Pontuações de exposição a ataques e caminhos de ataque

Esta página explica os principais conceitos, princípios e restrições para ajudar a saber mais, refinar e usar as pontuações de exposição a ataques e os caminhos de ataque gerados pelo motor de risco do Security Command Center.

As pontuações e os caminhos de ataque são gerados para o seguinte:

  • Resultados de vulnerabilidades e erros de configuração (resultados de vulnerabilidades, coletivamente) que expõem as instâncias de recursos no seu conjunto de recursos de elevado valor efetivo.
  • Os recursos no seu conjunto de recursos de elevado valor eficaz.
  • Problemas no Security Command Center Enterprise, que contêm combinações tóxicas e pontos de estrangulamento.

Para usar as pontuações de exposição a ataques e os caminhos de ataque, tem de ativar o nível Premium ou Enterprise do Security Command Center ao nível da organização. Não pode usar pontuações de exposição a ataques nem caminhos de ataque com ativações ao nível do projeto.

Os caminhos de ataque representam possibilidades

Não vê provas de um ataque real num caminho de ataque.

O motor de risco gera caminhos de ataque e classificações de exposição a ataques simulando o que os atacantes hipotéticos poderiam fazer se obtivessem acesso ao seu Google Cloud ambiente e descobrissem os caminhos de ataque e as vulnerabilidades que o Security Command Center já encontrou.

Cada caminho de ataque mostra um ou mais métodos de ataque que um atacante pode usar se obtiver acesso a um recurso específico. Não confunda estes métodos de ataque com ataques reais.

Da mesma forma, uma pontuação de exposição a ataques elevada em qualquer um dos seguintes elementos não significa que um ataque esteja em curso:

  • Um recurso ou uma descoberta do Security Command Center
  • Um problema do Security Command Center Enterprise

Para detetar ataques reais, monitorize as conclusões da classe THREAT geradas pelos serviços de deteção de ameaças, como o Event Threat Detection e o Container Threat Detection.

Para mais informações, consulte as seguintes secções nesta página:

Classificações de exposição a ataques

É apresentada uma pontuação de exposição a ataques para o seguinte:

  • Um recurso ou uma descoberta do Security Command Center
  • Um problema do Security Command Center Enterprise

Uma pontuação de exposição a ataques é uma medida da exposição dos recursos a um potencial ataque se um interveniente malicioso obtiver acesso ao seu ambiente Google Cloud.

Uma pontuação de exposição a ataques numa descoberta de combinação tóxica ou ponto crítico é referida como uma pontuação de combinação tóxica em alguns contextos, como a página Descobertas na Google Cloud consola.

Nas descrições de como as pontuações são calculadas, nas orientações gerais sobre a priorização da remediação e noutros contextos, o termo pontuação de exposição a ataques também se aplica às pontuações de combinação tóxica.

Numa descoberta, a pontuação é uma medida da forma como um problema de segurança detetado expõe um ou mais recursos de elevado valor a potenciais ciberataques. Num recurso de elevado valor, a pontuação é uma medida de quão exposto o recurso está a potenciais ciberataques.

Use as pontuações sobre vulnerabilidade do software, configuração incorreta e combinação tóxica ou gargaloPré-visualização para dar prioridade à correção dessas conclusões.

Use as classificações de exposição a ataques nos recursos para proteger proativamente os recursos mais valiosos para a sua empresa.

Nas simulações de caminhos de ataque, o motor de risco inicia sempre os ataques simulados a partir da Internet pública. Consequentemente, as pontuações de exposição a ataques não têm em conta qualquer possível exposição a atores internos maliciosos ou negligentes.

Resultados que recebem pontuações de exposição a ataques

As pontuações de exposição a ataques são aplicadas a classes de deteção ativas que estão listadas nas Categorias de deteção suportadas.

As simulações de caminhos de ataque incluem apenas resultados ativos e com o som ativado nos respetivos cálculos. As conclusões com o estado INACTIVE ou MUTED não são incluídas nas simulações, não recebem classificações e não são incluídas nos caminhos de ataque.

Recursos que recebem pontuações de exposição a ataques

As simulações de caminhos de ataque calculam as pontuações de exposição a ataques para os tipos de recursos suportados no seu conjunto de recursos de elevado valor. Especifica os recursos que pertencem ao conjunto de recursos de elevado valor criando configurações de valor de recursos.

Se um recurso num conjunto de recursos de elevado valor tiver uma pontuação de exposição ao ataque de 0, as simulações do caminho de ataque não identificaram caminhos para o recurso que um potencial atacante pudesse tirar partido.

As simulações de caminho de ataque suportam os seguintes tipos de recursos:

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/Featurestore
  • aiplatform.googleapis.com/MetadataStore
  • aiplatform.googleapis.com/TrainingPipeline
  • aiplatform.googleapis.com/Model
  • artifactregistry.googleapis.com/Repository
  • bigquery.googleapis.com/Dataset
  • cloudfunctions.googleapis.com/CloudFunction
  • compute.googleapis.com/Instance
  • container.googleapis.com/Cluster
  • spanner.googleapis.com/Instance
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

Cálculo da pontuação

Sempre que as simulações de caminhos de ataque são executadas, recalculam as pontuações de exposição ao ataque. Cada simulação de caminho de ataque executa, na verdade, várias simulações nas quais um atacante simulado tenta métodos e técnicas de ataque conhecidos para alcançar e comprometer os recursos valiosos.

As simulações de caminhos de ataque são executadas aproximadamente a cada seis horas. À medida que a sua organização cresce, as simulações demoram mais tempo, mas são sempre executadas, pelo menos, uma vez por dia. As execuções de simulação não são acionadas pela criação, modificação ou eliminação de recursos nem configurações de valores de recursos.

As simulações calculam as pontuações através de várias métricas, incluindo as seguintes:

  • O valor de prioridade atribuído aos recursos de elevado valor que são expostos. Os valores de prioridade que pode atribuir têm os seguintes valores:
    • ALTA = 10
    • MED = 5
    • LOW = 1
  • O número de caminhos possíveis que um atacante pode seguir para alcançar um determinado recurso.
  • O número de vezes em que um atacante simulado consegue alcançar e comprometer um recurso de elevado valor no final de um determinado caminho de ataque, expresso como uma percentagem do número total de simulações.
  • Apenas para resultados, o número de recursos de elevado valor que estão expostos pela vulnerabilidade ou erro de configuração detetado.

Para recursos, as pontuações de exposição a ataques podem estar no intervalo de 0 a 10.

A um nível elevado, as simulações calculam as pontuações dos recursos multiplicando a percentagem de ataques bem-sucedidos pelo valor numérico da prioridade dos recursos.

Para as conclusões, as pontuações não têm um limite superior fixo. Quanto mais frequentemente uma descoberta ocorrer em caminhos de ataque a recursos expostos no conjunto de recursos de elevado valor e quanto mais elevados forem os valores de prioridade desses recursos, maior é a pontuação.

A um nível elevado, as simulações calculam as pontuações de descobertas usando o mesmo cálculo que usam para as pontuações de recursos, mas, para as pontuações de descobertas, as simulações multiplicam o resultado do cálculo pelo número de recursos de elevado valor que a descoberta expõe.

Alterar pontuações

As pontuações podem mudar sempre que é executada uma simulação de caminho de ataque. Uma descoberta ou um recurso com uma pontuação de zero hoje pode ter uma pontuação diferente de zero amanhã.

As classificações mudam por vários motivos, incluindo os seguintes:

  • A deteção ou a correção de uma vulnerabilidade que expõe direta ou indiretamente um recurso de elevado valor.
  • A adição ou a remoção de recursos no seu ambiente.

As alterações às conclusões ou aos recursos após a execução de uma simulação não se refletem nas classificações até à execução da simulação seguinte.

Usar pontuações para priorizar a procura de correções

Para priorizar eficazmente a correção das conclusões com base na respetiva exposição a ataques ou pontuações de combinação tóxica, considere os seguintes pontos:

  • Qualquer descoberta com uma pontuação superior a zero expõe um recurso de elevado valor a um potencial ataque de alguma forma, pelo que a correção deve ter prioridade sobre as descobertas com uma pontuação de zero.
  • Quanto mais elevada for a pontuação de uma descoberta, mais a descoberta expõe os seus recursos de elevado valor e maior deve ser a prioridade da respetiva correção.

Geralmente, dê a maior prioridade à correção das conclusões que têm as pontuações mais elevadas e que bloqueiam mais eficazmente os caminhos de ataque aos seus recursos de elevado valor.

Se as pontuações de uma combinação tóxica e de uma descoberta de ponto de estrangulamento, bem como de uma descoberta noutra classe de descoberta, forem aproximadamente iguais, priorize a correção da combinação tóxica e da descoberta de ponto de estrangulamento, uma vez que representa um caminho completo desde a Internet pública até um ou mais recursos de elevado valor que um atacante pode potencialmente seguir se obtiver acesso ao seu ambiente de nuvem.

Na página Resultados do Security Command Center na Google Cloud consola, pode ordenar os resultados no painel da página por pontuação clicando no cabeçalho da coluna.

Na Google Cloud consola, também pode ver as conclusões com as pontuações mais elevadas adicionando um filtro à consulta de conclusões que devolve apenas conclusões com uma pontuação de exposição a ataques superior a um número que especificar.

Na página Casos no Security Command Center Enterprise, também pode ordenar as combinações tóxicas e os casos de estrangulamento pela pontuação de exposição a ataques.

Resultados que não podem ser corrigidos.

Em alguns casos, pode não conseguir corrigir uma descoberta com uma pontuação de exposição a ataques elevada, quer porque representa um risco conhecido e aceite, quer porque a descoberta não pode ser corrigida imediatamente. Nestes casos, pode ter de mitigar o risco de outras formas. A revisão do caminho de ataque associado pode dar-lhe ideias para outras possíveis mitigações.

Proteja os recursos com as classificações de exposição a ataques

Uma pontuação de exposição a ataques diferente de zero num recurso significa que as simulações de caminho de ataque identificaram um ou mais caminhos de ataque da Internet pública para o recurso.

Para ver as pontuações de exposição a ataques dos seus recursos de elevado valor, siga estes passos:

  1. Na Google Cloud consola, aceda à página Recursos do Security Command Center.

    Aceda a Recursos

  2. Selecione a organização onde ativou o Security Command Center.

  3. Selecione o separador Conjunto de recursos de valor elevado. Os recursos no seu conjunto de recursos de valor elevado são apresentados por ordem descendente da pontuação de exposição a ataques.

  4. Apresente os caminhos de ataque de um recurso clicando no número na respetiva linha na coluna Pontuação de exposição a ataques. São apresentados os caminhos de ataque da Internet pública ao recurso.

  5. Reveja os caminhos de ataque. Para obter informações sobre como interpretar os caminhos de ataque, consulte Caminhos de ataque.

  6. Para apresentar uma janela de detalhes com links para ver as conclusões relacionadas, clique num nó.

  7. Clique num link de resultados relacionados. A janela A encontrar é aberta com detalhes sobre a descoberta e como a corrigir.

Também pode ver as pontuações de exposição a ataques dos seus recursos de elevado valor no separador Simulações de caminhos de ataque em Definições > separador Simulação de caminhos de ataque. Clique em Ver recursos valorizados usados na última simulação.

O separador Conjunto de recursos de valor elevado também está disponível na página Recursos da consola de operações de segurança.

Pontuações de exposição a ataques de 0

Uma pontuação de exposição a ataques de 0 num recurso significa que, nas simulações de caminhos de ataque mais recentes, o Security Command Center não identificou potenciais caminhos que um atacante possa seguir para alcançar o recurso.

Uma pontuação de exposição a ataques de 0 numa descoberta significa que, na simulação de ataque mais recente, o atacante simulado não conseguiu alcançar recursos de valor elevado através da descoberta.

No entanto, uma pontuação de exposição a ataques de 0 não significa que não exista risco. Uma pontuação de exposição a ataques reflete a exposição de serviços, recursos e resultados do Security Command Center suportados a potenciais ameaças provenientes da Internet pública. Google Cloud Por exemplo, as classificações não têm em conta ameaças de atores internos, vulnerabilidades de dia zero ou infraestrutura de terceiros.

Nenhuma pontuação de exposição a ataques

Se uma descoberta ou um recurso não tiver uma pontuação, pode dever-se aos seguintes motivos:

  • A descoberta foi gerada após a simulação do caminho de ataque mais recente.
  • O recurso foi adicionado ao seu conjunto de recursos de elevado valor após a simulação do caminho de ataque mais recente.
  • A funcionalidade de exposição a ataques não suporta a categoria de constatação nem o tipo de recurso.

Para ver uma lista das categorias de deteção suportadas, consulte o artigo Suporte de funcionalidades do motor de risco.

Para ver uma lista dos tipos de recursos suportados, consulte o artigo Recursos que recebem classificações de exposição a ataques.

Valores dos recursos

Embora todos os seus recursos no Google Cloud tenham valor, o Security Command Center identifica caminhos de ataque e calcula as pontuações de exposição a ataques apenas para os recursos que designa como recursos de elevado valor (por vezes, denominados recursos valiosos).

Recursos de elevado valor

Um recurso de elevado valor no Google Cloud é um recurso que é especialmente importante para a sua empresa proteger de potenciais ataques. Por exemplo, os recursos de alto valor podem ser os recursos que armazenam os seus dados valiosos ou confidenciais ou que alojam as suas cargas de trabalho críticas para a empresa.

Designa um recurso como um recurso de elevado valor definindo os atributos do recurso numa configuração do valor do recurso. Até um limite de 1000 instâncias de recursos, o Security Command Center trata qualquer instância de recurso que corresponda aos atributos especificados na configuração como um recurso de elevado valor.

Valores de prioridade

Entre os recursos que designa como de elevado valor, é provável que tenha de dar prioridade à segurança de alguns mais do que outros. Por exemplo, um conjunto de recursos de dados pode conter dados de elevado valor, mas determinados recursos de dados podem conter dados mais confidenciais do que os restantes.

Para que as suas classificações reflitam a necessidade de dar prioridade à segurança dos recursos no seu conjunto de recursos de elevado valor, atribui um valor de prioridade nas configurações de valor dos recursos que designa os recursos como de elevado valor.

Se usar a Proteção de dados confidenciais, também pode dar prioridade aos recursos automaticamente de acordo com a confidencialidade dos dados que os recursos contêm.

Defina manualmente os valores de prioridade dos recursos

Numa configuração de valor do recurso, atribui uma prioridade aos recursos de elevado valor correspondentes especificando um dos seguintes valores de prioridade:

  • LOW = 1
  • MEDIUM = 5
  • HIGH = 10
  • NONE = 0

Se especificar um valor de prioridade de LOW numa configuração de valor de recurso, os recursos correspondentes continuam a ser recursos de elevado valor. As simulações de caminho de ataque tratam-nos apenas com uma prioridade mais baixa e atribuem-lhes uma pontuação de exposição ao ataque mais baixa do que os recursos de elevado valor que têm um valor de prioridade de MEDIUM ou HIGH.

Se várias configurações atribuírem valores diferentes ao mesmo recurso, aplica-se o valor mais elevado, a menos que uma configuração atribua um valor de NONE.

Um valor de recurso de NONE exclui os recursos correspondentes de serem considerados um recurso de elevado valor e substitui quaisquer outras configurações de valor de recurso para o mesmo recurso. Por este motivo, certifique-se de que qualquer configuração que especifique NONE se aplica apenas a um conjunto limitado de recursos.

Defina automaticamente os valores de prioridade dos recursos por sensibilidade dos dados

Se usar a descoberta da proteção de dados confidenciais e publicar os perfis de dados no Security Command Center, pode configurar o Security Command Center para definir automaticamente o valor de prioridade de determinados recursos de elevado valor pela sensibilidade dos dados que os recursos contêm.

Ativa a priorização da sensibilidade dos dados quando especifica os recursos numa configuração de valor de recurso.

Quando ativada, se a deteção da proteção de dados confidenciais classificar os dados num recurso como sensibilidade MEDIUM ou HIGH, as simulações de caminho de ataque definem por predefinição o valor de prioridade do recurso para esse mesmo valor.

Os níveis de sensibilidade dos dados são definidos pela proteção de dados confidenciais, mas pode interpretá-los da seguinte forma:

Dados de alta sensibilidade
A deteção da proteção de dados confidenciais encontrou, pelo menos, uma instância de dados de sensibilidade elevada no recurso.
Dados de sensibilidade média
A deteção da proteção de dados confidenciais encontrou, pelo menos, uma instância de dados de sensibilidade média no recurso e nenhuma instância de dados de sensibilidade elevada.
Dados de baixa sensibilidade
A deteção da proteção de dados confidenciais não detetou dados confidenciais nem texto de forma livre ou dados não estruturados no recurso.

Se a deteção da proteção de dados confidenciais identificar apenas dados de baixa sensibilidade num recurso de dados correspondente, o recurso não é designado como um recurso de elevado valor.

Se precisar que os recursos de dados que contêm apenas dados de baixa sensibilidade sejam designados como recursos de elevado valor com uma prioridade baixa, crie uma configuração de valor de recurso duplicada, mas especifique um valor de prioridade de LOW em vez de ativar a priorização da sensibilidade dos dados. A configuração que usa a Proteção de dados confidenciais substitui a configuração que atribui o valor de prioridade LOW, mas apenas para recursos que contêm dados de sensibilidade HIGH ou MEDIUM.

Pode alterar os valores de prioridade predefinidos que o Security Command Center usa quando são detetados dados confidenciais na configuração de valores de recursos.

Para mais informações sobre a proteção de dados confidenciais, consulte a vista geral da proteção de dados confidenciais.

Priorização da sensibilidade dos dados e conjunto de recursos de elevado valor predefinido

Antes de criar o seu próprio conjunto de recursos de elevado valor, o Security Command Center usa um conjunto de recursos de elevado valor predefinido para calcular as pontuações de exposição a ataques e os caminhos de ataque.

Se usar a deteção da Proteção de dados confidenciais, o Security Command Center adiciona automaticamente instâncias de tipos de recursos de dados suportados que contêm dados de sensibilidade HIGH ou MEDIUM ao conjunto de recursos de valor elevado predefinido.

Tipos de recursos Google Cloud suportados para valores de prioridade de sensibilidade dos dados automatizados

As simulações de caminhos de ataque podem definir automaticamente valores de prioridade com base nas classificações de sensibilidade dos dados da descoberta da proteção de dados confidenciais apenas para os seguintes tipos de recursos de dados:

  • aiplatform.googleapis.com/Dataset
  • bigquery.googleapis.com/Dataset
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

Tipos de recursos da AWS suportados para valores de prioridade de sensibilidade dos dados automatizados

As simulações de caminhos de ataque podem definir automaticamente valores de prioridade com base nas classificações de sensibilidade dos dados da descoberta da proteção de dados confidenciais apenas para os seguintes tipos de recursos de dados da AWS:

  • Contentor do Amazon S3

Conjuntos de recursos de elevado valor

Um conjunto de recursos de elevado valor é uma coleção definida dos recursos no seu ambiente Google Cloud que são mais importantes para proteger.

Para definir o conjunto de recursos de elevado valor, tem de especificar a que recursos no seu Google Cloud ambiente pertencem ao conjunto de recursos de elevado valor. Até definir o seu conjunto de recursos de alto valor, as pontuações de exposição a ataques, os caminhos de ataque e as conclusões de combinações tóxicas não refletem com precisão as suas prioridades de segurança.

Especifica os recursos no conjunto de recursos de elevado valor criando configurações de valor dos recursos. A combinação de todas as configurações de valor do recurso define o seu conjunto de recursos de elevado valor. Para mais informações, consulte o artigo Configurações de valores de recursos.

Até definir a primeira configuração de valor de recurso, o Security Command Center usa um conjunto de recursos de elevado valor predefinido. O conjunto predefinido aplica-se em toda a sua organização a todos os tipos de recursos que as simulações de caminhos de ataque suportam. Para mais informações, consulte o artigo Conjunto de recursos de valor elevado predefinido.

Para ver o conjunto de recursos de valor elevado que foi usado na simulação do caminho de ataque mais recente, incluindo as pontuações de exposição a ataques e as configurações correspondentes, consulte Ver o conjunto de recursos de valor elevado.

Configurações de valores de recursos

Pode gerir os recursos no conjunto de recursos de elevado valor com configurações de valor do recurso.

Crie configurações de valor de recursos no separador Simulação de caminho de ataque da página Definições do Security Command Center na Google Cloud consola.

Numa configuração de valor de recurso, especifica os atributos que um recurso tem de ter para que o Security Command Center o adicione ao seu conjunto de recursos de elevado valor.

Os atributos que pode especificar incluem o tipo de recurso, as etiquetas de recursos, os rótulos de recursos e o projeto principal, a pasta ou a organização.

Também atribui um valor de recurso aos recursos numa configuração. O valor do recurso prioriza os recursos numa configuração relativamente aos outros recursos no conjunto de recursos de elevado valor. Para mais informações, consulte o artigo Valores de recursos.

Pode criar até 100 configurações de valores de recursos numa Google Cloud organização.

Em conjunto, todas as configurações de valores de recursos que criar definem o conjunto de recursos de elevado valor que o Security Command Center usa para as simulações de caminhos de ataque.

Atributos do recurso

Para que um recurso seja incluído no conjunto de recursos de elevado valor, os respetivos atributos têm de corresponder aos atributos especificados numa configuração de valor do recurso.

Os atributos que pode especificar incluem:

  • Um tipo de recurso ou Any. Quando Any é especificado, a configuração aplica-se a todos os tipos de recursos suportados no âmbito especificado. Any é o valor predefinido.
  • Um âmbito (a organização principal, a pasta ou o projeto) no qual os recursos têm de residir. O âmbito predefinido é a sua organização. Se especificar uma organização ou uma pasta, a configuração também se aplica aos recursos nas pastas ou nos projetos secundários.
  • Opcionalmente, uma ou mais etiquetas ou rótulos que cada recurso tem de conter.

Se especificar uma ou mais configurações de valor de recurso, mas nenhum recurso no seu ambiente corresponder aos atributos especificados em qualquer uma das configurações, o Security Command Center gera uma deteção SCC Error e recorre ao conjunto de recursos de elevado valor predefinido. Google Cloud

Conjunto de recursos de elevado valor predefinido

O Security Command Center usa um conjunto de recursos de valor elevado predefinido para calcular as pontuações de exposição a ataques quando não são definidas configurações de valor de recursos ou quando nenhuma configuração definida corresponde a recursos.

O Security Command Center atribui aos recursos no recurso de valor elevado predefinido um valor de prioridade de LOW, a menos que use a deteção do Sensitive Data Protection, caso em que o Security Command Center atribui aos recursos que contêm dados de sensibilidade elevada ou média um valor de prioridade correspondente de HIGH ou MEDIUM.

O motor de risco usa heurísticas para identificar recursos no conjunto de recursos de alto valor predefinido que são usados para fins de não produção. Para ajudar a garantir que tem informações sobre os recursos mais importantes, o Risk Engine calcula a pontuação de exposição a ataques para todos os outros recursos no conjunto de recursos de alto valor predefinido antes de calcular a pontuação de exposição a ataques para estes recursos de não produção.

Se tiver, pelo menos, uma configuração de valor de recurso que corresponda a, pelo menos, um recurso no seu ambiente, o Security Command Center deixa de usar o conjunto de recursos de valor elevado predefinido.

Para receber pontuações de exposição a ataques e combinações tóxicas que reflitam com precisão as suas prioridades de segurança, substitua o conjunto de recursos de elevado valor predefinido pelo seu próprio conjunto de recursos de elevado valor. Para mais informações, consulte o artigo Defina e faça a gestão do seu conjunto de recursos de elevado valor.

A lista seguinte mostra os tipos de recursos incluídos no conjunto de recursos de valor elevado predefinido:

  • aiplatform.googleapis.com/Model
  • artifactregistry.googleapis.com/Repository
  • bigquery.googleapis.com/Dataset
  • cloudfunctions.googleapis.com/CloudFunction
  • compute.googleapis.com/Instance
  • spanner.googleapis.com/Instance
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

Limite de recursos num conjunto de recursos de elevado valor

O Security Command Center limita o número de recursos num conjunto de recursos de alto valor a 1000 por fornecedor de serviços na nuvem.

Se as especificações de atributos numa ou mais configurações de valores de recursos forem muito abrangentes, o número de recursos que correspondem às especificações de atributos pode exceder 1000.

Quando o número de recursos correspondentes excede o limite, o Security Command Center exclui recursos do conjunto até que o número de recursos esteja dentro do limite. O Security Command Center exclui primeiro os recursos com o valor atribuído mais baixo. Entre os recursos com o mesmo valor atribuído, o Security Command Center exclui instâncias de recursos através de um algoritmo que distribui os recursos excluídos por tipos de recursos.

Um recurso excluído do conjunto de recursos de elevado valor não é considerado no cálculo das pontuações de exposição a ataques.

Para alertar quando o limite de instâncias para o cálculo da pontuação é excedido, o Security Command Center gera uma descoberta SCC error e apresenta uma mensagem no separador de definições Simulação de caminho de ataque na Google Cloud consola. O Security Command Center não gera uma deteção SCC error se o conjunto de valor elevado predefinido exceder o limite de instâncias.

Para evitar exceder o limite, ajuste as configurações de valor dos recursos para refinar as instâncias no conjunto de recursos de elevado valor.

Seguem-se algumas opções que pode usar para refinar o seu conjunto de recursos de alto valor:

  • Use etiquetas ou rótulos para reduzir o número de correspondências para um determinado tipo de recurso ou num âmbito especificado.
  • Crie uma configuração de valor do recurso que atribua um valor de NONE a um subconjunto dos recursos especificados noutra configuração. A especificação de um valor de NONE substitui quaisquer outras configurações e exclui as instâncias de recursos do seu conjunto de recursos de elevado valor.
  • Reduza a especificação do âmbito na configuração do valor do recurso.
  • Elimine as configurações de valor do recurso que atribuem um valor de LOW.

Recursos de elevado valor

Para preencher o conjunto de recursos de elevado valor, tem de decidir que instâncias de recursos no seu ambiente são verdadeiramente de elevado valor.

Geralmente, os seus recursos de elevado valor reais são os recursos que processam e armazenam os seus dados confidenciais. Por exemplo, no Google Cloud, podem ser instâncias do Compute Engine, um conjunto de dados do BigQuery ou um contentor do Cloud Storage.

Não tem de designar recursos adjacentes aos seus recursos de elevado valor, como um servidor de salto, como de elevado valor. As simulações de caminhos de ataque já têm em conta estes recursos adjacentes e, se também os designar como de elevado valor, pode tornar as suas pontuações de exposição a ataques menos fiáveis.

Caminhos de ataque

Um caminho de ataque é uma representação visual interativa de um ou mais caminhos potenciais que um atacante hipotético pode seguir para aceder à Internet pública a partir de uma das suas instâncias de recursos de elevado valor.

As simulações de caminhos de ataque identificam potenciais caminhos de ataque através da modelagem do que aconteceria se um atacante aplicasse métodos de ataque conhecidos às vulnerabilidades e às configurações incorretas que o Security Command Center detetou no seu ambiente para tentar alcançar os seus recursos de elevado valor.

Pode ver os caminhos de ataque clicando na pontuação de exposição ao ataque num resultado ou recurso na Google Cloud consola.

No nível Enterprise, quando vê um caso de combinação tóxica, pode ver um caminho de ataque simplificado para a combinação tóxica no separador Vista geral do caso. O caminho de ataque simplificado inclui um link para o caminho de ataque completo. Para mais informações sobre caminhos de ataque para resultados de combinações tóxicas, consulte Caminhos de ataque de combinações tóxicas.

Quando visualiza caminhos de ataque maiores, pode alterar a vista do caminho de ataque arrastando o seletor de área de foco quadrado vermelho na vista em miniatura do caminho de ataque no lado direito do ecrã.

Num caminho de ataque, os recursos num caminho de ataque são representados como caixas ou nós. As linhas representam a potencial acessibilidade entre recursos. Em conjunto, os nós e as linhas representam o caminho de ataque.

Nós do caminho de ataque

Os nós num caminho de ataque representam os recursos num caminho de ataque.

A apresentar informações do nó

Pode apresentar mais informações sobre cada nó num caminho de ataque clicando nele.

Se clicar no nome do recurso num nó, são apresentadas mais informações sobre o recurso, bem como quaisquer resultados que afetem o recurso.

Se clicar em Expandir nó, são apresentados os possíveis métodos de ataque que podem ser usados se um atacante obtiver acesso ao recurso.

Tipos de nós

Existem três tipos diferentes de nós:

  • O ponto de partida ou o ponto de entrada do ataque simulado, que é a Internet pública. Se clicar num nó de ponto de entrada, é apresentada uma descrição do ponto de entrada, juntamente com os métodos de ataque que um atacante pode usar para obter acesso ao seu ambiente.
  • Os recursos afetados que um atacante pode usar para avançar num caminho.
  • O recurso exposto no final de um caminho, que é um dos recursos no seu conjunto de recursos de elevado valor. Apenas um recurso num conjunto de recursos de valor elevado predefinido ou definido pode ser um recurso exposto. Define um conjunto de recursos de alto valor criando configurações de valores de recursos.

Nós a montante e a jusante

Num caminho de ataque, um nó pode estar a montante ou a jusante dos outros nós. Um nó a montante está mais próximo do ponto de entrada e da parte superior do caminho de ataque. Um nó a jusante está mais próximo do recurso de elevado valor exposto na parte inferior do caminho de ataque.

Nós que representam várias instâncias de recursos de contentores

Um nó pode representar várias instâncias de determinados tipos de recursos de contentores se as instâncias partilharem as mesmas caraterísticas.

Podem ser representadas várias instâncias dos seguintes tipos de recursos de contentores por um único nó:

  • Controlador ReplicaSet
  • Controlador de implementação
  • Controlador de tarefas
  • CronJob Controller
  • Controlador DaemonSet

Linhas do caminho de ataque

Num caminho de ataque, as linhas entre as caixas representam a acessibilidade potencial entre recursos que um atacante pode tirar partido para alcançar recursos de elevado valor.

As linhas não representam uma relação entre recursos definida em Google Cloud.

Se existirem vários caminhos que apontam para um nó a jusante a partir de vários nós a montante, os nós a montante podem ter uma relação AND entre si ou uma relação OR entre si.

Uma relação AND significa que um atacante precisa de acesso a ambos os nós a montante para aceder a um nó a jusante no caminho.

Por exemplo, uma linha direta da Internet pública para um recurso de elevado valor no final de um caminho de ataque tem uma relação AND com, pelo menos, outra linha no caminho de ataque. Um atacante não pode alcançar o recurso de elevado valor, a menos que obtenha acesso ao seu ambienteGoogle Cloud e, pelo menos, a outro recurso apresentado no caminho de ataque.

Uma relação OR significa que um atacante precisa de acesso apenas a um dos nós a montante para aceder ao nó a jusante.

Simulações de caminhos de ataque

Para determinar todos os caminhos de ataque possíveis e calcular as pontuações de exposição a ataques, o Security Command Center realiza simulações avançadas de caminhos de ataque.

Agenda de simulação

As simulações de caminhos de ataque são executadas aproximadamente a cada seis horas. À medida que a sua organização cresce, as simulações demoram mais tempo, mas são sempre executadas, pelo menos, uma vez por dia. As execuções de simulação não são acionadas pela criação, modificação ou eliminação de recursos nem configurações de valores de recursos.

Passos de simulação do caminho de ataque

As simulações consistem em três passos:

  1. Geração de modelos: é gerado automaticamente um modelo do seu Google Cloud ambiente com base nos dados do ambiente. O modelo é uma representação gráfica do seu ambiente, adaptada para análises do caminho de ataque.
  2. Simulação do caminho de ataque: as simulações do caminho de ataque são realizadas no modelo de gráfico. As simulações fazem com que um atacante virtual tente alcançar e comprometer os recursos no seu conjunto de recursos de elevado valor. As simulações tiram partido das estatísticas sobre cada recurso e relações específicos, incluindo rede, IAM, configurações, configurações incorretas e vulnerabilidades.
  3. Relatórios de estatísticas: com base nas simulações, o Security Command Center atribui pontuações de exposição a ataques aos seus recursos de valor elevado e às descobertas que os expõem, e visualiza os potenciais caminhos que um atacante pode seguir para aceder a esses recursos.

Caraterísticas de execução da simulação

Além de fornecer as classificações de exposição a ataques, as estatísticas dos caminhos de ataque e os caminhos de ataque, as simulações de caminhos de ataque têm as seguintes características:

  • Não afetam o seu ambiente em direto: todas as simulações são realizadas num modelo virtual e usam apenas acesso de leitura para a criação de modelos.
  • São dinâmicos: o modelo é criado sem agentes apenas através do acesso de leitura da API, o que permite que as simulações sigam dinamicamente as alterações ao seu ambiente ao longo do tempo.
  • Um atacante virtual tenta o maior número possível de métodos e vulnerabilidades para alcançar e comprometer os seus recursos de elevado valor. Isto inclui não só "o que se sabe", como as vulnerabilidades, as configurações, as configurações incorretas e as relações de rede, mas também "o que se sabe que não se sabe" com menor probabilidade, ou seja, riscos que sabemos que existem, como a possibilidade de phishing ou credenciais roubadas.
  • São automatizados: a lógica de ataque está incorporada na ferramenta. Não precisa de criar nem manter conjuntos extensos de consultas ou grandes conjuntos de dados.

Cenário e capacidades do atacante

Nas simulações, o Security Command Center tem uma representação lógica de uma tentativa de um atacante de explorar os seus recursos de elevado valor através da obtenção de acesso ao seu ambiente e seguindo potenciais caminhos de acesso através dos seus recursos e vulnerabilidades detetadas. Google Cloud

O atacante virtual

O atacante virtual usado pelas simulações tem as seguintes características:

  • O atacante é externo: o atacante não é um utilizador legítimo do seu ambienteGoogle Cloud . As simulações não modelam nem incluem ataques de utilizadores maliciosos ou negligentes que tenham acesso legítimo ao seu ambiente.
  • O atacante começa a partir da Internet pública. Para iniciar um ataque, o atacante tem de obter primeiro acesso ao seu ambiente a partir da Internet pública.
  • O atacante é persistente. O atacante não é desencorajado nem perde o interesse devido à dificuldade de um método de ataque específico.
  • O atacante é qualificado e tem conhecimentos. O atacante tenta métodos e técnicas conhecidos para aceder aos seus recursos de valor elevado.

Acesso inicial

Cada simulação tem um atacante virtual que tenta os seguintes métodos para obter acesso a partir da Internet pública aos recursos no seu ambiente Google Cloud :

  • Descubra e ligue-se a serviços e recursos acessíveis a partir da Internet pública. Num Google Cloud ambiente, isto pode incluir o seguinte:
    • Serviços em instâncias de máquinas virtuais (VMs) do Compute Engine e nós do Google Kubernetes Engine
    • Bases de dados
    • Contentores
    • Contentores do Cloud Storage
    • Funções do Cloud Run
  • Obter acesso a chaves e credenciais. Num Google Cloud ambiente, isto pode incluir o seguinte:
    • Chaves de contas de serviço
    • Chaves de encriptação fornecidas pelo utilizador
    • Chaves SSH da instância de VM
    • Chaves SSH ao nível do projeto
    • Sistemas de gestão de chaves externos
    • Contas de utilizador em que a autenticação multifator (MFA) não é aplicada
    • Tokens de MFA virtuais intercetados
  • Obter acesso a recursos na nuvem acessíveis publicamente através da utilização de credenciais roubadas ou da exploração de vulnerabilidades.

Se a simulação encontrar um possível ponto de entrada no ambiente, o atacante virtual tenta alcançar e comprometer os seus recursos de elevado valor a partir do ponto de entrada, explorando consecutivamente as configurações de segurança e as vulnerabilidades no ambiente.

Táticas e técnicas

A simulação usa uma grande variedade de táticas e técnicas, incluindo tirar partido do acesso legítimo, do movimento lateral, da escalada de privilégios, das vulnerabilidades, das configurações incorretas e da execução de código.

Incorporação de dados de CVE

Ao calcular as pontuações de exposição a ataques para as conclusões de vulnerabilidades, as simulações de caminhos de ataque consideram os dados do registo CVE da vulnerabilidade, as pontuações CVSS, bem como as avaliações da capacidade de exploração da vulnerabilidade que são fornecidas pela Mandiant.

As seguintes informações de CVE são consideradas:

  • Vetor de ataque: o atacante tem de ter o nível de acesso especificado no vetor de ataque do CVSS para usar a CVE. Por exemplo, uma CVE com um vetor de ataque de rede que se encontra num recurso com um endereço IP público e portas abertas pode ser explorada por um atacante com acesso à rede. Se um atacante tiver apenas acesso à rede e a CVE exigir acesso físico, o atacante não pode explorar a CVE.
  • Complexidade do ataque: geralmente, é mais provável que uma vulnerabilidade ou uma descoberta de configuração incorreta com uma complexidade de ataque baixa obtenha uma pontuação de exposição ao ataque elevada do que uma descoberta com uma complexidade de ataque elevada.
  • Atividade de exploração: geralmente, uma descoberta de vulnerabilidade com atividade de exploração generalizada, conforme determinado pelos analistas de informações sobre ameaças cibernéticas da Mandiant, tem maior probabilidade de receber uma pontuação de exposição a ataques elevada do que uma descoberta com apenas atividade de exploração prevista. Uma vulnerabilidade sem atividade de exploração conhecida não é considerada nas simulações do caminho de ataque.

Avaliações de risco em várias nuvens

Além disso Google Cloud, o Security Command Center pode executar simulações de caminhos de ataque para avaliar o risco nas suas implementações em várias plataformas de fornecedores de serviços na nuvem.

Depois de estabelecer uma ligação a outra plataforma, pode designar os seus recursos de elevado valor no outro fornecedor de serviços na nuvem criando configurações de valor dos recursos, tal como faria para os recursos no Google Cloud.

O Security Command Center executa simulações para uma plataforma na nuvem independentemente das simulações executadas para outras plataformas na nuvem.

Antes de criar a primeira configuração de valor de recurso para outro fornecedor de serviços na nuvem, o Security Command Center usa um conjunto de recursos de elevado valor predefinido específico de cada fornecedor de serviços na nuvem.

Para mais informações, consulte o seguinte:

AWS

Microsoft Azure