Security Command Center-Dienststufen

Das Security Command Center wird in drei Dienststufen angeboten: Standard, Premium und Enterprise. Die einzelnen Stufen bestimmen die Funktionen und Dienste, die Ihnen im Security Command Center zur Verfügung stehen. Im Folgenden finden Sie eine kurze Beschreibung der einzelnen Dienstleistungsvarianten:

  • Standard-Legacy: Unterstützt die grundlegende Verwaltung des Sicherheits- und Compliancestatus nur für Google Cloud . Die Standard-Legacy-Stufe wird in einigen Organisationen möglicherweise zur Standardstufe migriert.
  • Standard: Unterstützt die grundlegende Verwaltung des Sicherheits- und Compliancestatus nur fürGoogle Cloud . Die Standard-Stufe kann auf Organisationsebene aktiviert werden. Am besten geeignet für Google Cloud -Umgebungen mit minimalen Sicherheitsanforderungen.

  • Premium Alles in Standard sowie erweiterte Verwaltung des Sicherheits- und Compliancestatus, Angriffspfade, Bedrohungserkennung und Compliance-Monitoring nur für Google Cloud . Die Premium-Stufe kann auf Projekt- oder Organisationsebene aktiviert werden. Premium wird in zwei Abrechnungsmodellen angeboten:

    • „Pay as you go“ für Kunden, die Flexibilität wünschen.
    • Abo für Kunden mit besser vorhersehbarem Bedarf.

  • Enterprise (Verworfen) Umfassende Multi-Cloud-CNAPP-Sicherheit, mit der Sie Ihre kritischsten Probleme priorisieren und beheben können. Umfasst die meisten Dienste, die in Premium enthalten sind. Die Enterprise-Stufe kann nur auf Organisationsebene aktiviert werden. Bestens geeignet zum Schutz von Google Cloud, AWS und Azure.

Die Standard-Stufe wird ohne zusätzliche Kosten angeboten, während die Premium- und Enterprise-Stufen unterschiedliche Preisstrukturen haben. Weitere Informationen finden Sie unter Security Command Center-Preise.

Informationen zu den Google SecOps-Funktionen, die in der Security Command Center Enterprise-Stufe unterstützt werden, finden Sie unter Google SecOps-Funktionen in Security Command Center Enterprise.

Dienst Dienststufe
Standard-Legacy Standard Premium Enterprise (eingestellt)
Erkennung von Sicherheitslücken
Scannen auf Sicherheitslücken
Anomalieerkennung.1 Identifiziert Sicherheitsanomalien für Ihre Projekte und VM-Instanzen, z. B. potenzielle gehackte Anmeldedaten und Mining von Kryptowährungen. 222
Artifact Registry-Sicherheitslückenbewertung. Ergebnisse aus Artifact Registry-Scans, bei denen anfällige Container-Images erkannt werden, die auf bestimmten Assets bereitgestellt wurden, werden automatisch in das Security Command Center geschrieben. 222
Sensitive Data Protection-Erkennung.1 Erkennt, klassifiziert und schützt sensible Daten. 33
Sicherheitslückenbewertung für Google Cloud. Hilft Ihnen, kritische und schwerwiegende Software-Sicherheitslücken in Ihren Compute Engine-VM-Instanzen zu erkennen, ohne Agents zu installieren. In der Standard-Stufe ist nur eine begrenzte Anzahl von Funktionen verfügbar. 4
Agent Platform Vulnerability Assessment (Vorabversion). Ergebnisse aus Scans der Agent Platform Vulnerability Assessment der Gemini Enterprise Agent Platform werden automatisch in das Security Command Center geschrieben, einschließlich anfälliger agentischer Arbeitslasten und Klartext-Secrets in Container-Images.
Externe Gefährdung (Vorschau). Sie können automatisch exponierte externe Assets erkennen, den gesamten Netzwerkpfad verfolgen und die reale Ausnutzbarkeit ohne manuelle Konfiguration validieren.
Notebook Security Scanner (Vorabversion). Sicherheitslücken in Python-Paketen erkennen und beheben, die in Colab Enterprise-Notebooks verwendet werden.
VM Manager-Berichte zu Sicherheitslücken (Vorschau).1 Wenn Sie VM Manager aktivieren, werden die Ergebnisse aus den Berichten zu Sicherheitslücken automatisch in Security Command Center geschrieben. 2
Sicherheitslückenbewertung für AWS. Erkennt Sicherheitslücken in AWS-Ressourcen, einschließlich Software, die auf Amazon EC2-Instanzen und in Elastic Container Registry-Images (ECR) installiert ist.
Security Health Analytics

Verwaltetes Scannen zur Bewertung von Sicherheitslücken für Google Cloud , mit dem die schwerwiegendsten Sicherheitslücken und Fehlkonfigurationen für Ihre Google Cloud -Assets automatisch erkannt werden können.

Wird bei neuen Aktivierungen der Standardstufe nicht unterstützt. In der Standard-Stufe ist eine Teilmenge der Funktionen für Organisationen verfügbar, die von der Standard-Legacy-Stufe migriert wurden.

4
Compliance-Monitoring. Security Health Analytics-Detektoren werden den Kontrollen gängiger Sicherheitsbenchmarks wie NIST, HIPAA, PCI-DSS und CIS zugeordnet.
Unterstützung für benutzerdefinierte Module. Erstellen Sie Ihre eigenen benutzerdefinierten Security Health Analytics-Detektoren.
Web Security Scanner
Benutzerdefinierte Scans Sie können benutzerdefinierte Scans für bereitgestellte Compute Engine-, Google Kubernetes Engine- oder App Engine-Webanwendungen planen und ausführen, die öffentliche URLs und IP-Adressen haben und sich nicht hinter Firewalls befinden.
Zusätzliche OWASP Top Ten-Detektoren
Verwaltete Scans. Öffentliche Webendpunkte werden wöchentlich auf Sicherheitslücken gescannt. Die Scans werden vom Security Command Center konfiguriert und verwaltet.
Virtuelles Red Teaming
Angriffspfadsimulationen Hilft Ihnen, Sicherheitslücken und Fehlkonfigurationen zu identifizieren und zu priorisieren, indem die Pfade ermittelt werden, über die ein potenzieller Angreifer auf Ihre hochwertigen Ressourcen zugreifen könnte. 2
Engpässe Identifiziert Ressourcen oder Ressourcengruppen, in denen mehrere Angriffspfade zusammenlaufen.
Probleme. Identifiziert die wichtigsten Sicherheitsrisiken, die Security Command Center in Ihren Cloud-Umgebungen gefunden hat. Probleme werden mithilfe von virtuellem Red Teaming und regelbasierten Erkennungen erkannt, die auf dem Security Command Center-Sicherheitsgraphen basieren. 2
Vordefinierte Sicherheitsgraphregeln Vordefinierte Sicherheitsdiagrammregeln erkennen Sicherheitsbedingungen anhand von Mustern im Sicherheitsdiagramm.
Risikoberichte (Vorabversion). Risikoberichte helfen Ihnen, die Ergebnisse der Angriffspfadsimulationen zu verstehen, die Security Command Center ausführt. Ein Risikobericht enthält eine allgemeine Übersicht, Beispiele für schädliche Kombinationen und zugehörige Angriffspfade. 2
Probleme mit eingeschränktem Geltungsbereich (Vorabversion). Probleme auf Ordner-, Projekt- oder Anwendungsebene ansehen
Schädliche Kombinationen: Erkennt Risikogruppen, die im Zusammenspiel einen Pfad zu einer oder mehreren Ihrer hochwertigen Ressourcen eröffnen. Ein entschlossener Angreifer könnte diesen ausnutzen, um auf diese Ressourcen zuzugreifen und sie zu gefährden.
Andere Dienste für Sicherheitslücken
Compute Engine-Sicherheitsrisiko-Dashboard-Ergebnisse Sehen Sie sich die Sicherheitsrisiken an, die sich auf Ihre Compute Engine-Ressourcen auswirken.
Ergebnisse des GKE-Sicherheitsstatus-Dashboards (Vorabversion). Ergebnisse zu Fehlkonfigurationen der Kubernetes-Arbeitslastsicherheit, umsetzbare Sicherheitsbulletins und Sicherheitslücken im Container-Betriebssystem oder in Sprachpaketen ansehen.
Model Armor. LLM-Prompts und ‑Antworten auf Sicherheitsrisiken prüfen. Model Armor bietet allen Google Cloud -Kunden eine bestimmte Anzahl von Tokens pro Monat kostenlos. Weitere Informationen finden Sie unter Preise. Model Armor-Ergebnisse werden im Security Command Center auf den Premium- und Enterprise-Stufen veröffentlicht.
Mandiant-CVE-Bewertungen (Vorabversion). Die Ergebnisse werden mit CVE-Bewertungen von Mandiant Threat Intelligence-Analysten angereichert, einschließlich der CVE-Ausnutzbarkeit und der potenziellen Auswirkungen. Sie können Ergebnisse nach CVE-ID abfragen. In der Standardstufe ist nur eine begrenzte Anzahl von Funktionen verfügbar. 4
Artifact Guard (Vorabversion). (Verworfen) Artifact Guard ist ein Dienst, mit dem Sie die Bereitstellung anfälliger Pakete während des Build-Prozesses verhindern können. Artifact Guard unterstützt drei Arten von Richtlinienbereichen: CI/CD-Plattform, Registry und Laufzeit.
Mandiant Attack Surface Management. Entdeckt und analysiert Ihre Internet-Assets in verschiedenen Umgebungen und überwacht die externe Umgebung kontinuierlich auf ausnutzbare Schwachstellen. 5
Sicherheitsstatus und Richtlinien
Binärautorisierung.1 Implementieren Sie Sicherheitsmaßnahmen für die Softwarelieferkette, wenn Sie containerbasierte Anwendungen entwickeln und bereitstellen. Bereitstellung von Container-Images überwachen und einschränken 222

Cloud Infrastructure Entitlement Management (CIEM). Identifizieren Sie Hauptkonten (Identitäten), die falsch konfiguriert sind, denen übermäßige Berechtigungen gewährt wurden oder denen vertrauliche Berechtigungen für Ihre Cloud-Ressourcen gewährt wurden.

6
Cyber Insurance Hub.1 Erstellen Sie ein Profil und Berichte für den technischen Risikostatus Ihrer Organisation. 222
Infrastruktur als Code (IaC) validieren Validierung anhand von Organisationsrichtlinien und Security Health Analytics-Detektoren 22
Policy Controller.1 Ermöglicht die Anwendung und Erzwingung programmierbarer Richtlinien für Ihre Kubernetes-Cluster. 222

Policy Intelligence. Bietet Tools, mit denen Sie Ihre Zugriffsrichtlinien nachvollziehen und verwalten können, um Ihre Sicherheitskonfiguration proaktiv zu verbessern.

Policy Intelligence bietet Google Cloud -Kunden einige kostenlose Funktionen, z. B. Empfehlungen für einfache Rollen und eine begrenzte Anzahl von Abfragen pro Monat. Erweiterte Funktionen sind für Nutzer von Security Command Center Premium und Enterprise verfügbar. Weitere Informationen finden Sie unter Preise.

KI-Schutz: AI Protection unterstützt Sie bei der Verwaltung des Sicherheitsstatus Ihrer KI-Arbeitslasten, indem Bedrohungen erkannt und Risiken für Ihr KI-Asset-Inventar minimiert werden. 4
Compliance-Manager. Sie können Kontrollen und Frameworks definieren, bereitstellen, überwachen und prüfen, die Ihnen helfen, die Sicherheits- und Compliance-Anforderungen für Ihre Google Cloud -Umgebung zu erfüllen. In der Standard-Stufe ist nur eine begrenzte Anzahl von Funktionen verfügbar. 47, 88
Datensicherheitsstatus-Verwaltung (Data Security Posture Management, DSPM): (Verworfen) Datensicherheits-Frameworks und Cloud-Kontrollen bewerten, bereitstellen und prüfen, um den Zugriff auf sensible Daten und deren Verwendung zu steuern. In der Standard-Stufe ist nur eine begrenzte Anzahl von Funktionen verfügbar. 2, 42
Sicherheitsstatus: Definieren und stellen Sie einen Sicherheitsstatus bereit, um den Sicherheitsstatus Ihrer Google Cloud-Ressourcen zu überwachen. Beheben Sie Abweichungen vom Status und nicht autorisierte Änderungen am Status. In der Enterprise-Stufe können Sie auch Ihre AWS-Umgebung überwachen. 2
Bedrohungserkennung und ‑abwehr
Google Cloud Armor.1 Schützt Google Cloud -Bereitstellungen vor Bedrohungen wie DDoS-Angriffen (Distributed Denial of Service), Cross-Site-Scripting (XSS) und SQL-Injection (SQLi). 222
Sensitive Actions Service. Erkennt, wenn in Ihrer Organisation, Ihren Ordnern und Projekten von Google Cloud Aktionen ausgeführt werden, die Ihrem Unternehmen schaden könnten, wenn sie von einem böswilligen Akteur ausgeführt werden.
Agent Platform Threat Detection (Vorabversion). Erkennt Laufzeitangriffe auf KI-Agenten, die über Agent Runtime bereitgestellt und verwaltet werden.
Cloud Run Threat Detection. Erkennt Laufzeitangriffe in Cloud Run-Containern.
Container Threat Detection Erkennt Laufzeitangriffe in Container-Optimized OS-Knoten-Images.
Korrelierte Bedrohungen (Vorabversion). Hilft Ihnen, fundiertere Entscheidungen zu Sicherheitsvorfällen zu treffen. Diese Funktion kombiniert ähnliche Bedrohungsergebnisse mithilfe des Sicherheitsdiagramms, damit Sie aktive Bedrohungen priorisieren und darauf reagieren können.
Event Threat Detection. Überwacht Cloud Logging und Google Workspace mithilfe von Threat Intelligence, maschinellem Lernen und anderen fortschrittlichen Methoden, um Bedrohungen wie Malware, Kryptowährungs-Mining und Daten-Exfiltration zu erkennen.
Virtual Machine Threat Detection. Erkennt potenziell schädliche Anwendungen, die in VM-Instanzen ausgeführt werden.

Google SecOps. Wird in Security Command Center eingebunden, um Sie beim Erkennen, Untersuchen und Beheben von Bedrohungen zu unterstützen. Google SecOps umfasst Folgendes:

Mandiant Threat Defense. Die Experten von Mandiant unterstützen Sie kontinuierlich bei der Suche nach Bedrohungen, um Angreiferaktivitäten aufzudecken und die Auswirkungen auf Ihr Unternehmen zu verringern.

Mandiant Threat Defense ist nicht standardmäßig aktiviert. Weitere Informationen und Preisdetails erhalten Sie von Ihrem Vertriebsmitarbeiter oder Google Cloud-Partner.

Datenverwaltung
Datenstandort und ‑verschlüsselung
Kundenverwaltete Verschlüsselungsschlüssel (CMEK). Verwenden Sie von Ihnen erstellte Cloud Key Management Service-Schlüssel, um ausgewählte Security Command Center-Daten zu verschlüsseln. Standardmäßig werden ruhende Security Command Center-Daten mit Google-owned and Google-managed encryption keysverschlüsselt. 222
Datenstandort Steuerelemente, die die Speicherung und Verarbeitung von Security Command Center-Ergebnissen, Ausblendungsregeln, kontinuierlichen Exporten und BigQuery-Exporten auf eine der von Security Command Center unterstützten multiregionalen Datenstandorte beschränken. 222
Datenstandort und Datenverschlüsselung ändern Die Konfiguration des Datenstandorts oder der Datenverschlüsselung ändern, nachdem Sie Security Command Center aktiviert haben. 222
Ergebnisse exportieren
BigQuery-Exporte. Ergebnisse aus Security Command Center nach BigQuery exportieren, entweder als einmaligen Bulk-Export oder durch Aktivieren von kontinuierlichen Exporten.
Kontinuierliche Pub/Sub-Exporte
Kontinuierliche Exporte in Cloud Logging2
Weitere Funktionen
App Hub-Integration. Security Command Center ist in App Hub eingebunden, sodass Sie Daten zu Ressourcen filtern können, die für eine bestimmte Anwendung registriert sind, wenn Sie Ergebnisse und Probleme untersuchen.
Seite „Sicherheit und Compliance“ im Cloud Hub (Vorabversion). Das Security Command Center ist in Cloud Hub eingebunden, damit Sie kritische Risiken schnell erkennen können.
Integration des Application Design Centers für die Validierung von Infrastructure as Code (IaC). Sehen Sie sich Designzeit-Ergebnisse für Anwendungen an, die in App Hub registriert sind, indem Sie sie in Application Design Center und die IaC-Validierung (Infrastructure as Code) einbinden.
Assured Open Source Software. Profitieren Sie von den Sicherheitsfunktionen, die Google für Open-Source-Software einsetzt, indem Sie die gleichen Pakete, die Google sichert und verwendet, in Ihre eigenen Entwicklerworkflows einbinden. 2
Graphsuche (Vorabversion). Fragen Sie den Sicherheitsgraphen ab, um potenzielle Sicherheitslücken zu identifizieren, die Sie in Ihrer Umgebung überwachen möchten. 2

Privileged Access Manager. Mit Privileged Access Manager können Sie die vorübergehende Just-in-Time-Erhöhung von Berechtigungen für bestimmte Hauptkonten steuern. Außerdem erhalten Sie Audit-Logs, um nachzuvollziehen, wer wann auf welche Ressourcen zugegriffen hat.

Die folgenden Funktionen sind im Security Command Center verfügbar:

2
Assets mit SQL in Cloud Asset Inventory abfragen
Mehr Cloud Asset Inventory-Kontingent anfordern
Multi-Cloud-Unterstützung. Verbinden Sie das Security Command Center mit anderen Cloud-Anbietern, um Bedrohungen, Sicherheitslücken und Fehlkonfigurationen zu erkennen. Bewerten Sie die Angriffsrisikobewertungen und Angriffspfade für externe, hochwertige Cloud-Ressourcen. Unterstützte Cloud-Anbieter: AWS, Azure.

  1. Dies ist ein Dienst von Google Cloud , der in Aktivierungen von Security Command Center auf Organisationsebene eingebunden wird, um Ergebnisse bereitzustellen. Für ein oder mehrere Features dieses Dienstes können separate Preise gelten, die nicht im Security Command Center enthalten sind.
  2. Erfordert eine Aktivierung auf Organisationsebene.
  3. Standardmäßig nicht aktiviert. Weitere Informationen und Preisdetails erhalten Sie von Ihrem Vertriebsmitarbeiter oder Google Cloud -Partner.
  4. Dieser Dienst oder diese Funktion bietet in der Standard-Stufe nur eingeschränkte Funktionen.
  5. Wenn Datenstandortkontrollen aktiviert sind, wird diese Funktion nicht unterstützt.
  6. Wenn Datenstandortkontrollen aktiviert sind, wird diese Funktion nur für Google Cloudunterstützt.
  7. Diese Funktion unterstützt keine kundenverwalteten Verschlüsselungsschlüssel (CMEKs).
  8. Unterstützt keinen Datenstandort.