合規性監控簡介
對於 專業雲端安全工程師 (PSE) 而言，合規性不是一次性的審核；它是一種持續的狀態。Security Command Center (SCC) Premium 提供了一個集中的 合規性儀表板，可自動將您的資源配置映射到行業標準基準。
與其手動檢查每個 S3 存儲桶是否公開或每個 VM 是否禁用了序列埠，SCC 會自動執行這些操作，並為您的整個組織提供實時的「合規性評分」。
白話文解釋
1. 大樓管理員的儀表板
想像一棟智能大樓，每個煙霧探測器、滅火器和安全攝像頭都連接到一個中央屏幕。如果滅火器被移動或煙霧探測器電池耗盡，儀表板上就會出現紅燈。SCC 就是您雲端基礎設施的那個儀表板。
2. 健康追蹤器 (合規趨勢)
就像健身應用程序會隨著時間推移追蹤您的步數和心率以顯示您是否變得更健康一樣，SCC 也會隨著時間推移追蹤您的「安全健康」狀況。它顯示您修復漏洞的速度是否快於創建漏洞的速度。
3. 自動糾錯 (修復)
當您打錯字時，手機會建議修復方法。當 SCC 發現合規性違規（例如公開數據集）時，它會提供特定的 CLI 命令或控制台步驟，將配置「自動糾正」回核准的狀態。
使用 SCC 合規性儀表板
合規性儀表板是 PSE 的「指揮中心」。它提供：
- 基準覆蓋範圍： 查看 CIS GCP Foundations、PCI DSS、HIPAA、ISO 27001 和 NIST 800-53 的合規狀態。
- 通過 vs. 失敗： 通過控制項的總數以及具體哪些資源導致「失敗」的高級視圖。
- 專案層級過濾： 深入查看是哪個特定專案或業務單元降低了組織的合規性評分。
Compliance Dashboard、CIS GCP Foundations / PCI DSS / HIPAA / NIST 800-53 映射，以及 Security Health Analytics 掃描器，都是 Premium 版本專屬 的功能。SCC Standard 只提供基本的 asset inventory 與少量 findings，不含 benchmark 映射的合規報告 — 考題若提到「持續監控 CIS」或「供稽核員使用的 PCI 證據」，必須選 SCC Premium，不能選 Standard。
安全狀況分析 (Security Health Analytics, SHA) 是 SCC 中的底層引擎，負責掃描您的資源是否存在配置錯誤，並將其映射到合規控制項。
根據 CIS GCP Foundations 基準進行監控
CIS (Center for Internet Security) 基準是 GCP 安全的行業標準。SCC 監控以下內容：
- 身分與存取管理 (IAM)：（例如：確保沒有用戶擁有「Owner」角色，且已啟用 MFA）。
- 記錄與監控：（例如：確保為所有專案配置了日誌接收器）。
- 網路：（例如：確保刪除或限制了預設 VPC）。
- 存儲：（例如：確保存儲桶不可公開訪問）。
PCI DSS 和 HIPAA 合規性追蹤
對於特定行業，SCC 直接將發現結果映射到監管要求：
- PCI DSS： 映射到諸如「要求 1：安裝並維護防火牆」的要求（例如：檢查 VPC 防火牆規則）。
- HIPAA： 映射到「技術維護措施」（例如：檢查靜態數據加密和審核日誌記錄）。
SCC 提供的是 建議，但它並不保證絕對合規。PSE 仍必須對 SCC 無法看到的應用程式層級控制項進行手動審查（例如：員工培訓或辦公室實體安全）。
自動化合規性掃描與報告
- 頻率： SCC 每隔幾個小時掃描一次大多數資源。某些發現結果（如 IAM 更改）則會近乎實時地檢測到。
- 匯出報告： 您可以將合規性發現結果匯出為 CSV 或 JSON 格式供審計師使用。
- 利益相關者溝通： 使用 SCC 為 CISO 生成「現狀」報告，以展示安全計畫的進展。
SCC Compliance 支援的 benchmarks（Premium）： CIS GCP Foundations、PCI DSS、HIPAA、ISO 27001、NIST 800-53。Finding 生命週期： Event Time（首次偵測時間）→ Last Update Time（修復後下一次 SHA 掃描將狀態轉為 Inactive）。匯出格式：CSV 與 JSON。串流匯出：Pub/Sub，可串接 GRC / Chronicle SOAR。
合規性發現結果的修復步驟
SCC 中的每個發現結果都包含 修復 (Remediation) 部分。
- 建議： 「確保 Cloud Storage 存儲桶啟用了公共訪問阻止功能。」
- 修復： 提供
gsutil命令或控制台中的具體點擊步驟。 - 發現狀態： 修復後，SCC 將在下次掃描期間自動將發現結果移至「非活動 (Inactive)」狀態。
自定義合規基準
雖然 Google 提供主要的基準，但您的組織可能有自己的「內部金牌標準」。
- 您可以使用安全狀況分析 (SHA) 的 自定義模組 來編寫自己的檢查規則。
- 示例：「確保所有生產專案至少有兩個指定的安全聯繫人。」
SCC 中的歷史合規趨勢
SCC 會保留發現結果的歷史記錄。這對於以下方面至關重要：
- 審計： 證明違規行為在特定時間範圍內被發現並修復（例如：「公共存儲桶在修復前僅暴露了 2 小時」）。
- 趨勢分析： 識別「嚴重」發現結果的數量是否在增加，這可能表明需要更好的開發人員培訓。
將 SCC 與合規管理工具整合
對於企業範圍的合規性，SCC 可以與以下工具整合：
- Pub/Sub： 將發現結果流式傳輸到第三方 GRC（治理、風險和合規）工具。
- Chronicle SOAR： 創建自動化劇本，當發生特定合規性違規時觸發（例如：如果服務帳號被分配了禁止的角色，則自動禁用該帳號）。
安全狀況分析 (SHA) 在合規性中的作用
SHA 是 SCC 合規性的「核心引擎」。
- 託管掃描器： Google 維護著數百個掃描器，並隨著新安全威脅或 GCP 功能的出現而更新。
- 資源覆蓋範圍： 涵蓋 Compute Engine、GKE、Cloud Storage、BigQuery、IAM 等。
務必優先處理 SHA 中的「嚴重 (Critical)」和「高 (High)」嚴重程度發現結果，因為這些代表了攻擊者最有可能利用的路徑以及最嚴重的合規性違規。
CIS GCP Foundations benchmark 達成「100% Pass」不等於 通過 PCI DSS 或 HIPAA 稽核。SHA 只看得到 GCP 資源層的設定（IAM roles、VPC firewall rules、bucket 公開存取設定、靜態加密），無法驗證應用層控制、員工教育訓練、實體安全或 BAA（Business Associate Agreement）。把一片綠的 Compliance Dashboard 當作稽核通過，是 PSE 考題常見的錯誤答案。
PSE 最佳安全實踐
- 在組織層級啟用 SCC Premium： 這可確保任何「影子專案」都無法逃過合規掃描。
- 設置發現結果通知： 使用 Pub/Sub 為高優先級的合規性違規發送 Slack 或電子郵件警報。
- 明智地使用「靜音 (Mute)」規則： 如果發現結果是「誤報」或已知可接受的風險，請使用靜音規則保持儀表板整潔。並記錄 為什麼 將其靜音。
- 自動化修復： 對於常見的違規行為（如公共存儲桶），使用由 SCC 發現結果觸發的 Cloud Functions 自動修復問題。
PSE 考試場景
場景 1：監控 CIS 合規性
「您的公司希望確保所有 GCP 專案都遵循 CIS Foundations 基準。持續監控這一點最有效的方法是什麼？」 答案： 使用 SCC 合規性儀表板 並篩選 CIS GCP Foundations 基準。
場景 2：向審計師證明修復情況
「審計師發現上個月有一個數據庫可以公開訪問。他們想知道數據庫暴露了多久以及何時被修復。您在哪裡可以找到這些信息？」 答案： 轉到 SCC 發現結果 (Findings) 標籤頁。找到該公共數據庫的具體發現結果。查看 Event Time（首次檢測到）和 Last Update Time（何時移至非活動狀態）。
總結清單
- 訪問並操作 SCC 合規性儀表板。
- 識別 SCC 支持哪些基準（CIS、PCI、HIPAA）。
- 說明安全狀況分析 (SHA) 的作用。
- 執行發現結果的手動和自動修復。
- 了解如何為利益相關者匯出合規報告。