Auf dieser Seite finden Sie Empfehlungen zur Verwaltung von Security Command Center-Diensten und -Features, damit Sie das Produkt optimal nutzen können.
Security Command Center ist eine leistungsstarke Plattform für das Monitoring von Daten- und Sicherheitsrisiken in Ihrer Organisation oder in einzelnen Projekten. Security Command Center bietet maximalen Schutz bei minimalem Konfigurationsbedarf. Es gibt jedoch Maßnahmen, die Sie ergreifen können, um die Plattform auf Ihren Workflow abzustimmen und Ihre Ressourcen zu schützen.
Premium- oder Enterprise-Stufe aktivieren
Die Premium- und Enterprise-Stufen von Security Command Center bieten den bestmöglichen Schutz durch eine breite Palette von Cloud-Sicherheits- und Sicherheitsoperations-Funktionen, darunter Bedrohungserkennung, Erkennung von Softwarelücken, Compliance-Bewertungen und vieles mehr. Die Standardstufe bietet nur eingeschränkte Dienste und Funktionen.
Weitere Informationen zu allen Funktionen des Security Command Centers finden Sie unter Security Command Center – Übersicht.
Informationen zu den Funktionen der einzelnen Stufen finden Sie hier:
Aktivierung der Premium-Stufe auf Projektebene verwenden
Sie können die Premium-Stufe für Organisationen oder einzelne Projekte selbst in der Google Cloud Console aktivieren.
Bei Aktivierungen auf Projektebene sind bestimmte Funktionen, für die Zugriff auf Organisationsebene erforderlich ist, unabhängig von der Stufe nicht verfügbar. Weitere Informationen finden Sie unter Featureverfügbarkeit bei Aktivierungen auf Projektebene.
Aktivierungen der Premium-Stufe werden basierend auf dem Ressourcenverbrauch abgerechnet, es sei denn, Sie kaufen ein Abo auf Organisationsebene. Weitere Informationen finden Sie unter Preise.
Weitere Informationen zur Aktivierung der einzelnen Security Command Center-Stufen finden Sie unter Security Command Center aktivieren.
Alle integrierten Dienste aktivieren
Wir empfehlen, alle integrierten Dienste zu aktivieren, sofern die Best Practices für die einzelnen Dienste dies zulassen.
Wenn Security Command Center bereits aktiviert ist, können Sie auf der Seite Einstellungen prüfen, welche Dienste aktiviert sind.
Sie können jeden Dienst deaktivieren. Wir empfehlen jedoch, alle Dienste in Ihrer Stufe permanent aktiviert zu lassen. Wenn alle Dienste aktiviert sind, können Sie kontinuierliche Updates nutzen und dafür sorgen, dass Schutz für neue und geänderte Ressourcen bereitgestellt wird.
Lesen Sie sich die Best Practices für Web Security Scanner durch, bevor Sie Web Security Scanner in der Produktion aktivieren.
Eventuell sollten Sie auch integrierte Dienste (Anomalieerkennung, Schutz sensibler Daten und Google Cloud Armor) aktivieren, sich Sicherheitsdienste von Drittanbietern ansehen und Cloud Logging für Event Threat Detection und Container Threat Detection aktivieren. Je nach Menge der Informationen können die Kosten für den Schutz sensibler Daten und Google Cloud Armor erheblich sein. Halten Sie sich an die Best Practices zum Steuern von Kosten für den Schutz sensibler Daten und lesen Sie die Preisübersicht für Google Cloud Armor.
Protokolle für die Ereignis-Bedrohungserkennung aktivieren
Wenn Sie Event Threat Detection verwenden, müssen Sie möglicherweise bestimmte Logs aktivieren, die von Event Threat Detection gescannt werden. Einige Logs sind immer aktiviert, z. B. Audit-Logs zu Administratoraktivitäten in Cloud Logging. Andere Logs, z. B. die meisten Audit-Logs zum Datenzugriff, sind standardmäßig deaktiviert und müssen aktiviert werden, bevor sie von der Ereignisbedrohungserkennung gescannt werden können.
Sie sollten unter anderem die folgenden Protokolle aktivieren:
- Audit-Logs zum Datenzugriff in Cloud Logging
- Google Workspace-Logs (nur Aktivierung auf Organisationsebene)
Welche Protokolle Sie aktivieren müssen, hängt von folgenden Faktoren ab:
- Die von Ihnen verwendeten Google Cloud-Dienste
- Die Sicherheitsanforderungen Ihres Unternehmens
Für die Aufnahme und Speicherung bestimmter Protokolle können beim Logging Gebühren anfallen. Bevor Sie Logs aktivieren, sollten Sie sich die Preise für Logging ansehen.
Nachdem ein Protokoll aktiviert wurde, wird es automatisch von Event Threat Detection gescannt.
Ausführliche Informationen dazu, welche Logs für welche Erkennungsmodule erforderlich sind und welche davon aktiviert werden müssen, finden Sie unter Zu aktivierende Logs.
Ressourcen mit hohem Umsatzpotenzial definieren
Damit Sie Sicherheitslücken und Fehlkonfigurationen priorisieren können, die die für Sie wichtigsten Ressourcen gefährden, geben Sie an, welche Ihrer hochwertigen Ressourcen in die Gruppe Ihrer hochwertigen Ressourcen gehören.
Ergebnisse, die die Ressourcen in Ihrer Gruppe wertvoller Ressourcen gefährden, erhalten eine höhere Angriffsrisikobewertung.
Sie geben die Ressourcen an, die in Ihren Satz hochwertiger Ressourcen gehören, indem Sie Konfigurationen für den Wert von Ressourcen erstellen. Bis Sie Ihre erste Konfiguration für Ressourcenwerte erstellen, verwendet Security Command Center ein Standard-Ressourcenset mit hohem Wert, das nicht an Ihre Sicherheitsprioritäten angepasst ist.
Security Command Center in der Google Cloud Console verwenden
In der Google Cloud Console bietet das Security Command Center Funktionen und visuelle Elemente, die in der Security Command Center API noch nicht verfügbar sind. Die Funktionen, darunter eine intuitive Benutzeroberfläche, formatierte Diagramme, Complianceberichte und visuelle Hierarchien von Ressourcen, geben Ihnen einen besseren Einblick in Ihre Organisation. Weitere Informationen finden Sie unter Security Command Center in der Google Cloud Console verwenden.
Funktionalität mit der API und mit gcloud erweitern
Wenn Sie programmatischen Zugriff benötigen, testen Sie die Security Command Center-Clientbibliotheken und die Security Command Center API, mit denen Sie auf Ihre Security Command Center-Umgebung zugreifen und diese steuern können. Sie können API Explorer mit der Bezeichnung „API testen“ in Bereichen auf API-Referenzseiten verwenden, um die Security Command Center API ohne API-Schlüssel interaktiv zu erntdecken. Sie können sich verfügbare Methoden und Parameter ansehen, Anfragen ausführen und Antworten in Echtzeit sehen.
Mit der Security Command Center API können Analysten und Administratoren Ihre Ressourcen und Ergebnisse verwalten. Entwickler können mit der API Lösungen für benutzerdefinierte Berichte und Monitoring erstellen.
Funktionalität mit benutzerdefinierten Erkennungsmodulen erweitern
Wenn Sie Erkennungsmechanismen benötigen, die den individuellen Anforderungen Ihrer Organisation entsprechen, können Sie benutzerdefinierte Module erstellen:
- Mit benutzerdefinierten Modulen für Security Health Analytics können Sie eigene Erkennungsregeln für Sicherheitslücken, Fehlkonfigurationen oder Complianceverstöße definieren.
- Mit benutzerdefinierten Modulen für Event Threat Detection können Sie Ihren Logging-Stream anhand von von Ihnen angegebenen Parametern auf Bedrohungen überwachen.
Ressourcen prüfen und verwalten
In Security Command Center werden alle Ihre Assets auf der Seite Assets in der Google Cloud Console angezeigt. Dort können Sie Ihre Assets abfragen und Informationen zu ihnen aufrufen, einschließlich zugehöriger Ergebnisse, Änderungsverlauf, Metadaten und IAM-Richtlinien.
Die Asset-Informationen auf der Seite Assets werden aus Cloud Asset Inventory gelesen. Wenn Sie Echtzeitbenachrichtigungen zu Ressourcen- und Richtlinienänderungen erhalten möchten, erstellen und abonnieren Sie einen Feed.
Weitere Informationen finden Sie auf der Seite „Assets“.
Schnell auf Sicherheitslücken und Bedrohungen reagieren
Die Ergebnisse von Security Command Center enthalten Daten zu erkannten Sicherheitsproblemen, einschließlich ausführlicher Details zu den betroffenen Ressourcen und Schritt-für-Schritt-Anleitungen zur Untersuchung und Behebung von Sicherheitslücken und Bedrohungen.
In den Ergebnissen zu Sicherheitslücken werden die erkannte Sicherheitslücke oder Fehlkonfiguration beschrieben, ein Angriffsbewertungswert und eine geschätzte Schwere berechnet. Die Ergebnisse zu Sicherheitslücken warnen Sie auch bei Verstößen gegen Sicherheitsstandards oder -Benchmarks. Weitere Informationen finden Sie unter Unterstützte Benchmarks.
Mit Security Command Center Premium enthalten die Ergebnisse zu Sicherheitslücken auch Informationen von Mandiant zur Ausnutzbarkeit und den potenziellen Auswirkungen der Sicherheitslücke basierend auf dem entsprechenden CVE-Eintrag. Anhand dieser Informationen können Sie die Behebung der Sicherheitslücke priorisieren. Weitere Informationen finden Sie unter CVEs nach Auswirkung und Ausnutzbarkeit priorisieren.
Zu den Bedrohungsergebnissen gehören Daten aus dem MITRE-ATT&CK-Framework, das Techniken für Angriffe auf Cloud-Ressourcen erläutert und Hinweise zur Problembehebung bietet, und VirusTotal, eine Alphabet-eigener Dienst, der Kontext zu potenziell schädlichen Dateien, URLs, Domains und IP-Adressen bereitstellt.
Die folgenden Anleitungen sollen als Ausgangspunkt dienen, um Probleme zu beheben und Ihre Ressourcen zu schützen.
- Behebung von Security Health Analytics-Ergebnissen
- Web Security Scanner-Ergebnisse beheben
- Bedrohungen untersuchen und darauf reagieren
Ergebnismenge steuern
Wenn Sie die Ergebnismenge im Security Command Center steuern möchten, können Sie einzelne Ergebnisse manuell oder programmatisch ausblenden oder Ausblendungsregeln erstellen, mit denen Ergebnisse basierend auf von Ihnen definierten Filtern automatisch ausgeblendet werden. Es gibt zwei Arten von Stummschaltungsregeln, mit denen Sie die Lautstärke von Suchergebnissen steuern können:
- Statische Ausblendungsregeln, mit denen zukunftsgerichtete Ergebnisse auf unbestimmte Zeit ausgeblendet werden.
- Dynamische Ausblendungsregeln mit einer Option zum vorübergehenden Ausblenden aktueller und zukünftiger Ergebnisse.
Wir empfehlen, ausschließlich dynamische Stummschaltungsregeln zu verwenden, um die Anzahl der manuell geprüften Ergebnisse zu reduzieren. Um Verwechslungen zu vermeiden, empfehlen wir, nicht gleichzeitig statische und dynamische Stummschaltungsregeln zu verwenden. Einen Vergleich der beiden Regeltypen findest du unter Arten von Stummschaltungsregeln.
Ausgeblendete Ergebnisse werden zwar nicht angezeigt, aber weiterhin zu Audit- und Compliance-Zwecken in Logs erfasst. Sie können ausgeblendete Ergebnisse aufrufen und ihre Ausblendung jederzeit aufheben. Weitere Informationen finden Sie unter Ergebnisse in Security Command Center ausblenden.
Das Ausblenden von Ergebnissen mit dynamischen Ausblendungsregeln ist der empfohlene und effektivste Ansatz zur Steuerung des Ergebnisvolumens. Alternativ können Sie Sicherheitsmarkierungen verwenden, um Assets auf Zulassungslisten zu setzen.
Jeder Security Health Analytics-Detektor hat einen speziellen Markierungstyp, mit dem Sie markierte Ressourcen aus der Erkennungsrichtlinie ausschließen können. Dieses Feature ist nützlich, wenn Sie nicht möchten, dass Ergebnisse für bestimmte Ressourcen oder Projekte erstellt werden.
Weitere Informationen zu Sicherheitsmarkierungen finden Sie unter Sicherheitsmarkierungen verwenden.
Benachrichtigungen einrichten
Benachrichtigungen warnen Sie bezüglich neuer und aktualisierter Ergebnisse nahezu in Echtzeit. Mit E-Mail- und Chat-Benachrichtigungen ist das auch möglich, selbst wenn Sie nicht bei Security Command Center angemeldet sind. Weitere Informationen finden Sie unter Ergebnisbenachrichtigungen einrichten.
Mit Security Command Center Premium können Sie kontinuierliche Exporte erstellen, was das Exportieren von Ergebnissen nach Pub/Sub vereinfacht.
Cloud Run-Funktionen kennenlernen
Cloud Run-Funktionen ist ein Google Cloud-Dienst, mit dem Sie Cloud-Dienste verbinden und Code als Reaktion auf Ereignisse ausführen können. Mit der Notifications API und Cloud Run-Funktionen können Sie Ergebnisse an Fehlerbehebungs- und Ticketsysteme von Drittanbietern senden oder automatisierte Aktionen ausführen, z. B. Ergebnisse automatisch schließen.
Öffnen Sie zuerst das Open-Source-Repository von Security Command Center mit Cloud Run-Funktionscode. Das Repository enthält Lösungen, die Sie bei der Durchführung automatisierter Aktionen zu Sicherheitsergebnissen unterstützen.
Kommunikation aktiviert lassen
Security Command Center wird regelmäßig mit neuen Detektoren und Features aktualisiert. Versionshinweise informieren Sie über Produktänderungen und Aktualisierungen der Dokumentation. Sie können jedoch Ihre Kommunikationseinstellungen in der Google Cloud Console festlegen, um Produktaktualisierungen und Sonderangebote per E-Mail oder auf Ihrem Mobilgerät zu erhalten. Sie können auch angeben, ob Sie an Nutzerumfragen und Pilotprogrammen teilnehmen möchten.
Wenn Sie Kommentare oder Fragen haben, können Sie Feedback geben, indem Sie sich an Ihren Vertriebsmitarbeiter wenden, unseren Cloud Support kontaktieren oder einen Programmfehler melden.