Security Center:Configure and run check policies

Como funciona

O diagrama a seguir ilustra o fluxo de trabalho para configurar e usar itens de verificação personalizados.

Criar e publicar um item de verificação personalizado

1. Acesse a página de criação. Faça login no Security Center console - Risk Governance - CSPMSecurity Center console - Risk Governance - CSPM. No canto superior esquerdo, selecione a região onde seus ativos estão localizados: Chinese Mainland ou Outside Chinese Mainland. Na aba Cloud Service Configuration Risk, clique em Create Custom Check Item.

2. Configure as informações básicas. Na aba Basic Information Settings, defina os parâmetros abaixo e clique em Next.

   Parâmetro	Descrição
   Check Item Category Settings	Atribua o item de verificação a uma ou mais categorias para facilitar a filtragem em relatórios. Clique em Add para atribuir várias categorias.
   Use case	Domínio de nível superior. Selecione Compliance Risk, AISPM ou Security Risk.
   Standard/Regulation/Chapter	Selecione uma opção predefinida ou insira um valor personalizado na lista suspensa.
   Check Item Description	Descreva o item de verificação: o provedor de serviços, o serviço em nuvem alvo e uma breve explicação da regra.
   Solution	Forneça as etapas manuais de correção a serem seguidas caso a verificação detecte um risco.
   Help	Insira uma URL para um documento de ajuda relacionado ou digite None se não houver nenhum disponível.
   Risk Level	Defina o nível de risco: High, Medium ou Low. Para entender como os níveis de risco são determinados, consulte Avaliar níveis de risco.

3. Defina as regras do item de verificação. Na aba Check Item Rule Settings, configure os itens a seguir e clique em Next.

   • Check Item Target: Selecione o tipo de serviço em nuvem a ser verificado no provedor especificado, como ECS-Instance ou OSS-Bucket.

   • Associated Asset Settings (Opcional): Se a lógica de verificação envolver ativos relacionados, clique em Add Associated Asset para vincular um tipo de ativo (como uma VPC) ao Check Item Target. > Note: Se a lista Associable Attribute estiver vazia, o Check Item Target selecionado não oferece suporte à associação de ativos. As opções disponíveis dependem do que o console exibe.

     Ao adicionar um ativo associado, configure os seguintes campos:

     Campo	Descrição
     Associable Attribute	Propriedade do Check Item Target usada para vincular a outro ativo
     Associated Asset	Tipo de ativo a ser vinculado
     Associated Asset Property	Propriedade do ativo associado que mapeia para o Associable Attribute

   • Check Item Settings: Defina a lógica de detecção usando condições.

     As condições seguem a lógica AND/OR:

     Escopo	Regra
     Dentro de um grupo	Conecte condições com AND ou OR. Cada grupo aceita até 10 condições.
     Entre grupos	Conecte grupos com AND ou OR. Cada item de verificação aceita até 5 grupos.

     Exemplo: Com três grupos e a relação "group1 AND group2 OR group3" — group1 usa AND internamente, group2 usa OR e group3 usa AND:

     

     Operadores compatíveis:

     Operador	Descrição
     In / NotIn	Verifica se um valor existe em um conjunto especificado
     Equals / NotEquals	Verifica se dois valores são iguais

     Note: Clique no ícone ao lado de um parâmetro para visualizar seu tipo de dados, exemplos e descrição.

     

     1. Clique em Add Condition para expandir a área de configuração.

     2. Clique em Add Condition ou Add Group para construir a regra.

4. Teste a regra.

   1. Clique em Test na aba Check Item Rule Settings.

   2. Na área Test, selecione uma instância correspondente na sua conta (como um bucket do OSS, uma instância ECS ou um projeto do Log Service) e clique em Test.

   3. Se a mensagem The check item passed the check. aparecer, a configuração analisará os dados corretamente. Caso o resultado seja inesperado, revise suas condições e teste novamente.

   4. Após obter o resultado esperado, clique em Save.

   É possível editar, publicar ou excluir um item de verificação salvo, mas ainda não publicado.

5. Publique o item de verificação. Clique em Publish na aba Check Item Rule Settings. Alternativamente, acesse a lista de itens de verificação personalizados e clique em Publish na coluna Actions.

   Importante

   • Apenas itens de verificação publicados aparecem na lista e ficam disponíveis para verificações. - Itens de verificação publicados não podem ser modificados. Para editar um item publicado, desative-o primeiro.

Gerenciar itens de verificação personalizados

Na seção Custom Check Item Management, no canto superior direito da página CSPM Risk, visualize, edite, publique, despublique ou exclua itens de verificação personalizados.

Criar uma regra de lista de permissões

1. Na página Risk Governance > Cloud Service Configuration Risk, clique em Policy Management no canto superior direito.

2. Na aba Whitelist Rule > By Check Item, clique em Create Whitelist Rule.

3. No painel, configure os itens abaixo e clique em OK: Opções de Policy Effective Scope:

   Importante

   Isentar todas as instâncias é uma operação de alto risco — novos riscos de segurança em instâncias futuras podem passar despercebidos. Use Specific Instances para uma lista de permissões precisa e audite suas regras periodicamente para confirmar se ainda são necessárias.

   Parâmetro	Descrição
   Check Item	Itens de verificação a serem excluídos das verificações. Consulte regras de verificação.
   Policy Effective Scope	Escopo da isenção.

   Opção	Comportamento
   All Instances	Isenta todas as instâncias existentes e futuras deste serviço em nuvem da verificação. Os riscos relacionados não são exibidos na lista de riscos.
   Specific Instances	Aplica a isenção apenas às instâncias selecionadas. Novas instâncias continuam sendo verificadas.

Gerenciar regras de lista de permissões

• Editar ou excluir regras: As regras de lista de permissões criadas por você aparecem na lista By Check Item. Clique em Edit para modificar o escopo ou em Delete para remover a isenção.

• Sincronização automática: Ao marcar manualmente um item de verificação com falha como tratado ou incluído na lista de permissões durante o tratamento de riscos, o sistema adiciona automaticamente a regra correspondente a esta lista. Para mais detalhes, consulte Tratar serviços em nuvem com falha em itens de verificação.