Ergebnisse zu Identität und Zugriff untersuchen

Auf dieser Seite wird erläutert, wie Sie in der Google Cloud Console mit Ergebnissen zu Sicherheitsproblemen im Zusammenhang mit Identität und Zugriff (Ergebnisse zu Identität und Zugriff) arbeiten, um potenzielle Fehlkonfigurationen zu untersuchen und zu identifizieren.

Im Rahmen der CIEM-Funktionen (Cloud Infrastructure Entitlement Management), die mit der Enterprise-Stufe angeboten werden, generiert das Security Command Center Ergebnisse zu Identitäten und Zugriffen und stellt sie auf der Seite Risikoübersicht des Security Command Centers leicht zugänglich zur Verfügung. Diese Ergebnisse werden im Bereich Ergebnisse zu Identität und Zugriff zusammengestellt und kategorisiert.

Hinweise

Führen Sie die folgenden Aufgaben aus, bevor Sie fortfahren:

Zusammenfassung der Ergebnisse zu Identität und Zugriff aufrufen

Im Bereich Ergebnisse zu Identität und Zugriff auf der Seite Risikoübersicht des Security Command Center finden Sie einen allgemeinen Überblick über die wichtigsten Ergebnisse zu Identität und Zugriff in Ihren Cloud-Umgebungen, z. B. Google Cloud und Amazon Web Services (AWS). Der Bereich besteht aus einer Tabelle, in der die Ergebnisse in drei Spalten angeordnet sind:

  • Schweregrad: Der Schweregrad des Ergebnisses ist ein allgemeiner Indikator dafür, wie wichtig es ist, die Kategorie des Ergebnisses zu beheben. Er kann als Critical, High, Medium oder Low klassifiziert werden.
  • Ergebniskategorie: Die Art der gefundenen Fehlkonfiguration zur Identitäts- und Zugriffssteuerung.
  • Cloud-Anbieter: Die Cloud-Umgebung, in der die Fehlkonfigurationen gefunden wurden.
  • Ergebnisse insgesamt: Die Gesamtzahl der Fehlkonfigurationen bei Identität und Zugriff, die in einer Kategorie mit einer bestimmten Schweregradklassifizierung gefunden wurden.

Sie können die Ergebnisse im Bereich nach Schweregrad, Ergebniskategorie oder Anzahl der Ergebnisse insgesamt sortieren, indem Sie auf die entsprechende Überschrift klicken. Sie können auch die Anzahl der Zeilen im Bereich ändern (bis zu 200) und mit den Navigationspfeilen unten in der Tabelle zwischen den Seiten wechseln.

Sie können auf einen Kategorietitel oder die entsprechende Gesamtzahl der Ergebnisse klicken, um sich bestimmte Ergebnisse auf der Seite Ergebnisse des Security Command Center genauer anzusehen. Weitere Informationen finden Sie unter Ergebnisse zu Identität und Zugriff im Detail prüfen.

Die folgenden Komponenten unter der Tabelle mit den Ergebnissen liefern zusätzlichen Kontext zu Ihrer Identität und Zugriffsergebnissen:

  • Das Label Quellen gibt an, aus welcher Quelle Security Command Center Daten für die Ergebnisse aufnimmt. Die Ergebnisse zu Identität und Zugriff können sowohl für Google Cloud- als auch für AWS-Umgebungen gelten und von verschiedenen Detektoren wie CIEM, IAM-Empfehlungen und Security Health Analytics stammen. In Security Command Center werden nur Identitäts- und Zugriffsergebnisse für AWS angezeigt, wenn Sie eine AWS-Instanz verbunden und die AWS-Logaufnahme für CIEM konfiguriert haben.
  • Über den Link Alle Ergebnisse zu Identität und Zugriff ansehen gelangen Sie zur Seite Ergebnisse im Security Command Center. Dort werden alle erkannten Fehlkonfigurationen von Identität und Zugriff unabhängig von Kategorie oder Schweregrad angezeigt.
  • Über den Link Zugriff mit Policy Analyzer für Google Cloud überprüfen erhalten Sie schnellen Zugriff auf das Tool Policy Analyzer. Damit können Sie anhand Ihrer IAM-Zulassungsrichtlinien sehen, wer Zugriff auf welche Google Cloud-Ressourcen hat.

Ergebnisse zu Identität und Zugriff auf der Seite „Ergebnisse“ ansehen

Im Bereich Ergebnisse zu Identität und Zugriff gibt es mehrere Einstiegspunkte zur Seite Ergebnisse im Security Command Center, auf der Sie die Ergebnisse zu Identität und Zugriff im Detail prüfen können:

  • Klicken Sie unter Ergebniskategorie auf einen Ergebnisnamen oder unter Ergebnisse insgesamt auf die Gesamtzahl der Ergebnisse, um automatisch nach dieser bestimmten Ergebniskategorie und Schweregradbewertung zu suchen.
  • Klicken Sie auf Alle Ergebnisse zu Identität und Zugriff ansehen, um alle Ergebnisse in beliebiger Reihenfolge abzufragen.

In Security Command Center werden bestimmte Schnellfilter vorab ausgewählt, mit denen eine Suchanfrage speziell für Fehlkonfigurationen von Identitäten und Zugriffen erstellt wird. Die Optionen für Schnellfilter ändern sich je nachdem, ob Sie eine oder alle Ergebnisse zu Identität und Zugriff abfragen. Sie können diese Abfragen bei Bedarf bearbeiten. Zu den Kategorien und Optionen für Schnellfilter, die für CIEM-Zwecke von Interesse sind, gehören:

  • Kategorie: Mit diesen Filtern können Sie die Ergebnisse nach bestimmten Ergebniskategorien abfragen, über die Sie mehr erfahren möchten. Die in dieser Kategorie aufgeführten Schnellfilteroptionen ändern sich je nachdem, ob Sie eine oder alle Identitäts- und Zugriffsergebnisse abfragen.
  • Projekt-ID: Mit diesen Filtern können Sie die Ergebnisse nach Ergebnissen für ein bestimmtes Projekt abfragen.
  • Ressourcentyp: Mit diesen Filtern können Sie die Ergebnisse nach Ergebnissen für einen bestimmten Ressourcentyp abfragen.
  • Schweregrad: Mit diesen Filtern können Sie die Ergebnisse nach Ergebnissen mit einem bestimmten Schweregrad abfragen.
  • Anzeigename der Quelle: Mit diesen Filtern können Sie die Ergebnisse nach Ergebnissen abfragen, die von einem bestimmten Dienst erkannt wurden, der die Fehlkonfiguration erkannt hat.
  • Cloud-Anbieter: Filter, mit denen die Ergebnisse nach Ergebnissen aus einer bestimmten Cloud-Plattform abgefragt werden.

Der Bereich Ergebnisse der Ergebnisabfrage besteht aus mehreren Spalten mit Details zum Ergebnis. Für CIEM sind insbesondere die folgenden Spalten von Interesse:

  • Schweregrad: Der Schweregrad eines bestimmten Ergebnisses, damit Sie die Behebung priorisieren können.
  • Anzeigename der Ressource: Die Ressource, in der der Fehler gefunden wurde.
  • Anzeigename der Quelle: Der Dienst, über den der Fehler erkannt wurde. Quellen, die identitätsbezogene Ergebnisse liefern, sind CIEM, IAM-Empfehlungen und Security Health Analytics.
  • Cloud-Anbieter: Die Cloud-Umgebung, in der der Fehler erkannt wurde, z. B. Google Cloud und AWS.
  • Unzulässige Zugriffsberechtigungen: Hier sehen Sie einen Link, über den Sie die Hauptkonten aufrufen können, denen möglicherweise unangemessene Rollen gewährt wurden.
  • Fall-ID: Die ID des Falls, der mit dem Ergebnis verknüpft ist.

Weitere Informationen zum Arbeiten mit Ergebnissen finden Sie unter Ergebnisse überprüfen und verwalten.

Ergebnisse zu Identität und Zugriff für verschiedene Cloud-Plattformen untersuchen

Im Security Command Center können Sie auf der Seite Ergebnisse Ergebnisse zu falsch konfigurierten Identitäten und Zugriffen für Ihre AWS- und Google Cloud-Umgebungen untersuchen.

Viele verschiedene Security Command Center-Erkennungsdienste wie CIEM, IAM Recommender und Security Health Analytics generieren CIEM-spezifische Ergebniskategorien, mit denen potenzielle Probleme mit der Identitäts- und Zugriffssicherheit für Ihre Cloud-Plattformen erkannt werden.

Der CIEM-Erkennungsdienst von Security Command Center generiert spezifische Ergebnisse für Ihre AWS-Umgebung. Der IAM-Erkennungsdienst und die Erkennungsdienste von Security Health Analytics generieren spezifische Ergebnisse für Ihre Google Cloud-Umgebung.

Wenn Sie nur Ergebnisse sehen möchten, die von einem bestimmten Dienst erkannt wurden, wählen Sie diesen Dienst aus der Kategorie Anzeigename der Quelle aus. Wenn Sie beispielsweise nur Ergebnisse sehen möchten, die vom CIEM-Erkennungsdienst erkannt wurden, wählen Sie CIEM aus.

In der folgenden Tabelle werden alle Ergebnisse beschrieben, die zu den CIEM-Funktionen von Security Command Center gehören.

Cloud Platform Ergebniskategorie Beschreibung Quelle
AWS Assumed identity has excessive permissions (ASSUMED_IDENTITY_HAS_EXCESSIVE_PERMISSIONS) In Ihrer AWS-Umgebung wurden IAM-Rollen mit sehr permissiven Richtlinien erkannt. Weitere Informationen finden Sie unter CIEM-Ergebnisse. CIEM
AWS Group has excessive permissions (GROUP_HAS_EXCESSIVE_PERMISSIONS) IAM-Gruppen, die in Ihrer AWS-Umgebung mit sehr permissiven Richtlinien erkannt wurden. Weitere Informationen finden Sie unter CIEM-Ergebnisse. CIEM
AWS User has excessive permissions (USER_HAS_EXCESSIVE_PERMISSIONS) In Ihrer AWS-Umgebung wurden IAM-Nutzer mit sehr permissiven Richtlinien erkannt. Weitere Informationen finden Sie unter CIEM-Ergebnisse. CIEM
AWS User is inactive (INACTIVE_USER) In Ihrer AWS-Umgebung wurden inaktive IAM-Nutzer erkannt. Weitere Informationen finden Sie unter CIEM-Ergebnisse. CIEM
AWS Group is inactive (INACTIVE_GROUP) In Ihrer AWS-Umgebung erkannte IAM-Gruppen sind nicht aktiv. Weitere Informationen finden Sie unter CIEM-Ergebnisse. CIEM
AWS Assumed identity is inactive (INACTIVE_ASSUMED_IDENTITY) In Ihrer AWS-Umgebung erkannte vordefinierte IAM-Rollen sind inaktiv. Weitere Informationen finden Sie unter CIEM-Ergebnisse. CIEM
AWS Overly permissive trust policy enforced on assumed identity (OVERLY_PERMISSIVE_TRUST_POLICY_ENFORCED_ON_ASSUMED_IDENTITY) Die Vertrauensrichtlinie, die für eine übernommene IAM-Rolle erzwungen wird, ist sehr großzügig. Weitere Informationen finden Sie unter CIEM-Ergebnisse. CIEM
AWS Assumed identity has lateral movement risk (ASSUMED_IDENTITY_HAS_LATERAL_MOVEMENT_RISK) Eine oder mehrere Identitäten können sich durch Rollendiebstahl lateral in Ihrer AWS-Umgebung bewegen. Weitere Informationen finden Sie unter CIEM-Ergebnisse. CIEM
Google Cloud MFA not enforced (MFA_NOT_ENFORCED) Es gibt Nutzer, die die Bestätigung in zwei Schritten nicht verwenden. Weitere Informationen finden Sie unter Ergebnisse zur Multi-Faktor-Authentifizierung. Security Health Analytics
Google Cloud Custom role not monitored (CUSTOM_ROLE_NOT_MONITORED) Logmesswerte und Benachrichtigungen sind nicht für das Monitoring von Änderungen an benutzerdefinierten Rollen konfiguriert. Weitere Informationen finden Sie unter Ergebnisse zur Überwachung von Sicherheitslücken. Security Health Analytics
Google Cloud KMS role separation (KMS_ROLE_SEPARATION) Die Aufgabentrennung wird nicht erzwungen und ein Nutzer ist vorhanden, der eine der folgenden Cloud Key Management Service-Rollen hat: CryptoKey-Verschlüsseler/Entschlüsseler, Verschlüsseler oder Entschlüsseler. Weitere Informationen finden Sie unter Ergebnisse zu Sicherheitslücken in IAM-Richtlinien. Security Health Analytics
Google Cloud Primitive roles used (PRIMITIVE_ROLES_USED) Ein Nutzer hat eine der folgenden einfachen Rollen: Inhaber (roles/owner), Bearbeiter (roles/editor) oder Betrachter (roles/viewer). Weitere Informationen finden Sie unter Ergebnisse der IAM-Sicherheitslückenprüfung. Security Health Analytics
Google Cloud Redis role used on org (REDIS_ROLE_USED_ON_ORG) Eine Redis-IAM-Rolle wird auf Organisations- oder Ordnerebene zugewiesen. Weitere Informationen finden Sie unter Ergebnisse zu Sicherheitslücken in IAM-Richtlinien. Security Health Analytics
Google Cloud Service account role separation (SERVICE_ACCOUNT_ROLE_SEPARATION) Einem Nutzer wurden die Rollen Dienstkontoadministrator und Dienstkontonutzer zugewiesen. Dies verstößt gegen das Prinzip der „Aufgabentrennung“. Weitere Informationen finden Sie unter Ergebnisse zu Sicherheitslücken in IAM-Richtlinien. Security Health Analytics
Google Cloud Non org IAM member (NON_ORG_IAM_MEMBER) Ein Nutzer verwendet keine organisationsgebundenen Anmeldedaten. Gemäß CIS Google Cloud Foundations 1.0 lösen nur Identitäten mit @gmail.com-E-Mail-Adressen diesen Detektor aus. Weitere Informationen finden Sie unter Ergebnisse zu Sicherheitslücken in IAM-Richtlinien. Security Health Analytics
Google Cloud Open group IAM member (OPEN_GROUP_IAM_MEMBER) Ein Google Groups-Konto, das ohne Genehmigung verknüpft werden kann, wird als Hauptkonto auf einer IAM-Zulassungsrichtlinie verwendet. Weitere Informationen finden Sie unter Ergebnisse zu Sicherheitslücken in IAM-Richtlinien. Security Health Analytics
Google Cloud Unused IAM role (UNUSED_IAM_ROLE) Der IAM-Recommender hat ein Nutzerkonto mit einer IAM-Rolle erkannt, die in den letzten 90 Tagen nicht verwendet wurde. Weitere Informationen finden Sie unter Ergebnisse des IAM-Recommenders. IAM Recommender
Google Cloud IAM role has excessive permissions (IAM_ROLE_HAS_EXCESSIVE_PERMISSIONS) Der IAM-Empfehlungsmechanismus hat ein Dienstkonto mit einer oder mehreren IAM-Rollen erkannt, die dem Nutzerkonto zu viele Berechtigungen gewähren. Weitere Informationen finden Sie unter Ergebnisse des IAM-Recommenders. IAM Recommender
Google Cloud Service agent role replaced with basic role (SERVICE_AGENT_ROLE_REPLACED_WITH_BASIC_ROLE) Der IAM-Recommender hat festgestellt, dass die ursprüngliche IAM-Standardrolle, die einem Kundenservicemitarbeiter gewährt wurde, durch eine der einfachen IAM-Rollen ersetzt wurde: Inhaber, Bearbeiter oder Betrachter. Einfache Rollen sind zu weit gefasste ältere Rollen und sollten Dienst-Agents nicht gewährt werden. Weitere Informationen finden Sie unter Ergebnisse des IAM-Recommenders. IAM Recommender
Google Cloud Service agent granted basic role (SERVICE_AGENT_GRANTED_BASIC_ROLE) Der IAM-Recommender hat festgestellt, dass einem Kundenservicemitarbeiter eine der einfachen IAM-Rollen Owner, Editor oder Viewer gewährt wurde. Einfache Rollen sind zu weit gefasste ältere Rollen und sollten Dienst-Agents nicht gewährt werden. Weitere Informationen finden Sie unter Ergebnisse des IAM-Recommenders. IAM Recommender
Google Cloud Admin service account (ADMIN_SERVICE_ACCOUNT) Ein Dienstkonto hat die Berechtigung Administrator, Inhaber oder Bearbeiter. Diese Rollen sollten nicht von Nutzern erstellten Dienstkonten zugewiesen werden. Weitere Informationen finden Sie unter Ergebnisse zu Sicherheitslücken in IAM-Richtlinien. Security Health Analytics
Google Cloud Default service account used (DEFAULT_SERVICE_ACCOUNT_USED) Eine Instanz ist für die Verwendung des Standarddienstkontos konfiguriert. Weitere Informationen finden Sie unter Ergebnisse zu Sicherheitslücken bei Compute-Instanzen. Security Health Analytics
Google Cloud Over privileged account (OVER_PRIVILEGED_ACCOUNT) Ein Dienstkonto hat in einem Cluster übermäßigen Projektzugriff. Weitere Informationen finden Sie unter Ergebnisse zu Sicherheitslücken in Containern. Security Health Analytics
Google Cloud Over privileged service account user (OVER_PRIVILEGED_SERVICE_ACCOUNT_USER) Ein Nutzer hat die Rolle Dienstkontonutzer oder Ersteller von Dienstkonto-Tokens auf Projektebene, statt für ein bestimmtes Dienstkonto. Weitere Informationen finden Sie unter Ergebnisse zu Sicherheitslücken in IAM-Richtlinien. Security Health Analytics
Google Cloud Service account key not rotated (SERVICE_ACCOUNT_KEY_NOT_ROTATED) Ein Dienstkontoschlüssel wurde seit mehr als 90 Tagen nicht rotiert. Weitere Informationen finden Sie unter Ergebnisse zu Sicherheitslücken in IAM. Security Health Analytics
Google Cloud Over privileged scopes (OVER_PRIVILEGED_SCOPES) Ein Knotendienstkonto hat übermäßige Zugriffsbereiche. Weitere Informationen finden Sie unter Ergebnisse zu Sicherheitslücken in Containern. Security Health Analytics
Google Cloud KMS public key (KMS_PUBLIC_KEY) Ein kryptografischer Cloud KMS-Schlüssel ist öffentlich zugänglich. Weitere Informationen finden Sie unter Ergebnisse zu KMS-Sicherheitslücken. Security Health Analytics
Google Cloud Public bucket ACL (PUBLIC_BUCKET_ACL) Ein Cloud Storage-Bucket ist öffentlich zugänglich. Weitere Informationen finden Sie unter Ergebnisse zu Sicherheitslücken im Speicher. Security Health Analytics
Google Cloud Public log bucket (PUBLIC_LOG_BUCKET) Ein als Logsenke verwendeter Storage-Bucket ist öffentlich zugänglich. Weitere Informationen finden Sie unter Ergebnisse zu Sicherheitslücken im Speicher. Security Health Analytics
Google Cloud User managed service account key (USER_MANAGED_SERVICE_ACCOUNT_KEY) Ein Nutzer verwaltet einen Dienstkontoschlüssel. Weitere Informationen finden Sie unter Ergebnisse zu Sicherheitslücken in IAM-Richtlinien. Security Health Analytics
Google Cloud Too many KMS users (TOO_MANY_KMS_USERS) Es gibt mehr als drei Nutzer kryptografischer Schlüssel. Weitere Informationen finden Sie unter Ergebnisse zu KMS-Sicherheitslücken. Security Health Analytics
Google Cloud KMS project has owner (KMS_PROJECT_HAS_OWNER) Ein Nutzer hat Inhaber-Berechtigungen für ein Projekt mit kryptografischen Schlüsseln. Weitere Informationen finden Sie unter Ergebnisse zu KMS-Sicherheitslücken. Security Health Analytics
Google Cloud Owner not monitored (OWNER_NOT_MONITORED) Logmesswerte und Benachrichtigungen sind nicht für das Monitoring von Zuweisungen oder Änderungen an der Projektinhaberschaft konfiguriert. Weitere Informationen finden Sie unter Ergebnisse zu Sicherheitslücken im Blick behalten. Security Health Analytics

Ergebnisse zu Identität und Zugriff nach Cloud-Plattform filtern

Im Bereich Ergebnisse der Suchanfrage nach Problemen können Sie anhand der Inhalte der Spalten Cloud-Anbieter, Anzeigename der Ressource oder Ressourcentyp sehen, welches Ergebnis sich auf eine bestimmte Cloud-Plattform bezieht.

In den Suchergebnissen werden standardmäßig Ergebnisse zu Identitäten und Zugriffen sowohl für Google Cloud- als auch für AWS-Umgebungen angezeigt. Wenn Sie die Standardergebnisse der Suchanfrage bearbeiten möchten, damit nur Ergebnisse für eine bestimmte Cloud-Plattform angezeigt werden, wählen Sie in der Kategorie „Schnellfilter“ unter Cloud-Anbieter die Option Amazon Web Services oder Google Cloud aus.

Ergebnisse zu Identität und Zugriff im Detail prüfen

Wenn Sie mehr über ein Ergebnis zu Identität und Zugriff erfahren möchten, öffnen Sie die Detailansicht des Ergebnisses. Klicken Sie dazu im Bereich Ergebnisse der Ergebnisabfrage in der Spalte Kategorie auf den Namen des Ergebnisses. Weitere Informationen zur Detailansicht von Ergebnissen finden Sie unter Details zu einem Ergebnis ansehen.

Die folgenden Abschnitte auf dem Tab Zusammenfassung der Detailansicht sind hilfreich, um Ergebnisse zu Identität und Zugriff zu untersuchen.

Verstoßende Zugriffserteilungen

Auf dem Tab Zusammenfassung im Detailbereich einer Meldung können Sie in der Zeile Rechteinschränkungen, die gegen die Richtlinie verstoßen schnell die Identitäten, einschließlich föderierter Identitäten, und ihren Zugriff auf Ihre Ressourcen prüfen. Diese Informationen werden nur für Ergebnisse angezeigt, wenn der IAM-Recommender Berechtigungsinhaber auf Google Cloud-Ressourcen mit sehr permissiven, einfachen und nicht verwendeten Rollen erkennt.

Klicken Sie auf Verstoßende Zugriffserteilungen überprüfen, um den Bereich Verstoßende Zugriffserteilungen überprüfen zu öffnen. Er enthält die folgenden Informationen:

  • Der Name des Schulleiters. Die in dieser Spalte angezeigten Hauptkonten können Google Cloud-Nutzerkonten, Gruppen, föderierte Identitäten und Dienstkonten sein.
  • Der Name der Rolle, die dem Hauptkonto gewährt wurde.
  • Die empfohlene Maßnahme, die Sie ergreifen können, um den nicht berechtigten Zugriff zu beheben.

Informationen zum Fall

Auf dem Tab Zusammenfassung der Detailseite eines Ergebnisses wird der Bereich Fallinformationen angezeigt, wenn es einen Fall oder ein Ticket gibt, das einem bestimmten Ergebnis entspricht. Für Ergebnisse mit der Schweregradklassifizierung Critical oder High werden automatisch Anfragen und Tickets erstellt.

Im Abschnitt Informationen zu Fällen können Sie die Maßnahmen zur Behebung eines bestimmten Ergebnisses verfolgen. Sie enthält Details zum entsprechenden Fall, z. B. Links zu allen zugehörigen Fällen und Tickets im Ticketsystem (Jira oder ServiceNow), den zugewiesenen Nutzer, den Fallstatus und die Fallpriorität.

  • Wenn Sie auf den Fall zugreifen möchten, der der Feststellung entspricht, klicken Sie in der Zeile Case ID (Fall-ID) auf die Fall-ID.

  • Wenn Sie auf das Jira- oder ServiceNow-Ticket zugreifen möchten, das dem Ergebnis entspricht, klicken Sie in der Zeile Ticket-ID auf die Ticket-ID.

Informationen zum Verbinden Ihrer Ticketsysteme mit Security Command Center Enterprise finden Sie unter Security Command Center Enterprise in Ticketsystemen einbinden.

Weitere Informationen zum Prüfen entsprechender Fälle finden Sie unter Fälle mit Identitäts- und Zugriffsbefunden prüfen.

Nächste Schritte

Auf dem Tab Zusammenfassung der Detailseite eines Ergebnisses finden Sie im Abschnitt Nächste Schritte eine detaillierte Anleitung, wie Sie das erkannte Problem sofort beheben können. Diese Empfehlungen sind auf die jeweilige Erkenntnis zugeschnitten, die Sie sich ansehen.

Nächste Schritte