Google utiliza tecnología de IA para traducir contenido a tu idioma preferido. Las traducciones realizadas con IA pueden contener errores.

Plantilla de postura predefinida para redes de VPC, extendida

La plantilla de postura predefinida v1.0 para las redes de nube privada virtual (VPC) extendida te permite configurar una postura de seguridad. Esta configuración ayuda a proteger las redes de VPC con políticas preventivas y de detección. Esta plantilla incluye dos conjuntos de políticas que se aplican a las redes de VPC: restricciones de políticas de la organización y detectores de Security Health Analytics.

Antes de implementar esta plantilla, debes personalizar algunas de sus políticas para que se apliquen a tu entorno.

Restricciones de las políticas de la organización

En la tabla siguiente, se describen las restricciones de las políticas de la organización incluidas en esta postura.

Política	Descripción	Estándar de cumplimiento
`compute.skipDefaultNetworkCreation`	Esta restricción booleana inhabilita la creación automática de una red de VPC predeterminada y reglas de firewall predeterminadas en cada proyecto nuevo. Esto garantiza que la red y las reglas de firewall se creen de forma intencional. El valor es `true` para evitar la creación de la red de VPC predeterminada.	Control de la SP 800-53 del NIST: SC-7 y SC-8
`ainotebooks.restrictPublicIp`	Esta restricción booleana limita el acceso de IP públicas a los notebooks y las instancias de Vertex AI Workbench recién creados. De forma predeterminada, las direcciones IP públicas pueden acceder a los notebooks y las instancias de Vertex AI Workbench. El valor es `true` para restringir el acceso de IP públicas en los notebooks y las instancias nuevos de Vertex AI Workbench.	Control de la SP 800-53 del NIST: SC-7 y SC-8
`compute.disableNestedVirtualization`	Esta restricción booleana inhabilita la virtualización anidada para todas las VMs de Compute Engine, lo que disminuye el riesgo de seguridad relacionado con las instancias anidadas sin supervisión. El valor es `true` para desactivar la virtualización anidada de la VM.	Control de la SP 800-53 del NIST: SC-7 y SC-8
`compute.vmExternalIpAccess`	Esta restricción de lista define las instancias de VM de Compute Engine que pueden usar direcciones IP externas. De forma predeterminada, todas las instancias de VM pueden usar direcciones IP externas. La restricción usa el formato `projects/PROJECT_ID/zones/ZONE/instances/INSTANCE`. Debes configurar este valor cuando adoptes esta postura predefinida.	Control de la SP 800-53 del NIST: SC-7 y SC-8
`ainotebooks.restrictVpcNetworks`	Esta restricción de lista define las redes de VPC que un usuario puede seleccionar cuando crea nuevas instancias de Vertex AI Workbench en las que se aplica esta restricción. Debes configurar este valor cuando adoptes esta postura predefinida.	Control de la SP 800-53 del NIST: SC-7 y SC-8
`compute.vmCanIpForward`	Esta restricción de lista define las redes de VPC que un usuario puede seleccionar cuando crea instancias nuevas de Vertex AI Workbench. De forma predeterminada, puedes crear una instancia de Vertex AI Workbench con cualquier red de VPC. Debes configurar este valor cuando adoptes esta postura predefinida.	Control de la SP 800-53 del NIST: SC-7 y SC-8

Detectores de Security Health Analytics

En la siguiente tabla, se describen los detectores de Security Health Analytics que se incluyen en la plantilla de postura predefinida. Para obtener más información sobre estos detectores, consulta Hallazgos de vulnerabilidades.

Nombre del detector	Descripción
`FIREWALL_NOT_MONITORED`	Este detector verifica si las métricas de registros y las alertas no están configuradas para supervisar los cambios en las reglas del firewall de VPC.
`NETWORK_NOT_MONITORED`	Este detector verifica si las métricas de registros y las alertas no están configuradas para supervisar los cambios de la red de VPC.
`ROUTE_NOT_MONITORED`	Este detector verifica si las métricas de registros y las alertas no están configuradas para supervisar los cambios en la ruta de la red de VPC.
`DNS_LOGGING_DISABLED`	Este detector verifica si el registro de DNS está habilitado en la red de VPC.
`FLOW_LOGS_DISABLED`	Este detector verifica si los registros de flujo están habilitados en la subred de VPC.
`VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED`	Este detector verifica si falta la propiedad `enableFlowLogs` de las subredes de VPC o si se estableció en `false`.

Visualiza la plantilla de postura de seguridad

Para ver la plantilla de postura de redes de VPC (extendida), haz lo siguiente:

gcloud

Antes de usar cualquiera de los datos de comando a continuación, haz los siguientes reemplazos:

ORGANIZATION_ID: Es el ID numérico de la organización.

Ejecuta el comando gcloud scc posture-templates describe:

Linux, macOS o Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended

Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended

Windows (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended

La respuesta contiene la plantilla de postura de seguridad.

REST

Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:

ORGANIZATION_ID: Es el ID numérico de la organización.

Método HTTP y URL:

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended

Para enviar tu solicitud, expande una de estas opciones:

curl (Linux, macOS o Cloud Shell)

Nota: Con el siguiente comando, se supone que accediste a gcloud CLI con tu cuenta de usuario a través de la ejecución de gcloud init o gcloud auth login , o a través del uso de Cloud Shell, que accede de forma automática a gcloud CLI . Para comprobar la cuenta activa actual, ejecuta gcloud auth list.

Ejecuta el siguiente comando:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended"

PowerShell (Windows)

Nota: El siguiente comando supone que accediste a gcloud CLI con tu cuenta de usuario a través de la ejecución de gcloud init o gcloud auth login . Para comprobar la cuenta activa actual, ejecuta gcloud auth list.