סקירה כללית על מודולים מותאמים אישית ב-Security Health Analytics

בדף הזה מופיעה סקירה כללית על המודולים בהתאמה אישית של Security Health Analytics. מידע על מודולים מוגדרים מראש זמין במאמר גלאים מוגדרים מראש של Security Health Analytics.

בעזרת מודולים בהתאמה אישית, אתם יכולים להרחיב את יכולות הזיהוי של Security Health Analytics. לשם כך, אתם יכולים ליצור גלאים בהתאמה אישית שסורקים את המדיניות והמשאבים של Google Cloudשאתם מציינים, באמצעות כללים שאתם מגדירים כדי לבדוק אם יש נקודות חולשה, הגדרות שגויות או הפרות של תאימות.

ההגדרה של מודול בהתאמה אישית, בין אם אתם יוצרים אותו במסוףGoogle Cloud ובין אם אתם כותבים את הקוד שלו בעצמכם, קובעת את המשאבים שהגלאי בודק, את המאפיינים שהגלאי מעריך ואת המידע שהגלאי מחזיר כשמתגלה פגיעות או הגדרה שגויה.

אתם יכולים ליצור מודולים בהתאמה אישית לכל משאב או נכס שנתמכים ב-Security Command Center.

אם אתם מקודדים בעצמכם הגדרות של מודולים בהתאמה אישית, אתם משתמשים בביטויים של YAML ו-Common Expression Language ‏(CEL). אם אתם משתמשים בGoogle Cloud מסוף כדי ליצור את המודולים בהתאמה אישית, רוב הקידוד נעשה בשבילכם, אבל אתם צריכים לקודד את ביטויי ה-CEL.

במאמר דוגמה להגדרה של מודול בהתאמה אישית מופיעה דוגמה להגדרה של מודול בהתאמה אישית בקובץ YAML.

המודולים בהתאמה אישית פועלים לצד הגלאים המוגדרים מראש של Security Health Analytics בזמן אמת, באצווה או במצב משולב. מידע נוסף על המצבים האלה זמין במאמר סוגי הסריקות של Security Health Analytics.

במהלך סריקה, כל גלאי בהתאמה אישית מופעל על כל הנכסים התואמים בכל ארגון, תיקייה או פרויקט שבהם הוא מופעל.

הממצאים מגלאים בהתאמה אישית נכתבים ב-Security Command Center.

למידע נוסף, קראו את המאמרים הבאים:

השוואה בין גלאים מוגדרים מראש לבין מודולים בהתאמה אישית

מודולים בהתאמה אישית מציעים יכולות זיהוי רחבות יותר מאשר גלאים מוגדרים מראש של Security Health Analytics. עם זאת, במודולים בהתאמה אישית אין תמיכה בחלק מהתכונות של Security Command Center שהגלאים המוגדרים מראש מספקים.

תמיכה בתכונות

הדמיות של מסלולי התקפה לא תומכות במודולים בהתאמה אישית של Security Health Analytics. ממצאים שנוצרים על ידי מודולים בהתאמה אישית לא כוללים ציוני חשיפה להתקפות או נתיבי התקפה.

השוואה בין לוגיקות הזיהוי

כדי להבין מה אפשר לעשות באמצעות מודול בהתאמה אישית, השוו בין מה שהגלאי המוגדר מראש PUBLIC_SQL_INSTANCE בודק לבין מה שאפשר לעשות באמצעות מודול בהתאמה אישית.

הגלאי המוגדר מראש PUBLIC_SQL_INSTANCE בודק אם המאפיין authorizedNetworks של מכונות Cloud SQL מוגדר לערך 0.0.0.0/0. אם כן, הגלאי יוצר ממצא שמציין שמכונת Cloud SQL פתוחה לציבור, כי היא מקבלת חיבורים מכל כתובות ה-IP.

באמצעות מודול בהתאמה אישית, אתם יכולים להטמיע לוגיקת זיהוי מורכבת יותר כדי לבדוק את המכונות של Cloud SQL, למשל:

  • כתובות IP עם קידומות ספציפיות, באמצעות תווים כלליים לחיפוש.
  • הערך של המאפיין state, שבו אפשר להשתמש כדי להתעלם ממופעים אם הערך מוגדר כ-MAINTENANCE, או להפעיל ממצאים אם הערך הוא משהו אחר.
  • הערך של המאפיין region, שבו אפשר להשתמש כדי להפעיל ממצאים רק למכונות עם כתובות IP ציבוריות באזורים ספציפיים.

תפקידים והרשאות נדרשים ב-IAM

תפקידי IAM קובעים את הפעולות שאפשר לבצע באמצעות מודולים בהתאמה אישית של Security Health Analytics.

בטבלה הבאה מפורטות ההרשאות שנדרשות למודולים בהתאמה אישית של Security Health Analytics, וגם התפקידים המוגדרים מראש ב-IAM שכוללים את ההרשאות האלה.

אתם יכולים להשתמש במסוף Google Cloud או ב-Security Command Center API כדי להחיל את התפקידים האלה ברמת הארגון, התיקייה או הפרויקט.

ההרשאות הנדרשות תפקידים
securitycentermanagement.securityHealthAnalyticsCustomModules.create
securitycentermanagement.securityHealthAnalyticsCustomModules.update
securitycentermanagement.securityHealthAnalyticsCustomModules.delete
securitycentermanagement.securityHealthAnalyticsCustomModules.list
securitycentermanagement.securityHealthAnalyticsCustomModules.get
securitycentermanagement.securityHealthAnalyticsCustomModules.simulate
securitycentermanagement.securityHealthAnalyticsCustomModules.test
securitycentermanagement.effectiveSecurityHealthAnalyticsCustomModules.list
securitycentermanagement.effectiveSecurityHealthAnalyticsCustomModules.get 		roles/securitycentermanagement.shaCustomModulesEditor
roles/securitycenter.settingsEditor
roles/securitycenter.admin
securitycentermanagement.securityHealthAnalyticsCustomModules.list
securitycentermanagement.securityHealthAnalyticsCustomModules.get
securitycentermanagement.securityHealthAnalyticsCustomModules.simulate
securitycentermanagement.securityHealthAnalyticsCustomModules.test
securitycentermanagement.effectiveSecurityHealthAnalyticsCustomModules.list
securitycentermanagement.effectiveSecurityHealthAnalyticsCustomModules.get		 roles/securitycentermanagement.shaCustomModulesViewer
roles/securitycenter.settingsViewer
roles/securitycenter.adminViewer
roles/securitycenter.admin

במאמר איך נותנים תפקידים ב-IAM באמצעות מסוף Google Cloud מוסבר בהרחבה על ההרשאות והתפקידים ב-IAM ואיך נותנים אותם.

מכסות של מודולים בהתאמה אישית

המודולים בהתאמה אישית של Security Health Analytics כפופים למגבלות מכסה.

מגבלת המכסה שמוגדרת כברירת מחדל ליצירת מודולים בהתאמה אישית היא 100, אבל אפשר לבקש להגדיל את המכסה במקרה הצורך.

קריאות ל-API של שיטות מודולים בהתאמה אישית כפופות גם הן למגבלות המכסות. בטבלה הבאה מפורטות מגבלות ברירת המחדל של המכסות לקריאות ל-API של מודולים בהתאמה אישית.

סוג הקריאה ל-API הגבלה
בקשות קריאה של CustomModules (Get, List) ‫1,000 קריאות ל-API לדקה, לכל ארגון
בקשות כתיבה של CustomModules (יצירה, עדכון, מחיקה) ‫60 קריאות ל-API לדקה, לכל ארגון
בקשות בדיקה של CustomModules ‫12 קריאות ל-API לדקה, לכל ארגון

כדי להגדיל את המכסות, שולחים בקשה במסוף Google Cloud בדף Quotas.

מידע נוסף על מכסות ומגבלות ב-Security Command Center

סוגי המשאבים שנתמכים

בקטע הזה מפורטים סוגי המשאבים של Google Cloud שנתמכים במודולים בהתאמה אישית.

שם השירות שם המשאב
Access Context Manager accesscontextmanager.googleapis.com/AccessLevel
accesscontextmanager.googleapis.com/AccessPolicy
accesscontextmanager.googleapis.com/ServicePerimeter
פלטפורמת הסוכנים של Gemini Enterprise aiplatform.googleapis.com/BatchPredictionJob
aiplatform.googleapis.com/CustomJob
aiplatform.googleapis.com/Dataset
aiplatform.googleapis.com/Endpoint
aiplatform.googleapis.com/Featurestore
aiplatform.googleapis.com/HyperparameterTuningJob
aiplatform.googleapis.com/Index
aiplatform.googleapis.com/MetadataStore
aiplatform.googleapis.com/Model
aiplatform.googleapis.com/NotebookRuntimeTemplate
aiplatform.googleapis.com/SpecialistPool
aiplatform.googleapis.com/Tensorboard
aiplatform.googleapis.com/TrainingPipeline
AlloyDB alloydb.googleapis.com/Backup
alloydb.googleapis.com/Cluster
alloydb.googleapis.com/Instance
מפתחות API apikeys.googleapis.com/Key
Artifact Registry Repository artifactregistry.googleapis.com/Repository
BigQuery bigquery.googleapis.com/Dataset
bigquery.googleapis.com/Model
bigquery.googleapis.com/Table
bigquerydatatransfer.googleapis.com/TransferConfig
פרטי החיוב של פרויקט בחיוב ב-Cloud cloudbilling.googleapis.com/ProjectBillingInfo
פונקציות Cloud Run cloudfunctions.googleapis.com/CloudFunction
Cloud KMS cloudkms.googleapis.com/CryptoKey
cloudkms.googleapis.com/CryptoKeyVersion
cloudkms.googleapis.com/ImportJob
cloudkms.googleapis.com/KeyRing
מנהל המשאבים cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Project
cloudresourcemanager.googleapis.com/TagBinding
סביבת Managed Service for Apache Airflow composer.googleapis.com/Environment
Compute Engine compute.googleapis.com/Address
compute.googleapis.com/Autoscaler
compute.googleapis.com/BackendBucket
compute.googleapis.com/BackendService
compute.googleapis.com/Commitment
compute.googleapis.com/Disk
compute.googleapis.com/Firewall
compute.googleapis.com/FirewallPolicy
compute.googleapis.com/ForwardingRule
compute.googleapis.com/GlobalForwardingRule
compute.googleapis.com/HealthCheck
compute.googleapis.com/Image
compute.googleapis.com/Instance
compute.googleapis.com/InstanceGroup
compute.googleapis.com/InstanceGroupManagers
compute.googleapis.com/InstanceTemplate
compute.googleapis.com/InterconnectAttachment
compute.googleapis.com/MachineImage
compute.googleapis.com/Network
compute.googleapis.com/NetworkEndpointGroup
compute.googleapis.com/NodeGroup
compute.googleapis.com/NodeTemplate
compute.googleapis.com/PacketMirroring
compute.googleapis.com/Project
compute.googleapis.com/RegionBackendService
compute.googleapis.com/RegionDisk
compute.googleapis.com/Reservation
compute.googleapis.com/ResourcePolicy
compute.googleapis.com/Route
compute.googleapis.com/Router
compute.googleapis.com/SecurityPolicy
compute.googleapis.com/Snapshot
compute.googleapis.com/SslCertificate
compute.googleapis.com/SslPolicy
compute.googleapis.com/Subnetwork
compute.googleapis.com/TargetHttpProxy
compute.googleapis.com/TargetHttpsProxy
compute.googleapis.com/TargetInstance
compute.googleapis.com/TargetPool
compute.googleapis.com/TargetSslProxy
compute.googleapis.com/TargetVpnGateway
compute.googleapis.com/UrlMap
compute.googleapis.com/VpnGateway
compute.googleapis.com/VpnTunnel
Google Kubernetes Engine container.googleapis.com/Cluster
container.googleapis.com/NodePool
Dataflow dataflow.googleapis.com/Job
Cloud Data Fusion datafusion.googleapis.com/Instance
Managed Service for Apache Spark dataproc.googleapis.com/AutoscalingPolicy
dataproc.googleapis.com/Batch
dataproc.googleapis.com/Cluster
dataproc.googleapis.com/Job
Datastream datastream.googleapis.com/ConnectionProfile
datastream.googleapis.com/PrivateConnection
datastream.googleapis.com/Stream
Dialogflow CX dialogflow.googleapis.com/Agent
Sensitive Data Protection dlp.googleapis.com/DeidentifyTemplate
dlp.googleapis.com/DlpJob
dlp.googleapis.com/InspectTemplate
dlp.googleapis.com/JobTrigger
dlp.googleapis.com/StoredInfoType
Cloud DNS dns.googleapis.com/ManagedZone
dns.googleapis.com/Policy
Filestore file.googleapis.com/Instance
‫GKE Fleet (נקרא גם fleets) gkehub.googleapis.com/Feature
gkehub.googleapis.com/Membership
IAM iam.googleapis.com/Role
iam.googleapis.com/ServiceAccountKey
Kubernetes k8s.io/Namespace
k8s.io/Node
k8s.io/Pod
k8s.io/Service
apps.k8s.io/DaemonSet
apps.k8s.io/Deployment
apps.k8s.io/ReplicaSet
apps.k8s.io/StatefulSet
batch.k8s.io/CronJob
networking.k8s.io/Ingress
networking.k8s.io/NetworkPolicy
rbac.authorization.k8s.io/ClusterRole
rbac.authorization.k8s.io/ClusterRoleBinding
rbac.authorization.k8s.io/Role
rbac.authorization.k8s.io/RoleBinding
Cloud Logging logging.googleapis.com/LogBucket
logging.googleapis.com/LogMetric
logging.googleapis.com/LogSink
Cloud Monitoring monitoring.googleapis.com/AlertPolicy
monitoring.googleapis.com/NotificationChannel
NetApp Volumes
netapp.googleapis.com/Snapshot
netapp.googleapis.com/Volume
Gemini Enterprise Agent Platform Workbench notebooks.googleapis.com/Instance
Organization Policy Service v2 orgpolicy.googleapis.com/CustomConstraint
orgpolicy.googleapis.com/Policy
Certificate Authority Service privateca.googleapis.com/Certificate
privateca.googleapis.com/CertificateRevocationList
Pub/Sub pubsub.googleapis.com/Snapshot
pubsub.googleapis.com/Subscription
pubsub.googleapis.com/Topic
Memorystore for Redis redis.googleapis.com/Cluster
redis.googleapis.com/Instance
Cloud Run run.googleapis.com/DomainMapping
run.googleapis.com/Execution
run.googleapis.com/Job
run.googleapis.com/Revision
run.googleapis.com/Service
Secret Manager secretmanager.googleapis.com/Secret
secretmanager.googleapis.com/SecretVersion
שימוש בשירות serviceusage.googleapis.com/Service
Spanner spanner.googleapis.com/Backup
spanner.googleapis.com/Database
spanner.googleapis.com/Instance
Cloud SQL ל-MySQL sqladmin.googleapis.com/BackupRun
sqladmin.googleapis.com/Instance
Cloud Storage storage.googleapis.com/Bucket
Google Cloud VMware Engine vmwareengine.googleapis.com/Cluster
vmwareengine.googleapis.com/ExternalAccessRule
vmwareengine.googleapis.com/ExternalAddress
vmwareengine.googleapis.com/NetworkPeering
vmwareengine.googleapis.com/NetworkPolicy
vmwareengine.googleapis.com/PrivateCloud
vmwareengine.googleapis.com/PrivateConnection
vmwareengine.googleapis.com/VmwareEngineNetwork
מחבר VPC vpcaccess.googleapis.com/Connector
תחנות עבודה בענן workstations.googleapis.com/Workstation
workstations.googleapis.com/WorkstationConfig

המאמרים הבאים