Información general sobre los errores de Security Command Center

Niveles de servicio Standard, Premium y Enterprise

Los detectores de errores generan resultados que señalan problemas en la configuración de tu entorno de Security Command Center. Estos problemas de configuración impiden que los servicios de detección (también conocidos como proveedores de resultados) generen resultados. Los hallazgos de error los genera la fuente de seguridad Security Command Center y tienen la clase de hallazgo SCC errors.

Esta selección de detectores de errores aborda las configuraciones incorrectas habituales de Security Command Center y no es una lista exhaustiva. La ausencia de resultados de errores no garantiza que Security Command Center y sus servicios estén configurados correctamente y funcionen como deberían. Si sospechas que tienes problemas de configuración que no se cubren con estos detectores de errores, consulta Solución de problemas y Mensajes de error.

Niveles de gravedad

Un error puede tener uno de los siguientes niveles de gravedad:

Crítica

Indica que el error está provocando uno o varios de los siguientes problemas:

• El error impide que veas todos los resultados de un servicio.
• El error impide que Security Command Center genere nuevas detecciones de cualquier gravedad.
• El error impide que las simulaciones de rutas de ataque generen puntuaciones de exposición a ataques y rutas de ataque.

Alta

Indica que el error está provocando uno o varios de los siguientes problemas:

• No puedes ver ni exportar algunas de las detecciones de un servicio.
• En el caso de las simulaciones de rutas de ataque, las puntuaciones de exposición a ataques y las rutas de ataque pueden estar incompletas o ser inexactas.

Comportamiento de silencio

Los hallazgos que pertenecen a la clase SCC errors informan de problemas que impiden que Security Command Center funcione correctamente. Por este motivo, no se pueden silenciar los resultados de errores.

Detectores de errores

En la siguiente tabla se describen los detectores de errores y los recursos que admiten. Puedes filtrar los resultados por nombre de categoría o clase en la página Resultados de Security Command Center en la Google Cloud consola.

Para corregir estos resultados, consulta Corregir errores de Security Command Center.

Nota: Los roles de gestión de identidades y accesos de Security Command Center se pueden asignar a nivel de organización, carpeta o proyecto. La posibilidad de ver, editar, crear o actualizar hallazgos, recursos y fuentes de seguridad depende del nivel de acceso que se te haya concedido. Para obtener más información sobre los roles de Security Command Center, consulta Control de acceso.

Las siguientes categorías de resultados representan errores que pueden deberse a acciones involuntarias.

Acciones involuntarias

Nombre de la categoría	Nombre de la API	Resumen	Gravedad
API disabled	API_DISABLED	Descripción del problema: Una API obligatoria está inhabilitada en el proyecto. El servicio inhabilitado no puede enviar resultados a Security Command Center. Nivel de precios: Premium o Estándar Recursos admitidos cloudresourcemanager.googleapis.com/Project Búsquedas por lotes: cada 60 horas Corregir este resultado	Crítica
Attack path simulation: no resource value configs match any resources	APS_NO_RESOURCE_VALUE_CONFIGS_MATCH_ANY_RESOURCES	Descripción del hallazgo: Se han definido configuraciones de valor de recursos para las simulaciones de rutas de ataque, pero no coinciden con ninguna instancia de recurso de tu entorno. Las simulaciones están usando el conjunto de recursos de alto valor predeterminado. Este error puede deberse a cualquiera de los siguientes motivos: Ninguna de las configuraciones de valor de recurso coincide con ninguna instancia de recurso. Una o varias configuraciones de valores de recursos que especifican que NONE anula cualquier otra configuración válida. Todas las configuraciones de valores de recursos definidos especifican el valor NONE. Nivel de precios: Premium Recursos admitidos cloudresourcemanager.googleapis.com/Organizations Análisis por lotes: antes de cada simulación de ruta de ataque. Corregir este resultado	Crítica
Attack path simulation: resource value assignment limit exceeded	APS_RESOURCE_VALUE_ASSIGNMENT_LIMIT_EXCEEDED	Descripción del hallazgo: En la última simulación de ruta de ataque, el número de instancias de recursos de alto valor, según se ha identificado en las configuraciones de valor de los recursos, ha superado el límite de 1000 instancias de recursos en un conjunto de recursos de alto valor. Por lo tanto, Security Command Center ha excluido del conjunto de recursos de alto valor el número de instancias que excedía el límite. El número total de instancias coincidentes y el número total de instancias excluidas del conjunto se identifican en el resultado SCC Error de la consola Google Cloud . Las puntuaciones de exposición a ataques de los hallazgos que afectan a las instancias de recursos excluidas no reflejan la designación de alto valor de las instancias de recursos. Nivel de precios: Premium Recursos admitidos cloudresourcemanager.googleapis.com/Organizations Análisis por lotes: antes de cada simulación de ruta de ataque. Corregir este resultado	Alta
Container Threat Detection Image Pull Failure	KTD_IMAGE_PULL_FAILURE	Descripción del problema: No se puede habilitar Detección de amenazas de contenedores en el clúster porque no se puede extraer (descargar) una imagen de contenedor obligatoria de gcr.io, el host de imágenes de Container Registry. La imagen es necesaria para desplegar el DaemonSet de Container Threat Detection que requiere Container Threat Detection. Se ha producido el siguiente error al intentar implementar el DaemonSet de Container Threat Detection: Failed to pull image "badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00": rpc error: code = NotFound desc = failed to pull and unpack image "badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00": failed to resolve reference "badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00": badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00: not found Nivel de precios: Premium Recursos admitidos container.googleapis.com/Cluster Análisis por lotes: cada 30 minutos Corregir este resultado	Crítica
Container Threat Detection Blocked By Admission Controller	KTD_BLOCKED_BY_ADMISSION_CONTROLLER	Descripción de la detección: no se puede habilitar Container Threat Detection en un clúster de Kubernetes. Un controlador de admisión de terceros impide la implementación de un objeto DaemonSet de Kubernetes que requiere Container Threat Detection. Cuando se ven en la consola Google Cloud , los detalles de la detección incluyen el mensaje de error que ha devuelto Google Kubernetes Engine cuando Container Threat Detection ha intentado desplegar un objeto DaemonSet de Container Threat Detection. Nivel de precios: Premium Recursos admitidos container.googleapis.com/Cluster Análisis por lotes: cada 30 minutos Corregir este resultado	Alta
Container Threat Detection service account missing permissions	KTD_SERVICE_ACCOUNT_MISSING_PERMISSIONS	Descripción del problema: A una cuenta de servicio le faltan permisos que requiere Container Threat Detection. Es posible que Container Threat Detection deje de funcionar correctamente porque la instrumentación de detección no se puede habilitar, actualizar ni inhabilitar. Nivel de precios: Premium Recursos admitidos cloudresourcemanager.googleapis.com/Project Análisis por lotes: cada 30 minutos Corregir este resultado	Crítica
GKE service account missing permissions	GKE_SERVICE_ACCOUNT_MISSING_PERMISSIONS	Descripción de la detección: Container Threat Detection no puede generar detecciones para un clúster de Google Kubernetes Engine porque la cuenta de servicio predeterminada de GKE del clúster no tiene permisos. De este modo, se evita que Container Threat Detection se habilite correctamente en el clúster. Nivel de precios: Premium Recursos admitidos container.googleapis.com/Cluster Análisis por lotes: todas las semanas Corregir este resultado	Alta
Misconfigured Cloud Logging Export	MISCONFIGURED_CLOUD_LOGGING_EXPORT	Descripción del resultado: El proyecto configurado para la exportación continua a Cloud Logging no está disponible. Security Command Center no puede enviar resultados a Logging. Nivel de precios: Premium Recursos admitidos cloudresourcemanager.googleapis.com/Organization Análisis por lotes: cada 30 minutos Corregir este resultado	Alta
VPC Service Controls Restriction	VPC_SC_RESTRICTION	Descripción del resultado: Security Health Analytics no puede generar determinados resultados de un proyecto. El proyecto está protegido por un perímetro de servicio y la cuenta de servicio de Security Command Center no tiene acceso al perímetro. Nivel de precios: Premium o Estándar Recursos admitidos cloudresourcemanager.googleapis.com/Project Búsquedas por lotes: cada 6 horas Corregir este resultado	Alta
Security Command Center service account missing permissions	SCC_SERVICE_ACCOUNT_MISSING_PERMISSIONS	Descripción del problema: La cuenta de servicio de Security Command Center no tiene los permisos necesarios para funcionar correctamente. No se producen hallazgos. Nivel de precios: Premium o Estándar Recursos admitidos cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Project Análisis por lotes: cada 30 minutos Corregir este resultado	Crítica

Siguientes pasos

• Consulta cómo corregir errores de Security Command Center.
• Consulta la sección Solución de problemas.
• Consulta la sección Mensajes de error.