Vordefinierte Sicherheitsstatusvorlage für Cloud Storage, erweitert

Dienststufen für Premium und Enterprise (eingestellt) (erfordert Aktivierung auf Organisationsebene)

Die Dienststufe Security Command Center Enterprise wird am 21. Mai 2027 eingestellt. Wenn Ihre Organisation die Enterprise-Dienststufe verwendet, wird sie am oder nach dem 21. Mai 2027 automatisch auf die Premium-Dienststufe umgestellt. Wenden Sie sich bei Fragen an Ihren Kundenbetreuer oder einen Google Cloud -Vertriebsspezialisten.

Mit der vordefinierten Sicherheitsstatusvorlage v1.0 für Cloud Storage (erweitert) können Sie einen Sicherheitsstatus konfigurieren. Diese Konfiguration trägt zum Schutz von Cloud Storage-Ressourcen bei, indem präventive und detektive Richtlinien verwendet werden. Diese Vorlage enthält zwei Richtliniensätze, die für Cloud Storage gelten: Einschränkungen für Organisationsrichtlinien und Security Health Analytics-Detektoren.

Bevor Sie diese Vorlage bereitstellen, müssen Sie einige ihrer Richtlinien an Ihre Umgebung anpassen.

Einschränkungen für Organisationsrichtlinien

In der folgenden Tabelle werden die Organisationsrichtlinien beschrieben, die in diesem Status enthalten sind.

Richtlinie	Beschreibung	Compliancestandard
storage.publicAccessPrevention	Diese Richtlinie verhindert, dass Cloud Storage-Buckets für den nicht authentifizierten öffentlichen Zugriff geöffnet werden. Der Wert ist true, um den öffentlichen Zugriff auf Buckets zu verhindern.	NIST SP 800-53-Kontrolle: AC-3, AC-17 und AC-20
storage.uniformBucketLevelAccess	Diese Richtlinie verhindert, dass Cloud Storage-Buckets objektbezogene ACLs (ein von IAM-Richtlinien separates System) für den Zugriff verwenden. Dadurch wird die Konsistenz bei der Zugriffsverwaltung und -prüfung erzwungen. Der Wert ist true, um den einheitlichen Zugriff auf Bucket-Ebene zu erzwingen.	NIST SP 800-53-Kontrollen: AC-3, AC-17 und AC-20
storage.retentionPolicySeconds	Mit dieser Einschränkung wird die Dauer (in Sekunden) für die Aufbewahrungsrichtlinie für Buckets definiert. Sie müssen diesen Wert konfigurieren, wenn Sie diese vordefinierte Sicherheitsstatusvorlage übernehmen.	NIST SP 800-53-Kontrolle: SI-12

Security Health Analytics – Detektoren

In der folgenden Tabelle werden die Security Health Analytics-Detektoren beschrieben, die in der vordefinierten Sicherheitsstatusvorlage enthalten sind. Weitere Informationen zu diesen Detektoren finden Sie unter Sicherheitslücken-Ergebnisse.

Detektorname	Beschreibung
BUCKET_LOGGING_DISABLED	Dieser Detektor prüft, ob es einen Storage-Bucket gibt, für den kein Logging aktiviert ist.
LOCKED_RETENTION_POLICY_NOT_SET	Mit diesem Detektor wird geprüft, ob für Logs die gesperrte Aufbewahrungsrichtlinie festgelegt ist.
OBJECT_VERSIONING_DISABLED	Dieser Detektor prüft, ob die Objektversionsverwaltung für Storage-Buckets mit Senken aktiviert ist.
BUCKET_CMEK_DISABLED	Dieser Detektor prüft, ob Buckets mit kundenverwalteten Verschlüsselungsschlüsseln (CMEK) verschlüsselt sind.
BUCKET_POLICY_ONLY_DISABLED	Dieser Detektor prüft, ob der einheitliche Zugriff auf Bucket-Ebene konfiguriert ist.
PUBLIC_BUCKET_ACL	Dieser Detektor prüft, ob ein Bucket öffentlich zugänglich ist.
PUBLIC_LOG_BUCKET	Dieser Detektor prüft, ob ein Bucket mit einer Logsenke öffentlich zugänglich ist.
ORG_POLICY_LOCATION_RESTRICTION	Dieser Detektor prüft, ob eine Compute Engine-Ressource gegen die Einschränkung constraints/gcp.resourceLocations verstößt.

Sicherheitsstatusvorlage ansehen

So rufen Sie die erweiterte Sicherheitsstatusvorlage für Cloud Storage auf:

gcloud

Ersetzen Sie folgende Werte, bevor sie einen der Befehlsdaten verwenden:

• ORGANIZATION_ID: die numerische ID der Organisation.

Führen Sie den Befehl gcloud scc posture-templates describe aus:

Linux, macOS oder Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/cloud_storage_extended

Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/cloud_storage_extended

Windows (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/cloud_storage_extended

Die Antwort enthält die Sicherheitsstatusvorlage.

REST

Ersetzen Sie diese Werte in den folgenden Anfragedaten:

• ORGANIZATION_ID: die numerische ID der Organisation.

HTTP-Methode und URL:

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/cloud_storage_extended

Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:

curl (Linux, macOS oder Cloud Shell)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud-Befehlszeile angemeldet haben, indem Sie gcloud init oder gcloud auth login ausgeführt oder die Cloud Shell genutzt haben, die Sie automatisch in der gcloud-Befehlszeile anmeldet. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Führen Sie folgenden Befehl aus:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/cloud_storage_extended"

PowerShell (Windows)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud-Befehlszeile angemeldet haben, indem Sie gcloud init oder gcloud auth login ausgeführt haben. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Führen Sie diesen Befehl aus:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/cloud_storage_extended" | Select-Object -Expand Content

Die Antwort enthält die Sicherheitsstatusvorlage.

Nächste Schritte

• Sicherheitsstatus mit dieser vordefinierten Sicherheitsstatusvorlage erstellen