Los detectores de Security Health Analytics y Web Security Scanner generan hallazgos de vulnerabilidades que están disponibles en Security Command Center. Cuando se habilitan en Security Command Center, servicios integrados, como VM Manager, también generan de los resultados de búsqueda.
Tu capacidad para ver y editar resultados está determinada por el Roles y permisos de Identity and Access Management (IAM) que se te asignan. Para ver más sobre los roles de IAM en Security Command Center, consulta Control de acceso.
Detectores y cumplimiento
Security Command Center el cumplimiento con detectores asignados a los controles de una amplia varios estándares de seguridad.
Para cada estándar de seguridad admitido, Security Command Center verifica un subconjunto de los controles. En el caso de los controles marcados, Security Command Center te muestra cuántos están aprobados. Para el que no se aprueban, Security Command Center te muestra una lista de los hallazgos y describir las fallas de control.
CIS revisa y certifica las asignaciones de Security Command Center detectores a cada nodo compatible de la comparativa de CIS para Google Cloud Foundations. Cumplimiento adicional las asignaciones se incluyen solo como referencia.
Security Command Center agrega compatibilidad periódicamente con nuevos estándares y versiones de comparativas. Más antigua siguen siendo compatibles, pero con el tiempo quedan obsoletos. Te recomendamos que uses las comparativas o los estándares más recientes disponibles.
Con la servicio de postura de seguridad puedes asignar las políticas de la organización y los detectores de Security Health Analytics a los estándares y controles que se aplican a tu empresa. Luego de crear una postura de seguridad, puedes supervisar sobre cualquier cambio en el entorno que pueda afectar el cumplimiento de la empresa.
Para obtener más información sobre la administración del cumplimiento, consulta Evalúe el cumplimiento de las normas de seguridad y genere informes al respecto con los estándares necesarios.
Estándares de seguridad compatibles con Google Cloud
Security Command Center asigna detectores de Google Cloud a uno o más de los siguientes tipos de cumplimiento estándares:
- Centro para la Seguridad de la Información (CIS) Controles 8.0
- CIS para Google Cloud Comparativa de las bases de computación v2.0.0, v1.3.0, v1.2.0, v1.1.0 y v1.0.0
- Comparativa de CIS para Kubernetes v1.5.1
- Controles de Cloud Matriz (CCM) 4
- Seguro médico Ley de Responsabilidad y Portabilidad (HIPAA)
- Organización Internacional de Normalización (ISO) 27001, 2022 y 2013
- Nacional Instituto de Estándares y Tecnología (NIST) 800-53 R5 y R4
- NIST CSF 1.0
- Proyecto abierto de seguridad para aplicaciones web (OWASP) Top 10, 2021 y 2017
- Datos de la industria de tarjetas de pago Estándar de Seguridad (PCI DSS) 4.0 y 3.2.1
- Controles de sistema y organización (SOC) 2 2017 Criterios de servicios de confianza (TSC)
Estándares de seguridad compatibles con AWS
Security Command Center asigna detectores de Amazon Web Services (AWS) a una o más de las siguientes instancias de cumplimiento estándares:
- CIS para Amazon Web Services Foundations 2.0.0
- CIS Controls 8.0
- CCM 4
- HIPAA
- ISO 27001‐2022
- NIST 800-53 R5
- NIST CSF 1.0
- PCI DSS 4.0 y 3.2.1
- SOC 2 2017 TSC
Para obtener instrucciones sobre cómo visualizar y exportar informes de cumplimiento, consulta el Cumplimiento en Usar Security Command Center en la consola de Google Cloud.
Cómo encontrar la desactivación después de la corrección
Luego de remediar un hallazgo de vulnerabilidad o configuración incorrecta,
El servicio de Security Command Center que detectó el hallazgo establece automáticamente la
el estado del hallazgo a INACTIVE la próxima vez que el servicio de detección busque
el hallazgo. Cuánto tiempo tarda Security Command Center en establecer un hallazgo corregido en
INACTIVE depende de la programación del análisis que detecta el hallazgo.
Los servicios de Security Command Center también establecen el estado de una vulnerabilidad o
resultado de la configuración incorrecta a INACTIVE cuando un análisis detecta que el recurso
que se vea afectado por el hallazgo.
Para obtener más información sobre los intervalos de análisis, consulta los siguientes temas:
Resultados de las estadísticas de estado de seguridad
Los detectores de estadísticas del estado de la seguridad supervisan un subconjunto de recursos de Cloud Asset Inventory (CAI) y reciben notificaciones de los cambios en las políticas de la administración de identidades y accesos (IAM). Algunos detectores recuperan datos mediante una llamada directa a las API de Google Cloud, como se indica en las tablas que aparecen más adelante en esta página.
Para obtener más información sobre Security Health Analytics, programas de análisis y el Compatibilidad de Security Health Analytics con detectores de módulos integrados y personalizados. consulta Descripción general de Security Health Analytics.
En las siguientes tablas, se describen los detectores de estadísticas del estado de la seguridad, los elementos y los estándares de cumplimiento que admiten, la configuración que usan para los análisis y los tipos de hallazgos que generan. Puedes filtrar los resultados por varios atributos en la página Vulnerabilidades de Security Command Center en la consola de Google Cloud.
Si necesitas instrucciones para solucionar problemas y proteger tus recursos, consulta Soluciona los resultados de Security Health Analytics.
Resultados de las vulnerabilidades de la clave de API
El detector API_KEY_SCANNER identifica vulnerabilidades relacionadas con las claves de API que se usan en tu implementación en la nube.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
API key APIs unrestricted
Nombre de categoría en la API: |
Hallazgos de la descripción: Hay claves de API que se usan demasiado. Para resolver esto, limita el uso de la clave de API a fin de permitir solo las API que necesita la aplicación. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Recupera la propiedad
|
API key apps unrestricted
Nombre de categoría en la API: |
Descripción del resultado: Hay claves de API que se usan sin restricciones y que permiten cualquier app que no sea de confianza. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Recupera la propiedad
|
API key exists
Nombre de categoría en la API: |
Descripción del resultado: Un proyecto usa claves de API en lugar de la autenticación estándar. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Recupera todas las claves de API que son propiedad de un proyecto.
|
API key not rotated
Nombre de categoría en la API: |
Descripción del resultado: La clave de API no se rotó durante más de 90 días. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Recupera la marca de tiempo incluida en la propiedad
|
Hallazgos de vulnerabilidades de Cloud Asset Inventory
Todas las vulnerabilidades de este tipo de detector se relacionan con Cloud Asset Inventory
y pertenezcan al tipo CLOUD_ASSET_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Cloud Asset API disabled
Nombre de categoría en la API: |
Descripción del hallazgo: La captura de recursos de Google Cloud y de IAM de Cloud Asset Inventory permiten realizar análisis de seguridad, el seguimiento de cambios en los recursos y la auditoría de cumplimiento. Recomendamos habilitar el servicio de Cloud Asset Inventory para todos los proyectos. Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica si el servicio de Cloud Asset Inventory está habilitado.
|
Resultados de las vulnerabilidades de imágenes de Compute
El detector COMPUTE_IMAGE_SCANNER identifica vulnerabilidades relacionadas con las configuraciones de imágenes de Google Cloud.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Public Compute image
Nombre de categoría en la API: |
Descripción del resultado: Una imagen de Compute Engine es de acceso público. Nivel de precios: Premium o Estándar
Recursos admitidos Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento. |
Verifica la política de permisos de IAM en metadatos de recursos para las principales
|
Resultados de las vulnerabilidades de las instancias de Compute
El detector COMPUTE_INSTANCE_SCANNER identifica vulnerabilidades relacionadas con las configuraciones de instancias de Compute Engine.
Los detectores COMPUTE_INSTANCE_SCANNER no informan los resultados en las instancias de Compute Engine que crea GKE. Estas instancias tienen nombres que comienzan con “gke-”, que los usuarios no pueden editar. Para proteger estas instancias, consulta la sección de resultados de vulnerabilidades de contenedores.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Confidential Computing disabled
Nombre de categoría en la API: |
Descripción de resultados: Confidential Computing está inhabilitado en una instancia de Compute Engine. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica el
Propiedad
|
Compute project wide SSH keys allowed
Nombre de categoría en la API: |
Descripción del resultado: Se usan claves SSH de todo el proyecto, lo que permite el acceso a todas las instancias del proyecto. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba el objeto
|
Compute Secure Boot disabled
Nombre de categoría en la API: |
Descripción del resultado: Esta VM protegida no tiene habilitado Inicio seguro. El uso de Inicio seguro ayuda a proteger las instancias de máquinas virtuales de las amenazas avanzadas, como rootkits y bootkits. Nivel de precios: Premium Recursos admitidos Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento. |
Verifica la propiedad
|
Compute serial ports enabled
Nombre de categoría en la API: |
Descripción del resultado: Los puertos en serie están habilitados para una instancia, lo que permite conexiones a la consola en serie de la instancia. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba el objeto
|
Default service account used
Nombre de categoría en la API: |
Descripción del resultado: Una instancia está configurada para usar la cuenta de servicio predeterminada. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la propiedad
|
Disk CMEK disabled
Nombre de categoría en la API: |
Descripción del resultado: Los discos de esta VM no se encriptan con claves de encriptación administradas por el cliente (CMEK). Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento. |
Comprueba el campo
|
Disk CSEK disabled
Nombre de categoría en la API: |
Descripción del resultado: Los discos de esta VM no se encriptan con claves de encriptación proporcionadas por el cliente (CSEK). Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Detector de casos especiales. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica el campo
|
Full API access
Nombre de categoría en la API: |
Descripción del resultado: Una instancia está configurada para usar la cuenta de servicio predeterminada con acceso completo a todas las API de Google Cloud. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Recupera el campo
|
HTTP load balancer
Nombre de categoría en la API: |
Descripción del resultado: Una instancia usa un balanceador de cargas configurado para usar un proxy HTTP de destino en lugar de un proxy HTTPS de destino. Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Determina si la propiedad
|
Instance OS Login disabled
Nombre de categoría en la API: |
Descripción del resultado: El Acceso al SO está inhabilitado en esta instancia. Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal. Nivel de precios: Premium
Recursos admitidos
Estándares de cumplimiento:
|
Comprueba si la propiedad
|
IP forwarding enabled
Nombre de categoría en la API: |
Descripción del resultado: El reenvío de IP está habilitado en las instancias. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
OS login disabled
Nombre de categoría en la API: |
Descripción del resultado: El Acceso al SO está inhabilitado en esta instancia. Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba el objeto
|
Public IP address
Nombre de categoría en la API: |
Descripción del resultado: Una instancia tiene una dirección IP pública. Nivel de precios: Premium o Estándar
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Shielded VM disabled
Nombre de categoría en la API: |
Descripción del resultado: La VM protegida está inhabilitada en esta instancia. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Se verifica la propiedad
|
Weak SSL policy
Nombre de categoría en la API: |
Descripción del resultado: Una instancia tiene una política de SSL débil. Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si
|
Resultados de las vulnerabilidades de contenedores
Estos tipos de resultados se relacionan con los parámetros de configuración del contenedor de GKE y pertenecen al tipo de detector CONTAINER_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Alpha cluster enabled
Nombre de categoría en la API: |
Descripción de los resultados: Las funciones del clúster Alfa están habilitadas para un clúster de GKE. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Auto repair disabled
Nombre de categoría en la API: |
Descripción del resultado: La función de reparación automática de un clúster de GKE, que mantiene los nodos en buen estado, está inhabilitada. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la propiedad
|
Auto upgrade disabled
Nombre de categoría en la API: |
Descripción del resultado: La función de actualización automática de un clúster de GKE, que conserva los clústeres y grupos de nodos en la versión estable más reciente de Kubernetes, está inhabilitada. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la propiedad
|
Binary authorization disabled
Nombre de categoría en la API: |
Descripción del hallazgo: La autorización binaria está inhabilitada en el clúster de GKE La política de Autorización Binaria está configurada para permitir la implementación de todas las imágenes. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento. |
Verifica lo siguiente:
|
Cluster logging disabled
Nombre de categoría en la API: |
Descripción del resultado: Logging no está habilitado para un clúster de GKE. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Cluster monitoring disabled
Nombre de categoría en la API: |
Descripción del resultado: Monitoring está inhabilitado en los clústeres de GKE. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Cluster private Google access disabled
Nombre de categoría en la API: |
Descripción de los hallazgos: Los hosts de clústeres no están configurados con el fin de usar solo direcciones IP internas privadas para acceder a las API de Google. Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Cluster secrets encryption disabled
Nombre de categoría en la API: |
Descripción del resultado: La encriptación de los Secrets de la capa de la aplicación está inhabilitada en un clúster de GKE. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
Cluster shielded nodes disabled
Nombre de categoría en la API: |
Descripción de los resultados: Los nodos de GKE protegidos no están habilitados para un clúster. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
COS not used
Nombre de categoría en la API: |
Resultado de la descripción: Las VM de Compute Engine no usan Container Optimized OS diseñado para ejecutar contenedores de Docker en Google Cloud de forma segura. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la propiedad
|
Integrity monitoring disabled
Nombre de categoría en la API: |
Descripción de los resultados: La supervisión de integridad está inhabilitada para un clúster de GKE. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
Intranode visibility disabled
Nombre de categoría en la API: |
Descripción de los resultados: La visibilidad dentro de los nodos está inhabilitada para un clúster de GKE. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
IP alias disabled
Nombre de categoría en la API: |
Descripción del resultado: Se creó un clúster de GKE con los rangos de alias de IP inhabilitados. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si el campo
|
Legacy authorization enabled
Nombre de categoría en la API: |
Descripción del resultado: La autorización heredada está habilitada en los clústeres de GKE. Nivel de precios: Premium o Estándar
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la propiedad
|
Legacy metadata enabled
Nombre de categoría en la API: |
Descripción del resultado: Los metadatos heredados están habilitados en los clústeres de GKE. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la propiedad
|
Master authorized networks disabled
Nombre de categoría en la API: |
Descripción del resultado: Las redes autorizadas del plano de control no están habilitadas en los clústeres de GKE. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la propiedad
|
Network policy disabled
Nombre de categoría en la API: |
Descripción del resultado: La política de red está inhabilitada en los clústeres de GKE. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba el campo
|
Nodepool boot CMEK disabled
Nombre de categoría en la API: |
Descripción del resultado: Los discos de arranque de este grupo de nodos no están encriptados con claves de encriptación administradas por el cliente (CMEK). Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento. |
Comprueba la propiedad
|
Nodepool secure boot disabled
Nombre de categoría en la API: |
Descripción del resultado: El inicio seguro está inhabilitado para un clúster de GKE. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
Over privileged account
Nombre de categoría en la API: |
Descripción del resultado: Una cuenta de servicio tiene acceso a proyectos demasiado amplio en un clúster. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Evalúa la propiedad
|
Over privileged scopes
Nombre de categoría en la API: |
Descripción del resultado: Una cuenta de servicio de nodo tiene permisos de acceso amplios. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si el permiso de acceso que aparece en la propiedad config.oauthScopes de un grupo de nodos es un permiso limitado de acceso a la cuenta de servicio: https://www.googleapis.com/auth/devstorage.read_only, https://www.googleapis.com/auth/logging.write. o https://www.googleapis.com/auth/monitoring.
|
Pod security policy disabled
Nombre de categoría en la API: |
Descripción del resultado: PodSecurityPolicy está inhabilitado en un clúster de GKE. Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la propiedad
|
Private cluster disabled
Nombre de categoría en la API: |
Descripción del resultado: Un clúster de GKE tiene un clúster privado inhabilitado. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si el campo
|
Release channel disabled
Nombre de categoría en la API: |
Descripción del resultado: Un clúster de GKE no está suscrito a un canal de versiones. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
Web UI enabled
Nombre de categoría en la API: |
Descripción del resultado: La IU web de GKE (panel) está habilitada. Nivel de precios: Premium o Estándar
Recursos admitidos Estándares de cumplimiento:
|
Comprueba el campo
|
Workload Identity disabled
Nombre de categoría en la API: |
Descripción del resultado: Workload Identity está inhabilitado en un clúster de GKE. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Resultados de las vulnerabilidades de Dataproc
Las vulnerabilidades de este tipo de detector se relacionan con Dataproc y pertenecen al tipo de detector DATAPROC_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Dataproc CMEK disabled
Nombre de categoría en la API: |
Descripción del hallazgo: Se creó un clúster de Dataproc sin una configuración de encriptación CMEK. Con CMEK, las claves que creas y administras en Cloud Key Management Service unen las claves que Google Cloud usa para encriptar tus datos, lo que te da más control sobre el acceso a tus de datos no estructurados. Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si el campo
|
Dataproc image outdated
Nombre de categoría en la API: |
Descripción de los resultados: Se creó un clúster de Dataproc con una versión de imagen de Dataproc que se ve afectada por las vulnerabilidades de seguridad en la utilidad Apache Log4j 2 (CVE-2021-44228). y CVE-2021-45046. Nivel de precios: Premium o Estándar
Recursos admitidos Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento. |
Comprueba si el campo
|
Resultados de las vulnerabilidades de los conjuntos de datos
Las vulnerabilidades de este tipo de detector se relacionan con la configuración de conjuntos de datos de BigQuery y pertenecen al tipo de detector DATASET_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
BigQuery table CMEK disabled
Nombre de categoría en la API: |
Descripción de los resultados: Una tabla de BigQuery no está configurada para usar una clave de encriptación administrada por el cliente (CMEK). Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si el campo
|
Dataset CMEK disabled
Nombre de categoría en la API: |
Descripción de los resultados: Un conjunto de datos de BigQuery no está configurado para usar una CMEK predeterminada. Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si el campo
|
Public dataset
Nombre de categoría en la API: |
Descripción del resultado: Un conjunto de datos está configurado para estar abierto al acceso público. Nivel de precios: Premium o Estándar
Recursos admitidos Estándares de cumplimiento:
|
Verifica la política de permisos de IAM en metadatos de recursos para las principales
|
Resultados de las vulnerabilidades de DNS
Las vulnerabilidades de este tipo de detector se relacionan con las configuraciones de Cloud DNS y pertenecen al tipo de detector DNS_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
DNSSEC disabled
Nombre de categoría en la API: |
Descripción del resultado: DNSSEC está inhabilitada para las zonas de Cloud DNS. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si el campo
|
RSASHA1 for signing
Nombre de categoría en la API: |
Descripción del resultado: RSASHA1 se usa para firmar claves en zonas de Cloud DNS. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si el objeto
|
Resultados de las vulnerabilidades de firewall
Las vulnerabilidades de este tipo de detector se relacionan con la configuración del firewall y pertenecen al tipo de detector FIREWALL_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Egress deny rule not set
Nombre de categoría en la API: |
Descripción de resultados: Una regla de denegación de salida no se establece en un firewall. Las reglas de denegación de salida deben configurarse para bloquear el tráfico saliente no deseado. Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Firewall rule logging disabled
Nombre de categoría en la API: |
Descripción del resultado: El registro de reglas de firewall está inhabilitado. El registro de las reglas de firewall debe estar habilitado para que puedas auditar el acceso a la red. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open Cassandra port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto Cassandra abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open ciscosecure websm port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto abierto CISCOSECURE_WEBSM que permite el acceso genérico. Nivel de precios: Premium o Estándar
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open directory services port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto DIRECTORY_SERVICES abierto que permita el acceso genérico. Nivel de precios: Premium o Estándar
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open DNS port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto DNS abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open elasticsearch port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto ELASTICSEARCH abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open firewall
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para estar abierto al acceso público. Nivel de precios: Premium o Estándar
Recursos admitidos Estándares de cumplimiento:
|
Verifica las propiedades
|
Open FTP port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto FTP abierto que permite el acceso genérico. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open HTTP port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto HTTP abierto que permite el acceso genérico. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open LDAP port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto LDAP abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open Memcached port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto MEMCACHED abierto que permite el acceso genérico. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open MongoDB port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto MONGODB abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open MySQL port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto MYSQL abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open NetBIOS port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto NETBIOS abierto que permite el acceso genérico. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open OracleDB port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto ORACLEDB abierto que permite el acceso genérico. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open pop3 port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto POP3 abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open PostgreSQL port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto PostgreSQL abierto que permite el acceso genérico. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open RDP port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto RDP abierto que permita el acceso genérico. Nivel de precios: Premium o Estándar
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open Redis port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto REDIS abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Open SMTP port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto SMTP abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Open SSH port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto SSH abierto que permite el acceso genérico. Nivel de precios: Premium o Estándar
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Open Telnet port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto TELNET abierto que permita el acceso genérico. Nivel de precios: Premium o Estándar
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Resultados de las vulnerabilidades de IAM
Las vulnerabilidades de este tipo de detector se relacionan con la configuración de la administración de identidades y accesos (IAM) y pertenecen al tipo de detector IAM_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Access Transparency disabled
Nombre de categoría en la API: |
Descripción del hallazgo: La Transparencia de acceso de Google Cloud está inhabilitada en tu organización. Transparencia de acceso cuando los empleados de Google Cloud acceden a los proyectos de tu organización brindan asistencia. Habilita la Transparencia de acceso para registrar quién está en Google Cloud acceder a tu información, cuándo y por qué. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica si tu organización tiene habilitada la Transparencia de acceso.
|
Admin service account
Nombre de categoría en la API: |
Descripción de hallazgos: Una cuenta de servicio tiene privilegios de administrador, propietario o editor. Estas funciones no se deben asignar a las cuentas de servicio creadas por el usuario. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la política de permisos de IAM en el recurso
metadatos para cualquier cuenta de servicio creada por el usuario (indicado
por el prefijo iam.gserviceaccount.com)
que tengan asignados
|
Essential Contacts Not Configured
Nombre de categoría en la API: |
Descripción del hallazgo: Tu organización no designó a una persona o un grupo del cual recibir notificaciones Google Cloud sobre eventos importantes como ataques, incidentes de datos y vulnerabilidades dentro de tu organización de Google Cloud. Te recomendamos que designes como Contacto esencial de una o más personas o grupos de tu organización comercial. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica que se especifique un contacto para las siguientes categorías de contacto esenciales:
|
KMS role separation
Nombre de categoría en la API: |
Descripción del resultado: No se aplica la separación de obligaciones, y existe un usuario que tiene cualquiera de las siguientes funciones de Cloud Key Management Service (Cloud KMS) al mismo tiempo: Encriptador/desencriptador de CryptoKey, Encriptador o Desencriptador. Este hallazgo no está disponible para activaciones a nivel de proyecto. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica las políticas de permisos de IAM en metadatos de recursos y recupera los miembros a los que se les asignó alguna de los siguientes roles al mismo tiempo: roles/cloudkms.cryptoKeyEncrypterDecrypter, roles/cloudkms.cryptoKeyEncrypter y roles/cloudkms.cryptoKeyDecrypter, roles/cloudkms.signer, roles/cloudkms.signerVerifier, roles/cloudkms.publicKeyViewer
|
Non org IAM member
Nombre de categoría en la API: |
Descripción del resultado: Hay un usuario que no usa credenciales de organización. Según CIS para GCP Foundations 1.0, por el momento, solo las identidades con direcciones de correo electrónico @gmail.com activan este detector. Nivel de precios: Premium o Estándar
Recursos admitidos Estándares de cumplimiento:
|
Compara las direcciones de correo electrónico @gmail.com en el campo
|
Open group IAM member
Nombre de categoría en la API: |
Descripción de los resultados: Se usa una cuenta de Grupos de Google que se puede unir sin aprobación como principal de la política de permisos de IAM. Nivel de precios: Premium o Estándar
Recursos admitidos Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento. |
Verifica la política de IAM en los metadatos de recursos en busca de vinculaciones que contengan un miembro (principal) con el prefijo group. Si el grupo es abierto, Security Health Analytics genera este resultado.
|
Over privileged service account user
Nombre de categoría en la API: |
Descripción del resultado: Un usuario tiene la función Usuario de cuenta de servicio o Creador de tokens de cuenta de servicio a nivel de proyecto, en lugar de una cuenta de servicio específica. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la política de permisos de IAM en los metadatos de recursos para cualquier miembro asignado roles/iam.serviceAccountUser o roles/iam.serviceAccountTokenCreator a nivel de proyecto.
|
Primitive roles used
Nombre de categoría en la API: |
Descripción del hallazgo: Un usuario tiene uno de los siguientes roles básicos:
Estas funciones son demasiado permisivas y no deberían usarse. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la política de permisos de IAM en el recurso
metadatos de cualquier principal a la que se le asigne un
|
Redis role used on org
Nombre de categoría en la API: |
Descripción de los hallazgos: Una función de IAM de Redis se asigna a nivel de organización o carpeta. Este hallazgo no está disponible para activaciones a nivel de proyecto. Nivel de precios: Premium
Recursos admitidos
Estándares de cumplimiento:
|
Verifica la política de permisos de IAM en metadatos de recursos para miembros asignados
|
Service account role separation
Nombre de categoría en la API: |
Descripción del resultado: Se asignaron a un usuario las funciones de administrador de cuentas de servicio y usuario de cuentas de servicio. Esto infringe el principio de “Separación de obligaciones”. Este hallazgo no está disponible para activaciones a nivel de proyecto. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la política de permisos de IAM en los metadatos de recursos para cualquier miembro asignado tanto roles/iam.serviceAccountUser como roles/iam.serviceAccountAdmin.
|
Service account key not rotated
Nombre de categoría en la API: |
Descripción de los hallazgos: La clave de una cuenta de servicio no se rotó por más de 90 días. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Evalúa la marca de tiempo de creación de claves capturada en la propiedad
|
User managed service account key
Nombre de categoría en la API: |
Descripción del resultado: Un usuario administra una clave de cuenta de servicio. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Resultados de las vulnerabilidades de KMS
Las vulnerabilidades de este tipo de detector se relacionan con la configuración de Cloud KMS y pertenecen al tipo de detector KMS_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
KMS key not rotated
Nombre de categoría en la API: |
Descripción de los hallazgos: La rotación no se configura en una clave de encriptación de Cloud KMS. La encriptación de claves se debe rotar en un período de 90 días Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica los metadatos de los recursos para la existencia de propiedades
|
KMS project has owner
Nombre de categoría en la API: |
Descripción de los hallazgos: Un usuario tiene permisos de Propietario en un proyecto que tiene claves criptográficas. Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la política de permisos de IAM en los metadatos del proyecto para los miembros asignados
|
KMS public key
Nombre de categoría en la API: |
Descripción de los hallazgos: Una clave criptográfica de Cloud KMS es de acceso público. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la política de permisos de IAM en metadatos de recursos para las principales
|
Too many KMS users
Nombre de categoría en la API: |
Descripción del resultado: Hay más de tres usuarios de claves criptográficas. Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba las políticas de permisos de IAM para llaveros de claves, proyectos y organizaciones, y recupera miembros con roles que les permiten encriptar, desencriptar o firmar datos con claves de Cloud KMS: roles/owner, roles/cloudkms.cryptoKeyEncrypterDecrypter, roles/cloudkms.cryptoKeyEncrypter, roles/cloudkms.cryptoKeyDecrypter, roles/cloudkms.signer y roles/cloudkms.signerVerifier
|
Resultados de las vulnerabilidades de registros
Las vulnerabilidades de este tipo de detector se relacionan con la configuración del registro y pertenecen al tipo de detector LOGGING_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Audit logging disabled
Nombre de categoría en la API: |
Descripción de los hallazgos: Se inhabilitó el registro de auditoría para este recurso. Este hallazgo no está disponible para activaciones a nivel de proyecto. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la política de permisos de IAM en los metadatos de recursos para la existencia de un objeto
|
Bucket logging disabled
Nombre de categoría en la API: |
Descripción del resultado: Hay un bucket de almacenamiento sin el registro habilitado. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si el campo
|
Locked retention policy not set
Nombre de categoría en la API: |
Descripción del resultado: Una política de retención bloqueada no se establece para los registros. Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si el campo
|
Log not exported
Nombre de categoría en la API: |
Descripción de los hallazgos: Hay un recurso que no tiene configurado un receptor de registros adecuado. Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal. Nivel de precios: Premium
Recursos admitidos
Estándares de cumplimiento:
|
Recupera un objeto
|
Object versioning disabled
Nombre de categoría en la API: |
Descripción del resultado: El control de versiones de objetos no está habilitado en un bucket de almacenamiento en el que están configurados los receptores. Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si el campo
|
Resultados de las vulnerabilidades de Monitoring
Las vulnerabilidades de este tipo de detector se relacionan con las configuraciones de supervisión y pertenecen al tipo MONITORING_SCANNER. Todas las propiedades del hallazgo del detector de Monitoring incluyen lo siguiente:
- El
RecommendedLogFilterque se usará para crear las métricas de registro. -
El
QualifiedLogMetricNamesque cubre las condiciones que se enumeran en el filtro de registro recomendado. - El
AlertPolicyFailureReasonsque indica si el proyecto no tiene políticas de alerta creadas para cualquiera de las métricas de registro calificadas o si las políticas de alertas existentes no tienen la configuración recomendada.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Audit config not monitored
Nombre de categoría en la API: |
Descripción del resultado: Las métricas y alertas de registro no están configuradas para supervisar los cambios de la configuración de auditoría. Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad filter del recurso LogsMetric del proyecto se establece en protoPayload.methodName="SetIamPolicy" AND
protoPayload.serviceData.policyDelta.auditConfigDeltas:* y, si se especifica resource.type, el valor es global.
El detector también busca un recurso alertPolicy correspondiente y verifica que las propiedades conditions y notificationChannels estén configuradas correctamente.
|
Bucket IAM not monitored
Nombre de categoría en la API: |
Descripción de los hallazgos: Las métricas y alertas de registros no están configuradas para supervisar los cambios de permiso de IAM de Cloud Storage. Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad filter del recurso LogsMetric del proyecto se configuró como resource.type=gcs_bucket AND
protoPayload.methodName="storage.setIamPermissions".
El detector también busca un recurso alertPolicy correspondiente y verifica que las propiedades conditions y notificationChannels estén configuradas correctamente.
|
Custom role not monitored
Nombre de categoría en la API: |
Descripción de los hallazgos: Las métricas y alertas de registro no están configuradas para supervisar los cambios de funciones personalizadas. Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad filter del recurso LogsMetric del proyecto se configuró como resource.type="iam_role" AND
(protoPayload.methodName="google.iam.admin.v1.CreateRole"
OR
protoPayload.methodName="google.iam.admin.v1.DeleteRole"
OR
protoPayload.methodName="google.iam.admin.v1.UpdateRole").
El detector también busca un recurso alertPolicy correspondiente y verifica que las propiedades conditions y notificationChannels estén configuradas correctamente.
|
Firewall not monitored
Nombre de categoría en la API: |
Descripción de los resultados: Las métricas y alertas de registros no están configuradas para supervisar los cambios de la regla de firewall de la red de nube privada virtual (VPC). Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad filter del recurso LogsMetric del proyecto se configuró como
resource.type="gce_firewall_rule"
AND (protoPayload.methodName:"compute.firewalls.insert"
OR protoPayload.methodName:"compute.firewalls.patch"
OR protoPayload.methodName:"compute.firewalls.delete").
El detector también busca un recurso alertPolicy correspondiente y verifica que las propiedades conditions y notificationChannels estén configuradas correctamente.
|
Network not monitored
Nombre de categoría en la API: |
Descripción de los hallazgos: Las métricas y alertas de registros no están configuradas para supervisar los cambios de la red de VPC Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad filter del recurso LogsMetric del proyecto se configuró como
resource.type="gce_network"
AND (protoPayload.methodName:"compute.networks.insert"
OR protoPayload.methodName:"compute.networks.patch"
OR protoPayload.methodName:"compute.networks.delete"
OR protoPayload.methodName:"compute.networks.removePeering"
OR protoPayload.methodName:"compute.networks.addPeering").
El detector también busca un recurso alertPolicy correspondiente y verifica que las propiedades conditions y notificationChannels estén configuradas correctamente.
|
Owner not monitored
Nombre de categoría en la API: |
Descripción del resultado: Las métricas y alertas de registros no están configuradas para supervisar los cambios o las asignaciones de propiedad del proyecto. Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad filter del recurso LogsMetric del proyecto se establece en (protoPayload.serviceName="cloudresourcemanager.googleapis.com")
AND (ProjectOwnership OR projectOwnerInvitee) OR
(protoPayload.serviceData.policyDelta.bindingDeltas.action="REMOVE"
AND
protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner")
OR
(protoPayload.serviceData.policyDelta.bindingDeltas.action="ADD"
AND
protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner") y, si se especifica resource.type, el valor es global.
El detector también busca un recurso alertPolicy correspondiente y verifica que las propiedades conditions y notificationChannels estén configuradas correctamente.
|
Route not monitored
Nombre de categoría en la API: |
Descripción de los hallazgos: Las métricas y alertas de registros no están configuradas para supervisar los cambios de ruta de la red de VPC Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad filter del recurso LogsMetric del proyecto se configuró como
resource.type="gce_route"
AND (protoPayload.methodName:"compute.routes.delete"
OR protoPayload.methodName:"compute.routes.insert").
El detector también busca un recurso alertPolicy correspondiente y verifica que las propiedades conditions y notificationChannels estén configuradas correctamente.
|
SQL instance not monitored
|
Descripción de los hallazgos: Las métricas y alertas de registros no están configuradas para supervisar los cambios en la configuración de la instancia de Cloud SQL. Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad filter del recurso LogsMetric del proyecto se establece en
protoPayload.methodName="cloudsql.instances.update"
OR protoPayload.methodName="cloudsql.instances.create"
OR protoPayload.methodName="cloudsql.instances.delete" y, si se especifica resource.type, el valor es global.
El detector también busca un recurso alertPolicy correspondiente y verifica que las propiedades conditions y notificationChannels estén configuradas correctamente.
|
Resultados de autenticación de varios factores
El detector MFA_SCANNER identifica vulnerabilidades relacionadas con la autenticación de varios factores para los usuarios.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
MFA not enforced
Nombre de categoría en la API: |
Hay usuarios que no están usando la verificación en 2 pasos. Google Workspace te permite especificar un período de gracia de inscripción para los usuarios nuevos. durante el cual deben inscribirse en la verificación en 2 pasos. Este detector crea resultados para usuarios durante el período de gracia de inscripción. Este hallazgo no está disponible para activaciones a nivel de proyecto. Nivel de precios: Premium o Estándar
Recursos admitidos Estándares de cumplimiento:
|
Evalúa las políticas de administración de identidades en las organizaciones y la configuración de usuarios para cuentas administradas en Cloud Identity.
|
Resultados de las vulnerabilidades de la red
Las vulnerabilidades de este tipo de detector se relacionan con la configuración de red de una organización y pertenecen al tipo NETWORK_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Default network
Nombre de categoría en la API: |
Descripción del resultado: La red predeterminada existe en un proyecto. Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
DNS logging disabled
Nombre de categoría en la API: |
Descripción de búsqueda: El registro DNS en una red de VPC no está habilitado. Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba todas las
|
Legacy network
Nombre de categoría en la API: |
Descripción del resultado: Existe una red heredada en un proyecto. Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la existencia de metadatos de red para la existencia de la propiedad
|
Load balancer logging disabled
Nombre de categoría en la API: |
Descripción del hallazgo: El registro está inhabilitado para el balanceador de cargas. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica si la propiedad
|
Hallazgos de las vulnerabilidades de las políticas de la organización
Las vulnerabilidades de este tipo de detector se relacionan con las configuraciones de las restricciones de Política de la organización y pertenecen al tipo ORG_POLICY.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Org policy Confidential VM policy
Nombre de categoría en la API: |
Descripción del resultado: Un recurso de Compute Engine no cumple con la política de la organización constraints/compute.restrictNonConfidentialComputing. Para obtener más información sobre esta restricción de la política de la organización, consulta Aplica restricciones de políticas de la organización en Confidential VM.
Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento. |
Comprueba si la propiedad
|
Org policy location restriction
Nombre de categoría en la API: |
Descripción de los resultados: Un recurso de Compute Engine no cumple con la restricción constraints/gcp.resourceLocations. Para obtener más información sobre esta restricción de políticas de la organización, consulta Aplica restricciones de políticas de la organización.
Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento. |
Comprueba la propiedad
|
|
Elementos admitidos para ORG_POLICY_LOCATION_RESTRICTION
Compute Engine
GKE
Cloud Storage
Cloud KMS
Dataproc
BigQuery
Dataflow
Cloud SQL
Cloud Composer
Registro
Pub/Sub
Vertex AI
Artifact Registry 1 Debido a que los recursos de Cloud KMS no se pueden borrar, el el recurso no se considera fuera de la región si los datos del recurso se antes de que se destruyan. 2 Debido a que los trabajos de importación de Cloud KMS tienen un ciclo de vida controlado y no se pueden finalizar de forma anticipada, un ImportJob no se considera fuera de la región si el trabajo venció y ya no se puede usar para importar claves. 3 Debido a que no se puede administrar el ciclo de vida de los trabajos de Dataflow, un trabajo no se considera fuera de la región una vez que alcanza un estado terminal (detenido o desviado), en el que ya no se pueden usar para procesar datos. |
||
Resultados de vulnerabilidades de Pub/Sub
Las vulnerabilidades de este tipo de detector se relacionan con las configuraciones de Pub/Sub y pertenecen al tipo PUBSUB_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Pubsub CMEK disabled
Nombre de categoría en la API: |
Descripción del resultado: Un tema de Pub/Sub no se encripta con claves de encriptación administradas por el cliente (CMEK). Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento. |
Comprueba el campo
|
Resultados de las vulnerabilidades de SQL
Las vulnerabilidades de este tipo de detector se relacionan con la configuración de Cloud SQL y pertenecen al tipo SQL_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
AlloyDB auto backup disabled
Nombre de categoría en la API: |
Descripción del hallazgo: Un clúster de AlloyDB para PostgreSQL no tiene habilitadas las copias de seguridad automáticas. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica si el elemento
La propiedad
|
AlloyDB backups disabled
Nombre de categoría en la API: |
Descripción del hallazgo: Un clúster de AlloyDB para PostgreSQL no tiene habilitadas las copias de seguridad. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si el
|
AlloyDB CMEK disabled
Nombre de categoría en la API: |
Descripción del resultado: Un clúster de AlloyDB no está encriptado con claves de encriptación administradas por el cliente (CMEK). Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica el campo
|
AlloyDB log min error statement severity
Nombre de categoría en la API: |
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Para garantizar una cobertura adecuada de los tipos de mensajes en los registros, emite un hallazgo si el
El campo
|
AlloyDB log min messages
Nombre de categoría en la API: |
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Para garantizar una cobertura adecuada de los tipos de mensajes en los registros, emite un hallazgo si el
El campo
|
AlloyDB log error verbosity
Nombre de categoría en la API: |
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Para garantizar una cobertura adecuada de los tipos de mensajes en los registros, emite un hallazgo si el
El campo
|
AlloyDB public IP
Nombre de categoría en la API: |
Descripción del hallazgo: Una instancia de base de datos de AlloyDB para PostgreSQL tiene una dirección IP pública. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica si la propiedad
|
AlloyDB SSL not enforced
Nombre de categoría en la API: |
Descripción del resultado: Una instancia de base de datos de AlloyDB para PostgreSQL no requiere que todas las conexiones entrantes usen SSL. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica si la propiedad
|
Auto backup disabled
Nombre de categoría en la API: |
Descripción del resultado: Una base de datos de Cloud SQL no tiene habilitadas las copias de seguridad automáticas. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Public SQL instance
Nombre de categoría en la API: |
Descripción de los hallazgos: Una instancia de base de datos de Cloud SQL acepta conexiones de todas las direcciones IP. Nivel de precios: Premium o Estándar
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
SSL not enforced
Nombre de categoría en la API: |
Descripción del resultado: Una instancia de base de datos de Cloud SQL no necesita que todas las conexiones entrantes usen SSL. Nivel de precios: Premium o Estándar
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
SQL CMEK disabled
Nombre de categoría en la API: |
Descripción del resultado: Una instancia de base de datos SQL no está encriptada con claves de encriptación administradas por el cliente (CMEK). Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento. |
Comprueba el campo
|
SQL contained database authentication
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la propiedad
|
SQL cross DB ownership chaining
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL external scripts enabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL local infile
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL log checkpoints disabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL log connections disabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL log disconnections disabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL log duration disabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL log error verbosity
Nombre de categoría en la API: |
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
SQL log lock waits disabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL log min duration statement enabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL log min error statement
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si el campo
|
SQL log min error statement severity
Nombre de categoría en la API: |
Descripción de los resultados: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si el campo
|
SQL log min messages
Nombre de categoría en la API: |
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Para garantizar una cobertura adecuada de los tipos de mensajes en los registros, emite un hallazgo si el
El campo
|
SQL log executor stats enabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
SQL log hostname enabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
SQL log parser stats enabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
SQL log planner stats enabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
SQL log statement
Nombre de categoría en la API: |
Descripción de los resultados: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
SQL log statement stats enabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
SQL log temp files
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL no root password
Nombre de categoría en la API: |
Descripción del resultado: Una base de datos de Cloud SQL que tiene una dirección IP pública no tiene contraseña configurada para la cuenta raíz. Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
SQL public IP
Nombre de categoría en la API: |
Descripción de los hallazgos: Una base de datos de Cloud SQL tiene una dirección IP pública. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si el tipo de dirección IP de una base de datos de Cloud SQL está configurada como
|
SQL remote access enabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL skip show database disabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL trace flag 3625
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL user connections configured
Nombre de categoría en la API: |
Descripción de los resultados: Se configura la marca de base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL user options configured
Nombre de categoría en la API: |
Descripción de los resultados: Se configura la marca de base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL weak root password
Nombre de categoría en la API: |
Descripción del resultado: Una base de datos de Cloud SQL que tiene una dirección IP pública también tiene una contraseña poco segura configurado para la cuenta raíz. Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento. |
Compara la contraseña de la cuenta raíz de tu base de datos de Cloud SQL con una lista de contraseñas comunes.
|
Resultados de las vulnerabilidades de Storage
Las vulnerabilidades de este tipo de detector se relacionan con las opciones de configuración de depósitos de Cloud Storage y pertenecen al tipo STORAGE_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Bucket CMEK disabled
Nombre de categoría en la API: |
Descripción de los hallazgos: Un bucket no está encriptado con claves de encriptación administradas por el cliente (CMEK). Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita detectores. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento. |
Comprueba el campo
|
Bucket policy only disabled
Nombre de categoría en la API: |
Descripción del resultado: No se configuró el acceso uniforme a nivel de bucket, que antes se denominaba Solo política del bucket. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Public bucket ACL
Nombre de categoría en la API: |
Descripción del resultado:Un bucket de Cloud Storage es de acceso público. Nivel de precios: Premium o Estándar
Recursos admitidos Estándares de cumplimiento:
|
Verifica la política de permisos de IAM de un bucket
roles públicos,
|
Public log bucket
Nombre de categoría en la API: |
Descripción del resultado:: Un bucket de almacenamiento que se usa como receptor de registros es de acceso público. Este hallazgo no está disponible para activaciones a nivel de proyecto. Nivel de precios: Premium o Estándar
Recursos admitidos Estándares de cumplimiento:
|
Verifica la política de permisos de IAM de un bucket para las principales
|
Resultados de las vulnerabilidades de subred
Las vulnerabilidades de este tipo de detector se relacionan con las opciones de configuración de la subred de una organización y pertenecen al tipo SUBNETWORK_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Flow logs disabled
Nombre de categoría en la API: |
Descripción del resultado: Hay una subred de VPC que tiene los registros de flujo inhabilitados. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si falta la propiedad
|
Flow logs settings not recommended
Nombre de categoría en la API: |
Descripción del hallazgo: Para una subred de VPC, los registros de flujo de VPC están desactivados o no configurados de acuerdo con las recomendaciones de CIS Benchmark 1.3. Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica si la propiedad
|
Private Google access disabled
Nombre de categoría en la API: |
Descripción del resultado: Existen subredes privadas sin acceso a las API públicas de Google. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Hallazgos de AWS
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
|
Nombre de categoría en la API: |
Descripción del hallazgo: AWS Cloud Shell es una forma conveniente de ejecutar comandos de CLI con los servicios de AWS. una política de IAM administrada (“AWSCloudShellFullAccess”) proporciona acceso completo a Cloud Shell, lo que permite cargar y descargar archivos entre el sistema local del usuario y el entorno de Cloud Shell. Dentro del entorno de Cloud Shell, un usuario tiene permisos sudo y puede acceder a Internet. Por lo tanto, es factible instalar un software de transferencia de archivos (por ejemplo) y trasladar datos de Cloud Shell a servidores de Internet externos. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que el acceso a AWSCloudShellFullAccess esté restringido
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Las claves de acceso constan de un ID de clave de acceso y una clave de acceso secreta, que se usan para firmar las solicitudes programáticas que realizas a AWS. Los usuarios de AWS necesitan sus propias claves de acceso para realizar llamadas programáticas a AWS desde la interfaz de línea de comandos de AWS (CLI de AWS), Tools for Windows PowerShell, los SDK de AWS o llamadas HTTP directas mediante las API para servicios individuales de AWS. Se recomienda rotar todas las claves de acceso con regularidad. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que las claves de acceso se roten cada 90 días o menos
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Para habilitar las conexiones HTTPS a tu sitio web o aplicación en AWS, necesitas un certificado de servidor SSL/TLS. Puedes usar ACM o IAM para almacenar e implementar certificados de servidor. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de quitar todos los certificados SSL o TLS vencidos que estén almacenados en IAM de AWS
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Esto verifica si tus grupos de ajuste de escala automático asociados a un balanceador de cargas usan las verificaciones de estado de Elastic Load Balancing. Esto garantiza que el grupo pueda determinar el estado de una instancia en función de las pruebas adicionales que proporciona el balanceador de cargas. El uso de las verificaciones de estado de Elastic Load Balancing puede ayudar a admitir la disponibilidad de aplicaciones que usan grupos de ajuste de escala automático de EC2. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica que todos los grupos de ajuste de escala automático asociados con un balanceador de cargas utilicen comprobaciones de estado
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Asegúrate de que las instancias de la base de datos de RDS tengan habilitada la marca de actualización automática de versión secundaria para recibir automáticamente actualizaciones menores del motor durante el período de mantenimiento especificado. Por lo tanto, las instancias de RDS pueden obtener las nuevas funciones, correcciones de errores y parches de seguridad para sus motores de base de datos. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que la función de actualización de versión secundaria automática esté habilitada para las instancias de RDS
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: AWS Config es un servicio web que realiza la administración de la configuración de los recursos de AWS admitidos dentro de su cuenta y le entrega archivos de registro. La información registrada incluye el elemento de configuración (recurso de AWS), las relaciones entre los elementos de configuración (recursos de AWS) y cualquier cambio de configuración entre los recursos. Se recomienda habilitar AWS Config en todas las regiones. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que AWS Config esté habilitado en todas las regiones
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El Centro de seguridad recopila datos de seguridad de todas las cuentas, los servicios y los productos de socios externos compatibles de AWS y te ayuda a analizar tus tendencias de seguridad para identificar los problemas de seguridad de mayor prioridad. Cuando habilitas el Centro de seguridad, comienza a consumir, agregar, organizar y priorizar los hallazgos de los servicios de AWS que hayas habilitado, como Amazon GuardDuty, Amazon Inspector y Amazon Macie. También puedes habilitar las integraciones en productos de seguridad de socios de AWS. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que el Security Hub de AWS esté habilitado
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: AWS CloudTrail es un servicio web que registra las llamadas a la API de AWS para una cuenta y pone esos registros a disposición de los usuarios y los recursos de acuerdo con las políticas de IAM. El servicio de administración de claves (KMS) de AWS es un servicio administrado que ayuda a crear y controlar las claves de encriptación que se usan para encriptar los datos de la cuenta, y usa módulos de seguridad de hardware (Hardware Security Modules, HSM) para proteger la seguridad de las claves de encriptación. Los registros de CloudTrail se pueden configurar para aprovechar la encriptación del servidor (SSE) y las claves maestras (CMK) creadas por el cliente de KMS para proteger aún más los registros de CloudTrail. Se recomienda configurar CloudTrail para usar SSE-KMS. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que los registros de CloudTrail estén encriptados en reposo con CMK de KMS
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: La validación del archivo de registro de CloudTrail crea un archivo de resumen con firma digital que contiene un hash de cada registro que CloudTrail escribe en S3. Estos archivos de resumen se pueden usar para determinar si un archivo de registro se modificó, borró o se modificó después de que CloudTrail entrega el registro. Se recomienda habilitar la validación de archivos en todos los CloudTrails. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que la validación del archivo de registro de CloudTrail esté habilitada
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: AWS CloudTrail es un servicio web que registra las llamadas a la API de AWS realizadas en una cuenta de AWS determinada. La información registrada incluye la identidad del llamador de la API, la hora de la llamada a la API, la dirección IP de origen del emisor de la API, los parámetros de la solicitud y los elementos de respuesta que muestra el servicio de AWS. CloudTrail usa Amazon S3 para almacenar y entregar archivos de registro, por lo que se almacenan de forma duradera. Además de capturar los registros de CloudTrail dentro de un bucket de S3 especificado para el análisis a largo plazo, el análisis en tiempo real se puede realizar configurando CloudTrail para enviar registros a los registros de CloudWatch. Para un registro habilitado en todas las regiones de una cuenta, CloudTrail envía archivos de registro de todas esas regiones a un grupo de registros de CloudWatch Logs. Se recomienda que los registros de CloudTrail se envíen a los registros de CloudWatch. Nota: El objetivo de esta recomendación es garantizar que la actividad de la cuenta de AWS se capture y se supervise, y se active la alarma correspondiente. Los registros de CloudWatch son una forma nativa de lograr esto con los servicios de AWS, pero no excluyen el uso de una solución alternativa. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que los registros de CloudTrail estén incluidos en los registros de CloudWatch
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Esto verifica si Amazon Cloudwatch tiene acciones definidas cuando una alarma pasa de los estados “OK”, “ALARM” e 'INSUFFICIENT_DATA'. Configurar acciones para el estado de ALARMA en las alarmas de Amazon CloudWatch es muy importante para activar una respuesta inmediata cuando las métricas supervisadas cumplen con los umbrales de violación de la seguridad. Las alarmas tienen al menos una acción. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica si las alarmas de CloudWatch tienen al menos una acción de alarma, una acción INSUFFICIENT_DATA o una acción OK habilitadas.
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Esta verificación garantiza que los registros de CloudWatch estén configurados con KMS. Los datos del grupo de registros siempre están encriptados en los registros de CloudWatch. De forma predeterminada, los registros de CloudWatch usan encriptación del lado del servidor para los datos de registro en reposo. Como alternativa, puedes usar AWS Key Management Service para esta encriptación. Si lo haces, la encriptación se realiza con una clave de KMS de AWS. La encriptación con AWS KMS se habilita a nivel del grupo de registros mediante la asociación de una clave de KMS a un grupo de registros, ya sea cuando creas el grupo de registros o después de que ya existe. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica que todos los grupos de registros en Amazon CloudWatch Logs estén encriptados con KMS
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Este control verifica si los registros de CloudTrail están configurados para enviar registros a los registros de CloudWatch. El control falla si la propiedad CloudWatchLogsLogGroupArn del registro está vacía. CloudTrail registra las llamadas a la API de AWS que se realizan en una cuenta determinada. La información registrada incluye lo siguiente:
CloudTrail usa Amazon S3 para el almacenamiento y la entrega de archivos de registro. Puedes capturar registros de CloudTrail en un bucket de S3 específico para realizar un análisis a largo plazo. Si quieres realizar un análisis en tiempo real, puedes configurar CloudTrail para enviar registros a los registros de CloudWatch. Para un registro habilitado en todas las regiones de una cuenta, CloudTrail envía archivos de registro de todas esas regiones a un grupo de registros de CloudWatch Logs. El Centro de seguridad recomienda que envíes los registros de CloudTrail a los registros de CloudWatch. Ten en cuenta que esta recomendación tiene como objetivo garantizar que la actividad de la cuenta se capture y se supervise, y se alarme de manera adecuada. Puedes usar los registros de CloudWatch para configurar esta opción con tus servicios de AWS. Esta recomendación no excluye el uso de una solución diferente. El envío de los registros de CloudTrail a los registros de CloudWatch facilita el registro de la actividad histórica y en tiempo real según el usuario, la API, el recurso y la dirección IP. Puedes usar este enfoque para establecer alarmas y notificaciones para actividades anómalas o sensibles de la cuenta. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Comprueba que todos los registros de CloudTrail estén configurados para enviar registros a CloudWatch de AWS
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: De esta manera, se verifica si el proyecto contiene las variables de entorno Las credenciales de autenticación Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica que ningún proyecto con variables de entorno AWS_ACCESS_KEY_ID y AWS_SECRET_ACCESS_KEY esté en texto simple
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Esto verifica si la URL del repositorio de código fuente de Bitbucket de un proyecto de AWS CodeBuild contiene tokens de acceso personal o un nombre de usuario y una contraseña. El control falla si la URL del repositorio de código fuente de Bitbucket contiene tokens de acceso personal o un nombre de usuario y una contraseña. Las credenciales de acceso no se deben almacenar ni transmitir en texto no encriptado ni aparecer en la URL del repositorio de origen. En lugar de tokens de acceso personales o credenciales de acceso, debes acceder a tu proveedor de origen en CodeBuild y cambiar la URL del repositorio de código fuente para que contenga solo la ruta de acceso a la ubicación del repositorio de Bitbucket. El uso de tokens de acceso personales o credenciales de acceso puede provocar la exposición no deseada de datos o el acceso no autorizado. Nivel de precios: Enterprise Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento. |
Verifica que todos los proyectos que usen GitHub o Bitbucket como fuente utilicen OAuth
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Los usuarios de IAM de AWS pueden acceder a los recursos de AWS con diferentes tipos de credenciales, como contraseñas o claves de acceso. Se recomienda desactivar o quitar todas las credenciales que no se hayan usado en 45 días o más. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que las credenciales que no se usen durante 45 días o más estén inhabilitadas
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Una VPC incluye un grupo de seguridad predeterminado cuya configuración inicial rechaza todo el tráfico entrante, permite todo el tráfico saliente y permite todo el tráfico entre instancias asignadas al grupo de seguridad. Si no especificas un grupo de seguridad cuando inicias una instancia, esta se asigna automáticamente a este grupo de seguridad predeterminado. Los grupos de seguridad proporcionan filtrado con estado del tráfico de red de entrada y salida a los recursos de AWS. Se recomienda que el grupo de seguridad predeterminado restrinja todo el tráfico. La VPC predeterminada en cada región debe tener su grupo de seguridad predeterminado actualizado para cumplir con los requisitos. Todas las VPC recién creadas contendrán automáticamente un grupo de seguridad predeterminado que necesitará correcciones para cumplir con esta recomendación. NOTA: Cuando implementas esta recomendación, el registro de flujo de VPC es muy útil para determinar el acceso al puerto con privilegio mínimo que requieren los sistemas para funcionar correctamente, ya que puede registrar todas las aceptaciones y rechazos de paquetes que ocurren en los grupos de seguridad actuales. Esto reduce drásticamente la barrera principal de la ingeniería de privilegio mínimo, ya que se descubren los puertos mínimos requeridos por los sistemas en el entorno. Incluso si la recomendación de registro de flujo de VPC en esta comparativa no se adopta como una medida de seguridad permanente, se debería usar durante cualquier período de descubrimiento e ingeniería para los grupos de seguridad con menos privilegios. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que el grupo de seguridad predeterminado de cada VPC restrinja todo el tráfico
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Verifica si las instancias de replicación de AWS DMS son públicas. Para ello, examina el valor del campo Una instancia de replicación privada tiene una dirección IP privada a la que no puedes acceder fuera de la red de replicación. Una instancia de replicación debe tener una dirección IP privada cuando las bases de datos de origen y de destino están en la misma red. La red también debe estar conectada a la VPC de la instancia de replicación a través de una VPN, AWS Direct Connect o intercambio de tráfico entre VPC. Para obtener más información sobre las instancias de replicación públicas y privadas, consulta Instancias de replicación públicas y privadas en la guía del usuario de AWS Database Migration Service. También debes asegurarte de que el acceso a la configuración de tu instancia de AWS DMS se limite solo a los usuarios autorizados. Para ello, restringe las conexiones Permisos de IAM para modificar la configuración y los recursos de AWS DMS. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica si las instancias de replicación de AWS Database Migration Service son públicas
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: La consola de AWS no tiene ninguna casilla de verificación predeterminada cuando se crea un usuario de IAM nuevo. Cuando creas las credenciales de usuario de IAM, debes determinar qué tipo de acceso requieren. Acceso programático: Es posible que el usuario IAM necesite realizar llamadas a la API, usar la CLI de AWS o usar Tools for Windows PowerShell. En ese caso, crea una clave de acceso (ID de clave de acceso y clave de acceso secreta) para ese usuario. Acceso a la consola de administración de AWS: si el usuario necesita acceder a la consola de administración de AWS, crea una contraseña para el usuario. Nivel de precios: Enterprise Estándares de cumplimiento:
|
No establezcas claves de acceso durante la configuración inicial de ningún usuario de IAM que tenga una contraseña de la consola
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Esto verifica si una tabla de Amazon DynamoDB puede escalar su capacidad de lectura y escritura según sea necesario. Este control se aprueba si la tabla usa el modo de capacidad a pedido o el modo aprovisionado con el ajuste de escala automático configurado. Escalar la capacidad con demanda evita las excepciones de limitación, lo que ayuda a mantener la disponibilidad de las aplicaciones. Las tablas de DynamoDB en el modo de capacidad a pedido solo están limitadas por las cuotas predeterminadas de la tabla de la capacidad de procesamiento de DynamoDB. Para aumentar estas cuotas, puedes enviar un ticket de asistencia a través del equipo de asistencia de AWS. Las tablas de DynamoDB en modo aprovisionado con ajuste de escala automático ajustan la capacidad de procesamiento aprovisionada de forma dinámica en respuesta a los patrones de tráfico. Para obtener información adicional sobre la limitación de solicitudes de DynamoDB, consulta Limitación de solicitudes y capacidad de aumento de actividad en la Guía para desarrolladores de Amazon DynamoDB. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Las tablas de DynamoDB deben ajustar la escala de la capacidad automáticamente según la demanda
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Este control evalúa si una tabla de DynamoDB está cubierta por un plan de copias de seguridad. El control falla si una tabla de DynamoDB no está cubierta por un plan de copias de seguridad. Este control solo evalúa las tablas de DynamoDB que tienen el estado ACTIVO. Las copias de seguridad te ayudan a recuperarte más rápido de un incidente de seguridad. También fortalecen la resiliencia de tus sistemas. Incluir tablas de DynamoDB en un plan de copias de seguridad te ayuda a proteger tus datos de pérdidas o eliminaciones no deseadas. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Las tablas de DynamoDB deben estar protegidas por un plan de copias de seguridad
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: La recuperación de un momento determinado (PITR) es uno de los mecanismos disponibles para crear copias de seguridad de tablas de DynamoDB. Las copias de seguridad de un momento determinado se guardan durante 35 días. Si tu requisito es una retención más prolongada, consulta Configura copias de seguridad programadas para Amazon DynamoDB con la Copia de seguridad de AWS en la documentación de AWS. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica que la recuperación de un momento determinado (PITR) esté habilitada para todas las tablas de AWS DynamoDB
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Verifica si todas las tablas de DynamoDB están encriptadas con una clave de KMS administrada por el cliente (no predeterminada). Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica que todas las tablas de DynamoDB estén encriptadas con el servicio de administración de claves (KMS) de AWS
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Verifica si la optimización de EBS está habilitada para las instancias de EC2 que se pueden optimizar para EBS Nivel de precios: Enterprise Estándares de cumplimiento:
|
Comprueba que la optimización de EBS esté habilitada para todas las instancias que admiten la optimización de EBS
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Verifica si las instantáneas de Amazon Elastic Block Store no son públicas. El control falla si alguien puede restablecer las instantáneas de Amazon EBS. Las instantáneas de EBS se usan para crear copias de seguridad de los datos de tus volúmenes de EBS en Amazon S3 en un momento específico. Puedes usar las instantáneas para restablecer los estados anteriores de los volúmenes de EBS. Rara vez es aceptable compartir una instantánea con el público. Por lo general, la decisión de compartir una instantánea públicamente se tomó por error o sin comprender completamente las implicaciones. Esta verificación ayuda a garantizar que el uso compartido se haya planificado por completo de forma intencional. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Las instantáneas de Amazon EBS no deben poder restablecerse públicamente
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Elastic Compute Cloud (EC2) admite la encriptación en reposo cuando se usa el servicio Elastic Block Store (EBS). Aunque está inhabilitado de forma predeterminada, se admite forzar la encriptación cuando se cree el volumen de EBS. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que la encriptación de volumen de EBS esté habilitada en todas las regiones
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Amazon VPC ofrece más funciones de seguridad que EC2 Classic. Se recomienda que todos los nodos pertenezcan a una VPC de Amazon. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Garantiza que todas las instancias pertenezcan a una VPC
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Las instancias de EC2 que tienen una dirección IP pública tienen un riesgo mayor de compromiso. Se recomienda que las instancias de EC2 no se configuren con una dirección IP pública. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Garantiza que ninguna instancia tenga una IP pública
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Una asociación de administrador de estado es una configuración que se asigna a tus instancias administradas. La configuración define el estado que deseas mantener en tus instancias. Por ejemplo, una asociación puede especificar que se debe instalar y ejecutar software antivirus en tus instancias, o que ciertos puertos deben estar cerrados. Las instancias de EC2 que están asociadas con AWS Systems Manager están bajo la administración de Systems Manager, lo que facilita la aplicación de parches, la corrección de configuraciones incorrectas y la respuesta a eventos de seguridad. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica el estado de cumplimiento de la asociación de AWS Systems Manager
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Este control verifica si el estado del cumplimiento de la asociación de AWS Systems Manager es CUMPLIANT o NON_COMPLIANT después de que la asociación se ejecuta en una instancia. El control falla si el estado de cumplimiento de la asociación es NON_COMPLIANT. Una asociación de administrador de estado es una configuración que se asigna a tus instancias administradas. La configuración define el estado que deseas mantener en tus instancias. Por ejemplo, una asociación puede especificar que se debe instalar y ejecutar software antivirus en tus instancias o que ciertos puertos deben estar cerrados. Después de crear una o más asociaciones de Administrador de estado, la información del estado de cumplimiento se encuentra disponible de inmediato. Puedes ver el estado de cumplimiento en la consola o en respuesta a los comandos de la CLI de AWS o las acciones correspondientes de la API de Systems Manager. En el caso de las asociaciones, la sección Cumplimiento de la configuración muestra el estado de cumplimiento (Conforme o No conforme). También muestra el nivel de gravedad asignado a la asociación, como Crítico o Medio. Para obtener más información sobre el cumplimiento de asociaciones de State Manager, consulta Acerca del cumplimiento de asociaciones de State Manager en la guía del usuario de AWS Systems Manager. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica el estado de cumplimiento de parches de AWS Systems Manager
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Al habilitar el servicio de metadatos en instancias EC2 de AWS, los usuarios tienen la opción de utilizar la versión del servicio de metadatos de la instancia 1 (IMDSv1, un método de solicitud/respuesta) o la versión 2 del servicio de metadatos de la instancia (IMDSv2, un método orientado a la sesión). Nivel de precios: Enterprise Estándares de cumplimiento:
|
Garantiza que el servicio de metadatos de EC2 solo permita IMDSv2
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Identificar y quitar los volúmenes no adjuntos (sin usar) de Elastic Block Store (EBS) de tu cuenta de AWS para reducir el costo de tu factura mensual de AWS Borrar volúmenes de EBS sin usar también reduce el riesgo de que los datos confidenciales o sensibles salgan de tus instalaciones. Además, este control también verifica si las instancias de EC2 archivadas y configuradas para borrar volúmenes en el momento de la finalización. De forma predeterminada, las instancias de EC2 están configuradas para borrar los datos en cualquier volumen de EBS asociado con la instancia y para borrar el volumen de EBS raíz de la instancia. Sin embargo, cualquier volumen de EBS no raíz conectado a la instancia, en el inicio o durante la ejecución, se conserva después de la finalización de forma predeterminada. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica si los volúmenes de EBS están adjuntos a instancias de EC2 y configurados para la eliminación en cuanto finalice la instancia
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Amazon EFS admite dos formas de encriptación para sistemas de archivos: la encriptación de datos en tránsito y la encriptación en reposo. De esta manera, se verifica que todos los sistemas de archivos EFS estén configurados con encriptación en reposo en todas las regiones habilitadas de la cuenta. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica si EFS está configurado para encriptar datos de archivos con KMS
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: En las prácticas recomendadas de Amazon, se sugiere configurar copias de seguridad para tus sistemas de archivos Elastic (EFS). De esta manera, se verifican todas las EFS de cada región habilitada en tu cuenta de AWS para ver si hay copias de seguridad habilitadas. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica si los sistemas de archivos EFS están incluidos en los planes de copias de seguridad de AWS
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Verifica si el balanceador de cargas clásico usa certificados HTTPS/SSL proporcionados por AWS Certificate Manager (ACM). El control falla si el balanceador de cargas clásico configurado con el objeto de escucha HTTPS/SSL no usa un certificado proporcionado por ACM. Para crear un certificado, puedes usar ACM o una herramienta que admita los protocolos SSL y TLS, como OpenSSL. El Centro de seguridad recomienda que uses ACM para crear o importar certificados para tu balanceador de cargas. ACM se integra en los balanceadores de cargas clásicos para que puedas implementar el certificado en tu balanceador de cargas. También debes renovar automáticamente estos certificados. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica que todos los balanceadores de cargas clásicos utilicen los certificados SSL proporcionados por AWS Certificate Manager
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Verifica si un balanceador de cargas de aplicaciones tiene habilitada la protección contra la eliminación. El control falla si no se configura la protección contra la eliminación. Habilita la protección contra la eliminación para evitar que se elimine tu balanceador de cargas de aplicaciones. Nivel de precios: Enterprise Estándares de cumplimiento:
|
La protección contra eliminaciones del balanceador de cargas de aplicaciones debería estar habilitada
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Esto verifica si el balanceador de cargas de aplicaciones y el balanceador de cargas clásico tienen habilitado el registro. El control falla si access_logs.s3.enabled es falso. Elastic Load Balancing proporciona registros de acceso que capturan información detallada sobre las solicitudes enviadas a tu balanceador de cargas. Cada registro contiene información como la hora en que se recibió la solicitud, la dirección IP del cliente, las latencias, las rutas de las solicitudes y las respuestas del servidor. Puedes usar estos registros de acceso para analizar patrones de tráfico y solucionar problemas. Para obtener más información, consulta Registros de acceso de tu balanceador de cargas clásico en la Guía del usuario de balanceadores de cargas clásicos. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica si los balanceadores de cargas clásicos y de aplicaciones tienen el registro habilitado
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Esta verificación garantiza que todos los balanceadores de cargas clásicos estén configurados para usar una comunicación segura. Un objeto de escucha es un proceso que comprueba si hay solicitudes de conexión. Se configura con un protocolo y un puerto para conexiones de frontend (cliente a balanceador de cargas), y un protocolo y un puerto para conexiones de backend (balanceador de cargas a instancia). Para obtener información sobre los puertos, los protocolos y las configuraciones de los objetos de escucha compatibles con Elastic Load Balancing, consulta Objetos de escucha para tu balanceador de cargas clásico. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica que todos los balanceadores de cargas clásicos estén configurados con objetos de escucha SSL o HTTPS
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Comprueba si los volúmenes de EBS que están adjuntos están encriptados. Para aprobar esta verificación, los volúmenes de EBS deben estar en uso y encriptados. Si el volumen de EBS no está conectado, no estará sujeto a esta verificación. Para agregar una capa de seguridad adicional a tus datos sensibles en los volúmenes de EBS, debes habilitar la encriptación en reposo de EBS. La encriptación de Amazon EBS ofrece una solución de encriptación sencilla para tus recursos de EBS que no requiere que compiles, mantengas ni protejas tu propia infraestructura de administración de claves. Usa claves de KMS cuando crea instantáneas y volúmenes encriptados. Para obtener más información sobre la encriptación de Amazon EBS, consulta la encriptación de Amazon EBS en la guía del usuario de Amazon EC2 para instancias de Linux. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Los volúmenes de Amazon EBS adjuntos deben estar encriptados en reposo
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Las instancias de base de datos encriptadas de Amazon RDS usan el algoritmo de encriptación estándar de la industria AES-256 para encriptar tus datos en el servidor que aloja tus instancias de base de datos de Amazon RDS. Una vez que tus datos están encriptados, Amazon RDS maneja la autenticación del acceso y la desencriptación de tus datos con transparencia, con un impacto mínimo en el rendimiento. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Garantiza que la encriptación en reposo esté habilitada para las instancias de RDS
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Los datos de EFS se deben encriptar en reposo con AWS KMS (Key Management Service). Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que la encriptación esté habilitada para los sistemas de archivos EFS
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: AWS permite que las políticas de contraseñas personalizadas en tu cuenta de AWS especifiquen los requisitos de complejidad y los períodos de rotación obligatorios para los usuarios de IAM contraseñas. Si no configuras una política de contraseñas personalizada, las contraseñas de usuario de IAM deben cumplir con la política de contraseñas predeterminada de AWS. Las prácticas recomendadas de seguridad de AWS sugieren los siguientes requisitos de complejidad para las contraseñas:
Este control verifica todos los requisitos especificados de la política de contraseñas. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica si la política de contraseñas de la cuenta para los usuarios de IAM cumple con los requisitos especificados
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Las políticas de contraseñas de IAM pueden impedir que un mismo usuario reutilice una contraseña determinada. Se recomienda que la política de contraseñas evite la reutilización de contraseñas. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que la política de contraseñas de IAM evite la reutilización de contraseñas
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Las políticas de contraseñas se usan, en parte, para aplicar de manera forzosa los requisitos de complejidad de contraseñas. Las políticas de contraseñas de IAM se pueden usar para garantizar que las contraseñas tengan al menos una longitud determinada. Se recomienda que la política de contraseñas requiera una longitud mínima de 14 contraseñas. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que la política de contraseñas de IAM requiera una longitud mínima de 14 caracteres
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Las políticas de IAM son los medios a través de los cuales se otorgan privilegios a usuarios, grupos o roles. Se recomienda y se considera un consejo de seguridad estándar otorgar privilegio mínimo, es decir, otorgar solo los permisos necesarios para realizar una tarea. Determina lo que deben hacer los usuarios y, luego, crea políticas para ellos que les permitan realizar solo esas tareas, en lugar de tener privilegios administrativos completos. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que no se adjunten políticas de IAM que permitan privilegios administrativos completos de “*:*”
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: A los usuarios de IAM se les otorga acceso a servicios, funciones y datos a través de políticas de IAM. Existen cuatro maneras de definir políticas para un usuario: 1) Editar la política del usuario directamente, también conocida como política intercalada, o usuario. 2) Adjuntar una política directamente a un usuario. 3) Agregar el usuario a un grupo de IAM que tenga una política adjunta 4) Agrega el usuario a un grupo de IAM que tenga una política intercalada. Solo se recomienda la tercera implementación. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que los usuarios de IAM reciban permisos solo a través de grupos
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Los usuarios de IAM siempre deben ser parte de un grupo de IAM para cumplir con las prácticas recomendadas de seguridad de IAM. Cuando se agregan usuarios a un grupo, es posible compartir políticas entre tipos de usuarios. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica si los usuarios de IAM son miembros de al menos un grupo de IAM
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: La autenticación de varios factores (MFA) es una práctica recomendada que agrega una capa adicional de protección al nombre de usuario y contraseña. Con la MFA, cuando un usuario accede a la Consola de administración de AWS, debe proporcionar un código de autenticación urgente, proporcionado por un dispositivo virtual o físico registrado. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Comprueba si los usuarios de IAM de AWS tienen habilitada la autenticación de varios factores (MFA)
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Esto verifica si hay contraseñas de IAM o claves de acceso activas que no se hayan usado en los últimos 90 días. En las prácticas recomendadas, se recomienda quitar, desactivar o rotar todas las credenciales que no se usen durante 90 días o más. Esto reduce la ventana de oportunidad para que se utilicen las credenciales asociadas a una cuenta comprometida o abandonada. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica que todos los usuarios de IAM de AWS tengan contraseñas o claves de acceso activas que no se hayan usado en maxCredentialUsageAge días (valor predeterminado: 90)
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Con este control, se verifica si se programa la eliminación de las claves de KMS. El control falla si se programa la eliminación de una clave de KMS. Las claves de KMS no se pueden recuperar una vez que se borran. Los datos encriptados con una clave de KMS también son irrecuperables de forma permanente si esta se borra. Si se encriptaron datos significativos con una clave de KMS programada para su eliminación, considera desencriptarlos o volver a encriptarlos con una clave de KMS nueva, a menos que realices un borrado criptográfico de manera intencional. Cuando se programa la eliminación de una clave de KMS, se aplica un período de espera obligatorio que permite que se revierta la eliminación, si se programó por error. El período de espera predeterminado es de 30 días, pero se puede reducir a 7 días cuando se programa la eliminación de la clave de KMS. Durante el período de espera, se puede cancelar la eliminación programada y no se borrará la clave de KMS. Para obtener información adicional sobre la eliminación de claves de KMS, consulta Borra claves de KMS en la guía para desarrolladores del servicio de administración de claves de AWS. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica que ninguna clave de CMK esté programada para su eliminación
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Verifica si la función lambda está configurada con un límite de ejecución simultáneo a nivel de la función. La regla es NON_COMPLIANT si la función Lambda no está configurada con un límite de ejecución simultáneo a nivel de la función. Nivel de precios: Enterprise Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento. |
Verifica si las funciones lambda están configuradas con un límite de ejecución simultáneo a nivel del rol
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Comprueba si una función Lambda está configurada con una cola de mensajes no entregados. La regla es NON_COMPLIANT si la función Lambda no está configurada con una cola de mensajes no entregados. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Comprueba si las funciones Lambda están configuradas con una fila de mensajes no entregados
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: En las prácticas recomendadas de AWS, no se debe exponer públicamente la función Lambda. Esta política verifica todas las funciones Lambda implementadas en todas las regiones habilitadas de tu cuenta y fallará si están configuradas para permitir el acceso público. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica si la política adjunta a la función lambda prohíbe el acceso público
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Comprueba si una función Lambda está en una VPC. Es posible que veas resultados fallidos para los recursos de Lambda@Edge. No evalúa la configuración del enrutamiento de la subred de VPC para determinar la accesibilidad pública. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Comprueba si las funciones Lambda existen en una VPC
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Una vez que la eliminación MFA esté habilitada en tu bucket de S3 sensible y clasificado, el usuario deberá tener dos formas de autenticación. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que la eliminación MFA esté habilitada en los buckets de S3
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: La "raíz" de usuario es el usuario con más privilegios en una cuenta de AWS. La autenticación de varios factores (MFA) agrega una capa adicional de protección al nombre de usuario y contraseña. Con la MFA habilitada, cuando un usuario inicie sesión en un sitio web de AWS, se le pedirá su nombre de usuario y contraseña, así como un código de autenticación desde su dispositivo de MFA de AWS. Nota: Cuando se usa la MFA virtual para “raíz” cuentas, se recomienda que el dispositivo utilizado NO sea personal, sino un dispositivo móvil dedicado (tablet o teléfono) que se administra para mantenerse cargado y protegido independientemente de cualquier dispositivo personal individual. ("MFA virtual no personal") Esto disminuye los riesgos de perder el acceso a la MFA debido a la pérdida o intercambio de dispositivos, o si la persona que posee el dispositivo ya no trabaja en la empresa. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que la MFA esté habilitada para la cuenta de usuario “raíz”
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: La autenticación de varios factores (MFA) agrega una capa adicional de garantía de autenticación más allá de las credenciales tradicionales. Con la MFA habilitada, cuando un usuario inicie sesión en la consola de AWS, se le solicitará su nombre de usuario y contraseña, así como también un código de autenticación desde su token MFA físico o virtual. Se recomienda que la MFA esté habilitada para todas las cuentas que tengan una contraseña de consola. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que la autenticación de varios factores (MFA) esté habilitada para todos los usuarios de IAM que tengan una contraseña de la consola
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: La función Lista de control de acceso a la red (NACL) proporciona un filtrado sin estado del tráfico de red de entrada y salida a los recursos de AWS. Se recomienda que ningún NACL permita el acceso de entrada sin restricciones a los puertos de administración del servidor remoto, como SSH al puerto Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que ninguna LCA de red permita la entrada de 0.0.0.0/0 a los puertos de administración del servidor remoto
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: La "raíz" de usuario es el usuario con más privilegios en una cuenta de AWS. Las claves de acceso de AWS proporcionan acceso programático a una cuenta determinada de AWS. Se recomienda que todas las claves de acceso asociadas con el atributo "raíz" cuenta de usuario final. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que no exista una clave de acceso a una cuenta de usuario “raíz”
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Los grupos de seguridad proporcionan filtrado con estado del tráfico de red de entrada y salida a los recursos de AWS. Se recomienda que ningún grupo de seguridad permita el acceso de entrada sin restricciones a los puertos de administración del servidor remoto, como SSH al puerto Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que ningún grupo de seguridad permita la entrada de 0.0.0.0/0 a los puertos de administración del servidor remoto
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Los grupos de seguridad proporcionan filtrado con estado del tráfico de red de entrada y salida a los recursos de AWS. Se recomienda que ningún grupo de seguridad permita el acceso de entrada sin restricciones a los puertos de administración del servidor remoto, como SSH al puerto Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que ningún grupo de seguridad permita la entrada de ::/0 a los puertos de administración del servidor remoto
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Las claves de acceso son credenciales a largo plazo para un usuario de IAM o la cuenta "raíz" de AWS usuario. Puedes usar claves de acceso para firmar solicitudes programáticas en la CLI o la API de AWS (directamente o con el SDK de AWS) Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que solo haya disponible una clave de acceso activa para cada usuario de IAM
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Asegúrate y verifica que las instancias de base de datos RDS aprovisionadas en tu cuenta de AWS restrinjan el acceso no autorizado para minimizar los riesgos de seguridad. Para restringir el acceso a cualquier instancia de base de datos de RDS de acceso público, debes inhabilitar la marca de acceso público de la base de datos y actualizar el grupo de seguridad de VPC asociado con la instancia. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Garantiza que no se otorgue acceso público a la Instancia de RDS
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: La supervisión mejorada proporciona métricas en tiempo real sobre el sistema operativo en el que se ejecuta la instancia de RDS, a través de un agente instalado en la instancia. Para obtener más detalles, consulta Supervisa las métricas del SO con la supervisión mejorada. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Comprueba si la supervisión mejorada está habilitada para todas las instancias de base de datos de RDS
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Habilitar la protección contra la eliminación de instancias es una capa adicional de protección contra la eliminación accidental de bases de datos o la eliminación por parte de una entidad no autorizada. Mientras la protección contra la eliminación está habilitada, no se puede borrar una instancia de base de datos de RDS. Antes de que una solicitud de eliminación se pueda realizar correctamente, la protección contra la eliminación debe estar inhabilitada. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Comprueba si todas las instancias de RDS tienen la protección contra la eliminación habilitada
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Esta verificación evalúa si las instancias de base de datos de Amazon RDS están cubiertas por un plan de copias de seguridad. Este control falla si una instancia de base de datos de RDS no está cubierta por un plan de copias de seguridad. AWS Backup es un servicio de copias de seguridad completamente administrado que centraliza y automatiza la creación de copias de seguridad de los datos a través de los servicios de AWS. Con AWS Backup, puedes crear políticas de copia de seguridad llamadas planes de copia de seguridad. Puedes usar estos planes para definir tus requisitos de copia de seguridad; por ejemplo, con qué frecuencia hacer copias de seguridad de tus datos y por cuánto tiempo retenerlas. Incluir instancias de bases de datos de RDS en un plan de copias de seguridad te ayuda a proteger tus datos de pérdidas o eliminaciones no deseadas. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Las instancias de base de datos de RDS deben estar protegidas por un plan de copias de seguridad
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Esto verifica si los siguientes registros de Amazon RDS están habilitados y enviados a CloudWatch. Las bases de datos de RDS deben tener habilitados los registros relevantes. El registro de bases de datos proporciona registros detallados de las solicitudes que se realizan a RDS. Los registros de la base de datos pueden ayudar con las auditorías de seguridad y acceso, y pueden ayudar a diagnosticar problemas de disponibilidad. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Comprueba si los registros exportados están habilitados para todas las instancias de base de datos de RDS
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Las instancias de base de datos de RDS se deben configurar para múltiples zonas de disponibilidad (AZ). Esto garantiza la disponibilidad de los datos almacenados. Las implementaciones de Multi-AZ permiten automatizar la conmutación por error si hay un problema con la disponibilidad de la zona de disponibilidad y durante el mantenimiento habitual de RDS. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Comprueba si la alta disponibilidad está habilitada para todas las instancias de la base de datos de RDS
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: De esta manera, se verifican elementos esenciales de un clúster de Redshift, como la encriptación en reposo, el registro y el tipo de nodo. Estos elementos de configuración son importantes para el mantenimiento de un clúster de Redshift seguro y observable. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica que todos los clústeres de Redshift tengan la encriptación en reposo, el registro y el tipo de nodo configurados.
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Las actualizaciones automáticas de las versiones principales se realizan de acuerdo con el período de mantenimiento. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica que todos los clústeres de Redshift tengan allowVersionUpgrade habilitado, y preferredMaintenanceWindow y automatedSnapshotRetentionPeriod configurados
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El atributo de acceso público de la configuración del clúster de Amazon Redshift indica si el clúster es de acceso público. Cuando el clúster se configura con Publicly accesible establecido en verdadero, es una instancia orientada a Internet que tiene un nombre de DNS que se puede resolver de forma pública, lo que se resuelve en una dirección IP pública. Cuando el clúster no es de acceso público, es una instancia interna con un nombre de DNS que se resuelve en una dirección IP privada. A menos que desees que tu clúster sea de acceso público, no se debe configurar con Publiclyaccesible establecido en verdadero. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica si se puede acceder públicamente a los clústeres de Redshift
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Esto verifica si se puede acceder al tráfico entrante sin restricción para los grupos de seguridad a los puertos especificados que tienen el riesgo más alto. Este control falla si alguna de las reglas de un grupo de seguridad permite el tráfico de entrada desde “0.0.0.0/0”. o '::/0' para esos puertos. El acceso sin restricciones (0.0.0.0/0) aumenta las oportunidades de actividad maliciosa, como hackeos, ataques de denegación del servicio y pérdida de datos. Los grupos de seguridad proporcionan filtrado con estado del tráfico de red de entrada y salida a los recursos de AWS. Ningún grupo de seguridad debe permitir el acceso de entrada sin restricciones a los siguientes puertos:
Nivel de precios: Enterprise Estándares de cumplimiento:
|
Los grupos de seguridad no deben permitir el acceso sin restricciones a puertos de alto riesgo
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Los grupos de seguridad proporcionan filtrado con estado del tráfico de red de entrada y salida a los recursos de AWS. CIS recomienda que ningún grupo de seguridad permita el acceso de entrada sin restricciones al puerto 22. Quitar la conectividad ilimitada a los servicios de consola remota, como SSH, reduce la exposición del servidor a riesgos. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Los grupos de seguridad no deben permitir la entrada de 0.0.0.0/0 al puerto 22
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Verifica si la rotación automática de claves está habilitada para cada clave y coincide con el ID de la clave de KMS de AWS creada por el cliente. La regla es NON_COMPLIANT si el rol de registrador de AWS Config para un recurso no tiene el permiso kms:DescribeKey. Nivel de precios: Enterprise Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento. |
Asegúrate de que esté habilitada la rotación de los CMK creados por el cliente
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El servicio de administración de claves (KMS) de AWS permite a los clientes rotar la clave de copia de seguridad, que es el material de clave almacenado dentro del KMS, que está vinculado al ID de la clave maestra de cliente (CMK) creada por el cliente. Es la clave de copia de seguridad que se usa para realizar operaciones criptográficas como la encriptación y la desencriptación. Actualmente, la rotación automatizada de claves retiene todas las claves de copia de seguridad anteriores para que la desencriptación de los datos encriptados se pueda realizar con transparencia. Se recomienda habilitar la rotación de claves de CMK para las claves simétricas. No se puede habilitar la rotación de claves para ninguna CMK asimétrica. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que esté habilitada la rotación de los CMK simétricos creados por el cliente
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Verifica si las tablas de rutas para el intercambio de tráfico entre VPC están configuradas con la principal de privilegio mínimo. Nivel de precios: Enterprise Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento. |
Asegúrate de que las tablas de enrutamiento del intercambio de tráfico entre VPC sea de “mínimo acceso”
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El bloqueo de acceso público de Amazon S3 proporciona una configuración de puntos de acceso, buckets y cuentas para ayudarte a administrar el acceso público a los recursos de Amazon S3. De forma predeterminada, los buckets, puntos de acceso y objetos nuevos no permiten el acceso público. Nivel de precios: Enterprise Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento. |
Verifica si están configurados los parámetros requeridos del bloqueo de acceso público de S3 a nivel de la cuenta
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Amazon S3 proporciona Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que los buckets de S3 estén configurados con
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El registro de acceso al bucket de S3 genera un registro que contiene los registros de acceso para cada solicitud que se realiza a tu bucket de S3. Un registro de acceso contiene detalles sobre la solicitud, como el tipo de solicitud, los recursos especificados en la solicitud trabajada y la fecha y hora en que se procesó la solicitud. Se recomienda habilitar el registro de acceso al bucket en el bucket de S3 de CloudTrail. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que el registro de acceso al bucket de S3 esté habilitado en el bucket de S3 de CloudTrail
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: La función AWS S3 Server Access Logging registra las solicitudes de acceso a los buckets de almacenamiento, lo que es útil para las auditorías de seguridad. De forma predeterminada, el registro de acceso del servidor no está habilitado para los buckets de S3. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica si el registro está habilitado en todos los buckets de S3
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: En el nivel de bucket de Amazon S3, puedes configurar los permisos a través de una política de bucket que permita el acceso a los objetos solo a través de HTTPS. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que la política de buckets de S3 esté configurada para rechazar solicitudes HTTP
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Este control verifica si un bucket de Amazon S3 tiene habilitada la replicación entre regiones. El control falla si el bucket no tiene habilitada la replicación entre regiones o si también está habilitada la replicación en la misma región. La replicación es la copia automática y asíncrona de objetos en buckets en la misma región de AWS o en diferentes. La replicación copia los objetos creados recientemente y las actualizaciones de objetos de un bucket de origen a uno o varios buckets de destino. Las prácticas recomendadas de AWS sugieren la replicación de los buckets de origen y de destino que pertenecen a la misma cuenta de AWS. Además de la disponibilidad, deberías considerar otros parámetros de configuración de endurecimiento de los sistemas. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica si los buckets de S3 tienen habilitada la replicación entre regiones
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Esto verifica que tu bucket de S3 tenga habilitada la encriptación predeterminada de Amazon S3 o que la política de bucket de S3 rechace de forma explícita las solicitudes de objetos put sin encriptación del servidor. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que todos los buckets de S3 utilicen la encriptación en reposo
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Amazon S3 es un medio para mantener múltiples variantes de un objeto en el mismo bucket y puede ayudarte a recuperarte con mayor facilidad de acciones no deseadas de los usuarios y de fallas de la aplicación. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica que el control de versiones esté habilitado en todos los buckets de S3
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Verifica si los buckets de Amazon S3 están encriptados con AWS Key Management Service (AWS KMS) Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica que todos los buckets estén encriptados con KMS
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Verifica si una clave de AWS Key Management Service (AWS KMS) está configurada para una instancia de notebook de Amazon SageMaker. La regla es NON_COMPLIANT si el campo "KmsKeyId" no se especificó para la instancia de notebook de SageMaker. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica que todas las instancias de notebooks de SageMaker estén configuradas para usar KMS
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Verifica si el acceso directo a Internet está inhabilitado para una instancia de notebook de SageMaker. Para ello, comprueba si el campo DirectInternetAccess está inhabilitado en la instancia de notebook. Si configuras tu instancia de SageMaker sin una VPC, se habilitará de forma predeterminada el acceso directo a Internet en tu instancia. Deberías configurar tu instancia con una VPC y cambiar el parámetro de configuración predeterminado a Inhabilitar: acceder a Internet a través de una VPC. Para entrenar o alojar modelos desde un notebook, necesitas acceso a Internet. Para habilitar el acceso a Internet, asegúrate de que tu VPC tenga una puerta de enlace NAT y de que tu grupo de seguridad permita las conexiones salientes. Para obtener más información sobre cómo conectar una instancia de notebook a los recursos de una VPC, consulta la sección sobre cómo conectar una instancia de notebook a los recursos de una VPC en la Guía para desarrolladores de Amazon SageMaker. Además, debes asegurarte de que el acceso a tu configuración de SageMaker se limite solo a los usuarios autorizados. Restringir la configuración Permisos de IAM para modificar la configuración y los recursos de SageMaker. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica si el acceso directo a Internet está inhabilitado para todas las instancias de notebooks de SageMaker de Amazon
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Verifica si un Secret almacenado en AWS Secrets Manager está configurado con rotación automática. El control falla si el Secret no está configurado con rotación automática. Si proporcionas un valor personalizado para el parámetro Secrets Manager te ayuda a mejorar la postura de seguridad de tu organización. Los Secrets incluyen credenciales de bases de datos, contraseñas y claves de API de terceros. Puedes usar Secrets Manager para almacenar los secretos de forma centralizada, encriptarlos de forma automática, controlar el acceso a estos y rotarlos de forma segura y automática. Secret Manager puede rotar los secretos. Puedes usar la rotación para reemplazar los secretos a largo plazo por otros a corto plazo. La rotación de tus secretos limita el tiempo que un usuario no autorizado puede usar un secreto vulnerado. Por este motivo, debes rotar tus secretos con frecuencia. Para obtener más información sobre la rotación, consulta Rota los secretos de AWS Secret Manager en la Guía del usuario de AWS Secrets Manager. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica que todos los secretos de AWS Secrets Manager tengan la rotación habilitada
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Verifica si un tema de SNS está encriptado en reposo con AWS KMS. Los controles fallan si un tema de SNS no usa una clave de KMS para la encriptación del servidor (SSE). Encriptar los datos en reposo reduce el riesgo de que un usuario no autenticado en AWS acceda a los datos almacenados en el disco. También agrega otro conjunto de controles de acceso para limitar la capacidad de usuarios no autorizados de acceder a los datos. Por ejemplo, se requieren permisos de API para desencriptar los datos antes de que se puedan leer. Los temas de SNS deben encriptarse en reposo para agregar una capa de seguridad adicional. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica que todos los temas de SNS estén encriptados con KMS
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Este control verifica si el grupo de seguridad predeterminado de una VPC permite el tráfico entrante o saliente. El control falla si el grupo de seguridad permite el tráfico entrante o saliente. Las reglas del grupo de seguridad predeterminado permiten todo el tráfico entrante y saliente de las interfaces de red (y sus instancias asociadas) asignadas al mismo grupo de seguridad. Te recomendamos que no uses el grupo de seguridad predeterminado. Debido a que el grupo de seguridad predeterminado no se puede borrar, debes cambiar la configuración de las reglas predeterminadas del grupo de seguridad para restringir el tráfico entrante y saliente. Esto evita el tráfico no deseado si el grupo de seguridad predeterminado se configura accidentalmente para recursos como instancias de EC2. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que el grupo de seguridad predeterminado de cada VPC restrinja todo el tráfico
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Los registros de flujo de VPC son una función que te permite capturar información sobre el tráfico IP desde y hacia las interfaces de red de tu VPC. Después de crear un registro de flujo, puedes ver y recuperar sus datos en Amazon CloudWatch Logs. Se recomienda que los registros de flujo de VPC estén habilitados para el paquete “Rechazos” para las VPC. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Asegúrate de que el registro de flujo de VPC esté habilitado en todas las VPC
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Este control verifica si un grupo de seguridad de Amazon EC2 permite el tráfico entrante sin restricciones desde puertos no autorizados. El estado del control se determina de la siguiente manera: Si usas el valor predeterminado para authorTcpPorts, el control falla si el grupo de seguridad permite el tráfico entrante sin restricciones desde cualquier puerto que no sea los puertos 80 y 443. Si proporcionas valores personalizados para AuthorizedTcpPorts o autorizadosUdpPorts, el control falla si el grupo de seguridad permite el tráfico entrante sin restricciones desde cualquier puerto no listado. Si no se usa ningún parámetro, el control falla para cualquier grupo de seguridad que tenga una regla de tráfico entrante sin restricciones. Los grupos de seguridad proporcionan filtrado con estado del tráfico de red de entrada y salida a AWS. Las reglas del grupo de seguridad deben seguir la principal del acceso de privilegio mínimo. El acceso no restringido (dirección IP con el sufijo /0) aumenta las posibilidades de que se produzcan actividades maliciosas, como hackeos, ataques de denegación del servicio y pérdida de datos. A menos que se permita específicamente un puerto, este debe denegar el acceso sin restricciones. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica que los grupos de seguridad con 0.0.0.0/0 de todas las VPC solo permitan tráfico de TCP/UDP entrante específico
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: Un túnel VPN es un vínculo encriptado en el que los datos pueden pasar de la red del cliente hacia o desde AWS dentro de una conexión de VPN de sitio a sitio de AWS. Cada conexión de VPN incluye dos túneles VPN que puedes usar simultáneamente para obtener alta disponibilidad. Asegurarse de que ambos túneles VPN están habilitados para una conexión de VPN es importante para confirmar una conexión segura y con alta disponibilidad entre una VPC de AWS y su red remota. Este control verifica que ambos túneles VPN proporcionados por la VPN de sitio a sitio de AWS estén en estado UP. El control falla si uno o ambos túneles están DISPONIBLES. Nivel de precios: Enterprise Estándares de cumplimiento:
|
Verifica que estén configurados los túneles VPN de AWS proporcionados por AWS entre sitios
|
Resultados de Web Security Scanner
Los análisis personalizados y administrados de Web Security Scanner identifican los siguientes tipos de resultados. En la En el nivel Estándar, Web Security Scanner es compatible con análisis personalizados de aplicaciones implementadas con las direcciones IP y las URL que no están detrás de un firewall.
| Categoría | Descripción del resultado | Los 10 mejores de OWASP de 2017 | Los 10 mejores de OWASP de 2021 |
|---|---|---|---|
|
Nombre de categoría en la API: |
Un repositorio de Git se expone públicamente. Para resolver este hallazgo, quita los errores involuntarios acceso público al repositorio de GIT. Nivel de precios: Estándar |
A5 | A01 |
|
Nombre de categoría en la API: |
Un repositorio de SVN se expone públicamente. Para resolver este resultado, quita el elemento público acceso involuntario al repositorio de SVN. Nivel de precios: Estándar |
A5 | A01 |
|
Nombre de categoría en la API: |
Las contraseñas ingresadas en la aplicación web se pueden almacenar en la caché de un navegador normal. de un almacenamiento seguro de contraseñas. Nivel de precios: Premium |
A3 | A04 |
|
Nombre de categoría en la API: |
Las contraseñas se transmiten en texto claro y se pueden interceptar. Para solucionar este problema, sigue estos pasos: y, así, encriptar la contraseña transmitida a través de la red. Nivel de precios: Estándar |
A3 | A02 |
|
Nombre de categoría en la API: |
Un extremo HTTP o HTTPS entre sitios valida solo un sufijo de Nivel de precios: Premium |
A5 | A01 |
|
Nombre de categoría en la API: |
Un extremo HTTP o HTTPS entre sitios valida solo un prefijo del Nivel de precios: Premium |
A5 | A01 |
|
Nombre de categoría en la API: |
Se cargó un recurso que no coincide con el encabezado HTTP de tipo de contenido de la respuesta Para
resolver este hallazgo, establece el encabezado HTTP Nivel de precios: Estándar |
A6 | A05 |
|
Nombre de categoría en la API: |
Un encabezado de seguridad tiene un error de sintaxis y los navegadores lo ignoran. Para resolver este hallazgo, los encabezados de seguridad HTTP correctamente. Nivel de precios: Estándar |
A6 | A05 |
|
Nombre de categoría en la API: |
Un encabezado de seguridad tiene valores duplicados y no coincidentes, lo que da como resultado un comportamiento indefinido. Para resolver este hallazgo, configura los encabezados de seguridad HTTP correctamente. Nivel de precios: Estándar |
A6 | A05 |
|
Nombre de categoría en la API: |
Un encabezado de seguridad está mal escrito y se ignora. Para resolver este hallazgo, configura HTTP encabezados de seguridad correctos. Nivel de precios: Estándar |
A6 | A05 |
|
Nombre de categoría en la API: |
Los recursos se envían a través de HTTP en una página HTTPS. Para resolver este hallazgo, asegúrate de que todos los recursos se entreguen a través de HTTPS. Nivel de precios: Estándar |
A6 | A05 |
|
Nombre de categoría en la API: |
Se detectó una biblioteca que tiene vulnerabilidades conocidas. Para resolver este hallazgo, actualiza bibliotecas a una versión más reciente. Nivel de precios: Estándar |
A9 | A06 |
|
Nombre de categoría en la API: |
Se detectó una vulnerabilidad de falsificación de solicitudes del servidor (SSRF). Para resolver este hallazgo, usar una lista de entidades permitidas para limitar los dominios y las direcciones IP que la aplicación web puede hacer a las que envían solicitudes. Nivel de precios: Estándar |
No aplicable | A10 |
|
Nombre de categoría en la API: |
Cuando se realiza una solicitud multidominio, la aplicación web incluye la sesión del usuario
identificador en su encabezado de solicitud Nivel de precios: Premium |
A2 | A07 |
|
Nombre de categoría en la API: |
Se detectó una posible vulnerabilidad de inyección de SQL. Para resolver este hallazgo, usa consultas con parámetros para evitar que las entradas del usuario influyan en la estructura del SQL para cada búsqueda. Nivel de precios: Premium |
A1 | A03 |
|
Nombre de categoría en la API: |
El uso de una versión vulnerable de Apache Struts se detectó. Para resolver este resultado, actualiza Apache Stuuts a la versión más reciente. Nivel de precios: Premium |
A8 | A08 |
|
Nombre de categoría en la API: |
Un campo en esta aplicación web es vulnerable a un ataque de secuencias de comandos entre sitios (XSS). Para resolver este hallazgo, validar y escapar de los datos que no son de confianza proporcionados por los usuarios. Nivel de precios: Estándar |
A7 | A03 |
|
Nombre de categoría en la API: |
La string proporcionada por el usuario no está escapadas y AngularJS puede interpolarla. Para solucionar este problema, sigue estos pasos: Buscar, validar y escapar los datos que no son de confianza proporcionados por los usuarios y que administra Angular en un framework de aplicaciones. Nivel de precios: Estándar |
A7 | A03 |
|
Nombre de categoría en la API: |
Un campo en esta aplicación web es vulnerable a un ataque de secuencia de comandos entre sitios. Para resolver este hallazgo, validar y escapar de los datos que no son de confianza proporcionados por los usuarios. Nivel de precios: Estándar |
A7 | A03 |
|
Nombre de categoría en la API: |
Se detectó una vulnerabilidad XML External Entity (XXE). Esta vulnerabilidad puede causar filtrar un archivo en el host. Para resolver este hallazgo, configura tu XML analizadores para inhabilitar entidades externas. Nivel de precios: Premium |
A4 | A05 |
|
Nombre de categoría en la API: |
La aplicación es vulnerable a la contaminación prototípica. Esta vulnerabilidad surge cuando
se pueden asignar propiedades del objeto Nivel de precios: Estándar |
A1 | A03 |
Hallazgos del recomendador de IAM
En la siguiente tabla, se enumeran los hallazgos de Security Command Center generados por Recomendador de IAM.
Cada hallazgo del recomendador de IAM contiene recomendaciones específicas para quitar o reemplaza un rol que incluya permisos excesivos de una principal en tu entorno de Google Cloud.
Los hallazgos que genera el recomendador de IAM corresponden recomendaciones que aparecen en la consola de Google Cloud en la Página IAM del proyecto afectado carpeta u organización.
Para obtener más información sobre la integración del recomendador de IAM con Security Command Center, consulta Fuentes de seguridad.
| Detector | Resumen |
|---|---|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El recomendador de IAM detectó una cuenta de servicio con uno o más roles de IAM que otorgan permisos excesivos al usuario de servicio predeterminada. Nivel de precios: Premium Recursos admitidos:
Corrige este resultado : Usa el recomendador de IAM para aplicar la corrección recomendada para este resultado de la siguiente manera: estos pasos:
Una vez que se soluciona el problema, el recomendador de IAM actualiza el estado del hallazgo a
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El recomendador de IAM detectó que el valor predeterminado original El rol de IAM otorgado a un agente de servicio se reemplazó por uno de los Roles de IAM: Propietario, Editor o Visualizador Los roles básicos son roles heredados demasiado permisivos y no deberían otorgarse a agentes de servicio. Nivel de precios: Premium Recursos admitidos:
Corrige este resultado : Usa el recomendador de IAM para aplicar la corrección recomendada para este resultado de la siguiente manera: estos pasos:
Una vez que se soluciona el problema, el recomendador de IAM actualiza el estado del hallazgo a
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El recomendador de IAM detectó que se le otorgó uno a un agente de servicio de los roles básicos de IAM: Propietario, Editor o Visualizador. Los roles básicos son roles heredados demasiado permisivos y no se deben otorgar a los agentes. Nivel de precios: Premium Recursos admitidos:
Corrige este resultado : Usa el recomendador de IAM para aplicar la corrección recomendada para este resultado de la siguiente manera: estos pasos:
Una vez que se soluciona el problema, el recomendador de IAM actualiza el estado del hallazgo a
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El recomendador de IAM detectó una cuenta de usuario que tiene un Rol de IAM que no se usó en los últimos 90 días. Nivel de precios: Premium Recursos admitidos:
Corrige este resultado : Usa el recomendador de IAM para aplicar la corrección recomendada para este resultado de la siguiente manera: estos pasos:
Una vez que se soluciona el problema, el recomendador de IAM actualiza el estado del hallazgo a
|
Hallazgos del CIEM
En la siguiente tabla, se enumeran los hallazgos sobre la identidad y el acceso de Security Command Center para AWS que se generan a través de la administración de derechos de infraestructura de nube (CIEM).
Los hallazgos del CIEM contienen recomendaciones específicas para quitar o reemplazar las políticas de IAM de AWS altamente permisivas asociadas con las identidades supuestas, usuarios o grupos en tu entorno de AWS.
Para obtener más información sobre CIEM, consulta Descripción general de la administración de derechos de la infraestructura de nube.
| Detector | Resumen |
|---|---|
|
Nombre de categoría en la API: |
Descripción del resultado: En tu entorno de AWS, CIEM detectó un rol de IAM supuesto que tiene una o más políticas muy permisivas que infringen la de principio de privilegio mínimo y aumentar los riesgos de seguridad. Nivel de precios: Enterprise Corrige este resultado : Según el hallazgo, usa la consola de administración de AWS para realizar una de las siguientes acciones tareas de corrección:
Consulta los detalles del hallazgo para conocer los pasos de corrección específicos. |
|
Nombre de categoría en la API: |
Descripción del hallazgo: En tu entorno de AWS, CIEM detectó un problema de IAM que tiene una o más políticas muy permisivas que infringen el principio de los privilegios y aumentar los riesgos de seguridad. Nivel de precios: Enterprise Corrige este resultado : Según el hallazgo, usa la consola de administración de AWS para realizar una de las siguientes acciones tareas de corrección:
Consulta los detalles del hallazgo para conocer los pasos de corrección específicos. |
|
Nombre de categoría en la API: |
Descripción del hallazgo: En tu entorno de AWS, CIEM detectó un problema de IAM usuario que tiene una o más políticas muy permisivas que infringen el principio de privilegios y aumentar los riesgos de seguridad. Nivel de precios: Enterprise Corrige este resultado : Según el hallazgo, usa la consola de administración de AWS para realizar una de las siguientes acciones tareas de corrección:
Consulta los detalles del hallazgo para conocer los pasos de corrección específicos. |
Hallazgos del servicio de postura de seguridad
En la siguiente tabla, se enumeran los hallazgos de Security Command Center generados por el servicio de postura de seguridad.
Cada hallazgo del servicio de postura de seguridad identifica una instancia de desviación de tu postura de seguridad definida.
| Buscando | Resumen |
|---|---|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El servicio de postura de seguridad detectó un cambio en un Detector de Security Health Analytics que ocurrió fuera de una actualización de postura. Nivel de precios: Premium
Corrige este resultado : Este hallazgo requiere que aceptes el cambio o lo reviertas, de modo que el del detector en tu postura y en tu entorno. Tienes dos opciones para resuelve este hallazgo: puedes actualizar el detector de Security Health Analytics o y la implementación de la postura. Para revertir el cambio, actualiza el detector de Security Health Analytics en la consola de Google Cloud. Para obtener instrucciones, consulta Inhabilita y habilita los detectores. Para aceptar el cambio, haz lo siguiente:
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El servicio de postura de seguridad detectó un cambio en un Módulo personalizado de Security Health Analytics que ocurrió fuera de una actualización de postura. Nivel de precios: Premium Corrige este resultado : Este hallazgo requiere que aceptes el cambio o lo reviertas, de modo que la campaña de los módulos en tu postura y en tu entorno. Tienes dos opciones para resuelve este hallazgo: puedes actualizar el módulo personalizado de Security Health Analytics o y la implementación de la postura. Para revertir el cambio, actualiza el módulo personalizado de Estadísticas del estado de seguridad en la Consola de Google Cloud Para obtener instrucciones, consulta Actualiza un módulo personalizado. Para aceptar el cambio, haz lo siguiente:
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El servicio de postura de seguridad detectó que un Se borró el módulo personalizado de Security Health Analytics. Esta eliminación se produjo fuera de una postura actualización. Nivel de precios: Premium Corrige este resultado : Este hallazgo requiere que aceptes el cambio o lo reviertas, de modo que la campaña de los módulos en tu postura y en tu entorno. Tienes dos opciones para resuelve este hallazgo: puedes actualizar el módulo personalizado de Security Health Analytics o y la implementación de la postura. Para revertir el cambio, actualiza el módulo personalizado de Estadísticas del estado de seguridad en la Consola de Google Cloud Para obtener instrucciones, consulta Actualiza un módulo personalizado. Para aceptar el cambio, haz lo siguiente:
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El servicio de postura de seguridad detectó un cambio en un política de la organización que ocurrieron fuera de una actualización de postura. Nivel de precios: Premium Corrige este resultado : Este hallazgo requiere que aceptes el cambio o lo reviertas, de modo que el las definiciones de las políticas de la organización en tu postura y en tu entorno. Tienes dos para resolver este hallazgo: puedes actualizar la política de la organización o actualizar y su implementación. Para revertir el cambio, actualiza la política de la organización en la consola de Google Cloud. Para consulta las instrucciones Crear y editar políticas Para aceptar el cambio, haz lo siguiente:
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El servicio de postura de seguridad detectó que un se borró la política de la organización. Esta eliminación se produjo fuera de una actualización de postura. Nivel de precios: Premium Corrige este resultado : Este hallazgo requiere que aceptes el cambio o lo reviertas, de modo que el las definiciones de las políticas de la organización en tu postura y en tu entorno. Tienes dos para resolver este hallazgo: puedes actualizar la política de la organización o actualizar y su implementación. Para revertir el cambio, actualiza la política de la organización en la consola de Google Cloud. Para consulta las instrucciones Crear y editar políticas Para aceptar el cambio, haz lo siguiente:
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El servicio de postura de seguridad detectó un cambio en un una política de la organización personalizada que ocurrió fuera de una actualización de postura. Nivel de precios: Premium Corrige este resultado : Este hallazgo requiere que aceptes el cambio o lo reviertas, de modo que la campaña las definiciones de las políticas de la organización en tu postura y en tu entorno. Tienes dos para resolver este hallazgo: puedes actualizar la política de la organización personalizada o y actualizar la postura y el Deployment de la postura. Para revertir el cambio, actualiza la política personalizada de la organización en Consola de Google Cloud Para obtener instrucciones, consulta Actualiza una restricción personalizada. Para aceptar el cambio, haz lo siguiente:
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El servicio de postura de seguridad detectó que una imagen se borró la política de la organización. Esta eliminación se produjo fuera de una actualización de postura. Nivel de precios: Premium Corrige este resultado : Este hallazgo requiere que aceptes el cambio o lo reviertas, de modo que la campaña las definiciones de las políticas de la organización en tu postura y en tu entorno. Tienes dos para resolver este hallazgo: puedes actualizar la política de la organización personalizada o y actualizar la postura y el Deployment de la postura. Para revertir el cambio, actualiza la política personalizada de la organización en Consola de Google Cloud Para obtener instrucciones, consulta Actualiza una restricción personalizada. Para aceptar el cambio, haz lo siguiente:
|
En la siguiente tabla, se enumeran los hallazgos de la postura de seguridad que identifican infracciones de recursos contra tu postura de seguridad definida.
| Buscando | Resumen |
|---|---|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El servicio de postura de seguridad detectó que un subred tiene una dirección IPv6 externa habilitada. Nivel de precios: Premium Corrige este resultado : Tienes dos opciones para resolver este hallazgo: borrar el recurso infractor o puedes actualizar la postura y volver a implementarla. Para borrar el recurso, completa los siguientes pasos:
Si quieres mantener el recurso en la misma configuración, debes actualizar el de seguridad y garantizar la postura de seguridad en general. Para actualizar la postura, completa los siguientes pasos:
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El servicio de postura de seguridad detectó que un subred tiene una dirección IPv6 interna habilitada. Nivel de precios: Premium Corrige este resultado : Tienes dos opciones para resolver este hallazgo: borrar el recurso infractor o puedes actualizar la postura y volver a implementarla. Para borrar el recurso, completa los siguientes pasos:
Si quieres mantener el recurso en la misma configuración, debes actualizar el de seguridad y garantizar la postura de seguridad en general. Para actualizar la postura, completa los siguientes pasos:
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El servicio de postura de seguridad detectó que Acceso al SO está inhabilitada en una instancia de VM. Nivel de precios: Premium Corrige este resultado : Tienes dos opciones para resolver este hallazgo: puedes actualizar el recurso infractor o puedes actualizar la postura y volver a implementarla. Para actualizar el recurso, completa los siguientes pasos:
Si quieres mantener el recurso en la misma configuración, debes actualizar el de seguridad y garantizar la postura de seguridad en general. Para actualizar la postura, completa los siguientes pasos:
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El servicio de postura de seguridad detectó que un una red autorizada a una instancia de SQL. Nivel de precios: Premium Corrige este resultado : Este hallazgo requiere que corrijas el incumplimiento o actualices la postura. Tienes dos para resolver este hallazgo: puedes actualizar el recurso infractor o puedes actualizar la postura y volver a implementarla. Para actualizar el recurso, completa los siguientes pasos:
Si quieres mantener el recurso en la misma configuración, debes actualizar el de seguridad y garantizar la postura de seguridad en general. Para actualizar la postura, completa los siguientes pasos:
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El servicio de postura de seguridad detectó que una VPC el conector no está habilitado para una instancia de Cloud Run. Nivel de precios: Premium Corrige este resultado : Tienes dos opciones para resolver este hallazgo: puedes actualizar el recurso infractor o puedes actualizar la postura y volver a implementarla. Para actualizar el recurso, completa los siguientes pasos:
Si quieres mantener el recurso en la misma configuración, debes actualizar el de seguridad y garantizar la postura de seguridad en general. Para actualizar la postura, completa los siguientes pasos:
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El servicio de postura de seguridad detectó que el número de el acceso de puerto a una instancia de VM. Nivel de precios: Premium Corrige este resultado : Tienes dos opciones para resolver este hallazgo: puedes actualizar el recurso infractor o puedes actualizar la postura y volver a implementarla. Para actualizar el recurso, completa los siguientes pasos:
Si quieres mantener el recurso en la misma configuración, debes actualizar el de seguridad y garantizar la postura de seguridad en general. Para actualizar la postura, completa los siguientes pasos:
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El servicio de postura de seguridad detectó que un valor predeterminado red de VPC. Nivel de precios: Premium Corrige este resultado : Tienes dos opciones para resolver este hallazgo: borrar el recurso infractor o puedes actualizar la postura y volver a implementarla. Para borrar el recurso, completa los siguientes pasos:
Si quieres mantener el recurso en la misma configuración, debes actualizar el de seguridad y garantizar la postura de seguridad en general. Para actualizar la postura, completa los siguientes pasos:
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El servicio de postura de seguridad detectó que un El servicio de Cloud Run no cumple con la configuración de entrada especificada. Nivel de precios: Premium Corrige este resultado : Tienes dos opciones para resolver este hallazgo: puedes actualizar el recurso infractor o puedes actualizar la postura y volver a implementarla. Para actualizar el recurso, completa los siguientes pasos:
Si quieres mantener el recurso en la misma configuración, debes actualizar el de seguridad y garantizar la postura de seguridad en general. Para actualizar la postura, completa los siguientes pasos:
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El servicio de postura de seguridad detectó que un el acceso a nivel de bucket es detallado, no uniforme. Nivel de precios: Premium Corrige este resultado : Tienes dos opciones para resolver este hallazgo: puedes actualizar el recurso infractor o puedes actualizar la postura y volver a implementarla. Para actualizar el recurso, completa los siguientes pasos:
Si quieres mantener el recurso en la misma configuración, debes actualizar el de seguridad y garantizar la postura de seguridad en general. Para actualizar la postura, completa los siguientes pasos:
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El servicio de postura de seguridad detectó que un El servicio de Cloud Run no cumple con la configuración de salida especificada. Nivel de precios: Premium Corrige este resultado : Tienes dos opciones para resolver este hallazgo: puedes actualizar el recurso infractor o puedes actualizar la postura y volver a implementarla. Para actualizar el recurso, completa los siguientes pasos:
Si quieres mantener el recurso en la misma configuración, debes actualizar el de seguridad y garantizar la postura de seguridad en general. Para actualizar la postura, completa los siguientes pasos:
|
VM Manager
VM Manager es un conjunto de herramientas que se pueden usar en la administración de sistemas operativos para flotas de máquinas virtuales (VM) grandes que ejecutan Windows y Linux en Compute Engine.
Si habilitas VM Manager con Security Command Center Premium a nivel de la organización, VM Manager escribe los hallazgos de sus informes de vulnerabilidades, que están en vista previa, a Security Command Center. Los informes identifican vulnerabilidades en sistemas operativos instalados en las VMs, como Vulnerabilidades y exposiciones comunes (CVE).
Para usar VM Manager con activaciones a nivel de proyecto de Security Command Center Premium, activa Security Command Center Standard organización principal.
Los informes de vulnerabilidad no están disponibles para la versión estándar de Security Command Center.
Los resultados simplifican el proceso de usar la función de cumplimiento de parches de VM Manager, que está en vista previa. La función te permite realizar administración de parches a nivel de la organización en todos tus proyectos.
La gravedad de los hallazgos de vulnerabilidades que se reciben desde
VM Manager siempre es CRITICAL o HIGH.
Resultados de VM Manager
Las vulnerabilidades de este tipo se relacionan con paquetes instalados de sistema operativo en las VM de Compute Engine compatibles.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
|
Nombre de categoría en la API: |
Descripción del hallazgo: VM Manager detectó una vulnerabilidad en el un paquete de sistema operativo (SO) instalado para una VM de Compute Engine. Nivel de precios: Premium Recursos admitidos |
VM Manager informes de vulnerabilidad detallan vulnerabilidades en paquetes de sistemas operativos instalados para Compute Engine VMs, incluidas Vulnerabilidades y exposiciones comunes (CVE). Para obtener una lista completa de los sistemas operativos compatibles, consulta Detalles del sistema operativo. Los hallazgos aparecen en Security Command Center poco después de que se detectan vulnerabilidades. Los informes de vulnerabilidad en VM Manager se generan de la siguiente manera:
|
Solución de los resultados de VM Manager
Un hallazgo de OS_VULNERABILITY indica que VM Manager encontró una vulnerabilidad en los paquetes del sistema operativo instalados en una VM de Compute Engine.
Para solucionar el problema, haz lo siguiente:
Ve a la página Configuración en Security Command Center.
Si es necesario, selecciona tu organización o proyecto de Google Cloud.
En la subsección Categoría de Filtros rápidos, selecciona Vulnerabilidad del SO. Los resultados de la búsqueda se filtran para mostrar solo los hallazgos de vulnerabilidades del SO.
En la columna Categoría de la lista Resultados de la búsqueda, haz clic en nombre de categoría del hallazgo que estás solucionando. La página de detalles del Se abrirá la vulnerabilidad del SO.
Haz clic en la pestaña JSON. Se muestra el JSON de este hallazgo.
Copia el valor del campo
externalUri. Este valor es el URI del página Información del SO de la instancia de VM de Compute Engine en la que un sistema operativo vulnerable.Aplica todos los parches adecuados para el SO que se muestra en la sección Información básica. sección. Para obtener instrucciones sobre la implementación de parches, consulta Crea trabajos de aplicación de parches.
Más información sobre los los recursos admitidos y la configuración del análisis.
Revisa los resultados en la consola de Google Cloud
Usa el siguiente procedimiento para revisar los resultados en la consola de Google Cloud:
Ve a la pestaña Resultados de Security Command Center en la consola de Google Cloud.
Si es necesario, selecciona tu organización o proyecto de Google Cloud.
En la sección Filtros rápidos, en la subsección Nombre visible de origen, selecciona VM Manager.
La tabla se propaga con los resultados de VM Manager.
Para ver los detalles de un resultado específico, haz clic en el nombre del resultado en
Category. Se abre el panel de detalles para el hallazgo y se muestra La pestaña ResumenEn la pestaña Resumen, revisa la información sobre el hallazgo, incluidos los siguientes: información sobre lo que se detectó, el recurso afectado y más.
Para obtener información sobre cómo corregir los resultados de VM Manager, consulta Soluciona los resultados de VM Manager.
Silenciar los resultados de VM Manager
Es posible que quieras ocultar algunos o todos los resultados de VM Manager en Security Command Center si no son relevantes para tus requisitos de seguridad.
Puedes ocultar los resultados de VM Manager de las siguientes maneras: crear una regla de silenciamiento y agregar atributos de consulta específicos de los hallazgos de VM Manager que quieres ocultar.
Para crear una regla de silencio para VM Manager con el La consola de Google Cloud, haz lo siguiente:
En la consola de Google Cloud, ve a la página Hallazgos de Security Command Center.
Si es necesario, selecciona tu organización o proyecto de Google Cloud.
Haz clic en Opciones de silencio y, luego, selecciona Crear regla de silencio.
Ingresa un ID de regla de silenciamiento. Es obligatorio ingresar este valor.
Ingresa una descripción de la regla de silencio que proporcione contexto sobre por qué se muestran los resultados. silenciado. Este valor es opcional, pero se recomienda.
Para confirmar el alcance de la regla de silencio, consulta el Recurso superior. valor.
En el campo Consulta de resultados, crea tus instrucciones de consulta. Para ello, haz clic en Agrega un filtro. También puedes escribir las instrucciones de la consulta manualmente.
En el diálogo Seleccionar filtro, elige Hallazgo > Nombre visible de la fuente > VM Manager
Haz clic en Aplicar.
Repite estos pasos hasta que la consulta silenciada contenga todos los atributos que deseas ocultar.
Por ejemplo, si quieres ocultar IDs de CVE específicos en el Hallazgos de vulnerabilidades de VM Manager, selecciona Vulnerabilidad > ID de CVE y, luego, selecciona los IDs de CVE que deseas ocultar.
La consulta de hallazgo es similar a la siguiente:
Haz clic en Obtener vista previa de los resultados coincidentes.
En una tabla, se muestran los resultados que coinciden con tu consulta.
Haz clic en Guardar.
Protección de datos sensibles
En esta sección, se describen los hallazgos de vulnerabilidades Sensitive Data Protection genera, los estándares de cumplimiento que admite y cómo corregir los hallazgos.
Sensitive Data Protection también envía hallazgos observacionales a Security Command Center. Para obtener más información sobre los hallazgos de la observación y Sensitive Data Protection, consulta Protección de datos sensibles.
Para obtener información sobre cómo ver los resultados, consulta Revisa los hallazgos de Sensitive Data Protection en la consola de Google Cloud.
El servicio de descubrimiento de Sensitive Data Protection te ayuda a determinar si: para almacenar datos muy sensibles que no están protegidos.
| Categoría | Resumen |
|---|---|
|
Nombre de la categoría en la API:
|
Descripción del resultado: el recurso especificado tiene datos de alta sensibilidad al que todos pueden acceder desde Internet. Recursos admitidos:
Solución: Para los datos de Google Cloud, quita Para los datos de Amazon S3, establecer la configuración del bloqueo de acceso público o actualizar la LCA del objeto para denegar el acceso de lectura pública. Estándares de cumplimiento: Sin asignación |
|
Nombre de la categoría en la API:
|
Descripción del hallazgo: Hay Secret, como como contraseñas, tokens de autenticación y credenciales de Google Cloud, en Variables de entorno de las funciones de Cloud Run. Para habilitar este detector, consulta Informa los secretos en las variables de entorno a Security Command Center en la documentación de Protección de datos sensibles. Recursos admitidos:
Solución: Quita el secreto de la variable de entorno y guárdalo en Secret Manager en su lugar. Estándares de cumplimiento:
|
|
Nombre de la categoría en la API:
|
Descripción del hallazgo: Hay Secret, como contraseñas, tokens de autenticación y credenciales de nube, en el recurso. Recursos admitidos:
Solución:
Estándares de cumplimiento: Sin asignación |
Policy Controller
Controlador de políticas permite la aplicación de políticas programables para tu Clústeres de Kubernetes registrados como membresías de flota. Estas políticas actúan como resguardos y pueden ayudar con las prácticas recomendadas, la seguridad y el cumplimiento de los clústeres y la flota.
En esta página, no se enumeran todos los resultados individuales de Policy Controller, pero
información sobre los resultados de la clase Misconfiguration que el controlador de políticas
las escrituras en Security Command Center son las mismas que las infracciones del clúster documentadas
para cada paquete de Policy Controller. Documentación para el individuo
Los tipos de resultados de Policy Controller se encuentran en los siguientes paquetes de Policy Controller:
CIS para Kubernetes Benchmark v1.5.1, un conjunto de recomendaciones para configurar Kubernetes de modo que respalde una política de seguridad en la nube. También puedes ver información sobre este paquete en la Repositorio de GitHub para
cis-k8s-v1.5.1.PCI-DSS v3.2.1 un paquete que evalúa el cumplimiento de los recursos del clúster en función algunos aspectos de las Normas de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) Versión 3.2.1. También puedes ver información sobre este paquete en el Repositorio de GitHub para
pci-dss-v3.
Esta función no es compatible con los perímetros de servicio de los Controles del servicio de VPC en torno a la API de Stackdriver.
Encuentra y soluciona los hallazgos de Policy Controller
Las categorías de Policy Controller corresponden a los nombres de las restricciones que se enumeran en
en la documentación de paquetes de Policy Controller. Por ejemplo, un
require-namespace-network-policies
hallazgo indica que un espacio de nombres infringe la política de que cada espacio de nombres en un
tiene un NetworkPolicy.
Para corregir un hallazgo, haz lo siguiente:
Ve a la página Configuración en Security Command Center.
Si es necesario, selecciona tu organización o proyecto de Google Cloud.
En la subsección Categoría de Filtros rápidos, selecciona el nombre de la Se encontró el controlador de políticas que deseas corregir. Los resultados de la consulta de resultados se filtran para mostrar solo los resultados de esa categoría.
En la columna Categoría de la lista Resultados de la búsqueda, haz clic en nombre de categoría del hallazgo que estás solucionando. La página de detalles del se abre.
En la pestaña Resumen, revisa la información sobre el hallazgo, incluidos los siguientes: información sobre lo que se detectó, el recurso afectado y más.
En el encabezado Próximos pasos, revisa la información sobre cómo solucionar el hallazgo, incluidos los vínculos a la documentación de Kubernetes sobre el problema.
¿Qué sigue?
Aprende a hacer lo siguiente: Usar Security Health Analytics.
Aprende a hacer lo siguiente: Usar Web Security Scanner.
Lee las sugerencias para corregir los resultados de Security Health Analytics y remediar los resultados de Web Security Scanner.