Vordefinierte Vorlage für den Status für ISO 27001

Dienststufen für Premium und Enterprise (eingestellt) (erfordert Aktivierung auf Organisationsebene)

Die Dienststufe Security Command Center Enterprise wird am 21. Mai 2027 eingestellt. Wenn Ihre Organisation die Enterprise-Dienststufe verwendet, wird sie am oder nach dem 21. Mai 2027 automatisch auf die Premium-Dienststufe umgestellt. Wenden Sie sich bei Fragen an Ihren Kundenbetreuer oder einen Google Cloud -Vertriebsspezialisten.

Mit der vordefinierten Sicherheitsstatusvorlage v1.0 für den Standard ISO 27001 der Internationalen Organisation für Normung können Sie Ihre Arbeitslasten auf Compliance mit dem Standard ISO 27001 überwachen. Diese Vorlage enthält eine Reihe von Detektoren für Security Health Analytics, die Sie ohne Änderungen bereitstellen können.

Security Health Analytics – Detektoren

In der folgenden Tabelle werden die Security Health Analytics-Detektoren beschrieben, die in dieser Sicherheitsstatusvorlage enthalten sind.

Detektorname	Beschreibung
SQL_CROSS_DB_OWNERSHIP_CHAINING	Dieser Detektor prüft, ob das Flag cross_db_ownership_chaining in Cloud SQL for SQL Server aktiviert ist.
INSTANCE_OS_LOGIN_DISABLED	Dieser Detektor prüft, ob OS Login nicht aktiviert ist.
SQL_SKIP_SHOW_DATABASE_DISABLED	Dieser Detektor prüft, ob das Flag skip_show_database in Cloud SQL for MySQL deaktiviert ist.
ESSENTIAL_CONTACTS_NOT_CONFIGURED	Dieser Detektor prüft, ob Sie mindestens einen wichtigen Kontakt haben.
AUDIT_LOGGING_DISABLED	Dieser Detektor prüft, ob das Audit-Logging für eine Ressource deaktiviert ist.
VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED	Dieser Detektor prüft, ob VPC-Flusslogs aktiviert sind.
API_KEY_EXISTS	Dieser Detektor prüft, ob ein Projekt API-Schlüssel anstelle der Standardauthentifizierung verwendet.
SQL_LOG_MIN_ERROR_STATEMENT_SEVERITY	Dieser Detektor prüft, ob das Flag log_min_error_statement in Cloud SQL for PostgreSQL einen geeigneten Schweregrad hat.
LOCKED_RETENTION_POLICY_NOT_SET	Mit diesem Detektor wird geprüft, ob für Logs die gesperrte Aufbewahrungsrichtlinie festgelegt ist.
SQL_LOG_DISCONNECTIONS_DISABLED	Dieser Detektor prüft, ob das Flag log_disconnections in Cloud SQL for PostgreSQL deaktiviert ist.
COMPUTE_SERIAL_PORTS_ENABLED	Dieser Detektor prüft, ob serielle Ports aktiviert sind.
COMPUTE_PROJECT_WIDE_SSH_KEYS_ALLOWED	Dieser Detektor prüft, ob projektweite SSH-Schlüssel verwendet werden.
KMS_KEY_NOT_ROTATED	Dieser Detektor prüft, ob die Rotation für die Cloud Key Management Service-Verschlüsselung aktiviert ist.
DNS_LOGGING_DISABLED	Dieser Detektor prüft, ob das DNS-Logging im VPC-Netzwerk aktiviert ist.
SQL_LOCAL_INFILE	Dieser Detektor prüft, ob das Flag local_infile in Cloud SQL for MySQL aktiviert ist.
SQL_LOG_MIN_DURATION_STATEMENT_ENABLED	Dieser Detektor prüft, ob das Flag log_min_duration_statement in Cloud SQL for PostgreSQL auf -1 gesetzt ist.
PUBLIC_DATASET	Dieser Detektor prüft, ob ein Dataset für den öffentlichen Zugriff konfiguriert ist. Weitere Informationen finden Sie unter Ergebnisse zu Sicherheitslücken in Datasets.
DISK_CSEK_DISABLED	Dieser Detektor prüft, ob die Unterstützung für vom Kunden bereitgestellte Verschlüsselungsschlüssel (CSEK) für eine VM deaktiviert ist.
SQL_USER_CONNECTIONS_CONFIGURED	Dieser Detektor prüft, ob das Flag user connections in Cloud SQL for SQL Server konfiguriert ist.
SERVICE_ACCOUNT_ROLE_SEPARATION	Dieser Detektor prüft die Aufgabentrennung für Dienstkontoschlüssel.
AUDIT_CONFIG_NOT_MONITORED	Dieser Detektor prüft, ob Änderungen an der Audit-Konfiguration überwacht werden.
BUCKET_IAM_NOT_MONITORED	Dieser Detektor prüft, ob das Logging für Änderungen an IAM-Berechtigungen in Cloud Storage deaktiviert ist.
PUBLIC_SQL_INSTANCE	Dieser Detektor prüft, ob eine Cloud SQL-Instanz Verbindungen von allen IP-Adressen zulässt.
AUTO_BACKUP_DISABLED	Dieser Detektor prüft, ob für eine Cloud SQL-Datenbank automatische Sicherungen aktiviert sind.
DATAPROC_CMEK_DISABLED	Dieser Detektor prüft, ob die CMEK-Unterstützung für einen Managed Service for Apache Spark-Cluster deaktiviert ist.
LOG_NOT_EXPORTED	Dieser Detektor prüft, ob für eine Ressource keine Logsenke konfiguriert ist.
KMS_PROJECT_HAS_OWNER	Mit diesem Detektor wird geprüft, ob ein Nutzer die Berechtigung Inhaber für ein Projekt mit Schlüsseln hat.
KMS_ROLE_SEPARATION	Dieser Detektor prüft die Aufgabentrennung für Cloud KMS-Schlüssel.
API_KEY_APIS_UNRESTRICTED	Dieser Detektor prüft, ob API-Schlüssel zu umfassend verwendet werden.
SQL_LOG_MIN_MESSAGES	Dieser Detektor prüft, ob das Flag log_min_messages in Cloud SQL for PostgreSQL auf warning gesetzt ist.
SQL_PUBLIC_IP	Dieser Detektor prüft, ob eine Cloud SQL-Datenbank eine externe IP-Adresse hat.
DATASET_CMEK_DISABLED	Dieser Detektor prüft, ob die CMEK-Unterstützung für ein BigQuery-Dataset deaktiviert ist.
FIREWALL_NOT_MONITORED	Dieser Detektor prüft, ob Log-Messwerte und Benachrichtigungen nicht für das Monitoring von Änderungen an VPC-Firewallregeln konfiguriert sind.
SQL_LOG_STATEMENT	Dieser Detektor prüft, ob das Flag log_statement in Cloud SQL for PostgreSQL Server nicht auf ddl gesetzt ist.
BIGQUERY_TABLE_CMEK_DISABLED	Dieser Detektor prüft, ob eine BigQuery-Tabelle nicht für die Verwendung eines kundenverwalteten Verschlüsselungsschlüssels (CMEK) konfiguriert ist. Weitere Informationen finden Sie unter Ergebnisse zu Sicherheitslücken in Datasets.
CONFIDENTIAL_COMPUTING_DISABLED	Dieser Detektor prüft, ob Confidential Computing deaktiviert ist.
SQL_INSTANCE_NOT_MONITORED	Dieser Detektor prüft, ob das Logging für Änderungen an der Cloud SQL-Konfiguration deaktiviert ist.
KMS_PUBLIC_KEY	Dieser Detektor prüft, ob ein kryptografischer Cloud Key Management Service-Schlüssel öffentlich zugänglich ist. Weitere Informationen finden Sie unter Ergebnisse zu KMS-Sicherheitslücken.
DEFAULT_NETWORK	Dieser Detektor prüft, ob das Standardnetzwerk in einem Projekt vorhanden ist.
SQL_TRACE_FLAG_3625	Dieser Detektor prüft, ob das Flag 3625 (trace flag) in Cloud SQL for SQL Server deaktiviert ist.
API_KEY_NOT_ROTATED	Dieser Detektor prüft, ob ein API-Schlüssel innerhalb der letzten 90 Tage rotiert wurde.
DNSSEC_DISABLED	Dieser Detektor prüft, ob DNS-Sicherheit (DNSSEC) für Cloud DNS deaktiviert ist. Weitere Informationen finden Sie unter DNS-Sicherheitslücken.
SQL_LOG_CONNECTIONS_DISABLED	Dieser Detektor prüft, ob das Flag log_connections in Cloud SQL for PostgreSQL deaktiviert ist.
LEGACY_NETWORK	Dieser Detektor prüft, ob ein Legacy-Netzwerk in einem Projekt vorhanden ist.
PUBLIC_IP_ADDRESS	Dieser Detektor prüft, ob eine Instanz eine externe IP-Adresse hat.
FULL_API_ACCESS	Dieser Detektor prüft, ob eine Instanz ein Standarddienstkonto mit Vollzugriff auf alle Google Cloud -APIs verwendet.
SQL_CONTAINED_DATABASE_AUTHENTICATION	Dieser Detektor prüft, ob das Flag contained database authentication in Cloud SQL for SQL Server aktiviert ist.
OS_LOGIN_DISABLED	Dieser Detektor prüft, ob OS Login deaktiviert ist.
SQL_USER_OPTIONS_CONFIGURED	Dieser Detektor prüft, ob das Flag user options in Cloud SQL for SQL Server konfiguriert ist.
ADMIN_SERVICE_ACCOUNT	Dieser Detektor prüft, ob ein Dienstkonto die Berechtigung Administrator, Inhaber oder Bearbeiter hat.
DEFAULT_SERVICE_ACCOUNT_USED	Dieser Detektor prüft, ob das Standarddienstkonto verwendet wird.
NETWORK_NOT_MONITORED	Dieser Detektor prüft, ob Log-Messwerte und Benachrichtigungen nicht für das Monitoring von Änderungen am VPC-Netzwerk konfiguriert sind.
PUBLIC_BUCKET_ACL	Dieser Detektor prüft, ob ein Bucket öffentlich zugänglich ist.
CUSTOM_ROLE_NOT_MONITORED	Dieser Detektor prüft, ob das Logging für Änderungen an benutzerdefinierten Rollen deaktiviert ist.
SQL_LOG_ERROR_VERBOSITY	Dieser Detektor prüft, ob das Flag log_error_verbosity in Cloud SQL for PostgreSQL auf default gesetzt ist.
LOAD_BALANCER_LOGGING_DISABLED	Dieser Detektor prüft, ob das Logging für den Load Balancer deaktiviert ist.
OVER_PRIVILEGED_SERVICE_ACCOUNT_USER	Dieser Detektor prüft, ob ein Nutzer Dienstkontorollen auf Projektebene und nicht für ein bestimmtes Dienstkonto hat.
SQL_REMOTE_ACCESS_ENABLED	Dieser Detektor prüft, ob das Flag remote_access in Cloud SQL for SQL Server aktiviert ist.
RSASHA1_FOR_SIGNING	Dieser Detektor prüft, ob RSASHA1 für die Schlüsselsignierung in Cloud DNS-Zonen verwendet wird.
CLOUD_ASSET_API_DISABLED	Dieser Detektor prüft, ob Cloud Asset Inventory deaktiviert ist.
BUCKET_POLICY_ONLY_DISABLED	Dieser Detektor prüft, ob der einheitliche Zugriff auf Bucket-Ebene konfiguriert ist.
ROUTE_NOT_MONITORED	Dieser Detektor prüft, ob Log-Messwerte und Benachrichtigungen nicht für das Monitoring von Änderungen an der VPC-Netzwerkroute konfiguriert sind.
OWNER_NOT_MONITORED	Mit diesem Detektor wird geprüft, ob das Logging für Zuweisungen und Änderungen der Projektinhaberschaft deaktiviert ist.

Sicherheitsstatusvorlage ansehen

So rufen Sie die Sicherheitsstatusvorlage für ISO 27001 auf:

gcloud

Ersetzen Sie folgende Werte, bevor sie einen der Befehlsdaten verwenden:

• ORGANIZATION_ID: die numerische ID der Organisation.

Führen Sie den Befehl gcloud scc posture-templates describe aus:

Linux, macOS oder Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/iso_27001

Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/iso_27001

Windows (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/iso_27001

Die Antwort enthält die Sicherheitsstatusvorlage.

REST

Ersetzen Sie diese Werte in den folgenden Anfragedaten:

• ORGANIZATION_ID: die numerische ID der Organisation.

HTTP-Methode und URL:

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/iso_27001

Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:

curl (Linux, macOS oder Cloud Shell)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud-Befehlszeile angemeldet haben, indem Sie gcloud init oder gcloud auth login ausgeführt oder die Cloud Shell genutzt haben, die Sie automatisch in der gcloud-Befehlszeile anmeldet. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Führen Sie folgenden Befehl aus:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/iso_27001"

PowerShell (Windows)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud-Befehlszeile angemeldet haben, indem Sie gcloud init oder gcloud auth login ausgeführt haben. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Führen Sie diesen Befehl aus:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/iso_27001" | Select-Object -Expand Content

Die Antwort enthält die Sicherheitsstatusvorlage.

Nächste Schritte

• Sicherheitsstatus mit dieser vordefinierten Sicherheitsstatusvorlage erstellen