对发现的问题进行补救

本文档介绍了如何修复报告中的发现结果。

报告结合了 Security Command Center 的汇总发现结果和 Cloud Asset Inventory 的清单数据,可让您全面了解组织中的风险。这些报告与 CIS Google Cloud Computing Foundations Benchmark v1.2.0相一致。如需详细了解此框架,请参阅 CIS 基准

根据最佳实践,请先修复网络保险中心报告中指出的影响最大的发现结果。

准备工作

创建报告

修复 CIS 基准发现结果

网络保险中心已与 Security Command Center 高级方案和 Enterprise 方案集成,以 简化 CIS 基准发现结果的修复流程。如果您是 Security Command Center 标准方案 客户,则无法使用 Security Command Center 来检查和修复资源上的所有 单个 CIS 基准发现结果。 Google Cloud 请升级到高级方案或 Enterprise 方案以获得全面支持。如需详细了解如何激活每个 Security Command Center 方案,请参阅激活概览

使用 Security Command Center 高级方案或 Enterprise 方案修复 CIS 基准发现结果

如需使用 Security Command Center 检查和修复单个发现结果,请按以下步骤操作:

  1. 在报告的 CIS 基准主题表中,展开一个 CIS 基准主题以查看该主题的 CIS 基准。

  2. 在 CIS 基准表行中,点击发现结果计数。

    系统会链接到 Security Command Center,以显示与该 CIS 基准相关的有效发现结果。

  3. 在 Security Command Center 的发现结果表中,点击要修复的发现结果的类别。

    系统会打开一个窗格,其中包含有关如何修复该发现结果的信息。

使用 Security Command Center 标准方案修复 CIS 基准

虽然 Cyber Insurance Hub 报告提供了一个表格,其中列出了组织中发现的 CIS 基准主题,但 Security Command Center 标准方案不允许您直接透视到 Security Command Center 中的相关发现结果。

如需查看有关如何修复一般 CIS 基准的说明,请按以下步骤操作:

  1. 在报告的 CIS 基准主题表中,展开一个 CIS 基准主题以查看该主题的 CIS 基准。

  2. 在 CIS 基准表行中,点击 CIS 基准说明。

    系统会链接到该 CIS 基准的一般修复说明。

您还可以按照以下说明修复网络保险中心支持的 CIS 基准的发现结果:

Identity and Access Management
1.1 确保使用的是公司登录凭据
1.2 确保为所有非服务账号启用多重身份验证
1.4 确保每个服务账号只有 GCP 代管式服务账号密钥
1.5 确保服务账号没有管理员权限
1.6 确保未在项目级为 IAM 用户分配 Service Account User 或 Service Account Token Creator 角色
1.7 确保服务账号的用户管理的密钥/外部密钥每 90 天或更短周期轮替一次
1.8 确保在为用户分配与服务帐号相关的角色时强制实施职责分离
1.9 确保无法匿名或公开访问 Cloud KMS CryptoKey
1.10 确保 KMS 加密密钥在 90 天内轮替
1.11 确保在为用户分配与 KMS 相关的角色时强制实施职责分离
1.12 确保没有为项目创建 API 密钥
1.13 确保只有指定的主机和应用可以使用 API 密钥
1.14 确保 API 密钥仅限于应用需要访问的 API
1.15 确保 API 密钥每 90 天轮替一次
日志和监控
2.1 确保已为项目中的所有服务和所有用户正确配置了 Cloud Audit Logging
2.2 确保为所有日志条目配置了接收器
2.3 确保使用存储分区锁定配置日志存储分区的保留政策
2.4 确保项目所有权分配/更改存在日志指标过滤条件和提醒
2.5 确保审核配置更改存在日志指标过滤条件和提醒
2.6 确保自定义角色更改存在日志指标过滤条件和提醒
2.7 确保 VPC 网络防火墙规则更改存在日志指标过滤条件和提醒
2.8 确保 VPC 网络路由更改存在日志指标过滤条件和提醒
2.9 确保 VPC 网络更改存在日志指标过滤条件和提醒
2.10 确保 Cloud Storage IAM 权限更改存在日志指标过滤条件和提醒
2.11 确保 SQL 实例配置更改存在日志指标过滤条件和提醒
2.12 确保已为所有 VPC 网络启用 Cloud DNS 日志记录
网络
3.1 确保项目中不存在默认网络
3.2 确保项目不存在旧式网络
3.3 确保已为 Cloud DNS 启用 DNSSEC
3.4 确保没有为 Cloud DNS DNSSEC 中的密钥签名密钥使用 RSASHA1
3.5 确保没有为 Cloud DNS DNSSEC 中的区域签名密钥使用 RSASHA1
3.6 确保限制源自互联网的 SSH 访问
3.7 确保限制源自互联网的 RDP 访问
3.8 确保为 VPC 网络中的每个子网启用 VPC 流日志
3.9 确保所有 HTTPS 或 SSL 代理负载平衡器都不允许具有低安全系数的加密套件的 SSL 政策
虚拟机
4.1 确保实例未配置为使用默认服务账号
4.2 确保实例未配置为使用对所有 Cloud API 拥有完整访问权限的默认服务帐号
4.3 确保已为虚拟机实例启用“屏蔽项目范围的 SSH 密钥”
4.4 确保为项目启用了 oslogin
4.5 确保虚拟机实例未启用“允许连接到串行端口”功能
4.6 确保未在实例上启用 IP 转发
4.7 确保使用客户提供的加密密钥 (CSEK) 加密关键虚拟机的虚拟机磁盘
4.8 确保在启用了安全强化型虚拟机的情况下启动计算实例
4.9 确保计算实例没有公共 IP 地址
4.11 确保计算实例已启用机密计算
存储
5.1 确保无法匿名或公开访问 Cloud Storage 存储桶
5.2 确保 Cloud Storage 存储桶已启用统一存储桶级访问权限
Cloud SQL 数据库服务
6.1.1 确保 MySQL 数据库实例不允许任何人以管理权限进行连接
6.1.2 确保 Cloud SQL Mysql 实例的“skip_show_database”数据库标志设置为“开启”
6.1.3 确保 Cloud SQL Mysql 实例的“local_infile”数据库标志设置为“关闭”
6.2.1 确保 Cloud SQL PostgreSQL 实例的“log_checkpoints”数据库标志设置为“开启”
6.2.2 确保 Cloud SQL PostgreSQL 实例的“log_error_verbosity”数据库标志设置为“默认”或更严格的值
6.2.3 确保 Cloud SQL PostgreSQL 实例的“log_connections”数据库标志设置为“开启”
6.2.4 确保 Cloud SQL PostgreSQL 实例的“log_disconnections”数据库标志设置为“开启”
6.2.5 确保 Cloud SQL PostgreSQL 实例的“log_duration”数据库标志设置为“开启”
6.2.6 确保 Cloud SQL PostgreSQL 实例的“log_lock_waits”数据库标志设置为“开启”
6.2.7 确保正确设置 Cloud SQL PostgreSQL 实例的“log_statement”数据库标志
6.2.8 确保正确设置 Cloud SQL PostgreSQL 实例的“log_hostname”数据库标志
6.2.9 确保 Cloud SQL PostgreSQL 实例的“log_parser_stats”数据库标志设置为“关闭”
6.2.10 确保 Cloud SQL PostgreSQL 实例的“log_planner_stats”数据库标志设置为“关闭”
6.2.11 确保 Cloud SQL PostgreSQL 实例的“log_executor_stats”数据库标志设置为“关闭”
6.2.12 确保 Cloud SQL PostgreSQL 实例的“log_statement_stats”数据库标志设置为“关闭”
6.2.13 确保正确设置 Cloud SQL PostgreSQL 实例的“log_min_messages”数据库标志
6.2.14 确保 Cloud SQL PostgreSQL 实例的“log_min_error_statement”数据库标志设置为“错误”或更严格的值
6.2.15 确保 Cloud SQL PostgreSQL 实例的“log_temp_files”数据库标志设置为“0”
6.2.16 确保 Cloud SQL PostgreSQL 实例的“log_min_duration_statement”数据库标志设置为“-1”
6.3.1 确保 Cloud SQL SQL Server 实例的“external scripts enabled”数据库标志设置为“关闭”
6.3.2 确保 Cloud SQL SQL Server 实例的“cross db ownership chaining”数据库标志设置为“关闭”
6.3.3 确保适当设置 Cloud SQL SQL Server 实例的“user connections”数据库标志
6.3.4 确保未配置 Cloud SQL SQL Server 实例的“user options”数据库标志
6.3.5 确保 Cloud SQL SQL Server 实例的“remote access”数据库标志设置为“关闭”
6.3.6 确保 Cloud SQL SQL Server 实例的“3625 (trace flag)”数据库标志设置为“关闭”
6.3.7 确保 Cloud SQL SQL Server 实例的“contained database authentication”数据库标志设置为“关闭”
6.4 确保 Cloud SQL 数据库实例要求所有传入连接都使用 SSL
6.5 确保 Cloud SQL 数据库实例并非向所有人开放
6.6 确保 Cloud SQL 数据库实例没有公共 IP 地址
6.7 确保 Cloud SQL 数据库实例配置了自动备份
BigQuery
7.1 确保不能匿名或公开访问 BigQuery 数据集
7.2 确保所有 BigQuery 表都使用客户管理的加密密钥 (CMEK) 加密
7.3 确保为所有 BigQuery 数据集指定了默认客户管理的加密密钥 (CMEK)

接下来怎么做?