Skor eksposur serangan dan jalur serangan

Halaman ini menjelaskan konsep, prinsip, dan batasan utama untuk membantu Anda mempelajari, meningkatkan kualitas, dan menggunakan skor eksposur serangan Security Command Center dan jalur serangan yang dihasilkan oleh simulasi jalur serangan.

Skor jalur serangan dan jalur serangan dibuat untuk kedua hal berikut:

  • Temuan kerentanan dan kesalahan konfigurasi (temuan kerentanan, secara kolektif) yang mengekspos instance resource dalam set resource bernilai tinggi yang efektif.
  • Resource dalam set resource bernilai tinggi yang efektif.

Jalur serangan merepresentasikan kemungkinan

Anda tidak akan melihat bukti serangan yang sebenarnya di jalur serangan.

Simulasi jalur serangan menghasilkan jalur serangan dan skor eksposur serangan dengan menyimulasikan hal yang dapat dilakukan penyerang fiktif jika mereka mendapatkan akses ke lingkungan Google Cloud Anda dan menemukan jalur serangan serta kerentanan yang telah ditemukan oleh Security Command Center.

Setiap jalur serangan menampilkan satu atau beberapa metode serangan yang dapat digunakan penyerang jika mendapatkan akses ke resource tertentu. Jangan membingungkan metode serangan ini dengan serangan yang sebenarnya.

Demikian pula, skor eksposur serangan yang tinggi pada temuan atau resource Security Command Center tidak berarti bahwa serangan sedang berlangsung.

Untuk memantau serangan yang sebenarnya, pantau temuan class THREAT yang dihasilkan oleh layanan deteksi ancaman, seperti Event Threat Detection dan Container Threat Detection.

Untuk informasi selengkapnya, lihat bagian berikut di halaman ini:

Skor eksposur serangan

Skor paparan serangan pada temuan atau resource Security Command Center adalah ukuran terkait seberapa terbuka resource terhadap potensi serangan jika pelaku kejahatan mendapatkan akses ke lingkungan Google Cloud Anda.

Pada temuan, skor adalah ukuran seberapa besar masalah keamanan yang terdeteksi mengekspos satu atau beberapa resource bernilai tinggi terhadap potensi serangan cyber. Pada resource bernilai tinggi, skornya adalah ukuran seberapa banyak resource tersebut terekspos terhadap potensi serangan cyber.

Menggunakan skor eksposur serangan pada temuan kerentanan untuk memprioritaskan perbaikan temuan.

Menggunakan skor eksposur serangan pada resource untuk secara proaktif mengamankan resource yang paling berharga bagi bisnis Anda.

Simulasi jalur serangan selalu memulai serangan dari internet publik. Akibatnya, skor eksposur serangan tidak memperhitungkan kemungkinan paparan terhadap pelaku internal yang berbahaya atau lalai.

Temuan yang menerima skor eksposur serangan

Skor eksposur serangan diterapkan pada temuan class Vulnerability dan Misconfiguration aktif yang tercantum dalam Kategori temuan yang didukung.

Simulasi jalur serangan mencakup temuan yang dibisukan, sehingga temuan yang dibisukan akan menerima skor eksposur serangan dan disertakan dalam jalur serangan.

Simulasi jalur serangan hanya mencakup temuan aktif. Temuan yang memiliki status INACTIVE tidak disertakan dalam simulasi, sehingga tidak menerima skor paparan serangan dan tidak disertakan dalam jalur serangan.

Resource yang menerima skor eksposur serangan

Simulasi jalur serangan menghitung skor eksposur serangan untuk jenis resource yang didukung dalam set resource bernilai tinggi Anda. Anda menentukan resource yang termasuk dalam set resource bernilai tinggi dengan membuat konfigurasi nilai resource.

Jika resource dalam set resource bernilai tinggi memiliki skor eksposur serangan 0, simulasi jalur serangan tidak mengidentifikasi jalur apa pun ke resource yang dapat dimanfaatkan oleh calon penyerang.

Simulasi jalur serangan mendukung jenis resource berikut:

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/Featurestore
  • aiplatform.googleapis.com/MetadataStore
  • aiplatform.googleapis.com/Model
  • aiplatform.googleapis.com/TrainingPipeline
  • bigquery.googleapis.com/Dataset
  • cloudfunctions.googleapis.com/CloudFunction
  • compute.googleapis.com/Instance
  • container.googleapis.com/Cluster
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

Penghitungan skor

Setiap kali simulasi jalur serangan dijalankan, simulasi tersebut menghitung ulang skor eksposur serangan. Setiap simulasi jalur serangan sebenarnya menjalankan beberapa simulasi yang memungkinkan penyerang mencoba metode dan teknik serangan yang diketahui untuk menjangkau dan menyusupi resource yang bernilai.

Simulasi jalur serangan dapat berjalan hingga empat kali sehari (setiap enam jam). Seiring pertumbuhan organisasi Anda, simulasi akan memerlukan waktu lebih lama, tetapi akan selalu berjalan minimal sekali sehari. Operasi simulasi tidak dipicu oleh pembuatan, modifikasi, atau penghapusan resource atau konfigurasi nilai resource.

Simulasi ini menghitung skor menggunakan berbagai metrik, termasuk hal berikut:

  • Nilai prioritas yang ditetapkan ke resource bernilai tinggi yang diekspos. Nilai prioritas yang dapat Anda tetapkan memiliki nilai berikut:
    • TINGGI = 10
    • MED = 5
    • RENDAH = 1
  • Jumlah kemungkinan jalur yang dapat diambil penyerang untuk menjangkau resource tertentu.
  • Frekuensi saat penyerang yang disimulasikan dapat mencapai dan menyusupi resource bernilai tinggi di akhir jalur serangan tertentu, dinyatakan sebagai persentase dari jumlah total simulasi.
  • Khusus untuk temuan, jumlah resource bernilai tinggi yang terekspos oleh kerentanan atau kesalahan konfigurasi yang terdeteksi.

Untuk sumber daya, skor paparan serangan dapat berkisar dari 0 hingga 10.

Pada tingkat yang tinggi, simulasi menghitung skor resource dengan mengalikan persentase serangan yang berhasil dengan nilai prioritas numerik resource.

Untuk temuannya, skor eksposur serangan tidak memiliki batas atas tetap. Makin sering temuan terjadi di jalur serangan ke resource yang terekspos dalam set resource bernilai tinggi, dan makin tinggi nilai prioritas resource tersebut, makin tinggi skornya.

Pada tingkat yang tinggi, simulasi menghitung skor temuan dengan menggunakan penghitungan yang sama seperti yang dilakukan untuk skor resource. Namun, untuk menemukan skor, simulasikan hasil kalkulasi dengan jumlah resource bernilai tinggi yang ditampilkan oleh temuan tersebut.

Mengubah skor

Skornya dapat berubah setiap kali simulasi jalur serangan berjalan. Temuan atau resource yang memiliki skor nol hari ini mungkin memiliki skor bukan nol besok.

Skor berubah karena berbagai alasan, termasuk hal berikut:

  • Deteksi atau perbaikan kerentanan yang secara langsung atau tidak langsung mengekspos resource bernilai tinggi.
  • Penambahan atau penghapusan resource di lingkungan Anda.

Perubahan pada temuan atau resource setelah simulasi berjalan tidak ditampilkan dalam skor eksposur serangan hingga simulasi berikutnya berjalan.

Menggunakan skor paparan serangan untuk memprioritaskan pencarian perbaikan

Untuk memprioritaskan perbaikan temuan secara efektif berdasarkan skor eksposur serangannya, pertimbangkan hal-hal berikut:

  • Setiap temuan yang memiliki skor eksposur serangan yang lebih besar dari nol akan mengekspos resource bernilai tinggi terhadap potensi serangan dalam beberapa cara, sehingga perbaikan harus diprioritaskan daripada temuan yang memiliki skor nol.
  • Semakin tinggi skor temuan, semakin banyak temuan yang mengekspos resource bernilai tinggi dan semakin tinggi Anda harus memprioritaskan perbaikannya.

Secara umum, tempatkan prioritas tertinggi pada perbaikan temuan yang memiliki skor tertinggi dan yang paling efektif memblokir jalur serangan ke resource bernilai tinggi Anda.

Di halaman Findings Security Command Center di Konsol Google Cloud, Anda dapat mengurutkan temuan di panel Findings query results berdasarkan skor eksposur serangan dengan mengklik judul kolom Attack exposure Score.

Anda juga dapat melihat temuan dengan skor tertinggi dengan menambahkan filter ke kueri temuan yang hanya menampilkan temuan dengan skor eksposur serangan yang lebih besar dari angka yang Anda tentukan.

Temuan yang tidak dapat diperbaiki.

Dalam beberapa kasus, Anda mungkin tidak dapat memperbaiki temuan dengan skor eksposur serangan yang tinggi, karena hal tersebut mewakili risiko yang diketahui dan diterima, atau karena temuan tersebut tidak dapat diperbaiki dengan mudah. Dalam kasus ini, Anda mungkin perlu mengurangi risiko dengan cara lain. Meninjau jalur serangan yang terkait dapat memberi Anda ide untuk mitigasi lainnya yang mungkin dilakukan.

Menggunakan skor eksposur serangan untuk mengamankan resource

Skor eksposur serangan bukan nol pada resource berarti bahwa simulasi jalur serangan mengidentifikasi satu atau beberapa jalur serangan dari internet publik ke resource tersebut.

Guna melihat skor eksposur serangan untuk resource bernilai tinggi, ikuti langkah-langkah berikut:

  1. Buka halaman Assets Security Command Center di Konsol Google Cloud:

    Buka Aset

  2. Pilih tab Set resource bernilai tinggi. Resource di set resource bernilai tinggi ditampilkan dalam urutan menurun dari skor eksposur serangan.

  3. Tampilkan jalur serangan untuk resource dengan mengklik angka pada barisnya di kolom Attack exposure score. Jalur serangan dari internet publik ke resource akan ditampilkan.

  4. Tinjau jalur serangan dengan mencari lingkaran merah pada node yang menunjukkan temuan.

  5. Klik node yang memiliki lingkaran merah untuk melihat temuannya.

  6. Memulai tindakan untuk memperbaiki temuan tersebut.

Anda juga dapat melihat skor eksposur serangan dari resource bernilai tinggi di tab Simulasi jalur serangan di Setelan dengan mengklik Lihat resource bernilai yang digunakan dalam simulasi terakhir.

Skor eksposur serangan 0

Skor eksposur serangan 0 pada resource berarti bahwa dalam simulasi jalur serangan terbaru, Security Command Center tidak mengidentifikasi jalur potensial apa pun yang dapat diambil penyerang untuk mencapai resource.

Skor eksposur serangan 0 pada temuan berarti bahwa, dalam simulasi serangan terbaru, penyerang yang disimulasikan tidak dapat mencapai resource bernilai tinggi melalui temuan tersebut.

Namun, skor eksposur serangan 0 bukan berarti tidak ada risiko. Skor eksposur serangan mencerminkan eksposur dari temuan layanan, resource, dan Security Command Center yang didukung terhadap potensi ancaman yang berasal dari internet publik. Misalnya, skor tidak memperhitungkan ancaman dari pelaku internal, kerentanan zero-day, atau infrastruktur pihak ketiga.

Tidak ada skor paparan serangan

Jika temuan atau resource tidak memiliki skor, hal itu bisa disebabkan oleh alasan berikut:

  • Temuan ini dikeluarkan setelah simulasi jalur serangan terbaru.
  • Resource ini telah ditambahkan ke set resource bernilai tinggi Anda setelah simulasi jalur serangan terbaru.
  • Fitur eksposur serangan saat ini tidak mendukung kategori temuan atau jenis resource.

Untuk daftar kategori temuan yang didukung, lihat Dukungan fitur eksposur serangan.

Untuk daftar jenis resource yang didukung, lihat Resource yang menerima skor eksposur serangan.

Nilai resource

Meskipun semua resource Anda di Google Cloud memiliki nilai, Security Command Center mengidentifikasi jalur serangan dan menghitung skor eksposur serangan hanya untuk resource yang Anda tetapkan sebagai resource bernilai tinggi (terkadang disebut sebagai resource bernilai).

Resource bernilai tinggi

Resource bernilai tinggi di Google Cloud adalah resource yang sangat penting bagi bisnis Anda untuk dilindungi dari potensi serangan. Misalnya, resource bernilai tinggi Anda mungkin berupa resource yang menyimpan data berharga atau sensitif atau yang menghosting workload bisnis yang penting.

Anda menetapkan resource sebagai resource bernilai tinggi dengan menentukan atribut resource dalam konfigurasi nilai resource. Security Command Center memperlakukan setiap instance resource yang cocok dengan atribut yang Anda tentukan dalam konfigurasi sebagai resource bernilai tinggi.

Nilai prioritas

Di antara resource yang ditetapkan sebagai bernilai tinggi, Anda mungkin harus memprioritaskan keamanan beberapa resource dibandingkan yang lainnya. Misalnya, serangkaian resource data mungkin berisi data bernilai tinggi, tetapi beberapa resource data tersebut mungkin berisi data yang lebih sensitif daripada yang lain.

Agar skor eksposur serangan mencerminkan kebutuhan untuk memprioritaskan keamanan resource dalam set resource bernilai tinggi, Anda menetapkan nilai prioritas dalam konfigurasi nilai resource yang menetapkan resource sebagai bernilai tinggi.

Jika menggunakan Perlindungan Data Sensitif, Anda juga dapat memprioritaskan resource secara otomatis berdasarkan sensitivitas data yang terdapat dalam resource tersebut.

Menetapkan nilai prioritas resource secara manual

Dalam konfigurasi nilai resource, Anda menetapkan prioritas pada resource bernilai tinggi yang cocok dengan menentukan salah satu nilai prioritas berikut:

  • LOW = 1
  • MEDIUM = 5
  • HIGH = 10
  • NONE = 0

Jika Anda menentukan nilai prioritas LOW dalam konfigurasi nilai resource, resource yang cocok masih merupakan resource bernilai tinggi; simulasi jalur serangan hanya memperlakukannya dengan prioritas yang lebih rendah dan menetapkan skor eksposur serangan yang lebih rendah daripada resource bernilai tinggi yang memiliki nilai prioritas MEDIUM atau HIGH.

Jika beberapa konfigurasi menetapkan nilai yang berbeda untuk resource yang sama, nilai tertinggi akan berlaku, kecuali jika konfigurasi menetapkan nilai NONE.

Nilai resource NONE mengecualikan resource yang cocok agar tidak dianggap sebagai resource bernilai tinggi dan menggantikan konfigurasi nilai resource lainnya untuk resource yang sama. Karena alasan ini, pastikan setiap konfigurasi yang menentukan NONE hanya berlaku untuk sekumpulan resource terbatas.

Menetapkan nilai prioritas resource secara otomatis berdasarkan sensitivitas data

Jika menggunakan penemuan Perlindungan Data Sensitif, Anda dapat mengonfigurasi Security Command Center untuk menetapkan nilai prioritas resource bernilai tinggi secara otomatis berdasarkan sensitivitas data yang terdapat dalam resource tersebut.

Anda mengaktifkan prioritas sensitivitas data saat menentukan resource dalam konfigurasi nilai resource.

Saat diaktifkan, jika penemuan Perlindungan Data Sensitif mengklasifikasikan data dalam resource menjadi sensitivitas MEDIUM atau HIGH, simulasi jalur serangan akan secara default menetapkan nilai prioritas resource ke nilai yang sama tersebut.

Tingkat sensitivitas data ditentukan oleh Perlindungan Data Sensitif, tetapi Anda dapat menafsirkannya sebagai berikut:

Data sensitivitas tinggi
Penemuan Perlindungan Data Sensitif menemukan setidaknya satu instance data sensitivitas tinggi dalam resource.
Data dengan sensitivitas sedang
Penemuan Perlindungan Data Sensitif menemukan setidaknya satu tanggal sensitivitas sedang instance dalam resource dan tidak ada instance data sensitivitas tinggi.
Data dengan sensitivitas rendah
Penemuan Perlindungan Data Sensitif tidak mendeteksi data sensitif, teks bentuk bebas, atau data tidak terstruktur dalam resource.

Jika penemuan Perlindungan Data Sensitif hanya mengidentifikasi data dengan sensitivitas rendah dalam resource data yang cocok, resource tersebut tidak akan ditetapkan sebagai resource bernilai tinggi.

Jika Anda memerlukan resource data yang hanya berisi data sensitivitas rendah untuk ditetapkan sebagai resource bernilai tinggi dengan prioritas rendah, buat konfigurasi nilai resource duplikat, tetapi tentukan nilai prioritas LOW, bukan mengaktifkan prioritas sensitivitas data. Konfigurasi yang menggunakan Perlindungan Data Sensitif akan mengganti konfigurasi yang menetapkan nilai prioritas LOW, tetapi hanya untuk resource yang berisi data sensitivitas HIGH atau MEDIUM.

Anda dapat mengubah nilai prioritas default yang digunakan Security Command Center saat data sensitif terdeteksi dalam konfigurasi nilai resource.

Untuk mengetahui informasi selengkapnya tentang Perlindungan Data Sensitif, lihat Ringkasan Perlindungan Data Sensitif.

Prioritas dengan sensitivitas data dan set resource bernilai tinggi default

Sebelum Anda membuat set resource bernilai tinggi sendiri, Security Command Center menggunakan set resource bernilai tinggi default untuk menghitung skor eksposur serangan dan jalur serangan.

Jika Anda menggunakan penemuan Perlindungan Data Sensitif, Security Command Center secara otomatis menambahkan instance dari jenis resource data yang didukung yang berisi data sensitivitas HIGH atau MEDIUM ke kumpulan resource bernilai tinggi default.

Jenis resource yang didukung untuk nilai prioritas sensitivitas data otomatis

Simulasi jalur serangan dapat otomatis menetapkan nilai prioritas berdasarkan klasifikasi sensitivitas data dari Perlindungan Data Sensitif hanya untuk jenis resource data bigquery.googleapis.com/Dataset.

Set resource bernilai tinggi

Set resource bernilai tinggi adalah kumpulan resource yang ditentukan di lingkungan Google Cloud Anda yang paling penting untuk diamankan dan dilindungi.

Untuk menentukan set resource bernilai tinggi, Anda perlu menentukan resource mana di lingkungan Google Cloud yang termasuk dalam set resource bernilai tinggi. Sebelum Anda menentukan set resource yang bernilai tinggi, skor eksposur serangan dan jalur serangan tidak mencerminkan prioritas keamanan Anda secara akurat.

Menentukan resource dalam set resource bernilai tinggi dengan membuat konfigurasi nilai resource. Kombinasi semua konfigurasi nilai resource menentukan set resource bernilai tinggi. Untuk mengetahui informasi selengkapnya, lihat Konfigurasi nilai resource.

Sampai Anda menentukan konfigurasi nilai resource pertama, Security Command Center menggunakan kumpulan resource bernilai tinggi default. Kumpulan default berlaku di seluruh organisasi Anda untuk semua jenis resource yang didukung oleh simulasi jalur serangan. Untuk informasi selengkapnya, lihat Kumpulan resource bernilai tinggi default.

Anda dapat melihat set resource bernilai tinggi yang digunakan dalam simulasi jalur serangan terakhir di Konsol Google Cloud pada halaman Assets dengan mengklik tab High value resource set. Anda juga dapat melihatnya di tab Simulasi jalur serangan di halaman setelan Security Command Center.

Konfigurasi nilai resource

Anda dapat mengelola resource dalam set resource bernilai tinggi dengan konfigurasi nilai resource.

Anda membuat konfigurasi nilai resource di tab Simulasi jalur serangan di halaman Settings Security Command Center pada Konsol Google Cloud.

Dalam konfigurasi nilai resource, Anda menentukan atribut yang harus dimiliki resource agar Security Command Center dapat menambahkannya ke set resource bernilai tinggi.

Atribut yang dapat Anda tentukan mencakup jenis resource, tag resource, label resource, serta project induk, folder, atau organisasi.

Anda juga menetapkan nilai resource ke resource dalam konfigurasi. Nilai resource memprioritaskan resource dalam konfigurasi yang relatif terhadap resource lain dalam set resource bernilai tinggi. Untuk mengetahui informasi selengkapnya, lihat Nilai resource.

Anda dapat membuat hingga 100 konfigurasi nilai resource di satu organisasi Google Cloud.

Bersama-sama, semua konfigurasi nilai resource yang Anda buat menentukan set resource bernilai tinggi yang digunakan Security Command Center untuk simulasi jalur serangan.

Atribut resource

Agar resource dapat disertakan dalam kumpulan resource bernilai tinggi, atributnya harus cocok dengan atribut yang Anda tentukan dalam konfigurasi nilai resource.

Atribut yang dapat Anda tentukan meliputi:

  • Jenis resource atau Any. Jika Any ditentukan, konfigurasi akan berlaku untuk semua jenis resource yang didukung dalam cakupan yang ditentukan. Any adalah nilai default-nya.
  • Cakupan (organisasi induk, folder, atau project) tempat resource harus berada. Cakupan defaultnya adalah organisasi Anda. Jika Anda menentukan organisasi atau folder, konfigurasi juga berlaku untuk resource di folder atau project turunan.
  • Secara opsional, satu atau beberapa tag atau label yang harus dimuat oleh setiap resource.

Jika Anda menetapkan satu atau beberapa konfigurasi nilai resource, tetapi tidak ada resource di lingkungan Google Cloud yang cocok dengan atribut yang ditentukan dalam konfigurasi mana pun, Security Command Center akan mengeluarkan temuan SCC Error dan melakukan fallback ke kumpulan resource bernilai tinggi default.

Kumpulan resource bernilai tinggi default

Security Command Center menggunakan set resource bernilai tinggi default untuk menghitung skor eksposur serangan jika tidak ada konfigurasi nilai resource yang ditentukan atau jika tidak ada konfigurasi yang ditentukan yang cocok dengan resource apa pun.

Security Command Center menetapkan resource dalam resource bernilai tinggi default dengan nilai prioritas LOW, kecuali jika Anda menggunakan penemuan Perlindungan Data Sensitif, dalam hal ini Security Command Center akan menetapkan resource yang berisi data dengan sensitivitas tinggi atau sensitivitas sedang dengan nilai prioritas yang sesuai yakni HIGH atau MEDIUM.

Jika Anda memiliki setidaknya satu konfigurasi nilai resource yang cocok dengan setidaknya satu resource di lingkungan Anda, Security Command Center akan berhenti menggunakan set resource bernilai tinggi default.

Untuk menerima skor eksposur serangan yang secara akurat mencerminkan prioritas keamanan Anda, ganti set resource bernilai tinggi default dengan set resource bernilai tinggi Anda sendiri. Untuk mengetahui informasi selengkapnya, lihat Menentukan set resource bernilai tinggi.

Daftar berikut menunjukkan jenis resource yang disertakan dalam kumpulan resource bernilai tinggi default:

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/Featurestore
  • aiplatform.googleapis.com/MetadataStore
  • aiplatform.googleapis.com/Model
  • aiplatform.googleapis.com/TrainingPipeline
  • bigquery.googleapis.com/Dataset
  • cloudfunctions.googleapis.com/CloudFunction
  • compute.googleapis.com/Instance
  • container.googleapis.com/Cluster
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

Batasan resource dalam set resource bernilai tinggi

Security Command Center membatasi jumlah resource dalam resource bernilai tinggi yang ditetapkan ke 1.000.

Jika spesifikasi atribut dalam satu atau beberapa konfigurasi nilai resource sangat luas, jumlah resource yang cocok dengan spesifikasi atribut dapat melebihi 1.000.

Jika jumlah resource yang cocok melampaui batas, Security Command Center akan mengecualikan resource dari kumpulan hingga jumlah resource mencapai batas. Security Command Center mengecualikan resource dengan nilai terendah yang ditetapkan terlebih dahulu. Di antara resource dengan nilai yang sama yang ditetapkan, Security Command Center mengecualikan instance resource berdasarkan algoritma yang mendistribusikan resource yang dikecualikan ke berbagai jenis resource.

Resource yang dikecualikan dari set resource bernilai tinggi tidak dipertimbangkan dalam penghitungan skor eksposur serangan.

Guna memberi tahu Anda saat batas instance untuk penghitungan skor terlampaui, Security Command Center mengeluarkan temuan SCC error dan menampilkan pesan pada tab setelan Simulasi jalur serangan di Konsol Google Cloud. Security Command Center tidak mengeluarkan SCC error yang menemukan jika kumpulan nilai tinggi default melebihi batas instance.

Agar tidak melampaui batas, sesuaikan konfigurasi nilai resource untuk menyaring instance dalam kumpulan resource bernilai tinggi.

Beberapa hal yang dapat Anda lakukan untuk meningkatkan kualitas set resource bernilai tinggi mencakup opsi berikut:

  • Gunakan tag atau label untuk mengurangi jumlah kecocokan untuk jenis resource tertentu atau dalam cakupan yang ditentukan.
  • Buat konfigurasi nilai resource yang menetapkan nilai NONE ke subset resource yang ditentukan dalam konfigurasi lain. Menentukan nilai NONE akan menggantikan konfigurasi lainnya dan mengecualikan instance resource dari kumpulan resource bernilai tinggi.
  • Mengurangi spesifikasi cakupan dalam konfigurasi nilai resource.
  • Hapus konfigurasi nilai resource yang menetapkan nilai LOW.

Memilih resource bernilai tinggi

Untuk mengisi set resource bernilai tinggi, Anda harus memutuskan instance resource mana di lingkungan Anda yang benar-benar bernilai tinggi.

Umumnya, resource bernilai tinggi yang sebenarnya adalah resource yang memproses dan menyimpan data sensitif Anda. Misalnya, di Google Cloud, hal ini mungkin berupa instance Compute Engine, set data BigQuery, atau bucket Cloud Storage.

Anda tidak perlu menetapkan resource yang berdekatan dengan resource bernilai tinggi, seperti server jump, sebagai nilai tinggi. Simulasi jalur serangan sudah memperhitungkan resource yang berdekatan ini, dan jika Anda juga menetapkannya sebagai bernilai tinggi, hal tersebut dapat membuat skor eksposur serangan Anda kurang dapat diandalkan.

Dukungan multicloud

Simulasi jalur serangan dapat menilai risiko dalam deployment Anda di platform penyedia layanan cloud lainnya.

Setelah terhubung ke platform lain, Anda dapat menetapkan resource bernilai tinggi di penyedia layanan cloud lain dengan membuat konfigurasi nilai resource, seperti yang Anda lakukan untuk resource di Google Cloud.

Security Command Center menjalankan simulasi untuk platform cloud secara terpisah dari simulasi yang dijalankan untuk platform cloud lainnya.

Sebelum Anda membuat konfigurasi nilai resource pertama untuk penyedia layanan cloud lainnya, Security Command Center menggunakan kumpulan resource bernilai tinggi default yang khusus untuk penyedia layanan cloud. Set resource bernilai tinggi default menetapkan semua resource yang didukung sebagai resource bernilai tinggi.

Platform penyedia layanan cloud yang didukung

Selain Google Cloud, Security Command Center dapat menjalankan simulasi jalur serangan untuk Amazon Web Services (AWS). Untuk informasi selengkapnya, lihat:

Jalur serangan

Jalur serangan adalah penggambaran visual interaktif dari satu atau beberapa jalur potensial yang dapat diambil penyerang untuk beralih dari internet publik ke salah satu instance resource bernilai tinggi Anda.

Simulasi jalur serangan mengidentifikasi potensi jalur serangan dengan membuat model yang akan terjadi jika penyerang menerapkan metode serangan yang diketahui terhadap kerentanan dan kesalahan konfigurasi yang terdeteksi oleh Security Command Center di lingkungan Anda untuk mencoba menjangkau resource bernilai tinggi.

Anda dapat melihat jalur serangan dengan mengklik skor eksposur serangan pada temuan atau resource di Konsol Google Cloud.

Saat melihat jalur serangan yang lebih besar, Anda dapat mengubah tampilan jalur serangan dengan menarik pemilih area fokus persegi merah ke sekitar tampilan mini jalur serangan di sisi kanan layar.

Saat jalur serangan ditampilkan, Anda dapat mengklik AI summaryPreview untuk menampilkan penjelasan jalur serangan. Penjelasan dibuat secara dinamis menggunakan kecerdasan buatan (AI). Untuk informasi selengkapnya, lihat Ringkasan yang dibuat AI.

Di jalur serangan, resource di jalur serangan direpresentasikan sebagai kotak atau node. Garis-garis tersebut menggambarkan potensi aksesibilitas antarsumber daya. Bersama-sama, {i>node<i} dan garis mewakili jalur serangan.

Node jalur serangan

Node dalam jalur serangan mewakili resource pada jalur serangan.

Menampilkan informasi node

Anda dapat menampilkan informasi lebih lanjut tentang setiap node di jalur serangan dengan mengkliknya.

Mengklik nama resource pada node akan menampilkan informasi selengkapnya tentang resource tersebut, serta temuan apa pun yang memengaruhi resource tersebut.

Mengklik Luaskan node akan menampilkan kemungkinan metode serangan yang dapat digunakan jika penyerang memperoleh akses ke resource.

Jenis node

Ada tiga jenis node yang berbeda:

  • Titik awal atau titik entri dari simulasi serangan, yaitu internet publik. Mengklik node titik entri akan menampilkan deskripsi titik entri beserta metode serangan yang dapat digunakan penyerang untuk mendapatkan akses ke lingkungan Anda.
  • Resource yang terpengaruh yang dapat digunakan penyerang untuk melanjutkan jalur.
  • Resource yang terekspos di akhir jalur, yang merupakan salah satu resource dalam set resource bernilai tinggi Anda. Hanya resource dalam kumpulan resource bernilai tinggi yang ditentukan atau default yang dapat menjadi resource yang diekspos. Anda menentukan set resource bernilai tinggi dengan membuat konfigurasi nilai resource.

Node upstream dan downstream

Di jalur serangan, node dapat berupa upstream atau downstream dari node lainnya. Node upstream lebih dekat dengan titik masuk dan bagian atas jalur serangan. Node downstream lebih dekat dengan resource bernilai tinggi yang terekspos di bagian bawah jalur serangan.

Node yang mewakili beberapa instance resource container

Node dapat mewakili beberapa instance dari jenis resource container tertentu jika instance memiliki karakteristik yang sama.

Beberapa instance dari jenis resource container berikut dapat direpresentasikan oleh satu node:

  • Pengontrol ReplicaSet
  • Pengontrol Deployment
  • Pengontrol Pekerjaan
  • Pengontrol CronJob
  • Pengontrol DaemonSet

Garis jalur serangan

Dalam jalur serangan, garis di antara kotak merepresentasikan potensi aksesibilitas antar-resource yang dapat dimanfaatkan penyerang untuk mencapai resource bernilai tinggi.

Garis tidak merepresentasikan hubungan antara resource yang ditetapkan dalam Google Cloud.

Jika ada beberapa jalur yang mengarah ke node downstream dari beberapa node upstream, node upstream dapat memiliki hubungan AND satu sama lain atau hubungan OR dengan satu sama lain.

Hubungan AND berarti penyerang memerlukan akses ke kedua node hulu untuk mengakses node downstream di jalur.

Misalnya, sambungan langsung dari internet publik ke resource bernilai tinggi di akhir jalur serangan memiliki hubungan AND dengan setidaknya satu baris lain di jalur serangan. Penyerang tidak dapat menjangkau resource bernilai tinggi kecuali jika mereka mendapatkan akses ke lingkungan Google Cloud Anda dan setidaknya satu resource lain yang ditampilkan di jalur serangan.

Hubungan OR berarti penyerang hanya memerlukan akses ke salah satu node upstream untuk mengakses node downstream.

Simulasi jalur serangan

Untuk menentukan semua kemungkinan jalur serangan dan menghitung skor eksposur serangan, Security Command Center melakukan simulasi jalur serangan lanjutan.

Jadwal simulasi

Simulasi jalur serangan dapat berjalan hingga empat kali sehari (setiap enam jam). Seiring pertumbuhan organisasi Anda, simulasi akan memerlukan waktu lebih lama, tetapi akan selalu berjalan minimal sekali sehari. Operasi simulasi tidak dipicu oleh pembuatan, modifikasi, atau penghapusan resource atau konfigurasi nilai resource.

Langkah simulasi jalur serangan

Simulasi ini terdiri dari tiga langkah:

  1. Pembuatan model: Model lingkungan Google Cloud Anda dibuat secara otomatis berdasarkan data lingkungan. Model ini adalah representasi grafik dari lingkungan Anda, yang disesuaikan untuk analisis jalur serangan.
  2. Simulasi jalur serangan: Simulasi jalur serangan dilakukan pada model grafik. Simulasi ini membuat penyerang virtual mencoba menjangkau dan membobol resource dalam set resource bernilai tinggi Anda. Simulasi ini memanfaatkan insight pada setiap resource dan relasi tertentu, termasuk jaringan, IAM, konfigurasi, kesalahan konfigurasi, dan kerentanan.
  3. Pelaporan insight: Berdasarkan simulasi, Security Command Center menetapkan skor eksposur serangan ke resource Anda yang bernilai tinggi serta temuan yang mengeksposnya dan memvisualisasikan jalur potensial yang dapat diambil penyerang ke resource tersebut.

Karakteristik eksekusi simulasi

Selain menyediakan skor eksposur serangan, insight jalur serangan, dan jalur serangan, simulasi jalur serangan memiliki karakteristik berikut:

  • Simulasi tidak berinteraksi dengan lingkungan langsung Anda: Semua simulasi dilakukan pada model virtual dan hanya menggunakan akses baca untuk pembuatan model.
  • Metode ini dinamis: Model ini dibuat tanpa agen melalui akses baca API saja, yang memungkinkan simulasi mengikuti perubahan secara dinamis pada lingkungan Anda dari waktu ke waktu.
  • Mereka memiliki penyerang virtual yang mencoba sebanyak mungkin metode dan kerentanan untuk menjangkau dan menyusupi resource bernilai tinggi Anda. Hal ini tidak hanya mencakup "hal yang diketahui", seperti kerentanan, konfigurasi, kesalahan konfigurasi, dan hubungan jaringan, tetapi juga "hal yang diketahui" dengan probabilitas lebih rendah—risiko yang kita ketahui ada, seperti kemungkinan phishing atau kebocoran kredensial.
  • Fungsi tersebut bersifat otomatis: Logika serangan sudah tertanam dalam alat ini. Anda tidak perlu membangun atau mengelola set kueri atau set data yang besar.

Skenario dan kemampuan penyerang

Dalam simulasi tersebut, Security Command Center memiliki representasi logis dari upaya penyerang yang mengeksploitasi resource Anda yang bernilai tinggi dengan memperoleh akses ke lingkungan Google Cloud Anda dan mengikuti potensi jalur akses melalui resource Anda dan kerentanan yang terdeteksi.

Penyerang virtual

Penyerang virtual yang digunakan simulasi memiliki karakteristik berikut:

  • Penyerang bersifat eksternal: Penyerang bukan pengguna sah lingkungan Google Cloud Anda. Simulasi tidak membuat model atau menyertakan serangan dari pengguna berbahaya atau lalai yang memiliki akses sah ke lingkungan Anda.
  • Penyerang memulai dari internet publik. Untuk memulai serangan, penyerang harus terlebih dahulu mendapatkan akses ke lingkungan Anda dari internet publik.
  • Penyerang gigih. Penyerang tidak akan berkecil hati atau kehilangan minat karena kesulitan metode serangan tertentu.
  • Penyerang terampil dan berpengetahuan luas. Penyerang akan mencoba metode dan teknik yang telah diketahui untuk mengakses resource Anda yang bernilai tinggi.

Akses awal

Setiap simulasi memiliki penyerang virtual yang mencoba metode berikut untuk mendapatkan akses dari internet publik ke resource di lingkungan Anda:

  • Temukan dan hubungkan ke layanan dan resource apa pun yang dapat diakses dari internet publik:
    • Layanan di instance virtual machine (VM) Compute Engine dan node Google Kubernetes Engine
    • Database
    • Container
    • Bucket Cloud Storage
    • Cloud Functions
  • Dapatkan akses ke kunci dan kredensial, termasuk:
    • Kunci akun layanan
    • Kunci enkripsi yang disediakan pengguna
    • Kunci SSH instance VM
    • Kunci SSH di seluruh project
    • Sistem pengelolaan kunci eksternal
    • Akun pengguna yang tidak menerapkan autentikasi multi-faktor (MFA)
    • Token MFA virtual yang disadap
  • Mendapatkan akses ke aset cloud yang dapat dijangkau secara publik dengan menggunakan kredensial yang dicuri atau dengan memanfaatkan kerentanan yang dilaporkan oleh Pengelola VM dan Deteksi Kerentanan Cepat

Jika simulasi menemukan kemungkinan titik entri ke lingkungan, penyerang virtual akan mencoba menjangkau dan menyusupi resource bernilai tinggi Anda dari titik entri tersebut dengan mengeksplorasi serta mengeksploitasi konfigurasi keamanan dan kerentanan dalam lingkungan tersebut secara berurutan.

Taktik dan teknik

Simulasi ini menggunakan berbagai taktik dan teknik, termasuk memanfaatkan akses yang sah, pemindahan lateral, eskalasi akses, kerentanan, kesalahan konfigurasi, dan eksekusi kode.

Penerapan data CVE

Saat menghitung skor eksposur serangan untuk temuan kerentanan, simulasi jalur serangan mempertimbangkan data dari data CVE kerentanan, skor CVSS, serta penilaian eksploitasi kerentanan yang disediakan oleh Mandiant.

Informasi CVE berikut dipertimbangkan:

  • Vektor serangan: Penyerang harus memiliki tingkat akses yang ditentukan dalam vektor serangan CVSS untuk menggunakan CVE. Misalnya, CVE dengan vektor serangan jaringan yang ditemukan pada aset dengan alamat IP publik dan port terbuka dapat dieksploitasi oleh penyerang yang memiliki akses jaringan. Jika penyerang hanya memiliki akses jaringan dan CVE memerlukan akses fisik, penyerang tidak dapat mengeksploitasi CVE.
  • Kompleksitas serangan: Secara umum, temuan kerentanan atau kesalahan konfigurasi dengan kompleksitas serangan yang rendah lebih cenderung mendapatkan skor eksposur serangan yang tinggi daripada temuan dengan kompleksitas serangan yang tinggi.
  • Aktivitas eksploitasi: Umumnya, temuan kerentanan dengan aktivitas eksploitasi yang luas, seperti yang ditentukan oleh analis kecerdasan ancaman cyber di Mandiant, lebih cenderung mendapatkan skor eksposur serangan yang tinggi daripada temuan yang tidak memiliki aktivitas eksploitasi yang diketahui.