虛擬私有雲網路的預先定義姿勢範本 (擴充版)

Premium 和 Enterprise (已淘汰) 服務層級 (須在組織層級啟用)

Security Command Center Enterprise 服務層級將於 2027 年 5 月 21 日停用。 如果貴組織使用的是 Enterprise 服務級別，則會在 2027 年 5 月 21 日當天或之後自動移至 Premium 服務級別。如有任何問題，請與您的帳戶代表或 Google Cloud 銷售專員聯絡。

虛擬私有雲 (VPC) 網路擴充功能的 v1.0 預先定義防護機制範本，可讓您設定資安態勢。這項設定可透過預防和偵測政策，保護虛擬私有雲網路。這個範本包含兩組適用於虛擬私有雲網路的政策：組織政策限制和安全狀態分析偵測工具。

部署這個範本前，您必須自訂部分政策，以便套用至您的環境。

組織政策限制

下表說明這項安全防護機制包含的組織政策限制。

政策	說明	法規遵循標準
compute.skipDefaultNetworkCreation	這項布林值限制會停用在每個新專案中自動建立預設虛擬私有雲網路和預設防火牆規則的功能，確保網路和防火牆規則是刻意建立。 值為 true，可避免建立預設虛擬私有雲網路。	NIST SP 800-53 控制措施：SC-7 和 SC-8
ainotebooks.restrictPublicIp	這項布林值限制會禁止公開 IP 存取新建立的 Vertex AI Workbench 筆記本和執行個體。公開 IP 位址預設可存取 Vertex AI Workbench 筆記本和執行個體。 值為 true，可限制公開 IP 對新 Vertex AI Workbench 筆記本和執行個體的存取權。	NIST SP 800-53 控制措施：SC-7 和 SC-8
compute.disableNestedVirtualization	這項布林限制會停用所有 Compute Engine VM 的巢狀虛擬化功能，降低未受監控巢狀執行個體帶來的安全性風險。 值為 true，用於關閉 VM 巢狀虛擬化功能。	NIST SP 800-53 控制措施：SC-7 和 SC-8
compute.vmExternalIpAccess	這項清單限制定義了可使用外部 IP 位址的 Compute Engine VM 執行個體。根據預設，所有 VM 執行個體都能使用外部 IP 位址。限制的格式為 projects/PROJECT_ID/zones/ZONE/instances/INSTANCE。 採用這項預先定義的安全防護機制時，必須設定這個值。	NIST SP 800-53 控制措施：SC-7 和 SC-8
ainotebooks.restrictVpcNetworks	這份清單限制定義了在強制執行這項限制後，使用者在建立新的 Vertex AI Workbench 執行個體時，可選擇的虛擬私有雲網路。 採用這項預先定義的安全防護機制時，必須設定這個值。	NIST SP 800-53 控制措施：SC-7 和 SC-8
compute.vmCanIpForward	這項清單限制定義了使用者在建立新的 Vertex AI Workbench 執行個體時，可以選取的虛擬私有雲網路。根據預設，您可以使用任何虛擬私有雲網路建立 Vertex AI Workbench 執行個體。 採用這項預先定義的安全防護機制時，必須設定這個值。	NIST SP 800-53 控制措施：SC-7 和 SC-8

安全狀態分析偵測工具

下表說明預先定義防護機制範本中包含的安全狀態分析偵測工具。如要進一步瞭解這些偵測工具，請參閱「安全漏洞發現項目」。

偵測工具名稱	說明
FIREWALL_NOT_MONITORED	這項偵測工具會檢查是否未設定記錄指標和警告，監控虛擬私有雲防火牆規則變更。
NETWORK_NOT_MONITORED	這項偵測工具會檢查是否未設定記錄指標和警告，來監控虛擬私有雲網路變更。
ROUTE_NOT_MONITORED	這項偵測工具會檢查是否未設定記錄指標和警告，來監控虛擬私有雲網路路由變更。
DNS_LOGGING_DISABLED	這項偵測工具會檢查虛擬私有雲網路是否啟用 DNS 記錄功能。
FLOW_LOGS_DISABLED	這項偵測工具會檢查虛擬私有雲子網路是否已啟用流量記錄。
VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED	這項偵測工具會檢查虛擬私有雲子網路的 enableFlowLogs 屬性是否遺漏或設為 false。

查看防護機制範本

如要查看虛擬私有雲網路擴充版的防護機制範本，請按照下列步驟操作：

gcloud

使用下列任何指令資料前，請先替換以下項目：

• ORGANIZATION_ID：組織的數字 ID。

執行 gcloud scc posture-templates describe 指令：

Linux、macOS 或 Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended

Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended

Windows (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended

回應中會包含防護機制範本。

REST

使用任何要求資料之前，請先修改下列項目的值：

• ORGANIZATION_ID：組織的數字 ID。

HTTP 方法和網址：

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended

請展開以下其中一個選項，以傳送要求：

curl (Linux、macOS 或 Cloud Shell)

注意：下列指令假設您已執行 gcloud init 或 gcloud auth login，透過使用者帳戶登入 gcloud CLI，或已使用 Cloud Shell 自動登入 gcloud CLI。您可以執行 gcloud auth list，查看目前使用的帳戶。

執行下列指令：

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended"

PowerShell (Windows)

注意：下列指令假設您已執行 gcloud init 或 gcloud auth login，透過使用者帳戶登入 gcloud CLI。您可以執行 gcloud auth list，查看目前使用的帳戶。

執行下列指令：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended" | Select-Object -Expand Content

回應中會包含防護機制範本。

後續步驟

• 使用這個預先定義的安全防護機制範本建立安全防護機制。