Security Command Center 服務方案

Security Command Center 提供三種服務級別：Standard、Premium 和 Enterprise。每個級別決定了您在 Security Command Center 中可使用的功能和服務。以下簡短說明各服務級別：

  • Standard-legacy。支援 Google Cloud 的基本安全防護與法規遵循情形管理功能。在某些組織中，Standard-legacy 級別可能會遷移至 Standard 級別。
  • Standard：支援Google Cloud 的基本安全防護與法規遵循情形管理功能。Standard 級別可在組織層級啟用。最適合 Google Cloud 有基礎安全性需求的環境。

  • Premium。Standard 的所有功能，外加 Google Cloud 專屬的進階安全防護機制和法規遵循情形管理、攻擊路徑分析、威脅偵測和法規遵循監控功能。您可以在專案或組織層級啟用進階級。Premium 方案提供兩種計費模式：

    • 即付即用：適合需要彈性的客戶。
    • 適合需求較可預測的客戶。

  • Enterprise：(已淘汰) 完整的多雲端 CNAPP 安全性，可協助您分類及修復最重大的問題。包含 Premium 方案的大部分服務。Enterprise 級別只能在組織層級啟用。最適合用於保護 Google Cloud、AWS 和 Azure。

標準級不需額外付費，進階級和企業級則有不同的定價結構。詳情請參閱「Security Command Center 定價」。

如要瞭解 Security Command Center Enterprise 級別支援的 Google SecOps 功能，請參閱「Security Command Center Enterprise 中的 Google SecOps 功能」。

服務 服務級別
標準 (舊版) 標準 Premium Enterprise (已淘汰)
安全漏洞偵測
安全漏洞掃描
異常偵測1：識別專案和虛擬機器 (VM) 執行個體的安全性異常狀況，例如憑證可能遭到外洩或出現加密貨幣挖礦行為等現象。 222
Artifact Registry 安全漏洞評估。 自動將 Artifact Registry 掃描結果寫入 Security Command Center，偵測部署至特定資產的容器映像檔是否有安全漏洞。222
Sensitive Data Protection 探索1：探索、分類及保護機密資料。 33
Google Cloud安全漏洞評估。 協助您找出 Compute Engine VM 執行個體中嚴重性為「重大」和「高」的軟體安全漏洞，無須安裝代理程式。Standard 級別提供有限的功能。4
Agent Platform 安全漏洞評估 (預先發布版)。 Gemini Enterprise Agent Platform 的 Agent Platform 漏洞評估掃描作業會自動將發現項目寫入 Security Command Center，包括有漏洞的代理工作負載，以及容器映像檔中的明文密鑰。
外部暴露 (預先發布版)。 自動探索暴露在外的外部資產、追蹤完整網路路徑，並協助驗證實際可利用性，無須手動設定。
Notebook Security Scanner (預先發布版)。偵測並解決 Colab Enterprise 筆記本中使用的 Python 套件安全漏洞。
VM 管理員 安全漏洞報告 (預先發布版)。1如果您啟用 VM 管理員，系統會自動將安全漏洞報告中的發現項目寫入 Security Command Center。2
AWS 安全漏洞評估。 偵測 AWS 資源中的安全漏洞，包括 Amazon EC2 執行個體上安裝的軟體，以及 Elastic Container Registry (ECR) 映像檔。
安全狀態分析

Google Cloud 的代管安全漏洞評估掃描功能，可自動偵測 Google Cloud 資產中嚴重性最高的安全漏洞和設定錯誤。

不支援新啟用的標準級。從 Standard-legacy 級別遷移的組織，可在 Standard 級別使用部分功能。

4
法規遵循情形監控功能。 安全狀態分析偵測工具會對應至常見安全性基準的控管措施，例如 NIST、健康保險流通與責任法案、PCI DSS 和 CIS。
自訂模組支援。 建立自訂安全狀態分析偵測工具。
Web Security Scanner
自訂掃描。 針對已部署的 Compute Engine、Google Kubernetes Engine 或 App Engine 網頁應用程式，排定及執行自訂掃描。這些應用程式必須具有公開網址和 IP 位址，且不受防火牆保護。
其他 OWASP 前 10 大偵測工具
代管掃描。 每週掃描公開網路端點，找出安全漏洞。掃描作業由 Security Command Center 設定及管理。
虛擬紅隊演練
攻擊路徑模擬。 找出潛在攻擊者可能用來存取高價值資源的路徑，協助您找出安全漏洞和設定錯誤發現項目，並排定優先順序。 2
Chokepoints. 找出多個攻擊路徑交會的資源或資源群組。
問題。 找出 Security Command Center 在雲端環境中發現的最重要安全風險。系統會使用虛擬紅隊演練，以及依據 Security Command Center 安全圖譜的規則偵測功能，找出問題。2
預先定義的安全圖譜規則。 預先定義的安全圖譜規則會根據安全圖譜中的模式，偵測安全性狀況。
風險報告 (預先發布版)。 風險報告可協助您瞭解 Security Command Center 執行的攻擊路徑模擬結果。風險報告包含高階總覽、有害組合範例，以及相關聯的攻擊路徑。2
範圍問題 (預先發布版)。 查看資料夾、專案或應用程式範圍的問題。
有害組合。 偵測一組風險，如果這些風險以特定模式同時發生，就會導致一或多個高價值資源產生漏洞，讓準備充分的攻擊者獲得入侵資源的機會。
其他安全漏洞服務
Compute Engine 安全風險資訊主頁發現項目。 查看影響 Compute Engine 資源的安全風險。
GKE 資安態勢資訊主頁發現項目 (預先發布版)。查看 Kubernetes 工作負載安全性設定錯誤、可採取行動的安全性公告，以及容器作業系統或語言套件中的安全漏洞。
Model Armor。 篩選 LLM 提示詞和回覆，找出安全風險。Model Armor 每月會免費提供一定數量的權杖給所有 Google Cloud 客戶。詳情請參閱「定價」一文。Model Armor 發現項目會發布至 Security Command Center 的 Premium 和 Enterprise 級別。
Mandiant CVE 評估 (預先發布版)。Mandiant 威脅情報分析師會提供 CVE 評估結果，包括 CVE 可利用性和潛在影響，讓發現項目更豐富。您可以依 CVE ID 查詢發現項目。Standard 級別僅提供部分功能。 4
Artifact Guard (預先發布版)。(已淘汰) Artifact Guard 服務可協助您在建構過程中，防止部署有安全漏洞的套件。Artifact Guard 支援三種政策範圍：CI/CD 平台、儲存庫和執行階段。
Mandiant Attack Surface Management。 探索及分析各環境中的網際網路資產，同時持續監控外部生態系統，檢查是否有可能遭人利用的漏洞。5
防護機制和政策
二進位授權。1 在開發及部署容器型應用程式時，實施軟體供應鏈安全措施。監控及限制容器映像檔的部署作業。 222

雲端基礎架構權限管理 (CIEM)。 找出設定錯誤、權限過多或具備雲端資源私密資訊權限的主體帳戶 (身分)。

6
Cyber Insurance Hub。1 分析貴組織的技術風險狀況並產生報告。 222
基礎架構即程式碼 (IaC) 驗證。 根據組織政策和安全狀態分析偵測工具進行驗證。22
Policy Controller。1 您可以透過這項功能，對 Kubernetes 叢集套用並強制執行可設定的政策。 222

Policy Intelligence. 提供工具，協助您瞭解及管理存取權政策，主動改善安全性設定。

Policy Intelligence 為 Google Cloud 客戶免費提供部分功能，例如基本角色建議，以及每月有限的查詢次數。Security Command Center Premium 和 Enterprise 使用者可使用進階功能。詳情請參閱「定價」。

AI Protection。 AI Protection 可偵測威脅，並協助您降低 AI 資產清單的風險，進而管理 AI 工作負載的資安態勢。4
Compliance Manager。 定義、部署、監控及稽核控管機制和架構，協助您滿足 Google Cloud 環境的安全性和法規遵循義務。Standard 級別提供有限的功能。47、88
Data Security Posture Management (DSPM)。 (已淘汰) 評估、部署及稽核資料安全性架構和雲端控管機制，控管機密資料的存取和使用。Standard 級別僅提供部分功能。 2、42
資安態勢。 定義及部署資安態勢，監控 Google Cloud資源的安全狀態。解決防護機制偏離和未經授權變更的問題。在 Enterprise 級別，您也可以監控 AWS 環境。2
威脅偵測與應變
Google Cloud Armor1：保護 Google Cloud 部署項目，防範分散式阻斷攻擊 (DDoS)、跨網站指令碼攻擊 (XSS) 和 SQL 注入 (SQLi) 等威脅。222
敏感動作服務。 偵測 Google Cloud 組織、資料夾和專案中採取的動作，如果這些動作是由惡意行為人採取，可能會對您的業務造成損害。
Agent Platform Threat Detection (預先發布版)。 偵測透過 Agent Runtime 部署及管理的代理，是否遭受執行階段攻擊。
Cloud Run Threat Detection。 偵測 Cloud Run 容器中的執行階段攻擊。
Container Threat Detection。 偵測 Container-Optimized OS 節點映像檔中的執行階段攻擊。
Correlated Threats (預先發布版)。 協助您做出更明智的資安事件決策。這項功能會使用安全圖譜，將相關的威脅發現項目合併在一起，協助您排定優先順序並因應活躍威脅。
Event Threat Detection。 監控 Cloud Logging 和 Google Workspace，並運用威脅情報、機器學習和其他進階方法，偵測惡意軟體、加密貨幣挖礦和資料竊取等威脅。
虛擬機器威脅偵測。 偵測在 VM 執行個體中運作的潛在惡意應用程式。

Google SecOps。 與 Security Command Center 整合，協助您偵測、調查及因應威脅。 Google SecOps 包含下列項目：

Mandiant Threat Defense。 Mandiant 專家會持續搜尋威脅，揭露攻擊者活動，減少對業務的影響。

Mandiant Threat Defense 預設為未啟用。如要瞭解詳情和定價，請洽詢業務代表或 Google Cloud 合作夥伴。

資料管理
資料落地與加密設定
客戶自行管理的加密金鑰 (CMEK)。 使用您建立的 Cloud Key Management Service 金鑰，加密選定的 Security Command Center 資料。根據預設，Security Command Center 資料會以 Google-owned and Google-managed encryption keys進行靜態資料加密。222
資料落地。 這類控制項可限制 Security Command Center 發現項目、忽略規則、持續匯出和 BigQuery Export 作業的儲存和處理，僅限於 Security Command Center 支援的其中一個資料落地多區域。222
修改資料落地和資料加密設定。 在啟用 Security Command Center 後，變更資料落地或資料加密設定。222
發現項目匯出
BigQuery 匯出作業。 將 Security Command Center 的發現項目匯出至 BigQuery，可以一次大量匯出，也可以啟用持續匯出功能。
Pub/Sub 持續匯出
Cloud Logging 持續匯出2
其他功能
App Hub 整合。 Security Command Center 與 App Hub 整合，可讓您在調查發現項目和問題時，篩選與特定應用程式註冊資源相關的資料。
Cloud Hub 安全性與法規遵循頁面 (預先發布版)。Security Command Center 與 Cloud Hub 整合，可協助您快速找出重大風險。
整合 Application Design Center，驗證基礎架構即程式碼 (IaC)。 透過與 Application Design Center 和基礎架構即程式碼 (IaC) 驗證整合，查看在 App Hub 註冊的應用程式設計階段發現項目。
Assured Open Source Software。 將 Google 保護及使用的套件整合至自家開發人員工作流程，即可享有 Google 為開放原始碼軟體提供的資安機制和服務。2
圖譜搜尋 (預先發布版)。 查詢安全圖譜，找出環境中要監控的潛在安全漏洞。 2

Privileged Access Manager。 Privileged Access Manager 可協助您控管特定主體的即時暫時權限提升，並提供稽核記錄，追蹤誰在何時存取了哪些資源。

Security Command Center 提供下列功能：

2
在 Cloud Asset Inventory 中使用 SQL 查詢資產
要求更多 Cloud Asset Inventory 配額
支援多雲端。 將 Security Command Center 連結至其他雲端服務供應商，偵測威脅、安全漏洞和錯誤設定。評估外部雲端高價值資源的受攻擊風險分數和攻擊路徑。支援的雲端服務供應商：AWS、Azure。

  1. 這項 Google Cloud 服務與組織層級啟用的 Security Command Center 整合，可提供發現項目。這項服務的一或多項功能可能與 Security Command Center 分開計價。
  2. 必須在機構層級啟用。
  3. 預設為未啟用。如需更多資訊和定價詳情，請洽詢業務代表或 Google Cloud 合作夥伴。
  4. 這項服務或功能在 Standard 級別提供的功能有限。
  5. 如果啟用資料落地控管機制，則不支援這項功能。
  6. 如果啟用資料落地控管機制，這項功能僅支援 Google Cloud。
  7. 這項功能不支援客戶自行管理的加密金鑰 (CMEK)。
  8. 不支援資料落地。