Configure and run check policies - Security Center - Alibaba Cloud Dokümantasyon Merkezi

Kontrol öğelerini yapılandırma

Security Center, yaygın yapılandırma riskleri için önceden tanımlanmış kontrol öğeleri içerir. Bir tarama çalıştırmadan önce, bu öğeleri güvenlik temellerinizle uyumlu hale getirmek ve sonuçlardaki gereksiz gürültüyü azaltmak üzere özelleştirin.

Özel kontrol öğeleri

Kuruluş içi güvenlik standartlarınıza veya riske özel senaryolara dayalı algılama mantığı tanımlayın.

Desteklenen hizmet sağlayıcıları: Alibaba Cloud, Tencent Cloud ve AWS

Algılama senaryoları: Uyumluluk Riski, AISPM ve Güvenlik Riski. Ayrıntılar için bkz. kontrol kuralları.

Nasıl çalışır?

Aşağıdaki diyagram, özel kontrol öğelerini yapılandırma ve kullanma iş akışını göstermektedir.

Özel kontrol öğesi oluşturma ve yayınlama

Oluşturma sayfasına gidin. Security Center konsolu - Risk Yönetimi - CSPM adresine giriş yapın. Sol üst köşede, kaynaklarınızın bulunduğu bölgeyi seçin: Çin Ana Karası veya Çin Ana Karası Dışı. Cloud Service Configuration Risk sekmesinde Create Custom Check Item seçeneğine tıklayın.

Temel bilgileri yapılandırın. Basic Information Settings sekmesinde aşağıdaki parametreleri yapılandırın ve Next seçeneğine tıklayın.

Parametre	Açıklama
Check Item Category Settings	Raporlarda daha kolay filtreleme yapmak için bir veya daha fazla kategori atayın. Birden çok kategori atamak için Add seçeneğine tıklayın.
Kullanım durumu	Algılama senaryosu kategorisi. Compliance Risk, AISPM veya Security Risk seçeneklerinden birini seçin.
AISPM	Önceden tanımlanmış bir seçeneği belirleyin veya özel bir değer girin.
Check Item Description	Kontrol öğesini açıklayın: hizmet sağlayıcısı, hedef cloud hizmeti ve kısa bir kural açıklaması.
Solution	Kontrol bir risk tespit ettiğinde kullanıcılar için manuel düzeltme adımları.
Help	İlgili yardım belgesinin URL'si. Kullanılamıyorsa `None` girin.
Risk Level	Risk seviyesini ayarlayın: High, Medium veya Low. Risk seviyelerinin nasıl belirlendiği hakkında bilgi için bkz. Risk seviyelerini değerlendirme.

Kontrol öğesi kurallarını tanımlayın. Check Item Rule Settings sekmesinde aşağıdakileri yapılandırın ve Next seçeneğine tıklayın.

Check Item Target: Belirtilen hizmet sağlayıcısı altında kontrol edilecek cloud hizmeti türünü seçin; örneğin ECS-Instance veya OSS-Bucket.

İlişkili bir kaynak eklerken aşağıdaki alanları yapılandırın:

Associated Asset Settings (İsteğe bağlı): Kontrol mantığı ilgili kaynakları içeriyorsa, bir kaynak türünü (örneğin bir VPC) Check Item Target ile ilişkilendirmek için Add Associated Asset seçeneğine tıklayın.

Not

Service Provider listesi boşsa, seçilen Check Item Target kaynak ilişkisini desteklemiyor demektir. Kullanılabilir seçenekler konsolda görüntülenene bağlıdır.

Alan	Açıklama
Associable Attribute	Başka bir kaynağa bağlantı kurmak için kullanılan Check Item Target özelliği.
Associated Asset	İlişkilendirilecek kaynak türü.
Associated Asset Property	Associable Attribute ile eşleşen ilişkili kaynak özelliği.

Check Item Settings: Koşulları kullanarak algılama mantığını tanımlayın.

Koşullar AND/OR mantığını izler:

Kapsam	Kural
Grup içinde	Koşulları `AND` veya `OR` ile bağlayın. Her grup en fazla 10 koşulu destekler.
Gruplar arasında	Grupları `AND` veya `OR` ile bağlayın. Her kontrol öğesi en fazla 5 grubu destekler.

Örnek: Üç grup ve "group1 AND group2 OR group3" ilişkisiyle — group1 dahili olarak AND kullanır, group2 OR kullanır ve group3 AND kullanır:

Desteklenen operatörler:

Operatör	Açıklama
In / NotIn	Bir değerin belirtilen kümede olup olmadığını kontrol eder.
Equals / NotEquals	İki değerin eşit olup olmadığını kontrol eder.

Note: Bir parametrenin yanındaki simgesine tıklayarak veri türünü, örneklerini ve açıklamasını görüntüleyin.

Koşul yapılandırma alanında Add Condition seçeneğine tıklayın, ardından parametre yolunda gezinmek için çok düzeyli seçim panelini kullanın: önce kaynak türünü seçin (örneğin ACS_ECS_Instance), ardından bir nitelik seçin (örneğin PublicIpAddress), genişletin ve bir alt nitelik altındaki hedef alanı seçin (örneğin IpAddress). Mantıksal operatörü AND, karşılaştırma yöntemini ise Contains olarak ayarlayın.

Yapılandırma alanını genişletmek için Add Condition seçeneğine tıklayın.
Kuralı oluşturmak için Add Condition veya Add Group seçeneğine tıklayın.

Kuralı test edin.
1. Check Item Rule Settings sekmesinde Test seçeneğine tıklayın.
2. Test alanında hesabınızdan eşleşen bir örnek seçin (örneğin bir OSS paketi, ECS örneği veya Log Service projesi), ardından Test seçeneğine tıklayın.
3. "This check item has passed." iletisi görünürse, yapılandırma verileri doğru şekilde ayrıştırıyor demektir. Sonuç beklenenden farklıysa koşullarınızı gözden geçirip yeniden test edin.
4. Sonuç beklentilerinizi karşıladığında Save seçeneğine tıklayın.
Not
Kaydedilmiş ancak henüz yayınlanmamış bir kontrol öğesini düzenleyebilir, yayınlayabilir veya silebilirsiniz.
Kontrol öğesini yayınlayın. Check Item Rule Settings sekmesinde Publish seçeneğine tıklayın. Alternatif olarak, özel kontrol öğesi listesine gidin ve Actions sütununda Publish seçeneğine tıklayın.

Önemli
Yalnızca yayınlanmış kontrol öğeleri kontrol öğesi listesinde görünür ve taramalar için kullanılabilir. Yayınlanmış kontrol öğeleri değiştirilemez. Yayınlanmış bir öğeyi düzenlemek için önce devre dışı bırakın.

Özel kontrol öğelerini yönetme

CSPM Risk sayfasının sağ üst köşesindeki Custom Check Item Management bölümünde özel kontrol öğelerini görüntüleyin, düzenleyin, yayınlayın, yayından kaldırın veya silin.

Eylem	Davranış
Düzenle	Düzenleme sayfasını açmak için kontrol öğesi adına tıklayın. Yayınlanmış bir kontrol öğesini değiştirmek için önce düzenlenebilir hale getirmek amacıyla Deactivate seçeneğine tıklayın. Devre dışı bırakma işlemi tüm geçmiş tarama sonuçlarını korur. Bir kontrol öğesinin yayından nasıl kaldırılacağı hakkında bilgi için aşağıdaki Yayından Kaldır eylemine bakın.
Yayından Kaldır	Kontrol öğesini aktif taramadan kaldırır ve ilişkili kuralları ile tüm geçmiş tarama sonuçlarını kalıcı olarak siler. Öğeyi tekrar kullanmak için yeniden yapılandırıp yayınlamanız gerekir.
Sil	Kontrol öğesini geçmiş kontrol verileri ve uyarı bilgileriyle birlikte kalıcı olarak kaldırır.

Önceden tanımlanmış kontrol öğeleri

Özelleştirmeyi destekleyen önceden tanımlanmış kontrol öğeleri için — örneğin OSS paketi hotlink koruması, kullanılmayan kullanıcılar veya parola sona erme kontrolleri — güvenlik temellerinize uyacak şekilde parametrelerini değiştirin.

Gereksinim: CSPM'nin ücretli bir sürümü. Bkz. CSPM'nin ücretli bir sürümünü etkinleştirme.

Security Center konsolu - Risk Yönetimi - CSPM adresine gidin. Sol üst köşede kaynaklarınızın bulunduğu bölgeyi seçin.
Cloud Service Configuration Risk sekmesinde Support Custom Parameters sütununda Yes gösteren bir kontrol öğesi bulun ve adına tıklayın.
Ayrıntılar panelinde Parameter Configuration seçeneğine tıklayın.

Not
Bu düğme görünmüyorsa kontrol öğesi parametre değişikliğini desteklemiyor demektir.
Parameter Configuration panelinde Modifiable Parameter sütunundaki Add Modifiable Parameter seçeneğine tıklayın ve açılan listeden değiştirmek istediğiniz parametreyi seçin.
Edit Parameter sütununa yeni değeri girin ve OK seçeneğine tıklayın.

Not

Değiştirilen parametre bir sonraki tarama sırasında etkili olur.

Kontrol ilkelerini yapılandırma

Kontrol öğelerini yapılandırdıktan sonra, hangi örneklerin taranacağını, tarama zamanlamasını ve istisnaları kontrol etmek için tarama kapsamını, otomatik algılama ilkelerini ve izin listesi kurallarını ayarlayın.

Tarama kapsamı

Cloud Service Configuration Risk sekmesinde sağ üst köşedeki Policy Management seçeneğine tıklayın, ardından Cloud Service Scan Policy sekmesine gidin.
Filtreleme kriterlerinize göre mevcut cloud hizmeti örneklerini taramak için seçin. Daha sonra eklenen yeni kaynaklar için Automatically Scan New Assets seçeneği varsayılan olarak işaretlidir. Hangi yeni kaynakların otomatik taranacağını ürün türüne veya kaynak grubuna göre iyileştirin. Save seçeneğine tıklayın.
Tüm örnekleri taramak için All Instances sekmesine gidin ve Save seçeneğine tıklayın.

Not
Tüm örnekleri seçtiğinizde yeni örnekler otomatik olarak tarama kapsamına dahil edilir.

Yapılandırmayı kaydettikten sonra Security Center, tanımlanan ilkeye göre seçilen cloud hizmeti örneklerini tarar. Doğrulamak için Cloud Service Configuration Risk sekmesine gidin ve tarama sonuçlarının yapılandırdığınız kapsamı yansıttığını kontrol edin.

Otomatik algılama ilkesi

Risk Governance > Cloud Service Configuration Risk sayfasında sağ üst köşedeki Policy Management seçeneğine tıklayın, ardından Cloud Service Scan Policy sekmesine gidin.

Automatic CSPM Check anahtarını açın ve aşağıdaki ayarları yapılandırın:

Ayar	Açıklama
Check Cycle	Taramanın ne sıklıkta çalıştığı.
Check At	Taramanın başlatılacağı saat.
Check Item Selection	Dahil edilecek önceden tanımlanmış veya yayınlanmış özel kontrol öğeleri.

Kontrol öğelerini seçtikten sonra tek bir tarama için Estimated Quota Consumption değeri listenin üzerinde görüntülenir.

Not
Bu tahmin yalnızca referans amaçlıdır. Gerçek tarama örnek sayısı değişebilir.

Yapılandırmayı kaydettikten sonra Security Center, tanımladığınız zamanlamaya göre yapılandırma riski taramalarını çalıştırır. Doğrulamak için bir sonraki planlanan tarama saatinden sonra Cloud Service Configuration Risk sekmesindeki tarama geçmişini kontrol edin.

İzin listesi kuralları

Gereksiz risk uyarılarını önlemek için belirli cloud hizmeti örneklerinde belirli kontrol öğelerini hariç tutun. İzin listesi kuralları hem zamanlanmış hem de isteğe bağlı taramalar için geçerlidir.

İzin listesi kuralı oluşturma

Risk Governance > Cloud Service Configuration Risk sayfasında sağ üst köşedeki Policy Management seçeneğine tıklayın.
Whitelist Policy > By Check Item sekmesinde Create Whitelist Rule seçeneğine tıklayın.

Panelde aşağıdakileri yapılandırın ve OK seçeneğine tıklayın:

Önemli

Tüm örnekleri muaf tutmak yüksek riskli bir işlemdir; gelecekteki örneklerdeki yeni güvenlik riskleri tespit edilmeyebilir. Hassas izin listeleme için Specific Instances seçeneğini kullanın ve whitelist kurallarınızı hâlâ gerekli olup olmadıklarını doğrulamak için düzenli olarak denetleyin.

Parametre	Açıklama
Check Item	Taramalardan hariç tutulacak kontrol öğeleri. Bkz. kontrol kuralları.
Policy Effective Scope	Muafiyetin kapsamı.

Seçenek	Davranış
All Instances	Bu cloud hizmetinin mevcut ve gelecekteki tüm örneklerini kontrolden muaf tutar. İlgili riskler risk listesinde görüntülenmez.
Specific Instances	Muafiyeti yalnızca seçilen örneklere uygular. Yeni örnekler hâlâ taranır.

İzin listesi kurallarını yönetme

Kuralları düzenleme veya silme: Oluşturduğunuz whitelist kuralları Cloud Service Check Item Whitelist listesinde görünür. Kapsamı değiştirmek için Edit seçeneğine, muafiyeti kaldırmak için Delete seçeneğine tıklayın.
Otomatik eşitleme: Riskleri ele alırken başarısız olan bir kontrol öğesini manuel olarak işlendi veya whitelist'e eklendi olarak işaretlediğinizde sistem ilgili kuralı bu listeye otomatik olarak ekler. Ayrıntılar için bkz. Kontrol öğelerinde başarısız olan cloud hizmetlerini ele alma.

Yapılandırma riski taramalarını çalıştırma

Security Center iki tarama modunu destekler:

Mod	Açıklama
Zamanlanmış otomatik taramalar	Otomatik algılama ilkenizde tanımlanan zamanlamaya göre çalışır.
İsteğe bağlı taramalar	Herhangi bir zamanda manuel olarak tetiklenir.

İsteğe bağlı tarama çalıştırma:

Cloud Service Configuration Risk sekmesinde Actions alanındaki Full Scan seçeneğine tıklayın.

Bir tarama modu seçin:

Mod	Neyi tarar
Full Scan	Önceden tanımlanmış ve özel olanlar dahil olmak üzere desteklenen tüm cloud hizmetleri ve kontrol öğeleri.
Scan By Policy	Yalnızca Policy Management içinde seçilen kontrol öğeleri.

Tarama tamamlandıktan sonra başarısız olan tüm kontrol öğelerini Cloud Service Configuration Risk listesinde görüntüleyin ve her birini düzeltmek için ilgili öğenin Solution adımını izleyin.

Başarısız kontrol öğelerini düzeltme

Bir taramadan sonra Risk Governance > CSPM Risk > Cloud Service Configuration Risk adresine giderek tüm başarısız kontrol öğelerini görüntüleyin ve her bir riski düzeltmek için sağlanan Solution adımını izleyin.

Adım adım rehberlik için bkz. Başarısız kontrol öğelerini görüntüleme ve ele alma.

SSS

Yayınlanmış özel bir kontrol öğesinde mantık hatası bulursam ne yapmalıyım?

CSPM Risk sayfasının sağ üst köşesinde Custom Check Item Management seçeneğine tıklayın, öğeyi bulun ve Deactivate seçeneğini belirleyin. Ardından düzenleme sayfasını açmak için öğe adına tıklayın.

Not

Bir kontrol öğesini devre dışı bırakmak, geçmiş tarama sonuçlarını silmeden onu yeniden düzenlenebilir hale getirir. Bir kontrol öğesini kalıcı olarak kaldırmak için Unpublish (tüm kuralları ve tarama sonuçlarını siler) veya Delete (öğeyi tüm geçmiş veriler ve uyarılarla birlikte tamamen kaldırır) seçeneğini kullanın.

Kuralı değiştirip test ettikten sonra yeniden etkinleştirmek için Publish seçeneğine tıklayın.

Oluşturduğum özel kontrol öğelerini nasıl bulabilirim?

Risk Governance > CSPM Risk sayfasının Cloud Service Configuration Risk sekmesinde özel kontrol öğeleriniz, oluşturma sırasında atadığınız kategoriler altında gruplanır.