Modelo de postura predefinido para proteção sempre, estendido

Níveis de serviço Premium e Enterprise (descontinuado) (requer ativação no nível da organização)

O nível de serviço do Security Command Center Enterprise será encerrado em 21 de maio de 2027. Se a organização usa o nível de serviço Enterprise, ela será migrada automaticamente para o nível de serviço Premium em 21 de maio de 2027 ou depois dessa data. Entre em contato com o representante da sua conta ou com um especialista de vendas doGoogle Cloud se tiver dúvidas.

O modelo de postura predefinido v1.0 para segurança por padrão estendida permite configurar uma postura de segurança. Essa configuração ajuda a proteger os recursos do Google Cloud contra configurações incorretas comuns e configurações padrão potencialmente inseguras.

Antes de implantar esse modelo, é necessário personalizar algumas das políticas para que elas se apliquem ao seu ambiente.

Restrições da política da organização

A tabela a seguir descreve as restrições da política da organização incluídas neste modelo de postura.

Política	Descrição	Padrões de compliance
iam.disableServiceAccountKeyCreation	Essa restrição impede que os usuários criem chaves permanentes para contas de serviço, diminuindo o risco de exposição das credenciais conta de serviço. O valor é true para desativar a criação de chaves de conta de serviço.	Controle do NIST SP 800-53: AC-2
iam.automaticIamGrantsForDefaultServiceAccounts	Essa restrição impede que as contas de serviço padrão recebam o papel de Editor do Identity and Access Management (IAM) excessivamente permissivo na criação. O valor é true para desativar as concessões automáticas do IAM para contas de serviço padrão.	Controle do NIST SP 800-53: AC-3
iam.disableServiceAccountKeyUpload	Essa restrição evita o risco de vazamento e reutilização de material de chave personalizada em chaves de conta de serviço. O valor é true para desativar os uploads de chaves de conta de serviço.	Controle do NIST SP 800-53: AC-6
storage.publicAccessPrevention	Essa política impede que os buckets do Cloud Storage sejam abertos para acesso público não autenticado. O valor é true para impedir o acesso público a buckets.	Controle do NIST SP 800-53: AC-3 e AC-6
iam.allowedPolicyMemberDomains	Isso limita as políticas do IAM para permitir que apenas identidades de usuário gerenciado nos domínios selecionados acessem recursos dentro dessa organização. O valor é directoryCustomerId para restringir o compartilhamento entre domínios.	Controle do NIST SP 800-53: AC-3, AC-6 e IA-2
essentialcontacts.allowedContactDomains	Essa política limita os Contatos Essenciais para permitir que apenas identidades de usuário gerenciadas nos domínios selecionados recebam notificações da plataforma. O valor é @google.com. Você precisa alterar o valor para corresponder ao seu domínio.	Controle do NIST SP 800-53: AC-3, AC-6 e IA-2
storage.uniformBucketLevelAccess	Essa política impede que os buckets do Cloud Storage usem ACLs por objeto (um sistema separado das políticas do IAM) para fornecer acesso, aplicando consistência para gerenciamento de acesso e auditoria. O valor é true para aplicar o acesso uniforme no nível do bucket.	Controle do NIST SP 800-53: AC-3 e AC-6
compute.requireOsLogin	Essa política exige o Login do SO em VMs recém-criadas para gerenciar as chaves SSH com mais facilidade, fornecer permissão no nível do recurso com políticas do IAM e registrar o acesso do usuário. O valor é true para exigir o Login do SO.	Controle do NIST SP 800-53: AC-3 e AU-12
compute.disableSerialPortAccess	Essa política impede que os usuários acessem a porta serial da VM, que pode ser usada para acesso por backdoor do plano de controle da API Compute Engine. O valor é true para desativar o acesso à porta serial da VM.	Controle do NIST SP 800-53: AC-3 e AC-6
compute.restrictXpnProjectLienRemoval	Essa política impede a exclusão acidental de projetos host de VPC compartilhada, restringindo a remoção de garantias de projeto. O valor é true para restringir a remoção da garantia do projeto de VPC compartilhada.	Controle do NIST SP 800-53: AC-3 e AC-6
compute.vmExternalIpAccess	Essa política impede a criação de instâncias do Compute Engine com um endereço IP público, o que pode expô-las ao tráfego de entrada e saída da Internet. O valor é denyAll para desativar todo o acesso de endereços IP públicos.	Controle do NIST SP 800-53: AC-3 e AC-6
compute.skipDefaultNetworkCreation	Essa política desativa a criação automática de uma rede VPC padrão e de regras de firewall padrão em cada novo projeto, garantindo que as regras de rede e de firewall sejam criadas intencionalmente. O valor é true para evitar a criação da rede VPC padrão.	Controle do NIST SP 800-53: AC-3 e AC-6
compute.setNewProjectDefaultToZonalDNSOnly	Essa política impede que os desenvolvedores de aplicativos escolham configurações de DNS legadas para instâncias do Compute Engine que têm menor confiabilidade de serviço do que as configurações de DNS modernas. O valor é Zonal DNS only para novos projetos.	Controle do NIST SP 800-53: AC-3 e AC-6
sql.restrictPublicIp	Essa política impede a criação de instâncias do Cloud SQL com endereços IP públicos, que podem expô-las ao tráfego de entrada e saída da Internet. O valor é true para restringir o acesso a instâncias do Cloud SQL por endereços IP públicos.	Controle do NIST SP 800-53: AC-3 e AC-6
sql.restrictAuthorizedNetworks	Essa política impede que intervalos de rede públicos ou não RFC 1918 acessem bancos de dados do Cloud SQL. O valor é true para restringir redes autorizadas em instâncias do Cloud SQL.	Controle do NIST SP 800-53: AC-3 e AC-6
compute.restrictProtocolForwardingCreationForTypes	Essa política permite o encaminhamento de protocolo da VM apenas para endereços IP internos. O valor é INTERNAL para restringir o encaminhamento de protocolo com base no tipo de endereço IP.	Controle do NIST SP 800-53: AC-3 e AC-6
compute.disableVpcExternalIpv6	Essa política impede a criação de sub-redes IPv6 externas, que podem ser expostas ao tráfego da internet de entrada e saída. O valor é true para desativar sub-redes IPv6 externas.	Controle do NIST SP 800-53: AC-3 e AC-6
compute.disableNestedVirtualization	Essa política desativa a virtualização aninhada para diminuir o risco de segurança devido a instâncias aninhadas não monitoradas. O valor é true para desativar a virtualização aninhada de VM.	Controle do NIST SP 800-53: AC-3 e AC-6

Ver o modelo de postura

Para conferir o modelo de postura seguro por padrão, estendido, faça o seguinte:

gcloud

Antes de usar os dados do comando abaixo, faça estas substituições:

• ORGANIZATION_ID: o ID numérico da organização.

Execute o comando gcloud scc posture-templates describe:

Linux, macOS ou Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

Windows (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

A resposta contém o modelo de postura.

REST

Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:

• ORGANIZATION_ID: o ID numérico da organização.

Método HTTP e URL:

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

Para enviar a solicitação, expanda uma destas opções:

curl (Linux, macOS ou Cloud Shell)

Observação: o comando a seguir pressupõe que você tenha feito login na CLI do gcloud com sua conta de usuário executando gcloud init ou gcloud auth login, ou usando o Cloud Shell, que faz login automaticamente na CLI gcloud. . Para saber qual é a conta ativa no momento, execute o comando gcloud auth list.

Execute o seguinte comando:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended"

PowerShell (Windows)

Observação: o comando a seguir pressupõe que você tenha feito login na CLI gcloud com sua conta de usuário executando gcloud init ou gcloud auth login . Para saber qual é a conta ativa no momento, execute o comando gcloud auth list.

Execute o seguinte comando:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended" | Select-Object -Expand Content

A resposta contém o modelo de postura.

A seguir

• Crie uma postura de segurança usando esse modelo de postura predefinido.