הפעלת מסלול Security Command Center Standard בארגון

רמת Security Command Center Standard מאפשרת לכם לראות באופן מרוכז את נקודות החולשה והסיכונים בארגון. הפעלת הרמה ברמת הארגון במסוף Google Cloud נותנת גישה לתכונות הבסיסיות של מצב האבטחה והתאימות בכל הנכסים של הארגון. עם זאת, יכולות ספציפיות של הערכת נקודות חולשה דורשות הגדרה. לפרטים על התכונות, קראו את המאמרים רמות השירות של Security Command Center וההבדלים בין רמות השירות Standard ו-Standard-legacy.

כדי להפעיל רמות או היקפים אחרים, קראו את המאמרים הפעלת Security Command Center Premium בארגון, הפעלת Security Command Center Enterprise או הפעלת Security Command Center בפרויקט.

לפני שמתחילים

לפני שמפעילים את Security Command Center Standard לארגון, צריך לבצע את הפעולות הבאות:

  • לקבל תפקידים והרשאות ספציפיים לניהול זהויות והרשאות גישה (IAM).
  • אופציונלי: מפעילים את Security Center Management API.
  • בודקים את מדיניות הארגון, אם היא רלוונטית לארגון שלכם.
  • אם אתם מתכננים להפעיל את מיקום אחסון הנתונים, כדאי לעיין במאמר תכנון של מיקום אחסון הנתונים ולהחליט באיזה מיקום להשתמש.

  • אם אתם מתכננים להשתמש במפתח הצפנה בניהול הלקוח (CMEK), אתם צריכים לבצע את המשימות הנדרשות כדי להפעיל את CMEK ב-Security Command Center.

    כשמפעילים את Security Command Center, אפשר להגדיר את מיקום אחסון הנתונים ואת הצפנת הנתונים. כדי לשנות את ההגדרות האלה אחרי שמפעילים את Security Command Center Standard או Premium, קראו את המאמר שינוי ההגדרות של מיקום אחסון הנתונים או הצפנת הנתונים.

התפקידים הנדרשים

כדי לקבל את ההרשאות שדרושות להפעלת Security Command Center בארגון, בקשו מהאדמין להקצות לכם את התפקידים הבאים ב-IAM ברמת הארגון:

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

הפעלת Security Center Management API

אם אתם מתכננים להשתמש ב-Security Center Management API, הפעילו את ה-API הזה בפרויקט שבו אתם מתכננים לשלוח אליו קריאה:

התפקידים שנדרשים כדי להפעיל ממשקי API

כדי להפעיל ממשקי API, צריך את ההרשאה serviceusage.services.enable. אם אתם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד "בעלים" (roles/owner). אחרת, אתם יכולים לקבל את ההרשאה הזו דרך התפקיד "אדמין בממשק 'שימוש בשירות'" (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידים?

להפעלת ה-API

בדיקת מדיניות הארגון

אם כללי המדיניות של הארגון מוגדרים להגבלת זהויות על סמך הדומיין, ודאו ש:

  • אתם צריכים להיות מחוברים למסוף Google Cloud באמצעות חשבון שנמצא בדומיין מורשה.
  • חשבונות השירות צריכים להיות בדומיין מורשה, או חברים בקבוצה בתוך הדומיין. הדרישה הזו מאפשרת לכם לתת לשירותים שמשתמשים בחשבון השירות @*. גישה למשאבים כשהשיתוף המוגבל לדומיין מופעל.

אם מדיניות הארגון שלכם מוגדרת להגבלת השימוש במשאבים, ודאו שממשקי ה-API הבאים מותרים לפי המדיניות:

  • securitycenter.googleapis.com
  • securitycentermanagement.googleapis.com

הפעלת Security Command Center Standard

אפשר להפעיל את Security Command Center Standard לארגון דרך מסוףGoogle Cloud .

  1. נכנסים לדף הפתיחה של Security Command Center במסוף Google Cloud .

    כניסה ל-Security Command Center

  2. כדי להפעיל את מיקום אחסון הנתונים, פותחים את המסוף של תחום השיפוט באמצעות כתובת ה-URL שתואמת למיקום שרוצים להגדיר.

    כדי להפעיל את Security Command Center עם אמצעי בקרה על מיקום אחסון הנתונים, צריך להשתמש במסוף Google Cloud של תחום השיפוט. אחרי ההפעלה אפשר לשנות את ההגדרות של מיקום אחסון הנתונים. לפרטים נוספים, קראו את המאמר מידע על מסוףGoogle Cloud של תחום שיפוט.

  3. בוחרים את הארגון שבו רוצים להפעיל את Security Command Center Standard ולוחצים על Get Standard.

  4. בדף קבלת פנים, לוחצים על בחירה.

  5. אופציונלי: כדי לאשר את הגדרת מיקום אחסון הנתונים או לשנות את הגדרת הצפנת הנתונים, לוחצים על הצגת אפשרויות נוספות.

    • אם אתם משתמשים במסוף של תחום שיפוט, בשדה מיקום אחסון הנתונים מופיע הערך Enable ובשדה Location מופיע אותו מיקום כמו במסוף של תחום השיפוט. כדי לשנות את המיקום, פותחים את המסוף באמצעות כתובת URL שתואמת למיקום שרוצים להגדיר.
    • הגדרת ברירת המחדל של הצפנת הנתונים משתמשת ב- Google-owned and Google-managed encryption keys. כדי להשתמש במפתח של Cloud Key Management Service, לוחצים על Edit data encryption ואז:
      1. בוחרים באפשרות Cloud KMS key.
      2. בוחרים פרויקט.
      3. בוחרים מפתח. אפשר לבחור מפתח מכל פרויקט ב- Google Cloud , כולל פרויקטים בארגונים אחרים. ברשימה מוצגים רק מפתחות במיקומים תואמים.

      כדי לדעת אילו מיקומי מפתחות תואמים ל-Security Command Center, קראו את המאמר קביעת מיקום המפתח.

      אם בארגון שלכם משתמשים במדיניות הארגון לגבי CMEK, יכול להיות שתוכלו לבחור רק ב-CMEK או במפתחות ספציפיים.

      במהלך תהליך ההפעלה, Security Command Center מקצה את התפקיד Cloud KMS CryptoKey Encrypter/Decrypter‏ (roles/cloudkms.cryptoKeyEncrypterDecrypter) לסוכן השירות של Cloud Security Command Center במפתח Cloud KMS.

  6. לוחצים על הפעלה.

כשהתוצאות יהיו מוכנות, הן יוצגו במסוף. אחרי זה תוכלו להשתמש במסוף Google Cloud כדי לבדוק ולתקן Google Cloud סיכוני אבטחה ונתונים.

הסריקה המלאה הראשונה של Security Command Center מסתיימת תוך 24 שעות. יכול להיות שיהיה עיכוב לפני שהסריקות יתחילו בשירותים מסוימים. מידע נוסף זמין במאמר מתי צפויים להופיע ממצאים ב-Security Command Center.

אם משדרגים מ-Security Command Center Standard ל-Premium, מקבלים גישה לתרשימים שמציגים את התקדמות הסריקה של תכונות כמו בעיות, איומים ומסגרות. התרשימים הקיימים מתעדכנים גם בתוצאות הסריקה של גלאי Premium כשהתוצאות זמינות.

שירותים ל-Security Command Center Standard

אחרי שמפעילים את Security Command Center Standard, שירותים ספציפיים מופעלים באופן אוטומטי ונוצרים סוכני שירות כדי שהשירותים האלה יוכלו לפעול בשמכם.

ב-Security Command Center נעשה שימוש בשירותי זיהוי כדי לזהות בעיות אבטחה. השירותים הבאים מופעלים כשמפעילים את Security Command Center Standard:

הוראות לשימוש ולאופטימיזציה מפורטות במסמכי התיעוד של כל שירות.

כדי להפעיל שירותים נוספים, פועלים לפי השלבים שמפורטים במאמר הגדרת שירותי Security Command Center.

שינוי רמת השירות של Security Command Center

מידע נוסף על ניהול הרמות זמין במאמר שינוי הרמה של Security Command Center Standard בארגון.

המאמרים הבאים