Diese Seite enthält eine Liste der Erkennungsdienste, die manchmal auch sogenannte Sicherheitsquellen. Sie werden von Security Command Center verwendet, Sicherheitsprobleme in Ihren Cloud-Umgebungen.
Wenn diese Dienste ein Problem erkennen, generieren sie einen Ergebnisdatensatz. Dieser Datensatz enthält Informationen zum Sicherheitsproblem und hilft Ihnen, das Problem zu priorisieren und zu beheben.
Sie können die Ergebnisse in der Google Cloud Console ansehen und filtern z. B. nach dem Ergebnistyp, dem Ressourcentyp oder für ein bestimmtes Asset. Jede Sicherheitsquelle bietet möglicherweise weitere Filter, helfen Ihnen, Ihre Ergebnisse zu strukturieren.
Die IAM-Rollen für Security Command Center können in der Organisation, Ordner- oder Projektebene. Ihre Fähigkeit, Ergebnisse, Assets, und Sicherheitsquellen hängen von der Zugriffsebene ab. Weitere Informationen über Security Command Center-Rollen finden Sie unter Zugriffssteuerung.
Dienste zur Erkennung von Sicherheitslücken
Zu den Diensten zur Erkennung von Sicherheitslücken gehören integrierte und eingebundene Dienste, die Softwarelücken, Fehlkonfigurationen und Verstöße gegen die Sicherheitsanforderungen in Ihren Cloud-Umgebungen erkennen. Zusammengenommen werden diese Typen der Sicherheitsprobleme werden als Sicherheitslücken bezeichnet.
Dashboard für den GKE-Sicherheitsstatus
Das Dashboard für den GKE-Sicherheitsstatus ist eine Seite im Google Cloud Console, die Ihnen fundierte, umsetzbare Ergebnisse liefert über potenzielle Sicherheitsprobleme in Ihren GKE-Clustern.
Wenn Sie eines der folgenden Dashboards für den GKE-Sicherheitsstatus aktivieren sehen Sie die Ergebnisse in der Standard-Stufe von Security Command Center oder Premium-Stufe:
Dashboard-Feature für GKE-Sicherheitsstatus | Security Command Center-Ergebnisklasse |
---|---|
Prüfung der Arbeitslastkonfiguration | MISCONFIGURATION |
VULNERABILITY |
Die Ergebnisse enthalten Informationen zum Sicherheitsproblem Empfehlungen zur Behebung der Probleme in Ihren Arbeitslasten oder Clustern.
Ergebnisse im Dashboard für den GKE-Sicherheitsstatus in der Console ansehen
Google Cloud Console
- Rufen Sie in der Google Cloud Console die Seite Ergebnisse von Security Command Center auf.
- Wählen Sie Ihr Google Cloud-Projekt oder Ihre Organisation aus.
- Wählen Sie im Abschnitt Schnellfilter im Unterabschnitt Anzeigename der Quelle die Option GKE-Sicherheitsstatus aus. Die Ergebnisse der Ergebnisabfrage werden so aktualisiert, dass nur die Ergebnisse aus dieser Quelle.
- Wenn Sie sich die Details eines bestimmten Ergebnisses ansehen möchten, klicken Sie unter Kategorie auf den Namen des Ergebnisses. Die Der Detailbereich für das Ergebnis wird geöffnet und zeigt den Tab Zusammenfassung an.
- Sehen Sie sich auf dem Tab Zusammenfassung die Details des Ergebnisses an, einschließlich Informationen zu was erkannt wurde, die betroffene Ressource und – falls verfügbar – Schritte, die Sie um das Ergebnis zu beheben.
- Optional: Um die vollständige JSON-Definition des Ergebnisses anzusehen, klicken Sie auf den Tab JSON.
Security Operations Console (Vorschau)
-
Rufen Sie in der Security Operations-Konsole die Seite Ergebnisse auf.
https://CUSTOMER_SUBDOMAIN.backstory.chronicle.security/posture/findings
Ersetzen Sie
CUSTOMER_SUBDOMAIN
durch Ihre kundenspezifische Kennung. - Klicken Sie im Abschnitt Aggregationen, um den Anzeigenamen der Quelle zu maximieren. Unterabschnitt.
- Wählen Sie GKE-Sicherheitsstatus aus. Die Ergebnisse der Ergebnisabfrage werden so aktualisiert, dass nur die Ergebnisse aus dieser Quelle.
- Wenn Sie sich die Details eines bestimmten Ergebnisses ansehen möchten, klicken Sie unter Kategorie auf den Namen des Ergebnisses. Die Der Detailbereich für das Ergebnis wird geöffnet und zeigt den Tab Zusammenfassung an.
- Sehen Sie sich auf dem Tab Zusammenfassung die Details des Ergebnisses an, einschließlich Informationen zu was erkannt wurde, die betroffene Ressource und – falls verfügbar – Schritte, die Sie um das Ergebnis zu beheben.
- Optional: Um die vollständige JSON-Definition des Ergebnisses anzusehen, klicken Sie auf den Tab JSON.
IAM Recommender
IAM Recommender Empfehlungen zur Verbesserung der Sicherheit, die Sie befolgen können, indem Sie oder IAM-Rollen durch Hauptkonten ersetzen, wenn die Rollen IAM-Berechtigungen, die das Hauptkonto nicht benötigt.
IAM-Recommender-Ergebnisse aktivieren oder deaktivieren
So aktivieren oder deaktivieren Sie IAM-Recommender-Ergebnisse in Security Command Center: führen Sie folgende Schritte aus:
Rufen Sie in Security Command Center den Tab Integrierte Dienste auf. Seite Einstellungen in der Google Cloud Console:
Scrollen Sie gegebenenfalls nach unten zum Eintrag IAM Recommender.
Wählen Sie rechts neben dem Eintrag Aktivieren oder Deaktivieren aus.
Die Ergebnisse des IAM-Recommenders werden als Sicherheitslücken klassifiziert.
Maximieren Sie den folgenden Abschnitt, um Probleme mit einem IAM-Recommender-Ergebnis zu beheben: Tabelle mit den Ergebnissen des IAM-Recommenders. Die Abhilfemaßnahmen für jedes Ergebnis im Tabelleneintrag enthalten sein.
Ergebnisse des IAM Recommenders in der Console aufrufen
Google Cloud Console
- Rufen Sie in der Google Cloud Console die Seite Ergebnisse von Security Command Center auf.
- Wählen Sie Ihr Google Cloud-Projekt oder Ihre Organisation aus.
- Wählen Sie im Abschnitt Schnellfilter im Unterabschnitt Anzeigename der Quelle die Option IAM Recommender Die Ergebnisse der Ergebnisabfrage werden so aktualisiert, dass nur die Ergebnisse aus dieser Quelle.
- Wenn Sie sich die Details eines bestimmten Ergebnisses ansehen möchten, klicken Sie unter Kategorie auf den Namen des Ergebnisses. Die Der Detailbereich für das Ergebnis wird geöffnet und zeigt den Tab Zusammenfassung an.
- Sehen Sie sich auf dem Tab Zusammenfassung die Details des Ergebnisses an, einschließlich Informationen zu was erkannt wurde, die betroffene Ressource und – falls verfügbar – Schritte, die Sie um das Ergebnis zu beheben.
- Optional: Um die vollständige JSON-Definition des Ergebnisses anzusehen, klicken Sie auf den Tab JSON.
Security Operations Console (Vorabversion)
-
Rufen Sie in der Security Operations-Konsole die Seite Ergebnisse auf.
https://CUSTOMER_SUBDOMAIN.backstory.chronicle.security/posture/findings
Ersetzen Sie
CUSTOMER_SUBDOMAIN
durch Ihre kundenspezifische Kennung. - Klicken Sie im Abschnitt Aggregationen, um den Anzeigenamen der Quelle zu maximieren. Unterabschnitt.
- Wählen Sie IAM Recommender aus. Die Ergebnisse der Ergebnisabfrage werden aktualisiert, sodass nur die Ergebnisse aus dieser Quelle angezeigt werden.
- Wenn Sie sich die Details eines bestimmten Ergebnisses ansehen möchten, klicken Sie unter Kategorie auf den Namen des Ergebnisses. Die Der Detailbereich für das Ergebnis wird geöffnet und zeigt den Tab Zusammenfassung an.
- Sehen Sie sich auf dem Tab Zusammenfassung die Details des Ergebnisses an, einschließlich Informationen zu was erkannt wurde, die betroffene Ressource und – falls verfügbar – Schritte, die Sie um das Ergebnis zu beheben.
- Optional: Klicken Sie auf den Tab JSON, um die vollständige JSON-Definition des Ergebnisses aufzurufen.
In der Google Cloud Console können Sie auch den IAM-Recommender aufrufen. Erkenntnisse zu den Vulnerabilities (Sicherheitslücken), indem Sie die Abfragevoreinstellung IAM Recommender.
Mandiant Attack Surface Management
Mandiant ist ein weltweit führender Anbieter von Frontline-Threat-Intelligence. Mandiant Attack Surface Management identifiziert Sicherheitslücken und Fehlkonfigurationen in Ihren externen Angriffsflächen, damit Sie in Bezug auf neuesten Cyberangriffen.
Die Mandiant Attack Surface Management-Funktion wird automatisch aktiviert, wenn Sie die Enterprise-Stufe von Security Command Center aktivieren. Die Ergebnisse sind in der Google Cloud Console verfügbar.
Informationen zu den Unterschieden des eigenständigen Produkts Mandiant Attack Surface Management aus der Integration von Mandiant Attack Surface Management in Security Command Center, siehe ASM und Security Command Center im Dokumentationsportal von Mandiant. Für diesen Link ist Mandiant erforderlich Authentifizierung.
Die Ergebnisse von Mandiant Attack Surface Management in der Konsole ansehen
Google Cloud Console
- Rufen Sie in der Google Cloud Console die Seite Ergebnisse von Security Command Center auf.
- Wählen Sie Ihr Google Cloud-Projekt oder Ihre Organisation aus.
- Wählen Sie im Abschnitt Schnellfilter im Unterabschnitt Anzeigename der Quelle die Option Mandiant Attack Surface Management. Die Ergebnisse der Ergebnisabfrage werden so aktualisiert, dass nur die Ergebnisse aus dieser Quelle.
- Wenn Sie sich die Details eines bestimmten Ergebnisses ansehen möchten, klicken Sie unter Kategorie auf den Namen des Ergebnisses. Die Der Detailbereich für das Ergebnis wird geöffnet und zeigt den Tab Zusammenfassung an.
- Sehen Sie sich auf dem Tab Zusammenfassung die Details des Ergebnisses an, einschließlich Informationen zu was erkannt wurde, die betroffene Ressource und – falls verfügbar – Schritte, die Sie um das Ergebnis zu beheben.
- Optional: Um die vollständige JSON-Definition des Ergebnisses anzusehen, klicken Sie auf den Tab JSON.
Security Operations Console (Vorschau)
-
Rufen Sie in der Security Operations-Konsole die Seite Ergebnisse auf.
https://CUSTOMER_SUBDOMAIN.backstory.chronicle.security/posture/findings
Ersetzen Sie
CUSTOMER_SUBDOMAIN
durch Ihre kundenspezifische Kennung. - Klicken Sie im Abschnitt Aggregationen, um den Anzeigenamen der Quelle zu maximieren. Unterabschnitt.
- Wählen Sie Mandiant Attack Surface Management aus. Die Ergebnisse der Ergebnisabfrage werden aktualisiert, sodass nur die Ergebnisse aus dieser Quelle angezeigt werden.
- Wenn Sie sich die Details eines bestimmten Ergebnisses ansehen möchten, klicken Sie unter Kategorie auf den Namen des Ergebnisses. Die Der Detailbereich für das Ergebnis wird geöffnet und zeigt den Tab Zusammenfassung an.
- Sehen Sie sich auf dem Tab Zusammenfassung die Details des Ergebnisses an, einschließlich Informationen zu was erkannt wurde, die betroffene Ressource und – falls verfügbar – Schritte, die Sie um das Ergebnis zu beheben.
- Optional: Um die vollständige JSON-Definition des Ergebnisses anzusehen, klicken Sie auf den Tab JSON.
Policy Controller
Policy Controller ermöglicht die Anwendung und Erzwingung programmierbarer Richtlinien für Ihre Kubernetes-Cluster. Diese Richtlinien dienen als Schutzmaßnahmen und können mit Best Practices, Sicherheits- und Compliance-Management Ihrer Cluster und Flotte.
Wenn Sie Policy Controller installieren und entweder das Policy Controller-Bundle „CIS Kubernetes Benchmark v1.5.1“ oder das Policy Controller-Bundle „PCI-DSS v3.2.1“ oder beide aktivieren, schreibt Policy Controller Clusterverstöße automatisch als Misconfiguration
-Klassenergebnisse in Security Command Center. Ergebnisbeschreibung und nächste Schritte in Security Command Center
Die Ergebnisse sind mit der Beschreibung der Einschränkung und den Schritten zur Behebung identisch
des entsprechenden Policy Controller-Bundles.
Die Policy Controller-Ergebnisse stammen aus den folgenden Policy Controller-Bundles:
- CIS Kubernetes Benchmark v1.5.1,
eine Reihe von Empfehlungen zum Konfigurieren von Kubernetes, um ein hohes Sicherheitsniveau zu erreichen
Körperhaltung. Informationen zu diesem Set finden Sie auch in der
GitHub-Repository für
cis-k8s-v1.5.1
. - PCI-DSS v3.2.1
ein Bundle, das die Compliance Ihrer Clusterressourcen anhand
einige Aspekte des Payment Card Industry Data Security Standard (PCI-DSS) v3.2.1.
Informationen zu diesem Set finden Sie auch in der
GitHub-Repository für
pci-dss-v3
.
Informationen zum Finden und Beheben von Policy Controller-Ergebnissen finden Sie unter Policy Controller-Ergebnisse beheben.
Risk-Engine
Die Risiko-Engine von Security Command Center bewertet das Risiko Ihrer Cloud-Implementierungen, weist Sicherheitslücken und Ihren wertvollen Ressourcen Angriffsrisikobewertungen zu und visualisiert Pfade, die ein potenzieller Angreifer nutzen könnte, um auf Ihre wertvollen Ressourcen zuzugreifen.
In der Enterprise-Stufe von Security Command Center die Risk Engine erkennt Gruppen von Sicherheitsproblemen, die, wenn sie zusammen in einem Musters einen Pfad zu einem oder mehreren Ihrer hochwertigen Ressourcen, die ein entschlossener Angreifer um diese Ressourcen zu erreichen und zu kompromittieren.
Wenn Risk Engine erkennt
einer dieser Kombinationen wird ein Ergebnis der Klasse TOXIC_COMBINATION
ausgegeben.
In dem Ergebnis wird Risk Engine als Quelle der
das Ergebnis.
Weitere Informationen finden Sie unter Übersicht über schädliche Kombinationen.
Security Health Analytics
Security Health Analytics ist ein integrierter Erkennungsdienst von Security Command Center mit verwalteten Scans Ihrer Cloud-Ressourcen, häufige Fehlkonfigurationen.
Wenn eine Fehlkonfiguration erkannt wird, gibt Security Health Analytics ein Ergebnis aus. Die meisten Ergebnisse von Security Health Analytics werden Sicherheitsstandardkontrollen zugeordnet damit Sie die Compliance bewerten können.
Security Health Analytics scannt Ihre Ressourcen in Google Cloud. Wenn Sie die Enterprise-Stufe verwenden und Verbindungen zu anderen Cloud-Plattformen herstellen, können Ihre Ressourcen auf diesen Cloud-Plattformen auch mit Security Health Analytics geprüft werden.
Abhängig von Ihrer Security Command Center-Dienststufe unterscheiden sich die verfügbaren Detektoren:
- In der Standard-Stufe umfasst Security Health Analytics nur eine einfache Gruppe von Detektoren für Sicherheitslücken mit mittlerem und hohem Schweregrad.
- Die Premium-Stufe enthält alle Detektoren für Sicherheitslücken in Google Cloud.
- Die Enterprise-Stufe umfasst zusätzliche Sensoren für andere Cloud-Plattformen.
Security Health Analytics wird automatisch aktiviert, wenn Sie Security Command Center.
Weitere Informationen finden Sie unter:
- Security Health Analytics – Übersicht
- Security Health Analytics verwenden
- Behebung von Security Health Analytics-Ergebnissen
- Referenz zu Security Health Analytics-Ergebnissen
Dienst zum Ermitteln des Sicherheitsstatus
Der Dienst zum Bestimmen des Sicherheitsstatus ist ein integrierter Dienst für die Premium-Stufe des Security Command Center, mit dem Sie den Gesamtstatus Ihrer Sicherheit in Google Cloud definieren, bewerten und überwachen können. Sie erhalten Informationen dazu, wie Ihre Umgebung den Richtlinien entspricht, die die Sie in Ihrem Sicherheitsstatus definieren.
Der Dienst für den Sicherheitsstatus hängt nicht mit der GKE-Plattform Dashboard für den Sicherheitsstatus: Enthält nur Ergebnisse in GKE Cluster.
Schutz sensibler Daten
Sensitive Data Protection ist ein vollständig verwalteter Google Cloud-Dienst, mit dem Sie Ihre sensiblen Daten zu ermitteln, zu klassifizieren und zu schützen. Sie können Sensitive Data Protection, um festzustellen, ob Sie vertrauliche oder persönliche Daten speichern personenidentifizierbare Informationen wie die folgenden:
- Personennamen
- Kreditkartennummern
- Nationale oder staatliche Ausweisnummern
- Krankenversicherungsnummern
- Secrets
Bei Sensitive Data Protection wird jede Art von sensiblen Daten, nach denen Sie suchen, Einen infoType.
Wenn Sie Ihren Sensitive Data Protection-Vorgang zum Senden an Security Command Center senden, können Sie die Ergebnisse direkt in der im Bereich Security Command Center der Google Cloud Console. Sensitive Data Protection.
Ergebnisse zu Sicherheitslücken vom Erkennungsdienst für Sensitive Data Protection
Mit dem Erkennungsdienst für den Schutz sensibler Daten können Sie feststellen, die nicht geschützt sind.
Kategorie | Fazit |
---|---|
Kategoriename in der API:
|
Ergebnisbeschreibung: Die angegebene Ressource wurde hochsensible Daten auf die jeder im Internet zugreifen kann. Unterstützte Assets:
Abhilfe: Entfernen Sie für Google Cloud-Daten Für Amazon S3-Daten: Konfigurieren Sie die Einstellungen für den Blockieren des öffentlichen Zugriffs oder aktualisieren Sie die ACL des Objekts, um den öffentlichen Lesezugriff zu verweigern. Compliancestandards: Nicht zugeordnet |
Kategoriename in der API:
|
Ergebnisbeschreibung: Es gibt wie Passwörter, Authentifizierungstokens und Google Cloud-Anmeldedaten Umgebungsvariablen für Cloud Run-Funktionen. Informationen zum Aktivieren dieses Detektors finden Sie unter Secrets in Umgebungsvariablen an Security Command Center melden in der Dokumentation zum Schutz sensibler Daten. Unterstützte Assets:
Behebung: Entfernen Sie das Secret aus der Umgebungsvariablen und speichern Sie es stattdessen in Secret Manager. Compliance standards:
|
Kategoriename in der API:
|
Ergebnisbeschreibung: In der angegebenen Ressource befinden sich Secrets wie Passwörter, Authentifizierungstokens und Cloud-Anmeldedaten. Unterstützte Assets:
Abhilfe:
Compliancestandards: Nicht zugeordnet |
Beobachtungsergebnisse aus Sensitive Data Protection
In diesem Abschnitt werden die Beobachtungsergebnisse beschrieben, die Sensitive Data Protection in Security Command Center generiert.
Beobachtungsergebnisse des Discovery-Dienstes
Mit dem Dienst zur Erkennung sensibler Daten können Sie feststellen, ob Ihre Daten bestimmte Infotypen enthalten und wo sie sich in Ihrer Organisation, in Ihren Ordnern und in Ihren Projekten befinden. Sie generiert die folgenden Kategorien mit Beobachtungsergebnissen in Security Command Center:
Data sensitivity
- Ein Hinweis auf die Vertraulichkeitsstufe der Daten in einem bestimmten Daten-Asset. Daten sind vertraulich, wenn sie personenidentifizierbare Informationen oder andere Elemente enthalten, die unter Umständen eine zusätzliche Steuerung oder Verwaltung erfordern. Der Schweregrad des Ergebnisses sensibilisieren Sie den Schutz sensibler Daten. berechnet, wenn Generieren des Datenprofils.
Data risk
- Das mit den Daten in ihrem aktuellen Zustand verbundene Risiko. Beim Berechnen von Daten berücksichtigt, berücksichtigt der Schutz sensibler Daten die Empfindlichkeitsstufe die Daten im Daten-Asset und das Vorhandensein von Zugriffssteuerungen, um diese zu schützen Daten. Der Schweregrad des Ergebnisses ist das Datenrisikoniveau, Schutz sensibler Daten berechnet werden, des Datenprofils.
Nach dem Erstellen der Datenprofile durch den Schutz sensibler Daten kann es bis zu sechs Stunden dauern, bis die zugehörigen Ergebnisse im Security Command Center angezeigt werden.
Informationen zum Senden von Datenprofilergebnissen an Security Command Center sehen Sie sich Folgendes an:
- Für Security Command Center Enterprise: Sensible Daten aktivieren gefunden werden.
- Security Command Center Premium oder Standard: Datenprofile in Security Command Center veröffentlichen
Beobachtungsergebnisse aus dem Sensitive Data Protection-Prüfdienst
Bei einem Inspektionsjob für den Schutz sensibler Daten werden alle Dateninstanzen eines bestimmten Datentyps in einem Speichersystem wie einem Cloud Storage-Bucket oder einer BigQuery-Tabelle ermittelt. Sie können beispielsweise einen Inspektionsjob ausführen,
Sucht nach allen Strings, die dem infoType-Detektor CREDIT_CARD_NUMBER
entsprechen
in einem Cloud Storage-Bucket.
Für jeden InfoType-Detektor mit einer oder mehreren Übereinstimmungen generiert der Sensitive Data Protection-Dienst ein entsprechendes Security Command Center-Ergebnis. Die Ergebniskategorie ist
Der Name des infoType-Detektors, der eine Übereinstimmung aufweist, z. B. Credit
card number
. Das Ergebnis enthält die Anzahl übereinstimmender Zeichenfolgen, die
in Text oder Bildern in der Ressource erkannt wurden.
Aus Sicherheitsgründen sind die tatsächlich erkannten Strings in
für das Ergebnis. Ein Credit card number
-Ergebnis zeigt beispielsweise, wie viele
Kreditkartennummern wurden gefunden, die tatsächlichen Kreditkartennummern werden jedoch nicht angezeigt.
Da mehr als 150 integrierte infoType-Detektoren Sensitive Data Protection, sind alle möglichen Ergebniskategorien von Security Command Center nicht verfügbar die hier aufgeführt sind. Eine vollständige Liste der infoType-Detektoren finden Sie unter infoType-Detektoren Referenz.
Informationen zum Senden der Ergebnisse eines Inspektionsjobs an Security Command Center, siehe Ergebnisse des Inspektionsjobs für den Schutz sensibler Daten senden an Security Command Center.
Ergebnisse zum Schutz sensibler Daten in der Console prüfen
Google Cloud Console
- Rufen Sie in der Google Cloud Console die Seite Ergebnisse von Security Command Center auf.
- Wählen Sie Ihr Google Cloud-Projekt oder Ihre Organisation aus.
- Wählen Sie im Abschnitt Schnellfilter im Unterabschnitt Anzeigename der Quelle die Option Schutz sensibler Daten Die Ergebnisse der Ergebnisabfrage werden aktualisiert, sodass nur die Ergebnisse aus dieser Quelle angezeigt werden.
- Wenn Sie sich die Details eines bestimmten Ergebnisses ansehen möchten, klicken Sie unter Kategorie auf den Namen des Ergebnisses. Die Der Detailbereich für das Ergebnis wird geöffnet und zeigt den Tab Zusammenfassung an.
- Sehen Sie sich auf dem Tab Zusammenfassung die Details des Ergebnisses an, einschließlich Informationen zu was erkannt wurde, die betroffene Ressource und – falls verfügbar – Schritte, die Sie um das Ergebnis zu beheben.
- Optional: Um die vollständige JSON-Definition des Ergebnisses anzusehen, klicken Sie auf den Tab JSON.
Security Operations Console (Vorschau)
-
Rufen Sie in der Security Operations-Konsole die Seite Ergebnisse auf.
https://CUSTOMER_SUBDOMAIN.backstory.chronicle.security/posture/findings
Ersetzen Sie
CUSTOMER_SUBDOMAIN
durch Ihre kundenspezifische Kennung. - Klicken Sie im Abschnitt Aggregationen, um den Anzeigenamen der Quelle zu maximieren. Unterabschnitt.
- Wählen Sie Schutz sensibler Daten aus. Die Ergebnisse der Ergebnisabfrage werden so aktualisiert, dass nur die Ergebnisse aus dieser Quelle.
- Wenn Sie sich die Details eines bestimmten Ergebnisses ansehen möchten, klicken Sie unter Kategorie auf den Namen des Ergebnisses. Die Der Detailbereich für das Ergebnis wird geöffnet und zeigt den Tab Zusammenfassung an.
- Sehen Sie sich auf dem Tab Zusammenfassung die Details des Ergebnisses an, einschließlich Informationen zu was erkannt wurde, die betroffene Ressource und – falls verfügbar – Schritte, die Sie um das Ergebnis zu beheben.
- Optional: Klicken Sie auf den Tab JSON, um die vollständige JSON-Definition des Ergebnisses aufzurufen.
VM Manager
VM Manager besteht aus Tools zur Verwaltung von Betriebssystemen für eine große Anzahl von VM-Flotten (virtuelle Maschine), auf denen Windows und Linux in Compute Engine ausgeführt werden.
So verwenden Sie VM Manager mit Aktivierungen auf Projektebene Security Command Center Premium aktivieren, Security Command Center Standard aktivieren in der übergeordneten Organisation.
Wenn Sie VM Manager mit der Security Command Center Premium-Stufe aktivieren, schreibt VM Manager automatisch high
- und critical
-Ergebnisse aus seinen Berichten zu Sicherheitslücken, die sich in der Vorschau befinden, in Security Command Center. Die Berichte enthalten Informationen zu Sicherheitslücken in Betriebssystemen, die auf VMs installiert sind, einschließlich Häufige Sicherheitslücken (Common Vulnerabilities and Exposures, CVEs).
Berichte zu Sicherheitslücken sind für Security Command Center Standard nicht verfügbar.
Die Ergebnisse vereinfachen den Prozess zur Verwendung des Patch-Compliance-Features von VM Manager, das sich in der Vorschau befindet. Mit diesem Feature können Sie die Patchverwaltung auf Projektebene für alle Projekte vornehmen. VM Manager unterstützt die Patchverwaltung auf der auf der Ebene einzelner Projekte.
Informationen zur Behebung von VM Manager-Ergebnissen finden Sie unter VM Manager-Ergebnisse beheben
Informationen dazu, wie Sie verhindern, dass Berichte zu Sicherheitslücken in Security Command Center geschrieben werden, finden Sie unter VM Manager-Ergebnisse ausblenden
Sicherheitslücken dieses Typs beziehen sich alle auf installierte Betriebssystempakete in unterstützten Compute Engine-VMs.
Detektor | Fazit | Asset-Scaneinstellungen |
---|---|---|
Kategoriename in der API: |
Beschreibung: VM Manager hat eine Sicherheitslücke im das für eine Compute Engine-VM installierte Betriebssystempaket. Preisstufe: Premium Unterstützte Assets |
Die Sicherheitslückenberichte von VM Manager enthalten Informationen zu Sicherheitslücken in installierten Betriebssystempaketen für Compute Engine-VMs, einschließlich häufiger Sicherheitslücken (Common Vulnerabilities and Exposures, CVEs). Eine vollständige Liste der unterstützten Betriebssysteme finden Sie unter Details zu Betriebssystemen. Die Ergebnisse werden kurz nach dem Erkennen der Sicherheitslücken in Security Command Center angezeigt. Berichte zu Sicherheitslücken werden in VM Manager so erstellt:
|
Sicherheitslückenbewertung für AWS
Mit dem Dienst „Vulnerability Assessment for Amazon Web Services“ (AWS) werden Sicherheitslücken in Software erkannt. in Ihren Arbeitslasten, die auf virtuellen EC2-Maschinen (VMs) auf der AWS-Cloud-Plattform
Für jede erkannte Sicherheitslücke generiert die Sicherheitslückenbewertung für AWS einen
Ergebnis der Klasse „Vulnerability
“ im Ergebnis „Software vulnerability
“
in Security Command Center.
Die Sicherheitslückenbewertung für den AWS-Dienst scannt Snapshots des ausgeführten EC2-Computers damit Produktionsarbeitslasten nicht beeinträchtigt werden. Diese Scanmethode ist als Laufwerksscan ohne Agent bezeichnet, da keine Agents installiert sind. Scanziele.
Hier finden Sie weitere Informationen:
- Übersicht über die Sicherheitslückenbewertung für AWS
- Sicherheitslückenbewertung für AWS aktivieren und verwenden
Web Security Scanner
Web Security Scanner ermöglicht verwaltetes und benutzerdefiniertes Scannen auf Sicherheitslücken im Web für öffentliche App Engine-, GKE- und Compute Engine-Dienste.
Verwaltete Scans
Von Web Security Scanner verwaltete Scans werden von Security Command Center konfiguriert und verwaltet. Verwaltete Scans werden jede Woche automatisch ausgeführt, um öffentliche Webendpunkte zu erkennen und zu scannen. Bei diesen Scans wird keine Authentifizierung verwendet. Sie senden nur GET-Anfragen, sodass sie keine Formulare auf Live-Websites senden.
Verwaltete Scans werden getrennt von benutzerdefinierten Scans ausgeführt.
Wenn Security Command Center aktiviert ist, Organisationsebene, können Sie mit verwalteten Scans grundlegende Webanwendungen zentral verwalten Schwachstellenerkennung für Projekte in Ihrem Unternehmen, einzelne Projektteams einzubeziehen. Wenn Ergebnisse gefunden werden, können Sie mit diesen Teams zusammenarbeiten, um umfassendere benutzerdefinierte Scans einzurichten.
Wenn Sie Web Security Scanner als Dienst aktivieren, werden die Ergebnisse des verwalteten Scans sind automatisch auf der Seite Vulnerabilities (Sicherheitslücken) in Security Command Center verfügbar und zugehöriger Berichte. Informationen zum Aktivieren von Web Security Scanner Verwaltete Scans, siehe Konfigurieren Sie Security Command Center-Dienste.
Verwaltete Scans unterstützen nur Anwendungen, die den Standardport verwenden. Das ist 80 für HTTP-Verbindungen und 443 für HTTPS-Verbindungen. Wenn Ihre Anwendung keinen Standardport verwendet, führen Sie stattdessen einen benutzerdefinierten Scan durch.
Benutzerdefinierte Scans
Benutzerdefinierte Scans von Web Security Scanner liefern detaillierte Informationen zu Ergebnissen in Bezug auf die Anwendungssicherheit, wie veraltete Bibliotheken, Cross-Site-Scripting oder Verwendung von gemischten Inhalten.
Sie definieren benutzerdefinierte Scans auf Projektebene.
Benutzerdefinierte Scanergebnisse sind in Security Command Center verfügbar, nachdem Sie den Leitfaden zum Einrichten benutzerdefinierter Web Security Scanner-Scans befolgt haben.
Detektoren und Compliance
Web Security Scanner unterstützt Kategorien in den OWASP Top Ten, einem Dokument, das eine Einstufung und eine Anleitung zur Korrektur der zehn wichtigsten Sicherheitsrisiken für Webanwendungen enthält. Öffnen Sie das Webanwendungs-Sicherheitsprojekt (OWASP). Eine Anleitung zum Vermeiden von OWASP-Risiken finden Sie unter OWASP-Top-10-Risikominderungen in Google Cloud.
Die Compliance-Zuordnung ist als Referenz enthalten und wird von der OWASP Foundation nicht zur Verfügung gestellt oder überprüft.
Diese Funktion dient lediglich zur Überwachung auf Verstöße gegen die Compliance-Vorkehrungen. Die Zuordnungen dienen nicht als Grundlage bzw. Ersatz für die Prüfung, Zertifizierung oder Bestätigung der Compliance Ihrer Produkte oder Dienste gemäß allen regulatorischen oder branchenspezifischen Benchmarks oder Standards.
Benutzerdefinierte und verwaltete Web Security Scanner-Scans identifizieren die folgenden Ergebnistypen. Im In der Standardstufe unterstützt Web Security Scanner benutzerdefinierte Scans bereitgestellter Anwendungen mit öffentlichen URLs und IP-Adressen, die sich nicht hinter einer Firewall befinden.
Kategorie | Ergebnisbeschreibung | OWASP 2017 Top 10 | OWASP 2021 Top 10 |
---|---|---|---|
Kategoriename in der API: |
Ein Git-Repository ist öffentlich zugänglich. Entfernen Sie unbeabsichtigte Elemente, um das Problem zu beheben öffentlichen Zugriff auf das GIT-Repository. Preisstufe: Standard |
A5 | A01 |
Kategoriename in der API: |
Ein SVN-Repository ist öffentlich zugänglich. Entfernen Sie „Öffentlich“, um dieses Ergebnis zu klären unbeabsichtigter Zugriff auf das SVN-Repository. Preisstufe: Standard |
A5 | A01 |
Kategoriename in der API: |
In der Webanwendung eingegebene Passwörter können stattdessen in einem regulären Browser-Cache gespeichert werden eines sicheren Passwortspeichers. Preisstufe: Premium |
A3 | A04 |
Kategoriename in der API: |
Passwörter werden in Klartext übertragen und können abgefangen werden. Lösung das über das Netzwerk übertragene Passwort zu verschlüsseln. Preisstufe: Standard |
A3 | A02 |
Kategoriename in der API: |
Ein websiteübergreifender HTTP- oder HTTPS-Endpunkt validiert nur ein Suffix des Preisstufe: Premium |
A5 | A01 |
Kategoriename in der API: |
Ein websiteübergreifender HTTP- oder HTTPS-Endpunkt validiert nur ein Präfix von Preisstufe: Premium |
A5 | A01 |
Kategoriename in der API: |
Die geladene Ressource stimmt nicht mit dem Content-Type HTTP-Header der Antwort überein. Bis
dieses Ergebnis lösen, geben Sie den Preisstufe: Standard |
A6 | A05 |
Kategoriename in der API: |
Ein Sicherheitsheader hat einen Syntaxfehler und wird von Browsern ignoriert. Um dieses Ergebnis zu lösen, HTTP-Sicherheitsheader richtig festlegen. Preisstufe: Standard |
A6 | A05 |
Kategoriename in der API: |
Ein Sicherheitsheader hat doppelte, nicht übereinstimmende Werte, was zu nicht definiertem Verhalten führt. Legen Sie die HTTP-Sicherheitsheader richtig fest, um dieses Ergebnis zu beheben. Preisstufe: Standard |
A6 | A05 |
Kategoriename in der API: |
Ein Sicherheitsheader wurde falsch geschrieben und wird ignoriert. Legen Sie HTTP fest, um dieses Ergebnis zu lösen. Sicherheitsheader korrekt. Preisstufe: Standard |
A6 | A05 |
Kategoriename in der API: |
Ressourcen werden über HTTP auf einer HTTPS-Seite bereitgestellt. Um dieses Ergebnis zu lösen, dass alle Ressourcen über HTTPS bereitgestellt werden. Preisstufe: Standard |
A6 | A05 |
Kategoriename in der API: |
Es wurde eine Bibliothek mit bekannten Sicherheitslücken gefunden. Führen Sie ein Upgrade durch, um dieses Ergebnis zu beheben Bibliotheken auf eine neuere Version zu aktualisieren. Preisstufe: Standard |
A9 | A06 |
Kategoriename in der API: |
Es wurde eine serverseitige Fälschungsanfrage (SSRF) erkannt. Um dieses Ergebnis zu lösen, Verwenden Sie eine Zulassungsliste, um die Domains und IP-Adressen einzuschränken, die die Webanwendung erstellen darf an die die Anfragen gesendet werden. Preisstufe: Standard |
Nicht zutreffend | A10 |
Kategoriename in der API: |
Bei einer domainübergreifenden Anfrage enthält die Webanwendung die Sitzung des Nutzers
ID im Preisstufe: Premium |
A2 | A07 |
Kategoriename in der API: |
Ein potenzielles SQL-Einschleusungsproblem wurde erkannt. Um dieses Ergebnis zu lösen, verwenden Sie parametrisierte Abfragen, um zu verhindern, dass Benutzereingaben die Struktur des SQL- Abfrage. Preisstufe: Premium |
A1 | A03 |
Kategoriename in der API: |
Die Verwendung einer angreifbaren Version von Apache Struts wurde erkannt. Aktualisieren Sie Apache Struts auf die neueste Version, um dieses Ergebnis zu korrigieren. Preisstufe: Premium |
A8 | A08 |
Kategoriename in der API: |
Ein Feld in dieser Webanwendung ist anfällig für einen Cross-Site-Scripting-Angriff (XSS). Bis dieses Ergebnis aufzuklären, zu validieren und nicht vertrauenswürdige, von Nutzern bereitgestellte Daten zu maskieren. Preisstufe: Standard |
A7 | A03 |
Kategoriename in der API: |
Ein vom Nutzer bereitgestellter String ist nicht maskiert und AngularJS kann ihn interpolieren. Lösung Nicht vertrauenswürdige, von Nutzern bereitgestellte Daten, die von Angular verarbeitet werden, finden, validieren und maskieren Framework. Preisstufe: Standard |
A7 | A03 |
Kategoriename in der API: |
Ein Feld in dieser Webanwendung ist anfällig für einen Cross-Site-Scripting-Angriff. Bis dieses Ergebnis aufzuklären, zu validieren und nicht vertrauenswürdige, von Nutzern bereitgestellte Daten zu maskieren. Preisstufe: Standard |
A7 | A03 |
Kategoriename in der API: |
Eine XXE-Sicherheitslücke (XML External Entity) wurde erkannt. Diese Sicherheitslücke kann den um eine Datei auf dem Host zu lecken. Konfigurieren Sie Ihre XML-Parser so, dass externe Entitäten nicht zugelassen werden, um dieses Problem zu beheben. Preisstufe: Premium |
A4 | A05 |
Kategoriename in der API: |
Die Anwendung ist anfällig für Prototypenverschmutzung. Diese Sicherheitslücke tritt auf,
können Eigenschaften des Preisstufe: Standard |
A1 | A03 |
Dienste zur Bedrohungserkennung
Dienste zur Bedrohungserkennung umfassen integrierte und integrierte Dienste die Ereignisse erkennen, die auf potenziell bedrohliche Ereignisse hinweisen können, wie z. B. gehackte Ressourcen oder Cyberangriffe.
Anomalieerkennung
Die Anomalieerkennung ist ein integrierter Dienst, der außerhalb Ihres Systems. Es werden detaillierte Informationen zur Sicherheit angezeigt. Anomalien, die in Ihren Projekten und VM-Instanzen erkannt wurden, z. B. als potenziell gehackte Anmeldedaten. Anomalieerkennung ist automatisch aktiviert, wenn Sie Security Command Center Standard oder Premium-Stufe und Ergebnisse sind in der Google Cloud Console verfügbar.
Zu den Ergebnissen der Anomalieerkennung gehören:
Name der Anomalie | Ergebniskategorie | Beschreibung |
---|---|---|
Account has leaked credentials |
account_has_leaked_credentials |
Anmeldedaten für ein Google Cloud-Dienstkonto sind versehentlich oder kompromittiert wurden. Schweregrad:Kritisch |
Anmeldedaten des Kontos wurden gestohlen
GitHub hat Security Command Center darüber informiert, dass die Anmeldedaten die für ein Commit verwendet wurden, scheinen die Anmeldedaten Google Cloud Identity and Access Management-Dienstkonto.
Die Benachrichtigung enthält den Namen des Dienstkontos und den privaten Schlüssel Kennung. Google Cloud sendet auch Ihre fester Ansprechpartner für Sicherheit und Datenschutz sendet eine Benachrichtigung per E-Mail.
Führen Sie einen oder mehrere der folgenden Schritte aus, um das Problem zu beheben:
- Ermitteln Sie den legitimen Nutzer des Schlüssels.
- Rotieren Sie den Schlüssel.
- Entfernen Sie den Schlüssel.
- Untersuchen Sie alle Aktionen, die vom Schlüssel nach dem Schlüssel wurden geleakt, um sicherzustellen, dass keine der Aktionen schädlich waren.
JSON: Ergebnis gehackter Kontoanmeldedaten
{ "findings": { "access": {}, "assetDisplayName": "PROJECT_NAME", "assetId": "organizations/ORGANIZATION_ID/assets/ASSET_ID", "canonicalName": "projects/PROJECT_ID/sources/SOURCE_INSTANCE_ID/findings/FINDING_ID", "category": "account_has_leaked_credentials", "contacts": { "security": { "contacts": [ { "email": "EMAIL_ADDRESS" } ] } }, "createTime": "2022-08-05T20:59:41.022Z", "database": {}, "eventTime": "2022-08-05T20:59:40Z", "exfiltration": {}, "findingClass": "THREAT", "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/cat", "indicator": {}, "kubernetes": {}, "mitreAttack": {}, "mute": "UNDEFINED", "name": "organizations/ORGANIZATION_ID/sources/SOURCE_INSTANCE_ID/findings/FINDING_ID", "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_INSTANCE_ID", "parentDisplayName": "Cloud Anomaly Detection", "resourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID", "severity": "CRITICAL", "sourceDisplayName": "Cloud Anomaly Detection", "state": "ACTIVE", "vulnerability": {}, "workflowState": "NEW" }, "resource": { "name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID", "display_name": "PROJECT_NAME", "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID", "project_display_name": "PROJECT_NAME", "parent_name": "//cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID", "parent_display_name": "ORGANIZATION_NAME", "type": "google.cloud.resourcemanager.Project", "folders": [] }, "sourceProperties": { "project_identifier": "PROJECT_ID", "compromised_account": "SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com", "finding_type": "Potential compromise of a resource in your organization.", "summary_message": "We have detected leaked Service Account authentication credentials that could be potentially compromised.", "action_taken": "Notification sent", "private_key_identifier": "SERVICE_ACCOUNT_KEY_ID", "url": "https://github.com/KEY_FILE_PATH/KEY_FILE_NAME.json" } }
Container Threat Detection
Container Threat Detection kann die gängigsten Containerlaufzeitangriffe erkennen und Sie benachrichtigen in Security Command Center und optional in Cloud Logging. Container Threat Detection umfasst mehrere Erkennungsfunktionen, ein Analysetool und eine API.
Die Instrumentierung zur Container Threat Detection-Erkennung erfasst Low-Level-Verhalten in der Gast-Kernel und führt Natural Language Processing für Code durch, um den folgende Ereignisse:
Added Binary Executed
Added Library Loaded
Execution: Added Malicious Binary Executed
Execution: Added Malicious Library Loaded
Execution: Built in Malicious Binary Executed
Execution: Malicious Python executed
Execution: Modified Malicious Binary Executed
Execution: Modified Malicious Library Loaded
Malicious Script Executed
Malicious URL Observed
Reverse Shell
Unexpected Child Shell
Weitere Informationen zu Container Threat Detection.
Event Threat Detection
Event Threat Detection verwendet Logdaten innerhalb Ihrer Systeme. Es sieht an Cloud Logging-Stream für Projekte und Nutzungen Protokolle, sobald sie verfügbar sind. Wenn eine Bedrohung erkannt wird, schreibt Event Threat Detection ein Ergebnis in Security Command Center und in ein Cloud Logging-Projekt. Event Threat Detection wird automatisch aktiviert, wenn Sie die Premium-Stufe und Ergebnisse von Security Command Center sind verfügbar in der Google Cloud Console
Die folgende Tabelle enthält Beispiele für Ergebnisse von Event Threat Detection.
Vernichtung von Daten |
Event Threat Detection erkennt die Datenvernichtung, indem Audit-Logs vom Server für die Verwaltung von Sicherungs- und Notfallwiederherstellungsdiensten für die folgenden Szenarien analysiert werden:
|
Daten-Exfiltration |
Event Threat Detection erkennt die Daten-Exfiltration in BigQuery und Cloud SQL, indem Audit-Logs für die folgenden Szenarien analysiert werden:
|
Verdächtige Cloud SQL-Aktivität |
Event Threat Detection untersucht Audit-Logs, um die folgenden Ereignisse zu erkennen die auf die Manipulation eines gültigen Nutzerkontos Cloud SQL-Instanzen:
|
Verdächtige Aktivität in AlloyDB for PostgreSQL |
Event Threat Detection untersucht Audit-Logs, um die folgenden Ereignisse zu erkennen die auf die Manipulation eines gültigen Nutzerkontos AlloyDB for PostgreSQL-Instanzen:
|
Brute-Force-SSH | Event Threat Detection erkennt Brute-Force von Passwortauthentifizierungs-SSH, indem es Syslog-Logs auf wiederholte Fehler überprüft, mit anschließendem Erfolg. |
Kryptomining | Event Threat Detection erkennt Coin Mining-Malware, indem VPC-Flusslogs und Cloud DNS-Logs auf Verbindungen zu bekannten fehlerhaften Domains oder IP-Adressen von Mining-Pools untersucht werden. |
IAM-Missbrauch |
Anomale IAM-Berechtigungen: Event Threat Detection erkennt das Hinzufügen von IAM-Berechtigungen, die als ungewöhnlich betrachtet werden können, wie zum Beispiel:
|
Systemwiederherstellung verhindern |
Event Threat Detection erkennt ungewöhnliche Änderungen an Back-up und Notfallwiederherstellung, die sich auf den Sicherungsstatus auswirken können, darunter größere Richtlinienänderungen und das Entfernen kritischer Komponenten für Sicherung und Notfallwiederherstellung. |
Log4j | Event Threat Detection erkennt mögliche Versuche der Ausnutzung von Log4j-Exploits sowie aktive Log4j-Sicherheitslücken. |
Malware | Event Threat Detection erkennt Malware, indem sie VPC-Flusslogs und Cloud DNS-Logs auf Verbindungen zu bekannten Befehls- und Kontrolldomains und IP-Adressen untersucht. |
Ausgehender DoS | Event Threat Detection untersucht VPC-Flusslogs, um den ausgehenden Denial-of-Service-Traffic zu erkennen. |
Anomaler Zugriff | Event Threat Detection erkennt anomalen Zugriff, indem sie Cloud-Audit-Logs für Google Cloud-Dienständerungen untersucht, die von anonymen Proxy-IP-Adressen wie Tor-IP-Adressen stammen. |
Anomales IAM-Verhalten |
Event Threat Detection erkennt ungewöhnliches IAM-Verhalten durch Prüfung
Cloud-Audit-Logs für die folgenden Szenarien:
|
Selbstuntersuchung des Dienstkontos | Event Threat Detection erkennt, wenn Anmeldedaten eines Dienstkontos verwendet werden, um die mit diesem Dienstkonto verknüpften Rollen und Berechtigungen zu untersuchen. |
Compute Engine-Administrator hat SSH-Schlüssel hinzugefügt | Event Threat Detection erkennt eine Änderung am SSH-Schlüsselwert der Compute Engine-Instanzmetadaten für eine vorhandene Instanz (älter als 1 Woche). |
Vom Compute Engine-Administrator hinzugefügtes Startskript | Event Threat Detection erkennt eine Änderung am Metadaten-Startskript der Compute Engine-Instanz auf einer bestehenden Instanz (älter als 1 Woche). |
Verdächtige Kontoaktivitäten | Event Threat Detection erkennt potenzielle Manipulationen von Google Workspace-Konten, indem Audit-Logs auf anomale Kontoaktivitäten untersucht werden, darunter gehackte Passwörter und verdächtige versuchte Anmeldungen. |
Von einer Regierung unterstützter Angriff | Event Threat Detection untersucht Audit-Logs von Google Workspace, um festzustellen, ob von staatlichen Stellen unterstützte Angreifer möglicherweise versucht haben, das Konto oder den Computer eines Nutzers zu kompromittieren. |
Änderungen bei der Einmalanmeldung (SSO) | Event Threat Detection prüft Audit-Logs von Google Workspace, um festzustellen, ob SSO deaktiviert ist oder die Einstellungen für Google Workspace-Administratorkonten geändert wurden. |
Bestätigung in zwei Schritten | Event Threat Detection untersucht Google Workspace-Audit-Logs, um zu erkennen, ob die Bestätigung in zwei Schritten für Nutzer- und Administratorkonten deaktiviert ist. |
Anomales API-Verhalten | Event Threat Detection erkennt anomales API-Verhalten, indem Cloud-Audit-Logs auf Anfragen an Google Cloud-Dienste untersucht werden, die ein Hauptkonto zuvor noch nicht gesehen hat. |
Defense Evasion |
Event Threat Detection erkennt Umgehung von Abwehrmaßnahmen durch Prüfung von Cloud-Audit-Logs für die folgenden Szenarien:
|
Discovery |
Event Threat Detection erkennt Erkennungsvorgänge, indem Audit-Logs für die folgenden Szenarien analysiert werden:
|
Anfänglicher Zugriff | Event Threat Detection erkennt Vorgänge für den ersten Zugriff, indem Audit-Logs für die folgenden Szenarien analysiert werden:
|
Rechteausweitung |
Event Threat Detection erkennt die Rechteausweitung in GKE. Hierzu werden Audit-Logs für die folgenden Szenarien analysiert:
|
Cloud IDS-Erkennungen | Cloud IDS erkennt Layer-7-Angriffe durch Analyse gespiegelter Pakete Wenn ein verdächtiges Ereignis erkannt wird, wird eine Event Threat Detection ausgelöst. zu finden. Weitere Informationen zu Cloud IDS-Erkennungen finden Sie unter Cloud IDS-Logging-Informationen. Vorschau |
Seitliche Bewegung | Event Threat Detection erkennt potenzielle Angriffe mit modifiziertem Bootlaufwerk. Dazu untersucht es in Cloud-Audit-Logs, ob Bootlaufwerke in Compute Engine-Instanzen häufig getrennt und wieder angehängt werden. |
Weitere Informationen zu Event Threat Detection.
Google Cloud Armor
Google Cloud Armor trägt zum Schutz Ihres durch Layer-7-Filterung. Google Cloud Armor bereinigt eingehende Nachrichten Anfragen nach gängigen Webangriffen oder anderen Layer-7-Attributen, die möglicherweise bevor er die Back-End-Dienste oder das Back-End mit Load-Balancing erreicht. Buckets.
Google Cloud Armor exportiert zwei Ergebnisse in das Security Command Center:
Virtual Machine Threat Detection
Virtual Machine Threat Detection, ein integrierter Dienst von Security Command Center Premium, Bedrohungserkennung durch Instrumentierung auf Hypervisorebene und nichtflüchtigen Speicher Analyse. VM Threat Detection erkennt potenziell schädliche Anwendungen wie Kryptomining-Software, Rootkits im Kernelmodus und Malware, kompromittierten Cloud-Umgebungen.
VM Threat Detection ist Teil der Bedrohungserkennung von Security Command Center Premium und wurde entwickelt, um die vorhandenen Funktionen Event Threat Detection und Container Threat Detection:
Weitere Informationen zur VM Threat Detection finden Sie unter VM Threat Detection – Übersicht.
VM Threat Detection-Bedrohungsergebnisse
VM Threat Detection kann die folgenden Bedrohungsergebnisse generieren.
Bedrohungsdaten für das Mining von Kryptowährungen
VM Threat Detection erkennt die folgenden Ergebniskategorien über Hash-Abgleich oder YARA-Regeln.
Kategorie | Modul | Beschreibung |
---|---|---|
Execution: Cryptocurrency Mining Hash Match
|
CRYPTOMINING_HASH
|
Vergleicht Speicher-Hashes von laufenden Programmen mit bekannten Speicher-Hashes von Kryptowährung-Mining-Software. |
Execution: Cryptocurrency Mining YARA Rule
|
CRYPTOMINING_YARA
|
Prüft Übereinstimmung mit Speichermustern, darunter Proof of Work-Konstanten, die bekanntermaßen von Kryptowährungs-Mining-Software verwendet werden. |
Execution: Cryptocurrency Mining Combined Detection
|
|
Eine Bedrohung, die sowohl vom CRYPTOMINING_HASH - als auch vom CRYPTOMINING_YARA -Modul erkannt wurde.
Weitere Informationen finden Sie unter Kombinierte Erkennungen.
|
Ergebnisse zur Bedrohung durch Rootkits im Kernelmodus
VM Threat Detection analysiert die Kernel-Integrität während der Laufzeit, um gängige Täuschverfahren zu erkennen die von Malware verwendet werden.
Das KERNEL_MEMORY_TAMPERING
das Modul Bedrohungen, indem es einen Hash-Vergleich auf der
Kernel-Code und schreibgeschützter Kernel-Datenspeicher einer virtuellen Maschine.
Das KERNEL_INTEGRITY_TAMPERING
-Modul erkennt Bedrohungen, indem die Integrität wichtiger Kernel-Datenstrukturen geprüft wird.
Kategorie | Modul | Beschreibung |
---|---|---|
Manipulation des Kernel-Arbeitsspeichers | ||
Defense Evasion: Unexpected kernel code modification Vorschau
|
KERNEL_MEMORY_TAMPERING
|
Unerwartete Änderungen des Kernel-Codespeichers. |
Defense Evasion: Unexpected kernel read-only data modification Vorschau
|
KERNEL_MEMORY_TAMPERING
|
Es gibt unerwartete Änderungen am schreibgeschützten Datenspeicher des Kernels. |
Manipulation der Kernel-Integrität | ||
Defense Evasion: Unexpected ftrace handler Vorschau
|
KERNEL_INTEGRITY_TAMPERING
|
ftrace Punkte mit Callbacks, die auf Regionen verweisen, die sich nicht in dieser Region befinden
den erwarteten Kernel- oder Modulcodebereich.
|
Defense Evasion: Unexpected interrupt handler Vorschau
|
KERNEL_INTEGRITY_TAMPERING
|
Es sind Interrupt-Handler vorhanden, die sich nicht in den erwarteten Kernel- oder Modulcodebereichen befinden. |
Defense Evasion: Unexpected kernel modules Vorschau
|
KERNEL_INTEGRITY_TAMPERING
|
Es sind Kernel-Codeseiten vorhanden, die sich nicht in den erwarteten Kernel- oder Modulcoderegionen befinden. |
Defense Evasion: Unexpected kprobe handler Vorschau
|
KERNEL_INTEGRITY_TAMPERING
|
kprobe Punkte mit Callbacks, die auf Regionen verweisen, die sich nicht in dieser Region befinden
den erwarteten Kernel- oder Modulcodebereich.
|
Defense Evasion: Unexpected processes in runqueue Vorschau
|
KERNEL_INTEGRITY_TAMPERING
|
In der Ausführungswarteschlange des Planers sind unerwartete Prozesse vorhanden. Solche Prozesse befinden sich in der Warteschlange, aber nicht in der Prozessaufgabenliste. |
Defense Evasion: Unexpected system call handler Vorschau
|
KERNEL_INTEGRITY_TAMPERING
|
Es sind Systemaufruf-Handler vorhanden, die sich nicht in den erwarteten Kernel- oder Modulcodebereichen befinden. |
Rootkit | ||
Defense Evasion: Rootkit Vorschau
|
|
Es ist eine Kombination von Signalen vorhanden, die mit einem bekannten Kernelmodus-Rootkit übereinstimmen. Damit Sie Ergebnisse dieser Kategorie erhalten, müssen beide Module aktiviert sein. |
Beobachtungsergebnis von VM Threat Detection
VM Threat Detection kann das folgende Beobachtungsergebnis generieren.
Kategoriename | API-Name | Fazit | Schweregrad |
---|---|---|---|
VMTD disabled
|
VMTD_DISABLED |
VM Threat Detection ist deaktiviert. Bevor dieser Dienst aktiviert wird, kann er Ihre Compute Engine-Projekte und VM-Instanzen nicht auf unerwünschte Anwendungen scannen.
Dieses Ergebnis wird nach 30 Tagen auf |
Hoch |
Fehler
Mithilfe von Fehlerdetektoren können Sie Fehler in Ihrer Konfiguration erkennen, die verhindern, dass Sicherheitsquellen Ergebnisse generieren. Fehlerergebnisse werden von der Security Command Center
-Sicherheitsquelle generiert und haben die Ergebnisklasse SCC errors
.
Unbeabsichtigte Aktionen
Die folgenden Ergebniskategorien stellen Fehler dar, die möglicherweise durch unbeabsichtigte Aktionen verursacht werden.
Kategoriename | API-Name | Fazit | Schweregrad |
---|---|---|---|
API disabled |
API_DISABLED |
Ergebnisbeschreibung: Eine erforderliche API ist für das Projekt deaktiviert. Der deaktivierte Dienst kann keine Ergebnisse an Security Command Center senden. Preisstufe: Premium oder Standard
Unterstützte Assets Batch-Scans: Alle 6 Stunden |
Kritisch |
Attack path simulation: no resource value configs match any resources |
APS_NO_RESOURCE_VALUE_CONFIGS_MATCH_ANY_RESOURCES |
Ergebnisbeschreibung: Ressourcenwertkonfigurationen sind zwar für Angriffspfadsimulationen definiert, stimmt mit keinen Ressourceninstanzen in Ihrer Umgebung überein. Bei den Simulationen werden die sind stattdessen standardmäßig hochwertige Ressourcen festgelegt. Dieser Fehler kann folgende Ursachen haben:
Preisstufe: Premium
Unterstützte Assets Batch-Scans: Vor jeder Angriffspfadsimulation. |
Kritisch |
Attack path simulation: resource value assignment limit exceeded |
APS_RESOURCE_VALUE_ASSIGNMENT_LIMIT_EXCEEDED |
Ergebnisbeschreibung: In den letzten Angriffspfadsimulation die Anzahl der Instanzen hochwertiger Ressourcen, wie vom Konfigurationen der Ressourcenwerte, das Limit von 1.000 Ressourceninstanzen in einem hochwertigen Ressourcensatz. Daher hat Security Command Center die überzähligen Instanzen aus dem Satz hochwertiger Ressourcen ausgeschlossen. Die Gesamtzahl der übereinstimmenden Instanzen und die Gesamtzahl der ausgeschlossenen Instanzen.
aus dem Satz werden im Die Angriffsrisikobewertungen für Ergebnisse, die sich auf ausgeschlossene Ressourceninstanzen auswirken, spiegeln nicht die Klassifizierung der Ressourceninstanzen als „hochwertig“ wider. Preisstufe: Premium
Unterstützte Assets Batch-Scans: Vor jeder Angriffspfadsimulation. |
Hoch |
Container Threat Detection
Image Pull Failure |
KTD_IMAGE_PULL_FAILURE |
Ergebnis-Beschreibung:
Container Threat Detection kann im Cluster nicht aktiviert werden, da ein erforderliches Container-Image nicht von Der Versuch, das Container Threat Detection-DaemonSet bereitzustellen, führte zu folgendem Fehler:
Preisstufe: Premium
Unterstützte Assets Batch Scans: Alle 30 Minuten |
Kritisch |
Container Threat Detection
Blocked By Admission Controller |
KTD_BLOCKED_BY_ADMISSION_CONTROLLER |
Ergebnisbeschreibung: Container Threat Detection kann nicht in einem Kubernetes-Cluster aktiviert werden. Eintritt für Dritte der die Bereitstellung eines Kubernetes DaemonSet-Objekts verhindert, Für Container Threat Detection erforderlich. In der Google Cloud Console enthalten die Details zur Feststellung die Fehlermeldung, die von der Google Kubernetes Engine zurückgegeben wurde, als versucht wurde, ein DaemonSet-Objekt für die Containerbedrohungserkennung bereitzustellen. Preisstufe: Premium
Unterstützte Assets Batch Scans: Alle 30 Minuten |
Hoch |
Container Threat
Detection service account missing permissions |
KTD_SERVICE_ACCOUNT_MISSING_PERMISSIONS |
Ergebnisbeschreibung: Einem Dienstkonto fehlen Berechtigungen, die von Container Threat Detection benötigt werden. Container Threat Detection funktioniert möglicherweise nicht mehr ordnungsgemäß, da die Erkennungsinstrumentierung nicht aktiviert, aktualisiert oder deaktiviert werden kann. Preisstufe: Premium
Unterstützte Assets Batch Scans: Alle 30 Minuten |
Kritisch |
GKE service account missing
permissions |
GKE_SERVICE_ACCOUNT_MISSING_PERMISSIONS |
Ergebnisbeschreibung: Container Threat Detection kann keine Ergebnisse für einen Google Kubernetes Engine-Cluster generieren, da das GKE-Standarddienstkonto im Cluster nicht die erforderlichen Berechtigungen hat. Auf diese Weise wird verhindert, dass Container Threat Detection auf dem Cluster erfolgreich aktiviert wird. Preisstufe: Premium
Unterstützte Assets Batchscans: Jede Woche |
Hoch |
Misconfigured Cloud Logging Export |
MISCONFIGURED_CLOUD_LOGGING_EXPORT |
Ergebnisbeschreibung: Das für den kontinuierlichen Export nach Cloud Logging konfigurierte Projekt ist nicht verfügbar. Security Command Center kann keine Ergebnisse an Logging senden. Preisstufe: Premium
Unterstützte Assets Batch Scans: Alle 30 Minuten |
Hoch |
VPC Service Controls Restriction |
VPC_SC_RESTRICTION |
Ergebnisbeschreibung: Security Health Analytics kann bestimmte Ergebnisse für ein Projekt nicht liefern. Das Projekt ist durch einen Dienstperimeter geschützt und das Security Command Center-Dienstkonto hat keinen Zugriff auf den Perimeter. Preisstufe: Premium oder Standard
Unterstützte Assets Batch-Scans: Alle 6 Stunden |
Hoch |
Security Command
Center service account missing permissions |
SCC_SERVICE_ACCOUNT_MISSING_PERMISSIONS |
Ergebnisbeschreibung: Dem Dienstkonto von Security Command Center fehlen Berechtigungen, die nötig sind, um ordnungsgemäß zu funktionieren. Es werden keine Ergebnisse erstellt. Preisstufe: Premium oder Standard
Unterstützte Assets Batch Scans: Alle 30 Minuten |
Kritisch |
Weitere Informationen finden Sie unter Security Command Center-Fehler.
Nächste Schritte
- Weitere Informationen zu Security Command Center und Beispielanwendungsfälle finden Sie unter Security Command Center – Übersicht.
- Informationen zum Konfigurieren von Security Command Center-Diensten