Compatibilidad con la función de exposición a ataques

En esta página, se describen los servicios y los hallazgos que admite la función de exposición a ataques y los límites de compatibilidad a los que está sujeta.

Security Command Center genera puntuaciones de exposición a ataques y rutas para lo siguiente:

En las siguientes secciones, se enumeran los servicios y los hallazgos de Security Command Center que se admiten en las puntuaciones de exposición a ataques.

Solo asistencia a nivel de la organización

Las simulaciones de rutas de ataque que generan las puntuaciones de exposición a ataques y las rutas de ataque requieren que Security Command Center se active a nivel de la organización. Las simulaciones de rutas de ataque no son compatibles con las activaciones a nivel de proyecto de Security Command Center.

Para ver las rutas de ataque, la vista de la consola de Google Cloud debe estar configurada en tu organización. Si seleccionas una vista de proyecto o carpeta en la consola de Google Cloud, puedes ver las puntuaciones de exposición a ataques, pero no puedes ver las rutas de ataque.

Además, los permisos de IAM que los usuarios necesitan para ver las rutas de ataque se deben otorgar a nivel de la organización. Como mínimo, los usuarios deben tener el permiso securitycenter.attackpaths.list en una función otorgada a nivel de la organización. La función de IAM predefinida menos permisiva que contiene este permiso es Lector de rutas de ataque del centro de seguridad (securitycenter.attackPathsViewer).

Para ver otras funciones que contienen este permiso, consulta la referencia de funciones básicas y predefinidas de IAM.

Límites de tamaño para organizaciones

En el caso de las simulaciones de rutas de ataque, Security Command Center limita la cantidad de recursos y hallazgos activos que puede contener una organización.

Si una organización supera los límites que se muestran en la siguiente tabla, no se ejecutan las simulaciones de rutas de ataque.

Tipo de límite Límite de uso
Cantidad máxima de resultados activos 250 000 000
Cantidad máxima de recursos activos 26 000 000

Si los recursos, los hallazgos o ambos de tu organización se acercan a estos límites o los superan, comunícate con Atención al cliente de Cloud para solicitar una evaluación de tu organización y un posible aumento.

Servicios de Google Cloud incluidos en las simulaciones de rutas de ataque

Las simulaciones pueden incluir los siguientes servicios de Google Cloud:

  • Artifact Registry
  • BigQuery
  • Cloud Functions
  • Cloud Key Management Service
  • Cloud Load Balancing
  • Cloud NAT
  • Cloud Router
  • Cloud SQL
  • Cloud Storage
  • Compute Engine
  • Identity and Access Management
  • Google Kubernetes Engine
  • Nube privada virtual, incluidas las subredes y la configuración de firewall
  • Resource Manager

Límites de conjunto de recursos de alto valor

Un conjunto de recursos de alto valor solo admite ciertos tipos de recursos y puede contener solo una cierta cantidad de instancias de recursos.

Límite de instancias para conjuntos de recursos de alto valor

Un conjunto de recursos de alto valor para la plataforma de un proveedor de servicios en la nube puede contener hasta 1,000 instancias de recursos.

Tipos de recursos admitidos en conjuntos de recursos de alto valor

Solo puedes agregar los siguientes tipos de recursos de Google Cloud a un conjunto de recursos de alto valor:

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/Featurestore
  • aiplatform.googleapis.com/MetadataStore
  • aiplatform.googleapis.com/Model
  • aiplatform.googleapis.com/TrainingPipeline
  • bigquery.googleapis.com/Dataset
  • cloudfunctions.googleapis.com/CloudFunction
  • compute.googleapis.com/Instance
  • container.googleapis.com/Cluster
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

Si deseas obtener una lista de los tipos de recursos admitidos para otros proveedores de servicios en la nube, consulta Asistencia para proveedores de servicios en la nube.

Límite de configuración del valor del recurso

Puedes crear hasta 100 configuraciones de valores de recursos por organización en Google Cloud.

Tipos de recursos compatibles con las clasificaciones de sensibilidad de los datos

Las simulaciones de rutas de ataque pueden establecer automáticamente valores de prioridad según las clasificaciones de sensibilidad de los datos de Sensitive Data Protection solo para los siguientes tipos de recursos de datos:

  • bigquery.googleapis.com/Dataset
  • sqladmin.googleapis.com/Instance

Categorías de hallazgos compatibles

Las simulaciones de rutas de ataque generan puntuaciones de exposición a ataques y rutas de ataque solo para las categorías de hallazgos de Security Command Center desde los servicios de detección de Security Command Center que se enumeran en esta sección.

Hallazgos de Mandiant Attack Surface Management

Las siguientes categorías de hallazgo de Mandiant Attack Surface Management son compatibles con las simulaciones de rutas de ataque:

  • Vulnerabilidad de software

Resultados de las estadísticas de estado de seguridad

Los siguientes hallazgos de Security Health Analytics son compatibles con las simulaciones de rutas de ataque en Google Cloud:

  • Cuenta de servicio de administrador
  • Reparación automática inhabilitada
  • Actualización automática inhabilitada
  • Autorización binaria inhabilitada
  • Solo política del bucket inhabilitada
  • Clúster con Acceso privado a Google inhabilitado
  • Encriptación de secretos de clúster inhabilitada
  • Nodos protegidos del clúster inhabilitados
  • Claves SSH de todo el proyecto de Compute permitidas
  • Inicio seguro de Compute inhabilitado
  • Puertos en serie de Compute habilitados
  • COS sin usar
  • Cuenta de servicio predeterminada usada
  • Acceso total a la API
  • Redes autorizadas de la instancia principal inhabilitadas
  • MFA no aplicada
  • Política de red inhabilitada
  • Inicio seguro del grupo de nodos inhabilitado
  • Puerto Cassandra abierto
  • Puerto CiscoSecure WebSM abierto
  • Puerto abierto de servicios del directorio
  • Puerto DNS abierto
  • Puerto elasticsearch abierto
  • Firewall abierto
  • Puerto FTP abierto
  • Puerto HTTP abierto
  • Puerto LDAP abierto
  • Puerto Memcached abierto
  • Puerto MongoDB abierto
  • Puerto MySQL abierto
  • Puerto NetBIOS abierto
  • Puerto OracleDB abierto
  • Abrir puerto pop3
  • Puerto PostgreSQL abierto
  • Puerto RDP abierto
  • Puerto Redis abierto
  • Puerto SMTP abierto
  • Puerto SSH abierto
  • Puerto Telnet abierto
  • Cuenta con privilegios excesivos
  • Permisos con privilegios excesivos
  • Usuario de cuenta de servicio con privilegios excesivos
  • Roles básicos usados
  • Clúster privado inhabilitado
  • LCA de buckets públicos
  • Dirección IP pública
  • Bucket de registro público
  • Canal de versiones inhabilitado
  • No se rotó la clave de la cuenta de servicio
  • Clave de cuenta de servicio administrada por el usuario
  • Workload Identity inhabilitada

Hallazgos de la Detección rápida de vulnerabilidades

Los siguientes hallazgos de Detección rápida de vulnerabilidades son compatibles con las simulaciones de rutas de ataque:

  • Credenciales débiles
  • API de Elasticsearch expuesta
  • Extremo de Grafana expuesto
  • Metabase expuesta
  • Extremo accionador de Spring Boot expuesto
  • API de Hadoop YArn Unauthenticated Resource Manager
  • Rmi de Java Jmx expuesta
  • IU expuesta del notebook de Jupyter
  • API de Kubernetes expuesta
  • Instalación sin terminar de WordPress
  • Consola de elementos nuevos de Jenkins no autenticada
  • Rce HTTP de Apache
  • Apache Httpd Ssrf
  • Consul Rce
  • Druid Rce
  • Rce Drupal
  • Divulgación de archivo Flink
  • RCE de GitLab
  • Ir CD RCE
  • RCE de Jenkins
  • Joomla Rce
  • RCE de Log4j
  • Elevación de privilegios de Mantisbt
  • RCE OGNL
  • Carrera Openam
  • Oracle Weblogic Rce
  • RCE de unidad de PHP
  • RCE de Php Cgi
  • Portal Rce
  • RCE de Redis
  • Archivo Solr expuesto
  • Solr Rce
  • Carrera de Struts
  • Divulgación de archivo Tomcat
  • Vbulletin RCE
  • Vcenter RCE
  • RCE de Weblogic

Resultados de VM Manager

La categoría de hallazgo OS Vulnerability que emite VM Manager admite las puntuaciones de exposición a ataques.

Compatibilidad con notificaciones de Pub/Sub

Los cambios en las puntuaciones de exposición a ataques no se pueden usar como un activador para las notificaciones a Pub/Sub.

Además, los hallazgos que se envían a Pub/Sub cuando se crean no incluyen una puntuación de exposición a ataques porque se envían antes de que se pueda calcular una puntuación.

Compatibilidad con múltiples nubes

Security Command Center puede proporcionar puntuaciones de exposición a ataques y visualizaciones de rutas de ataque para los siguientes proveedores de servicios en la nube:

  • Amazon Web Services (AWS)

Compatibilidad con detectores para otros proveedores de servicios en la nube

Los detectores de vulnerabilidad y configuración incorrecta que las simulaciones de rutas de ataque admiten en otras plataformas de proveedores de servicios en la nube dependen de las detecciones que los servicios de detección de Security Command Center admitan en la plataforma.

La compatibilidad con los detectores difiere para cada proveedor de servicios en la nube.

Compatibilidad con AWS

Security Command Center puede calcular las puntuaciones de exposición a ataques y las visualizaciones de las rutas de ataque para tus recursos en AWS.

Servicios de AWS compatibles con simulaciones de rutas de ataque

Las simulaciones pueden incluir los siguientes servicios de AWS:

  • Identity and Access Management (IAM)
  • Servicio de tokens de seguridad (STS)
  • Servicio de almacenamiento simple (S3)
  • Firewall de aplicación web (WAFv2)
  • Elastic Compute Cloud (EC2)
  • Elastic Load Balancing (ELB y ELBv2)
  • Servicio de bases de datos relacionales (RDS)
  • Servicio de administración de claves (KMS)
  • Elastic Container Registry (ECR)
  • Elastic Container Service (ECS)
  • ApiGateway y ApiGatewayv2
  • Organizaciones (servicio de administración de cuentas)
  • CloudFront
  • AutoScaling
  • Lambda
  • DynamoDB

Tipos de recursos de AWS que puedes especificar como recursos de alto valor

Solo puedes agregar los siguientes tipos de recursos de AWS a un conjunto de recursos de alto valor:

  • Tabla de DynamoDB
  • Instancia de EC2
  • Función lambda
  • DBCluster de RDS
  • Instancia de base de datos de RDS
  • Bucket de S3

Encuentra asistencia para AWS

Las simulaciones de rutas de ataque proporcionan puntuaciones y visualizaciones de rutas de ataque para las siguientes categorías de hallazgos de Security Health Analytics:

  • Claves de acceso rotadas 90 días menos
  • Credenciales sin usar durante 45 días o más inhabilitadas
  • La VPC del grupo de seguridad predeterminado restringe todo el tráfico
  • Instancia de EC2 sin IP pública
  • Política de contraseñas de IAM
  • La política de contraseñas de IAM evita la reutilización de contraseñas
  • La política de contraseñas de IAM requiere una longitud mínima de 14 caracteres
  • Verificación de credenciales sin usar de usuarios de IAM
  • Los usuarios de IAM reciben grupos de permisos
  • No se programó la eliminación del CMK de KMS
  • Eliminación de MFA habilitada en los buckets de S3
  • Cuenta de usuario raíz con MFA habilitada
  • La MFA de autenticación de varios factores habilitó la consola de todos los usuarios de IAM
  • No existe una clave de acceso a una cuenta de usuario raíz
  • Ningún grupo de seguridad permite la entrada de 0 administradores del servidor remoto
  • Ningún grupo de seguridad permite la entrada de 0 0 0 0 administración de servidor remoto
  • Una clave de acceso activa disponible para cada usuario de IAM
  • Acceso público a una instancia de RDS determinada
  • Puertos comunes restringidos
  • SSH restringido
  • CMKS creado por el cliente para la rotación habilitado
  • CMKS simétrico creado por el cliente para la rotación habilitada
  • Buckets de S3 configurados con el bucket de acceso público
  • La política de bucket de S3 estableció el rechazo de solicitudes HTTP
  • KMS de encriptación predeterminada de S3
  • Grupo de seguridad predeterminado de la VPC cerrado

Compatibilidad con interfaz de usuario

Puedes usar Security Command Center en la consola de Google Cloud o la API de Security Command Center para trabajar con las puntuaciones de exposición a ataques.

Sin embargo, solo puedes crear configuraciones de valores de recursos en la pestaña Simulaciones de rutas de ataque de la página Configuración de Security Command Center en la consola de Google Cloud.