Activer Security Command Center pour un projet

Niveaux de service Standard (ancien), Standard et Premium

Security Command Center vous permet d'identifier les failles et de détecter les menaces dans les ressources d'un projet Google Cloud individuel. Vous pouvez activer le niveau Standard ou le niveau Premium pour votre projet. Les activations Standard au niveau du projet sont compatibles avec les nouvelles fonctionnalités du niveau Standard.

• Pour en savoir plus sur les fonctionnalités du niveau Standard, consultez Niveaux de service Security Command Center.

• Pour en savoir plus sur les différences entre les niveaux Standard et Standard-legacy, consultez Niveau Standard amélioré et activé automatiquement pour certains clients.

Remarque : Si vous utilisez une activation au niveau de l'organisation de Security Command Center Premium, configurez les activations au niveau du projet avant la fin de l'activation au niveau de l'organisation pour éviter toute interruption de votre couverture. Si vous utilisez un abonnement au niveau de l'organisation, à l'expiration de l'abonnement, la couverture Security Command Center Premium ne se poursuit que pour les projets pour lesquels le niveau Premium est déjà sélectionné. Si vous utilisez la tarification par paiement à l'usage au niveau de l'organisation, vous devez passer l'activation au niveau de l'organisation au niveau Standard pour que les activations au niveau du projet prennent effet.

Pour activer Security Command Center pour l'ensemble d'une organisation, consultez l'une des pages suivantes :

• Activer le niveau Security Command Center Standard pour une organisation
• Activer le niveau Security Command Center Premium pour une organisation
• Activer le niveau Security Command Center Enterprise

Remarque : Si votre organisation n'a pas activé Security Command Center, vous pouvez activer Security Command Center Premium pour un projet avec un essai sans frais de 30 jours. Pour en savoir plus, consultez Activer pour un projet lorsque Security Command Center n'est pas actif dans l'organisation.

Avant de commencer

Pour activer Security Command Center sur un projet, vous devez remplir les conditions préalables suivantes, qui sont expliquées dans les sous-sections ci-dessous :

• Lisez les conditions préalables pour comprendre en quoi l'activation de Security Command Center au niveau du projet diffère de l'activation au niveau de l'organisation.
• Vous devez disposer d'un projet Google Cloud associé à une organisation.
• Votre compte utilisateur doit disposer de rôles Identity and Access Management (IAM) contenant les autorisations requises.
• Activez les API requises, en fonction de la façon dont vous avez été intégré au niveau Security Command Center Standard.
• Si votre projet hérite de règles d'administration définies pour restreindre les identités par domaine, vos comptes utilisateur et de service doivent se trouver dans un domaine autorisé.
• Si vous utilisez Container Threat Detection, vos clusters Google Kubernetes Engine doivent être compatibles avec Container Threat Detection. Pour en savoir plus, consultez Confirmer les versions logicielles pour Container Threat Detection.

Informations préalables

Pour comprendre en quoi l'activation de Security Command Center au niveau du projet diffère de l'activation au niveau de l'organisation, consultez Présentation de l'activation de Security Command Center au niveau du projet.

Pour en savoir plus sur les services et les résultats de Security Command Center qui ne sont pas compatibles avec les activations au niveau du projet, consultez Limites des services d'activation au niveau du projet.

Exigences pour le projet

Pour activer Security Command Center pour un projet, celui-ci doit être associé à une organisation. Si vous devez créer un projet, consultez Créer et gérer des projets.

Rôles requis

Pour obtenir les autorisations nécessaires pour activer Security Command Center pour un projet, demandez à votre administrateur de vous accorder les rôles IAM suivants sur votre projet :

• Administrateur de sécurité (roles/iam.securityAdmin)
• Administrateur du centre de sécurité (roles/securitycenter.admin)

Pour en savoir plus sur l'attribution de rôles, consultez Gérer l'accès aux projets, aux dossiers et aux organisations.

Vous pouvez également obtenir les autorisations requises avec des rôles personnalisés ou d'autres rôles prédéfinis.

Activer les API requises

Si votre organisation a été automatiquement intégrée à Security Command Center dans le cadre des servicesGoogle Cloud , ou si vous prévoyez d'utiliser l'API Security Command Center, vous devez activer l'API pour votre projet.

Rôles requis pour activer les API

Pour activer des API, vous devez disposer de l'autorisation serviceusage.services.enable. Si vous avez créé le projet, vous disposez probablement déjà de cette autorisation via le rôle Propriétaire (roles/owner). Sinon, vous pouvez l'obtenir via le rôle Administrateur Service Usage (roles/serviceusage.serviceUsageAdmin). Découvrez comment attribuer des rôles.

Activer l'API

Vérifier les règles d'administration

Si votre projet hérite de règles d'administration définies pour restreindre les identités par domaine, vous devez remplir les conditions suivantes :

• Vous devez être connecté à la console Google Cloud avec un compte appartenant à un domaine autorisé.
• Vos comptes de service doivent se trouver dans un domaine autorisé ou être membres d'un groupe de votre domaine. Cette exigence vous permet d'autoriser les services @*. à accéder aux ressources lorsque le partage limité au domaine est activé.

Confirmer les versions logicielles pour Container Threat Detection

Si vous prévoyez d'utiliser Container Threat Detection avec Google Kubernetes Engine (GKE), assurez-vous que vos clusters utilisent une version compatible de GKE et qu'ils sont correctement configurés. Pour en savoir plus, consultez Utiliser Container Threat Detection.

Scénarios d'activation pour un projet

Cette page aborde les scénarios d'activation suivants :

• Dans une organisation qui n'a jamais activé Security Command Center, activez le niveau Premium ou Standard de Security Command Center pour un projet.
• Dans une organisation qui utilise le niveau Standard, activez le niveau Security Command Center Premium pour un projet.
• Dans une organisation qui utilise un abonnement au niveau Premium arrivant à expiration, activez le niveau Premium de Security Command Center pour un projet.

Selon que votre organisation utilise ou non Security Command Center, vous pouvez activer Security Command Center pour un projet de différentes manières.

Si votre organisation n'utilise pas Security Command Center, la console Google Cloud vous guide à travers une série de pages de configuration.

Si votre organisation utilise Security Command Center, vous pouvez activer Security Command Center Premium pour un projet à l'aide de l'onglet Détails du niveau de la page Paramètres.

Déterminer si Security Command Center est déjà actif dans votre organisation

La procédure d'activation de Security Command Center pour un projet varie selon que Security Command Center est déjà actif ou non dans votre organisation.

Pour vérifier si Security Command Center est déjà actif dans votre organisation, procédez comme suit :

1. Dans la console Google Cloud , accédez à la page Présentation de Security Command Center.

   Accéder à Security Command Center

2. Sélectionnez le nom du projet pour lequel vous devez activer Security Command Center.

   Après avoir sélectionné le projet, l'une des pages suivantes s'ouvre :

   • Si Security Command Center est actif dans votre organisation, la page Aperçu des risques s'ouvre.
   • Si Security Command Center n'a pas été activé dans l'organisation, la page de bienvenue s'ouvre. Vous pouvez alors lancer le processus d'activation pour votre projet.

3. Si Security Command Center est déjà actif dans votre organisation, vérifiez le niveau de service actif.

   1. Ouvrez la page Paramètres de Security Command Center :

      Accéder aux paramètres

   2. Sur la page Paramètres, cliquez sur Détails du niveau. La page Niveau s'ouvre.

   3. Sur la ligne Niveau, le niveau de service dont le projet hérite est indiqué.

4. Pour activer Security Command Center pour un projet, suivez la procédure correspondant à l'état d'activation de Security Command Center dans l'organisation parente :

   • Activer pour un projet lorsque Security Command Center est actif dans l'organisation
   • Activer pour un projet lorsque Security Command Center n'est pas actif dans l'organisation

Activer pour un projet lorsque Security Command Center est actif dans l'organisation

Si Security Command Center est déjà actif dans une organisation, le seul niveau de service que vous devez activer au niveau du projet est le niveau Premium, car le projet héritera au minimum de l'utilisation du niveau Standard.

Pour examiner les fonctionnalités incluses dans chaque niveau, consultez Niveaux de service.

Remarque : Si vous utilisez une activation au niveau de l'organisation de Security Command Center Premium, configurez des activations au niveau du projet avant la fin de l'activation au niveau de l'organisation pour éviter toute interruption de votre couverture. Si vous utilisez un abonnement au niveau de l'organisation, à l'expiration de l'abonnement, la couverture Security Command Center Premium ne se poursuit que pour les projets pour lesquels le niveau Premium est déjà sélectionné. Si vous utilisez la tarification par paiement à l'usage au niveau de l'organisation, vous devez passer l'activation au niveau de l'organisation au niveau Standard pour que les activations au niveau du projet prennent effet.

Pour passer votre projet au niveau Premium, procédez comme suit :

1. Dans la console Google Cloud , accédez à la page Détails du niveau.

   Accéder aux détails du niveau

2. Sélectionnez le projet pour lequel vous souhaitez mettre à niveau le niveau de Security Command Center, puis cliquez sur Sélectionner.

3. Cliquez sur Gérer le niveau d'un projet.

4. Dans le volet Gérer le niveau, cliquez sur Sélectionner pour le niveau Premium. Cliquez ensuite sur Mettre à jour.

   Remarque : Votre essai sans frais de Premium dure 30 jours. À la fin de votre essai, votre projet passe automatiquement au forfait Premium avec paiement à l'usage, et votre compte de facturation est débité en conséquence.
   
   Pour annuler votre essai Premium et éviter les frais de paiement à l'usage, vous devez passer au niveau Standard avant la fin de la période d'essai. Vous pouvez passer à un abonnement inférieur à tout moment pendant l'essai.

Vous avez terminé l'activation de Security Command Center Premium pour votre projet. Ensuite, attendez que les analyses initiales soient terminées.

Activer pour un projet lorsque Security Command Center n'est pas actif dans l'organisation

Si Security Command Center n'est pas actif dans votre organisation, la page de bienvenue contenant les détails des niveaux s'affiche lorsque vous ouvrez Security Command Center dans la console Google Cloud . Vous lancez le processus d'activation en sélectionnant un niveau.

Security Command Center propose trois niveaux : Standard, Premium et Enterprise. Le niveau que vous sélectionnez détermine les fonctionnalités disponibles et le coût d'utilisation de Security Command Center. Vous ne pouvez activer le niveau Enterprise qu'au niveau de l'organisation. Pour en savoir plus, consultez Activer le niveau Security Command Center Enterprise.

Pour examiner les fonctionnalités incluses dans chaque niveau, consultez Niveaux de service.

Remarque : Si vous souhaitez activer la résidence des données ou le chiffrement des données, vous devez activer Security Command Center au niveau de l'organisation. Pour en savoir plus, consultez Présentation de l'activation au niveau de l'organisation.

Pour activer Security Command Center pour un projet, sélectionnez le niveau de service que vous souhaitez activer (Standard ou Premium), puis procédez comme suit :

Standard

1. Dans la console Google Cloud , accédez à la page Présentation de Security Command Center.

   Accéder à Security Command Center

2. Sélectionnez le projet pour lequel vous souhaitez activer Security Command Center Standard, puis cliquez sur Sélectionner.

3. Sur la page de bienvenue, cliquez sur Obtenir Standard.

   Remarque : Si vous souhaitez essayer Security Command Center Premium, vous pouvez sélectionner Commencer un essai sans frais de Premium à la place. Votre essai sans frais de Premium dure 30 jours. À la fin de l'essai, votre projet passera automatiquement au forfait Premium avec paiement à l'usage, et votre compte de facturation sera débité en conséquence.
   
   Pour annuler votre essai Premium et éviter les frais de paiement à l'usage, vous devez passer au niveau Standard avant la fin de la période d'essai. Vous pouvez passer à un abonnement inférieur à tout moment pendant l'essai.

4. Cliquez sur Activer.

Premium

1. Dans la console Google Cloud , accédez à la page Présentation de Security Command Center.

   Accéder à Security Command Center

2. Sélectionnez le projet pour lequel vous souhaitez activer Security Command Center Premium, puis cliquez sur Sélectionner.

3. Sur la page de bienvenue, sélectionnez Démarrer un essai sans frais de Premium.

   Remarque : Votre essai sans frais de Premium dure 30 jours. À la fin de l'essai, votre projet passera automatiquement au forfait Premium avec paiement à l'usage, et votre compte de facturation sera débité en conséquence.
   
   Pour annuler votre essai Premium et éviter les frais de paiement à l'usage, vous devez passer au niveau Standard avant la fin de la période d'essai. Vous pouvez passer à un abonnement inférieur à tout moment pendant l'essai.

4. Cliquez sur Activer.

Les résultats s'affichent dans la console Google Cloud au fur et à mesure qu'ils sont disponibles. Une fois qu'ils sont affichés, vous pouvez examiner et corriger les risques de sécurité et de données Google Cloud .

Security Command Center effectue sa première analyse complète dans les 24 heures. Il est possible que certains services ne commencent pas à analyser immédiatement. Pour en savoir plus, consultez Quand s'attendre à des résultats dans Security Command Center.

Services pour Security Command Center

Security Command Center utilise des services de détection pour détecter les problèmes de sécurité dans vos environnements cloud. Une fois que vous avez activé Security Command Center, des services spécifiques sont automatiquement activés et des agents de service sont créés pour que ces services puissent agir en votre nom.

Suivez les étapes de la section Configurer les services Security Command Center pour activer ou désactiver différents services.

Les services activés automatiquement sont déterminés par votre niveau de service. Sélectionnez votre niveau de service pour voir ce qui est activé automatiquement.

Standard

L'activation de Security Command Center Standard active automatiquement Security Health Analytics et accorde à son agent de service les rôles et autorisations requis pour que le service fonctionne.

Remarque : Si vous utilisez les périmètres de service, vous devez accorder un accès entrant à l'agent de service Cloud Security Command Center.

Premium

Les services suivants sont activés lorsque vous activez Security Command Center Premium :

• Container Threat Detection

  Pour que Container Threat Detection fonctionne, assurez-vous que vos clusters utilisent une version compatible de Google Kubernetes Engine (GKE) et qu'ils sont correctement configurés. Pour en savoir plus, consultez Utiliser Container Threat Detection.

• Event Threat Detection

  Event Threat Detection s'appuie sur les journaux générés par Google Cloud. Pour utiliser Event Threat Detection, activez les journaux pour votre organisation, vos dossiers et vos projets.

• Security Health Analytics

• Stratégie de sécurité

• Virtual Machine Threat Detection

• Évaluation des failles

• Web Security Scanner

Agents de service

Un agent de service est un compte de service créé et géré par Google Cloud pour accéder aux ressources en votre nom. Une fois l'agent de service créé, Security Command Center lui attribue automatiquement les rôles IAM requis. L'activation de Security Command Center Premium inclut les agents de service suivants :

• Agent de service Cloud Security Command Center pour Event Threat Detection, Security Health Analytics, Virtual Machine Threat Detection et Vulnerability Assessment
• Agent de service de sécurité et de conformité du cloud pour AI Protection et Compliance Manager
• Agent de service Container Threat Detection pour Container Threat Detection

Remarque : Si vous utilisez des périmètres de service, vous devez configurer des règles d'entrée et de sortie pour les agents de service afin de leur permettre d'accéder à chaque service. Pour en savoir plus, consultez la documentation suivante spécifique au service :

• Compliance Manager
• Container Threat Detection
• Security Health Analytics
• Évaluation des failles

Pour obtenir des instructions d'utilisation et d'optimisation, consultez la documentation de chaque service. Par exemple, Event Threat Detection s'appuie sur les journaux générés parGoogle Cloud. Certains journaux sont toujours activés. Event Threat Detection peut donc commencer à les analyser dès qu'il est activé. D'autres journaux, tels que la plupart des journaux d'audit des accès aux données, doivent être activés avant qu'Event Threat Detection puisse les analyser.

Étapes suivantes

En savoir plus sur Security Command Center et ses services intégrés

• Découvrez comment examiner les éléments, les résultats et les failles en utilisant Security Command Center.
• Apprenez-en davantage sur les sources de sécuritéGoogle Cloud .
• Découvrez comment ajouter des sources de sécurité à Security Command Center.