Compatibilidad con la función Risk Engine

En esta página, se describen los servicios y los hallazgos Compatibilidad con la función Risk Engine y su compatibilidad la limita los casos de uso.

Risk Engine genera puntuaciones de exposición a ataques y rutas para el lo siguiente:

En las siguientes secciones, se enumeran los servicios y hallazgos de Security Command Center compatibles con Risk Engine.

Solo asistencia a nivel de la organización

Las simulaciones de rutas de ataque que usa Risk Engine para generar las puntuaciones de exposición a ataques y las rutas de ataque requieren que Security Command Center se active en el a nivel de la organización. Las simulaciones de rutas de ataque no son compatibles con activaciones a nivel de proyecto de Security Command Center.

Para ver las rutas de ataque, la vista de la consola de Google Cloud debe estar configurada de la siguiente manera: tu organización. Si seleccionas una vista de proyecto o carpeta la consola de Google Cloud, puedes ver las puntuaciones de exposición a ataques, pero no puede ver las rutas de ataque.

Además, los permisos de IAM que los usuarios deben ver las rutas de acceso deben otorgarse a nivel de la organización. Como mínimo, los usuarios debe tener el permiso securitycenter.attackpaths.list en un rol otorgada a nivel de la organización. Los parámetros predefinidos menos permisivos el rol de IAM que contiene este permiso Lector de rutas de ataque del centro de seguridad (securitycenter.attackPathsViewer).

Para ver otros roles que contienen este permiso, consulta Referencia de roles básicos y predefinidos de IAM.

Límites de tamaño para organizaciones

Para las simulaciones de rutas de ataque, Risk Engine limita la cantidad de como activos y hallazgos activos que una organización puede contener.

Si una organización supera los límites que se muestran en la siguiente tabla, pero no se ejecutan las simulaciones de rutas de ataque.

Tipo de límite Límite de uso
Cantidad máxima de resultados activos 250 000 000
Cantidad máxima de recursos activos 26 000 000

Si los recursos, los hallazgos o ambos en tu organización se están acercando estos límites o los excedes, comunícate con Atención al cliente de Cloud para solicitar una de tu organización en busca de un posible aumento.

Servicios de Google Cloud incluidos en las simulaciones de rutas de ataque

Las simulaciones que ejecuta Risk Engine pueden incluir los siguientes servicios de Google Cloud:

  • Artifact Registry
  • BigQuery
  • Cloud Functions
  • Cloud Key Management Service
  • Cloud Load Balancing
  • Cloud NAT
  • Cloud Router
  • Cloud SQL
  • Cloud Storage
  • Compute Engine
  • Administración de identidades y accesos
  • Google Kubernetes Engine
  • Nube privada virtual, incluidas las subredes y la configuración de firewall
  • Resource Manager

Límites de conjunto de recursos de alto valor

Un conjunto de recursos de alto valor solo admite ciertos tipos de recursos contienen solo una cierta cantidad de instancias de recursos.

Límite de instancias para conjuntos de recursos de alto valor

Un conjunto de recursos de alto valor para la plataforma de un proveedor de servicios contienen hasta 1,000 instancias de recursos.

Tipos de recursos admitidos en conjuntos de recursos de alto valor

Solo puedes agregar los siguientes tipos de recursos de Google Cloud en un conjunto de recursos de alto valor:

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/Featurestore
  • aiplatform.googleapis.com/MetadataStore
  • aiplatform.googleapis.com/Model
  • aiplatform.googleapis.com/TrainingPipeline
  • bigquery.googleapis.com/Dataset
  • cloudfunctions.googleapis.com/CloudFunction
  • compute.googleapis.com/Instance
  • container.googleapis.com/Cluster
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

Para obtener una lista de los tipos de recursos admitidos para otros proveedores de servicios en la nube, consulta Asistencia del proveedor de servicios en la nube.

Límite de configuración del valor del recurso

Puedes crear hasta 100 parámetros de configuración de valores de recursos por organización en Google Cloud.

Tipos de recursos compatibles con las clasificaciones de sensibilidad de los datos

Las simulaciones de rutas de ataque pueden establecer valores de prioridad automáticamente basadas en clasificaciones de sensibilidad de los datos desde Protección de datos sensibles solo para los siguientes tipos de recursos de datos:

  • bigquery.googleapis.com/Dataset
  • sqladmin.googleapis.com/Instance

Categorías de hallazgos compatibles

Las simulaciones de rutas de ataque generan puntuaciones de exposición a ataques y rutas de ataque solo para las categorías de hallazgos de Security Command Center del Servicios de detección de Security Command Center que se enumeran en esta sección.

Hallazgos de Mandiant Attack Surface Management

La siguiente guía de Administración de la superficie de ataque de Mandiant de resultados son compatibles con las simulaciones de rutas de ataque:

  • Vulnerabilidad de software

Resultados de las estadísticas de estado de seguridad

Las siguientes Estadísticas del estado de la seguridad hallazgos se respaldan con simulaciones de rutas de ataque en Google Cloud:

  • Cuenta de servicio de administrador
  • Reparación automática inhabilitada
  • Actualización automática inhabilitada
  • Autorización binaria inhabilitada
  • Solo política del bucket inhabilitada
  • Clúster con Acceso privado a Google inhabilitado
  • Encriptación de secretos de clúster inhabilitada
  • Nodos protegidos del clúster inhabilitados
  • Claves SSH de todo el proyecto de Compute permitidas
  • Inicio seguro de Compute inhabilitado
  • Puertos en serie de Compute habilitados
  • COS sin usar
  • Cuenta de servicio predeterminada usada
  • Acceso total a la API
  • Redes autorizadas de la instancia principal inhabilitadas
  • MFA no aplicada
  • Política de red inhabilitada
  • Inicio seguro del grupo de nodos inhabilitado
  • Puerto Cassandra abierto
  • Puerto CiscoSecure WebSM abierto
  • Puerto abierto de servicios del directorio
  • Puerto DNS abierto
  • Puerto elasticsearch abierto
  • Firewall abierto
  • Puerto FTP abierto
  • Puerto HTTP abierto
  • Puerto LDAP abierto
  • Puerto Memcached abierto
  • Puerto MongoDB abierto
  • Puerto MySQL abierto
  • Puerto NetBIOS abierto
  • Puerto OracleDB abierto
  • Abrir puerto pop3
  • Puerto PostgreSQL abierto
  • Puerto RDP abierto
  • Puerto Redis abierto
  • Puerto SMTP abierto
  • Puerto SSH abierto
  • Puerto Telnet abierto
  • Cuenta con privilegios excesivos
  • Permisos con privilegios excesivos
  • Usuario de cuenta de servicio con privilegios excesivos
  • Roles básicos usados
  • Clúster privado inhabilitado
  • LCA de buckets públicos
  • Dirección IP pública
  • Bucket de registro público
  • Canal de versiones inhabilitado
  • No se rotó la clave de la cuenta de servicio
  • Clave de cuenta de servicio administrada por el usuario
  • Workload Identity inhabilitada

Hallazgos del motor de riesgos

La categoría de hallazgo Toxic combination emitida por Risk Engine admite puntuaciones de exposición a ataques.

Resultados de VM Manager

La categoría de hallazgo OS Vulnerability emitida por VM Manager admite puntuaciones de exposición a ataques.

Compatibilidad con notificaciones de Pub/Sub

Los cambios en las puntuaciones de exposición a ataques no pueden usarse como un activador para notificaciones a Pub/Sub.

También los resultados se envían a Pub/Sub cuando se crean. no incluyen una puntuación de exposición al ataque porque se envían antes de una puntuación y cómo pueden calcularse.

Compatibilidad con múltiples nubes

Security Command Center puede proporcionar puntuaciones de exposición a ataques y rutas de ataque visualizaciones para los siguientes proveedores de servicios en la nube:

  • Amazon Web Services (AWS)

Compatibilidad con detectores para otros proveedores de servicios en la nube

Los detectores de vulnerabilidades y parámetros de configuración incorrectos que atacan las simulaciones de rutas la compatibilidad con otras plataformas de proveedores de servicios en la nube depende detecciones que admiten los servicios de detección de Security Command Center en la plataforma.

La compatibilidad con los detectores difiere para cada proveedor de servicios en la nube.

Compatibilidad con AWS

Security Command Center puede calcular puntuaciones de exposición y ataques visualizaciones de ruta de acceso para tus recursos en AWS.

Servicios de AWS compatibles con simulaciones de rutas de ataque

Las simulaciones pueden incluir los siguientes servicios de AWS:

  • Identity and Access Management (IAM)
  • Servicio de tokens de seguridad (STS)
  • Servicio de almacenamiento simple (S3)
  • Firewall de aplicación web (WAFv2)
  • Elastic Compute Cloud (EC2)
  • Elastic Load Balancing (ELB y ELBv2)
  • Servicio de bases de datos relacionales (RDS)
  • Servicio de administración de claves (KMS)
  • Elastic Container Registry (ECR)
  • Elastic Container Service (ECS)
  • ApiGateway y ApiGatewayv2
  • Organizaciones (servicio de administración de cuentas)
  • CloudFront
  • AutoScaling
  • Lambda
  • DynamoDB

Tipos de recursos de AWS que puedes especificar como recursos de alto valor

Solo puedes agregar los siguientes tipos de recursos de AWS a un recurso de conjunto de recursos:

  • Tabla de DynamoDB
  • Instancia de EC2
  • Función lambda
  • DBCluster de RDS
  • Instancia de base de datos de RDS
  • Bucket de S3

Encuentra asistencia para AWS

Las simulaciones de rutas de ataque proporcionan puntuaciones y visualizaciones de rutas de ataque para las siguientes categorías de hallazgos de Security Health Analytics:

  • Claves de acceso rotadas 90 días menos
  • Credenciales sin usar durante 45 días o más inhabilitadas
  • La VPC del grupo de seguridad predeterminado restringe todo el tráfico
  • Instancia de EC2 sin IP pública
  • Política de contraseñas de IAM
  • La política de contraseñas de IAM evita la reutilización de contraseñas
  • La política de contraseñas de IAM requiere una longitud mínima de 14 caracteres
  • Verificación de credenciales sin usar de usuarios de IAM
  • Los usuarios de IAM reciben grupos de permisos
  • No se programó la eliminación del CMK de KMS
  • Eliminación de MFA habilitada en los buckets de S3
  • Cuenta de usuario raíz con MFA habilitada
  • La MFA de autenticación de varios factores habilitó la consola de todos los usuarios de IAM
  • No existe una clave de acceso a una cuenta de usuario raíz
  • Ningún grupo de seguridad permite la entrada de 0 administradores del servidor remoto
  • Ningún grupo de seguridad permite la entrada de 0 0 0 0 administración de servidor remoto
  • Una clave de acceso activa disponible para cada usuario de IAM
  • Acceso público a una instancia de RDS determinada
  • Puertos comunes restringidos
  • SSH restringido
  • CMKS creado por el cliente para la rotación habilitado
  • CMKS simétrico creado por el cliente para la rotación habilitada
  • Buckets de S3 configurados con el bucket de acceso público
  • La política de bucket de S3 estableció el rechazo de solicitudes HTTP
  • KMS de encriptación predeterminada de S3
  • Grupo de seguridad predeterminado de la VPC cerrado

Compatibilidad con interfaz de usuario

Puedes trabajar con las puntuaciones de exposición a ataques en la consola de Google Cloud, la consola de operaciones de seguridad o la API de Security Command Center.

Puedes trabajar con puntuaciones de exposición a ataques y rutas de ataque para detectar casos combinados solo en la consola de operaciones de seguridad.

Puedes crear configuraciones de valores de recursos solo en La pestaña Simulaciones de rutas de ataque de la Configuración de Security Command Center en la consola de Google Cloud.