תבנית מוגדרת מראש של מצב אבטחה לרשתות VPC, מורחבת

רמות השירות Premium ו-Enterprise (הוצאה משימוש) (נדרשת הפעלה ברמת הארגון)

רמת השירות Security Command Center Enterprise תושבת ב-21 במאי 2027. אם הארגון שלכם משתמש ברמת השירות Enterprise, הוא יעבור אוטומטית לרמת השירות Premium ב-21 במאי 2027 או אחרי התאריך הזה. בכל שאלה, אפשר לפנות לאיש הקשר האחראי לחשבון או לGoogle Cloud מומחה מכירות.

תבנית מורחבת של מצב אבטחה מוגדר מראש בגרסה 1.0 לרשתות של ענן וירטואלי פרטי (VPC) מאפשרת להגדיר מצב אבטחה. ההגדרה הזו עוזרת להגן על רשתות VPC באמצעות כללי מדיניות למניעה ולזיהוי. התבנית הזו כוללת שתי קבוצות של כללי מדיניות שחלים על רשתות VPC: אילוצים של מדיניות הארגון וגלאים של Security Health Analytics.

לפני שפורסים את התבנית, צריך להתאים אישית חלק מהכללי המדיניות שלה כדי שיחולו על הסביבה שלכם.

מגבלות שקשורות למדיניות הארגון

בטבלה הבאה מתוארות המגבלות של מדיניות הארגון שכלולות במערך הזה.

מדיניות	תיאור	תקן תאימות
compute.skipDefaultNetworkCreation	האילוץ הבוליאני הזה משבית את היצירה האוטומטית של רשת VPC שמוגדרת כברירת מחדל ושל כללי חומת אש שמוגדרים כברירת מחדל בכל פרויקט חדש, כדי לוודא שכללי הרשת וחומת האש נוצרים באופן מכוון. הערך הוא true כדי למנוע את היצירה של רשת ה-VPC שמוגדרת כברירת מחדל.	בקרת NIST SP 800-53: ‏ SC-7 ו-SC-8
ainotebooks.restrictPublicIp	האילוץ הבוליאני הזה מגביל את הגישה של כתובות IP ציבוריות למכונות ולמסמכי Notebook חדשים שנוצרו ב-Vertex AI Workbench. כברירת מחדל, כתובות IP ציבוריות יכולות לגשת למכונות ול-notebooks של Vertex AI Workbench. הערך הוא true כדי להגביל את הגישה לכתובת IP ציבורית ב-notebooks ובמכונות חדשים של Vertex AI Workbench.	בקרת NIST SP 800-53: ‏ SC-7 ו-SC-8
compute.disableNestedVirtualization	האילוץ הבוליאני הזה משבית את הווירטואליזציה בתצורה מקוננת בכל המכונות הווירטואליות של Compute Engine, כדי להפחית את סיכון האבטחה שקשור למכונות מקוננות שלא נמצאות במעקב. הערך הוא true כדי להשבית את הווירטואליזציה בתצורה מקוננת של המכונה הווירטואלית.	בקרת NIST SP 800-53: ‏ SC-7 ו-SC-8
compute.vmExternalIpAccess	האילוץ הזה מגדיר את המכונות הווירטואליות של Compute Engine שמותר להן להשתמש בכתובות IP חיצוניות. כברירת מחדל, כל המכונות הווירטואליות יכולות להשתמש בכתובות IP חיצוניות. האילוץ משתמש בפורמט projects/PROJECT_ID/zones/ZONE/instances/INSTANCE. אתם צריכים להגדיר את הערך הזה כשאתם מאמצים את מערך האבטחה המוגדר מראש.	בקרת NIST SP 800-53: ‏ SC-7 ו-SC-8
ainotebooks.restrictVpcNetworks	אילוץ הרשימה הזה מגדיר את רשתות ה-VPC שמשתמש יכול לבחור כשהוא יוצר מכונות חדשות של Vertex AI Workbench שבהן האילוץ הזה נאכף. אתם צריכים להגדיר את הערך הזה כשאתם מאמצים את מערך האבטחה המוגדר מראש.	בקרת NIST SP 800-53: ‏ SC-7 ו-SC-8
compute.vmCanIpForward	האילוץ הזה מגדיר את רשתות ה-VPC שהמשתמש יכול לבחור כשהוא יוצר מכונות חדשות של Vertex AI Workbench. כברירת מחדל, אפשר ליצור מכונה של Vertex AI Workbench עם כל רשת VPC. אתם צריכים להגדיר את הערך הזה כשאתם מאמצים את מערך האבטחה המוגדר מראש.	בקרת NIST SP 800-53: ‏ SC-7 ו-SC-8

גלאי Security Health Analytics

בטבלה הבאה מתוארים הגלאים של Security Health Analytics שכלולים בתבנית המוגדרת מראש של מצב האבטחה. מידע נוסף על הגלאים האלה זמין במאמר ממצאי נקודות חולשה.

שם המזהה	תיאור
FIREWALL_NOT_MONITORED	הגלאי הזה בודק אם מדדים מבוססי-יומן והתראות לא מוגדרים למעקב אחרי שינויים בכללי חומת האש של VPC.
NETWORK_NOT_MONITORED	הגלאי הזה בודק אם מדדים מבוססי-יומנים והתראות לא מוגדרים למעקב אחרי שינויים ברשת VPC.
ROUTE_NOT_MONITORED	הגלאי הזה בודק אם מדדי מבוססי-יומן והתראות לא מוגדרים למעקב אחרי שינויים בנתיבים של רשת VPC.
DNS_LOGGING_DISABLED	הגלאי הזה בודק אם רישום DNS ביומן מופעל ברשת ה-VPC.
FLOW_LOGS_DISABLED	הגלאי הזה בודק אם יומני הזרימה מופעלים ברשת המשנה של ה-VPC.
VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED	הגלאי הזה בודק אם המאפיין enableFlowLogs של רשתות משנה של VPC חסר או מוגדר כ-false.

הצגת התבנית של מצב האבטחה

כדי לראות את תבנית מצב האבטחה של רשת VPC, מורחבת, מבצעים את הפעולות הבאות:

gcloud

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

• ‫ORGANIZATION_ID: המזהה המספרי של הארגון.

מריצים את הפקודה gcloud scc posture-templates describe:

‫Linux,‏ macOS או Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended

‏Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended

Windows‏ (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended

התשובה מכילה את התבנית של מצב האבטחה.

REST

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

• ‫ORGANIZATION_ID: המזהה המספרי של הארגון.

ה-method של ה-HTTP וכתובת ה-URL:

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

‫Curl (Linux,‏ macOS או Cloud Shell)

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login, או באמצעות Cloud Shell שמחבר אתכם אוטומטית ל-CLI של gcloud. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

מריצים את הפקודה הבאה:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended"

‎PowerShell (Windows)

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

מריצים את הפקודה הבאה:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended" | Select-Object -Expand Content

התשובה מכילה את התבנית של מצב האבטחה.

המאמרים הבאים

• יצירת מצב אבטחה באמצעות תבנית של מצב אבטחה מוגדרת מראש.