Os detectores do Security Health Analytics e do Web Security Scanner geram descobertas de vulnerabilidades que ficam disponíveis no Security Command Center. Quando são ativados no Security Command Center, os serviços integrados, como o VM Manager, também geram descobertas de vulnerabilidades.
Sua capacidade de visualizar e editar descobertas é determinada pelos papéis e permissões do Identity and Access Management (IAM) atribuídos a você. Para mais informações sobre os papéis do IAM no Security Command Center, consulte Controle de acesso.
Detectores e compliance
O Security Command Center monitora sua conformidade com detectores mapeados para os controles de uma ampla variedade de padrões de segurança.
Para cada padrão de segurança compatível, o Security Command Center verifica um subconjunto dos controles. Para os controles verificados, o Security Command Center mostra quantos estão sendo aprovados. Para os controles que não estão sendo aprovados, o Security Command Center mostra uma lista de descobertas que descrevem as falhas de controle.
A CIS analisa e certifica os mapeamentos dos detectores do Security Command Center para cada versão com suporte do comparativo de mercado CIS Google Cloud Foundations. Compliance adicional são incluídos apenas para fins de referência.
o Security Command Center adiciona suporte a novas versões de comparativo de mercado e padrões periodicamente. As versões mais antigas ainda são compatíveis, mas estão obsoletas. Recomendamos que você use o comparativo de mercado ou padrão mais recente compatível disponível.
Com o serviço de postura de segurança, é possível mapear as políticas da organização e os detectores da Análise de integridade da segurança para os padrões e controles de acesso que se aplicam à sua empresa. Depois de criar uma postura de segurança, é possível monitorar quaisquer mudanças no ambiente que possam afetar a conformidade da sua empresa.
Para mais informações sobre como gerenciar a conformidade, consulte Avaliar e informar a conformidade com os padrões de segurança.
Padrões de segurança compatíveis com o Google Cloud
o Security Command Center associa os detectores do Google Cloud a um ou mais dos requisitos de conformidade a seguir padrão:
- Controles 8.0 do Centro de Segurança da Informação (CIS, na sigla em inglês)
- CIS do Google Cloud Computing Foundations Benchmark v2.0.0, v1.3.0, v1.2.0, v1.1.0 e v1.0.0
- Comparativo de mercado do CIS para Kubernetes v1.5.1
- Matriz de controles de nuvem (CCM) 4
- Lei de Portabilidade e Responsabilidade de Seguros de Saúde (HIPAA)
- Organização Internacional de Normalização (ISO) 27001, 2022 e 2013
- Instituto Nacional de Padrões e Tecnologia (NIST) 800-53 R5 e R4
- NIST CSF 1.0 (link em inglês)
- Open Web Application Security Project (OWASP) Top Ten, 2021 e 2017
- Dados do setor de cartões de pagamento Padrão de segurança (PCI DSS) 4.0 e 3.2.1
- Controles de sistema e da organização (SOC) 2 2017 Critérios de Serviços de Confiança (TSC, na sigla em inglês)
Padrões de segurança com suporte na AWS
O Security Command Center mapeia detectores do Amazon Web Services (AWS) para um ou mais dos seguintes padrões de compliance:
- CIS Amazon Web Services Foundations 2.0.0
- CIS Controls 8.0 (link em inglês)
- CCM 4 (link em inglês)
- HIPAA
- ISO 27001 2022
- NIST 800-53 R5
- NIST CSF 1.0
- PCI DSS 4.0 e 3.2.1
- SOC 2 2017 TSC
Para instruções sobre como visualizar e exportar relatórios de conformidade, consulte a seção Compliance em Como usar o Security Command Center no console do Google Cloud.
Como encontrar a desativação após a correção
Depois de corrigir uma descoberta de vulnerabilidade ou configuração incorreta, o
serviço do Security Command Center que detectou a descoberta define automaticamente
o estado dela como INACTIVE na próxima vez que o serviço de detecção
verificar a descoberta. O tempo que o Security Command Center leva para definir uma descoberta corrigida como
INACTIVE depende da programação da verificação que detecta a descoberta.
Os serviços do Security Command Center também definem o estado de uma vulnerabilidade ou
uma descoberta de configuração incorreta para INACTIVE quando uma verificação detecta que o recurso
afetado pela descoberta é excluído.
Para mais informações sobre intervalos de verificação, consulte os seguintes tópicos:
Descobertas da análise de integridade de segurança
Os detectores do Security Health Analytics monitoram um subconjunto de recursos do Cloud Asset Inventory (CAI), recebendo notificações de alterações na política de gerenciamento de identidade e acesso (IAM, na sigla em inglês). Alguns detectores recuperam dados chamando diretamente as APIs do Google Cloud, conforme indicado em tabelas mais adiante nesta página.
Para mais informações sobre a Análise de integridade da segurança, programações de verificação e o suporte da Análise de integridade da segurança para detectores de módulo integrados e personalizados, consulte Visão geral da Análise de integridade da segurança.
As tabelas a seguir descrevem os detectores do Security Health Analytics, os recursos e os padrões de compliance compatíveis, as configurações usadas para verificações e os tipos de descobertas gerados. É possível filtrar as descobertas por vários atributos usando a página Vulnerabilidades do Security Command Center no console do Google Cloud.
Para obter instruções sobre como corrigir problemas e proteger seus recursos, consulte Como corrigir descobertas da Análise de integridade da segurança.
Descobertas de vulnerabilidade da chave de API
O detector API_KEY_SCANNER identifica vulnerabilidades relacionadas às
chaves de API usadas na implantação na nuvem.
| Detector | Resumo | Configurações da verificação de recursos |
|---|---|---|
API key APIs unrestricted
Nome da categoria na API: |
Como encontrar a descrição: há chaves de API sendo usadas muito amplamente. Para resolver isso, limite o uso da chave de API para permitir apenas as APIs necessárias ao aplicativo. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Recupera a propriedade
|
API key apps unrestricted
Nome da categoria na API: |
Como encontrar a descrição: há chaves de API sendo usadas de maneira irrestrita, permitindo o uso por qualquer aplicativo não confiável. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Recupera a
|
API key exists
Nome da categoria na API: |
Descrição da descoberta: um projeto está usando chaves de API em vez da autenticação padrão. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Recupera todas as chaves de API de um projeto.
|
API key not rotated
Nome da categoria na API: |
Como encontrar a descrição: a chave de API não é rotacionada há mais de 90 dias. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Recupera o carimbo de data/hora contido na
propriedade
|
Descobertas de vulnerabilidades do Inventário de recursos do Cloud
Todas as vulnerabilidades desse tipo de detector estão relacionadas às configurações do Inventário de recursos do Cloud e pertencem ao tipo CLOUD_ASSET_SCANNER.
| Detector | Resumo | Configurações da verificação de recursos |
|---|---|---|
Cloud Asset API disabled
Nome da categoria na API: |
Descrição da descoberta: a captura de recursos do Google Cloud e políticas do IAM pelo Inventário de recursos do Cloud permite análise de segurança, rastreamento de alterações de recursos e auditoria de compliance. Recomendamos que o serviço do Inventário de recursos do Cloud seja ativado para todos os projetos. Esse detector requer configuração adicional para ativar Para ver instruções, consulte Ativar e desativar detectores. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica se o serviço do Inventário de recursos do Cloud está ativado.
|
Calcular descobertas de vulnerabilidade de imagem
O detector COMPUTE_IMAGE_SCANNER identifica vulnerabilidades relacionadas às
configurações de imagem do Google Cloud.
| Detector | Resumo | Configurações da verificação de recursos |
|---|---|---|
Public Compute image
Nome da categoria na API: |
Como encontrar a descrição: uma imagem do Compute Engine pode ser acessada publicamente. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de conformidade: Esta categoria de descoberta não está mapeada para nenhum controle padrão de compliance. |
Verifica a política de permissão de IAM nos metadados
de recursos para os membros
|
Descobertas de vulnerabilidade da instância do Compute
O detector COMPUTE_INSTANCE_SCANNER identifica vulnerabilidades relacionadas às configurações da instância do Compute Engine.
Os detectores COMPUTE_INSTANCE_SCANNER não informam as descobertas nas instâncias do Compute Engine criadas pelo GKE. Esses instâncias têm nomes que começam com "gke-", que os usuários não podem editar. Para proteger essas instâncias, consulte a seção de descobertas de vulnerabilidades
do contêiner.
| Detector | Resumo | Configurações da verificação de recursos |
|---|---|---|
Confidential Computing disabled
Nome da categoria na API: |
Como encontrar a descrição: a Computação confidencial está desativada em uma instância do Compute Engine. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica a
propriedade
|
Compute project wide SSH keys allowed
Nome da categoria na API: |
Como encontrar a descrição: chaves SSH do projeto inteiro são usadas, permitindo o login em todas as instâncias do projeto. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica o objeto
|
Compute Secure Boot disabled
Nome da categoria na API: |
Como encontrar a descrição: esta VM protegida não tem a inicialização segura ativada. O uso da Inicialização segura ajuda a proteger instâncias de máquina virtual contra ameaças avançadas, como rootkits e bootkits. Nível de preços: Premium Recursos compatíveis Padrões de conformidade: Essa categoria de descoberta não está mapeada para nenhum controle de padrão de compliance. |
Verifica a propriedade
|
Compute serial ports enabled
Nome da categoria na API: |
Como encontrar a descrição: as portas seriais de uma instância são ativadas, permitindo conexões com o console serial da instância. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica o objeto
|
Default service account used
Nome da categoria na API: |
Como encontrar a descrição: uma instância é configurada para usar a conta de serviço padrão. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Disk CMEK disabled
Nome da categoria na API: |
Como encontrar a descrição: os discos nesta VM não são criptografados com chaves de criptografia gerenciadas pelo cliente (CMEK). Esse detector requer configuração adicional para ativar Para ver instruções, consulte Ativar e desativar detectores. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade: Esta categoria de descoberta não está mapeada para nenhum controle padrão de compliance. |
Verifica o campo
|
Disk CSEK disabled
Nome da categoria na API: |
Descrição da descoberta: os discos nesta VM não são criptografados com chaves de criptografia fornecidas pelo cliente (CSEK). Esse detector requer configuração adicional para ativar Para mais instruções, consulte Detector de casos especiais. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica o campo
|
Full API access
Nome da categoria na API: |
Descrição da descoberta: uma instância é configurada para usar a conta de serviço padrão com acesso total a todas as APIs do Google Cloud. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Recupera o campo
|
HTTP load balancer
Nome da categoria na API: |
Como encontrar a descrição: uma instância usa um balanceador de carga configurado para usar um proxy HTTP de destino em vez de um proxy HTTPS de destino. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Determina se a propriedade
|
Instance OS Login disabled
Nome da categoria na API: |
Encontrar descrição: o Login do SO está desativado nesta instância. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis
Padrões de compliance:
|
Verifica se a propriedade
|
IP forwarding enabled
Nome da categoria na API: |
Descrição da descoberta: o encaminhamento de IP está ativado nas instâncias. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
OS login disabled
Nome da categoria na API: |
Encontrar descrição: o Login do SO está desativado nesta instância. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica o objeto
|
Public IP address
Nome da categoria na API: |
Como encontrar a descrição: uma instância tem um endereço IP público. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de conformidade:
|
Verifica se a propriedade
|
Shielded VM disabled
Nome da categoria na API: |
Encontrando descrição: a VM protegida está desativada nesta instância. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Weak SSL policy
Nome da categoria na API: |
Como encontrar a descrição: uma instância tem uma política de SSL fraca. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica se
|
Descobertas da vulnerabilidade do contêiner
Todos esses tipos de localização estão relacionados às configurações de contêiner do GKE
e pertencem ao tipo de detector CONTAINER_SCANNER.
| Detector | Resumo | Configurações da verificação de recursos |
|---|---|---|
Alpha cluster enabled
Nome da categoria na API: |
Como encontrar a descrição: os recursos do cluster Alfa estão ativados para um cluster do GKE. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Auto repair disabled
Nome da categoria na API: |
Como encontrar a descrição: o recurso de reparo automático de um cluster do GKE, que mantém os nós em estado íntegro e em execução, está desativado. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica a propriedade
|
Auto upgrade disabled
Nome da categoria na API: |
Como encontrar a descrição: o recurso de upgrade automático de um cluster do GKE, que mantém clusters e pools de nós na versão estável mais recente do Kubernetes, está desativado. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Binary authorization disabled
Nome da categoria na API: |
Descrição da descoberta: a autorização binária está desativada no cluster do GKE ou a política correspondente está configurada para permitir a implantação de todas as imagens. Nível de preços: Premium
Recursos compatíveis Padrões de compliance: Esta categoria de descoberta não está mapeada para nenhum controle padrão de compliance. |
Verifica o seguinte:
|
Cluster logging disabled
Nome da categoria na API: |
Como encontrar a descrição: o Logging não está ativado para um cluster do GKE. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica se a propriedade
|
Cluster monitoring disabled
Nome da categoria na API: |
Como encontrar a descrição: o Monitoring está desativado nos clusters do GKE. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica se a propriedade
|
Cluster private Google access disabled
Nome da categoria na API: |
Como encontrar a descrição: hosts de cluster não estão configurados para usar apenas endereços IP internos privados para acessar as APIs do Google. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Cluster secrets encryption disabled
Nome da categoria na API: |
Como encontrar a descrição: a criptografia de secrets da camada de aplicativos está desativada em um cluster do GKE. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Cluster shielded nodes disabled
Nome da categoria na API: |
Como encontrar a descrição:: os nós protegidos do GKE não estão ativados para um cluster. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica a propriedade
|
COS not used
Nome da categoria na API: |
Como encontrar a descrição: as VMs do Compute Engine não estão usando o Container-Optimized OS projetado para executar contêineres do Docker no Google Cloud com segurança. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Integrity monitoring disabled
Nome da categoria na API: |
Como encontrar a descrição: o monitoramento de integridade está desativado para um cluster do GKE. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Intranode visibility disabled
Nome da categoria na API: |
Como encontrar a descrição: a visibilidade intranós é desativada para um cluster do GKE. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
IP alias disabled
Nome da categoria na API: |
Descrição da descoberta: um cluster do GKE foi criado com intervalos de IP de alias desativados. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se o campo
|
Legacy authorization enabled
Nome da categoria na API: |
Descrição da descoberta: a autorização legada está ativada em clusters do GKE. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Legacy metadata enabled
Nome da categoria na API: |
Como encontrar a descrição: metadados legados são ativados em clusters do GKE. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Master authorized networks disabled
Nome da categoria na API: |
Descrição da descrição: redes autorizadas do plano de controle não está ativado em clusters do GKE. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica a propriedade
|
Network policy disabled
Nome da categoria na API: |
Como encontrar a descrição: a política de rede está desativada nos clusters do GKE. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica o campo
|
Nodepool boot CMEK disabled
Nome da categoria na API: |
Descrição da descoberta: os discos de inicialização neste pool de nós não são criptografados com chaves de criptografia gerenciadas pelo cliente (CMEK). Esse detector requer configuração adicional para ativar Para ver instruções, consulte Ativar e desativar detectores. Nível de preços: Premium
Recursos compatíveis Padrões de compliance: Essa categoria de descoberta não está mapeada para nenhum controle de padrão de compliance. |
Verifica a propriedade
|
Nodepool secure boot disabled
Nome da categoria na API: |
Como encontrar a descrição: a Inicialização segura está desativada para um cluster do GKE. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Over privileged account
Nome da categoria na API: |
Descrição da descoberta: uma conta de serviço tem acesso excessivamente amplo ao projeto em um cluster. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Avalia a propriedade
|
Over privileged scopes
Nome da categoria na API: |
Descrição da localização: uma conta de serviço de nó tem escopos de acesso amplo. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica se o escopo de acesso listado na
propriedade config.oauthScopes de um pool de nós
é limitado por uma conta de serviço:
https://www.googleapis.com/auth/devstorage.read_only,
https://www.googleapis.com/auth/logging.write,
ou https://www.googleapis.com/auth/monitoring.
|
Pod security policy disabled
Nome da categoria na API: |
Como encontrar a descrição: PodSecurityPolicy está desativada em um cluster do GKE. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica a propriedade
|
Private cluster disabled
Nome da categoria na API: |
Descrição da descoberta: um cluster privado do GKE está desativado. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica se o campo
|
Release channel disabled
Nome da categoria na API: |
Como encontrar a descrição: um cluster do GKE não está inscrito em um canal de lançamento. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica a propriedade
|
Web UI enabled
Nome da categoria na API: |
Como encontrar a descrição: a IU da Web do GKE (painel) está ativada. Nível de preços: Premium or Standard
Recursos compatíveis Padrões de compliance:
|
Checks the
|
Workload Identity disabled
Nome da categoria na API: |
Como encontrar a descrição: a identidade da carga de trabalho está desativada em um cluster do GKE. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Descobertas de vulnerabilidades do Dataproc
As vulnerabilidades desse tipo de detector estão todas relacionadas ao Dataproc e pertencem ao
tipo de detector DATAPROC_SCANNER.
| Detector | Resumo | Configurações da verificação de recursos |
|---|---|---|
Dataproc CMEK disabled
Nome da categoria na API: |
Descrição da descoberta: um cluster do Dataproc foi criado sem uma CMEK de configuração de criptografia. Com a CMEK, as chaves que você cria e gerencia no Cloud Key Management Service encapsulam as chaves que o Google Cloud usa para criptografar seus dados, oferecendo mais controle sobre o acesso a eles. Esse detector requer configuração adicional para ativar. Para ver instruções, consulte Ativar e desativar detectores. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica se o campo
|
Dataproc image outdated
Nome da categoria na API: |
Como encontrar a descrição: um cluster do Dataproc foi criado com uma versão de imagem do Dataproc que é afetada por vulnerabilidades de segurança no utilitário Apache Log4j 2 (CVE-2021-44228 e CVE-2021-45046). Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance: Essa categoria de descoberta não está mapeada para nenhum controle de padrão de compliance. |
Verifica se o campo
|
Descobertas de vulnerabilidade do conjunto de dados
As vulnerabilidades desse tipo de detector estão relacionadas às configurações
do conjunto de dados do BigQuery e pertencem ao tipo de detector DATASET_SCANNER.
| Detector | Resumo | Configurações da verificação de recursos |
|---|---|---|
BigQuery table CMEK disabled
Nome da categoria na API: |
Como encontrar a descrição: uma tabela do BigQuery não está configurada para usar uma chave de criptografia gerenciada pelo cliente (CMEK). Esse detector requer configuração adicional para ativar Para ver instruções, consulte Ativar e desativar detectores. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica se o campo
|
Dataset CMEK disabled
Nome da categoria na API: |
Como encontrar a descrição: um conjunto de dados do BigQuery não está configurado para usar uma CMEK padrão. Esse detector requer configuração adicional para ativar Para ver instruções, consulte Ativar e desativar detectores. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se o campo
|
Public dataset
Nome da categoria na API: |
Como encontrar a descrição: um conjunto de dados está configurado para ser aberto ao acesso público. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance:
|
Verifica a política de permissão de IAM nos metadados
de recursos para os membros
|
Descobertas de vulnerabilidade de DNS
As vulnerabilidades desse tipo de detector estão relacionadas às configurações do Cloud DNS
e pertencem ao tipo de detector DNS_SCANNER.
| Detector | Resumo | Configurações da verificação de recursos |
|---|---|---|
DNSSEC disabled
Nome da categoria na API: |
Encontrando descrição: o DNSSEC está desativado para zonas do Cloud DNS. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se o campo
|
RSASHA1 for signing
Nome da categoria na API: |
Encontrando descrição: o RSASHA1 é usado para assinatura de chaves em zonas do Cloud DNS. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se o objeto
|
Descobertas de vulnerabilidades de firewall
As vulnerabilidades desse tipo de detector se relacionam com as configurações de firewall e
pertencem ao tipo de detector FIREWALL_SCANNER.
| Detector | Resumo | Configurações da verificação de recursos |
|---|---|---|
Egress deny rule not set
Nome da categoria na API: |
Como encontrar a descrição: uma regra de negação de saída não é definida em um firewall. As regras de negação de saída precisam ser definidas para bloquear o tráfego de saída indesejado. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Firewall rule logging disabled
Nome da categoria na API: |
Encontrando descrição: o registro de regras de firewall está desativado. O registro de regras de firewall deve estar ativado para que seja possível auditar o acesso da rede Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica a propriedade
|
Open Cassandra port
Nome da categoria na API: |
Como encontrar a descrição: um firewall está configurado para ter uma porta Cassandra aberta que permita o acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica a propriedade
|
Open ciscosecure websm port
Nome da categoria na API: |
Descrição da descoberta: um firewall está configurado para ter uma porta CISCOSECURE_WEBSM aberta que permita acesso genérico. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de conformidade:
|
Verifica a propriedade
|
Open directory services port
Nome da categoria na API: |
Como encontrar a descrição: um firewall está configurado para ter uma porta DIRECTORY_SERVICES aberta que permita o acesso genérico. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Open DNS port
Nome da categoria na API: |
Como encontrar a descrição: um firewall está configurado para ter uma porta DNS aberta que permita o acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Open elasticsearch port
Nome da categoria na API: |
Descrição da descoberta: um firewall está configurado para ter uma porta ELASTICSEARCH aberta que permita acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Open firewall
Nome da categoria na API: |
Como encontrar a descrição: um firewall está configurado para ser aberto ao acesso público. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de conformidade:
|
Verifica as propriedades
|
Open FTP port
Nome da categoria na API: |
Descrição da descoberta: um firewall está configurado para ter uma porta FTP aberta que permita o acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Open HTTP port
Nome da categoria na API: |
Como encontrar a descrição: um firewall está configurado para ter uma porta HTTP aberta que permite acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica a propriedade
|
Open LDAP port
Nome da categoria na API: |
Descrição da descoberta: um firewall está configurado para ter uma porta LDAP aberta que permita o acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Open Memcached port
Nome da categoria na API: |
Como encontrar a descrição: um firewall está configurado para ter uma porta MEMCACHED aberta que permite acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Open MongoDB port
Nome da categoria na API: |
Descrição da descoberta: um firewall está configurado para ter uma porta MONGODB aberta que permita o acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Open MySQL port
Nome da categoria na API: |
Descrição da descoberta: um firewall está configurado para ter uma porta MYSQL que permita acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica a propriedade
|
Open NetBIOS port
Nome da categoria na API: |
Descrição da descoberta: um firewall está configurado para ter uma porta NETBIOS aberta que permita o acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Open OracleDB port
Nome da categoria na API: |
Como encontrar a descrição: um firewall está configurado para ter uma porta ORACLEDB aberta que permita o acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica a propriedade
|
Open pop3 port
Nome da categoria na API: |
Descrição da descoberta: um firewall está configurado para ter uma porta POP3 aberta que permita o acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Open PostgreSQL port
Nome da categoria na API: |
Descrição da descoberta: um firewall está configurado para ter uma porta PostgreSQL aberta que permita acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
Open RDP port
Nome da categoria na API: |
Descrição da descoberta: um firewall está configurado para ter uma porta RDP aberta que permita o acesso genérico. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de conformidade:
|
Verifica a propriedade
|
Open Redis port
Nome da categoria na API: |
Como encontrar a descrição: um firewall está configurado para ter uma porta REDIS aberta que permite acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Open SMTP port
Nome da categoria na API: |
Descrição da descoberta: um firewall está configurado para ter uma porta SMTP aberta que permita o acesso genérico. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Open SSH port
Nome da categoria na API: |
Como encontrar a descrição: um firewall está configurado para ter uma porta SSH aberta que permita o acesso genérico. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Open Telnet port
Nome da categoria na API: |
Descrição da descoberta: um firewall está configurado para ter uma porta TELNET aberta que permita o acesso genérico. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Descobertas da vulnerabilidade do IAM
As vulnerabilidades desse tipo de detector estão relacionadas à configuração do gerenciamento de identidade e acesso (IAM, na sigla em inglês)
e pertencem ao tipo de detector IAM_SCANNER.
| Detector | Resumo | Configurações da verificação de recursos |
|---|---|---|
Access Transparency disabled
Nome da categoria na API: |
Descrição da descoberta: a Transparência no acesso do Google Cloud está desativada para sua organização. Registros de Transparência no acesso quando funcionários do Google Cloud acessam os projetos da sua organização para fornecer suporte. Ative a Transparência no acesso para registrar quem do Google Cloud está acessando suas informações, quando e por quê. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se sua organização tem a Transparência no acesso ativada.
|
Admin service account
Nome da categoria na API: |
Como encontrar a descrição: uma conta de serviço tem os privilégios de Administrador, Proprietário ou Editor. Esses papéis não devem ser atribuídos a contas de serviço criadas pelo usuário. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica a política de permissão do IAM no recurso
metadados de qualquer conta de serviço criada pelo usuário (indicados
pelo prefixo iam.gserviceaccount.com).
que receberam
|
Essential Contacts Not Configured
Nome da categoria na API: |
Descrição da descoberta: sua organização não designou uma pessoa ou um grupo para receber notificações do Google Cloud sobre eventos importantes, como ataques, vulnerabilidades e incidentes de dados na organização do Google Cloud. Recomendamos designar como contato essencial uma ou mais pessoas ou grupos na sua organização de negócios. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se um contato foi especificado para as categorias de contato essencial a seguir:
|
KMS role separation
Nome da categoria na API: |
Como encontrar a descrição: a separação de tarefas não é aplicada e existe um usuário que tem um dos seguintes papéis do Cloud Key Management Service (Cloud KMS) ao mesmo tempo: Criptografador/Descriptografador de CryptoKey, Criptografador ou Descriptografador. Essa descoberta não está disponível para ativações no nível do projeto. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica as políticas de permissão de IAM nos metadados de recursos
e recupera os membros atribuídos a qualquer um dos papéis
a seguir ao mesmo tempo:
roles/cloudkms.cryptoKeyEncrypterDecrypter,
roles/cloudkms.cryptoKeyEncrypter e
roles/cloudkms.cryptoKeyDecrypter,
roles/cloudkms.signer,
roles/cloudkms.signerVerifier,
roles/cloudkms.publicKeyViewer.
|
Non org IAM member
Nome da categoria na API: |
Encontrando descrição: há um usuário que não está usando credenciais organizacionais. De acordo com o CIS GCP Foundations 1.0, atualmente apenas identidades com endereços de e-mail @gmail.com acionam esse detector. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance:
|
Compara os endereços de e-mail @gmail.com no campo
|
Open group IAM member
Nome da categoria na API: |
Descrição da descoberta: uma conta dos Grupos do Google que pode ser mesclada sem aprovação é usada como principal da política de permissão do IAM. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance: Essa categoria de descoberta não está mapeada para nenhum controle de padrão de compliance. |
Verifica a política
de IAM nos metadados de
recursos para verificar se há vinculações
contendo um membro (principal) que tenha o prefixo group. Se o
grupo for aberto, o Security Health Analytics gerará essa descoberta.
|
Over privileged service account user
Nome da categoria na API: |
Como encontrar a descrição: um usuário tem o papel Usuário da conta de serviço ou Criador de token da conta de serviço para envolvidos no projeto, em vez de para uma conta de serviço específica. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica a política de permissão do IAM nos metadados de
recursos para qualquer membro atribuído
roles/iam.serviceAccountUser ou
roles/iam.serviceAccountTokenCreator no
nível do projeto.
|
Primitive roles used
Nome da categoria na API: |
Descrição da descoberta: um usuário tem um dos seguintes papéis básicos:
Esses papéis são muito permissivos e não devem ser usados. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a política de permissão do IAM nos metadados
de recursos para qualquer membro atribuído a um papel
|
Redis role used on org
Nome da categoria na API: |
Descrição da descoberta: um papel do IAM do Redis é atribuído ao nível da organização ou da pasta. Essa descoberta não está disponível para ativações no nível do projeto. Nível de preços: Premium
Recursos compatíveis
Padrões de conformidade:
|
Verifica a política de permissão do IAM nos metadados de
recursos para membros atribuídos a
|
Service account role separation
Nome da categoria na API: |
Como encontrar a descrição: um usuário recebeu os papéis Administrador da conta de serviço e Usuário da conta de serviço. Isso viola o princípio de "Separação de tarefas". Essa descoberta não está disponível para ativações no nível do projeto. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica a política de permissão do IAM nos metadados de
recursos para qualquer membro com
roles/iam.serviceAccountUser e
roles/iam.serviceAccountAdmin atribuídos.
|
Service account key not rotated
Nome da categoria na API: |
Como encontrar a descrição: uma chave da conta de serviço não foi alternada por mais de 90 dias. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Avalia o carimbo de data/hora de criação da chave capturado na propriedade
|
User managed service account key
Nome da categoria na API: |
Como encontrar a descrição: um usuário gerencia uma chave de conta de serviço. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Descobertas de vulnerabilidade do KMS
As vulnerabilidades desse tipo de detector estão relacionadas às configurações do Cloud KMS
e pertencem ao tipo de detector KMS_SCANNER.
| Detector | Resumo | Configurações da verificação de recursos |
|---|---|---|
KMS key not rotated
Nome da categoria na API: |
Como encontrar a descrição: a rotação não está configurada em uma chave de criptografia do Cloud KMS. As chaves de criptografia precisam ser trocadas dentro de um período de 90 dias Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica os metadados do recurso para a existência de propriedades
|
KMS project has owner
Nome da categoria na API: |
Como encontrar a descrição: um usuário tem permissões de Proprietário em um projeto que tem chaves criptográficas. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a política de permissão do IAM nos metadados do
projeto para os membros atribuídos
|
KMS public key
Nome da categoria na API: |
Como encontrar a descrição: uma chave criptográfica do Cloud KMS é acessível publicamente. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica a política de permissão de IAM nos metadados
de recursos para os membros
|
Too many KMS users
Nome da categoria na API: |
Como encontrar a descrição: há mais de três usuários de chaves criptográficas. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica as políticas de permissão do IAM quanto a keyrings,
projetos e organizações e recupera membros com
papéis que permitem criptografar, descriptografar ou assinar dados usando
as chaves do Cloud KMS: roles/owner,
roles/cloudkms.cryptoKeyEncrypterDecrypter,
roles/cloudkms.cryptoKeyEncrypter,
roles/cloudkms.cryptoKeyDecrypter,
roles/cloudkms.signer e
roles/cloudkms.signerVerifier.
|
Descobertas de vulnerabilidade de geração de registros
As vulnerabilidades desse tipo de detector estão relacionadas às configurações de geração de registros e
pertencem ao tipo de detector LOGGING_SCANNER.
| Detector | Resumo | Configurações da verificação de recursos |
|---|---|---|
Audit logging disabled
Nome da categoria na API: |
Descrição da descoberta: a geração de registros de auditoria foi desativada para este recurso. Essa descoberta não está disponível para ativações no nível do projeto. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica a política de permissão do IAM nos metadados do recurso para a existência de um objeto
|
Bucket logging disabled
Nome da categoria na API: |
Como encontrar a descrição: há um bucket de armazenamento sem o registro ativado. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se o campo
|
Locked retention policy not set
Nome da categoria na API: |
Como encontrar a descrição: uma política de retenção bloqueada não está definida para os registros. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica se o campo
|
Log not exported
Nome da categoria na API: |
Como encontrar a descrição: há um recurso que não tem um coletor de registros apropriado configurado. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis
Padrões de compliance:
|
Recupera um objeto
|
Object versioning disabled
Nome da categoria na API: |
Como encontrar a descrição: o controle de versão de objeto não está ativado em um bucket de armazenamento em que os coletores são configurados. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se o campo
|
Como monitorar descobertas de vulnerabilidade
Todas as vulnerabilidades desse tipo de detector estão relacionadas às configurações de monitoramento
e pertencem ao tipo MONITORING_SCANNER. Todas as propriedades de descoberta do detector do Monitoring incluem:
-
O
RecommendedLogFiltera ser usado na criação das métricas de registro. -
O
QualifiedLogMetricNamesque abrange as condições listadas no filtro de registro recomendado. -
O
AlertPolicyFailureReasonsque indica se o projeto não tem políticas de alerta criadas para nenhuma das métricas de registro qualificadas ou se as políticas de alerta atuais não têm as configurações recomendadas.
| Detector | Resumo | Configurações da verificação de recursos |
|---|---|---|
Audit config not monitored
Nome da categoria na API: |
Descrição da descoberta: métricas e alertas de registro não estão configurados para monitorar mudanças na configuração de auditoria. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade filter do recurso LogsMetric do projeto está definida como protoPayload.methodName="SetIamPolicy" AND
protoPayload.serviceData.policyDelta.auditConfigDeltas:* e, se resource.type for especificado, se o valor é global ,
O detector também pesquisa um recurso alertPolicy correspondente, verificando se as propriedades conditions e notificationChannels estão configuradas corretamente
|
Bucket IAM not monitored
Nome da categoria na API: |
Descrição da descoberta: métricas e alertas de registro não estão configurados para monitorar alterações de permissão do IAM do Cloud Storage. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade filter do recurso LogsMetric do projeto está definida como resource.type=gcs_bucket AND
protoPayload.methodName="storage.setIamPermissions".
O detector também pesquisa um recurso alertPolicy correspondente, verificando se as propriedades conditions e notificationChannels estão configuradas corretamente.
|
Custom role not monitored
Nome da categoria na API: |
Como encontrar a descrição: métricas e alertas de registro não são configurados para monitorar alterações de Papéis personalizados. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade filter do recurso LogsMetric do projeto está definida como resource.type="iam_role" AND
(protoPayload.methodName="google.iam.admin.v1.CreateRole"
OR
protoPayload.methodName="google.iam.admin.v1.DeleteRole"
OR
protoPayload.methodName="google.iam.admin.v1.UpdateRole").
O detector também pesquisa um recurso alertPolicy correspondente, verificando se as propriedades conditions e notificationChannels estão configuradas corretamente.
|
Firewall not monitored
Nome da categoria na API: |
Como encontrar a descrição: as métricas e os alertas de registro não estão configurados para monitorar alterações na regra de firewall da rede de nuvem privada virtual (VPC). Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica se a propriedade filter do recurso LogsMetric do projeto está definida como
resource.type="gce_firewall_rule"
AND (protoPayload.methodName:"compute.firewalls.insert"
OR protoPayload.methodName:"compute.firewalls.patch"
OR protoPayload.methodName:"compute.firewalls.delete").
O detector também pesquisa um recurso alertPolicy correspondente, verificando se as propriedades conditions e notificationChannels estão configuradas corretamente.
|
Network not monitored
Nome da categoria na API: |
Descrição da descoberta: métricas e alertas de registro não estão configurados para monitorar mudanças da rede VPC. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica se a propriedade filter do recurso LogsMetric do projeto está definida como
resource.type="gce_network"
AND (protoPayload.methodName:"compute.networks.insert"
OR protoPayload.methodName:"compute.networks.patch"
OR protoPayload.methodName:"compute.networks.delete"
OR protoPayload.methodName:"compute.networks.removePeering"
OR protoPayload.methodName:"compute.networks.addPeering").
O detector também pesquisa um recurso alertPolicy correspondente, verificando se as propriedades conditions e notificationChannels estão configuradas corretamente.
|
Owner not monitored
Nome da categoria na API: |
Descrição da descoberta: métricas e alertas de registro não estão configurados para monitorar atribuições ou alterações de propriedade do projeto. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade filter do recurso LogsMetric do projeto está definida como (protoPayload.serviceName="cloudresourcemanager.googleapis.com")
AND (ProjectOwnership OR projectOwnerInvitee) OR
(protoPayload.serviceData.policyDelta.bindingDeltas.action="REMOVE"
AND
protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner")
OR
(protoPayload.serviceData.policyDelta.bindingDeltas.action="ADD"
AND
protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner") e, se resource.type for especificado, se o valor é global.
O detector também pesquisa um recurso alertPolicy correspondente, verificando se as propriedades conditions e notificationChannels estão configuradas corretamente.
|
Route not monitored
Nome da categoria na API: |
Descrição da descoberta: métricas e alertas de registro não estão configurados para monitorar mudanças na rota de rede VPC. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade filter do recurso LogsMetric do projeto está definida como
resource.type="gce_route"
AND (protoPayload.methodName:"compute.routes.delete"
OR protoPayload.methodName:"compute.routes.insert").
O detector também pesquisa um recurso alertPolicy correspondente, verificando se as propriedades conditions e notificationChannels estão configuradas corretamente.
|
SQL instance not monitored
|
Como encontrar a descrição: métricas e alertas de registro não são configurados para monitorar alterações na configuração da instância do Cloud SQL. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica se a propriedade filter do recurso LogsMetric do projeto está definida como
protoPayload.methodName="cloudsql.instances.update"
OR protoPayload.methodName="cloudsql.instances.create"
OR protoPayload.methodName="cloudsql.instances.delete" e, se resource.type for especificado, se o valor é global.
O detector também pesquisa um recurso alertPolicy correspondente, verificando se as propriedades conditions e notificationChannels estão configuradas corretamente.
|
Descobertas da autenticação multifator
O detector MFA_SCANNER identifica vulnerabilidades relacionadas à autenticação multifator para usuários.
| Detector | Resumo | Configurações da verificação de recursos |
|---|---|---|
MFA not enforced
Nome da categoria na API: |
Há usuários que não estão usando a verificação em duas etapas. O Google Workspace permite especificar um período de carência de inscrição para novos usuários em que eles precisam se inscrever na verificação em duas etapas. Esse detector cria descobertas para os usuários durante o período de carência da inscrição. Essa descoberta não está disponível para ativações no nível do projeto. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de conformidade:
|
Avalia políticas de gerenciamento de identidade em organizações e configurações de usuários para contas gerenciadas no Cloud Identity.
|
Descobertas de vulnerabilidades de rede
As vulnerabilidades desse tipo de detector estão relacionadas às configurações de rede
de uma organização e pertencem ao tipo NETWORK_SCANNER.
| Detector | Resumo | Configurações da verificação de recursos |
|---|---|---|
Default network
Nome da categoria na API: |
Como encontrar a descrição: a rede padrão existe em um projeto. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica se a propriedade
|
DNS logging disabled
Nome da categoria na API: |
Encontrar a descrição: a geração de registros DNS em uma rede VPC não está ativada. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica todos os
|
Legacy network
Nome da categoria na API: |
Como encontrar a descrição: há uma rede legada em um projeto. Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a existência de metadados de rede na propriedade
|
Load balancer logging disabled
Nome da categoria na API: |
Descrição da descoberta: a geração de registros está desativada no balanceador de carga. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Descobertas da vulnerabilidade da política da organização
As vulnerabilidades desse tipo de detector estão relacionadas às configurações de política da organização e pertencem ao tipo ORG_POLICY.
| Detector | Resumo | Configurações da verificação de recursos |
|---|---|---|
Org policy Confidential VM policy
Nome da categoria na API: |
Como encontrar a descrição: um recurso do Compute Engine não está em conformidade com a política da organização constraints/compute.restrictNonConfidentialComputing. Para mais informações sobre essa restrição da política da organização, consulte
Como aplicar restrições de políticas da organização na documentação da VM confidencial.
Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance: Essa categoria de descoberta não está mapeada para nenhum controle de padrão de compliance. |
Verifica se a propriedade
|
Org policy location restriction
Nome da categoria na API: |
Como encontrar a descrição: um recurso do Compute Engine está fora da conformidade com a restrição constraints/gcp.resourceLocations. Para mais informações sobre essa restrição da política da organização, consulte Como aplicar restrições da política da organização.
Para ativações no nível do projeto do nível Premium do Security Command Center, essa descoberta só estará disponível se o nível Standard estiver ativado na organização pai. Nível de preços: Premium
Recursos compatíveis Padrões de compliance: Essa categoria de descoberta não está mapeada para nenhum controle de padrão de compliance. |
Verifica a propriedade
|
|
Recursos compatíveis para ORG_POLICY_LOCATION_RESTRICTION
Compute Engine
GKE
Cloud Storage
Cloud KMS
Dataproc
BigQuery
Dataflow
Cloud SQL
Cloud Composer
Logging
Pub/Sub
Vertex AI
Artifact Registry 1 Como não é possível excluir os recursos do Cloud KMS, eles não serão considerados fora da região se os dados deles tiverem sido destruídos. 2 Como os jobs de importação do Cloud KMS têm um ciclo de vida controlado e não podem ser encerrados antecipadamente, um ImportJob não é considerado fora da região se o job expirar e não puder mais ser usado para importar chaves. 3 Como o ciclo de vida dos jobs do Dataflow não pode ser gerenciado, um job não é considerado fora da região depois de atingir um estado terminal (interrompido ou drenado), em que pode não serão mais usados para processar dados. |
||
Descobertas de vulnerabilidades do Pub/Sub
As vulnerabilidades desse tipo de detector estão relacionadas às configurações do Pub/Sub
e pertencem ao tipo PUBSUB_SCANNER.
| Detector | Resumo | Configurações da verificação de recursos |
|---|---|---|
Pubsub CMEK disabled
Nome da categoria na API: |
Como encontrar a descrição: um tópico do Pub/Sub não é criptografado com chaves de criptografia gerenciadas pelo cliente (CMEK). Esse detector requer configuração adicional para ativar Para ver instruções, consulte Ativar e desativar detectores. Nível de preços: Premium
Recursos compatíveis Padrões de compliance: Essa categoria de descoberta não está mapeada para nenhum controle de padrão de compliance. |
Verifica o campo
|
Descobertas de vulnerabilidade SQL
As vulnerabilidades desse tipo de detector estão relacionadas às configurações
do Cloud SQL e pertencem ao tipo SQL_SCANNER.
| Detector | Resumo | Configurações da verificação de recursos |
|---|---|---|
AlloyDB auto backup disabled
Nome da categoria na API: |
Descrição da descoberta: Um cluster do AlloyDB para PostgreSQL não tem backups automáticos ativados. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a
propriedade
|
AlloyDB backups disabled
Nome da categoria na API: |
Descrição da descoberta: Um cluster do AlloyDB para PostgreSQL não tem backups ativados. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se as propriedades
|
AlloyDB CMEK disabled
Nome da categoria na API: |
Descrição da descoberta: um cluster do AlloyDB não é criptografado com chaves de criptografia gerenciadas pelo cliente (CMEK). Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica o campo
|
AlloyDB log min error statement severity
Nome da categoria na API: |
Descrição da descoberta:
A flag de banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Para garantir a cobertura adequada dos tipos de mensagem nos registros, emite uma descoberta se o
campo
|
AlloyDB log min messages
Nome da categoria na API: |
Descrição da descoberta:
A flag de banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Para garantir a cobertura adequada dos tipos de mensagem nos registros, emite uma descoberta se o
campo
|
AlloyDB log error verbosity
Nome da categoria na API: |
Descrição da descoberta:
a flag do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Para garantir a cobertura adequada dos tipos de mensagens nos registros, emite uma descoberta se o
O campo
|
AlloyDB public IP
Nome da categoria na API: |
Descrição da descoberta: uma instância de banco de dados do AlloyDB para PostgreSQL tem um endereço IP público. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se o campo
|
AlloyDB SSL not enforced
Nome da categoria na API: |
Descrição da descoberta: uma instância de banco de dados do AlloyDB para PostgreSQL não exige que todas as conexões de entrada usem SSL. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica se a propriedade
|
Auto backup disabled
Nome da categoria na API: |
Descrição da descoberta: um banco de dados do Cloud SQL não tem backups automáticos ativados. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Public SQL instance
Nome da categoria na API: |
Como encontrar a descrição: uma instância de banco de dados do Cloud SQL aceita conexões de todos os endereços IP. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
SSL not enforced
Nome da categoria na API: |
Descrição da descoberta: uma instância de banco de dados do Cloud SQL não requer que todas as conexões de entrada usem SSL. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
SQL CMEK disabled
Nome da categoria na API: |
Descrição da descoberta: uma instância de banco de dados SQL não é criptografada com chaves de criptografia gerenciadas pelo cliente (CMEK). Esse detector requer configuração adicional para ativar Para ver instruções, consulte Ativar e desativar detectores. Nível de preços: Premium
Recursos compatíveis Padrões de compliance: Essa categoria de descoberta não está mapeada para nenhum controle de padrão de compliance. |
Verifica o campo
|
SQL contained database authentication
Nome da categoria na API: |
Como encontrar a descrição:
a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica a propriedade
|
SQL cross DB ownership chaining
Nome da categoria na API: |
Descoberta de localização:
a sinalização do banco
de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
SQL external scripts enabled
Nome da categoria na API: |
Descoberta de localização:
a sinalização do banco
de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
SQL local infile
Nome da categoria na API: |
Encontrando descrição:
a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica a propriedade
|
SQL log checkpoints disabled
Nome da categoria na API: |
Como encontrar a descrição:
a sinalização de banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
SQL log connections disabled
Nome da categoria na API: |
Como encontrar a descrição:
a sinalização de banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
SQL log disconnections disabled
Nome da categoria na API: |
Descoberta de localização:
a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica a propriedade
|
SQL log duration disabled
Nome da categoria na API: |
Descoberta de localização:
a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica a propriedade
|
SQL log error verbosity
Nome da categoria na API: |
Descrição da descoberta:
a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
SQL log lock waits disabled
Nome da categoria na API: |
Como encontrar a descrição:
a sinalização de banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica a propriedade
|
SQL log min duration statement enabled
Nome da categoria na API: |
Como encontrar a descrição:
a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica a propriedade
|
SQL log min error statement
Nome da categoria na API: |
Encontrando descrição
a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica se o campo
|
SQL log min error statement severity
Nome da categoria na API: |
Descrição da descoberta:
a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica se o campo
|
SQL log min messages
Nome da categoria na API: |
Descrição da descoberta:
a sinalização de banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Para garantir a cobertura adequada dos tipos de mensagem nos registros, emite uma descoberta se o
campo
|
SQL log executor stats enabled
Nome da categoria na API: |
Como encontrar a descrição:
a sinalização de banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
SQL log hostname enabled
Nome da categoria na API: |
Como encontrar a descrição:
a sinalização de banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica se a propriedade
|
SQL log parser stats enabled
Nome da categoria na API: |
Como encontrar a descrição:
a sinalização de banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
SQL log planner stats enabled
Nome da categoria na API: |
Como encontrar a descrição:
a sinalização de banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica se a propriedade
|
SQL log statement
Nome da categoria na API: |
Como encontrar a descrição: a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
SQL log statement stats enabled
Nome da categoria na API: |
Como encontrar a descrição:
a sinalização de banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
SQL log temp files
Nome da categoria na API: |
Descoberta de localização:
a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
SQL no root password
Nome da categoria na API: |
Descrição da descoberta: um banco de dados do Cloud SQL que tem um endereço IP público não tem uma senha configurada para a conta raiz. Esse detector requer configuração adicional para ativar Para ver instruções, consulte Ativar e desativar detectores. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica se a propriedade
|
SQL public IP
Nome da categoria na API: |
Como encontrar a descrição: um banco de dados do Cloud SQL tem um endereço IP público. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica se o tipo de endereço IP de um
banco de dados do Cloud SQL está definido como
|
SQL remote access enabled
Nome da categoria na API: |
Como encontrar a descrição:
a sinalização do banco
de dados Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica a propriedade
|
SQL skip show database disabled
Nome da categoria na API: |
Encontrando descrição:
a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
SQL trace flag 3625
Nome da categoria na API: |
Como encontrar a descrição:
a sinalização do banco
de dados Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica a propriedade
|
SQL user connections configured
Nome da categoria na API: |
Como encontrar a descrição: a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica a propriedade
|
SQL user options configured
Nome da categoria na API: |
Como encontrar a descrição: a sinalização do banco de dados Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica a propriedade
|
SQL weak root password
Nome da categoria na API: |
Descrição da descoberta: um banco de dados do Cloud SQL que tem um endereço IP público também tem uma senha fraca configurada para a conta raiz. Esse detector requer configuração adicional para ativar Para ver instruções, consulte Ativar e desativar detectores. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade: Essa categoria de descoberta não está mapeada para nenhum controle de padrão de compliance. |
Compara a senha da conta raiz do banco de dados do Cloud SQL com uma lista de senhas comuns.
|
Descobertas de vulnerabilidade do armazenamento
As vulnerabilidades desse tipo de detector estão relacionadas às configurações dos buckets do Cloud Storage
e pertencem ao tipo STORAGE_SCANNER.
| Detector | Resumo | Configurações da verificação de recursos |
|---|---|---|
Bucket CMEK disabled
Nome da categoria na API: |
Descrição da descoberta: um bucket não é criptografado com chaves de criptografia gerenciadas pelo cliente (CMEK). Esse detector requer configuração adicional para ativar. Para instruções, consulte Ativar e desativar detectores. Nível de preços: Premium
Recursos compatíveis Padrões de compliance: Esta categoria de descoberta não está mapeada para nenhum controle padrão de compliance. |
Verifica o campo
|
Bucket policy only disabled
Nome da categoria na API: |
Como encontrar a descrição: o acesso uniforme no nível do bucket, anteriormente chamado de Somente política do bucket, não está configurado. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica se a
propriedade
|
Public bucket ACL
Nome da categoria na API: |
Como encontrar a descrição: um bucket do Cloud Storage é acessível publicamente. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de conformidade:
|
Verifica a política de permissão do IAM de um bucket para
papéis públicos,
|
Public log bucket
Nome da categoria na API: |
Como encontrar a descrição: um bucket de armazenamento usado como coletor de registros é acessível publicamente. Essa descoberta não está disponível para ativações no nível do projeto. Nível de preços: Premium ou Standard
Recursos compatíveis Padrões de conformidade:
|
Verifica a política de permissão do IAM de um bucket para
os membros
|
Descobertas de vulnerabilidades de sub-rede
As vulnerabilidades desse tipo de detector estão relacionadas às configurações
de sub-rede da organização e pertencem ao tipo SUBNETWORK_SCANNER.
| Detector | Resumo | Configurações da verificação de recursos |
|---|---|---|
Flow logs disabled
Nome da categoria na API: |
Como encontrar a descrição: há uma sub-rede VPC com registros de fluxo desativados. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Flow logs settings not recommended
Nome da categoria na API: |
Descrição da descoberta: em uma sub-rede VPC, os registros de fluxo de VPC estão desativados ou não estão configurados de acordo com as recomendações do comparativo de mercado CIS 1.3. Esse detector requer configuração adicional para ativar. Para ver instruções, consulte Ativar e desativar detectores. Nível de preços: Premium
Recursos compatíveis Padrões de compliance:
|
Verifica se a propriedade
|
Private Google access disabled
Nome da categoria na API: |
Descrição da descoberta: há sub-redes particulares sem acesso às APIs públicas do Google. Nível de preços: Premium
Recursos compatíveis Padrões de conformidade:
|
Verifica se a propriedade
|
Resultados da AWS
| Detector | Resumo | Configurações da verificação de recursos |
|---|---|---|
|
Nome da categoria na API: |
Encontrar a descrição: O AWS CloudShell é uma maneira conveniente de executar comandos da CLI nos serviços da AWS. Uma política gerenciada do IAM ("AWSCloudShellFullAccess") oferece acesso total ao CloudShell, o que permite fazer upload e download de arquivos entre o sistema local de um usuário e o ambiente do CloudShell. No ambiente do CloudShell, um usuário tem permissões sudo e pode acessar a Internet. Portanto, é viável instalar um software de transferência de arquivos (por exemplo) e mover os dados do Cloud Shell para servidores de Internet externos. Nível de preços: Enterprise Padrões de compliance:
|
Verifique se o acesso ao AWSCloudShellFullAccess está restrito
|
|
Nome da categoria na API: |
Encontrar a descrição: As chaves de acesso consistem em um ID de chave de acesso e uma chave de acesso secreta, que são usadas para assinar solicitações programáticas feitas para a AWS. Os usuários da AWS precisam das próprias chaves de acesso para fazer chamadas programáticas para a AWS usando a AWS Command Line Interface (AWS CLI), as ferramentas para Windows PowerShell, os SDKs da AWS ou as chamadas HTTP diretas usando as APIs para serviços individuais da AWS. É recomendável alternar regularmente todas as chaves de acesso. Nível de preços: Enterprise Padrões de compliance:
|
Verifique se as chaves de acesso são alternadas a cada 90 dias ou menos
|
|
Nome da categoria na API: |
Descrição da descoberta: Para ativar as conexões HTTPS para seu site ou aplicativo na AWS, você precisa de um certificado de servidor SSL/TLS. É possível usar o ACM ou o IAM para armazenar e implantar certificados do servidor. Nível de preços: Enterprise Padrões de compliance:
|
Verifique se todos os certificados SSL/TLS expirados armazenados no AWS IAM foram removidos
|
|
Nome da categoria na API: |
Descrição da descoberta: Ela verifica se os grupos de escalonamento automático associados a um balanceador de carga usam verificações de integridade do Elastic Load Balancing. Isso garante que o grupo possa determinar a integridade de uma instância com base em outros testes fornecidos pelo balanceador de carga. O uso de verificações de integridade do Elastic Load Balancing pode ajudar a garantir a disponibilidade de aplicativos que usam grupos de escalonamento automático do EC2. Nível de preço: Enterprise Padrões de conformidade:
|
Verifica se todos os grupos de escalonamento automático associados a um balanceador de carga usam verificações de integridade
|
|
Nome da categoria na API: |
Descrição da descoberta: Verifique se as instâncias de banco de dados do RDS estão com a sinalização de upgrade automático de versão secundária ativada para receber atualizações automáticas de mecanismos secundários durante a janela de manutenção especificada. Assim, as instâncias do RDS podem receber novos recursos, correções de bugs e patches de segurança para os mecanismos de banco de dados. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se o recurso de upgrade automático de versão secundária está ativado nas instâncias do RDS
|
|
Nome da categoria na API: |
Descrição da descoberta: O AWS Config é um serviço da Web que gerencia a configuração de recursos da AWS com suporte na sua conta e envia arquivos de registro para você. As informações registradas incluem o item de configuração (recurso da AWS), as relações entre os itens de configuração (recursos da AWS) e as mudanças de configuração entre os recursos. É recomendável ativar o AWS Config em todas as regiões. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se o AWS Config está ativado em todas as regiões
|
|
Nome da categoria na API: |
Encontrar a descrição: O Security Hub coleta dados de segurança de contas, serviços e produtos de parceiros de terceiros com suporte da AWS. Ele ajuda você a analisar tendências de segurança e identificar os problemas de segurança de maior prioridade. Quando você ativa a Central de segurança, ela começa a consumir, agregar, organizar e priorizar as descobertas dos serviços da AWS que você ativou, como Amazon GuardDuty, Amazon Inspector e Amazon Macie. Também é possível ativar integrações com produtos de segurança de parceiros da AWS. Nível de preços: Enterprise Padrões de conformidade:
|
Verifique se a Central de Segurança da AWS está ativada
|
|
Nome da categoria na API: |
Descrição da descoberta: O AWS CloudTrail é um serviço da Web que registra chamadas de API da AWS para uma conta e disponibiliza esses registros para usuários e recursos de acordo com as políticas do IAM. O AWS Key Management Service (KMS) é um serviço gerenciado que ajuda a criar e controlar as chaves de criptografia usadas para criptografar os dados da conta e usa módulos de segurança de hardware (HSMs) para proteger a segurança das chaves de criptografia. Os registros do CloudTrail podem ser configurados para usar a criptografia do lado do servidor (SSE) e as chaves mestras criadas pelo cliente (CMK) do KMS para proteger ainda mais os registros do CloudTrail. É recomendável que o CloudTrail seja configurado para usar o SSE-KMS. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se os registros do CloudTrail são criptografados em repouso usando CMKs do KMS
|
|
Nome da categoria na API: |
Encontrar a descrição: A validação de arquivos de registro do CloudTrail cria um arquivo de resumo assinado digitalmente que contém um hash de cada registro gravado pelo CloudTrail no S3. Esses arquivos de resumo podem ser usados para determinar se um arquivo de registro foi alterado, excluído ou inalterado após o CloudTrail entregar o registro. Recomendamos que a validação do arquivo esteja ativada em todos os CloudTrails. Nível de preço: Enterprise Padrões de conformidade:
|
Verifique se a validação do arquivo de registros do CloudTrail está ativada
|
|
Nome da categoria na API: |
Descrição da descoberta: O AWS CloudTrail é um serviço da Web que registra chamadas de API da AWS feitas em uma determinada conta da AWS. As informações registradas incluem a identidade do autor da chamada de API, o horário da chamada de API, o endereço IP de origem do autor da chamada, os parâmetros de solicitação e os elementos de resposta retornados pelo serviço da AWS. O CloudTrail usa o Amazon S3 para armazenamento e envio de arquivos de registro. Além de capturar logs do CloudTrail em um bucket do S3 especificado para análise de longo prazo, é possível realizar análises em tempo real configurando o CloudTrail para enviar logs para os logs do CloudWatch. Para uma trilha ativada em todas as regiões de uma conta, o CloudTrail envia arquivos de registros de todas essas regiões para um grupo de registros do CloudWatch. É recomendável enviar os registros do CloudTrail para os registros do CloudWatch. Observação: a intenção desta recomendação é garantir que a atividade da conta da AWS seja capturada, monitorada e alarme adequadamente. Os registros do CloudWatch são uma maneira nativa de fazer isso usando serviços da AWS, mas não impedem o uso de uma solução alternativa. Nível de preços: Enterprise Padrões de compliance:
|
Verifique se as trilhas do CloudTrail estão integradas aos registros do CloudWatch
|
|
Nome da categoria na API: |
Descrição da descoberta: Isso verifica se o Amazon CloudWatch tem ações definidas quando um alarme transita entre os estados "OK", "ALARM" e "INSUFFICIENT_DATA". Configurar ações para o estado ALARM nos alarmes do Amazon CloudWatch é muito importante para acionar uma resposta imediata quando as métricas monitoradas ultrapassarem os limites. Os alarmes têm pelo menos uma ação. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se os alarmes do CloudWatch têm pelo menos uma ação de alarme, uma ação INSUFFICIENT_DATA ou uma ação OK ativada.
|
|
Nome da categoria na API: |
Descrição da descoberta: Essa verificação garante que os registros do CloudWatch sejam configurados com o KMS. Os dados do grupo de registros são sempre criptografados nos registros do CloudWatch. Por padrão, o CloudWatch Logs usa a criptografia do lado do servidor para os dados de registro em repouso. Como alternativa, você pode usar o AWS Key Management Service para essa criptografia. Nesse caso, a criptografia é feita usando uma chave KMS da AWS. A criptografia usando o AWS KMS é ativada no nível do grupo de registros, associando uma chave KMS a um grupo de registros, seja na criação ou depois da criação do grupo de registros. Nível de preços: Enterprise Padrões de conformidade:
|
Verifica se todos os grupos de registro nos logs do Amazon CloudWatch estão criptografados com o KMS
|
|
Nome da categoria na API: |
Encontrar a descrição: Esse controle verifica se as trilhas do CloudTrail estão configuradas para enviar registros aos registros do CloudWatch. O controle falha se a propriedade CloudWatchLogsLogGroupArn do rastro estiver vazia. O CloudTrail registra as chamadas de API da AWS feitas em uma determinada conta. As informações registradas incluem o seguinte:
O CloudTrail usa o Amazon S3 para armazenamento e entrega de arquivos de registros. É possível capturar registros do CloudTrail em um bucket do S3 especificado para análise de longo prazo. Para realizar análises em tempo real, configure o CloudTrail para enviar registros ao CloudWatch Logs. Para uma trilha ativada em todas as regiões de uma conta, o CloudTrail envia arquivos de registros de todas essas regiões para um grupo de registros do CloudWatch. A Central de segurança recomenda que você envie registros do CloudTrail para os registros do CloudWatch. Essa recomendação tem o objetivo de garantir que a atividade da conta seja capturada, monitorada e alarme adequadamente. Você pode usar os registros do CloudWatch para configurar isso com seus serviços da AWS. Essa recomendação não impede o uso de uma solução diferente. O envio de registros do CloudTrail para os registros do CloudWatch facilita o registro de atividades em tempo real e histórico com base no usuário, na API, no recurso e no endereço IP. Você pode usar essa abordagem para estabelecer alarmes e notificações para atividades anormais ou sensíveis da conta. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se todas as trilhas do CloudTrail estão configuradas para enviar registros ao AWS CloudWatch
|
|
Nome da categoria na API: |
Encontrar a descrição: Isso verifica se o projeto contém as variáveis de ambiente As credenciais de autenticação Nível de preços: Enterprise Padrões de conformidade:
|
Verifique se todos os projetos que contêm variáveis de ambiente AWS_ACCESS_KEY_ID e AWS_SECRET_ACCESS_KEY não estão em texto simples
|
|
Nome da categoria na API: |
Encontrar a descrição: Verifica se o URL do repositório de origem do Bitbucket de um projeto do AWS CodeBuild contém tokens de acesso pessoal ou um nome de usuário e uma senha. O controle falhará se o URL do repositório de origem do Bitbucket tiver tokens de acesso pessoais ou um nome de usuário e uma senha. As credenciais de login não podem ser armazenadas ou transmitidas em texto simples nem aparecer no URL do repositório de origem. Em vez de tokens de acesso pessoais ou credenciais de login, acesse seu provedor de origem no CodeBuild e altere o URL do repositório de origem para conter apenas o caminho para o local do repositório do Bitbucket. O uso de tokens de acesso pessoal ou credenciais de login pode resultar em exposição não intencional de dados ou acesso não autorizado. Nível de preços: Enterprise Padrões de conformidade: Essa categoria de descoberta não está mapeada para nenhum controle de padrão de compliance. |
Verifica se todos os projetos que usam o github ou bitbucket como fonte usam o oauth
|
|
Nome da categoria na API: |
Encontrar a descrição: Os usuários do AWS IAM podem acessar os recursos da AWS usando diferentes tipos de credenciais, como senhas ou chaves de acesso. Recomendamos que todas as credenciais que não forem usadas em 45 dias ou mais sejam desativadas ou removidas. Nível de preço: Enterprise Padrões de conformidade:
|
Verifique se as credenciais não usadas há 45 dias ou mais estão desativadas
|
|
Nome da categoria na API: |
Descrição da descoberta: Uma VPC vem com um grupo de segurança padrão cujas configurações iniciais negam todo o tráfego de entrada, permitem todo o tráfego de saída e permitem todo o tráfego entre as instâncias atribuídas ao grupo de segurança. Se você não especificar um grupo de segurança ao iniciar uma instância, ela será atribuída automaticamente a esse grupo de segurança padrão. Os grupos de segurança fornecem filtragem com estado do tráfego de rede de entrada/saída para recursos da AWS. Recomendamos que o grupo de segurança padrão restrinja todo o tráfego. O grupo de segurança padrão da VPC padrão em cada região precisa ser atualizado para obedecer à regra. Todas as VPCs recém-criadas vão conter automaticamente um grupo de segurança padrão que precisará de correção para obedecer a essa recomendação. OBSERVAÇÃO: ao implementar essa recomendação, a geração de registros de fluxo de VPC é inestimável para determinar o acesso à porta de privilégio mínimo exigido pelos sistemas para funcionar corretamente, porque pode registrar todas as aceitações e rejeições de pacotes que ocorrem nos grupos de segurança atuais. Isso reduz drasticamente a principal barreira para a engenharia de privilégio mínimo: descobrir as portas mínimas necessárias pelos sistemas no ambiente. Mesmo que a recomendação da geração de registros de fluxos de VPC neste comparativo não seja adotada como uma medida de segurança permanente, ela deve ser usada durante qualquer período de descoberta e engenharia para os grupos de segurança com menos privilégios. Nível de preços: Enterprise Padrões de compliance:
|
Verifique se o grupo de segurança padrão de cada VPC restringe todo o tráfego
|
|
Nome da categoria na API: |
Descrição da descoberta: Verifica se as instâncias de replicação do AWS DMS são públicas. Para fazer isso, ele examina o valor do campo Uma instância de replicação particular tem um endereço IP particular que não pode ser acessado fora da rede de replicação. Uma instância de replicação precisa ter um endereço IP particular quando os bancos de dados de origem e destino estão na mesma rede. A rede também precisa estar conectada à VPC da instância de replicação usando uma VPN, o AWS Direct Connect ou o peering da VPC. Para saber mais sobre instâncias de replicação públicas e privadas, consulte Instâncias de replicação públicas e privadas no guia do usuário do AWS Database Migration Service. Também é necessário garantir que o acesso à configuração da instância do AWS DMS seja limitado apenas a usuários autorizados. Para fazer isso, restrinja o acesso Permissões do IAM para modificar configurações e recursos do AWS DMS. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se as instâncias de replicação do AWS Database Migration Service são públicas
|
|
Nome da categoria na API: |
Encontrar a descrição: O AWS Console não marca nenhuma caixa de seleção por padrão ao criar um novo usuário do IAM. Ao criar as credenciais do usuário do IAM, você precisa determinar o tipo de acesso necessário. Acesso programático: o usuário do IAM pode precisar fazer chamadas de API, usar a CLI da AWS ou as ferramentas para Windows PowerShell. Nesse caso, crie uma chave de acesso (ID da chave de acesso e uma chave de acesso secreta) para esse usuário. Acesso ao AWS Management Console: se o usuário precisar acessar o AWS Management Console, crie uma senha para ele. Nível de preço: Enterprise Padrões de compliance:
|
Não defina chaves de acesso durante a configuração inicial de usuário para todos os usuários do IAM que têm uma senha para o console
|
|
Nome da categoria na API: |
Encontrar a descrição: Ela verifica se uma tabela do Amazon DynamoDB pode escalonar a capacidade de leitura e gravação conforme necessário. Esse controle será aprovado se a tabela usar o modo de capacidade sob demanda ou o modo provisionado com o escalonamento automático configurado. O escalonamento da capacidade com a demanda evita exceções de limitação, o que ajuda a manter a disponibilidade dos seus aplicativos. As tabelas do DynamoDB no modo de capacidade sob demanda são limitadas apenas pelas cotas de tabelas padrão de capacidade de processamento do DynamoDB. Para aumentar essas cotas, registre um tíquete de suporte na AWS Support. As tabelas DynamoDB no modo provisionado com escalonamento automático ajustam dinamicamente a capacidade de processamento provisionada em resposta aos padrões de tráfego. Para mais informações sobre a limitação de solicitações do DynamoDB, consulte "Limitação de solicitações e capacidade de burst" no Guia do desenvolvedor do Amazon DynamoDB. Nível de preço: Enterprise Padrões de compliance:
|
As tabelas DynamoDB precisam escalonar a capacidade automaticamente conforme a demanda
|
|
Nome da categoria na API: |
Descrição da descoberta: Esse controle avalia se uma tabela do DynamoDB está coberta por um plano de backup. O controle falha se uma tabela do DynamoDB não estiver coberta por um plano de backup. Esse controle avalia apenas as tabelas do DynamoDB que estão no estado ACTIVE. Os backups ajudam você a se recuperar mais rapidamente de um incidente de segurança. Elas também aumentam a resiliência dos seus sistemas. A inclusão de tabelas do DynamoDB em um plano de backup ajuda a proteger os dados contra perda ou exclusão não intencional. Nível de preço: Enterprise Padrões de compliance:
|
As tabelas DynamoDB precisam estar cobertas por um plano de backup
|
|
Nome da categoria na API: |
Encontrar a descrição: A recuperação pontual (PITR, na sigla em inglês) é um dos mecanismos disponíveis para fazer backup das tabelas DynamoDB. Um backup pontual é mantido por 35 dias. Caso seu requisito seja uma retenção mais longa, consulte Configurar backups programados para o Amazon DynamoDB usando o backup do AWS na documentação da AWS. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se a recuperação pontual (PITR) foi ativada em todas as tabelas do AWS DynamoDB
|
|
Nome da categoria na API: |
Encontrar a descrição: Verifica se todas as tabelas do DynamoDB estão criptografadas com uma chave KMS gerenciada pelo cliente (não padrão). Nível de preço: Enterprise Padrões de compliance:
|
Verifica se todas as tabelas do DynamoDB foram criptografadas com o AWS Key Management Service (KMS)
|
|
Nome da categoria na API: |
Descrição da descoberta: Verifique se a otimização do EBS está ativada nas instâncias do EC2 que podem ser otimizadas para EBS Nível de preço: Enterprise Padrões de compliance:
|
Verifica se a otimização do EBS foi ativada em todas as instâncias com suporte à otimização do EBS
|
|
Nome da categoria na API: |
Encontrar a descrição: Verifica se os snapshots do Amazon Elastic Block Store não são públicos. O controle falhará se os snapshots do Amazon EBS puderem ser restaurados por qualquer pessoa. Os snapshots do EBS são usados para fazer backup dos dados nos volumes do EBS para o Amazon S3 em um momento específico. Você pode usar os snapshots para restaurar estados anteriores dos volumes EBS. É raro que seja aceitável compartilhar um snapshot com o público. Normalmente, a decisão de compartilhar um snapshot publicamente foi tomada por engano ou sem um entendimento completo das implicações. Essa verificação ajuda a garantir que todo esse compartilhamento foi totalmente planejado e intencional. Nível de preço: Enterprise Padrões de compliance:
|
Os snapshots do Amazon EBS não podem ser publicamente restauráveis
|
|
Nome da categoria na API: |
Encontrar a descrição: O Elastic Compute Cloud (EC2) oferece suporte à criptografia em repouso ao usar o serviço Elastic Block Store (EBS). Enquanto desativado por padrão, é possível forçar a criptografia na criação do volume EBS. Nível de preços: Enterprise Padrões de conformidade:
|
Verifique se a criptografia de volume EBS está ativada em todas as regiões
|
|
Nome da categoria na API: |
Encontrar a descrição: A Amazon VPC oferece mais recursos de segurança do que o EC2 Classic. É recomendável que todos os nós pertençam a uma VPC da Amazon. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se todas as instâncias pertencem a uma VPC
|
|
Nome da categoria na API: |
Encontrar a descrição: As instâncias do EC2 que têm um endereço IP público correm um risco maior de serem comprometidas. Recomendamos que as instâncias do EC2 não sejam configuradas com um endereço IP público. Nível de preço: Enterprise Padrões de conformidade:
|
Verifique se nenhuma instância tem IP público
|
|
Nome da categoria na API: |
Encontrar a descrição: Uma associação do Gerenciador de estados é uma configuração atribuída às suas instâncias gerenciadas. A configuração define o estado que você quer manter nas instâncias. Por exemplo, uma associação pode especificar que o software antivírus precisa estar instalado e em execução nas suas instâncias ou que determinadas portas precisam ser fechadas. As instâncias EC2 associadas ao AWS Systems Manager estão sob o gerenciamento do Systems Manager, o que facilita a aplicação de patches, a correção de configurações incorretas e a resposta a eventos de segurança. Nível de preços: Enterprise Padrões de compliance:
|
Verifica o status de compliance da associação do AWS Systems Manager
|
|
Nome da categoria na API: |
Descrição da descoberta: Esse controle verifica se o status de compliance da associação do AWS Systems Manager é COMPLIANT ou NON_COMPLIANT depois que a associação é executada em uma instância. O controle falha se o status de compliance da associação for NON_COMPLIANT. Uma associação do gerenciador de estado é uma configuração atribuída às instâncias gerenciadas. A configuração define o estado que você quer manter nas instâncias. Por exemplo, uma associação pode especificar que o software antivírus precisa estar instalado e em execução nas instâncias ou que determinadas portas precisam ser fechadas. Depois de criar uma ou mais associações ao Gerenciador de estado, as informações de status de compliance ficam disponíveis imediatamente. É possível conferir o status de compliance no console ou em resposta a comandos da AWS CLI ou ações correspondentes da API Systems Manager. Para associações, a conformidade de configuração mostra o status de compliance (em conformidade ou não em conformidade). Ele também mostra o nível de gravidade atribuído à associação, como "Crítica" ou "Média". Para saber mais sobre conformidade da associação do State Manager, consulte Sobre a conformidade da associação do State Manager no Guia do usuário do AWS Systems Manager. Nível de preço: Enterprise Padrões de conformidade:
|
Verifica o status de compliance do patch do AWS Systems Manager
|
|
Nome da categoria na API: |
Descrição da descoberta: Ao ativar o serviço de metadados nas instâncias do AWS EC2, os usuários têm a opção de usar a versão 1 do serviço de metadados da instância (IMDSv1, um método de solicitação/resposta) ou a versão 2 do serviço de metadados da instância (IMDSv2, um método orientado por sessão). Nível de preço: Enterprise Padrões de conformidade:
|
Verifique se o serviço de metadados do EC2 permite apenas IMDSv2
|
|
Nome da categoria na API: |
Encontrar a descrição: Identificar e remover volumes do Elastic Block Store (EBS) não anexados (não utilizados) na conta da AWS para reduzir o custo da fatura mensal da AWS. A exclusão de volumes EBS não utilizados também reduz o risco de dados confidenciais/sensíveis saírem do local. Além disso, esse controle também verifica se as instâncias do EC2 arquivadas foram configuradas para excluir volumes no encerramento. Por padrão, as instâncias do EC2 são configuradas para excluir os dados em qualquer volume EBS associado à instância e para excluir o volume EBS raiz da instância. No entanto, por padrão, todos os volumes EBS não raiz anexados à instância, no lançamento ou durante a execução, são mantidos após o encerramento. Nível de preço: Enterprise Padrões de conformidade:
|
Verifica se os volumes do EBS estão anexados às instâncias do EC2 e configurados para exclusão no encerramento da instância
|
|
Nome da categoria na API: |
Encontrar a descrição: O Amazon EFS aceita duas formas de criptografia para sistemas de arquivos: criptografia de dados em trânsito e criptografia em repouso. Isso verifica se todos os sistemas de arquivos EFS estão configurados com criptografia em repouso em todas as regiões ativadas na conta. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se o EFS foi configurado para criptografar dados de arquivos usando o KMS
|
|
Nome da categoria na API: |
Descrição da descoberta: As práticas recomendadas da Amazon recomendam configurar backups para os sistemas de arquivos elástica (EFS, na sigla em inglês). Isso verifica todos os EFS em todas as regiões ativadas na sua conta da AWS para backups ativados. Nível de preços: Enterprise Padrões de conformidade:
|
Verifica se os sistemas de arquivos do EFS estão incluídos nos planos de backup do AWS
|
|
Nome da categoria na API: |
Descrição da descoberta: Verifica se o balanceador de carga clássico usa certificados HTTPS/SSL fornecidos pelo AWS Certificate Manager (ACM). O controle falhará se o balanceador de carga clássico configurado com o listener HTTPS/SSL não usar um certificado fornecido pelo ACM. Para criar um certificado, você pode usar o ACM ou uma ferramenta compatível com os protocolos SSL e TLS, como o OpenSSL. O Security Hub recomenda que você use o ACM para criar ou importar certificados para o balanceador de carga. O ACM se integra aos balanceadores de carga clássicos para que você possa implantar o certificado no seu balanceador de carga. Você também precisa renovar esses certificados automaticamente. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se todos os balanceadores de carga clássicos usam os certificados SSL fornecidos pelo AWS Certificate Manager
|
|
Nome da categoria na API: |
Descrição da descoberta: Verifica se a proteção contra exclusão está ativada no balanceador de carga de aplicativo. O controle falhará se a proteção contra exclusão não estiver configurada. Ative a proteção contra exclusão para impedir que seu balanceador de carga de aplicativo seja excluído. Nível de preços: Enterprise Padrões de compliance:
|
A proteção contra exclusões do balanceador de carga de aplicativo precisa ser ativada
|
|
Nome da categoria na API: |
Descrição da descoberta: Isso verifica se a geração de registros está ativada para o balanceador de carga de aplicativo e o balanceador de carga clássico. O controle falha se access_logs.s3.enabled for falso. O Elastic Load Balancing fornece registros de acesso que capturam informações detalhadas sobre as solicitações enviadas ao balanceador de carga. Cada registro contém informações como a hora em que a solicitação foi recebida, o endereço IP do cliente, latências, caminhos de solicitação e respostas do servidor. É possível usar esses registros de acesso para analisar padrões de tráfego e resolver problemas. Para saber mais, consulte Acesso aos registros do balanceador de carga clássico no guia do usuário para balanceadores de carga clássicos. Nível de preços: Enterprise Padrões de compliance:
|
Verifica se os balanceadores de carga de aplicativo e clássicos estão com a geração de registros ativada
|
|
Nome da categoria na API: |
Descrição da descoberta: Essa verificação garante que todos os balanceadores de carga clássicos sejam configurados para usar comunicação segura. Um listener é um processo que verifica as solicitações de conexão. Ele é configurado com um protocolo e uma porta para conexões de front-end (de cliente para balanceador de carga), além de um protocolo e uma porta para conexões de back-end (balanceador de carga para instância). Para informações sobre portas, protocolos e configurações de listener compatíveis com o Elastic Load Balancing, consulte Listeners para o balanceador de carga clássico. Nível de preços: Enterprise Padrões de conformidade:
|
Verifica se todos os balanceadores de carga clássicos foram configurados com listeners HTTPS ou SSL
|
|
Nome da categoria na API: |
Encontrar a descrição: Verifica se os volumes do EBS que estão em um estado anexado estão criptografados. Para passar na verificação, os volumes do EBS precisam estar em uso e criptografados. Se o volume do EBS não estiver anexado, ele não estará sujeito a essa verificação. Para adicionar uma camada de segurança aos seus dados sensíveis em volumes EBS, ative a criptografia EBS em repouso. A criptografia do Amazon EBS oferece uma solução de criptografia direta para seus recursos do EBS que não exige que você crie, mantenha e proteja sua própria infraestrutura de gerenciamento de chaves. Ele usa chaves do KMS ao criar volumes e snapshots criptografados. Para saber mais sobre a criptografia do Amazon EBS, consulte Criptografia do Amazon EBS no Guia do usuário do Amazon EC2 para instâncias Linux. Nível de preço: Enterprise Padrões de conformidade:
|
Os volumes anexados do Amazon EBS precisam estar criptografados em repouso
|
|
Nome da categoria na API: |
Encontrar a descrição: As instâncias de banco de dados criptografadas do Amazon RDS usam o algoritmo de criptografia AES-256 padrão do setor para criptografar seus dados no servidor que hospeda suas instâncias do Amazon RDS DB. Depois que os dados são criptografados, o Amazon RDS processa a autenticação de acesso e a descriptografia dos dados de forma transparente, com um impacto mínimo no desempenho. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se a criptografia em repouso foi ativada nas instâncias do RDS
|
|
Nome da categoria na API: |
Encontrar a descrição: Os dados do EFS precisam ser criptografados em repouso usando o AWS KMS (serviço de gerenciamento de chaves). Nível de preço: Enterprise Padrões de conformidade:
|
Verifique se a criptografia está ativada para sistemas de arquivos EFS
|
|
Nome da categoria na API: |
Encontrar a descrição: A AWS permite políticas de senha personalizadas na conta da AWS para especificar os requisitos de complexidade e os períodos de rotação obrigatórios para os usuários do IAM senhas. Se você não definir uma política de senha personalizada, as senhas de usuário do IAM precisarão atender à política de senha padrão da AWS. As práticas recomendadas de segurança da AWS recomendam os seguintes requisitos de complexidade de senha:
Isso controla todos os requisitos especificados da política de senha. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se a política de senha da conta para usuários do IAM atende aos requisitos especificados
|
|
Nome da categoria na API: |
Descrição da descoberta: As políticas de senha do IAM podem impedir que uma senha seja reutilizada pelo mesmo usuário. Recomenda-se que a política de senha impeça a reutilização de senhas. Nível de preço: Enterprise Padrões de conformidade:
|
Verifique se a política de senha do IAM impede a reutilização da senha
|
|
Nome da categoria na API: |
Descrição da descoberta: As políticas de senha são usadas em parte para aplicar requisitos de complexidade de senha. As políticas de senha do IAM podem ser usadas para garantir que a senha tenha um determinado tamanho. Recomenda-se que a política de senha exija um tamanho mínimo de senha 14. Nível de preços: Enterprise Padrões de compliance:
|
Verifique se a política de senha do IAM requer tamanho mínimo de 14 ou mais
|
|
Nome da categoria na API: |
Descrição da descoberta: Com as políticas do IAM, privilégios são concedidos a usuários, grupos ou papéis. É recomendado e considerado um conselho de segurança padrão conceder o privilégio mínimo, ou seja, conceder apenas as permissões necessárias para realizar uma tarefa. Determine o que os usuários precisam fazer e crie políticas que permitam que eles realizem apenas essas tarefas, em vez de permitir privilégios administrativos completos. Nível de preços: Enterprise Padrões de compliance:
|
Verifique se as políticas do IAM que permitem privilégios de administrador "*:*" completos não estão anexadas
|
|
Nome da categoria na API: |
Encontrar a descrição: Os usuários do IAM recebem acesso a serviços, funções e dados por meio das políticas do IAM. Há quatro maneiras de definir políticas para um usuário: 1) editar a política do usuário diretamente, também conhecida como política inline ou do usuário; 2) anexar uma política diretamente a um usuário; 3) adicionar o usuário a um grupo do IAM com uma política anexada; 4) adicionar o usuário a um grupo do IAM com uma política inline. Apenas a terceira implementação é recomendada. Nível de preço: Enterprise Padrões de conformidade:
|
Verifique se os usuários do IAM recebem permissões somente pelos grupos
|
|
Nome da categoria na API: |
Descrição da descoberta: Os usuários do IAM precisam fazer parte de um grupo do IAM para aderir às práticas recomendadas de segurança do IAM. Ao adicionar usuários a um grupo, é possível compartilhar políticas entre tipos de usuários. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se os usuários do IAM são membros de pelo menos um grupo do IAM
|
|
Nome da categoria na API: |
Encontrar a descrição: A autenticação multifator (MFA) é uma prática recomendada que adiciona uma camada extra de proteção, além de nomes de usuários e senhas. Com a MFA, quando um usuário faz login no AWS Management Console, ele precisa fornecer um código de autenticação temporário, fornecido por um dispositivo virtual ou físico registrado. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se a autenticação multifator (MFA) está ativada para os usuários do AWS IAM
|
|
Nome da categoria na API: |
Descrição da descoberta: Isso verifica se há senhas do IAM ou chaves de acesso ativas que não foram usadas nos últimos 90 dias. As práticas recomendadas recomendam remover, desativar ou alternar todas as credenciais não usadas por 90 dias ou mais. Isso reduz a janela de oportunidade para que as credenciais associadas a uma conta comprometida ou abandonada sejam usadas. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se todos os usuários do IAM da AWS têm senhas ou chaves de acesso ativas que não tenham sido usadas em maxCredentialUsageAge dias (padrão 90)
|
|
Nome da categoria na API: |
Encontrar a descrição: Esse controle verifica se as chaves do KMS estão programadas para exclusão. O controle falha se uma chave do KMS estiver programada para exclusão. Não é possível recuperar chaves do KMS depois que elas são excluídas. Os dados criptografados com uma chave do KMS também não podem ser recuperados se a chave for excluída. Se dados significativos tiverem sido criptografados com uma chave KMS programada para exclusão, considere descriptografar ou recriptografar os dados com uma nova chave KMS, a menos que você esteja fazendo uma exclusão criptográfica intencionalmente. Quando uma chave do KMS é programada para exclusão, um período de espera obrigatório é aplicado para permitir que a exclusão seja revertida, caso tenha sido programada por engano. O período de espera padrão é de 30 dias, mas pode ser reduzido para até 7 dias quando a chave KMS for programada para exclusão. Durante o período de espera, a exclusão programada pode ser cancelada, e a chave do KMS não será excluída. Para mais informações sobre a exclusão de chaves do KMS, consulte Como excluir chaves do KMS no Guia do desenvolvedor do AWS Key Management Service. Nível de preços: Enterprise Padrões de compliance:
|
Verifica se todas as CMKs não estão programadas para exclusão
|
|
Nome da categoria na API: |
Encontrar a descrição: Verifica se a função do Lambda está configurada com um limite de execução simultânea no nível da função. A regra será NON_COMPLIANT se a função Lambda não estiver configurada com um limite de execução simultânea no nível da função. Nível de preços: Enterprise Padrões de conformidade: Esta categoria de descoberta não está mapeada para nenhum controle padrão de compliance. |
Verifica se as funções do lambda foram configuradas com limite de execução simultânea no nível da função
|
|
Nome da categoria na API: |
Encontrar a descrição: Verifica se uma função do Lambda está configurada com uma fila de mensagens inativas. A regra é NON_COMPLIANT se a função Lambda não estiver configurada com uma fila de mensagens inativas. Nível de preços: Enterprise Padrões de conformidade:
|
Verifica se as funções do lambda foram configuradas com uma fila de mensagens mortas
|
|
Nome da categoria na API: |
Encontrar a descrição: As práticas recomendadas da AWS recomendam que a função Lambda não seja exposta publicamente. Essa política verifica todas as funções do Lambda implantadas em todas as regiões ativadas na sua conta e falha se elas forem configuradas para permitir o acesso público. Nível de preços: Enterprise Padrões de conformidade:
|
Verifica se a política anexada à função do lambda proíbe o acesso público
|
|
Nome da categoria na API: |
Encontrar a descrição: Verifica se uma função do Lambda está em uma VPC. Talvez você veja descobertas com falha para recursos do Lambda@Edge. Ele não avalia a configuração de roteamento da sub-rede da VPC para determinar a acessibilidade pública. Nível de preços: Enterprise Padrões de compliance:
|
Verifica se existem funções do lambda em uma VPC
|
|
Nome da categoria na API: |
Descrição da descoberta: Depois que a exclusão de MFA está ativada no bucket confidencial e classificado do S3, o usuário precisa ter duas formas de autenticação. Nível de preços: Enterprise Padrões de compliance:
|
Verifique se a exclusão da MFA foi ativada nos buckets do S3
|
|
Nome da categoria na API: |
Encontrar a descrição: A conta de usuário raiz é o usuário mais privilegiado em uma conta da AWS. A autenticação multifator (MFA) adiciona uma camada extra de proteção, além do nome de usuário e da senha. Com a MFA ativada, quando um usuário faz login em um site da AWS, ele recebe uma solicitação para inserir o nome de usuário e a senha, bem como um código de autenticação do dispositivo de MFA da AWS. Observação: quando a MFA virtual é usada para "raiz" é recomendado que o dispositivo usado NÃO seja um dispositivo pessoal, mas sim um dispositivo móvel dedicado (tablet ou telefone) que é gerenciado para ser mantido carregado e protegido, independentemente de dispositivos pessoais individuais. (MFA virtual não pessoal) Isso diminui os riscos de perder o acesso ao MFA devido à perda ou troca do dispositivo ou se o indivíduo que possui o dispositivo não estiver mais empregado na empresa. Nível de preço: Enterprise Padrões de conformidade:
|
Verifique se a autenticação multifator (MFA) está ativada para a conta de usuário "raiz"
|
|
Nome da categoria na API: |
Descrição da descoberta: A autenticação multifator (MFA) adiciona uma camada extra de garantia de autenticação além das credenciais tradicionais. Quando a MFA está ativada, ao fazer login no AWS Console, o usuário precisa informar o nome de usuário e a senha, além de um código de autenticação do token de MFA físico ou virtual. É recomendável ativar a MFA para todas as contas que têm uma senha do console. Nível de preços: Enterprise Padrões de conformidade:
|
Verifique se a autenticação multifator (MFA) foi ativada para todos os usuários do IAM que têm uma senha do console
|
|
Nome da categoria na API: |
Descrição da descoberta: A função de lista de controle de acesso à rede (NACL) fornece filtragem sem estado do tráfego de entrada e saída de rede para recursos da AWS. É recomendável que nenhuma NACL permita o acesso de entrada irrestrito a portas de administração de servidor remoto, como SSH para a porta Nível de preço: Enterprise Padrões de conformidade:
|
Verifique se nenhuma ACL de rede permite a entrada de 0.0.0.0/0 para portas de administração de servidor remoto
|
|
Nome da categoria na API: |
Encontrar a descrição: A "raiz" conta de usuário é o usuário mais privilegiado em uma conta da AWS. As chaves de acesso da AWS fornecem acesso programático a uma determinada conta da AWS. Recomendamos que todas as chaves de acesso associadas à conta ser excluída. Nível de preços: Enterprise Padrões de compliance:
|
Verifique se não existe uma chave de acesso da conta de usuário "raiz"
|
|
Nome da categoria na API: |
Encontrar a descrição: Os grupos de segurança oferecem filtragem com estado do tráfego de rede de entrada e saída para os recursos da AWS. Recomendamos que nenhum grupo de segurança permita o acesso de entrada irrestrito às portas de administração de servidor remoto, como SSH para a porta Nível de preços: Enterprise Padrões de compliance:
|
Verifique se nenhum grupo de segurança permite a entrada de 0.0.0.0/0 para portas de administração remotas do servidor
|
|
Nome da categoria na API: |
Descrição da descoberta: Os grupos de segurança oferecem filtragem com estado do tráfego de rede de entrada e saída para os recursos da AWS. É recomendável que nenhum grupo de segurança permita o acesso de entrada irrestrito a portas de administração remotas do servidor, como SSH para a porta Nível de preço: Enterprise Padrões de compliance:
|
Verifique se nenhum grupo de segurança permite a entrada de portas ::/0 para a administração remota de servidores
|
|
Nome da categoria na API: |
Descrição da descoberta: As chaves de acesso são credenciais de longo prazo para um usuário do IAM ou o usuário raiz da conta da AWS. É possível usar chaves de acesso para assinar solicitações programáticas para a AWS CLI ou a API AWS (diretamente ou usando o AWS SDK). Nível de preço: Enterprise Padrões de conformidade:
|
Verifique se há apenas uma chave de acesso ativa disponível para cada usuário do IAM
|
|
Nome da categoria na API: |
Descrição da descoberta: Verifique se as instâncias de banco de dados do RDS provisionadas na sua conta da AWS restringem o acesso não autorizado para minimizar os riscos de segurança. Para restringir o acesso a qualquer instância de banco de dados do RDS acessível publicamente, desative a flag de banco de dados de acesso público e atualize o grupo de segurança da VPC associado à instância. Nível de preços: Enterprise Padrões de compliance:
|
Verifique se o acesso público não foi concedido à instância do RDS
|
|
Nome da categoria na API: |
Descrição da descoberta: O monitoramento avançado oferece métricas em tempo real sobre o sistema operacional em que a instância do RDS é executada usando um agente instalado na instância. Para mais detalhes, consulte Como monitorar as métricas do SO com o monitoramento avançado. Nível de preços: Enterprise Padrões de compliance:
|
Verifica se o monitoramento aprimorado foi ativado em todas as instâncias do RDS DB
|
|
Nome da categoria na API: |
Descrição da descoberta: Ativar a proteção contra exclusão de instâncias é uma camada extra de proteção contra exclusão acidental do banco de dados ou exclusão por uma entidade não autorizada. Enquanto a proteção contra exclusão estiver ativada, uma instância do RDS DB não poderá ser excluída. Antes de uma solicitação de exclusão ser concluída, a proteção contra exclusão precisa ser desativada. Nível de preços: Enterprise Padrões de conformidade:
|
Verifica se a proteção contra exclusões foi ativada em todas as instâncias do RDS
|
|
Nome da categoria na API: |
Descrição da descoberta: Essa verificação avalia se as instâncias do Amazon RDS DB estão cobertas por um plano de backup. Esse controle falha se uma instância do RDS DB não estiver coberta por um plano de backup. O AWS Backup é um serviço de backup totalmente gerenciado que centraliza e automatiza o backup de dados em todos os serviços da AWS. Com o AWS Backup, é possível criar políticas de backup chamadas de planos de backup. Esses planos podem ser usados para definir seus requisitos de backup, como a frequência de backup dos dados e por quanto tempo manter esses backups. Incluir instâncias do RDS DB em um plano de backup ajuda a proteger seus dados contra perda ou exclusão não intencional. Nível de preço: Enterprise Padrões de conformidade:
|
As instâncias do RDS DB precisam estar cobertas por um plano de backup
|
|
Nome da categoria na API: |
Encontrar a descrição: Isso verifica se os seguintes registros do Amazon RDS estão ativados e enviados ao CloudWatch. Os bancos de dados do RDS precisam ter os registros relevantes ativados. A geração de registros do banco de dados fornece registros detalhados das solicitações feitas ao RDS. Os registros do banco de dados podem ajudar nas auditorias de segurança e acesso, além de diagnosticar problemas de disponibilidade. Nível de preços: Enterprise Padrões de conformidade:
|
Verifica se os registros exportados foram ativados em todas as instâncias do RDS DB
|
|
Nome da categoria na API: |
Descrição da descoberta: As instâncias do RDS DB precisam ser configuradas para várias Zonas de Disponibilidade (AZs). Isso garante a disponibilidade dos dados armazenados. As implantações Multi-AZ permitem failover automatizado se houver um problema com a disponibilidade da zona de disponibilidade e durante a manutenção regular do RDS. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se a alta disponibilidade foi ativada em todas as instâncias do RDS DB
|
|
Nome da categoria na API: |
Descrição da descoberta: Ela verifica os elementos essenciais de um cluster do Redshift: criptografia em repouso, geração de registros e tipo de nó. Esses itens de configuração são importantes para manter um cluster do Redshift seguro e observável. Nível de preços: Enterprise Padrões de conformidade:
|
Verifica se todos os clusters do Redshift têm criptografia em repouso, geração de registros e tipo de nó.
|
|
Nome da categoria na API: |
Encontrar a descrição: Os upgrades automáticos de versão principal acontecem de acordo com a janela de manutenção Nível de preço: Enterprise Padrões de compliance:
|
Verifique se todos os clusters do Redshift têm allowVersionUpgrade ativado e preferredMaintenanceWindow e automatedSnapshotRetentionPeriod definidos
|
|
Nome da categoria na API: |
Encontrar a descrição: O atributo PubliclyAccessible da configuração do cluster do Amazon Redshift indica se o cluster é acessível publicamente. Quando o cluster é configurado com PubliclyAccessible definido como verdadeiro, ele é uma instância voltada para a Internet que tem um nome DNS publicamente solucionável, que é resolvido em um endereço IP público. Quando o cluster não está acessível publicamente, ele é uma instância interna com um nome DNS que se refere a um endereço IP particular. A menos que você pretenda que o cluster seja acessível publicamente, ele não deve ser configurado com PubliclyAccessible definido como verdadeiro. Nível de preços: Enterprise Padrões de conformidade:
|
Verifica se os clusters do Redshift são acessíveis publicamente
|
|
Nome da categoria na API: |
Encontrar a descrição: Isso verifica se o tráfego de entrada irrestrito dos grupos de segurança é acessível às portas especificadas com o maior risco. Esse controle falhará se qualquer uma das regras em um grupo de segurança permitir tráfego de entrada de "0.0.0.0/0" ou '::/0' para essas portas. O acesso irrestrito (0.0.0.0/0) aumenta as oportunidades para atividades maliciosas, como invasão, ataques de negação de serviço e perda de dados. Os grupos de segurança fornecem filtragem stateful do tráfego de entrada e saída da rede para os recursos da AWS. Nenhum grupo de segurança deve permitir acesso de entrada irrestrito às seguintes portas:
Nível de preço: Enterprise Padrões de compliance:
|
Os grupos de segurança não podem permitir acesso irrestrito a portas de alto risco
|
|
Nome da categoria na API: |
Encontrar a descrição: Os grupos de segurança oferecem filtragem com estado do tráfego de rede de entrada e saída para os recursos da AWS. O CIS recomenda que nenhum grupo de segurança permita acesso de entrada irrestrito à porta 22. A remoção de conectividade irrestrita com serviços de console remoto, como SSH, reduz a exposição do servidor ao risco. Nível de preço: Enterprise Padrões de compliance:
|
Os grupos de segurança não podem permitir entradas de 0.0.0.0/0 na porta 22
|
|
Nome da categoria na API: |
Encontrar a descrição: Verifica se a rotação automática de chaves está ativada para cada chave e corresponde ao ID da chave KMS criada pelo cliente. A regra será NON_COMPLIANT se o papel de gravador de configuração da AWS para um recurso não tiver a permissão kms:DescreverKey. Nível de preços: Enterprise Padrões de conformidade: Essa categoria de descoberta não está mapeada para nenhum controle de padrão de compliance. |
Verifique se a rotação para CMKs criadas pelo cliente está ativada
|
|
Nome da categoria na API: |
Encontrar a descrição: Com o serviço de gerenciamento de chaves (KMS) da AWS, os clientes podem alternar a chave de apoio, que é o material da chave armazenado no KMS vinculado ao ID da chave mestra do cliente criada pelo cliente (CMK). Ela é a chave de apoio usada para executar operações criptográficas como criptografia e descriptografia. Atualmente, a rotação de chaves automatizada retém todas as chaves de apoio anteriores para que a descriptografia de dados criptografados possa ocorrer de maneira transparente. É recomendável ativar a rotação de chaves CMK para chaves simétricas. A rotação de chaves não pode ser ativada para CMK assimétrica. Nível de preço: Enterprise Padrões de conformidade:
|
Verifique se a rotação para CMKs simétricas criadas pelo cliente está ativada
|
|
Nome da categoria na API: |
Encontrar a descrição: Verifica se as tabelas de rotas para peering de VPC estão configuradas com a principal de privilégio mínimo. Nível de preço: Enterprise Padrões de conformidade: Essa categoria de descoberta não está mapeada para nenhum controle de padrão de compliance. |
Verifique se as tabelas de roteamento do peering de VPC são de "acesso mínimo"
|
|
Nome da categoria na API: |
Descrição da descoberta: O Amazon S3 Block Public Access oferece configurações para pontos de acesso, buckets e contas para ajudar você a gerenciar o acesso público aos recursos do Amazon S3. Por padrão, os novos buckets, pontos de acesso e objetos não permitem acesso público. Nível de preços: Enterprise Padrões de conformidade: Esta categoria de descoberta não está mapeada para nenhum controle padrão de compliance. |
Verifica se as configurações necessárias de bloqueio de acesso público do S3 foram definidas no nível da conta
|
|
Nome da categoria na API: |
Descrição da descoberta: O Amazon S3 fornece Nível de preços: Enterprise Padrões de compliance:
|
Verifique se os buckets do S3 estão configurados com
|
|
Nome da categoria na API: |
Descrição da descoberta: A geração de registros de acesso ao bucket do S3 gera um registro que contém registros de acesso para cada solicitação feita ao bucket do S3. Um registro de registro de acesso contém detalhes sobre a solicitação, como o tipo, os recursos especificados na solicitação e a data e a hora em que ela foi processada. É recomendável ativar a geração de registros de acesso ao bucket no bucket do CloudTrail S3. Nível de preços: Enterprise Padrões de compliance:
|
Verifique se a geração de registros de acesso do bucket S3 está ativada no bucket do CloudTrail S3
|
|
Nome da categoria na API: |
Encontrar a descrição: O recurso de geração de registros de acesso ao servidor do AWS S3 registra solicitações de acesso a buckets de armazenamento, o que é útil para auditorias de segurança. Por padrão, a geração de registros de acesso ao servidor não está ativada para buckets do S3. Nível de preços: Enterprise Padrões de compliance:
|
Verifica se a geração de registros foi ativada em todos os buckets do S3
|
|
Nome da categoria na API: |
Descrição da descoberta: No nível do bucket do Amazon S3, é possível configurar permissões usando uma política de bucket que torna os objetos acessíveis apenas por HTTPS. Nível de preço: Enterprise Padrões de compliance:
|
Verifique se a política de bucket do S3 foi definida para negar as solicitações HTTP
|
|
Nome da categoria na API: |
Encontrar a descrição: Esse controle verifica se um bucket do Amazon S3 tem a replicação entre regiões ativada. O controle falha se o bucket não tiver a replicação entre regiões ativada ou se a replicação na mesma região também estiver ativada. A replicação é a cópia automática e assíncrona de objetos em buckets na mesma região ou em regiões diferentes da AWS. A replicação copia objetos recém-criados e atualizações de objetos de um bucket de origem para um ou mais buckets de destino. As práticas recomendadas da AWS recomendam a replicação para buckets de origem e destino que pertencem à mesma conta da AWS. Além da disponibilidade, considere outras configurações de aumento da proteção dos sistemas. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se os buckets do S3 estão com a replicação entre regiões ativada
|
|
Nome da categoria na API: |
Descrição da descoberta: Isso confirma se a criptografia padrão do Amazon S3 está ativada no bucket do S3 ou se a política do bucket do S3 nega explicitamente solicitações "put-object" sem criptografia do lado do servidor. Nível de preços: Enterprise Padrões de conformidade:
|
Verifique se todos os buckets do S3 usam a criptografia em repouso
|
|
Nome da categoria na API: |
Descrição da descoberta: O Amazon S3 é uma forma de manter várias variantes de um objeto no mesmo bucket e pode ajudar você a se recuperar com mais facilidade de ações indesejadas do usuário e falhas do aplicativo. Nível de preços: Enterprise Padrões de conformidade:
|
Verifica se o controle de versões foi ativado em todos os buckets do S3
|
|
Nome da categoria na API: |
Descrição da descoberta: Verifica se os buckets do Amazon S3 são criptografados com o AWS Key Management Service (AWS KMS) Nível de preço: Enterprise Padrões de conformidade:
|
Verifica se todos os buckets foram criptografados com o KMS
|
|
Nome da categoria na API: |
Encontrar a descrição: Verifica se uma chave do AWS Key Management Service (AWS KMS) está configurada para uma instância de notebook do Amazon SageMaker. A regra é NON_COMPLIANT, se "KmsKeyId" não está especificado para a instância de notebook do SageMaker. Nível de preços: Enterprise Padrões de conformidade:
|
Verifica se todas as instâncias de notebook do SageMaker foram definidas para usar o KMS
|
|
Nome da categoria na API: |
Descrição da descoberta: Verifica se o acesso direto à Internet está desativado para uma instância de notebook do SageMaker. Para fazer isso, ele verifica se o campo DirectInternetAccess está desativado para a instância do notebook. Se você configurar a instância do SageMaker sem uma VPC, o acesso direto à Internet será ativado por padrão na instância. Configure sua instância com uma VPC e altere a configuração padrão para "Desativar: acessar a Internet por uma VPC". Para treinar ou hospedar modelos em um notebook, você precisa de acesso à Internet. Para ativar o acesso à Internet, verifique se a VPC tem um gateway NAT e se o grupo de segurança permite conexões de saída. Para saber como conectar uma instância de notebook a recursos em uma VPC, consulte Conectar uma instância de notebook a recursos em uma VPC no Guia para desenvolvedores do Amazon SageMaker. Garanta também que o acesso à configuração do SageMaker seja limitado apenas a usuários autorizados. Restringir usuários Permissões do IAM para modificar configurações e recursos do SageMaker. Nível de preço: Enterprise Padrões de compliance:
|
Verifica se o acesso direto à Internet foi desativado em todas as instâncias de notebook do Amazon SageMaker
|
|
Nome da categoria na API: |
Encontrar a descrição: Verifica se um secret armazenado no AWS Secrets Manager está configurado com rotação automática. O controle falhará se o secret não estiver configurado com rotação automática. Se você fornecer um valor personalizado para o parâmetro O Secrets Manager ajuda a melhorar a postura de segurança da sua organização. Os secrets incluem credenciais de bancos de dados, senhas e chaves de API de terceiros. É possível usar o Secrets Manager para armazenar secrets de maneira centralizada, criptografar secrets automaticamente, controlar o acesso a eles e fazer a rotação automática e segura. O Secrets Manager pode fazer a rotação de secrets. Você pode usar a rotação para substituir segredos de longo prazo por segredos de curto prazo. A rotação dos secrets limita o tempo que um usuário não autorizado pode usar um secret comprometido. Por isso, faça a rotação dos secrets com frequência. Para saber mais sobre a rotação, consulte "Como rotacionar os secrets do AWS Secrets Manager" no Guia do usuário do AWS Secrets Manager. Nível de preços: Enterprise Padrões de conformidade:
|
Verifica se os secrets do AWS Secrets Manager estão com a rotação ativada
|
|
Nome da categoria na API: |
Encontrar a descrição: Verifica se um tópico do SNS está criptografado em repouso usando o AWS KMS. Os controles falharão se um tópico SNS não usar uma chave KMS para criptografia do lado do servidor (SSE). A criptografia de dados em repouso reduz o risco de os dados armazenados em disco serem acessados por um usuário não autenticado no AWS. Ele também adiciona outro conjunto de controles de acesso para limitar a capacidade de usuários não autorizados de acessar os dados. Por exemplo, as permissões da API são necessárias para descriptografar os dados antes que eles possam ser lidos. Os tópicos SNS devem ser criptografados em repouso para uma camada adicional de segurança. Nível de preços: Enterprise Padrões de compliance:
|
Verifica se todos os tópicos do SNS foram criptografados com o KMS
|
|
Nome da categoria na API: |
Descrição da descoberta: Esse controle verifica se o grupo de segurança padrão de uma VPC permite tráfego de entrada ou saída. O controle falhará se o grupo de segurança permitir tráfego de entrada ou saída. As regras do grupo de segurança padrão permitem todo o tráfego de saída e de entrada de interfaces de rede (e das instâncias associadas) que estão atribuídas ao mesmo grupo de segurança. Recomendamos que você não use o grupo de segurança padrão. Como o grupo de segurança padrão não pode ser excluído, altere a configuração das regras do grupo para restringir o tráfego de entrada e saída. Isso evita o tráfego não intencional se o grupo de segurança padrão for configurado acidentalmente para recursos como instâncias do EC2. Nível de preço: Enterprise Padrões de conformidade:
|
Verifique se o grupo de segurança padrão de cada VPC restringe todo o tráfego
|
|
Nome da categoria na API: |
Descrição da descoberta: Os registros de fluxo de VPC são um recurso que permite capturar informações sobre o tráfego IP de e para interfaces de rede na sua VPC. Depois de criar um registro de fluxo, você pode conferir e recuperar os dados dele nos Logs do Amazon CloudWatch. É recomendável ativar os registros de fluxo de VPC para o pacote "Rejeições" para VPCs. Nível de preços: Enterprise Padrões de conformidade:
|
Verifique se a geração de registros de fluxo de VPC está ativada em todas as VPCs
|
|
Nome da categoria na API: |
Descrição da descoberta: Esse controle verifica se um grupo de segurança do Amazon EC2 permite tráfego de entrada irrestrito de portas não autorizadas. O status do controle é determinado da seguinte maneira: Se você usar o valor padrão para authorizedTcpPorts, o controle vai falhar se o grupo de segurança permitir tráfego de entrada irrestrito de qualquer porta, exceto as portas 80 e 443. Se você fornecer valores personalizados para AuthorizedTcpPorts ou AuthorizedUdpPorts, o controle falhará se o grupo de segurança permitir tráfego de entrada irrestrito de qualquer porta não listada. Se nenhum parâmetro for usado, o controle falhará para qualquer grupo de segurança que tenha uma regra de tráfego de entrada irrestrito. Os grupos de segurança oferecem filtragem com estado do tráfego de rede de entrada e saída para a AWS. As regras de grupo de segurança precisam seguir o princípio do menor privilégio. O acesso irrestrito (endereço IP com um sufixo /0) aumenta a chance de atividades maliciosas, como invasão, ataques de negação de serviço e perda de dados. A menos que uma porta seja especificamente permitida, ela precisa negar acesso irrestrito. Nível de preços: Enterprise Padrões de conformidade:
|
Verifica se os grupos de segurança com 0.0.0.0/0 de qualquer VPC permitem apenas o tráfego TCP/UDP de entrada
|
|
Nome da categoria na API: |
Descrição da descoberta: Um túnel de VPN é um link criptografado em que os dados podem passar da rede do cliente para a AWS ou vice-versa em uma conexão de VPN site a site da AWS. Cada conexão VPN inclui dois túneis VPN que podem ser usados simultaneamente para alta disponibilidade. Garantir que ambos os túneis VPN estejam ativados para uma conexão VPN é importante para confirmar uma conexão segura e altamente disponível entre uma VPC da AWS e sua rede remota. Esse controle verifica se os dois túneis VPN fornecidos pela AWS Site-to-Site VPN estão no status UP. O controle falha se um ou ambos os túneis estiverem no status "DOWN". Nível de preços: Enterprise Padrões de conformidade:
|
Verifica se ambos os túneis do AWS VPN fornecidos pela AWS site a site têm o status UP
|
Descobertas do Web Security Scanner
As verificações personalizadas e gerenciadas do Web Security Scanner identificam os seguintes tipos de descobertas. Na No nível Standard, o Web Security Scanner oferece suporte a verificações personalizadas de aplicativos implantados com URLs e IPs que não estão protegidos por um firewall.
| Categoria | Descrição da descoberta | 10 principais OWASP de 2017 | 10 principais OWASP de 2021 |
|---|---|---|---|
|
Nome da categoria na API: |
Um repositório GIT é exposto publicamente. Para resolver esta descoberta, remova os dados acesso público ao repositório Git. Nível de preços: padrão |
A5 | A01 |
|
Nome da categoria na API: |
Um repositório SVN é exposto publicamente. Para resolver esta descoberta, remova públicos o acesso não intencional ao repositório SVN. Nível de preços: padrão |
A5 | A01 |
|
Nome da categoria na API: |
As senhas inseridas no aplicativo da Web podem ser armazenadas em um cache normal do navegador, em vez de um armazenamento seguro de senhas. Nível de preços: Premium |
A3 | A04 |
|
Nome da categoria na API: |
As senhas estão sendo transmitidas em texto não criptografado e podem ser interceptadas. Para resolver isso, criptografe a senha transmitida pela rede. Nível de preço: Standard |
A3 | A02 |
|
Nome da categoria na API: |
Um endpoint HTTP ou HTTPS entre sites valida apenas um sufixo de Nível de preços: Premium |
A5 | A01 |
|
Nome da categoria na API: |
Um endpoint HTTP ou HTTPS entre sites valida apenas um prefixo do cabeçalho de solicitação Nível de preços: Premium |
A5 | A01 |
|
Nome da categoria na API: |
Um recurso foi carregado e ele não corresponde ao cabeçalho HTTP da resposta Content-Type. Para
resolver essa descoberta, defina o cabeçalho HTTP Nível de preços: padrão |
A6 | A05 |
|
Nome da categoria na API: |
Um cabeçalho de segurança tem um erro de sintaxe e é ignorado pelos navegadores. Para resolver isso, defina os cabeçalhos de segurança HTTP corretamente. Nível de preço: Standard |
A6 | A05 |
|
Nome da categoria na API: |
Um cabeçalho de segurança tem valores duplicados e incompatíveis, o que resulta em comportamento indefinido. Para resolver isso, defina os cabeçalhos de segurança HTTP corretamente. Nível de preços: padrão |
A6 | A05 |
|
Nome da categoria na API: |
Um cabeçalho de segurança está incorreto e foi ignorado. Para resolver esta descoberta, defina HTTP cabeçalhos de segurança corretamente. Nível de preço: Standard |
A6 | A05 |
|
Nome da categoria na API: |
Os recursos são exibidos por HTTP em uma página HTTPS. Para resolver essa descoberta, verifique se todos os recursos são exibidos por HTTPS. Nível de preços: padrão |
A6 | A05 |
|
Nome da categoria na API: |
Foi detectada uma biblioteca com vulnerabilidades conhecidas. Para resolver essa descoberta, faça upgrade das bibliotecas para uma versão mais recente. Nível de preço: Standard |
A9 | A06 |
|
Nome da categoria na API: |
Uma vulnerabilidade de falsificação de solicitação do lado do servidor (SSRF, na sigla em inglês) foi detectada. Para resolver essa descoberta, usar uma lista de permissões para limitar os domínios e endereços IP que o aplicativo da Web pode fazer; recebe solicitações. Nível de preços: padrão |
Não relevante | A10 |
|
Nome da categoria na API: |
Ao fazer uma solicitação entre domínios, o aplicativo da Web inclui o identificador de sessão
do usuário no cabeçalho da solicitação Nível de preço: Premium |
A2 | A07 |
|
Nome da categoria na API: |
Foi detectada uma possível vulnerabilidade de injeção de SQL. Para resolver essa descoberta, use consultas parametrizadas para evitar que as entradas do usuário influenciem a estrutura da consulta SQL. Nível de preços: Premium |
A1 | A03 |
|
Nome da categoria na API: |
Foi detectado o uso de uma versão vulnerável do Apache Struts. Para resolver essa descoberta, faça upgrade do Apache Struts para a versão mais recente. Nível de preços: Premium |
A8 | A08 |
|
Nome da categoria na API: |
Um campo nesse aplicativo da Web é vulnerável a um ataque de script entre sites (XSS). Para resolver isso, valide e escape dados não confiáveis fornecidos pelo usuário. Nível de preço: Standard |
A7 | A03 |
|
|
Uma string fornecida pelo usuário não tem escape e o AngularJS pode intercalá-la. Para resolver isso, Encontrar, validar e escapar dados não confiáveis fornecidos pelo usuário processados pelo Angular de análise de dados em nuvem. Nível de preços: padrão |
A7 | A03 |
|
Nome da categoria na API: |
Um campo neste aplicativo da Web é vulnerável a um ataque de scripting em vários locais. Para resolver isso, valide e escape dados não confiáveis fornecidos pelo usuário. Nível de preço: Standard |
A7 | A03 |
|
|
Uma vulnerabilidade de entidade externa de XML (XXE) foi detectada. Essa vulnerabilidade pode fazer com que o aplicativo da Web vaze um arquivo no host. Para resolver essa descoberta, configure seus analisadores de XML para proibir entidades externas. Nível de preço: Premium |
A4 | A05 |
|
Nome da categoria na API: |
O aplicativo está vulnerável à poluição do protótipo. Essa vulnerabilidade surge quando
propriedades do objeto Nível de preço: Standard |
A1 | A03 |
Descobertas do recomendador do IAM
A tabela a seguir lista as descobertas do Security Command Center geradas por Recomendador do IAM.
Cada descoberta do recomendador do IAM contém recomendações específicas para remover ou substituir um papel que inclui permissões excessivas de um principal na sua ambiente do Google Cloud.
As descobertas geradas pelo recomendador do IAM correspondem as recomendações que aparecem no console do Google Cloud página do IAM do projeto afetado. pasta ou organização.
Para mais informações sobre a integração do recomendador do IAM com o do Security Command Center, consulte Origens de segurança.
| Detector | Resumo |
|---|---|
|
Nome da categoria na API: |
Descrição da descoberta: o recomendador do IAM detectou uma conta de serviço que tem um ou mais papéis do IAM com permissões excessivas para a conta de usuário. Nível de preço: Premium Recursos compatíveis:
Corrigir essa descoberta : Use o recomendador do IAM para aplicar a correção recomendada desta descoberta seguindo estas etapas:
Depois que o problema é corrigido, o recomendador do IAM atualiza o status da descoberta para
|
|
Nome da categoria na API: |
Descrição da descoberta: o recomendador do IAM detectou que o padrão original O papel do IAM concedido a um agente de serviço foi substituído por um dos Papéis do IAM: Proprietário, Editor ou Leitor. Papéis básicos são papéis legados excessivamente permissivos e não devem ser concedidos a agentes de serviço. Nível de preços: Premium Recursos compatíveis:
Corrigir essa descoberta : Use o recomendador do IAM para aplicar a correção recomendada desta descoberta seguindo estas etapas:
Depois que o problema é corrigido, o recomendador do IAM atualiza o status da descoberta para
|
|
Nome da categoria na API: |
Descrição da descoberta: O recomendador do IAM detectou que um agente de serviço recebeu um dos papéis básicos do IAM: Proprietário, Editor ou Leitor. Os papéis básicos são papéis legados excessivamente permissivos e não devem ser concedidos a agentes de serviço. Nível de preço: Premium Recursos compatíveis:
Corrigir essa descoberta : Use o recomendador do IAM para aplicar a correção recomendada desta descoberta seguindo estas etapas:
Depois que o problema é corrigido, o recomendador do IAM atualiza o status da descoberta para
|
|
Nome da categoria na API: |
Descrição da descoberta: o recomendador do IAM detectou uma conta de usuário que tem um Papel do IAM que não foi usado nos últimos 90 dias. Nível de preço: Premium Recursos compatíveis:
Corrigir essa descoberta : Use o recomendador do IAM para aplicar a correção recomendada desta descoberta seguindo estas etapas:
Depois que o problema é corrigido, o recomendador do IAM atualiza o status da descoberta para
|
Descobertas do SIEM
A tabela a seguir lista as descobertas de identidade e acesso do Security Command Center para a AWS geradas pelo gerenciamento de direitos de acesso à infraestrutura do Cloud (CIEM, na sigla em inglês).
As descobertas do CIEM contêm recomendações específicas para remover ou substituir políticas de IAM da AWS altamente permissivas associadas a identidades presumidas; usuários ou grupos no ambiente da AWS.
Para mais informações sobre o CIEM, acesse Visão geral do gerenciamento de direitos de infraestrutura do Cloud.
| Detector | Resumo |
|---|---|
|
Nome da categoria na API: |
Descrição da descoberta: no seu ambiente da AWS, o CIEM detectou uma que você assume o papel do IAM que tem uma ou mais políticas altamente permissivas que violam princípio de privilégio mínimo e aumentar os riscos de segurança. Nível de preço: Enterprise Corrigir essa descoberta : Dependendo da descoberta, use o AWS Management Console para executar uma das seguintes ações tarefas de correção:
Consulte os detalhes da descoberta para conferir as etapas de correção específicas. |
|
Nome da categoria na API: |
Descrição da descoberta: no seu ambiente da AWS, o CIEM detectou um problema de IAM grupo que tem uma ou mais políticas altamente permissivas que violam o princípio de menor de segurança e aumentar os riscos de segurança. Nível de preço: Enterprise Corrigir essa descoberta : Dependendo da descoberta, use o AWS Management Console para executar uma das seguintes ações tarefas de correção:
Consulte os detalhes da descoberta para conferir as etapas de correção específicas. |
|
Nome da categoria na API: |
Descrição da descoberta: no seu ambiente da AWS, o CIEM detectou um usuário do IAM com uma ou mais políticas altamente permissivas que violam o princípio de privilégio mínimo e aumentam os riscos de segurança. Nível de preços: Enterprise Corrigir essa descoberta : Dependendo da descoberta, use o AWS Management Console para executar uma das seguintes ações tarefas de correção:
Consulte os detalhes da descoberta para conferir as etapas de correção específicas. |
Descobertas do serviço de postura de segurança
A tabela a seguir lista as descobertas do Security Command Center geradas por as serviço de postura de segurança.
Cada achado do serviço de postura de segurança identifica uma instância de desvio da postura de segurança definida.
| Localizando | Resumo |
|---|---|
|
Nome da categoria na API: |
Descrição da descoberta: o serviço de postura de segurança detectou uma mudança em um detector do Security Health Analytics que ocorreu fora de uma atualização de postura. Nível de preços: Premium
Corrigir essa descoberta : Essa descoberta exige que você aceite ou reverta a alteração para que de detecção na sua postura e no seu ambiente correspondentes. Você tem duas opções resolver essa descoberta: atualize o detector da Análise de integridade da segurança ou e implantação de postura. Para reverter a alteração, atualize o detector da Análise de integridade da segurança no console do Google Cloud. Para ver instruções, consulte Ativar e desativar detectores. Para aceitar a mudança, faça o seguinte:
|
|
Nome da categoria na API: |
Descrição da descoberta: o serviço de postura de segurança detectou uma mudança em um módulo personalizado da Análise de integridade da segurança que ocorreu fora de uma atualização de postura. Nível de preço: Premium Corrigir essa descoberta : Essa descoberta exige que você aceite a alteração ou a reverta para que a versão personalizada as configurações do módulo na sua postura e no ambiente correspondente. Você tem duas opções resolver essa descoberta: atualize o módulo personalizado da Análise de integridade da segurança ou e implantação de postura. Para reverter a alteração, atualize o módulo personalizado da Análise de integridade da segurança na console do Google Cloud. Para instruções, consulte Atualizar um módulo personalizado. Para aceitar a mudança, faça o seguinte:
|
|
Nome da categoria na API: |
Descrição da descoberta: o serviço de postura de segurança detectou que um módulo personalizado da Análise de integridade da segurança foi excluído. Essa exclusão ocorreu fora de uma atualização de postura. Nível de preços: Premium Corrigir essa descoberta : Essa descoberta exige que você aceite a alteração ou a reverta para que a versão personalizada as configurações do módulo na sua postura e no ambiente correspondente. Você tem duas opções resolver essa descoberta: atualize o módulo personalizado da Análise de integridade da segurança ou e implantação de postura. Para reverter a alteração, atualize o módulo personalizado da Análise de integridade da segurança na console do Google Cloud. Para instruções, consulte Atualizar um módulo personalizado. Para aceitar a mudança, faça o seguinte:
|
|
Nome da categoria na API: |
Descrição da descoberta: o serviço de postura de segurança detectou uma mudança em uma política da organização que ocorreu fora de uma atualização de postura. Nível de preços: Premium Corrigir essa descoberta : Essa descoberta exige que você aceite ou reverta a alteração para que definições de políticas da organização na sua postura e no ambiente correspondente. Você tem dois para resolver a situação: atualize a política da organização a postura e a implantação dela. Para reverter a mudança, atualize a política da organização no console do Google Cloud. Para instruções, consulte Como criar e editar políticas Para aceitar a mudança, faça o seguinte:
|
|
Nome da categoria na API: |
Descrição da descoberta: o serviço de postura de segurança detectou que um política da organização excluída. Essa exclusão ocorreu fora de uma atualização de postura. Nível de preço: Premium Corrigir essa descoberta : Essa descoberta exige que você aceite ou reverta a alteração para que definições de políticas da organização na sua postura e no ambiente correspondente. Você tem dois para resolver a situação: atualize a política da organização a postura e a implantação dela. Para reverter a mudança, atualize a política da organização no console do Google Cloud. Para instruções, consulte Como criar e editar políticas Para aceitar a mudança, faça o seguinte:
|
|
Nome da categoria na API: |
Descrição da descoberta: o serviço de postura de segurança detectou uma mudança em uma política personalizada da organização que ocorreu fora de uma atualização de postura. Nível de preços: Premium Corrigir essa descoberta : Essa descoberta exige que você aceite a alteração ou a reverta para que a versão personalizada definições de políticas da organização na sua postura e no ambiente correspondente. Você tem duas opções para resolver essa descoberta: atualizar a política da organização personalizada ou atualizar a postura e a implantação da postura. Para reverter a alteração, atualize a política da organização personalizada no console do Google Cloud. Para instruções, consulte Atualizar uma restrição personalizada. Para aceitar a mudança, faça o seguinte:
|
|
Nome da categoria na API: |
Descrição da descoberta: o serviço de postura de segurança detectou que uma política personalizada da organização foi excluída. Essa exclusão ocorreu fora de uma atualização de postura. Nível de preço: Premium Corrigir essa descoberta : Essa descoberta exige que você aceite a alteração ou a reverta para que a versão personalizada definições de políticas da organização na sua postura e no ambiente correspondente. Você tem duas opções para resolver essa descoberta: atualizar a política da organização personalizada ou atualizar a postura e a implantação da postura. Para reverter a mudança, atualize a política da organização personalizada no console do Google Cloud. Para instruções, consulte Atualizar uma restrição personalizada. Para aceitar a mudança, faça o seguinte:
|
A tabela a seguir lista as descobertas de postura de segurança que identificam instâncias de violação de recursos em relação à postura de segurança definida.
| Localizando | Resumo |
|---|---|
|
Nome da categoria na API: |
Descrição da descoberta: o serviço de postura de segurança detectou que uma sub-rede tem um endereço IPv6 externo ativado. Nível de preços: Premium Corrigir essa descoberta : Você tem duas opções para resolver essa descoberta: excluir o recurso violador ou é possível atualizar a postura e reimplantá-la. Para excluir o recurso, siga estas etapas:
Se você quiser manter o recurso na mesma configuração, atualize a postura. Para atualizar a postura, siga estas etapas:
|
|
Nome da categoria na API: |
Descrição da descoberta: o serviço de postura de segurança detectou que um tem um endereço IPv6 interno ativado. Nível de preço: Premium Corrigir essa descoberta : Você tem duas opções para resolver essa descoberta: excluir o recurso violador ou é possível atualizar a postura e reimplantá-la. Para excluir o recurso, siga estas etapas:
Se você quiser manter o recurso na mesma configuração, atualize a postura. Para atualizar a postura, siga estas etapas:
|
|
Nome da categoria na API: |
Descrição da descoberta: o serviço de postura de segurança detectou que o Login do SO está desativado em uma instância de VM. Nível de preços: Premium Corrigir essa descoberta : Você tem duas opções para resolver essa descoberta: atualizar o recurso que está em violação ou atualizar a postura e reimplantar a postura. Para atualizar o recurso, siga estas etapas:
Se você quiser manter o recurso na mesma configuração, atualize a postura. Para atualizar a postura, siga estas etapas:
|
|
Nome da categoria na API: |
Descrição da descoberta: o serviço de postura de segurança detectou que uma rede autorizada foi adicionada a uma instância do SQL. Nível de preço: Premium Corrigir essa descoberta : Essa descoberta exige que você corrija a violação ou atualize a postura. Você tem dois opções para resolver essa descoberta: você pode atualizar o recurso violador ou a postura e reimplantá-la. Para atualizar o recurso, siga estas etapas:
Se você quiser manter o recurso na mesma configuração, atualize a postura. Para atualizar a postura, siga estas etapas:
|
|
Nome da categoria na API: |
Descrição da descoberta: o serviço de postura de segurança detectou que um conector de VPC não está ativado para uma instância de função do Cloud Run. Nível de preços: Premium Corrigir essa descoberta : Você tem duas opções para resolver essa descoberta: atualizar o recurso que está em violação ou atualizar a postura e reimplantar a postura. Para atualizar o recurso, siga estas etapas:
Se você quiser manter o recurso na mesma configuração, atualize a postura. Para atualizar a postura, siga estas etapas:
|
|
Nome da categoria na API: |
Descrição da descoberta: o serviço de postura de segurança detectou que o acesso à porta serial de uma instância de VM está ativado. Nível de preço: Premium Corrigir essa descoberta : Você tem duas opções para resolver essa descoberta: atualizar o recurso que está em violação ou atualizar a postura e reimplantar a postura. Para atualizar o recurso, siga estas etapas:
Se você quiser manter o recurso na mesma configuração, atualize a postura. Para atualizar a postura, siga estas etapas:
|
|
Nome da categoria na API: |
Descrição da descoberta: o serviço de postura de segurança detectou que um padrão rede é criada. Nível de preços: Premium Corrigir essa descoberta : Você tem duas opções para resolver essa descoberta: excluir o recurso violador ou é possível atualizar a postura e reimplantá-la. Para excluir o recurso, siga estas etapas:
Se você quiser manter o recurso na mesma configuração, atualize a postura. Para atualizar a postura, siga estas etapas:
|
|
Nome da categoria na API: |
Descrição da descoberta: o serviço de postura de segurança detectou que um serviço do Cloud Run não está em conformidade com as configurações de entrada especificadas. Nível de preços: Premium Corrigir essa descoberta : Você tem duas opções para resolver essa descoberta: atualizar o recurso que está em violação ou atualizar a postura e reimplantar a postura. Para atualizar o recurso, siga estas etapas:
Se você quiser manter o recurso na mesma configuração, atualize a postura. Para atualizar a postura, siga estas etapas:
|
|
Nome da categoria na API: |
Descrição da descoberta: o serviço de postura de segurança detectou que o acesso no nível do bucket é granular em vez de uniforme. Nível de preços: Premium Corrigir essa descoberta : Você tem duas opções para resolver essa descoberta: atualizar o recurso que está em violação ou atualizar a postura e reimplantar a postura. Para atualizar o recurso, siga estas etapas:
Se quiser manter o recurso com a mesma configuração, atualize o de uma postura avançada de segurança na nuvem. Para atualizar a postura, siga estas etapas:
|
|
Nome da categoria na API: |
Descrição da descoberta: o serviço de postura de segurança detectou que um serviço do Cloud Run não está em conformidade com as configurações de saída especificadas. Nível de preço: Premium Corrigir essa descoberta : Você tem duas opções para resolver essa descoberta: atualizar o recurso que está em violação ou atualizar a postura e reimplantar a postura. Para atualizar o recurso, siga estas etapas:
Se quiser manter o recurso com a mesma configuração, atualize o de uma postura avançada de segurança na nuvem. Para atualizar a postura, siga estas etapas:
|
VM Manager
O VM Manager é um conjunto de ferramentas que podem ser usadas para gerenciar sistemas operacionais para grandes frotas de máquinas virtuais (VMs) que executam o Windows e o Linux no Compute Engine.
Se você ativar o VM Manager com o Security Command Center Premium no nível da organização, o VM Manager gravará as descobertas dos relatórios de vulnerabilidade, que estão em pré-lançamento, no Security Command Center. Os relatórios identificam vulnerabilidades sistemas operacionais instalados em VMs, incluindo Vulnerabilidades e exposições comuns (CVEs, na sigla em inglês).
Para usar o VM Manager com ativações no nível do projeto do Security Command Center Premium, ative o Security Command Center Standard na organização-mãe.
Os relatórios de vulnerabilidades não estão disponíveis para o Security Command Center Standard.
As descobertas simplificam o processo de uso do recurso Conformidade com o patch do VM Manager, que está em fase de pré-lançamento. O recurso permite realizar o gerenciamento de patches no nível da organização em todos os projetos.
A gravidade das descobertas de vulnerabilidade recebidas do
VM Manager é sempre CRITICAL ou HIGH.
Descobertas do VM Manager
Todas as vulnerabilidades desse tipo estão relacionadas aos pacotes de sistema operacional instalados nas VMs do Compute Engine compatíveis.
| Detector | Resumo | Configurações da verificação de recursos |
|---|---|---|
|
Nome da categoria na API: |
Descrição da descoberta: o VM Manager detectou uma vulnerabilidade no pacote do sistema operacional (SO) instalado de uma VM do Compute Engine. Nível de preços: Premium Recursos compatíveis |
VM Manager relatórios de vulnerabilidade detalham vulnerabilidades nos pacotes instalados do sistema operacional para o Compute Engine as VMs, incluindo Vulnerabilidades e Exposições Comuns (CVEs, na sigla em inglês). Para uma lista completa dos sistemas operacionais compatíveis, consulte Detalhes do sistema operacional. As descobertas são exibidas no Security Command Center pouco depois que as vulnerabilidades são detectadas. Os relatórios de vulnerabilidades no VM Manager são gerados da seguinte maneira:
|
Analisar descobertas no console
Console do Google Cloud
- No console do Google Cloud, acesse a página Descobertas do Security Command Center.
- Selecione a organização ou o projeto do Google Cloud.
- Na seção Filtros rápidos, na subseção Nome de exibição da origem, selecione VM Manager: Os resultados da consulta de descobertas são atualizados para mostrar apenas as descobertas dessa fonte.
- Para ver os detalhes de uma descoberta específica, clique no nome dela em Categoria. O painel de detalhes da descoberta é aberto e mostra a guia Resumo.
- Na guia Resumo, revise os detalhes da descoberta, incluindo informações sobre o que foi detectado, o recurso afetado e, se disponíveis, as etapas que você pode executar para remediar a descoberta.
- Opcional: para conferir a definição JSON completa da descoberta, clique na guia JSON.
Console de operações de segurança
-
No console de Operações de Segurança, acesse a página Descobertas.
https://CUSTOMER_SUBDOMAIN.backstory.chronicle.security/posture/findings
Substitua
CUSTOMER_SUBDOMAINpelo identificador específico do cliente. - Na seção Agregações, clique para expandir o Nome de exibição da origem. na subseção.
- Selecione VM Manager. Os resultados da consulta de descobertas são atualizados para mostrar apenas as descobertas dessa fonte.
- Para conferir os detalhes de uma descoberta específica, clique no nome dela em Categoria. O painel de detalhes da descoberta é aberto e mostra a guia Resumo.
- Na guia Resumo, revise os detalhes da descoberta, incluindo informações sobre o que foi detectado, o recurso afetado e, se disponíveis, as etapas que você pode executar para remediar a descoberta.
- Opcional: para conferir a definição JSON completa da descoberta, clique em a guia JSON.
Como corrigir as descobertas do VM Manager
Uma descoberta OS_VULNERABILITY indica que o VM Manager encontrou uma
vulnerabilidade nos pacotes do sistema operacional instalados em uma VM do Compute
Engine.
Para corrigir essa descoberta, faça o seguinte:
Abrir uma descoberta de
OS vulnerabilitye conferir o JSON dela definição.Copie o valor do campo
externalUri. Esse valor é o URI do Página Informações do SO da instância de VM do Compute Engine em que o um sistema operacional vulnerável.Aplicar todos os patches apropriados para o SO mostrado em Informações básicas nesta seção. Para instruções sobre como implantar patches, consulte Criar jobs de patch.
Saiba mais sobre as descobertas desse tipo recursos compatíveis e configurações de verificação.
Silenciar descobertas do VM Manager
Talvez você queira ocultar algumas ou todas as descobertas do VM Manager no Security Command Center se elas não forem relevantes para seus requisitos de segurança.
É possível ocultar as descobertas do Gerenciador de VMs criando uma regra de silenciamento e adicionando atributos de consulta específicos às descobertas do Gerenciador de VMs que você quer ocultar.
Para criar uma regra de silenciamento para o VM Manager usando o Console do Google Cloud, faça o seguinte:
No console do Google Cloud, acesse a página Descobertas do Security Command Center.
Se necessário, selecione o projeto ou a organização do Google Cloud.
Clique em Opções de silenciamento e selecione Criar regra de silenciamento.
Digite um ID da regra de silenciamento. Esse valor é obrigatório.
Insira uma descrição da regra de silenciamento que explique por que as descobertas estão silenciado. Esse valor é opcional, mas recomendado.
Confirme o escopo da regra de silenciamento verificando o Recurso pai .
No campo Consulta de descobertas, crie suas instruções de consulta clicando Adicionar filtro. Como alternativa, é possível digitar as instruções de consulta manualmente.
Na caixa de diálogo Selecionar filtro, selecione Descoberta > Nome de exibição da origem > Gerenciador de VM.
Clique em Aplicar.
Repita até que a consulta de desativação contenha todos os atributos que você quer ocultar.
Por exemplo, se você quiser ocultar IDs do CVE específicos na Descobertas de vulnerabilidade do VM Manager, selecione Vulnerabilidade > ID da CVE e selecione os IDs da CVE que você quer se escondem.
A consulta de descoberta é semelhante a esta:
Clique em Visualizar descobertas correspondentes.
Uma tabela mostra descobertas que correspondem à sua consulta.
Clique em Salvar.
Proteção de dados sensíveis
Nesta seção, descrevemos as descobertas de vulnerabilidade geradas pela proteção de dados confidenciais, quais padrões de conformidade têm suporte e como corrigir essas descobertas.
A proteção de dados confidenciais também envia descobertas observacionais ao Security Command Center. Para mais informações sobre as descobertas de observação e a proteção de dados confidenciais, consulte Proteção de dados confidenciais.
Para saber como acessar as descobertas, consulte Analisar descobertas da proteção de dados confidenciais no console do Google Cloud.
O serviço de descoberta da Proteção de dados sensíveis ajuda a determinar se você está armazenando dados altamente sensíveis que não estão protegidos.
| Categoria | Resumo |
|---|---|
|
Nome da categoria na API:
|
Descrição da descoberta: o recurso especificado tem dados de alta sensibilidade que podem ser acessados por qualquer pessoa na Internet. Recursos compatíveis:
Correção: Para dados do Google Cloud, remova Para dados do Amazon S3, configure as configurações de bloqueio de acesso público ou atualize a ACL do objeto para negar o acesso de leitura público. Padrões de compliance: não mapeados |
|
Nome da categoria na API:
|
Descrição da descoberta: há secrets, como como senhas, tokens de autenticação e credenciais do Google Cloud, Variáveis de ambiente das funções do Cloud Run. Para ativar esse detector, consulte Informe secrets em variáveis de ambiente para o Security Command Center na documentação de proteção de dados sensíveis. Recursos compatíveis:
Correção: remova o secret da variável de ambiente e armazene-o no Secret Manager como alternativa. Padrões de compliance:
|
|
Nome da categoria na API:
|
Descrição da descoberta: há secrets, como como senhas, tokens de autenticação e credenciais na nuvem, recurso. Recursos compatíveis:
Correção:
Padrões de compliance: não mapeados |
Policy Controller
O Policy Controller permite a aplicação de políticas programáveis aos clusters do Kubernetes registrados como associações de frotas. Essas políticas funcionam como proteções e podem ajudar nas práticas recomendadas, na segurança e no gerenciamento de conformidade dos clusters e da frota.
Esta página não lista todas as descobertas individuais do Policy Controller, mas
as informações sobre as descobertas da classe Misconfiguration que o Policy Controller
grava no Security Command Center são as mesmas que as violações de cluster documentadas
para cada pacote do Policy Controller. A documentação dos tipos de descobertas individuais do Policy Controller
está nos pacotes a seguir:
Comparativo de mercado do CIS para Kubernetes v1.5.1 um conjunto de recomendações para configurar o Kubernetes e dar suporte a uma de segurança da nuvem. Também é possível ver informações sobre esse pacote no repositório do GitHub para
cis-k8s-v1.5.1.PCI-DSS v3.2.1, um pacote que avalia a compliance dos recursos do cluster em relação a alguns aspectos do Padrão de segurança de dados do setor de cartões de pagamento (PCI DSS) v3.2.1. Também é possível ver informações sobre esse pacote no repositório do GitHub para
pci-dss-v3.
Esse recurso não é compatível com os perímetros de serviço do VPC Service Controls sobre a API Stackdriver.
Como encontrar e corrigir descobertas do Policy Controller
As categorias do Policy Controller correspondem aos nomes de restrição listados na
documentação dos pacotes do Policy Controller. Por exemplo,
require-namespace-network-policies
A descoberta indica que um namespace viola a política de que todos os namespaces em um
cluster tem um NetworkPolicy.
Para corrigir uma descoberta, faça o seguinte:
Console do Google Cloud
- No console do Google Cloud, acesse a página Descobertas do Security Command Center.
- Selecione a organização ou o projeto do Google Cloud.
- Na seção Filtros rápidos, na subseção Nome de exibição da origem, selecione Policy Controller no cluster. Os resultados da consulta de descobertas são atualizados para mostrar apenas as descobertas dessa fonte.
- Para ver os detalhes de uma descoberta específica, clique no nome dela em Categoria. O painel de detalhes da descoberta é aberto e mostra a guia Resumo.
- Na guia Resumo, revise os detalhes da descoberta, incluindo informações sobre o que foi detectado, o recurso afetado e, se disponíveis, as etapas que você pode executar para remediar a descoberta.
- Opcional: para conferir a definição JSON completa da descoberta, clique na guia JSON.
Console de operações de segurança
-
No console de operações de segurança, acesse a página Descobertas.
https://CUSTOMER_SUBDOMAIN.backstory.chronicle.security/posture/findings
Substitua
CUSTOMER_SUBDOMAINpelo identificador específico do cliente. - Na seção Agregações, clique para expandir a subseção Nome de exibição da origem.
- Selecione Policy Controller no cluster. Os resultados da consulta de descobertas são atualizados para mostrar apenas as descobertas desta fonte.
- Para conferir os detalhes de uma descoberta específica, clique no nome dela em Categoria. O painel de detalhes da descoberta é aberto e mostra a guia Resumo.
- Na guia Resumo, revise os detalhes da descoberta, incluindo informações sobre o que foi detectado, o recurso afetado e, se disponíveis, as etapas que você pode executar para remediar a descoberta.
- Opcional: para conferir a definição JSON completa da descoberta, clique na guia JSON.
A seguir
Saiba como usar o Security Health Analytics.
Saiba como usar o Web Security Scanner.
Leia sugestões para corrigir descobertas do Security Health Analytics e corrigir descobertas do Web Security Scanner.