Attiva Security Command Center Enterprise

Livello di servizio Enterprise (deprecato)

Il livello di servizio Security Command Center Enterprise verrà disattivato il 21 maggio 2027. Se la tua organizzazione utilizza il livello di servizio Enterprise, passerà automaticamente al livello di servizio Premium a partire dal 21 maggio 2027. In caso di domande, contatta il tuo rappresentante dell'account o uno specialista di vendita diGoogle Cloud .

Il livello Security Command Center Enterprise offre miglioramenti della sicurezza, tra cui:

• Operazioni di sicurezza avanzate con Google Security Operations
• Integrazioni con altri prodotti Google Cloud , come Mandiant Attack Surface Management, Sensitive Data Protection e Assured OSS
• Supporto multi-cloud
• Analisi del rischio
• Supporto della conformità (anteprima)

Per una descrizione delle funzionalità del livello Enterprise, consulta Livelli di servizio.

Puoi completare la procedura di attivazione per il livello Enterprise utilizzando la guida alla configurazione nella console Google Cloud . Dopo le attività obbligatorie iniziali, completa i passaggi aggiuntivi per configurare le funzionalità facoltative richieste dalla tua organizzazione.

Per informazioni sui prezzi e su come ottenere un abbonamento, consulta Prezzi di Security Command Center.

Per istruzioni sull'attivazione di Security Command Center con un livello di servizio diverso, consulta quanto segue:

• Attiva il livello Security Command Center Standard

• Attiva il livello Premium di Security Command Center

Prima di iniziare

Prima di attivare Security Command Center per la prima volta, completa i seguenti passaggi:

1. Pianifica l'attivazione
2. Crea un'organizzazione
3. Crea il progetto di gestione
4. Verifica le policy dell'organizzazione
5. Configura autorizzazioni e API
6. Configura i contatti per le notifiche

Pianifica l'attivazione

Questa sezione descrive le decisioni e le informazioni necessarie per prepararti all'attivazione.

Decidi se attivare il supporto della residenza dei dati

Quando attivi Security Command Center, puoi abilitare il supporto per la residenza dei dati, che ti offre un maggiore controllo sulla posizione dei dati di Security Command Center. Per Google SecOps, la residenza dei dati è sempre attiva.

Attenzione: Security Command Center non convalida la località di residenza dei dati rispetto alle policy dell'organizzazione che applicano il vincolo delle località delle risorse, gcp.resourceLocations. Quando configuri la residenza dei dati, devi selezionare una località coerente con le policy dell'organizzazione.

Per il livello di servizio Enterprise, prima di attivare Security Command Center con i controlli di residenza dei dati, devi contattare il tuo rappresentante dell'account Google Cloud e programmare una data e un'ora in cui attiverai Security Command Center. Dopo l'attivazione, il tuo rappresentante dell'account ti aiuterà ad assicurarti che l'istanza Google SecOps sia configurata per supportare completamente i controlli per la residenza dei dati. In caso di domande, contatta il tuo rappresentante dell'account Google Cloud .

Una volta abilitato il supporto per la residenza dei dati nella tua organizzazione, non puoi disabilitarlo.

Se utilizzi il livello di servizio Standard o Premium, l'upgrade al livello Enterprise non modifica la località dei dati di Security Command Center. Se non hai abilitato la residenza dei dati di Security Command Center per il livello Standard o Premium, non puoi abilitarla quando esegui l'upgrade al livello Enterprise.

Determina il contatto per l'assistenza

Quando attivi una nuova istanza di Google SecOps, fornisci il nome della tua azienda e l'indirizzo email di un punto di contatto. Identifica un punto di contatto della tua organizzazione. Questa configurazione non è correlata ai contatti fondamentali.

Scegli la configurazione di Google SecOps

Durante l'attivazione, colleghi Security Command Center Enterprise a un'istanza Google SecOps.

• Puoi connetterti a un'istanza esistente.

• Puoi eseguire il provisioning e connetterti a una nuova istanza. Puoi eseguire il provisioning e connetterti a una nuova istanza anche se ne hai già una.

Connettiti a un'istanza esistente

Non puoi connettere Security Command Center Enterprise a un'istanza Google SecOps SIEM autonoma o Google SecOps SOAR autonoma esistente. Se hai domande sul tipo di istanza di Google SecOps di cui disponi, contatta il tuo rappresentante di vendita Google Cloud .

Quando selezioni un'istanza Google SecOps esistente, la pagina Connettiti a un'istanza SecOps fornisce un link all'istanza in modo da poter verificare la selezione. Per verificare l'istanza, devi disporre dell'accesso. Devi disporre almeno del ruolo Chronicle API Restricted Data Access Viewer (roles/chronicle.restrictedDataAccessViewer) nel progetto di gestione per accedere all'istanza.

Se esegui il provisioning di Security Command Center utilizzando un'istanza Google SecOps esistente configurata per l'utilizzo della federazione delle identità per la forza lavoro, devi aggiornare i pool di identità per la forza lavoro con autorizzazioni aggiuntive per accedere alle funzionalità nelle pagine della console delle operazioni di sicurezza disponibili con Security Command Center Enterprise. Per saperne di più, consulta Controlla l'accesso alle funzionalità nelle pagine della console di Security Operations.

Esegui il provisioning di una nuova istanza

Quando esegui il provisioning di una nuova istanza, solo questa viene associata a Security Command Center. Quando utilizzi Security Command Center, navighi tra le pagine della consoleGoogle Cloud e della console di operazioni di sicurezza di cui è stato appena eseguito il provisioning.

Durante l'attivazione, specifichi la località in cui deve essere eseguito il provisioning della nuova istanza di Google SecOps. Per un elenco delle regioni supportate e delle aree multiregionali, consulta la pagina delle località dei servizi SecOps. Questa località si applica solo a Google SecOps e non ad altri servizi o funzionalità di Security Command Center.

Ogni istanza di Google SecOps deve avere un progetto di gestione dedicato di tua proprietà e gestito da te. Questo progetto deve appartenere alla stessa organizzazione in cui attivi Security Command Center Enterprise. Non puoi utilizzare lo stesso progetto di gestione per più istanze di Google SecOps.

Se hai un'istanza Google SecOps esistente ed esegui il provisioning di una nuova istanza per Security Command Center Enterprise, entrambe le istanze utilizzano la stessa configurazione per l'importazione diretta dei dati Google Cloud . Le stesse impostazioni di configurazione controllano l'importazione in entrambe le istanze di Google SecOps, che ricevono gli stessi dati.

Durante l'attivazione di Security Command Center Enterprise, il processo di attivazione modifica le impostazioni di importazione dei log di Google Cloud per impostare tutti i campi dei tipi di dati su abilitati: Google Cloud Logging, metadati degli asset Cloud e risultati di Security Command Center Premium. Le impostazioni del filtro di esportazione non vengono modificate. Security Command Center Enterprise richiede questi tipi di dati per il funzionamento di tutte le funzionalità come previsto. Puoi modificare le impostazioni di importazione dei log di Google Cloud dopo aver completato l'attivazione.

Crea un'organizzazione

Security Command Center richiede una risorsa organizzazione associata a un dominio. Se non hai creato un'organizzazione, consulta Creazione e gestione delle organizzazioni.

Se hai più organizzazioni, identifica quelle in cui attiverai Security Command Center Enterprise. Devi seguire questi passaggi di attivazione per ogni organizzazione in cui prevedi di attivare Security Command Center Enterprise.

Verifica le policy dell'organizzazione

Se le policy dell'organizzazione sono impostate per limitare l'utilizzo delle risorse, verifica che siano consentite le seguenti API:

• chronicle.googleapis.com
• cloudsecuritycompliance.googleapis.com
• securitycenter.googleapis.com
• securitycentermanagement.googleapis.com

Crea un progetto di gestione

Security Command Center Enterprise richiede un progetto, chiamato progetto di gestione, per abilitare l'integrazione di Google SecOps e Mandiant Attack Surface Management. Ti consigliamo di utilizzare questo progetto esclusivamente per Security Command Center Enterprise.

Se hai attivato Google SecOps in precedenza e vuoi connetterti all'istanza esistente, utilizza il progetto di gestione esistente connesso a Google SecOps.

Se prevedi di eseguire il provisioning di una nuova istanza di Google SecOps, crea un nuovo progetto di gestione dedicato alla nuova istanza. Non riutilizzare un progetto di gestione collegato a un'altra istanza di Google SecOps.

Google SecOps non supporta l'utilizzo di un progetto di gestione che esiste all'interno di un perimetro di servizio dei Controlli di servizio VPC.

Scopri di più sulla creazione e sulla gestione dei progetti.

Configura autorizzazioni e API

Utilizza le informazioni contenute in questa sezione per configurare le autorizzazioni necessarie per attivare Security Command Center Enterprise:

• (Facoltativo) Abilita l'API Security Center Management
• Configura le autorizzazioni per l'organizzazione
• Configura le autorizzazioni e abilita le API nel progetto di gestione
• Crea un account di servizio se prevedi di connetterti a un'istanza Google SecOps esistente

Scopri di più sui ruoli di Security Command Center e sulle APIGoogle Cloud .

Abilita l'API Security Center Management

Se prevedi di utilizzare l'API Security Center Management, abilitala nel progetto in cui prevedi di chiamarla:

Ruoli richiesti per abilitare le API

Per abilitare le API, devi disporre dell'autorizzazione serviceusage.services.enable. Se hai creato il progetto, probabilmente hai già questa autorizzazione tramite il ruolo Proprietario (roles/owner). In caso contrario, puoi ottenere questa autorizzazione tramite il ruolo Amministratore Service Usage (roles/serviceusage.serviceUsageAdmin). Scopri come concedere i ruoli.

Abilitare l'API

Configura le autorizzazioni per l'organizzazione

Assicurati di disporre dei seguenti ruoli nell'organizzazione:

• Organization Administrator (roles/resourcemanager.organizationAdmin)
• Cloud Asset Owner (roles/cloudasset.owner)
• Security Center Admin (roles/securitycenter.admin)
• Security Admin (roles/iam.securityAdmin)
• Chronicle Service Viewer (roles/chroniclesm.viewer)

Controlla i ruoli

1. Nella console Google Cloud vai alla pagina IAM.

   Vai a IAM
2. Seleziona l'organizzazione.

3. Nella colonna Entità, individua tutte le righe che identificano te o un gruppo di cui fai parte. Per scoprire in quali gruppi sei incluso, contatta l'amministratore.

4. Per tutte le righe che ti specificano o ti includono, controlla la colonna Ruolo per verificare se l'elenco dei ruoli include i ruoli richiesti.

Concedi i ruoli

1. Nella console Google Cloud vai alla pagina IAM.

   Vai a IAM
2. Seleziona l'organizzazione.
3. Fai clic su Concedi l'accesso.

4. Nel campo Nuove entità, inserisci il tuo identificatore dell'utente. In genere si tratta dell'identificatore di un utente in un pool di identità della forza lavoro. Per maggiori dettagli, consulta Rappresenta gli utenti del pool di forza lavoro nelle policy IAM o contatta l'amministratore.

5. Fai clic su Seleziona un ruolo, quindi cerca il ruolo.
6. Per concedere altri ruoli, fai clic su Aggiungi un altro ruolo e aggiungi ogni ruolo successivo.
7. Fai clic su Salva.

Configura le autorizzazioni e abilita le API nel progetto di gestione

1. Nella console Google Cloud , verifica di visualizzare l'organizzazione in cui vuoi attivare il livello Security Command Center Enterprise.
2. Seleziona il progetto di gestione che hai creato in precedenza.

3. Assicurati di disporre dei seguenti ruoli nel progetto:

   • Amministratore Service Usage (roles/serviceusage.serviceUsageAdmin)
   • Creatore token account di servizio (roles/iam.serviceAccountTokenCreator)
   • Chronicle API Admin (roles/chronicle.admin)
   • Chronicle Service Admin (roles/chroniclesm.admin)
   • Chronicle SOAR Admin (roles/chronicle.soarAdmin)
   • Amministratore chiavi account di servizio (roles/iam.serviceAccountKeyAdmin)
   • Service Account Admin (roles/iam.serviceAccountAdmin)

   Controlla i ruoli

   1. Nella console Google Cloud vai alla pagina IAM.

      Vai a IAM
   2. Seleziona il progetto.

   3. Nella colonna Entità, individua tutte le righe che identificano te o un gruppo di cui fai parte. Per scoprire in quali gruppi sei incluso, contatta l'amministratore.

   4. Per tutte le righe che ti specificano o ti includono, controlla la colonna Ruolo per verificare se l'elenco dei ruoli include i ruoli richiesti.

   Concedi i ruoli

   1. Nella console Google Cloud vai alla pagina IAM.

      Vai a IAM
   2. Seleziona il progetto.
   3. Fai clic su Concedi l'accesso.

   4. Nel campo Nuove entità, inserisci il tuo identificatore dell'utente. In genere si tratta dell'identificatore di un utente in un pool di identità della forza lavoro. Per maggiori dettagli, consulta Rappresenta gli utenti del pool di forza lavoro nelle policy IAM o contatta l'amministratore.

   5. Fai clic su Seleziona un ruolo, quindi cerca il ruolo.
   6. Per concedere altri ruoli, fai clic su Aggiungi un altro ruolo e aggiungi ogni ruolo successivo.
   7. Fai clic su Salva.

4. Abilita le API Cloud Asset, Cloud Pub/Sub, Cloud Resource Manager, Compute Engine, Policy Analyzer e Recommender, se non sono già abilitate.

   Ruoli richiesti per abilitare le API

   Per abilitare le API, devi disporre dell'autorizzazione serviceusage.services.enable. Se hai creato il progetto, probabilmente hai già questa autorizzazione tramite il ruolo Proprietario (roles/owner). In caso contrario, puoi ottenere questa autorizzazione tramite il ruolo Amministratore Service Usage (roles/serviceusage.serviceUsageAdmin). Scopri come concedere i ruoli.

   Abilita le API

Crea un account di servizio quando utilizzi un'istanza Google SecOps esistente

Se prevedi di connetterti a un'istanza Google SecOps esistente, crea un service account gestito dall'utente e concedi al account di servizio i seguenti ruoli:

• Chronicle SOAR Service Agent (roles/chronicle.soarServiceAgent) e Pub/Sub Admin (roles/pubsub.admin) a livello di organizzazione in cui prevedi di attivare Security Command Center.
• Chronicle Service Agent (roles/chronicle.serviceAgent) sul progetto di gestione.

Configura i contatti per le notifiche

Configura i contatti necessari in modo che gli amministratori della sicurezza possano ricevere notifiche importanti. Per le istruzioni, consulta Gestisci i contatti per le notifiche.

Attiva il livello Security Command Center Enterprise

La procedura di attivazione configura automaticamente i service account, le autorizzazioni e i servizi inclusi in Security Command Center Enterprise. Puoi connetterti a un'istanza Google SecOps Standard, Enterprise o Enterprise Plus esistente o eseguirne il provisioning di una nuova.

Importante:

• Devi utilizzare la console Google Cloud giurisdizionale per attivare Security Command Center con i controlli di residenza dei dati e modificare la configurazione della residenza dei dati dopo l'attivazione. Per maggiori dettagli, consulta Informazioni sulla console Google Cloud giurisdizionale.
• Per il livello di servizio Enterprise, prima di attivare Security Command Center con i controlli di residenza dei dati, devi contattare il tuo rappresentante dell'account Google Cloud e pianificare una data e un'ora in cui attiverai Security Command Center. Dopo l'attivazione, il tuo rappresentante dell'account ti aiuterà ad assicurarti che l'istanza Google SecOps sia configurata per supportare completamente i controlli per la residenza dei dati. In caso di domande, contatta il tuo rappresentante dell'account Google Cloud .

1. Nella console Google Cloud , vai a Security Command Center.

   Vai a Security Command Center

2. Seleziona l'organizzazione in cui vuoi attivare il livello Security Command Center Enterprise, quindi fai clic su Seleziona.

3. Nel menu di navigazione di Security Command Center, fai clic su Guida alla configurazione.

   Nota: se non vedi Guida alla configurazione, contatta il team di vendita diGoogle Cloud per verificare che il tuo diritto all'abbonamento sia attivo.

4. Nella pagina Inizia a utilizzare Security Command Center Enterprise, esamina i service account e le API che verranno configurati, quindi fai clic su Avanti.

   • Per visualizzare i service account che verranno creati, fai clic su Visualizza service account e autorizzazioni.
   • Per visualizzare le API che verranno abilitate, fai clic su Visualizza API Security Command Center Enterprise.
   • Per visualizzare i termini e le condizioni, fai clic su Termini e condizioni di Security Command Center Enterprise.

   La pagina successiva mostra una visualizzazione diversa a seconda dell'ambiente.

   • Se hai un'istanza Google SecOps esistente, ti verrà chiesto di utilizzare quella esistente o di crearne una nuova. Vai al passaggio 5 per scegliere il tipo di istanza.

   • Se non hai un'istanza Google SecOps esistente, vai al passaggio 6 per crearne una nuova.

5. Se l'organizzazione è collegata a un'istanza di Google SecOps, scegli una delle seguenti opzioni. Se non è collegato a un'istanza Google SecOps, vai al passaggio 6 per creare una nuova istanza Google SecOps.

   • Seleziona Sì, collega a un'istanza Google Security Operations esistente, quindi scegli un'istanza dal menu. Continua con il passaggio 7 per avviare l'attivazione.

     Il menu mostra le istanze Google SecOps associate all'organizzazione in cui stai attivando Security Command Center Enterprise. Ogni elemento include l'ID cliente Google SecOps, la regione in cui è stato eseguito il provisioning e il nome del progetto Google Cloud a cui è associato. Non puoi selezionare un'istanza incompatibile con Security Command Center Enterprise.

     La pagina fornisce un link all'istanza Google SecOps selezionata, in modo che tu possa verificarla. Se ricevi un errore quando apri l'istanza, verifica di disporre delle autorizzazioni IAM necessarie per accedere all'istanza.

   • Seleziona No, crea una nuova istanza Google Security Operations, quindi vai al passaggio 6 per creare una nuova istanza Google SecOps.

6. Per creare una nuova istanza Google SecOps, fornisci ulteriori dettagli di configurazione.

   1. Specifica i dati di contatto della tua azienda.

      • Contatto per l'assistenza tecnica: inserisci un indirizzo email individuale o di gruppo.
      • Nome dell'azienda: inserisci il nome della tua azienda.

   2. Seleziona il tipo di località in cui verrà eseguito il provisioning di Google SecOps.

      • Regione: seleziona una singola regione.
      • Più regioni: seleziona una località multiregionale.

      Questa località viene utilizzata solo per Google SecOps e non per altre funzionalità di Security Command Center. Per un elenco delle regioni e delle multi-regioni supportate, consulta la pagina delle località dei servizi SecOps.

   3. Fai clic su Avanti e poi seleziona il progetto di gestione dedicato. Hai creato il progetto di gestione dedicato in un passaggio precedente.

      Se selezioni un progetto collegato a un'istanza Google SecOps esistente, riceverai un errore quando avvii l'attivazione.

   4. Continua con il passaggio 7 per avviare l'attivazione.

7. Fai clic su Attiva.

   Alcuni servizi vengono attivati automaticamente, ad esempio Security Health Analytics, Event Threat Detection e Virtual Machine Threat Detection. Potrebbe essere necessario un po' di tempo prima che le funzionalità di Google SecOps siano pronte e i risultati diventino disponibili.

8. Continua con Monitora l'avanzamento dell'attivazione e configura i servizi.

Monitora l'avanzamento dell'attivazione e configura i servizi

La guida alla configurazione mostra lo stato del provisioning e ti consente di visualizzare i servizi attivati. Puoi configurare servizi aggiuntivi e connessioni ad altri provider di servizi cloud.

1. Nella console Google Cloud , vai alla guida alla configurazione di Security Command Center.

   Vai alla Guida alla configurazione

2. Seleziona l'organizzazione in cui hai attivato Security Command Center Enterprise.

3. Espandi il riquadro Esamina il riepilogo delle funzionalità di sicurezza. Ogni riquadro mostra lo stato di attivazione dei servizi correlati.

4. Per connetterti ad Amazon Web Services (AWS) o Microsoft Azure, fai clic su add Aggiungi connettore. Viene visualizzata la scheda Connettori nella pagina Impostazioni.

   Per ulteriori istruzioni, consulta le seguenti risorse:

   • Connettiti ad AWS per la raccolta dei dati di configurazione e delle risorse
   • Connettiti a Microsoft Azure per la raccolta dei dati di configurazione e delle risorse.

5. Fai clic su Configura in qualsiasi riquadro per configurare servizi e funzionalità aggiuntivi. Utilizza i link nella tabella seguente per scoprire di più su ciascuna funzionalità.

   Nome del riquadro delle funzionalità	Scopri di più su queste funzionalità
   AI Protection	Panoramica di AI Protection Panoramica di Model Armor
   Sicurezza del codice	Panoramica di Google Cloud Armor Integrazione con Assured OSS per la sicurezza del codice.
   Rilevamento delle minacce cloud	Panoramica di Container Threat Detection Panoramica di Event Threat Detection Panoramica di Virtual Machine Threat Detection Connettiti ad AWS per la raccolta dei dati di configurazione e delle risorse Panoramica di Cloud Run Threat Detection
   Sicurezza dei dati	Abilita Event Threat Detection Abilita Sensitive Data Protection Abilita rilevamento
   Sicurezza di identità e accessi	Panoramica del servizio integrato del motore per suggerimenti IAM Panoramica di Cloud Infrastructure Entitlement Management (CIEM)
   Conformità	Applica un framework Concedi ruoli in IAM Gestisci una security posture Panoramica di Security Health Analytics Panoramica di Web Security Scanner
   Piattaforma di risposta	Mappa e autentica gli utenti per attivare le funzionalità relative a SOAR Integra Security Command Center Enterprise con i sistemi di gestione dei ticket Aggiorna il caso d'uso Enterprise Utilizza i playbook
   Valutazione delle vulnerabilità	Panoramica della valutazione delle vulnerabilità del software

Configura le autorizzazioni per l'utilizzo continuo di Security Command Center Enterprise

Per modificare la configurazione della tua organizzazione, devi disporre di entrambi i seguenti ruoli a livello di organizzazione:

• Organization Administrator (roles/resourcemanager.organizationAdmin)
• Security Center Admin (roles/securitycenter.admin)

Se un utente non richiede le autorizzazioni di modifica, valuta la possibilità di concedergli i ruoli di visualizzatore.

Per visualizzare tutti gli asset, i risultati e i percorsi di attacco in Security Command Center, gli utenti devono disporre del ruolo Visualizzatore amministratore del Centro sicurezza (roles/securitycenter.adminViewer) a livello di organizzazione.

Per visualizzare le impostazioni, gli utenti devono disporre del ruolo Amministratore del Centro sicurezza (roles/securitycenter.admin) a livello di organizzazione.

Per limitare l'accesso a singole cartelle e singoli progetti, non concedere tutti i ruoli a livello di organizzazione. Concedi invece i seguenti ruoli a livello di cartella o progetto:

• Visualizzatore asset di Security Center (roles/securitycenter.assetsViewer)
• Security Center Findings Viewer (roles/securitycenter.findingsViewer)

Ogni servizio di rilevamento potrebbe richiedere autorizzazioni aggiuntive per l'attivazione o la configurazione. Per saperne di più, consulta la documentazione specifica di ogni servizio.

Per utilizzare le funzionalità della console di operazioni di sicurezza supportate con Security Command Center Enterprise, consulta Controlla l'accesso alle funzionalità nelle pagine della console di operazioni di sicurezza.

Modifica il servizio Security Command Center

Per ulteriori informazioni sulla gestione dei livelli, consulta Modifica il livello di Security Command Center Enterprise.

Passaggi successivi

• Scopri come utilizzare i risultati di Security Command Center.
• Scopri di più sulle fonti di sicurezza diGoogle Cloud .
• Indaga sulle minacce con i rilevamenti predefiniti.
• Applica i framework al tuo ambiente per allinearlo ai requisiti di conformità e sicurezza.