修正發現項目

本文說明如何修正報告中的發現事項。

報表會結合 Security Command Center 的彙整發現項目和 Cloud Asset Inventory 的資產清單資料,提供機構風險的彙整檢視畫面。這些報表符合 CIS Google Cloud 運算基本概念 Benchmark v1.2.0 的規範。如要進一步瞭解這個架構,請參閱 CIS 基準

最佳做法是先修正影響最大的發現項目,這類項目會顯示在 Cyber Insurance Hub 報表中。

事前準備

建立報表

修正 CIS 基準發現項目

Cyber Insurance Hub 已整合 Security Command Center 進階版和企業版,可簡化 CIS 基準發現項目的修復程序。如果您是 Security Command Center Standard 級客戶,則無法使用 Security Command Center 檢查及修正 Google Cloud 資源上所有個別的 CIS 基準發現項目。升級至 Premium 方案或 Enterprise 方案,即可享有完整支援服務。如要進一步瞭解如何啟用各個 Security Command Center 層級,請參閱「啟用總覽」。

使用 Security Command Center Premium 或 Enterprise 級別修正 CIS 基準發現項目

如要使用 Security Command Center 檢查及修正個別發現項目,請按照下列步驟操作:

  1. 在報表的 CIS 基準主題表格中,展開 CIS 基準主題,即可查看該主題的 CIS 基準。

  2. 在 CIS 基準表格列中,按一下發現項目計數。

    這個連結會連至 Security Command Center,顯示與該 CIS 基準相關的現有發現項目。

  3. 在 Security Command Center 的發現項目表格中,點選要修正的發現項目類別。

    畫面上會開啟窗格,顯示如何修復該發現項目的資訊。

使用 Security Command Center Standard 級別修正 CIS 基準

雖然 Cyber Insurance Hub 報告會提供貴機構中發現的 CIS 基準主題表格,但 Security Command Center Standard 級方案無法讓您直接轉向 Security Command Center 中的相關發現項目。

如要查看一般 CIS 基準的補救說明,請按照下列步驟操作:

  1. 在報表的 CIS 基準主題表格中,展開 CIS 基準主題,即可查看該主題的 CIS 基準。

  2. 在 CIS 基準表格列中,按一下 CIS 基準說明。

    這個連結會連至該 CIS 基準的一般修正說明。

您也可以按照下列操作說明,修正 Cyber Insurance Hub 支援的 CIS 基準發現項目:

Identity and Access Management
1.1 確保使用的是公司登入憑證
1.2 確保所有非服務帳戶都已啟用多重驗證功能
1.4 確保每個服務帳戶只有 GCP 代管的服務帳戶金鑰
1.5 確保服務帳戶沒有管理員權限
1.6 確保未在專案層級為 IAM 使用者指派「服務帳戶使用者」或「服務帳戶權杖建立者」角色
1.7 確保服務帳戶的使用者管理/外部金鑰每隔最多 90 天輪替一次
1.8 確保將服務帳戶相關角色指派給使用者時,強制執行職責分離
1.9 確保 Cloud KMS CryptoKey 無法匿名或公開存取
1.10 確保 KMS 加密金鑰在 90 天內輪替完成
1.11 確保將 KMS 相關角色指派給使用者時,強制執行職責分離
1.12 確保未替專案建立 API 金鑰
1.13 確保只有指定的主機和應用程式才能使用 API 金鑰
1.14 確保 API 金鑰僅限於應用程式需要存取的 API
1.15 確保 API 金鑰每 90 天輪替一次
記錄和監控
2.1 確保為專案中所有服務和所有使用者正確設定 Cloud 稽核記錄
2.2 確保已為所有記錄項目設定接收器
2.3 確保記錄檔值區的資料保留政策已設定值區鎖定功能
2.4 確保專案擁有權指派/變更的記錄檔指標篩選器和警告存在
2.5 確保稽核設定變更的記錄檔指標篩選器和警告存在
2.6 確保自訂角色變更的記錄檔指標篩選器和警告存在
2.7 確保虛擬私有雲網路防火牆規則變更的記錄指標篩選器和快訊存在
2.8 確保虛擬私有雲網路路由變更的記錄檔指標篩選器和警告存在
2.9 確保虛擬私有雲網路變更的記錄檔指標篩選器和警告存在
2.10 確保 Cloud Storage IAM 權限變更的記錄指標篩選器和快訊存在
2.11 確保 SQL 執行個體設定變更的記錄檔指標篩選器和警告存在
2.12 確保所有虛擬私有雲網路均已啟用 Cloud DNS 記錄功能
網路
3.1 確保專案中沒有預設網路
3.2 確保專案中沒有舊版網路
3.3 確保 Cloud DNS 已啟用 DNSSEC
3.4 確保 RSASHA1 未用於 Cloud DNS DNSSEC 的金鑰簽署金鑰
3.5 確保 RSASHA1 未用於 Cloud DNS DNSSEC 的可用區簽署金鑰
3.6 確保無法透過網際網路存取 SSH
3.7 確保無法透過網際網路存取遠端桌面協定
3.8 確保虛擬私有雲網路中所有子網路均已啟用虛擬私有雲流量記錄
3.9 確保所有 HTTPS 或 SSL Proxy 負載平衡器皆不允許使用含低強度加密套件的 SSL 政策
虛擬機器
4.1 確保未將執行個體設為使用預設服務帳戶
4.2 確保未將執行個體設為使用具備所有 Cloud API 完整存取權的預設服務帳戶
4.3 確保 VM 執行個體已啟用「封鎖專案層級的安全殼層金鑰」選項
4.4 確保專案已啟用 oslogin
4.5 確保 VM 執行個體未啟用「啟用序列埠連線」
4.6 確保未在執行個體中啟用 IP 轉送功能
4.7 確保使用客戶提供的加密金鑰 (CSEK) 來為重要 VM 加密 VM 磁碟
4.8 確認 Compute 執行個體啟動時已啟用受防護的 VM
4.9 確保 Compute 執行個體沒有公開 IP 位址
4.11 確保 Compute 執行個體已啟用機密運算功能
儲存空間
5.1 確保 Cloud Storage bucket 不可匿名或公開存取
5.2 確保 Cloud Storage 值區已啟用統一值區層級存取權
Cloud SQL 資料庫服務
6.1.1 確保 MySQL 資料庫執行個體不允許任何人透過管理員權限連線
6.1.2 確保 Cloud SQL MySQL 執行個體的「skip_show_database」資料庫旗標已設為「on」
6.1.3 確保 Cloud SQL MySQL 執行個體的「local_infile」資料庫旗標已設為「off」
6.2.1 確保 Cloud SQL PostgreSQL 執行個體的「log_checkpoints」資料庫旗標已設為「on」
6.2.2 確保 Cloud SQL PostgreSQL 執行個體的「log_error_verbosity」資料庫旗標已設為「DEFAULT」或更嚴格的值
6.2.3 確保 Cloud SQL PostgreSQL 執行個體的「log_connections」資料庫旗標已設為「on」
6.2.4 確保 Cloud SQL PostgreSQL 執行個體的「log_disconnections」資料庫旗標已設為「on」
6.2.5 確保 Cloud SQL PostgreSQL 執行個體的「log_duration」資料庫旗標已設為「on」
6.2.6 確保 Cloud SQL PostgreSQL 執行個體的「log_lock_waits」資料庫旗標已設為「on」
6.2.7 確保 Cloud SQL PostgreSQL 執行個體的「log_statement」資料庫旗標已正確設定
6.2.8 確保 Cloud SQL PostgreSQL 執行個體的「log_hostname」資料庫旗標已正確設定
6.2.9 確保 Cloud SQL PostgreSQL 執行個體的「log_parser_stats」資料庫旗標已設為「off」
6.2.10 確保 Cloud SQL PostgreSQL 執行個體的「log_planner_stats」資料庫旗標已設為「off」
6.2.11 確保 Cloud SQL PostgreSQL 執行個體的「log_executor_stats」資料庫旗標已設為「off」
6.2.12 確保 Cloud SQL PostgreSQL 執行個體的「log_statement_stats」資料庫旗標已設為「off」
6.2.13 確保 Cloud SQL PostgreSQL 執行個體的「log_min_messages」資料庫旗標已正確設定
6.2.14 確保 Cloud SQL PostgreSQL 執行個體的「log_min_error_statement」資料庫旗標已設為「Error」或更嚴格的值
6.2.15 確保 Cloud SQL PostgreSQL 執行個體的「log_temp_files」資料庫旗標已設為「0」
6.2.16 確保 Cloud SQL PostgreSQL 執行個體的「log_min_duration_statement」資料庫旗標已設為「-1」
6.3.1 確保 Cloud SQL SQL Server 執行個體的「external scripts enabled」資料庫旗標已設為「off」
6.3.2 確保 Cloud SQL SQL Server 執行個體的「cross db ownership chaining」資料庫旗標已設為「off」
6.3.3 確保 Cloud SQL SQL Server 執行個體的「user connections」資料庫旗標已正確設定
6.3.4 確保 Cloud SQL SQL Server 執行個體的「user options」資料庫旗標未設定
6.3.5 確保 Cloud SQL SQL Server 執行個體的「remote access」資料庫旗標已設為「off」
6.3.6 確保 Cloud SQL SQL Server 執行個體的「3625 (追蹤記錄旗標)」資料庫旗標已設為「off」
6.3.7 確保 SQL Server 執行個體中 Cloud SQL 的「contained database authentication」資料庫旗標已設為「off」
6.4 確保 Cloud SQL 資料庫執行個體要求所有連入的連線使用安全資料傳輸層 (SSL)
6.5 確保 Cloud SQL 資料庫執行個體並未開放給全世界使用
6.6 確保 Cloud SQL 資料庫執行個體沒有公開 IP
6.7 確保 Cloud SQL 資料庫執行個體已設定自動備份功能
BigQuery
7.1 確保 BigQuery 資料集無法匿名或公開存取
7.2 確保所有 BigQuery 資料表都是透過客戶自行管理的加密金鑰 (CMEK) 進行加密
7.3 確保您已為所有 BigQuery 資料集指定預設的客戶自行管理加密金鑰 (CMEK)

後續步驟