Niveaux de service Security Command Center

Security Command Center est proposé en trois niveaux de service : Standard, Premium et Enterprise. Chaque niveau détermine les fonctionnalités et les services disponibles dans Security Command Center. Voici une brève description de chaque niveau de service :

  • Standard-legacy. Prend en charge la gestion de base de la stratégie de sécurité et de la posture de conformité pour Google Cloud uniquement. Le niveau Standard-ancien peut être migré vers le niveau Standard dans certaines organisations.
  • Standard. Prend en charge la gestion de base de la stratégie de sécurité et de la posture de conformité pourGoogle Cloud uniquement. Le niveau Standard peut être activé au niveau de l'organisation. Idéal pour les environnements Google Cloud avec des exigences de sécurité minimales.

  • Premium Tout ce qui est inclus dans Standard, plus la gestion avancée de la stratégie de sécurité et de conformité, les chemins d'attaque, la détection des menaces et la surveillance de la conformité pour Google Cloud uniquement. Le niveau Premium peut être activé au niveau du projet ou de l'organisation. Premium est proposé selon deux modalités de facturation :

    • Le paiement à l'usage pour les clients qui souhaitent de la flexibilité.
    • Abonnement pour les clients ayant des besoins plus prévisibles.

  • Enterprise (Obsolète) Sécurité CNAPP multicloud complète qui vous aide à trier et à résoudre vos problèmes les plus critiques. Inclut la plupart des services de Premium. Le niveau Enterprise ne peut être activé qu'au niveau de l'organisation. Idéal pour protéger Google Cloud, AWS et Azure.

Le niveau Standard est proposé sans frais supplémentaires, tandis que les niveaux Premium et Enterprise ont des structures tarifaires différentes. Pour en savoir plus, consultez Tarifs de Security Command Center.

Pour connaître les fonctionnalités Google SecOps compatibles avec le niveau Security Command Center Enterprise, consultez Fonctionnalités Google SecOps dans Security Command Center Enterprise.

Service Niveau de service
Standard-legacy Standard Premium Enterprise (obsolète)
Détection des failles
Analyse des failles
Détection d'anomalies.1 Identifie les anomalies de sécurité pour vos projets et instances de machines virtuelles (VM), telles que les potentielles fuites d'identifiants et le minage de cryptomonnaie. 222
Évaluation des failles Artifact Registry. Écrivez automatiquement les résultats dans Security Command Center à partir des analyses Artifact Registry qui détectent les images de conteneurs vulnérables déployées sur des éléments spécifiques. 222
Découverte Sensitive Data Protection1 : découvre, classe et aide à protéger les données sensibles. 33
Évaluation des failles pour Google Cloud. Vous aide à détecter les failles logicielles critiques et de gravité élevée dans vos instances de VM Compute Engine sans installer d'agents. Un ensemble limité de fonctionnalités est disponible dans le niveau Standard. 4
Agent Platform Vulnerability Assessment (Preview). Écrivez automatiquement les résultats dans Security Command Center à partir des analyses d'évaluation des failles d'Agent Platform de Gemini Enterprise Agent Platform, y compris les charges de travail agentiques vulnérables et les secrets en texte brut dans les images de conteneurs.
Exposition externe (Aperçu). Découvrez automatiquement les assets externes exposés, tracez l'intégralité de votre chemin réseau et validez l'exploitabilité réelle sans configuration manuelle.
Notebook Security Scanner (preview) Détectez et corrigez les failles dans les packages Python utilisés dans les notebooks Colab Enterprise.
Rapports de failles de VM Manager (preview).1 Si vous activez VM Manager, il écrit automatiquement les résultats de ses rapports de failles dans Security Command Center. 2
Vulnerability Assessment pour AWS. Détecte les failles dans les ressources AWS, y compris les logiciels installés sur les instances Amazon EC2 et dans les images Elastic Container Registry (ECR).
Security Health Analytics

Analyse gérée de l'évaluation des failles pour Google Cloud , qui peut détecter automatiquement les failles et les erreurs de configuration les plus graves pour vos éléments Google Cloud .

Non compatible avec les nouvelles activations du niveau Standard. Un sous-ensemble de fonctionnalités est disponible dans le niveau Standard pour les organisations qui ont été migrées depuis le niveau Standard-ancien.

4
Contrôle de conformité. Les détecteurs Security Health Analytics sont mappés aux contrôles des benchmarks de sécurité courants tels que NIST, HIPAA, PCI-DSS et CIS.
Compatibilité avec les modules personnalisés. Créez vos propres détecteurs Security Health Analytics personnalisés.
Web Security Scanner
Analyses personnalisées. Planifiez et exécutez des analyses personnalisées sur les applications Web Compute Engine, Google Kubernetes Engine ou App Engine déployées qui disposent d'URL et d'adresses IP publiques, et qui ne sont pas protégées par un pare-feu.
Détecteurs supplémentaires du Top 10 de l'OWASP
Analyses gérées. Analysez les points de terminaison Web publics chaque semaine pour détecter les failles, avec des analyses configurées et gérées par Security Command Center.
Red Team virtuelle
Simulations de chemins d'attaque. Vous aide à identifier et à hiérarchiser les détections de failles et d'erreurs de configuration en identifiant les chemins qu'un pirate informatique pourrait emprunter pour accéder à vos ressources de forte valeur. 2
Goulets d'étranglement. Identifie les ressources ou les groupes de ressources où plusieurs chemins d'attaque convergent.
Problèmes. Identifie les risques de sécurité les plus importants détectés par Security Command Center dans vos environnements cloud. Les problèmes sont détectés à l'aide de la technologie de red teaming virtuel et des détections basées sur des règles qui s'appuient sur le graphe de sécurité de Security Command Center. 2
Règles prédéfinies du graphe de sécurité. Les règles prédéfinies du graphe de sécurité détectent les conditions de sécurité en fonction des modèles du graphe de sécurité.
Rapports sur les risques (Preview). Les rapports sur les risques vous aident à comprendre les résultats des simulations de chemins d'attaque exécutées par Security Command Center. Un rapport sur les risques contient une vue d'ensemble, des exemples de combinaisons toxiques et les chemins d'attaque associés. 2
Problèmes limités (preview). Affichez les problèmes au niveau du dossier, du projet ou de l'application.
Combinaisons toxiques. Détecte les groupes de risques qui, lorsqu'ils surviennent ensemble selon un schéma particulier, créent un chemin d'accès à une ou plusieurs de vos ressources à forte valeur qu'un pirate informatique déterminé pourrait potentiellement utiliser pour les atteindre et les compromettre.
Autres services de gestion des failles
Résultats du tableau de bord des risques de sécurité Compute Engine. Affichez les risques de sécurité qui affectent vos ressources Compute Engine.
Résultats du tableau de bord de stratégie de sécurité GKE (preview). Affichez les résultats concernant les erreurs de configuration de la sécurité des charges de travail Kubernetes, les bulletins de sécurité exploitables et les failles dans le système d'exploitation du conteneur ou dans les packages de langage.
Model Armor. Analysez les prompts et les réponses des LLM pour détecter les risques de sécurité. Model Armor fournit un certain nombre de jetons par mois sans frais à tous les clients Google Cloud . Pour en savoir plus, reportez-vous à la section Tarification. Les résultats de Model Armor sont publiés dans Security Command Center aux niveaux Premium et Enterprise.
Évaluations des CVE Mandiant (preview) Les résultats sont enrichis d'évaluations CVE réalisées par les analystes en renseignements sur les menaces de Mandiant, y compris l'exploitabilité et l'impact potentiel de la CVE. Vous pouvez interroger les résultats par ID de CVE. Un ensemble limité de fonctionnalités est disponible dans le niveau Standard. 4
Artifact Guard (Preview). (Obsolète) Artifact Guard est un service qui vous aide à empêcher le déploiement de packages vulnérables tout au long du processus de compilation. Artifact Guard accepte trois types de champs d'application des règles : plate-forme CI/CD, registre et environnement d'exécution.
Mandiant Attack Surface Management. Détecte et analyse vos ressources Internet dans différents environnements, tout en surveillant en permanence l'écosystème externe à la recherche d'expositions exploitables. 5
Stratégies et règles
Autorisation binaire.1 Mettez en œuvre des mesures de sécurité de la chaîne d'approvisionnement logicielle lorsque vous développez et déployez des applications basées sur des conteneurs. Surveiller et limiter le déploiement d'images de conteneurs. 222

Cloud Infrastructure Entitlement Management (CIEM). Identifiez les comptes principaux (identités) qui sont mal configurés, ou qui disposent d'autorisations excessives ou d'autorisations sensibles sur vos ressources cloud.

6
Cyber Insurance Hub.1 Établissez le profil et générez des rapports sur la stratégie de sécurité technique de votre organisation. 222
Validation de l'infrastructure as code (IaC). Validez par rapport règles d'administration et aux détecteurs Security Health Analytics. 22
Policy Controller.1 Permet d'appliquer des règles programmables à vos clusters Kubernetes. 222

Policy Intelligence. Fournit des outils qui vous aident à comprendre et à gérer vos règles d'accès pour améliorer votre configuration de sécurité de manière proactive.

Policy Intelligence fournit sans frais certaines fonctionnalités aux clients Google Cloud , telles que des recommandations pour les rôles de base et un nombre limité de requêtes par mois. Les fonctionnalités avancées sont disponibles pour les utilisateurs de Security Command Center Premium et Enterprise. Pour en savoir plus, consultez la section Tarifs.

Protection de l'IA. AI Protection vous aide à gérer la stratégie de sécurité de vos charges de travail d'IA en détectant les menaces et en vous aidant à atténuer les risques pour votre inventaire d'éléments d'IA. 4
Compliance Manager. Définissez, déployez, surveillez et auditez les contrôles et les frameworks conçus pour vous aider à respecter les obligations de sécurité et de conformité de votre environnement Google Cloud . Un ensemble limité de fonctionnalités est disponible dans le niveau Standard. 47, 88
Gestion de la stratégie de sécurité des données (DSPM). (Obsolète) Évaluer, déployer et auditer les frameworks de sécurité des données et les contrôles cloud pour régir l'accès aux données sensibles et leur utilisation. Un ensemble limité de fonctionnalités est disponible dans le niveau Standard. 2, 42
Stratégie de sécurité. Définissez et déployez une stratégie de sécurité pour surveiller l'état de sécurité de vos ressources Google Cloud. Résolvez les problèmes de dérive de la stratégie et les modifications non autorisées de la stratégie. Avec le niveau Enterprise, vous pouvez également surveiller votre environnement AWS. 2
Détection des menaces et réponse
Google Cloud Armor1 : protège les déploiements Google Cloud contre les menaces telles que les attaques par déni de service distribué (DDoS), les scripts intersites (XSS) et l'injection SQL (SQLi). 222
Service d'actions sensibles. Détecte les actions effectuées dans votre organisation, vos dossiers et vos projets Google Cloud qui pourraient nuire à votre entreprise si elles étaient effectuées par une personne malveillante.
Agent Platform Threat Detection (preview). Détecte les attaques d'exécution sur les agents déployés et gérés via Agent Runtime.
Détection des menaces Cloud Run. Détecte les attaques d'exécution dans les conteneurs Cloud Run.
Container Threat Detection. Détecte les attaques d'exécution dans les images de nœud Container-Optimized OS.
Menaces corrélées (Preview). Vous aide à prendre des décisions plus éclairées concernant les incidents de sécurité. Cette fonctionnalité regroupe les résultats de menaces associés à l'aide du graphique de sécurité, ce qui vous aide à hiérarchiser les menaces actives et à y répondre.
Event Threat Detection. Surveille Cloud Logging et Google Workspace, en utilisant les renseignements sur les menaces, le machine learning et d'autres méthodes avancées pour détecter les menaces telles que les logiciels malveillants, le minage de cryptomonnaies et l'exfiltration de données.
Virtual Machine Threat Detection. Détecte les applications potentiellement malveillantes exécutées dans des instances de VM.

Google SecOps. S'intègre à Security Command Center pour vous aider à détecter, examiner et contrer les menaces. Google SecOps inclut les éléments suivants :

Mandiant Threat Defense. Faites confiance aux experts Mandiant pour rechercher en continu les menaces, déceler les activités malveillantes et réduire l'impact sur votre activité.

Mandiant Threat Defense n'est pas activé par défaut. Pour en savoir plus et obtenir des informations sur les tarifs, contactez votre conseiller commercial ou votre partenaire Google Cloud.

Gestion des données
Résidence et chiffrement des données
Clés de chiffrement gérées par le client (CMEK). Utilisez les clés Cloud Key Management Service que vous créez pour chiffrer certaines données Security Command Center. Par défaut, les données Security Command Center sont chiffrées au repos avec Google-owned and Google-managed encryption keys. 222
Résidence des données. Contrôles qui limitent le stockage et le traitement des résultats, des règles Ignorer, des exportations continues et des exportations BigQuery de Security Command Center à l'un des emplacements multirégionaux de résidence des données compatibles avec Security Command Center. 222
Modifier la résidence et le chiffrement des données. Modifier la configuration de la résidence des données ou du chiffrement des données après avoir activé Security Command Center. 222
Exportation des résultats
Exportations BigQuery. Exportez les résultats de Security Command Center vers BigQuery, soit sous la forme d'une exportation groupée ponctuelle, soit en activant les exportations continues.
Exportations continues Pub/Sub
Exportations continues Cloud Logging2
Autres caractéristiques
Intégration d'App Hub. Security Command Center s'intègre à App Hub pour vous permettre de filtrer les données liées aux ressources enregistrées dans une application spécifique lorsque vous examinez des résultats et des problèmes.
Page "Sécurité et conformité" de Cloud Hub (aperçu). Security Command Center s'intègre à Cloud Hub pour vous aider à identifier rapidement les risques critiques.
Intégration d'Application Design Center pour la validation de l'Infrastructure as Code (IaC). Affichez les résultats au moment de la conception pour les applications enregistrées dans App Hub grâce à l'intégration à Application Design Center et à la validation de l'infrastructure as code (IaC).
Assured Open Source Software. Profitez de la sécurité et de l'expérience que Google applique aux logiciels Open Source en intégrant les mêmes packages que ceux que Google sécurise et utilise dans vos workflows de développement. 2
Recherche dans le graphe (Preview). Interrogez le graphe de sécurité pour identifier les failles de sécurité potentielles que vous souhaitez surveiller dans votre environnement. 2

Privileged Access Manager. Privileged Access Manager vous aide à contrôler l'élévation temporaire des privilèges au moment opportun pour des comptes principaux spécifiques et fournit des journaux d'audit pour savoir qui a eu accès à quelles ressources et quand.

Les fonctionnalités suivantes sont disponibles avec Security Command Center :

  • Approbations multiniveaux et multipartites (preview). Les administrateurs peuvent exiger plusieurs niveaux d'approbation par droit d'accès, ce qui permet d'avoir jusqu'à deux niveaux d'approbations séquentielles pour chaque droit d'accès.
  • Personnalisation du champ d'application (aperçu). Les demandeurs peuvent personnaliser le champ d'application de leurs demandes d'octroi pour n'inclure que les rôles et ressources spécifiques dont ils ont besoin dans le champ d'application de leur droit d'accès.
2
Interroger des éléments avec SQL dans l'inventaire des éléments cloud
Demander une augmentation du quota d'inventaire des éléments cloud
Compatibilité multicloud. Connectez Security Command Center à d'autres fournisseurs de services cloud pour détecter les menaces, les failles et les erreurs de configuration. Évaluez les scores d'exposition aux attaques et les chemins d'attaque sur les ressources cloud externes de grande valeur. Fournisseurs de services cloud compatibles : AWS, Azure.

  1. Il s'agit d'un service Google Cloud qui s'intègre aux activations de Security Command Center au niveau de l'organisation pour fournir des résultats. Une ou plusieurs fonctionnalités de ce service peuvent être facturées séparément de Security Command Center.
  2. Nécessite une activation au niveau de l'organisation.
  3. Non activé par défaut. Pour en savoir plus et connaître les tarifs, contactez votre conseiller commercial ou votre partenaire Google Cloud .
  4. Ce service ou cette fonctionnalité offre des capacités limitées au niveau Standard.
  5. Si les contrôles de résidence des données sont activés, cette fonctionnalité n'est pas disponible.
  6. Si les contrôles de résidence des données sont activés, cette fonctionnalité n'est disponible que pour Google Cloud.
  7. Cette fonctionnalité n'est pas compatible avec les clés de chiffrement gérées par le client (CMEK).
  8. Non compatible avec la résidence des données.