הפעלת המסלול Security Command Center Premium בארגון

רמת שירות פרימיום (נדרשת הפעלה ברמת הארגון)

בעזרת Security Command Center Premium אתם יכולים להעריך את מצב האבטחה, לזהות נקודות חולשה ולגלות איומים במשאבי הענן הנתמכים בארגון. כשמפעילים את מסלול פרימיום במסוף Google Cloud , מופעלת באופן אוטומטי חבילה של שירותי זיהוי מובנים.

למידע על יכולות התכונות ברמות השונות, קראו את המאמר רמות השירות של Security Command Center. כדי להגדיר היקף או רמה אחרים, עיינו במדריכים של רמת Standard, רמת Enterprise או הפעלה ברמת הפרויקט.

לפני שמתחילים

לפני שמפעילים את Security Command Center Premium לארגון, צריך לבצע את הפעולות הבאות:

• לקבל תפקידים והרשאות ספציפיים לניהול זהויות והרשאות גישה (IAM).
• אופציונלי: מפעילים ממשקי API נוספים.
• בודקים את מדיניות הארגון, אם היא רלוונטית לארגון שלכם.
• אם אתם מתכננים להפעיל את מיקום אחסון הנתונים, כדאי לעיין במאמר תכנון של מיקום אחסון הנתונים ולהחליט באיזה מיקום להשתמש.
• אם אתם מתכננים להשתמש במפתח הצפנה בניהול הלקוח (CMEK), אתם צריכים לבצע את המשימות הנדרשות כדי להפעיל את CMEK ב-Security Command Center.

כשמפעילים את Security Command Center, אפשר להגדיר את מיקום אחסון הנתונים ואת הצפנת הנתונים. כדי לשנות את ההגדרות האלה אחרי שמפעילים את Security Command Center Standard או Premium, קראו את המאמר שינוי ההגדרות של מיקום אחסון הנתונים או הצפנת הנתונים.

התפקידים הנדרשים

כדי לקבל את ההרשאות שדרושות להפעלת Security Command Center בארגון, בקשו מהאדמין להקצות לכם את התפקידים הבאים ב-IAM ברמת הארגון:

• אדמין ב-Security Center ‏(roles/securitycenter.admin)
• אדמין ארגוני (roles/resourcemanager.organizationAdmin)

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

הפעלת Security Center Management API

אם אתם מתכננים להשתמש ב-Security Center Management API, הפעילו את ה-API הזה בפרויקט שבו אתם מתכננים לשלוח אליו קריאה:

התפקידים שנדרשים כדי להפעיל ממשקי API

כדי להפעיל ממשקי API, צריך את ההרשאה serviceusage.services.enable. אם אתם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד "בעלים" (roles/owner). אחרת, אתם יכולים לקבל את ההרשאה הזו דרך התפקיד "אדמין בממשק 'שימוש בשירות'" (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידים?

להפעלת ה-API

בדיקת מדיניות הארגון

אם כללי המדיניות של הארגון מוגדרים להגבלת זהויות על סמך הדומיין, ודאו ש:

• אתם צריכים להיות מחוברים למסוף Google Cloud באמצעות חשבון שנמצא בדומיין מורשה.
• חשבונות השירות צריכים להיות בדומיין מורשה, או חברים בקבוצה בתוך הדומיין. הדרישה הזו מאפשרת לכם לתת לשירותים שמשתמשים בחשבון השירות @*. גישה למשאבים כשהשיתוף המוגבל לדומיין מופעל.

אם מדיניות הארגון שלכם מוגדרת להגבלת השימוש במשאבים, ודאו שממשקי ה-API הבאים מותרים לפי המדיניות:

• cloudsecuritycompliance.googleapis.com
• securitycenter.googleapis.com
• securitycentermanagement.googleapis.com

הפעלת Security Command Center Premium

אתם יכולים להפעיל את Security Command Center Premium לארגון דרך מסוף Google Cloud .

1. נכנסים לדף הפתיחה של Security Command Center במסוף Google Cloud .

   כניסה ל-Security Command Center

2. כדי להפעיל את מיקום אחסון הנתונים, פותחים את המסוף של תחום השיפוט באמצעות כתובת ה-URL שתואמת למיקום שרוצים להגדיר.

   כדי להפעיל את Security Command Center עם אמצעי בקרה על מיקום אחסון הנתונים, צריך להשתמש במסוף Google Cloud של תחום השיפוט. אחרי ההפעלה אפשר לשנות את ההגדרות של מיקום אחסון הנתונים. לפרטים נוספים, קראו את המאמר מידע על מסוףGoogle Cloud של תחום שיפוט.

   זהירות: ב-Security Command Center לא מתבצע אימות של מיקום אחסון הנתונים בהתאם למדיניות הארגון שאוכפת את האילוץ של מיקומי המשאבים, gcp.resourceLocations. כשמגדירים את מיקום אחסון הנתונים, צריך לבחור מיקום שתואם למדיניות הארגון.

3. בוחרים את הארגון שבו רוצים להפעיל את Security Command Center Premium ולוחצים על Select.

4. בדף קבלת הפנים, לוחצים על התחלת תקופת ניסיון בחינם ב-Premium.

   הערה: תקופת הניסיון בחינם ב-Premium נמשכת 30 ימים. בסיום תקופת הניסיון, הארגון יעבור אוטומטית לתוכנית Premium בתשלום לפי שימוש, והחשבון לחיוב יחויב בהתאם.

   כדי לבטל את תקופת הניסיון ב-Premium ולהימנע מחיובים לפי שימוש, צריך לשדרג לאחור לרמה Standard לפני שתקופת הניסיון תסתיים. אפשר לשדרג לאחור בכל שלב במהלך תקופת הניסיון. להוראות מפורטות, קראו את המאמר שדרוג לאחור מרמת Premium לרמת Standard.

   אם אתם רוצים לרכוש מינוי Premium, תוכלו לקרוא פרטים נוספים במאמר רמת Premium: תמחור מבוסס-מינוי.

5. אופציונלי: כדי לאשר את הגדרת מיקום אחסון הנתונים או לשנות את הגדרת הצפנת הנתונים, לוחצים על הצגת אפשרויות נוספות.

   • אם אתם משתמשים במסוף של תחום שיפוט, בשדה מיקום אחסון הנתונים מופיע הערך Enable ובשדה Location מופיע אותו מיקום כמו במסוף של תחום השיפוט. כדי לשנות את המיקום, פותחים את המסוף באמצעות כתובת URL שתואמת למיקום שרוצים להגדיר.
   • הגדרת ברירת המחדל של הצפנת הנתונים משתמשת ב- Google-owned and Google-managed encryption keys. כדי להשתמש במפתח של Cloud Key Management Service, לוחצים על Edit data encryption ואז:
     1. בוחרים באפשרות Cloud KMS key.
     2. בוחרים פרויקט.
     3. בוחרים מפתח. אפשר לבחור מפתח מכל פרויקט ב- Google Cloud , כולל פרויקטים בארגונים אחרים. ברשימה מוצגים רק מפתחות במיקומים תואמים.

     כדי לדעת אילו מיקומי מפתחות תואמים ל-Security Command Center, קראו את המאמר קביעת מיקום המפתח.

     אם בארגון שלכם משתמשים במדיניות הארגון לגבי CMEK, יכול להיות שתוכלו לבחור רק ב-CMEK או במפתחות ספציפיים.

     במהלך תהליך ההפעלה, Security Command Center מקצה את התפקיד Cloud KMS CryptoKey Encrypter/Decrypter‏ (roles/cloudkms.cryptoKeyEncrypterDecrypter) לסוכן השירות של Cloud Security Command Center במפתח Cloud KMS.

6. לוחצים על הפעלה.

כשהתוצאות יהיו מוכנות, הן יוצגו במסוף. אחרי זה תוכלו להשתמש במסוף Google Cloud כדי לבדוק ולתקן Google Cloud סיכוני אבטחה ונתונים.

הסריקה המלאה הראשונה של Security Command Center מסתיימת תוך 24 שעות. יכול להיות שיהיה עיכוב לפני שהסריקות יתחילו בשירותים מסוימים. מידע נוסף זמין במאמר מתי צפויים להופיע ממצאים ב-Security Command Center.

שירותים של Security Command Center Premium

אחרי שמפעילים את Security Command Center Premium, שירותים ספציפיים מופעלים באופן אוטומטי ונוצרים סוכני שירות כדי שהשירותים האלה יוכלו לפעול בשמכם.

שירותים

ב-Security Command Center נעשה שימוש בשירותי זיהוי כדי לזהות בעיות אבטחה בסביבות הענן שלכם. השירותים הבאים מופעלים כשמפעילים את Security Command Center Premium:

• ניהול סיכונים במערכות AI

• Compliance Manager

• זיהוי איומים בקונטיינר

  כדי שהשירות "זיהוי איומים בקונטיינר" יפעל, ודאו שהאשכולות שלכם נמצאים בגרסה נתמכת של Google Kubernetes Engine ‏(GKE) ושהם מוגדרים בצורה נכונה. מידע נוסף זמין במאמר שימוש בזיהוי איומים בקונטיינר.

• Event Threat Detection

  ‫Event Threat Detection מסתמך על יומנים שנוצרו על ידי Google Cloud. כדי להשתמש ב-Event Threat Detection, צריך להפעיל את היומנים בארגון, בתיקיות ובפרויקטים.

• Security Health Analytics

• מצב אבטחה

• זיהוי איומים במכונות וירטואליות

• הערכת נקודות חולשה

• Web Security Scanner

במסמכי התיעוד של כל שירות מפורטות הוראות לשימוש ולאופטימיזציה. לדוגמה, Event Threat Detection מסתמך על יומנים שנוצרו על ידיGoogle Cloud. חלק מהיומנים פועלים תמיד, כך ש-Event Threat Detection יכול להתחיל לסרוק אותם ברגע שהוא מופעל. כדי ש-Event Threat Detection יוכל לסרוק יומנים אחרים, כמו רוב יומני הביקורת של גישה לנתונים, צריך להפעיל אותם.

כדי להפעיל או להשבית את השירותים שמפורטים בקטע הזה, ושירותים נוספים, פועלים לפי השלבים שמפורטים במאמר הגדרת שירותי Security Command Center.

סוכני שירות

סוכן שירות הוא חשבון שירות שנוצר ומנוהל על ידי Google Cloud כדי לגשת למשאבים בשמכם. אחרי שיוצרים סוכן שירות, Security Command Center מקצה לו באופן אוטומטי את תפקידי ה-IAM הנדרשים. הפעלת Security Command Center Premium כוללת את סוכני השירות הבאים:

• סוכן השירות של Cloud Security Command Center ל-Event Threat Detection, ל-Security Health Analytics, לזיהוי איומים במכונות וירטואליות ולהערכת נקודות חולשה
• סוכן שירות לתאימות אבטחה בענן לניהול סיכונים במערכות AI ול-Compliance Manager
• Container Threat Detection Service Agent לזיהוי איומים בקונטיינר

הערה: אם אתם משתמשים בגבולות גזרה לשירות, אתם צריכים להגדיר כללי מדיניות של תעבורת נתונים נכנסת ויוצאת לסוכני השירות כדי לאפשר להם גישה לכל שירות. לפרטים, עיינו במסמכי התיעוד הבאים שספציפיים לשירות:

• Compliance Manager
• זיהוי איומים בקונטיינר
• Security Health Analytics
• הערכת נקודות חולשה

שינוי השירות של Security Command Center

למידע נוסף על ניהול הרמות, ראו שינוי הרמה של Security Command Center Premium בארגון.

המאמרים הבאים

• איך מגדירים את השירותים של Security Command Center
• איך משתמשים ב-Security Command Center במסוף Google Cloud
• איך עובדים עם הממצאים של Security Command Center
• Google Cloud מידע נוסף על מקורות אבטחה
• איך Model Armor יכול להגן על עומסי העבודה ב-AI.
• כדי להגן על מידע אישי רגיש, מפעילים את Sensitive Data Protection.
• איך עוקבים אחרי העלויות באמצעות החיוב ב-Cloud