Vulnerabilità rilevate

I rilevatori di Rapid Vulnerability Detection, Security Health Analytics e Web Security Scanner generano risultati di vulnerabilità disponibili in Security Command Center. Una volta abilitati in Security Command Center, anche i servizi integrati, come VM Manager, generano rilevazioni di vulnerabilità.

La tua capacità di visualizzare e modificare i risultati è determinata dai ruoli IAM (Identity and Access Management) e dalle autorizzazioni che ti vengono assegnati. Per maggiori informazioni sui ruoli IAM in Security Command Center, consulta Controllo dell'accesso.

Rilevatori e conformità

Security Command Center monitora la tua conformità con i rilevatori mappati ai controlli di un'ampia gamma di standard di sicurezza.

Per ogni standard di sicurezza supportato, Security Command Center controlla un sottoinsieme di controlli. Per i controlli selezionati, Security Command Center mostra quanti controlli vengono superati. Per i controlli che non vengono superati, Security Command Center mostra un elenco dei risultati che descrivono gli errori dei controlli.

Il CIS esamina e certifica le mappature dei rilevatori di Security Command Center a ogni versione supportata del benchmark CIS Google Cloud Foundations Benchmark. Ulteriori mapping di conformità sono inclusi solo a scopo di riferimento.

Security Command Center aggiunge periodicamente il supporto per nuovi standard e versioni di benchmark. Le versioni precedenti rimangono supportate, ma alla fine verranno ritirate. Ti consigliamo di utilizzare l'ultimo benchmark o standard supportato disponibile.

Con il servizio della postura di sicurezza, puoi mappare i criteri dell'organizzazione e i rilevatori di Security Health Analytics agli standard e ai controlli applicabili alla tua azienda. Dopo aver creato una postura di sicurezza, puoi monitorare eventuali modifiche all'ambiente che potrebbero influire sulla conformità della tua azienda.

Per maggiori informazioni sulla gestione della conformità, consulta Valutare e segnalare la conformità agli standard di sicurezza.

Standard di sicurezza supportati su Google Cloud

Security Command Center mappa i rilevatori per Google Cloud a uno o più dei seguenti standard di conformità:

• Center for Information Security (CIS) Controls 8.0
• Benchmark CIS Google Cloud Computing Foundations v2.0.0, v1.3.0, v1.2.0, v1.1.0 e v1.0.0
• Benchmark CIS per Kubernetes v1.5.1
• Cloud Controls Matrix (CCM) 4
• HIPAA (Health Insurance Portability and Accountability Act)
• Organizzazione internazionale per la standardizzazione (ISO) 27001, 2022 e 2013
• National Institute of Standards and Technology (NIST) 800-53 R5 e R4
• CSF NIST 1.0
• Open Web Application Security Project (OWASP) Top Ten, 2021 e 2017
• Payment Card Industry Data Security Standard (PCI DSS) 4.0 e 3.2.1
• Controlli di sistema e dell'organizzazione (SOC) 2 Criteri per i servizi attendibili 2017 (TSC)

Standard di sicurezza supportati su AWS

Security Command Center mappa i rilevatori per Amazon Web Services (AWS) a uno o più dei seguenti standard di conformità:

• CIS Amazon Web Services Foundations 2.0.0
• Controlli CIS 8.0
• CCM 4
• HIPAA
• ISO 27001 2022
• NIST 800-53 R5
• CSF NIST 1.0
• PCI DSS 4.0 e 3.2.1
• SOC 2 TSC 2017

Per istruzioni su come visualizzare ed esportare i report di conformità, consulta la sezione Conformità in Utilizzare Security Command Center nella console Google Cloud.

Individuazione della disattivazione dopo la correzione

Dopo aver corretto un risultato di vulnerabilità o di configurazione errata, il servizio Security Command Center che ha rilevato il risultato imposta automaticamente lo stato del risultato su INACTIVE la prossima volta che il servizio di rilevamento analizza il risultato. Il tempo necessario a Security Command Center per impostare un risultato corretto su INACTIVE dipende dalla pianificazione della scansione che rileva il risultato.

I servizi Security Command Center impostano anche lo stato di una vulnerabilità o di un risultato di configurazione errata su INACTIVE quando una scansione rileva che la risorsa interessata dal risultato viene eliminata.

Per ulteriori informazioni sugli intervalli di scansione, consulta i seguenti argomenti:

• Tipi di analisi di Security Health Analytics
• Latenza e intervallo dell'analisi di Rapid Vulnerability Detection
• Tipi di scansione di Web Security Scanner

Risultati di Security Health Analytics

I rilevatori di Security Health Analytics monitorano un sottoinsieme di risorse di Cloud Asset Inventory (CAI), ricevendo notifiche relative alle modifiche ai criteri delle risorse e di Identity and Access Management (IAM). Alcuni rilevatori recuperano i dati chiamando direttamente le API Google Cloud, come indicato nelle tabelle più avanti in questa pagina.

Per ulteriori informazioni su Security Health Analytics, sulle pianificazioni delle scansioni e sul supporto di Security Health Analytics per rilevatori di moduli sia integrati che personalizzati, consulta Panoramica di Security Health Analytics.

Le seguenti tabelle descrivono i rilevatori di Security Health Analytics, gli asset e gli standard di conformità supportati, le impostazioni che utilizzano per le analisi e i tipi di rilevamento generati. Puoi filtrare i risultati in base a vari attributi utilizzando la pagina Vulnerabilità di Security Command Center nella console Google Cloud.

Per istruzioni su come risolvere i problemi e proteggere le risorse, consulta Correzione dei risultati di Security Health Analytics.

Risultati relativi alle vulnerabilità delle chiavi API

Il rilevatore API_KEY_SCANNER identifica le vulnerabilità relative alle chiavi API utilizzate nel deployment cloud.

Tabella 1. Scanner chiavi API

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
API key APIs unrestricted Nome categoria nell'API: API_KEY_APIS_UNRESTRICTED	Descrizione del risultato: alcune chiavi API vengono utilizzate in modo troppo ampio. Per risolvere il problema, limita l'utilizzo delle chiavi API per consentire solo le API necessarie per l'applicazione. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 1.12 CIS GCP Foundation 1.1: 1.14 CIS GCP Foundation 1.2: 1.14 CIS GCP Foundation 1.3: 1.14 CIS GCP Foundation 2.0: 1.14 NIST 800-53 R5: PL-8, SA-8 PCI-DSS v4.0: 2.2.2, 6.2.1 ISO-27001 v2022: A.8.27 Cloud Controls Matrix 4: DSP-07 NIST Cybersecurity Framework 1.0: PR-IP-2 CIS Controls 8.0: 16.10	Recupera la proprietà restrictions di tutte le chiavi API in un progetto, controllando se una è impostata su cloudapis.googleapis.com. Scansioni in tempo reale: sì
API key apps unrestricted Nome categoria nell'API: API_KEY_APPS_UNRESTRICTED	Ricerca della descrizione: esistono chiavi API utilizzate senza limitazioni, che consentono l'utilizzo da parte di qualsiasi app non attendibile. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 1.11 CIS GCP Foundation 1.1: 1.13 CIS GCP Foundation 1.2: 1.13 CIS GCP Foundation 1.3: 1.13 CIS GCP Foundation 2.0: 1.13	Recupera la proprietà restrictions di tutte le chiavi API in un progetto, controllando se è impostato browserKeyRestrictions, serverKeyRestrictions, androidKeyRestrictions o iosKeyRestrictions. Scansioni in tempo reale: sì
API key exists Nome categoria nell'API: API_KEY_EXISTS	Descrizione del risultato: un progetto utilizza chiavi API anziché l'autenticazione standard. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 1.10 CIS GCP Foundation 1.1: 1.12 CIS GCP Foundation 1.2: 1.12 CIS GCP Foundation 1.3: 1.12 CIS GCP Foundation 2.0: 1.12 NIST 800-53 R5: PL-8, SA-8 PCI-DSS v4.0: 2.2.2, 6.2.1 ISO-27001 v2022: A.8.27 Cloud Controls Matrix 4: DSP-07 NIST Cybersecurity Framework 1.0: PR-IP-2 CIS Controls 8.0: 16.10	Recupera tutte le chiavi API di proprietà di un progetto. Scansioni in tempo reale: sì
API key not rotated Nome categoria nell'API: API_KEY_NOT_ROTATED	Descrizione originale: la chiave API non viene ruotata per più di 90 giorni. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 1.13 CIS GCP Foundation 1.1: 1.15 CIS GCP Foundation 1.2: 1.15 CIS GCP Foundation 1.3: 1.15 CIS GCP Foundation 2.0: 1.15 NIST 800-53 R5: PL-8, SA-8 PCI-DSS v4.0: 2.2.2, 6.2.1 ISO-27001 v2022: A.8.27 Cloud Controls Matrix 4: DSP-07 NIST Cybersecurity Framework 1.0: PR-IP-2 CIS Controls 8.0: 16.10	Recupera il timestamp contenuto nella proprietà createTime di tutte le chiavi API, controllando se sono trascorsi 90 giorni. Scansioni in tempo reale: sì

Risultati di vulnerabilità di Cloud Asset Inventory

Le vulnerabilità di questo tipo di rilevatore sono correlate alle configurazioni di Cloud Asset Inventory e appartengono al tipo CLOUD_ASSET_SCANNER.

Tabella 2. Scanner Cloud Asset Inventory

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
Cloud Asset API disabled Nome categoria nell'API: CLOUD_ASSET_API_DISABLED	Descrizione della funzionalità: l'acquisizione delle risorse Google Cloud e dei criteri IAM da parte di Cloud Asset Inventory consente l'analisi della sicurezza, il monitoraggio delle modifiche delle risorse e i controlli di conformità. Ti consigliamo di abilitare il servizio Cloud Asset Inventory per tutti i progetti. Questo rilevatore richiede una configurazione aggiuntiva per essere abilitato. Per le istruzioni, consulta Abilitare e disabilitare i rilevatori. Livello di prezzo: Premium Asset supportati pubsub.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.3: 2.13 CIS GCP Foundation 2.0: 2.13 NIST 800-53 R5: CM-8, PM-5 PCI-DSS v4.0: 11.2.1, 11.2.2, 12.5.1, 9.5.1, 9.5.1.1 ISO-27001 v2022: A.5.9, A.8.8 Cloud Controls Matrix 4: UEM-04 NIST Cybersecurity Framework 1.0: ID-AM-1, PR-DS-3 SOC2 v2017: CC3.2.6, CC6.1.1 HIPAA: 164.310(d)(2)(iii) CIS Controls 8.0: 1.1, 6.6	Verifica se il servizio Cloud Asset Inventory è abilitato. Scansioni in tempo reale: sì

Risultati di vulnerabilità delle immagini Compute

Il rilevatore COMPUTE_IMAGE_SCANNER identifica le vulnerabilità relative alle configurazioni delle immagini Google Cloud.

Tabella 3. Scanner di immagini Compute

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
Public Compute image Nome categoria nell'API: PUBLIC_COMPUTE_IMAGE	Descrizione del risultato: un'immagine Compute Engine è accessibile pubblicamente. Livello di prezzo: Premium o Standard Asset supportati compute.googleapis.com/Image Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata ad alcun controllo standard di conformità.	Controlla il criterio di autorizzazione IAM nei metadati delle risorse per trovare le entità allUsers o allAuthenticatedUsers, che concedono l'accesso pubblico. Scansioni in tempo reale: sì

Risultati di vulnerabilità delle istanze Compute

Il rilevatore COMPUTE_INSTANCE_SCANNER identifica le vulnerabilità correlate alle configurazioni delle istanze Compute Engine.

I rilevatori COMPUTE_INSTANCE_SCANNER non segnalano risultati sulle istanze di Compute Engine create da GKE. Queste istanze hanno nomi che iniziano con "gke-", che gli utenti non possono modificare. Per proteggere queste istanze, consulta la sezione Risultati relativi alle vulnerabilità dei container.

Tabella 4. Scanner istanze Compute

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
Confidential Computing disabled Nome categoria nell'API: CONFIDENTIAL_COMPUTING_DISABLED	Descrizione del risultato: Confidential Computing è disabilitato su un'istanza di Compute Engine. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 4.11 CIS GCP Foundation 1.3: 4.11 CIS GCP Foundation 2.0: 4.11 NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS Controls 8.0: 3.11	Controlla la proprietà confidentialInstanceConfig dei metadati dell'istanza per la coppia chiave-valore "enableConfidentialCompute":true. Asset esclusi dalle analisi: Istanze GKE Accesso VPC serverless Istanze correlate ai job Dataflow Istanze di Compute Engine che non sono di tipo N2D Scansioni in tempo reale: sì
Compute project wide SSH keys allowed Nome categoria nell'API: COMPUTE_PROJECT_WIDE_SSH_KEYS_ALLOWED	Descrizione del testo: vengono utilizzate chiavi SSH a livello di progetto che consentono l'accesso a tutte le istanze del progetto. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 4.2 CIS GCP Foundation 1.1: 4.3 CIS GCP Foundation 1.2: 4.3 CIS GCP Foundation 1.3: 4.3 CIS GCP Foundation 2.0: 4.3 NIST 800-53 R5: AC-17, IA-5, SC-8 PCI-DSS v4.0: 2.2.7, 4.1.1, 4.2.1, 4.2.1.2, 4.2.2, 8.3.2 ISO-27001 v2022: A.5.14 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-2 SOC2 v2017: CC6.1.11, CC6.1.3, CC6.1.8, CC6.7.2 HIPAA: 164.312(a)(2)(iv), 164.312(e)(1), 164.312(e)(2)(i), 164.312(e)(2)(ii) CIS Controls 8.0: 3.10, 5.2	Controlla l'oggetto metadata.items[] nei metadati dell'istanza per la coppia chiave-valore "key": "block-project-ssh-keys", "value": TRUE. Asset esclusi dalle analisi: istanze GKE, job Dataflow, istanza Windows Autorizzazioni IAM aggiuntive: roles/compute.Viewer Input aggiuntivi: legge i metadati da Compute Engine Scansioni in tempo reale: no
Compute Secure Boot disabled Nome categoria nell'API: COMPUTE_SECURE_BOOT_DISABLED	Descrizione del risultato: per questa Shielded VM non è abilitato l'avvio protetto. L'utilizzo dell'Avvio protetto consente di proteggere le istanze delle macchine virtuali da minacce avanzate come rootkit e bootkit. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Instance Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata ad alcun controllo standard di conformità.	Controlla la proprietà shieldedInstanceConfig sulle istanze di Compute Engine per determinare se enableSecureBoot è impostato su true. Questo rilevatore verifica se i dischi collegati sono compatibili con l'Avvio protetto e l'Avvio protetto abilitato. Asset esclusi dalle analisi: istanze GKE, dischi Compute Engine con acceleratori GPU e che non utilizzano Container-Optimized OS, accesso VPC serverless Scansioni in tempo reale: sì
Compute serial ports enabled Nome categoria nell'API: COMPUTE_SERIAL_PORTS_ENABLED	Descrizione del risultato: le porte seriali sono abilitate per un'istanza, consentendo le connessioni alla console seriale dell'istanza. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 4.4 CIS GCP Foundation 1.1: 4.5 CIS GCP Foundation 1.2: 4.5 CIS GCP Foundation 1.3: 4.5 CIS GCP Foundation 2.0: 4.5 NIST 800-53 R5: CM-6, CM-7 PCI-DSS v4.0: 1.2.5, 2.2.4, 6.4.1 ISO-27001 v2022: A.8.9 SOC2 v2017: CC6.6.1, CC6.6.3, CC6.6.4 CIS Controls 8.0: 4.8	Controlla l'oggetto metadata.items[] nei metadati dell'istanza per la coppia chiave-valore "key": "serial-port-enable", "value": TRUE. Asset esclusi dalle analisi: istanze GKE Autorizzazioni IAM aggiuntive: roles/compute.Viewer Input aggiuntivi: legge i metadati da Compute Engine Scansioni in tempo reale: sì
Default service account used Nome categoria nell'API: DEFAULT_SERVICE_ACCOUNT_USED	Descrizione del risultato: un'istanza è configurata per utilizzare l'account di servizio predefinito. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 4.1 CIS GCP Foundation 1.2: 4.1 CIS GCP Foundation 1.3: 4.1 CIS GCP Foundation 2.0: 4.1 NIST 800-53 R5: IA-5 PCI-DSS v4.0: 2.2.2, 2.3.1 ISO-27001 v2022: A.8.2, A.8.9 NIST Cybersecurity Framework 1.0: PR-AC-1 SOC2 v2017: CC6.3.1, CC6.3.2, CC6.3.3 CIS Controls 8.0: 4.7	Controlla la proprietà serviceAccounts nei metadati dell'istanza per qualsiasi indirizzo email dell'account di servizio con il prefisso [e-mail], che indica l'account di servizio predefinito creato da Google. Asset esclusi dalle analisi: istanze GKE, job Dataflow Scansioni in tempo reale: sì
Disk CMEK disabled Nome categoria nell'API: DISK_CMEK_DISABLED	Descrizione del risultato: i dischi di questa VM non sono criptati con chiavi di crittografia gestite dal cliente (CMEK). Questo rilevatore richiede una configurazione aggiuntiva per essere abilitato. Per le istruzioni, consulta Abilitare e disabilitare i rilevatori. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Disk Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata ad alcun controllo standard di conformità.	Controlla il campo kmsKeyName nell'oggetto diskEncryptionKey, nei metadati del disco, per il nome della risorsa della tua CMEK. Asset esclusi dalle analisi: dischi correlati ad ambienti Cloud Composer, job Dataflow e istanze GKE Scansioni in tempo reale: sì
Disk CSEK disabled Nome categoria nell'API: DISK_CSEK_DISABLED	Descrizione da trovare: i dischi su questa VM non sono criptati con chiavi di crittografia fornite dal cliente (CSEK). Questo rilevatore richiede una configurazione aggiuntiva per essere abilitato. Per le istruzioni, consulta Rilevamento di casi speciali. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Disk Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 4.6 CIS GCP Foundation 1.1: 4.7 CIS GCP Foundation 1.2: 4.7 CIS GCP Foundation 1.3: 4.7 CIS GCP Foundation 2.0: 4.7 NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS Controls 8.0: 3.11	Controlla il campo kmsKeyName nell'oggetto diskEncryptionKey per verificare il nome della risorsa della tua CSEK. Asset esclusi dalle analisi: Dischi Compute Engine senza il contrassegno di sicurezza enforce_customer_ provided_disk_encryption_keys impostato su true Autorizzazioni IAM aggiuntive: roles/compute.Viewer Input aggiuntivi: legge i metadati da Compute Engine Scansioni in tempo reale: sì
Full API access Nome categoria nell'API: FULL_API_ACCESS	Descrizione visualizzata: un'istanza è configurata in modo da utilizzare l'account di servizio predefinito con accesso completo a tutte le API Google Cloud. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 4.1 CIS GCP Foundation 1.1: 4.2 CIS GCP Foundation 1.2: 4.2 CIS GCP Foundation 1.3: 4.2 CIS GCP Foundation 2.0: 4.2 NIST 800-53 R4: AC-6 NIST 800-53 R5: IA-5 PCI-DSS v3.2.1: 7.1.2 PCI-DSS v4.0: 2.2.2, 2.3.1 ISO-27001 v2013: A.9.2.3 ISO-27001 v2022: A.8.2, A.8.9 NIST Cybersecurity Framework 1.0: PR-AC-1 SOC2 v2017: CC6.3.1, CC6.3.2, CC6.3.3 CIS Controls 8.0: 4.7	Recupera il campo scopes nella proprietà serviceAccounts per verificare se viene utilizzato un account di servizio predefinito e se gli è assegnato l'ambito cloud-platform. Asset esclusi dalle analisi: istanze GKE, job Dataflow Scansioni in tempo reale: sì
HTTP load balancer Nome categoria nell'API: HTTP_LOAD_BALANCER	Descrizione del risultato: un'istanza utilizza un bilanciatore del carico configurato per l'utilizzo di un proxy HTTP di destinazione anziché di un proxy HTTPS di destinazione. Per le attivazioni del livello Premium di Security Command Center a livello di progetto, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati compute.googleapis.com/TargetHttpProxy Correggi questo risultato Standard di conformità: PCI-DSS v3.2.1: 2.3	Determina se la proprietà selfLink della risorsa targetHttpProxy corrisponde all'attributo target nella regola di forwarding e se la regola di forwarding contiene un campo loadBalancingScheme impostato su External. Autorizzazioni IAM aggiuntive: roles/compute.Viewer Input aggiuntivi: legge le regole di forwarding per un proxy HTTP di destinazione da Compute Engine, verificando la presenza di regole esterne Scansioni in tempo reale: sì
IP forwarding enabled Nome categoria nell'API: IP_FORWARDING_ENABLED	Ricerca della descrizione: l'IP forwarding è abilitato sulle istanze. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 4.5 CIS GCP Foundation 1.1: 4.6 CIS GCP Foundation 1.2: 4.6 CIS GCP Foundation 1.3: 4.6 CIS GCP Foundation 2.0: 4.6 NIST 800-53 R5: CA-9, SC-7 PCI-DSS v4.0: 1.2.1, 1.4.1 SOC2 v2017: CC6.6.1, CC6.6.4 CIS Controls 8.0: 4.4, 4.5	Controlla se la proprietà canIpForward dell'istanza è impostata su true. Asset esclusi dalle analisi: istanze GKE, accesso VPC serverless Scansioni in tempo reale: sì
OS login disabled Nome categoria nell'API: OS_LOGIN_DISABLED	Descrizione visualizzata: OS Login è disabilitato in questa istanza. Per le attivazioni del livello Premium di Security Command Center a livello di progetto, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 4.3 CIS GCP Foundation 1.1: 4.4 CIS GCP Foundation 1.2: 4.4 CIS GCP Foundation 1.3: 4.4 CIS GCP Foundation 2.0: 4.4 NIST 800-53 R5: AC-2 ISO-27001 v2022: A.5.15 SOC2 v2017: CC6.1.4, CC6.1.6, CC6.1.8, CC6.1.9 CIS Controls 8.0: 5.6, 6.7	Controlla l'oggetto commonInstanceMetadata.items[] nei metadati del progetto per trovare la coppia chiave-valore, "key": "enable-oslogin", "value": TRUE. Il rilevatore controlla anche tutte le istanze di un progetto Compute Engine per determinare se OS Login è disabilitato per le singole istanze. Asset esclusi dalle analisi: istanze GKE, istanze relative ai job Dataflow Autorizzazioni IAM aggiuntive: roles/compute.Viewer Input aggiuntivi: legge i metadati da Compute Engine. Il rilevatore esamina anche le istanze di Compute Engine nel progetto Scansioni in tempo reale: no
Public IP address Nome categoria nell'API: PUBLIC_IP_ADDRESS	Descrizione visualizzata: un'istanza ha un indirizzo IP pubblico. Livello di prezzo: Premium o Standard Asset supportati compute.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 4.9 CIS GCP Foundation 1.2: 4.9 CIS GCP Foundation 1.3: 4.9 CIS GCP Foundation 2.0: 4.9 NIST 800-53 R4: CA-3, SC-7 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 1.2.1 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Controlla se la proprietà networkInterfaces contiene un campo accessConfigs, che indica che è configurata per l'utilizzo di un indirizzo IP pubblico. Asset esclusi dalle analisi: istanze GKE, istanze relative ai job Dataflow Scansioni in tempo reale: sì
Shielded VM disabled Nome categoria nell'API: SHIELDED_VM_DISABLED	Ricerca della descrizione: la Shielded VM è disabilitata su questa istanza. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 4.8 CIS GCP Foundation 1.2: 4.8 CIS GCP Foundation 1.3: 4.8 CIS GCP Foundation 2.0: 4.8	Controlla la proprietà shieldedInstanceConfig nelle istanze di Compute Engine per determinare se i campi enableIntegrityMonitoring e enableVtpm sono impostati su true. I campi indicano se la Shielded VM è attivata. Asset esclusi dalle analisi: istanze GKE e accesso VPC serverless Scansioni in tempo reale: sì
Weak SSL policy Nome categoria nell'API: WEAK_SSL_POLICY	Descrizione dell'istanza: Un'istanza ha un criterio SSL debole. Per le attivazioni del livello Premium di Security Command Center a livello di progetto, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati compute.googleapis.com/TargetHttpsProxy compute.googleapis.com/TargetSslProxy Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 3.9 CIS GCP Foundation 1.2: 3.9 CIS GCP Foundation 1.3: 3.9 CIS GCP Foundation 2.0: 3.9 NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 4.1 ISO-27001 v2013: A.14.1.3	Controlla se sslPolicy nei metadati degli asset è vuoto o se sta utilizzando il criterio predefinito di Google Cloud e, per la risorsa sslPolicies associata, se profile è impostato su Restricted o Modern, minTlsVersion è impostato su TLS 1.2 e customFeatures è vuoto o non contiene le seguenti crittografie: TLS_RSA_WITH_AES_128_GCM_SHA256, TLS_RSA_WITH_AES_256_GCM_SHA384, TLS_RSA_WITH_AES_128_CBC_SHA, TLS_RSA_WITH_AES_256_CBC_SHA, TLS_RSA_WITH_3DES_EDE_CBC_SHA. Autorizzazioni IAM aggiuntive: roles/compute.Viewer Input aggiuntivi: legge i criteri SSL per l'archiviazione dei proxy di destinazione, verificando la presenza di criteri inefficaci Scansioni in tempo reale: sì, ma solo quando il criterio TargetHttpsProxy di TargetSslProxy viene aggiornato, non quando il criterio SSL viene aggiornato

Risultati di vulnerabilità dei container

Questi tipi di risultati sono relativi tutti alle configurazioni di container GKE e appartengono al tipo di rilevatore CONTAINER_SCANNER.

Tabella 5. Container Scanner

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
Alpha cluster enabled Nome categoria nell'API: ALPHA_CLUSTER_ENABLED	Descrizione del risultato: le funzionalità del cluster alpha sono abilitate per un cluster GKE. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GKE 1.0: 6.10.2	Controlla se la proprietà enableKubernetesAlpha di un cluster è impostata su true. Scansioni in tempo reale: sì
Auto repair disabled Nome categoria nell'API: AUTO_REPAIR_DISABLED	Descrizione visualizzata: la funzionalità di riparazione automatica di un cluster GKE, che mantiene i nodi in stato integro e in esecuzione, è disabilitata. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.7 CIS GKE 1.0: 6.5.2 PCI-DSS v3.2.1: 2.2	Controlla la proprietà management di un pool di nodi per la coppia chiave-valore, "key": "autoRepair", "value": true. Scansioni in tempo reale: sì
Auto upgrade disabled Nome categoria nell'API: AUTO_UPGRADE_DISABLED	Descrizione visualizzata: la funzionalità di upgrade automatico di un cluster GKE, che mantiene i cluster e i pool di nodi sull'ultima versione stabile di Kubernetes, è disabilitata. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.8 CIS GKE 1.0: 6.5.3 PCI-DSS v3.2.1: 2.2	Controlla la proprietà management di un pool di nodi per la coppia chiave-valore, "key": "autoUpgrade", "value": true. Scansioni in tempo reale: sì
Binary authorization disabled Nome categoria nell'API: BINARY_AUTHORIZATION_DISABLED	Descrizione visualizzata:Autorizzazione binaria è disabilitata sul cluster GKE oppure il criterio di Autorizzazione binaria è configurato per consentire il deployment di tutte le immagini. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata ad alcun controllo standard di conformità.	Verifica quanto segue: Controlla se la proprietà binaryAuthorization ha una delle seguenti coppie chiave-valore: "evaluationMode": "PROJECT_SINGLETON_POLICY_ENFORCE" "evaluationMode": "POLICY_BINDINGS" "evaluationMode": "POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE" Controlla se la proprietà del criterio defaultAdmissionRule non contiene la coppia chiave-valore evaluationMode: ALWAYS_ALLOW. Scansioni in tempo reale: sì
Cluster logging disabled Nome categoria nell'API: CLUSTER_LOGGING_DISABLED	Descrizione del risultato: Logging non è abilitato per un cluster GKE. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.1 CIS GKE 1.0: 6.7.1 PCI-DSS v3.2.1: 10.2.2, 10.2.7	Controlla se la proprietà loggingService di un cluster contiene la località che Cloud Logging deve utilizzare per scrivere i log. Scansioni in tempo reale: sì
Cluster monitoring disabled Nome categoria nell'API: CLUSTER_MONITORING_DISABLED	Descrizione del risultato: il monitoraggio è disabilitato sui cluster GKE. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.2 CIS GKE 1.0: 6.7.1 PCI-DSS v3.2.1: 10.1, 10.2	Controlla se la proprietà monitoringService di un cluster contiene la località che Cloud Monitoring deve utilizzare per scrivere metriche. Scansioni in tempo reale: sì
Cluster private Google access disabled Nome categoria nell'API: CLUSTER_PRIVATE_GOOGLE_ACCESS_DISABLED	Descrizione dell'elemento: Gli host del cluster non sono configurati per utilizzare solo indirizzi IP interni privati per accedere alle API di Google. Per le attivazioni del livello Premium di Security Command Center a livello di progetto, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.16 PCI-DSS v3.2.1: 1.3	Verifica se la proprietà privateIpGoogleAccess di una subnet è impostata su false. Input aggiuntivi: legge le subnet dall'archiviazione e invia i risultati solo per i cluster con subnet Scansioni in tempo reale: sì, ma solo se il cluster viene aggiornato, non per gli aggiornamenti delle subnet
Cluster secrets encryption disabled Nome categoria nell'API: CLUSTER_SECRETS_ENCRYPTION_DISABLED	Descrizione del risultato: la crittografia dei secret a livello di applicazione è disabilitata su un cluster GKE. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GKE 1.0: 6.3.1	Controlla la proprietà keyName dell'oggetto databaseEncryption per la coppia chiave-valore "state": ENCRYPTED. Scansioni in tempo reale: sì
Cluster shielded nodes disabled Nome categoria nell'API: CLUSTER_SHIELDED_NODES_DISABLED	Descrizione del risultato: i nodi GKE schermati non sono abilitati per un cluster. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GKE 1.0: 6.5.5	Controlla la proprietà shieldedNodes per la coppia chiave-valore "enabled": true. Scansioni in tempo reale: sì
COS not used Nome categoria nell'API: COS_NOT_USED	Descrizione del testo: le VM di Compute Engine non utilizzano Container-Optimized OS, progettato per l'esecuzione sicura dei container Docker su Google Cloud. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.9 CIS GKE 1.0: 6.5.1 PCI-DSS v3.2.1: 2.2	Controlla la proprietà config di un pool di nodi per la coppia chiave-valore, "imageType": "COS". Scansioni in tempo reale: sì
Integrity monitoring disabled Nome categoria nell'API: INTEGRITY_MONITORING_DISABLED	Descrizione del risultato: il monitoraggio dell'integrità è disabilitato per un cluster GKE. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GKE 1.0: 6.5.6	Controlla la proprietà shieldedInstanceConfig dell'oggetto nodeConfig per la coppia chiave-valore "enableIntegrityMonitoring": true. Scansioni in tempo reale: sì
Intranode visibility disabled Nome categoria nell'API: INTRANODE_VISIBILITY_DISABLED	Descrizione del risultato: la visibilità tra nodi è disabilitata per un cluster GKE. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GKE 1.0: 6.6.1	Controlla la proprietà networkConfig per la coppia chiave-valore "enableIntraNodeVisibility": true. Scansioni in tempo reale: sì
IP alias disabled Nome categoria nell'API: IP_ALIAS_DISABLED	Descrizione del risultato: è stato creato un cluster GKE con intervalli IP alias disabilitati. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.13 CIS GKE 1.0: 6.6.2 PCI-DSS v3.2.1: 1.3.4, 1.3.7	Controlla se il campo useIPAliases di ipAllocationPolicy in un cluster è impostato su false. Scansioni in tempo reale: sì
Legacy authorization enabled Nome categoria nell'API: LEGACY_AUTHORIZATION_ENABLED	Descrizione visualizzata: l'autorizzazione legacy è abilitata sui cluster GKE. Livello di prezzo: Premium o Standard Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.3 CIS GKE 1.0: 6.8.3 PCI-DSS v3.2.1: 4.1	Controlla la proprietà legacyAbac di un cluster per la coppia chiave-valore, "enabled": true. Scansioni in tempo reale: sì
Legacy metadata enabled Nome categoria nell'API: LEGACY_METADATA_ENABLED	Descrizione del risultato: i metadati legacy sono abilitati sui cluster GKE. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GKE 1.0: 6.4.1	Controlla la proprietà config di un pool di nodi per la coppia chiave-valore, "disable-legacy-endpoints": "false". Scansioni in tempo reale: sì
Master authorized networks disabled Nome categoria nell'API: MASTER_AUTHORIZED_NETWORKS_DISABLED	Descrizione del risultato: le reti autorizzate del piano di controllo non sono abilitate nei cluster GKE. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.4 CIS GKE 1.0: 6.6.3 PCI-DSS v3.2.1: 1.2.1, 1.3.2	Controlla la proprietà masterAuthorizedNetworksConfig di un cluster per la coppia chiave-valore, "enabled": false. Scansioni in tempo reale: sì
Network policy disabled Nome categoria nell'API: NETWORK_POLICY_DISABLED	Descrizione del risultato: il criterio di rete è disabilitato sui cluster GKE. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.11 NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.3 ISO-27001 v2013: A.13.1.1	Controlla il campo networkPolicy della proprietà addonsConfig per la coppia chiave-valore, "disabled": true. Scansioni in tempo reale: sì
Nodepool boot CMEK disabled Nome categoria nell'API: NODEPOOL_BOOT_CMEK_DISABLED	Descrizione del risultato: i dischi di avvio in questo pool di nodi non sono criptati con chiavi di crittografia gestite dal cliente (CMEK). Questo rilevatore richiede una configurazione aggiuntiva per essere abilitato. Per le istruzioni, consulta Abilitare e disabilitare i rilevatori. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata ad alcun controllo standard di conformità.	Controlla la proprietà bootDiskKmsKey dei pool di nodi per il nome della risorsa della tua CMEK. Scansioni in tempo reale: sì
Nodepool secure boot disabled Nome categoria nell'API: NODEPOOL_SECURE_BOOT_DISABLED	Descrizione del risultato: l'avvio protetto è disabilitato per un cluster GKE. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GKE 1.0: 6.5.7	Controlla la proprietà shieldedInstanceConfig dell'oggetto nodeConfig per la coppia chiave-valore "enableSecureBoot": true. Scansioni in tempo reale: sì
Over privileged account Nome categoria nell'API: OVER_PRIVILEGED_ACCOUNT	Descrizione finale:un account di servizio ha un accesso a progetto troppo ampio in un cluster. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.17 NIST 800-53 R4: AC-6, SC-7 CIS GKE 1.0: 6.2.1 PCI-DSS v3.2.1: 2.1, 7.1.2 ISO-27001 v2013: A.9.2.3	Valuta la proprietà config di un pool di nodi per verificare se non è stato specificato nessun account di servizio o se viene utilizzato quello predefinito. Scansioni in tempo reale: sì
Over privileged scopes Nome categoria nell'API: OVER_PRIVILEGED_SCOPES	Descrizione originale: un account di servizio nodo ha ambiti di accesso ampio. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.18 CIS GKE 1.0: 6.2.1	Controlla se l'ambito di accesso elencato nella proprietà config.oauthScopes di un pool di nodi è un ambito di accesso limitato all'account di servizio: https://www.googleapis.com/auth/devstorage.read_only, https://www.googleapis.com/auth/logging.write o https://www.googleapis.com/auth/monitoring. Scansioni in tempo reale: sì
Pod security policy disabled Nome categoria nell'API: POD_SECURITY_POLICY_DISABLED	Descrizione visualizzata: PodSecurityPolicy è disabilitato su un cluster GKE. Per le attivazioni del livello Premium di Security Command Center a livello di progetto, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.14 CIS GKE 1.0: 6.10.3	Controlla la proprietà podSecurityPolicyConfig di un cluster per la coppia chiave-valore, "enabled": false. Autorizzazioni IAM aggiuntive: roles/container.clusterViewer Input aggiuntivi: legge le informazioni del cluster da GKE, perché i criteri di sicurezza dei pod sono una funzionalità beta. Kubernetes ha ufficialmente deprecato PodSecurityPolicy versione 1.21. La versione 1.25 di PodSecurityPolicy verrà disattivata. Per informazioni sulle alternative, consulta la pagina relativa al ritiro di PodSecurityPolicy. Scansioni in tempo reale: no
Private cluster disabled Nome categoria nell'API: PRIVATE_CLUSTER_DISABLED	Descrizione visualizzata: un cluster GKE ha un cluster privato disabilitato. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.15 CIS GKE 1.0: 6.6.5 PCI-DSS v3.2.1: 1.3.2	Controlla se il campo enablePrivateNodes della proprietà privateClusterConfig è impostato su false. Scansioni in tempo reale: sì
Release channel disabled Nome categoria nell'API: RELEASE_CHANNEL_DISABLED	Ricerca della descrizione: un cluster GKE non è iscritto a un canale di rilascio. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GKE 1.0: 6.5.4	Controlla la proprietà releaseChannel per la coppia chiave-valore "channel": UNSPECIFIED. Scansioni in tempo reale: sì
Web UI enabled Nome categoria nell'API: WEB_UI_ENABLED	Ricerca della descrizione: l'interfaccia utente web di GKE (dashboard) è abilitata. Livello di prezzo: Premium o Standard Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.6 CIS GKE 1.0: 6.10.1 PCI-DSS v3.2.1: 6.6	Controlla il campo kubernetesDashboard della proprietà addonsConfig per trovare la coppia chiave-valore, "disabled": false. Scansioni in tempo reale: sì
Workload Identity disabled Nome categoria nell'API: WORKLOAD_IDENTITY_DISABLED	Descrizione del risultato: Workload Identity è disabilitato su un cluster GKE. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GKE 1.0: 6.2.2	Controlla se è impostata la proprietà workloadIdentityConfig di un cluster. Il rilevatore controlla anche se la proprietà workloadMetadataConfig di un pool di nodi è impostata su GKE_METADATA. Autorizzazioni IAM aggiuntive: roles/container.clusterViewer Scansioni in tempo reale: sì

Risultati di vulnerabilità di Dataproc

Le vulnerabilità di questo tipo di rilevatore sono tutte correlate a Dataproc e appartengono al tipo di rilevatore DATAPROC_SCANNER.

Tabella 6. Scanner Dataproc

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
Dataproc CMEK disabled Nome categoria nell'API: DATAPROC_CMEK_DISABLED	Descrizione del risultato: un cluster Dataproc è stato creato senza una CMEK di configurazione di crittografia. Con CMEK, le chiavi che crei e gestisci in Cloud Key Management Service eseguono il wrapping delle chiavi utilizzate da Google Cloud per criptare i tuoi dati, offrendoti un maggiore controllo sull'accesso ai dati. Per abilitare questo rilevatore è necessaria una configurazione aggiuntiva. Per le istruzioni, consulta Abilitare e disabilitare i rilevatori. Livello di prezzo: Premium Asset supportati dataproc.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.3: 1.17 CIS GCP Foundation 2.0: 1.17 NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS Controls 8.0: 3.11	Controlla se il campo kmsKeyName nella proprietà encryptionConfiguration è vuoto. Scansioni in tempo reale: sì
Dataproc image outdated Nome categoria nell'API: DATAPROC_IMAGE_OUTDATED	Descrizione originale: un cluster Dataproc è stato creato con una versione immagine Dataproc interessata dalle vulnerabilità di sicurezza nell'utilità Apache Log4j 2 (CVE-2021-44228 e CVE-2021-45046). Livello di prezzo: Premium o Standard Asset supportati dataproc.googleapis.com/Cluster Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata ad alcun controllo standard di conformità.	Controlla se il campo softwareConfig.imageVersion nella proprietà config di un Cluster è precedente alla versione 1.3.95 o se si tratta di una versione dell'immagine inferiore precedente alla 1.4.77, 1.5.53 o 2.0.27. Scansioni in tempo reale: sì

Risultati di vulnerabilità dei set di dati

Le vulnerabilità di questo tipo di rilevatore sono correlate alle configurazioni dei set di dati BigQuery e appartengono al tipo di rilevatore DATASET_SCANNER.

Tabella 7. Scanner dei set di dati

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
BigQuery table CMEK disabled Nome categoria nell'API: BIGQUERY_TABLE_CMEK_DISABLED	Descrizione del risultato: una tabella BigQuery non è configurata per l'utilizzo di una chiave di crittografia gestita dal cliente (CMEK). Questo rilevatore richiede una configurazione aggiuntiva per essere abilitato. Per le istruzioni, consulta Abilitare e disabilitare i rilevatori. Livello di prezzo: Premium Asset supportati bigquery.googleapis.com/Table Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 7.2 CIS GCP Foundation 1.3: 7.2 CIS GCP Foundation 2.0: 7.2 NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS Controls 8.0: 3.11	Controlla se il campo kmsKeyName nella proprietà encryptionConfiguration è vuoto. Scansioni in tempo reale: sì
Dataset CMEK disabled Nome categoria nell'API: DATASET_CMEK_DISABLED	Descrizione del risultato: un set di dati BigQuery non è configurato per l'utilizzo di una CMEK predefinita. Questo rilevatore richiede una configurazione aggiuntiva per essere abilitato. Per le istruzioni, consulta Abilitare e disabilitare i rilevatori. Livello di prezzo: Premium Asset supportati bigquery.googleapis.com/Dataset Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 7.3 CIS GCP Foundation 1.3: 7.3 CIS GCP Foundation 2.0: 7.3 NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS Controls 8.0: 3.11	Controlla se il campo kmsKeyName nella proprietà defaultEncryptionConfiguration è vuoto. Scansioni in tempo reale: no
Public dataset Nome categoria nell'API: PUBLIC_DATASET	Descrizione del risultato: un set di dati è configurato per essere aperto all'accesso pubblico. Livello di prezzo: Premium o Standard Asset supportati bigquery.googleapis.com/Dataset Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 7.1 CIS GCP Foundation 1.2: 7.1 CIS GCP Foundation 1.3: 7.1 CIS GCP Foundation 2.0: 7.1 NIST 800-53 R4: AC-2 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 7.1 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.14.1.3, A.8.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Controlla il criterio di autorizzazione IAM nei metadati delle risorse per trovare le entità allUsers o allAuthenticatedUsers, che concedono l'accesso pubblico. Scansioni in tempo reale: sì

Risultati di vulnerabilità DNS

Le vulnerabilità di questo tipo di rilevatore sono correlate alle configurazioni di Cloud DNS e appartengono al tipo di rilevatore DNS_SCANNER.

Tabella 8. Scanner DNS

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
DNSSEC disabled Nome categoria nell'API: DNSSEC_DISABLED	Descrizione visualizzata: DNSSEC è disabilitato per le zone Cloud DNS. Livello di prezzo: Premium Asset supportati dns.googleapis.com/ManagedZone Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 3.3 CIS GCP Foundation 1.1: 3.3 CIS GCP Foundation 1.2: 3.3 CIS GCP Foundation 1.3: 3.3 CIS GCP Foundation 2.0: 3.3 NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2013: A.8.2.3 ISO-27001 v2022: A.8.9 Cloud Controls Matrix 4: IVS-04 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC5.2.2 CIS Controls 8.0: 4.2	Controlla se il campo state della proprietà dnssecConfig è impostato su off. Asset esclusi dalle analisi: zone Cloud DNS non pubbliche Scansioni in tempo reale: sì
RSASHA1 for signing Nome categoria nell'API: RSASHA1_FOR_SIGNING	Descrizione visualizzata: RSASHA1 viene utilizzato per la firma delle chiavi nelle zone di Cloud DNS. Livello di prezzo: Premium Asset supportati dns.googleapis.com/ManagedZone Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 3.4, 3.5 CIS GCP Foundation 1.1: 3.4, 3.5 CIS GCP Foundation 1.2: 3.4, 3.5 CIS GCP Foundation 1.3: 3.4, 3.5 CIS GCP Foundation 2.0: 3.4, 3.5 NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2022: A.8.9 Cloud Controls Matrix 4: IVS-04 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC5.2.2 CIS Controls 8.0: 4.2	Controlla se l'oggetto defaultKeySpecs.algorithm della proprietà dnssecConfig è impostato su rsasha1. Scansioni in tempo reale: sì

Risultati di vulnerabilità firewall

Le vulnerabilità di questo tipo di rilevatore si riferiscono tutte alle configurazioni firewall e appartengono al tipo di rilevatore FIREWALL_SCANNER.

Tabella 9. Scanner firewall

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
Egress deny rule not set Nome categoria nell'API: EGRESS_DENY_RULE_NOT_SET	Descrizione del risultato: su un firewall non è stata impostata una regola di negazione per il traffico in uscita. Le regole di negazione in uscita devono essere impostate per bloccare il traffico in uscita indesiderato. Per le attivazioni del livello Premium di Security Command Center a livello di progetto, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: PCI-DSS v3.2.1: 7.2	Controlla se la proprietà destinationRanges nel firewall è impostata su 0.0.0.0/0 e la proprietà denied contiene la coppia chiave-valore, "IPProtocol": "all". Input aggiuntivi: legge i firewall in uscita per un progetto dall'archiviazione Scansioni in tempo reale: sì, ma solo nelle modifiche al progetto, non alle modifiche alle regole firewall
Firewall rule logging disabled Nome categoria nell'API: FIREWALL_RULE_LOGGING_DISABLED	Descrizione del risultato: il logging delle regole firewall è disabilitato. Il logging delle regole firewall deve essere abilitato per consentirti di controllare l'accesso alla rete. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SI-4 PCI-DSS v3.2.1: 10.1, 10.2 ISO-27001 v2013: A.13.1.1	Controlla la proprietà logConfig nei metadati del firewall per verificare se è vuota o contiene la coppia chiave-valore "enable": false. Asset esclusi dalle analisi: istanze GKE, regole firewall create da GKE, accesso VPC serverless Scansioni in tempo reale: sì
Open Cassandra port Nome categoria nell'API: OPEN_CASSANDRA_PORT	Descrizione del problema: Un firewall è configurato con una porta Cassandra aperta che consente l'accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed nei metadati del firewall per i seguenti protocolli e porte: TCP:7000-7001, 7199, 8888, 9042, 9160, 61620-61621. Scansioni in tempo reale: sì
Open ciscosecure websm port Nome categoria nell'API: OPEN_CISCOSECURE_WEBSM_PORT	Descrizione del problema: Un firewall è configurato con una porta CISCOSECURE_WEBSM aperta che consente un accesso generico. Livello di prezzo: Premium o Standard Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed nei metadati del firewall per il protocollo e la porta seguenti: TCP:9090. Scansioni in tempo reale: sì
Open directory services port Nome categoria nell'API: OPEN_DIRECTORY_SERVICES_PORT	Descrizione del problema: Un firewall è configurato per avere una porta DIRECTORY_SERVICE aperta che consente un accesso generico. Livello di prezzo: Premium o Standard Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed nei metadati del firewall per i seguenti protocolli e porte: TCP:445 e UDP:445. Scansioni in tempo reale: sì
Open DNS port Nome categoria nell'API: OPEN_DNS_PORT	Descrizione del problema: Un firewall è configurato con una porta DNS aperta che consente un accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed nei metadati del firewall per i seguenti protocolli e porte: TCP:53 e UDP:53. Scansioni in tempo reale: sì
Open elasticsearch port Nome categoria nell'API: OPEN_ELASTICSEARCH_PORT	Descrizione del risultato: Un firewall è configurato con una porta ELASTICSEARCH aperta che consente l'accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed nei metadati del firewall per i seguenti protocolli e porte: TCP:9200, 9300. Scansioni in tempo reale: sì
Open firewall Nome categoria nell'API: OPEN_FIREWALL	Descrizione da trovare: Un firewall è configurato per essere aperto all'accesso pubblico. Livello di prezzo: Premium o Standard Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: PCI-DSS v3.2.1: 1.2.1	Controlla le proprietà sourceRanges e allowed per verificare se esistono due configurazioni: La proprietà sourceRanges contiene 0.0.0.0/0, mentre la proprietà allowed contiene una combinazione di regole che include qualsiasi protocol o protocol:port, ad eccezione di quanto segue: icmp tcp:22 TCP:443 Tcp:3389 udp:3389 sctp:22 La proprietà sourceRanges contiene una combinazione di intervalli IP che include qualsiasi indirizzo IP non privato e la proprietà allowed contiene una combinazione di regole che consentono tutte le porte TCP o tutte le porte UDP. Asset esclusi dalle analisi: regole firewall create da GKE Scansioni in tempo reale: sì
Open FTP port Nome categoria nell'API: OPEN_FTP_PORT	Descrizione del problema: Un firewall è configurato con una porta FTP aperta che consente un accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed nei metadati del firewall per il protocollo e la porta seguenti: TCP:21. Scansioni in tempo reale: sì
Open HTTP port Nome categoria nell'API: OPEN_HTTP_PORT	Descrizione del file da trovare: un firewall è configurato con una porta HTTP aperta che consente un accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed nei metadati del firewall per i seguenti protocolli e porte: TCP:80. Scansioni in tempo reale: sì
Open LDAP port Nome categoria nell'API: OPEN_LDAP_PORT	Descrizione del problema: Un firewall è configurato con una porta LDAP aperta che consente l'accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed nei metadati del firewall per i seguenti protocolli e porte: TCP:389, 636 e UDP:389. Scansioni in tempo reale: sì
Open Memcached port Nome categoria nell'API: OPEN_MEMCACHED_PORT	Descrizione del risultato: un firewall è configurato con una porta MEMCACHED aperta che consente un accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed nei metadati del firewall per i seguenti protocolli e porte: TCP:11211, 11214-11215 e UDP:11211, 11214-11215. Scansioni in tempo reale: sì
Open MongoDB port Nome categoria nell'API: OPEN_MONGODB_PORT	Descrizione del problema: Un firewall è configurato con una porta MONGODB aperta che consente l'accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed nei metadati del firewall per i seguenti protocolli e porte: TCP:27017-27019. Scansioni in tempo reale: sì
Open MySQL port Nome categoria nell'API: OPEN_MYSQL_PORT	Descrizione del risultato: un firewall è configurato con una porta MYSQL aperta che consente l'accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed nei metadati del firewall per il protocollo e la porta seguenti: TCP:3306. Scansioni in tempo reale: sì
Open NetBIOS port Nome categoria nell'API: OPEN_NETBIOS_PORT	Descrizione del problema: Un firewall è configurato con una porta NETBIOS aperta che consente l'accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed nei metadati del firewall per i seguenti protocolli e porte: TCP:137-139 e UDP:137-139. Scansioni in tempo reale: sì
Open OracleDB port Nome categoria nell'API: OPEN_ORACLEDB_PORT	Descrizione del risultato: un firewall è configurato con una porta ORACLEDB aperta che consente l'accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed nei metadati del firewall per i seguenti protocolli e porte: TCP:1521, 2483-2484 e UDP:2483-2484. Scansioni in tempo reale: sì
Open pop3 port Nome categoria nell'API: OPEN_POP3_PORT	Descrizione del risultato: un firewall è configurato con una porta POP3 aperta che consente l'accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed nei metadati del firewall per il protocollo e la porta seguenti: TCP:110. Scansioni in tempo reale: sì
Open PostgreSQL port Nome categoria nell'API: OPEN_POSTGRESQL_PORT	Descrizione del problema: Un firewall è configurato con una porta PostgreSQL aperta che consente un accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed nei metadati del firewall per i seguenti protocolli e porte: TCP:5432 e UDP:5432. Scansioni in tempo reale: sì
Open RDP port Nome categoria nell'API: OPEN_RDP_PORT	Descrizione del risultato: un firewall è configurato con una porta RDP aperta che consente l'accesso generico. Livello di prezzo: Premium o Standard Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 3.7 CIS GCP Foundation 1.1: 3.7 CIS GCP Foundation 1.2: 3.7 CIS GCP Foundation 1.3: 3.7 CIS GCP Foundation 2.0: 3.7 NIST 800-53 R4: SC-7 NIST 800-53 R5: CA-9, SC-7 PCI-DSS v3.2.1: 1.2.1 PCI-DSS v4.0: 1.2.1, 1.4.1 ISO-27001 v2013: A.13.1.1 SOC2 v2017: CC6.6.1, CC6.6.4 CIS Controls 8.0: 4.4, 4.5	Controlla la proprietà allowed nei metadati del firewall per i seguenti protocolli e porte: TCP:3389 e UDP:3389. Scansioni in tempo reale: sì
Open Redis port Nome categoria nell'API: OPEN_REDIS_PORT	Descrizione del problema: Un firewall è configurato con una porta REDIS aperta che consente l'accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Verifica se la proprietà allowed nei metadati del firewall contiene il protocollo e la porta seguenti: TCP:6379. Scansioni in tempo reale: sì
Open SMTP port Nome categoria nell'API: OPEN_SMTP_PORT	Descrizione del file da trovare: Un firewall è configurato con una porta SMTP aperta che consente l'accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Verifica se la proprietà allowed nei metadati del firewall contiene il protocollo e la porta seguenti: TCP:25. Scansioni in tempo reale: sì
Open SSH port Nome categoria nell'API: OPEN_SSH_PORT	Descrizione da trovare: Un firewall è configurato con una porta SSH aperta che consente un accesso generico. Livello di prezzo: Premium o Standard Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 3.6 CIS GCP Foundation 1.1: 3.6 CIS GCP Foundation 1.2: 3.6 CIS GCP Foundation 1.3: 3.6 CIS GCP Foundation 2.0: 3.6 NIST 800-53 R4: SC-7 NIST 800-53 R5: CA-9, SC-7 PCI-DSS v3.2.1: 1.2.1 PCI-DSS v4.0: 1.2.1, 1.4.1 ISO-27001 v2013: A.13.1.1 SOC2 v2017: CC6.6.1, CC6.6.4 CIS Controls 8.0: 4.4, 4.5	Verifica se la proprietà allowed nei metadati del firewall contiene i seguenti protocolli e porte: TCP:22 e SCTP:22. Scansioni in tempo reale: sì
Open Telnet port Nome categoria nell'API: OPEN_TELNET_PORT	Descrizione del risultato: un firewall è configurato con una porta TELNET aperta che consente l'accesso generico. Livello di prezzo: Premium o Standard Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Verifica se la proprietà allowed nei metadati del firewall contiene il protocollo e la porta seguenti: TCP:23. Scansioni in tempo reale: sì

Risultati di vulnerabilità IAM

Le vulnerabilità di questo tipo di rilevatore sono relative alla configurazione di Identity and Access Management (IAM) e appartengono al tipo di rilevatore IAM_SCANNER.

Tabella 10. Scanner IAM

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
Access Transparency disabled Nome categoria nell'API: ACCESS_TRANSPARENCY_DISABLED	Descrizione degli accessi:Google Cloud Access Transparency è disattivato per la tua organizzazione. Log di Access Transparency quando i dipendenti di Google Cloud accedono ai progetti della tua organizzazione per fornire assistenza. Abilita Access Transparency per registrare chi accede alle tue informazioni da Google Cloud, quando e perché. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Organization Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.3: 2.14 CIS GCP Foundation 2.0: 2.14	Verifica se nell'organizzazione è attivato Access Transparency. Scansioni in tempo reale: no
Admin service account Nome categoria nell'API: ADMIN_SERVICE_ACCOUNT	Descrizione visualizzata: un account di servizio dispone dei privilegi Amministratore, Proprietario o Editor. Questi ruoli non devono essere assegnati ad account di servizio creati dall'utente. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Cartelle cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 1.4 CIS GCP Foundation 1.1: 1.5 CIS GCP Foundation 1.2: 1.5 CIS GCP Foundation 1.3: 1.5 CIS GCP Foundation 2.0: 1.5 NIST 800-53 R5: AC-6 ISO-27001 v2022: A.5.15, A.8.2 Cloud Controls Matrix 4: IAM-09 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC6.1.3, CC6.1.4, CC6.1.7, CC6.1.8, CC6.3.1, CC6.3.2, CC6.3.3 CIS Controls 8.0: 5.4	Controlla il criterio di autorizzazione IAM nei metadati delle risorse per eventuali account di servizio creati dall'utente (indicati dal prefisso iam.gserviceaccount.com), a cui sono assegnati roles/Owner o roles/Editor oppure un ID ruolo contenente admin. Asset esclusi dalle analisi: account di servizio Container Registry (containerregistry.iam.gserviceaccount.com) e account di servizio Security Command Center (security-center-api.iam.gserviceaccount.com) Scansioni in tempo reale: sì, a meno che l'aggiornamento IAM non venga eseguito su una cartella
Essential Contacts Not Configured Nome categoria nell'API: ESSENTIAL_CONTACTS_NOT_CONFIGURED	Descrizione: la tua organizzazione non ha designato una persona o un gruppo che riceverà notifiche da Google Cloud su eventi importanti come attacchi, vulnerabilità e incidenti relativi ai dati all'interno della tua organizzazione Google Cloud. Ti consigliamo di designare come contatto necessario una o più persone o gruppi della tua organizzazione aziendale. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Organization Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.3: 1.16 CIS GCP Foundation 2.0: 1.16 NIST 800-53 R5: IR-6 ISO-27001 v2022: A.5.20, A.5.24, A.5.5, A.5.6 Cloud Controls Matrix 4: SEF-08 NIST Cybersecurity Framework 1.0: RS-CO-1 SOC2 v2017: CC2.3.1 CIS Controls 8.0: 17.2	Verifica che un contatto sia specificato per le seguenti categorie di contatti essenziali: Legale Sicurezza Suspension Abilitazione tecnica Scansioni in tempo reale: no
KMS role separation Nome categoria nell'API: KMS_ROLE_SEPARATION	Descrizione dei compiti:non viene applicata la separazione dei compiti ed esiste un utente che dispone contemporaneamente di uno dei seguenti ruoli di Cloud Key Management Service (Cloud KMS): Autore crittografia/decrittografia CryptoKey, Criptatore o Autore crittografia. Questo risultato non è disponibile per le attivazioni a livello di progetto. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Cartelle cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 1.9 CIS GCP Foundation 1.1: 1.11 CIS GCP Foundation 2.0: 1.11 NIST 800-53 R4: AC-5 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.10.1.2, A.9.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Controlla i criteri di autorizzazione IAM nei metadati delle risorse e recupera le entità a cui è stato assegnato contemporaneamente uno dei seguenti ruoli: roles/cloudkms.cryptoKeyEncrypterDecrypter, roles/cloudkms.cryptoKeyEncrypter e roles/cloudkms.cryptoKeyDecrypter, roles/cloudkms.signer, roles/cloudkms.signerVerifier, roles/cloudkms.publicKeyViewer. Scansioni in tempo reale: sì
Non org IAM member Nome categoria nell'API: NON_ORG_IAM_MEMBER	Descrizione visualizzata: esiste un utente che non utilizza le credenziali dell'organizzazione. Per CIS GCP Foundations 1.0, attualmente, solo le identità con indirizzi email @gmail.com attivano questo rilevatore. Livello di prezzo: Premium o Standard Asset supportati cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Cartelle cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 1.1 CIS GCP Foundation 1.1: 1.1 CIS GCP Foundation 1.2: 1.1 CIS GCP Foundation 1.3: 1.1 CIS GCP Foundation 2.0: 1.1 NIST 800-53 R4: AC-3 PCI-DSS v3.2.1: 7.1.2 ISO-27001 v2013: A.9.2.3	Confronta gli indirizzi email @gmail.com nel campo user nei metadati dei criteri di autorizzazione IAM con un elenco di identità approvate per la tua organizzazione. Scansioni in tempo reale: sì
Open group IAM member Nome categoria nell'API: OPEN_GROUP_IAM_MEMBER	Descrizione visualizzata:un account Google Gruppi a cui è possibile partecipare senza approvazione viene utilizzato come entità del criterio di autorizzazione IAM. Livello di prezzo: Premium o Standard Asset supportati cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Cartelle cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata ad alcun controllo standard di conformità.	Controlla il criterio IAM nei metadati delle risorse per verificare la presenza di eventuali associazione contenenti un membro (entità) con prefisso group. Se il gruppo è un gruppo aperto, Security Health Analytics genera questo risultato. Input aggiuntivi: legge i metadati di Google Gruppi per verificare se il gruppo identificato è un gruppo aperto. Scansioni in tempo reale: no
Over privileged service account user Nome categoria nell'API: OVER_PRIVILEGED_SERVICE_ACCOUNT_USER	Descrizione dell'utente: Un utente dispone del ruolo Utente account di servizio o Creatore token account di servizio a livello di progetto, anziché per un account di servizio specifico. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Cartelle cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 1.5 CIS GCP Foundation 1.1: 1.6 CIS GCP Foundation 1.2: 1.6 CIS GCP Foundation 1.3: 1.6 CIS GCP Foundation 2.0: 1.6 NIST 800-53 R4: AC-6 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 7.1.2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.9.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Controlla il criterio di autorizzazione IAM nei metadati delle risorse per verificare la presenza di eventuali entità assegnate roles/iam.serviceAccountUser o roles/iam.serviceAccountTokenCreator a livello di progetto. Asset esclusi dalle analisi: account di servizio Cloud Build Scansioni in tempo reale: sì
Primitive roles used Nome categoria nell'API: PRIMITIVE_ROLES_USED	Come trovare la descrizione: Un utente dispone di uno dei seguenti ruoli di base: Proprietario (roles/owner) Editor (roles/editor) Visualizzatore (roles/viewer) Questi ruoli sono troppo permissivi e non dovrebbero essere utilizzati. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Cartelle cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: NIST 800-53 R4: AC-6 PCI-DSS v3.2.1: 7.1.2 ISO-27001 v2013: A.9.2.3	Controlla il criterio di autorizzazione IAM nei metadati delle risorse per verificare la presenza di eventuali entità a cui è stato assegnato un ruolo roles/owner, roles/editor o roles/viewer. Scansioni in tempo reale: sì
Redis role used on org Nome categoria nell'API: REDIS_ROLE_USED_ON_ORG	Descrizione visualizzata:viene assegnato un ruolo IAM Redis a livello di organizzazione o cartella. Questo risultato non è disponibile per le attivazioni a livello di progetto. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Organization Correggi questo risultato Standard di conformità: PCI-DSS v3.2.1: 7.1.2 ISO-27001 v2013: A.9.2.3	Controlla il criterio di autorizzazione IAM nei metadati delle risorse per verificare la presenza delle entità assegnate a roles/redis.admin, roles/redis.editor e roles/redis.viewer a livello di organizzazione o cartella. Scansioni in tempo reale: sì
Service account role separation Nome categoria nell'API: SERVICE_ACCOUNT_ROLE_SEPARATION	Descrizione in corso: A un utente sono stati assegnati i ruoli Amministratore account di servizio e Utente account di servizio. Ciò costituisce una violazione del principio di "Separazione dei doveri". Questo risultato non è disponibile per le attivazioni a livello di progetto. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Cartelle cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 1.7 CIS GCP Foundation 1.1: 1.8 CIS GCP Foundation 1.2: 1.8 CIS GCP Foundation 1.3: 1.8 CIS GCP Foundation 2.0: 1.8 NIST 800-53 R4: AC-5 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.9.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Controlla il criterio di autorizzazione IAM nei metadati delle risorse per verificare la presenza di eventuali entità assegnate sia roles/iam.serviceAccountUser sia roles/iam.serviceAccountAdmin. Scansioni in tempo reale: sì
Service account key not rotated Nome categoria nell'API: SERVICE_ACCOUNT_KEY_NOT_ROTATED	Descrizione visualizzata: la chiave dell'account di servizio non viene ruotata per più di 90 giorni. Livello di prezzo: Premium Asset supportati iam.googleapis.com/ServiceAccountKey Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 1.6 CIS GCP Foundation 1.1: 1.7 CIS GCP Foundation 1.2: 1.7 CIS GCP Foundation 1.3: 1.7 CIS GCP Foundation 2.0: 1.7	Valuta il timestamp di creazione della chiave acquisito nella proprietà validAfterTime nei metadati delle chiavi degli account di servizio. Asset esclusi dalle analisi: chiavi e chiavi dell'account di servizio scadute non gestite dagli utenti Scansioni in tempo reale: sì
User managed service account key Nome categoria nell'API: USER_MANAGED_SERVICE_ACCOUNT_KEY	Descrizione visualizzata: un utente gestisce una chiave dell'account di servizio. Livello di prezzo: Premium Asset supportati iam.googleapis.com/ServiceAccountKey Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 1.3 CIS GCP Foundation 1.1: 1.4 CIS GCP Foundation 1.2: 1.4 CIS GCP Foundation 1.3: 1.4 CIS GCP Foundation 2.0: 1.4	Controlla se la proprietà keyType nei metadati della chiave dell'account di servizio è impostata su User_Managed. Scansioni in tempo reale: sì

Risultati di vulnerabilità KMS

Le vulnerabilità di questo tipo di rilevatore sono correlate alle configurazioni di Cloud KMS e appartengono al tipo di rilevatore KMS_SCANNER.

Tabella 11. Scanner KMS

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
KMS key not rotated Nome categoria nell'API: KMS_KEY_NOT_ROTATED	Descrizione del risultato: la rotazione non è configurata su una chiave di crittografia di Cloud KMS. Le chiavi devono essere ruotate entro un periodo di 90 giorni. Livello di prezzo: Premium Asset supportati cloudkms.googleapis.com/CryptoKey Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 1.8 CIS GCP Foundation 1.1: 1.10 CIS GCP Foundation 1.2: 1.10 CIS GCP Foundation 1.3: 1.10 CIS GCP Foundation 2.0: 1.10 NIST 800-53 R4: SC-12 NIST 800-53 R5: IA-5, SC-28 PCI-DSS v3.2.1: 3.5 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2013: A.10.1.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS Controls 8.0: 3.11	Controlla l'esistenza delle proprietà rotationPeriod o nextRotationTime nei metadati delle risorse. Asset esclusi dalle analisi: chiavi e chiavi asimmetriche con versioni primarie disattivate o eliminate Scansioni in tempo reale: sì
KMS project has owner Nome categoria nell'API: KMS_PROJECT_HAS_OWNER	Descrizione dell'elemento: Un utente dispone delle autorizzazioni di Proprietario per un progetto che dispone di chiavi di crittografia. Per le attivazioni del livello Premium di Security Command Center a livello di progetto, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 1.11 CIS GCP Foundation 1.2: 1.11 CIS GCP Foundation 1.3: 1.11 CIS GCP Foundation 2.0: 1.11 NIST 800-53 R4: AC-6, SC-12 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 3.5 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.10.1.2, A.9.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Controlla il criterio di autorizzazione IAM nei metadati del progetto per verificare la presenza di entità assegnate roles/Owner. Input aggiuntivi: legge le chiavi di crittografia di un progetto dallo spazio di archiviazione, archiviando i risultati solo per i progetti con criptovalute Scansioni in tempo reale: sì, ma solo in caso di modifiche ai criteri di autorizzazione IAM, non in caso di modifiche alle chiavi KMS
KMS public key Nome categoria nell'API: KMS_PUBLIC_KEY	Descrizione del risultato: una chiave di crittografia Cloud KMS è accessibile pubblicamente. Livello di prezzo: Premium Asset supportati cloudkms.googleapis.com/CryptoKey cloudkms.googleapis.com/KeyRing Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 1.9 CIS GCP Foundation 1.2: 1.9 CIS GCP Foundation 1.3: 1.9 CIS GCP Foundation 2.0: 1.9 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Controlla il criterio di autorizzazione IAM nei metadati delle risorse per trovare le entità allUsers o allAuthenticatedUsers, che concedono l'accesso pubblico. Scansioni in tempo reale: sì
Too many KMS users Nome categoria nell'API: TOO_MANY_KMS_USERS	Descrizione originale: gli utenti delle chiavi di crittografia sono più di tre. Per le attivazioni del livello Premium di Security Command Center a livello di progetto, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati cloudkms.googleapis.com/CryptoKey Correggi questo risultato Standard di conformità: PCI-DSS v3.2.1: 3.5.2 ISO-27001 v2013: A.9.2.3	Controlla i criteri di autorizzazione IAM per keyring, progetti e organizzazioni e recupera le entità con ruoli che consentono loro di criptare, decriptare o firmare i dati utilizzando le chiavi Cloud KMS: roles/owner, roles/cloudkms.cryptoKeyEncrypterDecrypter, roles/cloudkms.cryptoKeyEncrypter, roles/cloudkms.cryptoKeyDecrypter, roles/cloudkms.signer e roles/cloudkms.signerVerifier. Input aggiuntivi: legge le versioni delle chiavi di crittografia dall'archiviazione, archiviando i risultati solo per le chiavi con versioni attive. Il rilevatore legge anche i criteri di autorizzazione IAM del keyring, del progetto e dell'organizzazione dall'archiviazione Scansioni in tempo reale: sì

Logging dei risultati di vulnerabilità

Tutte le vulnerabilità di questo tipo di rilevatore sono relative alle configurazioni di logging e appartengono al tipo di rilevatore LOGGING_SCANNER.

Tabella 12. Scanner di Logging

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
Audit logging disabled Nome categoria nell'API: AUDIT_LOGGING_DISABLED	Descrizione del risultato: l'audit logging è stato disabilitato per questa risorsa. Questo risultato non è disponibile per le attivazioni a livello di progetto. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Cartelle cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 2.1 CIS GCP Foundation 1.1: 2.1 CIS GCP Foundation 1.2: 2.1 CIS GCP Foundation 1.3: 2.1 CIS GCP Foundation 2.0: 2.1 NIST 800-53 R4: AC-2, AU-2 NIST 800-53 R5: AU-6, AU-7 PCI-DSS v3.2.1: 10.1, 10.2 PCI-DSS v4.0: 10.4.1, 10.4.1.1, 10.4.2, 10.4.3 ISO-27001 v2013: A.12.4.1, A.16.1.7 ISO-27001 v2022: A.5.25 Cloud Controls Matrix 4: LOG-05 NIST Cybersecurity Framework 1.0: DE-AE-2, PR-PT-1, RS-AN-1 SOC2 v2017: CC4.1.1, CC4.1.2, CC4.1.3, CC4.1.4, CC4.1.5, CC4.1.6, CC4.1.7, CC4.1.8, CC7.3.1, CC7.3.2, CC7.3.3, CC7.3.4, CC7.3.5 HIPAA: 164.308(a)(1)(ii), 164.312(b) CIS Controls 8.0: 8.11, 8.2	Verifica l'esistenza di un oggetto auditLogConfigs nel criterio di autorizzazione IAM nei metadati delle risorse. Scansioni in tempo reale: sì
Bucket logging disabled Nome categoria nell'API: BUCKET_LOGGING_DISABLED	Descrizione: esiste un bucket di archiviazione senza logging abilitato. Livello di prezzo: Premium Asset supportati storage.googleapis.com/Bucket Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 5.3	Verifica se il campo logBucket nella proprietà logging del bucket è vuoto. Scansioni in tempo reale: sì
Locked retention policy not set Nome categoria nell'API: LOCKED_RETENTION_POLICY_NOT_SET	Descrizione del processo di ricerca: non è stato impostato un criterio di conservazione bloccato per i log. Per le attivazioni del livello Premium di Security Command Center a livello di progetto, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati storage.googleapis.com/Bucket Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 2.3 CIS GCP Foundation 1.2: 2.3 CIS GCP Foundation 1.3: 2.3 CIS GCP Foundation 2.0: 2.3 NIST 800-53 R4: AU-11 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 10.5 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.12.4.2, A.18.1.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Controlla se il campo isLocked nella proprietà retentionPolicy del bucket è impostato su true. Input aggiuntivi: legge il sink di log (il filtro e la destinazione dei log) di un bucket per determinare se si tratta di un bucket di log Scansioni in tempo reale: sì
Log not exported Nome categoria nell'API: LOG_NOT_EXPORTED	Ricerca della descrizione: esiste una risorsa per cui non è stato configurato un sink di log appropriato. Per le attivazioni del livello Premium di Security Command Center a livello di progetto, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 2.2 CIS GCP Foundation 1.1: 2.2 CIS GCP Foundation 1.2: 2.2 CIS GCP Foundation 1.3: 2.2 CIS GCP Foundation 2.0: 2.2 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2013: A.18.1.3 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.3	Recupera un oggetto logSink in un progetto, controllando che il campo includeChildren sia impostato su true, che il campo destination includa la posizione in cui scrivere i log e che il campo filter sia compilato. Input aggiuntivi: legge il sink di log (il filtro e la destinazione dei log) di un bucket per determinare se si tratta di un bucket di log Scansioni in tempo reale: sì, ma solo in caso di modifiche al progetto, non se l'esportazione dei log è configurata nella cartella o nell'organizzazione
Object versioning disabled Nome categoria nell'API: OBJECT_VERSIONING_DISABLED	Descrizione degli oggetti:il controllo delle versioni degli oggetti non è abilitato in un bucket di archiviazione in cui sono configurati i sink. Per le attivazioni del livello Premium di Security Command Center a livello di progetto, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati storage.googleapis.com/Bucket Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 2.3 NIST 800-53 R4: AU-11 PCI-DSS v3.2.1: 10.5 ISO-27001 v2013: A.12.4.2, A.18.1.3	Controlla se il campo enabled nella proprietà versioning del bucket è impostato su true. Asset esclusi dalle analisi: bucket Cloud Storage con un criterio di conservazione bloccato Input aggiuntivi: legge il sink di log (il filtro e la destinazione dei log) di un bucket per determinare se si tratta di un bucket di log Scansioni in tempo reale: sì, ma solo se il controllo delle versioni degli oggetti cambia, non se vengono creati bucket di log

Monitoraggio dei risultati di vulnerabilità

Le vulnerabilità di questo tipo di rilevatore si riferiscono tutte alle configurazioni di monitoraggio e appartengono al tipo MONITORING_SCANNER. Tutte le proprietà dei risultati dei rilevatori di Monitoring includono:

• Il RecommendedLogFilter da utilizzare per la creazione delle metriche di log.
• Il valore QualifiedLogMetricNames che copre le condizioni elencate nel filtro di log consigliato.
• AlertPolicyFailureReasonsche indica se il progetto non ha criteri di avviso creati per nessuna delle metriche di log qualificate o se i criteri di avviso esistenti non hanno le impostazioni consigliate.

Tabella 13. Scanner di Monitoring

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
Audit config not monitored Nome categoria nell'API: AUDIT_CONFIG_NOT_MONITORED	Descrizione dei dati: le metriche e gli avvisi dei log non sono configurati per monitorare le modifiche alla configurazione dell'audit. Per le attivazioni del livello Premium di Security Command Center a livello di progetto, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 2.5 CIS GCP Foundation 1.1: 2.5 CIS GCP Foundation 1.2: 2.5 CIS GCP Foundation 1.3: 2.5 CIS GCP Foundation 2.0: 2.5 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	Controlla se la proprietà filter della risorsa LogsMetric del progetto è impostata su protoPayload.methodName="SetIamPolicy" AND protoPayload.serviceData.policyDelta.auditConfigDeltas:* e, se resource.type è specificato, che il valore è global. Il rilevatore cerca anche una risorsa alertPolicy corrispondente, verificando che le proprietà conditions e notificationChannels siano configurate correttamente. Autorizzazioni IAM aggiuntive: roles/monitoring.alertPolicyViewer Input aggiuntivi: legge le metriche di log per il progetto dall'archiviazione. Legge le informazioni dell'account Google Cloud Observability da Google Cloud Observability, inviando i risultati solo per i progetti con account attivi Scansioni in tempo reale: sì, ma solo nelle modifiche al progetto, non nelle metriche di log e nelle modifiche agli avvisi
Bucket IAM not monitored Nome categoria nell'API: BUCKET_IAM_NOT_MONITORED	Descrizione dei dati: Le metriche di log e gli avvisi non sono configurati per monitorare le modifiche alle autorizzazioni IAM di Cloud Storage. Per le attivazioni del livello Premium di Security Command Center a livello di progetto, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 2.10 CIS GCP Foundation 1.1: 2.10 CIS GCP Foundation 1.2: 2.10 CIS GCP Foundation 1.3: 2.10 CIS GCP Foundation 2.0: 2.10 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	Controlla se la proprietà filter della risorsa LogsMetric del progetto è impostata su resource.type=gcs_bucket AND protoPayload.methodName="storage.setIamPermissions". Il rilevatore cerca anche una risorsa alertPolicy corrispondente, verificando che le proprietà conditions e notificationChannels siano configurate correttamente. Autorizzazioni IAM aggiuntive: roles/monitoring.alertPolicyViewer Input aggiuntivi: legge le metriche di log per il progetto dall'archiviazione. Legge le informazioni dell'account Google Cloud Observability da Google Cloud Observability, inviando i risultati solo per i progetti con account attivi Scansioni in tempo reale: sì, ma solo nelle modifiche al progetto, non nelle metriche di log e nelle modifiche agli avvisi
Custom role not monitored Nome categoria nell'API: CUSTOM_ROLE_NOT_MONITORED	Descrizione dei dati: Le metriche dei log e gli avvisi non sono configurati per monitorare le modifiche ai ruoli personalizzati. Per le attivazioni del livello Premium di Security Command Center a livello di progetto, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 2.6 CIS GCP Foundation 1.1: 2.6 CIS GCP Foundation 1.2: 2.6 CIS GCP Foundation 1.3: 2.6 CIS GCP Foundation 2.0: 2.6 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	Controlla se la proprietà filter della risorsa LogsMetric del progetto è impostata su resource.type="iam_role" AND (protoPayload.methodName="google.iam.admin.v1.CreateRole" OR protoPayload.methodName="google.iam.admin.v1.DeleteRole" OR protoPayload.methodName="google.iam.admin.v1.UpdateRole"). Il rilevatore cerca anche una risorsa alertPolicy corrispondente, verificando che le proprietà conditions e notificationChannels siano configurate correttamente. Autorizzazioni IAM aggiuntive: roles/monitoring.alertPolicyViewer Input aggiuntivi: legge le metriche di log per il progetto dall'archiviazione. Legge le informazioni dell'account Google Cloud Observability da Google Cloud Observability, inviando i risultati solo per i progetti con account attivi Scansioni in tempo reale: sì, ma solo nelle modifiche al progetto, non nelle metriche di log e nelle modifiche agli avvisi
Firewall not monitored Nome categoria nell'API: FIREWALL_NOT_MONITORED	Descrizione del risultato: le metriche di log e gli avvisi non sono configurati per monitorare le modifiche alle regole del firewall di rete Virtual Private Cloud (VPC). Per le attivazioni del livello Premium di Security Command Center a livello di progetto, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 2.7 CIS GCP Foundation 1.1: 2.7 CIS GCP Foundation 1.2: 2.7 CIS GCP Foundation 1.3: 2.7 CIS GCP Foundation 2.0: 2.7 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	Controlla se la proprietà filter della risorsa LogsMetric del progetto è impostata su resource.type="gce_firewall_rule" AND (protoPayload.methodName:"compute.firewalls.insert" OR protoPayload.methodName:"compute.firewalls.patch" OR protoPayload.methodName:"compute.firewalls.delete"). Il rilevatore cerca anche una risorsa alertPolicy corrispondente, verificando che le proprietà conditions e notificationChannels siano configurate correttamente. Autorizzazioni IAM aggiuntive: roles/monitoring.alertPolicyViewer Input aggiuntivi: legge le metriche di log per il progetto dall'archiviazione. Legge le informazioni dell'account Google Cloud Observability da Google Cloud Observability, inviando i risultati solo per i progetti con account attivi Scansioni in tempo reale: sì, ma solo nelle modifiche al progetto, non nelle metriche di log e nelle modifiche agli avvisi
Network not monitored Nome categoria nell'API: NETWORK_NOT_MONITORED	Descrizione dei dati: le metriche dei log e gli avvisi non sono configurati per monitorare le modifiche alla rete VPC. Per le attivazioni del livello Premium di Security Command Center a livello di progetto, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 2.9 CIS GCP Foundation 1.1: 2.9 CIS GCP Foundation 1.2: 2.9 CIS GCP Foundation 1.3: 2.9 CIS GCP Foundation 2.0: 2.9 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	Controlla se la proprietà filter della risorsa LogsMetric del progetto è impostata su resource.type="gce_network" AND (protoPayload.methodName:"compute.networks.insert" OR protoPayload.methodName:"compute.networks.patch" OR protoPayload.methodName:"compute.networks.delete" OR protoPayload.methodName:"compute.networks.removePeering" OR protoPayload.methodName:"compute.networks.addPeering"). Il rilevatore cerca anche una risorsa alertPolicy corrispondente, verificando che le proprietà conditions e notificationChannels siano configurate correttamente. Autorizzazioni IAM aggiuntive: roles/monitoring.alertPolicyViewer Input aggiuntivi: legge le metriche di log per il progetto dall'archiviazione. Legge le informazioni dell'account Google Cloud Observability da Google Cloud Observability, inviando i risultati solo per i progetti con account attivi Scansioni in tempo reale: sì, ma solo nelle modifiche al progetto, non nelle metriche di log e nelle modifiche agli avvisi
Owner not monitored Nome categoria nell'API: OWNER_NOT_MONITORED	Descrizione della descrizione: Le metriche dei log e gli avvisi non sono configurati per monitorare le assegnazioni o le modifiche alla proprietà del progetto. Per le attivazioni del livello Premium di Security Command Center a livello di progetto, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 2.4 CIS GCP Foundation 1.1: 2.4 CIS GCP Foundation 1.2: 2.4 CIS GCP Foundation 1.3: 2.4 CIS GCP Foundation 2.0: 2.4 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2	Controlla se la proprietà filter della risorsa LogsMetric del progetto è impostata su (protoPayload.serviceName="cloudresourcemanager.googleapis.com") AND (ProjectOwnership OR projectOwnerInvitee) OR (protoPayload.serviceData.policyDelta.bindingDeltas.action="REMOVE" AND protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner") OR (protoPayload.serviceData.policyDelta.bindingDeltas.action="ADD" AND protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner") e, se resource.type è specificato, che il valore è global. Il rilevatore cerca anche una risorsa alertPolicy corrispondente, verificando che le proprietà conditions e notificationChannels siano configurate correttamente. Autorizzazioni IAM aggiuntive: roles/monitoring.alertPolicyViewer Input aggiuntivi: legge le metriche di log per il progetto dall'archiviazione. Legge le informazioni dell'account Google Cloud Observability da Google Cloud Observability, inviando i risultati solo per i progetti con account attivi Scansioni in tempo reale: sì, ma solo nelle modifiche al progetto, non nelle metriche di log e nelle modifiche agli avvisi
Route not monitored Nome categoria nell'API: ROUTE_NOT_MONITORED	Descrizione dei log: Le metriche dei log e gli avvisi non sono configurati per monitorare le modifiche alle route di rete VPC. Per le attivazioni del livello Premium di Security Command Center a livello di progetto, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 2.8 CIS GCP Foundation 1.1: 2.8 CIS GCP Foundation 1.2: 2.8 CIS GCP Foundation 1.3: 2.8 CIS GCP Foundation 2.0: 2.8 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	Controlla se la proprietà filter della risorsa LogsMetric del progetto è impostata su resource.type="gce_route" AND (protoPayload.methodName:"compute.routes.delete" OR protoPayload.methodName:"compute.routes.insert"). Il rilevatore cerca anche una risorsa alertPolicy corrispondente, verificando che le proprietà conditions e notificationChannels siano configurate correttamente. Autorizzazioni IAM aggiuntive: roles/monitoring.alertPolicyViewer Input aggiuntivi: legge le metriche di log per il progetto dall'archiviazione. Legge le informazioni dell'account Google Cloud Observability da Google Cloud Observability, inviando i risultati solo per i progetti con account attivi Scansioni in tempo reale: sì, ma solo nelle modifiche al progetto, non nelle metriche di log e nelle modifiche agli avvisi
SQL instance not monitored SQL_INSTANCE_NOT_MONITORED	Descrizione dei log: Le metriche dei log e gli avvisi non sono configurati per monitorare le modifiche alla configurazione dell'istanza Cloud SQL. Per le attivazioni del livello Premium di Security Command Center a livello di progetto, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 2.8 CIS GCP Foundation 1.1: 2.8 CIS GCP Foundation 1.2: 2.8 CIS GCP Foundation 1.3: 2.8 CIS GCP Foundation 2.0: 2.8 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	Controlla se la proprietà filter della risorsa LogsMetric del progetto è impostata su protoPayload.methodName="cloudsql.instances.update" OR protoPayload.methodName="cloudsql.instances.create" OR protoPayload.methodName="cloudsql.instances.delete" e, se resource.type è specificato, che il valore è global. Il rilevatore cerca anche una risorsa alertPolicy corrispondente, verificando che le proprietà conditions e notificationChannels siano configurate correttamente. Autorizzazioni IAM aggiuntive: roles/monitoring.alertPolicyViewer Input aggiuntivi: legge le metriche di log per il progetto dall'archiviazione. Legge le informazioni dell'account Google Cloud Observability da Google Cloud Observability, inviando i risultati solo per i progetti con account attivi Scansioni in tempo reale: sì, ma solo nelle modifiche al progetto, non nelle metriche di log e nelle modifiche agli avvisi

Risultati dell'autenticazione a più fattori

Il rilevatore MFA_SCANNER identifica le vulnerabilità relative all'autenticazione a più fattori per gli utenti.

Tabella 14. Scanner autenticazione a più fattori

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
MFA not enforced Nome categoria nell'API: MFA_NOT_ENFORCED	Alcuni utenti non utilizzano la verifica in due passaggi. Google Workspace consente di specificare un periodo di tolleranza per la registrazione per i nuovi utenti durante il quale devono registrarsi per la verifica in due passaggi. Questo rilevatore crea risultati per gli utenti durante il periodo di tolleranza della registrazione. Questo risultato non è disponibile per le attivazioni a livello di progetto. Livello di prezzo: Premium o Standard Asset supportati cloudresourcemanager.googleapis.com/Organization Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 1.2 CIS GCP Foundation 1.1: 1.2 CIS GCP Foundation 1.2: 1.2 CIS GCP Foundation 1.3: 1.2 CIS GCP Foundation 2.0: 1.2 NIST 800-53 R4: IA-2 PCI-DSS v3.2.1: 8.3 ISO-27001 v2013: A.9.4.2	Valuta i criteri di gestione delle identità nelle organizzazioni e nelle impostazioni utente per gli account gestiti in Cloud Identity. Asset esclusi dalle analisi: le unità organizzative a cui sono state concesse eccezioni al criterio Input aggiuntivi: legge i dati da Google Workspace Scansioni in tempo reale: no

Risultati di vulnerabilità di rete

Le vulnerabilità di questo tipo di rilevatore sono tutte correlate alle configurazioni di rete di un'organizzazione e appartengono al tipoNETWORK_SCANNER.

Tabella 15. Scanner di rete

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
Default network Nome categoria nell'API: DEFAULT_NETWORK	Descrizione del risultato: la rete predefinita esiste in un progetto. Per le attivazioni del livello Premium di Security Command Center a livello di progetto, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Network Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 3.1 CIS GCP Foundation 1.1: 3.1 CIS GCP Foundation 1.2: 3.1 CIS GCP Foundation 1.3: 3.1 CIS GCP Foundation 2.0: 3.1 NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2022: A.8.9 Cloud Controls Matrix 4: IVS-04 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC5.2.2 CIS Controls 8.0: 4.2	Controlla se la proprietà name nei metadati di rete è impostata su default Asset esclusi dalle analisi: progetti in cui l'API Compute Engine è disabilitata e le risorse Compute Engine sono in stato bloccato Scansioni in tempo reale: sì
DNS logging disabled Nome categoria nell'API: DNS_LOGGING_DISABLED	Ricerca della descrizione: il logging DNS su una rete VPC non è abilitato. Per le attivazioni del livello Premium di Security Command Center a livello di progetto, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Network dns.googleapis.com/Policy Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 2.12 CIS GCP Foundation 1.3: 2.12 CIS GCP Foundation 2.0: 2.12 NIST 800-53 R5: AU-6, AU-7 PCI-DSS v4.0: 10.4.1, 10.4.1.1, 10.4.2, 10.4.3 ISO-27001 v2022: A.5.25 Cloud Controls Matrix 4: LOG-05 NIST Cybersecurity Framework 1.0: DE-AE-2, PR-PT-1, RS-AN-1 SOC2 v2017: CC4.1.1, CC4.1.2, CC4.1.3, CC4.1.4, CC4.1.5, CC4.1.6, CC4.1.7, CC4.1.8, CC7.3.1, CC7.3.2, CC7.3.3, CC7.3.4, CC7.3.5 HIPAA: 164.308(a)(1)(ii), 164.312(b) CIS Controls 8.0: 8.11, 8.2, 8.6	Controlla tutti gli elementi policies associati a una rete VPC tramite il campo networks[].networkUrl e cerca almeno un criterio per cui enableLogging è impostato su true. Asset esclusi dalle analisi: progetti in cui l'API Compute Engine è disabilitata e le risorse Compute Engine sono in stato bloccato Scansioni in tempo reale: sì
Legacy network Nome categoria nell'API: LEGACY_NETWORK	Descrizione del risultato: una rete legacy esiste in un progetto. Per le attivazioni del livello Premium di Security Command Center a livello di progetto, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Network Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 3.2 CIS GCP Foundation 1.1: 3.2 CIS GCP Foundation 1.2: 3.2 CIS GCP Foundation 1.3: 3.2 CIS GCP Foundation 2.0: 3.2 NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2022: A.8.9 Cloud Controls Matrix 4: IVS-04 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC5.2.2 CIS Controls 8.0: 4.2	Verifica l'esistenza della proprietà IPv4Range nei metadati di rete. Asset esclusi dalle analisi: progetti in cui l'API Compute Engine è disabilitata e le risorse Compute Engine sono in stato bloccato Scansioni in tempo reale: sì
Load balancer logging disabled Nome categoria nell'API: LOAD_BALANCER_LOGGING_DISABLED	Descrizione del risultato: il logging è disabilitato per il bilanciatore del carico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/BackendServices Correggi questo risultato Standard di conformità: CIS GCP Foundation 2.0: 2.16 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2	Verifica se la proprietà enableLogging del servizio di backend sul bilanciatore del carico è impostata su true. Scansioni in tempo reale: sì

Risultati di vulnerabilità dei criteri dell'organizzazione

Le vulnerabilità di questo tipo di rilevatore si riferiscono tutte a configurazioni di vincoli dei Criteri dell'organizzazione e appartengono al tipo ORG_POLICY.

Tabella 16. Scanner dei criteri dell'organizzazione

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
Org policy Confidential VM policy Nome categoria nell'API: ORG_POLICY_CONFIDENTIAL_VM_POLICY	Descrizione: una risorsa Compute Engine non è conforme al criterio dell'organizzazione constraints/compute.restrictNonConfidentialComputing. Per maggiori informazioni su questo vincolo dei criteri dell'organizzazione, consulta Applicazione di vincoli dei criteri dell'organizzazione in Confidential VM. Per le attivazioni del livello Premium di Security Command Center a livello di progetto, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Instance Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata ad alcun controllo standard di conformità.	Controlla se la proprietà enableConfidentialCompute di un'istanza di Compute Engine è impostata su true. Asset esclusi dalle analisi: istanze GKE Autorizzazioni IAM aggiuntive: permissions/orgpolicy.policy.get Input aggiuntivi: legge il criterio dell'organizzazione effettivo dal servizio dei criteri dell'organizzazione Scansioni in tempo reale: no
Org policy location restriction Nome categoria nell'API: ORG_POLICY_LOCATION_RESTRICTION	Descrizione visualizzata: una risorsa Compute Engine non è conforme al vincolo constraints/gcp.resourceLocations. Per ulteriori informazioni su questo vincolo dei criteri dell'organizzazione, consulta Applicazione di vincoli dei criteri dell'organizzazione. Per le attivazioni del livello Premium di Security Command Center a livello di progetto, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati Nella riga seguente, consulta Asset supportati per ORG_POLICY_LOCATION_RESTRICTION Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata ad alcun controllo standard di conformità.	Verifica la proprietà listPolicy nei metadati delle risorse supportate per un elenco di località consentite o negate. Autorizzazioni IAM aggiuntive: permissions/orgpolicy.policy.get Input aggiuntivi: legge il criterio dell'organizzazione effettivo dal servizio dei criteri dell'organizzazione Scansioni in tempo reale: no
Asset supportati per ORG_POLICY_LOCATION_RESTRICTION Compute Engine compute.googleapis.com/Autoscaler compute.googleapis.com/Address compute.googleapis.com/Commitment compute.googleapis.com/Disk compute.googleapis.com/ForwardingRule compute.googleapis.com/HealthCheck compute.googleapis.com/Image compute.googleapis.com/Instance compute.googleapis.com/InstanceGroup compute.googleapis.com/InstanceGroupManager compute.googleapis.com/InterconnectAttachment compute.googleapis.com/NetworkEndpointGroup compute.googleapis.com/NodeGroup compute.googleapis.com/NodeTemplate compute.googleapis.com/PacketMirroring compute.googleapis.com/RegionBackendService compute.googleapis.com/RegionDisk compute.googleapis.com/ResourcePolicy compute.googleapis.com/Reservation compute.googleapis.com/Router compute.googleapis.com/Snapshot compute.googleapis.com/SslCertificate compute.googleapis.com/Subnetwork compute.googleapis.com/TargetHttpProxy compute.google.apis.com/TargetHttpsProxy compute.googleapis.com/TargetInstance compute.googleapis.com/TargetPool compute.googleapis.com/TargetVpnGateway compute.googleapis.com/UrlMap compute.googleapis.com/VpnGateway compute.googleapis.com/VpnTunnel GKE container.googleapis.com/Cluster container.googleapis.com/NodePool Cloud Storage storage.googleapis.com/Bucket Cloud KMS cloudkms.googleapis.com/CryptoKey^1 cloudkms.googleapis.com/CryptoKeyVersion^1 cloudkms.googleapis.com/ImportJob^2 cloudkms.googleapis.com/KeyRing^1 Dataproc dataproc.googleapis.com/Cluster BigQuery bigquery.googleapis.com/Dataset Dataflow dataflow.googleapis.com/Job^3 Cloud SQL sqladmin.googleapis.com/Instance Cloud Composer composer.googleapis.com/Environment Logging logging.googleapis.com/LogBucket Pub/Sub pubsub.googleapis.com/Topic Vertex AI aiplatform.googleapis.com/BatchPredictionJob aiplatform.googleapis.com/CustomJob aiplatform.googleapis.com/DataLabelingJob aiplatform.googleapis.com/Dataset aiplatform.googleapis.com/Endpoint aiplatform.googleapis.com/HyperparameterTuningJob aiplatform.googleapis.com/Model aiplatform.googleapis.com/SpecialistPool aiplatform.googleapis.com/TrainingPipeline Artifact Registry artifactregistry.googleapis.com/Repository ^1 Poiché gli asset di Cloud KMS non possono essere eliminati, l'asset non viene considerato al di fuori della regione se i dati dell'asset sono stati eliminati. ^2 Poiché i job di importazione di Cloud KMS hanno un ciclo di vita controllato e non possono essere terminati prima, un ImportJob non viene considerato fuori regione se il job è scaduto e non può più essere utilizzato per importare chiavi. ^3 Poiché il ciclo di vita dei job Dataflow non può essere gestito, un job non viene considerato fuori regione dopo che ha raggiunto uno stato di terminale (arresto o svuotato), in cui non può più essere utilizzato per elaborare i dati.

Risultati di vulnerabilità di Pub/Sub

Le vulnerabilità di questo tipo di rilevatore sono correlate alle configurazioni Pub/Sub e appartengono al tipo PUBSUB_SCANNER.

Tabella 17. Scanner Pub/Sub

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
Pubsub CMEK disabled Nome categoria nell'API: PUBSUB_CMEK_DISABLED	Descrizione del risultato: Un argomento Pub/Sub non è criptato con chiavi di crittografia gestite dal cliente (CMEK). Questo rilevatore richiede una configurazione aggiuntiva per essere abilitato. Per le istruzioni, consulta Abilitare e disabilitare i rilevatori. Livello di prezzo: Premium Asset supportati pubsub.googleapis.com/Topic Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata ad alcun controllo standard di conformità.	Controlla il campo kmsKeyName per il nome della risorsa della tua CMEK. Scansioni in tempo reale: sì

Risultati di vulnerabilità SQL

Le vulnerabilità di questo tipo di rilevatore sono correlate alle configurazioni di Cloud SQL e appartengono al tipo SQL_SCANNER.

Tabella 18. Scanner SQL

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
AlloyDB auto backup disabled Nome categoria nell'API: ALLOYDB_AUTO_BACKUP_DISABLED	Descrizione del risultato: per un cluster AlloyDB per PostgreSQL non sono abilitati i backup automatici. Livello di prezzo: Premium Asset supportati alloydb.googleapis.com/Cluster Correggi questo risultato Standard di conformità: NIST 800-53 R4: CP-9 ISO-27001 v2013: A.12.3.1 NIST 800-53 R5: CP-10, CP-9 ISO-27001 v2022: A.8.13 NIST Cybersecurity Framework 1.0: PR-IP-4 HIPAA: 164.308(a)(7)(ii)	Verifica se la proprietà automated_backup_policy.enabled nei metadati di un cluster AlloyDB per PostgreSQL è impostata su true. Asset esclusi dalle analisi: cluster secondari AlloyDB per PostgreSQL Scansioni in tempo reale: sì
AlloyDB log min error statement severity Nome categoria nell'API: ALLOYDB_LOG_MIN_ERROR_STATEMENT_SEVERITY	Descrizione del risultato: il flag di database log_min_error_statement per un'istanza di AlloyDB per PostgreSQL non è impostato su error o su un altro valore consigliato. Livello di prezzo: Premium Asset supportati alloydb.googleapis.com/Instances Correggi questo risultato Standard di conformità: NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3	Per garantire una copertura adeguata dei tipi di messaggi nei log, genera un risultato se il campo log_min_error_statement della proprietà databaseFlags non è impostato su uno dei seguenti valori: debug5, debug4, debug3, debug2, debug1, info, notice, warning o sul valore predefinito error. Scansioni in tempo reale: sì
AlloyDB log min messages Nome categoria nell'API: ALLOYDB_LOG_MIN_MESSAGES	Descrizione del risultato: il flag di database log_min_messages per un'istanza di AlloyDB per PostgreSQL non è impostato su warning o su un altro valore consigliato. Livello di prezzo: Premium Asset supportati alloydb.googleapis.com/Instances Correggi questo risultato Standard di conformità: NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3	Per garantire una copertura adeguata dei tipi di messaggi nei log, genera un risultato se il campo log_min_messages della proprietà databaseFlags non è impostato su uno dei seguenti valori: debug5, debug4, debug3, debug2, debug1, info, notice o sul valore predefinito warning. Scansioni in tempo reale: sì
AlloyDB log error verbosity Nome categoria nell'API: ALLOYDB_LOG_ERROR_VERBOSITY	Descrizione del risultato: il flag di database log_error_verbosity per un'istanza di AlloyDB per PostgreSQL non è impostato su default o su un altro valore consigliato. Livello di prezzo: Premium Asset supportati alloydb.googleapis.com/Instances Correggi questo risultato Standard di conformità: NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3	Per garantire una copertura adeguata dei tipi di messaggi nei log, genera un risultato se il campo log_error_verbosity della proprietà databaseFlags non è impostato su uno dei seguenti valori: verbose o sul valore predefinito default. Scansioni in tempo reale: sì
Auto backup disabled Nome categoria nell'API: AUTO_BACKUP_DISABLED	Descrizione del risultato: un database Cloud SQL non ha i backup automatici abilitati. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 6.7 CIS GCP Foundation 1.2: 6.7 CIS GCP Foundation 1.3: 6.7 CIS GCP Foundation 2.0: 6.7 NIST 800-53 R4: CP-9 NIST 800-53 R5: CP-10, CP-9 ISO-27001 v2013: A.12.3.1 ISO-27001 v2022: A.8.13 NIST Cybersecurity Framework 1.0: PR-IP-4 HIPAA: 164.308(a)(7)(ii) CIS Controls 8.0: 11.2	Controlla se la proprietà backupConfiguration.enabled di un dato Cloud SQL è impostata su true. Asset esclusi dalle analisi: repliche Cloud SQL Input aggiuntivi: legge i criteri di autorizzazione IAM per i predecessori dall'archiviazione degli asset di Security Health Analytics Scansioni in tempo reale: sì
Public SQL instance Nome categoria nell'API: PUBLIC_SQL_INSTANCE	Descrizione del risultato: un'istanza di database Cloud SQL accetta connessioni da tutti gli indirizzi IP. Livello di prezzo: Premium o Standard Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 6.2 CIS GCP Foundation 1.1: 6.5 CIS GCP Foundation 1.2: 6.5 CIS GCP Foundation 1.3: 6.5 CIS GCP Foundation 2.0: 6.5 NIST 800-53 R4: CA-3, SC-7 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 1.2.1 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.13.1.3, A.14.1.3, A.8.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Controlla se la proprietà authorizedNetworks delle istanze Cloud SQL è impostata su un singolo indirizzo IP o su un intervallo di indirizzi IP. Scansioni in tempo reale: sì
SSL not enforced Nome categoria nell'API: SSL_NOT_ENFORCED	Descrizione del risultato: un'istanza di database Cloud SQL non richiede tutte le connessioni in entrata per utilizzare SSL. Livello di prezzo: Premium o Standard Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 4.1 ISO-27001 v2013: A.13.2.1, A.14.1.3, A.8.2.3	Controlla se la proprietà sslMode dell'istanza Cloud SQL è impostata su una modalità SSL approvata, ENCRYPTED_ONLY o TRUSTED_CLIENT_CERTIFICATE_REQUIRED. Scansioni in tempo reale: sì
SQL CMEK disabled Nome categoria nell'API: SQL_CMEK_DISABLED	Descrizione del risultato: un'istanza di database SQL non è criptata con chiavi di crittografia gestite dal cliente (CMEK). Questo rilevatore richiede una configurazione aggiuntiva per essere abilitato. Per le istruzioni, consulta Abilitare e disabilitare i rilevatori. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata ad alcun controllo standard di conformità.	Controlla il campo kmsKeyName nell'oggetto diskEncryptionKey, nei metadati dell'istanza, per il nome della risorsa della tua CMEK. Scansioni in tempo reale: sì
SQL contained database authentication Nome categoria nell'API: SQL_CONTAINED_DATABASE_AUTHENTICATION	Descrizione del risultato: il flag di database contained database authentication per un'istanza di Cloud SQL per SQL Server non è impostato su off. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 6.3.2 CIS GCP Foundation 1.2: 6.3.7 CIS GCP Foundation 1.3: 6.3.7 CIS GCP Foundation 2.0: 6.3.7 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore "name": "contained database authentication", "value": "on" o se è abilitata per impostazione predefinita. Scansioni in tempo reale: sì
SQL cross DB ownership chaining Nome categoria nell'API: SQL_CROSS_DB_OWNERSHIP_CHAINING	Descrizione del risultato: il flag di database cross_db_ownership_chaining per un'istanza di Cloud SQL per SQL Server non è impostato su off. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 6.3.1 CIS GCP Foundation 1.2: 6.3.2 CIS GCP Foundation 1.3: 6.3.2 CIS GCP Foundation 2.0: 6.3.2 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore "name": "cross_db_ownership_chaining", "value": "on". Scansioni in tempo reale: sì
SQL external scripts enabled Nome categoria nell'API: SQL_EXTERNAL_SCRIPTS_ENABLED	Descrizione del risultato: il flag di database external scripts enabled per un'istanza di Cloud SQL per SQL Server non è impostato su off. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.3.1 CIS GCP Foundation 1.3: 6.3.1 CIS GCP Foundation 2.0: 6.3.1 NIST 800-53 R5: CM-7, SI-7 PCI-DSS v4.0: 1.2.5, 2.2.4, 6.4.3 NIST Cybersecurity Framework 1.0: PR-IP-1, PR-PT-3 SOC2 v2017: CC5.2.1, CC5.2.2, CC5.2.3, CC5.2.4 CIS Controls 8.0: 2.7	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore "name": "external scripts enabled", "value": "off". Scansioni in tempo reale: sì
SQL local infile Nome categoria nell'API: SQL_LOCAL_INFILE	Descrizione del risultato: il flag di database local_infile per un'istanza Cloud SQL per MySQL non è impostato su off. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 6.1.2 CIS GCP Foundation 1.2: 6.1.3 CIS GCP Foundation 1.3: 6.1.3 CIS GCP Foundation 2.0: 6.1.3 NIST 800-53 R5: CM-6, CM-7 PCI-DSS v4.0: 2.2.1 ISO-27001 v2022: A.8.8 NIST Cybersecurity Framework 1.0: PR-IP-1 CIS Controls 8.0: 16.7	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore "name": "local_infile", "value": "on". Scansioni in tempo reale: sì
SQL log checkpoints disabled Nome categoria nell'API: SQL_LOG_CHECKPOINTS_DISABLED	Descrizione del risultato: il flag di database log_checkpoints per un'istanza Cloud SQL per PostgreSQL non è impostato su on. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 6.2.1 CIS GCP Foundation 1.2: 6.2.1	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore "name": "log_checkpoints", "value": "on". Scansioni in tempo reale: sì
SQL log connections disabled Nome categoria nell'API: SQL_LOG_CONNECTIONS_DISABLED	Descrizione del risultato: il flag di database log_connections per un'istanza Cloud SQL per PostgreSQL non è impostato su on. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 6.2.2 CIS GCP Foundation 1.2: 6.2.3 CIS GCP Foundation 1.3: 6.2.2 CIS GCP Foundation 2.0: 6.2.2 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore "name": "log_connections", "value": "on". Scansioni in tempo reale: sì
SQL log disconnections disabled Nome categoria nell'API: SQL_LOG_DISCONNECTIONS_DISABLED	Descrizione del risultato: il flag di database log_disconnections per un'istanza di Cloud SQL per PostgreSQL non è impostato su on. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 6.2.3 CIS GCP Foundation 1.2: 6.2.4 CIS GCP Foundation 1.3: 6.2.3 CIS GCP Foundation 2.0: 6.2.3 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore "name": "log_disconnections", "value": "on". Scansioni in tempo reale: sì
SQL log duration disabled Nome categoria nell'API: SQL_LOG_DURATION_DISABLED	Descrizione del risultato: il flag di database log_duration per un'istanza di Cloud SQL per PostgreSQL non è impostato su on. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.2.5	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore "name": "log_duration", "value": "on". Scansioni in tempo reale: sì
SQL log error verbosity Nome categoria nell'API: SQL_LOG_ERROR_VERBOSITY	Descrizione del risultato: il flag di database log_error_verbosity per un'istanza di Cloud SQL per PostgreSQL non è impostato su default o verbose. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.2.2 CIS GCP Foundation 1.3: 6.2.1 CIS GCP Foundation 2.0: 6.2.1 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	Controlla se la proprietà databaseFlags dei metadati dell'istanza per il campo log_error_verbosity è impostata su default o verbose. Scansioni in tempo reale: sì
SQL log lock waits disabled Nome categoria nell'API: SQL_LOG_LOCK_WAITS_DISABLED	Descrizione del risultato: il flag di database log_lock_waits per un'istanza Cloud SQL per PostgreSQL non è impostato su on. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 6.2.4 CIS GCP Foundation 1.2: 6.2.6	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore "name": "log_lock_waits", "value": "on". Scansioni in tempo reale: sì
SQL log min duration statement enabled Nome categoria nell'API: SQL_LOG_MIN_DURATION_STATEMENT_ENABLED	Descrizione del risultato: il flag di database log_min_duration_statement per un'istanza Cloud SQL per PostgreSQL non è impostato su "-1". Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 6.2.7 CIS GCP Foundation 1.2: 6.2.16 CIS GCP Foundation 1.3: 6.2.8 CIS GCP Foundation 2.0: 6.2.7 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore "name": "log_min_duration_statement", "value": "-1". Scansioni in tempo reale: sì
SQL log min error statement Nome categoria nell'API: SQL_LOG_MIN_ERROR_STATEMENT	Descrizione del risultato: il flag di database log_min_error_statement per un'istanza di Cloud SQL per PostgreSQL non è impostato correttamente. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 6.2.5	Controlla se il campo log_min_error_statement della proprietà databaseFlags è impostato su uno dei seguenti valori: debug5, debug4, debug3, debug2, debug1, info, notice, warning o sul valore predefinito error. Scansioni in tempo reale: sì
SQL log min error statement severity Nome categoria nell'API: SQL_LOG_MIN_ERROR_STATEMENT_SEVERITY	Descrizione del risultato: il flag di database log_min_error_statement per un'istanza Cloud SQL per PostgreSQL non ha un livello di gravità appropriato. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.2.14 CIS GCP Foundation 1.3: 6.2.7 CIS GCP Foundation 2.0: 6.2.6 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	Controlla se il campo log_min_error_statement della proprietà databaseFlags è impostato su uno dei seguenti valori: error, log, fatal o panic. Scansioni in tempo reale: sì
SQL log min messages Nome categoria nell'API: SQL_LOG_MIN_MESSAGES	Descrizione del risultato: il flag di database log_min_messages per un'istanza Cloud SQL per PostgreSQL non è impostato su warning o su un altro valore consigliato. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.2.13 CIS GCP Foundation 1.3: 6.2.6 CIS GCP Foundation 2.0: 6.2.5 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	Per garantire una copertura adeguata dei tipi di messaggi nei log, genera un risultato se il campo log_min_messages della proprietà databaseFlags non è impostato su uno dei seguenti valori: debug5, debug4, debug3, debug2, debug1, info, notice o sul valore predefinito warning. Scansioni in tempo reale: sì
SQL log executor stats enabled Nome categoria nell'API: SQL_LOG_EXECUTOR_STATS_ENABLED	Descrizione del risultato: il flag di database log_executor_stats per un'istanza Cloud SQL per PostgreSQL non è impostato su off. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.2.11	Controlla se la proprietà databaseFlags dei metadati dell'istanza per il campo log_executor_stats è impostata su on. Scansioni in tempo reale: sì
SQL log hostname enabled Nome categoria nell'API: SQL_LOG_HOSTNAME_ENABLED	Descrizione del risultato: il flag di database log_hostname per un'istanza Cloud SQL per PostgreSQL non è impostato su off. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.2.8	Controlla se la proprietà databaseFlags dei metadati dell'istanza per il campo log_hostname è impostata su on. Scansioni in tempo reale: sì
SQL log parser stats enabled Nome categoria nell'API: SQL_LOG_PARSER_STATS_ENABLED	Descrizione del risultato: il flag di database log_parser_stats per un'istanza Cloud SQL per PostgreSQL non è impostato su off. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.2.9	Controlla se la proprietà databaseFlags dei metadati dell'istanza per il campo log_parser_stats è impostata su on. Scansioni in tempo reale: sì
SQL log planner stats enabled Nome categoria nell'API: SQL_LOG_PLANNER_STATS_ENABLED	Descrizione del risultato: il flag di database log_planner_stats per un'istanza Cloud SQL per PostgreSQL non è impostato su off. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.2.10	Controlla se la proprietà databaseFlags dei metadati dell'istanza per il campo log_planner_stats è impostata su on. Scansioni in tempo reale: sì
SQL log statement Nome categoria nell'API: SQL_LOG_STATEMENT	Descrizione del risultato: il flag di database log_statement per un'istanza Cloud SQL per PostgreSQL non è impostato su ddl (tutte le istruzioni di definizione dei dati). Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.2.7 CIS GCP Foundation 1.3: 6.2.4 CIS GCP Foundation 2.0: 6.2.4 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	Controlla se la proprietà databaseFlags dei metadati dell'istanza per il campo log_statement è impostata su ddl. Scansioni in tempo reale: sì
SQL log statement stats enabled Nome categoria nell'API: SQL_LOG_STATEMENT_STATS_ENABLED	Descrizione del risultato: il flag di database log_statement_stats per un'istanza Cloud SQL per PostgreSQL non è impostato su off. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.2.12	Controlla se la proprietà databaseFlags dei metadati dell'istanza per il campo log_statement_stats è impostata su on. Scansioni in tempo reale: sì
SQL log temp files Nome categoria nell'API: SQL_LOG_TEMP_FILES	Descrizione del risultato: il flag di database log_temp_files per un'istanza Cloud SQL per PostgreSQL non è impostato su "0". Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 6.2.6 CIS GCP Foundation 1.2: 6.2.15	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore "name": "log_temp_files", "value": "0". Scansioni in tempo reale: sì
SQL no root password Nome categoria nell'API: SQL_NO_ROOT_PASSWORD	Descrizione del risultato: un database Cloud SQL con un indirizzo IP pubblico non dispone di una password configurata per l'account root. Questo rilevatore richiede una configurazione aggiuntiva per essere abilitato. Per le istruzioni, consulta Abilitare e disabilitare i rilevatori. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 6.3 CIS GCP Foundation 1.1: 6.1.1 CIS GCP Foundation 1.2: 6.1.1 CIS GCP Foundation 1.3: 6.1.1 CIS GCP Foundation 2.0: 6.1.1 NIST 800-53 R4: AC-3 PCI-DSS v3.2.1: 2.1 ISO-27001 v2013: A.8.2.3, A.9.4.2	Controlla se la proprietà rootPassword dell'account principale è vuota. Autorizzazioni IAM aggiuntive: roles/cloudsql.client Input aggiuntivi: esegue query sulle istanze live Scansioni in tempo reale: no
SQL public IP Nome categoria nell'API: SQL_PUBLIC_IP	Descrizione del risultato: un database Cloud SQL ha un indirizzo IP pubblico. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 6.6 CIS GCP Foundation 1.2: 6.6 CIS GCP Foundation 1.3: 6.6 CIS GCP Foundation 2.0: 6.2.9, 6.6 NIST 800-53 R5: AC-3, AC-5, AC-6, MA-4, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.2, CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3, 4.6	Controlla se il tipo di indirizzo IP di un database Cloud SQL è impostato su Primary, a indicare che è pubblico. Scansioni in tempo reale: sì
SQL remote access enabled Nome categoria nell'API: SQL_REMOTE_ACCESS_ENABLED	Descrizione del risultato: il flag di database remote access per un'istanza di Cloud SQL per SQL Server non è impostato su off. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.3.5 CIS GCP Foundation 1.3: 6.3.5 CIS GCP Foundation 2.0: 6.3.5 NIST 800-53 R5: CM-6, CM-7 PCI-DSS v4.0: 1.2.5, 2.2.4, 6.4.1 ISO-27001 v2022: A.8.9 SOC2 v2017: CC6.6.1, CC6.6.3, CC6.6.4 CIS Controls 8.0: 4.8	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore "name": "remote access", "value": "off". Scansioni in tempo reale: sì
SQL skip show database disabled Nome categoria nell'API: SQL_SKIP_SHOW_DATABASE_DISABLED	Descrizione del risultato: il flag di database skip_show_database per un'istanza Cloud SQL per MySQL non è impostato su on. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.1.2 CIS GCP Foundation 1.3: 6.1.2 CIS GCP Foundation 2.0: 6.1.2 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore "name": "skip_show_database", "value": "on". Scansioni in tempo reale: sì
SQL trace flag 3625 Nome categoria nell'API: SQL_TRACE_FLAG_3625	Descrizione del risultato: il flag di database 3625 (trace flag) per un'istanza di Cloud SQL per SQL Server non è impostato su on. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.3.6 CIS GCP Foundation 2.0: 6.3.6 NIST 800-53 R5: CM-1, CM-2, CM-6, CM-7, CM-9, SA-10, SA-3, SA-8 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2022: A.8.1, A.8.9 Cloud Controls Matrix 4: CCC-01 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC7.1.2, CC7.1.3, CC7.1.4, CC8.1.1, CC8.1.10, CC8.1.11, CC8.1.12, CC8.1.13, CC8.1.14, CC8.1.15, CC8.1.2, CC8.1.3, CC8.1.4, CC8.1.5, CC8.1.6, CC8.1.7, CC8.1.8, CC8.1.9 CIS Controls 8.0: 4.1	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore "name": "3625 (trace flag)", "value": "on". Scansioni in tempo reale: sì
SQL user connections configured Nome categoria nell'API: SQL_USER_CONNECTIONS_CONFIGURED	Descrizione del risultato: è stato configurato il flag di database user connections per un'istanza di Cloud SQL per SQL Server. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.3.3 CIS GCP Foundation 1.3: 6.3.3 CIS GCP Foundation 2.0: 6.3.3 NIST 800-53 R5: CM-1, CM-2, CM-6, CM-7, CM-9, SA-10, SA-3, SA-8 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2022: A.8.1, A.8.9 Cloud Controls Matrix 4: CCC-01 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC7.1.2, CC7.1.3, CC7.1.4, CC8.1.1, CC8.1.10, CC8.1.11, CC8.1.12, CC8.1.13, CC8.1.14, CC8.1.15, CC8.1.2, CC8.1.3, CC8.1.4, CC8.1.5, CC8.1.6, CC8.1.7, CC8.1.8, CC8.1.9 CIS Controls 8.0: 4.1	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore "name": "user connections", "value": "0". Scansioni in tempo reale: sì
SQL user options configured Nome categoria nell'API: SQL_USER_OPTIONS_CONFIGURED	Descrizione del risultato: è stato configurato il flag di database user options per un'istanza di Cloud SQL per SQL Server. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.3.4 CIS GCP Foundation 1.3: 6.3.4 CIS GCP Foundation 2.0: 6.3.4 NIST 800-53 R5: CM-1, CM-2, CM-6, CM-7, CM-9, SA-10, SA-3, SA-8 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2022: A.8.1, A.8.9 Cloud Controls Matrix 4: CCC-01 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC7.1.2, CC7.1.3, CC7.1.4, CC8.1.1, CC8.1.10, CC8.1.11, CC8.1.12, CC8.1.13, CC8.1.14, CC8.1.15, CC8.1.2, CC8.1.3, CC8.1.4, CC8.1.5, CC8.1.6, CC8.1.7, CC8.1.8, CC8.1.9 CIS Controls 8.0: 4.1	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore "name": "user options", "value": "" (vuota). Scansioni in tempo reale: sì
SQL weak root password Nome categoria nell'API: SQL_WEAK_ROOT_PASSWORD	Descrizione del problema: un database Cloud SQL con un indirizzo IP pubblico ha anche una password inefficace configurata per l'account root. Questo rilevatore richiede una configurazione aggiuntiva per essere abilitato. Per le istruzioni, consulta Abilitare e disabilitare i rilevatori. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata ad alcun controllo standard di conformità.	Confronta la password dell'account root del tuo database Cloud SQL con un elenco di password comuni. Autorizzazioni IAM aggiuntive: roles/cloudsql.client Input aggiuntivi: esegue query sulle istanze live Scansioni in tempo reale: no

Risultati di vulnerabilità dello spazio di archiviazione

Le vulnerabilità di questo tipo di rilevatore sono correlate alle configurazioni dei bucket Cloud Storage e appartengono al tipoSTORAGE_SCANNER.

Tabella 19. Scanner

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
Bucket CMEK disabled Nome categoria nell'API: BUCKET_CMEK_DISABLED	Descrizione del risultato: un bucket non è criptato con chiavi di crittografia gestite dal cliente (CMEK). Per abilitare questo rilevatore è necessaria una configurazione aggiuntiva. Per le istruzioni, consulta Abilitare e disabilitare i rilevatori. Livello di prezzo: Premium Asset supportati storage.googleapis.com/Bucket Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata ad alcun controllo standard di conformità.	Controlla il campo encryption nei metadati del bucket per il nome della risorsa della tua CMEK. Scansioni in tempo reale: sì
Bucket policy only disabled Nome categoria nell'API: BUCKET_POLICY_ONLY_DISABLED	Descrizione del problema: L'accesso uniforme a livello di bucket, in precedenza denominato Solo criterio bucket, non è configurato. Livello di prezzo: Premium Asset supportati storage.googleapis.com/Bucket Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 5.2 CIS GCP Foundation 1.3: 5.2 CIS GCP Foundation 2.0: 5.2 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Controlla se la proprietà uniformBucketLevelAccess in un bucket è impostata su "enabled":false Scansioni in tempo reale: sì
Public bucket ACL Nome categoria nell'API: PUBLIC_BUCKET_ACL	Descrizione trovata: un bucket Cloud Storage è accessibile pubblicamente. Livello di prezzo: Premium o Standard Asset supportati storage.googleapis.com/Bucket Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 5.1 CIS GCP Foundation 1.1: 5.1 CIS GCP Foundation 1.2: 5.1 CIS GCP Foundation 1.3: 5.1 CIS GCP Foundation 2.0: 5.1 NIST 800-53 R4: AC-2 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 7.1 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.14.1.3, A.8.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Controlla il criterio di autorizzazione IAM di un bucket per individuare i ruoli pubblici, allUsers o allAuthenticatedUsers. Scansioni in tempo reale: sì
Public log bucket Nome categoria nell'API: PUBLIC_LOG_BUCKET	Descrizione del risultato: un bucket di archiviazione utilizzato come sink di log è accessibile pubblicamente. Questo risultato non è disponibile per le attivazioni a livello di progetto. Livello di prezzo: Premium o Standard Asset supportati storage.googleapis.com/Bucket Correggi questo risultato Standard di conformità: NIST 800-53 R4: AU-9 PCI-DSS v3.2.1: 10.5 ISO-27001 v2013: A.12.4.2, A.18.1.3, A.8.2.3	Controlla il criterio di autorizzazione IAM di un bucket per trovare le entità allUsers o allAuthenticatedUsers, che concedono l'accesso pubblico. Input aggiuntivi: legge il sink di log (il filtro e la destinazione dei log) di un bucket per determinare se si tratta di un bucket di log Scansioni in tempo reale: sì, ma solo se il criterio IAM sul bucket cambia, non se il sink di log viene modificato

Risultati di vulnerabilità delle subnet

Le vulnerabilità di questo tipo di rilevatore sono correlate alle configurazioni di subnet di un'organizzazione e appartengono al tipoSUBNETWORK_SCANNER.

Tabella 20. Scanner di subnet

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
Flow logs disabled Nome categoria nell'API: FLOW_LOGS_DISABLED	Descrizione del risultato: esiste una subnet VPC in cui i log di flusso sono disabilitati. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Subnet Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 3.9 CIS GCP Foundation 1.1: 3.8 CIS GCP Foundation 1.2: 3.8 NIST 800-53 R4: SI-4 PCI-DSS v3.2.1: 10.1, 10.2 ISO-27001 v2013: A.13.1.1	Verifica se la proprietà enableFlowLogs delle subnet di Compute Engine manca o è impostata su false. Asset esclusi dalle analisi: accesso VPC serverless, subnet del bilanciatore del carico Scansioni in tempo reale: sì
Flow logs settings not recommended Nome categoria nell'API: VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED	Come trovare la descrizione: per una subnet VPC, i log di flusso VPC sono disattivati o non configurati in base ai suggerimenti di CIS Benchmark 1.3. Per abilitare questo rilevatore è necessaria una configurazione aggiuntiva. Per le istruzioni, consulta Abilitare e disabilitare i rilevatori. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Subnet Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.3: 3.8 CIS GCP Foundation 2.0: 3.8 NIST 800-53 R5: SI-4 ISO-27001 v2022: A.8.15, A.8.16 Cloud Controls Matrix 4: IVS-03 NIST Cybersecurity Framework 1.0: DE-CM-1 SOC2 v2017: CC7.2.1, CC7.2.2, CC7.2.3, CC7.2.4 CIS Controls 8.0: 13.6, 8.2	Verifica se la proprietà enableFlowLogs delle subnet VPC manca o è impostata su false. Se Log di flusso VPC è abilitato, controlla la proprietà Aggregation Interval impostata su 5 SEC, il valore Include metadata impostato su true, il valore Sample rate su 100%. Asset esclusi dalle analisi: accesso VPC serverless, subnet del bilanciatore del carico Scansioni in tempo reale: sì
Private Google access disabled Nome categoria nell'API: PRIVATE_GOOGLE_ACCESS_DISABLED	Descrizione del file: Esistono subnet private che non consentono l'accesso alle API pubbliche di Google. Livello di prezzo: Premium Asset supportati storage.googleapis.com/Bucket compute.googleapis.com/Subnet Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 3.8	Controlla se la proprietà privateIpGoogleAccess delle subnet di Compute Engine è impostata su false. Scansioni in tempo reale: sì

Risultati AWS

Solo livello Enterprise: questa funzionalità è disponibile solo con il livello Security Command Center Enterprise.

Tabella 21. Risultati AWS

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
AWS Cloud Shell Full Access Restricted Nome categoria nell'API: ACCESS_AWSCLOUDSHELLFULLACCESS_RESTRICTED	Come trovare la descrizione: AWS CloudShell è un modo conveniente per eseguire i comandi dell'interfaccia a riga di comando sui servizi AWS; un criterio IAM gestito ("AWSCloudShellFullAccess") fornisce l'accesso completo a CloudShell, che consente il caricamento e la capacità di download di file tra il sistema locale dell'utente e l'ambiente CloudShell. Nell'ambiente CloudShell un utente dispone delle autorizzazioni sudo e può accedere a internet. Quindi è possibile installare un software per il trasferimento di file (ad esempio) e spostare i dati da CloudShell a server internet esterni. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: CIS AWS Foundation 2.0.0: 1.22	Assicurati che l'accesso ad AWSCloudShellFullAccess sia limitato Scansioni in tempo reale: no
Access Keys Rotated Every 90 Days or Less Nome categoria nell'API: ACCESS_KEYS_ROTATED_90_DAYS_LESS	Come trovare la descrizione: Le chiavi di accesso sono composte da un ID chiave di accesso e una chiave di accesso segreta, utilizzate per firmare le richieste programmatiche che effettui ad AWS. Gli utenti di AWS hanno bisogno delle proprie chiavi di accesso per effettuare chiamate programmatiche ad AWS da AWS Command Line Interface (AWS CLI), da strumenti per Windows PowerShell, dagli SDK AWS o da chiamate HTTP dirette utilizzando le API per i singoli servizi AWS. Ti consigliamo di ruotare regolarmente tutte le chiavi di accesso. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-3(15) PCI-DSS v3.2.1: 8.2.4 CIS AWS Foundation 2.0.0: 1.14 CIS Controls 8.0: 5	Assicurati che le chiavi di accesso vengano ruotate ogni 90 giorni o meno Scansioni in tempo reale: no
All Expired Ssl Tls Certificates Stored Aws Iam Removed Nome categoria nell'API: ALL_EXPIRED_SSL_TLS_CERTIFICATES_STORED_AWS_IAM_REMOVED	Come trovare la descrizione: Per abilitare le connessioni HTTPS al tuo sito web o alla tua applicazione in AWS, è necessario un certificato server SSL/TLS. Puoi utilizzare ACM o IAM per archiviare i certificati del server ed eseguirne il deployment. Utilizza IAM come gestore dei certificati solo se devi supportare le connessioni HTTPS in una regione non supportata da ACM. IAM cripta in modo sicuro le tue chiavi private e archivia la versione criptata nell'archiviazione dei certificati SSL IAM. IAM supporta il deployment di certificati server in tutte le regioni, ma devi ottenere il certificato da un provider esterno per l'utilizzo con AWS. Non puoi caricare un certificato ACM in IAM. Inoltre, non puoi gestire i certificati dalla console IAM. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AU-11,CM-12,SI-12 PCI-DSS v4.0: 9.4.2 ISO-27001 v2022: A.5.10,A.5.9,A.8.1 Cloud Controls Matrix 4: DSP-01 NIST Cybersecurity Framework 1.0: PR-IP-6 CIS AWS Foundation 2.0.0: 1.19 CIS Controls 8.0: 3.1	Verifica che tutti i certificati SSL/TLS scaduti archiviati in AWS IAM vengano rimossi Scansioni in tempo reale: no
Autoscaling Group Elb Healthcheck Required Nome categoria nell'API: AUTOSCALING_GROUP_ELB_HEALTHCHECK_REQUIRED	Come trovare la descrizione: Questa operazione consente di verificare se i gruppi di scalabilità automatica associati a un bilanciatore del carico utilizzano controlli di integrità del bilanciamento del carico elastico. Ciò garantisce che il gruppo possa determinare l'integrità di un'istanza in base a test aggiuntivi forniti dal bilanciatore del carico. L'utilizzo dei controlli di integrità del bilanciamento del carico Elastic può contribuire a supportare la disponibilità di applicazioni che utilizzano gruppi di scalabilità automatica EC2. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-2	Controlla che tutti i gruppi di scalabilità automatica associati a un bilanciatore del carico utilizzino controlli di integrità Scansioni in tempo reale: no
Auto Minor Version Upgrade Feature Enabled Rds Instances Nome categoria nell'API: AUTO_MINOR_VERSION_UPGRADE_FEATURE_ENABLED_RDS_INSTANCES	Come trovare la descrizione: Assicurati che nelle istanze di database RDS sia abilitato il flag di upgrade automatico della versione secondaria per ricevere automaticamente upgrade secondari del motore durante il periodo di manutenzione specificato. Quindi, le istanze RDS possono ricevere le nuove funzionalità, le correzioni di bug e le patch di sicurezza per i rispettivi motori di database. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: RA-5,RA-7,SI-2 ISO-27001 v2022: A.8.8 Cloud Controls Matrix 4: UEM-03 NIST Cybersecurity Framework 1.0: ID-RA-1 SOC2 v2017: CC7.1.1,CC7.1.2,CC7.1.3,CC7.1.4,CC7.1.5 CIS AWS Foundation 2.0.0: 2.3.2 CIS Controls 8.0: 7.4	Verifica che la funzionalità di upgrade automatico della versione secondaria sia abilitata per le istanze RDS Scansioni in tempo reale: no
Aws Config Enabled All Regions Nome categoria nell'API: AWS_CONFIG_ENABLED_ALL_REGIONS	Come trovare la descrizione: AWS Config è un servizio web che esegue la gestione della configurazione delle risorse AWS supportate all'interno del tuo account e ti fornisce i file di log. Le informazioni registrate includono l'elemento di configurazione (risorsa AWS), le relazioni tra gli elementi di configurazione (risorse AWS) e qualsiasi modifica alla configurazione tra le risorse. Ti consigliamo di abilitare AWS Config in tutte le regioni. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: CM-8,PM-5 PCI-DSS v4.0: 11.2.1,11.2.2,12.5.1,9.5.1,9.5.1.1 ISO-27001 v2022: A.5.9,A.8.8 Cloud Controls Matrix 4: UEM-04 NIST Cybersecurity Framework 1.0: ID-AM-1,PR-DS-3 SOC2 v2017: CC3.2.6,CC6.1.1 HIPAA: 164.310(d)(2)(iii) CIS AWS Foundation 2.0.0: 3.5 CIS Controls 8.0: 1.1	Assicurati che AWS Config sia abilitato in tutte le regioni Scansioni in tempo reale: no
Aws Security Hub Enabled Nome categoria nell'API: AWS_SECURITY_HUB_ENABLED	Come trovare la descrizione: Il Pannello di sicurezza raccoglie i dati di sicurezza da account e servizi AWS e prodotti di partner terzi supportati e ti aiuta ad analizzare le tendenze di sicurezza e a identificare i problemi di sicurezza con la massima priorità. Quando abiliti Security Hub, questo inizia a utilizzare, aggregare, organizzare e dare priorità ai risultati dei servizi AWS che hai abilitato, come Amazon GuardDuty, Amazon Inspector e Amazon Macie. Puoi anche abilitare le integrazioni con i prodotti di sicurezza dei partner AWS. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: CA-7 PCI-DSS v3.2.1: 11.5 CIS AWS Foundation 2.0.0: 4.16	Assicurati che AWS Security Hub sia abilitato Scansioni in tempo reale: no
Cloudtrail Logs Encrypted Rest Using Kms Cmks Nome categoria nell'API: CLOUDTRAIL_LOGS_ENCRYPTED_REST_USING_KMS_CMKS	Come trovare la descrizione: AWS CloudTrail è un servizio web che registra le chiamate API AWS per un account e rende disponibili i log a utenti e risorse in base ai criteri IAM. AWS Key Management Service (KMS) è un servizio gestito che consente di creare e controllare le chiavi di crittografia utilizzate per criptare i dati degli account e che utilizza Hardware Security Module (HSM) per proteggere la sicurezza delle chiavi di crittografia. I log di CloudTrail possono essere configurati in modo da sfruttare la crittografia lato server (SSE) e le chiavi master create dal cliente KMS (CMK) per proteggere ulteriormente i log di CloudTrail. È consigliabile configurare CloudTrail per l'utilizzo di SSE-KMS. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: IA-5,SC-28,SI-7(6) PCI-DSS v3.2.1: 10.5.2 PCI-DSS v4.0: 3.1.1,3.3.2,3.3.3,3.5.1,3.5.1.2,3.5.1.3,8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10,CC6.1.3 HIPAA: 164.312(a)(2)(iv),164.312(e)(2)(ii) CIS AWS Foundation 2.0.0: 3.7 CIS Controls 8.0: 3.11	Verifica che i log di CloudTrail siano crittografati at-rest mediante chiavi CMK di KMS Scansioni in tempo reale: no
Cloudtrail Log File Validation Enabled Nome categoria nell'API: CLOUDTRAIL_LOG_FILE_VALIDATION_ENABLED	Come trovare la descrizione: La convalida dei file di log di CloudTrail crea un file digest con firma digitale contenente un hash di ogni log che CloudTrail scrive in S3. Questi file digest possono essere utilizzati per determinare se un file di log è stato modificato, eliminato o modificato dopo la consegna del log da parte di CloudTrail. È consigliabile abilitare la convalida dei file su tutti i CloudTrail. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AU-6,AU-7,SI-7(7) PCI-DSS v3.2.1: 11.5 PCI-DSS v4.0: 10.4.1,10.4.1.1,10.4.2,10.4.3 ISO-27001 v2022: A.5.25 Cloud Controls Matrix 4: LOG-05 NIST Cybersecurity Framework 1.0: DE-AE-2,PR-PT-1,RS-AN-1 SOC2 v2017: CC4.1.1,CC4.1.2,CC4.1.3,CC4.1.4,CC4.1.5,CC4.1.6,CC4.1.7,CC4.1.8,CC7.3.1,CC7.3.2,CC7.3.3,CC7.3.4,CC7.3.5 HIPAA: 164.308(a)(1)(ii),164.312(b) CIS AWS Foundation 2.0.0: 3.2 CIS Controls 8.0: 8.11	Verifica che la convalida del file di log di CloudTrail sia abilitata Scansioni in tempo reale: no
Cloudtrail Trails Integrated Cloudwatch Logs Nome categoria nell'API: CLOUDTRAIL_TRAILS_INTEGRATED_CLOUDWATCH_LOGS	Come trovare la descrizione: AWS CloudTrail è un servizio web che registra le chiamate API AWS effettuate in un determinato account AWS. Le informazioni registrate includono l'identità del chiamante API, l'ora della chiamata API, l'indirizzo IP di origine del chiamante API, i parametri della richiesta e gli elementi di risposta restituiti dal servizio AWS. CloudTrail utilizza Amazon S3 per l'archiviazione e la distribuzione dei file di log, archiviando questi ultimi in modo duraturo. Oltre ad acquisire i log di CloudTrail all'interno di un bucket S3 specificato per l'analisi a lungo termine, l'analisi in tempo reale può essere eseguita configurando CloudTrail per l'invio dei log ai log di CloudWatch. Per un trail abilitato in tutte le regioni in un account, CloudTrail invia i file di log da tutte quelle regioni a un gruppo di log di CloudWatch. È consigliabile inviare i log di CloudTrail ai log di CloudWatch. Nota: lo scopo di questo suggerimento è garantire che l'attività dell'account AWS venga acquisita, monitorata e attivata in modo appropriato. CloudWatch Logs è un modo nativo per raggiungere questo obiettivo utilizzando i servizi AWS, ma non preclude l'uso di una soluzione alternativa. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AU-12,AU-3,AU-7 PCI-DSS v4.0: 10.2.1,10.2.1.2,10.2.1.5,9.4.5 ISO-27001 v2022: A.5.28,A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3,DE-CM-1 SOC2 v2017: CC5.2.3,CC7.2.1,CC7.2.2,CC7.2.3 CIS AWS Foundation 2.0.0: 3.4 CIS Controls 8.0: 8.5,8.9	Assicurati che i trail di CloudTrail siano integrati con i log di CloudWatch Scansioni in tempo reale: no
Cloudwatch Alarm Action Check Nome categoria nell'API: CLOUDWATCH_ALARM_ACTION_CHECK	Come trovare la descrizione: Questo controllo controlla se in Amazon Cloud Watch sono state definite azioni quando un allarme passa tra gli stati "OK", "ALARM" e "INSUFFICIENT_DATA". La configurazione delle azioni per lo stato ALARM negli allarmi di Amazon CloudWatch è molto importante per attivare una risposta immediata quando vengono monitorate le soglie di violazione delle metriche. Garantisce una rapida risoluzione dei problemi, riduce i tempi di inattività e consente soluzioni automatiche, mantenendo l'integrità del sistema e prevenendo interruzioni del servizio. Le sveglie prevedono almeno un'azione. Gli allarmi prevedono almeno un'azione quando passa allo stato "INSUFFICIENT_DATA" da qualsiasi altro stato. (Facoltativo) Le sveglie prevedono almeno un'azione quando passa allo stato "OK" da qualsiasi altro stato. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-20	Controlla se per gli allarmi CloudWatch è abilitata almeno un'azione allarme, un'azione INSUFFICIENT_DATA o un'azione OK. Scansioni in tempo reale: no
Cloudwatch Log Group Encrypted Nome categoria nell'API: CLOUDWATCH_LOG_GROUP_ENCRYPTED	Come trovare la descrizione: Questo controllo garantisce che i log di CloudWatch siano configurati con KMS. I dati del gruppo di log sono sempre criptati nei log di CloudWatch. Per impostazione predefinita, CloudWatch Logs utilizza la crittografia lato server per i dati at-rest dei log. In alternativa, puoi utilizzare AWS Key Management Service per questa crittografia. In questo caso, la crittografia viene eseguita utilizzando una chiave KMS di AWS. La crittografia mediante KMS AWS viene abilitata a livello di gruppo di log, associando una chiave KMS a un gruppo di log, quando si crea il gruppo di log o dopo che esiste. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: PCI-DSS v3.2.1: 3.4	Controlla che tutti i gruppi di log in Amazon CloudWatch Logs siano criptati con KMS Scansioni in tempo reale: no
CloudTrail CloudWatch Logs Enabled Nome categoria nell'API: CLOUD_TRAIL_CLOUD_WATCH_LOGS_ENABLED	Come trovare la descrizione: Questo controllo verifica se i trail di CloudTrail sono configurati per inviare log ai log di CloudWatch. Il controllo non riesce se la proprietà CloudWatchLogsLogGroupArn del sentiero è vuota. CloudTrail registra le chiamate API AWS effettuate in un determinato account. Le informazioni registrate includono: L'identità del chiamante API L'ora della chiamata API L'indirizzo IP di origine del chiamante API I parametri della richiesta Gli elementi di risposta restituiti dal servizio AWS CloudTrail utilizza Amazon S3 per l'archiviazione e la distribuzione dei file di log. Puoi acquisire i log di CloudTrail in un bucket S3 specificato per analisi a lungo termine. Per eseguire analisi in tempo reale, puoi configurare CloudTrail per inviare i log ai log di CloudWatch. Per un trail abilitato in tutte le regioni in un account, CloudTrail invia i file di log da tutte quelle regioni a un gruppo di log di CloudWatch. Security Hub consiglia di inviare i log di CloudTrail ai log di CloudWatch. Tieni presente che questo consiglio ha lo scopo di garantire che l'attività dell'account venga rilevata, monitorata e attivata in modo appropriato. Puoi utilizzare i log di CloudWatch per configurarlo con i tuoi servizi AWS. Questo consiglio non preclude l'uso di una soluzione diversa. L'invio dei log di CloudTrail ai log di CloudWatch facilita il logging delle attività in tempo reale e storico basato su utente, API, risorsa e indirizzo IP. Puoi utilizzare questo approccio per definire allarmi e notifiche per attività anomale o sensibili dell'account. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-20 PCI-DSS v3.2.1: 10.5.3	Controlla che tutti i trail di CloudTrail siano configurati in modo da inviare i log ad AWS CloudWatch Scansioni in tempo reale: no
No AWS Credentials in CodeBuild Project Environment Variables Nome categoria nell'API: CODEBUILD_PROJECT_ENVVAR_AWSCRED_CHECK	Come trovare la descrizione: Questa operazione consente di verificare se il progetto contiene le variabili di ambiente AWS_ACCESS_KEY_ID e AWS_SECRET_ACCESS_KEY. Le credenziali di autenticazione AWS_ACCESS_KEY_ID e AWS_SECRET_ACCESS_KEY non devono mai essere archiviate in chiaro, in quanto ciò potrebbe causare un'esposizione involontaria dei dati e accessi non autorizzati. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: IA-5,SA-3	Controlla che tutti i progetti contenenti le variabili env AWS_ACCESS_KEY_ID e AWS_SECRET_ACCESS_KEY non siano in testo non crittografato Scansioni in tempo reale: no
Codebuild Project Source Repo Url Check Nome categoria nell'API: CODEBUILD_PROJECT_SOURCE_REPO_URL_CHECK	Come trovare la descrizione: Questo valore controlla se l'URL di un repository di origine Bitbucket per il progetto AWS CodeBuild contiene token di accesso personali o un nome utente e una password. Il controllo non riesce se l'URL del repository di origine Bitbucket contiene token di accesso personali o un nome utente e una password. Le credenziali di accesso non devono essere archiviate o trasmesse in chiaro né apparire nell'URL del repository di codice sorgente. Anziché i token di accesso personale o le credenziali di accesso, devi accedere al tuo provider di origine in CodeBuild e modificare l'URL del repository di codice sorgente in modo da contenere solo il percorso della posizione del repository Bitbucket. L'utilizzo di token di accesso personali o di credenziali di accesso potrebbe comportare l'esposizione involontaria dei dati o l'accesso non autorizzato. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata ad alcun controllo standard di conformità.	Controlla che tutti i progetti che usano github o bitbucket come origine utilizzino oauth Scansioni in tempo reale: no
Credentials Unused 45 Days Greater Disabled Nome categoria nell'API: CREDENTIALS_UNUSED_45_DAYS_GREATER_DISABLED	Come trovare la descrizione: Gli utenti AWS IAM possono accedere alle risorse AWS utilizzando diversi tipi di credenziali, ad esempio password o chiavi di accesso. Ti consigliamo di disattivare o rimuovere tutte le credenziali non utilizzate per almeno 45 giorni. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-2 PCI-DSS v4.0: 8.3.7 NIST Cybersecurity Framework 1.0: PR-AC-1 CIS AWS Foundation 2.0.0: 1.12 CIS Controls 8.0: 5.3	Verifica che le credenziali non utilizzate per almeno 45 giorni siano disattivate Scansioni in tempo reale: no
Default Security Group Vpc Restricts All Traffic Nome categoria nell'API: DEFAULT_SECURITY_GROUP_VPC_RESTRICTS_ALL_TRAFFIC	Come trovare la descrizione: Un VPC è dotato di un gruppo di sicurezza predefinito le cui impostazioni iniziali negano tutto il traffico in entrata, consentono tutto il traffico in uscita e tutto il traffico tra le istanze assegnate al gruppo di sicurezza. Se non specifichi un gruppo di sicurezza quando avvii un'istanza, quest'ultima viene assegnata automaticamente a questo gruppo di sicurezza predefinito. I gruppi di sicurezza forniscono un filtro stateful del traffico di rete in entrata/in uscita verso le risorse AWS. È consigliabile che il gruppo di sicurezza predefinito limiti tutto il traffico. Il gruppo di sicurezza predefinito del VPC predefinito in ogni regione deve essere aggiornato in modo da renderlo conforme. I VPC appena creati conterranno automaticamente un gruppo di sicurezza predefinito che avrà bisogno di una correzione per rispettare questo suggerimento. NOTA: quando implementi questo suggerimento, il logging dei flussi VPC è inestimabile nel determinare l'accesso alle porte con privilegio minimo richiesti dai sistemi per funzionare correttamente, perché può registrare tutte le accettazioni e i rifiuti dei pacchetti che si verificano nei gruppi di sicurezza attuali. Questo riduce drasticamente l'ostacolo principale all'ingegneria privilegio minimo: la scoperta del numero minimo di porte richieste dai sistemi nell'ambiente. Anche se il suggerimento relativo al logging dei flussi VPC in questo benchmark non viene adottato come misura di sicurezza permanente, dovrebbe essere utilizzato durante qualsiasi periodo di rilevamento e progettazione per i gruppi di sicurezza con privilegi minimi. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-3,AC-5,AC-6,MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10,A.5.15,A.8.3,A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3,CC6.1.3,CC6.1.7 HIPAA: 164.308(a)(3)(i),164.308(a)(3)(ii),164.312(a)(1) CIS AWS Foundation 2.0.0: 5.4 CIS Controls 8.0: 3.3	Assicurati che il gruppo di sicurezza predefinito di ogni VPC limiti tutto il traffico Scansioni in tempo reale: no
Dms Replication Not Public Nome categoria nell'API: DMS_REPLICATION_NOT_PUBLIC	Come trovare la descrizione: Controlla se le istanze di replica AWS DMS sono pubbliche. Per farlo, esamina il valore del campo PubliclyAccessible. Un'istanza di replica privata ha un indirizzo IP privato a cui non puoi accedere al di fuori della rete di replica. Un'istanza di replica deve avere un indirizzo IP privato quando i database di origine e di destinazione si trovano nella stessa rete. La rete deve anche essere connessa al VPC dell'istanza di replica tramite VPN, AWS Direct Connect o peering VPC. Per saperne di più sulle istanze di replica pubbliche e private, consulta la sezione relativa alle istanze di replica pubbliche e private nella guida dell'utente di AWS Database Migration Service. Inoltre, devi assicurarti che l'accesso alla configurazione dell'istanza AWS DMS sia limitato solo agli utenti autorizzati. A questo scopo, limita le autorizzazioni IAM degli utenti per modificare le impostazioni e le risorse di AWS DMS. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Controlla se le istanze di replica di AWS Database Migration Service sono pubbliche Scansioni in tempo reale: no
Do Setup Access Keys During Initial User Setup All Iam Users Console Nome categoria nell'API: DO_SETUP_ACCESS_KEYS_DURING_INITIAL_USER_SETUP_ALL_IAM_USERS_CONSOLE	Come trovare la descrizione: Per impostazione predefinita, la console AWS non mostra alcuna casella di controllo selezionata durante la creazione di un nuovo utente IAM. Quando crei le credenziali utente IAM, devi determinare il tipo di accesso richiesto. Accesso programmatico: l'utente IAM potrebbe dover effettuare chiamate API, utilizzare AWS CLI o utilizzare gli strumenti per Windows PowerShell. In questo caso, crea una chiave di accesso (ID chiave di accesso e chiave di accesso segreta) per l'utente in questione. Accesso alla console di gestione AWS: se l'utente deve accedere alla console di gestione AWS, crea una password per l'utente. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-3,AC-5,AC-6,MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10,A.5.15,A.8.3,A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3,CC6.1.3,CC6.1.7 HIPAA: 164.308(a)(3)(i),164.308(a)(3)(ii),164.312(a)(1) CIS AWS Foundation 2.0.0: 1.11 CIS Controls 8.0: 3.3,5.4	Non impostare le chiavi di accesso durante la configurazione utente iniziale per tutti gli utenti IAM che dispongono di una password della console Scansioni in tempo reale: no
Dynamodb Autoscaling Enabled Nome categoria nell'API: DYNAMODB_AUTOSCALING_ENABLED	Come trovare la descrizione: Questo controlla se una tabella Amazon DynamoDB è in grado di scalare la capacità di lettura e scrittura in base alle esigenze. Questo controllo viene superato se la tabella utilizza la modalità di capacità on demand o di cui è stato eseguito il provisioning con scalabilità automatica configurata. La capacità di scalabilità con la domanda evita le eccezioni di limitazione, il che contribuisce a mantenere la disponibilità delle applicazioni. Le tabelle DynamoDB in modalità di capacità on demand sono limitate solo dalle quote di tabella predefinite per la velocità effettiva DynamoDB. Per aumentare queste quote, puoi inviare un ticket di assistenza tramite AWS Support. Le tabelle DynamoDB in modalità di provisioning con scalabilità automatica regolano in modo dinamico la capacità di velocità effettiva sottoposta a provisioning in risposta ai modelli di traffico. Per ulteriori informazioni sulla limitazione delle richieste DynamoDB, consulta Richiedi limitazione e capacità di burst nella Guida per gli sviluppatori di Amazon DynamoDB. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-13(5)	Le tabelle DynamoDB devono scalare automaticamente la capacità in base alla domanda Scansioni in tempo reale: no
Dynamodb In Backup Plan Nome categoria nell'API: DYNAMODB_IN_BACKUP_PLAN	Come trovare la descrizione: Questo controllo valuta se una tabella DynamoDB è coperta da un piano di backup. Il controllo non riesce se una tabella DynamoDB non è coperta da un piano di backup. Questo controllo valuta solo le tabelle DynamoDB nello stato ATTIVO. I backup ti consentono di riprenderti più rapidamente da un incidente di sicurezza. Inoltre, rafforzano la resilienza dei sistemi. L'inclusione delle tabelle DynamoDB in un piano di backup consente di proteggere i dati da perdite o eliminazioni indesiderate. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-13(5)	Le tabelle DynamoDB devono essere coperte da un piano di backup Scansioni in tempo reale: no
Dynamodb Pitr Enabled Nome categoria nell'API: DYNAMODB_PITR_ENABLED	Come trovare la descrizione: Il recupero point-in-time (PITR) è uno dei meccanismi disponibili per il backup delle tabelle DynamoDB. Un backup point-in-time viene conservato per 35 giorni. Se il tuo requisito prevede una conservazione più lunga, consulta Configurare backup pianificati per Amazon DynamoDB utilizzando AWS Backup nella documentazione di AWS. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-13(5)	Controlla che il recupero point-in-time (PITR) sia abilitato per tutte le tabelle AWS DynamoDB Scansioni in tempo reale: no
Dynamodb Table Encrypted Kms Nome categoria nell'API: DYNAMODB_TABLE_ENCRYPTED_KMS	Come trovare la descrizione: Controlla se tutte le tabelle DynamoDB sono criptate con una chiave KMS gestita dal cliente (non predefinita). Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-7(6)	Controlla che tutte le tabelle DynamoDB siano criptate con AWS Key Management Service (KMS) Scansioni in tempo reale: no
Ebs Optimized Instance Nome categoria nell'API: EBS_OPTIMIZED_INSTANCE	Come trovare la descrizione: Controlla se l'ottimizzazione EBS è abilitata per le istanze EC2 che possono essere ottimizzate per EBS Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-5(2)	Controlla che l'ottimizzazione EBS sia abilitata per tutte le istanze che la supportano Scansioni in tempo reale: no
Ebs Snapshot Public Restorable Check Nome categoria nell'API: EBS_SNAPSHOT_PUBLIC_RESTORABLE_CHECK	Come trovare la descrizione: Controlla se gli snapshot di Amazon Elastic Block Store non sono pubblici. Il controllo non riesce se gli snapshot di Amazon EBS possono essere ripristinati da chiunque. Gli snapshot EBS vengono utilizzati per eseguire il backup dei dati presenti sui volumi EBS su Amazon S3 in un momento specifico. Puoi utilizzare gli snapshot per ripristinare gli stati precedenti dei volumi EBS. Raramente è accettabile condividere un'istantanea con il pubblico. In genere la decisione di condividere pubblicamente un'istantanea è stata presa per errore o senza una completa comprensione delle implicazioni. Questo controllo garantisce che tutte queste condivisioni siano state pianificate e intenzionali. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Gli snapshot Amazon EBS non devono essere ripristinabili pubblicamente Scansioni in tempo reale: no
Ebs Volume Encryption Enabled All Regions Nome categoria nell'API: EBS_VOLUME_ENCRYPTION_ENABLED_ALL_REGIONS	Come trovare la descrizione: Elastic Compute Cloud (EC2) supporta la crittografia at-rest quando si utilizza il servizio Elastic Block Store (EBS). Quando è disabilitata per impostazione predefinita, è supportata l'applicazione forzata della crittografia nella creazione di volumi EBS. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: IA-5,SC-28,SI-7(6) PCI-DSS v4.0: 3.1.1,3.3.2,3.3.3,3.5.1,3.5.1.2,3.5.1.3,8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10,CC6.1.3 HIPAA: 164.312(a)(2)(iv),164.312(e)(2)(ii) CIS AWS Foundation 2.0.0: 2.2.1 CIS Controls 8.0: 3.11	Assicurati che la crittografia del volume EBS sia abilitata in tutte le regioni Scansioni in tempo reale: no
Ec2 Instances In Vpc Nome categoria nell'API: EC2_INSTANCES_IN_VPC	Come trovare la descrizione: Amazon VPC offre maggiori funzionalità di sicurezza rispetto a EC2 Classic. È consigliabile che tutti i nodi appartengano a un VPC Amazon. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-7	Verifica che tutte le istanze appartengano a un VPC Scansioni in tempo reale: no
Ec2 Instance No Public Ip Nome categoria nell'API: EC2_INSTANCE_NO_PUBLIC_IP	Come trovare la descrizione: Le istanze EC2 con un indirizzo IP pubblico presentano un rischio maggiore di compromissione. Ti consigliamo di non configurare le istanze EC2 con un indirizzo IP pubblico. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Verifica che nessuna istanza abbia un IP pubblico Scansioni in tempo reale: no
Ec2 Managedinstance Association Compliance Status Check Nome categoria nell'API: EC2_MANAGEDINSTANCE_ASSOCIATION_COMPLIANCE_STATUS_CHECK	Come trovare la descrizione: Un'associazione di State Manager è una configurazione assegnata alle tue istanze gestite. La configurazione definisce lo stato che vuoi mantenere sulle istanze. Ad esempio, un'associazione può specificare che il software antivirus deve essere installato ed in esecuzione sulle tue istanze o che determinate porte debbano essere chiuse. Le istanze EC2 che hanno un'associazione con AWS Systems Manager sono gestite da Systems Manager, il che semplifica l'applicazione di patch, la correzione di configurazioni errate e la risposta agli eventi di sicurezza. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: PCI-DSS v3.2.1: 6.2	Controlla lo stato di conformità dell'associazione dei gestori di sistema AWS Scansioni in tempo reale: no
Ec2 Managedinstance Patch Compliance Status Check Nome categoria nell'API: EC2_MANAGEDINSTANCE_PATCH_COMPLIANCE_STATUS_CHECK	Come trovare la descrizione: Questo controllo verifica se lo stato della conformità dell'associazione di AWS Systems Manager è COMPLIANT o NON_COMPLIANT dopo l'esecuzione dell'associazione su un'istanza. Il controllo non riesce se lo stato di conformità dell'associazione è NON_COMPLIANT. Un'associazione di State Manager è una configurazione assegnata alle tue istanze gestite. La configurazione definisce lo stato che vuoi mantenere sulle istanze. Ad esempio, un'associazione può specificare che il software antivirus deve essere installato ed in esecuzione sulle tue istanze o che determinate porte debbano essere chiuse. Dopo aver creato una o più associazioni di State Manager, le informazioni sullo stato di conformità sono immediatamente disponibili. Puoi visualizzare lo stato di conformità nella console o in risposta ai comandi AWS CLI o alle azioni corrispondenti dell'API Systems Manager. Per le associazioni, Conformità della configurazione mostra lo stato di conformità (Conforme o Non conforme). Mostra inoltre il livello di gravità assegnato all'associazione, ad esempio Critica o Media. Per saperne di più sulla conformità dell'associazione di State Manager, consulta la sezione Informazioni sulla conformità dell'associazione di State Manager nella Guida dell'utente di AWS Systems Manager. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-2 PCI-DSS v3.2.1: 6.2	Controlla lo stato di conformità delle patch di AWS Systems Manager Scansioni in tempo reale: no
Ec2 Metadata Service Allows Imdsv2 Nome categoria nell'API: EC2_METADATA_SERVICE_ALLOWS_IMDSV2	Come trovare la descrizione: Quando abilitano il servizio metadati sulle istanze AWS EC2, gli utenti hanno la possibilità di utilizzare il servizio metadati istanza versione 1 (IMDSv1; un metodo di richiesta/risposta) o la versione 2 del servizio metadati istanza (IMDSv2; un metodo orientato alla sessione). Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-6 CIS AWS Foundation 2.0.0: 5.6	Verifica che il servizio di metadati EC2 consenta solo IMDSv2 Scansioni in tempo reale: no
Ec2 Volume Inuse Check Nome categoria nell'API: EC2_VOLUME_INUSE_CHECK	Come trovare la descrizione: Identificare e rimuovere i volumi Elastic Block Store (EBS) non collegati (non utilizzati) nel tuo account AWS per ridurre il costo della fattura mensile di AWS. L'eliminazione di volumi EBS inutilizzati riduce anche il rischio che dati riservati/sensibili lascino la tua sede. Inoltre, questo controllo verifica anche se le istanze EC2 archiviate sono configurate per l'eliminazione dei volumi alla terminazione. Per impostazione predefinita, le istanze EC2 sono configurate in modo da eliminare i dati in tutti i volumi EBS associati all'istanza e il volume EBS radice dell'istanza. Tuttavia, tutti i volumi EBS non principali collegati all'istanza, all'avvio o durante l'esecuzione, vengono resi persistenti dopo la terminazione per impostazione predefinita. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: CM-2	Controlla se i volumi EBS sono collegati alle istanze EC2 e configurati per l'eliminazione al termine dell'istanza Scansioni in tempo reale: no
Efs Encrypted Check Nome categoria nell'API: EFS_ENCRYPTED_CHECK	Come trovare la descrizione: Amazon EFS supporta due forme di crittografia per i file system: la crittografia dei dati in transito e la crittografia at-rest. Questo verifica che tutti i file system EFS siano configurati con crittografia at-rest in tutte le regioni abilitate nell'account. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-7(6) PCI-DSS v3.2.1: 8.2.1	Controlla se EFS è configurato per criptare i dati dei file utilizzando KMS Scansioni in tempo reale: no
Efs In Backup Plan Nome categoria nell'API: EFS_IN_BACKUP_PLAN	Come trovare la descrizione: Le best practice di Amazon consigliano di configurare i backup per i tuoi file system Elastic (EFS). In questo modo, verifica la presenza di backup abilitati in tutte le regioni EFS in ogni regione abilitata nel tuo account AWS. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-13(5)	Controlla se i file system EFS sono inclusi nei piani di backup AWS Scansioni in tempo reale: no
Elb Acm Certificate Required Nome categoria nell'API: ELB_ACM_CERTIFICATE_REQUIRED	Come trovare la descrizione: Verifica se il bilanciatore del carico classico utilizza certificati HTTPS/SSL forniti da AWS Certificate Manager (ACM). Il controllo non riesce se il bilanciatore del carico classico configurato con il listener HTTPS/SSL non utilizza un certificato fornito da ACM. Per creare un certificato, puoi utilizzare ACM o uno strumento che supporti i protocolli SSL e TLS, come OpenSSL. Il Pannello di sicurezza consiglia di utilizzare ACM per creare o importare certificati per il bilanciatore del carico. ACM si integra con i bilanciatori del carico classici per consentirti di eseguire il deployment del certificato sul bilanciatore del carico. Inoltre, dovresti rinnovare automaticamente questi certificati. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-17,AC-4,IA-5,SC-12,SC-13,SC-23,SC-7,SC-8,SI-7,SI-7(6)	Controlla che tutti i bilanciatori del carico classici utilizzino i certificati SSL forniti da AWS Certificate Manager Scansioni in tempo reale: no
Elb Deletion Protection Enabled Nome categoria nell'API: ELB_DELETION_PROTECTION_ENABLED	Come trovare la descrizione: Verifica se per un bilanciatore del carico delle applicazioni è abilitata la protezione da eliminazione. Il controllo non riesce se la protezione da eliminazione non è configurata. Abilita la protezione da eliminazione per impedire l'eliminazione del bilanciatore del carico delle applicazioni. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-5(2)	La protezione dall'eliminazione del bilanciatore del carico delle applicazioni deve essere abilitata Scansioni in tempo reale: no
Elb Logging Enabled Nome categoria nell'API: ELB_LOGGING_ENABLED	Come trovare la descrizione: Questa operazione consente di verificare se il logging delle applicazioni e il bilanciatore del carico classico sono abilitati. Il controllo non riesce se access_logs.s3.enabled è falso. Elastic Load Balancing fornisce i log degli accessi che acquisiscono informazioni dettagliate sulle richieste inviate al bilanciatore del carico. Ciascun log contiene informazioni quali l'ora in cui è stata ricevuta la richiesta, l'indirizzo IP del client, le latenze, i percorsi delle richieste e le risposte del server. Puoi utilizzare questi log degli accessi per analizzare i modelli di traffico e risolvere i problemi. Per saperne di più, consulta Log di accesso per il bilanciatore del carico classico nella Guida dell'utente per bilanciatori del carico classici. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-7(8) PCI-DSS v3.2.1: 10.3.1	Controlla se i bilanciatori del carico classici e delle applicazioni hanno la registrazione abilitata Scansioni in tempo reale: no
Elb Tls Https Listeners Only Nome categoria nell'API: ELB_TLS_HTTPS_LISTENERS_ONLY	Come trovare la descrizione: Questo controllo garantisce che tutti i bilanciatori del carico classici siano configurati per utilizzare comunicazioni sicure. Un listener è un processo che verifica le richieste di connessione. È configurato con un protocollo e una porta per le connessioni front-end (da client a bilanciatore del carico), un protocollo e una porta per le connessioni back-end (dal bilanciatore del carico all'istanza). Per informazioni su porte, protocolli e configurazioni di listener supportate da Elastic Load Balancing, vedi Listener per il bilanciatore del carico classico. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-7(6)	Controlla che tutti i bilanciatori del carico classici siano configurati con listener SSL o HTTPS Scansioni in tempo reale: no
Encrypted Volumes Nome categoria nell'API: ENCRYPTED_VOLUMES	Come trovare la descrizione: Controlla se i volumi EBS in uno stato collegato sono criptati. Per superare questo controllo, i volumi EBS devono essere in uso e criptati. Se il volume EBS non è collegato, non è soggetto a questo controllo. Per un ulteriore livello di sicurezza dei dati sensibili nei volumi EBS, devi abilitare la crittografia at-rest di EBS. La crittografia di Amazon EBS offre una soluzione di crittografia intuitiva per le risorse EBS che non richiede la creazione, la manutenzione e la protezione della tua infrastruttura di gestione delle chiavi. Utilizza le chiavi KMS durante la creazione di volumi e snapshot criptati. Per saperne di più sulla crittografia Amazon EBS, vedi Crittografia Amazon EBS nella Guida dell'utente di Amazon EC2 per le istanze Linux. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-7(6) PCI-DSS v3.2.1: 8.2.1	I volumi Amazon EBS collegati devono essere criptati at-rest Scansioni in tempo reale: no
Encryption At Rest Enabled Rds Instances Nome categoria nell'API: ENCRYPTION_AT_REST_ENABLED_RDS_INSTANCES	Come trovare la descrizione: Le istanze DB criptate di Amazon RDS utilizzano l'algoritmo di crittografia AES-256 standard del settore per criptare i dati sul server che ospita le tue istanze Amazon RDS DB. Dopo la crittografia dei dati, Amazon RDS gestisce l'autenticazione dell'accesso e la decrittografia dei dati in modo trasparente con un impatto minimo sulle prestazioni. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: IA-5,SC-28,SI-7(6) PCI-DSS v3.2.1: 8.2.1 PCI-DSS v4.0: 3.1.1,3.3.2,3.3.3,3.5.1,3.5.1.2,3.5.1.3,8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10,CC6.1.3 HIPAA: 164.312(a)(2)(iv),164.312(e)(2)(ii) CIS AWS Foundation 2.0.0: 2.3.1 CIS Controls 8.0: 3.11	Verifica che la crittografia at-rest sia abilitata per le istanze RDS Scansioni in tempo reale: no
Encryption Enabled Efs File Systems Nome categoria nell'API: ENCRYPTION_ENABLED_EFS_FILE_SYSTEMS	Come trovare la descrizione: I dati EFS devono essere criptati at-rest utilizzando AWS KMS (Key Management Service). Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: IA-5,SC-28 PCI-DSS v4.0: 3.1.1,3.3.2,3.3.3,3.5.1,3.5.1.2,3.5.1.3,8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10,CC6.1.3 HIPAA: 164.312(a)(2)(iv),164.312(e)(2)(ii) CIS AWS Foundation 2.0.0: 2.4.1 CIS Controls 8.0: 3.11	Assicurati che la crittografia sia abilitata per i file system EFS Scansioni in tempo reale: no
Iam Password Policy Nome categoria nell'API: IAM_PASSWORD_POLICY	Come trovare la descrizione: AWS consente criteri personalizzati per le password sul tuo account AWS per specificare requisiti di complessità e periodi di rotazione obbligatori per le password degli utenti IAM. Se non imposti un criterio personalizzato per le password, le password utente IAM devono soddisfare il criterio predefinito per le password AWS. Le best practice per la sicurezza di AWS consigliano i seguenti requisiti di complessità delle password: Richiedi almeno un carattere maiuscolo nella password. È necessario almeno un carattere minuscolo nelle password. È necessario almeno un simbolo nelle password. Richiedere almeno un numero nelle password. È richiesta una lunghezza minima della password di 14 caratteri. Richiedi almeno 24 password prima di consentire il riutilizzo. Richiedi almeno 90 caratteri prima della scadenza della password Questa opzione controlla tutti i requisiti specificati dei criteri relativi alle password. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: IA-5(1) PCI-DSS v3.2.1: 8.2.5	Controlla se il criterio della password dell'account per gli utenti IAM soddisfa i requisiti specificati Scansioni in tempo reale: no
Iam Password Policy Prevents Password Reuse Nome categoria nell'API: IAM_PASSWORD_POLICY_PREVENTS_PASSWORD_REUSE	Come trovare la descrizione: I criteri delle password IAM possono impedire il riutilizzo di una determinata password da parte dello stesso utente. È consigliabile che i criteri relativi alle password impediscano il riutilizzo delle password. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: IA-5 PCI-DSS v4.0: 2.2.2,8.3.5,8.3.6,8.6.3 ISO-27001 v2022: A.5.17 Cloud Controls Matrix 4: IAM-02 SOC2 v2017: CC6.1.3,CC6.1.8,CC6.1.9 CIS AWS Foundation 2.0.0: 1.9 CIS Controls 8.0: 5.2	Assicurati che il criterio della password IAM impedisca il riutilizzo della password Scansioni in tempo reale: no
Iam Password Policy Requires Minimum Length 14 Greater Nome categoria nell'API: IAM_PASSWORD_POLICY_REQUIRES_MINIMUM_LENGTH_14_GREATER	Come trovare la descrizione: I criteri relativi alle password vengono, in parte, utilizzati per applicare i requisiti di complessità delle password. È possibile utilizzare i criteri delle password IAM per garantire che le password abbiano almeno una lunghezza specifica. È consigliabile che i criteri relativi alle password richiedano una lunghezza minima delle password di 14 caratteri. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: CIS AWS Foundation 2.0.0: 1.8 CIS Controls 8.0: 5,5.2	Assicurati che il criterio della password IAM richieda una lunghezza minima di 14 caratteri Scansioni in tempo reale: no
Iam Policies Allow Full Administrative Privileges Attached Nome categoria nell'API: IAM_POLICIES_ALLOW_FULL_ADMINISTRATIVE_PRIVILEGES_ATTACHED	Come trovare la descrizione: I criteri IAM sono i mezzi mediante i quali vengono concessi i privilegi a utenti, gruppi o ruoli. È consigliato e considerato un consiglio per la sicurezza standard di concedere il privilegio minimo, ovvero solo le autorizzazioni necessarie per eseguire un'attività. Stabilisci cosa devono fare gli utenti, quindi crea per loro criteri che consentano agli utenti di eseguire solo quelle attività, invece di concedere privilegi amministrativi completi. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-3,AC-5,AC-6,MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10,A.5.15,A.8.3,A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3,CC6.1.3,CC6.1.7 HIPAA: 164.308(a)(3)(i),164.308(a)(3)(ii),164.312(a)(1) CIS AWS Foundation 2.0.0: 1.16 CIS Controls 8.0: 3.3	Assicurati che non siano collegati criteri IAM che consentono privilegi amministrativi completi "*:*" Scansioni in tempo reale: no
Iam Users Receive Permissions Groups Nome categoria nell'API: IAM_USERS_RECEIVE_PERMISSIONS_GROUPS	Come trovare la descrizione: Agli utenti IAM viene concesso l'accesso a servizi, funzioni e dati tramite i criteri IAM. Esistono quattro modi per definire i criteri per un utente: 1) modificare direttamente il criterio utente, ovvero un criterio in linea o utente; 2) collegare un criterio direttamente a un utente; 3) aggiungere l'utente a un gruppo IAM a cui è associato un criterio; 4) aggiungere l'utente a un gruppo IAM a cui è associato un criterio in linea. È consigliata solo la terza implementazione. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-2,AC-5,AC-6,AU-9 PCI-DSS v4.0: 10.3.1,7.1.1,7.2.1,7.2.2,7.2.4,7.2.6,7.3.1,7.3.2 ISO-27001 v2022: A.5.15,A.5.3,A.8.2,A.8.3 Cloud Controls Matrix 4: IAM-04 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3,CC6.3.1,CC6.3.2,CC6.3.3 HIPAA: 164.308(a)(3)(ii),164.308(a)(4)(i),164.308(a)(4)(ii) CIS AWS Foundation 2.0.0: 1.15 CIS Controls 8.0: 6.8	Assicurati che gli utenti IAM ricevano le autorizzazioni solo tramite i gruppi Scansioni in tempo reale: no
Iam User Group Membership Check Nome categoria nell'API: IAM_USER_GROUP_MEMBERSHIP_CHECK	Come trovare la descrizione: Gli utenti IAM devono sempre far parte di un gruppo IAM per ottemperare alle best practice per la sicurezza IAM. Aggiungendo utenti a un gruppo, è possibile condividere criteri tra tipi di utenti. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-6	Controlla se gli utenti IAM sono membri di almeno un gruppo IAM Scansioni in tempo reale: no
Iam User Mfa Enabled Nome categoria nell'API: IAM_USER_MFA_ENABLED	Come trovare la descrizione: L'autenticazione a più fattori (MFA) è una best practice che aggiunge un ulteriore livello di protezione ai nomi utente e alle password. Con MFA, quando un utente accede alla console di gestione AWS, gli viene richiesto di fornire un codice di autenticazione sensibile al fattore tempo, fornito da un dispositivo virtuale o fisico registrato. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: PCI-DSS v3.2.1: 8.3.2	Controlla se per gli utenti IAM AWS è abilitata l'autenticazione a più fattori (MFA) Scansioni in tempo reale: no
Iam User Unused Credentials Check Nome categoria nell'API: IAM_USER_UNUSED_CREDENTIALS_CHECK	Come trovare la descrizione: Questo controllo consente di verificare la presenza di eventuali password IAM o chiavi di accesso attive che non sono state utilizzate negli ultimi 90 giorni. Le best practice consigliano di rimuovere, disattivare o ruotare tutte le credenziali inutilizzate per almeno 90 giorni. In questo modo si riduce la possibilità di utilizzare le credenziali associate a un account compromesso o abbandonato. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-6 PCI-DSS v3.2.1: 8.1.4	Controlla che tutti gli utenti IAM AWS dispongano di password o chiavi di accesso attive che non sono state utilizzate in maxCredentialUsageAge giorni (il valore predefinito è 90) Scansioni in tempo reale: no
Kms Cmk Not Scheduled For Deletion Nome categoria nell'API: KMS_CMK_NOT_SCHEDULED_FOR_DELETION	Come trovare la descrizione: Questo controllo verifica se è pianificata l'eliminazione delle chiavi KMS. Se è stata pianificata l'eliminazione di una chiave KMS, il controllo non riesce. Una volta eliminate, le chiavi KMS non possono essere recuperate. Anche i dati criptati in una chiave KMS non sono recuperabili definitivamente se la chiave KMS viene eliminata. Se i dati significativi sono stati criptati con una chiave KMS pianificata per l'eliminazione, valuta la possibilità di decriptarli o criptarli nuovamente con una nuova chiave KMS, a meno che tu non stia eseguendo intenzionalmente una cancellazione crittografica. Quando viene pianificata l'eliminazione di una chiave KMS, viene applicato un periodo di attesa obbligatorio per consentire il tempo necessario per annullare l'eliminazione, se pianificata per errore. Il periodo di attesa predefinito è di 30 giorni, ma può essere ridotto a un massimo di 7 giorni quando è pianificata l'eliminazione della chiave KMS. Durante il periodo di attesa, l'eliminazione pianificata può essere annullata e la chiave KMS non verrà eliminata. Per ulteriori informazioni sull'eliminazione delle chiavi KMS, consulta Eliminazione delle chiavi KMS nella Guida per gli sviluppatori di AWS Key Management Service. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-12	Controlla che non sia pianificata l'eliminazione di tutte le CMK Scansioni in tempo reale: no
Lambda Concurrency Check Nome categoria nell'API: LAMBDA_CONCURRENCY_CHECK	Come trovare la descrizione: Controlla se la funzione Lambda è configurata con un limite di esecuzioni simultanee a livello di funzione. La regola è NON_COMPLIANT se la funzione Lambda non è configurata con un limite di esecuzioni simultanee a livello di funzione. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata ad alcun controllo standard di conformità.	Controlla se le funzioni Lambda sono configurate con un limite di esecuzione simultanea a livello di funzione Scansioni in tempo reale: no
Lambda Dlq Check Nome categoria nell'API: LAMBDA_DLQ_CHECK	Come trovare la descrizione: Controlla se una funzione Lambda è configurata con una coda di messaggi non recapitabili. La regola è NON_COMPLIANT se la funzione Lambda non è configurata con una coda di messaggi non recapitabili. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-2	Controlla se le funzioni Lambda sono configurate con una coda di messaggi non recapitabili Scansioni in tempo reale: no
Lambda Function Public Access Prohibited Nome categoria nell'API: LAMBDA_FUNCTION_PUBLIC_ACCESS_PROHIBITED	Come trovare la descrizione: Le best practice di AWS consigliano che la funzione Lambda non sia esposta pubblicamente. Questo criterio controlla tutte le funzioni Lambda di cui è stato eseguito il deployment in tutte le regioni abilitate all'interno del tuo account e avrà esito negativo se vengono configurate o consentono l'accesso pubblico. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Controlla se il criterio collegato alla funzione Lambda vieta l'accesso pubblico Scansioni in tempo reale: no
Lambda Inside Vpc Nome categoria nell'API: LAMBDA_INSIDE_VPC	Come trovare la descrizione: Controlla se una funzione Lambda è in un VPC. Potresti visualizzare risultati non riusciti per le risorse Lambda@Edge. Non valuta la configurazione di routing della subnet VPC per determinare la connettività pubblica. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Controlla se esistono funzioni Lambda all'interno di un VPC Scansioni in tempo reale: no
Mfa Delete Enabled S3 Buckets Nome categoria nell'API: MFA_DELETE_ENABLED_S3_BUCKETS	Come trovare la descrizione: Una volta abilitata l'eliminazione con autenticazione MFA nel bucket S3 sensibile e classificato, l'utente deve avere due forme di autenticazione. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-3,AC-5,AC-6,MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10,A.5.15,A.8.3,A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3,CC6.1.3,CC6.1.7 HIPAA: 164.308(a)(3)(i),164.308(a)(3)(ii),164.312(a)(1) CIS AWS Foundation 2.0.0: 2.1.2 CIS Controls 8.0: 3.3,6.5	Assicurati che l'eliminazione con autenticazione MFA sia abilitata sui bucket S3 Scansioni in tempo reale: no
Mfa Enabled Root User Account Nome categoria nell'API: MFA_ENABLED_ROOT_USER_ACCOUNT	Come trovare la descrizione: L'account utente "root" corrisponde all'utente con più privilegi in un account AWS. L'autenticazione a più fattori (MFA) aggiunge un ulteriore livello di protezione oltre a nome utente e password. Con MFA abilitata, quando un utente accede a un sito web AWS, gli verrà chiesto di inserire nome utente e password, oltre a un codice di autenticazione dal proprio dispositivo AWS MFA. Nota:se per gli account "root" viene utilizzata l'MFA virtuale, è consigliabile che il dispositivo utilizzato NON sia un dispositivo personale, ma un dispositivo mobile dedicato (tablet o telefono) che possa essere mantenuto carico e protetto indipendentemente dai singoli dispositivi personali. ("MFA virtuale non personale") In questo modo si riducono i rischi di perdere l'accesso all'MFA a causa della perdita del dispositivo, della permuta del dispositivo o del fatto che il proprietario del dispositivo non sia più dipendente presso l'azienda. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: IA-2,IA-2(8) PCI-DSS v3.2.1: 8.3.2 PCI-DSS v4.0: 2.2.7,8.4.1 ISO-27001 v2022: A.8.2 Cloud Controls Matrix 4: IAM-10 NIST Cybersecurity Framework 1.0: PR-AC-7 SOC2 v2017: CC6.1.3,CC6.1.4,CC6.1.6,CC6.1.7,CC6.1.8 CIS AWS Foundation 2.0.0: 1.5 CIS Controls 8.0: 6.5	Assicurati che l'autenticazione MFA sia abilitata per l'account utente "root" Scansioni in tempo reale: no
Multi Factor Authentication Mfa Enabled All Iam Users Console Nome categoria nell'API: MULTI_FACTOR_AUTHENTICATION_MFA_ENABLED_ALL_IAM_USERS_CONSOLE	Come trovare la descrizione: L'autenticazione multi-fattore (MFA) aggiunge un ulteriore livello di garanzia dell'autenticazione oltre alle credenziali tradizionali. Con MFA abilitata, quando un utente accede alla console AWS, gli verrà richiesto il nome utente e la password, nonché un codice di autenticazione dal token MFA fisico o virtuale. Ti consigliamo di attivare l'autenticazione MFA per tutti gli account che dispongono di una password per la console. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: IA-2,IA-2(8) PCI-DSS v3.2.1: 8.3.2 PCI-DSS v4.0: 2.2.7,8.4.1 ISO-27001 v2022: A.8.2 Cloud Controls Matrix 4: IAM-10 NIST Cybersecurity Framework 1.0: PR-AC-7 SOC2 v2017: CC6.1.3,CC6.1.4,CC6.1.6,CC6.1.7,CC6.1.8 CIS AWS Foundation 2.0.0: 1.10 CIS Controls 8.0: 6.5	Verifica che l'autenticazione a più fattori (MFA) sia abilitata per tutti gli utenti IAM con una password per la console Scansioni in tempo reale: no
No Network Acls Allow Ingress 0 0 0 0 Remote Server Administration Nome categoria nell'API: NO_NETWORK_ACLS_ALLOW_INGRESS_0_0_0_0_REMOTE_SERVER_ADMINISTRATION	Come trovare la descrizione: La funzione Network Access Control List (NACL) fornisce un filtro stateless del traffico di rete in entrata e in uscita verso le risorse AWS. È consigliabile che nessun NACL consenta l'accesso illimitato alle porte di amministrazione del server remoto, ad esempio SSH alla porta 22 e RDP alla porta 3389, utilizzando i protocolli TDP (6), UDP (17) o TUTTI (-1) Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: CIS AWS Foundation 2.0.0: 5.1	Assicurati che nessun ACL di rete consenta il traffico in entrata da 0.0.0.0/0 alle porte di amministrazione del server remoto Scansioni in tempo reale: no
No Root User Account Access Key Exists Nome categoria nell'API: NO_ROOT_USER_ACCOUNT_ACCESS_KEY_EXISTS	Come trovare la descrizione: L'account utente "root" corrisponde all'utente con più privilegi in un account AWS. Le chiavi di accesso AWS forniscono l'accesso programmatico a un determinato account AWS. Ti consigliamo di eliminare tutte le chiavi di accesso associate all'account utente "root". Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-3,AC-5,AC-6,MP-2 PCI-DSS v3.2.1: 8.1.1 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10,A.5.15,A.8.3,A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3,CC6.1.3,CC6.1.7 HIPAA: 164.308(a)(3)(i),164.308(a)(3)(ii),164.312(a)(1) CIS AWS Foundation 2.0.0: 1.4 CIS Controls 8.0: 3.3,5.4	Assicurati che non esistano chiavi di accesso all'account utente "root" Scansioni in tempo reale: no
No Security Groups Allow Ingress 0 0 0 0 Remote Server Administration Nome categoria nell'API: NO_SECURITY_GROUPS_ALLOW_INGRESS_0_0_0_0_REMOTE_SERVER_ADMINISTRATION	Come trovare la descrizione: I gruppi di sicurezza forniscono un filtro stateful del traffico di rete in entrata e in uscita verso le risorse AWS. È consigliabile che nessun gruppo di sicurezza consenta l'accesso illimitato alle porte di amministrazione del server remoto, ad esempio SSH alla porta 22 e RDP alla porta 3389, utilizzando i protocolli TDP (6), UDP (17) o TUTTI (-1). Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: CIS AWS Foundation 2.0.0: 5.2	Assicurati che nessun gruppo di sicurezza consenta il traffico in entrata da 0.0.0.0/0 alle porte di amministrazione del server remoto Scansioni in tempo reale: no
No Security Groups Allow Ingress 0 Remote Server Administration Nome categoria nell'API: NO_SECURITY_GROUPS_ALLOW_INGRESS_0_REMOTE_SERVER_ADMINISTRATION	Come trovare la descrizione: I gruppi di sicurezza forniscono un filtro stateful del traffico di rete in entrata e in uscita verso le risorse AWS. È consigliabile che nessun gruppo di sicurezza consenta l'accesso illimitato in entrata alle porte di amministrazione del server remoto, ad esempio SSH alla porta 22 e RDP alla porta 3389. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: CIS AWS Foundation 2.0.0: 5.3	Assicurati che nessun gruppo di sicurezza consenta il traffico in entrata da ::/0 alle porte di amministrazione del server remoto Scansioni in tempo reale: no
One Active Access Key Available Any Single Iam User Nome categoria nell'API: ONE_ACTIVE_ACCESS_KEY_AVAILABLE_ANY_SINGLE_IAM_USER	Come trovare la descrizione: Le chiavi di accesso sono credenziali a lungo termine per un utente IAM o per l'utente "root" dell'account AWS. Puoi utilizzare le chiavi di accesso per firmare richieste di pubblicità programmatica ad AWS CLI o API AWS (direttamente o utilizzando l'SDK AWS) Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: CIS AWS Foundation 2.0.0: 1.13 CIS Controls 8.0: 5	Assicurati che sia disponibile una sola chiave di accesso attiva per ogni singolo utente IAM Scansioni in tempo reale: no
Public Access Given Rds Instance Nome categoria nell'API: PUBLIC_ACCESS_GIVEN_RDS_INSTANCE	Come trovare la descrizione: Assicurati e verifica che le istanze di database RDS di cui è stato eseguito il provisioning nel tuo account AWS limitino l'accesso non autorizzato per ridurre al minimo i rischi per la sicurezza. Per limitare l'accesso a qualsiasi istanza di database RDS accessibile pubblicamente, devi disabilitare il flag del database Accessibile pubblicamente e aggiornare il gruppo di sicurezza VPC associato all'istanza. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-3,AC-5,AC-6,MP-2,SC-7 PCI-DSS v3.2.1: 2.2.2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10,A.5.15,A.8.3,A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3,CC6.1.3,CC6.1.7 HIPAA: 164.308(a)(3)(i),164.308(a)(3)(ii),164.312(a)(1) CIS AWS Foundation 2.0.0: 2.3.3 CIS Controls 8.0: 3.3	Verifica che l'accesso pubblico non sia concesso all'istanza RDS Scansioni in tempo reale: no
Rds Enhanced Monitoring Enabled Nome categoria nell'API: RDS_ENHANCED_MONITORING_ENABLED	Come trovare la descrizione: Il monitoraggio avanzato fornisce metriche in tempo reale sul sistema operativo su cui viene eseguita l'istanza RDS, tramite un agente installato nell'istanza. Per maggiori dettagli, consulta Monitoraggio delle metriche del sistema operativo con il monitoraggio avanzato. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-2	Controlla se il monitoraggio avanzato è abilitato per tutte le istanze DB RDS Scansioni in tempo reale: no
Rds Instance Deletion Protection Enabled Nome categoria nell'API: RDS_INSTANCE_DELETION_PROTECTION_ENABLED	Come trovare la descrizione: L'attivazione della protezione da eliminazione delle istanze è un ulteriore livello di protezione contro l'eliminazione o l'eliminazione accidentale del database da parte di un'entità non autorizzata. Se è abilitata la protezione da eliminazione, non è possibile eliminare un'istanza DB RDS. Prima che una richiesta di eliminazione possa andare a buon fine, è necessario disabilitare la protezione da eliminazione. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-13(5)	Controlla se per tutte le istanze RDS è abilitata la protezione da eliminazione Scansioni in tempo reale: no
Rds In Backup Plan Nome categoria nell'API: RDS_IN_BACKUP_PLAN	Come trovare la descrizione: Questo controllo valuta se le istanze DB di Amazon RDS sono coperte da un piano di backup. Questo controllo non riesce se un'istanza DB RDS non è coperta da un piano di backup. AWS Backup è un servizio di backup completamente gestito che centralizza e automatizza il backup dei dati in tutti i servizi AWS. Con AWS Backup puoi creare criteri di backup chiamati piani di backup. Puoi utilizzare questi piani per definire i requisiti del backup, ad esempio la frequenza con cui eseguire il backup dei dati e per quanto tempo conservarli. L'inclusione delle istanze DB RDS in un piano di backup consente di proteggere i dati da perdite o eliminazione indesiderate. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-13(5)	Le istanze DB di RDS devono essere coperte da un piano di backup Scansioni in tempo reale: no
Rds Logging Enabled Nome categoria nell'API: RDS_LOGGING_ENABLED	Come trovare la descrizione: Questa operazione consente di verificare se i seguenti log di Amazon RDS sono abilitati e inviati a CloudWatch. Nei database RDS devono essere abilitati i log pertinenti. Il logging dei database fornisce record dettagliati delle richieste inviate a RDS. I log del database possono aiutare con i controlli di sicurezza e di accesso e possono aiutare a diagnosticare i problemi di disponibilità. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-7(8)	Controlla se i log esportati sono abilitati per tutte le istanze DB RDS Scansioni in tempo reale: no
Rds Multi Az Support Nome categoria nell'API: RDS_MULTI_AZ_SUPPORT	Come trovare la descrizione: Le istanze DB RDS devono essere configurate per più zone di disponibilità (AZ). Ciò garantisce la disponibilità dei dati archiviati. I deployment multi-AZ consentono il failover automatico in caso di problemi con la disponibilità delle zone di disponibilità e durante la normale manutenzione di RDS. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-13(5)	Controlla se l'alta disponibilità è abilitata per tutte le istanze DB RDS Scansioni in tempo reale: no
Redshift Cluster Configuration Check Nome categoria nell'API: REDSHIFT_CLUSTER_CONFIGURATION_CHECK	Come trovare la descrizione: Questo verifica la presenza di elementi essenziali di un cluster Redshift: crittografia at-rest, logging e tipo di nodo. Questi elementi di configurazione sono importanti per la manutenzione di un cluster Redshift sicuro e osservabile. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-7(8) PCI-DSS v3.2.1: 10.3.1	Controlla che tutti i cluster Redshift dispongano di crittografia at-rest, logging e tipo di nodo. Scansioni in tempo reale: no
Redshift Cluster Maintenancesettings Check Nome categoria nell'API: REDSHIFT_CLUSTER_MAINTENANCESETTINGS_CHECK	Come trovare la descrizione: Gli upgrade automatici della versione principale vengono eseguiti in base al periodo di manutenzione Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-2	Controlla che tutti i cluster Redshift abbiano allowVersionUpgrade abilitato e preferredMaintenanceWindow e automatedSnapshotRetentionPeriod impostati Scansioni in tempo reale: no
Redshift Cluster Public Access Check Nome categoria nell'API: REDSHIFT_CLUSTER_PUBLIC_ACCESS_CHECK	Come trovare la descrizione: L'attributo PubliclyAccessible della configurazione del cluster Amazon Redshift indica se il cluster è accessibile pubblicamente. Se il cluster è configurato con PubliclyAccessible impostato su true, si tratta di un'istanza per internet con un nome DNS risolvibile pubblicamente, che si risolve in un indirizzo IP pubblico. Quando il cluster non è accessibile pubblicamente, si tratta di un'istanza interna con un nome DNS che si risolve in un indirizzo IP privato. A meno che tu non voglia che il cluster sia accessibile pubblicamente, il cluster non deve essere configurato con PubliclyAccessible impostato su true. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Controlla se i cluster Redshift sono accessibili pubblicamente Scansioni in tempo reale: no
Restricted Common Ports Nome categoria nell'API: RESTRICTED_COMMON_PORTS	Come trovare la descrizione: Questo valore consente di verificare se il traffico in entrata senza restrizioni per i gruppi di sicurezza è accessibile alle porte specificate che presentano il rischio più elevato. Questo controllo non riesce se una delle regole di un gruppo di sicurezza consente il traffico in entrata da "0.0.0.0/0" o "::/0" per quelle porte. L'accesso illimitato (0.0.0.0/0) aumenta le opportunità di attività dannose, come la pirateria informatica, gli attacchi denial-of-service e la perdita di dati. I gruppi di sicurezza forniscono un filtro stateful del traffico di rete in entrata e in uscita verso le risorse AWS. Nessun gruppo di sicurezza deve consentire l'accesso senza restrizioni in entrata alle seguenti porte: 20, 21 (FTP) 22 (SSH) 23 (Telnet) 25 (SMTP) 110 (POP3) 135 (RPC) 143 (IMAP) 445 (CIFS) 1433, 1434 (MSSQL) 3000 (framework di sviluppo web Go, Node.js e Ruby) 3306 (mySQL) 3389 (RDP) 4333 (ahsp) 5000 (framework di sviluppo web in Python) 5432 (postgresql) 5500 (fcp-addr-srvr1) 5601 (Dashboard OpenSearch) 8080 (proxy) 8088 (porta HTTP precedente) 8888 (porta HTTP alternativa) 9200 o 9300 (OpenSearch) Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	I gruppi di sicurezza non devono consentire l'accesso illimitato alle porte ad alto rischio Scansioni in tempo reale: no
Restricted Ssh Nome categoria nell'API: RESTRICTED_SSH	Come trovare la descrizione: I gruppi di sicurezza forniscono un filtro stateful del traffico di rete in entrata e in uscita verso le risorse AWS. Il CIS consiglia che nessun gruppo di sicurezza consenta l'accesso illimitato in entrata alla porta 22. La rimozione della connettività illimitata ai servizi della console remota, ad esempio SSH, riduce l'esposizione del server al rischio. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	I gruppi di sicurezza non devono consentire l'ingresso da 0.0.0.0/0 alla porta 22 Scansioni in tempo reale: no
Rotation Customer Created Cmks Enabled Nome categoria nell'API: ROTATION_CUSTOMER_CREATED_CMKS_ENABLED	Come trovare la descrizione: Controlla se la rotazione automatica della chiave è abilitata per ogni chiave e corrisponde all'ID della chiave della chiave KMS AWS creata dal cliente. La regola è NON_COMPLIANT se il ruolo del registratore di configurazione AWS per una risorsa non ha l'autorizzazione kms:DescribeKey. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata ad alcun controllo standard di conformità.	Assicurati che sia abilitata la rotazione per le chiavi CMK create dal cliente Scansioni in tempo reale: no
Rotation Customer Created Symmetric Cmks Enabled Nome categoria nell'API: ROTATION_CUSTOMER_CREATED_SYMMETRIC_CMKS_ENABLED	Come trovare la descrizione: AWS Key Management Service (KMS) consente ai clienti di ruotare la chiave di supporto, che è il materiale della chiave archiviato nel KMS e che è legato all'ID della chiave master del cliente (CMK) creata dal cliente. È la chiave di supporto utilizzata per eseguire operazioni crittografiche come la crittografia e la decriptazione. Attualmente la rotazione automatica della chiave conserva tutte le chiavi di supporto precedenti in modo che la decrittografia dei dati criptati possa avvenire in modo trasparente. Ti consigliamo di abilitare rotazione della chiave CMK per le chiavi simmetriche. La rotazione della chiave non può essere abilitata per una CMK asimmetrica. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: IA-5,SC-28 PCI-DSS v4.0: 3.1.1,3.3.2,3.3.3,3.5.1,3.5.1.2,3.5.1.3,8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10,CC6.1.3 HIPAA: 164.312(a)(2)(iv),164.312(e)(2)(ii) CIS AWS Foundation 2.0.0: 3.8 CIS Controls 8.0: 3.11	Assicurati che sia abilitata la rotazione per le chiavi CMK simmetriche create dal cliente Scansioni in tempo reale: no
Routing Tables Vpc Peering Are Least Access Nome categoria nell'API: ROUTING_TABLES_VPC_PEERING_ARE_LEAST_ACCESS	Come trovare la descrizione: Controlla se le tabelle di route per il peering VPC sono configurate con l'entità con privilegi minimi. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata ad alcun controllo standard di conformità.	Assicurati che le tabelle di routing per il peering VPC siano ad "accesso minimo" Scansioni in tempo reale: no
S3 Account Level Public Access Blocks Nome categoria nell'API: S3_ACCOUNT_LEVEL_PUBLIC_ACCESS_BLOCKS	Come trovare la descrizione: La funzionalità Blocca accesso pubblico di Amazon S3 fornisce impostazioni per punti di accesso, bucket e account per aiutarti a gestire l'accesso pubblico alle risorse Amazon S3. Per impostazione predefinita, nuovi bucket, punti di accesso e oggetti non consentono l'accesso pubblico. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata ad alcun controllo standard di conformità.	Controlla se le impostazioni richieste di blocco dell'accesso pubblico S3 sono configurate a livello di account Scansioni in tempo reale: no
S3 Bucket Logging Enabled Nome categoria nell'API: S3_BUCKET_LOGGING_ENABLED	Come trovare la descrizione: La funzionalità Registrazione degli accessi al server AWS S3 registra le richieste di accesso ai bucket di archiviazione, il che è utile per i controlli di sicurezza. Per impostazione predefinita, il logging degli accessi al server non è abilitato per i bucket S3. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-7(8) PCI-DSS v3.2.1: 10.3.1	Controlla se il logging è abilitato su tutti i bucket S3 Scansioni in tempo reale: no
S3 Bucket Policy Set Deny Http Requests Nome categoria nell'API: S3_BUCKET_POLICY_SET_DENY_HTTP_REQUESTS	Come trovare la descrizione: A livello di bucket Amazon S3, puoi configurare le autorizzazioni tramite un criterio del bucket che rende gli oggetti accessibili solo tramite HTTPS. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-17,IA-5,SC-8 PCI-DSS v4.0: 2.2.7,4.1.1,4.2.1,4.2.1.2,4.2.2,8.3.2 ISO-27001 v2022: A.5.14 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-2 SOC2 v2017: CC6.1.11,CC6.1.3,CC6.1.8,CC6.7.2 HIPAA: 164.312(a)(2)(iv),164.312(e)(1),164.312(e)(2)(i),164.312(e)(2)(ii) CIS AWS Foundation 2.0.0: 2.1.1 CIS Controls 8.0: 3.10	Assicurati che il criterio bucket S3 sia impostato in modo da rifiutare le richieste HTTP Scansioni in tempo reale: no
S3 Bucket Replication Enabled Nome categoria nell'API: S3_BUCKET_REPLICATION_ENABLED	Come trovare la descrizione: Questo controllo verifica se in un bucket Amazon S3 è abilitata la replica tra regioni. Il controllo non riesce se nel bucket non è abilitata la replica tra regioni o se è abilitata anche la replica nelle stesse regioni. La replica è la copia automatica e asincrona degli oggetti nei bucket nella stessa regione AWS o in regioni diverse. La replica copia gli oggetti appena creati e gli aggiornamenti degli oggetti da un bucket di origine a uno o più bucket di destinazione. Le best practice di AWS consigliano la replica per i bucket di origine e di destinazione che appartengono allo stesso account AWS. Oltre alla disponibilità, dovresti prendere in considerazione altre impostazioni di protezione dei sistemi. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-13(5)	Controlla se la replica tra regioni di bucket S3 è abilitata Scansioni in tempo reale: no
S3 Bucket Server Side Encryption Enabled Nome categoria nell'API: S3_BUCKET_SERVER_SIDE_ENCRYPTION_ENABLED	Come trovare la descrizione: Questo controllo verifica che nel bucket S3 sia abilitata la crittografia predefinita di Amazon S3 o che il criterio del bucket S3 neghi esplicitamente le richieste put-object senza crittografia lato server. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-7(6) PCI-DSS v3.2.1: 10.5.2	Assicurati che tutti i bucket S3 utilizzino la crittografia at-rest Scansioni in tempo reale: no
S3 Bucket Versioning Enabled Nome categoria nell'API: S3_BUCKET_VERSIONING_ENABLED	Come trovare la descrizione: Amazon S3 è un mezzo per mantenere più varianti di un oggetto nello stesso bucket e può aiutarti a recuperare più facilmente sia da azioni utente indesiderate che da errori delle applicazioni. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-13(5) PCI-DSS v3.2.1: 10.5.5	Controlla che il controllo delle versioni sia abilitato per tutti i bucket S3 Scansioni in tempo reale: no
S3 Default Encryption Kms Nome categoria nell'API: S3_DEFAULT_ENCRYPTION_KMS	Come trovare la descrizione: Controlla se i bucket Amazon S3 sono criptati con AWS Key Management Service (AWS KMS) Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-7(6)	Controlla che tutti i bucket siano criptati con KMS Scansioni in tempo reale: no
Sagemaker Notebook Instance Kms Key Configured Nome categoria nell'API: SAGEMAKER_NOTEBOOK_INSTANCE_KMS_KEY_CONFIGURED	Come trovare la descrizione: Controlla se è configurata una chiave AWS Key Management Service (AWS KMS) per un'istanza di blocco note Amazon SageMaker. La regola è NON_COMPLIANT se "KmsKeyId" non è specificato per l'istanza del blocco note SageMaker. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-7(6) PCI-DSS v3.2.1: 8.2.1	Controlla che tutte le istanze di blocco note SageMaker siano configurate per utilizzare KMS Scansioni in tempo reale: no
Sagemaker Notebook No Direct Internet Access Nome categoria nell'API: SAGEMAKER_NOTEBOOK_NO_DIRECT_INTERNET_ACCESS	Come trovare la descrizione: Controlla se l'accesso diretto a internet è disabilitato per un'istanza di blocco note SageMaker. A questo scopo, verifica se il campo DirectInternetAccess è disabilitato per l'istanza del blocco note. Se configuri l'istanza SageMaker senza un VPC, per impostazione predefinita l'accesso diretto a internet è abilitato sull'istanza. Devi configurare l'istanza con un VPC e modificare l'impostazione predefinita in Disabilita: accedi a internet tramite un VPC. Per addestrare o ospitare modelli da un blocco note, è necessario l'accesso a internet. Per abilitare l'accesso a internet, assicurati che il VPC abbia un gateway NAT e che il gruppo di sicurezza consenta le connessioni in uscita. Per saperne di più su come connettere un'istanza di blocco note alle risorse in un VPC, consulta Connettere un'istanza di blocco note alle risorse in un VPC nella Guida per gli sviluppatori di Amazon SageMaker. Devi inoltre assicurarti che l'accesso alla configurazione di SageMaker sia limitato solo agli utenti autorizzati. Limita le autorizzazioni IAM degli utenti per modificare le impostazioni e le risorse di SageMaker. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Controlla se l'accesso diretto a internet è disabilitato per tutte le istanze di blocco note Amazon SageMaker Scansioni in tempo reale: no
Secretsmanager Rotation Enabled Check Nome categoria nell'API: SECRETSMANAGER_ROTATION_ENABLED_CHECK	Come trovare la descrizione: Verifica se un secret archiviato in AWS Secret Manager è configurato con rotazione automatica. Il controllo non riesce se il secret non è configurato con la rotazione automatica. Se fornisci un valore personalizzato per il parametro maximumAllowedRotationFrequency, il controllo viene eseguito solo se il secret viene ruotato automaticamente entro il periodo di tempo specificato. Secret Manager ti aiuta a migliorare la strategia di sicurezza della tua organizzazione. I secret includono credenziali del database, password e chiavi API di terze parti. Puoi utilizzare Secret Manager per archiviare i secret a livello centrale, criptarli automaticamente, controllarne l'accesso e ruotare i secret in modo sicuro e automatico. Secret Manager può ruotare i secret. Puoi utilizzare la rotazione per sostituire i secret a lungo termine con altri a breve termine. La rotazione dei secret limita il periodo di tempo in cui un utente non autorizzato può utilizzare un secret compromesso. Per questo motivo, devi ruotare spesso i secret. Per saperne di più sulla rotazione, consulta Rotazione dei secret di AWS Secrets Manager nella Guida dell'utente di AWS Secrets Manager. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-3(15) PCI-DSS v3.2.1: 8.2.4	Controlla che la rotazione sia abilitata per tutti i secret di AWS Secrets Manager Scansioni in tempo reale: no
Sns Encrypted Kms Nome categoria nell'API: SNS_ENCRYPTED_KMS	Come trovare la descrizione: Controlla se un argomento SNS è criptato at-rest mediante KMS AWS. I controlli hanno esito negativo se un argomento SNS non utilizza una chiave KMS per la crittografia lato server (SSE). La crittografia dei dati at-rest riduce il rischio che un utente non autenticato su AWS acceda a dati archiviati su disco. Inoltre, aggiunge un altro insieme di controlli dell'accesso per limitare la possibilità di utenti non autorizzati di accedere ai dati. Ad esempio, le autorizzazioni API sono necessarie per decriptare i dati prima che possano essere letti. Gli argomenti SNS devono essere criptati at-rest per un ulteriore livello di sicurezza. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-7(6)	Controlla che tutti gli argomenti SNS siano criptati con KMS Scansioni in tempo reale: no
Vpc Default Security Group Closed Nome categoria nell'API: VPC_DEFAULT_SECURITY_GROUP_CLOSED	Come trovare la descrizione: Questo controllo verifica se il gruppo di sicurezza predefinito di un VPC consente il traffico in entrata o in uscita. Il controllo non riesce se il gruppo di sicurezza consente il traffico in entrata o in uscita. Le regole per il gruppo di sicurezza predefinito consentono tutto il traffico in uscita e in entrata dalle interfacce di rete (e dalle relative istanze associate) assegnate allo stesso gruppo di sicurezza. Ti consigliamo di non utilizzare il gruppo di sicurezza predefinito. Poiché il gruppo di sicurezza predefinito non può essere eliminato, devi modificare l'impostazione delle regole del gruppo di sicurezza predefinito per limitare il traffico in entrata e in uscita. In questo modo si evita il traffico indesiderato se il gruppo di sicurezza predefinito è stato configurato per errore per risorse come le istanze EC2. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Assicurati che il gruppo di sicurezza predefinito di ogni VPC limiti tutto il traffico Scansioni in tempo reale: no
Vpc Flow Logging Enabled All Vpcs Nome categoria nell'API: VPC_FLOW_LOGGING_ENABLED_ALL_VPCS	Come trovare la descrizione: I log di flusso VPC sono una funzionalità che consente di acquisire informazioni sul traffico IP da e verso le interfacce di rete nel VPC. Dopo aver creato un log di flusso, puoi visualizzare e recuperare i relativi dati nei log di Amazon CloudWatch. È consigliabile abilitare i log di flusso VPC per i "rifiuti" dei pacchetti per i VPC. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-4,SI-7(8) PCI-DSS v3.2.1: 10.3.1 ISO-27001 v2022: A.8.15,A.8.16 Cloud Controls Matrix 4: IVS-03 NIST Cybersecurity Framework 1.0: DE-CM-1 SOC2 v2017: CC7.2.1,CC7.2.2,CC7.2.3,CC7.2.4 CIS AWS Foundation 2.0.0: 3.9 CIS Controls 8.0: 13.6,8.2	Assicurati che il logging dei flussi VPC sia abilitato in tutti i VPC Scansioni in tempo reale: no
Vpc Sg Open Only To Authorized Ports Nome categoria nell'API: VPC_SG_OPEN_ONLY_TO_AUTHORIZED_PORTS	Come trovare la descrizione: Questo controllo verifica se un gruppo di sicurezza Amazon EC2 consente il traffico in entrata illimitato da porte non autorizzate. Lo stato del controllo viene determinato come segue: Se si utilizza il valore predefinito per AuthorizedTcpPorts, il controllo non riesce se il gruppo di sicurezza consente il traffico in entrata illimitato da qualsiasi porta diversa dalle porte 80 e 443. Se fornisci valori personalizzati per AuthorizedTcpPorts o AuthorizedUdpPorts, il controllo non andrà a buon fine se il gruppo di sicurezza consente il traffico in entrata illimitato da qualsiasi porta non in elenco. Se non viene utilizzato nessun parametro, il controllo non va a buon fine per tutti i gruppi di sicurezza che hanno una regola per il traffico in entrata senza limitazioni. I gruppi di sicurezza forniscono un filtro stateful del traffico di rete in entrata e in uscita verso AWS. Le regole del gruppo di sicurezza devono seguire l'entità dell'accesso con privilegi minimi. L'accesso senza restrizioni (indirizzo IP con suffisso /0) aumenta le possibilità di attività dannose come la pirateria informatica, gli attacchi denial of service e la perdita di dati. A meno che una porta non sia specificamente consentita, deve negare l'accesso illimitato. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Controlla che tutti i gruppi di sicurezza con 0.0.0.0/0 di qualsiasi VPC consentano solo traffico TCP/UDP in entrata specifico Scansioni in tempo reale: no
Both VPC VPN Tunnels Up Nome categoria nell'API: VPC_VPN_2_TUNNELS_UP	Come trovare la descrizione: Un tunnel VPN è un collegamento criptato in cui i dati possono passare dalla rete del cliente a o da AWS all'interno di una connessione VPN AWS Site-to-Site. Ogni connessione VPN include due tunnel VPN che puoi utilizzare contemporaneamente per garantire l'alta disponibilità. Verificare che entrambi i tunnel VPN siano attivi per una connessione VPN è importante per confermare una connessione sicura e ad alta disponibilità tra un VPC AWS e la tua rete remota. Questo controllo verifica che entrambi i tunnel VPN forniti da AWS Site-to-Site VPN siano in stato UP. Il controllo non riesce se lo stato di uno o entrambi i tunnel è GIÙ. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-13(5)	Controlla che entrambi i tunnel VPN forniti da AWS tra siti siano in stato attivo Scansioni in tempo reale: no

Risultati di Web Security Scanner

Importante: le analisi gestite sono disponibili solo nel livello Premium di Security Command Center.

Le analisi personalizzate e gestite di Web Security Scanner identificano i seguenti tipi di risultati. Nel livello Standard, Web Security Scanner supporta le analisi personalizzate delle applicazioni di cui è stato eseguito il deployment con URL e IP pubblici che non sono protetti da un firewall.

Tabella 21. Risultati di Web Security Scanner

Categoria	Descrizione del risultato	Top 10 OWASP 2017	Top 10 OWASP 2021
Accessible Git repository Nome categoria nell'API: ACCESSIBLE_GIT_REPOSITORY	Un repository Git è esposto pubblicamente. Per risolvere questo risultato, rimuovi l'accesso pubblico involontario al repository GIT. Livello di prezzo: Standard Correggi questo risultato	A5	A01
Accessible SVN repository Nome categoria nell'API: ACCESSIBLE_SVN_REPOSITORY	Un repository SVN è esposto pubblicamente. Per risolvere questo risultato, rimuovi l'accesso pubblico involontario al repository SVN. Livello di prezzo: Standard Correggi questo risultato	A5	A01
Cacheable password input Nome categoria nell'API: CACHEABLE_PASSWORD_INPUT	Le password inserite nell'applicazione web possono essere memorizzate nella cache in una normale cache del browser anziché in uno spazio di archiviazione sicuro delle password. Livello di prezzo: Premium Correggi questo risultato	A3	A04
Clear text password Nome categoria nell'API: CLEAR_TEXT_PASSWORD	Le password vengono trasmesse in chiaro e possono essere intercettate. Per risolvere questo risultato, cripta la password trasmessa attraverso la rete. Livello di prezzo: Standard Correggi questo risultato	A3	A02
Insecure allow origin ends with validation Nome categoria nell'API: INSECURE_ALLOW_ORIGIN_ENDS_WITH_VALIDATION	Un endpoint HTTP o HTTPS tra siti convalida solo un suffisso dell'intestazione della richiesta Origin prima di rifletterlo all'interno dell'intestazione della risposta Access-Control-Allow-Origin. Per risolvere questo risultato, verifica che il dominio principale previsto faccia parte del valore dell'intestazione Origin prima di rifletterlo nell'intestazione della risposta Access-Control-Allow-Origin. Per i caratteri jolly nel sottodominio, anteponi il punto al dominio principale, ad esempio .endsWith(".google.com"). Livello di prezzo: Premium Correggi questo risultato	A5	A01
Insecure allow origin starts with validation Nome categoria nell'API: INSECURE_ALLOW_ORIGIN_STARTS_WITH_VALIDATION	Un endpoint HTTP o HTTPS tra siti convalida solo un prefisso dell'intestazione della richiesta Origin prima di rifletterlo all'interno dell'intestazione della risposta Access-Control-Allow-Origin. Per risolvere questo risultato, verifica che il dominio previsto corrisponda completamente al valore dell'intestazione Origin prima di rifletterlo nell'intestazione della risposta Access-Control-Allow-Origin, ad esempio .equals(".google.com"). Livello di prezzo: Premium Correggi questo risultato	A5	A01
Invalid content type Nome categoria nell'API: INVALID_CONTENT_TYPE	È stata caricata una risorsa che non corrisponde all'intestazione HTTP Content-Type della risposta. Per risolvere questo risultato, imposta l'intestazione HTTP X-Content-Type-Options con il valore corretto. Livello di prezzo: Standard Correggi questo risultato	A6	A05
Invalid header Nome categoria nell'API: INVALID_HEADER	Un'intestazione di sicurezza contiene un errore di sintassi e viene ignorata dai browser. Per risolvere questo risultato, imposta correttamente le intestazioni di sicurezza HTTP. Livello di prezzo: Standard Correggi questo risultato	A6	A05
Mismatching security header values Nome categoria nell'API: MISMATCHING_SECURITY_HEADER_VALUES	Un'intestazione di sicurezza contiene valori duplicati che non corrispondono, il che comporta un comportamento indefinito. Per risolvere questo risultato, imposta correttamente le intestazioni di sicurezza HTTP. Livello di prezzo: Standard Correggi questo risultato	A6	A05
Misspelled security header name Nome categoria nell'API: MISSPELLED_SECURITY_HEADER_NAME	Un'intestazione di sicurezza contiene errori di ortografia e viene ignorata. Per risolvere questo risultato, imposta correttamente le intestazioni di sicurezza HTTP. Livello di prezzo: Standard Correggi questo risultato	A6	A05
Mixed content Nome categoria nell'API: MIXED_CONTENT	Le risorse vengono gestite tramite HTTP in una pagina HTTPS. Per risolvere questo risultato, assicurati che tutte le risorse vengano gestite tramite HTTPS. Livello di prezzo: Standard Correggi questo risultato	A6	A05
Outdated library Nome categoria nell'API: OUTDATED_LIBRARY	È stata rilevata una libreria con vulnerabilità note. Per risolvere il problema, esegui l'upgrade delle librerie a una versione più recente. Livello di prezzo: Standard Correggi questo risultato	A9	A06
Server side request forgery Nome categoria nell'API: SERVER_SIDE_REQUEST_FORGERY	È stata rilevata una vulnerabilità di falsificazione di richieste lato server (SSRF). Per risolvere questo risultato, utilizza una lista consentita per limitare i domini e gli indirizzi IP a cui l'applicazione web può effettuare richieste. Livello di prezzo: Standard Correggi questo risultato	Non applicabile	A10
Session ID leak Nome categoria nell'API: SESSION_ID_LEAK	Quando effettui una richiesta interdominio, l'applicazione web include l'identificatore di sessione dell'utente nell'intestazione della richiesta Referer. Questa vulnerabilità consente al dominio ricevente di accedere all'identificatore di sessione, che può essere utilizzato per impersonare o identificare in modo univoco l'utente. Livello di prezzo: Premium Correggi questo risultato	A2	A07
SQL injection Nome categoria nell'API: SQL_INJECTION	È stata rilevata una potenziale vulnerabilità di SQL injection. Per risolvere questo risultato, utilizza le query con parametri per impedire che gli input utente influenzino la struttura della query SQL. Livello di prezzo: Premium Correggi questo risultato	A1	A03
Struts insecure deserialization Nome categoria nell'API: STRUTS_INSECURE_DESERIALIZATION	È stato rilevato l'utilizzo di una versione vulnerabile di Apache Struts. Per risolvere questo risultato, esegui l'upgrade di Apache Struts alla versione più recente. Livello di prezzo: Premium Correggi questo risultato	A8	A08
XSS Nome categoria nell'API: XSS	Un campo di questa applicazione web è vulnerabile a un attacco XSS (cross-site scripting). Per risolvere questo risultato, convalida ed esegui l'escape dei dati non attendibili forniti dall'utente. Livello di prezzo: Standard Correggi questo risultato	A7	A03
XSS angular callback Nome categoria nell'API: XSS_ANGULAR_CALLBACK	Una stringa fornita dall'utente non contiene caratteri di escape e AngularJS può interpolarla. Per risolvere questo risultato, convalida ed esegui l'escape dei dati non attendibili forniti dall'utente gestiti dal framework Angular. Livello di prezzo: Standard Correggi questo risultato	A7	A03
XSS error Nome categoria nell'API: XSS_ERROR	Un campo di questa applicazione web è vulnerabile a un attacco tramite cross-site scripting. Per risolvere questo risultato, convalida ed esegui l'escape dei dati non attendibili forniti dall'utente. Livello di prezzo: Standard Correggi questo risultato	A7	A03
XXE reflected file leakage Nome categoria nell'API: XXE_REFLECTED_FILE_LEAKAGE	È stata rilevata una vulnerabilità da entità esterna XML (XXE). Questa vulnerabilità può causare la perdita di un file nell'host da parte dell'applicazione web. Per risolvere questo risultato, configura i parser XML in modo da non consentire le entità esterne. Livello di prezzo: Premium Correggi questo risultato	A4	A05
Prototype pollution Nome categoria nell'API: PROTOTYPE_POLLUTION	L'applicazione è vulnerabile all'inquinamento del prototipo. Questa vulnerabilità si verifica quando alle proprietà dell'oggetto Object.prototype possono essere assegnati valori controllabili da utenti malintenzionati. Si presume universalmente che i valori inseriti in questi prototipi si trasformino in cross-site scripting (XSS) o in vulnerabilità simili lato client, nonché in bug logici. Livello di prezzo: Standard Correggi questo risultato	A1	A03

Risultati di Rapid Vulnerability Detection e relative soluzioni

Rapid Vulnerability Detection rileva le credenziali inefficaci, le installazioni di software incomplete e altre vulnerabilità critiche con un'alta probabilità di essere sfruttate. Il servizio rileva automaticamente gli endpoint di rete, i protocolli, le porte aperte, i servizi di rete e i pacchetti software installati.

I risultati di Rapid Vulnerability Detection sono avvisi tempestivi sulle vulnerabilità che ti consigliamo di risolvere immediatamente.

Per informazioni su come visualizzare i risultati, consulta Analisi dei risultati in Security Command Center.

Le scansioni di Rapid Vulnerability Detection identificano i seguenti tipi di risultati.

Tabella 23. Risultati e correzioni di Rapid Vulnerability Detection

Tipo di risultato	Descrizione del risultato	10 codici OWASP principali
Risultati relativi alle credenziali deboli
WEAK_CREDENTIALS	Questo rilevatore verifica la presenza di credenziali inefficaci utilizzando i metodi di forza bruta ncrack. Servizi supportati: SSH, RDP, FTP, WordPress, TELNET, POP3, IMAP, VCS, SMB, SMB2, VNC, SIP, REDIS, PSQL, MYSQL, MSSQL, MQTT, MONGODB, WINRM, DICOM Soluzione : applica criteri per password efficaci. Crea credenziali univoche per i tuoi servizi ed evita di usare parole del dizionario nelle password.	2021 A07 2017 A2
Risultati dell'interfaccia esposta
ELASTICSEARCH_API_EXPOSED	L' API Elasticsearch consente ai chiamanti di eseguire query arbitrarie, scrivere ed eseguire script e aggiungere ulteriori documenti al servizio. Soluzione: rimuovi l'accesso diretto all'API Elasticsearch instradando le richieste tramite un'applicazione o limita l'accesso solo agli utenti autenticati. Per maggiori informazioni, consulta Impostazioni di sicurezza in Elasticsearch.	2021 A01, A05 2017 A5 e A6
EXPOSED_GRAFANA_ENDPOINT	In Grafana dalle versioni 8.0.0 alla versione 8.3.0, gli utenti possono accedere senza autenticazione a un endpoint con una vulnerabilità di attraversamento directory che consente a qualsiasi utente di leggere qualsiasi file sul server senza autenticazione. Per maggiori informazioni, consulta CVE-2021-43798. Soluzione: Applica la patch a Grafana o esegui l'upgrade di Grafana a una versione successiva. Per maggiori informazioni, consulta Grafana path traversal.	2021 A06, A07 2017 A2 e A9
EXPOSED_METABASE	Le versioni da x.40.0 a x.40.4 di Metabase, una piattaforma di analisi dei dati open source, contengono una vulnerabilità nel supporto delle mappe GeoJSON personalizzate e la potenziale inclusione di file locali, comprese le variabili di ambiente. Gli URL non sono stati convalidati prima del caricamento. Per maggiori informazioni, consulta CVE-2021-41277. Soluzione: esegui l'upgrade alle release di manutenzione 0.40.5 o successive oppure 1.40.5 o successive. Per maggiori informazioni, consulta la pagina La convalida degli URL di GeoJSON può esporre i file del server e le variabili di ambiente a utenti non autorizzati.	2021 A06 2017 A3 e A9
EXPOSED_SPRING_BOOT_ACTUATOR_ENDPOINT	Questo rilevatore verifica se sono esposti gli endpoint sensibili dell'attuatore delle applicazioni Spring Boot. Alcuni degli endpoint predefiniti, come /heapdump, potrebbero esporre informazioni sensibili. Altri endpoint, come /env, potrebbero comportare l'esecuzione di codice da remoto. Al momento è selezionata solo /heapdump. Soluzione: disabilita l'accesso agli endpoint dell'attuatore sensibili. Per maggiori informazioni, consulta Protezione degli endpoint HTTP.	2021 A01, A05 2017 A5 e A6
HADOOP_YARN_UNAUTHENTICATED_RESOURCE_MANAGER_API	Questo rilevatore verifica se l' API Hadoop Yarn ResourceManager, che controlla le risorse di calcolo e archiviazione di un cluster Hadoop, è esposta e consente l'esecuzione di codice non autenticato. Soluzione: utilizza gli controllo dell'accesso dell'accesso con l'API.	2021 A01, A05 2017 A5 e A6
JAVA_JMX_RMI_EXPOSED	La Java Management Extension (JMX) consente il monitoraggio e la diagnostica da remoto per le applicazioni Java. L'esecuzione di JMX con un endpoint di chiamata di metodo remoto non protetto consente a qualsiasi utente remoto di creare un MBean javax.management.loading.MLet MBean e di utilizzarlo per creare nuovi MBean da URL arbitrari. Soluzione: per configurare correttamente il monitoraggio remoto, vedi Monitoraggio e gestione utilizzando la tecnologia JMX.	2021 A01, A05 2017 A5 e A6
JUPYTER_NOTEBOOK_EXPOSED_UI	Questo rilevatore verifica se è esposto un blocco note Jupyter non autenticato. Jupyter consente l'esecuzione di codice remoto per progettazione sulla macchina host. Un blocco note Jupyter non autenticato mette la VM di hosting a rischio dell'esecuzione di codice remoto. Soluzione: aggiungi l'autenticazione dei token al server di blocchi note Jupyter o utilizza versioni più recenti di blocco note Jupyter che utilizzano l'autenticazione dei token per impostazione predefinita.	2021 A01, A05 2017 A5 e A6
KUBERNETES_API_EXPOSED	L' API Kubernetes è esposta e accessibile da parte di chiamanti non autenticati. Ciò consente l'esecuzione di codice arbitrario sul cluster Kubernetes. Soluzione: richiedi l'autenticazione per tutte le richieste API. Per ulteriori informazioni, consulta la guida all' autenticazione dell'API Kubernetes.	2021 A01, A05 2017 A5 e A6
UNFINISHED_WORDPRESS_INSTALLATION	Questo rilevatore verifica se un'installazione di WordPress è stata completata. Un'installazione di WordPress non completata espone la pagina /wp-admin/install.php, che consente a un utente malintenzionato di impostare la password di amministratore e, potenzialmente, di compromettere il sistema. Soluzione: completa l' installazione di WordPress.	2021 A05 2017 A6
UNAUTHENTICATED_JENKINS_NEW_ITEM_CONSOLE	Questo rilevatore verifica la presenza di un'istanza Jenkins non autenticata inviando un ping del probe all'endpoint /view/all/newJob come visitatore anonimo. Un'istanza Jenkins autenticata mostra il modulo createItem, che consente la creazione di job arbitrari che potrebbero portare all'esecuzione di codice remoto. Soluzione: segui la guida di Jenkins sulla gestione della sicurezza per bloccare gli accessi non autenticati.	2021 A01, A05 2017 A5 e A6
Risultati software vulnerabili
APACHE_HTTPD_RCE	In Apache HTTP Server 2.4.49 è stato rilevato un difetto che consente a un utente malintenzionato di utilizzare un attacco path traversal per mappare gli URL ai file al di fuori della radice del documento prevista e di visualizzare l'origine dei file interpretati, come gli script CGI. È noto che questo problema è sfruttato in natura. Questo problema riguarda Apache 2.4.49 e 2.4.50, ma non versioni precedenti. Per ulteriori informazioni su questa vulnerabilità, consulta: Record CVE CVE-2021-41773 Vulnerabilità di Apache HTTP Server 2.4 Soluzione: proteggi i file al di fuori della radice del documento configurando l'istruzione "Richiedi tutti i contenuti rifiutati" in Apache HTTP Server.	2021 A01, A06 2017 A5 e A9
APACHE_HTTPD_SSRF	Gli utenti malintenzionati possono creare un URI al server web Apache che fa sì che mod_proxy inoltri la richiesta a un server di origine scelto dall'utente malintenzionato. Questo problema riguarda il server HTTP Apache 2.4.48 e versioni precedenti. Per ulteriori informazioni su questa vulnerabilità, consulta: Record CVE CVE-2021-40438 Vulnerabilità di Apache HTTP Server 2.4 Soluzione: esegui l'upgrade del server HTTP Apache a una versione successiva.	2021 A06 e A10 2017 A9
CONSUL_RCE	Gli utenti malintenzionati possono eseguire codice arbitrario su un server Consul perché l'istanza Consul è configurata con -enable-script-checks impostato su true e l'API HTTP Consul non è protetta e accessibile sulla rete. In Consul 0.9.0 e versioni precedenti, i controlli degli script sono attivi per impostazione predefinita. Per maggiori informazioni, consulta Protezione di Consul dal rischio RCE in configurazioni specifiche. Per verificare questa vulnerabilità, Rapid Vulnerability Detection registra un servizio sull'istanza di Consul utilizzando l'endpoint REST /v1/health/service, che esegue quindi una delle seguenti operazioni: Un comando curl a un server remoto esterno alla rete. Un utente malintenzionato può utilizzare il comando curl per esfiltrare i dati dal server. Un comando printf. Rapid Vulnerability Detection verifica quindi l'output del comando utilizzando l'endpoint REST /v1/health/service. Dopo il controllo, Rapid Vulnerability Detection esegue la pulizia e annulla la registrazione del servizio utilizzando l'endpoint REST /v1/agent/service/deregister/. Soluzione: imposta allow-script-checks su false nella configurazione dell'istanza della console.	2021 A05, A06 2017 A6 e A9
DRUID_RCE	Apache Druid include la possibilità di eseguire codice JavaScript fornito dall'utente incorporato in vari tipi di richieste. Questa funzionalità è destinata all'utilizzo in ambienti ad alta attendibilità ed è disabilitata per impostazione predefinita. Tuttavia, in Druid 0.20.0 e versioni precedenti, è possibile che un utente autenticato invii una richiesta creata appositamente che costringa Druid a eseguire il codice JavaScript fornito dall'utente per quella richiesta, indipendentemente dalla configurazione del server. Può essere sfruttato per eseguire il codice sulla macchina di destinazione con i privilegi del processo del server Druid. Per maggiori informazioni, consulta Dettagli CVE-2021-25646. Soluzione: esegui l'upgrade di Apache Druid alla versione successiva.	2021 A05, A06 2017 A6 e A9
DRUPAL_RCE Questa categoria include due vulnerabilità in Drupal. Più risultati di questo tipo possono indicare più di una vulnerabilità.	Le versioni Dupal precedenti alla 7.58, 8.x prima della 8.3.9, 8.4.x precedenti alla 8.4.6 e 8.5.x precedenti alla 8.5.1 sono vulnerabili all'esecuzione di codice remoto su richieste AJAX dell'API Form. Soluzione: esegui l'upgrade a versioni alternative di Drupal.	2021 A06 2017 A9
	Le versioni 8.5.x di Dupal precedenti alla 8.5.11 e 8.6.x precedenti alla 8.6.10 sono vulnerabili all'esecuzione di codice remoto quando sono abilitati il modulo del servizio web RESTful o JSON:API. Questa vulnerabilità può essere sfruttata da un utente malintenzionato non autenticato che utilizza una richiesta POST personalizzata. Soluzione: esegui l'upgrade a versioni alternative di Drupal.	2021 A06 2017 A9
FLINK_FILE_DISCLOSURE	Una vulnerabilità presente nelle versioni 1.11.0, 1.11.1 e 1.11.2 di Apache Flink consente agli utenti malintenzionati di leggere qualsiasi file nel file system locale di JobManager tramite l'interfaccia REST del processo JobManager. L'accesso è limitato ai file accessibili dal processo JobManager. Soluzione: se le tue istanze Flink sono esposte, esegui l'upgrade a Flink 1.11.3 o 1.12.0.	2021 A01, A05, A06 2017 A5, A6, A9
GITLAB_RCE	Nelle versioni GitLab Community Edition (CE) ed Enterprise Edition (EE) 11.9 e successive, GitLab non convalida correttamente i file immagine trasmessi a un parser di file. Un utente malintenzionato può sfruttare questa vulnerabilità per l'esecuzione del comando da remoto. Soluzione: esegui l'upgrade a GitLab CE o EE release 13.10.3, 13.9.6 e 13.8.8 o successive. Per maggiori informazioni, consulta Azione richiesta dai clienti autogestiti in risposta a CVE-2021-22205.	2021 A06 2017 A9
GoCD_RCE	In GoCD 21.2.0 e versioni precedenti, è presente un endpoint a cui è possibile accedere senza autenticazione. Questo endpoint ha una vulnerabilità di attraversamento directory che consente a un utente di leggere qualsiasi file sul server senza autenticazione. Soluzione: esegui l'upgrade alla versione 21.3.0 o successive. Per maggiori informazioni, consulta le note di rilascio di GoCD 21.3.0.	2021 A06, A07 2017 A2 e A9
JENKINS_RCE	Le versioni di Jenkins 2.56 e precedenti, 2.46.1 LTS e precedenti sono vulnerabili all'esecuzione di codice remoto. Questa vulnerabilità può essere attivata da un utente malintenzionato non autenticato che utilizza un oggetto Java serializzato dannoso. Soluzione: installa una versione alternativa di Jenkins.	2021 A06, A08 2017 A8 e A9
JOOMLA_RCE Questa categoria include due vulnerabilità in Joomla. Più risultati di questo tipo possono indicare più di una vulnerabilità.	Le versioni di Joomla 1.5.x, 2.x e 3.x precedenti alla 3.4.6 sono vulnerabili all'esecuzione di codice remoto. Questa vulnerabilità può essere attivata con un'intestazione creata contenente oggetti PHP serializzati. Soluzione: installa una versione alternativa di Joomla.	2021 A06, A08 2017 A8 e A9
	Le versioni da 3.0.0 a 3.4.6 di Joomla sono vulnerabili all'esecuzione di codice remoto. Questa vulnerabilità può essere attivata inviando una richiesta POST contenente un oggetto PHP serializzato creato. Soluzione: installa una versione alternativa di Joomla.	2021 A06 2017 A9
LOG4J_RCE	In Apache Log4j2 2.14.1 e versioni precedenti, le funzionalità JNDI utilizzate in configurazioni, messaggi di log e parametri non proteggono da LDAP controllati da utenti malintenzionati e altri endpoint correlati a JNDI. Per maggiori informazioni, consulta CVE-2021-44228. Soluzione: per informazioni sulla risoluzione, consulta Vulnerabilità di sicurezza di Apache Log4j.	2021 A06 2017 A9
MANTISBT_PRIVILEGE_ESCALATION	MantisBT tramite la versione 2.3.0 consente la reimpostazione arbitraria della password e l'accesso amministrativo non autenticato fornendo un valore confirm_hash vuoto a verify.php. Soluzione: aggiorna MantisBT a una versione più recente o segui le istruzioni di Mantis per applicare una correzione di sicurezza critica.	2021 A06 2017 A9
OGNL_RCE	Le istanze Server di Confluence e Data Center contengono una vulnerabilità OGNL injection che consente a un utente malintenzionato non autenticato di eseguire codice arbitrario. Per maggiori informazioni, consulta CVE-2021-26084. Soluzione: per informazioni sulla correzione, consulta Confluence Server Webwork OGNL injection - CVE-2021-26084.	2021 A03 2017 A1
OPENAM_RCE	I server OpenAM 14.6.2 e precedenti e i server ForgeRock 6.5.3 e versioni precedenti presentano una vulnerabilità di deserializzazione Java nel parametro jato.pageSession su più pagine. L'exploit non richiede l'autenticazione e l'esecuzione di codice remoto può essere attivata inviando una singola richiesta /ccversion/* creata al server. La vulnerabilità esiste a causa dell'utilizzo dell'applicazione Sun ONE. Per maggiori informazioni, consulta CVE-2021-35464. Soluzione: esegui l'upgrade a una versione più recente. Per informazioni sulla correzione di ForgeRock, consulta AM Security Advisory #202104.	2021 A06 2017 A9
ORACLE_WEBLOGIC_RCE	Alcune versioni del prodotto Oracle WebLogic Server di Oracle Fusion Middleware (componente: Console) contengono una vulnerabilità, incluse le versioni 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 e 14.1.1.0.0. Questa vulnerabilità facilmente sfruttabile consente a un utente malintenzionato non autenticato con accesso alla rete tramite HTTP di compromettere Oracle WebLogic Server. Gli attacchi riusciti di questa vulnerabilità possono comportare il rilevamento di Oracle WebLogic Server. Per maggiori informazioni, consulta CVE-2020-14882. Soluzione: per informazioni sulle patch, consulta Avviso sull'aggiornamento delle patch critiche di Oracle - Ottobre 2020.	2021 A06, A07 2017 A2 e A9
PHPUNIT_RCE	Le versioni PHPUnit precedenti alla 5.6.3 consentono l'esecuzione di codice remoto con una singola richiesta POST non autenticata. Soluzione: esegui l'upgrade alle versioni più recenti di PHPUnit.	2021: A05 2017: A6
PHP_CGI_RCE	Le versioni PHP precedenti alla 5.3.12 e le versioni 5.4.x precedenti alla 5.4.2, se configurate come script CGI, consentono l'esecuzione di codice remoto. Il codice vulnerabile non gestisce correttamente le stringhe di query prive di un carattere = (uguale al segno). In questo modo i malintenzionati possono aggiungere opzioni della riga di comando che vengono eseguite sul server. Soluzione: installa una versione PHP alternativa.	2021 A05, A06 2017 A6 e A9
PORTAL_RCE	La deserializzazione dei dati non attendibili nelle versioni di Liferay Portal precedenti alla 7.2.1 CE GA2 consente a utenti malintenzionati remoti di eseguire codice arbitrario tramite i servizi web JSON. Soluzione: esegui l'upgrade alle versioni più recenti del Liferay Portal.	2021 A06, A08 2017 A8 e A9
REDIS_RCE	Se un'istanza Redis non richiede l'autenticazione per eseguire i comandi di amministrazione, i malintenzionati potrebbero essere in grado di eseguire un codice arbitrario. Soluzione: configura Redis in modo che richieda l'autenticazione.	2021 A01, A05 2017 A5 e A6
SOLR_FILE_EXPOSED	L'autenticazione non è abilitata in Apache Solr, un server di ricerca open source. Quando Apache Solr non richiede l'autenticazione, un utente malintenzionato può creare direttamente una richiesta per abilitare una configurazione specifica e, infine, implementare una contraffazione di richieste lato server (SSRF) o leggere file arbitrari. Soluzione: esegui l'upgrade a versioni alternative di Apache Solr.	2021 A07 e A10 2017 A2
SOLR_RCE	Le versioni 5.0.0 di Apache Solr e Apache Solr 8.3.1 sono vulnerabili all'esecuzione di codice remoto tramite VelocityResponseWriter se params.resource.loader.enabled è impostato su true. In questo modo gli utenti malintenzionati possono creare un parametro che contiene un modello Velocity dannoso. Soluzione: esegui l'upgrade a versioni alternative di Apache Solr.	2021 A06 2017 A9
STRUTS_RCE Questa categoria include tre vulnerabilità in Apache Struts. Più risultati di questo tipo possono indicare più di una vulnerabilità.	Le versioni di Apache Struts precedenti alla 2.3.32 e 2.5.x prima della 2.5.10.1 sono vulnerabili all'esecuzione di codice remoto. La vulnerabilità può essere attivata da un utente malintenzionato non autenticato che fornisce un'intestazione Content-Type creata. Soluzione: installa una versione alternativa di Apache Struts.	2021 A06 2017 A9
	Il plug-in REST nelle versioni da 2.1.1 a 2.3.x di Apache Struts precedenti alla 2.3.34 e 2.5.x prima della 2.5.13 sono vulnerabili all'esecuzione di codice remoto durante la deserializzazione dei payload XML creati. Soluzione: installa una versione alternativa di Apache Struts.	2021 A06, A08 2017 A8 e A9
	Le versioni da 2.3 a 2.3.34 e da 2.5 a 2.5.16 di Apache Struts sono vulnerabili all'esecuzione di codice remoto quando alwaysSelectFullNamespace è impostato su true ed esistono determinate altre configurazioni di azioni. Soluzione: installa la versione 2.3.35 o 2.5.17.	2021 A06 2017 A9
TOMCAT_FILE_DISCLOSURE	Apache Tomcat versioni 9.x prima della 9.0.31, 8.x prima della 8.5.51, 7.x prima della 7.0.100 e tutte le versioni 6.x sono vulnerabili alla divulgazione del codice sorgente e della configurazione tramite un connettore Apache JServ esposto. In alcuni casi, viene utilizzato per eseguire l'esecuzione di codice remoto se è consentito il caricamento di file. Soluzione: esegui l'upgrade a versioni alternative di Apache Tomcat.	2021 A06 2017 A3 e A9
VBULLETIN_RCE	I server vBulletin che eseguono le versioni dalla 5.0.0 alla 5.5.4 sono vulnerabili all'esecuzione di codice remoto. Questa vulnerabilità può essere sfruttata da un utente malintenzionato non autenticato che utilizza un parametro di query in una richiesta routestring. Soluzione: esegui l'upgrade a versioni alternative di VMware vCenter Server.	2021 A03 e A06 2017 A1 e A9
VCENTER_RCE	VMware vCenter Server 7.x prima della 7.0 U1c, 6.7 prima della 6.7 U3l e 6.5 prima della 6.5 U3n sono vulnerabili all'esecuzione di codice remoto. Questa vulnerabilità può essere attivata da un utente malintenzionato che carica un file Java Server Pages creato in una directory accessibile dal web e attiva l'esecuzione di tale file. Soluzione: esegui l'upgrade a versioni alternative di VMware vCenter Server.	2021 A06 2017 A9
WEBLOGIC_RCE	Alcune versioni del prodotto Oracle WebLogic Server di Oracle Fusion Middleware (componente: Console) contengono una vulnerabilità di esecuzione di codice remoto, incluse le versioni 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 e 14.1.1.0.0. Questa vulnerabilità è correlata a CVE-2020-14750, CVE-2020-14882, CVE-2020-14883. Per maggiori informazioni, consulta CVE-2020-14883. Soluzione: per informazioni sulle patch, consulta Avviso sull'aggiornamento delle patch critiche di Oracle - Ottobre 2020.	2021 A06, A07 2017 A2 e A9

Risultati del motore per suggerimenti IAM

Solo livello Premium: questa funzionalità è disponibile solo con il livello Premium di Security Command Center.

Nella tabella seguente sono elencati i risultati di Security Command Center generati dal motore per suggerimenti IAM.

Nota: i risultati del motore per suggerimenti IAM non sono disponibili con le attivazioni a livello di progetto di Security Command Center.

Ogni risultato del motore per suggerimenti IAM contiene suggerimenti specifici per rimuovere o sostituire un ruolo che include autorizzazioni eccessive da un'entità nel tuo ambiente Google Cloud.

I risultati generati dal motore per suggerimenti IAM corrispondono ai suggerimenti visualizzati nella console Google Cloud nella pagina IAM del progetto, della cartella o dell'organizzazione interessati.

Per ulteriori informazioni sull'integrazione del motore per suggerimenti IAM con Security Command Center, consulta Origini di sicurezza.

Risultati del motore per suggerimenti IAM

Rilevatore	Riepilogo
IAM role has excessive permissions Nome categoria nell'API: IAM_ROLE_HAS_EXCESSIVE_PERMISSIONS	Descrizione da trovare: il motore per suggerimenti IAM ha rilevato un account di servizio con uno o più ruoli IAM che concedono autorizzazioni eccessive all'account utente. Livello di prezzo: Premium Asset supportati: google.cloud.resourcemanager.Project google.cloud.resourcemanager.Folder google.cloud.resourcemanager.Organization Correggi questo risultato : Utilizza il motore per suggerimenti IAM per applicare la correzione consigliata per questo risultato seguendo questi passaggi: Nella sezione Passaggi successivi dei dettagli del risultato nella console Google Cloud, copia e incolla l'URL della pagina IAM nella barra degli indirizzi del browser e premi Invio. Viene caricata la pagina IAM. Nella parte superiore della pagina IAM, sul lato destro, fai clic su Visualizza i suggerimenti nella tabella. I consigli vengono visualizzati in una tabella. Nella colonna Approfondimenti sulla sicurezza, fai clic su un suggerimento relativo alle autorizzazioni in eccesso. Si apre il riquadro dei dettagli dei consigli. Esamina il consiglio relativo alle azioni che puoi intraprendere per risolvere il problema. Fai clic su Applica. Una volta risolto il problema, il motore per suggerimenti IAM aggiorna lo stato del risultato impostandolo su INACTIVE entro 24 ore.
Service agent role replaced with basic role Nome categoria nell'API: SERVICE_AGENT_ROLE_REPLACED_WITH_BASIC_ROLE	Ricerca della descrizione: il motore per suggerimenti IAM ha rilevato che il ruolo IAM predefinito originale concesso a un agente di servizio è stato sostituito con uno dei ruoli IAM di base: Proprietario, Editor o Visualizzatore. I ruoli di base sono ruoli legacy eccessivamente permissivi e non devono essere concessi agli agenti di servizio. Livello di prezzo: Premium Asset supportati: google.cloud.resourcemanager.Project google.cloud.resourcemanager.Folder google.cloud.resourcemanager.Organization Correggi questo risultato : Utilizza il motore per suggerimenti IAM per applicare la correzione consigliata per questo risultato seguendo questi passaggi: Nella sezione Passaggi successivi dei dettagli del risultato nella console Google Cloud, copia e incolla l'URL della pagina IAM nella barra degli indirizzi del browser e premi Invio. Viene caricata la pagina IAM. Nella parte superiore della pagina IAM, sul lato destro, fai clic su Visualizza i suggerimenti nella tabella. I consigli vengono visualizzati in una tabella. Nella colonna Approfondimenti sulla sicurezza, fai clic su un'autorizzazione relativa ad autorizzazioni in eccesso. Si apre il riquadro dei dettagli dei consigli. Esamina le autorizzazioni in eccesso. Fai clic su Applica. Una volta risolto il problema, il motore per suggerimenti IAM aggiorna lo stato del risultato impostandolo su INACTIVE entro 24 ore.
Service agent granted basic role Nome categoria nell'API: SERVICE_AGENT_GRANTED_BASIC_ROLE	Ricerca della descrizione: il motore per suggerimenti IAM ha rilevato in IAM che a un agente di servizio è stato concesso uno dei ruoli IAM di base: Proprietario, Editor o Visualizzatore. I ruoli di base sono ruoli legacy eccessivamente permissivi e non devono essere concessi agli agenti di servizio. Livello di prezzo: Premium Asset supportati: google.cloud.resourcemanager.Project google.cloud.resourcemanager.Folder google.cloud.resourcemanager.Organization Correggi questo risultato : Utilizza il motore per suggerimenti IAM per applicare la correzione consigliata per questo risultato seguendo questi passaggi: Nella sezione Passaggi successivi dei dettagli del risultato nella console Google Cloud, copia e incolla l'URL della pagina IAM nella barra degli indirizzi del browser e premi Invio. Viene caricata la pagina IAM. Nella parte superiore della pagina IAM, sul lato destro, fai clic su Visualizza i suggerimenti nella tabella. I consigli vengono visualizzati in una tabella. Nella colonna Approfondimenti sulla sicurezza, fai clic su un'autorizzazione relativa ad autorizzazioni in eccesso. Si apre il riquadro dei dettagli dei consigli. Esamina le autorizzazioni in eccesso. Fai clic su Applica. Una volta risolto il problema, il motore per suggerimenti IAM aggiorna lo stato del risultato impostandolo su INACTIVE entro 24 ore.
Unused IAM role Nome categoria nell'API: UNUSED_IAM_ROLE	Come trovare la descrizione: il motore per suggerimenti IAM ha rilevato un account utente con un ruolo IAM che non è stato utilizzato negli ultimi 90 giorni. Livello di prezzo: Premium Asset supportati: google.cloud.resourcemanager.Project google.cloud.resourcemanager.Folder google.cloud.resourcemanager.Organization Correggi questo risultato : Utilizza il motore per suggerimenti IAM per applicare la correzione consigliata per questo risultato seguendo questi passaggi: Nella sezione Passaggi successivi dei dettagli del risultato nella console Google Cloud, copia e incolla l'URL della pagina IAM nella barra degli indirizzi del browser e premi Invio. Viene caricata la pagina IAM. Nella parte superiore della pagina IAM, sul lato destro, fai clic su Visualizza i suggerimenti nella tabella. I consigli vengono visualizzati in una tabella. Nella colonna Approfondimenti sulla sicurezza, fai clic su un'autorizzazione relativa ad autorizzazioni in eccesso. Si apre il riquadro dei dettagli dei consigli. Esamina le autorizzazioni in eccesso. Fai clic su Applica. Una volta risolto il problema, il motore per suggerimenti IAM aggiorna lo stato del risultato impostandolo su INACTIVE entro 24 ore.

Risultati del servizio Security posture

Solo livello Premium: questa funzionalità è disponibile solo con il livello Premium di Security Command Center.

Nella tabella seguente sono elencati i risultati di Security Command Center generati dal servizio della postura di sicurezza.

Ogni risultato del servizio della postura di sicurezza identifica un'istanza di deviazione dalla postura di sicurezza definita.

Risultati postura di sicurezza

Risultato	Riepilogo
SHA Canned Module Drifted Nome categoria nell'API: SECURITY_POSTURE_DETECTOR_DRIFT	Descrizione dello stato di sicurezza: il servizio della postura di sicurezza ha rilevato una modifica a un rilevatore di Security Health Analytics che si è verificata al di fuori di un aggiornamento della postura. Livello di prezzo: Premium Correggi questo risultato : Questo risultato richiede che accetti la modifica o ripristini la modifica in modo che le impostazioni del rilevatore nella tua postura corrispondano al tuo ambiente. Sono disponibili due opzioni per risolvere questo risultato: aggiornare il rilevatore di Security Health Analytics oppure aggiornare il deployment della postura e della postura. Per ripristinare la modifica, aggiorna il rilevatore di Security Health Analytics nella console Google Cloud. Per le istruzioni, vedi Attivare e disattivare i rilevatori. Per accettare la modifica, completa i seguenti passaggi: Aggiorna il file posture.yaml con la modifica. Esegui il comando gcloud scc postures update. Per istruzioni, vedi Aggiornare una postura. Esegui il deployment della postura aggiornata con il nuovo ID revisione. Per le istruzioni, consulta Aggiornare il deployment di una postura.
SHA Custom Module Drifted Nome categoria nell'API: SECURITY_POSTURE_DETECTOR_DRIFT	Descrizione dello stato di sicurezza:il servizio della postura di sicurezza ha rilevato una modifica in un modulo personalizzato di Security Health Analytics che si è verificata al di fuori di un aggiornamento della postura. Livello di prezzo: Premium Correggi questo risultato : Questo risultato richiede che accetti la modifica o ripristini la modifica in modo che le impostazioni del modulo personalizzato nella tua postura e nel tuo ambiente corrispondano. Sono disponibili due opzioni per risolvere questo risultato: aggiornare il modulo personalizzato Security Health Analytics oppure aggiornare il deployment della postura e della postura. Per ripristinare la modifica, aggiorna il modulo personalizzato Security Health Analytics nella console Google Cloud. Per le istruzioni, consulta Aggiornare un modulo personalizzato. Per accettare la modifica, completa i seguenti passaggi: Aggiorna il file posture.yaml con la modifica. Esegui il comando gcloud scc postures update. Per istruzioni, vedi Aggiornare una postura. Esegui il deployment della postura aggiornata con il nuovo ID revisione. Per le istruzioni, consulta Aggiornare il deployment di una postura.
SHA Custom Module Deleted Nome categoria nell'API: SECURITY_POSTURE_DETECTOR_DELETE	Descrizione dello stato di sicurezza: il servizio della postura di sicurezza ha rilevato che un modulo personalizzato di Security Health Analytics è stato eliminato. Questa eliminazione si è verificata al di fuori di un aggiornamento della postura. Livello di prezzo: Premium Correggi questo risultato : Questo risultato richiede che accetti la modifica o ripristini la modifica in modo che le impostazioni del modulo personalizzato nella tua postura e nel tuo ambiente corrispondano. Sono disponibili due opzioni per risolvere questo risultato: aggiornare il modulo personalizzato Security Health Analytics oppure aggiornare il deployment della postura e della postura. Per ripristinare la modifica, aggiorna il modulo personalizzato Security Health Analytics nella console Google Cloud. Per le istruzioni, consulta Aggiornare un modulo personalizzato. Per accettare la modifica, completa i seguenti passaggi: Aggiorna il file posture.yaml con la modifica. Esegui il comando gcloud scc postures update. Per istruzioni, vedi Aggiornare una postura. Esegui il deployment della postura aggiornata con il nuovo ID revisione. Per le istruzioni, consulta Aggiornare il deployment di una postura.
Org Policy Canned Constraint Drifted Nome categoria nell'API: SECURITY_POSTURE_POLICY_DRIFT	Descrizione della postura: il servizio della postura di sicurezza ha rilevato una modifica a un criterio dell'organizzazione che si è verificata al di fuori di un aggiornamento della postura. Livello di prezzo: Premium Correggi questo risultato : Questo risultato richiede che accetti la modifica o ripristini la modifica in modo che le definizioni dei criteri dell'organizzazione nella tua postura e nel tuo ambiente corrispondano. Sono disponibili due opzioni per risolvere questo risultato: puoi aggiornare il criterio dell'organizzazione oppure aggiornare il deployment della postura e della postura. Per ripristinare la modifica, aggiorna il criterio dell'organizzazione nella console Google Cloud. Per le istruzioni, vedi Creazione e modifica dei criteri. Per accettare la modifica, completa i seguenti passaggi: Aggiorna il file posture.yaml con la modifica. Esegui il comando gcloud scc postures update. Per istruzioni, vedi Aggiornare una postura. Esegui il deployment della postura aggiornata con il nuovo ID revisione. Per le istruzioni, consulta Aggiornare il deployment di una postura.
Org Policy Canned Constraint Deleted Nome categoria nell'API: SECURITY_POSTURE_POLICY_DELETE	Descrizione del risultato: il servizio della postura di sicurezza ha rilevato che un criterio dell'organizzazione è stato eliminato. Questa eliminazione si è verificata al di fuori di un aggiornamento della postura. Livello di prezzo: Premium Correggi questo risultato : Questo risultato richiede che accetti la modifica o ripristini la modifica in modo che le definizioni dei criteri dell'organizzazione nella tua postura e nel tuo ambiente corrispondano. Sono disponibili due opzioni per risolvere questo risultato: puoi aggiornare il criterio dell'organizzazione oppure aggiornare il deployment della postura e della postura. Per ripristinare la modifica, aggiorna il criterio dell'organizzazione nella console Google Cloud. Per le istruzioni, vedi Creazione e modifica dei criteri. Per accettare la modifica, completa i seguenti passaggi: Aggiorna il file posture.yaml con la modifica. Esegui il comando gcloud scc postures update. Per istruzioni, vedi Aggiornare una postura. Esegui il deployment della postura aggiornata con il nuovo ID revisione. Per le istruzioni, consulta Aggiornare il deployment di una postura.
Org Policy Custom Constraint Drifted Nome categoria nell'API: SECURITY_POSTURE_POLICY_DRIFT	Descrizione della postura di sicurezza: il servizio della postura di sicurezza ha rilevato una modifica a un criterio dell'organizzazione personalizzato che si è verificata al di fuori di un aggiornamento della postura. Livello di prezzo: Premium Correggi questo risultato : Questo risultato richiede che accetti la modifica o ripristini la modifica in modo che le definizioni dei criteri personalizzati dell'organizzazione nella tua postura e nel tuo ambiente corrispondano. Sono disponibili due opzioni per risolvere questo risultato: puoi aggiornare il criterio dell'organizzazione personalizzato oppure aggiornare il deployment della postura e della postura. Per ripristinare la modifica, aggiorna il criterio dell'organizzazione personalizzato nella console Google Cloud. Per le istruzioni, consulta Aggiornare un vincolo personalizzato. Per accettare la modifica, completa i seguenti passaggi: Aggiorna il file posture.yaml con la modifica. Esegui il comando gcloud scc postures update. Per istruzioni, vedi Aggiornare una postura. Esegui il deployment della postura aggiornata con il nuovo ID revisione. Per le istruzioni, consulta Aggiornare il deployment di una postura.
Org Policy Custom Constraint Deleted Nome categoria nell'API: SECURITY_POSTURE_POLICY_DELETE	Descrizione in corso: Il servizio della postura di sicurezza ha rilevato che è stato eliminato un criterio dell'organizzazione personalizzato. Questa eliminazione si è verificata al di fuori di un aggiornamento della postura. Livello di prezzo: Premium Correggi questo risultato : Questo risultato richiede che accetti la modifica o ripristini la modifica in modo che le definizioni dei criteri personalizzati dell'organizzazione nella tua postura e nel tuo ambiente corrispondano. Sono disponibili due opzioni per risolvere questo risultato: puoi aggiornare il criterio dell'organizzazione personalizzato oppure aggiornare il deployment della postura e della postura. Per ripristinare la modifica, aggiorna il criterio dell'organizzazione personalizzato nella console Google Cloud. Per le istruzioni, consulta Aggiornare un vincolo personalizzato. Per accettare la modifica, completa i seguenti passaggi: Aggiorna il file posture.yaml con la modifica. Esegui il comando gcloud scc postures update. Per istruzioni, vedi Aggiornare una postura. Esegui il deployment della postura aggiornata con il nuovo ID revisione. Per le istruzioni, consulta Aggiornare il deployment di una postura.

VM Manager

VM Manager è una suite di strumenti utilizzabili per gestire sistemi operativi per grandi parchi di macchine virtuali (VM) che eseguono Windows e Linux su Compute Engine.

Se abiliti VM Manager con Security Command Center Premium a livello di organizzazione, VM Manager scrive i risultati dei suoi report sulle vulnerabilità, che sono in anteprima, in Security Command Center. I report identificano le vulnerabilità nei sistemi operativi installati sulle VM, tra cui Vulnerabilità ed esposizioni comuni (CVE).

Per utilizzare VM Manager con attivazioni a livello di progetto di Security Command Center Premium, attiva Security Command Center Standard nell'organizzazione padre.

I report sulle vulnerabilità non sono disponibili per Security Command Center Standard.

I risultati semplificano il processo di utilizzo della funzionalità di conformità alle patch di VM Manager, che è in anteprima. La funzionalità consente di eseguire la gestione delle patch a livello di organizzazione per tutti i progetti.

La gravità dei risultati di vulnerabilità ricevuti da VM Manager è sempre CRITICAL o HIGH.

Risultati di VM Manager

Anteprima

Questa funzionalità è soggetta ai "Termini delle Offerte pre-GA" nella sezione Termini generali del servizio dei Termini specifici dei servizi. Le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per saperne di più, consulta le descrizioni della fase di lancio.

Tutte le vulnerabilità di questo tipo sono correlate ai pacchetti del sistema operativo installati nelle VM di Compute Engine supportate.

Tabella 24. Report sulle vulnerabilità di VM Manager

Rilevatore	Riepilogo	Impostazioni di scansione degli asset	Standard di conformità
OS vulnerability Nome categoria nell'API: OS_VULNERABILITY	Descrizione originale: VM Manager ha rilevato una vulnerabilità nel pacchetto del sistema operativo installato per una VM di Compute Engine. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Instance Correggi questo risultato	I report sulle vulnerabilità di VM Manager illustrano in dettaglio le vulnerabilità nei pacchetti del sistema operativo installati per le VM di Compute Engine, incluse le Vulnerabilità ed esposizioni comuni (CVE). Per un elenco completo dei sistemi operativi supportati, consulta Dettagli del sistema operativo. I risultati vengono visualizzati in Security Command Center poco dopo il rilevamento delle vulnerabilità. I report sulle vulnerabilità in VM Manager vengono generati come segue: Per la maggior parte delle vulnerabilità nel pacchetto del sistema operativo installato, l'API OS Config genera un report sulle vulnerabilità entro pochi minuti dalla modifica. Per le CVE, l'API OS Config genera il report sulle vulnerabilità entro 3-4 ore dalla pubblicazione delle CVE nel sistema operativo.

Correzione dei risultati di VM Manager

Un risultato OS_VULNERABILITY indica che VM Manager ha trovato una vulnerabilità nei pacchetti del sistema operativo installati in una VM di Compute Engine.

Per risolvere il problema:

1. Vai alla pagina Risultati di Security Command Center.

   Vai a Risultati

2. Se necessario, seleziona l'organizzazione o il progetto Google Cloud.

   

3. Nella sottosezione Categoria di Filtri rapidi, seleziona Vulnerabilità del sistema operativo. I risultati della query dei risultati vengono filtrati per mostrare solo i risultati relativi alle vulnerabilità del sistema operativo.

4. Nella colonna Categoria dell'elenco Risultati query dei risultati, fai clic sul nome della categoria del risultato che stai correggendo. Si apre la pagina dei dettagli della vulnerabilità del sistema operativo.

5. Fai clic sulla scheda JSON. Viene visualizzato il codice JSON per questo risultato.

6. Copia il valore del campo externalUri. Questo valore è l'URI della pagina Informazioni sul sistema operativo dell'istanza VM di Compute Engine in cui è installato il sistema operativo vulnerabile.

7. Applica tutte le patch appropriate per il sistema operativo mostrato nella sezione Informazioni di base. Per istruzioni sul deployment delle patch, consulta Creare job di applicazione patch.

Scopri di più sulle impostazioni di analisi e sugli asset supportati di questo tipo di risultato.

Esamina i risultati nella console Google Cloud

Usa la procedura seguente per esaminare i risultati nella console Google Cloud:

1. Vai alla pagina Risultati di Security Command Center nella console Google Cloud.

   Vai a Risultati

2. Se necessario, seleziona l'organizzazione o il progetto Google Cloud.

   

3. Nella sezione Filtri rapidi, nella sottosezione Nome visualizzato dell'origine, seleziona VM Manager.

   La tabella viene compilata con i risultati di VM Manager.

4. Per visualizzare i dettagli di un risultato specifico, fai clic sul nome del risultato sotto Category. Il riquadro dei dettagli del risultato si apre e mostra la scheda Riepilogo.

5. Nella scheda Riepilogo, esamina le informazioni sul risultato, comprese quelle su ciò che è stato rilevato, la risorsa interessata e altro ancora.

Per informazioni sulla correzione dei risultati di VM Manager, consulta Correzione dei risultati di VM Manager.

Disattiva i risultati di VM Manager

Potresti voler nascondere alcuni o tutti i risultati di VM Manager in Security Command Center se non sono pertinenti ai tuoi requisiti di sicurezza.

Puoi nascondere i risultati di VM Manager creando una regola di disattivazione e aggiungendo attributi di query specifici per i risultati di VM Manager che vuoi nascondere.

Per creare una regola di disattivazione per VM Manager utilizzando la console Google Cloud:

1. Nella console Google Cloud, vai alla pagina Risultati di Security Command Center.

   Vai a Risultati

2. Se necessario, seleziona l'organizzazione o il progetto Google Cloud.

   

3. Fai clic su Opzioni di disattivazione, poi seleziona Crea regola di disattivazione.

4. Inserisci un ID regola di disattivazione. Questo valore è obbligatorio.

5. Inserisci una descrizione della regola di disattivazione che fornisca il contesto sul motivo per cui i risultati vengono disattivati. Questo valore è facoltativo, ma consigliato.

6. Conferma l'ambito della regola di disattivazione controllando il valore Risorsa padre.

7. Nel campo Query risultati, crea le istruzioni di query facendo clic su Aggiungi filtro. In alternativa, puoi digitare le istruzioni di query manualmente.

   1. Nella finestra di dialogo Seleziona filtro, seleziona Ricerca > Nome visualizzato dell'origine > VM Manager.
   2. Fai clic su Applica.

   3. Ripeti finché la query di disattivazione non contiene tutti gli attributi che vuoi nascondere.

      Ad esempio, se vuoi nascondere ID CVE specifici nei risultati di vulnerabilità di VM Manager, seleziona Vulnerabilità > ID CVE, quindi seleziona gli ID CVE che vuoi nascondere.

      La query dei risultati è simile alla seguente:

      

8. Fai clic su Visualizza l'anteprima dei risultati corrispondenti.

   Una tabella mostra i risultati che corrispondono alla tua query.

9. Fai clic su Salva.

Sensitive Data Protection

Questa sezione descrive i risultati di vulnerabilità generati da Sensitive Data Protection, gli standard di conformità supportati e come risolvere i problemi riscontrati.

Sensitive Data Protection invia anche i risultati osservabili a Security Command Center. Per maggiori informazioni sui risultati dell'osservazione e sulla protezione dei dati sensibili, consulta Sensitive Data Protection.

Per informazioni su come visualizzare i risultati, consulta Esaminare i risultati di Sensitive Data Protection nella console Google Cloud.

Il servizio di rilevamento di Sensitive Data Protection consente di determinare se le variabili di ambiente di Cloud Functions contengono secret, come password, token di autenticazione e credenziali Google Cloud. Per un elenco completo dei tipi di secret rilevati da Sensitive Data Protection in questa funzionalità, vedi Credenziali e secret.

Tabella 25. Risultati e correzioni di Sensitive Data Protection

Tipo di risultato	Descrizione del risultato	Standard di conformità
Secrets in environment variables Nome della categoria nell'API: SECRETS_IN_ENVIRONMENT_VARIABLES	Questo rilevatore verifica la presenza di secret nelle variabili di ambiente di Cloud Functions. Soluzione: rimuovi il secret dalla variabile di ambiente e archivialo in Secret Manager.	CIS GCP Foundation 1.3: 1.18 CIS GCP Foundation 2.0: 1,18

Dal momento in cui attivi il rilevamento dei secret in Sensitive Data Protection, potrebbero essere necessarie fino a 12 ore per il completamento dell'analisi iniziale delle variabili di ambiente e la visualizzazione dei risultati relativi a "Secret nelle variabili di ambiente" in Security Command Center. Dopodiché, Sensitive Data Protection analizza le variabili di ambiente ogni 24 ore. In pratica, le scansioni possono essere eseguite con maggiore frequenza.

Per abilitare questo rilevatore, consulta Segnalare i secret nelle variabili di ambiente a Security Command Center nella documentazione di Sensitive Data Protection.

Policy Controller

Policy Controller consente l'applicazione, anche forzata, dei criteri programmabili per i cluster Kubernetes registrati come membri del parco risorse. Questi criteri fungono da barriere e possono aiutarti con la gestione di best practice, sicurezza e conformità dei tuoi cluster e del tuo parco risorse.

In questa pagina non sono elencati tutti i singoli risultati di Policy Controller, ma le informazioni sui risultati della classe Misconfiguration che Policy Controller scrive in Security Command Center corrispondono alle violazioni dei cluster documentate per ogni bundle di Policy Controller. La documentazione per i singoli tipi di rilevamento di Policy Controller è disponibile nei seguenti bundle di Policy Controller:

• CIS Kubernetes Benchmark v1.5.1, un insieme di suggerimenti per la configurazione di Kubernetes al fine di supportare una solida strategia di sicurezza. Puoi anche visualizzare informazioni su questo bundle nel repository GitHub per cis-k8s-v1.5.1.
• PCI-DSS v3.2.1, un bundle che valuta la conformità delle risorse del cluster rispetto ad alcuni aspetti dello standard PCI-DSS (Payment Card Industry Data Security Standard) v3.2.1. Puoi anche visualizzare informazioni su questo bundle nel repository GitHub per pci-dss-v3.

Questa funzionalità non è compatibile con i perimetri di servizio dei Controlli di servizio VPC intorno all'API Stackdriver.

Ricerca e correzione dei risultati di Policy Controller

Le categorie di Policy Controller corrispondono ai nomi dei vincoli elencati nella documentazione dei bundle di Policy Controller. Ad esempio, un risultato di require-namespace-network-policies indica che uno spazio dei nomi viola il criterio secondo cui ogni spazio dei nomi in un cluster ha un NetworkPolicy.

Per correggere un risultato, segui questi passaggi:

1. Vai alla pagina Risultati di Security Command Center.

   Vai a Risultati

2. Se necessario, seleziona l'organizzazione o il progetto Google Cloud.

   

3. Nella sottosezione Categoria di Filtri rapidi, seleziona il nome del Policy Controller trovato da correggere. I risultati della query Risultati vengono filtrati per mostrare solo i risultati per quella categoria.

   Suggerimento: per trovare tutti i risultati relativi a Policy Controller, nella sottosezione Nome visualizzato dell'origine di Filtri rapidi, seleziona Policy Controller su cluster.

4. Nella colonna Categoria dell'elenco Risultati query dei risultati, fai clic sul nome della categoria del risultato che stai correggendo. Si apre la pagina dei dettagli del risultato.

5. Nella scheda Riepilogo, esamina le informazioni sul risultato, comprese quelle su ciò che è stato rilevato, la risorsa interessata e altro ancora.

6. Nell'intestazione Passaggi successivi, esamina le informazioni su come risolvere il problema, inclusi i link alla documentazione di Kubernetes sul problema.

Passaggi successivi

• Scopri come utilizzare Security Health Analytics.
• Scopri come utilizzare Web Security Scanner.
• Scopri come utilizzare Rapid Vulnerability Detection.
• Leggi i suggerimenti per correggere i risultati di Security Health Analytics e correggere i risultati di Web Security Scanner.