Vordefinierte Haltung für VPC-Netzwerke, Grundlagen

Dienststufen für Premium und Enterprise Service-Tier (erfordert Aktivierung auf Organisationsebene)

Auf dieser Seite werden die präventiven und detektiven Richtlinien beschrieben, die in der Version 1.0 der vordefinierten Sicherheitskonfiguration für Virtual Private Cloud (VPC)-Netzwerke (Grundlagen) enthalten sind. Diese Sicherheitskonfiguration umfasst zwei Richtliniensätze:

• Ein Richtliniensatz mit Einschränkungen für Organisationsrichtlinien, die auf VPC-Netzwerke angewendet werden.

• Ein Richtliniensatz mit Security Health Analytics-Detektoren, die auf VPC-Netzwerke angewendet werden.

Mit dieser vordefinierten Sicherheitskonfiguration können Sie eine Sicherheitskonfiguration erstellen, die VPC-Netzwerke schützt. Sie können diese vordefinierte Sicherheitskonfiguration ohne Änderungen bereitstellen.

Einschränkungen für Organisationsrichtlinien

In der folgenden Tabelle werden die Einschränkungen für Organisationsrichtlinien beschrieben, die in dieser Sicherheitskonfiguration enthalten sind.

Richtlinie	Beschreibung	Compliance standard
compute.skipDefaultNetworkCreation	Diese boolesche Einschränkung deaktiviert die automatische Erstellung eines Standard VPC-Netzwerk und von Standardfirewallregeln in jedem neuen Projekt. So wird sichergestellt, dass Netzwerk- und Firewallregeln bewusst erstellt werden. Der Wert ist true , um die Erstellung des Standard-VPC-Netzwerk zu vermeiden.	NIST SP 800-53-Kontrolle: SC-7 und SC-8
ainotebooks.restrictPublicIp	Diese boolesche Einschränkung schränkt den Zugriff über öffentliche IP-Adressen auf neu erstellte Vertex AI Workbench-Notebooks und ‑Instanzen ein. Standardmäßig kann über öffentliche IP ‑Adressen auf Vertex AI Workbench-Notebooks und ‑Instanzen zugegriffen werden. Der Wert ist true, um den Zugriff über öffentliche IP-Adressen auf neue Vertex AI Workbench-Notebooks und ‑Instanzen einzuschränken.	NIST SP 800-53-Kontrolle: SC-7 und SC-8
compute.disableNestedVirtualization	Diese boolesche Einschränkung deaktiviert die verschachtelte Virtualisierung für alle Compute Engine-VMs, um das Sicherheitsrisiko im Zusammenhang mit nicht überwachten verschachtelten Instanzen zu verringern. Der Wert ist true, um die verschachtelte Virtualisierung für VMs zu deaktivieren.	NIST SP 800-53-Kontrolle: SC-7 und SC-8

Security Health Analytics – Detektoren

In der folgenden Tabelle werden die Security Health Analytics-Detektoren beschrieben, die in der vordefinierten Sicherheitskonfiguration enthalten sind. Weitere Informationen zu diesen Detektoren finden Sie unter Erfasste Sicherheitslücken.

Detektorname	Beschreibung
FIREWALL_NOT_MONITORED	Dieser Detektor prüft, ob Logmesswerte und Benachrichtigungen nicht für das Monitoring von Änderungen an den VPC-Firewallregeln konfiguriert sind.
NETWORK_NOT_MONITORED	Dieser Detektor prüft, ob Logmesswerte und Benachrichtigungen nicht für das Monitoring von Änderungen am VPC-Netzwerk konfiguriert sind.
ROUTE_NOT_MONITORED	Dieser Detektor prüft, ob Logmesswerte und Benachrichtigungen nicht für das Monitoring von Änderungen an der VPC-Netzwerkroute konfiguriert sind.
DNS_LOGGING_DISABLED	Dieser Detektor prüft, ob das DNS-Logging im VPC-Netzwerk aktiviert ist.
FLOW_LOGS_DISABLED	Dieser Detektor prüft, ob Flusslogs im VPC-Subnetzwerk aktiviert sind.

Vorlage für Sicherheitskonfiguration ansehen

So sehen Sie die Vorlage für die Sicherheitskonfiguration für VPC-Netzwerke (Grundlagen):

gcloud

Ersetzen Sie folgende Werte, bevor sie einen der Befehlsdaten verwenden:

• ORGANIZATION_ID: die numerische ID der Organisation.

Führen Sie den gcloud scc posture-templates describe Befehl aus:

Linux, macOS oder Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_essential

Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_essential

Windows (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_essential

Die Antwort enthält die Vorlage für die Sicherheitskonfiguration.

REST

Ersetzen Sie diese Werte in den folgenden Anfragedaten:

• ORGANIZATION_ID: die numerische ID der Organisation.

HTTP-Methode und URL:

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_essential

Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:

curl (Linux, macOS oder Cloud Shell)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud-Befehlszeile angemeldet haben, indem Sie gcloud init oder gcloud auth login ausgeführt oder die Cloud Shell genutzt haben, die Sie automatisch in der gcloud-Befehlszeile anmeldet. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Führen Sie folgenden Befehl aus:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_essential"

PowerShell (Windows)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud-Befehlszeile angemeldet haben, indem Sie gcloud init oder gcloud auth login ausgeführt haben. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Führen Sie folgenden Befehl aus:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_essential" | Select-Object -Expand Content

Die Antwort enthält die Vorlage für die Sicherheitskonfiguration.

Nächste Schritte

• Mit dieser vordefinierten Sicherheitskonfiguration eine Sicherheitskonfiguration erstellen.