i messaggi solo nell'insieme di regioni specificate, indipendentemente dalla provenienza delle richieste di pubblicazione o sottoscrizione. Google Cloud

Tuttavia, le esportazioni continue non sono compatibili con l'opzione enforceInTransit delle norme di archiviazione dei messaggi. Quando configuri le esportazioni continue, non scegliere un argomento Pub/Sub con una norma di archiviazione dei messaggi con enforceInTransit abilitato; un argomento di questo tipo potrebbe non ricevere notifiche sui risultati da Security Command Center.

Per saperne di più, consulta la panoramica della policy di archiviazione dei messaggi.

Crea un'esportazione continua in Pub/Sub

Le esportazioni continue ti consentono di automatizzare l'esportazione di tutti i risultati futuri in Pub/Sub o creare filtri per esportare i risultati futuri che soddisfano criteri specifici. Puoi filtrare i risultati per categoria, origine, tipo di asset, indicatori di sicurezza, gravità, stato e altre variabili.

La tua organizzazione può creare un massimo di 500 esportazioni continue.

Per creare un'esportazione per Pub/Sub:

  1. Nella console Google Cloud , vai alla pagina Risultati di Security Command Center.

    Vai a Risultati

  2. Seleziona un progetto, una cartella o un'organizzazione.

  3. Nel campo Risultati della query sui risultati, seleziona i risultati da esportare utilizzando uno dei seguenti metodi:

    • Facendo clic su Aggiungi filtro per selezionare le proprietà dei risultati che devi esportare.

      Il menu Aggiungi filtro ti consente di scegliere attributi e valori dei risultati supportati.

      1. Nel menu Seleziona filtro, seleziona un attributo del risultato o digita il suo nome nella casella Cerca attributi del risultato. Viene visualizzato un elenco dei sottoattributi disponibili.
      2. Seleziona un attributo secondario. Viene visualizzato un campo di selezione in cui puoi creare l'istruzione della query utilizzando l'attributo secondario selezionato, un operatore di query e uno o più valori per l'attributo secondario.

      3. Seleziona l'operatore e uno o più valori per l'attributo secondario dal riquadro. Per saperne di più sugli operatori di query e sulle funzioni che utilizzano, vedi Operatori di query nel menu Aggiungi filtri.

        Se vuoi ricominciare, fai clic su Reimposta.

      4. Fai clic su Applica.

        Il menu si chiude e la query viene aggiornata.

      5. Ripeti l'operazione finché la query sui risultati non contiene tutti gli attributi che ti interessano.

    • Codificando manualmente la query di ricerca nell'editor di query. Puoi utilizzare gli operatori SQL standard AND,OR, equals (=), has (:) e not (-) per specificare le proprietà e i valori dei risultati che devi esportare.

      Mentre digiti la query, viene visualizzato un menu di completamento automatico in cui puoi selezionare i nomi dei filtri e le funzioni.

      Ad esempio, la seguente query disattiva i risultati anomalous IAM grant con gravità bassa e media in prod-project ed esclude i tipi di risorse il cui nome contiene la sottostringa compute:

      severity="LOW" OR severity="MEDIUM" AND category="Persistence:
IAM Anomalous Grant" AND resource.project_display_name="prod-project"
AND -resource.type:"compute"

      Per altri esempi sul filtraggio dei risultati, vedi Filtrare le notifiche.

  4. Controlla l'accuratezza della query risultante. Per apportare modifiche, elimina o aggiungi proprietà e valori dei filtri in base alle esigenze.

  5. Fai clic su Aggiorna risultati corrispondenti. Una tabella mostra i risultati che corrispondono alla tua query. Per saperne di più sull'esecuzione di query sui risultati, vedi Modificare una query sui risultati nella Google Cloud console.

  6. Fai clic su Esporta e poi, in Continua, fai clic su Pub/Sub.

  7. Controlla il filtro per assicurarti che sia corretto e, se necessario, torna alla pagina Risultati per modificarlo.

  8. In Nome esportazione continua, inserisci un nome per l'esportazione.

  9. In Descrizione esportazione continua, inserisci una descrizione per l'esportazione.

  10. In Esporta in, seleziona un progetto per l'esportazione. Non puoi creare un progetto in questa pagina. Per creare un nuovo progetto, consulta Creazione di un progetto.

  11. In Argomento Pub/Sub, seleziona l'argomento in cui vuoi esportare i risultati. Per creare un argomento:

    1. Seleziona Crea un argomento.

    2. Inserisci un ID argomento e poi seleziona altre opzioni in base alle esigenze:

      1. Scopri di più sulla creazione e la gestione degli schemi.
      2. Scopri di più sull'utilizzo delle chiavi di crittografia gestite dal cliente (CMEK) con Pub/Sub.

    3. Fai clic su Crea argomento.

  12. Fai clic su Salva. Viene visualizzata una conferma e torni alla pagina dei risultati.

  13. Segui la guida per creare una sottoscrizione per l'argomento Pub/Sub.

La configurazione dell'esportazione Pub/Sub è completa. Per pubblicare le notifiche, viene creato unaccount di serviziot nel formato service-org-ORGANIZATION_ID@gcp-sa-scc-notification.iam.gserviceaccount.com. A questo account di servizio viene concesso automaticamente il ruolo roles/securitycenter.notificationServiceAgent a livello di organizzazione. Questo ruolo del account di servizio è necessario per il funzionamento delle notifiche.

Testare le esportazioni continue

Per verificare che un'esportazione funzioni, esegui i seguenti passaggi per alternare i risultati tra gli stati attivo e inattivo.

  1. Nella console Google Cloud , vai alla pagina Risultati di Security Command Center.

    Vai a Risultati

  2. Fai clic su Modifica query. Si apre l'editor di query.

  3. Modifica la query in modo che vengano visualizzati sia i risultati attivi sia quelli inattivi. La seguente query omette la proprietà state per visualizzare tutti i risultati tranne quelli disattivati:

    NOT mute="MUTED"
    1. Se necessario, utilizza l'editor di query per reinserire le variabili di filtro che corrispondono al filtro di esportazione che stai testando.
    2. Seleziona un risultato e poi fai clic su Modifica stato attivo > Non attivo.
    3. Seleziona di nuovo il risultato che hai contrassegnato come inattivo, fai clic su Modifica stato attivo > Attivo. Viene inviata una notifica per il nuovo risultato attivo.
    4. Vai alla pagina Pub/Sub nella console Google Cloud .

    Vai a Pub/Sub.

    1. Nell'elenco degli argomenti, fai clic sul nome del tuo argomento.
    2. Vai alla scheda Messaggi e seleziona l'abbonamento dall'elenco per visualizzare la notifica del risultato.
    3. (Facoltativo) Fai clic su Pull per aggiornare i messaggi.

Gestire le esportazioni continue

Per visualizzare, modificare o eliminare le esportazioni:

  1. Nella console Google Cloud , vai alla pagina Impostazioni di Security Command Center.

    Vai alle impostazioni

  2. Seleziona un progetto, una cartella o un'organizzazione.

  3. Seleziona Esportazioni continue. Viene visualizzato un elenco di esportazioni continue per il tuo progetto, la tua cartella o la tua organizzazione.

Nella pagina Esportazioni continue in Impostazioni, puoi creare, visualizzare, modificare ed eliminare le esportazioni continue.

Per visualizzare i risultati che corrispondono a un filtro di esportazione:

Nella pagina Esportazioni continue, accanto al nome di un'esportazione, seleziona Altro , poi fai clic su Visualizza filtri correlati.

La pagina Risultati viene caricata con i risultati che corrispondono al filtro di esportazione.

Modificare le esportazioni continue

  1. Nella pagina Esportazioni continue, fai clic sul nome dell'esportazione che vuoi visualizzare o modificare oppure fai clic su Altro .
  2. Seleziona Modifica.
  3. Inserisci una nuova descrizione, modifica il progetto in cui vengono salvate le esportazioni o inserisci un nuovo argomento Pub/Sub.
  4. Al termine, fai clic su Salva.

Eliminare le esportazioni continue

  1. Nella pagina Esportazioni continue, fai clic sul nome dell'esportazione che vuoi eliminare.
  2. Fai clic su Elimina.
  3. Nella finestra di dialogo, fai clic su Elimina. L'esportazione viene eliminata.

Passaggi successivi