פרסום פרופילי נתונים ב-Security Command Center

בדף הזה מוצגת סקירה כללית של הפעולות שצריך לבצע כדי שפרופילי הנתונים יפיקו ממצאים ב-Security Command Center. בדף הזה יש גם דוגמאות לשאילתות שאפשר להשתמש בהן כדי למצוא את הממצאים שנוצרו.

מידע על פרופילי נתונים

אתם יכולים להגדיר את Sensitive Data Protection כך שיפיק באופן אוטומטי פרופילים של נתונים בארגון, בתיקייה או בפרויקט. פרופילים של נתונים מכילים מדדים ומטא-נתונים על הנתונים שלכם, ועוזרים לכם לקבוע איפה נמצאים נתונים רגישים ונתונים בסיכון גבוה. הדוחות של Sensitive Data Protection כוללים את המדדים האלה ברמות שונות של פירוט. מידע על סוגי הנתונים שאפשר ליצור להם פרופיל זמין במאמר בנושא משאבים נתמכים.

היתרונות של פרסום פרופילי נתונים ב-Security Command Center

התכונה הזו מציעה את היתרונות הבאים ב-Security Command Center:

• אתם יכולים להשתמש בממצאים של Sensitive Data Protection כדי לזהות ולתקן נקודות חולשה והגדרות שגויות במשאבים שלכם, שעלולות לחשוף מידע אישי רגיש לציבור או לגורמים זדוניים.

• אפשר להשתמש בתוצאות של Sensitive Data Protection כדי להוסיף הקשר לתהליך המיון ולתת עדיפות לאיומים שמטרגטים מקורות שמכילים נתונים רגישים.

• אתם יכולים להגדיר את התכונה 'סימולציה של נתיב התקפה' כדי לתעדף באופן אוטומטי את המשאבים בהתאם לרגישות הנתונים שהם מכילים. מידע נוסף זמין במאמר בנושא הגדרה אוטומטית של ערכי עדיפות למשאבים לפי רגישות הנתונים.

ממצאים שנוצרו ב-Security Command Center

כשמגדירים את שירות הגילוי לפרסום פרופילי נתונים ב-Security Command Center, כל פרופיל נתונים של טבלה או פרופיל נתונים של מאגר קבצים יוצר את הממצאים הבאים ב-Security Command Center.

ממצאים של נקודות חולשה משירות הגילוי

שירות הגילוי Sensitive Data Protection עוזר לכם לקבוע אם אתם מאחסנים נתונים רגישים מאוד שלא מוגנים.

קטגוריה	סיכום
Public sensitive data שם הקטגוריה ב-API: PUBLIC_SENSITIVE_DATA	תיאור: במשאב שצוין יש נתונים רגישים מאוד שאפשר לגשת אליהם מכל מקום באינטרנט. הערה: יכול להיות ש-Sensitive Data Protection ייצור רשומה ביומן בקרת הרשאות הגישה לנתונים כשמנתחים (יוצרים פרופיל) משימת התאמה אישית בקטגוריה של Cloud Storage. הפעולה מבוצעת על ידי חשבון שירות פנימי של Sensitive Data Protection. נכסים נתמכים: aiplatform.googleapis.com/Dataset aiplatform.googleapis.com/TuningJob bigquery.googleapis.com/Dataset bigquery.googleapis.com/Table sqladmin.googleapis.com/Instance storage.googleapis.com/Bucket קטגוריה ב-Amazon S3 מאגר Azure Blob Storage תיקון: לגבי נתוני Google Cloud , צריך להסיר את allUsers ואת allAuthenticatedUsers ממדיניות ה-IAM של נכס הנתונים. לגבי נתונים ב-Amazon S3, צריך להגדיר חסימה של גישה ציבורית או לעדכן את רשימת ה-ACL של האובייקט כדי למנוע גישה ציבורית לקריאה. מידע נוסף זמין במאמרים הגדרת חסימת גישה ציבורית לקטגוריות S3 והגדרת רשימות ACL במסמכי AWS. לגבי נתונים ב-Azure Blob Storage, צריך להסיר את הגישה הציבורית למאגר ול-Blobs. מידע נוסף זמין במאמר Overview: Remediating anonymous read access for blob data במסמכי התיעוד של Azure. תקני תאימות: לא ממופים
Secrets in environment variables שם הקטגוריה ב-API: SECRETS_IN_ENVIRONMENT_VARIABLES	מציאת תיאור: יש סודות – כמו סיסמאות, אסימוני אימות ופרטי כניסה ל- Google Cloud – במשתני סביבה. כדי להפעיל את אמצעי הגילוי הזה, אפשר לעיין במאמר בנושא Sensitive Data Protection בנושא דיווח על סודות במשתני סביבה ל-Security Command Center. נכסים נתמכים: cloudfunctions.googleapis.com/CloudFunction run.googleapis.com/Revision תיקון: במקרה של משתני סביבה של פונקציות Cloud Run, צריך להסיר את הסוד ממשתנה הסביבה ולאחסן אותו ב-Secret Manager במקום זאת. במשתני סביבה של גרסת שירות ב-Cloud Run, מעבירים את כל התנועה מהגרסה ואז מוחקים אותה. תקני תאימות: ‫CIS GCP Foundation 1.3: ‏ 1.18 ‫CIS GCP Foundation 2.0: 1.18
Secrets in storage שם הקטגוריה ב-API: SECRETS_IN_STORAGE	Finding description: יש secrets—such as passwords, authentication tokens, and cloud credentials—in the specified resource. נכסים נתמכים: aiplatform.googleapis.com/Dataset aiplatform.googleapis.com/TuningJob bigquery.googleapis.com/Dataset bigquery.googleapis.com/Table sqladmin.googleapis.com/Instance storage.googleapis.com/Bucket קטגוריה ב-Amazon S3 מאגר Azure Blob Storage תיקון: כדי להגן על Google Cloud נתונים, אפשר להשתמש ב-Sensitive Data Protection כדי להריץ סריקה מפורטת של המשאב שצוין כדי לזהות את כל המשאבים המושפעים. לגבי נתונים ב-Cloud SQL, מייצאים את הנתונים לקובץ CSV או AVRO בקטגוריה של Cloud Storage ומריצים סריקה מפורטת של הקטגוריה. לגבי נתונים מספקי ענן אחרים, צריך לבדוק ידנית את הקטגוריה או את מאגר התגים שצוינו. מסירים את הסודות שזוהו. כדאי לאפס את פרטי הכניסה. לגבי נתוני Google Cloud , כדאי לשקול לאחסן את הסודות שזוהו ב-Secret Manager במקום זאת. תקני תאימות: לא ממופים

ממצאים של הגדרות שגויות משירות הגילוי

שירות הגילוי של Sensitive Data Protection עוזר לכם לקבוע אם יש לכם הגדרות שגויות שעשויות לחשוף מידע אישי רגיש.

קטגוריה

סיכום

Sensitive data CMEK disabled שם הקטגוריה ב-API: SENSITIVE_DATA_CMEK_DISABLED

תיאור הממצא: במשאב שצוין יש נתונים ברמת רגישות גבוהה או בינונית, ולא נעשה בו שימוש במפתח הצפנה בניהול הלקוח (CMEK). נכסים נתמכים: aiplatform.googleapis.com/Dataset bigquery.googleapis.com/Dataset bigquery.googleapis.com/Table sqladmin.googleapis.com/Instance storage.googleapis.com/Bucket קטגוריה ב-Amazon S3 מאגר Azure Blob Storage תיקון: לגבי נתונים ב-BigQuery, משתמשים ב-CMEK בטבלה או במערך הנתונים. לגבי נתונים ב-Cloud SQL, אפשר לעיין במסמכי ה-CMEK בנושא Cloud SQL ל-MySQL או Cloud SQL ל-PostgreSQL. לנתונים ב-Cloud Storage, משתמשים ב-CMEK בקטגוריה. תקני תאימות: לא ממופים

ממצאי התצפיות משירות הגילוי

שירות הגילוי Sensitive Data Protection עוזר לכם לקבוע אם הנתונים שלכם מכילים סוגי מידע ספציפיים, ואיפה הם נמצאים בארגון, בתיקיות ובפרויקטים. הוא יוצר את הקטגוריות הבאות של ממצאי תצפיות ב-Security Command Center:

קטגוריה	סיכום
Data sensitivity שם הקטגוריה ב-API: DATA_SENSITIVITY	תיאור הממצא: אינדיקציה לרמת הרגישות של הנתונים בנכס נתונים מסוים. נתונים נחשבים רגישים אם הם מכילים פרטים אישיים מזהים (PII) או רכיבים אחרים שעשויים לדרוש אמצעי בקרה או ניהול נוספים. חומרת הממצא היא רמת הרגישות שחושבה על ידי ההגנה על מידע אישי רגיש כשנוצר פרופיל הנתונים.
Data risk שם הקטגוריה ב-API: DATA_RISK	תיאור הממצא: הסיכון שמשויך לנתונים במצבם הנוכחי. כשמחשבים את הסיכון לנתונים, Sensitive Data Protection לוקח בחשבון את רמת הרגישות של הנתונים בנכס הנתונים ואת קיומם של אמצעים לבקרת גישה כדי להגן על הנתונים האלה. חומרת הממצא היא רמת הסיכון של הנתונים שחושבה על ידי Sensitive Data Protection בזמן יצירת פרופיל הנתונים.

איך מוצאים את זמן האחזור של יצירת התוכן

בהתאם לגודל הארגון, הממצאים של Sensitive Data Protection יכולים להתחיל להופיע ב-Security Command Center תוך כמה דקות אחרי שמפעילים את האפשרות 'מיון מידע אישי רגיש'. בארגונים גדולים או בארגונים עם הגדרות ספציפיות שמשפיעות על יצירת הממצאים, יכול להיות שיחלפו עד 12 שעות לפני שהממצאים הראשוניים יופיעו ב-Security Command Center.

לאחר מכן, Sensitive Data Protection יוצר ממצאים ב-Security Command Center תוך כמה דקות אחרי ששירות הגילוי סורק את המשאבים.

שליחת פרופילי נתונים אל Security Command Center

זהו תרשים זרימה כללי של תהליך פרסום פרופילי נתונים ב-Security Command Center.

1. בדיקת סוג ההפעלה של Security Command Center יכול להיות שיש לכם מינוי discovery ברמת הארגון כברירת מחדל, בהתאם לרמת השירות של Security Command Center.

2. אם Security Command Center לא מופעל, צריך להפעיל אותו.

3. מוודאים ש-Security Command Center מוגדר לקבל ממצאים מ-Sensitive Data Protection, כלומר ש-Sensitive Data Protection מופעל ב-Security Command Center כשירות משולב. מידע נוסף זמין במאמר הוספת שירותGoogle Cloud משולב במסמכי התיעוד של Security Command Center.

4. כדי להפעיל את הגילוי, יוצרים הגדרת סריקה לגילוי לכל מקור נתונים שרוצים לסרוק. בהגדרות הסריקה, מוודאים שהאפשרות Publish to Security Command Center (פרסום ב-Security Command Center) מופעלת.

   אם יש לכם הגדרה קיימת של סריקת גילוי שלא מפרסמת פרופילי נתונים ב-Security Command Center, תוכלו לעיין בקטע הפעלת פרסום ב-Security Command Center בהגדרה קיימת בדף הזה.

הפעלת גילוי עם הגדרות ברירת מחדל בארגון

כדי להפעיל את האפשרות 'גילוי', צריך ליצור הגדרת גילוי לכל מקור נתונים שרוצים לסרוק. אפשר לערוך את ההגדרות אחרי שיוצרים אותן. כדי להתאים אישית את ההגדרות במהלך יצירת ההגדרה, אפשר לעיין במאמר יצירת הגדרת סריקה.

כדי להפעיל את האפשרות 'גילוי' עם הגדרות ברירת מחדל ברמת הארגון, מבצעים את השלבים הבאים:

1. במסוף Google Cloud , עוברים לדף Sensitive Data Protection (הגנה על נתונים רגישים) Enable discovery (הפעלת גילוי).

   איך מפעילים את האפשרות 'חשיפת הפרופיל'

2. מוודאים שאתם צופים בארגון שבו הפעלתם את Security Command Center.

3. בחלונית Enable discovery, בשדה Service agent container, מגדירים את הפרויקט שישמש כמאגר של סוכני שירות. בפרויקט הזה, המערכת יוצרת סוכן שירות ומקצה לו באופן אוטומטי את תפקידי הגילוי הנדרשים.

   • כדי ליצור באופן אוטומטי פרויקט לשימוש כמאגר של סוכן השירות:

     1. לוחצים על יצירה.
     2. מציינים את השם, החשבון לחיוב והארגון הראשי של הפרויקט החדש. אם רוצים, עורכים את מזהה הפרויקט.
     3. לוחצים על יצירה.

     יכול להיות שיחלפו כמה דקות עד שהתפקידים יוקצו לסוכן השירות של הפרויקט החדש.

   • כדי לבחור פרויקט שהשתמשתם בו בעבר לפעולות גילוי, לוחצים על השדה Service agent container ובוחרים את הפרויקט.

4. כדי לראות את הגדרות ברירת המחדל, לוחצים על סמל ההרחבה .

5. בקטע Enable discovery, לוחצים על Enable ליד כל סוג של Discovery שרוצים להפעיל. הפעלת סוג גילוי מסוים גורמת לפעולות הבאות:

   • ‫BigQuery: יוצר הגדרת גילוי ליצירת פרופילים של טבלאות ב-BigQuery בכל הארגון. השירות Sensitive Data Protection מתחיל ליצור פרופילים של נתוני BigQuery ושולח את הפרופילים ל-Security Command Center.
   • ‫Cloud SQL: יצירת הגדרת גילוי ליצירת פרופילים של טבלאות Cloud SQL בארגון. התחילה יצירה של חיבורי ברירת מחדל לכל אחד מהמופעים של Cloud SQL. התהליך הזה יכול להימשך כמה שעות. כשהחיבורים שמוגדרים כברירת מחדל מוכנים, צריך לתת ל-Sensitive Data Protection גישה למכונות Cloud SQL על ידי עדכון כל חיבור עם פרטי הכניסה הנכונים של משתמש מסד הנתונים.
   • פגיעויות של סודות או פרטי כניסה: יוצרת הגדרת גילוי לזיהוי ולדיווח על סודות לא מוצפנים במשתני סביבה של Cloud Run. השירות Sensitive Data Protection מתחיל לסרוק את משתני הסביבה.
   • ‫Cloud Storage: יוצר תצורת גילוי ליצירת פרופילים של קטגוריות Cloud Storage בארגון. ‫Sensitive Data Protection מתחיל ליצור פרופילים של הנתונים ב-Cloud Storage ושולח את הפרופילים ל-Security Command Center.
   • Vertex AI datasets: יוצרת הגדרת גילוי ליצירת פרופיל של מערכי נתונים של Vertex AI בכל הארגון. השירות Sensitive Data Protection מתחיל ליצור פרופילים של מערכי הנתונים שלכם ב-Vertex AI ושולח את הפרופילים ל-Security Command Center.

   • ‫Amazon S3: יוצר הגדרת גילוי ליצירת פרופיל של כל הנתונים ב-Amazon S3 שהמחבר של AWS יכול לגשת אליהם.

     הערה: כדי להשתמש בתכונה הזו, צריך Security Command Center Enterprise. קודם צריך ליצור מחבר AWS עם הרשאות AWS שנדרשות לגילוי נתונים רגישים.

   • ‫Azure Blob Storage: יוצר תצורת גילוי ליצירת פרופיל של כל הנתונים ב-Azure Blob Storage שהמחבר של Azure יכול לגשת אליהם.

     הערה: כדי להשתמש בתכונה הזו, צריך Security Command Center Enterprise. קודם צריך ליצור מחבר Azure עם ההרשאות הנדרשות ב-Azure לגילוי נתונים רגישים.

6. כדי לראות את הגדרות הגילוי החדשות שנוצרו, לוחצים על להגדרות הגילוי.

   אם הפעלתם את האפשרות 'גילוי Cloud SQL', הגדרת הגילוי נוצרת במצב מושהה עם שגיאות שמציינות היעדר פרטי כניסה. בקטע ניהול חיבורים לשימוש בתכונת הגילוי מוסבר איך להעניק לסוכן השירות את תפקידי ה-IAM הנדרשים ולספק פרטי כניסה של משתמש במסד הנתונים לכל מופע של Cloud SQL.

7. סוגרים את החלונית.

הפעלת פרסום ב-Security Command Center בהגדרה קיימת

אם יש לכם הגדרה קיימת של סריקת גילוי שלא מוגדרת לפרסום תוצאות הגילוי ב-Security Command Center, אתם צריכים לפעול לפי השלבים הבאים:

1. פותחים את הגדרות הסריקה לעריכה.

2. בקטע פעולות, מפעילים את האפשרות פרסום ב-Security Command Center.

3. לוחצים על Save.

שאילתה לגבי ממצאים של Security Command Center שקשורים לפרופילי נתונים

אלה דוגמאות לשאילתות שאפשר להשתמש בהן כדי למצוא ממצאים רלוונטיים של Data sensitivity ו-Data risk במרכז האבטחה. אפשר להזין את השאילתות האלה בשדה עורך השאילתות. מידע נוסף על עורך השאילתות זמין במאמר עריכת שאילתת ממצאים בלוח הבקרה של Security Command Center.

הצגת כל הממצאים של Data sensitivity ושל Data risk בטבלת BigQuery מסוימת

השאילתה הזו שימושית, למשל, אם Security Command Center מזהה אירוע שבו טבלה ב-BigQuery נשמרה בפרויקט אחר. במקרה כזה, נוצרת תוצאת חיפוש Exfiltration: BigQuery Data Exfiltration, והיא מכילה את השם המוצג המלא של הטבלה שחולצה. אתם יכולים לחפש כל ממצא Data sensitivity וData risk שקשור לטבלה. אפשר לראות את רמות הרגישות וסיכון הנתונים שחושבו עבור הטבלה ולתכנן את התגובה בהתאם.

state="ACTIVE"
AND NOT mute="MUTED"
AND category="DATA_RISK" OR category="DATA_SENSITIVITY"
AND resource.display_name="PROJECT_ID:DATASET_ID.TABLE_ID"

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROJECT_ID: מזהה הפרויקט שמכיל את הטבלה ב-BigQuery
• ‫DATASET_ID: מזהה מערך הנתונים של הטבלה
• ‫TABLE_ID: מזהה הטבלה

הצגת כל הממצאים של Data sensitivity ושל Data risk במכונה מסוימת של Cloud SQL

לדוגמה, השאילתה הזו שימושית אם Security Command Center מזהה אירוע שבו נתונים ממכונת Cloud SQL פעילה יוצאו לקטגוריה של Cloud Storage מחוץ לארגון. במקרה כזה, נוצר ממצא Exfiltration: Cloud SQL Data Exfiltration, והוא מכיל את שם המשאב המלא של המופע שבו בוצעה האקספילטרציה. אפשר לחפש כל Data sensitivity וData risk ממצאים שקשורים למופע. אפשר לראות את רמות הרגישות וסיכון הנתונים שחושבו עבור המופע ולתכנן את התגובה בהתאם.

state="ACTIVE"
AND NOT mute="MUTED"
AND category="DATA_RISK" OR category="DATA_SENSITIVITY"
AND resource.name:"INSTANCE_NAME"

מחליפים את מה שכתוב בשדות הבאים:

• ‫INSTANCE_NAME: חלק מהשם של מופע Cloud SQL

תפרט את כל הממצאים מסוג Data risk ו-Data sensitivity ברמת חומרה High

state="ACTIVE"
AND NOT mute="MUTED"
AND category="DATA_RISK" OR category="DATA_SENSITIVITY"
AND severity="HIGH"

המאמרים הבאים

• איך מגדירים ערכי עדיפות של משאבים באופן אוטומטי לפי רגישות הנתונים ב-Security Command Center
• איך מדווחים על נוכחות של סודות במשתני סביבה ל-Security Command Center