תבנית מוגדרת מראש של תנוחת אבטחה עבור NIST SP 800-53

בדף הזה מוסבר על מדיניות האיתור שכלולה בגרסה 1.0 של תבנית של מצב אבטחה מוגדרת מראש עבור התקן SP 800-53 של המכון הלאומי לתקנים ולטכנולוגיה (NIST). התבנית הזו כוללת קבוצת מדיניות שמגדירה את אמצעי הזיהוי של Security Health Analytics שחלים על עומסי עבודה שצריכים לעמוד בתקן NIST SP 800-53.

אפשר לפרוס את תבנית המצב הזו בלי לבצע שינויים.

גלאים של Security Health Analytics

בטבלה הבאה מתוארים הגלאים של Security Health Analytics שכלולים בתבנית הזו של תמונת מצב האבטחה.

שם המזהה תיאור
BIGQUERY_TABLE_CMEK_DISABLED

הגלאי הזה בודק אם טבלה ב-BigQuery לא מוגדרת לשימוש במפתח הצפנה בניהול הלקוח (CMEK). מידע נוסף זמין במאמר בנושא ממצאים של פגיעויות במערך נתונים.
PUBLIC_DATASET

הגלאי הזה בודק אם מערך נתונים מוגדר כפתוח לגישה ציבורית. מידע נוסף זמין במאמר בנושא ממצאים של פגיעויות במערך נתונים.
SQL_CROSS_DB_OWNERSHIP_CHAINING

הגלאי הזה בודק אם הדגל cross_db_ownership_chaining ב-Cloud SQL ל-SQL Server מופעל.
INSTANCE_OS_LOGIN_DISABLED

הגלאי הזה בודק אם OS Login לא מופעל.
SQL_SKIP_SHOW_DATABASE_DISABLED

הגלאי הזה בודק אם הדגל skip_show_database ב-Cloud SQL ל-MySQL מושבת.
SQL_EXTERNAL_SCRIPTS_ENABLED

הגלאי הזה בודק אם הדגל external scripts enabled ב-Cloud SQL ל-SQL Server מופעל.
VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED

הגלאי הזה בודק אם האפשרות VPC Flow Logs לא מופעלת.
API_KEY_EXISTS

הגלאי הזה בודק אם בפרויקט נעשה שימוש במפתחות API במקום באימות רגיל.
SQL_LOG_MIN_ERROR_STATEMENT_SEVERITY

הגלאי הזה בודק אם לדגל log_min_error_statement ב-Cloud SQL ל-PostgreSQL אין רמת חומרה מתאימה.
COMPUTE_SERIAL_PORTS_ENABLED

הכלי הזה בודק אם היציאות הטוריות מופעלות.
SQL_LOG_DISCONNECTIONS_DISABLED

הגלאי הזה בודק אם הדגל log_disconnections ב-Cloud SQL ל-PostgreSQL מושבת.
COMPUTE_PROJECT_WIDE_SSH_KEYS_ALLOWED

הכלי הזה בודק אם נעשה שימוש במפתחות SSH ברמת הפרויקט.
KMS_PROJECT_HAS_OWNER

הגלאי הזה בודק אם למשתמש יש הרשאת בעלים בפרויקט שכולל מפתחות.
KMS_KEY_NOT_ROTATED

הגלאי הזה בודק אם הרוטציה של ההצפנה ב-Cloud Key Management Service לא מופעלת.
ESSENTIAL_CONTACTS_NOT_CONFIGURED

הכלי הזה בודק אם הגדרתם לפחות איש קשר חיוני.
AUDIT_LOGGING_DISABLED

הגלאי הזה בודק אם רישום ביומני ביקורת מושבת במשאב.
LOCKED_RETENTION_POLICY_NOT_SET

הגלאי הזה בודק אם מדיניות שמירת הנתונים הנעולה מוגדרת ליומנים.
DNS_LOGGING_DISABLED

הגלאי הזה בודק אם רישום ביומן של DNS מופעל ברשת ה-VPC.
LOG_NOT_EXPORTED

הגלאי הזה בודק אם לא הוגדר sink ביומן עבור משאב.
KMS_ROLE_SEPARATION

הגלאי הזה בודק את הפרדת התפקידים במפתחות Cloud KMS.
DISK_CSEK_DISABLED

הגלאי הזה בודק אם התמיכה במפתח הצפנה באספקת הלקוח (CSEK) מושבתת במכונה וירטואלית.
SQL_USER_CONNECTIONS_CONFIGURED

הגלאי הזה בודק אם הדגל user connections ב-Cloud SQL ל-SQL Server מוגדר.
API_KEY_APIS_UNRESTRICTED

הכלי הזה בודק אם נעשה שימוש במפתחות API בצורה רחבה מדי.
SQL_LOG_MIN_MESSAGES

הגלאי הזה בודק אם הדגל log_min_messages ב-Cloud SQL ל-PostgreSQL לא מוגדר ל-warning.
SQL_LOCAL_INFILE

הגלאי הזה בודק אם הדגל local_infile ב-Cloud SQL ל-MySQL מופעל.
SQL_LOG_MIN_DURATION_STATEMENT_ENABLED

הגלאי הזה בודק אם הדגל log_min_duration_statement ב-Cloud SQL ל-PostgreSQL לא מוגדר ל--1.
DATASET_CMEK_DISABLED

הגלאי הזה בודק אם התמיכה ב-CMEK מושבתת במערך נתונים של BigQuery.
OPEN_SSH_PORT

הכלי הזה בודק אם לחומת אש יש יציאת SSH פתוחה שמאפשרת גישה כללית. מידע נוסף זמין במאמר מציאת נקודות חולשה בחומת האש.
FIREWALL_NOT_MONITORED

הגלאי הזה בודק אם מדדי היומן וההתראות לא מוגדרים למעקב אחרי שינויים בכללי חומת האש של VPC.
SQL_LOG_STATEMENT

הגלאי הזה בודק אם הדגל log_statement בשרת Cloud SQL ל-PostgreSQL לא מוגדר ל-ddl.
SQL_PUBLIC_IP

הגלאי הזה בודק אם למסד נתונים של Cloud SQL יש כתובת IP חיצונית.
IP_FORWARDING_ENABLED

הגלאי הזה בודק אם העברת ה-IP מופעלת.
DATAPROC_CMEK_DISABLED

הכלי הזה בודק אם התמיכה ב-CMEK מושבתת באשכול Managed Service for Apache Spark.
CONFIDENTIAL_COMPUTING_DISABLED

הגלאי הזה בודק אם Confidential Computing מושבת.
KMS_PUBLIC_KEY

הגלאי הזה בודק אם מפתח קריפטוגרפי של Cloud Key Management Service נגיש לציבור. מידע נוסף זמין במאמר מציאת נקודות חולשה ב-KMS.
SQL_INSTANCE_NOT_MONITORED

הגלאי הזה בודק אם הרישום מושבת לשינויים בהגדרות של Cloud SQL.
SQL_TRACE_FLAG_3625

הגלאי הזה בודק אם הדגל 3625 (trace flag) ב-Cloud SQL ל-SQL Server מושבת.
DEFAULT_NETWORK

הגלאי הזה בודק אם רשת ברירת המחדל קיימת בפרויקט.
DNSSEC_DISABLED

הגלאי הזה בודק אם האבטחה של DNS ‏ (DNSSEC) מושבתת ב-Cloud DNS. מידע נוסף זמין במאמר בנושא ממצאים של נקודות חולשה ב-DNS.
API_KEY_NOT_ROTATED

הגלאי הזה בודק אם בוצע שינוי במפתח API ב-90 הימים האחרונים.
SQL_LOG_CONNECTIONS_DISABLED

הגלאי הזה בודק אם הדגל log_connections ב-Cloud SQL ל-PostgreSQL מושבת.
LEGACY_NETWORK

הגלאי הזה בודק אם קיימת רשת מדור קודם בפרויקט.
IAM_ROOT_ACCESS_KEY_CHECK

הכלי הזה בודק אם יש גישה למפתח הגישה של חשבון הבסיס ב-IAM.
PUBLIC_IP_ADDRESS

הגלאי הזה בודק אם למכונה יש כתובת IP חיצונית.
OPEN_RDP_PORT

הגלאי הזה בודק אם לחומת אש יש יציאת RDP פתוחה.
INSTANCE_OS_LOGIN_DISABLED

הגלאי הזה בודק אם OS Login לא מופעל.
ADMIN_SERVICE_ACCOUNT

הכלי הזה בודק אם לחשבון שירות יש הרשאות אדמין, בעלים או עריכה.
SQL_USER_OPTIONS_CONFIGURED

הגלאי הזה בודק אם הדגל user options ב-Cloud SQL ל-SQL Server מוגדר.
FULL_API_ACCESS

הגלאי הזה בודק אם מופע משתמש בחשבון שירות שמוגדר כברירת מחדל עם גישה מלאה לכל Google Cloud ממשקי ה-API.
DEFAULT_SERVICE_ACCOUNT_USED

הכלי הזה בודק אם נעשה שימוש בחשבון השירות שמוגדר כברירת מחדל.
NETWORK_NOT_MONITORED

הגלאי הזה בודק אם מדדי יומן והתראות לא מוגדרים למעקב אחרי שינויים ברשת VPC.
SQL_CONTAINED_DATABASE_AUTHENTICATION

הגלאי הזה בודק אם הדגל contained database authentication ב-Cloud SQL ל-SQL Server מופעל.
PUBLIC_BUCKET_ACL

הכלי הזה בודק אם יש גישה ציבורית לקטגוריה.
LOAD_BALANCER_LOGGING_DISABLED

הגלאי הזה בודק אם הרישום ביומן מושבת במאזן העומסים.
OVER_PRIVILEGED_SERVICE_ACCOUNT_USER

הגלאי הזה בודק אם למשתמש יש תפקידים בחשבון שירות ברמת הפרויקט, במקום בחשבון שירות ספציפי.
SQL_REMOTE_ACCESS_ENABLED

הגלאי הזה בודק אם הדגל remote_access ב-Cloud SQL ל-SQL Server מופעל.
CUSTOM_ROLE_NOT_MONITORED

הגלאי הזה בודק אם הרישום ביומן מושבת לשינויים בתפקידים בהתאמה אישית.
AUTO_BACKUP_DISABLED

הגלאי הזה בודק אם הגיבויים האוטומטיים של מסד נתונים ב-Cloud SQL מושבתים.
RSASHA1_FOR_SIGNING

הגלאי הזה בודק אם נעשה שימוש ב-RSASHA1 לחתימה על מפתחות באזורי Cloud DNS.
CLOUD_ASSET_API_DISABLED

הגלאי הזה בודק אם מאגר משאבי הענן מושבת.
SQL_LOG_ERROR_VERBOSITY

הגלאי הזה בודק אם הדגל log_error_verbosity ב-Cloud SQL ל-PostgreSQL לא מוגדר ל-default.
ROUTE_NOT_MONITORED

הגלאי הזה בודק אם מדדי יומן והתראות לא מוגדרים למעקב אחר שינויים בנתיב של רשת VPC.
BUCKET_POLICY_ONLY_DISABLED

הכלי הזה בודק אם הוגדרה גישה אחידה ברמת הקטגוריה.
BUCKET_IAM_NOT_MONITORED

הגלאי הזה בודק אם רישום ביומן מושבת לשינויים בהרשאות IAM ב-Cloud Storage.
PUBLIC_SQL_INSTANCE

הגלאי הזה בודק אם Cloud SQL מאפשר חיבורים מכל כתובות ה-IP.
SERVICE_ACCOUNT_ROLE_SEPARATION

הגלאי הזה בודק אם יש הפרדת תפקידים במפתחות של חשבונות שירות.
AUDIT_CONFIG_NOT_MONITORED

הגלאי הזה בודק אם מתבצע מעקב אחרי שינויים בהגדרות הביקורת.
OWNER_NOT_MONITORED

הגלאי הזה בודק אם הרישום מושבת עבור הקצאות ושינויים של בעלות על פרויקטים.

הצגת תבנית של מצב אבטחה

כדי לראות את תבנית המצב של NIST 800-53:

gcloud

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

  • ‫ORGANIZATION_ID: המזהה המספרי של הארגון.

מריצים את הפקודה gcloud scc posture-templates describe:

‫Linux,‏ macOS או Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/nist_800_53

‏Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/nist_800_53

Windows‏ (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/nist_800_53

התשובה מכילה את תבנית המצב.

REST

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

  • ‫ORGANIZATION_ID: המזהה המספרי של הארגון.

ה-method של ה-HTTP וכתובת ה-URL: 

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/nist_800_53

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

התשובה מכילה את תבנית המצב.

המאמרים הבאים