攻撃の発生可能性機能のサポート

このページでは、攻撃の発生可能性機能でサポートされているサービスと検出結果、および対象となるサポートの上限について説明します。

Security Command Center は、次の攻撃の発生可能性スコアとパスを生成します。

Vulnerability と Misconfiguration の検出結果クラスでサポートされている検出カテゴリ。詳細については、サポートされている検出カテゴリをご覧ください。
高価値として指定した、サポートされているリソースタイプのリソースインスタンス。詳細については、高価値リソースセットでサポートされるリソースタイプをご覧ください。

次のセクションでは、攻撃の発生可能性スコアでサポートされている Security Command Center のサービスと検出結果を一覧表示します。

組織レベルのサポートのみ

攻撃の発生可能性スコアと攻撃パスを生成する攻撃パスシミュレーションでは、組織レベルで Security Command Center を有効にする必要があります。Security Command Center をプロジェクトレベルで有効にしている場合、攻撃パスシミュレーションはサポートされません。

攻撃パスを表示するには、Google Cloud コンソールビューが組織に設定されている必要があります。Google Cloud コンソールでプロジェクトビューまたはフォルダビューを選択すると、攻撃の発生可能性スコアは表示されますが、攻撃パスは表示されません。

また、ユーザーが攻撃パスを表示するために必要な IAM 権限を、組織レベルで付与する必要があります。少なくとも、組織レベルで付与されるロールの securitycenter.attackpaths.list 権限がユーザーに付与されている必要があります。この権限を含む最も制限の少ない IAM 事前定義ロールは、セキュリティセンター攻撃パス読み取り（securitycenter.attackPathsViewer）です。

この権限を含むその他のロールについては、IAM の基本ロールと事前定義ロールのリファレンスをご覧ください。

組織に対するサイズ上限

攻撃パスシミュレーションの場合、Security Command Center は、組織に含めることができるアクティブなアセットとアクティブな検出結果の数を制限します。

組織が次の表に示す上限を超えると、攻撃パスシミュレーションは実行されません。

上限の対象	使用量上限
アクティブな検出結果の最大数	250,000,000
有効なアセットの最大数	26,000,000

組織内のアセット、検出結果、またはその両方が、これらの上限に近づいているか、上回っている場合は、Cloud カスタマーケアに連絡して、引き上げの可能性について組織の評価をリクエストしてください。

攻撃パスシミュレーションに含まれる Google Cloud サービス

シミュレーションには、次の Google Cloud サービスが含まれます。

BigQuery
Cloud Functions
Cloud Key Management Service
Cloud Load Balancing
Cloud NAT
Cloud Router
Cloud SQL
Cloud Storage
Compute Engine
Identity and Access Management
Google Kubernetes Engine
Virtual Private Cloud（サブネットとファイアウォール構成を含む）
Resource Manager

高価値リソースセットの上限

高価値リソースセットでは特定のリソースタイプのみがサポートされ、特定の数のリソースインスタンスのみを含めることができます。

高価値リソースセットのインスタンスの上限

クラウドサービスプロバイダプラットフォームの高価値リソースセットには、最大 1,000 個のリソースインスタンスを含めることが可能です。

高価値リソースセットでサポートされるリソースタイプ

高価値リソースセットには、次のタイプの Google Cloud リソースのみを追加できます。

aiplatform.googleapis.com/Dataset
aiplatform.googleapis.com/Featurestore
aiplatform.googleapis.com/MetadataStore
aiplatform.googleapis.com/Model
aiplatform.googleapis.com/TrainingPipeline

bigquery.googleapis.com/Dataset
cloudfunctions.googleapis.com/CloudFunction
compute.googleapis.com/Instance
container.googleapis.com/Cluster
sqladmin.googleapis.com/Instance
storage.googleapis.com/Bucket

他のクラウドサービスプロバイダでサポートされるリソースタイプの一覧については、クラウドサービスプロバイダのサポートをご覧ください。

リソース値の構成の上限

Google Cloud では、組織ごとに最大 100 個のリソース値の構成を作成できます。

データ機密性の分類でサポートされているリソースタイプ

攻撃パスシミュレーションでは、次のデータリソースタイプに対してのみ、Sensitive Data Protectionのデータ機密性の分類に基づいて優先度値を自動的に設定できます。

bigquery.googleapis.com/Dataset
sqladmin.googleapis.com/Instance

サポートされている検出カテゴリ

攻撃パスシミュレーションでは、このセクションに記載されている Security Command Center 検出サービスから Security Command Center の検出結果カテゴリのみについて、攻撃の発生可能性スコアと攻撃パスを生成します。

Mandiant Attack Surface Management の検出結果

攻撃パスシミュレーションでは、次の Mandiant Attack Surface Management 検出結果カテゴリがサポートされています。

ソフトウェアの脆弱性

Security Health Analytics の検出結果

Google Cloud の攻撃パスシミュレーションでは、次の Security Health Analytics の検出結果がサポートされています。

管理サービスアカウント
自動修復が無効
自動アップグレードが無効
Binary Authorization が無効
バケットポリシーのみ無効
クラスタの限定公開の Google アクセスが無効
クラスタシークレットの暗号化が無効
クラスタのシールドされたノードが無効
Compute プロジェクト全体で SSH 認証鍵が許可されている
Compute のセキュアブートが無効
Compute のシリアルポートが有効
COS が使用されていない
デフォルトのサービスアカウントが使用されている
API に対する完全アクセス権
マスター承認済みネットワークが無効
MFA が未適用
ネットワークポリシーが無効
ノードプールのセキュアブートが無効
Cassandra ポートがオープン状態
CiscoSecure WebSM ポートがオープン状態
ディレクトリサービスポートがオープン状態
DNS ポートがオープン状態
Elasticsearch ポートがオープン状態
ファイアウォールがオープン状態
FTP ポートがオープン状態
HTTP ポートがオープン状態
LDAP ポートがオープン状態
Memcached ポートがオープン状態
MongoDB ポートがオープン状態
MySQL ポートがオープン状態
NetBIOS ポートがオープン状態
OracleDB ポートがオープン状態
POP3 ポートがオープン状態
PostgreSQL ポートがオープン状態
RDP ポートがオープン状態
Redis ポートがオープン状態
SMTP ポートがオープン状態
SSH ポートがオープン状態
Telnet ポートがオープン状態
過剰な権限を持つアカウント
過剰な権限のスコープ
過剰な権限を持つサービスアカウントユーザー
基本ロールが使用されている
限定公開クラスタが無効になっている
バケットの ACL が公開状態
パブリック IP アドレス
公開ログバケット
リリースチャンネルが無効
サービスアカウントキーがローテーションされていない
ユーザーが管理するサービスアカウントキー
Workload Identity が無効

Rapid Vulnerability Detection の検出結果

攻撃パスシミュレーションでは、次の Rapid Vulnerability Detection の検出結果がサポートされます。

脆弱な認証情報
Elasticsearch API の露出
露出した Grafana エンドポイント
露出したメタベース
露出した Spring Boot Actuator エンドポイント
Hadoop Yarn Unauthenticated Resource Manager API
Java JMX RMI の露出
Jupyter Notebook の露出した UI
Kubernetes API の露出
未完了の Wordpress インストール
未認証の Jenkins New Item コンソール
Apache HTTPD RCE
Apache HTTPD SSRF
Consul RCE
Druid RCE
Drupal RCE
Flink ファイルの開示
Gitlab RCE
GoCD RCE
Jenkins RCE
Joomla RCE
Log4j RCE
MantisBT 権限昇格
OGNL RCE
OpenAM RCE
Oracle WebLogic RCE
PHPUnit RCE
PHP CGI RE
Portal RCE
Redis RCE
Solr ファイルの開示
Solr RCE
Struts RCE
Tomcat ファイルの開示
vBulletin RCE
vCenter RCE
WebLogic RCE

VM Manager の検出結果

VM Manager が発行する OS Vulnerability 検出結果カテゴリは、攻撃の発生可能性スコアをサポートしています。

Pub/Sub 通知のサポート

攻撃の発生可能性スコアの変更は、Pub/Sub への通知のトリガーとして使用できません。

また、検出結果が作成される際に Pub/Sub に送信される検出結果は、スコアの計算前に送信されるため、検出結果には攻撃の発生可能性スコアは含まれません。

マルチクラウドサポート

Security Command Center は、次のクラウドサービスプロバイダに対して攻撃の発生可能性スコアと攻撃パスの可視化を提供します。

アマゾンウェブサービス（AWS）

他のクラウドサービスプロバイダの検出機能のサポート

他のクラウドサービスプロバイダプラットフォームに対する攻撃パスシミュレーションがサポートする脆弱性と構成ミスの検出機能は、Security Command Center の検出サービスがプラットフォームでサポートする検出によって異なります。

検出機能のサポートは、クラウドサービスプロバイダごとに異なります。

AWS のサポート

Security Command Center では、AWS 上のリソースに対する攻撃の発生可能性スコアと攻撃パスの可視化を計算できます。

攻撃パスシミュレーションでサポートされる AWS サービス

シミュレーションには、次の AWS サービスを含めることができます。

Identity and Access Management（IAM）
Security Token Service（STS）
Simple Storage Service（S3）
ウェブアプリケーションファイアウォール（WAFv2）
Elastic Compute Cloud（EC2）
Elastic Load Balancing（ELB と ELBv2）
リレーショナルデータベースサービス（RDS）
鍵管理サービス（KMS）
Elastic Container Registry（ECR）
Elastic Container Service（ECS）
ApiGateway と ApiGatewayv2
Organizations（アカウント管理サービス）
CloudFront
AutoScaling
Lambda
DynamoDB

高価値リソースとして指定できる AWS リソースタイプ

高価値リソースセットには、次のタイプの AWS リソースのみを追加できます。

DynamoDB 表
EC2 インスタンス
LAMBDA 関数
RDS DBCluster
RDS DBInstance
S3 バケット

AWS の検出結果のサポート

攻撃パスシミュレーションでは、次の Security Health Analytics 検出結果カテゴリのスコアと攻撃パスの可視化が表示されます。

90 日以内でローテーションされるアクセスキー
45 日以上使用されていない認証情報が無効
デフォルトのセキュリティグループ VPC がすべてのトラフィックを制限
パブリック IP のない EC2 インスタンス
IAM パスワードポリシー
IAM パスワードポリシーでパスワードの再利用を禁止
IAM パスワードポリシーで 14 文字以上の長さを要求
IAM ユーザーの未使用の認証情報のチェック
IAM ユーザーが権限グループを取得
KMS cmk の削除予定なし
MFA の削除が有効な S3 バケット
MFA が有効になっている root ユーザーアカウント
すべての IAM ユーザーコンソールで多要素認証 MFA が有効
root ユーザーアカウントのアクセスキーなし
0 リモートサーバー管理への上り（内向き）を許可するセキュリティグループなし
0 0 0 0 リモートサーバー管理への上り（内向き）を許可するセキュリティグループなし
単一の IAM ユーザーが利用できるアクティブなアクセスキーが 1 つ
公開アクセス可能な RDS インスタンス
制限付き共通ポート
制限付き SSH
顧客作成の CMK のローテーションが有効
顧客作成の対称 CMK のローテーションが有効
S3 バケット構成ブロックパブリックアクセスバケット設定
S3 バケットポリシーが HTTP リクエストの拒否に設定
S3 のデフォルトの暗号化 KMS
VPC デフォルトセキュリティグループをクローズ

ユーザーインターフェースのサポート

Google Cloud コンソールの Security Command Center または Security Command Center API を使用して、攻撃の発生可能性スコアを操作できます。

リソース値の構成は、Google Cloud コンソールの Security Command Center の [設定] ページにある [攻撃パスシミュレーション] タブでのみ作成できます。