セキュリティ マークを使用して検出結果にアノテーションを付ける

セキュリティ マークは Security Command Center に固有のもので、優先度、アクセスレベル、機密性分類などのビジネス コンテキストを検出結果に追加できます。

検出結果にセキュリティ マークでアノテーションを付けると、セキュリティ マークを使用して検出結果を検索、選択、フィルタできます。マークは Security Command Center API と コンソールで確認できます。 Google Cloud

セキュリティ マークは、リアルタイムにではなく、バッチスキャン中に処理されます。バッチスキャンは、Security Command Center Premium と Enterprise では毎日 2 回、Security Command Center Standard では 1 日おきに 1 回、実行されます。セキュリティ マークが処理され、検出結果を解決または再オープンするポリシーが適用されるまでに、12 ～ 24 時間の遅延が発生する場合があります。

アセットのセキュリティ マークは、検出結果のセキュリティ マークとは別のものです。アセットにセキュリティ マークを追加しても、Security Command Center はそのアセットの検出結果にマークを自動的に追加しません。

アセットにセキュリティ マークを設定するには、 セキュリティ マークを使用してアセットにアノテーションを付けるをご覧ください。

必要なロール

検出結果にセキュリティ マークを追加または変更するために必要な権限を取得するには、組織の検出結果セキュリティ マーク書き込み（securitycenter.findingSecurityMarksWriter）IAM ロールの付与を管理者に依頼してください。ロールの付与については、プロジェクト、フォルダ、組織へのアクセスを管理するをご覧ください。

必要な権限は、カスタム ロールや他の事前定義 ロールから取得することもできます。

Security Command Center の IAM ロールは、組織レベル、フォルダレベル、またはプロジェクト レベルで付与できます。検出結果、アセット、セキュリティ ソースを表示、編集、作成、更新する権限は、アクセス権が付与されているレベルによって異なります。Security Command Center のロールの詳細については、アクセス制御をご覧ください。

コンソールでセキュリティ マークを追加する

コンソールを使用して検出結果にセキュリティ マークを追加できます。セキュリティ マークを追加すると、[クエリエディタ] パネルで検出結果をフィルタできます。

コンソールを使用してセキュリティ マークを追加する手順は次のとおりです。

  1. コンソールで Security Command Center の [検出結果] ページに移動します。

    [検出結果] ページに移動

  2. 確認するプロジェクトまたは組織を選択します。

  3. [検出結果クエリの結果] パネルで、セキュリティ マークを追加する検出結果を 1 つ以上選択して、チェックボックスをオンにします。

  4. [セキュリティ マークを設定] をクリックします。

  5. 表示された [セキュリティ マーク] ダイアログで、[マークを追加] をクリックします。

  6. セキュリティ マークのキー と値 を指定します。

    たとえば、同じインシデントに属する検出結果をマークする場合、キーを incident-number に、値を 1234 にします。各検出結果には、新しい mark.incident-number: 1234 が設定されます。

  7. 既存のマークを編集するには、[値] フィールドのテキストを更新します。

  8. マークを削除するには、マークの横にあるゴミ箱アイコン（ ）をクリックします。

  9. マークの追加が終わったら [保存] をクリックします。

セキュリティ マークで検出結果をフィルタする

[検出結果] ページでセキュリティ マークで検出結果をフィルタするには、[クエリエディタ] のクエリ ステートメントに security_marks.marks 属性を追加します。たとえば、セキュリティ マークのキーが stage で、 値が dev の場合は、[クエリエディタ] に次の句を追加します。

AND security_marks.marks.stage="dev"

詳細については、 コンソールで検出結果をクエリするをご覧ください。

ポリシーを管理する

検出結果を抑制するには、個々の検出結果をミュートするか、定義したフィルタに基づいて現在と将来の検出結果を自動的にミュートするミュートルールを作成します。詳細については、 Security Command Center で検出結果をミュートするをご覧ください。

検出結果のミュートは、分離されたプロジェクトや許容されるビジネス パラメータに含まれるプロジェクトの検出結果を確認したくない場合におすすめの方法です。

また、アセットにマークを設定して、特定の検出ポリシーからモニタリング対象リソースを明示的に追加または除外できます。Security Health Analytics の検出機能専用のセキュリティ マークを使用する手順については、 セキュリティ マークを使用してアセットにアノテーションを付けるのポリシーを管理するをご覧ください。

次のステップ