‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

תבנית מוגדרת מראש של מצב האבטחה ל-Cloud Storage, מורחבת

אתם יכולים להגדיר מצב אבטחה באמצעות התבנית המוגדרת מראש של מצב האבטחה בגרסה 1.0 ל-Cloud Storage, extended. ההגדרה הזו עוזרת להגן על משאבי Cloud Storage באמצעות כללי מדיניות למניעה ולזיהוי. התבנית הזו כוללת שתי קבוצות של כללי מדיניות שחלים על Cloud Storage: אילוצים של מדיניות הארגון וגלאים של Security Health Analytics.

לפני שפורסים את התבנית, צריך להתאים אישית חלק מהכללי המדיניות שלה כדי שיחולו על הסביבה שלכם.

מגבלות שקשורות למדיניות הארגון

בטבלה הבאה מתוארים כללי מדיניות הארגון שכלולים במערך הזה.

מדיניות תיאור תקן תאימות

מדיניות	תיאור	תקן תאימות
`storage.publicAccessPrevention`	המדיניות הזו מונעת פתיחה של קטגוריות של Cloud Storage לגישה ציבורית ללא אימות. הערך הוא `true` כדי למנוע גישה ציבורית לקטגוריות.	בקרת NIST SP 800-53: ‏ AC-3,‏ AC-17 ו-AC-20
`storage.uniformBucketLevelAccess`	המדיניות הזו מונעת מקטגוריות של Cloud Storage להשתמש ברשימת ACL לכל אובייקט (מערכת נפרדת ממדיניות IAM) כדי לספק גישה, וכך אוכפת עקביות בניהול הרשאות גישה ובביקורת. הערך הוא `true` כדי לאכוף הרשאות גישה מאוחדות ברמת הקטגוריה.	בקרת NIST SP 800-53: ‏ AC-3,‏ AC-17 ו-AC-20
`storage.retentionPolicySeconds`	המגבלה הזו מגדירה את משך הזמן (בשניות) של מדיניות שמירת הנתונים בקטגוריות. צריך להגדיר את הערך הזה כשמשתמשים בתבנית של מצב אבטחה המוגדרת מראש.	בקרת NIST SP 800-53: ‏ SI-12

storage.publicAccessPrevention

המדיניות הזו מונעת פתיחה של קטגוריות של Cloud Storage לגישה ציבורית ללא אימות.

הערך הוא true כדי למנוע גישה ציבורית לקטגוריות.

בקרת NIST SP 800-53: ‏ AC-3,‏ AC-17 ו-AC-20

storage.uniformBucketLevelAccess

המדיניות הזו מונעת מקטגוריות של Cloud Storage להשתמש ברשימת ACL לכל אובייקט (מערכת נפרדת ממדיניות IAM) כדי לספק גישה, וכך אוכפת עקביות בניהול הרשאות גישה ובביקורת.

הערך הוא true כדי לאכוף הרשאות גישה מאוחדות ברמת הקטגוריה.

בקרת NIST SP 800-53: ‏ AC-3,‏ AC-17 ו-AC-20

storage.retentionPolicySeconds

המגבלה הזו מגדירה את משך הזמן (בשניות) של מדיניות שמירת הנתונים בקטגוריות.

צריך להגדיר את הערך הזה כשמשתמשים בתבנית של מצב אבטחה המוגדרת מראש.

בקרת NIST SP 800-53: ‏ SI-12

גלאי Security Health Analytics

בטבלה הבאה מתוארים הגלאים של Security Health Analytics שכלולים בתבנית המוגדרת מראש של מצב האבטחה. מידע נוסף על הגלאים האלה זמין במאמר ממצאי נקודות חולשה.

שם המזהה	תיאור
`BUCKET_LOGGING_DISABLED`	הגלאי הזה בודק אם יש קטגוריית אחסון שלא מופעל בה רישום ביומן.
`LOCKED_RETENTION_POLICY_NOT_SET`	הגלאי הזה בודק אם מדיניות שמירת הנתונים הנעולה מוגדרת ליומנים.
`OBJECT_VERSIONING_DISABLED`	הגלאי הזה בודק אם ניהול גרסאות של אובייקטים מופעל בקטגוריות אחסון עם כיורים.
`BUCKET_CMEK_DISABLED`	הגלאי הזה בודק אם הקטגוריות מוצפנות באמצעות מפתחות הצפנה בניהול הלקוח (CMEK).
`BUCKET_POLICY_ONLY_DISABLED`	הגלאי הזה בודק אם מוגדרות הרשאות גישה מאוחדות ברמת הקטגוריה (UBLA).
`PUBLIC_BUCKET_ACL`	הגלאי הזה בודק אם קטגוריה נגישה לציבור.
`PUBLIC_LOG_BUCKET`	הגלאי הזה בודק אם קטגוריה עם sink ביומן נגישה באופן ציבורי.
`ORG_POLICY_LOCATION_RESTRICTION`	הגלאי הזה בודק אם משאב של Compute Engine לא עומד באילוץ `constraints/gcp.resourceLocations`.

הצגת התבנית של מצב האבטחה

כדי לראות את תבנית מצב האבטחה המורחבת של Cloud Storage:

gcloud

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

‫ORGANIZATION_ID: המזהה המספרי של הארגון.

מריצים את הפקודה gcloud scc posture-templates describe:

‫Linux,‏ macOS או Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/cloud_storage_extended

‏Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/cloud_storage_extended

Windows‏ (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/cloud_storage_extended

התשובה מכילה את התבנית של מצב האבטחה.

REST

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

‫ORGANIZATION_ID: המזהה המספרי של הארגון.

ה-method של ה-HTTP וכתובת ה-URL:

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/cloud_storage_extended

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

‫Curl (Linux,‏ macOS או Cloud Shell)

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login, או באמצעות Cloud Shell שמחבר אתכם אוטומטית ל-CLI של gcloud. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

מריצים את הפקודה הבאה:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/cloud_storage_extended"

‎PowerShell (Windows)

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.