Vordefinierte Vorlage für die Sicherheitskonfiguration für VPC-Netzwerke, erweitert

Mit der vordefinierten Sicherheitsstatusvorlage v1.0 für Virtual Private Cloud (VPC)-Netzwerke (erweitert) können Sie einen Sicherheitsstatus konfigurieren. Diese Konfiguration trägt zum Schutz von VPC-Netzwerken bei, indem präventive und detektive Richtlinien verwendet werden. Diese Vorlage enthält zwei Richtliniensätze, die für VPC-Netzwerke gelten: Einschränkungen für Organisationsrichtlinien und Security Health Analytics-Detektoren.

Bevor Sie diese Vorlage bereitstellen, müssen Sie einige ihrer Richtlinien an Ihre Umgebung anpassen.

Einschränkungen für Organisationsrichtlinien

In der folgenden Tabelle werden die Einschränkungen für Organisationsrichtlinien beschrieben, die in diesem Status enthalten sind.

Richtlinie Beschreibung Compliancestandard
compute.skipDefaultNetworkCreation

Diese boolesche Einschränkung deaktiviert die automatische Erstellung eines Standard-VPC-Netzwerk und von Standardfirewallregeln in jedem neuen Projekt. So wird sichergestellt, dass Netzwerk- und Firewallregeln absichtlich erstellt werden.

Der Wert ist true, um das Erstellen des Standard-VPC-Netzwerk zu vermeiden.

 NIST SP 800-53-Kontrolle: SC-7 und SC-8
ainotebooks.restrictPublicIp

Durch diese boolesche Einschränkung wird der Zugriff auf neu erstellte Vertex AI Workbench-Notebooks und ‑Instanzen über öffentliche IP-Adressen eingeschränkt. Standardmäßig kann über öffentliche IP-Adressen auf Vertex AI Workbench-Notebooks und ‑Instanzen zugegriffen werden.

Der Wert ist true, um den Zugriff über öffentliche IP-Adressen auf neue Vertex AI Workbench-Notebooks und ‑Instanzen einzuschränken.

 NIST SP 800-53-Kontrolle: SC-7 und SC-8
compute.disableNestedVirtualization

Diese boolesche Einschränkung deaktiviert die verschachtelte Virtualisierung für alle Compute Engine-VMs, um das Sicherheitsrisiko im Zusammenhang mit nicht überwachten verschachtelten Instanzen zu verringern.

Der Wert ist true, um die verschachtelte Virtualisierung von VMs zu deaktivieren.

 NIST SP 800-53-Kontrolle: SC-7 und SC-8
compute.vmExternalIpAccess

Diese Listenbeschränkung definiert die Compute Engine-VM-Instanzen, die externe IP-Adressen verwenden dürfen. Standardmäßig können alle VM-Instanzen externe IP-Adressen verwenden. Die Einschränkung hat das Format projects/PROJECT_ID/zones/ZONE/instances/INSTANCE.

Sie müssen diesen Wert konfigurieren, wenn Sie diesen vordefinierten Status übernehmen.

 NIST SP 800-53-Kontrolle: SC-7 und SC-8
ainotebooks.restrictVpcNetworks

Diese Listenbeschränkung definiert die VPC-Netzwerke, die ein Nutzer auswählen kann, wenn er neue Instanzen von Vertex AI Workbench erstellt, in denen diese Beschränkung erzwungen wird.

Sie müssen diesen Wert konfigurieren, wenn Sie diesen vordefinierten Status übernehmen.

 NIST SP 800-53-Kontrolle: SC-7 und SC-8
compute.vmCanIpForward

Diese Listenbeschränkung definiert die VPC-Netzwerke, die ein Nutzer auswählen kann, wenn er neue Instanzen von Vertex AI Workbench erstellt. Standardmäßig können Sie eine Vertex AI Workbench-Instanz mit einem beliebigen VPC-Netzwerk erstellen.

Sie müssen diesen Wert konfigurieren, wenn Sie diesen vordefinierten Status übernehmen.

 NIST SP 800-53-Kontrolle: SC-7 und SC-8

Security Health Analytics – Detektoren

In der folgenden Tabelle werden die Security Health Analytics-Detektoren beschrieben, die in der vordefinierten Sicherheitsstatusvorlage enthalten sind. Weitere Informationen zu diesen Detektoren finden Sie unter Sicherheitslücken-Ergebnisse.

Detektorname Beschreibung
FIREWALL_NOT_MONITORED

Dieser Detektor prüft, ob Log-Messwerte und Benachrichtigungen nicht für das Monitoring von Änderungen an VPC-Firewallregeln konfiguriert sind.
NETWORK_NOT_MONITORED

Dieser Detektor prüft, ob Log-Messwerte und Benachrichtigungen nicht für das Monitoring von Änderungen am VPC-Netzwerk konfiguriert sind.
ROUTE_NOT_MONITORED

Dieser Detektor prüft, ob Log-Messwerte und Benachrichtigungen nicht für das Monitoring von Änderungen an der VPC-Netzwerkroute konfiguriert sind.
DNS_LOGGING_DISABLED

Dieser Detektor prüft, ob das DNS-Logging im VPC-Netzwerk aktiviert ist.
FLOW_LOGS_DISABLED

Dieser Detektor prüft, ob Flusslogs im VPC-Subnetzwerk aktiviert sind.
VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED

Dieser Detektor prüft, ob das Attribut enableFlowLogs von VPC-Subnetzwerken fehlt oder auf false gesetzt ist.

Sicherheitsstatusvorlage ansehen

So rufen Sie die Sicherheitsstatusvorlage für VPC-Netzwerke (erweitert) auf:

gcloud

Ersetzen Sie folgende Werte, bevor sie einen der Befehlsdaten verwenden:

  • ORGANIZATION_ID: die numerische ID der Organisation.

Führen Sie den Befehl gcloud scc posture-templates describe aus:

Linux, macOS oder Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended

Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended

Windows (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended

Die Antwort enthält die Sicherheitsstatusvorlage.

REST

Ersetzen Sie diese Werte in den folgenden Anfragedaten:

  • ORGANIZATION_ID: die numerische ID der Organisation.

HTTP-Methode und URL: 

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended

Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:

Die Antwort enthält die Sicherheitsstatusvorlage.

Nächste Schritte