Datenstandort planen

Mit dem Datenstandort haben Sie mehr Kontrolle darüber, wo Ihre Security Command Center-Daten gespeichert werden. Auf dieser Seite finden Sie wichtige Informationen dazu, wie Security Command Center den Datenstandort unterstützt.

Die folgenden Definitionen gelten für diese Seite:

• Ein Standort ist eine Region oder Multi-Region in Google Cloud, die dem Speicherort Ihrer Daten entspricht.
• Der Begriff Ihre Daten entspricht dem Begriff „Kundendaten“ im Element Speicherort der Daten in den allgemeinen Nutzungsbedingungen für Google Cloud.

Unterstützte Speicherorte für Daten

Security Command Center unterstützt nur die folgenden Google Cloud-Multiregionen als Speicherorte für Daten:

Europäische Union (eu)

Die Daten befinden sich in einer beliebigen Google Cloud-Region in Mitgliedsstaaten der Europäischen Union.

Vereinigte Staaten (us)

Die Daten befinden sich in einer beliebigen Google Cloud-Region in den USA.

Saudi-Arabien (sa)

Die Daten befinden sich in einer beliebigen Google Cloud-Region in Saudi-Arabien.

Landesweit (global)

Daten können sich in einer beliebigen Google Cloud-Region befinden. Wenn die Funktion „Speicherort der Daten“ nicht aktiviert ist, ist „Global“ (global) der einzige unterstützte Speicherort.

Weitere Informationen zu Security Command Center-Standorten finden Sie unter Produktverfügbarkeit nach Standort.

Wenn Sie einen Standardspeicherort für die Datenspeicherung angeben möchten, der vom Security Command Center nicht unterstützt wird, wenden Sie sich an Ihren Account Manager oder einen Google Cloud-Vertriebsexperten.

Anforderungen an den Datenstandort

Sie können den Datenstandort nur aktivieren, wenn Sie die Standard- oder Premium-Stufe von Security Command Center in einer Organisation zum ersten Mal aktivieren. Die Enterprise-Stufe unterstützt keine Datenspeicherorte.

Nachdem der Datenstandort aktiviert wurde, können Sie ihn nicht mehr deaktivieren oder Ihren Standardspeicherort ändern. Außerdem sind Gemini-Zusammenfassungen von Ergebnissen und Angriffspfaden nicht verfügbar.

Für die Datenspeicherung müssen Sie die Security Command Center v2 API verwenden. Wenn die Datenspeicherorte aktiviert sind, können Sie keine älteren Versionen der Security Command Center API verwenden.

Wenn Sie den Datenstandort nicht aktivieren, wenn Sie Security Command Center aktivieren, werden Ihre Daten nicht auf einen bestimmten Speicherort beschränkt und gemäß den Nutzungsbedingungen für die Google Cloud Platform gespeichert.

Regionale URLs

Für das Königreich Saudi-Arabien (KSA) müssen Sie standortspezifische URLs verwenden, um auf die Google Cloud Console für die Gerichtsbarkeit zuzugreifen, sowie einige Methoden und Befehle in der gcloud CLI, den Cloud-Clientbibliotheken und der Security Command Center API:

gcloud config set api_endpoint_overrides/securitycenter \
    https://securitycenter.me-central2.rep.googleapis.com/

gcloud config unset api_endpoint_overrides/securitycenter

import (
	"context"
	"fmt"

	securitycenter "cloud.google.com/go/securitycenter/apiv2"
	"google.golang.org/api/option"
)

// createClientWithEndpoint creates a Security Command Center client for a
// regional endpoint.
func createClientWithEndpoint(repLocation string) error {
	// Assemble the regional endpoint URL using provided location.
	repEndpoint := fmt.Sprintf("securitycenter.%s.rep.googleapis.com:443", repLocation)
	// Instantiate client for regional endpoint. Use this client to access resources that
	// are subject to data residency controls, and that are located in the region
	// specified in repLocation.
	repCtx := context.Background()
	repClient, err := securitycenter.NewClient(repCtx, option.WithEndpoint(repEndpoint))
	if err != nil {
		return err
	}
	defer repClient.Close()

	return nil
}

import com.google.cloud.securitycenter.v2.SecurityCenterClient;
import com.google.cloud.securitycenter.v2.SecurityCenterSettings;
import java.io.IOException;

public class CreateClientWithEndpoint {

  public static void main(String[] args) throws IOException {
    // TODO: Replace the value with the endpoint for the region in which your
    // Security Command Center data resides.
    String regionalEndpoint = "securitycenter.me-central2.rep.googleapis.com:443";
    SecurityCenterClient client = createClientWithEndpoint(regionalEndpoint);
    System.out.println("Client initiated with endpoint: " + client.getSettings().getEndpoint());
  }

  // Creates Security Command Center client for a regional endpoint.
  public static SecurityCenterClient createClientWithEndpoint(String regionalEndpoint)
      throws java.io.IOException {
    SecurityCenterSettings regionalSettings =
        SecurityCenterSettings.newBuilder().setEndpoint(regionalEndpoint).build();
    return SecurityCenterClient.create(regionalSettings);
  }
}

Wenn der Datenstandort erzwungen wird

Wenn Sie den Datenstandort für Security Command Center aktivieren, werden einige Security Command Center-Daten an einem bestimmten Speicherort aufbewahrt, wenn sie sich in einem der folgenden Status befinden:

• Inaktiv: Alle unterstützten Standorte
• In Verwendung: Nur KSA (sa)
• Unterwegs: Nur KSA (sa)

Datenstandort (im Ruhezustand)

Daten sind ruhend, wenn alle folgenden Kriterien erfüllt sind:

• Die Daten beziehen sich auf einen Ressourcentyp, der Kontrollen für den Datenstandort unterliegt.
• Sie haben keinen Vorgang angefordert, für den der Zugriff auf die Daten erforderlich ist.
• Auf die Daten wird nicht so zugegriffen, dass Audit-Logs oder Access Transparency-Logs generiert werden.

Wenn Sie den Datenstandort aktivieren, geschieht Folgendes in Security Command Center:

Datenstandort für aktive Daten

Daten sind in Verwendung, wenn alle der folgenden Kriterien erfüllt sind:

• Die Daten beziehen sich auf einen Ressourcentyp, der Kontrollen für den Datenstandort unterliegt.
• In Google Cloud wird ein Vorgang abgeschlossen, der auf Ihren Antrag hin gestartet wurde, z. B. weil Ihre Anwendung die Security Command Center API aufgerufen hat, oder ein Vorgang, der Audit-Logs oder Access Transparency-Logs generiert.
• Es ist möglich, dass Google Cloud die Daten auf eine Weise verarbeitet, für die die Bedeutung der Daten bekannt sein muss, z. B. durch Aktualisieren bestimmter Felder in einer Konfigurationsressource. Das gilt auch für alle Fälle, in denen Daten im Arbeitsspeicher nicht verschlüsselt sind.

Wenn Sie den Datenstandort aktivieren, geschieht Folgendes in Security Command Center:

Datenstandort für Daten bei der Übertragung

Daten befinden sich in der Übertragung, wenn alle folgenden Kriterien erfüllt sind:

• Die Daten beziehen sich auf einen Ressourcentyp, der Kontrollen für den Datenstandort unterliegt.
• Die Daten werden verschlüsselt innerhalb des Google-Netzwerks übertragen oder sie befinden sich verschlüsselt im Arbeitsspeicher, um sie innerhalb des Google-Netzwerks zu übertragen.

Wenn Sie den Datenstandort aktivieren, geschieht Folgendes in Security Command Center:

Standardspeicherort für Daten

Wenn Sie den Datenstandort von Security Command Center für die EU, die USA und die globale Bereitstellung aktivieren, geben Sie einen Standardspeicherort für Security Command Center an. Sie können jeden unterstützten Speicherort als Standardspeicherort auswählen.

Im Security Command Center werden am Standardspeicherort nur Ergebnisse gespeichert, die sich auf die folgenden Ressourcentypen beziehen:

• Ressourcen, die sich nicht an einem unterstützten Speicherort für Daten für Security Command Center befinden
• Ressourcen, für die in den Metadaten kein Standort angegeben ist

Wenn Sie Google Cloud-Ressourcen an mehreren Standorten oder in mehreren Regionen bereitstellen, können Sie „Global“ (global) als Standard auswählen.

Wenn Sie Ressourcen nur an einem einzigen Standort bereitstellen, können Sie die Mehrfachregion mit diesem Standort als Standard auswählen.

Security Command Center-Ressourcen und Datenspeicherort

In der folgenden Liste wird erläutert, wie in Security Command Center Steuerelemente für den Speicherort von Daten auf Security Command Center-Ressourcen angewendet werden. Wenn eine Ressource hier nicht aufgeführt ist, unterliegt sie keinen Kontrollen für die Datenspeicherung und wird gemäß den Nutzungsbedingungen für die Google Cloud Platform gespeichert.

Assets

Asset-Metadaten werden von Cloud Asset Inventory gespeichert und unterliegen keinen Kontrollen für den Datenspeicherort. Diese Daten werden gemäß den Nutzungsbedingungen der Google Cloud Platform gespeichert.

Aus diesem Grund werden auf der Seite Assets von Security Command Center in der Google Cloud Console immer alle Ressourcen in Ihrer Organisation, Ihrem Ordner oder Ihrem Projekt angezeigt, unabhängig von ihrem Speicherort oder dem Speicherort, den Sie in der Google Cloud Console auswählen. Wenn der Datenstandort jedoch aktiviert ist und Sie die Details eines Assets aufrufen, werden auf der Seite Assets keine Informationen zu Ergebnissen angezeigt, die sich auf das Asset auswirken.

Angriffsrisikobewertungen und Angriffspfade

Angriffsrisikobewertungen und Angriffspfade unterliegen keinen Kontrollen für den Datenstandort. Diese Daten werden gemäß den Nutzungsbedingungen der Google Cloud Platform gespeichert.

BigQuery-Exporte

BigQuery-Exportkonfigurationen unterliegen Kontrollen für den Datenspeicherort.

EU, USA und weltweit

Wenn Sie diese Ressourcen erstellen, geben Sie den Speicherort an. Diese Konfigurationen gelten nur für Ergebnisse, die sich am selben Speicherort befinden.

KSA

Verwenden Sie die regionalen URLs, um diese Konfigurationsressourcen zu erstellen und zu verwalten. Sie befinden sich zusammen mit Ihren Ergebnissen in Saudi-Arabien.

Die Security Command Center API stellt BigQuery-Exportkonfigurationen als BiqQueryExport-Ressourcen dar.

Kontinuierliche Exporte

Konfigurationen für den kontinuierlichen Export unterliegen den Kontrollen für den Datenstandort.

EU, USA und weltweit

Wenn Sie diese Ressourcen erstellen, geben Sie den Speicherort an. Diese Konfigurationen gelten nur für Ergebnisse, die sich am selben Speicherort befinden.

KSA

Verwenden Sie die regionalen URLs, um diese Konfigurationsressourcen zu erstellen und zu verwalten. Sie befinden sich zusammen mit Ihren Ergebnissen in Saudi-Arabien.

Die Security Command Center API stellt Konfigurationen für kontinuierliche Exporte als NotificationConfig-Ressourcen dar.

Ergebnisse

Die Ergebnisse unterliegen den Kontrollen für den Datenstandort.

EU, USA und weltweit

Wenn ein Ergebnis erstellt wird, befindet es sich an dem Security Command Center-Speicherort, an dem sich die betroffene Ressource befindet.

Wenn sich eine betroffene Ressource außerhalb eines unterstützten Standorts befindet oder keine Standortkennzeichnung hat, werden die Ergebnisse für die Ressource an Ihrem Standardspeicherort gespeichert.

KSA

Wenn ein Befund für eine Ressource erstellt wird, die sich in Saudi-Arabien befindet, befindet sich dieser Befund immer in Saudi-Arabien.

Wenn ein Befund für eine Ressource erstellt wird, die sich an einem anderen Speicherort befindet, wird der Befund am Speicherort des Kundenservicemitarbeiters gespeichert. Die Fundstelle befindet sich jedoch möglicherweise zum Zeitpunkt der Erstellung in einer anderen Region.

Damit Ergebnisse immer am Standort in Saudi-Arabien gespeichert werden, sollten Sie alle Ihre Ressourcen dort erstellen.

Ausblendungsregeln

Konfigurationen von Ausblendungsregeln unterliegen den Kontrollen für den Datenstandort.

EU, USA und weltweit

Wenn Sie diese Ressourcen erstellen, geben Sie den Speicherort an. Diese Konfigurationen gelten nur für Ergebnisse, die sich am selben Speicherort befinden.

KSA

Verwenden Sie die regionalen URLs, um diese Konfigurationsressourcen zu erstellen und zu verwalten. Sie befinden sich zusammen mit Ihren Ergebnissen in Saudi-Arabien.

Die Security Command Center API stellt Konfigurationen von Stummschaltungsregeln als MuteConfig-Ressourcen dar.

Weitere Security Command Center-Ressourcen und -Einstellungen

Security Command Center-Ressourcen und -Einstellungen, die hier nicht aufgeführt sind, z. B. solche, mit denen festgelegt wird, welche Dienste aktiviert oder welche Stufe aktiv ist, unterliegen nicht den Datenstandortkontrollen. Diese Daten werden gemäß den Nutzungsbedingungen der Google Cloud Platform gespeichert.

Daten an einem Standort erstellen oder ansehen

Wenn die Datenspeicherung aktiviert ist, müssen Sie einen Speicherort angeben, wenn Sie Daten erstellen oder aufrufen, die den Datenspeicherungskontrollen unterliegen. In Security Command Center wird automatisch ein Speicherort für erstellte Ergebnisse ausgewählt.

Sie können Daten jeweils nur an einem Ort erstellen oder aufrufen. Wenn Sie beispielsweise Ergebnisse für den globalen Standort (global) auflisten, werden keine Ergebnisse für den Standort „Europäische Union“ (eu) angezeigt.

So erstellen oder rufen Sie Daten ab, die sich an einem Security Command Center-Speicherort befinden:

gcloud scc findings list ORGANIZATION_ID --location=LOCATION

gcloud scc findings list ORGANIZATION_ID --location=LOCATION

gcloud scc findings list ORGANIZATION_ID --location=LOCATION

gcloud config set api_endpoint_overrides/securitycenter \
    https://securitycenter.me-central2.rep.googleapis.com/

gcloud scc findings list ORGANIZATION_ID --location=sa

gcloud scc findings list ORGANIZATION_ID --location=sa

gcloud scc findings list ORGANIZATION_ID --location=sa

GET https://securitycenter.googleapis.com/v2/organizations/ORGANIZATION_ID/sources/-/locations/LOCATION/findings

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securitycenter.googleapis.com/v2/organizations/ORGANIZATION_ID/sources/-/locations/LOCATION/findings"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securitycenter.googleapis.com/v2/organizations/ORGANIZATION_ID/sources/-/locations/LOCATION/findings" | Select-Object -Expand Content

GET https://securitycenter.me-central2.rep.googleapis.com/v2/organizations/ORGANIZATION_ID/sources/-/locations/sa/findings

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securitycenter.me-central2.rep.googleapis.com/v2/organizations/ORGANIZATION_ID/sources/-/locations/sa/findings"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securitycenter.me-central2.rep.googleapis.com/v2/organizations/ORGANIZATION_ID/sources/-/locations/sa/findings" | Select-Object -Expand Content

Nächste Schritte

• Informationen zum Aktivieren von Security Command Center mit aktiviertem Datenstandort
• Aktivieren Sie Security Command Center, um Ergebnisse nach BigQuery zu streamen.
• Richten Sie kontinuierliche Exporte vom Security Command Center nach Pub/Sub ein.
• Erstellen Sie eine Ausblendungsregel für Ergebnisse.