Os detectores Rapid Vulnerability Detection, Security Health Analytics e Web Security Scanner geram descobertas de vulnerabilidades que ficam disponíveis no Security Command Center. Quando são ativados no Security Command Center, os serviços integrados, como o VM Manager, também geram descobertas de vulnerabilidades.
Sua capacidade de visualizar e editar as descobertas é determinada pelos papéis e permissões do Identity and Access Management (IAM) atribuídos a você. Para mais informações sobre os papéis do IAM no Security Command Center, consulte Controle de acesso.
Detectores e compliance
O Security Command Center monitora sua conformidade com detectores que são mapeados para os controles de uma ampla variedade de padrões de segurança.
Para cada padrão de segurança compatível, o Security Command Center verifica um subconjunto dos controles. Nos controles marcados, o Security Command Center mostra quantos estão sendo aprovados. Para os controles que não estão sendo aprovados, o Security Command Center mostra uma lista de descobertas que descrevem as falhas de controle.
O CIS analisa e certifica os mapeamentos dos detectores do Security Command Center para cada versão compatível do CIS Google Cloud Foundations Benchmark. Outros mapeamentos de conformidade estão incluídos apenas para fins de referência.
O Security Command Center adiciona suporte a novas versões e padrões de comparação periodicamente. As versões mais antigas continuam com suporte, mas são descontinuadas. Recomendamos que você use o comparativo de mercado ou o padrão compatível mais recente disponível.
Com o serviço de postura de segurança, é possível mapear as políticas da organização e os detectores da Análise de integridade da segurança para os padrões e controles que se aplicam à sua empresa. Depois de criar uma postura de segurança, monitore as alterações no ambiente que possam afetar a conformidade da sua empresa.
Para mais informações sobre como gerenciar a conformidade, consulte Avaliar e relatar a conformidade com os padrões de segurança.
Padrões de segurança compatíveis com o Google Cloud
O Security Command Center mapeia os detectores do Google Cloud para um ou mais dos seguintes padrões de compliance:
- Controles do Centro de Segurança da Informação (CIS) 8.0
- Comparativo de mercado CIS do Google Cloud Computing Foundations v2.0.0, v1.3.0, v1.2.0, v1.1.0 e v1.0.0
- Comparativo de mercado CIS do Kubernetes v1.5.1
- Matriz de controles de nuvem (CCM) 4
- Lei de Portabilidade e Responsabilidade de Seguros de Saúde (HIPAA)
- Organização Internacional de Normalização (ISO) 27001, 2022 e 2013 (em inglês)
- Instituto Nacional de Padrões e Tecnologia (NIST) 800-53 R5 e R4 (em inglês)
- NIST CSF 1.0
- Open Web Application Security Project (OWASP) Top 10, 2021 e 2017
- Padrão de Segurança de Dados do Setor de Cartões de Pagamento (PCI DSS) 4.0 e 3.2.1
- Controles de sistema e organização (SOC, na sigla em inglês) 2 Critérios de Serviços Confiáveis (TSC, na sigla em inglês) de 2017
Padrões de segurança com suporte na AWS
O Security Command Center mapeia os detectores da Amazon Web Services (AWS) para um ou mais dos seguintes padrões de conformidade:
- CIS Amazon Web Services Foundations 2.0.0
- Controles do CIS 8.0
- CCM 4
- HIPAA
- ISO 27001 2022
- NIST 800-53 R5
- NIST CSF 1.0
- PCI DSS 4.0 e 3.2.1
- SOC 2 2017 TSC
Para instruções sobre como visualizar e exportar relatórios de compliance, consulte a seção Compliance em Como usar o Security Command Center no console do Google Cloud.
Como encontrar a desativação após a correção
Depois de corrigir uma descoberta de vulnerabilidade ou configuração incorreta, o
serviço do Security Command Center que detectou a descoberta define automaticamente
o estado dela como INACTIVE
na próxima vez que o serviço de detecção
verificar a descoberta. O tempo que o Security Command Center leva para definir uma
descoberta corrigida como INACTIVE
depende da programação da verificação que
detecta a descoberta.
Os serviços do Security Command Center também definem o estado de uma descoberta
de vulnerabilidade ou configuração incorreta como INACTIVE
quando uma verificação detecta que o
recurso afetado pela descoberta foi excluído.
Para mais informações sobre intervalos de verificação, consulte os seguintes tópicos:
- Tipos de verificações da Análise de integridade da segurança
- Latência e intervalo da verificação de Detecção rápida de vulnerabilidades
- Tipos de verificação do Web Security Scanner
Descobertas da análise de integridade de segurança
Os detectores do Security Health Analytics monitoram um subconjunto de recursos do Cloud Asset Inventory (CAI), recebendo notificações de alterações na política de gerenciamento de identidade e acesso (IAM, na sigla em inglês). Alguns detectores recuperam dados chamando diretamente as APIs do Google Cloud, conforme indicado em tabelas mais adiante nesta página.
Para mais informações sobre a Análise de integridade da segurança, programações de verificação e o suporte da Análise de integridade da segurança para detectores de módulo integrados e personalizados, consulte Visão geral da Análise de integridade da segurança.
As tabelas a seguir descrevem os detectores do Security Health Analytics, os recursos e os padrões de compliance compatíveis, as configurações usadas para verificações e os tipos de descobertas gerados. É possível filtrar as descobertas por vários atributos usando a página Vulnerabilidades do Security Command Center no console do Google Cloud.
Para instruções sobre como corrigir problemas e proteger seus recursos, consulte Como corrigir as descobertas da Análise de integridade da segurança.
Descobertas de vulnerabilidade da chave de API
O detector API_KEY_SCANNER
identifica vulnerabilidades relacionadas às
chaves de API usadas na implantação na nuvem.
Detector | Resumo | Configurações da verificação de recursos |
---|---|---|
API key APIs unrestricted
Nome da categoria na API: |
Como encontrar a descrição: há chaves de API sendo usadas muito amplamente. Para resolver isso, limite o uso da chave de API para permitir apenas as APIs necessárias ao aplicativo. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Recupera a propriedade
|
API key apps unrestricted
Nome da categoria na API: |
Como encontrar a descrição: há chaves de API sendo usadas de maneira irrestrita, permitindo o uso por qualquer aplicativo não confiável. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Recupera a
|
API key exists
Nome da categoria na API: |
Descrição da descoberta: um projeto está usando chaves de API em vez da autenticação padrão. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Recupera todas as chaves de API de um projeto.
|
API key not rotated
Nome da categoria na API: |
Como encontrar a descrição: a chave de API não é rotacionada há mais de 90 dias. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Recupera o carimbo de data/hora contido na
propriedade
|
Descobertas de vulnerabilidades do Inventário de recursos do Cloud
Todas as vulnerabilidades desse tipo de detector estão relacionadas às configurações do Inventário de recursos do Cloud e pertencem ao tipo CLOUD_ASSET_SCANNER
.
Detector | Resumo | Configurações da verificação de recursos |
---|---|---|
Cloud Asset API disabled
Nome da categoria na API: |
Descrição da descoberta: a captura de recursos do Google Cloud e políticas do IAM pelo Inventário de recursos do Cloud permite análise de segurança, rastreamento de alterações de recursos e auditoria de compliance. Recomendamos que o serviço do Inventário de recursos do Cloud seja ativado para todos os projetos. Esse detector requer configuração adicional para ativar Para ver instruções, consulte Ativar e desativar detectores. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se o serviço do Inventário de recursos do Cloud está ativado.
|
Calcular descobertas de vulnerabilidade de imagem
O detector COMPUTE_IMAGE_SCANNER
identifica vulnerabilidades relacionadas às
configurações de imagem do Google Cloud.
Detector | Resumo | Configurações da verificação de recursos |
---|---|---|
Public Compute image
Nome da categoria na API: |
Como encontrar a descrição: uma imagem do Compute Engine pode ser acessada publicamente. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance: Esta categoria de descoberta não está associada a nenhum controle padrão de compliance. |
Verifica a política de permissão de IAM nos metadados
de recursos para os membros
|
Descobertas de vulnerabilidade da instância do Compute
O detector COMPUTE_INSTANCE_SCANNER
identifica vulnerabilidades relacionadas às configurações da instância do Compute Engine.
Os detectores COMPUTE_INSTANCE_SCANNER
não informam as descobertas nas instâncias do Compute Engine criadas pelo GKE. Esses instâncias têm nomes que começam com "gke-", que os usuários não podem editar. Para proteger essas instâncias, consulte a seção de descobertas de vulnerabilidades
do contêiner.
Detector | Resumo | Configurações da verificação de recursos |
---|---|---|
Confidential Computing disabled
Nome da categoria na API: |
Como encontrar a descrição: a Computação confidencial está desativada em uma instância do Compute Engine. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a
propriedade
|
Compute project wide SSH keys allowed
Nome da categoria na API: |
Como encontrar a descrição: chaves SSH do projeto inteiro são usadas, permitindo o login em todas as instâncias do projeto. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica o objeto
|
Compute Secure Boot disabled
Nome da categoria na API: |
Como encontrar a descrição: esta VM protegida não tem a inicialização segura ativada. O uso da Inicialização segura ajuda a proteger instâncias de máquina virtual contra ameaças avançadas, como rootkits e bootkits. Nível de preços: Premium Recursos compatíveis Padrões de compliance: Esta categoria de descoberta não está associada a nenhum controle padrão de compliance. |
Verifica a propriedade
|
Compute serial ports enabled
Nome da categoria na API: |
Como encontrar a descrição: as portas seriais de uma instância são ativadas, permitindo conexões com o console serial da instância. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica o objeto
|
Default service account used
Nome da categoria na API: |
Como encontrar a descrição: uma instância é configurada para usar a conta de serviço padrão. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Disk CMEK disabled
Nome da categoria na API: |
Como encontrar a descrição: os discos nesta VM não são criptografados com chaves de criptografia gerenciadas pelo cliente (CMEK). Esse detector requer configuração adicional para ativar Para ver instruções, consulte Ativar e desativar detectores. Nível de preços: Premium
Recursos compatíveis Padrões de compliance: Esta categoria de descoberta não está associada a nenhum controle padrão de compliance. |
Verifica o campo
|
Disk CSEK disabled
Nome da categoria na API: |
Descrição da descoberta: os discos nesta VM não são criptografados com chaves de criptografia fornecidas pelo cliente (CSEK). Esse detector requer configuração adicional para ativar Para mais instruções, consulte Detector de casos especiais. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica o campo
|
Full API access
Nome da categoria na API: |
Descrição da descoberta: uma instância é configurada para usar a conta de serviço padrão com acesso total a todas as APIs do Google Cloud. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Recupera o campo
|
HTTP load balancer
Nome da categoria na API: |
Como encontrar a descrição: uma instância usa um balanceador de carga configurado para usar um proxy HTTP de destino em vez de um proxy HTTPS de destino. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Determina se a propriedade
|
IP forwarding enabled
Nome da categoria na API: |
Descrição da descoberta: o encaminhamento de IP está ativado nas instâncias. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
OS login disabled
Nome da categoria na API: |
Encontrar descrição: o Login do SO está desativado nesta instância. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica o objeto
|
Public IP address
Nome da categoria na API: |
Como encontrar a descrição: uma instância tem um endereço IP público. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Shielded VM disabled
Nome da categoria na API: |
Encontrando descrição: a VM protegida está desativada nesta instância. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Weak SSL policy
Nome da categoria na API: |
Como encontrar a descrição: uma instância tem uma política de SSL fraca. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se
|
Descobertas da vulnerabilidade do contêiner
Todos esses tipos de localização estão relacionados às configurações de contêiner do GKE
e pertencem ao tipo de detector CONTAINER_SCANNER
.
Detector | Resumo | Configurações da verificação de recursos |
---|---|---|
Alpha cluster enabled
Nome da categoria na API: |
Como encontrar a descrição: os recursos do cluster Alfa estão ativados para um cluster do GKE. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Auto repair disabled
Nome da categoria na API: |
Como encontrar a descrição: o recurso de reparo automático de um cluster do GKE, que mantém os nós em estado íntegro e em execução, está desativado. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Auto upgrade disabled
Nome da categoria na API: |
Como encontrar a descrição: o recurso de upgrade automático de um cluster do GKE, que mantém clusters e pools de nós na versão estável mais recente do Kubernetes, está desativado. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Binary authorization disabled
Nome da categoria na API: |
Descrição da descoberta: a autorização binária está desativada no cluster do GKE ou a política correspondente está configurada para permitir a implantação de todas as imagens. Nível de preços: Premium
Recursos compatíveis Padrões de compliance: Esta categoria de descoberta não está associada a nenhum controle padrão de compliance. |
Verifica o seguinte:
|
Cluster logging disabled
Nome da categoria na API: |
Como encontrar a descrição: o Logging não está ativado para um cluster do GKE. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Cluster monitoring disabled
Nome da categoria na API: |
Como encontrar a descrição: o Monitoring está desativado nos clusters do GKE. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Cluster private Google access disabled
Nome da categoria na API: |
Como encontrar a descrição: hosts de cluster não estão configurados para usar apenas endereços IP internos privados para acessar as APIs do Google. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Cluster secrets encryption disabled
Nome da categoria na API: |
Como encontrar a descrição: a criptografia de secrets da camada de aplicativos está desativada em um cluster do GKE. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Cluster shielded nodes disabled
Nome da categoria na API: |
Como encontrar a descrição:: os nós protegidos do GKE não estão ativados para um cluster. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
COS not used
Nome da categoria na API: |
Como encontrar a descrição: as VMs do Compute Engine não estão usando o Container-Optimized OS projetado para executar contêineres do Docker no Google Cloud com segurança. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Integrity monitoring disabled
Nome da categoria na API: |
Como encontrar a descrição: o monitoramento de integridade está desativado para um cluster do GKE. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Intranode visibility disabled
Nome da categoria na API: |
Como encontrar a descrição: a visibilidade intranós é desativada para um cluster do GKE. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
IP alias disabled
Nome da categoria na API: |
Descrição da descoberta: um cluster do GKE foi criado com intervalos de IP de alias desativados. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se o campo
|
Legacy authorization enabled
Nome da categoria na API: |
Descrição da descoberta: a autorização legada está ativada em clusters do GKE. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Legacy metadata enabled
Nome da categoria na API: |
Como encontrar a descrição: metadados legados são ativados em clusters do GKE. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Master authorized networks disabled
Nome da categoria na API: |
Descrição da descrição: redes autorizadas do plano de controle não está ativado em clusters do GKE. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Network policy disabled
Nome da categoria na API: |
Como encontrar a descrição: a política de rede está desativada nos clusters do GKE. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica o campo
|
Nodepool boot CMEK disabled
Nome da categoria na API: |
Descrição da descoberta: os discos de inicialização neste pool de nós não são criptografados com chaves de criptografia gerenciadas pelo cliente (CMEK). Esse detector requer configuração adicional para ativar Para ver instruções, consulte Ativar e desativar detectores. Nível de preços: Premium
Recursos compatíveis Padrões de compliance: Esta categoria de descoberta não está associada a nenhum controle padrão de compliance. |
Verifica a propriedade
|
Nodepool secure boot disabled
Nome da categoria na API: |
Como encontrar a descrição: a Inicialização segura está desativada para um cluster do GKE. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Over privileged account
Nome da categoria na API: |
Descrição da descoberta: uma conta de serviço tem acesso excessivamente amplo ao projeto em um cluster. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Avalia a propriedade
|
Over privileged scopes
Nome da categoria na API: |
Descrição da localização: uma conta de serviço de nó tem escopos de acesso amplo. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se o escopo de acesso listado na
propriedade config.oauthScopes de um pool de nós
é limitado por uma conta de serviço:
https://www.googleapis.com/auth/devstorage.read_only ,
https://www.googleapis.com/auth/logging.write ,
ou https://www.googleapis.com/auth/monitoring .
|
Pod security policy disabled
Nome da categoria na API: |
Como encontrar a descrição: PodSecurityPolicy está desativada em um cluster do GKE. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Private cluster disabled
Nome da categoria na API: |
Descrição da descoberta: um cluster privado do GKE está desativado. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se o campo
|
Release channel disabled
Nome da categoria na API: |
Como encontrar a descrição: um cluster do GKE não está inscrito em um canal de lançamento. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Web UI enabled
Nome da categoria na API: |
Como encontrar a descrição: a IU da Web do GKE (painel) está ativada. Nível de preços: Premium or Standard
Recursos compatíveis Padrões de compliance:
|
Checks the
|
Workload Identity disabled
Nome da categoria na API: |
Como encontrar a descrição: a identidade da carga de trabalho está desativada em um cluster do GKE. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Descobertas de vulnerabilidades do Dataproc
As vulnerabilidades desse tipo de detector estão todas relacionadas ao Dataproc e pertencem ao
tipo de detector DATAPROC_SCANNER
.
Detector | Resumo | Configurações da verificação de recursos |
---|---|---|
Dataproc CMEK disabled
Nome da categoria na API: |
Descrição da descoberta: um cluster do Dataproc foi criado sem uma CMEK de configuração de criptografia. Com a CMEK, as chaves que você cria e gerencia no Cloud Key Management Service encapsulam as chaves que o Google Cloud usa para criptografar seus dados, oferecendo mais controle sobre o acesso a eles. Esse detector requer configuração adicional para ativar. Para ver instruções, consulte Ativar e desativar detectores. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se o campo
|
Dataproc image outdated
Nome da categoria na API: |
Como encontrar a descrição: um cluster do Dataproc foi criado com uma versão de imagem do Dataproc que é afetada por vulnerabilidades de segurança no utilitário Apache Log4j 2 (CVE-2021-44228 e CVE-2021-45046). Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance: Esta categoria de descoberta não está associada a nenhum controle padrão de compliance. |
Verifica se o campo
|
Descobertas de vulnerabilidade do conjunto de dados
As vulnerabilidades desse tipo de detector estão relacionadas às configurações
do conjunto de dados do BigQuery e pertencem ao tipo de detector DATASET_SCANNER
.
Detector | Resumo | Configurações da verificação de recursos |
---|---|---|
BigQuery table CMEK disabled
Nome da categoria na API: |
Como encontrar a descrição: uma tabela do BigQuery não está configurada para usar uma chave de criptografia gerenciada pelo cliente (CMEK). Esse detector requer configuração adicional para ativar Para ver instruções, consulte Ativar e desativar detectores. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se o campo
|
Dataset CMEK disabled
Nome da categoria na API: |
Como encontrar a descrição: um conjunto de dados do BigQuery não está configurado para usar uma CMEK padrão. Esse detector requer configuração adicional para ativar Para ver instruções, consulte Ativar e desativar detectores. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se o campo
|
Public dataset
Nome da categoria na API: |
Como encontrar a descrição: um conjunto de dados está configurado para ser aberto ao acesso público. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance:
|
Verifica a política de permissão de IAM nos metadados
de recursos para os membros
|
Descobertas de vulnerabilidade de DNS
As vulnerabilidades desse tipo de detector estão relacionadas às configurações do Cloud DNS
e pertencem ao tipo de detector DNS_SCANNER
.
Detector | Resumo | Configurações da verificação de recursos |
---|---|---|
DNSSEC disabled
Nome da categoria na API: |
Encontrando descrição: o DNSSEC está desativado para zonas do Cloud DNS. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se o campo
|
RSASHA1 for signing
Nome da categoria na API: |
Encontrando descrição: o RSASHA1 é usado para assinatura de chaves em zonas do Cloud DNS. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se o objeto
|
Descobertas de vulnerabilidades de firewall
As vulnerabilidades desse tipo de detector se relacionam com as configurações de firewall e
pertencem ao tipo de detector FIREWALL_SCANNER
.
Detector | Resumo | Configurações da verificação de recursos |
---|---|---|
Egress deny rule not set
Nome da categoria na API: |
Como encontrar a descrição: uma regra de negação de saída não é definida em um firewall. As regras de negação de saída precisam ser definidas para bloquear o tráfego de saída indesejado. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Firewall rule logging disabled
Nome da categoria na API: |
Encontrando descrição: o registro de regras de firewall está desativado. O registro de regras de firewall deve estar ativado para que seja possível auditar o acesso da rede Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Open Cassandra port
Nome da categoria na API: |
Como encontrar a descrição: um firewall está configurado para ter uma porta Cassandra aberta que permita o acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Open ciscosecure websm port
Nome da categoria na API: |
Descrição da descoberta: um firewall está configurado para ter uma porta CISCOSECURE_WEBSM aberta que permita acesso genérico. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Open directory services port
Nome da categoria na API: |
Como encontrar a descrição: um firewall está configurado para ter uma porta DIRECTORY_SERVICES aberta que permita o acesso genérico. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Open DNS port
Nome da categoria na API: |
Como encontrar a descrição: um firewall está configurado para ter uma porta DNS aberta que permita o acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Open elasticsearch port
Nome da categoria na API: |
Descrição da descoberta: um firewall está configurado para ter uma porta ELASTICSEARCH aberta que permita acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Open firewall
Nome da categoria na API: |
Como encontrar a descrição: um firewall está configurado para ser aberto ao acesso público. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance:
|
Verifica as propriedades
|
Open FTP port
Nome da categoria na API: |
Descrição da descoberta: um firewall está configurado para ter uma porta FTP aberta que permita o acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Open HTTP port
Nome da categoria na API: |
Como encontrar a descrição: um firewall está configurado para ter uma porta HTTP aberta que permite acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Open LDAP port
Nome da categoria na API: |
Descrição da descoberta: um firewall está configurado para ter uma porta LDAP aberta que permita o acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Open Memcached port
Nome da categoria na API: |
Como encontrar a descrição: um firewall está configurado para ter uma porta MEMCACHED aberta que permite acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Open MongoDB port
Nome da categoria na API: |
Descrição da descoberta: um firewall está configurado para ter uma porta MONGODB aberta que permita o acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Open MySQL port
Nome da categoria na API: |
Descrição da descoberta: um firewall está configurado para ter uma porta MYSQL que permita acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Open NetBIOS port
Nome da categoria na API: |
Descrição da descoberta: um firewall está configurado para ter uma porta NETBIOS aberta que permita o acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Open OracleDB port
Nome da categoria na API: |
Como encontrar a descrição: um firewall está configurado para ter uma porta ORACLEDB aberta que permita o acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Open pop3 port
Nome da categoria na API: |
Descrição da descoberta: um firewall está configurado para ter uma porta POP3 aberta que permita o acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Open PostgreSQL port
Nome da categoria na API: |
Descrição da descoberta: um firewall está configurado para ter uma porta PostgreSQL aberta que permita acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Open RDP port
Nome da categoria na API: |
Descrição da descoberta: um firewall está configurado para ter uma porta RDP aberta que permita o acesso genérico. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Open Redis port
Nome da categoria na API: |
Como encontrar a descrição: um firewall está configurado para ter uma porta REDIS aberta que permite acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Open SMTP port
Nome da categoria na API: |
Descrição da descoberta: um firewall está configurado para ter uma porta SMTP aberta que permita o acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Open SSH port
Nome da categoria na API: |
Como encontrar a descrição: um firewall está configurado para ter uma porta SSH aberta que permita o acesso genérico. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Open Telnet port
Nome da categoria na API: |
Descrição da descoberta: um firewall está configurado para ter uma porta TELNET aberta que permita o acesso genérico. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Descobertas da vulnerabilidade do IAM
As vulnerabilidades desse tipo de detector estão relacionadas à configuração do gerenciamento de identidade e acesso (IAM, na sigla em inglês)
e pertencem ao tipo de detector IAM_SCANNER
.
Detector | Resumo | Configurações da verificação de recursos |
---|---|---|
Access Transparency disabled
Nome da categoria na API: |
Descrição da descoberta: a Transparência no acesso do Google Cloud está desativada para sua organização. Registros de Transparência no acesso quando funcionários do Google Cloud acessam os projetos da sua organização para fornecer suporte. Ative a Transparência no acesso para registrar quem do Google Cloud está acessando suas informações, quando e por quê. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se sua organização tem a Transparência no acesso ativada.
|
Admin service account
Nome da categoria na API: |
Como encontrar a descrição: uma conta de serviço tem os privilégios de Administrador, Proprietário ou Editor. Esses papéis não devem ser atribuídos a contas de serviço criadas pelo usuário. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a política de permissão de IAM nos metadados do recurso em busca de qualquer conta de serviço criada pelo usuário (indicada pelo prefixo iam.gserviceaccount.com), que recebem
|
Essential Contacts Not Configured
Nome da categoria na API: |
Descrição da descoberta: sua organização não designou uma pessoa ou um grupo para receber notificações do Google Cloud sobre eventos importantes, como ataques, vulnerabilidades e incidentes de dados na organização do Google Cloud. Recomendamos designar como contato essencial uma ou mais pessoas ou grupos na sua organização de negócios. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se um contato foi especificado para as categorias de contato essencial a seguir:
|
KMS role separation
Nome da categoria na API: |
Como encontrar a descrição: a separação de tarefas não é aplicada e existe um usuário que tem um dos seguintes papéis do Cloud Key Management Service (Cloud KMS) ao mesmo tempo: Criptografador/Descriptografador de CryptoKey, Criptografador ou Descriptografador. Essa descoberta não está disponível para ativações no nível do projeto. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica as políticas de permissão do IAM nos metadados do recurso
e recupera os principais atribuídos a qualquer um dos seguintes
papéis ao mesmo tempo:
roles/cloudkms.cryptoKeyEncrypterDecrypter ,
roles/cloudkms.cryptoKeyEncrypter e
roles/cloudkms.cryptoKeyDecrypter ,
roles/cloudkms.signer ,
roles/cloudkms.signerVerifier ,
roles/cloudkms.publicKeyViewer .
|
Non org IAM member
Nome da categoria na API: |
Encontrando descrição: há um usuário que não está usando credenciais organizacionais. De acordo com o CIS GCP Foundations 1.0, atualmente apenas identidades com endereços de e-mail @gmail.com acionam esse detector. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance:
|
Compara os endereços de e-mail @gmail.com no campo
|
Open group IAM member
Nome da categoria na API: |
Descrição da descoberta: uma conta dos Grupos do Google que pode ser mesclada sem aprovação é usada como principal da política de permissão do IAM. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance: Esta categoria de descoberta não está associada a nenhum controle padrão de compliance. |
Verifica a política
de IAM nos metadados de
recursos para verificar se há vinculações
contendo um membro (principal) que tenha o prefixo group . Se o
grupo for aberto, o Security Health Analytics gerará essa descoberta.
|
Over privileged service account user
Nome da categoria na API: |
Como encontrar a descrição: um usuário tem o papel Usuário da conta de serviço ou Criador de token da conta de serviço para envolvidos no projeto, em vez de para uma conta de serviço específica. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a política de permissão do IAM nos metadados de
recursos para qualquer membro atribuído
roles/iam.serviceAccountUser ou
roles/iam.serviceAccountTokenCreator no
nível do projeto.
|
Primitive roles used
Nome da categoria na API: |
Descrição da descoberta: um usuário tem um destes papéis básicos:
Esses papéis são muito permissivos e não devem ser usados. Nível de preço: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a política de permissão do IAM nos metadados
do recurso para todos os principais com papel
|
Redis role used on org
Nome da categoria na API: |
Descrição da descoberta: um papel do IAM do Redis é atribuído ao nível da organização ou da pasta. Essa descoberta não está disponível para ativações no nível do projeto. Nível de preços: Premium
Recursos compatíveis
Padrões de compliance:
|
Verifica a política de permissão do IAM nos metadados de
recursos para membros atribuídos a
|
Service account role separation
Nome da categoria na API: |
Como encontrar a descrição: um usuário recebeu os papéis Administrador da conta de serviço e Usuário da conta de serviço. Isso viola o princípio de "Separação de tarefas". Essa descoberta não está disponível para ativações no nível do projeto. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a política de permissão do IAM nos metadados de
recursos para qualquer membro com
roles/iam.serviceAccountUser e
roles/iam.serviceAccountAdmin atribuídos.
|
Service account key not rotated
Nome da categoria na API: |
Como encontrar a descrição: uma chave da conta de serviço não foi alternada por mais de 90 dias. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Avalia o carimbo de data/hora de criação da chave capturado na propriedade
|
User managed service account key
Nome da categoria na API: |
Como encontrar a descrição: um usuário gerencia uma chave de conta de serviço. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Descobertas de vulnerabilidade do KMS
As vulnerabilidades desse tipo de detector estão relacionadas às configurações do Cloud KMS
e pertencem ao tipo de detector KMS_SCANNER
.
Detector | Resumo | Configurações da verificação de recursos |
---|---|---|
KMS key not rotated
Nome da categoria na API: |
Como encontrar a descrição: a rotação não está configurada em uma chave de criptografia do Cloud KMS. As chaves de criptografia precisam ser trocadas dentro de um período de 90 dias Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica os metadados do recurso para a existência de propriedades
|
KMS project has owner
Nome da categoria na API: |
Como encontrar a descrição: um usuário tem permissões de Proprietário em um projeto que tem chaves criptográficas. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a política de permissão do IAM nos metadados
do projeto para os principais atribuídos a
|
KMS public key
Nome da categoria na API: |
Como encontrar a descrição: uma chave criptográfica do Cloud KMS é acessível publicamente. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a política de permissão de IAM nos metadados
de recursos para os membros
|
Too many KMS users
Nome da categoria na API: |
Como encontrar a descrição: há mais de três usuários de chaves criptográficas. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica políticas de permissão do IAM para keyrings,
projetos e organizações e recupera principais com
papéis que permitem que eles criptografem, descriptografem ou assinem dados
usando as chaves do Cloud KMS: roles/owner ,
roles/cloudkms.cryptoKeyEncrypterDecrypter ,
roles/cloudkms.cryptoKeyEncrypter ,
roles/cloudkms.cryptoKeyDecrypter ,
roles/cloudkms.signer e
roles/cloudkms.signerVerifier .
|
Descobertas de vulnerabilidade de geração de registros
As vulnerabilidades desse tipo de detector estão relacionadas às configurações de geração de registros e
pertencem ao tipo de detector LOGGING_SCANNER
.
Detector | Resumo | Configurações da verificação de recursos |
---|---|---|
Audit logging disabled
Nome da categoria na API: |
Descrição da descoberta: a geração de registros de auditoria foi desativada para este recurso. Essa descoberta não está disponível para ativações no nível do projeto. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a política de permissão do IAM nos metadados do recurso para a existência de um objeto
|
Bucket logging disabled
Nome da categoria na API: |
Como encontrar a descrição: há um bucket de armazenamento sem o registro ativado. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se o campo
|
Locked retention policy not set
Nome da categoria na API: |
Como encontrar a descrição: uma política de retenção bloqueada não está definida para os registros. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se o campo
|
Log not exported
Nome da categoria na API: |
Como encontrar a descrição: há um recurso que não tem um coletor de registros apropriado configurado. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis
Padrões de compliance:
|
Recupera um objeto
|
Object versioning disabled
Nome da categoria na API: |
Como encontrar a descrição: o controle de versão de objeto não está ativado em um bucket de armazenamento em que os coletores são configurados. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se o campo
|
Como monitorar descobertas de vulnerabilidade
Todas as vulnerabilidades desse tipo de detector estão relacionadas às configurações de monitoramento
e pertencem ao tipo MONITORING_SCANNER
. Todas as propriedades de descoberta do detector do Monitoring incluem:
-
O
RecommendedLogFilter
a ser usado na criação das métricas de registro. -
O
QualifiedLogMetricNames
que abrange as condições listadas no filtro de registro recomendado. -
Os
AlertPolicyFailureReasons
que indicam se o projeto não tem políticas de alertas criadas para nenhuma das métricas de registro qualificadas ou se as políticas de alertas atuais não têm as configurações recomendadas.
Detector | Resumo | Configurações da verificação de recursos |
---|---|---|
Audit config not monitored
Nome da categoria na API: |
Descrição da descoberta: métricas e alertas de registro não estão configurados para monitorar mudanças na configuração de auditoria. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade filter do recurso LogsMetric do projeto está definida como protoPayload.methodName="SetIamPolicy" AND
protoPayload.serviceData.policyDelta.auditConfigDeltas:* e, se resource.type for especificado, se o valor é global ,
O detector também pesquisa um recurso alertPolicy correspondente, verificando se as propriedades conditions e notificationChannels estão configuradas corretamente
|
Bucket IAM not monitored
Nome da categoria na API: |
Descrição da descoberta: métricas e alertas de registro não estão configurados para monitorar alterações de permissão do IAM do Cloud Storage. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade filter do recurso LogsMetric do projeto está definida como resource.type=gcs_bucket AND
protoPayload.methodName="storage.setIamPermissions" .
O detector também pesquisa um recurso alertPolicy correspondente, verificando se as propriedades conditions e notificationChannels estão configuradas corretamente.
|
Custom role not monitored
Nome da categoria na API: |
Como encontrar a descrição: métricas e alertas de registro não são configurados para monitorar alterações de Papéis personalizados. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade filter do recurso LogsMetric do projeto está definida como resource.type="iam_role" AND
(protoPayload.methodName="google.iam.admin.v1.CreateRole"
OR
protoPayload.methodName="google.iam.admin.v1.DeleteRole"
OR
protoPayload.methodName="google.iam.admin.v1.UpdateRole") .
O detector também pesquisa um recurso alertPolicy correspondente, verificando se as propriedades conditions e notificationChannels estão configuradas corretamente.
|
Firewall not monitored
Nome da categoria na API: |
Como encontrar a descrição: as métricas e os alertas de registro não estão configurados para monitorar alterações na regra de firewall da rede de nuvem privada virtual (VPC). Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade filter do recurso LogsMetric do projeto está definida como
resource.type="gce_firewall_rule"
AND (protoPayload.methodName:"compute.firewalls.insert"
OR protoPayload.methodName:"compute.firewalls.patch"
OR protoPayload.methodName:"compute.firewalls.delete") .
O detector também pesquisa um recurso alertPolicy correspondente, verificando se as propriedades conditions e notificationChannels estão configuradas corretamente.
|
Network not monitored
Nome da categoria na API: |
Descrição da descoberta: métricas e alertas de registro não estão configurados para monitorar mudanças da rede VPC. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade filter do recurso LogsMetric do projeto está definida como
resource.type="gce_network"
AND (protoPayload.methodName:"compute.networks.insert"
OR protoPayload.methodName:"compute.networks.patch"
OR protoPayload.methodName:"compute.networks.delete"
OR protoPayload.methodName:"compute.networks.removePeering"
OR protoPayload.methodName:"compute.networks.addPeering") .
O detector também pesquisa um recurso alertPolicy correspondente, verificando se as propriedades conditions e notificationChannels estão configuradas corretamente.
|
Owner not monitored
Nome da categoria na API: |
Descrição da descoberta: métricas e alertas de registro não estão configurados para monitorar atribuições ou alterações de propriedade do projeto. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade filter do recurso LogsMetric do projeto está definida como (protoPayload.serviceName="cloudresourcemanager.googleapis.com")
AND (ProjectOwnership OR projectOwnerInvitee) OR
(protoPayload.serviceData.policyDelta.bindingDeltas.action="REMOVE"
AND
protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner")
OR
(protoPayload.serviceData.policyDelta.bindingDeltas.action="ADD"
AND
protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner") e, se resource.type for especificado, se o valor é global .
O detector também pesquisa um recurso alertPolicy correspondente, verificando se as propriedades conditions e notificationChannels estão configuradas corretamente.
|
Route not monitored
Nome da categoria na API: |
Descrição da descoberta: métricas e alertas de registro não estão configurados para monitorar mudanças na rota de rede VPC. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade filter do recurso LogsMetric do projeto está definida como
resource.type="gce_route"
AND (protoPayload.methodName:"compute.routes.delete"
OR protoPayload.methodName:"compute.routes.insert") .
O detector também pesquisa um recurso alertPolicy correspondente, verificando se as propriedades conditions e notificationChannels estão configuradas corretamente.
|
SQL instance not monitored
|
Como encontrar a descrição: métricas e alertas de registro não são configurados para monitorar alterações na configuração da instância do Cloud SQL. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade filter do recurso LogsMetric do projeto está definida como
protoPayload.methodName="cloudsql.instances.update"
OR protoPayload.methodName="cloudsql.instances.create"
OR protoPayload.methodName="cloudsql.instances.delete" e, se resource.type for especificado, se o valor é global .
O detector também pesquisa um recurso alertPolicy correspondente, verificando se as propriedades conditions e notificationChannels estão configuradas corretamente.
|
Descobertas da autenticação multifator
O detector MFA_SCANNER
identifica vulnerabilidades relacionadas à autenticação multifator para usuários.
Detector | Resumo | Configurações da verificação de recursos |
---|---|---|
MFA not enforced
Nome da categoria na API: |
Há usuários que não estão usando a verificação em duas etapas. O Google Workspace permite especificar um período de carência de inscrição para novos usuários em que eles precisam se inscrever na verificação em duas etapas. Esse detector cria descobertas para os usuários durante o período de carência da inscrição. Essa descoberta não está disponível para ativações no nível do projeto. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance:
|
Avalia políticas de gerenciamento de identidade em organizações e configurações de usuários para contas gerenciadas no Cloud Identity.
|
Descobertas de vulnerabilidades de rede
As vulnerabilidades desse tipo de detector estão relacionadas às configurações de rede
de uma organização e pertencem ao tipo NETWORK_SCANNER
.
Detector | Resumo | Configurações da verificação de recursos |
---|---|---|
Default network
Nome da categoria na API: |
Como encontrar a descrição: a rede padrão existe em um projeto. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
DNS logging disabled
Nome da categoria na API: |
Encontrar a descrição: a geração de registros DNS em uma rede VPC não está ativada. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica todos os
|
Legacy network
Nome da categoria na API: |
Como encontrar a descrição: há uma rede legada em um projeto. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a existência de metadados de rede na propriedade
|
Load balancer logging disabled
Nome da categoria na API: |
Descrição da descoberta: a geração de registros está desativada no balanceador de carga. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Descobertas da vulnerabilidade da política da organização
As vulnerabilidades desse tipo de detector estão relacionadas às configurações de política da organização e pertencem ao tipo ORG_POLICY
.
Detector | Resumo | Configurações da verificação de recursos |
---|---|---|
Org policy Confidential VM policy
Nome da categoria na API: |
Como encontrar a descrição: um recurso do Compute Engine não está em conformidade com a política da organização constraints/compute.restrictNonConfidentialComputing . Para mais informações sobre essa restrição da política da organização, consulte
Como aplicar restrições de políticas da organização na documentação da VM confidencial.
Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance: Esta categoria de descoberta não está associada a nenhum controle padrão de compliance. |
Verifica se a propriedade
|
Org policy location restriction
Nome da categoria na API: |
Como encontrar a descrição: um recurso do Compute Engine está fora da conformidade com a restrição constraints/gcp.resourceLocations . Para mais informações sobre essa restrição da política da organização, consulte Como aplicar restrições da política da organização.
Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance: Esta categoria de descoberta não está associada a nenhum controle padrão de compliance. |
Verifica a propriedade
|
Recursos compatíveis para ORG_POLICY_LOCATION_RESTRICTION
Compute Engine
GKE
Cloud Storage
Cloud KMS
Dataproc
BigQuery
Dataflow
Cloud SQL
Cloud Composer
Geração de registros
Pub/Sub
Vertex AI
Artifact Registry 1 Como não é possível excluir os recursos do Cloud KMS, eles não serão considerados fora da região se os dados deles tiverem sido destruídos. 2 Como os jobs de importação do Cloud KMS têm um ciclo de vida controlado e não podem ser encerrados antecipadamente, um ImportJob não é considerado fora da região se o job expirar e não puder mais ser usado para importar chaves. 3 Como o ciclo de vida dos jobs do Dataflow não pode ser gerenciado, um job não é considerado fora da região depois de atingir um estado terminal (interrompido ou drenado), em que pode não serão mais usados para processar dados. |
Descobertas de vulnerabilidades do Pub/Sub
As vulnerabilidades desse tipo de detector estão relacionadas às configurações do Pub/Sub
e pertencem ao tipo PUBSUB_SCANNER
.
Detector | Resumo | Configurações da verificação de recursos |
---|---|---|
Pubsub CMEK disabled
Nome da categoria na API: |
Como encontrar a descrição: um tópico do Pub/Sub não é criptografado com chaves de criptografia gerenciadas pelo cliente (CMEK). Esse detector requer configuração adicional para ativar Para ver instruções, consulte Ativar e desativar detectores. Nível de preços: Premium
Recursos compatíveis Padrões de compliance: Esta categoria de descoberta não está associada a nenhum controle padrão de compliance. |
Verifica o campo
|
Descobertas de vulnerabilidade SQL
As vulnerabilidades desse tipo de detector estão relacionadas às configurações
do Cloud SQL e pertencem ao tipo SQL_SCANNER
.
Detector | Resumo | Configurações da verificação de recursos |
---|---|---|
AlloyDB auto backup disabled
Nome da categoria na API: |
Descrição da descoberta: um cluster do AlloyDB para PostgreSQL não tem backups automáticos ativados. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a
propriedade
|
AlloyDB log min error statement severity
Nome da categoria na API: |
Descrição da descoberta:
a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Para garantir a cobertura adequada dos tipos de mensagens nos registros, emite uma descoberta se o campo
|
AlloyDB log min messages
Nome da categoria na API: |
Descrição da descoberta:
a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Para garantir a cobertura adequada dos tipos de mensagem nos registros, emite uma descoberta se o
campo
|
AlloyDB log error verbosity
Nome da categoria na API: |
Descrição da descoberta:
a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Para garantir a cobertura adequada dos tipos de mensagens nos registros, emite uma descoberta se o campo
|
Auto backup disabled
Nome da categoria na API: |
Descrição da descoberta: um banco de dados do Cloud SQL não tem backups automáticos ativados. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Public SQL instance
Nome da categoria na API: |
Como encontrar a descrição: uma instância de banco de dados do Cloud SQL aceita conexões de todos os endereços IP. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
SSL not enforced
Nome da categoria na API: |
Descrição da descoberta: uma instância de banco de dados do Cloud SQL não requer que todas as conexões de entrada usem SSL. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
SQL CMEK disabled
Nome da categoria na API: |
Descrição da descoberta: uma instância de banco de dados SQL não é criptografada com chaves de criptografia gerenciadas pelo cliente (CMEK). Esse detector requer configuração adicional para ativar Para ver instruções, consulte Ativar e desativar detectores. Nível de preços: Premium
Recursos compatíveis Padrões de compliance: Esta categoria de descoberta não está associada a nenhum controle padrão de compliance. |
Verifica o campo
|
SQL contained database authentication
Nome da categoria na API: |
Como encontrar a descrição:
a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
SQL cross DB ownership chaining
Nome da categoria na API: |
Descoberta de localização:
a sinalização do banco
de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
SQL external scripts enabled
Nome da categoria na API: |
Descoberta de localização:
a sinalização do banco
de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
SQL local infile
Nome da categoria na API: |
Encontrando descrição:
a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
SQL log checkpoints disabled
Nome da categoria na API: |
Como encontrar a descrição:
a sinalização de banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
SQL log connections disabled
Nome da categoria na API: |
Como encontrar a descrição:
a sinalização de banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
SQL log disconnections disabled
Nome da categoria na API: |
Descoberta de localização:
a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
SQL log duration disabled
Nome da categoria na API: |
Descoberta de localização:
a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
SQL log error verbosity
Nome da categoria na API: |
Descrição da descoberta: a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
SQL log lock waits disabled
Nome da categoria na API: |
Como encontrar a descrição:
a sinalização de banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
SQL log min duration statement enabled
Nome da categoria na API: |
Como encontrar a descrição:
a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
SQL log min error statement
Nome da categoria na API: |
Encontrando descrição
a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se o campo
|
SQL log min error statement severity
Nome da categoria na API: |
Descrição da descoberta:
a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se o campo
|
SQL log min messages
Nome da categoria na API: |
Descrição da descoberta:
a sinalização de banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Para garantir a cobertura adequada dos tipos de mensagem nos registros, emite uma descoberta se o
campo
|
SQL log executor stats enabled
Nome da categoria na API: |
Como encontrar a descrição:
a sinalização de banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
SQL log hostname enabled
Nome da categoria na API: |
Como encontrar a descrição:
a sinalização de banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
SQL log parser stats enabled
Nome da categoria na API: |
Como encontrar a descrição:
a sinalização de banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
SQL log planner stats enabled
Nome da categoria na API: |
Como encontrar a descrição:
a sinalização de banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
SQL log statement
Nome da categoria na API: |
Como encontrar a descrição: a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
SQL log statement stats enabled
Nome da categoria na API: |
Como encontrar a descrição:
a sinalização de banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
SQL log temp files
Nome da categoria na API: |
Descoberta de localização:
a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
SQL no root password
Nome da categoria na API: |
Descrição da descoberta: um banco de dados do Cloud SQL que tem um endereço IP público não tem uma senha configurada para a conta raiz. Esse detector requer configuração adicional para ativar Para ver instruções, consulte Ativar e desativar detectores. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
SQL public IP
Nome da categoria na API: |
Como encontrar a descrição: um banco de dados do Cloud SQL tem um endereço IP público. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se o tipo de endereço IP de um
banco de dados do Cloud SQL está definido como
|
SQL remote access enabled
Nome da categoria na API: |
Descrição da descoberta: a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
SQL skip show database disabled
Nome da categoria na API: |
Encontrando descrição:
a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
SQL trace flag 3625
Nome da categoria na API: |
Descrição da descoberta: a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
SQL user connections configured
Nome da categoria na API: |
Como encontrar a descrição: a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
SQL user options configured
Nome da categoria na API: |
Como encontrar a descrição: a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
SQL weak root password
Nome da categoria na API: |
Descrição da descoberta: um banco de dados do Cloud SQL que tem um endereço IP público também tem uma senha fraca configurada para a conta raiz. Esse detector requer configuração adicional para ativar Para ver instruções, consulte Ativar e desativar detectores. Nível de preços: Premium
Recursos compatíveis Padrões de compliance: Esta categoria de descoberta não está associada a nenhum controle padrão de compliance. |
Compara a senha da conta raiz do banco de dados do Cloud SQL com uma lista de senhas comuns.
|
Descobertas de vulnerabilidade do armazenamento
As vulnerabilidades desse tipo de detector estão relacionadas às configurações dos buckets do Cloud Storage
e pertencem ao tipo STORAGE_SCANNER
.
Detector | Resumo | Configurações da verificação de recursos |
---|---|---|
Bucket CMEK disabled
Nome da categoria na API: |
Descrição da descoberta: um bucket não é criptografado com chaves de criptografia gerenciadas pelo cliente (CMEK). Esse detector requer configuração adicional para ativar. Para instruções, consulte Ativar e desativar detectores. Nível de preços: Premium
Recursos compatíveis Padrões de compliance: Esta categoria de descoberta não está associada a nenhum controle padrão de compliance. |
Verifica o campo
|
Bucket policy only disabled
Nome da categoria na API: |
Como encontrar a descrição: o acesso uniforme no nível do bucket, anteriormente chamado de Somente política do bucket, não está configurado. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a
propriedade
|
Public bucket ACL
Nome da categoria na API: |
Como encontrar a descrição: um bucket do Cloud Storage é acessível publicamente. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance:
|
Verifica a política de permissão do IAM de um bucket para
papéis públicos,
|
Public log bucket
Nome da categoria na API: |
Como encontrar a descrição: um bucket de armazenamento usado como coletor de registros é acessível publicamente. Essa descoberta não está disponível para ativações no nível do projeto. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance:
|
Verifica a política de permissão do IAM de um bucket para
os membros
|
Descobertas de vulnerabilidades de sub-rede
As vulnerabilidades desse tipo de detector estão relacionadas às configurações
de sub-rede da organização e pertencem ao tipo SUBNETWORK_SCANNER
.
Detector | Resumo | Configurações da verificação de recursos |
---|---|---|
Flow logs disabled
Nome da categoria na API: |
Como encontrar a descrição: há uma sub-rede VPC com registros de fluxo desativados. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Flow logs settings not recommended
Nome da categoria na API: |
Descrição da descoberta: em uma sub-rede VPC, os registros de fluxo de VPC estão desativados ou não estão configurados de acordo com as recomendações do comparativo de mercado CIS 1.3. Esse detector requer configuração adicional para ativar. Para ver instruções, consulte Ativar e desativar detectores. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Private Google access disabled
Nome da categoria na API: |
Descrição da descoberta: há sub-redes particulares sem acesso às APIs públicas do Google. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Descobertas da AWS
Detector | Resumo | Configurações da verificação de recursos |
---|---|---|
AWS Cloud Shell Full Access Restricted
Nome da categoria na API:
|
Descrição da descoberta: o AWS CloudShell é uma maneira conveniente de executar comandos da CLI em serviços da AWS. Uma política gerenciada do IAM ("AWSCloudShellFullAccess") fornece acesso total ao CloudShell, permitindo a capacidade de upload e download de arquivos entre o sistema local de um usuário e o ambiente do CloudShell. No ambiente do CloudShell, um usuário tem permissões sudo e pode acessar a Internet. Por isso, é viável instalar um software de transferência de arquivos, por exemplo, e mover os dados do CloudShell para servidores de Internet externos. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se o acesso ao AWSCloudShellFullAccess está restrito
|
Access Keys Rotated Every 90 Days or Less
Nome da categoria na API:
|
Descrição da descoberta: as chaves de acesso consistem em um ID da chave de acesso e uma chave de acesso secreta, usados para assinar as solicitações programáticas feitas para a AWS. Os usuários da AWS precisam das próprias chaves de acesso para fazer chamadas programáticas usando a AWS Command Line Interface (AWS CLI), ferramentas para Windows PowerShell, os SDKs da AWS ou chamadas HTTP diretas usando as APIs para serviços individuais da AWS. É recomendável que todas as chaves de acesso sejam alternadas regularmente. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se as chaves de acesso são alternadas a cada 90 dias ou menos
|
All Expired Ssl Tls Certificates Stored Aws Iam Removed
Nome da categoria na API:
|
Descrição da descoberta: para ativar conexões HTTPS com seu site ou aplicativo na AWS, você precisa de um certificado de servidor SSL/TLS. É possível usar o ACM ou o IAM para armazenar e implantar certificados do servidor. Use o IAM como um gerenciador de certificados somente quando precisar oferecer suporte a conexões HTTPS em uma região não aceita pelo ACM. O IAM criptografa suas chaves privadas com segurança e armazena a versão criptografada no armazenamento de certificados SSL do IAM. O IAM oferece suporte à implantação de certificados de servidor em todas as regiões, mas você precisa conseguir seu certificado de um provedor externo para usar com a AWS. Não é possível fazer o upload de um certificado ACM para o IAM. Além disso, não é possível gerenciar seus certificados no console do IAM. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se todos os certificados SSL/TLS expirados armazenados no AWS IAM foram removidos
|
Autoscaling Group Elb Healthcheck Required
Nome da categoria na API:
|
Descrição da descoberta: verifica se os grupos de escalonamento automático associados a um balanceador de carga usam verificações de integridade do Elastic Load Balancing. Isso garante que o grupo possa determinar a integridade de uma instância com base em testes adicionais fornecidos pelo balanceador de carga. O uso de verificações de integridade do Elastic Load Balancing pode ajudar na disponibilidade de aplicativos que usam grupos de escalonamento automático do EC2. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se todos os grupos de escalonamento automático associados a um balanceador de carga usam verificações de integridade
|
Auto Minor Version Upgrade Feature Enabled Rds Instances
Nome da categoria na API:
|
Descrição da descoberta: verifique se as instâncias de banco de dados do RDS têm a sinalização de upgrade automático de versão secundária ativada para receber automaticamente upgrades secundários do mecanismo durante a janela de manutenção especificada. Assim, as instâncias de RDS podem receber os novos recursos, correções de bugs e patches de segurança para os mecanismos de banco de dados. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se o recurso de upgrade automático de versão secundária está ativado para instâncias do RDS
|
Aws Config Enabled All Regions
Nome da categoria na API:
|
Descrição da descoberta: o AWS Config é um serviço da Web que executa o gerenciamento de configurações de recursos compatíveis da AWS na sua conta e envia arquivos de registros para você. As informações registradas incluem o item de configuração (recurso da AWS), as relações entre os itens de configuração (recursos da AWS) e as mudanças de configuração entre os recursos. Recomenda-se ativar o AWS Config em todas as regiões. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se o AWS Config está ativado em todas as regiões
|
Aws Security Hub Enabled
Nome da categoria na API:
|
Descrição da descoberta:a Central de segurança coleta dados de segurança de contas da AWS, serviços e produtos de parceiros terceirizados com suporte. Ela também ajuda você a analisar suas tendências e identificar os problemas de segurança de maior prioridade. Quando você ativa a Central de segurança, ela começa a consumir, agregar, organizar e priorizar as descobertas dos serviços da AWS ativados, como Amazon GuardDuty, Amazon Inspector e Amazon Macie. Também é possível ativar integrações com produtos de segurança de parceiros da AWS. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se a Central de Segurança da AWS está ativada
|
Cloudtrail Logs Encrypted Rest Using Kms Cmks
Nome da categoria na API:
|
Descrição da descoberta: o AWS CloudTrail é um serviço da Web que registra chamadas de API da AWS para uma conta e disponibiliza esses registros para usuários e recursos de acordo com as políticas do IAM. O serviço de gerenciamento de chaves (KMS) da AWS é um serviço gerenciado que ajuda a criar e controlar as chaves de criptografia usadas para criptografar dados da conta e usa módulos de segurança de hardware (HSMs, na sigla em inglês) para proteger a segurança das chaves de criptografia. Os registros do CloudTrail podem ser configurados para usar criptografia do lado do servidor (SSE) e chaves mestras criadas pelo cliente (CMK) do KMS para proteger ainda mais os registros do CloudTrail. É recomendável configurar o CloudTrail para usar o SSE-KMS. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se os registros do CloudTrail são criptografados em repouso usando CMKs do KMS
|
Cloudtrail Log File Validation Enabled
Nome da categoria na API:
|
Descrição da descoberta: a validação do arquivo de registro do CloudTrail cria um arquivo de resumo assinado digitalmente contendo um hash de cada registro gravado pelo CloudTrail no S3. Esses arquivos de resumo podem ser usados para determinar se um arquivo de registro foi alterado, excluído ou inalterado depois que o CloudTrail entregou o registro. É recomendável que a validação do arquivo esteja ativada em todos os CloudTrails. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se a validação do arquivo de registros do CloudTrail está ativada
|
Cloudtrail Trails Integrated Cloudwatch Logs
Nome da categoria na API:
|
Descrição da descoberta: o AWS CloudTrail é um serviço da Web que registra chamadas de API da AWS feitas em uma determinada conta da AWS. As informações registradas incluem a identidade do autor da chamada da API, o horário da chamada da API, o endereço IP de origem do autor da chamada, os parâmetros da solicitação e os elementos de resposta retornados pelo serviço da AWS. O CloudTrail usa o Amazon S3 para armazenamento e entrega de arquivos de registro, o que faz com que esses arquivos sejam armazenados de maneira durável. Além de capturar registros do CloudTrail em um bucket S3 especificado para análise de longo prazo, é possível realizar análises em tempo real configurando o CloudTrail para enviar registros para os registros do CloudWatch. Para uma trilha ativada em todas as regiões de uma conta, o CloudTrail envia arquivos de registros de todas essas regiões para um grupo de registros do CloudWatch. É recomendado que os registros do CloudTrail sejam enviados para os registros do CloudWatch. Observação: a intenção dessa recomendação é garantir que a atividade da conta da AWS esteja sendo capturada, monitorada e acionada adequadamente. Os registros do CloudWatch são uma maneira nativa de fazer isso usando serviços da AWS, mas não impede o uso de uma solução alternativa. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se as trilhas do CloudTrail estão integradas aos registros do CloudWatch
|
Cloudwatch Alarm Action Check
Nome da categoria na API:
|
Descrição da descoberta: verifica se o Amazon Cloudwatch tem ações definidas quando um alarme transita entre os estados "OK", "ALARM" e "INSUFFICIENT_DATA". Configurar ações para o estado ALARM nos alarmes do Amazon CloudWatch é muito importante para acionar uma resposta imediata quando os limites de violação de métricas forem monitorados. Ele garante a resolução rápida de problemas, reduz a inatividade e permite a correção automatizada, mantendo a integridade do sistema e evitando interrupções. Os alarmes têm pelo menos uma ação. Os alarmes têm pelo menos uma ação quando fazem a transição de qualquer outro estado para o estado "INSUFFICIENT_DATA". (Opcional) Os alarmes têm pelo menos uma ação quando fazem a transição de qualquer outro estado para um estado "OK". Nível de preço: Enterprise Padrões de compliance:
|
Verifica se os alarmes do CloudWatch têm pelo menos uma ação de alarme, uma ação INSUFFICIENT_DATA ou uma ação OK ativada.
|
Cloudwatch Log Group Encrypted
Nome da categoria na API:
|
Descrição da descoberta: essa verificação garante que os registros do CloudWatch estejam configurados com o KMS. Os dados do grupo de registros são sempre criptografados nos registros do CloudWatch. Por padrão, os registros do CloudWatch usam criptografia no servidor para os dados de registro em repouso. Como alternativa, você pode usar o AWS Key Management Service para essa criptografia. Se você fizer isso, a criptografia será feita com uma chave do AWS KMS. A criptografia com o AWS KMS é ativada no nível do grupo de registros, associando uma chave KMS a um grupo de registros, seja quando você criar o grupo de registros ou depois que ele existir. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se todos os grupos de registros nos registros do Amazon CloudWatch estão criptografados com KMS
|
CloudTrail CloudWatch Logs Enabled
Nome da categoria na API:
|
Descrição da descoberta: esse controle verifica se as trilhas do CloudTrail estão configuradas para enviar registros aos registros do CloudWatch. O controle falhará se a propriedade CloudWatchLogsLogGroupArn da trilha estiver vazia. O CloudTrail registra as chamadas de API da AWS feitas em uma determinada conta. As informações registradas incluem: - A identidade do autor da chamada da API - O horário da chamada de API - O endereço IP de origem do autor da chamada da API - Os parâmetros da solicitação - Os elementos de resposta retornados pelo serviço da AWS O CloudTrail usa o Amazon S3 para armazenamento e entrega de arquivos de registro. É possível capturar os registros do CloudTrail em um bucket do S3 especificado para análise de longo prazo. Para realizar análises em tempo real, configure o CloudTrail para enviar registros aos registros do CloudWatch. Para uma trilha ativada em todas as regiões de uma conta, o CloudTrail envia arquivos de registro de todas essas regiões para um grupo de registros do CloudWatch. A Central de segurança recomenda que você envie registros do CloudTrail para os registros do CloudWatch. Essa recomendação tem o objetivo de garantir que as atividades da conta sejam capturadas, monitoradas e detectadas de forma adequada. Você pode usar os registros do CloudWatch para configurar isso com seus serviços da AWS. Essa recomendação não impede o uso de outra solução. O envio de registros do CloudTrail para os registros do CloudWatch facilita a geração de registros de atividades em tempo real e histórica com base no usuário, API, recurso e endereço IP. Você pode usar essa abordagem para definir alarmes e notificações de atividades anômalas ou sensíveis na conta. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se todas as trilhas do CloudTrail estão configuradas para enviar registros ao AWS CloudWatch
|
No AWS Credentials in CodeBuild Project Environment Variables
Nome da categoria na API:
|
Descrição da descoberta:verifica se o projeto contém as variáveis de ambiente "AWS_ACCESS_KEY_ID" e "AWS_SECRET_ACCESS_KEY". As credenciais de autenticação "AWS_ACCESS_KEY_ID" e "AWS_SECRET_ACCESS_KEY" nunca podem ser armazenadas em texto não criptografado. Isso pode levar à exposição não intencional de dados e acesso não autorizado. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se todos os projetos contendo as variáveis de ambiente AWS_ACCESS_KEY_ID e AWS_SECRET_ACCESS_KEY não estão em texto simples
|
Codebuild Project Source Repo Url Check
Nome da categoria na API:
|
Descrição da descoberta: verifica se um URL do repositório de origem do Bitbucket do projeto do AWS CodeBuild contém tokens de acesso pessoal ou um nome de usuário e uma senha. O controle falhará se o URL do repositório de origem do Bitbucket contiver tokens de acesso pessoal ou um nome de usuário e uma senha. As credenciais de login não devem ser armazenadas ou transmitidas em texto simples nem aparecer no URL do repositório de origem. Em vez de tokens de acesso pessoais ou credenciais de login, acesse o provedor de origem no CodeBuild e altere o URL do repositório de origem para conter apenas o caminho até o local do repositório do Bitbucket. O uso de tokens de acesso pessoal ou credenciais de login pode resultar em exposição não intencional de dados ou acesso não autorizado. Nível de preço: Enterprise Padrões de compliance: Esta categoria de descoberta não está associada a nenhum controle padrão de compliance. |
Verifica se todos os projetos que usam o GitHub ou o bitbucket como origem usam o OAuth
|
Credentials Unused 45 Days Greater Disabled
Nome da categoria na API:
|
Descrição da descoberta: os usuários do AWS IAM podem acessar os recursos da AWS usando diferentes tipos de credenciais, como senhas ou chaves de acesso. É recomendável desativar ou remover todas as credenciais não utilizadas há mais de 45 dias. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se as credenciais não usadas há 45 ou mais dias estão desativadas
|
Default Security Group Vpc Restricts All Traffic
Nome da categoria na API:
|
Descrição da descoberta: uma VPC vem com um grupo de segurança padrão com configurações iniciais que negam todo o tráfego de entrada, permitem todo o tráfego de saída e permitem todo o tráfego entre instâncias atribuídas ao grupo de segurança. Se você não especificar um grupo de segurança ao iniciar uma instância, ela será atribuída automaticamente a esse grupo de segurança padrão. Os grupos de segurança oferecem filtragem com estado do tráfego de rede de entrada/saída para recursos da AWS. É recomendável que o grupo de segurança padrão restrinja todo o tráfego. A VPC padrão em cada região precisa ter o grupo de segurança padrão atualizado para estar em conformidade. Todas as VPCs recém-criadas vão incluir automaticamente um grupo de segurança padrão que vai precisar de correções para cumprir essa recomendação. **OBSERVAÇÃO:** ao implementar essa recomendação, a geração de registros de fluxos de VPC é inestimável para determinar o acesso à porta de privilégio mínimo exigido pelos sistemas para funcionar corretamente, porque pode registrar todas as aceitação e rejeições de pacotes que ocorrem nos grupos de segurança atuais. Isso reduz drasticamente a principal barreira para a engenharia de privilégio mínimo: descobrir as portas mínimas exigidas pelos sistemas no ambiente. Mesmo que a recomendação de geração de registros de fluxo de VPC neste comparativo de mercado não seja adotada como uma medida de segurança permanente, ela precisa ser usada durante qualquer período de descoberta e engenharia para grupos de segurança com menos privilégios. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se o grupo de segurança padrão de cada VPC restringe todo o tráfego
|
Dms Replication Not Public
Nome da categoria na API:
|
Descrição da descoberta: verifica se as instâncias de replicação do AWS DMS são públicas. Para isso, ele examina o valor do campo "PubliclyAccessible". Uma instância de replicação particular tem um endereço IP particular que não pode ser acessado fora da rede de replicação. Uma instância de replicação precisa ter um endereço IP particular quando os bancos de dados de origem e de destino estão na mesma rede. A rede também precisa estar conectada à VPC da instância de replicação usando uma VPN, o AWS Direct Connect ou o peering de VPC. Para saber mais sobre instâncias de replicação pública e privada, consulte [Instâncias de replicação pública e privada](https://docs.aws.amazon.com/dms/latest/userguide/CHAP_ReplicationInstance.html#CHAP_ReplicationInstance.PublicPrivate) no Guia do usuário do AWS Database Migration Service. Você também deve garantir que o acesso à configuração da instância do AWS DMS seja limitado apenas a usuários autorizados. Para fazer isso, restrinja as permissões do IAM dos usuários para modificar as configurações e os recursos do AWS DMS. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se as instâncias de replicação do AWS Database Migration Service são públicas
|
Do Setup Access Keys During Initial User Setup All Iam Users Console
Nome da categoria na API:
|
Descrição da descoberta: por padrão, o console da AWS não tem caixas de seleção selecionadas ao criar um novo usuário do IAM. Ao criar as credenciais de usuário do IAM, você precisa determinar que tipo de acesso elas exigem. Acesso programático: o usuário do IAM pode precisar fazer chamadas de API, usar a CLI da AWS ou usar as ferramentas para Windows PowerShell. Nesse caso, crie uma chave de acesso (ID da chave de acesso e uma chave de acesso secreta) para esse usuário. Acesso ao Console de Gerenciamento da AWS: se o usuário precisar acessar o Console de Gerenciamento da AWS, crie uma senha para o usuário. Nível de preço: Enterprise Padrões de compliance:
|
Não defina chaves de acesso durante a configuração inicial do usuário para todos os usuários do IAM que têm uma senha do console
|
Dynamodb Autoscaling Enabled
Nome da categoria na API:
|
Descrição da descoberta: verifica se uma tabela do Amazon DynamoDB pode escalonar a capacidade de leitura e gravação conforme necessário. Esse controle será passado se a tabela usar o modo de capacidade sob demanda ou o modo provisionado com o escalonamento automático configurado. O escalonamento da capacidade com a demanda evita a limitação de exceções, o que ajuda a manter a disponibilidade dos seus aplicativos. As tabelas do DynamoDB no modo de capacidade sob demanda são limitadas apenas pelas cotas da tabela padrão de capacidade do DynamoDB. Para aumentar essas cotas, abra um tíquete de suporte por meio do AWS. As tabelas do DynamoDB no modo provisionado com escalonamento automático ajustam dinamicamente a capacidade de capacidade provisionada em resposta aos padrões de tráfego. Para mais informações sobre limitação de solicitações do DynamoDB, consulte limitação de solicitações e capacidade de burst no Guia do desenvolvedor do Amazon DynamoDB. Nível de preço: Enterprise Padrões de compliance:
|
As tabelas do DynamoDB precisam escalonar a capacidade automaticamente com a demanda
|
Dynamodb In Backup Plan
Nome da categoria na API:
|
Descrição da descoberta: esse controle avalia se uma tabela do DynamoDB está coberta por um plano de backup. O controle falhará se uma tabela do DynamoDB não for coberta por um plano de backup. Esse controle avalia apenas as tabelas do DynamoDB que estão no estado ACTIVE. Os backups ajudam você a se recuperar mais rapidamente de um incidente de segurança. Eles também fortalecem a resiliência dos seus sistemas. A inclusão de tabelas do DynamoDB em um plano de backup ajuda a proteger seus dados contra perda ou exclusão não intencional. Nível de preço: Enterprise Padrões de compliance:
|
As tabelas do DynamoDB precisam ser cobertas por um plano de backup
|
Dynamodb Pitr Enabled
Nome da categoria na API:
|
Descrição da descoberta: a recuperação pontual (PITR, na sigla em inglês) é um dos mecanismos disponíveis para fazer backup das tabelas do DynamoDB. Um backup pontual é mantido por 35 dias. Caso você precise de uma retenção mais longa, consulte [Configurar backups programados para o Amazon DynamoDB usando o AWS Backup](https://aws.amazon.com/blogs/database/set-up- scheduled-backups-for-amazon-dynamodb-using-aws-backup/) na documentação da AWS. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se a recuperação pontual (PITR, na sigla em inglês) está ativada para todas as tabelas do AWS DynamoDB
|
Dynamodb Table Encrypted Kms
Nome da categoria na API:
|
Descrição da descoberta: verifica se todas as tabelas do DynamoDB estão criptografadas com uma chave KMS gerenciada pelo cliente (não padrão). Nível de preço: Enterprise Padrões de compliance:
|
Verifica se todas as tabelas do DynamoDB estão criptografadas com o serviço de gerenciamento de chaves (KMS) da AWS
|
Ebs Optimized Instance
Nome da categoria na API:
|
Descoberta da descrição: verifica se a otimização do EBS está ativada para as instâncias do EC2 que podem ser otimizadas para EBS. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se a otimização do EBS está ativada para todas as instâncias com suporte a otimização do EBS
|
Ebs Snapshot Public Restorable Check
Nome da categoria na API:
|
Descrição da descoberta: verifica se os snapshots do Amazon Elastic Block Store não são públicos. O controle falhará se os snapshots do Amazon EBS forem restaurados por qualquer pessoa. Os snapshots do EBS são usados para fazer backup dos dados nos volumes EBS para o Amazon S3 em um momento específico. É possível usar os snapshots para restaurar estados anteriores dos volumes EBS. Raramente é aceitável compartilhar um snapshot com o público. Normalmente, a decisão de compartilhar um snapshot publicamente foi tomada por engano ou sem uma compreensão completa das implicações. Essa verificação ajuda a garantir que todo esse compartilhamento foi totalmente planejado e intencional. Nível de preço: Enterprise Padrões de compliance:
|
Os snapshots do Amazon EBS não podem ser restaurados publicamente
|
Ebs Volume Encryption Enabled All Regions
Nome da categoria na API:
|
Descrição da descoberta: o Elastic Compute Cloud (EC2) oferece suporte à criptografia em repouso ao usar o serviço Elastic Block Store (EBS). Se desativado por padrão, há suporte para a criptografia de força na criação de volume EBS. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se a criptografia de volume EBS está ativada em todas as regiões
|
Ec2 Instances In Vpc
Nome da categoria na API:
|
Descrição da descoberta: a Amazon VPC oferece mais funcionalidades de segurança do que o EC2 Classic. Recomendamos que todos os nós pertençam a uma Amazon VPC. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se todas as instâncias pertencem a uma VPC
|
Ec2 Instance No Public Ip
Nome da categoria na API:
|
Descrição da descoberta: as instâncias do EC2 que têm um endereço IP público correm um risco maior de comprometimento. Recomendamos que as instâncias do EC2 não sejam configuradas com um endereço IP público. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se nenhuma instância tem IP público
|
Ec2 Managedinstance Association Compliance Status Check
Nome da categoria na API:
|
Descrição da descoberta: uma associação de gerenciador de estado é uma configuração atribuída às instâncias gerenciadas. A configuração define o estado que você quer manter nas instâncias. Por exemplo, uma associação pode especificar que um software antivírus precisa estar instalado e em execução nas instâncias ou que certas portas precisam ser fechadas. As instâncias do EC2 associadas ao AWS Systems Manager estão sob gerenciamento do Systems Manager, o que facilita a aplicação de patches, a correção de configurações incorretas e a resposta a eventos de segurança. Nível de preço: Enterprise Padrões de compliance:
|
Verifica o status de conformidade da associação do Systems Manager da AWS
|
Ec2 Managedinstance Patch Compliance Status Check
Nome da categoria na API:
|
Descrição da descoberta: esse controle verifica se o status de conformidade da associação com o AWS Systems Manager é COMPLIANT ou NON_COMPLIANT depois que a associação é executada em uma instância. O controle falhará se o status de conformidade da associação for NON_COMPLIANT. Uma associação de gerenciador de estado é uma configuração atribuída às suas instâncias gerenciadas. A configuração define o estado que você quer manter nas instâncias. Por exemplo, uma associação pode especificar que um software antivírus precisa estar instalado e em execução nas instâncias ou que certas portas precisam ser fechadas. Depois de criar uma ou mais associações de gerenciador de estado, as informações de status de conformidade ficam imediatamente disponíveis para você. É possível visualizar o status de conformidade no console ou em resposta aos comandos da CLI da AWS ou às ações correspondentes da API Systems Manager. Para associações, a opção "Compliance da configuração" mostra o status de compliance ("Em compliance" ou "Não está em conformidade"). Ele também mostra o nível de gravidade atribuído à associação, como "Crítico" ou "Médio". Para saber mais sobre a conformidade da associação com o State Manager, consulte [Sobre a conformidade da associação com o State Manager](https://docs.aws.amazon.com/systems-manager/latest/userguide/sysman-compliance-about.html#sysman-compliance-about-association) no Guia do usuário do AWS Systems Manager. Nível de preço: Enterprise Padrões de compliance:
|
Verifica o status de conformidade com o patch do AWS Systems Manager
|
Ec2 Metadata Service Allows Imdsv2
Nome da categoria na API:
|
Descrição da descoberta: ao ativar o serviço de metadados em instâncias do AWS EC2, os usuários têm a opção de usar a versão 1 do serviço de metadados de instância versão 1 (IMDSv1; um método de solicitação/resposta) ou a versão 2 do serviço de metadados da instância (IMDSv2, um método orientado a sessões). Nível de preço: Enterprise Padrões de compliance:
|
Verifique se o serviço de metadados do EC2 permite apenas IMDSv2
|
Ec2 Volume Inuse Check
Nome da categoria na API:
|
Descrição da descoberta: identificação e remoção de volumes do Elastic Block Store (EBS) não anexados (não utilizados) na sua conta da AWS para reduzir o custo da fatura mensal da AWS. A exclusão de volumes EBS não utilizados também reduz o risco de saída de dados confidenciais/sensíveis. Além disso, esse controle também verifica se as instâncias do EC2 arquivadas estão configuradas para excluir volumes após o encerramento. Por padrão, as instâncias do EC2 são configuradas para excluir os dados em qualquer volume EBS associado à instância e para excluir o volume EBS raiz da instância. No entanto, por padrão, todos os volumes EBS não raiz conectados à instância, na inicialização ou durante a execução, são mantidos após o encerramento. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se os volumes EBS estão conectados a instâncias do EC2 e configurados para exclusão no encerramento da instância
|
Efs Encrypted Check
Nome da categoria na API:
|
Descrição da descoberta: o Amazon EFS dá suporte a duas formas de criptografia para sistemas de arquivos: criptografia de dados em trânsito e criptografia em repouso. Isso verifica se todos os sistemas de arquivos EFS estão configurados com criptografia em repouso em todas as regiões ativadas na conta. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se a EFS está configurada para criptografar dados de arquivos usando o KMS
|
Efs In Backup Plan
Nome da categoria na API:
|
Descrição da descoberta: as práticas recomendadas da Amazon recomendam configurar backups para o Elastic File Systems (EFS). Isso verifica todo o EFS em cada região ativada em sua conta da AWS para backups ativados. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se os sistemas de arquivos EFS estão incluídos nos planos de backup da AWS
|
Elb Acm Certificate Required
Nome da categoria na API:
|
Descrição da descoberta: verifica se o balanceador de carga clássico usa certificados HTTPS/SSL fornecidos pelo gerenciador de certificados da AWS (ACM). O controle falhará se o balanceador de carga clássico configurado com o listener HTTPS/SSL não usar um certificado fornecido pelo ACM. Para criar um certificado, você pode usar o ACM ou uma ferramenta compatível com os protocolos SSL e TLS, como o OpenSSL. A Central de segurança recomenda que você use o ACM para criar ou importar certificados para seu balanceador de carga. O ACM se integra aos balanceadores de carga clássicos para que você possa implantar o certificado no seu balanceador de carga. e renová-los automaticamente. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se todos os balanceadores de carga clássicos usam certificados SSL fornecidos pelo gerenciador de certificados da AWS
|
Elb Deletion Protection Enabled
Nome da categoria na API:
|
Descrição da descoberta: verifica se a proteção contra exclusão de um balanceador de carga de aplicativo está ativada. O controle vai falhar se a proteção contra exclusão não estiver configurada. Ative a proteção contra exclusão para impedir que seu balanceador de carga de aplicativo seja excluído. Nível de preço: Enterprise Padrões de compliance:
|
A proteção contra exclusão do balanceador de carga de aplicativo precisa estar ativada
|
Elb Logging Enabled
Nome da categoria na API:
|
Descrição da descoberta: verifica se a geração de registros está ativada no balanceador de carga de aplicativo e no balanceador de carga clássico. O controle falhará se access_logs.s3.enabled for falso. O Elastic Load Balancing fornece registros de acesso que capturam informações detalhadas sobre solicitações enviadas ao seu balanceador de carga. Cada registro contém informações como a hora em que a solicitação foi recebida, o endereço IP do cliente, as latências, os caminhos da solicitação e as respostas do servidor. É possível usar esses registros de acesso para analisar os padrões de tráfego e solucionar problemas. Para saber mais, consulte [Acessar registros do balanceador de carga clássico](https://docs.aws.amazon.com/elasticloadbalancing/latest/classic/access-log-collection.html) no Guia do usuário para balanceadores de carga clássicos. Nível de preço: Enterprise Padrões de compliance:
|
Confere se os balanceadores de carga clássicos e de aplicativos têm a geração de registros ativada
|
Elb Tls Https Listeners Only
Nome da categoria na API:
|
Descrição da descoberta: essa verificação garante que todos os balanceadores de carga clássicos estejam configurados para usar comunicação segura. Um listener é um processo que verifica se há solicitações de conexão. Ele é configurado com um protocolo e uma porta para conexões de front-end (cliente para balanceador de carga) e um protocolo e uma porta para conexões de back-end (balanceador de carga para instância). Para saber mais sobre as portas, os protocolos e as configurações de listener compatíveis com o Elastic Load Balancing, consulte [Listeners do seu balanceador de carga clássico](https://docs.aws.amazon.com/elasticloadbalancing/latest/classic/elb-listener-config.html). Nível de preço: Enterprise Padrões de compliance:
|
Verifica se todos os balanceadores de carga clássicos estão configurados com listeners SSL ou HTTPS
|
Encrypted Volumes
Nome da categoria na API:
|
Descrição da descoberta: verifica se os volumes EBS que estão em um estado anexado estão criptografados. Para passar nessa verificação, os volumes EBS precisam estar em uso e criptografados. Se o volume EBS não estiver conectado, ele não estará sujeito a essa verificação. Para uma camada adicional de segurança dos dados sensíveis nos volumes EBS, ative a criptografia EBS em repouso. A criptografia do Amazon EBS oferece uma solução de criptografia simples para seus recursos do EBS que não exige que você crie, mantenha e proteja sua própria infraestrutura de gerenciamento de chaves. Ele usa chaves do KMS ao criar volumes e snapshots criptografados. Para saber mais sobre criptografia do Amazon EBS, consulte criptografia do Amazon EBS no Guia do usuário do Amazon EC2 para instâncias do Linux. Nível de preço: Enterprise Padrões de compliance:
|
Os volumes do Amazon EBS anexados devem ser criptografados em repouso
|
Encryption At Rest Enabled Rds Instances
Nome da categoria na API:
|
Descrição da descoberta: as instâncias de banco de dados criptografadas do Amazon RDS usam o algoritmo de criptografia padrão do setor AES-256 para criptografar seus dados no servidor que hospeda suas instâncias de banco de dados do Amazon RDS. Depois que os dados são criptografados, o Amazon RDS processa a autenticação de acesso e a descriptografia de dados de maneira transparente, com um impacto mínimo no desempenho. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se a criptografia em repouso está ativada para instâncias do RDS
|
Encryption Enabled Efs File Systems
Nome da categoria na API:
|
Descrição da descoberta: os dados da EFS precisam ser criptografados em repouso com o serviço de gerenciamento de chaves (Key Management Service) da AWS. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se a criptografia está ativada para sistemas de arquivos EFS
|
Iam Password Policy
Nome da categoria na API:
|
Descrição da descoberta: a AWS permite políticas de senha personalizadas na conta da AWS para especificar os requisitos de complexidade e os períodos de rotação obrigatórios das senhas dos usuários do IAM. Se você não definir uma política de senha personalizada, as senhas de usuário do IAM precisarão atender à política de senha padrão da AWS. As práticas recomendadas de segurança da AWS recomendam os seguintes requisitos de complexidade de senha: — Exija pelo menos um caractere maiúsculo na senha. - Exija pelo menos uma letra minúscula nas senhas. - Exige pelo menos um símbolo nas senhas. - Exija pelo menos um número nas senhas. - A senha deve ter, no mínimo, 14 caracteres. - Exija pelo menos 24 senhas antes de permitir a reutilização. - Exige pelo menos 90 antes da expiração da senha Isso controla todos os requisitos da política de senha especificada. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se a política de senha da conta para usuários do IAM atende aos requisitos especificados
|
Iam Password Policy Prevents Password Reuse
Nome da categoria na API:
|
Descrição da descoberta: as políticas de senha do IAM podem impedir a reutilização de uma determinada senha pelo mesmo usuário. Recomendamos que a política impeça a reutilização de senhas. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se a política de senha do IAM impede a reutilização da senha
|
Iam Password Policy Requires Minimum Length 14 Greater
Nome da categoria na API:
|
Descrição da descoberta: as políticas de senha são, em parte, usadas para impor requisitos de complexidade de senha. As políticas de senha do IAM podem ser usadas para garantir que a senha tenha pelo menos um determinado tamanho. É recomendável que a política exija um tamanho mínimo de senha 14. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se a política de senha do IAM requer tamanho mínimo de 14 ou mais
|
Iam Policies Allow Full Administrative Privileges Attached
Nome da categoria na API:
|
Descrição da descoberta: as políticas do IAM são usadas para conceder privilégios a usuários, grupos ou papéis. É recomendado e considerado uma recomendação de segurança padrão para conceder _privilégio mínimo_, ou seja, conceder apenas as permissões necessárias para executar uma tarefa. Determine o que os usuários precisam fazer e crie políticas que permitam que eles executem _apenas_ essas tarefas, em vez de conceder privilégios administrativos completos. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se as políticas do IAM que permitem privilégios de administrador "*:*" completos não estão anexadas
|
Iam Users Receive Permissions Groups
Nome da categoria na API:
|
Descrição da descoberta: os usuários do IAM recebem acesso a serviços, funções e dados por meio das políticas do IAM. Existem quatro maneiras de definir políticas para um usuário: 1) editar a política do usuário diretamente, também conhecida como uma política inline ou do usuário; 2) anexar uma política diretamente a um usuário; 3) adicionar o usuário a um grupo do IAM que tenha uma política anexada; 4) adicionar o usuário a um grupo do IAM que tenha uma política inline. Recomendamos apenas a terceira implementação. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se os usuários do IAM recebem permissões somente pelos grupos
|
Iam User Group Membership Check
Nome da categoria na API:
|
Descrição da descoberta: os usuários do IAM sempre precisam fazer parte de um grupo para aderir às práticas recomendadas de segurança do IAM. Ao adicionar usuários a um grupo, é possível compartilhar políticas entre tipos de usuários. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se os usuários do IAM são membros de pelo menos um grupo do IAM
|
Iam User Mfa Enabled
Nome da categoria na API:
|
Descrição da descoberta: a autenticação multifator (MFA) é uma prática recomendada que adiciona uma camada extra de proteção aos nomes de usuário e senhas. Com o MFA, quando um usuário faz login no AWS Management Console, ele precisa fornecer um código de autenticação temporário, fornecido por um dispositivo virtual ou físico registrado. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se a autenticação multifator (MFA) está ativada para os usuários do AWS IAM
|
Iam User Unused Credentials Check
Nome da categoria na API:
|
Descrição da descoberta: verifica se há senhas do IAM ou chaves de acesso ativas que não foram usadas nos últimos 90 dias. As práticas recomendadas recomendam que você remova, desative ou alterne todas as credenciais não utilizadas por 90 dias ou mais. Isso reduz a janela de oportunidade para o uso de credenciais associadas a uma conta comprometida ou abandonada. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se todos os usuários do AWS IAM têm senhas ou chaves de acesso ativas que não foram usadas nos dias maxCredentialUsageAge (padrão 90)
|
Kms Cmk Not Scheduled For Deletion
Nome da categoria na API:
|
Descrição da descoberta: esse controle verifica se as chaves do KMS estão programadas para exclusão. O controle falhará se uma chave KMS estiver programada para exclusão. Não é possível recuperar as chaves KMS após a exclusão. Os dados criptografados em uma chave do KMS também são permanentemente irrecuperáveis se a chave do KMS for excluída. Se dados significativos foram criptografados em uma chave KMS programada para exclusão, considere descriptografar os dados ou recriptografar os dados em uma nova chave KMS, a menos que você esteja realizando um apagamento criptográfico intencionalmente. Quando uma chave KMS é programada para exclusão, um período de espera obrigatório é aplicado para que haja tempo para reverter a exclusão, caso ela tenha sido programada por engano. O período de espera padrão é de 30 dias, mas pode ser reduzido para apenas 7 dias quando a chave KMS é programada para exclusão. Durante o período de espera, a exclusão programada pode ser cancelada, e a chave KMS não será excluída. Para mais informações sobre como excluir chaves KMS, consulte [Como excluir chaves KMS](https://docs.aws.amazon.com/kms/latest/developerguide/managing-keys.html) no guia para desenvolvedores do serviço de gerenciamento de chaves da AWS. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se nenhuma CMK está programada para exclusão
|
Lambda Concurrency Check
Nome da categoria na API:
|
Descrição da descoberta: verifica se a função Lambda está configurada com um limite de execução simultânea no nível da função. A regra será NON_COMPLIANT se a função Lambda não estiver configurada com um limite de execução simultânea no nível da função. Nível de preço: Enterprise Padrões de compliance: Esta categoria de descoberta não está associada a nenhum controle padrão de compliance. |
Verifica se as funções Lambda estão configuradas com limite de execução simultânea no nível da função
|
Lambda Dlq Check
Nome da categoria na API:
|
Descrição da descoberta: verifica se uma função Lambda está configurada com uma fila de mensagens inativas. A regra será NON_COMPLIANT se a função Lambda não estiver configurada com uma fila de mensagens inativas. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se as funções do Lambda estão configuradas com uma fila de mensagens mortas
|
Lambda Function Public Access Prohibited
Nome da categoria na API:
|
Descrição da descoberta: as práticas recomendadas da AWS recomendam que a função Lambda não seja exposta publicamente. Esta política verifica todas as funções Lambda implantadas em todas as regiões ativadas na sua conta e vai falhar se elas forem configuradas para permitir o acesso público. Nível de preço: Enterprise Padrões de compliance:
|
Confere se a política anexada à função Lambda proíbe o acesso público
|
Lambda Inside Vpc
Nome da categoria na API:
|
Descrição da descoberta: verifica se uma função Lambda está em uma VPC. Talvez você veja descobertas com falha nos recursos do Lambda@Edge. Ele não avalia a configuração de roteamento da sub-rede VPC para determinar a acessibilidade pública. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se existem funções do Lambda em uma VPC
|
Mfa Delete Enabled S3 Buckets
Nome da categoria na API:
|
Descrição da descoberta: depois que a exclusão de MFA é ativada no bucket confidencial e classificado do S3, é necessário que o usuário tenha duas formas de autenticação. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se a exclusão da autenticação multifator (MFA) está ativada nos buckets do S3
|
Mfa Enabled Root User Account
Nome da categoria na API:
|
Descrição da descoberta: a conta de usuário "raiz" é o usuário com mais privilégios em uma conta da AWS. A autenticação multifator (MFA) adiciona uma camada extra de proteção a um nome de usuário e uma senha. Com o MFA ativado, quando um usuário fizer login em um site da AWS, será solicitado um nome de usuário e senha, bem como um código de autenticação do dispositivo AWS MFA. **Observação**: quando a autenticação multifator (MFA) virtual é usada para contas "raiz", recomenda-se que o dispositivo usado NÃO seja um dispositivo pessoal, mas um dispositivo móvel dedicado (tablet ou smartphone) gerenciado para ser mantido carregado e protegido independentemente de dispositivos pessoais individuais. ("MFA virtual não pessoal") diminui os riscos de perder o acesso à MFA devido à perda ou troca de dispositivos ou quando o proprietário do dispositivo não está mais empregado na empresa. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se a autenticação multifator (MFA) está ativada para a conta de usuário "raiz"
|
Multi Factor Authentication Mfa Enabled All Iam Users Console
Nome da categoria na API:
|
Descrição da descoberta: a autenticação multifator (MFA) adiciona uma camada extra de garantia de autenticação além das credenciais tradicionais. Com a MFA ativada, quando um usuário fizer login no console da AWS, será solicitado o nome de usuário e a senha, bem como um código de autenticação do token MFA físico ou virtual. Recomenda-se que a autenticação multifator (MFA) esteja ativada para todas as contas que tenham uma senha de console. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se a autenticação multifator (MFA) está ativada para todos os usuários do IAM que têm uma senha do console
|
No Network Acls Allow Ingress 0 0 0 0 Remote Server Administration
Nome da categoria na API:
|
Descrição da descoberta: a função da lista de controle de acesso à rede (NACL, na sigla em inglês) oferece filtragem sem estado do tráfego de rede de entrada e saída para os recursos da AWS. É recomendável que nenhuma NACL permita acesso irrestrito de entrada às portas de administração de servidor remoto, como SSH para a porta "22" e RDP para a porta "3389", usando os protocolos TDP (6), UDP (17) ou TODOS (-1) Nível de preço: Enterprise Padrões de compliance:
|
Verifique se nenhuma ACL de rede permite a entrada de 0.0.0.0/0 para portas de administração de servidor remoto
|
No Root User Account Access Key Exists
Nome da categoria na API:
|
Descrição da descoberta: a conta de usuário "raiz" é o usuário com mais privilégios em uma conta da AWS. As chaves de acesso da AWS fornecem acesso programático a uma determinada conta da AWS. Recomenda-se que todas as chaves de acesso associadas à conta de usuário "raiz" sejam excluídas. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se não existe uma chave de acesso da conta de usuário "raiz"
|
No Security Groups Allow Ingress 0 0 0 0 Remote Server Administration
Nome da categoria na API:
|
Descrição da descoberta: os grupos de segurança fornecem filtragem com estado do tráfego de rede de entrada e saída para recursos da AWS. É recomendado que nenhum grupo de segurança permita acesso irrestrito de entrada às portas de administração de servidor remoto, como SSH para a porta "22" e RDP para a porta "3389", usando os protocolos TDP (6), UDP (17) ou TODOS (-1) Nível de preço: Enterprise Padrões de compliance:
|
Verifique se nenhum grupo de segurança permite a entrada de 0.0.0.0/0 para portas de administração remotas do servidor
|
No Security Groups Allow Ingress 0 Remote Server Administration
Nome da categoria na API:
|
Descrição da descoberta: os grupos de segurança fornecem filtragem com estado do tráfego de rede de entrada e saída para recursos da AWS. É recomendado que nenhum grupo de segurança permita acesso irrestrito de entrada para as portas de administração do servidor remoto, como SSH para a porta "22" e RDP para a porta "3389". Nível de preço: Enterprise Padrões de compliance:
|
Verifique se nenhum grupo de segurança permite a entrada de portas ::/0 para a administração remota de servidores
|
One Active Access Key Available Any Single Iam User
Nome da categoria na API:
|
Descrição da descoberta: as chaves de acesso são credenciais de longo prazo para um usuário do IAM ou o usuário "raiz" da conta da AWS. É possível usar as chaves de acesso para assinar solicitações programáticas na CLI da AWS ou na API da AWS (diretamente ou usando o SDK da AWS). Nível de preço: Enterprise Padrões de compliance:
|
Verifique se há apenas uma chave de acesso ativa disponível para cada usuário do IAM
|
Public Access Given Rds Instance
Nome da categoria na API:
|
Descrição da descoberta: verifique e verifique se as instâncias de banco de dados do RDS provisionadas na sua conta da AWS restringem o acesso não autorizado para minimizar os riscos de segurança. Para restringir o acesso a qualquer instância de banco de dados RDS acessível publicamente, é preciso desativar a sinalização do banco de dados de acesso público e atualizar o grupo de segurança VPC associado à instância. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se o acesso público não foi concedido à instância do RDS
|
Rds Enhanced Monitoring Enabled
Nome da categoria na API:
|
Descrição da descoberta: o monitoramento avançado fornece métricas em tempo real sobre o sistema operacional em que a instância do RDS é executada, por meio de um agente instalado na instância. Para saber mais, consulte [Como monitorar métricas do SO com o monitoramento avançado](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/USER_Monitoring.OS.html). Nível de preço: Enterprise Padrões de compliance:
|
Verifique se o monitoramento avançado está ativado para todas as instâncias do RDS DB
|
Rds Instance Deletion Protection Enabled
Nome da categoria na API:
|
Descrição da descoberta: ativar a proteção contra exclusão de instâncias é uma camada extra de proteção contra exclusão acidental de banco de dados ou exclusão por entidades não autorizadas. Enquanto a proteção contra exclusão estiver ativada, não será possível excluir uma instância de banco de dados RDS. Antes que uma solicitação de exclusão seja bem-sucedida, a proteção contra exclusão precisa ser desativada. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se a proteção contra exclusões está ativada para todas as instâncias do RDS
|
Rds In Backup Plan
Nome da categoria na API:
|
Descrição da descoberta: esta verificação avalia se as instâncias de banco de dados do Amazon RDS são cobertas por um plano de backup. Esse controle falhará se uma instância de banco de dados RDS não for coberta por um plano de backup. O AWS Backup é um serviço de backup totalmente gerenciado que centraliza e automatiza o backup de dados nos serviços da AWS. Com o AWS Backup, é possível criar políticas de backup, chamadas "planos de backup", que podem ser usados para definir os requisitos de backup, como a frequência e o tempo de retenção dos dados. Incluir instâncias de banco de dados RDS em um plano de backup ajuda a proteger seus dados contra perda ou exclusão não intencional. Nível de preço: Enterprise Padrões de compliance:
|
As instâncias do RDS DB precisam estar cobertas por um plano de backup
|
Rds Logging Enabled
Nome da categoria na API:
|
Descrição da descoberta: verifica se os seguintes registros do Amazon RDS estão ativados e enviados ao CloudWatch. Os bancos de dados RDS precisam ter os registros relevantes ativados. A geração de registros do banco de dados fornece registros detalhados das solicitações feitas ao RDS. Os registros do banco de dados podem ajudar em auditorias de segurança e acesso, além de diagnosticar problemas de disponibilidade. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se os registros exportados estão ativados para todas as instâncias do RDS DB
|
Rds Multi Az Support
Nome da categoria na API:
|
Descrição da descoberta: as instâncias de banco de dados RDS precisam ser configuradas para várias zonas de disponibilidade (AZs, na sigla em inglês). Isso garante a disponibilidade dos dados armazenados. As implantações Multi-AZ permitem failover automatizado caso haja um problema com a disponibilidade na Zona de Disponibilidade e durante a manutenção regular do RDS. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se a alta disponibilidade está ativada para todas as instâncias do RDS DB
|
Redshift Cluster Configuration Check
Nome da categoria na API:
|
Descrição da descoberta: verifica os elementos essenciais de um cluster do Redshift: criptografia em repouso, geração de registros e tipo de nó. Esses itens de configuração são importantes na manutenção de um cluster do Redshift seguro e observável. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se todos os clusters do Redshift têm criptografia em repouso, geração de registros e tipo de nó.
|
Redshift Cluster Maintenancesettings Check
Nome da categoria na API:
|
Descrição da descoberta: os upgrades automáticos de versões principais ocorrem de acordo com a janela de manutenção Nível de preço: Enterprise Padrões de compliance:
|
Verifica se todos os clusters do Redshift estão com allowVersionUpgrade ativado e o valor preferâneo de manutenção chamado e o conjunto de conjunto automatizado{/7}
|
Redshift Cluster Public Access Check
Nome da categoria na API:
|
Descrição da descoberta: o atributo PubliclyAccessible da configuração do cluster do Amazon Redshift indica se o cluster é acessível publicamente. Quando o cluster é configurado com PubliclyAccessible definido como verdadeiro, ele é uma instância voltada para a Internet com um nome DNS que pode ser resolvido publicamente e que é resolvido como um endereço IP público. Quando o cluster não está acessível publicamente, ele é uma instância interna com um nome DNS que é resolvido para um endereço IP particular. A menos que você queira que o cluster seja acessível publicamente, ele não deve ser configurado com PubliclyAccessible definido como verdadeiro. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se os clusters do Redshift estão acessíveis publicamente
|
Restricted Common Ports
Nome da categoria na API:
|
Descrição da descoberta: verifica se o tráfego de entrada irrestrito para os grupos de segurança está acessível para as portas especificadas de maior risco. Esse controle vai falhar se alguma das regras de um grupo de segurança permitir tráfego de entrada de "0.0.0.0/0" ou "::/0" para essas portas. O acesso irrestrito (0.0.0.0/0) aumenta as oportunidades para atividades maliciosas, como invasão, ataques de negação de serviço e perda de dados. Os grupos de segurança oferecem filtragem com estado do tráfego de rede de entrada e saída para os recursos da AWS. Nível de preço: Enterprise Padrões de compliance:
|
Os grupos de segurança não podem permitir acesso irrestrito a portas de alto risco
|
Restricted Ssh
Nome da categoria na API:
|
Descrição da descoberta: os grupos de segurança fornecem filtragem com estado do tráfego de rede de entrada e saída para recursos da AWS. O CIS recomenda que nenhum grupo de segurança permita acesso irrestrito de entrada à porta 22. A remoção da conectividade irrestrita a serviços de console remoto, como SSH, reduz a exposição do servidor ao risco. Nível de preço: Enterprise Padrões de compliance:
|
Os grupos de segurança não devem permitir a entrada de 0.0.0.0/0 para a porta 22
|
Rotation Customer Created Cmks Enabled
Nome da categoria na API:
|
Descrição da descoberta: verifica se a rotação automática de chaves está ativada para cada chave e corresponde ao ID da chave KMS da AWS criada pelo cliente. A regra será NON_COMPLIANT se o papel de Gravador do AWS Config de um recurso não tiver a permissão kms:describeKey. Nível de preço: Enterprise Padrões de compliance: Esta categoria de descoberta não está associada a nenhum controle padrão de compliance. |
Verifique se a rotação para CMKs criadas pelo cliente está ativada
|
Rotation Customer Created Symmetric Cmks Enabled
Nome da categoria na API:
|
Descrição da descoberta: o serviço de gerenciamento de chaves (KMS) da AWS permite que os clientes alternem a chave de apoio, que é o material armazenado no KMS e está vinculado ao ID da chave mestra do cliente (CMK, na sigla em inglês) criada pelo cliente. Ela é a chave de apoio usada para executar operações criptográficas, como criptografia e descriptografia. No momento, a rotação automatizada de chaves retém todas as chaves de backup anteriores para que a descriptografia de dados criptografados possa ocorrer de maneira transparente. É recomendável ativar a rotação de chaves CMK para chaves simétricas. A rotação de chaves não pode ser ativada para nenhuma CMK assimétrica. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se a rotação para CMKs simétricas criadas pelo cliente está ativada
|
Routing Tables Vpc Peering Are Least Access
Nome da categoria na API:
|
Descrição da descoberta: verifica se as tabelas de rotas do peering de VPC estão configuradas com o privilégio principal. Nível de preço: Enterprise Padrões de compliance: Esta categoria de descoberta não está associada a nenhum controle padrão de compliance. |
Verifique se as tabelas de roteamento para peering de VPC têm "acesso mínimo"
|
S3 Account Level Public Access Blocks
Nome da categoria na API:
|
Descrição da descoberta: o Amazon S3 Block Public Access fornece configurações para pontos de acesso, buckets e contas para ajudar você a gerenciar o acesso público aos recursos do Amazon S3. Por padrão, buckets novos, pontos de acesso e objetos não permitem acesso público. Nível de preço: Enterprise Padrões de compliance: Esta categoria de descoberta não está associada a nenhum controle padrão de compliance. |
Verifica se as configurações necessárias de bloqueio de acesso público do S3 estão definidas no nível da conta
|
S3 Bucket Logging Enabled
Nome da categoria na API:
|
Descrição da descoberta: o recurso do AWS S3 Server Access Logging registra solicitações de acesso a buckets de armazenamento, o que é útil para auditorias de segurança. Por padrão, a geração de registros de acesso ao servidor não está ativada para buckets S3. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se a geração de registros está ativada em todos os buckets do S3
|
S3 Bucket Policy Set Deny Http Requests
Nome da categoria na API:
|
Descrição da descoberta: no nível do bucket do Amazon S3, é possível configurar permissões por meio de uma política de bucket, tornando os objetos acessíveis apenas por HTTPS. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se a política de bucket do S3 está definida para negar as solicitações HTTP
|
S3 Bucket Replication Enabled
Nome da categoria na API:
|
Descrição da descoberta: esse controle verifica se um bucket do Amazon S3 está com a replicação entre regiões ativada. O controle falhará se a replicação entre regiões não estiver ativada no bucket ou se a replicação na mesma região também estiver ativada. A replicação é a cópia automática e assíncrona de objetos em buckets na mesma região ou em diferentes regiões da AWS. A replicação copia objetos recém-criados e atualizações de objetos de um bucket de origem para um ou mais buckets de destino. As práticas recomendadas da AWS recomendam a replicação de buckets de origem e destino que pertencem à mesma conta da AWS. Além da disponibilidade, considere outras configurações de aumento da proteção do sistema. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se os buckets do S3 estão com a replicação entre regiões ativada
|
S3 Bucket Server Side Encryption Enabled
Nome da categoria na API:
|
Descrição da descoberta: isso verifica se o bucket do S3 está com a criptografia padrão do Amazon S3 ativada ou se a política do bucket do S3 nega explicitamente as solicitações put-object sem criptografia do lado do servidor. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se todos os buckets do S3 usam a criptografia em repouso
|
S3 Bucket Versioning Enabled
Nome da categoria na API:
|
Descrição da descoberta: o Amazon S3 é um meio de manter diversas variantes de um objeto no mesmo bucket e pode ajudar você a se recuperar mais facilmente de ações não intencionais do usuário e falhas de aplicativo. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se o controle de versões está ativado em todos os buckets do S3
|
S3 Default Encryption Kms
Nome da categoria na API:
|
Descrição da descoberta: verifica se os buckets do Amazon S3 estão criptografados com o AWS Key Management Service (AWS KMS) Nível de preço: Enterprise Padrões de compliance:
|
Verifica se todos os buckets são criptografados com KMS
|
Sagemaker Notebook Instance Kms Key Configured
Nome da categoria na API:
|
Descrição da descoberta: verifica se uma chave do AWS Key Management Service (AWS KMS) está configurada para uma instância de notebook do Amazon SageMaker. A regra será NON_COMPLIANT se "KmsKeyId" não for especificado para a instância do notebook do SageMaker. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se todas as instâncias do notebook do SageMaker estão configuradas para usar o KMS
|
Sagemaker Notebook No Direct Internet Access
Nome da categoria na API:
|
Descrição da descoberta: verifica se o acesso direto à Internet está desativado para uma instância de notebook do SageMaker. Para isso, ele verifica se o campo DirectInternetAccess está desativado para a instância do notebook. Se você configurar a instância do SageMaker sem uma VPC, o acesso direto à Internet será ativado na instância por padrão. Configure sua instância com uma VPC e altere a configuração padrão para "Desativar: acessar a Internet usando uma VPC". Para treinar ou hospedar modelos de um notebook, você precisa de acesso à Internet. Para ativar o acesso à Internet, verifique se a VPC tem um gateway NAT e se o grupo de segurança permite conexões de saída. Para saber mais sobre como conectar uma instância de notebook a recursos em uma VPC, consulte "Conectar uma instância de notebook a recursos em uma VPC" no Guia do desenvolvedor do Amazon SageMaker. Garanta também que o acesso à configuração do SageMaker seja limitado apenas a usuários autorizados. Restrinja as permissões do IAM dos usuários para modificar as configurações e os recursos do SageMaker. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se o acesso direto à Internet está desativado para todas as instâncias de notebook do Amazon SageMaker
|
Secretsmanager Rotation Enabled Check
Nome da categoria na API:
|
Descrição da descoberta: verifica se um secret armazenado no AWS Secrets Manager está configurado com rotação automática. O controle vai falhar se o secret não estiver configurado com a rotação automática. Se você informar um valor personalizado para o parâmetro "maximumAllowed rotationFrequency", o controle vai ser aprovado somente se o secret for rotacionado automaticamente dentro do período especificado. O Secret Manager ajuda a melhorar a postura de segurança da sua organização. Os secrets incluem credenciais de bancos de dados, senhas e chaves de API de terceiros. Use o Secret Manager para armazenar secrets de maneira centralizada, criptografá-los automaticamente, controlar o acesso a eles e fazer a rotação deles com segurança e automaticamente. O Secret Manager pode fazer a rotação de secrets. É possível usar a rotação para substituir secrets de longo prazo por de curto prazo. A rotação dos secrets limita por quanto tempo um usuário não autorizado pode usar um secret comprometido. Por isso, alterne os secrets com frequência. Para saber mais sobre rotação, consulte Como girar os secrets do AWS Secrets Manager no Guia do usuário do AWS Secrets Manager. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se todos os secrets do AWS Secrets Manager têm a rotação ativada
|
Sns Encrypted Kms
Nome da categoria na API:
|
Descrição da descoberta: verifica se um tópico SNS é criptografado em repouso usando o AWS KMS. Os controles vão falhar se um tópico do SNS não usar uma chave KMS para criptografia do lado do servidor (SSE, na sigla em inglês). Criptografar dados em repouso reduz o risco de dados armazenados em disco serem acessados por um usuário não autenticado na AWS. Ele também adiciona outro conjunto de controles de acesso para limitar a capacidade de usuários não autorizados acessar os dados. Por exemplo, as permissões da API são necessárias para descriptografar os dados antes da leitura. Os tópicos do SNS devem ser criptografados em repouso para uma camada adicional de segurança. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se todos os tópicos do SNS estão criptografados com KMS
|
Vpc Default Security Group Closed
Nome da categoria na API:
|
Descrição da descoberta: esse controle verifica se o grupo de segurança padrão de uma VPC permite tráfego de entrada ou saída. O controle falhará se o grupo de segurança permitir tráfego de entrada ou saída. As regras do grupo de segurança padrão permitem todo o tráfego de saída e de entrada das interfaces de rede (e das instâncias associadas) que são atribuídas ao mesmo grupo de segurança. Recomendamos que você não use o grupo de segurança padrão. Como o grupo de segurança padrão não pode ser excluído, altere a configuração das regras do grupo de segurança padrão para restringir o tráfego de entrada e saída. Isso evita o tráfego não intencional se o grupo de segurança padrão for configurado acidentalmente para recursos como instâncias do EC2. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se o grupo de segurança padrão de cada VPC restringe todo o tráfego
|
Vpc Flow Logging Enabled All Vpcs
Nome da categoria na API:
|
Descrição da descoberta: os registros de fluxo de VPC são um recurso que permite capturar informações sobre o tráfego de IP de e para interfaces de rede na sua VPC. Depois de criar um registro de fluxo, é possível visualizar e recuperar os dados nos registros do Amazon CloudWatch. É recomendável ativar os registros de fluxo de VPC para o pacote "Rejeições" de VPCs. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se a geração de registros de fluxo de VPC está ativada em todas as VPCs
|
Vpc Sg Open Only To Authorized Ports
Nome da categoria na API:
|
Descrição da descoberta: esse controle verifica se um grupo de segurança do Amazon EC2 permite tráfego de entrada irrestrito de portas não autorizadas. O status do controle é determinado da seguinte maneira: Se você usar o valor padrão paraauthorizedTcpPorts, o controle falhará se o grupo de segurança permitir tráfego de entrada irrestrito de qualquer porta que não seja as portas 80 e 443. Se você informar valores personalizados para AuthorizedTcpPorts ouauthorizedUdpPorts, o controle vai falhar se o grupo de segurança permitir o tráfego de entrada irrestrito de qualquer porta não listada. Se nenhum parâmetro for usado, o controle vai falhar para todos os grupos de segurança que têm uma regra de tráfego de entrada irrestrito. Os grupos de segurança oferecem filtragem com estado do tráfego de rede de entrada e saída para a AWS. As regras do grupo de segurança precisam seguir o princípio do acesso com privilégio mínimo. O acesso irrestrito (endereço IP com um sufixo /0) aumenta o risco de atividades maliciosas, como invasão, ataques de negação de serviço e perda de dados. A menos que uma porta seja especificamente permitida, ela deve negar o acesso irrestrito. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se os grupos de segurança com 0.0.0.0/0 de alguma VPC permitem apenas tráfego TCP/UDP de entrada específico
|
Both VPC VPN Tunnels Up
Nome da categoria na API:
|
Descrição da descoberta: um túnel de VPN é um link criptografado em que os dados podem passar da rede do cliente para ou da AWS em uma conexão VPN site a site da AWS. Cada conexão VPN inclui dois túneis VPN que podem ser usados simultaneamente para alta disponibilidade. Garantir que os dois túneis VPN estejam ativos para uma conexão VPN é importante para confirmar uma conexão segura e altamente disponível entre uma VPC da AWS e sua rede remota. Esse controle verifica se os dois túneis de VPN fornecidos pela VPN site a site da AWS estão com status UP. O controle falhará se um ou ambos os túneis estiverem em status ABAIXO. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se ambos os túneis VPN da AWS fornecidos pela AWS site-to-site estão no status UP
|
Descobertas do Web Security Scanner
As verificações personalizadas e gerenciadas do Web Security Scanner identificam os seguintes tipos de descobertas. No nível Standard, o Web Security Scanner é compatível com verificações personalizadas de aplicativos implantados com URLs e IPs públicos que não estão atrás de um firewall.
Categoria | Descrição da descoberta | 10 principais OWASP de 2017 | 10 principais OWASP de 2021 |
---|---|---|---|
Accessible Git repository
Nome da categoria na API: |
Um repositório GIT é exposto publicamente. Para resolver esse problema, remova
o acesso público não intencional ao repositório do GIT.
Nível de preços:padrão |
A5 | A01 |
Accessible SVN repository
Nome da categoria na API: |
Um repositório SVN é exposto publicamente. Para resolver isso, remova
o acesso não intencional público ao repositório SVN.
Nível de preços:padrão |
A5 | A01 |
Cacheable password input
Nome da categoria na API: |
As senhas inseridas no aplicativo da Web podem ser armazenadas em um cache normal do navegador, em vez de um armazenamento seguro de senhas.
Nível de preços: Premium |
A3 | A04 |
Clear text password
Nome da categoria na API: |
As senhas estão sendo transmitidas em texto não criptografado e podem ser interceptadas. Para
resolver isso, criptografe a senha transmitida pela
rede.
Nível de preços:padrão |
A3 | A02 |
Insecure allow origin ends with validation
Nome da categoria na API: |
Um endpoint HTTP ou HTTPS entre sites valida apenas um sufixo do cabeçalho de solicitação Origin
antes de refleti-lo no cabeçalho de resposta Access-Control-Allow-Origin . Para resolver essa
descoberta, valide se o domínio raiz esperado faz parte do valor do cabeçalho Origin antes de
refleti-lo no cabeçalho de resposta Access-Control-Allow-Origin . Para caracteres curinga de subdomínio,
inclua o ponto no domínio raiz, por exemplo, .endsWith(".google.com") .
Nível de preços: Premium |
A5 | A01 |
Insecure allow origin starts with validation
Nome da categoria na API: |
Um endpoint HTTP ou HTTPS entre sites valida apenas um prefixo do cabeçalho de solicitação Origin
antes de refleti-lo no cabeçalho de resposta Access-Control-Allow-Origin . Para resolver essa
descoberta, valide se o domínio esperado corresponde totalmente ao valor do cabeçalho Origin antes de
refleti-lo no cabeçalho de resposta Access-Control-Allow-Origin , por exemplo,
.equals(".google.com") .
Nível de preços: Premium |
A5 | A01 |
Invalid content type
Nome da categoria na API: |
Um recurso foi carregado e ele não corresponde ao cabeçalho
HTTP da resposta Content-Type. Para resolver essa descoberta, defina o cabeçalho HTTP X-Content-Type-Options
com o valor correto.
Nível de preços:padrão |
A6 | A05 |
Invalid header
Nome da categoria na API: |
Um cabeçalho de segurança tem um erro de sintaxe e é ignorado pelos navegadores. Para resolver isso,
defina os cabeçalhos de segurança HTTP corretamente.
Nível de preços:padrão |
A6 | A05 |
Mismatching security header values
Nome da categoria na API: |
Um cabeçalho de segurança tem valores duplicados e incompatíveis, o que resulta em
comportamento indefinido. Para resolver isso, defina os cabeçalhos de segurança HTTP
corretamente.
Nível de preços:padrão |
A6 | A05 |
Misspelled security header name
Nome da categoria na API: |
Um cabeçalho de segurança está incorreto e foi ignorado. Para resolver isso,
defina os cabeçalhos de segurança HTTP corretamente.
Nível de preços:padrão |
A6 | A05 |
Mixed content
Nome da categoria na API: |
Os recursos são exibidos por HTTP em uma página HTTPS. Para resolver essa descoberta,
verifique se todos os recursos são exibidos por HTTPS.
Nível de preços:padrão |
A6 | A05 |
Outdated library
Nome da categoria na API: |
Foi detectada uma biblioteca com vulnerabilidades conhecidas. Para resolver essa
descoberta, faça upgrade das bibliotecas para uma versão mais recente.
Nível de preços:padrão |
A9 | A06 |
Server side request forgery
Nome da categoria na API: |
Uma vulnerabilidade de falsificação de solicitação do lado do servidor (SSRF, na sigla em inglês) foi detectada. Para resolver essa descoberta, use uma
lista de permissões para limitar os domínios e os endereços IP aos quais o aplicativo da Web podem fazer solicitações.
Nível de preços:padrão |
Não relevante | A10 |
Session ID leak
Nome da categoria na API: |
Ao fazer uma solicitação entre domínios, o aplicativo da Web inclui o identificador de sessão do usuário
no cabeçalho da solicitação Referer . Essa vulnerabilidade dá ao domínio de recebimento acesso
ao identificador da sessão, que pode ser usado para personificar ou identificar o usuário de maneira exclusiva.
Nível de preços: Premium |
A2 | A07 |
SQL injection
Nome da categoria na API: |
Foi detectada uma possível vulnerabilidade de injeção de SQL. Para resolver essa descoberta, use
consultas parametrizadas para evitar que as entradas do usuário influenciem a estrutura da consulta SQL.
Nível de preços: Premium |
A1 | A03 |
Struts insecure deserialization
Nome da categoria na API: |
Foi detectado o uso de uma versão vulnerável do Apache
Struts. Para resolver essa descoberta, faça upgrade do Apache Struts para a versão mais recente.
Nível de preços: Premium |
A8 | A08 |
XSS
Nome da categoria na API: |
Um campo nesse aplicativo da Web é vulnerável a um ataque
de scripting em vários locais (XSS). Para resolver isso, valide e escape dados
não confiáveis fornecidos pelo usuário.
Nível de preços:padrão |
A7 | A03 |
XSS angular callback
|
Uma string fornecida pelo usuário não tem escape e o AngularJS pode intercalá-la. Para
resolver isso, valide e escape dados não confiáveis fornecidos pelo usuário
e manipulados pelo framework Angular.
Nível de preços:padrão |
A7 | A03 |
XSS error
|
Um campo neste aplicativo da Web é vulnerável a um ataque
de scripting em vários locais. Para resolver isso, valide e escape dados
não confiáveis fornecidos pelo usuário.
Nível de preços:padrão |
A7 | A03 |
XXE reflected file leakage
Nome da categoria na API: |
Uma vulnerabilidade de entidade externa de XML (XXE) foi detectada. Isso pode fazer o aplicativo da Web
vazar um arquivo no host. Para resolver essa descoberta, configure seus analisadores de XML para proibir
entidades externas.
Nível de preços: Premium |
A4 | A05 |
Prototype pollution
Nome da categoria na API: |
O aplicativo está vulnerável à poluição de protótipos. Essa vulnerabilidade surge quando as propriedades
do objeto Object.prototype podem receber valores controlados pelo invasor. Os valores plantados nesses protótipos são universalmente convertidos em scripting em vários locais ou vulnerabilidades semelhantes no lado do cliente, bem como bugs lógicos.
Nível de preços:padrão |
A1 | A03 |
Descobertas e correções do Rapid Vulnerability Detection
O Rapid Vulnerability Detection detecta credenciais fracas, instalações de software incompletas e outras vulnerabilidades críticas com alta probabilidade de serem exploradas. O serviço descobre automaticamente endpoints de rede, protocolos, portas abertas, serviços de rede e pacotes de software instalados.
As descobertas da detecção de vulnerabilidades rápida são avisos antecipados de vulnerabilidades que recomendamos que você corrija imediatamente.
Para informações sobre como ver as descobertas, consulte Como analisar descobertas no Security Command Center.
As verificações do Rapid Vulnerability Detection identificam os tipos de descoberta a seguir.
Tipo de descoberta | Descrição da descoberta | 10 principais códigos OWASP |
---|---|---|
Descobertas de credenciais fracas | ||
WEAK_CREDENTIALS
|
Esse detector verifica credenciais fracas usando métodos de força bruta ncrack. Serviços com suporte: SSH, RDP, FTP, WordPress, TELNET, POP3, IMAP, VCS, SMB, SMB2, VNC, SIP, REDIS, PSQL, MYSQL, MSSQL, MQTT, MONGODB, WINRM, DICOM Correção: aplique uma política de senha forte. Crie credenciais exclusivas para seus serviços e evite usar palavras do dicionário nas senhas. |
2021 A07 2017 A2 |
Descobertas de interface exposta | ||
ELASTICSEARCH_API_EXPOSED
|
A
API Elasticsearch permite que os autores de chamadas realizem consultas arbitrárias, escrevam e executem scripts e adicionem mais documentos ao serviço.
Remediação: remova o acesso direto à API Elasticsearch encaminhando solicitações por um aplicativo ou limite o acesso apenas a usuários autenticados. Para mais informações, consulte Configurações de segurança no Elasticsearch. |
2021 A01, A05 2017 A5, A6 |
EXPOSED_GRAFANA_ENDPOINT
|
No Grafana 8.0.0 a 8.3.0, os usuários podem acessar sem autenticação um endpoint com uma vulnerabilidade de travessia de diretório que permite a qualquer usuário ler qualquer arquivo no servidor sem autenticação. Para mais informações, consulte CVE-2021-43798. Correção: aplique os patches ou faça upgrade do Grafana para uma versão posterior. Para mais informações, consulte Travessia de caminho do Grafana. |
2021 A06, A07 2017 A2, A9 |
EXPOSED_METABASE
|
As versões x.40.0 a x.40.4 do Metabase, uma plataforma de análise de dados de código aberto, contêm uma vulnerabilidade no suporte personalizado ao mapa GeoJSON e possível inclusão de arquivos locais, incluindo variáveis de ambiente. Os URLs não foram validados antes do carregamento. Para mais informações, consulte CVE-2021-41277. Correção: faça upgrade para as versões de manutenção 0.40.5 ou posterior ou 1.40.5 ou posterior. Para mais informações, consulte A validação de URL GeoJSON pode expor arquivos de servidor e variáveis de ambiente a usuários não autorizados. |
2021 A06 2017 A3, A9 |
EXPOSED_SPRING_BOOT_ACTUATOR_ENDPOINT
|
Esse detector verifica se os endpoints confidenciais do Atuador dos aplicativos do
Spring Boot estão expostos. Alguns dos endpoints padrão, como /heapdump , podem expor informações confidenciais. Outros endpoints, como /env , podem levar à execução remota de código.
No momento, apenas /heapdump está marcado.
Correção: desative o acesso aos endpoints confidenciais do Atuador. Para mais informações, consulte Como proteger os endpoints HTTP. |
2021 A01, A05 2017 A5, A6 |
HADOOP_YARN_UNAUTHENTICATED_RESOURCE_MANAGER_API
|
Esse detector verifica se a
API Hadoop Yarn ResourceManager, que controla os recursos de computação e armazenamento de um cluster do Hadoop, está exposta e permite a execução de código não autenticado.
Correção: use listas de controle de acesso com a API. |
2021 A01, A05 2017 A5, A6 |
JAVA_JMX_RMI_EXPOSED
|
A
Java Management Extension (JMX) permite realizar monitoramento e diagnósticos remotos para aplicativos Java. A execução de JMX com um endpoint de proteção de método remoto desprotegido permite que qualquer usuário remoto crie um javax.management.loading.MLet MBean e use-o para criar novos MBeans a partir de URLs arbitrários.
Correção: para configurar o monitoramento remoto corretamente, consulte Monitoramento e gerenciamento usando tecnologia JMX. |
2021 A01, A05 2017 A5, A6 |
JUPYTER_NOTEBOOK_EXPOSED_UI
|
Esse detector verifica se um Jupyter Notebook não autenticado está exposto. O Jupyter permite a execução remota de código no design na máquina host.
Um Jupyter Notebook não autenticado coloca a VM de hospedagem em risco de execução remota de código.
Correção: adicione a autenticação de token ao servidor do Jupyter Notebook ou use versões mais recentes do Jupyter Notebook que usam a autenticação de token por padrão. |
2021 A01, A05 2017 A5, A6 |
KUBERNETES_API_EXPOSED
|
A
API Kubernetes é exposta e pode ser acessada por autores
de chamadas não autenticados. Isso permite a execução arbitrária de código no cluster do Kubernetes.
Correção: exija autenticação para todas as solicitações de API. Para mais informações, consulte o guia de Autenticação da API Kubernetes. |
2021 A01, A05 2017 A5, A6 |
UNFINISHED_WORDPRESS_INSTALLATION
|
Esse detector verifica se uma instalação do WordPress está inacabada. Uma instalação incompleta do WordPress expõe a página /wp-admin/install.php , que permite que um invasor defina a senha do administrador e, possivelmente, comprometa o sistema.
Correção: conclua a instalação do WordPress. |
2021 A05 2017 A6 |
UNAUTHENTICATED_JENKINS_NEW_ITEM_CONSOLE
|
não autenticada enviando um ping de sondagem para o endpoint /view/all/newJob como um visitante anônimo. Uma instância autenticada do Jenkins mostra o formulário createItem , que permite a criação de jobs arbitrários que podem levar à execução remota de código.
Correção: siga o guia do Jenkins sobre como gerenciar a segurança para bloquear o acesso não autenticado. |
2021 A01, A05 2017 A5, A6 |
Descobertas de software vulnerável | ||
APACHE_HTTPD_RCE
|
Foi encontrada uma falha no Apache HTTP Server 2.4.49 que permite que um invasor use um ataque de travessia de caminho para mapear URLs para arquivos fora da raiz do documento esperada e veja a origem de arquivos interpretados, como scripts CGI. Esse problema já é explorado na prática. Ele afeta o Apache 2.4.49 e 2.4.50, mas não as versões anteriores. Para mais informações sobre essa vulnerabilidade, consulte: Correção: proteja arquivos fora da raiz do documento configurando a diretiva "require all denied" Apache HTTP Server. |
2021 A01, A06 2017 A5, A9 |
APACHE_HTTPD_SSRF
|
Os invasores podem criar um URI para o servidor da Web Apache que faz com que Correção: faça upgrade do Apache HTTP Server para uma versão mais recente. |
2021 A06, A10 2017 A9 |
CONSUL_RCE
|
Os invasores podem executar códigos arbitrários em um servidor do Consul porque a instância do Consul está configurada com
Após a verificação, o Rapid Vulnerability Detection faz a limpeza e cancela o registro do serviço usando o endpoint REST Correção: defina enable-script-checks como |
2021 A05, A06 2017 A6, A9 |
DRUID_RCE
|
O Apache Druid inclui a capacidade de executar códigos JavaScript fornecidos pelo usuário incorporados em vários tipos de solicitações. Essa funcionalidade é destinada para uso em ambientes de alta confiança e está desativada por padrão. Entretanto, no Druid 0.20.0 e anteriores, um usuário autenticado pode enviar uma solicitação especialmente elaborada que força o Druid a executar um código JavaScript fornecido pelo usuário para essa solicitação. independentemente da configuração do servidor. Isso pode ser usado para executar o código na máquina de destino com os privilégios do processo do servidor Druid. Para mais informações, consulte Detalhe da CVE-2021-25646. Remediação: faça upgrade do Apache Druid para uma versão mais recente. |
2021 A05, A06 2017 A6, A9 |
DRUPAL_RCE
Essa categoria inclui duas vulnerabilidades no Drupal. Várias descobertas desse tipo podem indicar mais de uma vulnerabilidade. |
As versões do Drupal anteriores à 7.58, 8.x anteriores à 8.3.9, 8.4.x anteriores à 8.4.6 e 8.5.x anteriores à 8.5.1 são vulneráveis à execução remota de código em solicitações AJAX da API Form.
Correção: faça upgrade para versões alternativas do Drupal. |
2021 A06 2017 A9 |
As versões do Drupal 8.5.x anteriores à 8.5.11 e 8.6.x anteriores à 8.6.10 são vulneráveis à execução remota de código quando o módulo RESTful Web Service ou o JSON:API está ativado. Essa vulnerabilidade pode ser explorada por um invasor não autenticado usando uma solicitação POST personalizada.
Correção: faça upgrade para versões alternativas do Drupal. |
2021 A06 2017 A9 |
|
FLINK_FILE_DISCLOSURE
|
Uma vulnerabilidade nas versões 1.11.0, 1.11.1 e 1.11.2 do
apache Flink permite que invasores leiam qualquer arquivo no sistema de arquivos local do JobManager por meio da interface REST. do processo do JobManager. O acesso é restrito a arquivos acessíveis pelo processo do JobManager.
Correção: se as instâncias do Flink estiverem expostas, faça upgrade para o Flink 1.11.3 ou 1.12.0. |
2021 A01, A05, A06 2017 A5, A6, A9 |
GITLAB_RCE
|
Nas versões 11.9 e mais recentes do GitLab Community Edition (CE) e Enterprise Edition (EE), o GitLab não valida corretamente os arquivos de imagem transmitidos para um analisador de arquivos. Um invasor pode explorar essa vulnerabilidade para a execução de comandos remotos. Correção: faça upgrade para o GitLab CE ou EE versões 13.10.3, 13.9.6 e 13.8.8 ou mais recentes. Para mais informações, consulte Ação necessária para clientes autogerenciados em resposta à CVE-2021-22205. |
2021 A06 2017 A9 |
GoCD_RCE
|
No GoCD 21.2.0 e anteriores, há um endpoint que pode ser acessado sem autenticação. Esse endpoint tem uma vulnerabilidade de travessia de diretório que permite ao usuário ler qualquer arquivo no servidor sem autenticação. Correção: faça upgrade para a versão 21.3.0 ou mais recente. Para mais informações, consulte as Notas da versão do GoCD 21.3.0. |
2021 A06, A07 2017 A2, A9 |
JENKINS_RCE
|
As versões 2.56 e anteriores do Jenkins e as versões 2.46.1 LTS e anteriores são vulneráveis à execução remota de código. Essa vulnerabilidade pode ser acionada por um invasor não autenticado usando um objeto Java serializado e malicioso.
Correção: instale uma versão alternativa do Jenkins. |
2021 A06, A08 2017 A8, A9 |
JOOMLA_RCE
Esta categoria inclui duas vulnerabilidades no Joomla. Várias descobertas desse tipo podem indicar mais de uma vulnerabilidade. |
As versões 1.5.x, 2.x e 3.x anteriores à 3.4.6 do Joomla são vulneráveis à execução remota de código. Essa vulnerabilidade pode ser acionada com um cabeçalho elaborado que contém objetos PHP serializados.
Correção: instale uma versão alternativa do Joomla. |
2021 A06, A08 2017 A8, A9 |
As versões 3.0.0 a 3.4.6 do
Joomla são vulneráveis à execução remota de código. Essa vulnerabilidade pode ser acionada com o envio de uma solicitação POST que contém um objeto PHP serializado elaborado.
Correção: instale uma versão alternativa do Joomla. |
2021 A06 2017 A9 |
|
LOG4J_RCE
|
No Apache Log4j2 2.14.1 e anteriores, os recursos do JNDI usados em configurações, mensagens de registro e parâmetros não são protegidos contra LDAP controlado por invasor e outros endpoints relacionados ao JNDI. Para mais informações, consulte CVE-2021-44228. Correção: para informações de correção, consulte vulnerabilidades de segurança do Apache Log4j. |
2021 A06 2017 A9 |
MANTISBT_PRIVILEGE_ESCALATION
|
O MantisBT até a versão 2.3.0 permite a redefinição de senha arbitrária e o acesso de administrador não autenticado fornecendo um valor confirm_hash vazio para verify.php .
Correção: atualize o MantisBT para uma versão mais recente ou siga as instruções do Mantis para aplicar uma correção crítica de segurança. |
2021 A06 2017 A9 |
OGNL_RCE
|
As instâncias do servidor e data center Confluence contêm uma vulnerabilidade de injeção de OGNL que permite que um invasor não autenticado execute código arbitrário. Para mais informações, consulte CVE-2021-26084. Correção: para informações sobre a correção, consulte Injeção de OGNL para webwork no servidor Confluence - CVE-2021-26084. |
2021 A03 2017 A1 |
OPENAM_RCE
|
O servidor OpenAM 14.6.2 e anteriores e o servidor ForgeRock AM 6.5.3 e anteriores têm uma vulnerabilidade de desserialização Java no parâmetro Correção: faça upgrade para uma versão mais recente. Para informações sobre a correção do ForgeRock, consulte Consultoria de segurança do AM #202104. |
2021 A06 2017 A9 |
ORACLE_WEBLOGIC_RCE
|
Certas versões do produto Oracle WebLogic Server do Oracle Fusion Middleware (componente: console) contêm uma vulnerabilidade, incluindo as versões 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 e 14.1.1.0.0. Essa vulnerabilidade fácil de explorar permite que um invasor não autenticado com acesso de rede por HTTP comprometa um Oracle WebLogic Server. Ataques bem-sucedidos dessa vulnerabilidade podem resultar na invasão do Oracle WebLogic Server. Para mais informações, consulte CVE-2020-14882. Correção: para informações sobre patch, consulte Consultoria de atualização de patch crítico da Oracle - outubro de 2020. |
2021 A06, A07 2017 A2, A9 |
PHPUNIT_RCE
|
As versões
PHPUnit anteriores à 5.6.3 permitem a execução de código remoto com uma
única solicitação POST não autenticada.
Correção: faça upgrade para versões mais recentes do PHPUnit. |
2021: A05 2017: A6 |
PHP_CGI_RCE
|
As versões PHP anteriores à 5.3.12 e as versões 5.4.x anteriores à 5.4.2, quando configuradas como um script CGI, permitem a execução remota de código. O código vulnerável não processa corretamente as strings de consulta que não têm um caractere = (sinal de igual). Isso permite que invasores adicionem opções de linha de comando que sejam executadas no servidor.
Correção: instale uma versão alternativa do PHP. |
2021 A05, A06 2017 A6, A9 |
PORTAL_RCE
|
A desserialização de dados não confiáveis nas versões do
Liferay Portal anteriores ao 7.2.1 CE GA2 permite que invasores remotos
executem código arbitrário por meio dos serviços da Web JSON.
Correção: faça upgrade para versões mais recentes do Liferay Portal. |
2021 A06, A08 2017 A8, A9 |
REDIS_RCE
|
Se uma instância do Redis não exigir autenticação para executar comandos de administrador, os invasores serão capazes de executar código arbitrário. Remediação : configure o Redis para exigir autenticação. |
2021 A01, A05 2017 A5, A6 |
SOLR_FILE_EXPOSED
|
A autenticação não está ativada no Apache Solr, um servidor de pesquisa de código aberto. Quando o Apache Solr não exige autenticação, um invasor pode elaborar uma solicitação diretamente para ativar uma configuração específica e, por fim, implementar uma falsificação de solicitação do lado do servidor (SSRF) ou ler arquivos arbitrários. Correção: faça upgrade para versões alternativas do Apache Solr. |
2021 A07, A10 2017 A2 |
SOLR_RCE
|
As versões 5.0.0 à 8.3.1 do Apache Solr são vulneráveis à execução remota de código pelo VelocityResponseWriter quando params.resource.loader.enabled está definida como true . Isso permite que invasores criem um parâmetro que contenha um modelo de velocidade malicioso.
Correção: faça upgrade para versões alternativas do Apache Solr. |
2021 A06 2017 A9 |
STRUTS_RCE
Esta categoria inclui três vulnerabilidades no Apache Struts. Várias descobertas desse tipo podem indicar mais de uma vulnerabilidade. |
As versões do Apache Struts anteriores à 2.3.32 e 2.5.x anteriores à 2.5.10.1 são vulneráveis à execução remota de código. A vulnerabilidade pode ser acionada por um invasor não autenticado que fornece um cabeçalho Content-Type elaborado.
Correção: instale uma versão alternativa do Apache Struts. |
2021 A06 2017 A9 |
O
plug-in REST das versões 2.1.1 a 2.3.x do Apache Struts anteriores à 2.3.34 e 2.5.x anteriores à 2.5.13 é vulnerável à execução remota de código durante a desserialização de payloads XML criados.
Correção: instale uma versão alternativa do Apache Struts. |
2021 A06, A08 2017 A8, A9 |
|
As versões 2.3 a 2.3.34 e 2.5 a 2.5.16 do
apache Struts são vulneráveis à execução remota de código quando alwaysSelectFullNamespace está definido como true e determinados existem outras configurações de ação.
Correção: instale a versão 2.3.35 ou 2.5.17. |
2021 A06 2017 A9 |
|
TOMCAT_FILE_DISCLOSURE
|
Apache Tomcat versões 9.x anteriores a 9.0.31, 8.x anteriores a 8.5.51, 7.x anteriores a 7.0.100 e todas as versões 6.x vulneráveis a códigos-fonte e a configuração por meio de um conector de protocolo Apache JServ exposto. Em alguns casos, ele é aproveitado para executar código remoto se o upload de arquivos for permitido.
Correção: faça upgrade para versões alternativas do Apache Tomcat. |
2021 A06 2017 A3, A9 |
VBULLETIN_RCE
|
Os servidores
vBulletin que executam as versões 5.0.0 até 5.5.4 estão vulneráveis à execução remota de código. Essa vulnerabilidade pode ser explorada por um invasor não autenticado usando um parâmetro de consulta em uma solicitação routestring .
Correção: faça upgrade para versões alternativas do VMware vCenter Server. |
2021 A03, A06 2017 A1, A9 |
VCENTER_RCE
|
As versões do VMware vCenter Server 7.x anteriores à 7.0 U1c, 6.7 anteriores à 6.7 U3l e 6.5 anteriores à 6.5 U3n são vulneráveis à execução remota de código. Essa vulnerabilidade pode ser acionada por um invasor que faz o upload de um arquivo do
Server Server criado para um diretório acessível pela Web e, em seguida, aciona a execução
desse arquivo.
Correção: faça upgrade para versões alternativas do VMware vCenter Server. |
2021 A06 2017 A9 |
WEBLOGIC_RCE
|
Certas versões do produto Oracle WebLogic Server do Oracle Fusion Middleware (componente: console) contêm uma vulnerabilidade de execução de código remoto, incluindo as versões 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 e 14.1.1.0.0. Essa vulnerabilidade está relacionada a CVE-2020-14750, CVE-2020-14882, CVE-2020-14883. Para mais informações, consulte CVE-2020-14883. Correção: para informações sobre patch, consulte Consultoria de atualização de patch crítico da Oracle - outubro de 2020. |
2021 A06, A07 2017 A2, A9 |
Descobertas do recomendador do IAM
A tabela a seguir lista as descobertas do Security Command Center geradas pelo recomendador do IAM.
Cada descoberta de recomendador do IAM contém recomendações específicas para remover ou substituir um papel que inclui permissões excessivas de um principal no ambiente do Google Cloud.
As descobertas geradas pelo recomendador do IAM correspondem às recomendações que aparecem no Console do Google Cloud na página do IAM do projeto, da pasta ou da organização afetada.
Para mais informações sobre a integração do recomendador do IAM com o Security Command Center, consulte Fontes de segurança.
Detector | Resumo |
---|---|
IAM role has excessive permissions
Nome da categoria na API: |
Descrição da descoberta: o recomendador do IAM detectou uma conta de serviço que tem um ou mais papéis do IAM com permissões excessivas para a conta de usuário. Nível de preços: Premium Recursos compatíveis:
Corrigir essa descoberta :Use o recomendador do IAM para aplicar a correção recomendada desta descoberta seguindo estas etapas:
Depois que o problema é corrigido, o recomendador do IAM atualiza o status da descoberta para |
Service agent role replaced with basic role
Nome da categoria na API: |
Descrição da descoberta: o recomendador do IAM detectou que o papel do IAM padrão original concedido a um agente de serviço foi substituído por um dos papéis básicos do IAM: Proprietária, Editor ou Espectador do Google Analytics. Papéis básicos são papéis legados excessivamente permissivos e não devem ser concedidos a agentes de serviço. Nível de preços: Premium Recursos compatíveis:
Corrigir essa descoberta :Use o recomendador do IAM para aplicar a correção recomendada desta descoberta seguindo estas etapas:
Depois que o problema é corrigido, o recomendador do IAM atualiza o status da descoberta para |
Service agent granted basic role
Nome da categoria na API: |
Descrição da descoberta: o recomendador do IAM detectou que o agente de serviço recebeu um dos papéis básicos do IAM: Proprietário, Editor ou Leitor. Papéis básicos são papéis legados excessivamente permissivos e não devem ser concedidos a agentes de serviço. Nível de preços: Premium Recursos compatíveis:
Corrigir essa descoberta :Use o recomendador do IAM para aplicar a correção recomendada desta descoberta seguindo estas etapas:
Depois que o problema é corrigido, o recomendador do IAM atualiza o status da descoberta para |
Unused IAM role
Nome da categoria na API: |
Descrição da descoberta: o recomendador do IAM detectou uma conta de usuário que tem um papel de IAM que não foi usado nos últimos 90 dias. Nível de preços: Premium Recursos compatíveis:
Corrigir essa descoberta :Use o recomendador do IAM para aplicar a correção recomendada desta descoberta seguindo estas etapas:
Depois que o problema é corrigido, o recomendador do IAM atualiza o status da descoberta para |
Descobertas do serviço de postura de segurança
A tabela a seguir lista as descobertas do Security Command Center geradas pelo serviço de postura de segurança.
Cada descoberta do serviço de postura de segurança identifica uma instância de desvio da postura de segurança definida.
Localizando | Resumo |
---|---|
SHA Canned Module Drifted
Nome da categoria na API: |
Descrição da descoberta:o serviço de postura de segurança detectou uma mudança em um detector da Análise de integridade da segurança que ocorreu fora de uma atualização de postura. Nível de preços: Premium
Corrigir essa descoberta :Essa descoberta exige que você aceite a alteração ou reverta a alteração para que as configurações do detector na sua postura e no seu ambiente correspondam. Você tem duas opções para resolver essa descoberta: atualizar o detector da Análise de integridade da segurança ou atualizar a postura e a implantação dela. Para reverter a mudança, atualize o detector da Análise de integridade da segurança no console do Google Cloud. Para mais instruções, consulte Ativar e desativar detectores. Para aceitar a mudança, siga estas etapas:
|
SHA Custom Module Drifted
Nome da categoria na API: |
Descrição da descoberta:o serviço de postura de segurança detectou uma mudança em um módulo personalizado da Análise de integridade da segurança que ocorreu fora de uma atualização de postura. Nível de preços: Premium Corrigir essa descoberta :Essa descoberta exige que você aceite a mudança ou a reverta para que as configurações do módulo personalizado na sua postura sejam iguais às do ambiente. Você tem duas opções para resolver essa descoberta: atualizar o módulo personalizado da Análise de integridade da segurança ou atualizar a postura e a implantação dela. Para reverter a mudança, atualize o módulo personalizado da Análise de integridade da segurança no console do Google Cloud. Para conferir instruções, consulte Atualizar um módulo personalizado. Para aceitar a mudança, siga estas etapas:
|
SHA Custom Module Deleted
Nome da categoria na API: |
Descrição da descoberta:o serviço de postura de segurança detectou que um módulo personalizado da Análise de integridade da segurança foi excluído. Esta exclusão ocorreu fora de uma atualização de postura. Nível de preços: Premium Corrigir essa descoberta :Essa descoberta exige que você aceite a mudança ou a reverta para que as configurações do módulo personalizado na sua postura sejam iguais às do ambiente. Você tem duas opções para resolver essa descoberta: atualizar o módulo personalizado da Análise de integridade da segurança ou atualizar a postura e a implantação dela. Para reverter a mudança, atualize o módulo personalizado da Análise de integridade da segurança no console do Google Cloud. Para conferir instruções, consulte Atualizar um módulo personalizado. Para aceitar a mudança, siga estas etapas:
|
Org Policy Canned Constraint Drifted
Nome da categoria na API: |
Descrição da descoberta: o serviço de postura de segurança detectou uma mudança em uma política da organização que ocorreu fora de uma atualização de postura. Nível de preços: Premium Corrigir essa descoberta :Essa descoberta exige que você aceite a alteração ou reverta a alteração para que as definições de política da organização na sua postura correspondam ao ambiente. Você tem duas opções para resolver essa descoberta: atualizar a política da organização ou atualizar a postura e a implantação dela. Para reverter a alteração, atualize a política da organização no console do Google Cloud. Consulte as instruções em Como criar e editar políticas. Para aceitar a mudança, siga estas etapas:
|
Org Policy Canned Constraint Deleted
Nome da categoria na API: |
Descrição da descoberta: o serviço de postura de segurança detectou que uma política da organização foi excluída. Esta exclusão ocorreu fora de uma atualização de postura. Nível de preços: Premium Corrigir essa descoberta :Essa descoberta exige que você aceite a alteração ou reverta a alteração para que as definições de política da organização na sua postura correspondam ao ambiente. Você tem duas opções para resolver essa descoberta: atualizar a política da organização ou atualizar a postura e a implantação dela. Para reverter a alteração, atualize a política da organização no console do Google Cloud. Consulte as instruções em Como criar e editar políticas. Para aceitar a mudança, siga estas etapas:
|
Org Policy Custom Constraint Drifted
Nome da categoria na API: |
Descrição da descoberta: o serviço de postura de segurança detectou uma mudança em uma política da organização personalizada que ocorreu fora de uma atualização de postura. Nível de preços: Premium Corrigir essa descoberta :Essa descoberta exige que você aceite a alteração ou reverta a alteração para que as definições da política personalizada da organização na sua postura e no seu ambiente correspondam. Você tem duas opções para resolver essa descoberta: atualizar a política da organização personalizada ou atualizar a postura e a implantação dela. Para reverter a alteração, atualize a política da organização personalizada no console do Google Cloud. Para instruções, consulte Atualizar uma restrição personalizada. Para aceitar a mudança, siga estas etapas:
|
Org Policy Custom Constraint Deleted
Nome da categoria na API: |
Descrição da descoberta: o serviço de postura de segurança detectou que uma política da organização personalizada foi excluída. Esta exclusão ocorreu fora de uma atualização de postura. Nível de preços: Premium Corrigir essa descoberta :Essa descoberta exige que você aceite a alteração ou reverta a alteração para que as definições da política personalizada da organização na sua postura e no seu ambiente correspondam. Você tem duas opções para resolver essa descoberta: atualizar a política da organização personalizada ou atualizar a postura e a implantação dela. Para reverter a alteração, atualize a política da organização personalizada no console do Google Cloud. Para instruções, consulte Atualizar uma restrição personalizada. Para aceitar a mudança, siga estas etapas:
|
VM Manager
O VM Manager é um conjunto de ferramentas que podem ser usadas para gerenciar sistemas operacionais para grandes frotas de máquinas virtuais (VMs) que executam o Windows e o Linux no Compute Engine.
Se você ativar o VM Manager com o Security Command Center Premium no nível da organização, as descobertas dos relatórios de vulnerabilidade, que estão na visualização, serão gravadas no Security Command Center. Os relatórios identificam vulnerabilidades nos sistemas operacionais instalados em VMs, incluindo Vulnerabilidades e exposições comuns (CVEs, na sigla em inglês).
Para usar o VM Manager com ativações em nível de projeto do Security Command Center Premium, ative o Security Command Center Standard na organização pai.
Os relatórios de vulnerabilidades não estão disponíveis para o Security Command Center Standard.
As descobertas simplificam o processo de uso do recurso Conformidade com o patch do VM Manager, que está em fase de pré-lançamento. O recurso permite realizar o gerenciamento de patches no nível da organização em todos os projetos.
A gravidade das descobertas de vulnerabilidade recebidas do
VM Manager é sempre CRITICAL
ou
HIGH
.
Descobertas do VM Manager
Todas as vulnerabilidades desse tipo estão relacionadas aos pacotes de sistema operacional instalados nas VMs do Compute Engine compatíveis.
Detector | Resumo | Configurações da verificação de recursos | Padrões de compliance |
---|---|---|---|
OS vulnerability
Nome da categoria na API: |
Como encontrar a descrição: o VM Manager detectou uma vulnerabilidade no pacote do sistema operacional (SO) instalado de uma VM do Compute Engine. Nível de preços: Premium
Recursos compatíveis |
Os relatórios de vulnerabilidade do VM Manager detalham as vulnerabilidades em pacotes de sistema operacional instalados em VMs do Compute Engine, incluindo Vulnerabilidades e exposições comuns (CVEs, na sigla em inglês). Para uma lista completa dos sistemas operacionais compatíveis, consulte Detalhes do sistema operacional.As descobertas são exibidas no Security Command Center pouco depois que as vulnerabilidades são detectadas. Os relatórios de vulnerabilidades no VM Manager são gerados da seguinte maneira:
|
Como corrigir as descobertas do VM Manager
Uma descoberta OS_VULNERABILITY
indica que o VM Manager encontrou uma
vulnerabilidade nos pacotes do sistema operacional instalados em uma VM do Compute
Engine.
Para corrigir essa descoberta, faça o seguinte:
Acesse a página Descobertas no Security Command Center.
Se necessário, selecione o projeto ou a organização do Google Cloud.
Na subseção Categoria de Filtros rápidos, selecione Vulnerabilidade do SO. Os resultados da consulta de descobertas são filtrados para mostrar somente as descobertas de vulnerabilidade do SO.
Na coluna Categoria da lista Resultados da consulta de descobertas, clique no nome da categoria da descoberta que você está corrigindo. A página de detalhes da vulnerabilidade do SO será aberta.
Clique na guia JSON. O JSON desta descoberta é exibido.
Copie o valor do campo
externalUri
. Esse valor é o URI da página Informações do SO da instância de VM do Compute Engine em que o sistema operacional vulnerável está instalado.Aplique todos os patches apropriados para o SO exibido na seção Informações básicas. Para instruções sobre a implantação de patches, consulte Criar jobs de patch.
recursos compatíveis e configurações de verificação desse tipo de descoberta.
Saiba mais sobreAnalisar descobertas no console do Google Cloud
Use o procedimento a seguir para analisar as descobertas no console do Google Cloud:
Acesse a página Descobertas do Security Command Center no Console do Google Cloud.
Se necessário, selecione o projeto ou a organização do Google Cloud.
Na seção Filtros rápidos, na subseção Nome de exibição da origem, selecione VM Manager.
A tabela é preenchida com descobertas do VM Manager.
Para ver detalhes sobre uma descoberta específica, clique no nome da descoberta em
Category
. O painel de detalhes da descoberta é aberto e exibe a guia Resumo.Na guia Resumo, revise as informações sobre a descoberta, incluindo o que foi detectado, o recurso afetado e mais.
Para saber como corrigir as descobertas do VM Manager, consulte Como corrigir as descobertas do VM Manager.
Silenciar descobertas do VM Manager
Oculte algumas ou todas as descobertas do VM Manager no Security Command Center, se elas não forem relevantes para seus requisitos de segurança.
É possível ocultar as descobertas do VM Manager criando uma regra de silenciamento e adicionando atributos de consulta específicos às descobertas do VM Manager que você quer ocultar.
Para criar uma regra de silenciamento para o VM Manager usando o console do Google Cloud, faça o seguinte:
No console do Google Cloud, acesse a página Descobertas do Security Command Center.
Se necessário, selecione o projeto ou a organização do Google Cloud.
Clique em Opções de silenciamento e selecione Criar regra de silenciamento.
Digite um ID da regra de silenciamento. Esse valor é obrigatório.
Insira uma descrição de regra de silenciamento que forneça contexto para explicar por que as descobertas são silenciadas. Esse valor é opcional, mas recomendado.
Confirme o escopo da regra de silenciamento verificando o valor de Recurso pai.
No campo Consulta de descobertas, clique em Adicionar filtro para criar as instruções de consulta. Se preferir, digite as instruções de consulta manualmente.
- Na caixa de diálogo Selecionar filtro, selecione Finding > Source display name > VM Manager.
- Clique em Aplicar.
Repita até que a consulta silenciada contenha todos os atributos que você deseja ocultar.
Por exemplo, se você quiser ocultar IDs de CVE específicos nas descobertas de vulnerabilidade do VM Manager, selecione Vulnerabilidade > ID de CVE e, em seguida, selecione os IDs de CVE que quer ocultar.
A consulta de descoberta é semelhante a esta:
Clique em Visualizar descobertas correspondentes.
Uma tabela mostra descobertas que correspondem à sua consulta.
Clique em Salvar.
Proteção de dados sensíveis
Nesta seção, descrevemos as descobertas de vulnerabilidade geradas pela proteção de dados confidenciais, quais padrões de conformidade têm suporte e como corrigir essas descobertas.
A proteção de dados confidenciais também envia descobertas observacionais ao Security Command Center. Para mais informações sobre as descobertas de observação e a proteção de dados confidenciais, consulte Proteção de dados confidenciais.
Para mais informações sobre como visualizar as descobertas, consulte Analisar as descobertas de proteção de dados sensíveis no console do Google Cloud.
O serviço de descoberta da proteção de dados confidenciais ajuda a determinar se as variáveis de ambiente do Cloud Functions contêm secrets, como senhas, tokens de autenticação e credenciais do Google Cloud. Para acessar a lista completa de tipos de secrets que a proteção de dados confidenciais detecta nesse recurso, consulte Credenciais e secrets.
Tipo de descoberta | Descrição da descoberta | Padrões de compliance |
---|---|---|
Secrets in environment variables Nome da categoria na API: SECRETS_IN_ENVIRONMENT_VARIABLES
|
Esse detector verifica secrets nas variáveis de ambiente do Cloud Functions.
Correção: remova o secret da variável de ambiente e armazene-o no Secret Manager. |
CIS GCP Foundation 1.3: 1.18 CIS GCP Foundation 2.0: 1.18 |
Para ativar esse detector, consulte Informar secrets em variáveis de ambiente para o Security Command Center na documentação da proteção de dados confidenciais.
Policy Controller
O Policy Controller permite a aplicação de políticas programáveis para os clusters do Kubernetes registrados como associações de frotas. Essas políticas funcionam como proteções e podem ajudar nas práticas recomendadas, na segurança e no gerenciamento de conformidade dos clusters e frotas.
Esta página não lista todas as descobertas individuais do Policy Controller, mas
as informações sobre as descobertas de classe Misconfiguration
que o Policy Controller
grava no Security Command Center são as mesmas que as violações de cluster documentadas
para cada pacote do Policy Controller. A documentação dos tipos de descobertas individuais do Policy Controller
está nos pacotes a seguir:
- Comparativo de mercado CIS do Kubernetes v1.5.1,
um conjunto de recomendações para configurar o Kubernetes e oferecer suporte a uma postura de segurança
forte. Também é possível ver informações sobre esse pacote no
repositório do GitHub para
cis-k8s-v1.5.1
. - PCI-DSS v3.2.1,
um pacote que avalia a conformidade dos recursos do cluster em relação a
alguns aspectos do Padrão de segurança de dados do setor de cartões de pagamento (PCI DSS) v3.2.1.
Também é possível ver informações sobre esse pacote no
repositório do GitHub para
pci-dss-v3
.
Esse recurso não é compatível com os perímetros de serviço do VPC Service Controls na API Stackdriver.
Como encontrar e corrigir descobertas do Policy Controller
As categorias do Policy Controller correspondem aos nomes de restrição listados na
documentação dos pacotes do Policy Controller. Por exemplo, uma descoberta de
require-namespace-network-policies
indica que um namespace viola a política de que todo namespace em um cluster
tem um NetworkPolicy
.
Para corrigir uma descoberta, faça o seguinte:
Acesse a página Descobertas no Security Command Center.
Se necessário, selecione o projeto ou a organização do Google Cloud.
Na subseção Categoria de Filtros rápidos, selecione o nome da descoberta do Policy Controller que você quer corrigir. Os resultados da consulta de descobertas são filtrados para mostrar apenas as descobertas dessa categoria.
Na coluna Categoria da lista Resultados da consulta de descobertas, clique no nome da categoria da descoberta que você está corrigindo. A página de detalhes da descoberta é aberta.
Na guia Resumo, revise as informações sobre a descoberta, incluindo o que foi detectado, o recurso afetado e mais.
No título Próximas etapas, analise as informações sobre como corrigir a descoberta, incluindo links para a documentação do Kubernetes sobre o problema.
A seguir
- Saiba como usar o Security Health Analytics.
- Saiba como usar o Web Security Scanner.
- Saiba como usar o Rapid Vulnerability Detection.
- Leia sugestões para saber como corrigir as descobertas do Security Health Analytics e como corrigir as descobertas do Web Security Scanner.