‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

שימוש ב-Security Health Analytics

בדף הזה מוסבר איך לנהל את הממצאים של Security Health Analytics באמצעות Security Command Center.

‫Security Health Analytics הוא שירות מובנה ב-Security Command Center שסורק את המשאבים בסביבת הענן ומפיק ממצאים לגבי כל טעויות ההגדרה שהוא מזהה.

כדי לקבל ממצאי Security Health Analytics, צריך להפעיל את השירות בהגדרות Services של Security Command Center.

כדי ליצור ממצאים שקשורים למשאבי Amazon Web Services‏ (AWS), צריך לקשר את Security Command Center ל-AWS.

אפשר לחפש את הממצאים של גלאי Security Health Analytics בGoogle Cloud מסוף ובאמצעות Security Command Center API.

מידע על סוגי הסריקות זמין במאמר סוגי סריקות ב-Security Health Analytics.

מידע על הזמן שצריך לחכות עד שהממצאים יופיעו זמין במאמר בנושא זמן האחזור של זיהוי ב-Security Health Analytics.

לפני שמתחילים

כדי לקבל את ההרשאות שדרושות לניהול הממצאים של Security Health Analytics, צריך לבקש מהאדמין להקצות לכם את תפקידי ה-IAM הבאים בארגון, בתיקייה או בפרויקט:

הפעלה והשבתה של אמצעי זיהוי: עריכת ההגדרות של Security Center (roles/securitycenter.settingsEditor)
צפייה בתוצאות וסינון שלהן: צפייה בתוצאות של Security Center (roles/securitycenter.findingsViewer)
כדי לנהל את כללי ההשתקה: עריכת הגדרות ההשתקה במרכז האבטחה (roles/securitycenter.muteConfigsEditor)
ניהול תגי אבטחה: כתיבת תגי אבטחה במרכז האבטחה (roles/securitycenter.findingSecurityMarksWriter)
ניהול ממצאים באופן פרוגרמטי: עריכת ממצאים במרכז האבטחה (roles/securitycenter.findingsEditor)
כדי לתת גישה נכנסת למתחם שירות של VPC Service Controls: עורך Access Context Manager (roles/accesscontextmanager.policyEditor)
השלמת משימה כלשהי בדף הזה: אדמין של הגדרות Security Center (roles/securitycenter.settingsAdmin)

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

הפעלה והשבתה של גלאים

השבתה של גלאים יכולה להשפיע על המצב של ממצאים פעילים. כשמשביתים גלאי, הממצאים הקיימים מסומנים אוטומטית כלא פעילים.

כשמפעילים את Security Command Center ברמת הארגון, אפשר להשבית את Security Health Analytics או גלאים ספציפיים בתיקיות או בפרויקטים ספציפיים. אם השבתתם את Security Health Analytics או את אמצעי הזיהוי בתיקיות ובפרויקטים, כל הממצאים הקיימים שצורפו לנכסים במשאבים האלה יסומנו כלא פעילים.

גלאי Security Health Analytics הבאים עבור Google Cloud מושבתים כברירת מחדל:

ALLOYDB_AUTO_BACKUP_DISABLED
ALLOYDB_CMEK_DISABLED
BIGQUERY_TABLE_CMEK_DISABLED
BUCKET_CMEK_DISABLED
CLOUD_ASSET_API_DISABLED
DATAPROC_CMEK_DISABLED
DATASET_CMEK_DISABLED
DISK_CMEK_DISABLED
DISK_CSEK_DISABLED
NODEPOOL_BOOT_CMEK_DISABLED
PUBSUB_CMEK_DISABLED
SQL_CMEK_DISABLED
SQL_NO_ROOT_PASSWORD
SQL_WEAK_ROOT_PASSWORD
VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED

המסוף

אם שירות Security Health Analytics מופעל, אפשר להגדיר את מצב ההפעלה של המודולים שלו.

נכנסים לדף Modules במסוף Google Cloud של Security Health Analytics.
מעבר אל 'מודולים'
בוחרים את הארגון או הפרויקט.
בכרטיסייה Modules (מודולים), בעמודה Status (סטטוס), בוחרים את הסטטוס הנוכחי של המודול שרוצים להפעיל או להשבית, ואז בוחרים אחת מהאפשרויות הבאות:
- הפעלה: הפעלת המודול.
- השבתה: השבתת המודול.

gcloud

הפקודה gcloud scc manage services update מעדכנת את הסטטוס של שירות או מודול ב-Security Command Center.

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

‫RESOURCE_TYPE: סוג המשאב לעדכון (organization,‏ folder או project).
‫RESOURCE_ID: המזהה המספרי של הארגון, התיקייה או הפרויקט שרוצים לעדכן. בפרויקטים, אפשר להשתמש גם במזהה הפרויקט האלפאנומרי.
‫MODULE_NAME: השם של המודול שרוצים להפעיל או להשבית. ערכים תקינים מפורטים במאמר גלאים מובנים ב-Security Health Analytics.
‫NEW_STATE: ENABLED כדי להפעיל את המודול, DISABLED כדי להשבית את המודול או INHERITED כדי לרשת את סטטוס ההפעלה של משאב ההורה (תקף רק לפרויקטים ולתיקיות).

שומרים את התוכן הבא בקובץ בשם request.json:

{
  "MODULE_NAME": {
    "intendedEnablementState": "NEW_STATE"
  }
}

מריצים את הפקודה gcloud scc manage services update:

‫Linux,‏ macOS או Cloud Shell

gcloud scc manage services update security-health-analytics \
    --RESOURCE_TYPE=RESOURCE_ID \
    --module-config-file=request.json

‏Windows (PowerShell)

gcloud scc manage services update security-health-analytics `
    --RESOURCE_TYPE=RESOURCE_ID `
    --module-config-file=request.json

Windows‏ (cmd.exe)

gcloud scc manage services update security-health-analytics ^
    --RESOURCE_TYPE=RESOURCE_ID ^
    --module-config-file=request.json

אמורה להתקבל תגובה שדומה לזו: כדי שהדוגמה תהיה קצרה, היא מציגה קבוצת משנה של כל המודולים של Security Health Analytics.

effectiveEnablementState: ENABLED
intendedEnablementState: ENABLED
modules:
  ACCESS_AWSCLOUDSHELLFULLACCESS_RESTRICTED:
    effectiveEnablementState: DISABLED
  ACCESS_KEYS_ROTATED_90_DAYS_LESS:
    effectiveEnablementState: ENABLED
  ACCESS_TRANSPARENCY_DISABLED:
    effectiveEnablementState: ENABLED
  ADMIN_SERVICE_ACCOUNT:
    effectiveEnablementState: ENABLED
  ALLOYDB_AUTO_BACKUP_DISABLED:
    effectiveEnablementState: DISABLED
name: projects/1070293378382/locations/global/securityCenterServices/SECURITY_HEALTH_ANALYTICS
updateTime: '2026-02-11T21:15:41.269584764Z'

REST

השיטה RESOURCE_TYPE.locations.securityCenterServices.patch של Security Command Center Management API מעדכנת את המצב של שירות או מודול של Security Command Center.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

‫RESOURCE_TYPE: סוג המשאב שרוצים לעדכן (organizations,‏ folders או projects).
QUOTA_PROJECT: מזהה הפרויקט שמשמש לחיוב ולמעקב אחר מכסות.
‫RESOURCE_ID: המזהה המספרי של הארגון, התיקייה או הפרויקט שרוצים לעדכן. בפרויקטים, אפשר להשתמש גם במזהה הפרויקט האלפאנומרי.
‫MODULE_NAME: השם של המודול שרוצים להפעיל או להשבית. ערכים תקינים מפורטים במאמר גלאים מובנים ב-Security Health Analytics.
‫NEW_STATE: ENABLED כדי להפעיל את המודול, DISABLED כדי להשבית את המודול או INHERITED כדי לרשת את סטטוס ההפעלה של משאב האב (תקף רק לפרויקטים ולתיקיות).

ה-method של ה-HTTP וכתובת ה-URL:

PATCH https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/securityCenterServices/security-health-analytics?updateMask=modules

תוכן בקשת JSON:

{
  "modules": {
    "MODULE_NAME": {
      "intendedEnablementState": "NEW_STATE"
    }
  }
}

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

‫Curl (Linux,‏ macOS או Cloud Shell)

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login, או באמצעות Cloud Shell שמחבר אתכם אוטומטית ל-CLI של gcloud. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

שומרים את גוף הבקשה בקובץ בשם request.json ומריצים את הפקודה הבאה:

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: QUOTA_PROJECT" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/securityCenterServices/security-health-analytics?updateMask=modules"

‎PowerShell (Windows)

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

שומרים את גוף הבקשה בקובץ בשם request.json ומריצים את הפקודה הבאה:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "QUOTA_PROJECT" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/securityCenterServices/security-health-analytics?updateMask=modules" | Select-Object -Expand Content

אמורה להתקבל תגובה שדומה לזו: כדי שהדוגמה תהיה קצרה, היא מציגה קבוצת משנה של כל המודולים של Security Health Analytics.

{
  "effectiveEnablementState": "ENABLED",
  "intendedEnablementState": "ENABLED",
  "modules": {
    "ACCESS_AWSCLOUDSHELLFULLACCESS_RESTRICTED": {
      "effectiveEnablementState": "DISABLED"
    },
    "ACCESS_KEYS_ROTATED_90_DAYS_LESS": {
      "effectiveEnablementState": "ENABLED"
    },
    "ACCESS_TRANSPARENCY_DISABLED": {
      "effectiveEnablementState": "ENABLED"
    },
    "ADMIN_SERVICE_ACCOUNT": {
      "effectiveEnablementState": "ENABLED"
    },
    "ALLOYDB_AUTO_BACKUP_DISABLED": {
      "effectiveEnablementState": "DISABLED"
    }
  },
  "name": "projects/1070293378382/locations/global/securityCenterServices/SECURITY_HEALTH_ANALYTICS",
  "updateTime": "2026-02-11T21:15:41.269584764Z"
}

סינון הממצאים במסוף Google Cloud

בארגונים גדולים יכולות להיות הרבה נקודות חולשה בפריסה שצריך לבדוק, לתעדף ולעקוב אחריהן. בעזרת המסננים שזמינים בדפים Vulnerabilities (נקודות חולשה) ו-Findings (ממצאים) ב-Security Command Center במסוף Google Cloud , אתם יכולים להתמקד בנקודות החולשה ברמת החומרה הגבוהה ביותר בארגון, ולבדוק נקודות חולשה לפי סוג נכס, פרויקט ועוד.

מידע נוסף על סינון ממצאים של נקודות חולשה זמין במאמר סינון ממצאים של נקודות חולשה ב-Security Command Center.

ניהול ממצאים באמצעות בקשות תמיכה

ב-Security Command Center נפתח אוטומטית case במסוף Security Operations לאיומים, לשילובים רעילים ולממצאים שקשורים לשילובים רעילים. כל מקרה יכול לכלול כמה ממצאים קשורים.

אפשר להשתמש בבקשת התמיכה, שאפשר לשלב אותה עם מערכת הכרטיסים המועדפת, כדי לנהל את החקירה והתיקון של הממצאים. לשם כך, מקצים בעלים, בודקים מידע שקשור לממצאים ומבצעים אוטומציה של תהליך העבודה של התגובה באמצעות מדריכים.

אם לממצא יש פנייה תואמת, אפשר למצוא קישור לפנייה בדף הפרטים של הממצא. פותחים את דף הפרטים של ממצא מתוך הדף ממצאים.

מידע נוסף על בקשות תמיכה זמין במאמר סקירה כללית על בקשות תמיכה.

השתקת ממצאים

כדי לשלוט בכמות הממצאים ב- Google Cloud console, אפשר להשתיק ממצאים ספציפיים באופן ידני או באמצעות תוכנה, או ליצור כללי השתקה שמשתיקים ממצאים באופן אוטומטי על סמך מסננים שאתם מגדירים. יש שני סוגים של כללי השתקה שבהם אפשר להשתמש כדי לשלוט בעוצמת הקול:

כללי השתקה סטטיים שמשתיקים ממצאים עתידיים ללא הגבלת זמן.
כללי השתקה דינמיים שכוללים אפשרות להשתיק באופן זמני ממצאים נוכחיים וגם ממצאים עתידיים.

מומלץ להשתמש רק בכללים להשתקה דינמית כדי לצמצם את מספר הממצאים שצריך לבדוק באופן ידני. כדי למנוע בלבול, לא מומלץ להשתמש בו-זמנית בכללים להשתקה סטטית ודינמית. השוואה בין שני סוגי הכללים

הממצאים שמשתיקים במסוף Google Cloud מוסתרים ומושתקים, אבל ממשיכים להירשם ביומן למטרות ביקורת ותאימות. אפשר לראות את הממצאים שהושתקו או לבטל את ההשתקה שלהם בכל שלב. מידע נוסף זמין במאמר בנושא השתקת ממצאים ב-Security Command Center.

סימון נכסים וממצאים באמצעות סימני אבטחה

אפשר להוסיף מאפיינים בהתאמה אישית לממצאים ולנכסים ב-Security Command Center באמצעות תגי אבטחה. סימוני אבטחה מאפשרים לכם לזהות אזורים חשובים כמו פרויקטים של ייצור, לתייג ממצאים עם מספרי מעקב של באגים ואירועים ועוד.

כשמדובר בנכסים, אפשר להוסיף סימני אבטחה רק לנכסים ש-Security Command Center תומך בהם. רשימת הנכסים הנתמכים מופיעה במאמר סוגי נכסים נתמכים ב-Security Command Center.

הוספת נכסים לרשימות היתרים

למרות שלא מומלץ להשתמש בשיטה הזו, אתם יכולים להוסיף סימני אבטחה ייעודיים לנכסים כדי למנוע מגלאי האבטחה של Security Health Analytics ליצור ממצאי אבטחה לגבי הנכסים האלה.

הגישה המומלצת והיעילה ביותר לשליטה בנפח הממצאים היא השתקת ממצאים. משתיקים ממצאים שלא צריך לבדוק, כי הם מתייחסים לנכסים מבודדים או כי הם נמצאים בטווח הפרמטרים העסקיים המקובלים.

כשמחילים סימני אבטחה ייעודיים על נכסים, הנכסים מתווספים לרשימת ההיתרים ב-Security Health Analytics, וכך כל הממצאים לגבי הנכסים האלה מסומנים כפתורים במהלך הסריקה הבאה של קבוצת נתונים.

צריך להחיל סימני אבטחה ייעודיים ישירות על נכסים, ולא על ממצאים, כמו שמתואר בקטע איך פועלות רשימות ההיתרים בהמשך הדף. אם מוסיפים סימון לממצא, הנכס הבסיסי עדיין יכול ליצור ממצאים.

איך פועלת רשימת ההיתרים

לכל גלאי ב-Security Health Analytics יש סוג סימון ייעודי לרשימות ההיתרים, בצורה של allow_FINDING_TYPE:true. הוספת הסימן הייעודי הזה לנכס שנתמך על ידי Security Command Center מאפשרת לכם להחריג את הנכס ממדיניות הזיהוי.

לדוגמה, כדי להחריג את סוג הממצא SSL_NOT_ENFORCED, מגדירים את תג האבטחה allow_ssl_not_enforced:true במכונת Cloud SQL הרלוונטית. הממצאים של המזהה שצוין לא ייווצרו עבור נכסים מסומנים.

רשימה מלאה של סוגי הממצאים מופיעה במאמר רשימת הגלאים של Security Health Analytics. מידע נוסף על סימוני אבטחה של נכסים ועל טכניקות לשימוש בהם זמין במאמר הוספת הערות לנכסים עם סימוני אבטחה.

סוגי נכסים

בסעיף הזה מוסבר איך סימוני אבטחה פועלים בנכסים שונים.

הוספה לרשימת ההיתרים של נכסים: כשמוסיפים סימן ייעודי לנכס, כמו קטגוריה של Cloud Storage או חומת אש, הממצא המשויך מסומן כפתור כשמופעל הסריקה הבאה של קבוצת הממצאים. עד שהסימן יוסר, הגלאי לא ייצור ממצאים חדשים ולא יעדכן ממצאים קיימים לגבי הנכס.
הוספת פרויקטים לרשימת ההיתרים: כשמוסיפים סימון למשאב של פרויקט, הממצאים שהפרויקט עצמו הוא המשאב שנסרק או המשאב המטרה נפתרים. עם זאת, נכסים שנכללים בפרויקט, כמו מכונות וירטואליות או מפתחות הצפנה, עדיין יכולים ליצור ממצאים. סימן האבטחה הזה זמין רק אם מפעילים את רמת הפרימיום של Security Command Center ברמת הארגון.
תיקיות ברשימת ההיתרים: כשמוסיפים סימון למשאב תיקייה, הממצאים שבהם התיקייה עצמה היא המשאב שנסרק או משמש כיעד, נפתרים. עם זאת, עדיין אפשר ליצור ממצאים מנכסים שנמצאים בתיקייה, כולל פרויקטים. סימן האבטחה הזה זמין רק אם מפעילים את רמת הפרימיום של Security Command Center ברמת הארגון.
גלאים שתומכים בכמה נכסים: אם גלאי תומך ביותר מסוג נכס אחד, צריך להחיל את הסימן הייעודי על כל נכס. לדוגמה, גלאי KMS_PUBLIC_KEY תומך בנכסי CryptoKey ו-KeyRing Cloud Key Management Service. אם תוסיפו את הסימן allow_kms_public_key:true לנכס CryptoKey, הממצאים KMS_PUBLIC_KEY שקשורים לנכס הזה ייפתרו. עם זאת, עדיין אפשר ליצור ממצאים לגבי נכס KeyRing.

סימני האבטחה מתעדכנים רק במהלך סריקות אצווה, ולא במהלך סריקות בזמן אמת. אם מסירים סימן אבטחה ייעודי, ובנכס יש פגיעות, יכול להיות שיחלפו עד 24 שעות עד שהסימן יימחק ויתווסף ממצא.

גלאי למקרים מיוחדים: מפתחות הצפנה באספקת הלקוח (CSEK)

המזהה DISK_CSEK_DISABLED לא מופעל כברירת מחדל. כדי להשתמש בכלי הזה לזיהוי, צריך לסמן את הנכסים שרוצים להשתמש בהם במפתחות הצפנה בניהול עצמי.

כדי להפעיל את הגלאי DISK_CSEK_DISABLED בנכסים ספציפיים, מחילים את סימן האבטחה enforce_customer_supplied_disk_encryption_keys על הנכס עם הערך true.

צפייה במספר הממצאים הפעילים לפי סוג הממצא

אתם יכולים להשתמש במסוף Google Cloud או ב-Google Cloud CLI כדי לראות את מספר הממצאים הפעילים לפי סוג הממצא.

המסוף

Google Cloud במסוף אפשר לראות את מספר הממצאים הפעילים לכל סוג ממצא.

כדי לראות את הממצאים של Security Health Analytics לפי סוג הממצא:

כדי להציג את הממצאים של Security Health Analytics, עוברים לדף Vulnerabilities (נקודות חולשה) בגרסה הקודמת.

כניסה לדף Vulnerabilities
כדי למיין את הממצאים לפי מספר הממצאים הפעילים לכל סוג ממצא, לוחצים על כותרת העמודה פעיל.

gcloud

כדי להשתמש ב-CLI של gcloud כדי לקבל ספירה של כל הממצאים הפעילים, צריך לשלוח שאילתה ל-Security Command Center כדי לקבל את מזהה המקור של Security Health Analytics. אחר כך משתמשים במזהה המקור כדי לשלוח שאילתה לגבי מספר הממצאים הפעילים.

שלב 1: קבלת מזהה המקור

כדי לקבל את מזהה המקור, מריצים אחת מהפקודות הבאות:

אם הפעלתם את Security Command Center ברמת הארגון, מריצים את הפקודה הבאה:

gcloud scc sources describe organizations/ORGANIZATION_ID \
    --source-display-name="Security Health Analytics"

אם הפעלתם את Security Command Center ברמת הפרויקט, מריצים את הפקודה הבאה:

gcloud scc sources describe projects/PROJECT_ID \
    --source-display-name="Security Health Analytics"

אם עדיין לא הפעלתם את Security Command Center API, תתבקשו להפעיל אותו. כשממשק Security Command Center API מופעל, מריצים שוב את הפקודה הקודמת. הפלט של הפקודה אמור להיראות כך:

description: Scans for deviations from a GCP security baseline.
displayName: Security Health Analytics
name: organizations/ORGANIZATION_ID/sources/SOURCE_ID

חשוב לשים לב לSOURCE_ID כדי להשתמש בו בשלב הבא.

שלב 2: קבלת מספר הממצאים הפעילים

משתמשים בSOURCE_ID שרשמתם בשלב הקודם כדי לסנן את הממצאים מ-Security Health Analytics. הפקודות הבאות ב-CLI של gcloud מחזירות ספירה של ממצאים לפי קטגוריה.

אם הפעלתם את Security Command Center ברמת הארגון, מריצים את הפקודה הבאה:

gcloud scc findings group organizations/ORGANIZATION_ID/sources/SOURCE_ID \
    --group-by=category --page-size=PAGE_SIZE

אם הפעלתם את Security Command Center ברמת הפרויקט, מריצים את הפקודה הבאה:

gcloud scc findings group projects/PROJECT_ID/sources/SOURCE_ID \
    --group-by=category --page-size=PAGE_SIZE

אפשר להגדיר את גודל הדף לכל ערך עד 1,000. הפלט של הפקודה אמור להיראות כך, עם תוצאות מהארגון שלכם:

groupByResults:
- count: '1'
properties:
  category: MFA_NOT_ENFORCED
- count: '3'
properties:
  category: ADMIN_SERVICE_ACCOUNT
- count: '2'
properties:
  category: API_KEY_APIS_UNRESTRICTED
- count: '1'
properties:
  category: API_KEY_APPS_UNRESTRICTED
- count: '2'
properties:
  category: API_KEY_EXISTS
- count: '10'
properties:
  category: AUDIT_CONFIG_NOT_MONITORED
- count: '10'
properties:
  category: AUDIT_LOGGING_DISABLED
- count: '1'
properties:
  category: AUTO_UPGRADE_DISABLED
- count: '10'
properties:
  category: BUCKET_IAM_NOT_MONITORED
- count: '10'
properties:
  category: BUCKET_LOGGING_DISABLED
nextPageToken: TOKEN
readTime: '2023-08-05T21:56:13.862Z'
totalSize: 50

ניהול ממצאים באופן פרוגרמטי

באמצעות Google Cloud CLI וספריות הלקוח של Security Command Center, אפשר לבצע אוטומטית כמעט כל פעולה שאפשר לבצע ב-Security Command Center בGoogle Cloud מסוף. אפשר גם לתקן הרבה ממצאי האבטחה באמצעות ה-CLI של gcloud. מידע נוסף זמין במסמכי התיעוד של סוגי המשאבים שמתוארים בכל ממצא:

כדי לייצא או לרשום נכסים באופן פרוגרמטי, משתמשים ב-Cloud Asset Inventory API. מידע נוסף מופיע במאמר בנושא ייצוא היסטוריית נכסים ומטא-נתונים.

הוצאנו משימוש את השיטות והשדות של נכסים ב-Security Command Center API, והם יוסרו ב-26 ביוני 2024 או אחרי התאריך הזה.

עד להסרת ההרשאות, משתמשים שהפעילו את Security Command Center לפני 26 ביוני 2023 יכולים להשתמש במתודות הנכסים של Security Command Center API כדי ליצור רשימה של נכסים, אבל המתודות האלה תומכות רק בנכסים שנתמכים על ידי Security Command Center.

מידע על שימוש בשיטות API של נכסים שהוצאו משימוש זמין במאמר בנושא נכסי כרטיסי מוצר.

סריקת פרויקטים שמוגנים על ידי גבולות גזרה לשירות

אם יש לכם גבולות גזרה לשירות שחוסמים גישה לפרויקטים ולשירותים מסוימים, אתם צריכים לתת לחשבון השירות של Security Command Center גישה נכנסת ויוצאת לגבולות הגזרה האלה. אחרת, לא ניתן יהיה להפיק ב-Security Health Analytics ממצאים שקשורים לפרויקטים ולשירותים המוגנים.

המסוף

מעבר אל גבולות גזרה לשירות

נכנסים לדף VPC Service Controls במסוף Google Cloud .

מעבר אל VPC Service Controls
בוחרים את הארגון.
ברשימה הנפתחת, בוחרים את מדיניות הגישה שמכילה את גבולות הגזרה לשירות שרוצים להעניק לו גישה.

גבולות הגזרה לשירות שמשויכים למדיניות הגישה מופיעים ברשימה.
לוחצים על השם של גבולות גזרה לשירות שרוצים לעדכן.

כדי למצוא את גבולות הגזרה לשירות שצריך לשנות, אפשר לבדוק ביומנים ערכים שמציינים RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER הפרות. ברשומות האלה, בודקים את השדה servicePerimeterName:
```
accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME
```
לוחצים על עריכה.

הוספת כלל לתעבורת נתונים יוצאת (egress)

לוחצים על Egress policy.
לוחצים על הוספת כלל ליציאה.
בקטע מאת, מגדירים את הפרטים הבאים:
1. בקטע זהויות > זהות, בוחרים באפשרות בחירת זהויות וקבוצות.
2. לוחצים על הוספת זהויות.
3. מזינים את כתובת האימייל שמזהה את סוכן השירות של Cloud Security Command Center. הכתובת הזו היא בפורמט הבא:
```
service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
```
  מחליפים את ORGANIZATION_ID במזהה הארגון.
4. בוחרים את סוכן השירות או לוחצים על ENTER, ואז לוחצים על הוספת זהויות.
בקטע To (אל), מגדירים את הפרטים הבאים:
1. בקטע Resources > Projects (משאבים > פרויקטים), בוחרים באפשרות All projects (כל הפרויקטים).
2. בקטע Operations or IAM roles (פעולות או תפקידי IAM), בוחרים באפשרות Select operations (בחירת פעולות).
3. לוחצים על הוספת פעולות ומוסיפים את הפעולות הבאות:
  - מוסיפים את השירות bigquery.googleapis.com.
    1. לוחצים על כל השיטות.
    2. לוחצים על הוספת כל האמצעים.
  - מוסיפים את השירות binaryauthorization.googleapis.com.
    1. לוחצים על כל השיטות.
    2. לוחצים על הוספת כל האמצעים.
  - מוסיפים את השירות cloudkms.googleapis.com.
    1. לוחצים על כל השיטות.
    2. לוחצים על הוספת כל האמצעים.
  - מוסיפים את השירות logging.googleapis.com.
    1. לוחצים על כל השיטות.
    2. לוחצים על הוספת כל האמצעים.
  - מוסיפים את השירות monitoring.googleapis.com.
    1. לוחצים על כל השיטות.
    2. לוחצים על הוספת כל האמצעים.
  - מוסיפים את השירות cloudresourcemanager.googleapis.com.
    1. לוחצים על כל השיטות.
    2. לוחצים על הוספת כל האמצעים.
  - מוסיפים את השירות storage.googleapis.com.
    1. לוחצים על כל השיטות.
    2. לוחצים על הוספת כל האמצעים.
  - מוסיפים את השירות compute.googleapis.com.
    1. לוחצים על כל השיטות.
    2. לוחצים על הוספת כל האמצעים.
  - מוסיפים את השירות iam.googleapis.com.
    1. לוחצים על כל השיטות.
    2. לוחצים על הוספת כל האמצעים.
  - מוסיפים את השירות container.googleapis.com.
    1. לוחצים על כל השיטות.
    2. לוחצים על הוספת כל האמצעים.

הוספת כלל לכניסת תנועה

לוחצים על Ingress policy (מדיניות כניסה).
לוחצים על הוספת כלל תעבורה נכנסת.
בקטע מאת, מגדירים את הפרטים הבאים:
1. בקטע זהויות > זהות, בוחרים באפשרות בחירת זהויות וקבוצות.
2. לוחצים על הוספת זהויות.
3. מזינים את כתובת האימייל שמזהה את סוכן השירות של Cloud Security Command Center. הכתובת הזו היא בפורמט הבא:
```
service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
```
  מחליפים את ORGANIZATION_ID במזהה הארגון.
4. בוחרים את סוכן השירות או לוחצים על ENTER, ואז לוחצים על הוספת זהויות.
בקטע To (אל), מגדירים את הפרטים הבאים:
1. בקטע Resources > Projects (משאבים > פרויקטים), בוחרים באפשרות All projects (כל הפרויקטים).
2. בקטע Operations or IAM roles (פעולות או תפקידי IAM), בוחרים באפשרות Select operations (בחירת פעולות).
3. לוחצים על הוספת פעולות ומוסיפים את הפעולות הבאות:
  - מוסיפים את השירות bigquery.googleapis.com.
    1. לוחצים על כל השיטות.
    2. לוחצים על הוספת כל האמצעים.
  - מוסיפים את השירות binaryauthorization.googleapis.com.
    1. לוחצים על כל השיטות.
    2. לוחצים על הוספת כל האמצעים.
  - מוסיפים את השירות cloudkms.googleapis.com.
    1. לוחצים על כל השיטות.
    2. לוחצים על הוספת כל האמצעים.
  - מוסיפים את השירות logging.googleapis.com.
    1. לוחצים על כל השיטות.
    2. לוחצים על הוספת כל האמצעים.
  - מוסיפים את השירות monitoring.googleapis.com.
    1. לוחצים על כל השיטות.
    2. לוחצים על הוספת כל האמצעים.
  - מוסיפים את השירות cloudresourcemanager.googleapis.com.
    1. לוחצים על כל השיטות.
    2. לוחצים על הוספת כל האמצעים.
  - מוסיפים את השירות storage.googleapis.com.
    1. לוחצים על כל השיטות.
    2. לוחצים על הוספת כל האמצעים.
  - מוסיפים את השירות compute.googleapis.com.
    1. לוחצים על כל השיטות.
    2. לוחצים על הוספת כל האמצעים.
  - מוסיפים את השירות iam.googleapis.com.
    1. לוחצים על כל השיטות.
    2. לוחצים על הוספת כל האמצעים.
  - מוסיפים את השירות container.googleapis.com.
    1. לוחצים על כל השיטות.
    2. לוחצים על הוספת כל האמצעים.
לוחצים על Save.

gcloud

אזהרה: הדגלים --set-ingress-policies ו---set-egress-policies מחליפים את כל מדיניות הכניסה או היציאה הקיימת בהיקף. אם יש לכם כללי מדיניות קיימים, אתם צריכים לאחזר אותם קודם, להוסיף את כלל המדיניות החדש לקובץ ה-YAML המתאים של תעבורת הנתונים הנכנסת (ingress) או תעבורת הנתונים היוצאת (egress), ואז להריץ את פקודת העדכון.

אם עדיין לא הגדרתם פרויקט מכסת, צריך להגדיר אותו. בוחרים פרויקט שמופעל בו Access Context Manager API.
```
gcloud config set billing/quota_project QUOTA_PROJECT_ID
```
מחליפים את QUOTA_PROJECT_ID במזהה הפרויקט שבו רוצים להשתמש לחיוב ולמכסה.

יוצרים קובץ בשם egress-rule.yaml עם התוכן הבא:

- egressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
  egressTo:
    operations:
    - serviceName: bigquery.googleapis.com
      methodSelectors:
      - method: '*'
    - serviceName: binaryauthorization.googleapis.com
      methodSelectors:
      - method: '*'
    - serviceName: cloudkms.googleapis.com
      methodSelectors:
      - method: '*'
    - serviceName: logging.googleapis.com
      methodSelectors:
      - method: '*'
    - serviceName: monitoring.googleapis.com
      methodSelectors:
      - method: '*'
    - serviceName: cloudresourcemanager.googleapis.com
      methodSelectors:
      - method: '*'
    - serviceName: storage.googleapis.com
      methodSelectors:
      - method: '*'
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: '*'
    - serviceName: iam.googleapis.com
      methodSelectors:
      - method: '*'
    - serviceName: container.googleapis.com
      methodSelectors:
      - method: '*'
    resources:
    - '*'

לחלופין, אפשר להשתמש ב-operations כדי לציין את השירותים שבהם מופיעות הפרות של VPC Service Controls, וב-resources כדי לציין את הפרויקט שהופיע בתוצאה.

מחליפים את ORGANIZATION_ID במזהה הארגון.

יוצרים קובץ בשם ingress-rule.yaml עם התוכן הבא:

- ingressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
    sources:
    - accessLevel: '*'
  ingressTo:
    operations:
    - serviceName: bigquery.googleapis.com
      methodSelectors:
      - method: '*'
    - serviceName: binaryauthorization.googleapis.com
      methodSelectors:
      - method: '*'
    - serviceName: cloudkms.googleapis.com
      methodSelectors:
      - method: '*'
    - serviceName: logging.googleapis.com
      methodSelectors:
      - method: '*'
    - serviceName: monitoring.googleapis.com
      methodSelectors:
      - method: '*'
    - serviceName: cloudresourcemanager.googleapis.com
      methodSelectors:
      - method: '*'
    - serviceName: storage.googleapis.com
      methodSelectors:
      - method: '*'
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: '*'
    - serviceName: iam.googleapis.com
      methodSelectors:
      - method: '*'
    - serviceName: container.googleapis.com
      methodSelectors:
      - method: '*'
    resources:
    - '*'

מחליפים את ORGANIZATION_ID במזהה הארגון.

מוסיפים את כלל התעבורה היוצאת לגבול הגזרה:
```
gcloud access-context-manager perimeters update PERIMETER_NAME \
    --set-egress-policies=egress-rule.yaml
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫PERIMETER_NAME: שם ההיקף. לדוגמה, accessPolicies/1234567890/servicePerimeters/example_perimeter.
  
  כדי למצוא את גבולות הגזרה לשירות שרוצים לשנות, אפשר לבדוק ביומנים רשומות שבהן מופיע RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER. ברשומות האלה, בודקים את השדה servicePerimeterName:
```
accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME
```
מוסיפים את כלל הכניסה להיקף:
```
gcloud access-context-manager perimeters update PERIMETER_NAME \
    --set-ingress-policies=ingress-rule.yaml
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫PERIMETER_NAME: שם ההיקף. לדוגמה, accessPolicies/1234567890/servicePerimeters/example_perimeter.
  
  כדי למצוא את גבולות הגזרה לשירות שרוצים לשנות, אפשר לבדוק ביומנים רשומות שבהן מופיע RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER. ברשומות האלה, בודקים את השדה servicePerimeterName:
```
accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME
```

Terraform

כדי להגדיר את ההיקף באמצעות Terraform, אפשר לעיין בדוגמה הבאה:

locals {
  access_policy_id    = "123456789012"
  perimeter_name      = "my_service_perimeter"
  project_number      = "123456789012"
  sha_service_account = "service-{project_number}@gcp-sa-scc.iam.gserviceaccount.com"
}

resource "google_access_context_manager_service_perimeter_ingress_policy" "scc_sha_ingress" {
  perimeter = "accessPolicies/${local.access_policy_id}/servicePerimeters/${local.perimeter_name}"

  ingress_from {
    identities = [
      "serviceAccount:${local.sha_service_account}"
    ]
    sources {
      access_level = "*"
    }
  }

  ingress_to {
    resources = [
      "projects/${local.project_number}"
    ]
    # Add operations for each service SHA scans (e.g., compute, storage, bigquery)
    operations {
      service_name = "compute.googleapis.com"
      method_selectors {
        # Least privilege is recommended. For broad scanning, broad access might be retained,
        # but consider replacing "*" with specific read methods (e.g., compute.v1.InstancesService.Get)
        method = "*"
      }
    }
    operations {
      service_name = "storage.googleapis.com"
      method_selectors {
        method = "*"
      }
    }
  }
}

resource "google_access_context_manager_service_perimeter_egress_policy" "scc_sha_egress" {
  perimeter = "accessPolicies/${local.access_policy_id}/servicePerimeters/${local.perimeter_name}"

  egress_from {
    identities = [
      "serviceAccount:${local.sha_service_account}"
    ]
  }

  egress_to {
    resources = [
      "projects/${local.project_number}"
    ]
    operations {
      service_name = "compute.googleapis.com"
      method_selectors {
        method = "*"
      }
    }
    operations {
      service_name = "storage.googleapis.com"
      method_selectors {
        method = "*"
      }
    }
  }
}

מידע נוסף זמין במאמר בנושא כללי כניסה ויציאה.

שירותים ש-Security Health Analytics קורא להם

כדי לפעול, ל-Security Health Analytics נדרשת גישה לממשקי ה- Google Cloud API של השירותים שהוא סורק, וגם לשירותי תשתית ליבה. בהתאם להגדרה שלכם, יכול להיות שתצטרכו לאפשר תעבורת נתונים נכנסת (ingress) או יוצאת (egress) לשירותים הבאים בגבולות הגזרה של VPC Service Controls:

‫BigQuery API ‏ (bigquery.googleapis.com)
‫Binary Authorization API ‏ (binaryauthorization.googleapis.com)
Cloud Key Management Service API (cloudkms.googleapis.com)
Cloud Logging API (logging.googleapis.com)
Cloud Monitoring API ‏ (monitoring.googleapis.com)
Cloud Resource Manager API ‏ (cloudresourcemanager.googleapis.com)
Cloud Storage API (storage.googleapis.com)
‫Compute Engine API ‏ (compute.googleapis.com)
‫Identity and Access Management API‏ (iam.googleapis.com)
‫Kubernetes Engine API ‏ (container.googleapis.com)

שימוש ב-Security Health Analytics קל לארגן דפים בעזרת אוספים אפשר לשמור ולסווג תוכן על סמך ההעדפות שלך.

לפני שמתחילים

הפעלה והשבתה של גלאים

המסוף

gcloud

‫Linux,‏ macOS או Cloud Shell

‏Windows (PowerShell)

Windows‏ (cmd.exe)

REST

‫Curl (Linux,‏ macOS או Cloud Shell)

‎PowerShell (Windows)

סינון הממצאים במסוף Google Cloud

ניהול ממצאים באמצעות בקשות תמיכה

השתקת ממצאים

סימון נכסים וממצאים באמצעות סימני אבטחה

הוספת נכסים לרשימות היתרים

איך פועלת רשימת ההיתרים

סוגי נכסים

גלאי למקרים מיוחדים: מפתחות הצפנה באספקת הלקוח (CSEK)

צפייה במספר הממצאים הפעילים לפי סוג הממצא

המסוף

gcloud

שלב 1: קבלת מזהה המקור

שלב 2: קבלת מספר הממצאים הפעילים

ניהול ממצאים באופן פרוגרמטי

סריקת פרויקטים שמוגנים על ידי גבולות גזרה לשירות

המסוף

מעבר אל גבולות גזרה לשירות

הוספת כלל לתעבורת נתונים יוצאת (egress)

הוספת כלל לכניסת תנועה

gcloud

Terraform

שירותים ש-Security Health Analytics קורא להם

המאמרים הבאים

שימוש ב-Security Health Analytics