Vordefinierte Vorlage für den Sicherheitsstatus „Standardmäßig sicher“, erweitert

Dienststufen für Premium und Enterprise (eingestellt) (erfordert Aktivierung auf Organisationsebene)

Die Dienststufe Security Command Center Enterprise wird am 21. Mai 2027 eingestellt. Wenn Ihre Organisation die Enterprise-Dienststufe verwendet, wird sie am oder nach dem 21. Mai 2027 automatisch auf die Premium-Dienststufe umgestellt. Wenden Sie sich bei Fragen an Ihren Kundenbetreuer oder einen Google Cloud -Vertriebsspezialisten.

Mit der vordefinierten Sicherheitsstatusvorlage „Standardmäßig sicher, erweitert“ (v1.0) können Sie einen Sicherheitsstatus konfigurieren. Diese Konfiguration trägt dazu bei, Google Cloud-Ressourcen vor häufigen Fehlkonfigurationen und potenziell unsicheren Standardeinstellungen zu schützen.

Bevor Sie diese Vorlage bereitstellen, müssen Sie einige ihrer Richtlinien an Ihre Umgebung anpassen.

Einschränkungen für Organisationsrichtlinien

In der folgenden Tabelle werden die Einschränkungen für Organisationsrichtlinien beschrieben, die in dieser Statusvorlage enthalten sind.

Richtlinie	Beschreibung	Compliancestandards
iam.disableServiceAccountKeyCreation	Diese Einschränkung verhindert, dass Nutzer nichtflüchtige Schlüssel für Dienstkonten erstellen, um das Risiko offengelegter Dienstkonto-Anmeldedaten zu verringern. Der Wert ist true, um das Erstellen von Dienstkontoschlüsseln zu deaktivieren.	NIST SP 800-53-Kontrolle: AC-2
iam.automaticIamGrantsForDefaultServiceAccounts	Diese Einschränkung verhindert, dass Standarddienstkonten beim Erstellen die IAM-Rolle (Identity and Access Management) „Editor“ erhalten, die übermäßige Berechtigungen gewährt. Der Wert ist true, um automatische IAM-Zuweisungen für Standarddienstkonten zu deaktivieren.	NIST SP 800-53-Kontrolle: AC-3
iam.disableServiceAccountKeyUpload	Durch diese Einschränkung wird das Risiko vermieden, dass benutzerdefiniertes Schlüsselmaterial in Dienstkontoschlüsseln gehackt und wiederverwendet wird. Der Wert ist true, um das Hochladen von Dienstkontoschlüsseln zu deaktivieren.	NIST SP 800-53-Kontrolle: AC-6
storage.publicAccessPrevention	Diese Richtlinie verhindert, dass Cloud Storage-Buckets für den nicht authentifizierten öffentlichen Zugriff geöffnet werden. Der Wert ist true, um den öffentlichen Zugriff auf Buckets zu verhindern.	NIST SP 800-53-Kontrolle: AC-3 und AC-6
iam.allowedPolicyMemberDomains	Durch diese Richtlinie werden IAM-Richtlinien so eingeschränkt, dass nur verwaltete Nutzeridentitäten in ausgewählten Domains auf Ressourcen in dieser Organisation zugreifen können. Der Wert ist directoryCustomerId, um die Freigabe zwischen Domains einzuschränken.	NIST SP 800-53-Kontrolle: AC-3, AC-6 und IA-2
essentialcontacts.allowedContactDomains	Durch diese Richtlinie wird „Wichtige Kontakte“ so eingeschränkt, dass nur verwaltete Nutzeridentitäten in ausgewählten Domains Plattformbenachrichtigungen erhalten. Der Wert ist @google.com. Sie müssen den Wert so ändern, dass er Ihrer Domain entspricht.	NIST SP 800-53-Kontrolle: AC-3, AC-6 und IA-2
storage.uniformBucketLevelAccess	Diese Richtlinie verhindert, dass Cloud Storage-Buckets objektbezogene ACLs (ein von IAM-Richtlinien separates System) für den Zugriff verwenden. Dadurch wird die Konsistenz bei der Zugriffsverwaltung und -prüfung erzwungen. Der Wert ist true, um den einheitlichen Zugriff auf Bucket-Ebene zu erzwingen.	NIST SP 800-53-Kontrolle: AC-3 und AC-6
compute.requireOsLogin	Diese Richtlinie erfordert OS Login auf neu erstellten VMs, um SSH-Schlüssel einfacher zu verwalten, Berechtigungen auf Ressourcenebene mit IAM-Richtlinien bereitzustellen und Nutzerzugriffe zu protokollieren. Der Wert ist true, um OS Login zu erzwingen.	NIST SP 800-53-Kontrolle: AC-3 und AU-12
compute.disableSerialPortAccess	Diese Richtlinie verhindert, dass Nutzer auf den seriellen Port der VM zugreifen, der für den Backdoor-Zugriff über die Steuerungsebene der Compute Engine API verwendet werden kann. Der Wert ist true, um den Zugriff auf serielle Ports der VM zu deaktivieren.	NIST SP 800-53-Kontrolle: AC-3 und AC-6
compute.restrictXpnProjectLienRemoval	Diese Richtlinie verhindert das versehentliche Löschen von Hostprojekten für freigegebene VPC, indem das Entfernen von Projektsperren eingeschränkt wird. Der Wert ist true, um das Entfernen von Sperren freigegebene VPC-Projekte einzuschränken.	NIST SP 800-53-Kontrolle: AC-3 und AC-6
compute.vmExternalIpAccess	Diese Richtlinie verhindert das Erstellen von Compute Engine-Instanzen mit einer öffentlichen IP-Adresse, die sie für eingehenden und ausgehenden Internettraffic zugänglich machen kann. Der Wert ist denyAll, um den gesamten Zugriff von öffentlichen IP-Adressen zu deaktivieren.	NIST SP 800-53-Kontrolle: AC-3 und AC-6
compute.skipDefaultNetworkCreation	Mit dieser Richtlinie wird die automatische Erstellung eines Standard-VPC-Netzwerk und von Standardfirewallregeln in jedem neuen Projekt deaktiviert. So wird sichergestellt, dass Netzwerk- und Firewallregeln bewusst erstellt werden. Der Wert ist true, um das Erstellen des Standard-VPC-Netzwerk zu vermeiden.	NIST SP 800-53-Kontrolle: AC-3 und AC-6
compute.setNewProjectDefaultToZonalDNSOnly	Diese Richtlinie verhindert, dass Anwendungsentwickler Legacy-DNS-Einstellungen für Compute Engine-Instanzen auswählen, die eine geringere Dienstzuverlässigkeit als moderne DNS-Einstellungen haben. Der Wert ist Zonal DNS only für neue Projekte.	NIST SP 800-53-Kontrolle: AC-3 und AC-6
sql.restrictPublicIp	Diese Richtlinie verhindert das Erstellen von Cloud SQL-Instanzen mit öffentlichen IP-Adressen, die sie für eingehenden und ausgehenden Internettraffic zugänglich machen können. Der Wert ist true, um den Zugriff auf Cloud SQL-Instanzen über öffentliche IP-Adressen einzuschränken.	NIST SP 800-53-Kontrolle: AC-3 und AC-6
sql.restrictAuthorizedNetworks	Diese Richtlinie verhindert den Zugriff auf Cloud SQL-Datenbanken aus öffentlichen oder nicht RFC 1918-konformen Netzwerkbereichen. Der Wert ist true, um autorisierte Netzwerke auf Cloud SQL-Instanzen einzuschränken.	NIST SP 800-53-Kontrolle: AC-3 und AC-6
compute.restrictProtocolForwardingCreationForTypes	Diese Richtlinie lässt die VM-Protokollweiterleitung nur für interne IP-Adressen zu. Der Wert ist INTERNAL, um die Protokollweiterleitung basierend auf dem Typ der IP-Adresse einzuschränken.	NIST SP 800-53-Kontrolle: AC-3 und AC-6
compute.disableVpcExternalIpv6	Diese Richtlinie verhindert das Erstellen externer IPv6-Subnetze, die eingehendem und ausgehendem Internettraffic ausgesetzt sein können. Der Wert ist true, um externe IPv6-Subnetze zu deaktivieren.	NIST SP 800-53-Kontrolle: AC-3 und AC-6
compute.disableNestedVirtualization	Mit dieser Richtlinie wird die verschachtelte Virtualisierung deaktiviert, um das Sicherheitsrisiko durch nicht überwachte verschachtelte Instanzen zu verringern. Der Wert ist true, um die verschachtelte Virtualisierung von VMs zu deaktivieren.	NIST SP 800-53-Kontrolle: AC-3 und AC-6

Sicherheitsstatusvorlage ansehen

So rufen Sie die Sicherheitsstatusvorlage für „Standardmäßig sicher, erweitert“ auf:

gcloud

Ersetzen Sie folgende Werte, bevor sie einen der Befehlsdaten verwenden:

• ORGANIZATION_ID: die numerische ID der Organisation.

Führen Sie den Befehl gcloud scc posture-templates describe aus:

Linux, macOS oder Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

Windows (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

Die Antwort enthält die Sicherheitsstatusvorlage.

REST

Ersetzen Sie diese Werte in den folgenden Anfragedaten:

• ORGANIZATION_ID: die numerische ID der Organisation.

HTTP-Methode und URL:

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:

curl (Linux, macOS oder Cloud Shell)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud-Befehlszeile angemeldet haben, indem Sie gcloud init oder gcloud auth login ausgeführt oder die Cloud Shell genutzt haben, die Sie automatisch in der gcloud-Befehlszeile anmeldet. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Führen Sie folgenden Befehl aus:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended"

PowerShell (Windows)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud-Befehlszeile angemeldet haben, indem Sie gcloud init oder gcloud auth login ausgeführt haben. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Führen Sie diesen Befehl aus:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended" | Select-Object -Expand Content

Die Antwort enthält die Sicherheitsstatusvorlage.

Nächste Schritte

• Sicherheitsstatus mit dieser vordefinierten Sicherheitsstatusvorlage erstellen