תבנית מוגדרת מראש של מצב אבטחה מאובטח כברירת מחדל, מורחבת

רמות השירות Premium ו-Enterprise (הוצאה משימוש) (נדרשת הפעלה ברמת הארגון)

רמת השירות Security Command Center Enterprise תושבת ב-21 במאי 2027. אם הארגון שלכם משתמש ברמת השירות Enterprise, הוא יעבור אוטומטית לרמת השירות Premium ב-21 במאי 2027 או אחרי התאריך הזה. בכל שאלה, אפשר לפנות לאיש הקשר האחראי לחשבון או לGoogle Cloud מומחה מכירות.

תבנית מצב האבטחה המוגדרת מראש בגרסה 1.0, שמתעדפת אבטחה כברירת מחדל, מאפשרת להגדיר מצב אבטחה. ההגדרה הזו עוזרת להגן על משאבי Google Cloudמפני הגדרות שגויות נפוצות והגדרות ברירת מחדל שעלולות להיות לא מאובטחות.

לפני שפורסים את התבנית, צריך להתאים אישית חלק מהכללי המדיניות שלה כדי שיחולו על הסביבה שלכם.

מגבלות שקשורות למדיניות הארגון

בטבלה הבאה מתוארים האילוצים של מדיניות הארגון שכלולים בתבנית הזו של מצב האבטחה.

מדיניות	תיאור	תקני תאימות
iam.disableServiceAccountKeyCreation	האילוץ הזה מונע ממשתמשים ליצור מפתחות קבועים לחשבונות שירות, כדי לצמצם את הסיכון לחשיפת פרטי כניסה לחשבון של חשבונות השירות. הערך הוא true כדי להשבית את היצירה של מפתחות לחשבון שירות.	בקרת NIST SP 800-53: ‏ AC-2
iam.automaticIamGrantsForDefaultServiceAccounts	האילוץ הזה מונע מחשבונות שירות שמוגדרים כברירת מחדל לקבל את התפקיד "עריכה" בניהול זהויות והרשאות גישה (IAM) בזמן היצירה, שכולל הרשאות רבות מדי. הערך הוא true כדי להשבית את ההקצאות האוטומטיות של IAM בחשבונות שירות שמוגדרים כברירת מחדל.	בקרת NIST SP 800-53: ‏ AC-3
iam.disableServiceAccountKeyUpload	האילוץ הזה מונע את הסיכון של דליפת חומר מפתח מותאם אישית ושימוש חוזר בו במפתחות של חשבונות שירות. הערך הוא true כדי להשבית את האפשרות להעלות מפתחות של חשבונות שירות.	בקרת NIST SP 800-53: ‏ AC-6
storage.publicAccessPrevention	המדיניות הזו מונעת פתיחה של קטגוריות של Cloud Storage לגישה ציבורית ללא אימות. הערך הוא true כדי למנוע גישה ציבורית לקטגוריות.	בקרת NIST SP 800-53: ‏ AC-3 ו-AC-6
iam.allowedPolicyMemberDomains	המדיניות הזו מגבילה את כללי מדיניות ה-IAM, כך שרק זהויות של משתמשים מנוהלים בדומיינים שנבחרו יוכלו לגשת למשאבים בארגון הזה. הערך הוא directoryCustomerId כדי להגביל את השיתוף בין דומיינים.	אמצעי בקרה של NIST SP 800-53: ‏ AC-3,‏ AC-6 ו-IA-2
essentialcontacts.allowedContactDomains	המדיניות הזו מגבילה את אנשי הקשר החיוניים, כך שרק זהויות של משתמשים מנוהלים בדומיינים נבחרים יוכלו לקבל התראות מהפלטפורמה. הערך הוא @google.com. צריך לשנות את הערך כך שיתאים לדומיין שלכם.	אמצעי בקרה של NIST SP 800-53: ‏ AC-3,‏ AC-6 ו-IA-2
storage.uniformBucketLevelAccess	המדיניות הזו מונעת מקטגוריות של Cloud Storage להשתמש ברשימת ACL לכל אובייקט (מערכת נפרדת ממדיניות IAM) כדי לספק גישה, וכך אוכפת עקביות בניהול הרשאות גישה ובביקורת. הערך הוא true כדי לאכוף הרשאות גישה מאוחדות ברמת הקטגוריה.	בקרת NIST SP 800-53: ‏ AC-3 ו-AC-6
compute.requireOsLogin	המדיניות הזו מחייבת כניסה למערכת ההפעלה במכונות וירטואליות חדשות שנוצרו, כדי לנהל בקלות רבה יותר את מפתחות ה-SSH, לספק הרשאה ברמת המשאב באמצעות מדיניות IAM ולתעד את הגישה של המשתמשים. הערך הוא true כדי לדרוש התחברות באמצעות OS Login.	בקרת NIST SP 800-53: ‏ AC-3 ו-AU-12
compute.disableSerialPortAccess	המדיניות הזו מונעת מהמשתמשים לגשת ליציאה הטורית של ה-VM, שיכולה לשמש לגישה דרך דלת אחורית ממישור הבקרה של Compute Engine API. הערך הוא true כדי להשבית את הגישה ליציאה הטורית של ה-VM.	בקרת NIST SP 800-53: ‏ AC-3 ו-AC-6
compute.restrictXpnProjectLienRemoval	המדיניות הזו מונעת מחיקה בטעות של פרויקטים מארחים ב-VPC משותף, על ידי הגבלת ההסרה של מנעולים למניעת מחיקה של פרויקטים. הערך הוא true כדי להגביל את הסרת מנעול למניעת מחיקה של פרויקט VPC משותף.	בקרת NIST SP 800-53: ‏ AC-3 ו-AC-6
compute.vmExternalIpAccess	המדיניות הזו מונעת יצירה של מכונות Compute Engine עם כתובת IP ציבורית, שעלולה לחשוף אותן לתעבורת נתונים נכנסת ויוצאת מהאינטרנט. הערך הוא denyAll כדי להשבית את כל הגישה מכתובות IP ציבוריות.	בקרת NIST SP 800-53: ‏ AC-3 ו-AC-6
compute.skipDefaultNetworkCreation	המדיניות הזו משביתה את היצירה האוטומטית של רשת VPC שמוגדרת כברירת מחדל ושל כללי חומת אש שמוגדרים כברירת מחדל בכל פרויקט חדש, כדי לוודא שרשתות וכללי חומת אש נוצרים באופן מכוון. הערך הוא true כדי למנוע יצירה של רשת ה-VPC שמוגדרת כברירת מחדל.	בקרת NIST SP 800-53: ‏ AC-3 ו-AC-6
compute.setNewProjectDefaultToZonalDNSOnly	המדיניות הזו מגבילה את מפתחי האפליקציות, כך שהם לא יכולים לבחור הגדרות DNS מדור קודם למכונות של Compute Engine, שהשירות שלהן פחות אמין מהגדרות DNS מודרניות. הערך הוא Zonal DNS only לפרויקטים חדשים.	בקרת NIST SP 800-53: ‏ AC-3 ו-AC-6
sql.restrictPublicIp	המדיניות הזו מונעת יצירה של מכונות Cloud SQL עם כתובות IP ציבוריות, שעלולות לחשוף אותן לתעבורת נתונים נכנסת ויוצאת באינטרנט. הערך הוא true כדי להגביל את הגישה למכונות Cloud SQL באמצעות כתובות IP ציבוריות.	בקרת NIST SP 800-53: ‏ AC-3 ו-AC-6
sql.restrictAuthorizedNetworks	המדיניות הזו מונעת מטווחים של רשתות ציבוריות או רשתות שאינן RFC 1918 לגשת למסדי נתונים של Cloud SQL. הערך הוא true כדי להגביל רשתות מורשות במכונות של Cloud SQL.	בקרת NIST SP 800-53: ‏ AC-3 ו-AC-6
compute.restrictProtocolForwardingCreationForTypes	המדיניות הזו מאפשרת העברת פרוטוקולים של מכונות וירטואליות רק לכתובות IP פנימיות. הערך הוא INTERNAL כדי להגביל את העברת הפרוטוקול על סמך סוג כתובת ה-IP.	בקרת NIST SP 800-53: ‏ AC-3 ו-AC-6
compute.disableVpcExternalIpv6	המדיניות הזו מונעת יצירה של רשתות משנה חיצוניות של IPv6, שיכולות להיות חשופות לתעבורת נתונים נכנסת ויוצאת באינטרנט. הערך הוא true כדי להשבית רשתות משנה חיצוניות של IPv6.	בקרת NIST SP 800-53: ‏ AC-3 ו-AC-6
compute.disableNestedVirtualization	המדיניות הזו משביתה וירטואליזציה בתצורה מקוננת כדי להפחית את סיכון האבטחה שנובע ממכונות מקוננות שלא נמצאות במעקב. הערך הוא true כדי להשבית את הווירטואליזציה המקוננת של המכונה הווירטואלית.	בקרת NIST SP 800-53: ‏ AC-3 ו-AC-6

הצגת התבנית של מצב האבטחה

כדי לראות את תבנית מצב האבטחה של "מתעדף אבטחה כברירת מחדל, מורחב":

gcloud

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

• ‫ORGANIZATION_ID: המזהה המספרי של הארגון.

מריצים את הפקודה gcloud scc posture-templates describe:

‫Linux,‏ macOS או Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

‏Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

Windows‏ (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

התשובה מכילה את התבנית של מצב האבטחה.

REST

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

• ‫ORGANIZATION_ID: המזהה המספרי של הארגון.

ה-method של ה-HTTP וכתובת ה-URL:

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

‫Curl (Linux,‏ macOS או Cloud Shell)

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login, או באמצעות Cloud Shell שמחבר אתכם אוטומטית ל-CLI של gcloud. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

מריצים את הפקודה הבאה:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended"

‎PowerShell (Windows)

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

מריצים את הפקודה הבאה:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended" | Select-Object -Expand Content

התשובה מכילה את התבנית של מצב האבטחה.

המאמרים הבאים

• יצירת מצב אבטחה באמצעות תבנית של מצב אבטחה מוגדרת מראש.