Suporte do recurso de exposição a ataques

Nesta página, descrevemos os serviços e as descobertas compatíveis com o recurso de exposição a ataques e os limites de compatibilidade sujeitos a ele.

O Security Command Center gera pontuações de exposição a ataques e caminhos para:

As seções a seguir listam os serviços e as descobertas do Security Command Center compatíveis com as pontuações de exposição a ataques.

Suporte apenas no nível da organização

As simulações de caminho de ataque que geram as pontuações de exposição a ataques e os caminhos de ataque exigem que o Security Command Center esteja ativado no nível da organização. As simulações de caminho de ataque não são compatíveis com ativações no nível do projeto do Security Command Center.

Para ver os caminhos de ataque, a visualização do console do Google Cloud precisa estar definida para sua organização. Se você selecionar uma visualização de projeto ou pasta no console do Google Cloud, verá as pontuações de exposição a ataques, mas não os caminhos de ataque.

Além disso, as permissões do IAM necessárias para os usuários verem os caminhos de ataque precisam ser concedidas no nível da organização. Os usuários precisam ter ao menos a permissão securitycenter.attackpaths.list em um papel concedido no nível da organização. O papel predefinido do IAM menos permissivo que contém essa permissão é o Leitor de caminhos de ataque da Central de segurança (securitycenter.attackPathsViewer).

Para ver outros papéis que contêm essa permissão, consulte Referência de papéis básicos e predefinidos do IAM.

Limites de tamanho para organizações

Para simulações de caminho de ataque, o Security Command Center limita o número de recursos ativos e descobertas ativas que uma organização pode conter.

Se uma organização exceder os limites mostrados na tabela a seguir, as simulações de caminho de ataque não serão executadas.

Tipo de limite Limite de uso
Número máximo de descobertas ativas 250.000.000
Número máximo de recursos ativos 26.000.000

Se os recursos, as descobertas ou ambos na sua organização estiverem se aproximando desses limites ou os exceder, entre em contato com o Cloud Customer Care para solicitar a avaliação de um possível aumento na sua organização.

Serviços do Google Cloud inclusos em simulações de caminho de ataque

As simulações podem incluir os seguintes serviços do Google Cloud:

  • Artifact Registry
  • BigQuery
  • Cloud Functions
  • Cloud Key Management Service
  • Cloud Load Balancing
  • Cloud NAT
  • Cloud Router
  • Cloud SQL
  • Cloud Storage
  • Compute Engine
  • Identity and Access Management
  • Google Kubernetes Engine
  • Nuvem privada virtual, incluindo configurações de firewall e sub-redes
  • Resource Manager

Limites do conjunto de recursos de alto valor

Um conjunto de recursos de alto valor aceita apenas determinados tipos de recursos e pode conter apenas um determinado número de instâncias de recurso.

Limite de instâncias para conjuntos de recursos de alto valor

Um conjunto de recursos de alto valor para uma plataforma de provedor de serviços em nuvem pode conter até 1.000 instâncias de recursos.

Tipos de recursos compatíveis com conjuntos de recursos de alto valor

É possível adicionar apenas os seguintes tipos de recursos do Google Cloud a um conjunto de recursos de alto valor:

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/Featurestore
  • aiplatform.googleapis.com/MetadataStore
  • aiplatform.googleapis.com/Model
  • aiplatform.googleapis.com/TrainingPipeline
  • bigquery.googleapis.com/Dataset
  • cloudfunctions.googleapis.com/CloudFunction
  • compute.googleapis.com/Instance
  • container.googleapis.com/Cluster
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

Para uma lista de tipos de recursos compatíveis com outros provedores de serviços de nuvem, consulte Suporte ao provedor de serviços de nuvem.

Limite de configuração de valor de recurso

É possível criar até 100 configurações de valor de recursos por organização no Google Cloud.

Tipos de recursos compatíveis com as classificações de sensibilidade de dados

As simulações de caminho de ataque podem definir automaticamente valores de prioridade com base nas classificações de sensibilidade de dados da Proteção de Dados Sensíveis apenas para os seguintes tipos de recursos de dados:

  • bigquery.googleapis.com/Dataset
  • sqladmin.googleapis.com/Instance

Categorias de descoberta compatíveis

As simulações de caminho de ataque geram pontuações de exposição e caminhos de ataque apenas para as categorias de descoberta do Security Command Center dos serviços de detecção do Security Command Center listados nesta seção.

Descobertas do Gerenciamento de superfície de ataque da Mandiant

As seguintes categorias de descoberta do Mandiant Attack Surface Management têm suporte em simulações de caminho de ataque:

  • Vulnerabilidade de software

Descobertas da análise de integridade de segurança

As seguintes descobertas do Security Health Analytics são compatíveis com simulações de caminho de ataque no Google Cloud:

  • Conta de serviço do administrador
  • Reparo automático desativado
  • Upgrade automático desativado
  • Autorização binária desativada
  • Somente a política do bucket desativada
  • Acesso privado do Google ao cluster desativado
  • Criptografia de secrets do cluster desativada
  • Nós protegidos do cluster desativados
  • Chaves SSH permitidas em todo o projeto de computação
  • Inicialização segura do Compute desativada
  • Portas seriais de computação ativadas
  • COS não usado
  • Conta de serviço padrão utilizada
  • Acesso integral à API
  • Redes mestres autorizadas desativadas
  • MFA não aplicado
  • Política de rede desativada
  • Inicialização segura do pool de nós desativada
  • Abrir a porta do Cassandra
  • Abrir porta CiscoSecure WebSM
  • Abrir porta de serviços de diretório
  • Abrir porta DNS
  • Abrir porta elasticsearch
  • Abrir firewall
  • Abrir porta do FTP
  • Abrir porta HTTP
  • Abrir porta LDAP
  • Abrir porta do Memcached
  • Abrir a porta do MongoDB
  • Abrir porta do MySQL
  • Abrir porta do NetBIOS
  • Abrir porta OracleDB
  • Abrir porta pop3
  • Abrir porta do PostgreSQL
  • Abrir porta RDP
  • Abrir a porta do Redis
  • Abrir porta SMTP
  • Abrir porta SSH
  • Abrir a porta do Telnet
  • Sobre uma conta privilegiada
  • Escopos privilegiados
  • Usuário com uma conta de serviço privilegiada
  • Papéis primários usados
  • Cluster particular desativado
  • ACL de bucket público
  • Endereço IP público
  • Bucket de registro público
  • Canal de lançamento desativado
  • Chave da conta de serviço não alternada
  • Chave da conta de serviço gerenciada pelo usuário
  • Identidade da carga de trabalho desativada

Descobertas da detecção rápida de vulnerabilidades

As seguintes descobertas de Detecção rápida de vulnerabilidades são compatíveis com simulações de caminho de ataque:

  • Credenciais fracas
  • API Elasticsearch exposta
  • Endpoint do Grafana exposto
  • Metabase exposta
  • Endpoint do atuador do Spring Boot exposto
  • API Resource Manager não autenticada do Hadoop YARN
  • Java JMX RMI exposto
  • Interface exposta do notebook Jupyter
  • API do Kubernetes exposta
  • Instalação do Wordpress incompleta
  • Console de novos itens do Jenkins não autenticado
  • RCE do HTTPd do Apache
  • SSRF do HTTPd do Apache
  • RCE do Consul
  • RCE do Druid
  • RCE do Drupal
  • Divulgação do arquivo Flink
  • RCE do GitLab
  • RCE do Go CD
  • RCE do Jenkins
  • RCE do Joomla
  • RCE do Log4j
  • Encaminhamento de privilégios do MantisBT
  • RCE de OGNL
  • RCE do OpenAM
  • RCE do Oracle WebLogic
  • RCE do PHPUnit
  • RCE do PHP CGI
  • RCE do Portal
  • RCE do Redis
  • Arquivo Solr exposto
  • RCE do Solr
  • RCE do Struts
  • Divulgação de arquivos Tomcat
  • RCE do vBulletin
  • RCE do vCenter
  • RCE do WebLogic

Descobertas do VM Manager

A categoria de descoberta OS Vulnerability, emitida pelo VM Manager, é compatível com pontuações de exposição a ataques.

Suporte a notificações do Pub/Sub

As alterações nas pontuações de exposição a ataques não podem ser usadas como gatilho para notificações no Pub/Sub.

Além disso, as descobertas enviadas ao Pub/Sub quando elas são criadas não incluem uma pontuação de exposição a ataques porque o envio ocorre antes de uma pontuação ser calculada.

Suporte a várias nuvens

O Security Command Center pode fornecer pontuações de exposição a ataques e visualizações de caminho de ataque para os seguintes provedores de serviços em nuvem:

  • Amazon Web Services (AWS)

Suporte para detectores em outros provedores de serviços em nuvem

O suporte aos detectores de vulnerabilidade e de configuração incorreta que as simulações de caminho de ataque oferecem para outras plataformas de provedores de serviços em nuvem depende das detecções compatíveis com os serviços de detecção do Security Command Center na plataforma.

O suporte aos detectores varia de acordo com o provedor de serviços em nuvem.

Suporte da AWS

O Security Command Center pode calcular pontuações de exposição a ataques e visualizações do caminho de ataque dos seus recursos na AWS.

Serviços da AWS compatíveis com simulações de caminho de ataque

As simulações podem incluir os seguintes serviços da AWS:

  • Identity and Access Management (IAM)
  • Serviço de token de segurança (STS)
  • Serviço de armazenamento simples (S3)
  • Firewall de aplicativos da Web (WAFv2)
  • Elastic Compute Cloud (EC2)
  • Balanceamento de carga elástico (ELB e ELBv2)
  • Serviço de banco de dados relacional (RDS, na sigla em inglês)
  • Serviço de gerenciamento de chaves (KMS)
  • Elastic Container Registry (ECR)
  • Elastic Container Service (ECS)
  • ApiGateway e ApiGatewayv2
  • Organizações (serviço de gerenciamento de contas)
  • CloudFront
  • AutoScaling
  • Lambda
  • DynamoDB

Tipos de recursos da AWS que podem ser especificados como recursos de alto valor

Você pode adicionar apenas os seguintes tipos de recursos da AWS a um conjunto de recursos de alto valor:

  • Tabela do DynamoDB
  • Instância do EC2
  • Função lambda
  • DBCluster do RDS
  • DBInstance do RDS
  • Bucket S3

Como encontrar suporte para a AWS

As simulações de caminho de ataque oferecem pontuações e visualizações de caminho de ataque para as seguintes categorias de descoberta da Análise de integridade da segurança:

  • Chaves de acesso rotacionadas 90 dias menos
  • Credenciais não utilizadas há mais de 45 dias desativadas
  • A VPC do grupo de segurança padrão restringe todo o tráfego
  • Instância do EC2 sem IP público
  • Política de senha do IAM
  • A política de senha do IAM impede a reutilização da senha
  • A política de senha do IAM requer o tamanho mínimo 14 ou mais
  • Verificação de credenciais não utilizadas do usuário do IAM
  • Os usuários do IAM recebem grupos de permissões
  • CM do KMS não programado para exclusão
  • Buckets S3 ativados para exclusão de autenticação multifator (MFA)
  • Conta de usuário raiz ativada para autenticação multifator (MFA)
  • Console de todos os usuários do IAM ativado com autenticação multifator
  • Não existe chave de acesso à conta de usuário raiz
  • Nenhum grupo de segurança permite administração de servidor remoto de entrada 0
  • Nenhum grupo de segurança permite administração remota de servidor de entrada 0 0 0 0
  • Uma chave de acesso ativa disponível para qualquer usuário do IAM
  • Acesso público com instância do RDS
  • Portas comuns restritas
  • SSH restrito
  • CMKS de rotação criado pelo cliente ativado
  • O cliente de rotação criou CMKS simétrica ativado
  • Buckets S3 configurados bloqueiam configurações de bucket de acesso público
  • A política de bucket S3 nega solicitações HTTP
  • KMS de criptografia padrão do S3
  • Grupo de segurança padrão da VPC fechado

Compatibilidade com a interface do usuário

É possível usar o Security Command Center no console do Google Cloud ou a API Security Command Center para trabalhar com pontuações de exposição a ataques.

No entanto, só é possível criar configurações de valor de recursos na guia Simulações de caminho de ataque da página Configurações do Security Command Center no console do Google Cloud.