תבנית מוגדרת מראש של מצב אבטחה לתקן ISO 27001

התבנית המוגדרת מראש של מצב האבטחה בגרסה 1.0 לתקן 27001 של ארגון התקינה הבינלאומי (ISO) עוזרת לכם לעקוב אחרי עומסי העבודה כדי לוודא שהם עומדים בתקן ISO 27001. התבנית הזו כוללת קבוצת מדיניות של גלאי Security Health Analytics לזיהוי, שאפשר לפרוס בלי לבצע שינויים.

גלאי Security Health Analytics

בטבלה הבאה מתוארים הגלאים של Security Health Analytics שכלולים בתבנית הזו של מצב האבטחה.

שם המזהה תיאור
SQL_CROSS_DB_OWNERSHIP_CHAINING

הגלאי הזה בודק אם הדגל cross_db_ownership_chaining מופעל ב-Cloud SQL ל-SQL Server.
INSTANCE_OS_LOGIN_DISABLED

הגלאי הזה בודק אם OS Login לא מופעל.
SQL_SKIP_SHOW_DATABASE_DISABLED

הגלאי הזה בודק אם הדגל skip_show_database מושבת ב-Cloud SQL ל-MySQL.
ESSENTIAL_CONTACTS_NOT_CONFIGURED

הגלאי הזה בודק אם יש לכם לפחות איש קשר חיוני אחד.
AUDIT_LOGGING_DISABLED

הגלאי הזה בודק אם רישום ביומני ביקורת מושבת במשאב.
VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED

הגלאי הזה בודק אם יומני VPC Flow Logs לא מופעלים.
API_KEY_EXISTS

הגלאי הזה בודק אם בפרויקט נעשה שימוש במפתחות API במקום באימות רגיל.
SQL_LOG_MIN_ERROR_STATEMENT_SEVERITY

הגלאי הזה בודק אם לדגל log_min_error_statement ב-Cloud SQL ל-PostgreSQL אין רמת חומרה מתאימה.
LOCKED_RETENTION_POLICY_NOT_SET

הגלאי הזה בודק אם מדיניות שמירת הנתונים הנעולה מוגדרת ליומנים.
SQL_LOG_DISCONNECTIONS_DISABLED

הגלאי הזה בודק אם הדגל log_disconnections מושבת ב-Cloud SQL ל-PostgreSQL.
COMPUTE_SERIAL_PORTS_ENABLED

הגלאי הזה בודק אם היציאות הטוריות מופעלות.
COMPUTE_PROJECT_WIDE_SSH_KEYS_ALLOWED

הגלאי הזה בודק אם נעשה שימוש במפתחות SSH ברמת הפרויקט.
KMS_KEY_NOT_ROTATED

הגלאי הזה בודק אם הרוטציה של ההצפנה ב-Cloud Key Management Service לא מופעלת.
DNS_LOGGING_DISABLED

הגלאי הזה בודק אם רישום DNS ביומן מופעל ברשת ה-VPC.
SQL_LOCAL_INFILE

הגלאי הזה בודק אם הדגל local_infile מופעל ב-Cloud SQL ל-MySQL.
SQL_LOG_MIN_DURATION_STATEMENT_ENABLED

הגלאי הזה בודק אם הדגל log_min_duration_statement ב-Cloud SQL ל-PostgreSQL לא מוגדר לערך -1.
PUBLIC_DATASET

הגלאי הזה בודק אם קבוצת נתונים מוגדרת כפתוחה לגישה ציבורית. מידע נוסף זמין במאמר ממצאי פגיעויות במערך הנתונים.
DISK_CSEK_DISABLED

הגלאי הזה בודק אם התמיכה במפתח הצפנה באספקת הלקוח (CSEK) מושבתת במכונה וירטואלית.
SQL_USER_CONNECTIONS_CONFIGURED

הגלאי הזה בודק אם הדגל user connections מוגדר ב-Cloud SQL ל-SQL Server.
SERVICE_ACCOUNT_ROLE_SEPARATION

הגלאי הזה בודק אם יש הפרדת תפקידים במפתחות של חשבונות שירות.
AUDIT_CONFIG_NOT_MONITORED

הגלאי הזה בודק אם מתבצע מעקב אחרי שינויים בהגדרות הביקורת.
BUCKET_IAM_NOT_MONITORED

הגלאי הזה בודק אם הרישום ביומן מושבת לשינויים בהרשאות IAM ב-Cloud Storage.
PUBLIC_SQL_INSTANCE

הגלאי הזה בודק אם Cloud SQL מאפשר חיבורים מכל כתובות ה-IP.
AUTO_BACKUP_DISABLED

הגלאי הזה בודק אם הגיבויים האוטומטיים של מסד נתונים ב-Cloud SQL מושבתים.
DATAPROC_CMEK_DISABLED

הגלאי הזה בודק אם התמיכה ב-CMEK מושבתת באשכול של Managed Service for Apache Spark.
LOG_NOT_EXPORTED

הגלאי הזה בודק אם לא הוגדר sink ביומן למשאב.
KMS_PROJECT_HAS_OWNER

הגלאי הזה בודק אם למשתמש יש הרשאת בעלים בפרויקט שכולל מפתחות.
KMS_ROLE_SEPARATION

הגלאי הזה בודק את הפרדת התפקידים במפתחות של Cloud KMS.
API_KEY_APIS_UNRESTRICTED

הגלאי הזה בודק אם מפתחות API נמצאים בשימוש נרחב מדי.
SQL_LOG_MIN_MESSAGES

הגלאי הזה בודק אם הדגל log_min_messages ב-Cloud SQL ל-PostgreSQL לא מוגדר לערך warning.
SQL_PUBLIC_IP

הגלאי הזה בודק אם למסד נתונים של Cloud SQL יש כתובת IP חיצונית.
DATASET_CMEK_DISABLED

הגלאי הזה בודק אם התמיכה ב-CMEK מושבתת במערך נתונים של BigQuery.
FIREWALL_NOT_MONITORED

הגלאי הזה בודק אם מדדים מבוססי-יומן והתראות לא מוגדרים למעקב אחרי שינויים בכללי חומת האש של VPC.
SQL_LOG_STATEMENT

הגלאי הזה בודק אם הדגל log_statement ב-Cloud SQL ל-PostgreSQL לא מוגדר לערך ddl.
BIGQUERY_TABLE_CMEK_DISABLED

הגלאי הזה בודק אם טבלה ב-BigQuery לא מוגדרת לשימוש במפתח הצפנה בניהול הלקוח (CMEK). מידע נוסף זמין במאמר ממצאי פגיעויות במערך הנתונים.
CONFIDENTIAL_COMPUTING_DISABLED

הגלאי הזה בודק אם Confidential Computing מושבת.
SQL_INSTANCE_NOT_MONITORED

הגלאי הזה בודק אם הרישום ביומן מושבת לשינויים בהגדרות של Cloud SQL.
KMS_PUBLIC_KEY

הגלאי הזה בודק אם מפתח קריפטוגרפי של Cloud Key Management Service נגיש לכולם. מידע נוסף זמין במאמר מציאת נקודות חולשה ב-KMS.
DEFAULT_NETWORK

הגלאי הזה בודק אם רשת ברירת המחדל קיימת בפרויקט.
SQL_TRACE_FLAG_3625

הגלאי הזה בודק אם הדגל 3625 (trace flag) מושבת ב-Cloud SQL ל-SQL Server.
API_KEY_NOT_ROTATED

הגלאי הזה בודק אם מפתח API הוחלף ב-90 הימים האחרונים.
DNSSEC_DISABLED

הגלאי הזה בודק אם אבטחת DNS‏ (DNSSEC) מושבתת ב-Cloud DNS. מידע נוסף זמין במאמר ממצאי נקודות חולשה ב-DNS.
SQL_LOG_CONNECTIONS_DISABLED

הגלאי הזה בודק אם הדגל log_connections מושבת ב-Cloud SQL ל-PostgreSQL.
LEGACY_NETWORK

הגלאי הזה בודק אם קיימת רשת מדור קודם בפרויקט.
PUBLIC_IP_ADDRESS

הגלאי הזה בודק אם למכונה יש כתובת IP חיצונית.
FULL_API_ACCESS

הגלאי הזה בודק אם במכונה נעשה שימוש בחשבון שירות שמוגדר כברירת מחדל עם גישה מלאה לכל ממשקי ה-API של Google Cloud .
SQL_CONTAINED_DATABASE_AUTHENTICATION

הגלאי הזה בודק אם הדגל contained database authentication מופעל ב-Cloud SQL ל-SQL Server.
OS_LOGIN_DISABLED

הגלאי הזה בודק אם התכונה OS Login מושבתת.
SQL_USER_OPTIONS_CONFIGURED

הגלאי הזה בודק אם הדגל user options מוגדר ב-Cloud SQL ל-SQL Server.
ADMIN_SERVICE_ACCOUNT

הגלאי הזה בודק אם לחשבון שירות יש הרשאות אדמין, בעלים או עריכה.
DEFAULT_SERVICE_ACCOUNT_USED

הגלאי הזה בודק אם נעשה שימוש בחשבון השירות שמוגדר כברירת מחדל.
NETWORK_NOT_MONITORED

הגלאי הזה בודק אם מדדים מבוססי-יומנים והתראות לא מוגדרים למעקב אחרי שינויים ברשת VPC.
PUBLIC_BUCKET_ACL

הגלאי הזה בודק אם קטגוריה נגישה לציבור.
CUSTOM_ROLE_NOT_MONITORED

הגלאי הזה בודק אם הרישום ביומן מושבת לשינויים בתפקידים בהתאמה אישית.
SQL_LOG_ERROR_VERBOSITY

הגלאי הזה בודק אם הדגל log_error_verbosity ב-Cloud SQL ל-PostgreSQL לא מוגדר לערך default.
LOAD_BALANCER_LOGGING_DISABLED

הגלאי הזה בודק אם רישום ביומן מושבת במאזן העומסים.
OVER_PRIVILEGED_SERVICE_ACCOUNT_USER

הגלאי הזה בודק אם למשתמש יש תפקידים של חשבון שירות ברמת הפרויקט, במקום בחשבון שירות ספציפי.
SQL_REMOTE_ACCESS_ENABLED

הגלאי הזה בודק אם הדגל remote_access מופעל ב-Cloud SQL ל-SQL Server.
RSASHA1_FOR_SIGNING

הגלאי הזה בודק אם נעשה שימוש ב-RSASHA1 לחתימת מפתחות בתחומי DNS ב-Cloud DNS.
CLOUD_ASSET_API_DISABLED

הגלאי הזה בודק אם מאגר משאבי ענן מושבת.
BUCKET_POLICY_ONLY_DISABLED

הגלאי הזה בודק אם מוגדרות הרשאות גישה מאוחדות ברמת הקטגוריה (UBLA).
ROUTE_NOT_MONITORED

הגלאי הזה בודק אם מדדי מבוססי-יומן והתראות לא מוגדרים למעקב אחרי שינויים בנתיבים של רשת VPC.
OWNER_NOT_MONITORED

הגלאי הזה בודק אם הרישום ביומן מושבת להקצאות ולשינויים של Project Owner.

הצגת התבנית של מצב האבטחה

כדי לראות את תבנית מצב האבטחה של ISO 27001:

gcloud

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

  • ‫ORGANIZATION_ID: המזהה המספרי של הארגון.

מריצים את הפקודה gcloud scc posture-templates describe:

‫Linux,‏ macOS או Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/iso_27001

‏Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/iso_27001

Windows‏ (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/iso_27001

התשובה מכילה את התבנית של מצב האבטחה.

REST

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

  • ‫ORGANIZATION_ID: המזהה המספרי של הארגון.

ה-method של ה-HTTP וכתובת ה-URL: 

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/iso_27001

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

התשובה מכילה את התבנית של מצב האבטחה.

המאמרים הבאים