[Google Cloud] SCC -Security Health Analytics-を試す

## 目的
Google CloudのSecurity Command Centerについて基本的に使用方法を確認する

## SCCティアの違い
スタンダードティアの場合サポートしている検出対象は下記の通り
[スタンダード サービスティア](https://cloud.google.com/security-command-center/docs/concepts-security-command-center-overview?hl=ja#standard-tier)

プレミアムの場合は下記の通り
[プレミアム サービスティア](https://cloud.google.com/security-command-center/docs/concepts-vulnerabilities-findings?hl=ja#security-health-analytics-detectors)

一部機能はデフォルトで無効化されているためコマンドラインで有効化が必要（プレミアのみ利用可）
[検出機能を有効または無効にする](https://cloud.google.com/security-command-center/docs/how-to-use-security-health-analytics?hl=ja#enable_and_disable_detectors)

サンプル
```
gcloud alpha scc settings services modules enable --module=BUCKET_CMEK_DISABLED --service=SECURITY_HEALTH_ANALYTICS --organization=7641390xxxxx
```

## SCCのデプロイ


Security Command Centerの利用には組織が必要となるため、あらかじめ準備しておく
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/eb4c237d-9487-809e-5882-72547c882fcc.png)

設定するには以下の権限が必要となる
[権限を設定する](https://cloud.google.com/security-command-center/docs/activate-scc-for-an-organization?hl=ja#set_up_permissions)

・組織の管理者 roles/resourcemanager.organizationAdmin
・セキュリティ センター管理者 roles/securitycenter.admin
・セキュリティ管理者 roles/iam.securityAdmin
・サービス アカウントの作成 roles/iam.serviceAccountCreator

**セキュリティ** -> **Security Command Centerの概要** -> **Security Command Centerの設定**を選択
![貼り付けた画像_2023_10_03_14_04.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/7487a9df-542f-2c96-23b5-c3f8bb298660.png)

ティアを選択、今回は**スタンダード ティア**を選択し、**次へ**を選択
![貼り付けた画像_2023_10_03_14_06.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/7d859594-c33d-cdb5-c105-8e3af25b5016.png)

利用するサービスを**有効化にする**を選択し、**次へ**を選択
（スタンダードティアでは利用できるサービスに制限がある）
![貼り付けた画像_2023_10_03_14_08.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/a32d6211-d488-b96d-f9f9-1a458323085a.png)

サービスアカウントの作成と権限の付与を自動で実施してくれるので、問題なければ**ロールを付与**を選択
![貼り付けた画像_2023_10_03_14_10.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/67d2ea32-5ab1-5a87-2d93-0fd85b8e8647.png)

**次へ**を選択
![貼り付けた画像_2023_10_03_14_11.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/64ea5997-1a76-256f-248f-4b16c1eaa107.png)

最後に**終了**を選択して完了
![貼り付けた画像_2023_10_03_14_12.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/0002281f-9c75-5e20-9759-56769cced9bf.png)




## Security Health Analyticsの確認


### ポリシー適用範囲の確認と変更
**セキュリティ** -> **概要** -> **設定**を選択
-213d-a36cf81742f0.png)![貼り付けた画像_2023_10_02_10_52.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/a53f4f43-3679-8138-213d-a36cf81742f0.png)

**設定を管理**を選択
![貼り付けた画像_2023_10_02_10_53.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/cc0984d7-a12e-48ca-d7cd-0517b9d0c39a.png)

組織、フォルダおよびプロジェクト毎に有効・無効・継承が選択できる
![貼り付けた画像_2023_10_02_10_56.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/a81fc00f-a1a6-4f6d-5822-62c81d8937e7.png)

##

### 検出された脅威の詳細を調べる
**セキュリティ** -> **ソース** -> **Security Health Analytics**にて検出された脅威を確認できる
デフォルトのGoogle Cloudでは、ファイアウォールのオープンポートでの脅威が確認できる
![貼り付けた画像_2023_10_02_14_04.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/e800eeeb-f381-2bcb-873c-63195be5a7e5.png)

カテゴリを選択することで、情報の詳細に移動
![貼り付けた画像_2023_10_02_14_07.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/c8711c32-46d3-958e-46f7-6f7ed6648db7.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/964b060e-276a-e845-8869-b569034d1587.png)

カテゴリを下記のページから検索することで、この問題の原因と修正方法を確認することが可能
[Security Health Analytics の検出結果を修正する](https://cloud.google.com/security-command-center/docs/how-to-remediate-security-health-analytics-findings?hl=ja#remediation)

**Open RDP Port**で検索すると、こちらのページに行くことができる
[Open RDP Port](https://cloud.google.com/security-command-center/docs/how-to-remediate-security-health-analytics-findings?hl=ja#open_rdp_port)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/73bcbb23-3c12-5aa3-2caa-cce8793b5f08.png)

### 脅威の修正
上記の手順通り修正を実施する

ファイアウォールポリシーのページに移動し、**default-allow-rdp**を選択
![貼り付けた画像_2023_10_03_10_41.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/63d87733-e25f-ccd4-319b-e15ed84214d6.png)

**編集**を選択
![貼り付けた画像_2023_10_03_10_42.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/033f2ad2-c689-7071-0bed-a7365405f9a1.png)

RDPは必要ないので、ルール自体を**無効**にして**保存**を選択、<font color="red">**ではダメでした**</font>
0.0.0.0/0で許可されたルールが無効となっていても脅威として検出してしまう。
したがって、0.0.0.0/0以外で送信元IPv4範囲を設定しておく必要がある。

![貼り付けた画像_2023_10_03_13_23.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/b5018f11-48bc-3d44-3cce-f5b902ab2830.png)

ファイアウォールポリシーのページを見ると、ルールが無効化されていることがわかる
![貼り付けた画像_2023_10_03_10_45.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/43ca884f-a3da-01a3-3e08-6e517281ddc3.png)

検出された**Open RDP Port**の脅威がなくなっていることを確認
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/686fb472-ce88-d7b9-bb8a-a518f94a7004.png)