Gerenciar uma postura de segurança

Nesta página, descrevemos como configurar e usar o serviço de postura de segurança depois de ativar o Security Command Center. Para começar, crie uma postura que inclua suas políticas, organizadas em conjuntos de políticas, e implante-a usando uma implantação de postura. Depois que uma postura é implantada, é possível monitorar desvios e refinar ainda mais sua postura ao longo do tempo.

Não é possível usar o gerenciamento de postura de segurança com ativações para envolvidos no projeto. Para mais informações, consulte Disponibilidade de recursos com ativações no nível do projeto.

Antes de começar

Conclua essas tarefas antes de concluir as tarefas restantes nesta página.

Ativar o Security Command Center

Verifique se você ativou o Security Command Center no nível da organização.

Se você quiser usar os detectores da Análise de integridade da segurança como políticas, selecione o serviço Análise de integridade da segurança durante o processo de ativação.

Configurar permissões

Permissões para gerenciar posturas

Para receber as permissões necessárias para usar a postura, peça ao administrador para conceder a você o papel do IAM de Administrador de postura de segurança (roles/securityposture.admin). Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.

Também é possível conseguir as permissões necessárias usando papéis personalizados ou outros papéis predefinidos.

Para mais informações sobre papéis e permissões de postura de segurança, consulte IAM para ativações no nível da organização.

Permissões para gerenciar detectores da Análise de integridade da segurança

Para ativar ou desativar um serviço, você precisa ter a seguinte permissão do IAM. É possível conceder essa permissão no nível da organização, da pasta ou do projeto.

securitycentermanagement.securityCenterServices.update

Peça ao administrador para conceder a você um dos seguintes papéis que incluem essa permissão ou adicionar a permissão ao papel personalizado (se a organização usar papéis personalizados).

Configurar a Google Cloud CLI

Instale a Google Cloud CLI e faça login na CLI gcloud com sua identidade federada. Depois de fazer login, inicialize a Google Cloud CLI executando o seguinte comando: 

gcloud init

Para configurar a CLI gcloud e usar a identidade temporária de conta de serviço para autenticação nas APIs do Google, em vez de suas credenciais de usuário, execute o seguinte comando: 

gcloud config set auth/impersonate_service_account SERVICE_ACCT_EMAIL

Saiba mais em Identidade temporária de conta de serviço.

Ativar APIs

Ative as APIs do serviço de política da organização e do serviço de postura de segurança:

gcloud services enable orgpolicy.googleapis.com  securityposture.googleapis.com

Configurar a conexão com a AWS

Para usar os detectores integrados da Análise de integridade da segurança específicos da AWS, é necessário se conectar à AWS para coletar dados de configuração e recursos.

Criar e implantar uma postura

Para começar a usar uma postura de segurança, faça o seguinte:

  • Crie um arquivo YAML de postura que defina as políticas que se aplicam à sua postura de segurança.
  • Crie uma postura em Google Cloud com base no arquivo YAML de postura.
  • Implante a postura.

As seções a seguir fornecem instruções detalhadas.

Criar um arquivo YAML de postura

Uma postura consiste em um ou mais conjuntos de políticas que você implanta juntos. Esses conjuntos de políticas incluem todas as políticas preventivas e de detecção que você quer incluir na postura.

Para criar sua postura, siga um destes procedimentos:

Para detalhes sobre os campos que podem ser usados em uma postura, consulte a referência de Posture e a referência de PolicySet.

Criar um arquivo de postura com base em um modelo de postura predefinido

É possível usar um modelo de postura predefinido para criar um arquivo de postura.

Console

  1. No console do Google Cloud , acesse a página Gerenciamento de postura.

    Acessar o Gerenciamento de Postura

  2. Selecione uma organização.

  3. Na guia Modelos, clique no modelo que você quer usar.

  4. Na página Detalhes do modelo, clique em Criar postura.

  5. Dê um nome exclusivo para a postura e clique em Criar. A página Detalhes da postura é aberta.

  6. Conclua uma das seguintes ações:

gcloud

  1. Analise os modelos de postura predefinidos para determinar quais se aplicam ao seu ambiente. É possível aplicar algumas delas sem fazer mudanças, mas outras exigem que você personalize as políticas para que correspondam ao seu ambiente.

  2. Use um dos seguintes métodos para copiar os arquivos YAML para seu próprio editor de texto:

    • Copie o arquivo YAML do conteúdo de referência em modelos de postura predefinidos.
    • Execute o comando gcloud scc posture-templates describe para copiar o arquivo YAML.
    gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/POSTURE_TEMPLATE \
    --revision-id=REVISION_ID

    Substitua os seguintes valores:

    • ORGANIZATION_ID é a organização em que você ativou o Security Command Center.
    • POSTURE_TEMPLATE é o nome do modelo de postura predefinido, conforme descrito em Modelos de postura predefinidos.
    • REVISION_ID é a versão de revisão do modelo de postura predefinido. Se você não incluir o ID da revisão, a versão mais recente do modelo de postura predefinido será exibida.

    Por exemplo, para ver o modelo de postura predefinido de IA segura e essentials na organização 3589215982, execute o seguinte:

    gcloud scc posture-templates describe \
    organizations/3589215982/locations/global/postureTemplates/secure_ai_essential \
    --revision-id=v.1.0

  3. Conclua uma das seguintes ações:

    • Se você puder usar a postura sem fazer alterações (por exemplo, se tiver usado um dos modelos _essentials), poderá criar a postura. Para instruções, consulte Criar uma postura.
    • Se você precisar modificar qualquer um dos conjuntos de políticas ou políticas, conclua Modificar um arquivo YAML de postura.

Criar um arquivo de postura extraindo políticas de um ambiente atual

É possível extrair as políticas (políticas da organização, incluindo políticas personalizadas e todos os detectores da Análise de integridade da segurança, incluindo detectores personalizados) que você configurou em um projeto, pasta ou organização para criar um arquivo de postura. Não é possível extrair políticas de uma organização, pasta ou projeto que já tenha uma postura aplicada.

Esse comando extrai apenas as políticas que você configurou anteriormente para a organização, pasta ou projeto e não extrai políticas de pastas ou organizações pai.

Se você se conectou à AWS, esse comando também extrai os detectores específicos da AWS (pré-lançamento).

  1. Execute o comando gcloud scc postures extract para extrair as políticas da organização e os detectores da Análise de integridade da segurança no seu ambiente.

    gcloud scc postures extract POSTURE_NAME \
    --workload=WORKLOAD

    Substitua os seguintes valores:

    • POSTURE_NAME é o nome do recurso relativo da postura. Por exemplo, organizations/ORGANIZATION_ID/locations/global/postures/POSTURE_ID.

      • POSTURE_ID é um nome alfanumérico para a postura que é exclusivo da sua organização. POSTURE_ID é limitado a 63 caracteres.

    • WORKLOAD é o projeto, a pasta ou a organização de onde você está extraindo as políticas. A carga de trabalho é uma das seguintes:

    • projects/PROJECT_NUMBER

    • folder/FOLDER_ID

    • organizations/ORGANIZATION_ID

    Por exemplo, para extrair políticas da pasta 3589215982 na organização 6589215984, execute o seguinte:

    gcloud scc postures extract \
  organizations/6589215984/locations/global/postures/myStagingPosture \
  workload=folder/3589215982 > posture.yaml

  2. Abra o arquivo posture.yaml resultante para edição.

  3. Conclua uma das seguintes ações:

    • Se você puder usar a postura sem fazer alterações (por exemplo, se tiver usado um dos modelos _essentials), poderá criar a postura. Para instruções, consulte Criar uma postura.
    • Se você precisar modificar qualquer um dos conjuntos de políticas ou políticas, conclua Modificar um arquivo YAML de postura.

Criar um recurso do Terraform com definições de política

É possível criar uma configuração do Terraform para criar um recurso de postura.

Por exemplo, é possível criar um recurso de postura que inclua restrições de política da organização integradas e personalizadas e detectores integrados e personalizados da Análise de integridade da segurança. O suporte ao gerenciamento de postura para detectores integrados da Análise de integridade da segurança específicos da AWS está em pré-lançamento.

resource "google_securityposture_posture" "posture1"{
  posture_id  = "posture_example"
  parent      = "organizations/123456789"
  location    = "global"
  state       = "ACTIVE"
  description = "a new posture"
  policy_sets {
    policy_set_id = "list_constraint_policy_set"
    description   = "set of org policies with a list constraint"
    policies {
      policy_id = "resource_locations_policy"
      constraint {
        org_policy_constraint {
          canned_constraint_id = "gcp.resourceLocations"
          policy_rules {
            values {
              allowed_values = ["in:us-locations"]
            }
          }
        }
      }
    }
  }
  policy_sets {
    policy_set_id = "org_policy_set"
    description   = "set of org policies"
    policies {
      policy_id = "canned_org_policy"
      constraint {
        org_policy_constraint {
          canned_constraint_id = "storage.uniformBucketLevelAccess"
          policy_rules {
            enforce = true
            condition {
            	description = "condition description"
            	expression  = "resource.matchTag('org_id/tag_key_short_name,'tag_value_short_name')"
            	title       = "a CEL condition"
            }
          }
        }
      }
    }
    policies {
      policy_id = "custom_org_policy"
      constraint {
        org_policy_constraint_custom {
          custom_constraint {
            name           = "organizations/123456789/customConstraints/custom.disableGkeAutoUpgrade"
            display_name   = "Disable GKE auto upgrade"
            description    = "Only allow GKE NodePool resource to be created or updated if AutoUpgrade is not enabled where this custom constraint is enforced."
            action_type    = "ALLOW"
            condition      = "resource.management.autoUpgrade == false"
            method_types   = ["CREATE", "UPDATE"]
            resource_types = ["container.googleapis.com/NodePool"]
          }
          policy_rules {
            enforce = true
            condition {
            	description = "condition description"
            	expression = "resource.matchTagId('tagKeys/key_id','tagValues/value_id')"
            	title = "a CEL condition"
            }
          }
        }
      }
    }
  }
  policy_sets {
    policy_set_id = "sha_policy_set"
    description   = "set of sha policies"
    policies {
      policy_id = "sha_builtin_module"
      constraint {
        security_health_analytics_module {
          module_name             = "BIGQUERY_TABLE_CMEK_DISABLED"
          module_enablement_state = "ENABLED"
        }
      }
      description = "enable BIGQUERY_TABLE_CMEK_DISABLED"
    }
    policies {
      policy_id = "sha_custom_module"
      constraint {
        security_health_analytics_custom_module {
          display_name = "custom_SHA_policy"
          config {
            predicate {
              expression = "resource.rotationPeriod > duration('2592000s')"
            }
            custom_output {
              properties {
                name = "duration"
                value_expression {
                  expression = "resource.rotationPeriod"
                }
              }
            }
            resource_selector {
              resource_types = ["cloudkms.googleapis.com/CryptoKey"]
            }
            severity       = "LOW"
            description    = "Custom Module"
            recommendation = "Testing custom modules"
          }
          module_enablement_state = "ENABLED"
        }
      }
    }
  }

}

Para mais informações, consulte google_securityposture_posture.

Modificar um arquivo YAML de postura

Siga estas etapas para modificar um arquivo YAML de postura:

  1. Abra o arquivo YAML de postura em um editor de texto.

  2. Verifique name, description e state no início do arquivo.

    name: organizations/ORGANIZATION_ID/locations/global/posture/POSTURE_ID
description: DESCRIPTION
state: STATE

    Para mais detalhes sobre esses campos, consulte a referência de Posture.

    Exemplo:

    name: organizations/3589215982/locations/global/posture/stagingAIPosture
description: This posture applies to staging environments for Vertex AI.
state: ACTIVE

  3. Personalize as políticas no arquivo para atender aos seus requisitos.

    Para detalhes sobre os campos que podem ser usados, consulte a referência de PolicySet.

    1. Revise as políticas atuais e os valores delas. Para políticas que exigem informações específicas do seu ambiente, defina os valores adequadamente. Por exemplo, para a política ainotebooks.accessMode na postura predefinida estendida de IA segura, adicione os modos de acesso permitidos em policyRules:

      - policyId: Define access mode for Vertex AI Workbench notebooks and instances
  complianceStandards:
  - standard: NIST SP 800-53
    control: AC-3(3)
  - standard: NIST SP 800-53
    control: AC-6(1)
  constraint:
    orgPolicyConstraint:
      cannedConstraintId: ainotebooks.accessMode
      policyRules:
      - values:
          allowedValues: service-account
  description: This list constraint defines the modes of access allowed to Vertex AI Workbench notebooks and instances where enforced. The allow or deny list can specify multiple users with the service-account mode or single-user access with the single-user mode. The access mode to be allowed or denied must be listed explicitly.

    2. Adicione outras restrições da política da organização, conforme documentado em Restrições da política da organização. Se você estiver definindo uma política da organização personalizada, verifique se o arquivo YAML inclui a definição da restrição personalizada. Não é possível usar uma restrição personalizada criada com outros métodos (por exemplo, usando o console doGoogle Cloud ).

      Por exemplo, é possível definir a restrição compute.trustedImageProjects para definir projetos que podem ser usados para armazenamento de imagens e instanciação de disco. Se você copiar este exemplo, substitua allowedValues por uma lista adequada de projetos:

      - policyId: Define projects with trusted images.
  complianceStandards:
  - standard:
    control:
  constraint:
    orgPolicyConstraint:
      cannedConstraintId: compute.trustedImageProjects
      policyRules:
      - values:
          allowedValues:
          - project1
          - project2
          - projectN
  description: This is a complete list of projects from which images can be used.

    3. Adicione outros detectores da Análise de integridade da segurança, como os documentados em Descobertas da Análise de integridade da segurança. Por exemplo, adicione um detector da Análise de integridade da segurança para criar uma descoberta se um projeto não estiver usando uma chave de API para autenticação:

      - policyId: API Key Exists
  constraint:
    securityHealthAnalyticsModule:
      moduleEnablementState: ENABLED
      moduleName: API_KEY_EXISTS

      Como outro exemplo, adicione um módulo personalizado da Análise de integridade da segurança para detectar se os conjuntos de dados da Gemini Enterprise Agent Platform estão criptografados:

      - policyId: CMEK key is used for Vertex AI DataSet
  complianceStandards:
  - standard: NIST SP 800-53
    control: SC-12
  - standard: NIST SP 800-53
    control: SC-13
  constraint:
    securityHealthAnalyticsCustomModule:
      displayName: "vertexAIDatasetCMEKDisabled"
      config:
        customOutput: {}
        predicate:
          expression: "!has(resource.encryptionSpec)"
        resourceSelector:
          resourceTypes:
          - aiplatform.googleapis.com/Dataset
        severity: CRITICAL
        description: "When enforced, this detector finds whether a dataset is not encrypted using CMEK."
        recommendation: "Restore the SHA module. See https://cloud.google.com/security-command-center/docs/custom-modules-sha-overview."
      moduleEnablementState: ENABLED

      Como outro exemplo, para o nível de serviço Enterprise (descontinuado), adicione um detector da Análise de integridade da segurança específico para a AWS (pré-lançamento):

      - policySetId: AWS policy set
  description:  Policy set containing AWS built-in SHA modules for securing S3 buckets.
  policies:
  - policyId: S3 bucket replication enabled
    complianceStandards:
    - standard: NIST 800-53 R5
      control: SI-13(5)
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: S3_BUCKET_REPLICATION_ENABLED
    description: This control checks whether an Amazon S3 bucket has Cross-Region Replication enabled. The control fails if the bucket does not have Cross-Region Replication enabled or if Same-Region Replication is also enabled.

  - policyId: S3 bucket logging enabled
    complianceStandards:
    - standard: NIST 800-53 R5
      control: SI-7(8)
    - standard: PCI DSS 3.2.1
      control: 10.3.1
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: S3_BUCKET_LOGGING_ENABLED
    description: The AWS S3 Server Access Logging feature records access requests to storage buckets which is useful for security audits. By default, server access logging is not enabled for S3 buckets.

      Se você adicionar um detector específico da AWS, implante a postura no nível da organização.

  4. Faça upload do arquivo de postura para um repositório de origem com controle de versões para que você possa acompanhar as mudanças feitas nele ao longo do tempo.

Criar uma postura

Conclua esta tarefa para criar um recurso de postura no Security Command Center que possa ser implantado. Se você criou uma postura com base em um modelo de postura predefinido usando o console do Google Cloud , o recurso de postura será criado automaticamente para você.

Console

  1. No console do Google Cloud , acesse a página Gerenciamento de postura.

    Acessar o Gerenciamento de Postura

  2. Selecione uma organização.

  3. Clique em Criar postura. É possível criar uma postura começando com uma postura ou um modelo atual ou usando as políticas aplicadas a um recurso.

    Criar uma postura usando uma postura ou um modelo atual

    1. Selecione Começar com uma postura ou modelo (navegação de posturas).
    2. Especifique detalhes da postura, como nome e descrição.
    3. Clique em Selecionar postura. É possível criar uma postura com base em uma postura atual ou em um modelo.
      • Selecione Postura para criar uma postura usando uma existente. Selecione uma postura na lista exibida e, em seguida, selecione uma ou mais revisões na lista de revisões disponíveis para a postura selecionada.
      • Selecione Modelo para criar uma postura usando um modelo e, em seguida, selecione um ou mais modelos na lista exibida.
    4. Clique em Salvar. Na seção Conjuntos de políticas, é possível ver a lista de conjuntos de políticas associados à postura selecionada.
    5. Selecione as políticas na lista de conjuntos de políticas. Também é possível editar a política e movê-la para um conjunto diferente nesta página. Não é possível criar uma postura com duas políticas com o mesmo nome no mesmo conjunto de políticas.
    6. Clique em Criar.

    Criar uma postura usando as políticas aplicadas em um recurso

    1. Selecione Começar com uma postura aplicada a um recurso (navegar pelos recursos).
    2. Especifique detalhes da postura, como nome e descrição.
    3. Clique em Selecionar recursos.
    4. Selecione um recurso na lista exibida e clique em Criar.

    Você será redirecionado para a página Detalhes da postura, que mostra informações sobre a postura que você criou. É possível ver os conjuntos de políticas associados a essa postura.

gcloud

  1. Execute o comando gcloud scc postures create para criar uma postura usando o arquivo posture.yaml.

    gcloud scc postures create POSTURE_NAME \
    --posture-from-file=POSTURE_FROM_FILE

    Substitua os seguintes valores:

    • POSTURE_NAME é o nome do recurso relativo da postura. Por exemplo, organizations/ORGANIZATION_ID/locations/global/postures/POSTURE_ID.

      • POSTURE_ID é um nome alfanumérico para sua postura que é exclusivo da sua organização. POSTURE_ID é limitado a 63 caracteres.

    Por exemplo, para criar uma postura com o ID posture-example-1 na organização organizations/3589215982, execute o seguinte:

    gcloud scc postures create \
    organizations/3589215982/locations/global/postures/posture-example-1 \
    --posture-from-file=posture.yaml

    Se o processo de criação da postura falhar, exclua a postura, resolva o erro e tente novamente.

  2. Para verificar se a postura foi criada, consulte Ver uma postura.

Para aplicar essa postura ao ambiente, é necessário implantar a postura.

Terraform

Se você criou uma configuração do Terraform para o recurso de postura, provisione-o usando o pipeline de infraestrutura como código.

Para mais informações, consulte Terraform no Google Cloud.

Implantar uma postura

Depois de criar uma postura, implante-a em um projeto, pasta ou organização para aplicar as políticas e as definições delas a recursos específicos na sua organização e monitorar desvios. Só é possível implantar uma postura em um projeto, uma pasta ou uma organização.

Verifique se o estado da postura é ACTIVE.

Quando você implanta a postura, as seguintes ações ocorrem:

  • As definições das políticas da organização e dos detectores da Análise de integridade da segurança são aplicadas.
  • Para cada política personalizada da organização definida na postura, uma nova restrição personalizada é criada. Isso é válido mesmo que você tenha criado a postura com base em um modelo ou em políticas extraídas e mantido essas políticas inalteradas. O ID da restrição inclui o ID da revisão da postura como um sufixo. Se todas as implantações da postura forem excluídas, o sufixo será substituído por um UUID aleatório.
  • Para cada detector personalizado da Análise de integridade da segurança definido na postura, uma nova restrição personalizada é criada. Isso é verdade mesmo que você tenha criado a postura com base em um modelo ou em políticas extraídas e mantido essas políticas inalteradas.

  • O estado padrão dos módulos personalizados é definido como Ativado.

Console

  1. No console do Google Cloud , acesse a página Gerenciamento de postura.

    Acessar o Gerenciamento de Postura

  2. Selecione uma organização.

  3. Na guia Posturas, clique na postura que você quer implantar.

  4. Na página Detalhes da postura, selecione a revisão da postura. A revisão de postura selecionada precisa estar no estado ativo.

  5. Clique em Aplicar aos recursos.

  6. Clique em Selecionar para escolher a organização, a pasta ou o projeto em que você quer implantar a postura.

  7. Clique em Aplicar postura.

gcloud

Execute o comando gcloud scc posture-deployments create para implantar uma postura em um projeto, uma pasta ou uma organização.

gcloud scc posture-deployments create POSTURE_DEPLOYMENT_NAME \
    --posture-name=POSTURE_NAME \
    --posture-revision-id=POSTURE_REVISION_ID \
    --target-resource=TARGET_RESOURCE

Substitua os seguintes valores:

  • POSTURE_DEPLOYMENT_NAME é o nome do recurso relativo para a implantação da postura. O formato é organizations/ORGANIZATION_ID/locations/global/postureDeployments/POSTURE_DEPLOYMENT_ID.

  • LOCATION é global.

  • POSTURE_ID é um nome alfanumérico para sua postura que é exclusivo da sua organização.

  • --posture-name=POSTURE_NAME é o nome da postura que você está implantando. O formato é organizations/ORGANIZATION_ID/locations/global/postures/POSTURE_ID.

Se a postura incluir um detector específico da AWS, será necessário implantar a postura no nível da organização (pré-lançamento).

Por exemplo, para implantar uma postura, execute o seguinte comando:

gcloud scc posture-deployments create \
  organizations/3589215982/locations/global/postureDeployments/postureDeployment123 \
  --posture-name=organizations/3589215982/locations/global/postures/StagingAIPosture \
  --posture-revision-id=version1 \
  --target-resource=projects/4589215982

É possível ver as informações de status conforme o comando é concluído. Se o processo de criação da implantação de postura falhar, exclua a implantação, resolva o erro e tente novamente.

Terraform

É possível criar um recurso do Terraform para implantar uma postura.

resource "google_securityposture_posture_deployment" "posture_deployment_example" {
  posture_deployment_id          = "<POSTURE_DEPLOYMENT_ID>"
  parent = "organizations/<ORGANIZATION_ID>"
  location = "global"
  description = "a new posture deployment"
  target_resource = "<TARGET_RESOURCE>"
  posture_id = "<POSTURE_NAME>"
  posture_revision_id = "<POSTURE_REVISION_ID>"
}

Para mais informações, consulte google_securityposture_posture_deployment.

Ver informações sobre postura e implantação de postura

É possível ver informações sobre a postura e a implantação da postura para conferir informações como as seguintes:

  • Quais posturas são implantadas e onde elas são aplicadas na hierarquia de recursos (organizações, projetos e pastas)
  • As revisões e o estado das posturas
  • Os detalhes operacionais de uma implantação de postura

Ver uma postura

É possível ver informações sobre uma postura, como o estado e as definições de política.

Console

  1. No console do Google Cloud , acesse a página Gerenciamento de postura.

    Acessar o Gerenciamento de Postura

  2. Selecione uma organização.

  3. Na guia Posturas, clique na postura que você quer visualizar. Os detalhes da postura são exibidos.

gcloud

Execute o comando gcloud scc postures describe para ver uma postura que você criou.

gcloud scc postures describe POSTURE_NAME \
    --revision-id=REVISION_ID

Substitua os seguintes valores:

  • POSTURE_NAME é o nome do recurso relativo da postura. Por exemplo, organizations/ORGANIZATION_ID/locations/global/postures/POSTURE_ID.

  • POSTURE_ID é um nome alfanumérico para sua postura que é exclusivo da sua organização.

  • revision-id=REVISION_ID é uma flag opcional que especifica qual versão da postura será visualizada. Se você não incluir a flag, a versão mais recente será retornada.

Por exemplo, para visualizar uma postura com o nome organizations/3589215982/locations/global/postures/posture-example-1 e o ID de revisão abcdefgh, execute o seguinte:

gcloud scc postures describe \
    organizations/3589215982/locations/global/postures/posture-example-1 \
    --revision-id=abcdefgh

Ver informações sobre uma operação de implantação de postura

Execute o comando gcloud scc posture-operations describe para ver os detalhes de uma operação de implantação de postura.

gcloud scc posture-operations describe OPERATION_NAME

Em que OPERATION_NAME é o nome do recurso relativo da operação. O formato é organizations/ORGANIZATION_ID/locations/global/operations/OPERATION_ID. É possível conseguir o OPERATION_ID usando o argumento --async ao executar o comando de postura.

Por exemplo, para visualizar uma operação de verificação com o nome organizations/3589215982/locations/global/operations/operation-1694515698847-605272e4bcd7c-f93dade6-067467ae, execute o seguinte:

gcloud scc posture-operations describe \
    organizations/3589215982/locations/global/operations/operation-1694515698847-605272e4bcd7c-f93dade6-067467ae

Ver informações sobre uma implantação de postura

É possível ver onde uma postura foi implantada, bem como o estado da implantação.

Console

  1. No console do Google Cloud , acesse a página Gerenciamento de postura.

    Acessar o Gerenciamento de Postura

  2. Selecione uma organização.

  3. Na guia Posturas, clique na postura que você implantou.

  4. Acesse a guia Recursos para conferir os projetos, as pastas e a organização em que a postura foi implantada, bem como o estado da implantação.

gcloud

Execute o comando gcloud scc posture-deployments describe para ver informações sobre uma postura implantada.

gcloud scc posture-deployments describe POSTURE_DEPLOYMENT_NAME

Em que POSTURE_DEPLOYMENT_NAME é o nome do recurso relativo para a implantação da postura. O formato é organizations/ORGANIZATION_ID/locations/global/postureDeployments/POSTURE_DEPLOYMENT_ID.

  • LOCATION é global.
  • POSTURE_DEPLOYMENT_ID é um nome exclusivo para a implantação da postura.

Por exemplo, para ver os detalhes de uma implantação de postura chamada organizations/3589215982/locations/global/postureDeployments/Posture-deployment-example-1, execute o seguinte:

gcloud scc posture-deployments describe \
    organizations/3589215982/locations/global/postureDeployments/Posture-deployment-example-1

Atualizar uma postura e uma implantação de postura

É possível atualizar o seguinte:

  • O estado da postura.
  • As definições de política em uma postura.
  • A organização, as pastas ou os projetos em que uma postura é implantada.

Atualizar as definições de política em uma postura

Talvez seja necessário atualizar uma postura ao ativar mais serviços do Google Cloud , implantar outros recursos ou exigir mais políticas para atender a requisitos de conformidade novos ou em mudança. Se você estiver atualizando uma revisão de postura implantada, essa tarefa vai criar uma nova revisão de postura. Caso contrário, a revisão de postura especificada ao executar o comando de atualização será atualizada.

  1. Abra um arquivo YAML em um editor de texto. Adicione os campos que você quer atualizar, com os respectivos valores. Se você estiver atualizando conjuntos de políticas, verifique se o arquivo inclui todos os conjuntos de políticas que você quer incluir na postura, incluindo os conjuntos de políticas que já existem. Para ver instruções, consulte Modificar um arquivo YAML de postura.

  2. Execute o comando gcloud scc postures update para atualizar a postura.

    gcloud scc postures update POSTURE_NAME \
    --posture-from-file=POSTURE_FROM_FILE \
    --revision-id=POSTURE_REVISION_ID \
    --update-mask=UPDATE_MASK

    Substitua os seguintes valores:

    • POSTURE_NAME é o nome do recurso relativo da postura. Por exemplo, organizations/ORGANIZATION_ID/locations/global/postures/POSTURE_ID.

      • POSTURE_ID é um nome alfanumérico para sua postura que é exclusivo da sua organização.

    • POSTURE_FROM_FILE é o caminho relativo ou absoluto para o arquivo posture.yaml que inclui as mudanças.

      • POSTURE_ID é um nome alfanumérico para sua postura que é exclusivo da sua organização.

    • POSTURE_FROM_FILE é o caminho relativo ou absoluto para o arquivo posture.yaml que inclui as mudanças.

    • --revision-id=REVISION_ID é a revisão de postura que você quer implantar. Se a postura já estiver implantada, o serviço de postura de segurança vai criar automaticamente uma nova versão da postura com um ID de revisão diferente e incluir o ID de revisão na saída.

    • --update-mask=UPDATE_MASK é a lista de campos que você quer atualizar, em formato separado por vírgulas. Esse argumento é opcional. É possível definir UPDATE_MASK como um dos seguintes valores:

      • * ou não especificado: aplique as mudanças feitas nos conjuntos de políticas e na descrição da postura.
      • policy_sets: aplica as mudanças que você fez apenas aos conjuntos de políticas.
      • description: aplique as mudanças feitas apenas na descrição da postura.
      • policy_sets, description: aplique as mudanças feitas nos conjuntos de políticas e na descrição da postura.
      • state: aplica apenas a mudança de estado.

    Por exemplo, para atualizar uma postura com o nome posture-example-1 na organização organizations/3589215982/locations/global e o ID da revisão definido como abcd1234, execute o seguinte:

    gcloud scc postures update \
    organizations/3589215982/locations/global/posture-example-1 \
    --posture-from-file=posture.yaml --revision-id=abcd1234 --update-mask=policy_sets

    Se o processo de atualização da postura falhar, resolva o erro e tente novamente.

  3. Para verificar se a postura foi atualizada, consulte Ver uma postura.

Mudar o estado de uma postura

O estado de uma postura determina se ela está disponível para implantação em um projeto, uma pasta ou uma organização.

Uma postura pode ter os seguintes estados:

  • DRAFT: a revisão da postura não está pronta para implantação. Não é possível implantar uma revisão de postura que esteja no estado DRAFT.
  • ACTIVE: a revisão da postura está disponível para implantação. É possível mudar o estado de ACTIVE para DRAFT ou DEPRECATED.

  • DEPRECATED: uma revisão de postura DEPRECATED não pode ser implantada em um recurso. É necessário excluir todas as implantações de postura atuais antes de descontinuar uma revisão de postura. Se você quiser reimplantar uma revisão de postura que foi descontinuada, mude o estado dela para ACTIVE.

Console

  1. No console do Google Cloud , acesse a página Gerenciamento de postura.

    Acessar o Gerenciamento de Postura

  2. Selecione uma organização.

  3. Na guia Posturas, clique na postura que você quer atualizar.

  4. Na página Detalhes da postura, clique em Editar.

  5. Selecione o status da postura e clique em Salvar.

gcloud

Para mudar o estado de uma postura, execute o comando gcloud scc postures update. Não é possível atualizar o estado da postura ao mesmo tempo que você atualiza outros campos. Para instruções sobre como executar o comando gcloud scc postures update, consulte Modificar um arquivo YAML de postura.

Atualizar uma implantação de postura

Atualize uma implantação de postura em um projeto, uma pasta ou uma organização para implantar uma nova postura ou uma nova revisão de uma postura.

Se a revisão de postura que você está atualizando incluir uma restrição de organização personalizada que foi excluída usando o console do Google Cloud , não será possível atualizar a implantação de postura usando o mesmo ID de postura. O Serviço de Políticas da Organização impede a criação de restrições personalizadas da organização com o mesmo nome. Em vez disso, crie uma nova versão da postura ou use um ID de postura diferente.

Além disso, as descobertas das implantações de políticas excluídas como parte do processo de atualização serão desativadas.

Console

  1. No console do Google Cloud , acesse a página Gerenciamento de postura.

    Acessar o Gerenciamento de Postura

  2. Selecione uma organização.

  3. Na guia Posturas, clique na postura que você quer atualizar.

  4. Na página Detalhes da postura, selecione a revisão da postura.

  5. Clique em Aplicar aos recursos.

  6. Clique em Selecionar para escolher a organização, a pasta ou o projeto em que você quer implantar a postura. Se você receber uma mensagem informando que a implantação já existe, exclua a implantação antes de tentar novamente.

gcloud

Execute o comando gcloud scc posture-deployments update para implantar uma postura.

gcloud scc posture-deployments update POSTURE_DEPLOYMENT_NAME \
    --description=DESCRIPTION \
    --update-mask=UPDATE_MASK \
    --posture-id=POSTURE_ID \
    --posture-revision-id=POSTURE_REVISION_ID

Substitua os seguintes valores:

  • POSTURE_DEPLOYMENT_NAME é o nome do recurso relativo para a implantação da postura. O formato é organizations/ORGANIZATION_ID/locations/global/postureDeployments/POSTURE_DEPLOYMENT_ID.

    • POSTURE_DEPLOYMENT_ID é um nome exclusivo para a implantação da postura.

  • --description=DESCRIPTION é a descrição opcional da postura implantada.

  • --posture-id=POSTURE_ID é o nome da postura, que é exclusivo da organização. O formato é organizations/ORGANIZATION_ID/locations/global/postures/POSTURE_NAME.

  • --posture-revision-id=POSTURE_REVISION_ID é a revisão de postura que você quer implantar. É possível encontrá-lo na resposta que você recebe ao criar a postura ou visualizar a postura.

  • --update-mask=UPDATE_MASK é a lista de campos que você quer atualizar, em formato separado por vírgulas. Esse argumento é opcional.

Por exemplo, para atualizar uma implantação de postura com os seguintes critérios:

  • Organização: organizations/3589215982/locations/global
  • ID de implantação da postura: postureDeploymentexample
  • ID da postura: StagingAIPosture
  • Revisão: version2

Execute este comando:

gcloud scc posture-deployments update \
    organizations/3589215982/locations/global/postureDeployments/postureDeploymentexample \
    --posture-id=organizations/3589215982/locations/global/postures/StagingAIPosture \
    --posture-revision-id=version2

É possível ver as informações de status conforme o comando é concluído. Se o processo de atualização da implantação da postura falhar, exclua a implantação, resolva o erro e tente novamente.

Monitorar o desvio de postura

É possível monitorar uma postura implantada para detectar desvios das políticas definidas na postura de segurança. O desvio é uma mudança em uma política que ocorre fora de uma postura. Por exemplo, o desvio ocorre quando um administrador altera uma definição de política no console em vez de atualizar a implantação da postura.

O serviço de postura de segurança cria descobertas que podem ser visualizadas no console do Google Cloud ou na CLI gcloud sempre que ocorre um desvio.

Console

Para todas as posturas, é possível monitorar o desvio usando a página Descobertas.

  1. No console do Google Cloud , acesse a página Descobertas.

    Acessar o Gerenciamento de Postura

  2. Selecione uma organização.

  3. Use as seguintes opções de filtro para investigar as descobertas de postura:

    • No painel Filtros rápidos, selecione a descoberta Violação de postura. Você também pode inserir o seguinte filtro em Visualização da consulta:

      state="ACTIVE" AND NOT mute="MUTED" AND finding_class="POSTURE_VIOLATION"

    • Para ver as descobertas relacionadas a qualquer módulo personalizado da Análise de integridade da segurança que se aplique especificamente às cargas de trabalho da Gemini Enterprise Agent Platform, execute a seguinte consulta de filtro:

      state="ACTIVE" AND NOT mute="MUTED" AND resource.type:"aiplatform"

    • Para ver as descobertas relacionadas ao desvio das políticas da organização da Gemini Enterprise Agent Platform que você aplicou em uma postura, execute a seguinte consulta de filtro:

        state="ACTIVE" AND NOT mute="MUTED" AND
  (category="SECURITY_POSTURE_POLICY_DRIFT" OR
  category="SECURITY_POSTURE_POLICY_DELETE" OR
  category="SECURITY_POSTURE_DETECTOR_DRIFT" OR
  category="SECURITY_POSTURE_DETECTOR_DELETE")
  AND contains(risks, risk_category = "AI_WORKLOAD_AT_RISK")

  4. Para ver os detalhes de uma descoberta, clique nela.

gcloud

Na CLI gcloud, para ver as descobertas de desvio, execute o seguinte:

gcloud scc findings list ORGANIZATION_ID \
    --filter="category=\"SECURITY_POSTURE_DRIFT\""

Em que ORGANIZATION_ID é o ID da organização.

É possível exportar essas descobertas da mesma forma que você exporta outras descobertas do Security Command Center. Para mais informações, consulte Como exportar dados do Security Command Center.

Corrigir descobertas de postura

Para saber como resolver cada descoberta, consulte Descobertas do serviço de postura de segurança. Também é possível atualizar a implantação da postura com o mesmo ID e revisão de postura.

Gerar uma descoberta de desvio para fins de teste

Depois de implantar uma postura, é possível monitorar desvios das suas políticas. Para ver as descobertas de desvio em ação em um ambiente de teste, faça o seguinte:

  1. No console, acesse a página Política da organização.

    Acessar a política da organização

  2. Selecione uma organização.

  3. Edite uma das políticas que você definiu na postura implantada. Por exemplo, se você usar uma postura de IA segura predefinida, poderá editar a política Restringir o acesso de IP público em novas instâncias e notebooks do Vertex AI Workbench.

  4. Depois de mudar a política, clique em Definir política.

  5. Acesse a página Descobertas.

    Acessar descobertas

  6. Selecione uma organização.

  7. No painel Filtros rápidos, na seção Nome de exibição da origem, selecione Postura de segurança. Uma descoberta relacionada à mudança vai aparecer em até cinco minutos.

  8. Para ver os detalhes da descoberta, clique nela.

Excluir uma implantação de postura

É possível excluir uma implantação de postura se ela não tiver sido implantada corretamente, se você não precisar mais de uma postura específica ou se não quiser mais que uma postura específica seja atribuída a um projeto, uma pasta ou uma organização. Para excluir uma implantação de postura, ela precisa estar em um dos seguintes estados:

  • ACTIVE
  • CREATE_FAILED
  • UPDATE_FAILED
  • DELETE_FAILED

Para verificar o estado de uma implantação de postura, consulte Ver informações sobre uma implantação de postura.

Ao excluir uma implantação de postura, você remove a postura do recurso (sua organização, pasta ou projeto) a que ela foi atribuída. Além disso, ele desativa as descobertas associadas.

A saída para diferentes tipos de políticas é a seguinte:

  • Quando você exclui uma implantação de postura que inclui políticas personalizadas da organização, essas políticas da organização são excluídas. No entanto, a restrição personalizada continua existindo.

  • Quando você exclui uma implantação de postura que inclui detectores integrados da Análise de integridade da segurança, o estado final dos módulos da Análise de integridade da segurança depende da organização, da pasta ou do projeto em que a implantação existia.

    • Se você implantou uma postura em uma pasta ou projeto, os detectores integrados da Análise de integridade da segurança herdam o estado da organização ou pasta pai.
    • Se você implantou uma postura no nível da organização, os detectores integrados da Análise de integridade da segurança vão voltar ao estado padrão. Para uma descrição dos estados padrão, consulte Ativar e desativar detectores.

Console

  1. No console do Google Cloud , acesse a página Gerenciamento de postura.

    Acessar o Gerenciamento de Postura

  2. Selecione uma organização.

  3. Na guia Posturas, clique na postura que você quer remover do recurso ao qual ela está atribuída.

  4. Na página Detalhes da postura, selecione a revisão da postura e acesse Recursos.

  5. Na lista de recursos em que a revisão da postura ativa atual está implantada, clique em Remover.

gcloud

Execute o comando gcloud scc posture-deployments delete para excluir uma implantação de postura.

gcloud scc posture-deployments delete POSTURE_DEPLOYMENT_NAME

POSTURE_DEPLOYMENT_NAME é o nome do recurso relativo para a implantação da postura. O formato é organizations/ORGANIZATION_ID/locations/global/postureDeployments/POSTURE_DEPLOYMENT_ID.

  • POSTURE_DEPLOYMENT_ID é o nome exclusivo da implantação da postura.

Por exemplo, para excluir uma implantação de postura chamada organizations/3589215982/locations/global/postureDeployments/posture-deployment-example-1, execute o seguinte:

gcloud scc posture-deployments delete \
    organizations/3589215982/locations/global/postureDeployments/posture-deployment-example-1

Excluir uma postura

Quando você exclui uma postura, todas as revisões também são excluídas. Não é possível excluir uma postura se alguma das revisões dela estiver implantada. É necessário excluir todas as implantações de postura antes de concluir essa tarefa.

Console

  1. No console do Google Cloud , acesse a página Gerenciamento de postura.

    Acessar o Gerenciamento de Postura

  2. Selecione uma organização.

  3. Na guia Posturas, clique na postura que você quer excluir.

  4. Na página Detalhes da postura, clique em Excluir.

gcloud

Execute o comando gcloud scc postures delete para excluir uma postura.

 gcloud scc postures delete POSTURE_NAME

POSTURE_NAME é o nome do recurso relativo da postura.

Por exemplo, organizations/ORGANIZATION_ID/locations/global/postures/POSTURE_ID O ID da postura é um nome alfanumérico para sua postura que é exclusivo da sua organização.

Por exemplo, para excluir uma postura chamada organizations/3589215982/locations/global/postures/posture-example-1, execute o seguinte:

 gcloud scc postures delete \
     organizations/3589215982/locations/global/postures/posture-example-1

A seguir