Modello di postura predefinito per la sicurezza per impostazione predefinita, esteso

Livelli di servizio Premium ed Enterprise (deprecati) (richiede l'attivazione a livello di organizzazione)

Il livello di servizio Security Command Center Enterprise verrà disattivato il 21 maggio 2027. Se la tua organizzazione utilizza il livello di servizio Enterprise, passerà automaticamente al livello di servizio Premium a partire dal 21 maggio 2027. In caso di domande, contatta il tuo rappresentante dell'account o uno specialista di vendita diGoogle Cloud .

Il template di posture predefinito v1.0 per la sicurezza di default estesa consente di configurare una security posture. Questa configurazione aiuta a proteggere le risorse Google Cloud da configurazioni errate comuni e impostazioni predefinite potenzialmente non sicure.

Prima di eseguire il deployment di questo template, devi personalizzare alcune delle sue policy in modo che si applichino al tuo ambiente.

Vincoli delle policy dell'organizzazione

La tabella seguente descrive i vincoli delle policy dell'organizzazione inclusi in questo template di postura.

Policy	Descrizione	Standard di conformità
iam.disableServiceAccountKeyCreation	Questo vincolo impedisce agli utenti di creare chiavi permanenti per i service account per ridurre il rischio di esposizione delle credenziali dell'account di servizio. Il valore è true per disattivare la creazione di chiavi dei account di servizio.	Controllo NIST SP 800-53: AC-2
iam.automaticIamGrantsForDefaultServiceAccounts	Questo vincolo impedisce ai service account predefiniti di ricevere il ruolo IAM (Identity and Access Management) Editor eccessivamente permissivo al momento della creazione. Il valore è true per disabilitare le concessioni IAM automatiche per i service account predefiniti.	Controllo NIST SP 800-53: AC-3
iam.disableServiceAccountKeyUpload	Questo vincolo evita il rischio di perdita e riutilizzo di materiale delle chiavi personalizzate nelle chiavi dei account di servizio. Il valore è true per disabilitare i caricamenti delle chiavi account di servizio.	Controllo NIST SP 800-53: AC-6
storage.publicAccessPrevention	Questa policy impedisce l'accesso pubblico non autenticato ai bucket Cloud Storage. Il valore è true per impedire l'accesso pubblico ai bucket.	Controllo NIST SP 800-53: AC-3 e AC-6
iam.allowedPolicyMemberDomains	Questa policy limita le policy IAM in modo da consentire solo alle identità utente gestite nei domini selezionati di accedere alle risorse all'interno di questa organizzazione. Il valore è directoryCustomerId per limitare la condivisione tra domini.	Controllo NIST SP 800-53: AC-3, AC-6 e IA-2
essentialcontacts.allowedContactDomains	Questa policy limita i contatti necessari per consentire solo alle identità degli utenti gestiti all'interno dei domini selezionati di ricevere notifiche della piattaforma. Il valore è @google.com. Devi modificare il valore in modo che corrisponda al tuo dominio.	Controllo NIST SP 800-53: AC-3, AC-6 e IA-2
storage.uniformBucketLevelAccess	Questa policy impedisce ai bucket Cloud Storage di utilizzare l'ACL per oggetto (un sistema separato dalle policy IAM) per fornire l'accesso, garantendo la coerenza per la gestione degli accessi e l'audit. Il valore è true per applicare l'accesso uniforme a livello di bucket.	Controllo NIST SP 800-53: AC-3 e AC-6
compute.requireOsLogin	Questa policy richiede OS Login sulle VM appena create per gestire più facilmente le chiavi SSH, fornire autorizzazioni a livello di risorsa con le policy IAM e registrare l'accesso degli utenti. Il valore è true per richiedere OS Login.	Controllo NIST SP 800-53: AC-3 e AU-12
compute.disableSerialPortAccess	Questa policy impedisce agli utenti di accedere alla porta seriale della VM, che può essere utilizzata per l'accesso backdoor dal control plane dell'API Compute Engine. Il valore è true per disattivare l'accesso alla porta seriale della VM.	Controllo NIST SP 800-53: AC-3 e AC-6
compute.restrictXpnProjectLienRemoval	Questa policy impedisce l'eliminazione accidentale dei progetti host del VPC condiviso limitando la rimozione dei blocchi dei progetti. Il valore è true per limitare la rimozione dei blocchi sul progetto del VPC condiviso.	Controllo NIST SP 800-53: AC-3 e AC-6
compute.vmExternalIpAccess	Questa policy impedisce la creazione di istanze Compute Engine con un indirizzo IP pubblico, con conseguente rischio di esposizione al traffico internet in entrata e in uscita. Il valore è denyAll per disattivare tutti gli accessi da indirizzi IP pubblici.	Controllo NIST SP 800-53: AC-3 e AC-6
compute.skipDefaultNetworkCreation	Questa policy disattiva la creazione automatica di una rete VPC predefinita e di regole firewall predefinite in ogni nuovo progetto, garantendo che le reti e le regole firewall vengano create intenzionalmente. Il valore è true per evitare di creare la rete VPC predefinita.	Controllo NIST SP 800-53: AC-3 e AC-6
compute.setNewProjectDefaultToZonalDNSOnly	Questa policy impedisce agli sviluppatori di applicazioni di scegliere impostazioni DNS legacy per le istanze di Compute Engine che hanno un'affidabilità del servizio inferiore rispetto alle impostazioni DNS moderne. Il valore è Zonal DNS only per i nuovi progetti.	Controllo NIST SP 800-53: AC-3 e AC-6
sql.restrictPublicIp	Questa policy impedisce la creazione di istanze Cloud SQL con indirizzi IP pubblici, che possono esporle al traffico internet in entrata e in uscita. Il valore è true per limitare l'accesso alle istanze Cloud SQL in base agli indirizzi IP pubblici.	Controllo NIST SP 800-53: AC-3 e AC-6
sql.restrictAuthorizedNetworks	Questa policy impedisce agli intervalli di reti pubbliche o non RFC 1918 di accedere ai database Cloud SQL. Il valore è true per limitare le reti autorizzate nelle istanze Cloud SQL.	Controllo NIST SP 800-53: AC-3 e AC-6
compute.restrictProtocolForwardingCreationForTypes	Questa policy consente il forwarding del protocollo VM solo per gli indirizzi IP interni. Il valore è INTERNAL per limitare il forwarding di protocollo in base al tipo di indirizzo IP.	Controllo NIST SP 800-53: AC-3 e AC-6
compute.disableVpcExternalIpv6	Questa policy impedisce di creare subnet IPv6 esterne che potrebbero essere esposte al traffico internet in entrata e in uscita. Il valore è true per disattivare le subnet IPv6 esterne.	Controllo NIST SP 800-53: AC-3 e AC-6
compute.disableNestedVirtualization	Questa policy disattiva la virtualizzazione nidificata per ridurre i rischi alla sicurezza dovuti alla presenza di istanze nidificate non monitorate. Il valore è true per disattivare la virtualizzazione nidificata delle VM.	Controllo NIST SP 800-53: AC-3 e AC-6

Visualizza il template di posture

Per visualizzare il template di postura per l'opzione Sicuro per impostazione predefinita, esteso, segui questi passaggi:

gcloud

Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

• ORGANIZATION_ID: l'ID numerico dell'organizzazione.

Esegui il comando gcloud scc posture-templates describe:

Linux, macOS o Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

Windows (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

La risposta contiene il template di postura.

REST

Prima di utilizzare i dati della richiesta, apporta le sostituzioni seguenti:

• ORGANIZATION_ID: l'ID numerico dell'organizzazione.

Metodo HTTP e URL:

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

Per inviare la richiesta, espandi una di queste opzioni:

curl (Linux, macOS o Cloud Shell)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso all'interfaccia a riga di comando gcloud con il tuo account utente eseguendo gcloud init o gcloud auth login oppure utilizzando Cloud Shell, che consente di accedere automaticamente all'interfaccia a riga di comando gcloud. Puoi controllare l'account attualmente attivo eseguendo gcloud auth list.

Esegui questo comando:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended"

PowerShell (Windows)

Nota: il comando seguente presuppone che tu abbia eseguito l'accesso all'interfaccia a riga di comando gcloud con il tuo account utente eseguendo gcloud init o gcloud auth login . Puoi controllare l'account attualmente attivo eseguendo gcloud auth list.

Esegui questo comando:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended" | Select-Object -Expand Content

La risposta contiene il template di postura.

Passaggi successivi

• Crea una security posture utilizzando questo template di posture predefinito.