Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

Menggunakan Security Health Analytics

Halaman ini menjelaskan cara mengelola temuan Security Health Analytics menggunakan Security Command Center.

Security Health Analytics adalah layanan bawaan di Security Command Center yang memindai resource di lingkungan cloud Anda dan menghasilkan temuan untuk setiap kesalahan konfigurasi yang terdeteksi.

Untuk menerima temuan Security Health Analytics, layanan harus diaktifkan di setelan Layanan Security Command Center.

Untuk membuat temuan terkait resource Amazon Web Services (AWS), Security Command Center harus terhubung ke AWS.

Temuan dari detektor Security Health Analytics dapat dicari di konsolGoogle Cloud dan menggunakan Security Command Center API.

Untuk mengetahui informasi tentang jenis pemindaian, lihat Jenis pemindaian Security Health Analytics.

Untuk mengetahui informasi tentang kapan temuan akan muncul, lihat Latensi deteksi Security Health Analytics.

Sebelum memulai

Untuk mendapatkan izin yang diperlukan untuk mengelola temuan Security Health Analytics, minta administrator untuk memberi Anda peran IAM berikut pada organisasi, folder, atau project Anda:

Mengaktifkan dan menonaktifkan detektor: Editor Setelan Pusat Keamanan (roles/securitycenter.settingsEditor)
Melihat dan memfilter temuan: Security Center Findings Viewer (roles/securitycenter.findingsViewer)
Mengelola aturan penonaktifan: Editor Konfigurasi Penonaktifan Pusat Keamanan (roles/securitycenter.muteConfigsEditor)
Mengelola tanda keamanan: Security Center Finding Security Marks Writer (roles/securitycenter.findingSecurityMarksWriter)
Mengelola temuan secara terprogram: Security Center Findings Editor (roles/securitycenter.findingsEditor)
Memberikan akses masuk ke perimeter layanan Kontrol Layanan VPC: Editor Access Context Manager (roles/accesscontextmanager.policyEditor)
Selesaikan tugas apa pun di halaman ini: Admin Setelan Pusat Keamanan (roles/securitycenter.settingsAdmin)

Untuk mengetahui informasi selengkapnya tentang pemberian peran, lihat Mengelola akses ke project, folder, dan organisasi.

Anda mungkin juga bisa mendapatkan izin yang diperlukan melalui peran khusus atau peran bawaan lainnya.

Mengaktifkan dan menonaktifkan detektor

Menonaktifkan detektor dapat memengaruhi status temuan aktif. Jika detektor dinonaktifkan, temuan yang ada akan otomatis ditandai sebagai tidak aktif.

Saat mengaktifkan Security Command Center di tingkat organisasi, Anda dapat menonaktifkan Analisis Kondisi Keamanan atau detektor tertentu untuk folder atau project tertentu. Jika Security Health Analytics atau detektor dinonaktifkan untuk folder dan project, semua temuan yang ada yang dilampirkan ke aset dalam resource tersebut akan ditandai sebagai tidak aktif.

Detektor Security Health Analytics berikut untuk Google Cloud dinonaktifkan secara default:

ALLOYDB_AUTO_BACKUP_DISABLED
ALLOYDB_CMEK_DISABLED
BIGQUERY_TABLE_CMEK_DISABLED
BUCKET_CMEK_DISABLED
CLOUD_ASSET_API_DISABLED
DATAPROC_CMEK_DISABLED
DATASET_CMEK_DISABLED
DISK_CMEK_DISABLED
DISK_CSEK_DISABLED
NODEPOOL_BOOT_CMEK_DISABLED
PUBSUB_CMEK_DISABLED
SQL_CMEK_DISABLED
SQL_NO_ROOT_PASSWORD
SQL_WEAK_ROOT_PASSWORD
VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED

Konsol

Jika layanan Security Health Analytics diaktifkan, Anda dapat menetapkan status pengaktifan setiap modulnya.

Di konsol Google Cloud , buka halaman Modules untuk Security Health Analytics.
Buka Modul
Pilih organisasi atau project Anda.
Di tab Modules, di kolom Status, pilih status modul saat ini yang ingin Anda aktifkan atau nonaktifkan, lalu pilih salah satu opsi berikut:
- Aktifkan: Aktifkan modul.
- Nonaktifkan: Nonaktifkan modul.

gcloud

Perintah gcloud scc manage services update memperbarui status layanan atau modul Security Command Center.

Sebelum menggunakan salah satu data perintah di bawah, lakukan penggantian berikut:

RESOURCE_TYPE: jenis resource yang akan diupdate (organization, folder, atau project).
RESOURCE_ID: ID numerik untuk organisasi, folder, atau project yang akan diupdate. Untuk project, Anda juga dapat menggunakan ID project alfanumerik.
MODULE_NAME: nama modul yang akan diaktifkan atau dinonaktifkan. Untuk nilai yang valid, lihat Detektor bawaan Security Health Analytics.
NEW_STATE: ENABLED untuk mengaktifkan modul; DISABLED untuk menonaktifkan modul; atau INHERITED untuk mewarisi status pengaktifan resource induk (hanya berlaku untuk project dan folder).

Simpan konten berikut ini dalam file yang bernama request.json:

{
  "MODULE_NAME": {
    "intendedEnablementState": "NEW_STATE"
  }
}

Jalankan perintah gcloud scc manage services update:

Linux, macOS, atau Cloud Shell

gcloud scc manage services update security-health-analytics \
    --RESOURCE_TYPE=RESOURCE_ID \
    --module-config-file=request.json

Windows (PowerShell)

gcloud scc manage services update security-health-analytics `
    --RESOURCE_TYPE=RESOURCE_ID `
    --module-config-file=request.json

Windows (cmd.exe)

gcloud scc manage services update security-health-analytics ^
    --RESOURCE_TYPE=RESOURCE_ID ^
    --module-config-file=request.json

Anda akan menerima respons yang mirip dengan berikut ini. Agar lebih ringkas, contoh ini menunjukkan subset dari semua modul Security Health Analytics.

effectiveEnablementState: ENABLED
intendedEnablementState: ENABLED
modules:
  ACCESS_AWSCLOUDSHELLFULLACCESS_RESTRICTED:
    effectiveEnablementState: DISABLED
  ACCESS_KEYS_ROTATED_90_DAYS_LESS:
    effectiveEnablementState: ENABLED
  ACCESS_TRANSPARENCY_DISABLED:
    effectiveEnablementState: ENABLED
  ADMIN_SERVICE_ACCOUNT:
    effectiveEnablementState: ENABLED
  ALLOYDB_AUTO_BACKUP_DISABLED:
    effectiveEnablementState: DISABLED
name: projects/1070293378382/locations/global/securityCenterServices/SECURITY_HEALTH_ANALYTICS
updateTime: '2026-02-11T21:15:41.269584764Z'

REST

Metode RESOURCE_TYPE.locations.securityCenterServices.patch Security Command Center Management API memperbarui status layanan atau modul Security Command Center.

Sebelum menggunakan salah satu data permintaan, lakukan penggantian berikut:

RESOURCE_TYPE: jenis resource yang akan diperbarui (organizations, folders, atau projects).
QUOTA_PROJECT: project ID yang akan digunakan untuk penagihan dan pelacakan kuota.
RESOURCE_ID: ID numerik untuk organisasi, folder, atau project yang akan diupdate. Untuk project, Anda juga dapat menggunakan ID project alfanumerik.
MODULE_NAME: nama modul yang akan diaktifkan atau dinonaktifkan. Untuk nilai yang valid, lihat Detektor bawaan Security Health Analytics.
NEW_STATE: ENABLED untuk mengaktifkan modul; DISABLED untuk menonaktifkan modul; atau INHERITED untuk mewarisi status pengaktifan resource induk (hanya berlaku untuk project dan folder).

Metode HTTP dan URL:

PATCH https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/securityCenterServices/security-health-analytics?updateMask=modules

Meminta isi JSON:

{
  "modules": {
    "MODULE_NAME": {
      "intendedEnablementState": "NEW_STATE"
    }
  }
}

Untuk mengirim permintaan Anda, perluas salah satu opsi berikut:

curl (Linux, macOS, atau Cloud Shell)

Catatan: Perintah berikut mengasumsikan bahwa Anda telah login ke gcloud CLI menggunakan akun pengguna Anda dengan menjalankan gcloud init atau gcloud auth login, atau dengan menggunakan Cloud Shell, yang secara otomatis membuat Anda login ke gcloud CLI. Anda dapat memeriksa akun yang saat ini aktif dengan menjalankan gcloud auth list.

Simpan isi permintaan dalam file bernama request.json, dan jalankan perintah berikut:

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: QUOTA_PROJECT" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/securityCenterServices/security-health-analytics?updateMask=modules"

PowerShell (Windows)

Catatan: Perintah berikut mengasumsikan bahwa Anda telah login ke gcloud CLI menggunakan akun pengguna Anda dengan menjalankan gcloud init atau gcloud auth login. Anda dapat memeriksa akun yang saat ini aktif dengan menjalankan gcloud auth list.

Simpan isi permintaan dalam file bernama request.json, dan jalankan perintah berikut:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "QUOTA_PROJECT" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://securitycentermanagement.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/securityCenterServices/security-health-analytics?updateMask=modules" | Select-Object -Expand Content

Anda akan menerima respons yang mirip dengan berikut ini. Agar lebih ringkas, contoh ini menunjukkan subset dari semua modul Security Health Analytics.

{
  "effectiveEnablementState": "ENABLED",
  "intendedEnablementState": "ENABLED",
  "modules": {
    "ACCESS_AWSCLOUDSHELLFULLACCESS_RESTRICTED": {
      "effectiveEnablementState": "DISABLED"
    },
    "ACCESS_KEYS_ROTATED_90_DAYS_LESS": {
      "effectiveEnablementState": "ENABLED"
    },
    "ACCESS_TRANSPARENCY_DISABLED": {
      "effectiveEnablementState": "ENABLED"
    },
    "ADMIN_SERVICE_ACCOUNT": {
      "effectiveEnablementState": "ENABLED"
    },
    "ALLOYDB_AUTO_BACKUP_DISABLED": {
      "effectiveEnablementState": "DISABLED"
    }
  },
  "name": "projects/1070293378382/locations/global/securityCenterServices/SECURITY_HEALTH_ANALYTICS",
  "updateTime": "2026-02-11T21:15:41.269584764Z"
}

Memfilter temuan di konsol Google Cloud

Organisasi besar mungkin memiliki banyak temuan kerentanan di seluruh deployment mereka untuk ditinjau, dikelola, dan dilacak. Dengan menggunakan filter yang tersedia di halaman Vulnerabilities dan Findings Security Command Center di konsol Google Cloud , Anda dapat berfokus pada kerentanan dengan tingkat keparahan tertinggi di seluruh organisasi, dan meninjau kerentanan berdasarkan jenis aset, project, dan lainnya.

Untuk mengetahui informasi selengkapnya tentang memfilter temuan kerentanan, lihat Memfilter temuan kerentanan di Security Command Center.

Mengelola temuan dengan kasus

Security Command Center akan otomatis membuka kasus di konsol Security Operations untuk ancaman, kombinasi toksik, dan temuan terkait kombinasi toksik. Satu kasus dapat berisi beberapa temuan terkait.

Gunakan kasus, yang dapat diintegrasikan dengan sistem tiket pilihan Anda, untuk mengelola investigasi dan perbaikan temuan, dengan menetapkan pemilik, meninjau informasi terkait, dan, dengan playbook, mengotomatiskan alur kerja respons Anda.

Jika temuan memiliki kasus yang sesuai, Anda dapat menemukan link ke kasus tersebut di halaman detail temuan. Buka halaman detail temuan dari halaman Temuan.

Untuk mengetahui informasi selengkapnya tentang kasus, lihat Ringkasan kasus.

Menonaktifkan temuan

Untuk mengontrol volume temuan di konsol Google Cloud , Anda dapat membisukan temuan satu per satu secara manual atau secara terprogram, atau membuat aturan pembisuan yang secara otomatis membisukan temuan berdasarkan filter yang Anda tentukan. Ada dua jenis aturan senyap yang dapat Anda gunakan untuk mengontrol volume penemuan:

Aturan penonaktifan statis yang menonaktifkan temuan di masa mendatang tanpa batas.
Aturan penonaktifan dinamis yang berisi opsi untuk menonaktifkan sementara temuan saat ini dan mendatang.

Sebaiknya gunakan aturan senyap dinamis secara eksklusif untuk mengurangi jumlah temuan yang Anda tinjau secara manual. Untuk menghindari kebingungan, sebaiknya jangan gunakan aturan senyap statis dan dinamis secara bersamaan. Untuk perbandingan kedua jenis aturan, lihat Jenis aturan senyap.

Temuan yang Anda nonaktifkan di konsol Google Cloud akan disembunyikan dan dibisukan, tetapi akan terus dicatat untuk tujuan audit dan kepatuhan. Anda dapat melihat temuan yang disenyapkan atau membatalkan penyenyapannya kapan saja. Untuk mempelajari lebih lanjut, lihat Menonaktifkan temuan di Security Command Center.

Menandai aset dan temuan dengan tanda keamanan

Anda dapat menambahkan properti kustom ke temuan dan aset di Security Command Center menggunakan tanda keamanan. Tanda keamanan memungkinkan Anda mengidentifikasi area yang menjadi perhatian dengan prioritas tinggi seperti project produksi, memberi tag pada temuan dengan nomor pelacakan bug dan insiden, dan lainnya.

Untuk aset, Anda hanya dapat menambahkan tanda keamanan ke aset yang didukung oleh Security Command Center. Untuk mengetahui daftar aset yang didukung, lihat Jenis aset yang didukung di Security Command Center.

Menambahkan aset ke daftar yang diizinkan

Meskipun bukan metode yang direkomendasikan, Anda dapat menyembunyikan temuan yang tidak diperlukan dengan menambahkan tanda keamanan khusus ke aset sehingga detektor Security Health Analytics tidak membuat temuan keamanan untuk aset tersebut.

Pendekatan yang direkomendasikan dan paling efektif untuk mengontrol volume temuan adalah dengan Menyembunyikan temuan. Nonaktifkan temuan yang tidak perlu Anda tinjau, karena temuan tersebut ditujukan untuk aset yang terisolasi atau karena temuan tersebut berada dalam parameter bisnis yang dapat diterima.

Saat Anda menerapkan tanda keamanan khusus ke aset, aset tersebut akan ditambahkan ke daftar yang diizinkan di Analisis Kondisi Keamanan, yang menandai temuan apa pun untuk aset tersebut sebagai telah diselesaikan selama pemindaian batch berikutnya.

Tanda keamanan khusus harus diterapkan langsung ke aset, bukan temuan, seperti yang dijelaskan dalam Cara kerja daftar yang diizinkan di halaman ini. Jika Anda menerapkan tanda pada temuan, aset pokok masih dapat menghasilkan temuan.

Cara kerja daftar yang diizinkan

Setiap detektor Security Health Analytics memiliki jenis tanda khusus untuk daftar yang diizinkan, dalam bentuk allow_FINDING_TYPE:true. Dengan menambahkan tanda khusus ini ke aset yang didukung oleh Security Command Center, Anda dapat mengecualikan aset tersebut dari kebijakan deteksi.

Misalnya, untuk mengecualikan jenis temuan SSL_NOT_ENFORCED, tetapkan tanda keamanan, allow_ssl_not_enforced:true, pada instance Cloud SQL terkait. Detektor yang ditentukan tidak akan membuat temuan untuk aset yang ditandai.

Untuk mengetahui daftar lengkap jenis temuan, lihat Daftar detektor Security Health Analytics. Untuk mempelajari lebih lanjut tanda keamanan dan teknik penggunaannya, lihat Menggunakan tanda keamanan.

Jenis aset

Bagian ini menjelaskan cara kerja tanda keamanan untuk berbagai aset.

Aset yang masuk daftar yang diizinkan: Saat Anda menambahkan tanda khusus ke aset, seperti bucket Cloud Storage atau firewall, temuan terkait akan ditandai sebagai terselesaikan saat pemindaian batch berikutnya dijalankan. Detektor tidak akan menghasilkan temuan baru atau memperbarui temuan yang ada untuk aset hingga tanda dihapus.
Project yang masuk daftar yang diizinkan: Saat Anda menambahkan tanda ke resource project, temuan yang project itu sendiri merupakan resource yang dipindai, atau target, akan diselesaikan. Namun, aset yang ada dalam project, seperti mesin virtual atau kunci kripto, masih dapat menghasilkan temuan. Tanda keamanan ini hanya tersedia jika Anda mengaktifkan paket Premium Security Command Center di tingkat organisasi.
Folder yang diizinkan: Saat Anda menambahkan tanda ke resource folder, temuan yang folder itu sendiri merupakan resource yang dipindai, atau target, akan diselesaikan. Namun, aset yang ada dalam folder, termasuk project, masih dapat menghasilkan temuan. Tanda keamanan ini hanya tersedia jika Anda mengaktifkan paket Premium Security Command Center di tingkat organisasi.
Detektor yang mendukung beberapa aset: Jika detektor mendukung lebih dari satu jenis aset, Anda harus menerapkan tanda khusus ke setiap aset. Misalnya, detektor KMS_PUBLIC_KEY mendukung aset Cloud Key Management Service CryptoKey dan KeyRing. Jika Anda menerapkan tanda allow_kms_public_key:true ke aset CryptoKey, temuan KMS_PUBLIC_KEY untuk aset tersebut akan diselesaikan. Namun, temuan masih dapat dihasilkan untuk aset KeyRing.

Tanda keamanan hanya diperbarui selama pemindaian batch, bukan pemindaian real-time. Jika tanda keamanan khusus dihapus, dan aset memiliki kerentanan, mungkin diperlukan waktu hingga 24 jam sebelum tanda tersebut dihapus dan temuan ditulis.

Detektor kasus khusus: Kunci Enkripsi yang Disediakan Pelanggan

Detektor DISK_CSEK_DISABLED tidak aktif secara default. Untuk menggunakan detektor ini, Anda harus menandai aset yang ingin Anda gunakan untuk kunci enkripsi yang dikelola sendiri.

Untuk mengaktifkan detektor DISK_CSEK_DISABLED untuk aset tertentu, terapkan tanda keamanan enforce_customer_supplied_disk_encryption_keys ke aset dengan nilai true.

Melihat jumlah temuan aktif menurut jenis temuan

Anda dapat menggunakan konsol Google Cloud atau Google Cloud CLI untuk melihat jumlah temuan aktif menurut jenis temuan.

Konsol

Konsol Google Cloud memungkinkan Anda melihat jumlah temuan aktif untuk setiap jenis temuan.

Untuk melihat temuan Security Health Analytics menurut jenis temuan, lakukan hal berikut:

Untuk menampilkan temuan Security Health Analytics, buka halaman Vulnerabilities lama.

Buka Kerentanan
Untuk mengurutkan temuan berdasarkan jumlah temuan aktif untuk setiap jenis temuan, klik header kolom Aktif.

gcloud

Untuk menggunakan gcloud CLI guna mendapatkan jumlah semua temuan aktif, Anda mengirimkan kueri ke Security Command Center untuk mendapatkan ID sumber Analisis Kondisi Keamanan. Kemudian, Anda menggunakan ID sumber untuk membuat kueri jumlah temuan aktif.

Langkah 1: Dapatkan ID sumber

Untuk mendapatkan ID sumber, jalankan salah satu perintah berikut:

Jika Anda mengaktifkan Security Command Center di tingkat organisasi, jalankan perintah berikut:

gcloud scc sources describe organizations/ORGANIZATION_ID \
    --source-display-name="Security Health Analytics"

Jika Anda mengaktifkan Security Command Center di level project, jalankan perintah berikut:

gcloud scc sources describe projects/PROJECT_ID \
    --source-display-name="Security Health Analytics"

Jika belum mengaktifkan Security Command Center API, Anda akan diminta untuk mengaktifkannya. Setelah Security Command Center API diaktifkan, jalankan kembali perintah sebelumnya. Perintah akan menampilkan output seperti berikut:

description: Scans for deviations from a GCP security baseline.
displayName: Security Health Analytics
name: organizations/ORGANIZATION_ID/sources/SOURCE_ID

Catat SOURCE_ID untuk digunakan di langkah berikutnya.

Langkah 2: Dapatkan jumlah temuan aktif

Gunakan SOURCE_ID yang Anda catat di langkah sebelumnya untuk memfilter temuan dari Security Health Analytics. Perintah gcloud CLI berikut menampilkan jumlah temuan menurut kategori.

Jika Anda mengaktifkan Security Command Center di tingkat organisasi, jalankan perintah berikut:

gcloud scc findings group organizations/ORGANIZATION_ID/sources/SOURCE_ID \
    --group-by=category --page-size=PAGE_SIZE

Jika Anda mengaktifkan Security Command Center di level project, jalankan perintah berikut:

gcloud scc findings group projects/PROJECT_ID/sources/SOURCE_ID \
    --group-by=category --page-size=PAGE_SIZE

Anda dapat menetapkan ukuran halaman ke nilai apa pun hingga 1.000. Perintah akan menampilkan output seperti berikut, dengan hasil dari organisasi Anda:

groupByResults:
- count: '1'
properties:
  category: MFA_NOT_ENFORCED
- count: '3'
properties:
  category: ADMIN_SERVICE_ACCOUNT
- count: '2'
properties:
  category: API_KEY_APIS_UNRESTRICTED
- count: '1'
properties:
  category: API_KEY_APPS_UNRESTRICTED
- count: '2'
properties:
  category: API_KEY_EXISTS
- count: '10'
properties:
  category: AUDIT_CONFIG_NOT_MONITORED
- count: '10'
properties:
  category: AUDIT_LOGGING_DISABLED
- count: '1'
properties:
  category: AUTO_UPGRADE_DISABLED
- count: '10'
properties:
  category: BUCKET_IAM_NOT_MONITORED
- count: '10'
properties:
  category: BUCKET_LOGGING_DISABLED
nextPageToken: TOKEN
readTime: '2023-08-05T21:56:13.862Z'
totalSize: 50

Mengelola temuan secara terprogram

Dengan menggunakan Google Cloud CLI dan library klien Security Command Center, Anda dapat mengotomatiskan hampir semua hal yang dapat Anda lakukan dengan Security Command Center di konsolGoogle Cloud . Anda juga dapat memperbaiki banyak temuan menggunakan gcloud CLI. Untuk mengetahui informasi selengkapnya, tinjau dokumentasi untuk jenis resource yang dijelaskan dalam setiap temuan:

Untuk mengekspor atau mencantumkan aset secara terprogram, gunakan API Inventaris Aset Cloud. Untuk mengetahui informasi selengkapnya, lihat Mengekspor histori dan metadata aset.

Metode dan kolom aset Security Command Center API tidak digunakan lagi dan akan dihapus pada atau setelah 26 Juni 2024.

Hingga dihapus, pengguna yang mengaktifkan Security Command Center sebelum 26 Juni 2023 dapat menggunakan metode aset Security Command Center API untuk mencantumkan aset, tetapi metode ini hanya mendukung aset yang didukung Security Command Center.

Untuk mengetahui informasi tentang penggunaan metode API aset yang tidak digunakan lagi, lihat mencantumkan aset.

Memindai project yang dilindungi oleh perimeter layanan

Jika Anda memiliki perimeter layanan yang memblokir akses ke project dan layanan tertentu, Anda harus memberikan akses masuk akun layanan Security Command Center ke perimeter layanan tersebut. Jika tidak, Security Health Analytics tidak dapat menghasilkan temuan terkait project dan layanan yang dilindungi.

Konsol

Buka perimeter layanan

Di konsol Google Cloud , buka halaman VPC Service Controls.

Buka Kontrol Layanan VPC
Pilih organisasi Anda.
Di menu drop-down, pilih kebijakan akses yang berisi perimeter layanan yang ingin Anda beri akses.

Perimeter layanan yang terkait dengan kebijakan akses akan muncul dalam daftar.
Klik nama perimeter layanan yang ingin Anda perbarui.

Untuk menemukan perimeter layanan yang perlu diubah, Anda dapat memeriksa log untuk menemukan entri yang menunjukkan pelanggaran RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER. Dalam entri tersebut, periksa kolom servicePerimeterName:
```
accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME
```
Klik Edit.

Menambahkan aturan traffic masuk

Klik Ingress policy.
Klik Add an ingress rule.
Di bagian Dari, tetapkan detail berikut:
1. Untuk Identitas > Identitas, pilih Pilih identitas & grup.
2. Klik Add identities.
3. Masukkan alamat email yang mengidentifikasi Agen Layanan Cloud Security Command Center. Alamat ini memiliki format berikut:
```
service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
```
  Ganti ORGANIZATION_ID dengan ID organisasi Anda.
4. Pilih agen layanan atau tekan ENTER, lalu klik Tambahkan identitas.
Di bagian Tujuan, tetapkan detail berikut:
1. Untuk Resources > Projects, pilih All projects.
2. Untuk Operasi atau peran IAM, pilih Semua operasi, atau pilih layanan tertentu yang memunculkan pelanggaran Kontrol Layanan VPC.
Klik Simpan.

gcloud

Jika project kuota belum ditetapkan, tetapkan project kuota. Pilih project yang mengaktifkan Access Context Manager API.
```
gcloud config set billing/quota_project QUOTA_PROJECT_ID
```
Ganti QUOTA_PROJECT_ID dengan ID project yang ingin Anda gunakan untuk penagihan dan kuota.
Buat file bernama ingress-rule.yaml dengan konten berikut:
```
- ingressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
    sources:
    - accessLevel: '*'
  ingressTo:
    operations:
    - serviceName: '*'
    resources:
    - '*'
```
Atau, Anda dapat menggunakan operations untuk menentukan layanan yang menampilkan pelanggaran Kontrol Layanan VPC dan resources untuk menentukan project yang muncul dalam temuan.

Ganti ORGANIZATION_ID dengan ID organisasi Anda.
Tambahkan aturan ingress ke perimeter:
```
gcloud access-context-manager perimeters update PERIMETER_NAME \
    --set-ingress-policies=ingress-rule.yaml
```
Ganti kode berikut:
- PERIMETER_NAME: nama perimeter. Misalnya, accessPolicies/1234567890/servicePerimeters/example_perimeter.
  
  Untuk menemukan perimeter layanan yang perlu diubah, Anda dapat memeriksa log untuk entri yang menunjukkan pelanggaran RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER. Dalam entri tersebut, periksa kolom servicePerimeterName:
```
accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME
```

Untuk mengetahui informasi selengkapnya, lihat Aturan ingress dan egress.

Langkah berikutnya

Pelajari detektor dan temuan Security Health Analytics.
Baca rekomendasi untuk memperbaiki temuan Security Health Analytics.
Pelajari cara menggunakan tanda keamanan Security Command Center.
Pelajari kasus.
Pelajari lebih lanjut cara menggunakan Security Command Center Standard atau Premium di Google Cloud konsol untuk meninjau aset dan temuan.
Pelajari lebih lanjut cara menggunakan Security Command Center Enterprise di konsol Google Cloud .

Menggunakan Security Health Analytics Tetap teratur dengan koleksi Simpan dan kategorikan konten berdasarkan preferensi Anda.

Sebelum memulai

Mengaktifkan dan menonaktifkan detektor

Konsol

gcloud

Linux, macOS, atau Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

REST

curl (Linux, macOS, atau Cloud Shell)

PowerShell (Windows)

Memfilter temuan di konsol Google Cloud

Mengelola temuan dengan kasus

Menonaktifkan temuan

Menandai aset dan temuan dengan tanda keamanan

Menambahkan aset ke daftar yang diizinkan

Cara kerja daftar yang diizinkan

Jenis aset

Detektor kasus khusus: Kunci Enkripsi yang Disediakan Pelanggan

Melihat jumlah temuan aktif menurut jenis temuan

Konsol

gcloud

Langkah 1: Dapatkan ID sumber

Langkah 2: Dapatkan jumlah temuan aktif

Mengelola temuan secara terprogram

Memindai project yang dilindungi oleh perimeter layanan

Konsol

Buka perimeter layanan

Menambahkan aturan traffic masuk

gcloud

Langkah berikutnya

Menggunakan Security Health Analytics