Postura predefinita per il networking VPC, estesa

Questa pagina descrive i criteri preventivi e di rilevamento inclusi nella versione 1.0 della postura predefinita per il networking Virtual Private Cloud (VPC) esteso. Questa postura include due set di policy:

  • Un insieme di criteri che include vincoli dei criteri dell'organizzazione che si applicano al networking VPC.

  • Un insieme di policy che include i rilevatori di Security Health Analytics che si applicano al networking VPC.

Puoi utilizzare questa postura predefinita per configurare una postura di sicurezza che contribuisca a proteggere il networking VPC. Se vuoi implementare questa postura predefinita, devi personalizzare alcune norme in modo che si applichino al tuo ambiente.

Vincoli dei criteri dell'organizzazione

La tabella seguente descrive i vincoli dei criteri dell'organizzazione inclusi in questa postura.

Norme Descrizione Standard di conformità
compute.skipDefaultNetworkCreation

Questo vincolo booleano disattiva la creazione automatica di una rete VPC predefinita e di regole firewall predefinite in ogni nuovo progetto, garantendo che la rete e le regole firewall vengano create intenzionalmente.

Il valore è true per evitare di creare la rete VPC predefinita.

 Controllo NIST SP 800-53: SC-7 e SC-8
ainotebooks.restrictPublicIp

Se applicato, questo vincolo booleano restringe l'accesso degli IP pubblici a istanze e blocchi note di Vertex AI Workbench appena creati. Per impostazione predefinita, gli indirizzi IP pubblici possono accedere alle istanze e ai blocchi note di Vertex AI Workbench.

Il valore è true per limitare l'accesso IP pubblico sui nuovi notebook e istanze di Vertex AI Workbench.

 Controllo NIST SP 800-53: SC-7 e SC-8
compute.disableNestedVirtualization

Questo vincolo booleano disabilita la virtualizzazione nidificata per tutte le VM di Compute Engine per ridurre il rischio per la sicurezza correlato alle istanze nidificate non monitorate.

Il valore è true per disattivare la virtualizzazione nidificata della VM.

 Controllo NIST SP 800-53: SC-7 e SC-8
compute.vmExternalIpAccess

Questo vincolo dell'elenco definisce le istanze VM di Compute Engine autorizzate a utilizzare indirizzi IP esterni. Per impostazione predefinita, tutte le istanze VM sono autorizzate a utilizzare indirizzi IP esterni. Il vincolo utilizza il formato projects/PROJECT_ID/zones/ZONE/instances/INSTANCE.

Devi configurare questo valore quando adotti questa postura predefinita.

 Controllo NIST SP 800-53: SC-7 e SC-8
ainotebooks.restrictVpcNetworks

Questo vincolo dell'elenco definisce le reti VPC che l'utente può selezionare quando crea nuove istanze Vertex AI Workbench in cui questo vincolo è applicato.

Devi configurare questo valore quando adotti questa postura predefinita.

 Controllo NIST SP 800-53: SC-7 e SC-8
compute.vmCanIpForward

Questo vincolo dell'elenco definisce le reti VPC che un utente può selezionare quando crea nuove istanze Vertex AI Workbench. Per impostazione predefinita, puoi creare un'istanza Vertex AI Workbench con qualsiasi rete VPC.

Devi configurare questo valore quando adotti questa postura predefinita.

 Controllo NIST SP 800-53: SC-7 e SC-8

Rilevatori di Security Health Analytics

La tabella seguente descrive i rilevatori di Security Health Analytics inclusi nella postura predefinita. Per ulteriori informazioni su questi rilevatori, consulta Risultati delle vulnerabilità.

Nome rilevatore Descrizione
FIREWALL_NOT_MONITORED

Questo rilevatore verifica se le metriche di log e gli avvisi non sono configurati per monitorare le modifiche alle regole firewall VPC.
NETWORK_NOT_MONITORED

Questo rilevatore verifica se le metriche di log e gli avvisi non sono configurati per monitorare le modifiche alla rete VPC.
ROUTE_NOT_MONITORED

Questo rilevatore verifica se le metriche di log e gli avvisi non sono configurati per monitorare le modifiche alle route di rete VPC.
DNS_LOGGING_DISABLED

Questo rilevatore controlla se il logging DNS è abilitato sulla rete VPC.
FLOW_LOGS_DISABLED

Questo rilevatore controlla se i log di flusso sono abilitati nella subnet VPC.
VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED

Questo rilevatore controlla se la proprietà enableFlowLogs delle subnet VPC è mancante o impostata su false.

Visualizza il modello di postura

Per visualizzare il modello di postura per il networking VPC, esteso:

gcloud

Prima di utilizzare i dati dei comandi riportati di seguito, apporta le seguenti sostituzioni:

  • ORGANIZATION_ID: l'ID numerico dell'organizzazione

Esegui il comando gcloud scc posture-templates describe:

Linux, macOS o Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended

Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended

Windows (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended

La risposta contiene il modello di postura.

REST

Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:

  • ORGANIZATION_ID: l'ID numerico dell'organizzazione

Metodo HTTP e URL: 

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended

Per inviare la richiesta, espandi una di queste opzioni:

La risposta contiene il modello di postura.

Passaggi successivi