Ressourcensatz mit hohem Wert definieren und verwalten

Dienststufen für Premium und Enterprise (eingestellt) (erfordert Aktivierung auf Organisationsebene)

Die Dienststufe Security Command Center Enterprise wird am 21. Mai 2027 eingestellt. Wenn Ihre Organisation die Enterprise-Dienststufe verwendet, wird sie am oder nach dem 21. Mai 2027 automatisch auf die Premium-Dienststufe umgestellt. Wenden Sie sich bei Fragen an Ihren Kundenbetreuer oder einen Google Cloud -Vertriebsspezialisten.

Mit Konfigurationen für den Wert von Ressourcen können Sie Ihre hochwertigen Ressourcen in Security Command Center festlegen. Diese Ressourcengruppe bestimmt, welche Assets in Angriffspfadsimulationen als hochwertige Ressourcen bewertet werden.

Sie können Konfigurationen für Ressourcen inGoogle Cloudsowie für andere verbundene Cloud-Dienstanbieter in der Dienststufe „Enterprise (eingestellt)“ erstellen, bearbeiten, ansehen und löschen.

Wenn Angriffspfadsimulationen ausgeführt werden, werden Angriffspfade identifiziert und Angriffsrisikobewertungen für Ressourcen berechnet, die als hochwertige Ressourcen gekennzeichnet sind, sowie für Ergebnisse der Klassen Vulnerability, Misconfiguration und Toxic combination.

Angriffspfadsimulationen werden nach einem Zeitplan ausgeführt und neue Ergebnisse sind bis zu alle 48 Stunden verfügbar. Simulationsläufe werden nicht durch das Erstellen, Ändern oder Löschen von Ressourcen oder Konfigurationen von Ressourcenwerten ausgelöst.

Eine Einführung in Sätze hochwertiger Ressourcen und Konfigurationen von Ressourcenwerten finden Sie unter Sätze hochwertiger Ressourcen.

Hinweis

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für Ihre Organisation zuzuweisen, damit Sie die nötigen Berechtigungen zum Aufrufen und Bearbeiten von Ressourcenwertkonfigurationen haben:

• Bearbeiter der Konfiguration von Ressourcenwerten (roles/securitycenter.resourceValueConfigEditor)
• Betrachter für Ressourcenwertkonfigurationen (roles/securitycenter.resourceValueConfigsViewer)
• Security Center Settings Editor (roles/securitycenter.settingsEditor)

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Konfiguration für den Wert von Ressourcen erstellen

Sie erstellen Konfigurationen für den Wert von Ressourcen auf der Seite Einstellungen des Security Command Center in der Google Cloud Console auf dem Tab Angriffspfadsimulation.

Klicken Sie zum Erstellen einer Konfiguration für den Wert von Ressourcen auf den Tab für Ihren Cloud-Dienstanbieter und folgen Sie der Anleitung:

Google Cloud

1. Rufen Sie in den Einstellungen des Security Command Center die Seite Angriffspfadsimulation auf:

   Zu „Angriffspfadsimulationen“

2. Wählen Sie Ihre Organisation aus. Die Seite Angriffspfadsimulation wird geöffnet.

3. Klicken Sie auf Neue Konfiguration erstellen. Der Bereich Konfiguration für Ressourcenwert erstellen wird geöffnet.

4. Geben Sie im Feld Name einen Namen für diese Ressourcenwertkonfiguration an.

5. Optional: Geben Sie eine Beschreibung der Konfiguration ein.

6. Wählen Sie unter Cloud-Anbieter die Option Google Cloud aus.

7. Klicken Sie im Feld Bereich auswählen auf Auswählen und wählen Sie im Projektbrowser ein Projekt, einen Ordner oder die Organisation aus. Diese Konfiguration gilt nur für Ressourceninstanzen im angegebenen Bereich.

8. Klicken Sie auf das Feld Ressourcentyp auswählen und wählen Sie dann einen Ressourcentyp oder Beliebig aus. Die Konfiguration gilt für Instanzen des ausgewählten Ressourcentyps oder, wenn Sie Beliebig auswählen, für Instanzen aller unterstützten Ressourcentypen. Beliebig ist die Standardeinstellung.

   Hinweis: Wenn Sie Beliebig auswählen und die Option Erkennungsstatistiken aus Sensitive Data Protection einbeziehen aktivieren, legt das System für alle unterstützten Ressourcen automatisch Ressourcenwerte basierend auf den Klassifizierungen der Datenvertraulichkeit von Sensitive Data Protection fest.

9. Optional: Klicken Sie im Bereich Label auf Label hinzufügen, um ein oder mehrere Labels anzugeben. Wenn ein Label angegeben ist, gilt die Konfiguration nur für Ressourcen, die das Label in ihren Metadaten enthalten.

   Wenn Sie ein neues Label auf Ressourcen anwenden, kann es mehrere Stunden dauern, bis das Label für den Abgleich durch eine Konfiguration verfügbar ist.

10. Optional: Klicken Sie im Bereich Tag auf Tag hinzufügen, um ein oder mehrere Tags anzugeben. Wenn ein Tag angegeben ist, gilt die Konfiguration nur für Ressourcen, die das Tag in ihren Metadaten enthalten.

    Wenn Sie ein neues Tag für eine Ressource definieren, kann es mehrere Stunden dauern, bis das Tag für den Abgleich durch eine Konfiguration verfügbar ist.

11. Legen Sie den Prioritätswert für die übereinstimmenden Ressourcen fest, indem Sie eine der folgenden Optionen angeben:

    • Optional: Wenn Sie den Sensitive Data Protection-Erkennungsdienst verwenden, aktivieren Sie Security Command Center, um den Prioritätswert von unterstützten Datenressourcen automatisch anhand der Klassifizierungen für die Vertraulichkeit von Daten aus Sensitive Data Protection festzulegen:

      1. Klicken Sie auf den Schieberegler neben Erkennungsdaten aus Sensitive Data Protection einschließen.
      2. Wählen Sie im ersten Feld Ressourcenwert zuweisen den Prioritätswert aus, der übereinstimmenden Ressourcen mit Daten mit hoher Vertraulichkeit zugewiesen werden soll.
      3. Wählen Sie im zweiten Feld Ressourcenwert zuweisen den Prioritätswert aus, der übereinstimmenden Ressourcen mit Daten mittlerer Vertraulichkeit zugewiesen werden soll.

    • Wählen Sie im Feld Ressourcenwert zuweisen einen Wert aus, der den Ressourceninstanzen zugewiesen werden soll. Dieser Wert ist relativ zu den anderen Ressourceninstanzen in der Gruppe Ihrer hochwertigen Ressourcen. Der Wert wird bei der Berechnung der Angriffsrisikobewertungen verwendet.

12. Klicken Sie auf Speichern.

AWS

Dienststufe Enterprise (eingestellt)

Bevor Security Command Center Angriffsrisikobewertungen und Angriffspfade für die Ressourcen generieren kann, die Sie in einer Ressourcenwertkonfiguration angeben, muss Security Command Center mit AWS verbunden sein. Weitere Informationen finden Sie unter Multi-Cloud-Unterstützung.

1. Rufen Sie in den Einstellungen des Security Command Center die Seite Angriffspfadsimulation auf:

   Zu „Angriffspfadsimulationen“

2. Wählen Sie Ihre Organisation aus. Die Seite Angriffspfadsimulation wird geöffnet.

3. Klicken Sie auf Neue Konfiguration erstellen. Der Bereich Konfiguration für Ressourcenwert erstellen wird geöffnet.

4. Geben Sie im Feld Name einen Namen für diese Ressourcenwertkonfiguration an.

5. Optional: Geben Sie eine Beschreibung der Konfiguration ein.

6. Wählen Sie unter Cloud-Anbieter die Option Amazon Web Services aus.

7. Optional: Geben Sie im Feld Konto-ID eine 12-stellige AWS-Konto-ID ein. Wenn keine Angabe erfolgt, gilt die Ressourcenwertkonfiguration für alle AWS-Konten, die in der AWS-Verbindungskonfiguration angegeben sind.

8. Optional: Geben Sie im Feld Region eine AWS-Region ein. Beispiel: us-east-1 Wenn nichts angegeben ist, gilt die Ressourcenwertkonfiguration für alle AWS-Regionen.

9. Klicken Sie auf das Feld Ressourcentyp auswählen und wählen Sie dann einen Ressourcentyp oder Beliebig aus. Die Konfiguration gilt für Instanzen des ausgewählten Ressourcentyps oder, wenn Sie Beliebig auswählen, für alle unterstützten Ressourcentypen. Beliebig ist die Standardeinstellung.

   Hinweis: Wenn Sie Beliebig auswählen und die Option Erkennungsstatistiken aus Sensitive Data Protection einbeziehen aktivieren, legt das System für alle unterstützten AWS-Ressourcen automatisch Ressourcenwerte basierend auf den Klassifizierungen der Datensensitivität aus Sensitive Data Protection fest.

10. Optional: Klicken Sie im Bereich Tag auf Tag hinzufügen, um ein oder mehrere Tags anzugeben. Wenn Sie ein Tag definieren, scannt der Connector nur Ressourcen, die das Tag in ihren Metadaten enthalten.

    Wenn Sie ein neues Tag für eine Ressource definieren, kann es mehrere Stunden dauern, bis das Tag für den Abgleich durch eine Konfiguration verfügbar ist.

11. Wählen Sie im Feld Ressourcenwert zuweisen einen Prioritätswert für die übereinstimmenden Ressourcen aus, indem Sie eine der folgenden Optionen angeben:

    • Optional: Wenn Sie den Dienst zur Erkennung sensibler Daten verwenden, aktivieren Sie Security Command Center, um den Prioritätswert von unterstützten AWS-Datenressourcen automatisch basierend auf den Klassifizierungen der Datensensibilität von Sensitive Data Protection festzulegen:

      1. Klicken Sie auf den Schieberegler neben Erkennungsdaten aus Sensitive Data Protection einschließen.
      2. Wählen Sie im ersten Feld Ressourcenwert zuweisen den Prioritätswert aus, der übereinstimmenden Ressourcen mit Daten mit hoher Vertraulichkeit zugewiesen werden soll.
      3. Wählen Sie im zweiten Feld Ressourcenwert zuweisen den Prioritätswert aus, der übereinstimmenden Ressourcen mit Daten mittlerer Vertraulichkeit zugewiesen werden soll.

    • Wählen Sie im Feld Ressourcenwert zuweisen einen Wert aus, der den Ressourceninstanzen zugewiesen werden soll. Dieser Wert ist relativ zu anderen Ressourceninstanzen in Ihrer Gruppe hochwertiger Ressourcen. Der Wert wird bei der Berechnung der Angriffsrisikobewertungen verwendet.

12. Klicken Sie auf Speichern.

Azure

Dienststufe Enterprise (eingestellt)

Bevor Security Command Center Angriffsbewertungen und Angriffspfade für die Azure-Ressourcen generieren kann, die Sie in einer Ressourcenwertkonfiguration angeben, muss Security Command Center mit Azure verbunden sein. Weitere Informationen finden Sie unter Multi-Cloud-Unterstützung.

1. Rufen Sie in den Einstellungen des Security Command Center die Seite Angriffspfadsimulation auf:

   Zu „Angriffspfadsimulationen“

2. Wählen Sie Ihre Organisation aus. Die Seite Angriffspfadsimulation wird geöffnet.

3. Klicken Sie auf Neue Konfiguration erstellen. Der Bereich Konfiguration für Ressourcenwert erstellen wird geöffnet.

4. Geben Sie im Feld Name einen Namen für diese Ressourcenwertkonfiguration an.

5. Optional: Geben Sie unter Beschreibung eine Beschreibung der Konfiguration ein.

6. Wählen Sie unter Cloud-Anbieter die Option Microsoft Azure aus.

7. Optional: Geben Sie unter Abo-ID eine 36-stellige Azure-Abo-ID ein. Wenn nichts angegeben ist, gilt die Ressourcenwertkonfiguration für alle Abos, die in der Azure-Connector-Konfiguration angegeben sind.

8. Optional: Wählen Sie im Feld Standort auswählen einen Azure-Standort aus, z. B. East US 2. Wenn Sie keinen Standort festlegen, gilt die Ressourcenwertkonfiguration für alle Standorte, die in der Azure-Connector-Konfiguration angegeben sind.

9. Klicken Sie auf Ressourcentyp auswählen und wählen Sie dann einen Ressourcentyp oder Beliebig aus. Die Konfiguration gilt für Instanzen des ausgewählten Ressourcentyps oder, wenn Sie Beliebig auswählen, für alle unterstützten Ressourcentypen. Beliebig ist die Standardeinstellung.

10. Optional: Klicken Sie im Bereich Tag auf Tag hinzufügen, um ein oder mehrere Tags anzugeben. Wenn ein Tag angegeben ist, gilt die Konfiguration nur für Ressourcen, die das Tag in ihren Metadaten enthalten.

    Wenn Sie ein neues Tag für eine Ressource definieren, kann es mehrere Stunden dauern, bis das Tag für den Abgleich durch eine Konfiguration verfügbar ist.

11. Wählen Sie im Feld Ressourcenwert zuweisen einen Prioritätswert aus.

12. Klicken Sie auf Speichern.

Die neue Konfiguration wird erst nach der nächsten Angriffspfadsimulation in den Angriffsrisikobewertungen und Angriffspfaden berücksichtigt.

Wenn Sie sich den Satz hochwertiger Ressourcen ansehen, sehen Sie die Konfigurationen von Ressourcenwerten, die den Ressourcen im Satz entsprechen. Weitere Informationen finden Sie unter Konfigurationen ansehen, die einer Ressource mit hohem Wert entsprechen.

Informationen zum Konfigurieren von Sensitive Data Protection, um Klassifizierungen der Datensensitivität an Security Command Center zu senden, finden Sie in der Dokumentation zu Sensitive Data Protection unter Datenprofile in Security Command Center veröffentlichen.

Konfiguration bearbeiten

Mit Ausnahme des Namens können Sie jede Spezifikation in einer Ressourcenwertkonfiguration aktualisieren.

Bei diesen Schritten wird davon ausgegangen, dass Sie den Namen der Ressourcenwertkonfiguration kennen, die Sie bearbeiten möchten. Wenn Sie nur den Namen der relevanten Ressource kennen, lesen Sie stattdessen Konfigurationen ansehen, die einer Ressource mit hohem Wert entsprechen.

So aktualisieren Sie eine vorhandene Ressourcenwertkonfiguration:

1. Rufen Sie in den Einstellungen des Security Command Center die Seite Angriffspfadsimulation auf:

   Zu „Angriffspfadsimulationen“

2. Wählen Sie Ihre Organisation aus. Die Seite Angriffspfadsimulation wird geöffnet und die vorhandenen Konfigurationen werden angezeigt.

3. Klicken Sie in der Spalte Konfigurationsname auf den Namen der Konfiguration, die Sie aktualisieren möchten. Die Seite Konfiguration für Ressourcenwert bearbeiten wird geöffnet.

4. Aktualisieren Sie die Spezifikationen in der Konfiguration nach Bedarf.

5. Klicken Sie auf Speichern.

Die Änderungen werden erst nach der nächsten Simulation des Angriffspfads in den Angriffsrisikobewertungen und Angriffspfaden berücksichtigt.

Konfiguration löschen

So löschen Sie eine Ressourcenwertkonfiguration:

1. Rufen Sie in den Einstellungen des Security Command Center die Seite Angriffspfadsimulation auf:

   Zu „Angriffspfadsimulationen“

2. Wählen Sie Ihre Organisation aus. Die Seite Angriffspfadsimulation wird geöffnet.

3. Klicken Sie unter Konfigurationen für Ressourcenwerte rechts in der Zeile für die zu löschende Konfiguration auf das Dreipunkt-Menü, um das Aktionsmenü aufzurufen. Wenn Sie das Dreipunkt-Menü nicht sehen, scrollen Sie nach rechts.

4. Wählen Sie im angezeigten Aktionsmenü die Option Löschen aus.

5. Wählen Sie im Bestätigungsdialogfeld Bestätigen aus.

   Die Konfiguration wird gelöscht.

Konfiguration ansehen

Sie können alle vorhandenen Konfigurationen für den Wert von Ressourcen auf der Seite Angriffspfadsimulation in den Einstellungen des Security Command Center aufrufen.

1. Wenn Sie eine bestimmte Konfiguration für den Wert von Ressourcen aufrufen möchten, rufen Sie die Seite Angriffspfadsimulation auf:

   Zu „Angriffspfadsimulationen“

2. Wählen Sie Ihre Organisation aus. Die Seite Angriffspfadsimulation wird geöffnet.

3. Scrollen Sie auf der Seite Angriffspfadsimulation unter Konfigurationen für den Wert von Ressourcen durch die Liste der Konfigurationen für den Wert von Ressourcen, bis Sie die gewünschte Konfiguration gefunden haben.

4. Klicken Sie auf den Namen der Konfiguration, um die Konfigurationsattribute aufzurufen. Die Attribute werden auf der Seite Konfiguration für Ressourcenwert bearbeiten angezeigt.

Konfigurationen ansehen, die einer hochwertigen Ressource entsprechen

Sie können sich alle Konfigurationen ansehen, die den Ressourcen im Set mit hochwertigen Ressourcen entsprechen. Diese Funktion ist nützlich, wenn Sie die Regeln prüfen möchten, die die Ressourcenwerte Ihrer Gruppe hochwertiger Ressourcen bestimmt haben.

So rufen Sie die Konfigurationen auf, die einer Ressource mit hohem Wert entsprechen:

1. Ressourcensatz mit hohem Wert ansehen
2. Suchen Sie die Ressource, deren Konfigurationen Sie sich ansehen möchten. Die übereinstimmenden Konfigurationen für diese Ressource sind in der Spalte Übereinstimmende Konfigurationen aufgeführt. Die Konfigurationen werden in absteigender Reihenfolge basierend auf dem Ressourcenwert aufgeführt, den sie der Ressource zuweisen: High, Medium oder Low.

3. Klicken Sie auf den Namen einer Konfiguration, um ihre Attribute aufzurufen. Die Attribute werden auf der Seite Konfiguration für Ressourcenwert bearbeiten angezeigt.

   Eine kürzlich gelöschte Konfiguration bleibt sichtbar, ist aber nicht anklickbar, bis die nächste Simulation des Angriffspfads ausgeführt wird.

4. Optional: Bearbeiten Sie die Konfiguration und klicken Sie auf Speichern.

Fehlerbehebung

Wenn nach dem Erstellen, Bearbeiten oder Löschen von Ressourcenwertkonfigurationen Fehler auftreten, suchen Sie in derGoogle Cloud Console nach Ergebnissen der Klasse SCC Error. Gehen Sie dazu so vor:

1. Rufen Sie in der Google Cloud Console die Seite Ergebnisse auf:

   Zu Ergebnissen

2. Gehen Sie im Bereich Schnellfilter zum Abschnitt Ergebnisklasse und wählen Sie SCC-Fehler aus.

3. Suchen Sie im Bereich Ergebnisse der Ergebnisabfrage nach den folgenden SCC Error-Ergebnissen und klicken Sie auf den Kategorienamen:

   • APS no resource value configs match any resources
   • APS resource value assignment limit exceeded

   Der Bereich mit den Ergebnisdetails wird geöffnet.

4. Sehen Sie sich im Bereich mit den Ergebnisdetails die Informationen im Abschnitt Nächste Schritte an.

Anleitungen zur Behebung der Ergebnisse der Angriffspfadsimulation SCC Error finden Sie in der Dokumentation:

• APS-Konfigurationen für Ressourcenwerte stimmen mit keinen Ressourcen überein
• Limit für die Zuweisung von APS-Ressourcenwerten überschritten

Nächste Schritte

Informationen zum Arbeiten mit Security Command Center-Ergebnissen finden Sie unter Ergebnisse prüfen und verwalten.