Gestire una strategia di sicurezza

Questa pagina descrive come configurare e utilizzare il servizio di security posture dopo aver attivato Security Command Center. Per iniziare, devi creare una postura che includa le tue policy, organizzate in set di policy, quindi eseguirne il deployment utilizzando un deployment della postura. Dopo aver eseguito il deployment di una postura, puoi monitorare la deviazione e perfezionarla ulteriormente nel tempo.

Non puoi utilizzare la gestione della security posture con le attivazioni a livello di progetto. Per saperne di più, consulta Disponibilità delle funzionalità con attivazioni a livello di progetto.

Prima di iniziare

Completa queste attività prima di completare le restanti attività in questa pagina.

Attiva Security Command Center

Verifica di aver attivato Security Command Center a livello di organizzazione.

Se vuoi utilizzare i rilevatori di Security Health Analytics come policy, seleziona il servizio Security Health Analytics durante il processo di attivazione.

Configurare le autorizzazioni

Autorizzazioni per gestire le posture

Per ottenere le autorizzazioni necessarie per utilizzare la postura, chiedi all'amministratore di concederti il ruolo IAM Amministratore della postura di sicurezza (roles/securityposture.admin). Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Per saperne di più sui ruoli e sulle autorizzazioni della security posture, consulta IAM per le attivazioni a livello di organizzazione.

Autorizzazioni per gestire i rilevatori di Security Health Analytics

Per abilitare o disabilitare un servizio, devi disporre della seguente autorizzazione IAM. Puoi concedere questa autorizzazione a livello di organizzazione, cartella o progetto.

securitycentermanagement.securityCenterServices.update

Chiedi all'amministratore di concederti uno dei seguenti ruoli che include questa autorizzazione o di aggiungere l'autorizzazione al ruolo personalizzato (se la tua organizzazione utilizza ruoli personalizzati).

Configura Google Cloud CLI

Installa Google Cloud CLI, quindi accedi a gcloud CLI con la tua identità federata. Dopo aver eseguito l'accesso, inizializza Google Cloud CLI eseguendo il comando seguente: 

gcloud init

Per configurare gcloud CLI in modo che utilizzi la simulazione dell'identità dei service account per l'autenticazione alle API di Google, anziché le tue credenziali utente, esegui questo comando: 

gcloud config set auth/impersonate_service_account SERVICE_ACCT_EMAIL

Per saperne di più, consulta Simulazione dell'identità dei service account.

Abilita API

Abilita le API del servizio policy dell'organizzazione e del servizio di security posture:

gcloud services enable orgpolicy.googleapis.com  securityposture.googleapis.com

Configura la connessione ad AWS

Per utilizzare i rilevatori integrati di Security Health Analytics specifici per AWS, devi connetterti ad AWS per la raccolta dei dati di configurazione e delle risorse.

Crea ed esegui il deployment di una postura

Per iniziare a utilizzare una security posture, devi completare i seguenti passaggi:

  • Crea un file YAML della postura che definisca le policy applicabili alla tua security posture.
  • Crea una postura in Google Cloud basata sul file YAML della postura.
  • Esegui il deployment della postura.

Le sezioni seguenti forniscono istruzioni dettagliate.

Crea un file YAML della postura

Una postura è costituita da uno o più set di policy di cui esegui il deployment insieme. Questi set di policy includono tutte le policy preventive e di rilevamento che vuoi includere nella tua postura.

Per creare la postura, esegui una delle seguenti operazioni:

Per maggiori dettagli sui campi che puoi utilizzare in una postura, consulta il riferimento Posture e il riferimento PolicySet.

Crea un file di postura da un template di postura predefinito

Puoi utilizzare un template di postura predefinito per creare un file di postura.

Console

  1. Nella console Google Cloud , vai alla pagina Posture Management.

    Vai a Gestione della security posture

  2. Seleziona un'organizzazione.

  3. Nella scheda Modelli, fai clic sul modello che vuoi utilizzare.

  4. Nella pagina Dettagli template, fai clic su Crea postura.

  5. Specifica un nome univoco per la postura e fai clic su Crea. Viene visualizzata la pagina Dettagli postura.

  6. Completa una delle seguenti azioni:

gcloud

  1. Esamina i template di posture predefiniti per determinare quali si applicano al tuo ambiente. Puoi applicarne alcune senza apportare modifiche, ma altre richiedono la personalizzazione delle policy in base al tuo ambiente.

  2. Utilizza uno dei seguenti metodi per copiare i file YAML nel tuo editor di testo:

    • Copia il file YAML dai contenuti di riferimento nei template di posture predefiniti.
    • Esegui il comando gcloud scc posture-templates describe per copiare il file YAML.
    gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/POSTURE_TEMPLATE \
    --revision-id=REVISION_ID

    Sostituisci i seguenti valori:

    • ORGANIZATION_ID è l'organizzazione in cui hai attivato Security Command Center.
    • POSTURE_TEMPLATE è il nome del template di postura predefinita, come descritto in Template di postura predefiniti.
    • REVISION_ID è la versione di revisione del template di postura predefinito. Se non includi l'ID revisione, viene visualizzata l'ultima versione del template di postura predefinita.

    Ad esempio, per visualizzare il template di posture predefinita per l'AI sicura, essentials nell'organizzazione 3589215982, esegui questo comando:

    gcloud scc posture-templates describe \
    organizations/3589215982/locations/global/postureTemplates/secure_ai_essential \
    --revision-id=v.1.0

  3. Completa una delle seguenti azioni:

    • Se puoi utilizzare la postura senza apportare modifiche (ad esempio, se hai utilizzato uno dei template _essentials), puoi creare la postura. Per le istruzioni, consulta Crea una postura.
    • Se devi modificare uno dei set di policy o delle policy, completa la sezione Modifica un file YAML di postura.

Crea un file di postura estraendo le policy da un ambiente esistente

Puoi estrarre le policy (policy dell'organizzazione, incluse le policy personalizzate e tutti i rilevatori di Security Health Analytics, inclusi i rilevatori personalizzati) che hai configurato in un progetto, una cartella o un'organizzazione esistente per creare un file di postura. Non puoi estrarre le policy da un'organizzazione, una cartella o un progetto a cui è già applicata una postura.

Questo comando estrae solo le policy configurate in precedenza per l'organizzazione, la cartella o il progetto e non estrae le policy dalle cartelle o dall'organizzazione padre.

Se hai eseguito la connessione ad AWS, questo comando estrae anche i rilevatori specifici per AWS (anteprima).

  1. Esegui il comando gcloud scc postures extract per estrarre le policy dell'organizzazione e i rilevatori di Security Health Analytics esistenti nel tuo ambiente.

    gcloud scc postures extract POSTURE_NAME \
    --workload=WORKLOAD

    Sostituisci i seguenti valori:

    • POSTURE_NAME è il nome della risorsa relativa della postura. Ad esempio, organizations/ORGANIZATION_ID/locations/global/postures/POSTURE_ID.

      • POSTURE_ID è un nome alfanumerico per la tua postura, univoco per la tua organizzazione. POSTURE_ID è limitato a 63 caratteri.

    • WORKLOAD è il progetto, la cartella o l'organizzazione da cui stai estraendo le policy. Il workload è uno dei seguenti:

    • projects/PROJECT_NUMBER

    • folder/FOLDER_ID

    • organizations/ORGANIZATION_ID

    Ad esempio, per estrarre le policy dalla cartella 3589215982 nell'organizzazione 6589215984, esegui questo comando:

    gcloud scc postures extract \
  organizations/6589215984/locations/global/postures/myStagingPosture \
  workload=folder/3589215982 > posture.yaml

  2. Apri il file posture.yaml risultante per modificarlo.

  3. Completa una delle seguenti azioni:

    • Se puoi utilizzare la postura senza apportare modifiche (ad esempio, se hai utilizzato uno dei template _essentials), puoi creare la postura. Per le istruzioni, consulta Crea una postura.
    • Se devi modificare uno dei set di policy o delle policy, completa la sezione Modifica un file YAML di postura.

Crea una risorsa Terraform con definizioni delle policy

Puoi creare una configurazione Terraform per creare una risorsa di postura.

Ad esempio, puoi creare una risorsa di postura che includa vincoli delle policy dell'organizzazione integrati e personalizzati e rilevatori di Security Health Analytics integrati e personalizzati. Il supporto della gestione della postura per i rilevatori Security Health Analytics integrati specifici per AWS è in anteprima.

resource "google_securityposture_posture" "posture1"{
  posture_id  = "posture_example"
  parent      = "organizations/123456789"
  location    = "global"
  state       = "ACTIVE"
  description = "a new posture"
  policy_sets {
    policy_set_id = "list_constraint_policy_set"
    description   = "set of org policies with a list constraint"
    policies {
      policy_id = "resource_locations_policy"
      constraint {
        org_policy_constraint {
          canned_constraint_id = "gcp.resourceLocations"
          policy_rules {
            values {
              allowed_values = ["in:us-locations"]
            }
          }
        }
      }
    }
  }
  policy_sets {
    policy_set_id = "org_policy_set"
    description   = "set of org policies"
    policies {
      policy_id = "canned_org_policy"
      constraint {
        org_policy_constraint {
          canned_constraint_id = "storage.uniformBucketLevelAccess"
          policy_rules {
            enforce = true
            condition {
            	description = "condition description"
            	expression  = "resource.matchTag('org_id/tag_key_short_name,'tag_value_short_name')"
            	title       = "a CEL condition"
            }
          }
        }
      }
    }
    policies {
      policy_id = "custom_org_policy"
      constraint {
        org_policy_constraint_custom {
          custom_constraint {
            name           = "organizations/123456789/customConstraints/custom.disableGkeAutoUpgrade"
            display_name   = "Disable GKE auto upgrade"
            description    = "Only allow GKE NodePool resource to be created or updated if AutoUpgrade is not enabled where this custom constraint is enforced."
            action_type    = "ALLOW"
            condition      = "resource.management.autoUpgrade == false"
            method_types   = ["CREATE", "UPDATE"]
            resource_types = ["container.googleapis.com/NodePool"]
          }
          policy_rules {
            enforce = true
            condition {
            	description = "condition description"
            	expression = "resource.matchTagId('tagKeys/key_id','tagValues/value_id')"
            	title = "a CEL condition"
            }
          }
        }
      }
    }
  }
  policy_sets {
    policy_set_id = "sha_policy_set"
    description   = "set of sha policies"
    policies {
      policy_id = "sha_builtin_module"
      constraint {
        security_health_analytics_module {
          module_name             = "BIGQUERY_TABLE_CMEK_DISABLED"
          module_enablement_state = "ENABLED"
        }
      }
      description = "enable BIGQUERY_TABLE_CMEK_DISABLED"
    }
    policies {
      policy_id = "sha_custom_module"
      constraint {
        security_health_analytics_custom_module {
          display_name = "custom_SHA_policy"
          config {
            predicate {
              expression = "resource.rotationPeriod > duration('2592000s')"
            }
            custom_output {
              properties {
                name = "duration"
                value_expression {
                  expression = "resource.rotationPeriod"
                }
              }
            }
            resource_selector {
              resource_types = ["cloudkms.googleapis.com/CryptoKey"]
            }
            severity       = "LOW"
            description    = "Custom Module"
            recommendation = "Testing custom modules"
          }
          module_enablement_state = "ENABLED"
        }
      }
    }
  }

}

Per saperne di più, consulta google_securityposture_posture.

Modifica un file YAML della postura

Per modificare un file YAML della postura, completa i seguenti passaggi:

  1. Apri il file YAML della postura in un editor di testo.

  2. Verifica name, description e state all'inizio del file.

    name: organizations/ORGANIZATION_ID/locations/global/posture/POSTURE_ID
description: DESCRIPTION
state: STATE

    Per informazioni dettagliate su questi campi, consulta il riferimento Posture.

    Ad esempio:

    name: organizations/3589215982/locations/global/posture/stagingAIPosture
description: This posture applies to staging environments for Vertex AI.
state: ACTIVE

  3. Personalizza le policy all'interno del file in base alle tue esigenze.

    Per i dettagli sui campi che puoi utilizzare, consulta il riferimento PolicySet.

    1. Esamina le policy esistenti e i relativi valori. Per le policy che richiedono informazioni specifiche per il tuo ambiente, imposta i valori in modo appropriato. Ad esempio, per la policy ainotebooks.accessMode nella postura predefinita estesa di AI sicura, aggiungi le modalità di accesso consentite in policyRules:

      - policyId: Define access mode for Vertex AI Workbench notebooks and instances
  complianceStandards:
  - standard: NIST SP 800-53
    control: AC-3(3)
  - standard: NIST SP 800-53
    control: AC-6(1)
  constraint:
    orgPolicyConstraint:
      cannedConstraintId: ainotebooks.accessMode
      policyRules:
      - values:
          allowedValues: service-account
  description: This list constraint defines the modes of access allowed to Vertex AI Workbench notebooks and instances where enforced. The allow or deny list can specify multiple users with the service-account mode or single-user access with the single-user mode. The access mode to be allowed or denied must be listed explicitly.

    2. Aggiungi altri vincoli delle policy dell'organizzazione, come documentato in Vincoli delle policy dell'organizzazione. Se stai definendo una policy dell'organizzazione personalizzata, assicurati che il file YAML includa la definizione del vincolo personalizzato. Non puoi utilizzare un vincolo personalizzato che hai creato utilizzando altri metodi (ad esempio, utilizzando la consoleGoogle Cloud ).

      Ad esempio, potresti voler impostare il vincolo compute.trustedImageProjects per definire i progetti che possono essere utilizzati per l'archiviazione delle immagini e la creazione di istanze dei dischi. Se copi questo esempio, assicurati di sostituire allowedValues con un elenco di progetti adatto:

      - policyId: Define projects with trusted images.
  complianceStandards:
  - standard:
    control:
  constraint:
    orgPolicyConstraint:
      cannedConstraintId: compute.trustedImageProjects
      policyRules:
      - values:
          allowedValues:
          - project1
          - project2
          - projectN
  description: This is a complete list of projects from which images can be used.

    3. Aggiungi altri rilevatori di Security Health Analytics, come quelli documentati in Risultati di Security Health Analytics. Ad esempio, aggiungi un rilevatore di Security Health Analytics per creare un risultato se un progetto non utilizza una chiave API per l'autenticazione:

      - policyId: API Key Exists
  constraint:
    securityHealthAnalyticsModule:
      moduleEnablementState: ENABLED
      moduleName: API_KEY_EXISTS

      Come altro esempio, aggiungi un modulo personalizzato di Security Health Analytics per rilevare se i set di dati di Gemini Enterprise Agent Platform sono criptati:

      - policyId: CMEK key is used for Vertex AI DataSet
  complianceStandards:
  - standard: NIST SP 800-53
    control: SC-12
  - standard: NIST SP 800-53
    control: SC-13
  constraint:
    securityHealthAnalyticsCustomModule:
      displayName: "vertexAIDatasetCMEKDisabled"
      config:
        customOutput: {}
        predicate:
          expression: "!has(resource.encryptionSpec)"
        resourceSelector:
          resourceTypes:
          - aiplatform.googleapis.com/Dataset
        severity: CRITICAL
        description: "When enforced, this detector finds whether a dataset is not encrypted using CMEK."
        recommendation: "Restore the SHA module. See https://cloud.google.com/security-command-center/docs/custom-modules-sha-overview."
      moduleEnablementState: ENABLED

      Come altro esempio, per il livello di servizio Enterprise (deprecato), aggiungi un rilevatore di Security Health Analytics specifico per AWS (anteprima):

      - policySetId: AWS policy set
  description:  Policy set containing AWS built-in SHA modules for securing S3 buckets.
  policies:
  - policyId: S3 bucket replication enabled
    complianceStandards:
    - standard: NIST 800-53 R5
      control: SI-13(5)
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: S3_BUCKET_REPLICATION_ENABLED
    description: This control checks whether an Amazon S3 bucket has Cross-Region Replication enabled. The control fails if the bucket does not have Cross-Region Replication enabled or if Same-Region Replication is also enabled.

  - policyId: S3 bucket logging enabled
    complianceStandards:
    - standard: NIST 800-53 R5
      control: SI-7(8)
    - standard: PCI DSS 3.2.1
      control: 10.3.1
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: S3_BUCKET_LOGGING_ENABLED
    description: The AWS S3 Server Access Logging feature records access requests to storage buckets which is useful for security audits. By default, server access logging is not enabled for S3 buckets.

      Se aggiungi un rilevatore specifico per AWS, devi eseguire il deployment della postura a livello di organizzazione.

  4. Carica il file della postura in un repository di codice sorgente con controllo della versione in modo da poter monitorare le modifiche apportate nel tempo.

Crea una postura

Completa questa attività per creare una risorsa di postura in Security Command Center di cui puoi eseguire il deployment. Se hai creato una postura da un template di postura predefinita utilizzando la console Google Cloud , la risorsa della postura viene creata automaticamente.

Console

  1. Nella console Google Cloud , vai alla pagina Posture Management.

    Vai a Gestione della security posture

  2. Seleziona un'organizzazione.

  3. Fai clic su Crea postura. Puoi creare una postura partendo da una postura o un template esistente o utilizzando le policy applicate a una risorsa.

    Crea una postura utilizzando una postura o un template esistente

    1. Seleziona Inizia con una postura o un modello esistente (sfoglia posture).
    2. Specifica i dettagli della postura, ad esempio il nome e la descrizione.
    3. Fai clic su Seleziona postura. Puoi creare una postura basata su una postura esistente o su un template.
      • Seleziona Postura per creare una postura utilizzando una postura esistente. Seleziona una postura dall'elenco delle posture visualizzate, quindi seleziona una o più revisioni dall'elenco delle revisioni disponibili per la postura selezionata.
      • Seleziona Modello per creare una postura utilizzando un modello, quindi seleziona uno o più modelli dall'elenco visualizzato.
    4. Fai clic su Salva. Nella sezione Set di policy puoi visualizzare l'elenco dei set di policy associati alla postura selezionata.
    5. Seleziona le policy dall'elenco dei set di policy. In questa pagina puoi anche modificare la policy e spostarla in un altro set di policy. Non puoi creare una postura con due policy con lo stesso nome all'interno dello stesso set di policy.
    6. Fai clic su Crea.

    Crea una postura utilizzando le policy applicate a una risorsa

    1. Seleziona Inizia con una postura applicata a una risorsa (sfoglia risorse).
    2. Specifica i dettagli della postura, ad esempio il nome e la descrizione.
    3. Fai clic su Seleziona risorse.
    4. Seleziona una risorsa dall'elenco delle risorse visualizzate e fai clic su Crea.

    Viene visualizzata la pagina Dettagli postura, che mostra le informazioni sulla postura che hai creato. Puoi visualizzare i set di policy associati a quella postura.

gcloud

  1. Esegui il comando gcloud scc postures create per creare una postura utilizzando il file posture.yaml.

    gcloud scc postures create POSTURE_NAME \
    --posture-from-file=POSTURE_FROM_FILE

    Sostituisci i seguenti valori:

    • POSTURE_NAME è il nome della risorsa relativa della postura. Ad esempio, organizations/ORGANIZATION_ID/locations/global/postures/POSTURE_ID.

      • POSTURE_ID è un nome alfanumerico per la tua postura, univoco per la tua organizzazione. POSTURE_ID è limitato a 63 caratteri.

    Ad esempio, per creare una postura con l'ID posture-example-1 nell'organizzazione organizations/3589215982, esegui questo comando:

    gcloud scc postures create \
    organizations/3589215982/locations/global/postures/posture-example-1 \
    --posture-from-file=posture.yaml

    Se il processo di creazione della postura non va a buon fine, elimina la postura, risolvi l'errore e riprova.

  2. Per verificare che la postura sia stata creata correttamente, consulta Visualizza una postura.

Per applicare questa postura al tuo ambiente, devi eseguirne il deployment.

Terraform

Se hai creato una configurazione Terraform per la risorsa di postura, devi eseguirne il provisioning utilizzando la pipeline infrastructure as code.

Per saperne di più, consulta Terraform su Google Cloud.

Esegui il deployment di una postura

Dopo aver creato una postura, ne esegui il deployment in un progetto, una cartella o un'organizzazione, in modo da poter applicare le policy e le relative definizioni a risorse specifiche della tua organizzazione e monitorare la deriva. Puoi eseguire il deployment di una sola postura in un progetto, una cartella o un'organizzazione.

Verifica che lo stato della postura sia ACTIVE.

Quando esegui il deployment della postura, si verificano le seguenti azioni:

  • Vengono applicate le definizioni delle policy dell'organizzazione e dei rilevatori di Security Health Analytics.
  • Per ogni policy dell'organizzazione personalizzata definita nella postura, viene creato un nuovo vincolo personalizzato. Questo vale anche se hai creato la configurazione di sicurezza da un template o da policy estratte e hai mantenuto queste policy invariate. L'ID vincolo include l'ID revisione della postura come suffisso. Se tutti i deployment della postura vengono eliminati, il suffisso viene sostituito con un UUID casuale.
  • Per ogni rilevatore Security Health Analytics personalizzato definito nella postura, viene creato un nuovo vincolo personalizzato. Questo vale anche se hai creato la postura da un template o da policy estratte e hai mantenuto invariate queste policy.

  • Lo stato predefinito dei moduli personalizzati è impostato su Attivato.

Console

  1. Nella console Google Cloud , vai alla pagina Posture Management.

    Vai a Gestione della security posture

  2. Seleziona un'organizzazione.

  3. Nella scheda Posture, fai clic sulla postura di cui vuoi eseguire il deployment.

  4. Nella pagina Dettagli postura, seleziona la revisione della postura. La revisione della postura selezionata deve essere in stato attivo.

  5. Fai clic su Applica alle risorse.

  6. Fai clic su Seleziona per selezionare l'organizzazione, la cartella o il progetto in cui vuoi eseguire il deployment della postura.

  7. Fai clic su Applica postura.

gcloud

Esegui il comando gcloud scc posture-deployments create per eseguire il deployment di una postura in un progetto, una cartella o un'organizzazione.

gcloud scc posture-deployments create POSTURE_DEPLOYMENT_NAME \
    --posture-name=POSTURE_NAME \
    --posture-revision-id=POSTURE_REVISION_ID \
    --target-resource=TARGET_RESOURCE

Sostituisci i seguenti valori:

  • POSTURE_DEPLOYMENT_NAME è il nome della risorsa relativa per il deployment della postura. Il formato è organizations/ORGANIZATION_ID/locations/global/postureDeployments/POSTURE_DEPLOYMENT_ID.

  • LOCATION è pari a global.

  • POSTURE_ID è un nome alfanumerico per la tua postura, univoco per la tua organizzazione.

  • --posture-name=POSTURE_NAME è il nome della postura di cui stai eseguendo il deployment. Il formato è organizations/ORGANIZATION_ID/locations/global/postures/POSTURE_ID.

Se la postura include un rilevatore specifico per AWS, devi eseguirne il deployment a livello di organizzazione (anteprima).

Ad esempio, per eseguire il deployment di una postura, esegui questo comando:

gcloud scc posture-deployments create \
  organizations/3589215982/locations/global/postureDeployments/postureDeployment123 \
  --posture-name=organizations/3589215982/locations/global/postures/StagingAIPosture \
  --posture-revision-id=version1 \
  --target-resource=projects/4589215982

Puoi visualizzare le informazioni sullo stato al termine del comando. Se il processo di creazione del deployment della postura non va a buon fine, elimina il deployment, risolvi l'errore e riprova.

Terraform

Puoi creare una risorsa Terraform per eseguire il deployment di una postura.

resource "google_securityposture_posture_deployment" "posture_deployment_example" {
  posture_deployment_id          = "<POSTURE_DEPLOYMENT_ID>"
  parent = "organizations/<ORGANIZATION_ID>"
  location = "global"
  description = "a new posture deployment"
  target_resource = "<TARGET_RESOURCE>"
  posture_id = "<POSTURE_NAME>"
  posture_revision_id = "<POSTURE_REVISION_ID>"
}

Per saperne di più, consulta google_securityposture_posture_deployment.

Visualizza le informazioni sulla postura e sul deployment della postura

Puoi visualizzare le informazioni sulla postura e sul deployment della postura per vedere informazioni come:

  • Quali posture vengono implementate e dove vengono applicate nella gerarchia delle risorse (organizzazioni, progetti e cartelle)
  • Le revisioni e lo stato delle posture
  • I dettagli operativi di un deployment della postura

Visualizza una postura

Puoi visualizzare informazioni su una postura (ad esempio lo stato e le definizioni delle policy).

Console

  1. Nella console Google Cloud , vai alla pagina Posture Management.

    Vai a Gestione della security posture

  2. Seleziona un'organizzazione.

  3. Nella scheda Posture, fai clic sulla postura che vuoi visualizzare. Vengono visualizzati i dettagli della postura.

gcloud

Esegui il comando gcloud scc postures describe per visualizzare una postura che hai creato.

gcloud scc postures describe POSTURE_NAME \
    --revision-id=REVISION_ID

Sostituisci i seguenti valori:

  • POSTURE_NAME è il nome della risorsa relativa della postura. Ad esempio, organizations/ORGANIZATION_ID/locations/global/postures/POSTURE_ID.

  • POSTURE_ID è un nome alfanumerico per la tua postura, univoco per la tua organizzazione.

  • revision-id=REVISION_ID è un flag facoltativo che specifica la versione della postura da visualizzare. Se non includi il flag, viene restituita l'ultima versione.

Ad esempio, per visualizzare una postura con il nome organizations/3589215982/locations/global/postures/posture-example-1 e l'ID revisione abcdefgh, esegui questo comando:

gcloud scc postures describe \
    organizations/3589215982/locations/global/postures/posture-example-1 \
    --revision-id=abcdefgh

Visualizza le informazioni su un'operazione di deployment della postura

Esegui il comando gcloud scc posture-operations describe per visualizzare i dettagli dell'operazione di deployment della postura.

gcloud scc posture-operations describe OPERATION_NAME

Dove OPERATION_NAME è il nome della risorsa relativa per l'operazione. Il formato è organizations/ORGANIZATION_ID/locations/global/operations/OPERATION_ID. Puoi ottenere OPERATION_ID utilizzando l'argomento --async quando esegui il comando posture.

Ad esempio, per visualizzare un'operazione di scansione con il nome organizations/3589215982/locations/global/operations/operation-1694515698847-605272e4bcd7c-f93dade6-067467ae, esegui questo comando:

gcloud scc posture-operations describe \
    organizations/3589215982/locations/global/operations/operation-1694515698847-605272e4bcd7c-f93dade6-067467ae

Visualizza le informazioni su un deployment della postura

Puoi visualizzare dove viene eseguito il deployment di una postura, nonché lo stato del deployment.

Console

  1. Nella console Google Cloud , vai alla pagina Posture Management.

    Vai a Gestione della security posture

  2. Seleziona un'organizzazione.

  3. Nella scheda Posture, fai clic sulla postura di cui hai eseguito il deployment.

  4. Vai alla scheda Risorse per visualizzare i progetti, le cartelle e l'organizzazione in cui è stato eseguito il deployment della postura, nonché lo stato del deployment.

gcloud

Esegui il comando gcloud scc posture-deployments describe per visualizzare le informazioni su una postura di cui è stato eseguito il deployment.

gcloud scc posture-deployments describe POSTURE_DEPLOYMENT_NAME

Dove POSTURE_DEPLOYMENT_NAME è il nome della risorsa relativa per il deployment della postura. Il formato è organizations/ORGANIZATION_ID/locations/global/postureDeployments/POSTURE_DEPLOYMENT_ID.

  • LOCATION è pari a global.
  • POSTURE_DEPLOYMENT_ID è un nome univoco per il deployment della postura.

Ad esempio, per visualizzare i dettagli di un deployment della postura denominato organizations/3589215982/locations/global/postureDeployments/Posture-deployment-example-1, esegui questo comando:

gcloud scc posture-deployments describe \
    organizations/3589215982/locations/global/postureDeployments/Posture-deployment-example-1

Aggiorna una postura e un deployment della postura

Puoi aggiornare quanto segue:

  • Lo stato della postura.
  • Le definizioni delle policy in una postura.
  • L'organizzazione, le cartelle o i progetti in cui viene eseguito il deployment di una postura.

Aggiorna le definizioni delle policy in una postura

Potresti dover aggiornare una postura quando attivi più servizi Google Cloud , esegui il deployment di risorse aggiuntive o richiedi policy aggiuntive per soddisfare requisiti di conformità nuovi o in evoluzione. Se stai aggiornando una revisione della postura di cui è stato eseguito il deployment, questa attività crea una nuova revisione della postura. In caso contrario, viene aggiornata la revisione della postura specificata quando esegui il comando di aggiornamento.

  1. Apri un file YAML in un editor di testo. Aggiungi i campi che vuoi aggiornare, insieme ai relativi valori. Se stai aggiornando i set di policy, assicurati che il file includa tutti i set di policy che vuoi includere nella postura, compresi quelli già esistenti. Per istruzioni, consulta Modifica un file YAML della postura.

  2. Esegui il comando gcloud scc postures update per aggiornare la postura.

    gcloud scc postures update POSTURE_NAME \
    --posture-from-file=POSTURE_FROM_FILE \
    --revision-id=POSTURE_REVISION_ID \
    --update-mask=UPDATE_MASK

    Sostituisci i seguenti valori:

    • POSTURE_NAME è il nome della risorsa relativa della postura. Ad esempio, organizations/ORGANIZATION_ID/locations/global/postures/POSTURE_ID.

      • POSTURE_ID è un nome alfanumerico per la tua postura, univoco per la tua organizzazione.

    • POSTURE_FROM_FILE è il percorso relativo o assoluto del file posture.yaml che include le modifiche.

      • POSTURE_ID è un nome alfanumerico per la tua postura, univoco per la tua organizzazione.

    • POSTURE_FROM_FILE è il percorso relativo o assoluto del file posture.yaml che include le modifiche.

    • --revision-id=REVISION_ID è la revisione della postura di cui vuoi eseguire il deployment. Se la postura è già stata implementata, il servizio Security Posture crea automaticamente una nuova versione della postura con un ID revisione diverso e include l'ID revisione nell'output.

    • --update-mask=UPDATE_MASK è l'elenco dei campi che vuoi aggiornare, in formato separato da virgole. Questo argomento è facoltativo. Puoi impostare UPDATE_MASK su uno dei seguenti valori:

      • * o non specificato: applica le modifiche apportate ai set di policy e alla descrizione della postura.
      • policy_sets: applica solo le modifiche apportate ai set di policy.
      • description: applica le modifiche apportate solo alla descrizione della postura.
      • policy_sets, description: applica le modifiche apportate ai set di policy e alla descrizione della postura.
      • state: applica solo la modifica dello stato.

    Ad esempio, per aggiornare una postura con il nome posture-example-1 nell'organizzazione organizations/3589215982/locations/global e l'ID revisione impostato su abcd1234, esegui questo comando:

    gcloud scc postures update \
    organizations/3589215982/locations/global/posture-example-1 \
    --posture-from-file=posture.yaml --revision-id=abcd1234 --update-mask=policy_sets

    Se il processo di aggiornamento della postura non riesce, risolvi i problemi correlati all'errore e riprova.

  3. Per verificare che la postura sia stata aggiornata correttamente, consulta Visualizza una postura.

Modifica lo stato di una postura

Lo stato di una postura determina se è disponibile per il deployment in un progetto, una cartella o un'organizzazione.

Una postura può avere i seguenti stati:

  • DRAFT: la revisione della postura non è pronta per il deployment. Non puoi eseguire il deployment di una revisione della postura nello stato DRAFT.
  • ACTIVE: la revisione della postura è disponibile per il deployment. Puoi modificare lo stato da ACTIVE a DRAFT o DEPRECATED.

  • DEPRECATED: non è possibile eseguire il deployment di una revisione della postura DEPRECATED in una risorsa. Devi eliminare tutti i deployment esistenti della postura prima di poter ritirare una revisione della postura. Se vuoi rifare il deployment di una revisione della postura che hai ritirato, devi modificarne lo stato in ACTIVE.

Console

  1. Nella console Google Cloud , vai alla pagina Posture Management.

    Vai a Gestione della security posture

  2. Seleziona un'organizzazione.

  3. Nella scheda Posture, fai clic sulla postura che vuoi aggiornare.

  4. Nella pagina Dettagli postura, fai clic su Modifica.

  5. Seleziona lo stato della postura e fai clic su Salva.

gcloud

Per modificare lo stato di una postura, esegui il comando gcloud scc postures update. Non puoi aggiornare lo stato della postura contemporaneamente all'aggiornamento di altri campi. Per istruzioni sull'esecuzione del comando gcloud scc postures update, consulta Modifica un file YAML della postura.

Aggiorna un deployment della postura

Aggiorna un deployment della postura in un progetto, una cartella o un'organizzazione per eseguire il deployment di una nuova postura o di una nuova revisione di una postura.

Se la revisione della postura che stai aggiornando include un vincolo dell'organizzazione personalizzato che è stato eliminato utilizzando la console Google Cloud , non puoi aggiornare il deployment della postura utilizzando lo stesso ID postura. Il servizio Policy dell'organizzazione impedisce la creazione di vincoli dell'organizzazione personalizzati con lo stesso nome. Devi invece creare una nuova versione della postura o utilizzare un ID postura diverso.

Inoltre, i risultati relativi ai deployment delle policy eliminati nell'ambito del processo di aggiornamento verranno disattivati.

Console

  1. Nella console Google Cloud , vai alla pagina Posture Management.

    Vai a Gestione della security posture

  2. Seleziona un'organizzazione.

  3. Nella scheda Posture, fai clic sulla postura che vuoi aggiornare.

  4. Nella pagina Dettagli postura, seleziona la revisione della postura.

  5. Fai clic su Applica alle risorse.

  6. Fai clic su Seleziona per selezionare l'organizzazione, la cartella o il progetto in cui vuoi eseguire il deployment della postura. Se viene visualizzato un messaggio che indica che il deployment esiste già, eliminalo prima di riprovare.

gcloud

Esegui il comando gcloud scc posture-deployments update per eseguire il deployment di una postura.

gcloud scc posture-deployments update POSTURE_DEPLOYMENT_NAME \
    --description=DESCRIPTION \
    --update-mask=UPDATE_MASK \
    --posture-id=POSTURE_ID \
    --posture-revision-id=POSTURE_REVISION_ID

Sostituisci i seguenti valori:

  • POSTURE_DEPLOYMENT_NAME è il nome della risorsa relativa per il deployment della postura. Il formato è organizations/ORGANIZATION_ID/locations/global/postureDeployments/POSTURE_DEPLOYMENT_ID.

    • POSTURE_DEPLOYMENT_ID è un nome univoco per il deployment della postura.

  • --description=DESCRIPTION è la descrizione facoltativa della postura di cui è stato eseguito il deployment.

  • --posture-id=POSTURE_ID è il nome della postura, univoco per la tua organizzazione. Il formato è organizations/ORGANIZATION_ID/locations/global/postures/POSTURE_NAME

  • --posture-revision-id=POSTURE_REVISION_ID è la revisione della postura di cui vuoi eseguire il deployment. Puoi ottenerlo dalla risposta che ricevi quando crei la postura o visualizzi la postura.

  • --update-mask=UPDATE_MASK è l'elenco dei campi che vuoi aggiornare, in formato separato da virgole. Questo argomento è facoltativo.

Ad esempio, per aggiornare un deployment della postura con i seguenti criteri:

  • Organizzazione: organizations/3589215982/locations/global
  • ID deployment della postura: postureDeploymentexample
  • ID postura: StagingAIPosture
  • Revisione: version2

Esegui questo comando:

gcloud scc posture-deployments update \
    organizations/3589215982/locations/global/postureDeployments/postureDeploymentexample \
    --posture-id=organizations/3589215982/locations/global/postures/StagingAIPosture \
    --posture-revision-id=version2

Puoi visualizzare le informazioni sullo stato al termine del comando. Se il processo di aggiornamento del deployment della postura non riesce, elimina il deployment, risolvi l'errore e riprova.

Monitora la deviazione della postura

Puoi monitorare una postura di cui è stato eseguito il deployment per rilevare eventuali deviazioni dalle policy definite all'interno della security posture. La deviazione è una modifica a una policy che si verifica al di fuori di una postura. Ad esempio, la deviazione si verifica quando un amministratore modifica una definizione della policy nella console anziché aggiornare il deployment della postura.

Il servizio Security Posture crea risultati che puoi visualizzare nella console Google Cloud o in gcloud CLI ogni volta che si verifica una deviazione.

Console

Per tutte le posture, puoi monitorare la deviazione utilizzando la pagina Risultati.

  1. Nella console Google Cloud , vai alla pagina Risultati.

    Vai a Gestione della security posture

  2. Seleziona un'organizzazione.

  3. Utilizza le seguenti opzioni di filtro per esaminare i risultati della postura:

    • Nel riquadro Filtri rapidi, seleziona il risultato Violazione della postura. Puoi anche inserire il seguente filtro in Anteprima query:

      state="ACTIVE" AND NOT mute="MUTED" AND finding_class="POSTURE_VIOLATION"

    • Per visualizzare i risultati relativi ai moduli personalizzati di Security Health Analytics che si applicano specificamente ai workload di Gemini Enterprise Agent Platform, esegui la seguente query di filtro:

      state="ACTIVE" AND NOT mute="MUTED" AND resource.type:"aiplatform"

    • Per visualizzare i risultati relativi alla deviazione dalle policy dell'organizzazione di Gemini Enterprise Agent Platform che hai applicato in una postura, esegui la seguente query di filtro:

        state="ACTIVE" AND NOT mute="MUTED" AND
  (category="SECURITY_POSTURE_POLICY_DRIFT" OR
  category="SECURITY_POSTURE_POLICY_DELETE" OR
  category="SECURITY_POSTURE_DETECTOR_DRIFT" OR
  category="SECURITY_POSTURE_DETECTOR_DELETE")
  AND contains(risks, risk_category = "AI_WORKLOAD_AT_RISK")

  4. Per visualizzare i dettagli di un risultato, fai clic sul risultato.

gcloud

In gcloud CLI, per visualizzare i risultati della deviazione, esegui questo comando:

gcloud scc findings list ORGANIZATION_ID \
    --filter="category=\"SECURITY_POSTURE_DRIFT\""

Dove ORGANIZATION_ID è l'ID dell'organizzazione.

Puoi esportare questi risultati nello stesso modo in cui esporti qualsiasi altro risultato da Security Command Center. Per saperne di più, consulta Esportazione dei dati di Security Command Center.

Correggi i risultati della postura

Per informazioni su come risolvere ogni risultato, consulta Risultati del servizio Security Posture. Puoi anche aggiornare il deployment della postura con lo stesso ID e la stessa revisione della postura.

Genera un risultato di deviazione a scopo di test

Dopo aver eseguito il deployment di una postura, puoi monitorare la deviazione dalle policy. Per vedere i risultati della deviazione in azione in un ambiente di test, completa i seguenti passaggi:

  1. Nella console, vai alla pagina Policy dell'organizzazione.

    Vai a Policy dell'organizzazione

  2. Seleziona un'organizzazione.

  3. Modifica una delle policy definite nella postura di cui è stato eseguito il deployment. Ad esempio, se utilizzi una postura di AI sicura predefinita, puoi modificare la policy Limita l'accesso all'IP pubblico sui nuovi notebook e istanze di Vertex AI Workbench.

  4. Dopo aver modificato la policy, fai clic su Imposta policy.

  5. Vai alla pagina Risultati.

    Vai ai risultati

  6. Seleziona un'organizzazione.

  7. Nel riquadro Filtri rapidi, nella sezione Nome visualizzato origine, seleziona Security Posture. Entro cinque minuti dovrebbe essere visualizzato un risultato relativo alla modifica.

  8. Per visualizzare i dettagli del risultato, fai clic sul risultato.

Elimina un deployment della postura

Puoi eliminare un deployment della postura se non è stato eseguito correttamente, se non hai più bisogno di una postura specifica o se non vuoi più che una postura specifica sia assegnata a un progetto, una cartella o un'organizzazione. Per eliminare un deployment della postura, quest'ultimo deve trovarsi in uno dei seguenti stati:

  • ACTIVE
  • CREATE_FAILED
  • UPDATE_FAILED
  • DELETE_FAILED

Per verificare lo stato di un deployment della postura, consulta Visualizza informazioni su un deployment della postura.

Quando elimini un deployment della postura, rimuovi la postura dalla risorsa (la tua organizzazione, cartella o progetto) a cui l'hai assegnata. Inoltre, disattiva i risultati associati.

L'output per i diversi tipi di policy è il seguente:

  • Quando elimini un deployment della postura che include policy dell'organizzazione personalizzate, queste vengono eliminate. Tuttavia, il vincolo personalizzato continua a esistere.

  • Quando elimini un deployment della postura che include rilevatori Security Health Analytics integrati, lo stato finale dei moduli Security Health Analytics dipende dall'organizzazione, dalla cartella o dal progetto in cui esisteva il deployment.

    • Se hai eseguito il deployment di una postura in una cartella o un progetto, i rilevatori integrati di Security Health Analytics ereditano lo stato dall'organizzazione o dalla cartella principale.
    • Se hai eseguito il deployment di una postura a livello di organizzazione, i rilevatori integrati di Security Health Analytics tornano allo stato predefinito. Per una descrizione degli stati predefiniti, consulta Abilita e disabilita i rilevatori.

Console

  1. Nella console Google Cloud , vai alla pagina Posture Management.

    Vai a Gestione della security posture

  2. Seleziona un'organizzazione.

  3. Nella scheda Posture, fai clic sulla postura che vuoi rimuovere dalla risorsa a cui è assegnata.

  4. Nella pagina Dettagli postura, seleziona la revisione della postura e vai a Risorse.

  5. Nell'elenco delle risorse in cui è stato eseguito il deployment della revisione della postura attiva corrente, fai clic su Rimuovi.

gcloud

Esegui il comando gcloud scc posture-deployments delete per eliminare un deployment della postura.

gcloud scc posture-deployments delete POSTURE_DEPLOYMENT_NAME

POSTURE_DEPLOYMENT_NAME è il nome della risorsa relativa per il deployment della postura. Il formato è organizations/ORGANIZATION_ID/locations/global/postureDeployments/POSTURE_DEPLOYMENT_ID.

  • POSTURE_DEPLOYMENT_ID è il nome univoco del deployment della postura.

Ad esempio, per eliminare un deployment della postura denominato organizations/3589215982/locations/global/postureDeployments/posture-deployment-example-1, esegui questo comando:

gcloud scc posture-deployments delete \
    organizations/3589215982/locations/global/postureDeployments/posture-deployment-example-1

Elimina una postura

Se elimini una postura, elimini anche tutte le revisioni. Non puoi eliminare una postura se una delle sue revisioni è stata implementata. Devi eliminare tutti i deployment della postura prima di poter completare questa attività.

Console

  1. Nella console Google Cloud , vai alla pagina Posture Management.

    Vai a Gestione della security posture

  2. Seleziona un'organizzazione.

  3. Nella scheda Posture, fai clic sulla postura che vuoi eliminare.

  4. Nella pagina Dettagli postura, fai clic su Elimina.

gcloud

Esegui il comando gcloud scc postures delete per eliminare una postura.

 gcloud scc postures delete POSTURE_NAME

POSTURE_NAME è il nome della risorsa relativa della postura.

Ad esempio, organizations/ORGANIZATION_ID/locations/global/postures/POSTURE_ID. L'ID postura è un nome alfanumerico per la postura, univoco per la tua organizzazione.

Ad esempio, per eliminare una postura denominata organizations/3589215982/locations/global/postures/posture-example-1, esegui questo comando:

 gcloud scc postures delete \
     organizations/3589215982/locations/global/postures/posture-example-1

Passaggi successivi