Security Command Center Premium-Stufe für eine Organisation aktivieren

Premium-Dienststufe (erfordert Aktivierung auf Organisationsebene)

Mit Security Command Center Premium können Sie Ihren Sicherheitsstatus bewerten, Sicherheitslücken identifizieren und Bedrohungen in unterstützten Cloud-Ressourcen in Ihrer Organisation erkennen. Wenn Sie die Premium-Stufe in der Google Cloud Konsole aktivieren, wird automatisch eine Reihe integrierter Erkennungsdienste aktiviert.

Informationen zu den Funktionen der einzelnen Stufen finden Sie unter Security Command Center-Dienststufen. Informationen zum Konfigurieren eines anderen Bereichs oder einer anderen Stufe finden Sie in den Leitfäden für die Standard-Stufe, die Enterprise-Stufe oder die Aktivierung auf Projektebene.

Hinweis

Bevor Sie Security Command Center Premium für eine Organisation aktivieren, müssen Sie Folgendes tun:

• Bestimmte IAM-Rollen und -Berechtigungen (Identity and Access Management) erhalten.
• Optional: Aktivieren Sie zusätzliche APIs.
• Prüfen Sie die Organisationsrichtlinien, falls sie für Ihre Organisation gelten.
• Wenn Sie den Datenstandort aktivieren möchten, lesen Sie den Abschnitt Datenstandort planen und legen Sie fest, welchen Standort Sie verwenden möchten.
• Wenn Sie einen kundenverwalteten Verschlüsselungsschlüssel (CMEK) verwenden möchten, führen Sie die erforderlichen Aufgaben zum Aktivieren von CMEK für Security Command Center aus.

Sie können den Datenstandort und die Datenverschlüsselung konfigurieren, wenn Sie Security Command Center aktivieren. Wenn Sie diese Einstellungen nach der Aktivierung von Security Command Center Standard oder Premium ändern möchten, lesen Sie den Abschnitt Konfiguration für Datenstandort oder Datenverschlüsselung ändern.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für Ihre Organisation zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Aktivieren von Security Command Center für eine Organisation benötigen:

• Sicherheitscenter-Administrator (roles/securitycenter.admin)
• Organization Administrator (roles/resourcemanager.organizationAdmin)

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Security Center Management API aktivieren

Wenn Sie die Security Center Management API verwenden möchten, aktivieren Sie diese API in dem Projekt, in dem Sie sie aufrufen möchten:

Rollen, die zum Aktivieren von APIs erforderlich sind

Zum Aktivieren von APIs benötigen Sie die Berechtigung serviceusage.services.enable. Wenn Sie das Projekt erstellt haben, haben Sie diese Berechtigung wahrscheinlich bereits über die Inhaberrolle (roles/owner). Andernfalls können Sie diese Berechtigung über die Rolle „Service Usage-Administrator“ (roles/serviceusage.serviceUsageAdmin) erhalten. Informationen zum Zuweisen von Rollen

API aktivieren

Organisationsrichtlinien überprüfen

Wenn in den Organisationsrichtlinien die Identitäten nach Domain eingeschränkt sind, prüfen Sie Folgendes:

• Sie müssen in der Google Cloud -Console mit einem Konto in einer zulässigen Domain angemeldet sein.
• Ihre Dienstkonten müssen sich in einer zulässigen Domain befinden oder Mitglieder einer Gruppe innerhalb Ihrer Domain sein. Mit dieser Anforderung können Sie Diensten, die das Dienstkonto @*. verwenden, den Zugriff auf Ressourcen erlauben, wenn die domainbeschränkte Freigabe aktiviert ist.

Wenn Ihre Organisationsrichtlinien so konfiguriert sind, dass die Ressourcennutzung eingeschränkt wird, prüfen Sie, ob die folgenden APIs durch Ihre Richtlinie zugelassen sind:

• cloudsecuritycompliance.googleapis.com
• securitycenter.googleapis.com
• securitycentermanagement.googleapis.com

Security Command Center Premium aktivieren

Sie können Security Command Center Premium für eine Organisation über die Google Cloud Console aktivieren.

1. Rufen Sie in der Google Cloud Console die Willkommensseite des Security Command Center auf.

   Zum Security Command Center

2. Wenn Sie den Datenstandort aktivieren möchten, öffnen Sie eine jurisdiktionsspezifische Console mit der URL, die dem Standort entspricht, den Sie konfigurieren möchten.

   Sie müssen die Google Cloud -Konsole für die Gerichtsbarkeit verwenden, um Security Command Center mit Datenstandortkontrollen zu aktivieren und die Konfiguration des Datenstandorts nach der Aktivierung zu ändern. Weitere Informationen finden Sie unter Informationen zurGoogle Cloud -Konsole für die Gerichtsbarkeit.

   Achtung: Security Command Center validiert Ihren Datenstandort nicht anhand von Organisationsrichtlinien, die die Einschränkung für Ressourcenstandorte (gcp.resourceLocations) erzwingen. Wenn Sie den Datenstandort konfigurieren, müssen Sie einen Standort auswählen, der mit Ihren Organisationsrichtlinien übereinstimmt.

3. Wählen Sie die Organisation aus, für die Sie Security Command Center Premium aktivieren möchten, und klicken Sie dann auf Auswählen.

4. Wähle auf der Willkommensseite Premium kostenlos testen aus.

   Hinweis: Der kostenlose Testzeitraum für Premium dauert 30 Tage. Nach Ablauf des Testzeitraums wird Ihre Organisation automatisch auf das Premium-Preismodell „Pay as you go“ umgestellt und Ihr Rechnungskonto entsprechend belastet.

   Wenn Sie Ihren Premium-Testzeitraum kündigen und Pay as you go-Gebühren vermeiden möchten, müssen Sie vor Ablauf des Testzeitraums ein Downgrade auf die Standard-Stufe durchführen. Sie können während des Testzeitraums jederzeit ein Downgrade durchführen. Eine ausführliche Anleitung finden Sie unter Downgrade von der Premium-Stufe auf die Standard-Stufe.

   Wenn Sie ein Premium-Abo abschließen möchten, finden Sie weitere Informationen unter Premium-Stufe: Abobasierte Preise.

5. Optional: Klicken Sie auf Mehr anzeigen, um die Konfiguration des Datenstandorts zu bestätigen oder die Konfiguration der Datenverschlüsselung zu ändern.

   • Wenn Sie eine länderspezifische Console verwenden, wird im Feld Datenstandort die Option Aktivieren und im Feld Standort derselbe Standort wie in der länderspezifischen Console angezeigt. Wenn Sie den Standort ändern möchten, öffnen Sie die Console mit einer URL, die dem Standort entspricht, den Sie konfigurieren möchten.
   • In der Standardkonfiguration für die Datenverschlüsselung wird Google-owned and Google-managed encryption keysverwendet. Wenn Sie einen Cloud Key Management Service-Schlüssel verwenden möchten, klicken Sie auf Datenverschlüsselung bearbeiten und gehen Sie dann so vor:
     1. Wählen Sie Cloud KMS-Schlüssel aus.
     2. Wählen Sie ein Projekt aus.
     3. Wählen Sie einen Schlüssel aus. Sie können einen Schlüssel aus einem beliebigen Google Cloud -Projekt auswählen, einschließlich Projekten in anderen Organisationen. In der Liste werden nur Schlüssel an kompatiblen Standorten angezeigt.

     Informationen dazu, welche Schlüsselstandorte mit Security Command Center kompatibel sind, finden Sie unter Schlüsselstandort bestimmen.

     Wenn Ihre Organisation CMEK-Organisationsrichtlinien verwendet, können Sie möglicherweise nur CMEK oder bestimmte Schlüssel auswählen.

     Während des Aktivierungsprozesses weist Security Command Center dem Cloud Security Command Center-Dienst-Agenten für den Cloud KMS-Schlüssel die Rolle Cloud KMS CryptoKey-Verschlüsseler/Entschlüsseler (roles/cloudkms.cryptoKeyEncrypterDecrypter) zu.

6. Klicken Sie auf Activate (Aktivieren).

Sobald Ergebnisse verfügbar sind, werden sie in der Console angezeigt. Anschließend können Sie mit der Google Cloud Console Sicherheits- und Datenrisiken von Google Cloud prüfen und beheben.

Das Security Command Center schließt den ersten vollständigen Scan innerhalb von 24 Stunden ab. Bei einigen Diensten kann es zu einer Verzögerung kommen, bevor Scans gestartet werden. Weitere Informationen finden Sie unter Wann Ergebnisse im Security Command Center zu erwarten sind.

Dienste für Security Command Center Premium

Nachdem Sie Security Command Center Premium aktiviert haben, werden bestimmte Dienste automatisch aktiviert und Dienst-Agents erstellt, damit diese Dienste in Ihrem Namen agieren können.

Dienste

Das Security Command Center verwendet Erkennungsdienste, um Sicherheitsprobleme in Ihren Cloud-Umgebungen zu erkennen. Die folgenden Dienste werden aktiviert, wenn Sie Security Command Center Premium aktivieren:

• KI-Schutz

• Compliance-Manager

• Container Threat Detection

  Damit Container Threat Detection funktioniert, müssen Ihre Cluster eine unterstützte Version von Google Kubernetes Engine (GKE) ausführen und Ihre GKE-Cluster müssen richtig konfiguriert sein. Weitere Informationen finden Sie unter Container Threat Detection verwenden.

• Event Threat Detection

  Event Threat Detection basiert auf Logs, die von Google Cloudgeneriert werden. Wenn Sie Event Threat Detection verwenden möchten, müssen Sie Logs für Ihre Organisation, Ordner und Projekte aktivieren.

• Security Health Analytics

• Sicherheitsstatus

• Virtual Machine Threat Detection

• Sicherheitslückenbewertung

• Web Security Scanner

Anleitungen zur Verwendung und Optimierung finden Sie in der Dokumentation des jeweiligen Dienstes. Event Threat Detection basiert beispielsweise auf Logs, die vonGoogle Cloudgeneriert werden. Einige Logs sind immer aktiviert, sodass Event Threat Detection diese Logs scannen kann, sobald es aktiviert ist. Andere Logs, z. B. die meisten Audit-Logs für den Datenzugriff, müssen aktiviert werden, bevor Event Threat Detection sie scannen kann.

Die in diesem Abschnitt beschriebenen Dienste und zusätzliche Dienste können aktiviert oder deaktiviert werden. Folgen Sie dazu der Anleitung unter Security Command Center-Dienste konfigurieren.

Dienst-Agents

Ein Dienst-Agent ist ein Dienstkonto, das von Google Cloud erstellt und verwaltet wird, um in Ihrem Namen auf Ressourcen zuzugreifen. Nachdem ein Dienst-Agent erstellt wurde, weist Security Command Center dem Dienst-Agent automatisch die erforderlichen IAM-Rollen zu. Die Aktivierung von Security Command Center Premium umfasst die folgenden Dienst-Agents:

• Cloud Security Command Center-Dienst-Agent für Event Threat Detection, Security Health Analytics, Virtual Machine Threat Detection und Vulnerability Assessment
• Cloud Security Compliance Service Agent für AI Protection und Compliance Manager
• Container Threat Detection-Dienst-Agent für Container Threat Detection

Hinweis: Wenn Sie Dienstperimeter verwenden, müssen Sie Richtlinien für ein- und ausgehenden Traffic für Dienst-Agents konfigurieren, damit sie auf die einzelnen Dienste zugreifen können. Weitere Informationen finden Sie in der folgenden dienstspezifischen Dokumentation:

• Compliance-Manager
• Container Threat Detection
• Security Health Analytics
• Sicherheitslückenbewertung

Security Command Center-Dienst ändern

Weitere Informationen zur Stufenverwaltung finden Sie unter Security Command Center Premium-Stufe für eine Organisation ändern.

Nächste Schritte

• Security Command Center-Dienste konfigurieren
• Security Command Center in der Google Cloud Console verwenden
• Mit Security Command Center-Ergebnissen arbeiten
• Weitere Informationen zu Google Cloud -Sicherheitsquellen.
• Model Armor kann Ihnen helfen, Ihre KI-Arbeitslasten zu schützen.
• Aktivieren Sie Sensitive Data Protection, um Ihre sensiblen Daten zu schützen.
• Kosten mit Cloud Billing überwachen