Halaman ini menjelaskan konsep, prinsip, dan batasan utama untuk membantu Anda mempelajari, meningkatkan, dan menggunakan skor eksposur serangan dan jalur serangan yang dihasilkan oleh Mesin Risiko Security Command Center.
Skor jalur serangan dan jalur serangan dibuat untuk kedua hal berikut:
- Temuan kerentanan dan kesalahan konfigurasi (secara kolektif disebut temuan kerentanan) yang mengekspos instance resource dalam set resource bernilai tinggi yang efektif.
- Resource dalam set resource bernilai tinggi yang efektif.
Untuk menggunakan skor eksposur serangan dan jalur serangan, Anda harus mengaktifkan paket Premium atau Enterprise Security Command Center di tingkat organisasi. Anda tidak dapat menggunakan skor eksposur serangan dan jalur serangan dengan aktivasi level project.
Jalur serangan mewakili kemungkinan
Anda tidak akan melihat bukti serangan yang sebenarnya di jalur serangan.
Mesin Risiko menghasilkan jalur serangan dan skor eksposur serangan dengan menyimulasikan tindakan yang dapat dilakukan penyerang hipotetis jika mereka mendapatkan akses ke lingkungan Google Cloud Anda dan menemukan jalur serangan dan kerentanan yang telah ditemukan Security Command Center.
Setiap jalur serangan menampilkan satu atau beberapa metode serangan yang dapat digunakan penyerang jika mereka mendapatkan akses ke resource tertentu. Jangan menyamakan metode serangan ini dengan serangan yang sebenarnya.
Demikian pula, skor eksposur serangan yang tinggi pada temuan atau resource Security Command Center tidak berarti bahwa serangan sedang berlangsung.
Untuk memantau serangan yang sebenarnya, pantau temuan class THREAT
yang dihasilkan oleh layanan deteksi ancaman, seperti
Event Threat Detection
dan
Container Threat Detection.
Untuk informasi selengkapnya, lihat bagian berikut di halaman ini:
Skor eksposur serangan
Skor eksposur serangan pada temuan atau resource Security Command Center adalah ukuran seberapa tereksposnya resource terhadap potensi serangan jika pelaku malicious mendapatkan akses ke lingkungan Google Cloud Anda.
Skor eksposur serangan pada temuan kombinasi toksik disebut sebagai skor kombinasi toksik dalam beberapa konteks, seperti halaman Temuan di konsol Google Cloud.
Dalam deskripsi cara skor dihitung, dalam panduan umum tentang cara memprioritaskan perbaikan, dan dalam konteks tertentu lainnya, istilah skor eksposur serangan juga berlaku untuk skor kombinasi toksik.
Pada temuan, skor adalah ukuran seberapa besar masalah keamanan yang terdeteksi mengekspos satu atau beberapa resource bernilai tinggi kepada potensi serangan cyber. Pada resource bernilai tinggi, skor adalah ukuran seberapa tereksposnya resource terhadap potensi serangan cyber.
Gunakan skor pada temuan kerentanan software, kesalahan konfigurasi, dan kombinasi toksik untuk memprioritaskan perbaikan temuan tersebut.
Gunakan skor eksposur serangan pada resource untuk mengamankan resource yang paling berharga bagi bisnis Anda secara proaktif.
Dalam simulasi jalur serangan, Risk Engine selalu memulai serangan simulasi dari internet publik. Oleh karena itu, skor eksposur serangan tidak memperhitungkan kemungkinan eksposur terhadap pelaku internal yang berbahaya atau lalai.
Temuan yang menerima skor eksposur serangan
Skor eksposur serangan diterapkan ke class temuan aktif yang tercantum dalam Kategori temuan yang didukung.
Simulasi jalur serangan menyertakan temuan yang dibisukan, sehingga Mesin Risiko juga menghitung skor dan jalur serangan untuk temuan yang dibisukan.
Simulasi jalur serangan hanya menyertakan temuan aktif. Temuan yang memiliki
status INACTIVE
, tidak disertakan dalam simulasi, sehingga tidak
menerima skor dan tidak disertakan dalam jalur serangan.
Resource yang menerima skor eksposur serangan
Simulasi jalur serangan menghitung skor eksposur serangan untuk jenis resource yang didukung dalam kumpulan resource bernilai tinggi Anda. Anda menentukan resource mana yang termasuk dalam set resource bernilai tinggi dengan membuat konfigurasi nilai resource.
Jika resource dalam kumpulan resource bernilai tinggi memiliki skor eksposur serangan 0, simulasi jalur serangan tidak mengidentifikasi jalur apa pun ke resource yang dapat dimanfaatkan oleh calon penyerang.
Simulasi jalur serangan mendukung jenis resource berikut:
aiplatform.googleapis.com/Dataset
aiplatform.googleapis.com/Featurestore
aiplatform.googleapis.com/MetadataStore
aiplatform.googleapis.com/Model
aiplatform.googleapis.com/TrainingPipeline
bigquery.googleapis.com/Dataset
cloudfunctions.googleapis.com/CloudFunction
compute.googleapis.com/Instance
container.googleapis.com/Cluster
sqladmin.googleapis.com/Instance
storage.googleapis.com/Bucket
Penghitungan skor
Setiap kali simulasi jalur serangan dijalankan, simulasi tersebut akan menghitung ulang skor eksposur serangan. Setiap simulasi jalur serangan sebenarnya menjalankan beberapa simulasi di mana penyerang simulasi mencoba metode dan teknik serangan yang diketahui untuk menjangkau dan membahayakan resource yang bernilai.
Simulasi jalur serangan dapat berjalan hingga empat kali sehari (setiap enam jam). Seiring berkembangnya organisasi, simulasi akan memerlukan waktu lebih lama, tetapi akan selalu berjalan setidaknya sekali sehari. Simulasi yang dijalankan tidak dipicu oleh pembuatan, perubahan, atau penghapusan resource atau konfigurasi nilai resource.
Simulasi menghitung skor menggunakan berbagai metrik, termasuk hal berikut:
- Nilai prioritas
yang ditetapkan ke resource bernilai tinggi yang
ditampilkan.
Nilai prioritas yang dapat Anda tetapkan memiliki nilai berikut:
- TINGGI = 10
- MED = 5
- RENDAH = 1
- Jumlah kemungkinan jalur yang dapat diambil penyerang untuk mencapai resource tertentu.
- Frekuensi penyerang simulasi dapat menjangkau dan membahayakan resource bernilai tinggi di akhir jalur serangan tertentu, yang dinyatakan sebagai persentase dari jumlah total simulasi.
- Khusus untuk temuan, jumlah resource bernilai tinggi yang terekspos oleh vulnerability atau kesalahan konfigurasi yang terdeteksi.
Untuk resource, skor eksposur serangan dapat berkisar antara 0 hingga 10.
Pada tingkat tinggi, simulasi menghitung skor resource dengan mengalikan persentase serangan yang berhasil dengan nilai prioritas numerik resource.
Untuk temuan, skor tidak memiliki batas atas tetap. Makin sering temuan terjadi di jalur serangan ke resource yang terekspos dalam set resource bernilai tinggi, dan makin tinggi nilai prioritas resource tersebut, makin tinggi skornya.
Pada tingkat tinggi, simulasi menghitung skor temuan menggunakan penghitungan yang sama seperti yang dilakukan untuk skor resource, tetapi untuk skor temuan, simulasi kemudian mengalikan hasil penghitungan dengan jumlah resource bernilai tinggi yang diekspos oleh temuan.
Mengubah skor
Skor dapat berubah setiap kali simulasi jalur serangan dijalankan. Temuan atau resource yang memiliki skor nol hari ini mungkin memiliki skor bukan nol besok.
Skor berubah karena berbagai alasan, termasuk:
- Deteksi atau perbaikan kerentanan yang secara langsung atau tidak langsung mengekspos resource bernilai tinggi.
- Penambahan atau penghapusan resource di lingkungan Anda.
Perubahan pada temuan atau resource setelah simulasi dijalankan tidak akan tercermin dalam skor hingga simulasi berikutnya dijalankan.
Menggunakan skor untuk memprioritaskan penemuan perbaikan
Untuk memprioritaskan perbaikan temuan secara efektif berdasarkan ekspos serangan atau skor kombinasi toksik, pertimbangkan poin berikut:
- Setiap temuan yang memiliki skor lebih besar dari nol akan mengekspos resource bernilai tinggi ke potensi serangan dengan cara tertentu, sehingga penyelesaiannya harus diprioritaskan daripada temuan yang memiliki skor nol.
- Makin tinggi skor temuan, makin banyak temuan yang mengekspos resource bernilai tinggi dan makin tinggi prioritas perbaikannya.
Secara umum, berikan prioritas tertinggi pada perbaikan temuan yang memiliki skor tertinggi dan yang paling efektif memblokir jalur serangan ke resource bernilai tinggi Anda.
Jika skor temuan kombinasi beracun dan temuan dalam class temuan lain kira-kira sama, prioritaskan perbaikan temuan kombinasi beracun, karena temuan ini mewakili jalur lengkap dari internet publik ke satu atau beberapa resource bernilai tinggi yang dapat diikuti penyerang jika mereka mendapatkan akses ke lingkungan cloud Anda.
Di halaman Temuan Security Command Center di konsol Google Cloud atau konsol Security Operations, Anda dapat mengurutkan temuan di panel halaman berdasarkan skor dengan mengklik judul kolom.
Di konsol Google Cloud, Anda juga dapat melihat temuan dengan skor tertinggi dengan menambahkan filter ke kueri temuan yang hanya menampilkan temuan dengan skor eksposur serangan yang lebih besar dari angka yang Anda tentukan.
Di halaman Kasus di konsol Security Operations, Anda juga dapat mengurutkan kasus kombinasi toksik berdasarkan skor eksposur serangan.
Temuan yang tidak dapat diperbaiki.
Dalam beberapa kasus, Anda mungkin tidak dapat memperbaiki temuan dengan skor eksposur serangan yang tinggi, baik karena temuan tersebut mewakili risiko yang diketahui dan diterima, atau karena temuan tersebut tidak dapat diperbaiki dengan mudah. Dalam kasus ini, Anda mungkin perlu memitigasi risiko dengan cara lain. Meninjau jalur serangan terkait dapat memberi Anda ide untuk kemungkinan mitigasi lainnya.
Menggunakan skor eksposur serangan untuk mengamankan resource
Skor eksposur serangan yang bukan nol pada resource berarti simulasi jalur serangan mengidentifikasi satu atau beberapa jalur serangan dari internet publik ke resource.
Untuk melihat skor eksposur serangan untuk resource bernilai tinggi, ikuti langkah-langkah berikut:
Di konsol Google Cloud, buka halaman Aset di Security Command Center.
Pilih tab Set resource bernilai tinggi. Resource dalam set resource bernilai tinggi Anda ditampilkan dalam urutan menurun berdasarkan skor eksposur serangan.
Tampilkan jalur serangan untuk resource dengan mengklik angka di barisnya di kolom Skor eksposur serangan. Jalur serangan dari internet publik ke resource akan ditampilkan.
Tinjau jalur serangan untuk mencari lingkaran merah pada node yang menunjukkan temuan. Untuk mengetahui informasi tentang cara menafsirkan jalur serangan, lihat Jalur serangan.
Klik node yang memiliki lingkaran merah untuk melihat temuan.
Mulai tindakan untuk memperbaiki temuan.
Anda juga dapat melihat skor eksposur serangan resource bernilai tinggi di tab Simulasi jalur serangan di Setelan dengan mengklik Lihat resource bernilai yang digunakan dalam simulasi terakhir.
Skor eksposur serangan 0
Skor eksposur serangan 0
pada resource berarti bahwa, dalam simulasi
jalur serangan terbaru, Security Command Center tidak mengidentifikasi
jalur potensial yang dapat diambil penyerang untuk mencapai resource tersebut.
Skor eksposur serangan 0
pada temuan berarti bahwa, dalam simulasi
serangan terbaru, penyerang simulasi tidak dapat menjangkau resource bernilai tinggi
melalui temuan tersebut.
Namun, skor eksposur serangan 0
bukan berarti tidak ada
risiko. Skor eksposur serangan mencerminkan
eksposur layanan, resource, dan
temuan Security Command Center Google Cloud yang didukung terhadap potensi ancaman yang berasal dari
internet publik. Misalnya, skor tidak memperhitungkan
ancaman dari aktor internal, kerentanan zero-day, atau infrastruktur
pihak ketiga.
Tidak ada skor eksposur serangan
Jika temuan atau referensi tidak memiliki skor, hal ini dapat disebabkan oleh alasan berikut:
- Temuan ini dikeluarkan setelah simulasi jalur serangan terbaru.
- Resource ditambahkan ke kumpulan resource bernilai tinggi Anda setelah simulasi jalur serangan terbaru.
- Fitur eksposur serangan saat ini tidak mendukung kategori temuan atau jenis resource.
Untuk mengetahui daftar kategori temuan yang didukung, lihat Dukungan fitur Mesin Risiko.
Untuk daftar jenis resource yang didukung, lihat Resource yang menerima skor eksposur serangan.
Nilai resource
Meskipun semua resource Anda di Google Cloud memiliki nilai, Security Command Center mengidentifikasi jalur serangan dan menghitung skor eksposur serangan hanya untuk resource yang Anda tetapkan sebagai resource bernilai tinggi (terkadang disebut sebagai resource bernilai).
Resource bernilai tinggi
Resource bernilai tinggi di Google Cloud adalah resource yang sangat penting bagi bisnis Anda untuk dilindungi dari potensi serangan. Misalnya, resource bernilai tinggi Anda mungkin adalah resource yang menyimpan data berharga atau sensitif atau yang menghosting workload penting bagi bisnis Anda.
Anda menetapkan resource sebagai resource bernilai tinggi dengan menentukan atribut resource dalam konfigurasi nilai resource. Hingga batas 1.000 instance resource, Security Command Center akan memperlakukan instance resource apa pun yang cocok dengan atribut yang Anda tentukan dalam konfigurasi sebagai resource bernilai tinggi.
Nilai prioritas
Di antara resource yang Anda tetapkan sebagai bernilai tinggi, Anda mungkin perlu memprioritaskan keamanan beberapa resource lebih daripada yang lain. Misalnya, kumpulan resource data mungkin berisi data bernilai tinggi, tetapi resource data tertentu mungkin berisi data yang lebih sensitif daripada yang lainnya.
Agar skor Anda mencerminkan kebutuhan Anda untuk memprioritaskan keamanan resource dalam set resource bernilai tinggi, Anda menetapkan nilai prioritas dalam konfigurasi nilai resource yang menetapkan resource sebagai bernilai tinggi.
Jika menggunakan Perlindungan Data Sensitif, Anda juga dapat memprioritaskan resource secara otomatis berdasarkan sensitivitas data yang dikandung resource tersebut.
Menetapkan nilai prioritas resource secara manual
Dalam konfigurasi nilai resource, Anda menetapkan prioritas ke resource bernilai tinggi yang cocok dengan menentukan salah satu nilai prioritas berikut:
LOW
= 1MEDIUM
= 5HIGH
= 10NONE
= 0
Jika Anda menentukan nilai prioritas LOW
dalam konfigurasi nilai resource,
resource yang cocok masih merupakan resource bernilai tinggi; simulasi jalur
serangan hanya memperlakukannya dengan prioritas yang lebih rendah dan menetapkan skor
eksposur serangan yang lebih rendah daripada resource bernilai tinggi yang memiliki
nilai prioritas MEDIUM
atau HIGH
.
Jika beberapa konfigurasi menetapkan nilai yang berbeda untuk resource yang sama,
nilai tertinggi akan diterapkan, kecuali jika konfigurasi menetapkan nilai NONE
.
Nilai resource NONE
mengecualikan resource yang cocok agar tidak dianggap sebagai resource bernilai tinggi dan mengganti konfigurasi nilai resource lainnya untuk resource yang sama. Oleh karena itu, pastikan
konfigurasi apa pun yang menentukan NONE
hanya berlaku untuk kumpulan
resource terbatas.
Menetapkan nilai prioritas resource secara otomatis berdasarkan sensitivitas data
Jika menggunakan penemuan Perlindungan Data Sensitif dan memublikasikan profil data ke Security Command Center, Anda dapat mengonfigurasi Security Command Center untuk menetapkan nilai prioritas resource bernilai tinggi tertentu secara otomatis berdasarkan sensitivitas data yang dikandung resource tersebut.
Anda mengaktifkan prioritas sensitivitas data saat menentukan resource dalam konfigurasi nilai resource.
Jika diaktifkan, jika penemuan Perlindungan Data Sensitif mengklasifikasikan
data dalam resource sebagai sensitivitas MEDIUM
atau HIGH
, simulasi
jalur serangan secara default menetapkan nilai prioritas resource
ke nilai yang sama.
Tingkat sensitivitas data ditentukan oleh Perlindungan Data Sensitif, tetapi Anda dapat menafsirkannya sebagai berikut:
- Data sensitivitas tinggi
- Penemuan Perlindungan Data Sensitif menemukan setidaknya satu instance data sensitivitas tinggi dalam resource.
- Data dengan sensitivitas sedang
- Penemuan Perlindungan Data Sensitif menemukan setidaknya satu instance data sensitivitas sedang dalam resource dan tidak ada instance data sensitivitas tinggi.
- Data dengan sensitivitas rendah
- Penemuan Perlindungan Data Sensitif tidak mendeteksi data sensitif, teks bebas, atau data tidak terstruktur dalam resource.
Jika penemuan Sensitive Data Protection hanya mengidentifikasi data sensitivitas rendah dalam resource data yang cocok, resource tersebut tidak ditetapkan sebagai resource bernilai tinggi.
Jika Anda memerlukan resource data yang hanya berisi data dengan sensitivitas rendah untuk
ditetapkan sebagai resource bernilai tinggi dengan prioritas rendah,
buat konfigurasi nilai resource duplikat, tetapi tentukan nilai
prioritas LOW
, bukan mengaktifkan prioritas sensitivitas data.
Konfigurasi yang menggunakan Perlindungan Data Sensitif
akan menggantikan konfigurasi yang menetapkan nilai prioritas LOW
,
tetapi hanya untuk resource yang berisi data sensitivitas
HIGH
atau MEDIUM
.
Anda dapat mengubah nilai prioritas default yang digunakan Security Command Center saat data sensitif terdeteksi dalam konfigurasi nilai resource.
Untuk mengetahui informasi selengkapnya tentang Perlindungan Data Sensitif, lihat ringkasan Perlindungan Data Sensitif.
Prioritas sensitivitas data dan set resource bernilai tinggi default
Sebelum Anda membuat kumpulan resource bernilai tinggi Anda sendiri, Security Command Center akan menggunakan kumpulan resource bernilai tinggi default untuk menghitung skor eksposur serangan dan jalur serangan.
Jika Anda menggunakan penemuan Perlindungan Data Sensitif, Security Command Center akan otomatis menambahkan instance jenis resource data yang didukung yang berisi data sensitivitas HIGH
atau MEDIUM
ke set resource bernilai tinggi default.
Jenis resource Google Cloud yang didukung untuk nilai prioritas sensitivitas data otomatis
Simulasi jalur serangan dapat otomatis menetapkan nilai prioritas berdasarkan klasifikasi sensitivitas data dari penemuan Perlindungan Data Sensitif hanya untuk jenis resource data berikut:
bigquery.googleapis.com/Dataset
sqladmin.googleapis.com/Instance
storage.googleapis.com/Bucket
Jenis resource AWS yang didukung untuk nilai prioritas sensitivitas data otomatis
Simulasi jalur serangan dapat otomatis menetapkan nilai prioritas berdasarkan klasifikasi sensitivitas data dari penemuan Perlindungan Data Sensitif hanya untuk jenis resource data AWS berikut:
- Bucket Amazon S3
Set resource bernilai tinggi
Set resource bernilai tinggi adalah kumpulan resource yang ditentukan di lingkungan Google Cloud Anda yang paling penting untuk diamankan dan dilindungi.
Untuk menentukan set resource bernilai tinggi, Anda perlu menentukan resource mana di lingkungan Google Cloud yang termasuk dalam set resource bernilai tinggi. Sebelum Anda menentukan kumpulan resource bernilai tinggi, skor eksposur serangan, jalur serangan, dan temuan kombinasi toksik tidak mencerminkan prioritas keamanan Anda secara akurat.
Anda menentukan resource dalam set resource bernilai tinggi dengan membuat konfigurasi nilai resource. Kombinasi semua konfigurasi nilai resource Anda menentukan set resource bernilai tinggi. Untuk mengetahui informasi selengkapnya, lihat Konfigurasi nilai resource.
Hingga Anda menentukan konfigurasi nilai resource pertama, Security Command Center akan menggunakan set resource bernilai tinggi default. Set default berlaku di seluruh organisasi Anda untuk semua jenis resource yang didukung simulasi jalur serangan. Untuk mengetahui informasi selengkapnya, lihat Set resource bernilai tinggi default.
Untuk melihat kumpulan resource bernilai tinggi yang digunakan dalam simulasi jalur serangan terakhir, termasuk skor eksposur serangan dan konfigurasi yang cocok, lihat Melihat kumpulan resource bernilai tinggi.
Konfigurasi nilai resource
Anda mengelola resource dalam set resource bernilai tinggi dengan konfigurasi nilai resource.
Anda membuat konfigurasi nilai resource di tab Attack path simulation di halaman Settings Security Command Center di konsol Google Cloud.
Dalam konfigurasi nilai resource, Anda menentukan atribut yang harus dimiliki resource agar Security Command Center dapat menambahkannya ke kumpulan resource bernilai tinggi.
Atribut yang dapat Anda tentukan mencakup jenis resource, tag resource, label resource, dan project, folder, atau organisasi induk.
Anda juga menetapkan nilai resource ke resource dalam konfigurasi. Nilai resource memprioritaskan resource dalam konfigurasi secara relatif terhadap resource lain dalam set resource bernilai tinggi. Untuk mengetahui informasi selengkapnya, lihat Nilai resource.
Anda dapat membuat hingga 100 konfigurasi nilai resource di organisasi Google Cloud.
Bersama-sama, semua konfigurasi nilai resource yang Anda buat menentukan kumpulan resource bernilai tinggi yang digunakan Security Command Center untuk simulasi jalur serangan.
Atribut resource
Agar resource disertakan dalam set resource bernilai tinggi, atributnya harus cocok dengan atribut yang Anda tentukan dalam konfigurasi nilai resource.
Atribut yang dapat Anda tentukan meliputi:
- Jenis resource atau
Any
. JikaAny
ditentukan, konfigurasi akan berlaku untuk semua jenis resource yang didukung dalam cakupan yang ditentukan.Any
adalah nilai default. - Cakupan (organisasi, folder, atau project induk) tempat resource harus berada. Cakupan default adalah organisasi Anda. Jika Anda menentukan organisasi atau folder, konfigurasi juga berlaku untuk resource di folder atau project turunan.
- Secara opsional, satu atau beberapa tag atau label yang harus dimiliki setiap resource.
Jika Anda menentukan satu atau beberapa konfigurasi nilai resource, tetapi tidak ada resource di lingkungan Google Cloud Anda yang cocok dengan atribut yang ditentukan dalam konfigurasi mana pun, Security Command Center akan mengeluarkan temuan SCC Error
dan kembali ke kumpulan resource bernilai tinggi default.
Set resource bernilai tinggi default
Security Command Center menggunakan kumpulan resource bernilai tinggi default untuk menghitung skor eksposur serangan jika tidak ada konfigurasi nilai resource yang ditentukan atau jika tidak ada konfigurasi yang ditentukan yang cocok dengan resource apa pun.
Security Command Center menetapkan resource dalam resource bernilai tinggi default dengan nilai prioritas LOW
, kecuali jika Anda menggunakan penemuan Sensitive Data Protection. Jika demikian, Security Command Center akan menetapkan resource yang berisi data dengan sensitivitas tinggi atau sedang dengan nilai prioritas HIGH
atau MEDIUM
yang sesuai.
Jika Anda memiliki setidaknya satu konfigurasi nilai resource yang cocok dengan setidaknya satu resource di lingkungan Anda, Security Command Center akan berhenti menggunakan kumpulan resource bernilai tinggi default.
Untuk menerima skor eksposur serangan dan kombinasi beracun yang secara akurat mencerminkan prioritas keamanan Anda, ganti kumpulan resource bernilai tinggi default dengan kumpulan resource bernilai tinggi Anda sendiri. Untuk mengetahui informasi selengkapnya, lihat Menentukan dan mengelola kumpulan resource bernilai tinggi.
Daftar berikut menunjukkan jenis resource yang disertakan dalam kumpulan resource bernilai tinggi default:
bigquery.googleapis.com/Dataset
cloudfunctions.googleapis.com/CloudFunction
compute.googleapis.com/Instance
container.googleapis.com/Cluster
sqladmin.googleapis.com/Instance
storage.googleapis.com/Bucket
Batasan pada resource dalam set resource bernilai tinggi
Security Command Center membatasi jumlah resource dalam resource bernilai tinggi yang ditetapkan ke 1.000.
Jika spesifikasi atribut dalam satu atau beberapa konfigurasi nilai resource sangat luas, jumlah resource yang cocok dengan spesifikasi atribut dapat melebihi 1.000.
Jika jumlah resource yang cocok melebihi batas, Security Command Center akan mengecualikan resource dari set hingga jumlah resource berada dalam batas. Security Command Center mengecualikan resource dengan nilai yang ditetapkan terendah terlebih dahulu. Di antara resource dengan nilai yang ditetapkan sama, Security Command Center mengecualikan instance resource dengan algoritma yang mendistribusikan resource yang dikecualikan di seluruh jenis resource.
Resource yang dikecualikan dari kumpulan resource bernilai tinggi tidak dipertimbangkan dalam penghitungan skor eksposur serangan.
Untuk memberi tahu Anda saat batas instance untuk penghitungan skor terlampaui, Security Command Center akan mengeluarkan temuan SCC error
dan menampilkan pesan di tab setelan Simulasi jalur serangan di Konsol Google Cloud.
Security Command Center tidak mengeluarkan
temuan SCC error
jika kumpulan nilai tinggi default melebihi
batas instance.
Untuk menghindari batas yang terlampaui, sesuaikan konfigurasi nilai resource untuk meningkatkan kualitas instance dalam set resource bernilai tinggi.
Beberapa hal yang dapat Anda lakukan untuk meningkatkan kualitas set resource bernilai tinggi mencakup opsi berikut:
- Gunakan tag atau label untuk mengurangi jumlah kecocokan untuk jenis resource tertentu atau dalam cakupan yang ditentukan.
- Buat konfigurasi nilai resource yang menetapkan nilai
NONE
ke subkumpulan resource yang ditentukan dalam konfigurasi lain. Menentukan nilaiNONE
akan menggantikan konfigurasi lainnya dan mengecualikan instance resource dari set resource bernilai tinggi Anda. - Kurangi spesifikasi cakupan dalam konfigurasi nilai resource.
- Hapus konfigurasi nilai resource yang menetapkan nilai
LOW
.
Memilih resource bernilai tinggi
Untuk mengisi set resource bernilai tinggi, Anda perlu menentukan instance resource mana di lingkungan Anda yang benar-benar bernilai tinggi.
Umumnya, resource bernilai tinggi yang sebenarnya adalah resource yang memproses dan menyimpan data sensitif Anda. Misalnya, di Google Cloud, resource ini mungkin berupa instance Compute Engine, set data BigQuery, atau bucket Cloud Storage.
Anda tidak perlu menetapkan resource yang berdekatan dengan resource bernilai tinggi, seperti server jump, sebagai bernilai tinggi. Simulasi jalur serangan sudah memperhitungkan resource yang berdekatan ini, dan jika Anda juga menetapkannya sebagai bernilai tinggi, hal ini dapat membuat skor eksposur serangan Anda kurang andal.
Dukungan multicloud
Simulasi jalur serangan dapat menilai risiko dalam deployment Anda di platform penyedia layanan cloud lainnya.
Setelah membuat koneksi ke platform lain, Anda dapat menetapkan resource bernilai tinggi di penyedia layanan cloud lain dengan membuat konfigurasi nilai resource, seperti yang Anda lakukan untuk resource di Google Cloud.
Security Command Center menjalankan simulasi untuk platform cloud secara terpisah dari simulasi yang dijalankan untuk platform cloud lainnya.
Sebelum Anda membuat konfigurasi nilai resource pertama untuk penyedia layanan cloud lain, Security Command Center menggunakan kumpulan resource bernilai tinggi default yang khusus untuk penyedia layanan cloud. Set resource bernilai tinggi default menetapkan semua resource yang didukung sebagai resource bernilai tinggi.
Platform penyedia layanan cloud yang didukung
Selain Google Cloud, Security Command Center dapat menjalankan simulasi jalur serangan untuk Amazon Web Services (AWS). Untuk informasi selengkapnya, lihat:
Jalur serangan
Jalur serangan adalah penggambaran visual interaktif dari satu atau beberapa jalur potensial yang dapat diambil penyerang hipotetis untuk berpindah dari internet publik ke salah satu instance resource bernilai tinggi Anda.
Simulasi jalur serangan mengidentifikasi potensi jalur serangan dengan membuat model hal yang akan terjadi jika penyerang menerapkan metode serangan yang diketahui ke kerentanan dan kesalahan konfigurasi yang telah dideteksi Security Command Center di lingkungan Anda untuk mencoba menjangkau resource bernilai tinggi Anda.
Anda dapat melihat jalur serangan dengan mengklik skor eksposur serangan pada temuan atau resource di konsol Google Cloud.
Saat melihat kasus kombinasi toksik di konsol Security Operations, Anda dapat melihat jalur serangan yang disederhanakan untuk kombinasi toksik di tab ringkasan kasus. Jalur serangan yang disederhanakan menyertakan link ke jalur serangan lengkap. Untuk mengetahui informasi selengkapnya tentang jalur serangan untuk temuan kombinasi toksik, lihat Jalur serangan kombinasi toksik.
Saat melihat jalur serangan yang lebih besar, Anda dapat mengubah tampilan jalur serangan dengan menarik pemilih area fokus persegi merah di sekitar tampilan miniatur jalur serangan di sisi kanan layar.
Saat jalur serangan ditampilkan di konsol Google Cloud, Anda dapat mengklik Ringkasan AIPratinjau untuk menampilkan penjelasan jalur serangan. Penjelasan dibuat secara dinamis menggunakan kecerdasan buatan (AI). Untuk informasi selengkapnya, lihat Ringkasan yang dibuat AI.
Dalam jalur serangan, resource di jalur serangan diwakili sebagai kotak atau node. Garis mewakili potensi aksesibilitas antar-resource. Bersama-sama, node dan garis mewakili jalur serangan.
Node jalur serangan
Node dalam jalur serangan mewakili resource di jalur serangan.
Menampilkan informasi node
Anda dapat menampilkan informasi selengkapnya tentang setiap node dalam jalur serangan dengan mengkliknya.
Mengklik nama resource di node akan menampilkan informasi selengkapnya tentang resource, serta temuan apa pun yang memengaruhi resource.
Mengklik Luaskan node akan menampilkan kemungkinan metode serangan yang dapat digunakan jika penyerang mendapatkan akses ke resource.
Jenis node
Ada tiga jenis node yang berbeda:
- Titik awal atau titik entri serangan simulasi, yaitu internet publik. Mengklik node titik entri akan menampilkan deskripsi titik entri beserta metode serangan yang dapat digunakan penyerang untuk mendapatkan akses ke lingkungan Anda.
- Resource yang terpengaruh yang dapat digunakan penyerang untuk melanjutkan di jalur.
- Resource yang terekspos di akhir jalur, yang merupakan salah satu resource dalam set resource bernilai tinggi Anda. Hanya resource dalam set resource bernilai tinggi yang ditentukan atau default yang dapat menjadi resource yang ditampilkan. Anda menentukan set resource bernilai tinggi dengan membuat konfigurasi nilai resource.
Node upstream dan downstream
Dalam jalur serangan, node dapat berupa upstream atau downstream dari node lain. Node upstream lebih dekat ke titik entri dan bagian atas jalur serangan. Node downstream lebih dekat ke resource bernilai tinggi yang terekspos di bagian bawah jalur serangan.
Node yang mewakili beberapa instance resource penampung
Node dapat mewakili beberapa instance jenis resource penampung tertentu jika instance tersebut memiliki karakteristik yang sama.
Beberapa instance jenis resource penampung berikut dapat diwakili oleh satu node:
- Pengontrol ReplicaSet
- Pengontrol Deployment
- Pengontrol Tugas
- Pengontrol CronJob
- Pengontrol DaemonSet
Garis jalur serangan
Dalam jalur serangan, garis di antara kotak mewakili potensi aksesibilitas antar-resource yang dapat dimanfaatkan penyerang untuk menjangkau resource bernilai tinggi.
Garis tidak mewakili hubungan antara resource yang ditentukan di Google Cloud.
Jika ada beberapa jalur yang mengarah ke node downstream dari beberapa node upstream, node upstream dapat memiliki hubungan AND
satu sama lain atau hubungan OR
satu sama lain.
Hubungan AND
berarti penyerang memerlukan akses ke node upstream
dan downstream untuk mengakses node downstream di jalur.
Misalnya, jalur langsung dari internet publik ke resource bernilai tinggi
di akhir jalur serangan memiliki hubungan AND
dengan
setidaknya satu jalur lain di jalur serangan. Penyerang tidak dapat menjangkau
resource bernilai tinggi kecuali jika mereka mendapatkan akses ke
lingkungan Google Cloud Anda dan setidaknya satu resource lain
yang ditampilkan di jalur serangan.
Hubungan OR
berarti penyerang hanya memerlukan akses ke salah satu
node upstream untuk mengakses node downstream.
Simulasi jalur serangan
Untuk menentukan semua kemungkinan jalur serangan dan menghitung skor eksposur serangan, Security Command Center melakukan simulasi jalur serangan lanjutan.
Jadwal simulasi
Simulasi jalur serangan dapat berjalan hingga empat kali sehari (setiap enam jam). Seiring berkembangnya organisasi, simulasi akan memerlukan waktu lebih lama, tetapi akan selalu berjalan setidaknya sekali sehari. Simulasi yang dijalankan tidak dipicu oleh pembuatan, perubahan, atau penghapusan resource atau konfigurasi nilai resource.
Langkah-langkah simulasi jalur serangan
Simulasi ini terdiri dari tiga langkah:
- Pembuatan model: Model lingkungan Google Cloud Anda otomatis dibuat berdasarkan data lingkungan. Model ini adalah representasi grafik lingkungan Anda, yang disesuaikan untuk analisis jalur serangan.
- Simulasi jalur serangan: Simulasi jalur serangan dilakukan pada model grafik. Simulasi ini memiliki penyerang virtual yang mencoba menjangkau dan menyusupi resource dalam kumpulan resource bernilai tinggi Anda. Simulasi ini memanfaatkan insight tentang setiap resource dan hubungan tertentu, termasuk jaringan, IAM, konfigurasi, kesalahan konfigurasi, dan kerentanan.
- Pelaporan insight: Berdasarkan simulasi, Security Command Center menetapkan skor eksposur serangan ke resource bernilai tinggi dan ke temuan yang mengeksposnya serta memvisualisasikan potensi jalur yang dapat diambil penyerang ke resource tersebut.
Karakteristik eksekusi simulasi
Selain memberikan skor eksposur serangan, insight jalur serangan, dan jalur serangan, simulasi jalur serangan memiliki karakteristik berikut:
- Simulasi tidak menyentuh lingkungan aktif Anda: Semua simulasi dilakukan pada model virtual dan hanya menggunakan akses baca untuk pembuatan model.
- Model ini bersifat dinamis: Model dibuat tanpa agen melalui akses baca API saja, yang memungkinkan simulasi mengikuti perubahan pada lingkungan Anda secara dinamis dari waktu ke waktu.
- Alat ini memiliki penyerang virtual yang mencoba sebanyak mungkin metode dan kerentanan untuk mencapai dan menyusupi resource bernilai tinggi Anda. Hal ini tidak hanya mencakup "yang diketahui", seperti kerentanan, konfigurasi, kesalahan konfigurasi, dan hubungan jaringan, tetapi juga "yang tidak diketahui yang diketahui" dengan probabilitas lebih rendah—risiko yang kita ketahui ada, seperti kemungkinan phishing atau kebocoran kredensial.
- Serangan ini otomatis: Logika serangan sudah terintegrasi dalam alat. Anda tidak perlu membuat atau mengelola kumpulan kueri yang luas atau set data besar.
Skenario dan kemampuan penyerang
Dalam simulasi, Security Command Center memiliki representasi logis dari upaya penyerang mengeksploitasi resource bernilai tinggi Anda dengan mendapatkan akses ke lingkungan Google Cloud Anda dan mengikuti potensi jalur akses melalui resource dan kerentanan yang terdeteksi.
Penyerang virtual
Penyerang virtual yang digunakan simulasi memiliki karakteristik berikut:
- Penyerang adalah pihak eksternal: Penyerang bukan pengguna yang sah dari lingkungan Google Cloud Anda. Simulasi tidak membuat model atau menyertakan serangan dari pengguna yang berbahaya atau lalai yang memiliki akses sah ke lingkungan Anda.
- Penyerang memulai dari internet publik. Untuk memulai serangan, penyerang harus mendapatkan akses ke lingkungan Anda terlebih dahulu dari internet publik.
- Penyerang bersifat persisten. Penyerang tidak akan berkecil hati atau kehilangan minat karena kesulitan metode serangan tertentu.
- Penyerang memiliki keterampilan dan pengetahuan yang baik. Penyerang mencoba metode dan teknik yang dikenal untuk mengakses resource bernilai tinggi Anda.
Akses awal
Setiap simulasi memiliki penyerang virtual yang mencoba metode berikut untuk mendapatkan akses dari internet publik ke resource di lingkungan Anda:
- Temukan dan hubungkan ke layanan dan resource apa pun yang
dapat diakses dari internet publik:
- Layanan di instance virtual machine (VM) Compute Engine dan node Google Kubernetes Engine
- Database
- Container
- Bucket Cloud Storage
- Fungsi Cloud Run
- Mendapatkan akses ke kunci dan kredensial, termasuk:
- Kunci akun layanan
- Kunci enkripsi yang disediakan pengguna
- Kunci SSH instance VM
- Kunci SSH di seluruh project
- Sistem pengelolaan kunci enkripsi eksternal
- Akun pengguna yang tidak menerapkan autentikasi multi-faktor (MFA)
- Token MFA virtual yang dicegat
- Mendapatkan akses ke aset cloud yang dapat dijangkau secara publik dengan menggunakan kredensial yang dicuri atau dengan mengeksploitasi kerentanan yang dilaporkan oleh Mandiant Attack Surface Management dan VM Manager
Jika simulasi menemukan kemungkinan titik entri ke lingkungan, simulasi akan meminta penyerang virtual untuk mencoba menjangkau dan menyusupi resource bernilai tinggi Anda dari titik entri dengan secara berurutan menjelajahi dan mengeksploitasi konfigurasi dan kerentanan keamanan dalam lingkungan.
Taktik dan teknik
Simulasi ini menggunakan berbagai taktik dan teknik, termasuk memanfaatkan akses yang sah, pergerakan lateral, eskalasi hak istimewa, kerentanan, kesalahan konfigurasi, dan eksekusi kode.
Penggabungan data CVE
Saat menghitung skor eksposur serangan untuk temuan kerentanan, simulasi jalur serangan mempertimbangkan data dari data CVE kerentanan, skor CVSS, serta penilaian eksploitabilitas kerentanan yang disediakan oleh Mandiant.
Informasi CVE berikut dipertimbangkan:
- Vektor serangan: Penyerang harus memiliki tingkat akses yang ditentukan dalam vektor serangan CVSS untuk menggunakan CVE. Misalnya, CVE dengan vektor serangan jaringan yang ditemukan di aset dengan alamat IP publik dan port terbuka dapat dieksploitasi oleh penyerang dengan akses jaringan. Jika penyerang hanya memiliki akses jaringan dan CVE memerlukan akses fisik, maka penyerang tidak dapat mengeksploitasi CVE.
- Kompleksitas serangan: Secara umum, temuan kerentanan atau kesalahan konfigurasi dengan kompleksitas serangan rendah lebih cenderung mendapatkan skor eksposur serangan tinggi daripada temuan dengan kompleksitas serangan tinggi.
- Aktivitas eksploitasi: Umumnya, temuan kerentanan dengan aktivitas eksploitasi yang luas, seperti yang ditentukan oleh analis intelijen ancaman cyber di Mandiant, lebih cenderung mendapatkan skor eksposur serangan yang tinggi daripada temuan tanpa aktivitas eksploitasi yang diketahui.