Auf dieser Seite finden Sie einen allgemeinen Überblick über die Aktionen, die Sie ausführen müssen, damit durch Datenprofile Ergebnisse in Security Command Center generiert werden. Auf dieser Seite finden Sie auch Beispielabfragen, mit denen Sie die generierten Ergebnisse finden können.
Datenprofile
Sie können Sensitive Data Protection so konfigurieren, dass automatisch Profile für Daten in einer Organisation, einem Ordner oder einem Projekt generiert werden. Datenprofile enthalten Messwerte und Metadaten zu Ihren Daten und können ermitteln, wo sich sensible und risikoreiche Daten befinden. Sensitive Data Protection meldet diese Messwerte auf verschiedenen Detailebenen. Informationen zu den Datentypen, die Sie analysieren können, finden Sie unter Unterstützte Ressourcen.
Vorteile der Veröffentlichung von Datenprofilen in Security Command Center
Diese Funktion bietet in Security Command Center folgende Vorteile:
Mithilfe von Sensitive Data Protection-Ergebnissen können Sie Sicherheitslücken und Fehlkonfigurationen in Ihren Ressourcen identifizieren und beheben, die sensible Daten für die Öffentlichkeit oder für böswillige Akteure zugänglich machen können.
Sie können Sensitive Data Protection-Ergebnisse verwenden, um dem Triage-Prozess Kontext hinzuzufügen und Bedrohungen zu priorisieren, die auf Ressourcen mit vertraulichen Daten abzielen.
Sie können die Funktion zur Simulation von Angriffspfaden so konfigurieren, dass Ressourcen automatisch nach der Vertraulichkeit der Daten priorisiert werden, die sie enthalten. Weitere Informationen finden Sie unter Prioritätswerte für Ressourcen automatisch anhand der Vertraulichkeit von Daten festlegen.
Generierte Security Command Center-Ergebnisse
Wenn Sie den Erkennungsdienst so konfigurieren, dass Datenprofile in Security Command Center veröffentlicht werden, werden für jedes Tabellendatenprofil oder Dateispeicherdatenprofil die folgenden Security Command Center-Ergebnisse generiert.
Ergebnisse zu Sicherheitslücken aus dem Discovery-Dienst
Mit dem Sensitive Data Protection-Erkennungsdienst können Sie feststellen, ob Sie höchst sensible Daten speichern, die nicht geschützt sind.
| Kategorie | Zusammenfassung |
|---|---|
|
Ergebnisbeschreibung: Die angegebene Ressource enthält Daten mit hoher Vertraulichkeit, auf die jeder im Internet zugreifen kann. Unterstützte Assets:
Abhilfemaßnahmen: Entfernen Sie für Google Cloud -Daten Konfigurieren Sie für Amazon S3-Daten die Einstellungen zum Blockieren des öffentlichen Zugriffs oder aktualisieren Sie die ACL des Objekts, um den öffentlichen Lesezugriff zu verweigern. Weitere Informationen finden Sie in der AWS-Dokumentation unter Einstellungen zum Blockieren des öffentlichen Zugriffs für Ihre S3-Buckets konfigurieren und ACLs konfigurieren. Entfernen Sie für Azure Blob Storage-Daten den öffentlichen Zugriff auf den Container und die Blobs. Weitere Informationen finden Sie in der Azure-Dokumentation unter Übersicht: Beheben des anonymen Lesezugriffs für Blob-Daten. Compliance-Standards: Nicht zugeordnet |
|
Ergebnisbeschreibung: Es gibt Secrets, z. B. Passwörter, Authentifizierungstokens und Google Cloud Anmeldedaten, in Umgebungsvariablen. Informationen zum Aktivieren dieses Detektors finden Sie in der Dokumentation zu Sensitive Data Protection unter Geheimnisse in Umgebungsvariablen an Security Command Center melden. Unterstützte Assets: Abhilfemaßnahmen: Entfernen Sie bei Umgebungsvariablen für Cloud Run Functions das Secret aus der Umgebungsvariable und speichern Sie es stattdessen in Secret Manager. Bei Umgebungsvariablen für Cloud Run-Dienstrevisionen leiten Sie den gesamten Traffic von der Revision weg und löschen Sie sie dann. Compliance standards:
|
|
Ergebnisbeschreibung: In der angegebenen Ressource sind Secrets wie Passwörter, Authentifizierungstokens und Cloud-Anmeldedaten vorhanden. Unterstützte Assets:
Abhilfemaßnahmen:
Compliance-Standards: Nicht zugeordnet |
Ergebnisse zu Fehlkonfigurationen vom Erkennungsdienst
Der Sensitive Data Protection-Erkennungsdienst hilft Ihnen, Fehlkonfigurationen zu erkennen, die sensible Daten offenlegen könnten.
| Kategorie | Zusammenfassung |
|---|---|
|
Ergebnisbeschreibung: Die angegebene Ressource enthält Daten mit hoher oder mittlerer Sensibilität und verwendet keinen kundenverwalteten Verschlüsselungsschlüssel (CMEK). Unterstützte Assets:
Abhilfemaßnahmen:
Compliance-Standards: Nicht zugeordnet |
Beobachtungsergebnisse des Discovery-Dienstes
Mit dem Erkennungsdienst von Sensitive Data Protection können Sie ermitteln, ob Ihre Daten bestimmte infoTypes enthalten und wo sich diese in Ihrer Organisation, Ihren Ordnern und Ihren Projekten befinden. Es werden die folgenden Kategorien von Beobachtungsergebnissen in Security Command Center generiert:
| Kategorie | Zusammenfassung |
|---|---|
|
Beschreibung der Ergebnisse: Gibt die Vertraulichkeitsstufe der Daten in einem bestimmten Daten-Asset an. Daten sind vertraulich, wenn sie personenidentifizierbare Informationen oder andere Elemente enthalten, die unter Umständen eine zusätzliche Steuerung oder Verwaltung erfordern. Der Schweregrad des Ergebnisses ist die Vertraulichkeitsstufe, die Sensitive Data Protection beim Generieren des Datenprofils berechnet hat. |
|
Beschreibung des Ergebnisses: Das Risiko, das mit den Daten in ihrem aktuellen Zustand verbunden ist. Bei der Berechnung des Datenrisikos berücksichtigt Sensitive Data Protection die Vertraulichkeitsstufe der Daten im Daten-Asset und das Vorhandensein von Zugriffssteuerungen zum Schutz dieser Daten. Der Schweregrad des Ergebnisses ist die von Sensitive Data Protection berechnete Datenrisikostufe beim Generieren des Datenprofils. |
Latenz bei der Ergebnisgenerierung
Je nach Größe Ihrer Organisation können Ergebnisse von Sensitive Data Protection innerhalb weniger Minuten nach der Aktivierung der Erkennung sensibler Daten in Security Command Center angezeigt werden. Bei größeren Organisationen oder Organisationen mit bestimmten Konfigurationen, die sich auf die Generierung von Ergebnissen auswirken, kann es bis zu 12 Stunden dauern, bis die ersten Ergebnisse in Security Command Center angezeigt werden.
Anschließend generiert Sensitive Data Protection innerhalb weniger Minuten nach dem Scannen Ihrer Ressourcen durch den Erkennungsdienst Ergebnisse in Security Command Center.
Datenprofile an Security Command Center senden
Im Folgenden finden Sie einen allgemeinen Workflow für die Veröffentlichung von Datenprofilen in Security Command Center.
Aktivierungstyp von Security Command Center prüfen Je nach Security Command Center-Dienststufe haben Sie möglicherweise ein Standardabo für die Ermittlung auf Organisationsebene.
Wenn Security Command Center nicht aktiviert ist, aktivieren Sie es.
Prüfen Sie, ob Security Command Center so konfiguriert ist, dass Ergebnisse zum Schutz sensibler Daten akzeptiert werden. Das bedeutet, dass Sensitive Data Protection in Security Command Center als integrierter Dienst aktiviert ist. Weitere Informationen finden Sie in der Security Command Center-Dokumentation unter Google Cloud Integrierten Dienst hinzufügen.
Aktivieren Sie die Erkennung, indem Sie für jede Datenquelle, die Sie scannen möchten, eine Scankonfiguration für die Erkennung erstellen. Achten Sie darauf, dass die Option In Security Command Center veröffentlichen in Ihrer Scankonfiguration aktiviert bleibt.
Wenn Sie eine vorhandene Erkennungsscankonfiguration haben, in der keine Datenprofile in Security Command Center veröffentlicht werden, lesen Sie den Abschnitt Veröffentlichung in Security Command Center in einer vorhandenen Konfiguration aktivieren auf dieser Seite.
Ermittlung mit Standardeinstellungen in einer Organisation aktivieren
Um die Erkennung zu aktivieren, erstellen Sie für jede Datenquelle, die Sie scannen möchten, eine Erkennungskonfiguration. Sie können die Konfigurationen bearbeiten, nachdem Sie sie erstellt haben. Wenn Sie Einstellungen beim Erstellen einer Konfiguration anpassen möchten, lesen Sie stattdessen Scankonfiguration erstellen.
So aktivieren Sie die Erkennung mit Standardeinstellungen auf Organisationsebene:
Rufen Sie in der Google Cloud Console die Seite „Schutz sensibler Daten“ → Erkennung aktivieren auf.
Prüfen Sie, ob Sie die Organisation aufrufen, für die Sie Security Command Center aktiviert haben.
Legen Sie im Bereich Erkennung aktivieren im Feld Dienst-Agent-Container das Projekt fest, das als Dienst-Agent-Container verwendet werden soll. In diesem Projekt erstellt das System einen Dienst-Agent und gewährt ihm automatisch die erforderlichen Erkennungsrollen.
So erstellen Sie automatisch ein Projekt, das als Dienst-Agent-Container verwendet werden soll:
- Klicken Sie auf Erstellen.
- Geben Sie den Namen, das Rechnungskonto und die übergeordnete Organisation des neuen Projekts an. Optional können Sie die Projekt-ID bearbeiten.
- Klicken Sie auf Erstellen.
Es kann einige Minuten dauern, bis die Rollen dem Dienst-Agent des neuen Projekts zugewiesen werden.
Wenn Sie ein Projekt auswählen möchten, das Sie zuvor für Discovery-Vorgänge verwendet haben, klicken Sie auf das Feld Servicekontocontainer und wählen Sie das Projekt aus.
Wenn Sie sich die Standardeinstellungen ansehen möchten, klicken Sie auf das Symbol zum Maximieren .
Klicken Sie im Bereich Enable discovery (Erkennung aktivieren) für jeden Erkennungstyp, den Sie aktivieren möchten, auf Enable (Aktivieren). Wenn Sie einen Erkennungstyp aktivieren, passiert Folgendes:
- BigQuery: Erstellt eine Erkennungskonfiguration für das Profiling von BigQuery-Tabellen in der gesamten Organisation. Der Schutz sensibler Daten beginnt mit der Profilerstellung Ihrer BigQuery-Daten und sendet die Profile an Security Command Center.
- Cloud SQL: Erstellt eine Discovery-Konfiguration zum Erstellen von Profilen für Cloud SQL-Tabellen in der gesamten Organisation. Sensitive Data Protection beginnt mit dem Erstellen von Standardverbindungen für jede Ihrer Cloud SQL-Instanzen. Dieser Vorgang kann einige Stunden dauern. Wenn die Standardverbindungen bereit sind, müssen Sie Sensitive Data Protection Zugriff auf Ihre Cloud SQL-Instanzen gewähren, indem Sie jede Verbindung mit den richtigen Datenbank-Nutzeranmeldedaten aktualisieren.
- Sicherheitslücken bei Secrets/Anmeldedaten: Erstellt eine Erkennungskonfiguration zum Erkennen und Melden von unverschlüsselten Secrets in Cloud Run-Umgebungsvariablen. Sensitive Data Protection beginnt mit dem Scannen Ihrer Umgebungsvariablen.
- Cloud Storage: Erstellt eine Erkennungskonfiguration zum Erstellen von Profilen für Cloud Storage-Buckets in der gesamten Organisation. Sensitive Data Protection beginnt mit der Profilerstellung Ihrer Cloud Storage-Daten und sendet die Profile an Security Command Center.
- Vertex AI-Datasets: Erstellt eine Ermittlungskonfiguration zum Erstellen von Profilen für Vertex AI-Datasets in der gesamten Organisation. Sensitive Data Protection beginnt mit der Profilerstellung Ihrer Vertex AI-Datasets und sendet die Profile an Security Command Center.
Amazon S3: Erstellt eine Ermittlungskonfiguration zum Erstellen von Profilen für alle Amazon S3-Daten, auf die Ihr AWS-Connector Zugriff hat.
Azure Blob Storage: Erstellt eine Ermittlungskonfiguration zum Erstellen von Profilen für alle Azure Blob Storage-Daten, auf die Ihr Azure-Connector Zugriff hat.
Wenn Sie die neu erstellten Erkennungskonfigurationen aufrufen möchten, klicken Sie auf Zur Erkennungskonfiguration.
Wenn Sie die Cloud SQL-Erkennung aktiviert haben, wird die Erkennungskonfiguration im pausierten Modus mit Fehlern erstellt, die auf das Fehlen von Anmeldedaten hinweisen. Unter Verbindungen für die Verwendung mit Discovery verwalten finden Sie Informationen dazu, wie Sie Ihrem Dienst-Agent die erforderlichen IAM-Rollen zuweisen und Anmeldedaten für Datenbanknutzer für jede Cloud SQL-Instanz bereitstellen.
Schließen Sie den Bereich.
Veröffentlichung in Security Command Center in einer vorhandenen Konfiguration aktivieren
Wenn Sie eine vorhandene Erkennungsscan-Konfiguration haben, in der die Veröffentlichung von Erkennungsergebnissen in Security Command Center nicht festgelegt ist, gehen Sie so vor:
Aktivieren Sie im Abschnitt Aktionen die Option In Security Command Center veröffentlichen.
Klicken Sie auf Speichern.
Security Command Center-Ergebnisse zu Datenprofilen abfragen
Im Folgenden finden Sie Beispielabfragen, mit denen Sie relevante Data
sensitivity- und Data risk-Ergebnisse in Security Command Center finden können. Sie können diese Abfragen in das Feld Abfrageeditor eingeben. Weitere Informationen zum Abfrageeditor finden Sie unter Ergebnisabfrage im Security Command Center-Dashboard bearbeiten.
Alle Data sensitivity- und Data risk-Ergebnisse für eine bestimmte BigQuery-Tabelle auflisten
Diese Abfrage ist beispielsweise nützlich, wenn Security Command Center ein Ereignis erkennt, bei dem eine BigQuery-Tabelle in einem anderen Projekt gespeichert wurde. In diesem Fall wird ein Exfiltration: BigQuery Data
Exfiltration-Ergebnis generiert, das den vollständigen Anzeigenamen der exfiltrierten Tabelle enthält. Sie können nach allen Data sensitivity- und Data risk-Ergebnissen suchen, die sich auf die Tabelle beziehen. Sehen Sie sich die berechneten Vertraulichkeits- und Datenrisikostufen für die Tabelle an und planen Sie Ihre Reaktion entsprechend.
state="ACTIVE"
AND NOT mute="MUTED"
AND category="DATA_RISK" OR category="DATA_SENSITIVITY"
AND resource.display_name="PROJECT_ID:DATASET_ID.TABLE_ID"
Ersetzen Sie Folgendes:
- PROJECT_ID: die ID des Projekts, das die BigQuery-Tabelle enthält
- DATASET_ID: die Dataset-ID der Tabelle
- TABLE_ID: Die ID der Tabelle
Alle Data sensitivity- und Data risk-Ergebnisse für eine bestimmte Cloud SQL-Instanz auflisten
Diese Abfrage ist beispielsweise nützlich, wenn Security Command Center ein Ereignis erkennt, bei dem Daten einer aktiven Cloud SQL-Instanz in einen Cloud Storage-Bucket außerhalb der Organisation exportiert wurden. In diesem Fall wird ein Exfiltration: Cloud SQL Data
Exfiltration-Ergebnis generiert, das den vollständigen Ressourcennamen der exfiltrierten Instanz enthält. Sie können nach allen Data sensitivity- und Data risk-Ergebnissen suchen, die sich auf die Instanz beziehen. Sehen Sie sich die berechneten Sensibilitäts- und Datenrisikostufen für die Instanz an und planen Sie Ihre Reaktion entsprechend.
state="ACTIVE"
AND NOT mute="MUTED"
AND category="DATA_RISK" OR category="DATA_SENSITIVITY"
AND resource.name:"INSTANCE_NAME"
Ersetzen Sie Folgendes:
- INSTANCE_NAME: ein Teil des Namens der Cloud SQL-Instanz
Alle Data risk- und Data sensitivity-Ergebnisse mit dem Schweregrad High auflisten
state="ACTIVE"
AND NOT mute="MUTED"
AND category="DATA_RISK" OR category="DATA_SENSITIVITY"
AND severity="HIGH"
Nächste Schritte
- Prioritätswerte für Ressourcen automatisch anhand der Vertraulichkeit von Daten festlegen
- Vorhandensein von Secrets in Umgebungsvariablen an Security Command Center melden