01 開始使用 Security Command Center Enterprise

课程 · 4 个小时

< 1%

完成

访问 700 多个实验和课程

開始使用 Security Command Center

实验 1 小时 universal_currency_alt 1 积分 show_chart 入门级

info 此实验可能会提供 AI 工具来支持您学习。

GSP1124
總覽
設定和需求
情境
工作 1：探索 SCC 介面元素
工作 2：在專案層級設定 SCC
工作 3：分析並修正 SCC 安全漏洞發現項目
恭喜！

访问 700 多个实验和课程

GSP1124

總覽

Security Command Center (SCC) 是安全監控平台，可協助使用者：

發現 Google Cloud 資源有關安全性設定的錯誤。
回報 Google Cloud 環境中現有的威脅。
修正 Google Cloud 各項資產的安全漏洞。

在本實驗室中，您將認識 Security Command Center 的介面、設定及發現的安全漏洞，開始練習使用這項服務。

目標

在本實驗室中，您將瞭解如何執行下列工作：

探索 SCC 介面元素。
在專案層級設定 SCC。
分析並修正 SCC 安全漏洞發現項目。

事前準備

雖非強制要求，但開始本實驗室前，建議您先熟悉：

雲端運算概念。
Google Cloud 控制台。
發現項目的嚴重性分類。

設定和需求

瞭解以下事項後，再點選「Start Lab」按鈕

請詳閱以下操作說明。實驗室活動會計時，且中途無法暫停。點選「Start Lab」後就會開始計時，顯示可使用 Google Cloud 資源的時間。

您將在真正的雲端環境完成實作實驗室活動，而不是模擬或示範環境。為此，我們會提供新的暫時憑證，供您在實驗室活動期間登入及存取 Google Cloud。

為了順利完成這個實驗室，請先確認：

可以使用標準的網際網路瀏覽器 (Chrome 瀏覽器為佳)。

注意事項：請使用無痕模式 (建議選項) 或私密瀏覽視窗執行此實驗室，這可以防止個人帳戶和學員帳戶之間的衝突，避免個人帳戶產生額外費用。

是時候完成實驗室活動了！別忘了，活動一旦開始將無法暫停。

注意事項：務必使用實驗室專用的學員帳戶。如果使用其他 Google Cloud 帳戶，可能會產生額外費用。

如何開始研究室及登入 Google Cloud 控制台

點選「Start Lab」按鈕。如果實驗室會產生費用，畫面上會出現選擇付款方式的對話方塊。左側的「Lab Details」窗格會顯示下列項目：
- 「Open Google Cloud console」按鈕
- 剩餘時間
- 必須在這個研究室中使用的臨時憑證
- 完成這個實驗室所需的其他資訊 (如有)
點選「Open Google Cloud console」；如果使用 Chrome 瀏覽器，也能按一下滑鼠右鍵，選取「在無痕視窗中開啟連結」。

接著，實驗室會啟動相關資源，並開啟另一個分頁，顯示「登入」頁面。

提示：您可以在不同的視窗中並排開啟分頁。
注意：如果頁面中顯示「選擇帳戶」對話方塊，請點選「使用其他帳戶」。
如有必要，請將下方的 Username 貼到「登入」對話方塊。
{{{user_0.username | "Username"}}}
您也可以在「Lab Details」窗格找到 Username。
點選「下一步」。
複製下方的 Password，並貼到「歡迎使用」對話方塊。
{{{user_0.password | "Password"}}}
您也可以在「Lab Details」窗格找到 Password。
點選「下一步」。
重要事項：請務必使用實驗室提供的憑證，而非自己的 Google Cloud 帳戶憑證。注意：如果使用自己的 Google Cloud 帳戶來進行這個實驗室，可能會產生額外費用。
按過後續的所有頁面：
- 接受條款及細則。
- 由於這是臨時帳戶，請勿新增救援選項或雙重驗證機制。
- 請勿申請免費試用。

Google Cloud 控制台稍後會在這個分頁開啟。

注意：如要使用 Google Cloud 產品和服務，請點選「導覽選單」，或在「搜尋」欄位輸入服務或產品名稱。

啟動 Cloud Shell

Cloud Shell 是搭載多項開發工具的虛擬機器，提供永久的 5 GB 主目錄，而且在 Google Cloud 中運作。Cloud Shell 提供指令列存取權，方便您使用 Google Cloud 資源。

點按 Google Cloud 控制台頂端的「啟用 Cloud Shell」圖示。
系統顯示視窗時，請按照下列步驟操作：
- 繼續操作 Cloud Shell 視窗。
- 授權 Cloud Shell 使用您的憑證發出 Google Cloud API 呼叫。

連線建立完成即代表已通過驗證，而且專案已設為您的 Project_ID：。輸出內容中有一行文字，宣告本工作階段的 Project_ID：

Your Cloud Platform project in this session is set to {{{project_0.project_id | "PROJECT_ID"}}}

gcloud 是 Google Cloud 的指令列工具，已預先安裝於 Cloud Shell，並支援 Tab 鍵自動完成功能。

(選用) 您可以執行下列指令來列出使用中的帳戶：

gcloud auth list

點按「授權」。

輸出內容：

ACTIVE: * ACCOUNT: {{{user_0.username | "ACCOUNT"}}} To set the active account, run: $ gcloud config set account `ACCOUNT`

(選用) 您可以使用下列指令來列出專案 ID：

gcloud config list project

輸出內容：

[core] project = {{{project_0.project_id | "PROJECT_ID"}}}

注意：如需 gcloud 的完整說明，請前往 Google Cloud 參閱 gcloud CLI 總覽指南。

情境

Cymbal Bank 是美國的零售銀行，在全美 50 州共有超過 2,000 家分行。該銀行提供全方位的金融卡與信用卡服務，且服務建構於完善的付款平台上。Cymbal Bank 正在對舊式的金融服務機構進行數位轉型。

Cymbal Bank 於 1920 年以 Troxler 之名成立。Cymbal Group 持續投注大量資源打造專屬 ATM，隨後於 1975 年收購 Troxler 公司。隨著該銀行躍身為全國業界龍頭，他們將策略重點放在翻新各分行的現場客戶體驗，以及 2014 年推出的應用程式數位體驗。Cymbal Bank 從全國各地聘請 42,000 名員工，2019 年回報的收益為 $240 億美元。

Cymbal Bank 有意整合集中式安全監控平台，以監控公司銀行應用程式及各項 Google Cloud 資源中的威脅，並修復安全漏洞。身為雲端資安工程師，您的工作是瞭解 Security Command Center 的各種先進功能，並向技術長說明該服務的優點。

工作 1：探索 SCC 介面元素

在這項工作中，您將認識 Security Command Center (SCC) 介面，瞭解這項服務的主要功能。

按一下 Cloud 控制台的「導覽選單」圖示 ()，依序選取「安全性」>「風險總覽」。

注意：如果系統通知您「建立機構」，只要重新整理瀏覽器即可繼續操作。

向下捲動「風險總覽」頁面，查看「過去一段時間出現的新威脅」和「安全漏洞 (按照資源類型區分)」資訊面板。

SCC 可利用「威脅」與「安全漏洞」這兩種「發現項目類別」，分類及回報環境中的安全問題。如需進一步瞭解，請參閱「發現項目類別」說明文件。

「威脅」資訊可讓使用者知道 Google Cloud 環境當前的可疑活動，例如服務帳戶正在調查自身權限。
「安全漏洞」則提供資源設定錯誤/安全漏洞資訊，例如 TCP 通訊埠遭公開，或是有舊版資料庫在虛擬機器上運作。

「發現項目」是 SCC 產生的記錄，顯示在 Security Command Center 資訊主頁上，提供安全漏洞或威脅的詳細資料。

在「過去一段時間出現的新威脅」資訊卡上，按一下「按照資源類型分組的發現項目」分頁標籤。

這張資訊卡會列舉專案中現有的威脅，您可以使用此資訊面板右側的「時間範圍」下拉式選單指定時間範圍。

注意：本實驗室執行個體使用不曾遭受攻擊的沙箱 Google Cloud 專案，因此威脅數量為零。在另一個實驗室「透過 Security Command Center 偵測與調查威脅」中，您將瞭解如何抵禦威脅。

時間範圍下拉式選單的預設選項為「過去 7 天內」，但您可以查看過去 180 天的所有威脅。

在「時間範圍」選取器中選取「過去 180 天內」。
向下捲動至「安全漏洞 (按照資源類型區分)」資訊卡。

此時會顯示約 80 個未解決的安全漏洞。

會有這些發現項目，多半是因為本實驗室採用預設的虛擬私有雲網路，設計上並未融入安全考量。舉例來說，這個網路的防火牆規則允許利用 SSH 和 RDP 從任一 IP 位址存取內容。

現在，請捲動至下方「未解決的安全漏洞」資訊卡。
如果未預設為已選取，請按一下「按照類別區分的發現項目」分頁標籤。

畫面會顯示環境中的安全漏洞，並按照類別及 severity 區分，這個發現項目屬性有助於預估問題對 Google Cloud 環境帶來的風險。

每種發現項目的嚴重性等級均由 SCC 預先決定，無法變更。以下列出各嚴重性類型和常見範例：

重大：例如反向殼層工作階段從 GKE Pod 內部啟動。
高：例如 SSH 通訊埠對整個網際網路 (0.0.0.0/0) 開放。
中：例如使用者或服務帳戶獲派原始 IAM 角色 (擁有者/編輯者/檢視者)。
低：例如系統未收集虛擬私有雲流量記錄。
不明：SCC 中可能出現但不常見的發現項目。

如需瞭解 SCC 決定發現項目嚴重性的詳細條件，請參閱「發現項目嚴重性」頁面。

注意：與開放的 RDP 和 SSH 通訊埠有關的發現項目，嚴重性等級為「高」。

接著按一下「按照資源類型分組的發現項目」分頁標籤，查看依各種可用的 Google Cloud 資源區分的安全漏洞。

注意：本專案使用預設的虛擬私有雲網路，因此發現項目多半都與防火牆、網路/子網路等網路元件有關。

最後按一下「按照專案區分的發現項目」分頁標籤。如果是在資料夾或機構根節點層級使用 SCC，這個分頁會很實用。

注意：實驗室中只能存取一項專案，因此這個分頁僅包含目前專案的名稱。

按一下「導覽選單」圖示 () 再選取「安全性」，即可進入安全性入口網站，您會在這裡看到「Security Command Center」的標題下方，列出了多個分頁標籤，以下分別說明：

SCC 專區	說明
風險總覽	顯示環境中的安全漏洞，並按照不同類別及嚴重性區分。
威脅	讓您一覽在 SCC 中歸類為威脅的發現項目。例如遭受 SSH 暴力攻擊 (輸出內容：Brute Force: SSH)、加密挖礦軟體在運算資源上運作 (輸出內容：Execution: Cryptocurrency Mining YARA Rule)，以及反向殼層工作階段從 GKE 容器內部啟動 (輸出內容：Reverse Shell)。
安全漏洞	讓您一覽目前範圍內 (專案、資料夾或機構) 可能存在的所有軟體設定錯誤或瑕疵，以便更精確掌握安全漏洞，逐一細查。例如 MySQL 通訊埠對整個網際網路開放 (輸出內容：Open MySQL port)、使用者或服務帳戶獲派擁有者/編輯者/檢視者角色 (輸出內容：Primitive roles used)，以及網頁或網頁應用程式容易受 XSS 攻擊 (輸出內容：XSS)。
法規遵循	顯示專案是否符合 CIS、PCI DSS、NIST 800-53 等重要法規遵循標準。
資產	提供 Cloud Asset Inventory 的資產資訊，該服務能持續監控雲端環境中的資產狀態。
發現項目	可讓您探索 SCC 資料庫中可用的所有發現項目。
來源	提供軟體模組的詳細資訊，這類模組會讀取記錄檔並檢查當前執行的程序，分析 Google Cloud 資源設定並監控當下活動。
防護機制管理	讓您在 SCC 中使用安全防護機制服務。詳情請參閱「管理安全防護機制」指南。

工作 2：在專案層級設定 SCC

在這項工作中，您將瞭解如何在專案層級設定 SCC。

在「風險總覽」頁面右上角按一下「設定」。
確認位於「服務」分頁。

您可以在這裡設定 SCC 整合服務的參數，這些服務也稱為「來源」(也就是前一項工作探討的「SCC 的核心」)。在本實驗室中，「服務」和「來源」兩字通用。

服務會偵測威脅與安全漏洞，並提供資訊給 SCC。大多服務僅適用於 SCC Premium 版，也就是本實驗室使用的版本。

以下是您可以設定的內建服務：

安全狀態分析 (SHA)：尋找並回報資源設定錯誤 (停用記錄功能、額外 IAM 權限、服務公開)。專案目前已啟用這項服務，偵測到 76 個安全漏洞。
Web Security Scanner (WSS)：掃描透過外部 IP 位址公開的網頁應用程式，並檢查是否有 OWASP Top 10 安全漏洞。
Container Threat Detection (CTD)：偵測 Container Optimized OS 中最常見的容器執行階段攻擊。
Event Threat Detection (ETD)：以記錄為基礎執行分析，持續監控 Google Cloud 與 Google Workspace 記錄，掃描潛在威脅。
虛擬機器威脅偵測：在管理程序層級分析 VM 執行個體的記憶體，並偵測 VM 記憶體中的可疑活動，例如未預期的核心模組，或是運作中的加密挖礦軟體。

按一下「管理設定」連結，進入「安全狀態分析」頁面。
按一下「模組」分頁標籤。

「模組」是預先定義或自訂的偵測邏輯單元。如您所見，SCC 提供多種不同的模組，可協助您偵測不同的資源設定錯誤。利用 SCC，您可輕鬆啟用和停用各種模組，監控需留意的資源，支援安全防護機制。

在篩選器欄位中，輸入 VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED，然後按下 Enter 鍵。
在「狀態」選單中選取「啟用」。

啟用後，安全狀態分析就會檢查虛擬私有雲子網路的 enableFlowLogs 屬性是否遺失或設為 false。

注意：需要過一段時間，SCC 才會開始用新啟用的模組掃描資源。

熟悉 Security Command Center 的各種服務及設定方式後，接著我們來瞭解如何透過 SCC 找出並修正安全漏洞。

工作 3：分析並修正 SCC 安全漏洞發現項目

在這項工作中，您將學習如何管理和減少安全漏洞發現項目。

將發現項目標示為「無效」以變更狀態

從「導覽選單」依序選取「安全性」>「風險總覽」。
在左側選單按一下「發現項目」分頁標籤。
將右上角的「日期範圍」選取器設為「不限時間」。

畫面左上角的「查詢預覽」視窗有篩選器可排序所有發現項目。

根據預設，如果是「發現項目」分頁中已取消忽略的項目，狀態會標為「已啟用」。

每個發現項目的「狀態」和「忽略」屬性，在 SCC 使用的許多篩選器中均代表發現項目的瀏覽權限。

資安分析師可對發現項目設定 mute 值，如果不希望 SCC 介面中顯示無關的發現項目，系統也可自動設定這個值。
state 屬性會指出某個發現項目是否需要留意且尚未解決、是否已修正，或曾用其他方式解決但已失效。

如果您想管理發現項目生命週期，以及隱藏發現項目，建議使用 mute 屬性。state 屬性的變更通常是由軟體來源處理。

在「快速篩選器」資訊卡上，勾選「預設網路」類別對應的核取方塊。

這時「查詢預覽」中的查詢字串已變更，加上了 AND category="DEFAULT_NETWORK"。
在「發現項目查詢結果」部分，勾選「預設網路」對應的核取方塊，然後依序選取「更多動作」>「變更有效狀態」。
將這個發現項目的狀態設為「停用」。

根據預設，系統只會顯示已啟用和取消忽略的發現項目，因此這個停用的發現項目會在畫面中隱藏。

套用查詢以篩選發現項目

如要重設「發現項目」分頁檢視畫面，請在 SCC 標題下方依序點選「風險總覽」>「發現項目」。

按一下「編輯查詢」按鈕。
在「查詢編輯器」中，將查詢字串變更為 category="DEFAULT_NETWORK"。
完成編輯後，按一下「套用」按鈕。

變更可能需要幾分鐘時間才會生效，屆時畫面上只會列出一個「預設網路」的發現項目。

在左側選單的「快速篩選器」下方，您會發現「顯示停用中項目」核取方塊已勾選。SCC 可讓您彈性搜尋已啟用與停用的發現項目。現在，您可還原這個發現項目的狀態。

在「發現項目查詢結果」部分，勾選「預設網路」核取方塊，然後依序選取「更多動作」圖示>「變更有效狀態」。
將這個發現項目的狀態設為「有效」。

使用者可手動將發現項目設為有效或無效，但無法刪除發現項目。除非掃描工具在 13 個月內均未更新發現項目，系統才會自動刪除發現項目。

當安全掃描工具檢查同一個發現項目，且沒有偵測到會觸發該項目的設定錯誤時，會將其標示為 INACTIVE。如果安全漏洞仍存在於系統中，發現項目就會維持 ACTIVE 狀態。

按一下「快速篩選器」旁邊的「全部清除」按鈕，重設發現項目分頁。
在「查詢預覽」視窗中，按一下「編輯查詢」。
複製並貼上下列查詢：

state="ACTIVE" AND NOT mute="MUTED" AND resource.type="google.compute.Subnetwork"

完成編輯後，按一下「套用」按鈕。

畫面上隨即會顯示與子網路相關的所有發現項目。在本實驗室，預設虛擬私有雲網路是以 --subnet-mode=auto 參數建立，因此所有子網路皆未啟用 Private Google Access，也不會寫入虛擬私有雲流量記錄。

依類別篩選發現項目並設為忽略

在測試環境中執行操作時，偶爾會需要隱藏某些發現項目。假設現在您不希望看到此網路中與 Private Google Access 相關的 SCC 發現項目，想全部設為忽略。

在「快速篩選器」視窗中，選取「Private Google Access 已停用」類別。
在「發現項目查詢結果」窗格中，勾選最上方的「類別」核取方塊，選取所有「Private Google Access 已停用」發現項目。

選取「忽略選項」按鈕。
在下拉式選單中選取「套用忽略覆寫」，這項操作會忽略現有的發現項目。
在左側選單中依序選取「風險總覽」和「發現項目」，重設發現項目檢視畫面。

這時「Private Google Access 已停用」發現項目均會設為忽略並且隱藏。「忽略」是篩選 SCC 結果的有效方法，可讓您精細控管資源和想瞭解的發現項目。

建立忽略規則來隱藏特定發現項目

另一項預設網路設定錯誤，是虛擬私有雲流量記錄也在此網路的子網路遭到停用，但現在使用的是測試環境，因此不需要啟用這項記錄。

在本節中，我們會將此類別相關的所有發現項目設為忽略，包括現有和日後的項目。

在「發現項目查詢結果」視窗中，依序選取「忽略選項」>「管理忽略規則」。
按一下「建立忽略規則」按鈕。

注意：您可以建立 SCC 設定，忽略符合「發現項目」查詢欄位指定條件的現有和新發現項目。忽略「Private Google Access 已停用」(PGA) 發現項目只需執行一次。

任何新的「PGA 已停用」發現項目仍會顯示在 SCC 中。

在新視窗中，使用以下 ID 輸入忽略規則：muting-pga-findings。
在忽略規則說明中輸入 Mute rule for VPC Flow Logs。
在「發現項目查詢」篩選器輸入欄位中，輸入以下篩選條件：

category="FLOW_LOGS_DISABLED"

按一下「儲存」按鈕。

畫面會顯示通知，表示忽略規則已建立完成。

按一下「Check my progress」，確認目標已達成。建立忽略規則

在左側選單中選取「發現項目」，重新整理 SCC 資訊主頁。

確認不再顯示任何「Private Google Access 已停用」或「流量記錄已停用」發現項目。

注意：如果畫面中仍顯示這類發現項目，請重新整理瀏覽器分頁。

建立另一個虛擬私有雲網路，測試發現項目忽略規則

剛才您修改了發現項目規則，在本節中，我們將另建一個網路來測試，並讓系統自動設定子網路。

開啟新的 Cloud Shell 工作階段，執行下列指令來建立網路：

gcloud compute networks create scc-lab-net --subnet-mode=auto

注意：子網路可能需要幾分鐘才會建立完成。

確認輸出結果與下列內容相似。

輸出內容：

Created [https://www.googleapis.com/compute/v1/projects/qwiklabs-gcp-03-c6821aef4c0f/global/networks/SCC-lab-net]. NAME: SCC-lab-net SUBNET_MODE: AUTO BGP_ROUTING_MODE: REGIONAL IPV4_RANGE: GATEWAY_IPV4:

按一下「Check my progress」，確認目標已達成。建立網路

確認以上訊息後，請關閉 Cloud Shell 視窗。
重新整理 SCC 發現項目視窗，查看是否有任何新的「Private Google Access 已停用」發現項目。您可以發現，建立的忽略規則已移除虛擬私有雲流量記錄發現項目。

雖然已針對虛擬私有雲流量記錄建立忽略規則，您還是能使用 SCC 的查詢編輯器查看這些項目。
按一下「編輯查詢」按鈕並貼上下列指令，覆寫現有的查詢篩選器文字：

category="FLOW_LOGS_DISABLED"

按一下「套用」。

在「發現項目查詢結果」視窗的「資源顯示名稱」欄中，「預設」和「SCC-lab-net」兩個網路都會顯示。

注意：如未看見預設網路，請確認 Rows per page 參數設為 100，而 Time Range 參數值設為 All time。

在「查詢預覽」視窗中，按一下「編輯查詢」。
複製並貼上下列查詢，覆寫現有的查詢文字：

state="ACTIVE" AND NOT mute="MUTED"

完成編輯後，按一下「套用」按鈕。

畫面上隨即會顯示您設為忽略的發現項目。

調查並修正兩個「高」嚴重性的發現項目。

在本節中，您將調查並瞭解如何修正兩個「高」嚴重性的發現項目。

在「快速篩選器」部分，向下捲動至「嚴重性」類型，然後在嚴重性選項清單中選取「高」。

您會看見兩個發現項目：「開放 RDP 通訊埠」和「開放 SSH 通訊埠」，這是因為「預設」網路有兩個防火牆規則，允許此網路中的所有執行個體接收 SSH 和 RDP 網路流量。

在「發現項目查詢結果」視窗中，按一下「開放 RDP 通訊埠」發現項目。

新視窗會顯示問題的詳細說明、受影響資源清單及「後續行動」，協助您修復安全漏洞。

在「後續行動」部分中按一下連結，開啟新分頁前往「防火牆規則」頁面。
按一下「編輯」。
刪除來源 IP 範圍 0.0.0.0/0。
新增來源 IP 範圍 35.235.240.0/20，然後按下 Enter 鍵。

注意：這個 IP 位址範圍可用於透過 Identity Aware Proxy 安全連線至 VM 執行個體。詳情請參閱「使用 IAP 進行轉送 TCP」頁面。

請勿變更任何其他參數！

按一下「儲存」。
儲存後，請關閉編輯防火牆規則時的瀏覽器分頁。
重新整理 SCC 發現項目瀏覽器分頁。

現在只會剩下一個「高」嚴重性發現項目：「開放 SSH 通訊埠」。

更新防火牆規則來解決發現項目

按一下「開放 SSH 通訊埠」發現項目。
向下捲動至「後續行動」部分並按一下連結，開啟新分頁前往「防火牆規則」頁面。
按一下「編輯」。
刪除來源 IP 範圍 0.0.0.0/0。
新增來源 IP 範圍 35.235.240.0/20，然後按下 Enter 鍵。

請勿變更任何其他參數！
按一下「儲存」。
儲存後，請關閉編輯防火牆規則時的瀏覽器分頁。

按一下「Check my progress」，確認目標已達成。更新防火牆規則

關閉內含待處理發現項目說明的視窗，然後重新整理瀏覽器視窗。

此時應該就不會顯示任何「高」嚴重性發現項目。

恭喜！

在本實驗室中，您學到如何探索 Security Command Center 介面元素、在專案層級設定 SCC，以及分析並修正 SCC 安全漏洞。您也成功使用 SCC 找出並修復 Google Cloud 環境中的重大安全漏洞。

後續步驟/瞭解詳情

參加透過 Security Command Center 分析發現項目實驗室。

Google Cloud 教育訓練與認證

協助您瞭解如何充分運用 Google Cloud 的技術。我們的課程會介紹專業技能和最佳做法，讓您可以快速掌握要領並持續進修。我們提供從基本到進階等級的訓練課程，並有隨選、線上和虛擬課程等選項，方便您抽空參加。認證可協助您驗證及證明自己在 Google Cloud 技術方面的技能和專業知識。

使用手冊上次更新日期：2025 年 7 月 22 日

實驗室上次測試日期：2025 年 7 月 22 日

01