Vulnerabilità rilevate

I rilevatori di Security Health Analytics e Web Security Scanner generano risultati relativi alle vulnerabilità disponibili in Security Command Center. Quando sono abilitate in Security Command Center, e servizi integrati, come VM Manager, generano anch'essi i risultati.

La possibilità di visualizzare e modificare i risultati è determinata dal I ruoli e le autorizzazioni di Identity and Access Management (IAM) che ti sono stati assegnati. Per maggiori informazioni informazioni sui ruoli IAM in Security Command Center, consulta Controllo dell'accesso.

Rilevatori e conformità

Security Command Center monitora la conformità ai rilevatori che sono mappati ai controlli di un una serie di standard di sicurezza.

Per ogni standard di sicurezza supportato, Security Command Center verifica un sottoinsieme dei controlli. Per i controlli selezionati, Security Command Center mostra quanti sono superati. Per i controlli che non superano la verifica, Security Command Center mostra un elenco di risultati che descrivono gli errori di controllo.

Il CIS esamina e certifica le mappature dei Security Command Center a ciascuno dei rilevatori supportati del CIS Google Cloud Foundations Benchmark. Conformità aggiuntiva mappature sono incluse solo a scopo di riferimento.

Security Command Center aggiunge periodicamente il supporto di nuovi standard e versioni di benchmark. Meno recenti rimangono supportate, ma alla fine vengono ritirate. Ti consigliamo di utilizzare lo standard o il benchmark più recente supportato disponibile.

Con il servizio di stato della sicurezza, puoi mappare i criteri dell'organizzazione e i rilevatori di Security Health Analytics agli standard e ai controlli applicabili alla tua attività. Dopo aver creato una postura di sicurezza, puoi monitorare modifiche all'ambiente che potrebbero influire sulla conformità della tua azienda.

Per ulteriori informazioni sulla gestione della conformità, consulta Valutare e segnalare la conformità agli standard di sicurezza.

Standard di sicurezza supportati su Google Cloud

Security Command Center mappa i rilevatori per Google Cloud a uno o più dei seguenti standard di conformità:

• Centro per la sicurezza delle informazioni (CIS) Controlli 8.0
• CIS di Google Cloud Computing Foundations Benchmark v2.0.0, v1.3.0, v1.2.0, v1.1.0 e v1.0.0
• Benchmark CIS Kubernetes v1.5.1
• Cloud Controls Matrix (CCM) 4
• Health Insurance Portability and Accountability Act (HIPAA)
• Organizzazione internazionale per la standardizzazione (ISO) 27001, 2022 e 2013
• Nazionale Institute of Standards and Technology (NIST) 800-53 R5 e R4
• NIST CSF 1.0
• Apri Web Application Security Project (OWASP) Top Ten, 2021 e 2017
• Payment Card Industry Data Security Standard (PCI DSS) 4.0 e 3.2.1
• System and Organization Controls (SOC) 2 2017 Trusted Services Criteria (TSC)

Standard di sicurezza supportati su AWS

Security Command Center rilevatori di mappe per Amazon Web Services (AWS) a uno o più dei seguenti standard:

• CIS Amazon Web Services Foundations 2.0.0
• CIS Controls 8.0
• CCM 4
• HIPAA
• ISO 27001 2022
• NIST 800-53 R5
• NIST CSF 1.0
• PCI DSS 4.0 e 3.2.1
• SOC 2 2017 TSC

Per istruzioni su come visualizzare ed esportare i report di conformità, consulta nella sezione Conformità Utilizzo di Security Command Center nella console Google Cloud.

Trovare la disattivazione dopo la correzione

Dopo aver risolto un risultato relativo a una vulnerabilità o a una configurazione errata, il servizio Security Command Center che ha rilevato il risultato imposta automaticamente lo stato del risultato su INACTIVE alla successiva ricerca del risultato da parte del servizio di rilevamento. Tempo impiegato da Security Command Center per impostare un risultato corretto su INACTIVE dipende dalla pianificazione dell'analisi che rileva il risultato.

I servizi Security Command Center impostano anche lo stato di una vulnerabilità di configurazione errata in INACTIVE quando una scansione rileva che la risorsa interessato dal risultato viene eliminato.

Per ulteriori informazioni sugli intervalli di scansione, consulta i seguenti argomenti:

• Tipi di scansione di Security Health Analytics

• Tipi di scansione di Web Security Scanner

Risultati di Security Health Analytics

I rilevatori di Security Health Analytics monitorano un sottoinsieme di risorse di Cloud Asset Inventory (CAI), ricevendo notifiche di modifiche ai criteri delle risorse e di Identity and Access Management (IAM). Alcuni rilevatori recuperare i dati chiamando direttamente le API Google Cloud, come indicato in più avanti in questa pagina.

Per ulteriori informazioni su Security Health Analytics, sulle pianificazioni delle analisi e sul supporto di Security Health Analytics per i rilevatori di moduli integrati e personalizzati, consulta la Panoramica di Security Health Analytics.

Le tabelle seguenti descrivono i rilevatori di Security Health Analytics, gli asset e gli standard di conformità supportati, le impostazioni utilizzate per le analisi e i tipi di risultati generati. Puoi filtrare i risultati in base a vari attributi utilizzando la pagina Vulnerabilità di Security Command Center nella console Google Cloud.

Per istruzioni su come risolvere i problemi e proteggere le risorse, consulta Correzione dei risultati di Security Health Analytics.

Risultati delle vulnerabilità della chiave API

Il rilevatore API_KEY_SCANNER identifica le vulnerabilità relative alle chiavi API utilizzate nel tuo deployment sul cloud.

Rilevatore	Riepilogo	Impostazioni di analisi degli asset
API key APIs unrestricted Nome della categoria nell'API: API_KEY_APIS_UNRESTRICTED	Descrizione del problema: Esistono chiavi API utilizzate in modo troppo ampio. Da risolvere limita l'uso delle chiavi API per consentire solo alle API richiesta dall'applicazione. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 1.12 CIS GCP Foundation 1.1: 1.14 CIS GCP Foundation 1.2: 1.14 CIS GCP Foundation 1.3: 1.14 CIS GCP Foundation 2.0: 1.14 NIST 800-53 R5: PL-8, SA-8 PCI-DSS v4.0: 2.2.2, 6.2.1 ISO-27001 v2022: A.8.27 Cloud Controls Matrix 4: DSP-07 NIST Cybersecurity Framework 1.0: PR-IP-2 CIS Controls 8.0: 16.10	Recupera la proprietà restrictions di tutte le chiavi API in un progetto, controllando se ne è impostata una su cloudapis.googleapis.com. Scansioni in tempo reale: no
API key apps unrestricted Nome categoria nell'API: API_KEY_APPS_UNRESTRICTED	Descrizione dei risultati: Alcune chiavi API vengono usate senza restrizioni, consentendo l'uso da parte di qualsiasi app non attendibile. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 1.11 CIS GCP Foundation 1.1: 1.13 CIS GCP Foundation 1.2: 1.13 CIS GCP Foundation 1.3: 1.13 CIS GCP Foundation 2.0: 1.13	Recupera la proprietà restrictions di tutte le chiavi API di un progetto, controllando se è impostato browserKeyRestrictions, serverKeyRestrictions, androidKeyRestrictions o iosKeyRestrictions. Scansioni in tempo reale: no
API key exists Nome della categoria nell'API: API_KEY_EXISTS	Descrizione del problema: un progetto utilizza chiavi API anziché l'autenticazione standard. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 1.10 CIS GCP Foundation 1.1: 1.12 CIS GCP Foundation 1.2: 1.12 CIS GCP Foundation 1.3: 1.12 CIS GCP Foundation 2.0: 1.12 NIST 800-53 R5: PL-8, SA-8 PCI-DSS v4.0: 2.2.2, 6.2.1 ISO-27001 v2022: A.8.27 Cloud Controls Matrix 4: DSP-07 NIST Cybersecurity Framework 1.0: PR-IP-2 CIS Controls 8.0: 16.10	Recupera tutte le chiavi API di proprietà di un progetto. Scansioni in tempo reale: no
API key not rotated Nome categoria nell'API: API_KEY_NOT_ROTATED	Descrizione dei risultati: La chiave API non è stata ruotata per più di 90 giorni. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 1.13 CIS GCP Foundation 1.1: 1.15 CIS GCP Foundation 1.2: 1.15 CIS GCP Foundation 1.3: 1.15 CIS GCP Foundation 2.0: 1.15 NIST 800-53 R5: PL-8, SA-8 PCI-DSS v4.0: 2.2.2, 6.2.1 ISO-27001 v2022: A.8.27 Cloud Controls Matrix 4: DSP-07 NIST Cybersecurity Framework 1.0: PR-IP-2 CIS Controls 8.0: 16.10	Recupera il timestamp contenuto nell'attributo Proprietà createTime di tutte le chiavi API, controllo in corso siano trascorsi 90 giorni. Scansioni in tempo reale: no

Risultati relativi alle vulnerabilità di Cloud Asset Inventory

Le vulnerabilità di questo tipo di rilevatore sono tutte correlate a Cloud Asset Inventory configurazioni e appartengono al tipo CLOUD_ASSET_SCANNER.

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
Cloud Asset API disabled Nome della categoria nell'API: CLOUD_ASSET_API_DISABLED	Descrizione del rilevamento: La raccolta delle risorse Google Cloud e dei criteri IAM da parte di Cloud Asset Inventory consente analisi della sicurezza, monitoraggio delle modifiche delle risorse e controlli di conformità. Ti consigliamo di abilitare il servizio Cloud Asset Inventory per tutti i progetti. Per attivare questo rilevatore è necessaria un'ulteriore configurazione. Per le istruzioni, vedi Attivare e disattivare i rilevatori. Livello di prezzo: Premium Asset supportati pubsub.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.3: 2.13 CIS GCP Foundation 2.0: 2.13 NIST 800-53 R5: CM-8, PM-5 PCI-DSS v4.0: 11.2.1, 11.2.2, 12.5.1, 9.5.1, 9.5.1.1 ISO-27001 v2022: A.5.9, A.8.8 Cloud Controls Matrix 4: UEM-04 NIST Cybersecurity Framework 1.0: ID-AM-1, PR-DS-3 SOC2 v2017: CC3.2.6, CC6.1.1 HIPAA: 164.310(d)(2)(iii) CIS Controls 8.0: 1.1, 6.6	Controlla se il servizio Cloud Asset Inventory è attivo. Scansioni in tempo reale: sì

Risultati di vulnerabilità dell'immagine di calcolo

Il rilevatore COMPUTE_IMAGE_SCANNER identifica le vulnerabilità correlate a configurazioni di immagini Google Cloud.

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
Public Compute image Nome categoria nell'API: PUBLIC_COMPUTE_IMAGE	Descrizione del problema: Un'immagine Compute Engine è accessibile pubblicamente. Livello di prezzo: Premium o Standard Asset supportati compute.googleapis.com/Image Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata a nessun controllo standard di conformità.	Controlla il criterio di autorizzazione IAM nella risorsa metadati per le entità allUsers o allAuthenticatedUsers, che concedono l'accesso pubblico. Scansioni in tempo reale: sì

Risultati delle vulnerabilità delle istanze di calcolo

Il rilevatore COMPUTE_INSTANCE_SCANNER identifica le vulnerabilità relative alle configurazioni delle istanze Compute Engine.

I rilevatori COMPUTE_INSTANCE_SCANNER non segnalano risultati nelle istanze Compute Engine create da GKE. Queste istanze hanno nomi iniziano con "gke-", che gli utenti non possono modificare. Per proteggere queste istanze, consulta la sezione Risultati delle vulnerabilità del contenitore.

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
Confidential Computing disabled Nome categoria nell'API: CONFIDENTIAL_COMPUTING_DISABLED	Descrizione dei risultati: Confidential Computing è disabilitato su un'istanza di Compute Engine. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 4.11 CIS GCP Foundation 1.3: 4.11 CIS GCP Foundation 2.0: 4.11 NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS Controls 8.0: 3.11	Controlla la proprietà confidentialInstanceConfig dei metadati dell'istanza per la coppia chiave-valore "enableConfidentialCompute":true. Asset esclusi dalle scansioni: Istanze GKE Accesso VPC serverless Istanze correlate ai job Dataflow Istanze Compute Engine non di tipo N2D Scansioni in tempo reale: sì
Compute project wide SSH keys allowed Nome categoria nell'API: COMPUTE_PROJECT_WIDE_SSH_KEYS_ALLOWED	Descrizione dei risultati: Vengono utilizzate chiavi SSH a livello di progetto, che consentono l'accesso a tutti di Compute Engine nel progetto. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 4.2 CIS GCP Foundation 1.1: 4.3 CIS GCP Foundation 1.2: 4.3 CIS GCP Foundation 1.3: 4.3 CIS GCP Foundation 2.0: 4.3 NIST 800-53 R5: AC-17, IA-5, SC-8 PCI-DSS v4.0: 2.2.7, 4.1.1, 4.2.1, 4.2.1.2, 4.2.2, 8.3.2 ISO-27001 v2022: A.5.14 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-2 SOC2 v2017: CC6.1.11, CC6.1.3, CC6.1.8, CC6.7.2 HIPAA: 164.312(a)(2)(iv), 164.312(e)(1), 164.312(e)(2)(i), 164.312(e)(2)(ii) CIS Controls 8.0: 3.10, 5.2	Controlla l'oggetto metadata.items[] nei metadati dell'istanza per la coppia chiave-valore "key": "block-project-ssh-keys", "value": TRUE. Asset esclusi dalle analisi: GKE istanze, job Dataflow, istanza Windows Autorizzazioni IAM aggiuntive: roles/compute.Viewer Input aggiuntivi: legge i metadati da Compute Engine Scansioni in tempo reale: no
Compute Secure Boot disabled Nome categoria nell'API: COMPUTE_SECURE_BOOT_DISABLED	Descrizione dei risultati: Questa Shielded VM non ha l'avvio protetto in un bucket in cui è abilitato il controllo delle versioni. L'utilizzo dell'avvio protetto aiuta a proteggere le istanze VM da minacce avanzate come rootkit e bootkit. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Instance Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata a nessun controllo standard di conformità.	Controlla la proprietà shieldedInstanceConfig sulle istanze Compute Engine per determinare se enableSecureBoot è impostato su true. Questo rilevatore controlla se i dischi collegati sono compatibili con Avvio protetto e se Avvio protetto è abilitato. Asset esclusi dalle analisi: GKE istanze VM, i dischi Compute Engine con GPU acceleratori e non utilizzano Container-Optimized OS, Accesso VPC serverless Scansioni in tempo reale: sì
Compute serial ports enabled Nome della categoria nell'API: COMPUTE_SERIAL_PORTS_ENABLED	Descrizione del problema: Le porte seriali sono abilitate per un'istanza, consentendo le connessioni alla console seriale dell'istanza. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 4.4 CIS GCP Foundation 1.1: 4.5 CIS GCP Foundation 1.2: 4.5 CIS GCP Foundation 1.3: 4.5 CIS GCP Foundation 2.0: 4.5 NIST 800-53 R5: CM-6, CM-7 PCI-DSS v4.0: 1.2.5, 2.2.4, 6.4.1 ISO-27001 v2022: A.8.9 SOC2 v2017: CC6.6.1, CC6.6.3, CC6.6.4 CIS Controls 8.0: 4.8	Controlla l'oggetto metadata.items[] nei metadati dell'istanza per la coppia chiave-valore "key": "serial-port-enable", "value": TRUE. Asset esclusi dalle analisi: istanze GKE Autorizzazioni IAM aggiuntive: roles/compute.Viewer Input aggiuntivi: legge i metadati da Compute Engine Scansioni in tempo reale: sì
Default service account used Nome categoria nell'API: DEFAULT_SERVICE_ACCOUNT_USED	Descrizione del problema: Un'istanza è configurata per utilizzare l'account di servizio predefinito. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 4.1 CIS GCP Foundation 1.2: 4.1 CIS GCP Foundation 1.3: 4.1 CIS GCP Foundation 2.0: 4.1 NIST 800-53 R5: IA-5 PCI-DSS v4.0: 2.2.2, 2.3.1 ISO-27001 v2022: A.8.2, A.8.9 NIST Cybersecurity Framework 1.0: PR-AC-1 SOC2 v2017: CC6.3.1, CC6.3.2, CC6.3.3 CIS Controls 8.0: 4.7	Controlla la proprietà serviceAccounts in metadati di istanza per qualsiasi indirizzo email di account di servizio con il prefisso [e-mail], che indica l'account di servizio predefinito creato da Google. Asset esclusi dalle scansioni: istanze GKE, job Dataflow Scansioni in tempo reale: sì
Disk CMEK disabled Nome categoria nell'API: DISK_CMEK_DISABLED	Descrizione dei risultati: i dischi in questa VM non sono criptati con l'impostazione di crittografia gestite dal cliente (CMEK). Per attivare questo rilevatore è necessaria un'ulteriore configurazione. Per istruzioni, vedi Attivare e disattivare i rilevatori. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Disk Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata ad alcun controllo degli standard di conformità.	Controlla il campo kmsKeyName nella Oggetto diskEncryptionKey, nei metadati del disco, per il nome della risorsa della tua CMEK. Asset esclusi dalle analisi: dischi correlati a Ambienti Cloud Composer, job Dataflow e GKE instances Scansioni in tempo reale: sì
Disk CSEK disabled Nome della categoria nell'API: DISK_CSEK_DISABLED	Descrizione dei risultati: I dischi in questa VM non sono criptati con Fornita dal cliente chiavi di crittografia (CSEK). Questo rilevatore richiede configurazione da attivare. Per le istruzioni, vedi Rilevatore di casi speciali. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Disk Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 4.6 CIS GCP Foundation 1.1: 4.7 CIS GCP Foundation 1.2: 4.7 CIS GCP Foundation 1.3: 4.7 CIS GCP Foundation 2.0: 4.7 NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS Controls 8.0: 3.11	Controlla il campo kmsKeyName nella Oggetto diskEncryptionKey per il nome della risorsa della tua CSEK. Asset esclusi dalle scansioni: i dischi Compute Engine senza Contrassegno di sicurezza enforce_customer_supplied_disk_encryption_keys impostato su true Autorizzazioni IAM aggiuntive: roles/compute.Viewer Input aggiuntivi: legge i metadati da Compute Engine Scansioni in tempo reale: sì
Full API access Nome categoria nell'API: FULL_API_ACCESS	Descrizione del problema: un'istanza è configurata per utilizzare l'account di servizio predefinito con accesso completo a tutte le API Google Cloud. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 4.1 CIS GCP Foundation 1.1: 4.2 CIS GCP Foundation 1.2: 4.2 CIS GCP Foundation 1.3: 4.2 CIS GCP Foundation 2.0: 4.2 NIST 800-53 R4: AC-6 NIST 800-53 R5: IA-5 PCI-DSS v3.2.1: 7.1.2 PCI-DSS v4.0: 2.2.2, 2.3.1 ISO-27001 v2013: A.9.2.3 ISO-27001 v2022: A.8.2, A.8.9 NIST Cybersecurity Framework 1.0: PR-AC-1 SOC2 v2017: CC6.3.1, CC6.3.2, CC6.3.3 CIS Controls 8.0: 4.7	Recupera il campo scopes nella proprietà serviceAccounts per verificare se viene utilizzato un account di servizio predefinito e se è assegnato l'ambito cloud-platform. Asset esclusi dalle analisi: GKE di Compute Engine, job Dataflow Scansioni in tempo reale: sì
HTTP load balancer Nome della categoria nell'API: HTTP_LOAD_BALANCER	Descrizione del problema: Un'istanza utilizza un bilanciatore del carico configurato per utilizzare un proxy HTTP di destinazione anziché un proxy HTTPS di destinazione. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati compute.googleapis.com/TargetHttpProxy Correggi questo risultato Standard di conformità: PCI-DSS v3.2.1: 2.3	Determina se la proprietà selfLink del metodo targetHttpProxy risorsa corrisponde alla target nella regola di forwarding e se la regola di forwarding contiene un Campo loadBalancingScheme impostato su External. Autorizzazioni IAM aggiuntive: roles/compute.Viewer Input aggiuntivi: legge le regole di inoltro per un proxy HTTP di destinazione da Compute Engine, controllando la presenza di regole esterne Scansioni in tempo reale: sì
Instance OS Login disabled Nome della categoria nell'API: INSTANCE_OS_LOGIN_DISABLED	Descrizione del problema: OS Login è disabilitato in questa istanza. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 4.3 CIS GCP Foundation 1.1: 4.4 CIS GCP Foundation 1.2: 4.4 CIS GCP Foundation 1.3: 4.4 CIS GCP Foundation 2.0: 4.4 NIST 800-53 R5: AC-2 ISO-27001 v2022: A.5.15 SOC2 v2017: CC6.1.4, CC6.1.6, CC6.1.8, CC6.1.9 CIS Controls 8.0: 5.6, 6.7	Controlla se la proprietà enable-oslogin del Custom metadata dell'istanza è impostata su TRUE. Asset esclusi dalle scansioni: istanze GKE, istanze relative ai job Dataflow, accesso VPC serverless Autorizzazioni IAM aggiuntive: roles/compute.Viewer Input aggiuntivi: legge i metadati da Compute Engine. Scansioni in tempo reale: no
IP forwarding enabled Nome categoria nell'API: IP_FORWARDING_ENABLED	Descrizione dei risultati: L'IP forwarding è abilitato sulle istanze. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 4.5 CIS GCP Foundation 1.1: 4.6 CIS GCP Foundation 1.2: 4.6 CIS GCP Foundation 1.3: 4.6 CIS GCP Foundation 2.0: 4.6 NIST 800-53 R5: CA-9, SC-7 PCI-DSS v4.0: 1.2.1, 1.4.1 SOC2 v2017: CC6.6.1, CC6.6.4 CIS Controls 8.0: 4.4, 4.5	Controlla se la proprietà canIpForward dell'istanza è impostata su true. Asset esclusi dalle analisi: GKE di istanze gestite, accesso VPC serverless Scansioni in tempo reale: sì
OS login disabled Nome categoria nell'API: OS_LOGIN_DISABLED	Descrizione del problema: OS Login è disabilitato in questa istanza. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 4.3 CIS GCP Foundation 1.1: 4.4 CIS GCP Foundation 1.2: 4.4 CIS GCP Foundation 1.3: 4.4 CIS GCP Foundation 2.0: 4.4 NIST 800-53 R5: AC-2 ISO-27001 v2022: A.5.15 SOC2 v2017: CC6.1.4, CC6.1.6, CC6.1.8, CC6.1.9 CIS Controls 8.0: 5.6, 6.7	Controlla l'oggetto commonInstanceMetadata.items[] nei metadati del progetto per verificare la presenza della coppia chiave-valore "key": "enable-oslogin", "value": TRUE. Il rilevatore controlla anche tutte le istanze in un Compute Engine per determinare se OS Login è disabilitato per le singole istanze. Asset esclusi dalle scansioni: istanze GKE, istanze correlate ai job Dataflow Autorizzazioni IAM aggiuntive: roles/compute.Viewer Input aggiuntivi: legge i metadati da in Compute Engine. Il rilevatore esamina anche le istanze di Compute Engine progetto Scansioni in tempo reale: no
Public IP address Nome della categoria nell'API: PUBLIC_IP_ADDRESS	Descrizione del problema: Un'istanza ha un indirizzo IP pubblico. Livello di prezzo: Premium o standard Asset supportati compute.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 4.9 CIS GCP Foundation 1.2: 4.9 CIS GCP Foundation 1.3: 4.9 CIS GCP Foundation 2.0: 4.9 NIST 800-53 R4: CA-3, SC-7 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 1.2.1 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Controlla se networkInterfaces contiene un campo accessConfigs, per indicare che è configurata per utilizzare un indirizzo IP pubblico. Asset esclusi dalle scansioni: istanze GKE, istanze correlate ai job Dataflow Scansioni in tempo reale: sì
Shielded VM disabled Nome della categoria nell'API: SHIELDED_VM_DISABLED	Descrizione del problema: La VM protetta è disabilitata in questa istanza. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 4.8 CIS GCP Foundation 1.2: 4.8 CIS GCP Foundation 1.3: 4.8 CIS GCP Foundation 2.0: 4.8	Controlla la proprietà shieldedInstanceConfig in le istanze di Compute Engine per determinare se enableIntegrityMonitoring e enableVtpm sono impostati su true. I campi indicano se la Shielded VM è attiva. Asset esclusi dalle scansioni: istanze GKE e Accesso VPC serverless Scansioni in tempo reale: sì
Weak SSL policy Nome della categoria nell'API: WEAK_SSL_POLICY	Descrizione del problema: Un'istanza ha un criterio SSL debole. Per le attivazioni a livello di progetto del livello Premium di Security Command Center: questo risultato è disponibile solo se il livello Standard è abilitato nella dell'organizzazione principale. Livello di prezzo: Premium Asset supportati compute.googleapis.com/TargetHttpsProxy compute.googleapis.com/TargetSslProxy Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 3.9 CIS GCP Foundation 1.2: 3.9 CIS GCP Foundation 1.3: 3.9 CIS GCP Foundation 2.0: 3.9 NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 4.1 ISO-27001 v2013: A.14.1.3	Controlla se sslPolicy nei metadati della risorsa è vuoto o se utilizza il criterio predefinito di Google Cloud e, per la risorsa sslPolicies collegata, se profile è impostato su Restricted o Modern, minTlsVersion è impostato su TLS 1.2 e customFeatures è vuoto o non contiene i seguenti cifrari: TLS_RSA_WITH_AES_128_GCM_SHA256, TLS_RSA_WITH_AES_256_GCM_SHA384, TLS_RSA_WITH_AES_128_CBC_SHA, TLS_RSA_WITH_AES_256_CBC_SHA, TLS_RSA_WITH_3DES_EDE_CBC_SHA. Autorizzazioni IAM aggiuntive: roles/compute.Viewer Input aggiuntivi: legge i criteri SSL per lo spazio di archiviazione dei proxy di destinazione, controllando la presenza di criteri deboli Scansioni in tempo reale: sì, ma solo quando TargetHttpsProxy di TargetSslProxy, non quando il criterio SSL viene aggiornata

Risultati delle vulnerabilità dei container

Questi tipi di risultati riguardano tutti le configurazioni di container GKE, e appartengono al tipo di rilevatore CONTAINER_SCANNER.

Rilevatore	Riepilogo	Impostazioni di analisi degli asset
Alpha cluster enabled Nome della categoria nell'API: ALPHA_CLUSTER_ENABLED	Descrizione del problema: Le funzionalità del cluster alpha sono abilitate per un cluster GKE. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GKE 1.0: 6.10.2	Controlla se la proprietà enableKubernetesAlpha di un cluster è impostata su true. Scansioni in tempo reale: sì
Auto repair disabled Nome della categoria nell'API: AUTO_REPAIR_DISABLED	Descrizione dei risultati: una funzionalità di riparazione automatica di un cluster GKE, che mantiene i nodi integri e in esecuzione, disattivata. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.7 CIS GKE 1.0: 6.5.2 PCI-DSS v3.2.1: 2.2	Controlla la proprietà management di un pool di nodi per la coppia chiave-valore "key":, "autoRepair", "value":, true. Scansioni in tempo reale: sì
Auto upgrade disabled Nome della categoria nell'API: AUTO_UPGRADE_DISABLED	Descrizione del problema: la funzionalità di upgrade automatico di un cluster GKE, che mantiene i cluster e i pool di nodi aggiornati all'ultima versione stabile di Kubernetes, è disabilitata. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.8 CIS GKE 1.0: 6.5.3 PCI-DSS v3.2.1: 2.2	Controlla la proprietà management di un pool di nodi per la coppia chiave-valore "key":, "autoUpgrade", "value":, true. Scansioni in tempo reale: sì
Binary authorization disabled Nome della categoria nell'API: BINARY_AUTHORIZATION_DISABLED	Descrizione del problema: l'autorizzazione binaria è disattivata nel cluster GKE o il criterio di autorizzazione binaria è configurato per consentire il deployment di tutte le immagini. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata a nessun controllo standard di conformità.	Controlla quanto segue: Controlla se la proprietà binaryAuthorization ha una delle seguenti coppie chiave-valore: "evaluationMode": "PROJECT_SINGLETON_POLICY_ENFORCE" "evaluationMode": "POLICY_BINDINGS" "evaluationMode": "POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE" Controlla se la proprietà del criterio defaultAdmissionRule non contiene la coppia chiave-valore evaluationMode: ALWAYS_ALLOW. Scansioni in tempo reale: sì
Cluster logging disabled Nome categoria nell'API: CLUSTER_LOGGING_DISABLED	Descrizione del problema: Il logging non è abilitato per un cluster GKE. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.1 CIS GKE 1.0: 6.7.1 PCI-DSS v3.2.1: 10.2.2, 10.2.7	Verifica se la proprietà loggingService di un cluster contiene la posizione che Cloud Logging deve utilizzare per scrivere i log. Scansioni in tempo reale: sì
Cluster monitoring disabled Nome categoria nell'API: CLUSTER_MONITORING_DISABLED	Descrizione dei risultati: Il monitoraggio è disabilitato su cluster GKE. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.2 CIS GKE 1.0: 6.7.1 PCI-DSS v3.2.1: 10.1, 10.2	Controlla se monitoringService proprietà di un cluster contiene la posizione Cloud Monitoring dovrebbe usare per scrivere le metriche. Scansioni in tempo reale: sì
Cluster private Google access disabled Nome della categoria nell'API: CLUSTER_PRIVATE_GOOGLE_ACCESS_DISABLED	Descrizione del problema: Gli host del cluster non sono configurati per utilizzare solo indirizzi IP interni privati per accedere alle API di Google. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.16 PCI-DSS v3.2.1: 1.3	Controlla se privateIpGoogleAccess di una subnet è impostata su false. Input aggiuntivi: legge le subnet dall'archiviazione, archiviando i risultati solo per i cluster con subnet Scansioni in tempo reale: sì, ma solo se il cluster è aggiornato, non per gli aggiornamenti della sottorete
Cluster secrets encryption disabled Nome della categoria nell'API: CLUSTER_SECRETS_ENCRYPTION_DISABLED	Descrizione del problema: La crittografia dei secret a livello di applicazione è disabilitata in un cluster GKE. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GKE 1.0: 6.3.1	Controlla la proprietà keyName dell'elemento databaseEncryption per la coppia chiave-valore "state": ENCRYPTED. Scansioni in tempo reale: sì
Cluster shielded nodes disabled Nome della categoria nell'API: CLUSTER_SHIELDED_NODES_DISABLED	Descrizione dei risultati: I nodi GKE schermati non sono abilitati per un cluster. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GKE 1.0: 6.5.5	Controlla la proprietà shieldedNodes per la coppia chiave-valore "enabled": true. Scansioni in tempo reale: sì
COS not used Nome della categoria nell'API: COS_NOT_USED	Descrizione del problema: le VM Compute Engine non utilizzano il sistema operativo ottimizzato per i container progettato per eseguire i container Docker su Google Cloud in modo sicuro. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.9 CIS GKE 1.0: 6.5.1 PCI-DSS v3.2.1: 2.2	Controlla la proprietà config di un pool di nodi per la coppia chiave-valore "imageType": "COS". Scansioni in tempo reale: sì
Integrity monitoring disabled Nome della categoria nell'API: INTEGRITY_MONITORING_DISABLED	Descrizione del problema: Il monitoraggio dell'integrità è disabilitato per un cluster GKE. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GKE 1.0: 6.5.6	Controlla la proprietà shieldedInstanceConfig dell'oggetto nodeConfig per la coppia chiave-valore "enableIntegrityMonitoring": true. Scansioni in tempo reale: sì
Intranode visibility disabled Nome categoria nell'API: INTRANODE_VISIBILITY_DISABLED	Descrizione dei risultati: La visibilità tra nodi è disabilitata per un cluster GKE. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GKE 1.0: 6.6.1	Controlla la proprietà networkConfig per la coppia chiave-valore "enableIntraNodeVisibility": true. Scansioni in tempo reale: sì
IP alias disabled Nome della categoria nell'API: IP_ALIAS_DISABLED	Descrizione dei risultati: È stato creato un cluster GKE con IP alias disattivati. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.13 CIS GKE 1.0: 6.6.2 PCI-DSS v3.2.1: 1.3.4, 1.3.7	Controlla se il campo useIPAliases di ipAllocationPolicy in un cluster è impostato su false. Scansioni in tempo reale: sì
Legacy authorization enabled Nome categoria nell'API: LEGACY_AUTHORIZATION_ENABLED	Descrizione del problema: l'autorizzazione legacy è abilitata sui cluster GKE. Livello di prezzo: Premium o Standard Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.3 CIS GKE 1.0: 6.8.3 PCI-DSS v3.2.1: 4.1	Controlla la proprietà legacyAbac di un cluster per la coppia chiave-valore "enabled":true. Scansioni in tempo reale: sì
Legacy metadata enabled Nome categoria nell'API: LEGACY_METADATA_ENABLED	Descrizione dei risultati: I metadati legacy sono abilitati su GKE cluster. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GKE 1.0: 6.4.1	Controlla la proprietà config di un pool di nodi per la coppia chiave-valore, "disable-legacy-endpoints": "false". Scansioni in tempo reale: sì
Master authorized networks disabled Nome categoria nell'API: MASTER_AUTHORIZED_NETWORKS_DISABLED	Descrizione del problema: le reti autorizzate del control plane non sono attivate sui cluster GKE. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.4 CIS GKE 1.0: 6.6.3 PCI-DSS v3.2.1: 1.2.1, 1.3.2	Controlla il masterAuthorizedNetworksConfig proprietà di un per la coppia chiave-valore "enabled": false. Scansioni in tempo reale: sì
Network policy disabled Nome categoria nell'API: NETWORK_POLICY_DISABLED	Descrizione dei risultati: Il criterio di rete è disabilitato su GKE cluster. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.11 NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.3 ISO-27001 v2013: A.13.1.1	Controlla il campo networkPolicy di la proprietà addonsConfig per coppia chiave-valore "disabled": true. Scansioni in tempo reale: sì
Nodepool boot CMEK disabled Nome della categoria nell'API: NODEPOOL_BOOT_CMEK_DISABLED	Descrizione del problema: i dischi di avvio in questo pool di nodi non sono criptati con chiavi di crittografia gestite dal cliente (CMEK). Per attivare questo rilevatore è necessaria un'ulteriore configurazione. Per le istruzioni, vedi Attivare e disattivare i rilevatori. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata ad alcun controllo degli standard di conformità.	Controlla la proprietà bootDiskKmsKey del nodo per il nome risorsa della tua CMEK. Scansioni in tempo reale: sì
Nodepool secure boot disabled Nome della categoria nell'API: NODEPOOL_SECURE_BOOT_DISABLED	Descrizione dei risultati: Avvio protetto disabilitato per un cluster GKE. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GKE 1.0: 6.5.7	Controlla la proprietà shieldedInstanceConfig dell'elemento nodeConfig per la coppia chiave-valore "enableSecureBoot": true. Scansioni in tempo reale: sì
Over privileged account Nome della categoria nell'API: OVER_PRIVILEGED_ACCOUNT	Descrizione del problema: Un account di servizio ha accesso a un progetto eccessivamente ampio in un cluster. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.17 NIST 800-53 R4: AC-6, SC-7 CIS GKE 1.0: 6.2.1 PCI-DSS v3.2.1: 2.1, 7.1.2 ISO-27001 v2013: A.9.2.3	Valuta la proprietà config di un pool di nodi per verificare se non è specificato alcun account di servizio o se viene utilizzato l'account di servizio predefinito. Scansioni in tempo reale: sì
Over privileged scopes Nome categoria nell'API: OVER_PRIVILEGED_SCOPES	Descrizione dei risultati: Un account di servizio del nodo ha ambiti di accesso ampio. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.18 CIS GKE 1.0: 6.2.1	Controlla se l'ambito di accesso elencato nel La proprietà config.oauthScopes di un pool di nodi è per un ambito limitato di accesso all'account di servizio: https://www.googleapis.com/auth/devstorage.read_only, https://www.googleapis.com/auth/logging.write, o https://www.googleapis.com/auth/monitoring. Scansioni in tempo reale: sì
Pod security policy disabled Nome della categoria nell'API: POD_SECURITY_POLICY_DISABLED	Descrizione dei risultati: PodSecurityPolicy è disattivato su un cluster GKE. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.14 CIS GKE 1.0: 6.10.3	Controlla la proprietà podSecurityPolicyConfig di un cluster per la coppia chiave-valore "enabled": false. Autorizzazioni IAM aggiuntive: roles/container.clusterViewer Input aggiuntivi: legge le informazioni del cluster da GKE, poiché i criteri di sicurezza dei pod sono una funzionalità beta. Kubernetes ha ufficialmente deprecato PodSecurityPolicy versione 1.21. La versione 1.25 di PodSecurityPolicy verrà disattivata. Per informazioni su fai riferimento alle Ritiro di PodSecurityPolicy. Scansioni in tempo reale: no
Private cluster disabled Nome della categoria nell'API: PRIVATE_CLUSTER_DISABLED	Descrizione del problema: In un cluster GKE è stato disabilitato un cluster privato. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.15 CIS GKE 1.0: 6.6.5 PCI-DSS v3.2.1: 1.3.2	Controlla se enablePrivateNodes della proprietà privateClusterConfig è impostato su false. Scansioni in tempo reale: sì
Release channel disabled Nome della categoria nell'API: RELEASE_CHANNEL_DISABLED	Descrizione dei risultati: Un cluster GKE non è iscritto a un canale di rilascio. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GKE 1.0: 6.5.4	Controlla la proprietà releaseChannel per la coppia chiave-valore "channel": UNSPECIFIED. Scansioni in tempo reale: sì
Web UI enabled Nome della categoria nell'API: WEB_UI_ENABLED	Descrizione dei risultati: L'interfaccia utente web di GKE (dashboard) è abilitata. Livello di prezzo: Premium o standard Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 7.6 CIS GKE 1.0: 6.10.1 PCI-DSS v3.2.1: 6.6	Controlla kubernetesDashboard della proprietà addonsConfig per la coppia chiave-valore "disabled": false. Scansioni in tempo reale: sì
Workload Identity disabled Nome della categoria nell'API: WORKLOAD_IDENTITY_DISABLED	Descrizione del problema: Workload Identity è disabilitato in un cluster GKE. Livello di prezzo: Premium Asset supportati container.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GKE 1.0: 6.2.2	Controlla se workloadIdentityConfig di un cluster. Il rilevatore controlla anche se la proprietà workloadMetadataConfig di un pool di nodi è impostato su GKE_METADATA. Autorizzazioni IAM aggiuntive: roles/container.clusterViewer Scansioni in tempo reale: sì

Risultati di vulnerabilità Dataproc

Le vulnerabilità di questo tipo di rilevatore riguardano tutte Dataproc e appartengono al tipo di rilevatore DATAPROC_SCANNER.

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
Dataproc CMEK disabled Nome categoria nell'API: DATAPROC_CMEK_DISABLED	Descrizione del problema: è stato creato un cluster Dataproc senza una configurazione di crittografia con chiave CMEK. Con CMEK, le chiavi che crei e gestisci in Cloud Key Management Service contengono le chiavi utilizzate da Google Cloud per criptare i tuoi dati, offrendoti un maggiore controllo sull'accesso ai tuoi dati. Per attivare questo rilevatore è necessaria una configurazione aggiuntiva. Per le istruzioni, vedi Attivare e disattivare i rilevatori. Livello di prezzo: Premium Asset supportati dataproc.googleapis.com/Cluster Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.3: 1.17 CIS GCP Foundation 2.0: 1.17 NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS Controls 8.0: 3.11	Controlla se il campo kmsKeyName nella La proprietà encryptionConfiguration è vuota. Scansioni in tempo reale: sì
Dataproc image outdated Nome della categoria nell'API: DATAPROC_IMAGE_OUTDATED	Descrizione dei risultati: È stato creato un cluster Dataproc con una versione immagine Dataproc che è colpito da vulnerabilità di sicurezza nell'utilità Apache Log4j 2 (CVE-2021-44228 e CVE-2021-45046). Livello di prezzo: Premium o Standard Asset supportati dataproc.googleapis.com/Cluster Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata ad alcun controllo degli standard di conformità.	Controlla se il campo softwareConfig.imageVersion nella proprietà config di un Cluster è precedente alla 1.3.95 o se è una versione dell'immagine subminor precedente alla 1.4.77, 1.5.53 o 2.0.27. Scansioni in tempo reale: sì

Risultati delle vulnerabilità del set di dati

Le vulnerabilità di questo tipo di rilevatore si riferiscono tutte alle configurazioni dei set di dati BigQuery e appartengono al tipo di rilevatore DATASET_SCANNER.

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
BigQuery table CMEK disabled Nome categoria nell'API: BIGQUERY_TABLE_CMEK_DISABLED	Descrizione del problema: una tabella BigQuery non è configurata per utilizzare una chiave di crittografia gestita dal cliente (CMEK). Questo rilevatore richiede una configurazione aggiuntiva da attivare. Per le istruzioni, vedi Attivare e disattivare i rilevatori. Livello di prezzo: Premium Asset supportati bigquery.googleapis.com/Table Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 7.2 CIS GCP Foundation 1.3: 7.2 CIS GCP Foundation 2.0: 7.2 NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS Controls 8.0: 3.11	Controlla se il campo kmsKeyName nella La proprietà encryptionConfiguration è vuota. Scansioni in tempo reale: sì
Dataset CMEK disabled Nome categoria nell'API: DATASET_CMEK_DISABLED	Descrizione dei risultati: Un set di dati BigQuery non è configurato per utilizzare un valore predefinito tramite CMEK. Questo rilevatore richiede una configurazione aggiuntiva da attivare. Per istruzioni, vedi Attivare e disattivare i rilevatori. Livello di prezzo: Premium Asset supportati bigquery.googleapis.com/Dataset Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 7.3 CIS GCP Foundation 1.3: 7.3 CIS GCP Foundation 2.0: 7.3 NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS Controls 8.0: 3.11	Controlla se il campo kmsKeyName nella proprietà defaultEncryptionConfiguration è vuoto. Scansioni in tempo reale: no
Public dataset Nome della categoria nell'API: PUBLIC_DATASET	Descrizione del problema: Un set di dati è configurato per essere aperto all'accesso pubblico. Livello di prezzo: Premium o Standard Asset supportati bigquery.googleapis.com/Dataset Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 7.1 CIS GCP Foundation 1.2: 7.1 CIS GCP Foundation 1.3: 7.1 CIS GCP Foundation 2.0: 7.1 NIST 800-53 R4: AC-2 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 7.1 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.14.1.3, A.8.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Controlla il criterio di autorizzazione IAM nei metadati della risorsa per le entità allUsers o allAuthenticatedUsers, che concedono l'accesso pubblico. Scansioni in tempo reale: sì

Risultati delle vulnerabilità DNS

Le vulnerabilità di questo tipo di rilevatore riguardano tutte le configurazioni di Cloud DNS e appartengono al tipo di rilevatore DNS_SCANNER.

Rilevatore	Riepilogo	Impostazioni di analisi degli asset
DNSSEC disabled Nome categoria nell'API: DNSSEC_DISABLED	Descrizione dei risultati: DNSSEC è disabilitato per le zone Cloud DNS. Livello di prezzo: Premium Asset supportati dns.googleapis.com/ManagedZone Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 3.3 CIS GCP Foundation 1.1: 3.3 CIS GCP Foundation 1.2: 3.3 CIS GCP Foundation 1.3: 3.3 CIS GCP Foundation 2.0: 3.3 NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2013: A.8.2.3 ISO-27001 v2022: A.8.9 Cloud Controls Matrix 4: IVS-04 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC5.2.2 CIS Controls 8.0: 4.2	Controlla se il campo state dell'attributo La proprietà dnssecConfig è impostata su off. Asset esclusi dalle analisi: zone Cloud DNS che non sono pubblici Scansioni in tempo reale: sì
RSASHA1 for signing Nome della categoria nell'API: RSASHA1_FOR_SIGNING	Descrizione del problema: RSASHA1 viene utilizzato per la firma delle chiavi nelle zone Cloud DNS. Livello di prezzo: Premium Asset supportati dns.googleapis.com/ManagedZone Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 3.4, 3.5 CIS GCP Foundation 1.1: 3.4, 3.5 CIS GCP Foundation 1.2: 3.4, 3.5 CIS GCP Foundation 1.3: 3.4, 3.5 CIS GCP Foundation 2.0: 3.4, 3.5 NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2022: A.8.9 Cloud Controls Matrix 4: IVS-04 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC5.2.2 CIS Controls 8.0: 4.2	Controlla se l'oggetto defaultKeySpecs.algorithm della proprietà dnssecConfig è impostato su rsasha1. Scansioni in tempo reale: sì

Risultati delle vulnerabilità del firewall

Le vulnerabilità di questo tipo di rilevatore sono tutte correlate alle configurazioni firewall. appartengono al tipo di rilevatore FIREWALL_SCANNER.

Rilevatore	Riepilogo	Impostazioni di analisi degli asset
Egress deny rule not set Nome della categoria nell'API: EGRESS_DENY_RULE_NOT_SET	Descrizione dei risultati: Su un firewall non è impostata una regola di negazione per il traffico in uscita. Le regole di negazione per il traffico in uscita devono essere impostate per bloccare il traffico in uscita indesiderato. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: PCI-DSS v3.2.1: 7.2	Controlla se la proprietà destinationRanges nel firewall è impostata su 0.0.0.0/0 e la proprietà denied contiene la coppia chiave-valore, "IPProtocol": "all". Input aggiuntivi: legge i firewall in uscita per un progetto dallo spazio di archiviazione Scansioni in tempo reale: sì, ma solo in caso di modifiche al progetto, non modifiche alle regole firewall
Firewall rule logging disabled Nome categoria nell'API: FIREWALL_RULE_LOGGING_DISABLED	Descrizione del problema: Il logging delle regole firewall è disattivato. Il logging delle regole firewall deve essere abilitato per consentire l'audit dell'accesso alla rete. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SI-4 PCI-DSS v3.2.1: 10.1, 10.2 ISO-27001 v2013: A.13.1.1	Controlla la proprietà logConfig nel firewall o metadati per controllare se sono vuoti o contengono la coppia chiave-valore. coppia "enable": false. Asset esclusi dalle analisi: GKE istanze, firewall di regole create da GKE, Accesso VPC serverless Scansioni in tempo reale: sì
Open Cassandra port Nome categoria nell'API: OPEN_CASSANDRA_PORT	Descrizione dei risultati: Un firewall è configurato in modo da avere una porta Cassandra aperta che consente l'accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed nei metadati del firewall per i seguenti protocolli e porte: TCP:7000-7001, 7199, 8888, 9042, 9160, 61620-61621. Scansioni in tempo reale: sì
Open ciscosecure websm port Nome categoria nell'API: OPEN_CISCOSECURE_WEBSM_PORT	Descrizione dei risultati: Un firewall è configurato in modo da avere una Porta CISCOSECURE_WEBSM che consente l'accesso generico. Livello di prezzo: Premium o standard Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed nei metadati del firewall per il seguente protocollo e porta: TCP:9090. Scansioni in tempo reale: sì
Open directory services port Nome della categoria nell'API: OPEN_DIRECTORY_SERVICES_PORT	Descrizione dei risultati: Un firewall è configurato in modo da avere una Porta DIRECTORY_Services che consente l'accesso generico. Livello di prezzo: Premium o standard Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed in metadati firewall per i seguenti protocolli porte: TCP:445 e UDP:445. Scansioni in tempo reale: sì
Open DNS port Nome della categoria nell'API: OPEN_DNS_PORT	Descrizione dei risultati: Un firewall è configurato in modo da avere una porta DNS aperta consente l'accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed nei metadati del firewall per i seguenti protocolli e porte: TCP:53 e UDP:53. Scansioni in tempo reale: sì
Open elasticsearch port Nome categoria nell'API: OPEN_ELASTICSEARCH_PORT	Descrizione del problema: Un firewall è configurato per avere una porta ELASTICSEARCH aperta che consente l'accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed in metadati firewall per i seguenti protocolli porte: TCP:9200, 9300. Scansioni in tempo reale: sì
Open firewall Nome categoria nell'API: OPEN_FIREWALL	Descrizione del problema: Un firewall è configurato per essere aperto all'accesso pubblico. Livello di prezzo: Premium o standard Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: PCI-DSS v3.2.1: 1.2.1	Controlla le proprietà sourceRanges e allowed per una delle due configurazioni: La proprietà sourceRanges contiene 0.0.0.0/0 e la proprietà allowed contiene una combinazione di regole che include qualsiasi protocol o protocol:port, ad eccezione di quanto segue: icmp tcp:22 tcp:443. tcp:3389 udp:3389 sctp:22 La proprietà sourceRanges contiene una combinazione di intervalli IP che include qualsiasi indirizzo IP non privato e la proprietà allowed contiene un combinazione di regole che consentono tutte le porte TCP o tutte le porte UDp. Asset esclusi dalle scansioni: regole firewall create da GKE, intervalli IP privati riservati del bilanciatore del carico Google Cloud Scansioni in tempo reale: sì
Open FTP port Nome della categoria nell'API: OPEN_FTP_PORT	Descrizione dei risultati: Un firewall è configurato in modo da avere una porta FTP aperta consente l'accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed in i metadati firewall per il protocollo Porta: TCP:21. Scansioni in tempo reale: sì
Open HTTP port Nome della categoria nell'API: OPEN_HTTP_PORT	Descrizione dei risultati: Un firewall è configurato in modo da avere una porta HTTP aperta consente l'accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed in metadati firewall per i seguenti protocolli porte: TCP:80. Scansioni in tempo reale: sì
Open LDAP port Nome categoria nell'API: OPEN_LDAP_PORT	Descrizione del problema: un firewall è configurato per avere una porta LDAP aperta che consente l'accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed nei metadati del firewall per i seguenti protocolli e porte: TCP:389, 636 e UDP:389. Scansioni in tempo reale: sì
Open Memcached port Nome categoria nell'API: OPEN_MEMCACHED_PORT	Descrizione del problema: un firewall è configurato per avere una porta MEMCACHED aperta che consente l'accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed nei metadati del firewall per i seguenti protocolli e porte: TCP:11211, 11214-11215 e UDP:11211, 11214-11215. Scansioni in tempo reale: sì
Open MongoDB port Nome della categoria nell'API: OPEN_MONGODB_PORT	Descrizione del problema: Un firewall è configurato per avere una porta MONGODB aperta che consente l'accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed nei metadati del firewall per i seguenti protocolli e porte: TCP:27017-27019. Scansioni in tempo reale: sì
Open MySQL port Nome categoria nell'API: OPEN_MYSQL_PORT	Descrizione del problema: un firewall è configurato per avere una porta MYSQL aperta che consente l'accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed in i metadati firewall per il protocollo Porta: TCP:3306. Scansioni in tempo reale: sì
Open NetBIOS port Nome della categoria nell'API: OPEN_NETBIOS_PORT	Descrizione dei risultati: Un firewall è configurato in modo da avere una porta NETBIOS aperta che consente l'accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed nei metadati del firewall per i seguenti protocolli e porte: TCP:137-139 e UDP:137-139. Scansioni in tempo reale: sì
Open OracleDB port Nome della categoria nell'API: OPEN_ORACLEDB_PORT	Descrizione dei risultati: Un firewall è configurato in modo da avere una porta ORACLEDB aperta che consente l'accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed in metadati firewall per i seguenti protocolli porte: TCP:1521, 2483-2484 e UDP:2483-2484. Scansioni in tempo reale: sì
Open pop3 port Nome categoria nell'API: OPEN_POP3_PORT	Descrizione dei risultati: Un firewall è configurato in modo da avere una porta POP3 aperta che consente l'accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed nei metadati del firewall per il seguente protocollo e porta: TCP:110. Scansioni in tempo reale: sì
Open PostgreSQL port Nome della categoria nell'API: OPEN_POSTGRESQL_PORT	Descrizione dei risultati: Un firewall è configurato in modo da avere una porta PostgreSQL aperta che consente l'accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla la proprietà allowed in metadati firewall per i seguenti protocolli porte: TCP:5432 e UDP:5432. Scansioni in tempo reale: sì
Open RDP port Nome della categoria nell'API: OPEN_RDP_PORT	Descrizione dei risultati: Un firewall è configurato in modo da avere una porta RDP aperta consente l'accesso generico. Livello di prezzo: Premium o Standard Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 3.7 CIS GCP Foundation 1.1: 3.7 CIS GCP Foundation 1.2: 3.7 CIS GCP Foundation 1.3: 3.7 CIS GCP Foundation 2.0: 3.7 NIST 800-53 R4: SC-7 NIST 800-53 R5: CA-9, SC-7 PCI-DSS v3.2.1: 1.2.1 PCI-DSS v4.0: 1.2.1, 1.4.1 ISO-27001 v2013: A.13.1.1 SOC2 v2017: CC6.6.1, CC6.6.4 CIS Controls 8.0: 4.4, 4.5	Controlla la proprietà allowed in metadati firewall per i seguenti protocolli porte: TCP:3389 e UDP:3389. Scansioni in tempo reale: sì
Open Redis port Nome della categoria nell'API: OPEN_REDIS_PORT	Descrizione del rilevamento: Un firewall è configurato per avere una porta REDIS aperta che consente l'accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla se la proprietà allowed nei metadati del firewall contiene il seguente protocollo e la seguente porta: TCP:6379. Scansioni in tempo reale: sì
Open SMTP port Nome categoria nell'API: OPEN_SMTP_PORT	Descrizione del problema: Un firewall è configurato per avere una porta SMTP aperta che consente l'accesso generico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla se la proprietà allowed in i metadati firewall contengono il seguente protocollo Porta: TCP:25. Scansioni in tempo reale: sì
Open SSH port Nome categoria nell'API: OPEN_SSH_PORT	Descrizione del rilevamento: un firewall è configurato per avere una porta SSH aperta che consente l'accesso generico. Livello di prezzo: Premium o Standard Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 3.6 CIS GCP Foundation 1.1: 3.6 CIS GCP Foundation 1.2: 3.6 CIS GCP Foundation 1.3: 3.6 CIS GCP Foundation 2.0: 3.6 NIST 800-53 R4: SC-7 NIST 800-53 R5: CA-9, SC-7 PCI-DSS v3.2.1: 1.2.1 PCI-DSS v4.0: 1.2.1, 1.4.1 ISO-27001 v2013: A.13.1.1 SOC2 v2017: CC6.6.1, CC6.6.4 CIS Controls 8.0: 4.4, 4.5	Controlla se la proprietà allowed nei metadati del firewall contiene i seguenti protocolli e porte: TCP:22 e SCTP:22. Scansioni in tempo reale: sì
Open Telnet port Nome categoria nell'API: OPEN_TELNET_PORT	Descrizione del rilevamento: Un firewall è configurato per avere una porta TELNET aperta che consente l'accesso generico. Livello di prezzo: Premium o standard Asset supportati compute.googleapis.com/Firewall Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Controlla se la proprietà allowed nei metadati del firewall contiene il seguente protocollo e la seguente porta: TCP:23. Scansioni in tempo reale: sì

Risultati relativi alle vulnerabilità IAM

Le vulnerabilità di questo tipo di rilevatore sono tutte correlate a Identity and Access Management (IAM) configurazione e appartengono al tipo di rilevatore IAM_SCANNER.

Rilevatore	Riepilogo	Impostazioni di analisi degli asset
Access Transparency disabled Nome della categoria nell'API: ACCESS_TRANSPARENCY_DISABLED	Descrizione del problema: Access Transparency di Google Cloud è disattivato per la tua organizzazione. Access Transparency quando i dipendenti Google Cloud accedono ai progetti dell'organizzazione per fornire assistenza. Attiva Access Transparency per registrare chi accede alle tue informazioni da Google Cloud, quando e perché. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Organization Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.3: 2.14 CIS GCP Foundation 2.0: 2.14	Controlla se nella tua organizzazione è attivata Access Transparency. Scansioni in tempo reale: no
Admin service account Nome della categoria nell'API: ADMIN_SERVICE_ACCOUNT	Descrizione dei risultati: Un account di servizio ha Amministratore, Proprietario o privilegi di editor. Questi ruoli non devono essere assegnati agli account di servizio creati dall'utente. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Folder cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 1.4 CIS GCP Foundation 1.1: 1.5 CIS GCP Foundation 1.2: 1.5 CIS GCP Foundation 1.3: 1.5 CIS GCP Foundation 2.0: 1.5 NIST 800-53 R5: AC-6 ISO-27001 v2022: A.5.15, A.8.2 Cloud Controls Matrix 4: IAM-09 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC6.1.3, CC6.1.4, CC6.1.7, CC6.1.8, CC6.3.1, CC6.3.2, CC6.3.3 CIS Controls 8.0: 5.4	Controlla il criterio di autorizzazione IAM nei metadati delle risorse per tutti gli account di servizio creati dall'utente (indicati dal prefisso iam.gserviceaccount.com), a cui sono assegnati roles/Owner o roles/Editor oppure un ID ruolo contenente admin. Asset esclusi dalle analisi: Container Registry account di servizio (containerregistry.iam.gserviceaccount.com) e l'account di servizio Security Command Center (security-center-api.iam.gserviceaccount.com) Scansioni in tempo reale: sì, a meno che IAM l'aggiornamento di una cartella
Essential Contacts Not Configured Nome categoria nell'API: ESSENTIAL_CONTACTS_NOT_CONFIGURED	Descrizione del problema: La tua organizzazione non ha designato una persona o un gruppo per ricevere notifiche da Google Cloud su eventi importanti come attacchi, vulnerabilità e incidenti relativi ai dati all'interno della tua organizzazione Google Cloud. Ti consigliamo di indicare come Obbligatorio Contatta una o più persone o gruppi della tua organizzazione aziendale. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Organization Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.3: 1.16 CIS GCP Foundation 2.0: 1.16 NIST 800-53 R5: IR-6 ISO-27001 v2022: A.5.20, A.5.24, A.5.5, A.5.6 Cloud Controls Matrix 4: SEF-08 NIST Cybersecurity Framework 1.0: RS-CO-1 SOC2 v2017: CC2.3.1 CIS Controls 8.0: 17.2	Verifica che sia specificato un contatto per le seguenti categorie di contatti essenziali: Legale Sicurezza Sospensione Tecnico Scansioni in tempo reale: no
KMS role separation Nome della categoria nell'API: KMS_ROLE_SEPARATION	Descrizione dei risultati: La separazione dei compiti non è applicata e esiste un utente che abbia uno dei seguenti Cloud Key Management Service (Cloud KMS) ruoli contemporaneamente: Autore crittografia/decrittografia CryptoKey, Encrypter o Decrypter. Questo risultato non è disponibile per le attivazioni a livello di progetto. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Folder cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 1.9 CIS GCP Foundation 1.1: 1.11 CIS GCP Foundation 2.0: 1.11 NIST 800-53 R4: AC-5 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.10.1.2, A.9.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Controlla i criteri di autorizzazione IAM nei metadati delle risorse e recupera le entità assegnate a uno dei seguenti ruoli contemporaneamente: roles/cloudkms.cryptoKeyEncrypterDecrypter, roles/cloudkms.cryptoKeyEncrypter e roles/cloudkms.cryptoKeyDecrypter, roles/cloudkms.signer, roles/cloudkms.signerVerifier, roles/cloudkms.publicKeyViewer, Scansioni in tempo reale: sì
Non org IAM member Nome categoria nell'API: NON_ORG_IAM_MEMBER	Descrizione del rilevamento: esiste un utente che non utilizza le credenziali dell'organizzazione. Per CIS GCP Foundations 1.0, attualmente, solo identità con indirizzi email @gmail.com attivare questo rilevatore. Livello di prezzo: Premium o Standard Asset supportati cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Folder cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 1.1 CIS GCP Foundation 1.1: 1.1 CIS GCP Foundation 1.2: 1.1 CIS GCP Foundation 1.3: 1.1 CIS GCP Foundation 2.0: 1.1 NIST 800-53 R4: AC-3 PCI-DSS v3.2.1: 7.1.2 ISO-27001 v2013: A.9.2.3	Confronta gli indirizzi email @gmail.com nella Campo user nel criterio di autorizzazione IAM metadati a un elenco di identità approvate dell'organizzazione. Scansioni in tempo reale: sì
Open group IAM member Nome della categoria nell'API: OPEN_GROUP_IAM_MEMBER	Descrizione del problema: Un account Google Gruppi a cui è possibile partecipare senza approvazione viene utilizzato come entità dei criteri IAM per consentire. Livello di prezzo: Premium o Standard Asset supportati cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Folder cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata a nessun controllo standard di conformità.	Controlla lo stato IAM policy nella risorsa metadati per eventuali associazioni contenente un membro (entità) con prefisso group. Se è un gruppo aperto, Security Health Analytics genera questo risultato. Input aggiuntivi: letture Google Gruppi per verificare se il gruppo identificato è un gruppo aperto. Scansioni in tempo reale: no
Over privileged service account user Nome della categoria nell'API: OVER_PRIVILEGED_SERVICE_ACCOUNT_USER	Descrizione del problema: un utente dispone del ruolo Utente account di servizio o Creatore token account di servizio a livello di progetto, anziché per un account di servizio specifico. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Folder cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 1.5 CIS GCP Foundation 1.1: 1.6 CIS GCP Foundation 1.2: 1.6 CIS GCP Foundation 1.3: 1.6 CIS GCP Foundation 2.0: 1.6 NIST 800-53 R4: AC-6 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 7.1.2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.9.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Controlla il criterio di autorizzazione IAM nei metadati della risorsa per eventuali entità assegnate roles/iam.serviceAccountUser o roles/iam.serviceAccountTokenCreator a livello di progetto. Asset esclusi dalle scansioni: servizio Cloud Build account Scansioni in tempo reale: sì
Primitive roles used Nome della categoria nell'API: PRIMITIVE_ROLES_USED	Descrizione dei risultati: Un utente ha uno dei seguenti ruoli di base: Proprietario (roles/owner) Editor (roles/editor) Visualizzatore (roles/viewer) Questi ruoli sono troppo permissivi e non dovrebbero essere utilizzati. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Folder cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: NIST 800-53 R4: AC-6 PCI-DSS v3.2.1: 7.1.2 ISO-27001 v2013: A.9.2.3	Controlla il criterio di autorizzazione IAM nei metadati della risorsa per eventuali entità a cui è assegnato un ruolo roles/owner, roles/editor o roles/viewer. Scansioni in tempo reale: sì
Redis role used on org Nome categoria nell'API: REDIS_ROLE_USED_ON_ORG	Descrizione del problema: Un ruolo IAM Redis è assegnato a livello di organizzazione o cartella. Questo risultato non è disponibile per le attivazioni a livello di progetto. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Organization Correggi questo risultato Standard di conformità: PCI-DSS v3.2.1: 7.1.2 ISO-27001 v2013: A.9.2.3	Controlla il criterio di autorizzazione IAM nella risorsa metadati per le entità assegnate roles/redis.admin, roles/redis.editor, roles/redis.viewer presso l'organizzazione o a livello di cartella. Scansioni in tempo reale: sì
Service account role separation Nome della categoria nell'API: SERVICE_ACCOUNT_ROLE_SEPARATION	Descrizione dei risultati: A un utente è stato assegnato il ruolo Amministratore account di servizio e Ruoli Utente account di servizio. Ciò viola il principio di "separazione dei compiti". Questo risultato non è disponibile per le attivazioni a livello di progetto. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Folder cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 1.7 CIS GCP Foundation 1.1: 1.8 CIS GCP Foundation 1.2: 1.8 CIS GCP Foundation 1.3: 1.8 CIS GCP Foundation 2.0: 1.8 NIST 800-53 R4: AC-5 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.9.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Controlla il criterio di autorizzazione IAM nella risorsa metadati per tutte le entità assegnate roles/iam.serviceAccountUser e roles/iam.serviceAccountAdmin. Scansioni in tempo reale: sì
Service account key not rotated Nome della categoria nell'API: SERVICE_ACCOUNT_KEY_NOT_ROTATED	Descrizione del problema: La chiave di un account di servizio non è stata ruotata da più di 90 giorni. Livello di prezzo: Premium Asset supportati iam.googleapis.com/ServiceAccountKey Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 1.6 CIS GCP Foundation 1.1: 1.7 CIS GCP Foundation 1.2: 1.7 CIS GCP Foundation 1.3: 1.7 CIS GCP Foundation 2.0: 1.7	Valuta il timestamp di creazione della chiave acquisito nel campo validAfterTime proprietà negli account di servizio e i metadati della chiave. Asset esclusi dalle scansioni: account di servizio scaduto Chiavi e chiavi non gestite dagli utenti Scansioni in tempo reale: sì
User managed service account key Nome della categoria nell'API: USER_MANAGED_SERVICE_ACCOUNT_KEY	Descrizione del problema: Un utente gestisce una chiave dell'account di servizio. Livello di prezzo: Premium Asset supportati iam.googleapis.com/ServiceAccountKey Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 1.3 CIS GCP Foundation 1.1: 1.4 CIS GCP Foundation 1.2: 1.4 CIS GCP Foundation 1.3: 1.4 CIS GCP Foundation 2.0: 1.4	Controlla se la proprietà keyType in I metadati della chiave dell'account di servizio sono impostati su User_Managed. Scansioni in tempo reale: sì

Risultati delle vulnerabilità KMS

Le vulnerabilità di questo tipo di rilevatore riguardano tutte le configurazioni di Cloud KMS e appartengono al tipo di rilevatore KMS_SCANNER.

Rilevatore	Riepilogo	Impostazioni di analisi degli asset
KMS key not rotated Nome categoria nell'API: KMS_KEY_NOT_ROTATED	Descrizione dei risultati: La rotazione non è configurata su Cloud KMS chiave di crittografia. Le chiavi devono essere ruotate entro un periodo di 90 giorni. Livello di prezzo: Premium Asset supportati cloudkms.googleapis.com/CryptoKey Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 1.8 CIS GCP Foundation 1.1: 1.10 CIS GCP Foundation 1.2: 1.10 CIS GCP Foundation 1.3: 1.10 CIS GCP Foundation 2.0: 1.10 NIST 800-53 R4: SC-12 NIST 800-53 R5: IA-5, SC-28 PCI-DSS v3.2.1: 3.5 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2013: A.10.1.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS Controls 8.0: 3.11	Controlla nei metadati della risorsa l'esistenza di rotationPeriod o nextRotationTime proprietà. Asset esclusi dalle scansioni: chiavi e chiavi asimmetriche con versioni primarie disabilitate o eliminate Scansioni in tempo reale: sì
KMS project has owner Nome categoria nell'API: KMS_PROJECT_HAS_OWNER	Descrizione dei risultati: Un utente dispone delle autorizzazioni di Proprietario su un progetto che ha chiavi di crittografia. Per le attivazioni a livello di progetto del livello Premium di Security Command Center: questo risultato è disponibile solo se il livello Standard è abilitato nella dell'organizzazione principale. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 1.11 CIS GCP Foundation 1.2: 1.11 CIS GCP Foundation 1.3: 1.11 CIS GCP Foundation 2.0: 1.11 NIST 800-53 R4: AC-6, SC-12 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 3.5 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.10.1.2, A.9.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Controlla il criterio di autorizzazione IAM nei metadati del progetto per gli entità assegnate roles/Owner. Input aggiuntivi: legge le chiavi di crittografia per un progetto da archiviazione, archiviazione dei risultati solo per progetti con chiavi di crittografia Scansioni in tempo reale: sì, ma solo in caso di modifiche a Criterio di autorizzazione IAM, non in caso di modifiche alle chiavi KMS
KMS public key Nome della categoria nell'API: KMS_PUBLIC_KEY	Descrizione dei risultati: Una chiave di crittografia Cloud KMS è pubblica accessibili. Livello di prezzo: Premium Asset supportati cloudkms.googleapis.com/CryptoKey cloudkms.googleapis.com/KeyRing Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 1.9 CIS GCP Foundation 1.2: 1.9 CIS GCP Foundation 1.3: 1.9 CIS GCP Foundation 2.0: 1.9 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Controlla il criterio di autorizzazione IAM nei metadati della risorsa per le entità allUsers o allAuthenticatedUsers, che concedono l'accesso pubblico. Scansioni in tempo reale: sì
Too many KMS users Nome della categoria nell'API: TOO_MANY_KMS_USERS	Descrizione del rilevamento: Esistono più di tre utenti delle chiavi di crittografia. Per le attivazioni a livello di progetto del livello Premium di Security Command Center: questo risultato è disponibile solo se il livello Standard è abilitato nella dell'organizzazione principale. Livello di prezzo: Premium Asset supportati cloudkms.googleapis.com/CryptoKey Correggi questo risultato Standard di conformità: PCI-DSS v3.2.1: 3.5.2 ISO-27001 v2013: A.9.2.3	Controlla i criteri di autorizzazione IAM per i portachiavi, i progetti e le organizzazioni e recupera i principali con ruoli che consentono loro di criptare, decriptare o firmare i dati utilizzando le chiavi Cloud KMS: roles/owner, roles/cloudkms.cryptoKeyEncrypterDecrypter, roles/cloudkms.cryptoKeyEncrypter, roles/cloudkms.cryptoKeyDecrypter, roles/cloudkms.signer e roles/cloudkms.signerVerifier. Input aggiuntivi: legge le versioni delle chiavi di crittografia per una chiave di crittografia dall'archiviazione, archiviando i risultati solo per le chiavi con versioni attive. Il rilevatore legge anche i criteri IAM per consentire keyring, progetti e organizzazioni dall'archiviazione Scansioni in tempo reale: sì

Registrazione dei risultati relativi alle vulnerabilità

Le vulnerabilità di questo tipo di rilevatore riguardano tutte le configurazioni di logging e appartengono al tipo di rilevatore LOGGING_SCANNER.

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
Audit logging disabled Nome della categoria nell'API: AUDIT_LOGGING_DISABLED	Descrizione dei risultati: L'audit logging è stato disabilitato per questa risorsa. Questo risultato non è disponibile per le attivazioni a livello di progetto. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Folder cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 2.1 CIS GCP Foundation 1.1: 2.1 CIS GCP Foundation 1.2: 2.1 CIS GCP Foundation 1.3: 2.1 CIS GCP Foundation 2.0: 2.1 NIST 800-53 R4: AC-2, AU-2 NIST 800-53 R5: AU-6, AU-7 PCI-DSS v3.2.1: 10.1, 10.2 PCI-DSS v4.0: 10.4.1, 10.4.1.1, 10.4.2, 10.4.3 ISO-27001 v2013: A.12.4.1, A.16.1.7 ISO-27001 v2022: A.5.25 Cloud Controls Matrix 4: LOG-05 NIST Cybersecurity Framework 1.0: DE-AE-2, PR-PT-1, RS-AN-1 SOC2 v2017: CC4.1.1, CC4.1.2, CC4.1.3, CC4.1.4, CC4.1.5, CC4.1.6, CC4.1.7, CC4.1.8, CC7.3.1, CC7.3.2, CC7.3.3, CC7.3.4, CC7.3.5 HIPAA: 164.308(a)(1)(ii), 164.312(b) CIS Controls 8.0: 8.11, 8.2	Controlla il criterio di autorizzazione IAM nei metadati della risorsa per verificare l'esistenza di un oggetto auditLogConfigs. Scansioni in tempo reale: sì
Bucket logging disabled Nome categoria nell'API: BUCKET_LOGGING_DISABLED	Descrizione dei risultati: Esiste un bucket di archiviazione senza il logging abilitato. Livello di prezzo: Premium Asset supportati storage.googleapis.com/Bucket Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 5.3	Controlla se il campo logBucket nella la proprietà logging del bucket è vuota. Scansioni in tempo reale: sì
Locked retention policy not set Nome categoria nell'API: LOCKED_RETENTION_POLICY_NOT_SET	Descrizione dei risultati: Non è impostato un criterio di conservazione bloccato per i log. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati storage.googleapis.com/Bucket Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 2.3 CIS GCP Foundation 1.2: 2.3 CIS GCP Foundation 1.3: 2.3 CIS GCP Foundation 2.0: 2.3 NIST 800-53 R4: AU-11 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 10.5 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.12.4.2, A.18.1.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Controlla se il campo isLocked nella proprietà retentionPolicy del bucket è impostato su true. Input aggiuntivi: legge il sink dei log (il filtro dei log e la destinazione dei log) per un bucket per determinare se si tratta di un bucket dei log. Scansioni in tempo reale: sì
Log not exported Nome categoria nell'API: LOG_NOT_EXPORTED	Descrizione dei risultati: Una risorsa non dispone di un log appropriato configurato per il sink. Per le attivazioni a livello di progetto del livello Premium di Security Command Center: questo risultato è disponibile solo se il livello Standard è abilitato nella dell'organizzazione principale. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 2.2 CIS GCP Foundation 1.1: 2.2 CIS GCP Foundation 1.2: 2.2 CIS GCP Foundation 1.3: 2.2 CIS GCP Foundation 2.0: 2.2 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2013: A.18.1.3 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.3	Recupera un oggetto logSink in un progetto, controllando che il campo includeChildren sia impostato su true, che il campo destination includa la posizione in cui scrivere i log e che il campo filter sia compilato. Input aggiuntivi: legge il sink dei log (il filtro dei log e la destinazione dei log) per un bucket per determinare se si tratta di un bucket dei log. Scansioni in tempo reale: sì, ma solo in caso di modifiche al progetto, non se l'esportazione dei log è configurata sulla cartella o sull'organizzazione
Object versioning disabled Nome della categoria nell'API: OBJECT_VERSIONING_DISABLED	Descrizione dei risultati: Il controllo delle versioni degli oggetti non è abilitato su un bucket di archiviazione in cui e i sink vengono configurati. Per le attivazioni a livello di progetto del livello Premium di Security Command Center: questo risultato è disponibile solo se il livello Standard è abilitato nella dell'organizzazione principale. Livello di prezzo: Premium Asset supportati storage.googleapis.com/Bucket Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 2.3 NIST 800-53 R4: AU-11 PCI-DSS v3.2.1: 10.5 ISO-27001 v2013: A.12.4.2, A.18.1.3	Controlla se il campo enabled nella la proprietà versioning del bucket è impostata su true. Asset esclusi dalle scansioni: bucket Cloud Storage con un criterio di conservazione bloccato Input aggiuntivi: legge il sink di log (il filtro di log e il log destinazione) di un bucket per determinare se si tratta di bucket di log Scansioni in tempo reale: sì, ma solo se il controllo delle versioni degli oggetti cambia, non se vengono creati bucket di log

Monitoraggio dei risultati relativi alle vulnerabilità

Le vulnerabilità di questo tipo di rilevatore sono tutte correlate alle configurazioni di monitoraggio, e appartengono al tipo MONITORING_SCANNER. Tutti i risultati dei rilevatori di Monitoring le proprietà includono:

• Il RecommendedLogFilter da utilizzare per creare le metriche dei log.
• I QualifiedLogMetricNames che coprono le condizioni elencate nel filtro dei log consigliato.
• AlertPolicyFailureReasonsche indicano se nel progetto non sono stati creati criteri di avviso per nessuna delle metriche dei log idonee o se i criteri di avviso esistenti non hanno le impostazioni consigliate.

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
Audit config not monitored Nome della categoria nell'API: AUDIT_CONFIG_NOT_MONITORED	Descrizione del problema: Le metriche e gli avvisi dei log non sono configurati per monitorare le modifiche alla configurazione di controllo. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 2.5 CIS GCP Foundation 1.1: 2.5 CIS GCP Foundation 1.2: 2.5 CIS GCP Foundation 1.3: 2.5 CIS GCP Foundation 2.0: 2.5 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	Controlla se la proprietà filter dell'elemento la risorsa LogsMetric del progetto è impostata su protoPayload.methodName="SetIamPolicy" AND protoPayload.serviceData.policyDelta.auditConfigDeltas:*, e, se resource.type è specificato, il valore è global. Il rilevatore cerca anche una risorsa alertPolicy corrispondente, controllando che le proprietà conditions e notificationChannels siano configurate correttamente. Autorizzazioni IAM aggiuntive: roles/monitoring.alertPolicyViewer Input aggiuntivi: legge le metriche dei log per il progetto dallo spazio di archiviazione. Legge le informazioni dell'account Google Cloud Observability da Osservabilità di Google Cloud, invio dei risultati solo per progetti con account attivi Scansioni in tempo reale: no
Bucket IAM not monitored Nome categoria nell'API: BUCKET_IAM_NOT_MONITORED	Descrizione del problema: Le metriche dei log e gli avvisi non sono configurati per monitorare le modifiche alle autorizzazioni IAM di Cloud Storage. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 2.10 CIS GCP Foundation 1.1: 2.10 CIS GCP Foundation 1.2: 2.10 CIS GCP Foundation 1.3: 2.10 CIS GCP Foundation 2.0: 2.10 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	Controlla se la proprietà filter della risorsa LogsMetric del progetto è impostata su resource.type=gcs_bucket AND protoPayload.methodName="storage.setIamPermissions". Il rilevatore cerca anche un'istanza alertPolicy risorsa, controllando che sia conditions e Le proprietà notificationChannels sono corrette configurato. Autorizzazioni IAM aggiuntive: roles/monitoring.alertPolicyViewer Input aggiuntivi: legge le metriche dei log per il progetto dallo spazio di archiviazione. Legge le informazioni dell'account Google Cloud Observability da Osservabilità di Google Cloud, invio dei risultati solo per progetti con account attivi Scansioni in tempo reale: no
Custom role not monitored Nome categoria nell'API: CUSTOM_ROLE_NOT_MONITORED	Descrizione dei risultati: Le metriche dei log e gli avvisi non sono configurati per il monitoraggio Modifiche ai ruoli personalizzati. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 2.6 CIS GCP Foundation 1.1: 2.6 CIS GCP Foundation 1.2: 2.6 CIS GCP Foundation 1.3: 2.6 CIS GCP Foundation 2.0: 2.6 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	Controlla se la proprietà filter dell'elemento la risorsa LogsMetric del progetto è impostata su resource.type="iam_role" AND (protoPayload.methodName="google.iam.admin.v1.CreateRole" OR protoPayload.methodName="google.iam.admin.v1.DeleteRole" OR protoPayload.methodName="google.iam.admin.v1.UpdateRole"). Il rilevatore cerca anche una risorsa alertPolicy corrispondente, controllando che le proprietà conditions e notificationChannels siano configurate correttamente. Autorizzazioni IAM aggiuntive: roles/monitoring.alertPolicyViewer Input aggiuntivi: legge le metriche dei log per il progetto dallo spazio di archiviazione. Legge le informazioni dell'account Google Cloud Observability da Osservabilità di Google Cloud, invio dei risultati solo per progetti con account attivi Scansioni in tempo reale: no
Firewall not monitored Nome categoria nell'API: FIREWALL_NOT_MONITORED	Descrizione del problema: Le metriche e gli avvisi dei log non sono configurati per monitorare le modifiche alle regole del firewall di rete Virtual Private Cloud (VPC). Per le attivazioni a livello di progetto del livello Premium di Security Command Center: questo risultato è disponibile solo se il livello Standard è abilitato nella dell'organizzazione principale. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 2.7 CIS GCP Foundation 1.1: 2.7 CIS GCP Foundation 1.2: 2.7 CIS GCP Foundation 1.3: 2.7 CIS GCP Foundation 2.0: 2.7 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	Controlla se la proprietà filter della risorsa LogsMetric del progetto è impostata su resource.type="gce_firewall_rule" AND (protoPayload.methodName:"compute.firewalls.insert" OR protoPayload.methodName:"compute.firewalls.patch" OR protoPayload.methodName:"compute.firewalls.delete"). Il rilevatore cerca anche una risorsa alertPolicy corrispondente, controllando che le proprietà conditions e notificationChannels siano configurate correttamente. Autorizzazioni IAM aggiuntive: roles/monitoring.alertPolicyViewer Input aggiuntivi: legge le metriche dei log per il progetto dallo spazio di archiviazione. Legge le informazioni dell'account Google Cloud Observability da Osservabilità di Google Cloud, invio dei risultati solo per progetti con account attivi Scansioni in tempo reale: no
Network not monitored Nome della categoria nell'API: NETWORK_NOT_MONITORED	Descrizione del problema: Le metriche e gli avvisi dei log non sono configurati per monitorare le modifiche alla rete VPC. Per le attivazioni a livello di progetto del livello Premium di Security Command Center: questo risultato è disponibile solo se il livello Standard è abilitato nella dell'organizzazione principale. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 2.9 CIS GCP Foundation 1.1: 2.9 CIS GCP Foundation 1.2: 2.9 CIS GCP Foundation 1.3: 2.9 CIS GCP Foundation 2.0: 2.9 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	Controlla se la proprietà filter della risorsa LogsMetric del progetto è impostata su resource.type="gce_network" AND (protoPayload.methodName:"compute.networks.insert" OR protoPayload.methodName:"compute.networks.patch" OR protoPayload.methodName:"compute.networks.delete" OR protoPayload.methodName:"compute.networks.removePeering" OR protoPayload.methodName:"compute.networks.addPeering"). Il rilevatore cerca anche una risorsa alertPolicy corrispondente, controllando che le proprietà conditions e notificationChannels siano configurate correttamente. Autorizzazioni IAM aggiuntive: roles/monitoring.alertPolicyViewer Input aggiuntivi: legge le metriche dei log per il progetto dallo spazio di archiviazione. Legge le informazioni dell'account Google Cloud Observability da Osservabilità di Google Cloud, invio dei risultati solo per progetti con account attivi Scansioni in tempo reale: no
Owner not monitored Nome della categoria nell'API: OWNER_NOT_MONITORED	Descrizione del problema: Le metriche e gli avvisi dei log non sono configurati per monitorare le assegnazioni o le modifiche alla proprietà del progetto. Per le attivazioni a livello di progetto del livello Premium di Security Command Center: questo risultato è disponibile solo se il livello Standard è abilitato nella dell'organizzazione principale. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 2.4 CIS GCP Foundation 1.1: 2.4 CIS GCP Foundation 1.2: 2.4 CIS GCP Foundation 1.3: 2.4 CIS GCP Foundation 2.0: 2.4 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2	Controlla se la proprietà filter dell'elemento la risorsa LogsMetric del progetto è impostata su (protoPayload.serviceName="cloudresourcemanager.googleapis.com") AND (ProjectOwnership OR projectOwnerInvitee) OR (protoPayload.serviceData.policyDelta.bindingDeltas.action="REMOVE" AND protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner") OR (protoPayload.serviceData.policyDelta.bindingDeltas.action="ADD" AND protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner"), e, se resource.type è specificato, il valore è global. Il rilevatore cerca anche un'istanza alertPolicy risorsa, controllando che sia conditions e Le proprietà notificationChannels sono corrette configurato. Autorizzazioni IAM aggiuntive: roles/monitoring.alertPolicyViewer Input aggiuntivi: legge le metriche dei log per il progetto dallo spazio di archiviazione. Legge le informazioni dell'account Google Cloud Observability da Osservabilità di Google Cloud, invio dei risultati solo per progetti con account attivi Scansioni in tempo reale: no
Route not monitored Nome della categoria nell'API: ROUTE_NOT_MONITORED	Descrizione dei risultati: Le metriche dei log e gli avvisi non sono configurati per il monitoraggio Modifiche alla route di rete VPC. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 2.8 CIS GCP Foundation 1.1: 2.8 CIS GCP Foundation 1.2: 2.8 CIS GCP Foundation 1.3: 2.8 CIS GCP Foundation 2.0: 2.8 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	Controlla se la proprietà filter dell'elemento la risorsa LogsMetric del progetto è impostata su resource.type="gce_route" AND (protoPayload.methodName:"compute.routes.delete" OR protoPayload.methodName:"compute.routes.insert"). Il rilevatore cerca anche una risorsa alertPolicy corrispondente, controllando che le proprietà conditions e notificationChannels siano configurate correttamente. Autorizzazioni IAM aggiuntive: roles/monitoring.alertPolicyViewer Input aggiuntivi: legge le metriche dei log per il progetto dallo spazio di archiviazione. Legge le informazioni dell'account Google Cloud Observability da Osservabilità di Google Cloud, invio dei risultati solo per progetti con account attivi Scansioni in tempo reale: no
SQL instance not monitored SQL_INSTANCE_NOT_MONITORED	Descrizione dei risultati: Le metriche dei log e gli avvisi non sono configurati per il monitoraggio modifiche alla configurazione dell'istanza Cloud SQL. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati cloudresourcemanager.googleapis.com/Project Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 2.8 CIS GCP Foundation 1.1: 2.8 CIS GCP Foundation 1.2: 2.8 CIS GCP Foundation 1.3: 2.8 CIS GCP Foundation 2.0: 2.8 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	Controlla se la proprietà filter dell'elemento la risorsa LogsMetric del progetto è impostata su protoPayload.methodName="cloudsql.instances.update" OR protoPayload.methodName="cloudsql.instances.create" OR protoPayload.methodName="cloudsql.instances.delete", e, se resource.type è specificato, il valore è global. Il rilevatore cerca anche un'istanza alertPolicy risorsa, controllando che sia conditions e Le proprietà notificationChannels sono corrette configurato. Autorizzazioni IAM aggiuntive: roles/monitoring.alertPolicyViewer Input aggiuntivi: legge le metriche dei log per il progetto dallo spazio di archiviazione. Legge le informazioni dell'account Google Cloud Observability da Osservabilità di Google Cloud, invio dei risultati solo per progetti con account attivi Scansioni in tempo reale: no

Risultati dell'autenticazione a più fattori

Il rilevatore MFA_SCANNER identifica le vulnerabilità relative all'autenticazione a più fattori per gli utenti.

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
MFA not enforced Nome categoria nell'API: MFA_NOT_ENFORCED	Alcuni utenti non utilizzano la verifica in due passaggi. Google Workspace ti consente di specificare un periodo di tolleranza per la registrazione per i nuovi utenti durante il quale deve registrarsi alla verifica in due passaggi. Questo rilevatore genera risultati per gli utenti durante il periodo di tolleranza della registrazione. Questo risultato non è disponibile per le attivazioni a livello di progetto. Livello di prezzo: Premium o Standard Asset supportati cloudresourcemanager.googleapis.com/Organization Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 1.2 CIS GCP Foundation 1.1: 1.2 CIS GCP Foundation 1.2: 1.2 CIS GCP Foundation 1.3: 1.2 CIS GCP Foundation 2.0: 1.2 NIST 800-53 R4: IA-2 PCI-DSS v3.2.1: 8.3 ISO-27001 v2013: A.9.4.2 ISO-27001 v2022: A.8.5	Valuta i criteri di gestione delle identità nelle organizzazioni e le impostazioni utente per gli account gestiti in Cloud Identity. Asset esclusi dalle analisi: unità organizzative a cui sono state concesse eccezioni alle norme Input aggiuntivi: legge i dati da Google Workspace Scansioni in tempo reale: no

Risultati relativi alle vulnerabilità di rete

Le vulnerabilità di questo tipo di rilevatore sono tutte correlate alla rete di un'organizzazione configurazioni e appartengono al tipoNETWORK_SCANNER.

Rilevatore	Riepilogo	Impostazioni di analisi degli asset
Default network Nome della categoria nell'API: DEFAULT_NETWORK	Descrizione dei risultati: La rete predefinita esiste in un progetto. Per le attivazioni a livello di progetto del livello Premium di Security Command Center: questo risultato è disponibile solo se il livello Standard è abilitato nella dell'organizzazione principale. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Network Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 3.1 CIS GCP Foundation 1.1: 3.1 CIS GCP Foundation 1.2: 3.1 CIS GCP Foundation 1.3: 3.1 CIS GCP Foundation 2.0: 3.1 NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2022: A.8.9 Cloud Controls Matrix 4: IVS-04 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC5.2.2 CIS Controls 8.0: 4.2	Controlla se la proprietà name in I metadati di rete sono impostati su default Asset esclusi dalle scansioni: progetti in cui l'API Compute Engine è disabilitata e le risorse Compute Engine sono in stato bloccato Scansioni in tempo reale: sì
DNS logging disabled Nome categoria nell'API: DNS_LOGGING_DISABLED	Descrizione dei risultati: Il logging DNS su una rete VPC non è abilitato. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Network dns.googleapis.com/Policy Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 2.12 CIS GCP Foundation 1.3: 2.12 CIS GCP Foundation 2.0: 2.12 NIST 800-53 R5: AU-6, AU-7 PCI-DSS v4.0: 10.4.1, 10.4.1.1, 10.4.2, 10.4.3 ISO-27001 v2022: A.5.25 Cloud Controls Matrix 4: LOG-05 NIST Cybersecurity Framework 1.0: DE-AE-2, PR-PT-1, RS-AN-1 SOC2 v2017: CC4.1.1, CC4.1.2, CC4.1.3, CC4.1.4, CC4.1.5, CC4.1.6, CC4.1.7, CC4.1.8, CC7.3.1, CC7.3.2, CC7.3.3, CC7.3.4, CC7.3.5 HIPAA: 164.308(a)(1)(ii), 164.312(b) CIS Controls 8.0: 8.11, 8.2, 8.6	Controlla tutti i policies associati a una rete VPC tramite il campo networks[].networkUrl e cerca almeno un criterio in cui enableLogging è impostato su true. Asset esclusi dalle analisi: progetti in cui Compute Engine l'API è disabilitata e le risorse Compute Engine si trovano in un stato bloccato Scansioni in tempo reale: sì
Legacy network Nome categoria nell'API: LEGACY_NETWORK	Descrizione dei risultati: In un progetto è presente una rete legacy. Per le attivazioni a livello di progetto del livello Premium di Security Command Center: questo risultato è disponibile solo se il livello Standard è abilitato nella dell'organizzazione principale. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Network Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 3.2 CIS GCP Foundation 1.1: 3.2 CIS GCP Foundation 1.2: 3.2 CIS GCP Foundation 1.3: 3.2 CIS GCP Foundation 2.0: 3.2 NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2022: A.8.9 Cloud Controls Matrix 4: IVS-04 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC5.2.2 CIS Controls 8.0: 4.2	Controlla nei metadati di rete l'esistenza dei IPv4Range proprietà. Asset esclusi dalle analisi: progetti in cui Compute Engine l'API è disabilitata e le risorse Compute Engine si trovano in un stato bloccato Scansioni in tempo reale: sì
Load balancer logging disabled Nome categoria nell'API: LOAD_BALANCER_LOGGING_DISABLED	Descrizione dei risultati: Il logging è disabilitato per il bilanciatore del carico. Livello di prezzo: Premium Asset supportati compute.googleapis.com/BackendServices Correggi questo risultato Standard di conformità: CIS GCP Foundation 2.0: 2.16 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2	Controlla se la proprietà enableLogging del servizio di backend sul bilanciatore del carico è impostata su true. Scansioni in tempo reale: sì

Risultati relativi alle vulnerabilità dei criteri dell'organizzazione

Le vulnerabilità di questo tipo di rilevamento sono tutte correlate alle configurazioni dei vincoli dei criteri dell'organizzazione e appartengono al tipo ORG_POLICY.

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
Org policy Confidential VM policy Nome categoria nell'API: ORG_POLICY_CONFIDENTIAL_VM_POLICY	Descrizione dei risultati: Una risorsa Compute Engine non è conforme a il constraints/compute.restrictNonConfidentialComputing criterio dell'organizzazione. Per ulteriori informazioni su questo vincolo dei criteri dell'organizzazione, consulta Applicare i vincoli dei criteri dell'organizzazione nelle VM riservate. Per le attivazioni a livello di progetto del livello Premium di Security Command Center: questo risultato è disponibile solo se il livello Standard è abilitato nella dell'organizzazione principale. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Instance Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata a nessun controllo standard di conformità.	Controlla se la proprietà enableConfidentialCompute di un'istanza Compute Engine è impostata su true. Asset esclusi dalle analisi: istanze GKE Autorizzazioni IAM aggiuntive: permissions/orgpolicy.policy.get Input aggiuntivi: legge i criteri dell'organizzazione effettivi dal servizio per i criteri dell'organizzazione Scansioni in tempo reale: no
Org policy location restriction Nome della categoria nell'API: ORG_POLICY_LOCATION_RESTRICTION	Descrizione del problema: una risorsa Compute Engine non è conforme al vincolo constraints/gcp.resourceLocations. Per ulteriori informazioni su questo criterio dell'organizzazione vedi Applicazione vincoli dei criteri dell'organizzazione. Per le attivazioni a livello di progetto del livello Premium di Security Command Center: questo risultato è disponibile solo se il livello Standard è abilitato nella dell'organizzazione principale. Livello di prezzo: Premium Asset supportati Nella riga seguente, vedi Asset supportati per ORG_POLICY_LOCATION_RESTRICTION Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata a nessun controllo standard di conformità.	Controlla la proprietà listPolicy in delle risorse supportate per un elenco di località negate. Autorizzazioni IAM aggiuntive: permissions/orgpolicy.policy.get Input aggiuntivi: legge i criteri dell'organizzazione effettivi dal servizio per i criteri dell'organizzazione Scansioni in tempo reale: no
Asset supportati per ORG_POLICY_LOCATION_RESTRICTION Compute Engine compute.googleapis.com/Autoscaler compute.googleapis.com/Address compute.googleapis.com/Commitment compute.googleapis.com/Disk compute.googleapis.com/ForwardingRule compute.googleapis.com/HealthCheck compute.googleapis.com/Image compute.googleapis.com/Instance compute.googleapis.com/InstanceGroup compute.googleapis.com/InstanceGroupManager compute.googleapis.com/InterconnectAttachment compute.googleapis.com/NetworkEndpointGroup compute.googleapis.com/NodeGroup compute.googleapis.com/NodeTemplate compute.googleapis.com/PacketMirroring compute.googleapis.com/RegionBackendService compute.googleapis.com/RegionDisk compute.googleapis.com/ResourcePolicy compute.googleapis.com/Reservation compute.googleapis.com/Router compute.googleapis.com/Snapshot compute.googleapis.com/SslCertificate compute.googleapis.com/Subnetwork compute.googleapis.com/TargetHttpProxy compute.google.apis.com/TargetHttpsProxy compute.googleapis.com/TargetInstance compute.googleapis.com/TargetPool compute.googleapis.com/TargetVpnGateway compute.googleapis.com/UrlMap compute.googleapis.com/VpnGateway compute.googleapis.com/VpnTunnel GKE container.googleapis.com/Cluster container.googleapis.com/NodePool Cloud Storage storage.googleapis.com/Bucket Cloud KMS cloudkms.googleapis.com/CryptoKey^1 cloudkms.googleapis.com/CryptoKeyVersion^1 cloudkms.googleapis.com/ImportJob^2 cloudkms.googleapis.com/KeyRing^1 Dataproc dataproc.googleapis.com/Cluster BigQuery bigquery.googleapis.com/Dataset Dataflow dataflow.googleapis.com/Job^3 Cloud SQL sqladmin.googleapis.com/Instance Cloud Composer composer.googleapis.com/Environment Logging logging.googleapis.com/LogBucket Pub/Sub pubsub.googleapis.com/Topic Vertex AI aiplatform.googleapis.com/BatchPredictionJob aiplatform.googleapis.com/CustomJob aiplatform.googleapis.com/DataLabelingJob aiplatform.googleapis.com/Dataset aiplatform.googleapis.com/Endpoint aiplatform.googleapis.com/HyperparameterTuningJob aiplatform.googleapis.com/Model aiplatform.googleapis.com/SpecialistPool aiplatform.googleapis.com/TrainingPipeline Artifact Registry artifactregistry.googleapis.com/Repository ^1 Poiché gli asset di Cloud KMS non possono essere eliminati, il valore L'asset non viene considerato fuori regione se i suoi dati sono stati distrutte. ^2 Poiché i job di importazione di Cloud KMS hanno un controllo ciclo di vita e non può essere terminato in anticipo, un ImportJob non viene considerato fuori regione se il job è scaduto e non può più essere utilizzato per l'importazione chiave. ^3 Poiché il ciclo di vita dei job Dataflow non possono essere gestiti, un job non è considerato fuori regione una volta raggiunto uno stato terminale (interrotto o svuotato), che non può più essere utilizzati per elaborare i dati.

Risultati relativi alle vulnerabilità di Pub/Sub

Le vulnerabilità di questo tipo di rilevatore sono tutte correlate a Pub/Sub configurazioni e appartengono al tipo PUBSUB_SCANNER.

Rilevatore	Riepilogo	Impostazioni di analisi degli asset
Pubsub CMEK disabled Nome della categoria nell'API: PUBSUB_CMEK_DISABLED	Descrizione dei risultati: Un argomento Pub/Sub non è criptato con chiavi di crittografia gestite dal cliente (CMEK). Per attivare questo rilevatore è necessaria un'ulteriore configurazione. Per istruzioni, vedi Attivare e disattivare i rilevatori. Livello di prezzo: Premium Asset supportati pubsub.googleapis.com/Topic Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata ad alcun controllo degli standard di conformità.	Controlla il nome della risorsa nel campo kmsKeyName della tua CMEK. Scansioni in tempo reale: sì

Risultati relativi alle vulnerabilità SQL

Le vulnerabilità di questo tipo di rilevatore si riferiscono tutte alle configurazioni di Cloud SQL e appartengono al tipo SQL_SCANNER.

Rilevatore	Riepilogo	Impostazioni di analisi degli asset
AlloyDB auto backup disabled Nome della categoria nell'API: ALLOYDB_AUTO_BACKUP_DISABLED	Descrizione dei risultati: In un cluster AlloyDB per PostgreSQL non sono abilitati i backup automatici. Livello di prezzo: Premium Asset supportati alloydb.googleapis.com/Cluster Correggi questo risultato Standard di conformità: NIST 800-53 R4: CP-9 NIST 800-53 R5: CP-10, CP-9 ISO-27001 v2013: A.12.3.1 ISO-27001 v2022: A.8.13 NIST Cybersecurity Framework 1.0: PR-IP-4 HIPAA: 164.308(a)(7)(ii)	Controlla se la proprietà automated_backup_policy.enabled nei metadati di un cluster AlloyDB per PostgreSQL è impostata su true. Asset esclusi dalle scansioni: cluster secondari di AlloyDB per PostgreSQL Scansioni in tempo reale: sì
AlloyDB backups disabled Nome della categoria nell'API: ALLOYDB_BACKUPS_DISABLED	Descrizione del problema: In un cluster AlloyDB per PostgreSQL non sono abilitati i backup. Livello di prezzo: Premium Asset supportati alloydb.googleapis.com/Cluster Correggi questo risultato Standard di conformità: NIST 800-53 R4: CP-9 NIST 800-53 R5: CP-10, CP-9 ISO-27001 v2013: A.12.3.1 ISO-27001 v2022: A.8.13 NIST Cybersecurity Framework 1.0: PR-IP-4 HIPAA: 164.308(a)(7)(ii)	Controlla se le proprietà automated_backup_policy.enabled o continuous_backup_policy.enabled nei metadati di un cluster AlloyDB per PostgreSQL sono impostate su true. Asset esclusi dalle scansioni: cluster secondari di AlloyDB per PostgreSQL Scansioni in tempo reale: sì
AlloyDB CMEK disabled Nome categoria nell'API: ALLOYDB_CMEK_DISABLED	Descrizione del problema: un cluster AlloyDB non è criptato con chiavi di crittografia gestite dal cliente (CMEK). Livello di prezzo: Premium Asset supportati alloydb.googleapis.com/Cluster Correggi questo risultato Standard di conformità: NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS Controls 8.0: 3.11	Controlla il campo encryption_type nei metadati del cluster per determinare se la CMEK è abilitata. Scansioni in tempo reale: sì
AlloyDB log min error statement severity Nome categoria nell'API: ALLOYDB_LOG_MIN_ERROR_STATEMENT_SEVERITY	Descrizione dei risultati: Il flag di database log_min_error_statement per un cluster AlloyDB per PostgreSQL l'istanza non è impostata su error o su un altro valore consigliato. Livello di prezzo: Premium Asset supportati alloydb.googleapis.com/Instances Correggi questo risultato Standard di conformità: NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3	Per garantire un'adeguata copertura dei tipi di messaggi nei log, emette un risultato se Il campo log_min_error_statement della proprietà databaseFlags è non impostato su uno dei seguenti valori: debug5, debug4, debug3, debug2, debug1, info, notice, warning o il valore predefinito error. Scansioni in tempo reale: sì
AlloyDB log min messages Nome categoria nell'API: ALLOYDB_LOG_MIN_MESSAGES	Descrizione del problema: il flag di database log_min_messages per un'istanza AlloyDB per PostgreSQL non è impostato su warning o su un altro valore consigliato. Livello di prezzo: Premium Asset supportati alloydb.googleapis.com/Instances Correggi questo risultato Standard di conformità: NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3	Per garantire una copertura adeguata dei tipi di messaggio nei log, genera un rilevamento se il campo log_min_messages della proprietà databaseFlags non è impostato su uno dei seguenti valori: debug5, debug4, debug3, debug2, debug1, info, notice o il valore predefinito warning. Scansioni in tempo reale: sì
AlloyDB log error verbosity Nome categoria nell'API: ALLOYDB_LOG_ERROR_VERBOSITY	Descrizione del problema: il flag di database log_error_verbosity per un'istanza AlloyDB per PostgreSQL non è impostato su default o su un altro valore consigliato. Livello di prezzo: Premium Asset supportati alloydb.googleapis.com/Instances Correggi questo risultato Standard di conformità: NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3	Per garantire un'adeguata copertura dei tipi di messaggi nei log, emette un risultato se Il campo log_error_verbosity della proprietà databaseFlags è non impostato su uno dei seguenti valori: verbose o il valore predefinito default. Scansioni in tempo reale: sì
AlloyDB public IP Nome categoria nell'API: ALLOYDB_PUBLIC_IP	Descrizione del problema: Un'istanza di database AlloyDB per PostgreSQL ha un indirizzo IP pubblico. Livello di prezzo: Premium Asset supportati alloydb.googleapis.com/Instances Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-3, AC-5, AC-6, MA-4, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.2, CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3, 4.6	Controlla se il campo instanceNetworkConfig proprietà enablePublicIp è configurato per consentire indirizzi IP pubblici. Scansioni in tempo reale: sì
AlloyDB SSL not enforced Nome della categoria nell'API: ALLOYDB_SSL_NOT_ENFORCED	Descrizione dei risultati: un'istanza di database AlloyDB per PostgreSQL non richiede che tutte le connessioni in entrata utilizzino il protocollo SSL. Livello di prezzo: Premium Asset supportati alloydb.googleapis.com/Instances Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 4.1 ISO-27001 v2013: A.13.2.1, A.14.1.3, A.8.2.3	Controlla se la proprietà sslMode dell'istanza AlloyDB per PostgreSQL è impostato su ENCRYPTED_ONLY. Scansioni in tempo reale: sì
Auto backup disabled Nome della categoria nell'API: AUTO_BACKUP_DISABLED	Descrizione del problema: Per un database Cloud SQL non sono abilitati i backup automatici. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 6.7 CIS GCP Foundation 1.2: 6.7 CIS GCP Foundation 1.3: 6.7 CIS GCP Foundation 2.0: 6.7 NIST 800-53 R4: CP-9 NIST 800-53 R5: CP-10, CP-9 ISO-27001 v2013: A.12.3.1 ISO-27001 v2022: A.8.13 NIST Cybersecurity Framework 1.0: PR-IP-4 HIPAA: 164.308(a)(7)(ii) CIS Controls 8.0: 11.2	Controlla se la proprietà backupConfiguration.enabled di un dato Cloud SQL è impostata su true. Asset esclusi dalle analisi: Cloud SQL repliche Input aggiuntivi: legge i criteri di autorizzazione IAM per gli elementi principali dall'archiviazione degli asset di Security Health Analytics Scansioni in tempo reale: sì
Public SQL instance Nome della categoria nell'API: PUBLIC_SQL_INSTANCE	Descrizione dei risultati: Un'istanza di database Cloud SQL accetta da tutti gli indirizzi IP. Livello di prezzo: Premium o standard Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 6.2 CIS GCP Foundation 1.1: 6.5 CIS GCP Foundation 1.2: 6.5 CIS GCP Foundation 1.3: 6.5 CIS GCP Foundation 2.0: 6.5 NIST 800-53 R4: CA-3, SC-7 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 1.2.1 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.13.1.3, A.14.1.3, A.8.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Controlla se authorizedNetworks delle istanze Cloud SQL è impostata su un singolo un indirizzo IP o un intervallo di indirizzi IP. Scansioni in tempo reale: sì
SSL not enforced Nome categoria nell'API: SSL_NOT_ENFORCED	Descrizione del problema: un'istanza del database Cloud SQL non richiede che tutte le connessioni in entrata utilizzino SSL. Livello di prezzo: Premium o Standard Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 4.1 ISO-27001 v2013: A.13.2.1, A.14.1.3, A.8.2.3	Controlla se la proprietà sslMode di l'istanza Cloud SQL è impostata su una modalità SSL approvata, ENCRYPTED_ONLY o TRUSTED_CLIENT_CERTIFICATE_REQUIRED. Scansioni in tempo reale: sì
SQL CMEK disabled Nome della categoria nell'API: SQL_CMEK_DISABLED	Descrizione del problema: un'istanza del database SQL non è criptata con le chiavi di crittografia gestite dal cliente (CMEK). Per attivare questo rilevatore è necessaria un'ulteriore configurazione. Per istruzioni, vedi Attivare e disattivare i rilevatori. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata ad alcun controllo degli standard di conformità.	Controlla il campo kmsKeyName nell'oggetto diskEncryptionKey, nei metadati dell'istanza, per il nome della risorsa del tuo CMEK. Scansioni in tempo reale: sì
SQL contained database authentication Nome categoria nell'API: SQL_CONTAINED_DATABASE_AUTHENTICATION	Descrizione dei risultati: Il flag di database contained database authentication per un'istanza Cloud SQL per SQL Server non sia impostata su off. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 6.3.2 CIS GCP Foundation 1.2: 6.3.7 CIS GCP Foundation 1.3: 6.3.7 CIS GCP Foundation 2.0: 6.3.7 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Controlla la proprietà databaseFlags dei metadati dell'istanza per coppia chiave-valore "name": "contained database authentication", "value": "on" o se è sono abilitate per impostazione predefinita. Scansioni in tempo reale: sì
SQL cross DB ownership chaining Nome categoria nell'API: SQL_CROSS_DB_OWNERSHIP_CHAINING	Descrizione dei risultati: Il database cross_db_ownership_chaining per un'istanza Cloud SQL per SQL Server non sia impostato su off. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 6.3.1 CIS GCP Foundation 1.2: 6.3.2 CIS GCP Foundation 1.3: 6.3.2 CIS GCP Foundation 2.0: 6.3.2 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore coppia "name": "cross_db_ownership_chaining", "value": "on". Scansioni in tempo reale: sì
SQL external scripts enabled Nome della categoria nell'API: SQL_EXTERNAL_SCRIPTS_ENABLED	Descrizione del problema: il flag di database external scripts enabled per un'istanza Cloud SQL per SQL Server non è impostato su off. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.3.1 CIS GCP Foundation 1.3: 6.3.1 CIS GCP Foundation 2.0: 6.3.1 NIST 800-53 R5: CM-7, SI-7 PCI-DSS v4.0: 1.2.5, 2.2.4, 6.4.3 NIST Cybersecurity Framework 1.0: PR-IP-1, PR-PT-3 SOC2 v2017: CC5.2.1, CC5.2.2, CC5.2.3, CC5.2.4 CIS Controls 8.0: 2.7	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore "name": "external scripts enabled", "value": "off". Scansioni in tempo reale: sì
SQL local infile Nome categoria nell'API: SQL_LOCAL_INFILE	Descrizione dei risultati: Il flag di database local_infile per un servizio Cloud SQL per MySQL non sia impostato su off. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 6.1.2 CIS GCP Foundation 1.2: 6.1.3 CIS GCP Foundation 1.3: 6.1.3 CIS GCP Foundation 2.0: 6.1.3 NIST 800-53 R5: CM-6, CM-7 PCI-DSS v4.0: 2.2.1 ISO-27001 v2022: A.8.8 NIST Cybersecurity Framework 1.0: PR-IP-1 CIS Controls 8.0: 16.7	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore "name": "local_infile", "value": "on". Scansioni in tempo reale: sì
SQL log checkpoints disabled Nome categoria nell'API: SQL_LOG_CHECKPOINTS_DISABLED	Descrizione del problema: Il flag di database log_checkpoints per un'istanza Cloud SQL per PostgreSQL non è impostato su on. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 6.2.1 CIS GCP Foundation 1.2: 6.2.1	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore coppia "name": "log_checkpoints", "value": "on". Scansioni in tempo reale: sì
SQL log connections disabled Nome della categoria nell'API: SQL_LOG_CONNECTIONS_DISABLED	Descrizione dei risultati: Il flag di database log_connections per un L'istanza Cloud SQL per PostgreSQL non è impostata su on. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 6.2.2 CIS GCP Foundation 1.2: 6.2.3 CIS GCP Foundation 1.3: 6.2.2 CIS GCP Foundation 2.0: 6.2.2 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore "name": "log_connections", "value": "on". Scansioni in tempo reale: sì
SQL log disconnections disabled Nome della categoria nell'API: SQL_LOG_DISCONNECTIONS_DISABLED	Descrizione dei risultati: Il flag di database log_disconnections per un L'istanza Cloud SQL per PostgreSQL non è impostata su on. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 6.2.3 CIS GCP Foundation 1.2: 6.2.4 CIS GCP Foundation 1.3: 6.2.3 CIS GCP Foundation 2.0: 6.2.3 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore coppia "name": "log_disconnections", "value": "on". Scansioni in tempo reale: sì
SQL log duration disabled Nome categoria nell'API: SQL_LOG_DURATION_DISABLED	Descrizione del problema: Il flag di database log_duration per un'istanza Cloud SQL per PostgreSQL non è impostato su on. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.2.5	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore coppia "name": "log_duration", "value": "on". Scansioni in tempo reale: sì
SQL log error verbosity Nome categoria nell'API: SQL_LOG_ERROR_VERBOSITY	Descrizione dei risultati: Il flag di database log_error_verbosity per un L'istanza Cloud SQL per PostgreSQL non è impostata su default o verbose. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.2.2 CIS GCP Foundation 1.3: 6.2.1 CIS GCP Foundation 2.0: 6.2.1 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	Controlla se la proprietà databaseFlags dei metadati dell'istanza per il campo log_error_verbosity è impostata su default o verbose. Scansioni in tempo reale: sì
SQL log lock waits disabled Nome categoria nell'API: SQL_LOG_LOCK_WAITS_DISABLED	Descrizione dei risultati: Il flag di database log_lock_waits per un L'istanza Cloud SQL per PostgreSQL non è impostata su on. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 6.2.4 CIS GCP Foundation 1.2: 6.2.6	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore coppia "name": "log_lock_waits", "value": "on". Scansioni in tempo reale: sì
SQL log min duration statement enabled Nome categoria nell'API: SQL_LOG_MIN_DURATION_STATEMENT_ENABLED	Descrizione dei risultati: Il flag di database log_min_duration_statement per un L'istanza Cloud SQL per PostgreSQL non è impostata su "-1". Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 6.2.7 CIS GCP Foundation 1.2: 6.2.16 CIS GCP Foundation 1.3: 6.2.8 CIS GCP Foundation 2.0: 6.2.7 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore coppia "name": "log_min_duration_statement", "value": "-1". Scansioni in tempo reale: sì
SQL log min error statement Nome della categoria nell'API: SQL_LOG_MIN_ERROR_STATEMENT	Descrizione del problema: Il flag di database log_min_error_statement per un'istanza Cloud SQL per PostgreSQL non è impostato correttamente. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 6.2.5	Controlla se il campo log_min_error_statement della proprietà databaseFlags è impostata su uno dei seguenti valori: debug5, debug4, debug3 debug2, debug1, info notice, warning o il valore predefinito valore error. Scansioni in tempo reale: sì
SQL log min error statement severity Nome della categoria nell'API: SQL_LOG_MIN_ERROR_STATEMENT_SEVERITY	Descrizione dei risultati: Il flag di database log_min_error_statement per un L'istanza Cloud SQL per PostgreSQL non ha un livello di gravità appropriato. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.2.14 CIS GCP Foundation 1.3: 6.2.7 CIS GCP Foundation 2.0: 6.2.6 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	Controlla se il campo log_min_error_statement della proprietà databaseFlags è impostato su uno dei seguenti valori: error, log, fatal o panic. Scansioni in tempo reale: sì
SQL log min messages Nome della categoria nell'API: SQL_LOG_MIN_MESSAGES	Descrizione dei risultati: Il flag di database log_min_messages per un Cloud SQL per PostgreSQL l'istanza non è impostata su warning o su un altro valore consigliato. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.2.13 CIS GCP Foundation 1.3: 6.2.6 CIS GCP Foundation 2.0: 6.2.5 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	Per garantire una copertura adeguata dei tipi di messaggio nei log, genera un rilevamento se il campo log_min_messages della proprietà databaseFlags non è impostato su uno dei seguenti valori: debug5, debug4, debug3, debug2, debug1, info, notice o il valore predefinito warning. Scansioni in tempo reale: sì
SQL log executor stats enabled Nome categoria nell'API: SQL_LOG_EXECUTOR_STATS_ENABLED	Descrizione del problema: Il flag di database log_executor_stats per un'istanza Cloud SQL per PostgreSQL non è impostato su off. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.2.11	Controlla se la proprietà databaseFlags dei metadati dell'istanza per il campo log_executor_stats è impostata su on. Scansioni in tempo reale: sì
SQL log hostname enabled Nome della categoria nell'API: SQL_LOG_HOSTNAME_ENABLED	Descrizione del problema: Il flag di database log_hostname per un'istanza Cloud SQL per PostgreSQL non è impostato su off. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.2.8	Controlla se la proprietà databaseFlags dei metadati dell'istanza per la Il campo log_hostname è impostato su on. Scansioni in tempo reale: sì
SQL log parser stats enabled Nome della categoria nell'API: SQL_LOG_PARSER_STATS_ENABLED	Descrizione del problema: Il flag di database log_parser_stats per un'istanza Cloud SQL per PostgreSQL non è impostato su off. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.2.9	Controlla se la proprietà databaseFlags dei metadati dell'istanza per il campo log_parser_stats è impostata su on. Scansioni in tempo reale: sì
SQL log planner stats enabled Nome della categoria nell'API: SQL_LOG_PLANNER_STATS_ENABLED	Descrizione del problema: Il flag di database log_planner_stats per un'istanza Cloud SQL per PostgreSQL non è impostato su off. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.2.10	Controlla se la proprietà databaseFlags dei metadati dell'istanza per il campo log_planner_stats è impostata su on. Scansioni in tempo reale: sì
SQL log statement Nome della categoria nell'API: SQL_LOG_STATEMENT	Descrizione dei risultati: Il flag di database log_statement per un L'istanza Cloud SQL per PostgreSQL non è impostata su ddl (tutte le istruzioni di definizione dei dati). Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.2.7 CIS GCP Foundation 1.3: 6.2.4 CIS GCP Foundation 2.0: 6.2.4 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	Controlla se la proprietà databaseFlags dei metadati dell'istanza per il campo log_statement è impostata su ddl. Scansioni in tempo reale: sì
SQL log statement stats enabled Nome categoria nell'API: SQL_LOG_STATEMENT_STATS_ENABLED	Descrizione dei risultati: Il flag di database log_statement_stats per un L'istanza Cloud SQL per PostgreSQL non è impostata su off. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.2.12	Controlla se la proprietà databaseFlags dei metadati dell'istanza per la Il campo log_statement_stats è impostato su on. Scansioni in tempo reale: sì
SQL log temp files Nome della categoria nell'API: SQL_LOG_TEMP_FILES	Descrizione del problema: Il flag di database log_temp_files per un'istanza Cloud SQL per PostgreSQL non è impostato su "0". Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 6.2.6 CIS GCP Foundation 1.2: 6.2.15	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore coppia "name": "log_temp_files", "value": "0". Scansioni in tempo reale: sì
SQL no root password Nome categoria nell'API: SQL_NO_ROOT_PASSWORD	Descrizione del problema: un database Cloud SQL con un indirizzo IP pubblico non ha una password configurata per l'account root. Questo rilevatore richiede configurazione da attivare. Per istruzioni, vedi Attivare e disattivare i rilevatori. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 6.3 CIS GCP Foundation 1.1: 6.1.1 CIS GCP Foundation 1.2: 6.1.1 CIS GCP Foundation 1.3: 6.1.1 CIS GCP Foundation 2.0: 6.1.1 NIST 800-53 R4: AC-3 PCI-DSS v3.2.1: 2.1 ISO-27001 v2013: A.8.2.3, A.9.4.2 ISO-27001 v2022: A.8.5	Controlla se la proprietà rootPassword dell'account root è vuoto. Autorizzazioni IAM aggiuntive: roles/cloudsql.client Input aggiuntivi: istanze attive di query Scansioni in tempo reale: no
SQL public IP Nome della categoria nell'API: SQL_PUBLIC_IP	Descrizione dei risultati: Un database Cloud SQL ha un IP pubblico . Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.1: 6.6 CIS GCP Foundation 1.2: 6.6 CIS GCP Foundation 1.3: 6.6 CIS GCP Foundation 2.0: 6.2.9, 6.6 NIST 800-53 R5: AC-3, AC-5, AC-6, MA-4, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.2, CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3, 4.6	Controlla se il tipo di indirizzo IP di un database Cloud SQL è impostato su Primary, a indicare che è pubblico. Scansioni in tempo reale: sì
SQL remote access enabled Nome della categoria nell'API: SQL_REMOTE_ACCESS_ENABLED	Descrizione dei risultati: Il flag di database remote access per un'istanza di Cloud SQL per SQL Server non è impostato a off. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.3.5 CIS GCP Foundation 1.3: 6.3.5 CIS GCP Foundation 2.0: 6.3.5 NIST 800-53 R5: CM-6, CM-7 PCI-DSS v4.0: 1.2.5, 2.2.4, 6.4.1 ISO-27001 v2022: A.8.9 SOC2 v2017: CC6.6.1, CC6.6.3, CC6.6.4 CIS Controls 8.0: 4.8	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore coppia "name": "remote access", "value": "off". Scansioni in tempo reale: sì
SQL skip show database disabled Nome categoria nell'API: SQL_SKIP_SHOW_DATABASE_DISABLED	Descrizione del problema: il flag di database skip_show_database per un'istanza Cloud SQL per MySQL non è impostato su on. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.1.2 CIS GCP Foundation 1.3: 6.1.2 CIS GCP Foundation 2.0: 6.1.2 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore "name": "skip_show_database", "value": "on". Scansioni in tempo reale: sì
SQL trace flag 3625 Nome della categoria nell'API: SQL_TRACE_FLAG_3625	Descrizione dei risultati: Il flag di database 3625 (trace flag) per un'istanza di Cloud SQL per SQL Server non è impostato a on. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.3.6 CIS GCP Foundation 2.0: 6.3.6 NIST 800-53 R5: CM-1, CM-2, CM-6, CM-7, CM-9, SA-10, SA-3, SA-8 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2022: A.8.1, A.8.9 Cloud Controls Matrix 4: CCC-01 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC7.1.2, CC7.1.3, CC7.1.4, CC8.1.1, CC8.1.10, CC8.1.11, CC8.1.12, CC8.1.13, CC8.1.14, CC8.1.15, CC8.1.2, CC8.1.3, CC8.1.4, CC8.1.5, CC8.1.6, CC8.1.7, CC8.1.8, CC8.1.9 CIS Controls 8.0: 4.1	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore "name": "3625 (trace flag)", "value": "on". Scansioni in tempo reale: sì
SQL user connections configured Nome categoria nell'API: SQL_USER_CONNECTIONS_CONFIGURED	Descrizione del problema: il flag di database user connections per un'istanza Cloud SQL per SQL Server è configurato. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.3.3 CIS GCP Foundation 1.3: 6.3.3 CIS GCP Foundation 2.0: 6.3.3 NIST 800-53 R5: CM-1, CM-2, CM-6, CM-7, CM-9, SA-10, SA-3, SA-8 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2022: A.8.1, A.8.9 Cloud Controls Matrix 4: CCC-01 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC7.1.2, CC7.1.3, CC7.1.4, CC8.1.1, CC8.1.10, CC8.1.11, CC8.1.12, CC8.1.13, CC8.1.14, CC8.1.15, CC8.1.2, CC8.1.3, CC8.1.4, CC8.1.5, CC8.1.6, CC8.1.7, CC8.1.8, CC8.1.9 CIS Controls 8.0: 4.1	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore "name": "user connections", "value": "0". Scansioni in tempo reale: sì
SQL user options configured Nome categoria nell'API: SQL_USER_OPTIONS_CONFIGURED	Descrizione del problema: il flag di database user options per un'istanza Cloud SQL per SQL Server è configurato. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 6.3.4 CIS GCP Foundation 1.3: 6.3.4 CIS GCP Foundation 2.0: 6.3.4 NIST 800-53 R5: CM-1, CM-2, CM-6, CM-7, CM-9, SA-10, SA-3, SA-8 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2022: A.8.1, A.8.9 Cloud Controls Matrix 4: CCC-01 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC7.1.2, CC7.1.3, CC7.1.4, CC8.1.1, CC8.1.10, CC8.1.11, CC8.1.12, CC8.1.13, CC8.1.14, CC8.1.15, CC8.1.2, CC8.1.3, CC8.1.4, CC8.1.5, CC8.1.6, CC8.1.7, CC8.1.8, CC8.1.9 CIS Controls 8.0: 4.1	Controlla la proprietà databaseFlags dei metadati dell'istanza per la coppia chiave-valore coppia "name": "user options", "value": "" (vuoto). Scansioni in tempo reale: sì
SQL weak root password Nome della categoria nell'API: SQL_WEAK_ROOT_PASSWORD	Descrizione del problema: un database Cloud SQL che ha un indirizzo IP pubblico ha anche una password debole configurata per l'account root. Questo rilevatore richiede una configurazione aggiuntiva attiva. Per le istruzioni, vedi Attivare e disattivare i rilevatori. Livello di prezzo: Premium Asset supportati sqladmin.googleapis.com/Instance Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata a nessun controllo standard di conformità.	Confronta la password dell'account root del tuo database Cloud SQL con un elenco di password comuni. Autorizzazioni IAM aggiuntive: roles/cloudsql.client Input aggiuntivi: istanze attive di query Scansioni in tempo reale: no

Risultati relativi alle vulnerabilità dello spazio di archiviazione

Le vulnerabilità di questo tipo di rilevatore sono tutte correlate ai bucket Cloud Storage configurazioni e appartengono al tipoSTORAGE_SCANNER.

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
Bucket CMEK disabled Nome categoria nell'API: BUCKET_CMEK_DISABLED	Descrizione del problema: un bucket non è criptato con chiavi di crittografia gestite dal cliente (CMEK). Per attivare questo rilevatore è necessaria una configurazione aggiuntiva. Per istruzioni, vedi Attivare e disattivare i rilevatori. Livello di prezzo: Premium Asset supportati storage.googleapis.com/Bucket Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata ad alcun controllo degli standard di conformità.	Controlla il campo encryption nel bucket per il nome della risorsa della tua CMEK. Scansioni in tempo reale: sì
Bucket policy only disabled Nome della categoria nell'API: BUCKET_POLICY_ONLY_DISABLED	Descrizione del problema: L'accesso uniforme a livello di bucket, precedentemente chiamato Solo criterio bucket, non è configurato. Livello di prezzo: Premium Asset supportati storage.googleapis.com/Bucket Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.2: 5.2 CIS GCP Foundation 1.3: 5.2 CIS GCP Foundation 2.0: 5.2 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Verifica se la proprietà uniformBucketLevelAccess in un bucket è impostata su "enabled":false Scansioni in tempo reale: sì
Public bucket ACL Nome categoria nell'API: PUBLIC_BUCKET_ACL	Descrizione del problema: Un bucket Cloud Storage è accessibile pubblicamente. Livello di prezzo: Premium o standard Asset supportati storage.googleapis.com/Bucket Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 5.1 CIS GCP Foundation 1.1: 5.1 CIS GCP Foundation 1.2: 5.1 CIS GCP Foundation 1.3: 5.1 CIS GCP Foundation 2.0: 5.1 NIST 800-53 R4: AC-2 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 7.1 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.14.1.3, A.8.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Controlla il criterio di autorizzazione IAM di un bucket per i ruoli pubblici allUsers o allAuthenticatedUsers. Scansioni in tempo reale: sì
Public log bucket Nome della categoria nell'API: PUBLIC_LOG_BUCKET	Descrizione dei risultati: Un bucket di archiviazione utilizzato come sink di log è pubblico accessibili. Questo risultato non è disponibile per le attivazioni a livello di progetto. Livello di prezzo: Premium o Standard Asset supportati storage.googleapis.com/Bucket Correggi questo risultato Standard di conformità: NIST 800-53 R4: AU-9 PCI-DSS v3.2.1: 10.5 ISO-27001 v2013: A.12.4.2, A.18.1.3, A.8.2.3	Controlla il criterio di autorizzazione IAM di un bucket per le entità allUsers o allAuthenticatedUsers, che concedono l'accesso pubblico. Input aggiuntivi: legge il sink dei log (il filtro dei log e la destinazione dei log) per un bucket per determinare se si tratta di un bucket dei log. Scansioni in tempo reale: sì, ma solo se IAM criterio sulle modifiche del bucket, non se viene modificato il sink di log

Risultati di vulnerabilità della subnet

Le vulnerabilità di questo tipo di rilevatore sono tutte correlate alla subnet di un'organizzazione configurazioni e appartengono al tipoSUBNETWORK_SCANNER.

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
Flow logs disabled Nome della categoria nell'API: FLOW_LOGS_DISABLED	Descrizione dei risultati: C'è una subnet VPC con flusso disabiliti i log. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Subnetwork Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 3.9 CIS GCP Foundation 1.1: 3.8 CIS GCP Foundation 1.2: 3.8 NIST 800-53 R4: SI-4 PCI-DSS v3.2.1: 10.1, 10.2 ISO-27001 v2013: A.13.1.1	Controlla se la proprietà enableFlowLogs delle subnet Compute Engine è mancante o impostata su false. Asset esclusi dalle scansioni: Accesso VPC serverless, sottoreti del bilanciatore del carico Scansioni in tempo reale: sì
Flow logs settings not recommended Nome categoria nell'API: VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED	Descrizione dei risultati: Per una subnet VPC, Log di flusso VPC è disattivato o non lo è configurate in base ai consigli di CIS Benchmark 1.3. Per attivare questo rilevatore è necessaria una configurazione aggiuntiva. Per le istruzioni, vedi Attivare e disattivare i rilevatori. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Subnetwork Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.3: 3.8 CIS GCP Foundation 2.0: 3.8 NIST 800-53 R5: SI-4 ISO-27001 v2022: A.8.15, A.8.16 Cloud Controls Matrix 4: IVS-03 NIST Cybersecurity Framework 1.0: DE-CM-1 SOC2 v2017: CC7.2.1, CC7.2.2, CC7.2.3, CC7.2.4 CIS Controls 8.0: 13.6, 8.2	Controlla se la proprietà enableFlowLogs delle subnet VPC è mancante o impostata su false. Se i log di flusso VPC sono abilitati, controlla la proprietà Aggregation Interval impostata su 5 SEC, Include metadata impostato su true, da Sample rate a 100%. Asset esclusi dalle scansioni: Accesso VPC serverless, sottoreti del bilanciatore del carico Scansioni in tempo reale: sì
Private Google access disabled Nome della categoria nell'API: PRIVATE_GOOGLE_ACCESS_DISABLED	Descrizione del problema: Esistono sottoreti private senza accesso alle API pubbliche di Google. Livello di prezzo: Premium Asset supportati storage.googleapis.com/Bucket compute.googleapis.com/Subnetwork Correggi questo risultato Standard di conformità: CIS GCP Foundation 1.0: 3.8	Controlla se la proprietà privateIpGoogleAccess delle sottoreti Compute Engine è impostata su false. Scansioni in tempo reale: sì

Risultati AWS

Solo livello Enterprise: questa funzionalità è disponibile solo con il livello Enterprise di Security Command Center.

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
AWS Cloud Shell Full Access Restricted Nome della categoria nell'API: ACCESS_AWSCLOUDSHELLFULLACCESS_RESTRICTED	Descrizione del risultato: AWS CloudShell è un modo pratico per eseguire comandi CLI sui servizi AWS. Un criterio IAM gestito ("AWSCloudShellFullAccess") fornisce l'accesso completo a CloudShell, che consente di caricare e scaricare file tra il sistema locale di un utente e l'ambiente CloudShell. Nell'ambiente CloudShell un utente dispone delle autorizzazioni sudo e può accedere a internet. Pertanto, è possibile installare software di trasferimento file (ad esempio) e spostare i dati da CloudShell a server internet esterni. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: CIS AWS Foundation 2.0.0: 1.22	Assicurati che l'accesso ad AWSCloudShellFullAccess sia limitato Scansioni in tempo reale: no
Access Keys Rotated Every 90 Days or Less Nome della categoria nell'API: ACCESS_KEYS_ROTATED_90_DAYS_LESS	Descrizione dei risultati: Le chiavi di accesso sono costituite da un ID chiave di accesso e da una chiave di accesso segreta, utilizzate per firmare le richieste programmatiche inoltrate ad AWS. Gli utenti di AWS devono disporre delle proprie chiavi di accesso per effettuare chiamate programmatiche ad AWS tramite AWS Command Line Interface (AWS CLI), strumenti per Windows PowerShell, SDK AWS o chiamate HTTP dirette utilizzando le API per i singoli servizi AWS. Consigliamo di ruotare regolarmente tutte le chiavi di accesso. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-3(15) PCI-DSS v3.2.1: 8.2.4 CIS AWS Foundation 2.0.0: 1.14 CIS Controls 8.0: 5	Assicurati che le chiavi di accesso vengano ruotate ogni 90 giorni o meno Scansioni in tempo reale: no
All Expired Ssl Tls Certificates Stored Aws Iam Removed Nome categoria nell'API: ALL_EXPIRED_SSL_TLS_CERTIFICATES_STORED_AWS_IAM_REMOVED	Descrizione del risultato: Per abilitare le connessioni HTTPS al tuo sito web o alla tua applicazione in AWS, devi disporre di un certificato del server SSL/TLS. Puoi utilizzare ACM o IAM per archiviare i certificati server ed eseguirne il deployment. Utilizza IAM come gestore dei certificati solo se devi supportare le connessioni HTTPS in una regione non supportata da ACM. IAM cripta in modo sicuro le tue chiavi private e archivia la versione criptata nello spazio di archiviazione dei certificati SSL IAM. IAM supporta il deployment dei certificati del server in tutte le regioni, ma devi ottenere il certificato da un provider esterno per utilizzarlo con AWS. Non puoi caricare un certificato ACM in IAM. Inoltre, non puoi gestire i certificati dalla console IAM. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AU-11, CM-12, SI-12 PCI-DSS v4.0: 9.4.2 ISO-27001 v2022: A.5.10, A.5.9, A.8.1 Cloud Controls Matrix 4: DSP-01 NIST Cybersecurity Framework 1.0: PR-IP-6 CIS AWS Foundation 2.0.0: 1.19 CIS Controls 8.0: 3.1	Verifica che tutti i certificati SSL/TLS scaduti archiviati in AWS IAM vengano rimossi Scansioni in tempo reale: no
Autoscaling Group Elb Healthcheck Required Nome categoria nell'API: AUTOSCALING_GROUP_ELB_HEALTHCHECK_REQUIRED	Descrizione del risultato: Questo verifica se i gruppi di scalabilità automatica associati a un bilanciatore del carico utilizzano i controlli di integrità di Elastic Load Balancing. In questo modo, il gruppo può determinare lo stato di un'istanza in base a test aggiuntivi forniti dal bilanciatore del carico. L'utilizzo dei controlli di integrità di Elastic Load Balancing può supportare la disponibilità delle applicazioni che utilizzano i gruppi di scalabilità automatica EC2. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-2	Controlla che tutti i gruppi di scalabilità automatica associati a un bilanciatore del carico utilizzino controlli di integrità Scansioni in tempo reale: no
Auto Minor Version Upgrade Feature Enabled Rds Instances Nome categoria nell'API: AUTO_MINOR_VERSION_UPGRADE_FEATURE_ENABLED_RDS_INSTANCES	Descrizione dei risultati: Assicurati che per le istanze di database RDS sia attivato il flag di upgrade automatico della versione secondaria per ricevere automaticamente gli upgrade del motore secondario durante la finestra di manutenzione specificata. Quindi, le istanze RDS possono ricevere le nuove funzionalità, correzioni di bug e patch di sicurezza per i motori del database. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: RA-5, RA-7, SI-2 ISO-27001 v2022: A.8.8 Cloud Controls Matrix 4: UEM-03 NIST Cybersecurity Framework 1.0: ID-RA-1 SOC2 v2017: CC7.1.1, CC7.1.2, CC7.1.3, CC7.1.4, CC7.1.5 CIS AWS Foundation 2.0.0: 2.3.2 CIS Controls 8.0: 7.4	Verifica che la funzionalità di upgrade automatico della versione secondaria sia abilitata per le istanze RDS Scansioni in tempo reale: no
Aws Config Enabled All Regions Nome della categoria nell'API: AWS_CONFIG_ENABLED_ALL_REGIONS	Descrizione dei risultati: AWS Config è un servizio web che esegue la gestione della configurazione delle risorse AWS supportate all'interno del tuo account e ti fornisce i file di log. Le informazioni registrate includono l'elemento di configurazione (risorsa AWS), le relazioni tra gli elementi di configurazione (risorse AWS), eventuali modifiche alla configurazione tra le risorse. È consigliabile abilitare AWS Config in tutte le regioni. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: CM-8, PM-5 PCI-DSS v4.0: 11.2.1, 11.2.2, 12.5.1, 9.5.1, 9.5.1.1 ISO-27001 v2022: A.5.9, A.8.8 Cloud Controls Matrix 4: UEM-04 NIST Cybersecurity Framework 1.0: ID-AM-1, PR-DS-3 SOC2 v2017: CC3.2.6, CC6.1.1 HIPAA: 164.310(d)(2)(iii) CIS AWS Foundation 2.0.0: 3.5 CIS Controls 8.0: 1.1	Assicurati che AWS Config sia abilitato in tutte le regioni Scansioni in tempo reale: no
Aws Security Hub Enabled Nome della categoria nell'API: AWS_SECURITY_HUB_ENABLED	Descrizione del risultato: Security Hub raccoglie dati sulla sicurezza da tutti gli account, i servizi e i prodotti dei partner di terze parti supportati da AWS e ti aiuta ad analizzare le tendenze della sicurezza e a identificare i problemi di sicurezza con la massima priorità. Quando attivi Security Hub, questo inizia a utilizzare, aggregare, organizzare e dare la priorità ai risultati dei servizi AWS che hai attivato, come Amazon GuardDuty, Amazon Inspector e Amazon Macie. Puoi anche attivare le integrazioni con i prodotti di sicurezza dei partner AWS. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: CA-7 PCI-DSS v3.2.1: 11.5 CIS AWS Foundation 2.0.0: 4.16	Assicurati che AWS Security Hub sia abilitato Scansioni in tempo reale: no
Cloudtrail Logs Encrypted Rest Using Kms Cmks Nome categoria nell'API: CLOUDTRAIL_LOGS_ENCRYPTED_REST_USING_KMS_CMKS	Descrizione del risultato: AWS CloudTrail è un servizio web che registra le chiamate all'API AWS per un account e rende disponibili questi log per gli utenti e le risorse in conformità con i criteri IAM. AWS Key Management Service (KMS) è un servizio gestito che aiuta a creare e controllare le chiavi di crittografia utilizzate per criptare i dati degli account e utilizza moduli di sicurezza hardware (HSM) per proteggere la sicurezza delle chiavi di crittografia. I log di CloudTrail possono essere configurati in modo da sfruttare la crittografia lato server (SSE) e le chiavi master KMS create dal cliente (CMK) per proteggere ulteriormente i log di CloudTrail. Ti consigliamo di configurare CloudTrail in modo da utilizzare SSE-KMS. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: IA-5, SC-28, SI-7(6) PCI-DSS v3.2.1: 10.5.2 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS AWS Foundation 2.0.0: 3.7 CIS Controls 8.0: 3.11	Verifica che i log di CloudTrail siano crittografati at-rest mediante chiavi CMK di KMS Scansioni in tempo reale: no
Cloudtrail Log File Validation Enabled Nome categoria nell'API: CLOUDTRAIL_LOG_FILE_VALIDATION_ENABLED	Descrizione dei risultati: La convalida del file di log di CloudTrail crea un file digest firmato digitalmente contenente un hash di ogni log scritto da CloudTrail in S3. Questi file di digest possono essere utilizzati per determinare se un file di log è stato modificato, eliminato o non modificato dopo che CloudTrail ha inviato il log. È consigliabile abilitare la convalida dei file su tutti i CloudTrail. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AU-6, AU-7, SI-7(7) PCI-DSS v3.2.1: 11.5 PCI-DSS v4.0: 10.4.1, 10.4.1.1, 10.4.2, 10.4.3 ISO-27001 v2022: A.5.25 Cloud Controls Matrix 4: LOG-05 NIST Cybersecurity Framework 1.0: DE-AE-2, PR-PT-1, RS-AN-1 SOC2 v2017: CC4.1.1, CC4.1.2, CC4.1.3, CC4.1.4, CC4.1.5, CC4.1.6, CC4.1.7, CC4.1.8, CC7.3.1, CC7.3.2, CC7.3.3, CC7.3.4, CC7.3.5 HIPAA: 164.308(a)(1)(ii), 164.312(b) CIS AWS Foundation 2.0.0: 3.2 CIS Controls 8.0: 8.11	Verifica che la convalida del file di log di CloudTrail sia abilitata Scansioni in tempo reale: no
Cloudtrail Trails Integrated Cloudwatch Logs Nome della categoria nell'API: CLOUDTRAIL_TRAILS_INTEGRATED_CLOUDWATCH_LOGS	Descrizione del risultato: AWS CloudTrail è un servizio web che registra le chiamate API AWS effettuate in un determinato account AWS. Le informazioni registrate includono l'identità del chiamante API, l'ora della chiamata API, l'indirizzo IP di origine del chiamante API, i parametri di richiesta e gli elementi di risposta restituiti dal servizio AWS. CloudTrail utilizza Amazon S3 per l'archiviazione e la consegna dei file di log, pertanto i file di log vengono archiviati in modo duraturo. Oltre ad acquisire i log di CloudTrail all'interno di un bucket S3 specificato per l'analisi a lungo termine, l'analisi in tempo reale può essere eseguita configurando CloudTrail per l'invio dei log ai log di CloudWatch. Per un trail abilitato in tutte le regioni di un account, CloudTrail invia i file di log da tutte queste regioni a un gruppo di log di CloudWatch Logs. È consigliabile inviare i log di CloudTrail a CloudWatch Logs. Nota: lo scopo di questa raccomandazione è garantire che l'attività dell'account AWS venga acquisita, monitorata e attivata in modo appropriato. CloudWatch Logs è un modo nativo per farlo utilizzando i servizi AWS, ma non preclude l'utilizzo di una soluzione alternativa. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS AWS Foundation 2.0.0: 3.4 CIS Controls 8.0: 8.5, 8.9	Assicurati che i trail di CloudTrail siano integrati con i log di CloudWatch Scansioni in tempo reale: no
Cloudwatch Alarm Action Check Nome della categoria nell'API: CLOUDWATCH_ALARM_ACTION_CHECK	Descrizione dei risultati: Questo controllo controlla se Amazon Cloudwatch ha azioni definite quando un allarme passa tra gli stati "OK" e "ALARM" e "INSUFFICIENT_DATA". La configurazione delle azioni per lo stato ALARM negli avvisi Amazon CloudWatch è molto importante per attivare una risposta immediata quando le metriche monitorate superano le soglie. Assicura una risoluzione rapida dei problemi, riduce i tempi di inattività e consente la correzione automatica, mantenendo l'integrità del sistema e prevenendo le interruzioni. Gli allarmi hanno almeno un'azione. Le sveglie hanno almeno un'azione quando passano a "INSUFFICIENT_DATA" di qualsiasi altro stato. (Facoltativo) Le sveglie hanno almeno un'azione quando passano a "OK" di qualsiasi altro stato. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-20	Controlla se per gli allarmi CloudWatch è abilitata almeno un'azione allarme, un'azione INSUFFICIENT_DATA o un'azione Ok. Scansioni in tempo reale: no
Cloudwatch Log Group Encrypted Nome della categoria nell'API: CLOUDWATCH_LOG_GROUP_ENCRYPTED	Descrizione dei risultati: Questo controllo garantisce che i log di CloudWatch siano configurati con KMS. I dati del gruppo di log sono sempre criptati in CloudWatch Logs. Per impostazione predefinita, CloudWatch Logs utilizza la crittografia lato server per i dati di log at-rest. In alternativa, puoi utilizzare AWS Key Management Service per questa crittografia. In questo caso, la crittografia viene eseguita utilizzando una chiave KMS di AWS. La crittografia con AWS KMS viene abilitata a livello di gruppo di log associando una chiave KMS a un gruppo di log, quando lo crei o dopo che è stato creato. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: PCI-DSS v3.2.1: 3.4	Controlla che tutti i gruppi di log in Amazon CloudWatch Logs siano criptati con KMS Scansioni in tempo reale: no
CloudTrail CloudWatch Logs Enabled Nome della categoria nell'API: CLOUD_TRAIL_CLOUD_WATCH_LOGS_ENABLED	Descrizione del risultato: Questo controllo verifica se i trail di CloudTrail sono configurati in modo da inviare i log ai log di CloudWatch. Il controllo non va a buon fine se la proprietà CloudWatchLogsLogGroupArn del percorso è vuota. CloudTrail registra le chiamate all'API AWS effettuate in un determinato account. Le informazioni registrate includono: Identità del chiamante API L'ora della chiamata API L'indirizzo IP di origine dell'autore della chiamata all'API I parametri di richiesta Gli elementi di risposta restituiti dal servizio AWS CloudTrail utilizza Amazon S3 per l'archiviazione e la consegna dei file di log. Puoi acquisire i log di CloudTrail in un bucket S3 specificato per un'analisi a lungo termine. Per eseguire l'analisi in tempo reale, puoi configurare CloudTrail in modo che invii i log a CloudWatch Logs. Per un trail abilitato in tutte le regioni di un account, CloudTrail invia i file di log da tutte queste regioni a un gruppo di log di CloudWatch Logs. Security Hub consiglia di inviare i log di CloudTrail a CloudWatch Logs. Tieni presente che questo consiglio ha lo scopo di garantire che l'attività dell'account venga acquisita, monitorata e attivata in modo appropriato. Puoi utilizzare i log di CloudWatch per configurarlo con i servizi AWS. Questo consiglio non preclude l'utilizzo di una soluzione diversa. L'invio dei log di CloudTrail a CloudWatch Logs facilita il logging delle attività storiche e in tempo reale in base a utente, API, risorsa e indirizzo IP. Puoi utilizzare questo approccio per impostare avvisi e notifiche per attività anomale o sensibili dell'account. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-20 PCI-DSS v3.2.1: 10.5.3	Controlla che tutti i trail di CloudTrail siano configurati in modo da inviare i log ad AWS CloudWatch Scansioni in tempo reale: no
No AWS Credentials in CodeBuild Project Environment Variables Nome categoria nell'API: CODEBUILD_PROJECT_ENVVAR_AWSCRED_CHECK	Descrizione dei risultati: Questo controllo consente di verificare se il progetto contiene le variabili di ambiente AWS_ACCESS_KEY_ID e AWS_SECRET_ACCESS_KEY. Le credenziali di autenticazione AWS_ACCESS_KEY_ID e AWS_SECRET_ACCESS_KEY non devono mai essere memorizzate in testo normale, in quanto ciò potrebbe comportare l'esposizione indesiderata dei dati e l'accesso non autorizzato. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: IA-5, SA-3	Controlla che tutti i progetti contenenti le variabili env AWS_ACCESS_KEY_ID e AWS_SECRET_ACCESS_KEY non siano in testo non crittografato Scansioni in tempo reale: no
Codebuild Project Source Repo Url Check Nome della categoria nell'API: CODEBUILD_PROJECT_SOURCE_REPO_URL_CHECK	Descrizione dei risultati: Controlla se l'URL del repository di origine Bitbucket di un progetto AWS CodeBuild contiene token di accesso personali o un nome utente e una password. Il controllo non va a buon fine se l'URL del repository di origine Bitbucket contiene token di accesso personali o un nome utente e una password. Le credenziali di accesso non devono essere archiviate o trasmesse in testo normale né apparire nell'URL del repository di origine. Anziché token di accesso personali o credenziali di accesso, devi accedere al tuo provider di origine in CodeBuild e modificare l'URL del repository di origine in modo che contenga solo il percorso della posizione del repository Bitbucket. L'utilizzo di token di accesso personali o credenziali di accesso potrebbe comportare l'esposizione indesiderata dei dati o l'accesso non autorizzato. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata ad alcun controllo degli standard di conformità.	Controlla che tutti i progetti che usano github o bitbucket come origine utilizzino oauth Scansioni in tempo reale: no
Credentials Unused 45 Days Greater Disabled Nome della categoria nell'API: CREDENTIALS_UNUSED_45_DAYS_GREATER_DISABLED	Descrizione dei risultati: Gli utenti IAM AWS possono accedere alle risorse AWS utilizzando diversi tipi di credenziali, come password o chiavi di accesso. Ti consigliamo di disattivare o rimuovere tutte le credenziali non utilizzate da almeno 45 giorni. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-2 PCI-DSS v4.0: 8.3.7 NIST Cybersecurity Framework 1.0: PR-AC-1 CIS AWS Foundation 2.0.0: 1.12 CIS Controls 8.0: 5.3	Verifica che le credenziali non utilizzate per almeno 45 giorni siano disattivate Scansioni in tempo reale: no
Default Security Group Vpc Restricts All Traffic Nome della categoria nell'API: DEFAULT_SECURITY_GROUP_VPC_RESTRICTS_ALL_TRAFFIC	Descrizione dei risultati: Un VPC include un gruppo di sicurezza predefinito le cui impostazioni iniziali negano tutto il traffico in entrata, consentono tutto il traffico in uscita e tutto il traffico tra le istanze assegnate al gruppo di sicurezza. Se non specifichi un gruppo di sicurezza quando avvii un'istanza, l'istanza viene assegnata automaticamente a questo gruppo di sicurezza predefinito. I gruppi di sicurezza forniscono il filtro stateful del traffico di rete in entrata/in uscita verso le risorse AWS. È consigliabile che il gruppo di sicurezza predefinito limiti tutto il traffico. Il gruppo di sicurezza predefinito del VPC predefinito in ogni regione deve essere aggiornato per garantire la conformità. Tutti i VPC appena creati conterranno automaticamente un gruppo di sicurezza predefinito che dovrà essere corretto per rispettare questo suggerimento. NOTA:quando si implementa questo suggerimento, il logging del flusso VPC è indispensabile per determinare il privilegio minimo richiesto dall'accesso alle porte per il corretto funzionamento dei sistemi, poiché può registrare tutte le accettazioni e rifiuti di pacchetti che si verificano nei gruppi di sicurezza attuali. In questo modo si riduce drasticamente la principale barriera alla progettazione privilegio minimo, ossia la scoperta del numero minimo di porte richieste dai sistemi nell’ambiente. Anche se il suggerimento sul logging del flusso VPC in questo benchmark non viene adottato come misura di sicurezza permanente, dovrebbe essere utilizzato durante qualsiasi periodo di rilevamento e progettazione per i gruppi di sicurezza con privilegi minimi. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS AWS Foundation 2.0.0: 5.4 CIS Controls 8.0: 3.3	Assicurati che il gruppo di sicurezza predefinito di ogni VPC limiti tutto il traffico Scansioni in tempo reale: no
Dms Replication Not Public Nome della categoria nell'API: DMS_REPLICATION_NOT_PUBLIC	Descrizione del risultato: Controlla se le istanze di replica di AWS DMS sono pubbliche. A questo scopo, esamina il valore del campo PubliclyAccessible. Un'istanza di replica privata ha un indirizzo IP privato a cui non puoi accedere dall'esterno della rete di replica. Un'istanza di replica deve avere un indirizzo IP privato quando i database di origine e di destinazione si trovano nella stessa rete. La rete deve essere collegata anche alla VPC dell'istanza di replica utilizzando una VPN, AWS Direct Connect o il peering VPC. Per scoprire di più sulle istanze di replica pubbliche e private, consulta la sezione Istanze di replica pubbliche e private nella Guida dell'utente di AWS Database Migration Service. Devi anche assicurarti che l'accesso alla configurazione dell'istanza AWS DMS sia limitato solo agli utenti autorizzati. A questo scopo, limita le autorizzazioni IAM degli utenti alla modifica delle impostazioni e delle risorse AWS DMS. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Controlla se le istanze di replica di AWS Database Migration Service sono pubbliche Scansioni in tempo reale: no
Do Setup Access Keys During Initial User Setup All Iam Users Console Nome categoria nell'API: DO_SETUP_ACCESS_KEYS_DURING_INITIAL_USER_SETUP_ALL_IAM_USERS_CONSOLE	Descrizione del risultato: Per impostazione predefinita, la console AWS non seleziona alcuna casella di controllo quando viene creato un nuovo utente IAM. Quando crei le credenziali utente IAM, devi determinare il tipo di accesso richiesto. Accesso programmatico: l'utente IAM potrebbe dover effettuare chiamate API, utilizzare AWS CLI o gli strumenti per Windows PowerShell. In questo caso, crea una chiave di accesso (ID chiave di accesso e chiave di accesso segreta) per l'utente. Accesso alla console di gestione AWS: se l'utente deve accedere alla console di gestione AWS, crea una password per l'utente. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS AWS Foundation 2.0.0: 1.11 CIS Controls 8.0: 3.3, 5.4	Non impostare le chiavi di accesso durante la configurazione utente iniziale per tutti gli utenti IAM che dispongono di una password della console Scansioni in tempo reale: no
Dynamodb Autoscaling Enabled Nome categoria nell'API: DYNAMODB_AUTOSCALING_ENABLED	Descrizione del risultato: Questo verifica se una tabella Amazon DynamoDB può scalare la capacità di lettura e scrittura in base alle esigenze. Questo controllo viene superato se la tabella utilizza la modalità di capacità on demand o la modalità di provisioning con la scalabilità automatica configurata. La scalabilità della capacità in relazione alla domanda evita eccezioni di limitazione, il che aiuta a mantenere la disponibilità delle applicazioni. Le tabelle DynamoDB in modalità di capacità on demand sono limitate solo dalle quote predefinite delle tabelle per la velocità effettiva DynamoDB. Per aumentare queste quote, puoi inviare un ticket di assistenza tramite AWS Support. Le tabelle DynamoDB in modalità di provisioning con la scalabilità automatica regolano dinamicamente la capacità di throughput di cui è stato eseguito il provisioning in base ai pattern di traffico. Per ulteriori informazioni sulla limitazione delle richieste di DynamoDB, consulta la sezione Limitazione delle richieste e capacità di picco nella Guida per gli sviluppatori di Amazon DynamoDB. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-13(5)	Le tabelle DynamoDB devono scalare automaticamente la capacità in base alla domanda Scansioni in tempo reale: no
Dynamodb In Backup Plan Nome della categoria nell'API: DYNAMODB_IN_BACKUP_PLAN	Descrizione del risultato: Questo controllo valuta se una tabella DynamoDB è coperta da un piano di backup. Il controllo non va a buon fine se una tabella DynamoDB non è coperta da un piano di backup. Questo controllo valuta solo le tabelle DynamoDB in stato ATTIVO. I backup ti aiutano a recuperare più rapidamente da un incidente di sicurezza. Inoltre, rafforzano la resilienza dei tuoi sistemi. L'inclusione delle tabelle DynamoDB in un piano di backup consente di proteggere i dati da perdite o eliminazioni non intenzionali. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-13(5)	Le tabelle DynamoDB devono essere coperte da un piano di backup Scansioni in tempo reale: no
Dynamodb Pitr Enabled Nome della categoria nell'API: DYNAMODB_PITR_ENABLED	Descrizione del risultato: Il recupero point-in-time (PITR) è uno dei meccanismi disponibili per il backup delle tabelle DynamoDB. Un backup point-in-time viene conservato per 35 giorni. Nel caso in cui la tua richiesta richieda una conservazione più lunga, consulta Configurare i backup pianificati per Amazon DynamoDB utilizzando AWS Backup nella documentazione di AWS. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-13(5)	Controlla che il recupero point-in-time (PITR) sia abilitato per tutte le tabelle AWS DynamoDB Scansioni in tempo reale: no
Dynamodb Table Encrypted Kms Nome categoria nell'API: DYNAMODB_TABLE_ENCRYPTED_KMS	Descrizione dei risultati: Controlla se tutte le tabelle DynamoDB sono criptate con una chiave KMS gestita dal cliente (non predefinita). Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-7(6)	Controlla che tutte le tabelle DynamoDB siano criptate con AWS Key Management Service (KMS) Scansioni in tempo reale: no
Ebs Optimized Instance Nome categoria nell'API: EBS_OPTIMIZED_INSTANCE	Descrizione del risultato: Controlla se l'ottimizzazione EBS è abilitata per le istanze EC2 che possono essere ottimizzate per EBS Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-5(2)	Controlla che l'ottimizzazione EBS sia abilitata per tutte le istanze che la supportano Scansioni in tempo reale: no
Ebs Snapshot Public Restorable Check Nome categoria nell'API: EBS_SNAPSHOT_PUBLIC_RESTORABLE_CHECK	Descrizione del risultato: Controlla se gli snapshot di Amazon Elastic Block Store non sono pubblici. Il controllo non va a buon fine se gli snapshot Amazon EBS sono ripristinabili da chiunque. Gli snapshot EBS vengono utilizzati per eseguire il backup dei dati sui volumi EBS in Amazon S3 in un determinato momento. Puoi utilizzare gli snapshot per ripristinare gli stati precedenti dei volumi EBS. È raramente accettabile condividere uno snapshot con il pubblico. In genere la decisione di condividere pubblicamente uno snapshot è stata presa per errore o senza una completa comprensione delle implicazioni. Questo controllo contribuisce a garantire che tutte queste condivisioni siano state pianificate e intenzionali. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Gli snapshot Amazon EBS non devono essere ripristinabili pubblicamente Scansioni in tempo reale: no
Ebs Volume Encryption Enabled All Regions Nome categoria nell'API: EBS_VOLUME_ENCRYPTION_ENABLED_ALL_REGIONS	Descrizione del risultato: Elastic Compute Cloud (EC2) supporta la crittografia at-rest quando si utilizza il servizio Elastic Block Store (EBS). Sebbene sia disabilitata per impostazione predefinita, la crittografia forzata durante la creazione del volume EBS è supportata. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: IA-5, SC-28, SI-7(6) PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS AWS Foundation 2.0.0: 2.2.1 CIS Controls 8.0: 3.11	Assicurati che la crittografia del volume EBS sia abilitata in tutte le regioni Scansioni in tempo reale: no
Ec2 Instances In Vpc Nome categoria nell'API: EC2_INSTANCES_IN_VPC	Descrizione del risultato: Amazon VPC offre più funzionalità di sicurezza rispetto a EC2 Classic. È consigliabile che tutti i nodi appartengano a un VPC Amazon. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-7	Verifica che tutte le istanze appartengano a un VPC Scansioni in tempo reale: no
Ec2 Instance No Public Ip Nome della categoria nell'API: EC2_INSTANCE_NO_PUBLIC_IP	Descrizione dei risultati: Le istanze EC2 con un indirizzo IP pubblico sono a maggior rischio di compromissione. Si consiglia di non configurare le istanze EC2 con un indirizzo IP pubblico. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Verifica che nessuna istanza abbia un IP pubblico Scansioni in tempo reale: no
Ec2 Managedinstance Association Compliance Status Check Nome categoria nell'API: EC2_MANAGEDINSTANCE_ASSOCIATION_COMPLIANCE_STATUS_CHECK	Descrizione dei risultati: Un'associazione di State Manager è una configurazione che viene assegnata alle tue istanze gestite. La configurazione definisce lo stato da mantenere sulle istanze. Ad esempio, un'associazione può specificare che il software antivirus deve essere installato ed eseguito nelle istanze o che determinate porte devono essere chiuse. Le istanze EC2 associate ad AWS Systems Manager sono sotto la gestione di Systems Manager, il che semplifica l'applicazione delle patch, la correzione degli errori di configurazione e la risposta agli eventi di sicurezza. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: PCI-DSS v3.2.1: 6.2	Controlla lo stato di conformità dell'associazione dei gestori di sistema AWS Scansioni in tempo reale: no
Ec2 Managedinstance Patch Compliance Status Check Nome della categoria nell'API: EC2_MANAGEDINSTANCE_PATCH_COMPLIANCE_STATUS_CHECK	Descrizione del risultato: Questo controllo verifica se lo stato di conformità dell'associazione di AWS Systems Manager è COMPLIANT o NON_COMPLIANT dopo l'esecuzione dell'associazione su un'istanza. Il controllo non va a buon fine se lo stato di conformità dell'associazione è NON_COMPLIANT. Un'associazione di State Manager è una configurazione assegnata alle istanze gestite. La configurazione definisce lo stato da mantenere sulle istanze. Ad esempio, un'associazione può specificare che il software antivirus deve essere installato e in esecuzione sulle tue istanze o che determinate porte devono essere chiuse. Dopo aver creato una o più associazioni di amministratori di stato, avrai immediatamente a disposizione le informazioni sullo stato di conformità. Puoi visualizzare lo stato di conformità nella console o in risposta ai comandi AWS CLI o alle azioni corrispondenti dell'API Systems Manager. Per le associazioni, la conformità della configurazione mostra lo stato di conformità (Conforme o Non conforme). Mostra anche il livello di gravità assegnato all'associazione, ad esempio Critica o Media. Per scoprire di più sulla conformità dell'associazione di State Manager, consulta Informazioni sulla conformità dell'associazione di State Manager nella Guida dell'utente di AWS Systems Manager. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-2 PCI-DSS v3.2.1: 6.2	Controlla lo stato di conformità delle patch di AWS Systems Manager Scansioni in tempo reale: no
Ec2 Metadata Service Allows Imdsv2 Nome categoria nell'API: EC2_METADATA_SERVICE_ALLOWS_IMDSV2	Descrizione dei risultati: Quando attivano il servizio di metadati sulle istanze AWS EC2, gli utenti hanno la possibilità di utilizzare la versione 1 del servizio di metadati dell'istanza (IMDSv1; un metodo di richiesta/risposta) o la versione 2 del servizio di metadati dell'istanza (IMDSv2; un metodo orientato alla sessione). Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-6 CIS AWS Foundation 2.0.0: 5.6	Verifica che il servizio di metadati EC2 consenta solo IMDSv2 Scansioni in tempo reale: no
Ec2 Volume Inuse Check Nome della categoria nell'API: EC2_VOLUME_INUSE_CHECK	Descrizione dei risultati: Identifica e rimuovi i volumi Elastic Block Store (EBS) non collegati (inutilizzati) nel tuo account AWS per ridurre il costo della fattura mensile di AWS. L'eliminazione dei volumi EBS inutilizzati riduce anche il rischio che i dati riservati/sensibili escano dalla tua sede. Inoltre, questo controllo verifica anche se le istanze EC2 sono archiviate e configurate per eliminare i volumi alla terminazione. Per impostazione predefinita, le istanze EC2 sono configurate in modo da eliminare i dati in qualsiasi volume EBS associato all'istanza e il volume EBS principale dell'istanza. Tuttavia, tutti i volumi EBS non root collegati all'istanza, all'avvio o durante l'esecuzione, vengono mantenuti per impostazione predefinita dopo la terminazione. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: CM-2	Controlla se i volumi EBS sono collegati alle istanze EC2 e configurati per l'eliminazione al termine dell'istanza Scansioni in tempo reale: no
Efs Encrypted Check Nome categoria nell'API: EFS_ENCRYPTED_CHECK	Descrizione dei risultati: Amazon EFS supporta due forme di crittografia per i file system: crittografia dei dati in transito e crittografia at-rest. Questo verifica che tutti i file system EFS siano configurati con la crittografia at-rest in tutte le regioni abilitate dell'account. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-7(6) PCI-DSS v3.2.1: 8.2.1	Controlla se EFS è configurato per criptare i dati dei file utilizzando KMS Scansioni in tempo reale: no
Efs In Backup Plan Nome categoria nell'API: EFS_IN_BACKUP_PLAN	Descrizione dei risultati: Le best practice di Amazon consigliano di configurare i backup per i file system Elastic (EFS). Verranno controllati tutti i file system EFS in tutte le regioni abilitate del tuo account AWS per verificare la presenza di backup abilitati. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-13(5)	Controlla se i file system EFS sono inclusi nei piani di backup AWS Scansioni in tempo reale: no
Elb Acm Certificate Required Nome categoria nell'API: ELB_ACM_CERTIFICATE_REQUIRED	Descrizione del risultato: Controlla se il bilanciatore del carico classico utilizza certificati HTTPS/SSL forniti da AWS Certificate Manager (ACM). Il controllo non va a buon fine se il bilanciatore del carico classico configurato con il listener HTTPS/SSL non utilizza un certificato fornito da ACM. Per creare un certificato, puoi utilizzare ACM o uno strumento che supporta i protocolli SSL e TLS, come OpenSSL. Security Hub consiglia di utilizzare ACM per creare o importare certificati per il bilanciatore del carico. ACM si integra con i bilanciatori del carico classici per consentirti di eseguire il deployment del certificato sul tuo bilanciatore del carico. Inoltre, questi certificati dovrebbero essere rinnovati automaticamente. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-17, AC-4, IA-5, SC-12, SC-13, SC-23, SC-7, SC-8, SI-7, SI-7(6)	Controlla che tutti i bilanciatori del carico classici utilizzino i certificati SSL forniti da AWS Certificate Manager Scansioni in tempo reale: no
Elb Deletion Protection Enabled Nome della categoria nell'API: ELB_DELETION_PROTECTION_ENABLED	Descrizione dei risultati: Controlla se per un bilanciatore del carico delle applicazioni è abilitata la protezione da eliminazione. Il controllo non va a buon fine se la protezione da eliminazione non è configurata. Abilita la protezione dall'eliminazione per proteggere il bilanciatore del carico delle applicazioni dall'eliminazione. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-5(2)	La protezione dall'eliminazione del bilanciatore del carico delle applicazioni deve essere abilitata Scansioni in tempo reale: no
Elb Logging Enabled Nome della categoria nell'API: ELB_LOGGING_ENABLED	Descrizione dei risultati: Viene controllato se il bilanciatore del carico delle applicazioni e il bilanciatore del carico classico hanno la registrazione abilitata. Il controllo non riesce se access_logs.s3.enabled è falso. Elastic Load Balancing fornisce log di accesso che acquisiscono informazioni dettagliate sulle richieste inviate al bilanciatore del carico. Ogni log contiene informazioni come l'ora in cui è stata ricevuta la richiesta, l'indirizzo IP del client, le latenze, i percorsi di richiesta e le risposte del server. Puoi utilizzare questi log di accesso per analizzare i pattern di traffico e risolvere i problemi. Per saperne di più, vedi Accedere ai log per il bilanciatore del carico classico nella Guida dell'utente per i bilanciatori del carico classici. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-7(8) PCI-DSS v3.2.1: 10.3.1	Controlla se i bilanciatori del carico classici e delle applicazioni hanno la registrazione abilitata Scansioni in tempo reale: no
Elb Tls Https Listeners Only Nome categoria nell'API: ELB_TLS_HTTPS_LISTENERS_ONLY	Descrizione del risultato: Questo controllo garantisce che tutti i bilanciatori del carico classici siano configurati per utilizzare la comunicazione sicura. Un listener è un processo che controlla le richieste di connessione. È configurato con un protocollo e una porta per le connessioni front-end (dal client al bilanciatore del carico), nonché un protocollo e una porta per le connessioni di backend (dal bilanciatore del carico all'istanza). Per informazioni su porte, protocolli e configurazioni listener supportate da Elastic Load Balancing, vedi Listener per il bilanciatore del carico classico. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-7(6)	Controlla che tutti i bilanciatori del carico classici siano configurati con listener SSL o HTTPS Scansioni in tempo reale: no
Encrypted Volumes Nome della categoria nell'API: ENCRYPTED_VOLUMES	Descrizione del risultato: Controlla se i volumi EBS in stato collegato sono criptati. Per superare questo controllo, i volumi EBS devono essere in uso e criptati. Se il volume EBS non è collegato, non è soggetto a questo controllo. Per un ulteriore livello di sicurezza dei dati sensibili nei volumi EBS, devi attivare la crittografia at-rest di EBS. La crittografia di Amazon EBS offre una soluzione di crittografia semplice per le tue risorse EBS, che non richiede la creazione, la manutenzione e la protezione della tua infrastruttura di gestione delle chiavi. Utilizza le chiavi KMS per creare volumi e istantanee criptati. Per scoprire di più sulla crittografia Amazon EBS, consulta la sezione Crittografia Amazon EBS nella Guida dell'utente di Amazon EC2 per le istanze Linux. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-7(6) PCI-DSS v3.2.1: 8.2.1	I volumi Amazon EBS collegati devono essere criptati at-rest Scansioni in tempo reale: no
Encryption At Rest Enabled Rds Instances Nome della categoria nell'API: ENCRYPTION_AT_REST_ENABLED_RDS_INSTANCES	Descrizione del risultato: Le istanze di database Amazon RDS con crittografia utilizzano l'algoritmo di crittografia AES-256 standard di settore per criptare i dati sul server che ospita le istanze di database Amazon RDS. Dopo la crittografia dei dati, Amazon RDS gestisce l'autenticazione dell'accesso e la decrittografia dei dati in modo trasparente con un impatto minimo sulle prestazioni. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: IA-5, SC-28, SI-7(6) PCI-DSS v3.2.1: 8.2.1 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS AWS Foundation 2.0.0: 2.3.1 CIS Controls 8.0: 3.11	Verifica che la crittografia at-rest sia abilitata per le istanze RDS Scansioni in tempo reale: no
Encryption Enabled Efs File Systems Nome categoria nell'API: ENCRYPTION_ENABLED_EFS_FILE_SYSTEMS	Descrizione del risultato: I dati EFS devono essere criptati at-rest utilizzando AWS KMS (Key Management Service). Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS AWS Foundation 2.0.0: 2.4.1 CIS Controls 8.0: 3.11	Assicurati che la crittografia sia abilitata per i file system EFS Scansioni in tempo reale: no
Iam Password Policy Nome della categoria nell'API: IAM_PASSWORD_POLICY	Descrizione del risultato: AWS consente di definire criteri relativi alle password personalizzati nel tuo account AWS per specificare requisiti di complessità e periodi di rotazione obbligatori per le password degli utenti IAM. Se non imposti un criterio personalizzato per le password, le password utente IAM devono soddisfare il criterio predefinito per le password AWS. Le best practice per la sicurezza di AWS consigliano i seguenti requisiti di complessità delle password: Richiedi almeno un carattere maiuscolo nella password. Richiedi almeno un carattere minuscolo nelle password. Richiedi almeno un simbolo nelle password. Richiedi almeno un numero nelle password. Richiedi una lunghezza minima della password di almeno 14 caratteri. Richiedi almeno 24 password prima di consentire il riutilizzo. Richiedine almeno 90 prima della scadenza della password Questo controllo verifica tutti i requisiti specificati per i criteri delle password. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: IA-5(1) PCI-DSS v3.2.1: 8.2.5	Controlla se il criterio della password dell'account per gli utenti IAM soddisfa i requisiti specificati Scansioni in tempo reale: no
Iam Password Policy Prevents Password Reuse Nome categoria nell'API: IAM_PASSWORD_POLICY_PREVENTS_PASSWORD_REUSE	Descrizione del risultato: I criteri delle password IAM possono impedire il riutilizzo di una determinata password dallo stesso utente. È consigliabile che il criterio relativo alle password impedisca il riutilizzo delle password. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: IA-5 PCI-DSS v4.0: 2.2.2, 8.3.5, 8.3.6, 8.6.3 ISO-27001 v2022: A.5.17 Cloud Controls Matrix 4: IAM-02 SOC2 v2017: CC6.1.3, CC6.1.8, CC6.1.9 CIS AWS Foundation 2.0.0: 1.9 CIS Controls 8.0: 5.2	Assicurati che il criterio della password IAM impedisca il riutilizzo della password Scansioni in tempo reale: no
Iam Password Policy Requires Minimum Length 14 Greater Nome categoria nell'API: IAM_PASSWORD_POLICY_REQUIRES_MINIMUM_LENGTH_14_GREATER	Descrizione del risultato: I criteri relativi alle password vengono utilizzati in parte per applicare i requisiti di complessità delle password. I criteri relativi alle password IAM possono essere utilizzati per garantire che le password abbiano almeno una determinata lunghezza. È consigliabile che il criterio della password richieda una lunghezza minima di 14 caratteri. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: CIS AWS Foundation 2.0.0: 1.8 CIS Controls 8.0: 5, 5.2	Assicurati che il criterio della password IAM richieda una lunghezza minima di 14 caratteri Scansioni in tempo reale: no
Iam Policies Allow Full Administrative Privileges Attached Nome categoria nell'API: IAM_POLICIES_ALLOW_FULL_ADMINISTRATIVE_PRIVILEGES_ATTACHED	Descrizione dei risultati: I criteri IAM sono il mezzo attraverso il quale i privilegi vengono concessi a utenti, gruppi o ruoli. È consigliabile e considerato un consiglio di sicurezza standard concedere il privilegio minimo, ovvero concedere solo le autorizzazioni necessarie per eseguire un'attività. Determina cosa devono fare gli utenti e poi crea criteri che consentano loro di eseguire solo queste attività, anziché concedere privilegi amministrativi completi. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS AWS Foundation 2.0.0: 1.16 CIS Controls 8.0: 3.3	Assicurati che non siano collegati criteri IAM che consentono privilegi amministrativi completi "*:*" Scansioni in tempo reale: no
Iam Users Receive Permissions Groups Nome della categoria nell'API: IAM_USERS_RECEIVE_PERMISSIONS_GROUPS	Descrizione dei risultati: Agli utenti IAM viene concesso l'accesso a servizi, funzioni e dati tramite i criteri IAM. Esistono quattro modi per definire i criteri per un utente: 1) Modificare direttamente i criteri relativi agli utenti, ovvero i criteri incorporati o utente; 2) collegare un criterio direttamente a un utente; 3) aggiungere l'utente a un gruppo IAM a cui è associato un criterio; 4) aggiungere l'utente a un gruppo IAM che ha un criterio in linea. È consigliata solo la terza implementazione. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-2, AC-5, AC-6, AU-9 PCI-DSS v4.0: 10.3.1, 7.1.1, 7.2.1, 7.2.2, 7.2.4, 7.2.6, 7.3.1, 7.3.2 ISO-27001 v2022: A.5.15, A.5.3, A.8.2, A.8.3 Cloud Controls Matrix 4: IAM-04 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.3.1, CC6.3.2, CC6.3.3 HIPAA: 164.308(a)(3)(ii), 164.308(a)(4)(i), 164.308(a)(4)(ii) CIS AWS Foundation 2.0.0: 1.15 CIS Controls 8.0: 6.8	Assicurati che gli utenti IAM ricevano le autorizzazioni solo tramite i gruppi Scansioni in tempo reale: no
Iam User Group Membership Check Nome categoria nell'API: IAM_USER_GROUP_MEMBERSHIP_CHECK	Descrizione dei risultati: Per poter aderire alle best practice per la sicurezza IAM, gli utenti IAM dovrebbero sempre far parte di un gruppo IAM. Aggiungendo utenti a un gruppo, è possibile condividere i criteri tra tipi di utenti. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-6	Controlla se gli utenti IAM sono membri di almeno un gruppo IAM Scansioni in tempo reale: no
Iam User Mfa Enabled Nome categoria nell'API: IAM_USER_MFA_ENABLED	Descrizione dei risultati: L'autenticazione a più fattori (MFA) è una best practice che aggiunge un ulteriore livello di protezione oltre ai nomi utente e alle password. Con la MFA, quando un utente accede alla Console di gestione AWS, deve fornire un codice di autenticazione soggetto a scadenza, fornito da un dispositivo fisico o virtuale registrato. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: PCI-DSS v3.2.1: 8.3.2	Controlla se per gli utenti IAM AWS è abilitata l'autenticazione a più fattori (MFA) Scansioni in tempo reale: no
Iam User Unused Credentials Check Nome della categoria nell'API: IAM_USER_UNUSED_CREDENTIALS_CHECK	Descrizione dei risultati: Questo controllo consente di verificare la presenza di eventuali password IAM o chiavi di accesso attive che non sono state utilizzate negli ultimi 90 giorni. Le best practice consigliano di rimuovere, disattivare o ruotare tutte le credenziali non utilizzate per almeno 90 giorni. In questo modo si riduce la finestra di opportunità per l'utilizzo delle credenziali associate a un account compromesso o abbandonato. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-6 PCI-DSS v3.2.1: 8.1.4	Controlla che tutti gli utenti IAM AWS dispongano di password o chiavi di accesso attive che non sono state utilizzate in maxCredentialUsageAge giorni (il valore predefinito è 90) Scansioni in tempo reale: no
Kms Cmk Not Scheduled For Deletion Nome categoria nell'API: KMS_CMK_NOT_SCHEDULED_FOR_DELETION	Descrizione del risultato: Questo controllo verifica se è stata pianificata l'eliminazione delle chiavi KMS. Il controllo non va a buon fine se è pianificata l'eliminazione di una chiave KMS. Una volta eliminate, le chiavi KMS non possono essere recuperate. Inoltre, i dati criptati in una chiave KMS non sono recuperabili definitivamente se la chiave KMS viene eliminata. Se i dati significativi sono stati criptati con una chiave KMS pianificata per l'eliminazione, valuta la possibilità di decriptarli o criptarli di nuovo con una nuova chiave KMS, a meno che tu non stia eseguendo intenzionalmente un'eliminazione di dati con crittografia. Quando viene pianificata l'eliminazione di una chiave KMS, viene applicato un periodo di attesa obbligatorio per consentire al tempo di annullare l'eliminazione, nel caso in cui sia stata pianificata per errore. Il periodo di attesa predefinito è di 30 giorni, ma può essere ridotto a 7 giorni se è pianificata l'eliminazione della chiave KMS. Durante il periodo di attesa, l'eliminazione pianificata può essere annullata e la chiave KMS non verrà eliminata. Per ulteriori informazioni sull'eliminazione delle chiavi KMS, consulta la sezione sull'eliminazione delle chiavi KMS nella guida per gli sviluppatori di AWS Key Management Service. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-12	Controlla che non sia pianificata l'eliminazione di tutte le CMK Scansioni in tempo reale: no
Lambda Concurrency Check Nome della categoria nell'API: LAMBDA_CONCURRENCY_CHECK	Descrizione del risultato: Controlla se la funzione Lambda è configurata con un limite di esecuzione simultanea a livello di funzione. La regola è NON_COMPLIANT se la funzione Lambda non è configurata con un limite di esecuzione simultanea a livello di funzione. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata a nessun controllo standard di conformità.	Controlla se le funzioni Lambda sono configurate con un limite di esecuzione simultanea a livello di funzione Scansioni in tempo reale: no
Lambda Dlq Check Nome della categoria nell'API: LAMBDA_DLQ_CHECK	Descrizione del risultato: Controlla se una funzione Lambda è configurata con una coda di messaggi non recapitabili. La regola è NON_COMPLIANT se la funzione Lambda non è configurata con una coda di messaggi non recapitabili. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-2	Controlla se le funzioni Lambda sono configurate con una coda di messaggi non recapitabili Scansioni in tempo reale: no
Lambda Function Public Access Prohibited Nome categoria nell'API: LAMBDA_FUNCTION_PUBLIC_ACCESS_PROHIBITED	Descrizione del risultato: Le best practice di AWS consigliano di non esporre pubblicamente la funzione Lambda. Questo criterio controlla tutte le funzioni Lambda di cui è stato eseguito il deployment in tutte le regioni abilitate all'interno del tuo account e non andrà a buon fine se sono configurate per consentire l'accesso pubblico. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Controlla se il criterio collegato alla funzione Lambda vieta l'accesso pubblico Scansioni in tempo reale: no
Lambda Inside Vpc Nome della categoria nell'API: LAMBDA_INSIDE_VPC	Descrizione del risultato: Controlla se una funzione Lambda si trova in un VPC. Potresti visualizzare risultati non riusciti per le risorse Lambda@Edge. Non valuta la configurazione del routing delle subnet VPC per determinare la raggiungibilità pubblica. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Controlla se esistono funzioni Lambda all'interno di un VPC Scansioni in tempo reale: no
Mfa Delete Enabled S3 Buckets Nome della categoria nell'API: MFA_DELETE_ENABLED_S3_BUCKETS	Descrizione dei risultati: Una volta abilitata l'eliminazione MFA sul tuo bucket S3 sensibile e classificato, l'utente deve disporre di due forme di autenticazione. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS AWS Foundation 2.0.0: 2.1.2 CIS Controls 8.0: 3.3, 6.5	Assicurati che l'eliminazione con autenticazione MFA sia abilitata sui bucket S3 Scansioni in tempo reale: no
Mfa Enabled Root User Account Nome della categoria nell'API: MFA_ENABLED_ROOT_USER_ACCOUNT	Descrizione dei risultati: La "radice" è l'utente con più privilegi in un account AWS. L’autenticazione a più fattori (MFA) aggiunge un ulteriore livello di protezione a nome utente e password. Con l'autenticazione MFA abilitata, quando un utente accede a un sito web AWS, gli verranno richiesti nome utente e password, nonché un codice di autenticazione dal dispositivo AWS MFA. Nota: quando viene utilizzata l'autenticazione a due fattori virtuale per gli account "root", è consigliabile che il dispositivo utilizzato NON sia un dispositivo personale, ma piuttosto un dispositivo mobile dedicato (tablet o smartphone) che viene gestito in modo da essere tenuto carico e protetto indipendentemente da singoli dispositivi personali. ("MFA virtuale non personale") Questo riduce i rischi di perdere l'accesso all'MFA a causa di perdita del dispositivo, permuta del dispositivo o se il proprietario del dispositivo non è più impiegato presso l'azienda. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: IA-2, IA-2(8) PCI-DSS v3.2.1: 8.3.2 PCI-DSS v4.0: 2.2.7, 8.4.1 ISO-27001 v2022: A.8.2 Cloud Controls Matrix 4: IAM-10 NIST Cybersecurity Framework 1.0: PR-AC-7 SOC2 v2017: CC6.1.3, CC6.1.4, CC6.1.6, CC6.1.7, CC6.1.8 CIS AWS Foundation 2.0.0: 1.5 CIS Controls 8.0: 6.5	Assicurati che l'autenticazione MFA sia abilitata per l'account utente "root" Scansioni in tempo reale: no
Multi Factor Authentication Mfa Enabled All Iam Users Console Nome della categoria nell'API: MULTI_FACTOR_AUTHENTICATION_MFA_ENABLED_ALL_IAM_USERS_CONSOLE	Descrizione del risultato: L'autenticazione a più fattori (MFA) aggiunge un ulteriore livello di garanzia dell'autenticazione oltre alle credenziali tradizionali. Con l'autenticazione MFA abilitata, quando un utente accede alla console AWS gli verrà richiesto di inserire nome utente e password, nonché un codice di autenticazione dal token MFA fisico o virtuale. È consigliabile abilitare l'autenticazione MFA per tutti gli account che hanno una password per la console. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: IA-2, IA-2(8) PCI-DSS v3.2.1: 8.3.2 PCI-DSS v4.0: 2.2.7, 8.4.1 ISO-27001 v2022: A.8.2 Cloud Controls Matrix 4: IAM-10 NIST Cybersecurity Framework 1.0: PR-AC-7 SOC2 v2017: CC6.1.3, CC6.1.4, CC6.1.6, CC6.1.7, CC6.1.8 CIS AWS Foundation 2.0.0: 1.10 CIS Controls 8.0: 6.5	Verifica che l'autenticazione a più fattori (MFA) sia abilitata per tutti gli utenti IAM con una password per la console Scansioni in tempo reale: no
No Network Acls Allow Ingress 0 0 0 0 Remote Server Administration Nome della categoria nell'API: NO_NETWORK_ACLS_ALLOW_INGRESS_0_0_0_0_REMOTE_SERVER_ADMINISTRATION	Descrizione dei risultati: La funzione Network Access Control List (NACL) fornisce un filtro stateless del traffico di rete in entrata e in uscita verso le risorse AWS. È consigliabile che nessun NACL consenta l'accesso senza restrizioni in entrata alle porte di amministrazione del server remoto, come SSH alla porta 22 e RDP alla porta 3389, utilizzando i protocolli TDP (6), UDP (17) o TUTTI (-1) Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: CIS AWS Foundation 2.0.0: 5.1	Assicurati che nessun ACL di rete consenta il traffico in entrata da 0.0.0.0/0 alle porte di amministrazione del server remoto Scansioni in tempo reale: no
No Root User Account Access Key Exists Nome categoria nell'API: NO_ROOT_USER_ACCOUNT_ACCESS_KEY_EXISTS	Descrizione dei risultati: La "radice" è l'utente con più privilegi in un account AWS. Le chiavi di accesso AWS forniscono l'accesso programmatico a un determinato account AWS. Ti consigliamo di eliminare tutte le chiavi di accesso associate all'account utente "root". Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 8.1.1 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS AWS Foundation 2.0.0: 1.4 CIS Controls 8.0: 3.3, 5.4	Assicurati che non esistano chiavi di accesso all'account utente "root" Scansioni in tempo reale: no
No Security Groups Allow Ingress 0 0 0 0 Remote Server Administration Nome categoria nell'API: NO_SECURITY_GROUPS_ALLOW_INGRESS_0_0_0_0_REMOTE_SERVER_ADMINISTRATION	Descrizione dei risultati: I gruppi di sicurezza forniscono il filtro stateful del traffico di rete in entrata e in uscita verso le risorse AWS. È consigliabile che nessun gruppo di sicurezza consenta l'accesso in entrata senza restrizioni alle porte di amministrazione del server remoto, ad esempio SSH alla porta 22 e RDP alla porta 3389, utilizzando i protocolli TDP (6), UDP (17) o TUTTI (-1) Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: CIS AWS Foundation 2.0.0: 5.2	Assicurati che nessun gruppo di sicurezza consenta il traffico in entrata da 0.0.0.0/0 alle porte di amministrazione del server remoto Scansioni in tempo reale: no
No Security Groups Allow Ingress 0 Remote Server Administration Nome categoria nell'API: NO_SECURITY_GROUPS_ALLOW_INGRESS_0_REMOTE_SERVER_ADMINISTRATION	Descrizione dei risultati: I gruppi di sicurezza forniscono filtri stateful del traffico di rete in entrata e in uscita verso le risorse AWS. È consigliabile che nessun gruppo di sicurezza consenta l'accesso in entrata senza restrizioni alle porte di amministrazione del server remoto, ad esempio SSH alla porta 22 e RDP alla porta 3389. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: CIS AWS Foundation 2.0.0: 5.3	Assicurati che nessun gruppo di sicurezza consenta il traffico in entrata da ::/0 alle porte di amministrazione del server remoto Scansioni in tempo reale: no
One Active Access Key Available Any Single Iam User Nome categoria nell'API: ONE_ACTIVE_ACCESS_KEY_AVAILABLE_ANY_SINGLE_IAM_USER	Descrizione dei risultati: Le chiavi di accesso sono credenziali a lungo termine per un utente IAM o per l'utente "root" dell'account AWS. Puoi utilizzare le chiavi di accesso per firmare le richieste programmatiche all'interfaccia a riga di comando AWS o all'API AWS (direttamente o utilizzando l'SDK AWS) Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: CIS AWS Foundation 2.0.0: 1.13 CIS Controls 8.0: 5	Assicurati che sia disponibile una sola chiave di accesso attiva per ogni singolo utente IAM Scansioni in tempo reale: no
Public Access Given Rds Instance Nome categoria nell'API: PUBLIC_ACCESS_GIVEN_RDS_INSTANCE	Descrizione del risultato: Assicurati e verifica che le istanze di database RDS di cui è stato eseguito il provisioning nel tuo account AWS limitino l'accesso non autorizzato per ridurre al minimo i rischi per la sicurezza. Per limitare l'accesso a qualsiasi istanza del database RDS accessibile pubblicamente, devi disattivare il flag Accessibile pubblicamente del database e aggiornare il gruppo di sicurezza VPC associato all'istanza. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2, SC-7 PCI-DSS v3.2.1: 2.2.2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS AWS Foundation 2.0.0: 2.3.3 CIS Controls 8.0: 3.3	Verifica che l'accesso pubblico non sia concesso all'istanza RDS Scansioni in tempo reale: no
Rds Enhanced Monitoring Enabled Nome categoria nell'API: RDS_ENHANCED_MONITORING_ENABLED	Descrizione dei risultati: Il monitoraggio avanzato fornisce metriche in tempo reale sul sistema operativo su cui viene eseguita l'istanza RDS tramite un agente installato nell'istanza. Per ulteriori dettagli, consulta l'articolo sul monitoraggio delle metriche del sistema operativo con il monitoraggio avanzato. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-2	Controlla se il monitoraggio avanzato è abilitato per tutte le istanze DB RDS Scansioni in tempo reale: no
Rds Instance Deletion Protection Enabled Nome categoria nell'API: RDS_INSTANCE_DELETION_PROTECTION_ENABLED	Descrizione dei risultati: L'attivazione della protezione da eliminazione delle istanze è un ulteriore livello di protezione contro l'eliminazione accidentale del database o l'eliminazione da parte di un'entità non autorizzata. Quando la protezione da eliminazione è abilitata, non è possibile eliminare un'istanza di database RDS. Prima che una richiesta di eliminazione possa essere completata, la protezione da eliminazione deve essere disattivata. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-13(5)	Controlla se per tutte le istanze RDS è abilitata la protezione da eliminazione Scansioni in tempo reale: no
Rds In Backup Plan Nome categoria nell'API: RDS_IN_BACKUP_PLAN	Descrizione del risultato: Questo controllo valuta se le istanze DB Amazon RDS sono coperte da un piano di backup. Questo controllo non riesce se un'istanza DB RDS non è coperta da un piano di backup. AWS Backup è un servizio di backup completamente gestito che centralizza e automatizza il backup dei dati nei servizi AWS. Con AWS Backup puoi creare criteri di backup chiamati piani di backup. Puoi utilizzare questi piani per definire i requisiti di backup, ad esempio la frequenza di backup dei dati e per quanto tempo conservare tali backup. L'inclusione delle istanze DB di RDS in un piano di backup ti aiuta a proteggere i tuoi dati da perdite o eliminazioni indesiderate. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-13(5)	Le istanze DB di RDS devono essere coperte da un piano di backup Scansioni in tempo reale: no
Rds Logging Enabled Nome della categoria nell'API: RDS_LOGGING_ENABLED	Descrizione dei risultati: Questo controlla se i seguenti log di Amazon RDS sono abilitati e inviati a CloudWatch. Nei database RDS devono essere abilitati i log pertinenti. Il logging del database fornisce record dettagliati delle richieste inviate a RDS. I log del database possono essere utili per i controlli di sicurezza e di accesso e per diagnosticare i problemi di disponibilità. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-7(8)	Controlla se i log esportati sono abilitati per tutte le istanze DB RDS Scansioni in tempo reale: no
Rds Multi Az Support Nome della categoria nell'API: RDS_MULTI_AZ_SUPPORT	Descrizione del risultato: Le istanze DB RDS devono essere configurate per più zone di disponibilità (AZ). In questo modo, viene garantita la disponibilità dei dati archiviati. Le implementazioni con più AZ consentono il failover automatico in caso di problemi con la disponibilità della zona di disponibilità e durante la normale manutenzione RDS. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-13(5)	Controlla se l'alta disponibilità è abilitata per tutte le istanze DB RDS Scansioni in tempo reale: no
Redshift Cluster Configuration Check Nome della categoria nell'API: REDSHIFT_CLUSTER_CONFIGURATION_CHECK	Descrizione dei risultati: Questo verifica la presenza di elementi essenziali di un cluster Redshift: crittografia at-rest, logging e tipo di nodo. Questi elementi di configurazione sono importanti per la manutenzione di un cluster Redshift sicuro e osservabile. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-7(8) PCI-DSS v3.2.1: 10.3.1	Controlla che tutti i cluster Redshift dispongano di crittografia at-rest, logging e tipo di nodo. Scansioni in tempo reale: no
Redshift Cluster Maintenancesettings Check Nome categoria nell'API: REDSHIFT_CLUSTER_MAINTENANCESETTINGS_CHECK	Descrizione del risultato: Gli upgrade automatici delle versioni principali vengono eseguiti in base al periodo di manutenzione Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-2	Controlla che tutti i cluster Redshift abbiano allowVersionUpgrade abilitato e preferredMaintenanceWindow e automatedSnapshotRetentionPeriod impostati Scansioni in tempo reale: no
Redshift Cluster Public Access Check Nome della categoria nell'API: REDSHIFT_CLUSTER_PUBLIC_ACCESS_CHECK	Descrizione del risultato: L'attributo PubliclyAccessible della configurazione del cluster Amazon Redshift indica se il cluster è accessibile pubblicamente. Quando il cluster è configurato con PubliclyAccessible impostato su true, si tratta di un'istanza rivolta a internet che ha un nome DNS risolvibile pubblicamente, che si risolve in un indirizzo IP pubblico. Quando il cluster non è accessibile pubblicamente, si tratta di un'istanza interna con un nome DNS che si risolve in un indirizzo IP privato. A meno che tu non intenda che il cluster sia accessibile pubblicamente, non deve essere configurato con PubliclyAccessible impostato su true. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Controlla se i cluster Redshift sono accessibili pubblicamente Scansioni in tempo reale: no
Restricted Common Ports Nome categoria nell'API: RESTRICTED_COMMON_PORTS	Descrizione del risultato: Viene controllato se il traffico in entrata senza restrizioni per i gruppi di sicurezza è accessibile alle porte specificate con il rischio più elevato. Questo controllo non va a buon fine se una delle regole in un gruppo di sicurezza consente il traffico in entrata da "0.0.0.0/0" o "::/0" per queste porte. L'accesso senza restrizioni (0.0.0.0/0) aumenta le opportunità di attività dannose, come hacking, attacchi denial-of-service e perdita di dati. I gruppi di sicurezza forniscono il filtro stateful del traffico di rete in entrata e in uscita verso le risorse AWS. Nessun gruppo di sicurezza deve consentire l'accesso in entrata illimitato alle seguenti porte: 20, 21 (FTP) 22 (SSH) 23 (Telnet) 25 (SMTP) 110 (POP3) 135 (RPC) 143 (IMAP) 445 (CIFS) 1433, 1434 (MSSQL) 3000 (framework di sviluppo web Go, Node.js e Ruby) 3306 (mySQL) 3389 (RDP) 4333 (ahsp) 5000 (framework di sviluppo web Python) 5432 (postgresql) 5500 (fcp-addr-srvr1) 5601 (dashboard OpenSearch) 8080 (proxy) 8088 (porta HTTP precedente) 8888 (porta HTTP alternativa) 9200 o 9300 (OpenSearch) Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	I gruppi di sicurezza non devono consentire l'accesso illimitato alle porte ad alto rischio Scansioni in tempo reale: no
Restricted Ssh Nome della categoria nell'API: RESTRICTED_SSH	Descrizione del risultato: I gruppi di sicurezza forniscono filtri stateful del traffico di rete in entrata e in uscita verso le risorse AWS. CIS consiglia che nessun gruppo di sicurezza consenta l'accesso senza restrizioni in entrata alla porta 22. La rimozione della connettività illimitata ai servizi della console remota, come SSH, riduce l'esposizione del server ai rischi. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	I gruppi di sicurezza non devono consentire l'ingresso da 0.0.0.0/0 alla porta 22 Scansioni in tempo reale: no
Rotation Customer Created Cmks Enabled Nome categoria nell'API: ROTATION_CUSTOMER_CREATED_CMKS_ENABLED	Descrizione dei risultati: Controlla se la rotazione automatica delle chiavi è abilitata per ogni chiave e se corrisponde all'ID chiave della chiave AWS KMS creata dal cliente. La regola è NON_COMPLIANT se il ruolo Registratore AWS Config per una risorsa non dispone dell'autorizzazione kms:DescribeKey. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata ad alcun controllo degli standard di conformità.	Assicurati che sia abilitata la rotazione per le chiavi CMK create dal cliente Scansioni in tempo reale: no
Rotation Customer Created Symmetric Cmks Enabled Nome della categoria nell'API: ROTATION_CUSTOMER_CREATED_SYMMETRIC_CMKS_ENABLED	Descrizione del risultato: AWS Key Management Service (KMS) consente ai clienti di ruotare la chiave di supporto, ovvero il materiale della chiave archiviato all'interno del KMS, associato all'ID chiave della chiave master del cliente creata dal cliente (CMK). È la chiave di supporto utilizzata per eseguire operazioni crittografiche come crittografia e decriptazione. Al momento, la rotazione automatica delle chiavi conserva tutte le chiavi di supporto precedenti in modo che la decrittografia dei dati criptati possa avvenire in modo trasparente. Ti consigliamo di abilitare la rotazione delle chiavi CMK per le chiavi simmetriche. La rotazione della chiave non può essere abilitata per qualsiasi CMK asimmetrica. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS AWS Foundation 2.0.0: 3.8 CIS Controls 8.0: 3.11	Assicurati che sia abilitata la rotazione per le chiavi CMK simmetriche create dal cliente Scansioni in tempo reale: no
Routing Tables Vpc Peering Are Least Access Nome della categoria nell'API: ROUTING_TABLES_VPC_PEERING_ARE_LEAST_ACCESS	Descrizione del risultato: Controlla se le tabelle di routing per il peering VPC sono configurate con il principio del privilegio minimo. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata ad alcun controllo degli standard di conformità.	Assicurati che le tabelle di routing per il peering VPC siano ad "accesso minimo" Scansioni in tempo reale: no
S3 Account Level Public Access Blocks Nome categoria nell'API: S3_ACCOUNT_LEVEL_PUBLIC_ACCESS_BLOCKS	Descrizione del risultato: Il blocco dell'accesso pubblico di Amazon S3 fornisce impostazioni per punti di accesso, bucket e account per aiutarti a gestire l'accesso pubblico alle risorse Amazon S3. Per impostazione predefinita, i nuovi bucket, i punti di accesso e gli oggetti non consentono l'accesso pubblico. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: Questa categoria di risultati non è mappata a nessun controllo standard di conformità.	Controlla se le impostazioni richieste di blocco dell'accesso pubblico S3 sono configurate a livello di account Scansioni in tempo reale: no
S3 Buckets Configured Block Public Access Bucket And Account Settings Nome della categoria nell'API: S3_BUCKETS_CONFIGURED_BLOCK_PUBLIC_ACCESS_BUCKET_AND_ACCOUNT_SETTINGS	Descrizione dei risultati: Amazon S3 fornisce Block public access (bucket settings) e Block public access (account settings) per aiutarti a gestire l'accesso pubblico alle risorse Amazon S3. Per impostazione predefinita, i bucket e gli oggetti S3 vengono creati con l'accesso pubblico disabilitato. Tuttavia, un entità AWS IAM con autorizzazioni S3 sufficienti può attivare l'accesso pubblico a livello di bucket o di oggetto. Quando è abilitato, Block public access (bucket settings) impedisce a un singolo bucket e ai relativi oggetti che contiene di diventare accessibili pubblicamente. Allo stesso modo, Block public access (account settings) impedisce a tutti i bucket e gli oggetti contenuti di diventare accessibili pubblicamente dall'intero account. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2, SC-7 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS AWS Foundation 2.0.0: 2.1.4 CIS Controls 8.0: 3.3	Assicurati che i bucket S3 siano configurati con Block public access (bucket settings). Scansioni in tempo reale: no
S3 Bucket Access Logging Enabled Cloudtrail S3 Bucket Nome categoria nell'API: S3_BUCKET_ACCESS_LOGGING_ENABLED_CLOUDTRAIL_S3_BUCKET	Descrizione del risultato: Il logging degli accessi ai bucket S3 genera un log contenente i record di accesso per ogni richiesta inviata al bucket S3. Un record del log di accesso contiene dettagli sulla richiesta, ad esempio il tipo di richiesta, le risorse specificate nella richiesta che hanno funzionato e la data e l'ora di elaborazione della richiesta. Ti consigliamo di abilitare il logging degli accessi ai bucket nel bucket S3 CloudTrail. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-6, AU-12, AU-2 PCI-DSS v4.0: 10.2.1, 10.2.1.1 ISO-27001 v2022: A.8.15 Cloud Controls Matrix 4: DSP-17 SOC2 v2017: CC6.1.1, CC6.1.10, CC6.1.11, CC6.1.12, CC6.1.13, CC6.1.2, CC6.1.3, CC6.1.4, CC6.1.5, CC6.1.6, CC6.1.7, CC6.1.8, CC6.1.9 HIPAA: 164.312(b), 164.312(c)(1), 164.312(c)(2) CIS AWS Foundation 2.0.0: 3.6 CIS Controls 8.0: 3.14, 8.2	Assicurati che il logging degli accessi ai bucket S3 sia abilitato sul bucket S3 CloudTrail Scansioni in tempo reale: no
S3 Bucket Logging Enabled Nome categoria nell'API: S3_BUCKET_LOGGING_ENABLED	Descrizione dei risultati: La funzionalità di logging degli accessi al server AWS S3 registra le richieste di accesso ai bucket di archiviazione, il che è utile per i controlli di sicurezza. Per impostazione predefinita, il logging degli accessi al server non è abilitato per i bucket S3. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-7(8) PCI-DSS v3.2.1: 10.3.1	Controlla se il logging è abilitato su tutti i bucket S3 Scansioni in tempo reale: no
S3 Bucket Policy Set Deny Http Requests Nome della categoria nell'API: S3_BUCKET_POLICY_SET_DENY_HTTP_REQUESTS	Descrizione dei risultati: A livello di bucket Amazon S3, puoi configurare le autorizzazioni tramite un criterio del bucket che rende gli oggetti accessibili solo tramite HTTPS. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-17, IA-5, SC-8 PCI-DSS v4.0: 2.2.7, 4.1.1, 4.2.1, 4.2.1.2, 4.2.2, 8.3.2 ISO-27001 v2022: A.5.14 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-2 SOC2 v2017: CC6.1.11, CC6.1.3, CC6.1.8, CC6.7.2 HIPAA: 164.312(a)(2)(iv), 164.312(e)(1), 164.312(e)(2)(i), 164.312(e)(2)(ii) CIS AWS Foundation 2.0.0: 2.1.1 CIS Controls 8.0: 3.10	Assicurati che il criterio bucket S3 sia impostato in modo da rifiutare le richieste HTTP Scansioni in tempo reale: no
S3 Bucket Replication Enabled Nome della categoria nell'API: S3_BUCKET_REPLICATION_ENABLED	Descrizione dei risultati: Questo controllo verifica se per un bucket Amazon S3 è abilitata la replica tra regioni. Se nel bucket non è abilitata la replica tra regioni o se è abilitata anche la replica nella stessa regione, il controllo ha esito negativo. La replica è la copia automatica e asincrona degli oggetti nei bucket nella stessa regione AWS o in regioni AWS diverse. La replica copia gli oggetti appena creati e gli aggiornamenti degli oggetti da un bucket di origine a un bucket o bucket di destinazione. Le best practice AWS consigliano la replica per i bucket di origine e di destinazione di proprietà dello stesso account AWS. Oltre alla disponibilità, devi prendere in considerazione altre impostazioni di hardening dei sistemi. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-13(5)	Controlla se la replica tra regioni di bucket S3 è abilitata Scansioni in tempo reale: no
S3 Bucket Server Side Encryption Enabled Nome categoria nell'API: S3_BUCKET_SERVER_SIDE_ENCRYPTION_ENABLED	Descrizione del risultato: Questo verifica che nel bucket S3 sia abilitata la crittografia predefinita di Amazon S3 o che il criterio del bucket S3 rifiuti esplicitamente le richieste di tipo put senza crittografia lato server. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-7(6) PCI-DSS v3.2.1: 10.5.2	Assicurati che tutti i bucket S3 utilizzino la crittografia at-rest Scansioni in tempo reale: no
S3 Bucket Versioning Enabled Nome categoria nell'API: S3_BUCKET_VERSIONING_ENABLED	Descrizione dei risultati: Amazon S3 è un mezzo per mantenere più varianti di un oggetto nello stesso bucket e può aiutarti a recuperare più facilmente sia da azioni utente indesiderate sia da errori dell'applicazione. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-13(5) PCI-DSS v3.2.1: 10.5.5	Controlla che il controllo delle versioni sia abilitato per tutti i bucket S3 Scansioni in tempo reale: no
S3 Default Encryption Kms Nome categoria nell'API: S3_DEFAULT_ENCRYPTION_KMS	Descrizione del risultato: Controlla se i bucket Amazon S3 sono criptati con AWS Key Management Service (AWS KMS) Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-7(6)	Controlla che tutti i bucket siano criptati con KMS Scansioni in tempo reale: no
Sagemaker Notebook Instance Kms Key Configured Nome categoria nell'API: SAGEMAKER_NOTEBOOK_INSTANCE_KMS_KEY_CONFIGURED	Descrizione dei risultati: Controlla se è configurata una chiave AWS Key Management Service (KMS AWS) per un'istanza di blocco note Amazon SageMaker. La regola è NON_COMPLIANT se "KmsKeyId" non è specificato per l'istanza del blocco note SageMaker. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-7(6) PCI-DSS v3.2.1: 8.2.1	Controlla che tutte le istanze di notebook SageMaker siano configurate per utilizzare KMS Scansioni in tempo reale: no
Sagemaker Notebook No Direct Internet Access Nome della categoria nell'API: SAGEMAKER_NOTEBOOK_NO_DIRECT_INTERNET_ACCESS	Descrizione dei risultati: Controlla se l'accesso diretto a internet è disabilitato per un'istanza di notebook SageMaker. A tal fine, controlla se il campo DirectInternetAccess è disabilitato per l'istanza del notebook. Se configuri l'istanza SageMaker senza un VPC, per impostazione predefinita l'accesso diretto a internet è abilitato nell'istanza. Devi configurare l'istanza con un VPC e modificare l'impostazione predefinita su Disattiva: accedi a internet tramite un VPC. Per addestrare o ospitare modelli da un notebook, devi disporre di accesso a internet. Per abilitare l'accesso a internet, assicurati che il VPC abbia un gateway NAT e che il gruppo di sicurezza consenta le connessioni in uscita. Per scoprire di più su come connettere un'istanza notebook alle risorse in una VPC, consulta Connetti un'istanza notebook alle risorse in una VPC nella Guida per gli sviluppatori di Amazon SageMaker. Devi anche assicurarti che l'accesso alla configurazione di SageMaker sia limitato solo agli utenti autorizzati. Limita gli utenti Autorizzazioni IAM per modificare impostazioni e risorse di SageMaker. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Controlla se l'accesso diretto a internet è disabilitato per tutte le istanze di notebook Amazon SageMaker Scansioni in tempo reale: no
Secretsmanager Rotation Enabled Check Nome categoria nell'API: SECRETSMANAGER_ROTATION_ENABLED_CHECK	Descrizione del risultato: Controlla se un secret archiviato in AWS Secrets Manager è configurato con la rotazione automatica. Il controllo non va a buon fine se il secret non è configurato con la rotazione automatica. Se fornisci un valore personalizzato per il parametro maximumAllowedRotationFrequency, il controllo passa solo se il secret viene ruotato automaticamente entro il periodo di tempo specificato. Secret Manager ti aiuta a migliorare la security posture della tua organizzazione. I secret includono credenziali del database, password e chiavi API di terze parti. Puoi utilizzare Secret Manager per archiviare i secret a livello centrale, criptarli automaticamente, controllare l'accesso ai secret e ruotare i secret in modo sicuro e automatico. Secret Manager può ruotare i secret. Puoi utilizzare la rotazione per sostituire i secret a lungo termine con quelli a breve termine. La rotazione dei tuoi secret limita il tempo per cui un utente non autorizzato può utilizzare un secret compromesso. Per questo motivo, devi ruotare i secret di frequente. Per scoprire di più sulla rotazione, consulta la sezione Rotazione dei secret di AWS Secrets Manager nella Guida dell'utente di AWS Secrets Manager. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: AC-3(15) PCI-DSS v3.2.1: 8.2.4	Controlla che la rotazione sia abilitata per tutti i secret di AWS Secrets Manager Scansioni in tempo reale: no
Sns Encrypted Kms Nome categoria nell'API: SNS_ENCRYPTED_KMS	Descrizione dei risultati: Controlla se un argomento SNS è criptato at-rest utilizzando AWS KMS. I controlli non vanno a buon fine se un argomento SNS non utilizza una chiave KMS per la crittografia lato server (SSE). La crittografia dei dati at-rest riduce il rischio che i dati archiviati su disco vengano accessibili da un utente non autenticato su AWS. Inoltre, aggiunge un altro insieme di controlli dell'accesso per limitare la possibilità da parte di utenti non autorizzati di accedere ai dati. Ad esempio, sono necessarie le autorizzazioni API per decriptare i dati prima che possano essere letti. Gli argomenti SNS devono essere criptati at-rest per un ulteriore livello di sicurezza. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-7(6)	Controlla che tutti gli argomenti SNS siano criptati con KMS Scansioni in tempo reale: no
Vpc Default Security Group Closed Nome della categoria nell'API: VPC_DEFAULT_SECURITY_GROUP_CLOSED	Descrizione del risultato: Questo controllo verifica se il gruppo di sicurezza predefinito di un VPC consente il traffico in entrata o in uscita. Se il gruppo di sicurezza consente il traffico in entrata o in uscita, il controllo non va a buon fine. Le regole per il gruppo di sicurezza predefinito consentono tutto il traffico in uscita e in entrata proveniente dalle interfacce di rete (e dalle relative istanze associate) assegnate allo stesso gruppo di sicurezza. Ti consigliamo di non utilizzare il gruppo di sicurezza predefinito. Poiché il gruppo di sicurezza predefinito non può essere eliminato, devi modificare l'impostazione delle regole del gruppo di sicurezza predefinito in modo da limitare il traffico in entrata e in uscita. In questo modo si evita il traffico indesiderato se il gruppo di sicurezza predefinito viene configurato accidentalmente per risorse come le istanze EC2. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Assicurati che il gruppo di sicurezza predefinito di ogni VPC limiti tutto il traffico Scansioni in tempo reale: no
Vpc Flow Logging Enabled All Vpcs Nome della categoria nell'API: VPC_FLOW_LOGGING_ENABLED_ALL_VPCS	Descrizione dei risultati: I log di flusso VPC sono una funzionalità che consente di acquisire informazioni sul traffico IP da e verso le interfacce di rete nel VPC. Dopo aver creato un log dei flussi, puoi visualizzarne e recuperarne i dati in Amazon CloudWatch Logs. È consigliabile abilitare i log di flusso VPC per i pacchetti "Rifiutati" per i VPC. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-4, SI-7(8) PCI-DSS v3.2.1: 10.3.1 ISO-27001 v2022: A.8.15, A.8.16 Cloud Controls Matrix 4: IVS-03 NIST Cybersecurity Framework 1.0: DE-CM-1 SOC2 v2017: CC7.2.1, CC7.2.2, CC7.2.3, CC7.2.4 CIS AWS Foundation 2.0.0: 3.9 CIS Controls 8.0: 13.6, 8.2	Assicurati che il logging dei flussi VPC sia abilitato in tutti i VPC Scansioni in tempo reale: no
Vpc Sg Open Only To Authorized Ports Nome categoria nell'API: VPC_SG_OPEN_ONLY_TO_AUTHORIZED_PORTS	Descrizione del risultato: Questo controllo verifica se un gruppo di sicurezza Amazon EC2 consente il traffico in entrata senza restrizioni da porte non autorizzate. Lo stato del controllo viene determinato come segue: Se utilizzi il valore predefinito per authorizedTcpPorts, il controllo non va a buon fine se il gruppo di sicurezza consente il traffico in entrata senza restrizioni da qualsiasi porta diversa da 80 e 443. Se fornisci valori personalizzati per authorizedTcpPorts o authorizedUdpPorts, il controllo non va a buon fine se il gruppo di sicurezza consente il traffico in entrata senza restrizioni da qualsiasi porta non inclusa nell'elenco. Se non viene utilizzato alcun parametro, il controllo non va a buon fine per qualsiasi gruppo di sicurezza con una regola per il traffico in entrata senza restrizioni. I gruppi di sicurezza forniscono il filtraggio stateful del traffico di rete in entrata e in uscita verso AWS. Le regole del gruppo di sicurezza devono seguire il principio del privilegio minimo. L'accesso senza restrizioni (indirizzo IP con suffisso /0) aumenta le opportunità di attività dannose come pirateria informatica, attacchi di tipo denial-of-service e perdita di dati. A meno che una porta non sia specificamente consentita, deve negare l'accesso illimitato. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Controlla che tutti i gruppi di sicurezza con 0.0.0.0/0 di qualsiasi VPC consentano solo traffico TCP/UDP in entrata specifico Scansioni in tempo reale: no
Both VPC VPN Tunnels Up Nome categoria nell'API: VPC_VPN_2_TUNNELS_UP	Descrizione del risultato: Un tunnel VPN è un link criptato in cui i dati possono passare dalla rete del cliente ad AWS o viceversa all'interno di una connessione VPN AWS Site-to-Site. Ogni connessione VPN include due tunnel VPN che puoi utilizzare contemporaneamente per l'alta disponibilità. È importante assicurarsi che entrambi i tunnel VPN siano attivi per una connessione VPN per confermare una connessione sicura e ad alta disponibilità tra un VPC AWS e la rete remota. Questo controllo verifica che entrambi i tunnel VPN forniti da AWS Site-to-Site VPN siano in stato UP. Il controllo non riesce se uno o entrambi i tunnel sono in stato ATTIVO. Livello di prezzo: Enterprise Correggi questo risultato Standard di conformità: NIST 800-53 R5: SI-13(5)	Controlla che entrambi i tunnel VPN forniti da AWS tra siti siano in stato attivo Scansioni in tempo reale: no

Risultati di Web Security Scanner

Importante: le analisi gestite sono disponibili solo nel livello Security Command Center Premium.

Le scansioni personalizzate e gestite di Web Security Scanner identificano i seguenti tipi di risultati. Nel livello Standard, Web Security Scanner supporta le scansioni personalizzate per le applicazioni di cui è stato eseguito il deployment con URL e IP pubblici che non sono protetti da un firewall.

Categoria	Descrizione del risultato	Top 10 OWASP 2017	Top 10 OWASP 2021
Accessible Git repository Nome della categoria nell'API: ACCESSIBLE_GIT_REPOSITORY	Un repository Git è esposto pubblicamente. Per risolvere questo risultato, rimuovi l'accesso pubblico al repository GIT. Livello di prezzo: Standard Correggi questo risultato	A5	A01
Accessible SVN repository Nome categoria nell'API: ACCESSIBLE_SVN_REPOSITORY	Un repository SVN è esposto pubblicamente. Per risolvere questo risultato, rimuovi pubblico l'accesso involontario al repository SVN. Livello di prezzo: Standard Correggi questo risultato	A5	A01
Cacheable password input Nome della categoria nell'API: CACHEABLE_PASSWORD_INPUT	Le password inserite nell'applicazione web possono essere memorizzate nella cache di un normale browser anziché in uno spazio di archiviazione sicuro delle password. Livello di prezzo: Premium Correggi questo risultato	A3	A04
Clear text password Nome della categoria nell'API: CLEAR_TEXT_PASSWORD	Le password vengono trasmesse in chiaro e possono essere intercettate. Per risolvere il problema ricerca, crittografare la password trasmessa sulla rete. Livello di prezzo: Standard Correggi questo risultato	A3	A02
Insecure allow origin ends with validation Nome della categoria nell'API: INSECURE_ALLOW_ORIGIN_ENDS_WITH_VALIDATION	Un endpoint HTTP o HTTPS tra siti convalida solo un suffisso di Origin dell'intestazione della richiesta prima di rifletterla all'interno di Access-Control-Allow-Origin l'intestazione della risposta. Per risolvere questo problema, verifica che il dominio principale previsto faccia parte del valore dell'intestazione Origin prima di rifletterlo nell'intestazione della risposta Access-Control-Allow-Origin. Per i caratteri jolly del sottodominio, anteponi il punto al dominio principale, ad esempio .endsWith(".google.com"). Livello di prezzo: Premium Correggi questo risultato	A5	A01
Insecure allow origin starts with validation Nome categoria nell'API: INSECURE_ALLOW_ORIGIN_STARTS_WITH_VALIDATION	Un endpoint HTTP o HTTPS tra siti convalida solo un prefisso di Origin dell'intestazione della richiesta prima di rifletterla all'interno di Access-Control-Allow-Origin l'intestazione della risposta. Per risolvere questo problema, verifica che il dominio previsto corrisponda completamente al valore dell'intestazione Origin prima di rifletterlo nell'intestazione di risposta Access-Control-Allow-Origin, ad esempio .equals(".google.com"). Livello di prezzo: Premium Correggi questo risultato	A5	A01
Invalid content type Nome categoria nell'API: INVALID_CONTENT_TYPE	È stata caricata una risorsa che non corrisponde all'intestazione HTTP Content-Type della risposta. Per risolvere questo problema, imposta l'intestazione HTTP X-Content-Type-Options con il valore corretto. Livello di prezzo: Standard Correggi questo risultato	A6	A05
Invalid header Nome della categoria nell'API: INVALID_HEADER	Un'intestazione di sicurezza contiene un errore di sintassi e viene ignorata dai browser. Per risolvere il problema, imposta correttamente le intestazioni di sicurezza HTTP. Livello di prezzo: Standard Correggi questo risultato	A6	A05
Mismatching security header values Nome categoria nell'API: MISMATCHING_SECURITY_HEADER_VALUES	Un'intestazione di sicurezza ha valori duplicati e non corrispondenti, che comportano un comportamento indefinito. Per risolvere il problema, imposta correttamente le intestazioni di sicurezza HTTP. Livello di prezzo: Standard Correggi questo risultato	A6	A05
Misspelled security header name Nome della categoria nell'API: MISSPELLED_SECURITY_HEADER_NAME	Un'intestazione di sicurezza contiene un errore ortografico e viene ignorata. Per risolvere questo risultato, imposta HTTP le intestazioni di sicurezza. Livello di prezzo: Standard Correggi questo risultato	A6	A05
Mixed content Nome categoria nell'API: MIXED_CONTENT	Le risorse vengono pubblicate tramite HTTP in una pagina HTTPS. Per risolvere questo risultato, assicurati che tutte le risorse siano pubblicate tramite HTTPS. Livello di prezzo: Standard Correggi questo risultato	A6	A05
Outdated library Nome categoria nell'API: OUTDATED_LIBRARY	È stata rilevata una libreria con vulnerabilità note. Per risolvere questo problema, esegui l'upgrade delle librerie a una versione più recente. Livello di prezzo: Standard Correggi questo risultato	A9	A06
Server side request forgery Nome categoria nell'API: SERVER_SIDE_REQUEST_FORGERY	È stata rilevata una vulnerabilità di falsificazione delle richieste lato server (SSRF, Server-Side Request Forgery). Per risolvere questo risultato, utilizza una lista consentita per limitare i domini e gli indirizzi IP che l'applicazione web può rendere a cui inviare richieste. Livello di prezzo: Standard Correggi questo risultato	Non applicabile	A10
Session ID leak Nome categoria nell'API: SESSION_ID_LEAK	Quando effettui una richiesta interdominio, l'applicazione web include la sessione dell'utente identificatore nell'intestazione della richiesta Referer. Questa vulnerabilità consente al dominio di destinazione di accedere all'identificatore di sessione, che può essere utilizzato per rubare l'identità o identificare in modo univoco l'utente. Livello di prezzo: Premium Correggi questo risultato	A2	A07
SQL injection Nome categoria nell'API: SQL_INJECTION	È stata rilevata una potenziale vulnerabilità di SQL injection. Per risolvere questo problema, utilizza query con parametri per impedire che gli input degli utenti influenzino la struttura della query SQL. Livello di prezzo: Premium Correggi questo risultato	A1	A03
Struts insecure deserialization Nome della categoria nell'API: STRUTS_INSECURE_DESERIALIZATION	L'utilizzo di una versione vulnerabile di Apache Struts è stato rilevato. Per risolvere questo risultato, esegui l'upgrade di Apache Struts alla versione più recente. Livello di prezzo: Premium Correggi questo risultato	A8	A08
XSS Nome categoria nell'API: XSS	Un campo di questa applicazione web è vulnerabile a un attacco cross-site scripting (XSS). Per risolvere questo problema, convalida ed elimina i dati non attendibili forniti dall'utente. Livello di prezzo: Standard Correggi questo risultato	A7	A03
XSS angular callback Nome categoria nell'API: XSS_ANGULAR_CALLBACK	Una stringa fornita dall'utente non presenta caratteri di escape e AngularJS può interporla. Per risolvere questo rilevamento, convalida ed elimina i dati non attendibili forniti dall'utente e gestiti dal framework Angular. Livello di prezzo: Standard Correggi questo risultato	A7	A03
XSS error Nome della categoria nell'API: XSS_ERROR	Un campo di questa applicazione web è vulnerabile a un attacco di cross-site scripting. Per risolvere questo problema, convalida ed elimina i dati non attendibili forniti dall'utente. Livello di prezzo: Standard Correggi questo risultato	A7	A03
XXE reflected file leakage Nome della categoria nell'API: XXE_REFLECTED_FILE_LEAKAGE	È stata rilevata una vulnerabilità di tipo XXE (XML External Entity). Questa vulnerabilità può causare un'applicazione web per far trapelare un file sull'host. Per risolvere questo problema, configura i tuoi analizzatori XML in modo da non consentire le entità esterne. Livello di prezzo: Premium Correggi questo risultato	A4	A05
Prototype pollution Nome della categoria nell'API: PROTOTYPE_POLLUTION	L'applicazione è vulnerabile all'inquinamento del prototipo. Questa vulnerabilità si verifica quando dell'oggetto Object.prototype possono essere assegnate i valori controllabili dai malintenzionati. I valori inseriti in questi prototipi sono universalmente considerati per tradursi in cross-site scripting (XSS) o vulnerabilità simili lato client, nonché e bug di logica. Livello di prezzo: Standard Correggi questo risultato	A1	A03

Risultati del motore per suggerimenti IAM

Solo livello Premium: questa funzionalità è disponibile solo con il livello Premium di Security Command Center.

Nella tabella seguente sono elencati i risultati di Security Command Center generati dal motore per suggerimenti IAM.

Nota: i risultati del motore per suggerimenti IAM non sono disponibili con le attivazioni a livello di progetto di Security Command Center.

Ogni risultato del motore per suggerimenti IAM contiene suggerimenti specifici per rimuovere o sostituire un ruolo che include autorizzazioni eccessive da un'entità nel tuo ambiente Google Cloud.

I risultati generati dal Recommender IAM corrispondono ai consigli visualizzati nella console Google Cloud nella pagina IAM del progetto, della cartella o dell'organizzazione interessati.

Per saperne di più sull'integrazione del motore per suggerimenti IAM con Security Command Center, vedi Origini di sicurezza.

Rilevatore	Riepilogo
IAM role has excessive permissions Nome categoria nell'API: IAM_ROLE_HAS_EXCESSIVE_PERMISSIONS	Descrizione del problema: il Recommender IAM ha rilevato un account di servizio con uno o più ruoli IAM che concedono autorizzazioni eccessive all'account utente. Livello di prezzo: Premium Asset supportati: google.cloud.resourcemanager.Project google.cloud.resourcemanager.Folder google.cloud.resourcemanager.Organization Correggi questo risultato : Utilizza il motore per suggerimenti IAM per applicare la correzione consigliata per questo rilevamento seguendo questi passaggi: Nella sezione Passaggi successivi dei dettagli del rilevamento nella console Google Cloud, copia e incolla l'URL della pagina IAM nella barra degli indirizzi del browser e premi Invio. Viene caricata la pagina IAM. Nella parte superiore della pagina IAM, a destra, fai clic su Visualizza i consigli nella tabella. I consigli vengono visualizzati in una tabella. Nella colonna Approfondimenti sulla sicurezza, fai clic su un consiglio relativo alle autorizzazioni in eccesso. Viene visualizzato il riquadro dei dettagli del consiglio. Esamina il consiglio per individuare le azioni che puoi intraprendere per risolvere il problema. Fai clic su Applica. Una volta risolto il problema, il motore per suggerimenti IAM aggiorna lo stato del risultato in INACTIVE entro 24 ore.
Service agent role replaced with basic role Nome categoria nell'API: SERVICE_AGENT_ROLE_REPLACED_WITH_BASIC_ROLE	Ricerca della descrizione: il motore per suggerimenti IAM ha rilevato che l'impostazione predefinita originale Il ruolo IAM concesso a un agente di servizio è stato sostituito con uno dei ruoli di base Ruoli IAM: Proprietario, Editor o Visualizzatore. I ruoli di base sono ruoli legacy eccessivamente permissivi, che non dovrebbero essere concessi agli agenti di servizio. Livello di prezzo: Premium Asset supportati: google.cloud.resourcemanager.Project google.cloud.resourcemanager.Folder google.cloud.resourcemanager.Organization Risolvi questo rilevamento : Utilizza il motore per suggerimenti IAM per applicare la correzione consigliata per questo risultato seguendo questi passaggi: Nella sezione Passaggi successivi dei dettagli del risultato nella console Google Cloud, copia e incolla l'URL della pagina IAM nella barra degli indirizzi del browser. e premi Invio. Viene caricata la pagina IAM. Nella parte superiore della pagina IAM, a destra, fai clic su Visualizza i consigli nella tabella. I consigli vengono visualizzati in una tabella. Nella colonna Approfondimenti sulla sicurezza, fai clic su qualsiasi autorizzazione correlata alle autorizzazioni in eccesso. Si apre il riquadro dei dettagli del suggerimento. Esamina le autorizzazioni in eccesso. Fai clic su Applica. Una volta risolto il problema, il motore per suggerimenti IAM aggiorna lo stato del risultato in INACTIVE entro 24 ore.
Service agent granted basic role Nome della categoria nell'API: SERVICE_AGENT_GRANTED_BASIC_ROLE	Descrizione del problema: il motore per suggerimenti IAM ha rilevato che a un agente di servizio è stato concesso uno dei ruoli IAM di base: Proprietario, Editor o Visualizzatore. I ruoli di base sono ruoli legacy eccessivamente permissivi e non devono essere concessi agli agenti di servizio. Livello di prezzo: Premium Asset supportati: google.cloud.resourcemanager.Project google.cloud.resourcemanager.Folder google.cloud.resourcemanager.Organization Correggi questo risultato : Utilizza il motore per suggerimenti IAM per applicare la correzione consigliata per questo risultato seguendo questi passaggi: Nella sezione Passaggi successivi dei dettagli del risultato nella console Google Cloud, copia e incolla l'URL della pagina IAM nella barra degli indirizzi del browser. e premi Invio. Viene caricata la pagina IAM. Nella parte superiore della pagina IAM, a destra, fai clic su Visualizza i consigli nella tabella. I consigli vengono visualizzati in una tabella. Nella colonna Approfondimenti sulla sicurezza, fai clic su qualsiasi autorizzazione correlata alle autorizzazioni in eccesso. Si apre il riquadro dei dettagli del suggerimento. Esamina le autorizzazioni in eccesso. Fai clic su Applica. Una volta risolto il problema, il motore per suggerimenti IAM aggiorna lo stato del risultato in INACTIVE entro 24 ore.
Unused IAM role Nome della categoria nell'API: UNUSED_IAM_ROLE	Descrizione del problema: il Recommender IAM ha rilevato un account utente con un ruolo IAM che non è stato utilizzato negli ultimi 90 giorni. Livello di prezzo: Premium Asset supportati: google.cloud.resourcemanager.Project google.cloud.resourcemanager.Folder google.cloud.resourcemanager.Organization Correggi questo risultato : Utilizza il motore per suggerimenti IAM per applicare la correzione consigliata per questo risultato seguendo questi passaggi: Nella sezione Passaggi successivi dei dettagli del risultato nella console Google Cloud, copia e incolla l'URL della pagina IAM nella barra degli indirizzi del browser. e premi Invio. Viene caricata la pagina IAM. Nella parte superiore della pagina IAM, a destra, fai clic su Visualizza i consigli nella tabella. I consigli vengono visualizzati in una tabella. Nella colonna Approfondimenti sulla sicurezza, fai clic su qualsiasi autorizzazione correlata alle autorizzazioni in eccesso. Si apre il riquadro dei dettagli del suggerimento. Esamina le autorizzazioni in eccesso. Fai clic su Applica. Una volta risolto il problema, il motore per suggerimenti IAM aggiorna lo stato del rilevamento su INACTIVE entro 24 ore.

Risultati CIEM

Solo livello Enterprise: questa funzionalità è disponibile solo con il livello Enterprise di Security Command Center.

La tabella seguente elenca i risultati relativi a identità e accesso di Security Command Center per AWS generate da CIEM (Cloud Infrastructure Entitlement Management).

I risultati di CIEM contengono consigli specifici per rimuovere o sostituire i criteri IAM di AWS altamente permissivi associati a identità, utenti o gruppi assunti nel tuo ambiente AWS.

Per ulteriori informazioni su CIEM, vedi Panoramica della gestione dei diritti dell'infrastruttura cloud.

Rilevatore	Riepilogo
Assumed identity has excessive permissions Nome categoria nell'API: ASSUMED_IDENTITY_HAS_EXCESSIVE_PERMISSIONS	Descrizione dell'esito: nel tuo ambiente AWS, CIEM ha rilevato un ruolo IAM presunto con uno o più criteri molto permissivi che violano il principio del privilegio minimo e aumentano i rischi per la sicurezza. Livello di prezzo: Enterprise Risolvi questo rilevamento : A seconda del rilevamento, utilizza la console di gestione AWS per eseguire una delle seguenti attività di correzione: Rimuovi il criterio altamente permissivo. Crea un nuovo criterio con le autorizzazioni minime richieste per l'utente, il gruppo o il ruolo. Quindi, collega il nuovo criterio all'utente, al gruppo o al ruolo e rimuovi il criterio altamente permissivo. Fai riferimento ai dettagli del risultato per i passaggi di correzione specifici.
Group has excessive permissions Nome categoria nell'API: GROUP_HAS_EXCESSIVE_PERMISSIONS	Descrizione del problema: nel tuo ambiente AWS, CIEM ha rilevato un gruppo IAM con uno o più criteri molto permissivi che violano il principio del privilegio minimo e aumentano i rischi per la sicurezza. Livello di prezzo: Enterprise Correggi questo risultato : A seconda del rilevamento, utilizza la console di gestione AWS per eseguire una delle seguenti attività di correzione: Rimuovi il criterio altamente permissivo. Crea un nuovo criterio con le autorizzazioni minime richieste per l'utente, il gruppo o il ruolo. Quindi, collega il nuovo criterio all'utente, al gruppo o al ruolo e rimuovi il criterio altamente permissivo. Fai riferimento ai dettagli del risultato per i passaggi di correzione specifici.
User has excessive permissions Nome categoria nell'API: USER_HAS_EXCESSIVE_PERMISSIONS	Descrizione dell'esito: nel tuo ambiente AWS, CIEM ha rilevato un utente IAM con uno o più criteri molto permissivi che violano il principio del privilegio minimo e aumentano i rischi per la sicurezza. Livello di prezzo: Enterprise Correggi questo risultato : A seconda del rilevamento, utilizza la console di gestione AWS per eseguire una delle seguenti attività di correzione: Rimuovi il criterio altamente permissivo. Crea un nuovo criterio con le autorizzazioni minime richieste per l'utente, il gruppo o il ruolo. Quindi, collega il nuovo criterio all'utente, al gruppo o al ruolo e rimuovi il criterio altamente permissivo. Fai riferimento ai dettagli del risultato per i passaggi di correzione specifici.

Risultati del servizio Security posture

Solo il livello Premium: questa funzionalità è disponibile solo con il Security Command Center Livello Premium.

La tabella seguente elenca i risultati di Security Command Center generati il servizio security posture.

Ogni risultato del servizio Security posture identifica un'istanza di deviazione della security posture che hai definito.

Risultato	Riepilogo
SHA Canned Module Drifted Nome della categoria nell'API: SECURITY_POSTURE_DETECTOR_DRIFT	Descrizione del rilevamento: il servizio di stato della sicurezza ha rilevato una modifica a un rilevatore Security Health Analytics avvenuta al di fuori di un aggiornamento dello stato. Livello di prezzo: Premium Risolvi questo rilevamento : Questo risultato richiede l'accettazione della modifica o il ripristino della modifica in modo che le impostazioni del rilevatore nella postura e nell'ambiente corrispondono. Hai a disposizione due opzioni per risolvere questo risultato: puoi aggiornare il rilevatore di Security Health Analytics oppure della postura e del deployment della postura. Per annullare la modifica, aggiorna il rilevatore di Security Health Analytics nella console Google Cloud. Per istruzioni, vedi Attivare e disattivare i rilevatori. Per accettare la modifica, completa i seguenti passaggi: Aggiorna il file posture.yaml con la modifica. Esegui il comando gcloud scc postures update. Per le istruzioni, consulta Aggiornare le definizioni dei criteri in una postura. Esegui il deployment della postura aggiornata con il nuovo ID revisione. Per le istruzioni, consulta Aggiornare un deployment di posture.
SHA Custom Module Drifted Nome della categoria nell'API: SECURITY_POSTURE_DETECTOR_DRIFT	Ricerca della descrizione: il servizio Security posture ha rilevato una modifica a un Modulo personalizzato di Security Health Analytics che si è verificato al di fuori di un aggiornamento della postura. Livello di prezzo: Premium Risolvi questo rilevamento : Questo risultato richiede l'accettazione della modifica o il ripristino della modifica in modo che l'account personalizzato le impostazioni del modulo nella tua postura e nel tuo ambiente corrispondono. Hai due opzioni per risolvere questo problema: puoi aggiornare il modulo personalizzato di Security Health Analytics o aggiornare la postura e il relativo deployment. Per annullare la modifica, aggiorna il modulo personalizzato Security Health Analytics nel nella console Google Cloud. Per istruzioni, vedi Aggiorna un modulo personalizzato. Per accettare la modifica, svolgi i seguenti passaggi: Aggiorna il file posture.yaml con la modifica. Esegui il comando gcloud scc postures update. Per istruzioni, vedi Aggiorna le definizioni dei criteri in una postura. Esegui il deployment della postura aggiornata con il nuovo ID revisione. Per istruzioni, vedi Aggiorna un deployment della postura.
SHA Custom Module Deleted Nome categoria nell'API: SECURITY_POSTURE_DETECTOR_DELETE	Descrizione dei risultati: il servizio Security posture ha rilevato che un Il modulo personalizzato di Security Health Analytics è stato eliminato. Questa eliminazione si è verificata al di fuori di una postura aggiornamento. Livello di prezzo: Premium Risolvi questo rilevamento : Questo risultato richiede l'accettazione della modifica o il ripristino della modifica in modo che l'account personalizzato le impostazioni del modulo nella tua postura e nel tuo ambiente corrispondono. Hai due opzioni per risolvere questo problema: puoi aggiornare il modulo personalizzato di Security Health Analytics o aggiornare la postura e il relativo deployment. Per annullare la modifica, aggiorna il modulo personalizzato Security Health Analytics nel nella console Google Cloud. Per le istruzioni, vedi Aggiornare un modulo personalizzato. Per accettare la modifica, svolgi i seguenti passaggi: Aggiorna il file posture.yaml con la modifica. Esegui il comando gcloud scc postures update. Per le istruzioni, consulta Aggiornare le definizioni dei criteri in una postura. Esegui il deployment della postura aggiornata con il nuovo ID revisione. Per istruzioni, vedi Aggiorna un deployment della postura.
Org Policy Canned Constraint Drifted Nome della categoria nell'API: SECURITY_POSTURE_POLICY_DRIFT	Ricerca della descrizione: il servizio Security posture ha rilevato una modifica a un che si è verificato al di fuori di un aggiornamento della postura. Livello di prezzo: Premium Risolvi questo rilevamento : Questo risultato richiede l'accettazione della modifica o il ripristino della modifica in modo che le definizioni dei criteri dell'organizzazione nella tua postura e nel tuo ambiente corrispondono. Ne hai due per risolvere questo risultato: puoi aggiornare il criterio dell'organizzazione la postura e il deployment della postura. Per annullare la modifica, aggiorna il criterio dell'organizzazione nella console Google Cloud. Per le istruzioni, consulta Creare e modificare i criteri. Per accettare la modifica, completa i seguenti passaggi: Aggiorna il file posture.yaml con la modifica. Esegui il comando gcloud scc postures update. Per le istruzioni, consulta Aggiornare le definizioni dei criteri in una postura. Esegui il deployment della postura aggiornata con il nuovo ID revisione. Per le istruzioni, consulta Aggiornare un deployment di posture.
Org Policy Canned Constraint Deleted Nome categoria nell'API: SECURITY_POSTURE_POLICY_DELETE	Descrizione dei risultati: il servizio Security posture ha rilevato che un il criterio dell'organizzazione è stato eliminato. Questa eliminazione è avvenuta al di fuori di un aggiornamento della posizione. Livello di prezzo: Premium Correggi questo risultato : Questo risultato richiede l'accettazione della modifica o il ripristino della modifica in modo che le definizioni dei criteri dell'organizzazione nella tua postura e nel tuo ambiente corrispondono. Ne hai due per risolvere questo risultato: puoi aggiornare il criterio dell'organizzazione la postura e il deployment della postura. Per annullare la modifica, aggiorna il criterio dell'organizzazione nella console Google Cloud. Per le istruzioni, consulta Creare e modificare i criteri. Per accettare la modifica, completa i seguenti passaggi: Aggiorna il file posture.yaml con la modifica. Esegui il comando gcloud scc postures update. Per istruzioni, vedi Aggiorna le definizioni dei criteri in una postura. Esegui il deployment della postura aggiornata con il nuovo ID revisione. Per le istruzioni, consulta Aggiornare un deployment di posture.
Org Policy Custom Constraint Drifted Nome categoria nell'API: SECURITY_POSTURE_POLICY_DRIFT	Descrizione del rilevamento: il servizio di analisi della postura di sicurezza ha rilevato una modifica a un criterio dell'organizzazione personalizzato che si è verificata al di fuori di un aggiornamento della postura. Livello di prezzo: Premium Correggi questo risultato : Questo rilevamento richiede che tu accetti la modifica o ripristini la modifica in modo che le definizioni dei criteri dell'organizzazione personalizzati nella tua postura e nel tuo ambiente corrispondano. Ne hai due per risolvere questo risultato: puoi aggiornare il criterio personalizzato dell'organizzazione oppure aggiornare la postura e il deployment della postura. Per annullare la modifica, aggiorna il criterio personalizzato dell'organizzazione nel nella console Google Cloud. Per istruzioni, vedi Aggiorna un vincolo personalizzato. Per accettare la modifica, svolgi i seguenti passaggi: Aggiorna il file posture.yaml con la modifica. Esegui il comando gcloud scc postures update. Per le istruzioni, consulta Aggiornare le definizioni dei criteri in una postura. Esegui il deployment della postura aggiornata con il nuovo ID revisione. Per le istruzioni, consulta Aggiornare un deployment di posture.
Org Policy Custom Constraint Deleted Nome della categoria nell'API: SECURITY_POSTURE_POLICY_DELETE	Descrizione del rilevamento: il servizio di analisi della postura di sicurezza ha rilevato che è stato eliminato un criterio personalizzato dell'organizzazione. Questa eliminazione è avvenuta al di fuori di un aggiornamento della posizione. Livello di prezzo: Premium Correggi questo risultato : Questo rilevamento richiede che tu accetti la modifica o ripristini la modifica in modo che le definizioni dei criteri dell'organizzazione personalizzati nella tua postura e nel tuo ambiente corrispondano. Ne hai due per risolvere questo risultato: puoi aggiornare il criterio personalizzato dell'organizzazione oppure aggiornare la postura e il deployment della postura. Per annullare la modifica, aggiorna il criterio dell'organizzazione personalizzata nella console Google Cloud. Per istruzioni, vedi Aggiorna un vincolo personalizzato. Per accettare la modifica, svolgi i seguenti passaggi: Aggiorna il file posture.yaml con la modifica. Esegui il comando gcloud scc postures update. Per le istruzioni, consulta Aggiornare le definizioni dei criteri in una postura. Esegui il deployment della postura aggiornata con il nuovo ID revisione. Per istruzioni, vedi Aggiorna un deployment della postura.

La tabella seguente elenca i risultati relativi alla situazione di sicurezza che identificano le risorse che violano la tua situazione di sicurezza definita.

Risultato	Riepilogo
Disable VPC External IPv6 Nome della categoria nell'API: DISABLE_VPC_EXTERNAL_IP_V6_ORG_POLICY	Descrizione dei risultati: il servizio Security posture ha rilevato che un nella subnet è abilitato un indirizzo IPv6 esterno. Livello di prezzo: Premium Risolvi questo rilevamento : Hai due opzioni per risolvere questo rilevamento: puoi eliminare la risorsa in violazione o puoi aggiornare e rieseguire il deployment della postura. Per eliminare la risorsa: Apri il riepilogo dei risultati. Controlla la sezione della risorsa interessata e trova il nome completo della risorsa che viola il criterio di conformità. Fai clic sul nome completo della risorsa per aprirne i dettagli. Elimina la risorsa. Se vuoi mantenere la risorsa nella stessa configurazione, devi aggiornare postura. Per aggiornare la postura, completa i seguenti passaggi: Aggiorna il file posture.yaml con la modifica. Esegui il comando gcloud scc postures update. Per le istruzioni, consulta Aggiornare le definizioni dei criteri in una postura. Esegui il deployment della postura aggiornata con il nuovo ID revisione. Per istruzioni, vedi Aggiorna un deployment della postura.
Disable VPC Internal IPv6 Nome categoria nell'API: DISABLE_VPC_INTERNAL_IP_V6_ORG_POLICY	Descrizione del rilevamento: il servizio di analisi della posizione di sicurezza ha rilevato che in una subnet è abilitato un indirizzo IPv6 interno. Livello di prezzo: Premium Risolvi questo rilevamento : Hai due opzioni per risolvere questo rilevamento: puoi eliminare la risorsa in violazione o puoi aggiornare e rieseguire il deployment della postura. Per eliminare la risorsa: Apri il riepilogo dei risultati. Controlla la sezione della risorsa interessata e trova il nome completo della risorsa che viola il criterio di conformità. Fai clic sul nome completo della risorsa per aprirne i dettagli. Elimina la risorsa. Se vuoi mantenere la risorsa nella stessa configurazione, devi aggiornare postura. Per aggiornare la postura, completa i seguenti passaggi: Aggiorna il file posture.yaml con la modifica. Esegui il comando gcloud scc postures update. Per istruzioni, vedi Aggiorna le definizioni dei criteri in una postura. Esegui il deployment della postura aggiornata con il nuovo ID revisione. Per istruzioni, vedi Aggiorna un deployment della postura.
Require OS Login Nome della categoria nell'API: REQUIRE_OS_LOGIN_ORG_POLICY	Descrizione dei risultati: il servizio security posture ha rilevato che OS Login è disabilitato in un'istanza VM. Livello di prezzo: Premium Risolvi questo rilevamento : Hai due opzioni per risolvere questo risultato: puoi aggiornare la risorsa in violazione oppure puoi aggiornare la postura ed eseguirne nuovamente il deployment. Per aggiornare la risorsa: Apri il riepilogo dei risultati. Controlla la sezione della risorsa interessata e trova il nome completo della risorsa che viola il criterio di conformità. Fai clic sul nome completo della risorsa per aprirne i dettagli. Modifica la risorsa. Trova la sezione dei metadati e modifica la voce con la chiave Da enable-oslogin a TRUE. Salva la risorsa. Se vuoi mantenere la risorsa nella stessa configurazione, devi aggiornare postura. Per aggiornare la postura, svolgi i seguenti passaggi: Aggiorna il file posture.yaml con la modifica. Esegui il comando gcloud scc postures update. Per istruzioni, vedi Aggiorna le definizioni dei criteri in una postura. Esegui il deployment della postura aggiornata con il nuovo ID revisione. Per istruzioni, vedi Aggiorna un deployment della postura.
Restrict Authorized Networks Nome della categoria nell'API: RESTRICT_AUTHORIZED_NETWORKS_ORG_POLICY	Descrizione del rilevamento: il servizio di analisi della posizione di sicurezza ha rilevato che una rete autorizzata è stata aggiunta a un'istanza SQL. Livello di prezzo: Premium Correggi questo risultato : Questo risultato richiede la correzione della violazione o l'aggiornamento della postura. Ne hai due per risolvere il risultato: puoi aggiornare la risorsa in violazione oppure aggiornare la postura ed eseguire di nuovo il deployment della postura. Per aggiornare la risorsa: Apri il riepilogo dei risultati. Controlla la sezione della risorsa interessata e trova il nome completo della risorsa che viola il criterio di conformità. Fai clic sul nome completo della risorsa per aprirne i dettagli. Modifica la risorsa. Trova la sezione Rete autorizzata nella sezione connessioni e eliminerai tutte le voci corrispondenti. Salva la risorsa. Se vuoi mantenere la risorsa nella stessa configurazione, devi aggiornare postura. Per aggiornare la postura, svolgi i seguenti passaggi: Aggiorna il file posture.yaml con la modifica. Esegui il comando gcloud scc postures update. Per istruzioni, vedi Aggiorna le definizioni dei criteri in una postura. Esegui il deployment della postura aggiornata con il nuovo ID revisione. Per istruzioni, vedi Aggiorna un deployment della postura.
Require VPC Connector Nome categoria nell'API: REQUIRE_VPC_CONNECTOR_ORG_POLICY	Descrizione dei risultati: il servizio security posture ha rilevato che un VPC non sia abilitato per un'istanza della funzione Cloud Run. Livello di prezzo: Premium Risolvi questo rilevamento : Hai due opzioni per risolvere questo risultato: puoi aggiornare la risorsa in violazione oppure puoi aggiornare la postura ed eseguirne nuovamente il deployment. Per aggiornare la risorsa: Apri il riepilogo dei risultati. Controlla la sezione della risorsa interessata e trova il nome completo della risorsa che viola il criterio di conformità. Fai clic sul nome completo della risorsa per aprirne i dettagli. Fai clic su Modifica. Fai clic sulla scheda Connessioni. Trova la sezione Impostazioni in uscita. Nel menu Rete, seleziona un'opzione connettore VPC appropriato. Fai clic su Avanti. Fai clic su Esegui il deployment. Se vuoi mantenere la risorsa nella stessa configurazione, devi aggiornare postura. Per aggiornare la postura, completa i seguenti passaggi: Aggiorna il file posture.yaml con la modifica. Esegui il comando gcloud scc postures update. Per istruzioni, vedi Aggiorna le definizioni dei criteri in una postura. Esegui il deployment della postura aggiornata con il nuovo ID revisione. Per istruzioni, vedi Aggiorna un deployment della postura.
Disabled Serial Port Access Nome della categoria nell'API: DISABLED_SERIAL_PORT_ACCESS_ORG_POLICY	Descrizione del rilevamento: il servizio di security posture ha rilevato che l'accesso alla porta seriale di un'istanza VM è abilitato. Livello di prezzo: Premium Risolvi questo rilevamento : Hai due opzioni per risolvere questo risultato: puoi aggiornare la risorsa in violazione oppure puoi aggiornare la postura ed eseguirne nuovamente il deployment. Per aggiornare la risorsa: Apri il riepilogo dei risultati. Controlla la sezione della risorsa interessata e trova il nome completo della risorsa che viola il criterio di conformità. Fai clic sul nome completo della risorsa per aprirne i dettagli. Modifica la risorsa. Trova la sezione Accesso remoto e deseleziona Casella di controllo Abilita connessione alle porte seriali. Salva la risorsa. Se vuoi mantenere la risorsa nella stessa configurazione, devi aggiornare postura. Per aggiornare la postura, svolgi i seguenti passaggi: Aggiorna il file posture.yaml con la modifica. Esegui il comando gcloud scc postures update. Per le istruzioni, consulta Aggiornare le definizioni dei criteri in una postura. Esegui il deployment della postura aggiornata con il nuovo ID revisione. Per le istruzioni, consulta Aggiornare un deployment di posture.
Skip Default Network Creation Nome categoria nell'API: SKIP_DEFAULT_NETWORK_CREATION_ORG_POLICY	Descrizione del rilevamento: il servizio di analisi della posizione di sicurezza ha rilevato che è stata creata una rete predefinita. Livello di prezzo: Premium Correggi questo risultato : Hai due opzioni per risolvere questo rilevamento: puoi eliminare la risorsa in violazione o puoi aggiornare e rieseguire il deployment della postura. Per eliminare la risorsa: Apri il riepilogo dei risultati. Controlla la sezione della risorsa interessata e trova il nome completo della risorsa che viola il criterio di conformità. Fai clic sul nome completo della risorsa per aprirne i dettagli. Elimina la risorsa. Se vuoi mantenere la risorsa nella stessa configurazione, devi aggiornare postura. Per aggiornare la postura, completa i seguenti passaggi: Aggiorna il file posture.yaml con la modifica. Esegui il comando gcloud scc postures update. Per istruzioni, vedi Aggiorna le definizioni dei criteri in una postura. Esegui il deployment della postura aggiornata con il nuovo ID revisione. Per istruzioni, vedi Aggiorna un deployment della postura.
Allowed Ingress Nome della categoria nell'API: ALLOWED_INGRESS_ORG_POLICY	Descrizione del rilevamento: il servizio di security posture ha rilevato che un servizio Cloud Run non è conforme alle impostazioni di ingresso specificate. Livello di prezzo: Premium Risolvi questo rilevamento : Hai due opzioni per risolvere questo risultato: puoi aggiornare la risorsa in violazione oppure puoi aggiornare la postura ed eseguirne nuovamente il deployment. Per aggiornare la risorsa: Apri il riepilogo dei risultati. Controlla la sezione della risorsa interessata e trova il nome completo della risorsa che viola il criterio di conformità. Fai clic sul nome completo della risorsa per aprirne i dettagli. Fai clic sulla scheda Networking. Modifica le impostazioni in modo che corrispondano al traffico in entrata consentito . Salva la risorsa. Se vuoi mantenere la risorsa nella stessa configurazione, devi aggiornare postura. Per aggiornare la postura, svolgi i seguenti passaggi: Aggiorna il file posture.yaml con la modifica. Esegui il comando gcloud scc postures update. Per le istruzioni, consulta Aggiornare le definizioni dei criteri in una postura. Esegui il deployment della postura aggiornata con il nuovo ID revisione. Per le istruzioni, consulta Aggiornare un deployment di posture.
Uniform Bucket Level Access Nome categoria nell'API: UNIFORM_BUCKET_LEVEL_ACCESS_ORG_POLICY	Descrizione del rilevamento: il servizio di analisi della posizione di sicurezza ha rilevato che un accesso a livello di bucket è granulare anziché uniforme. Livello di prezzo: Premium Correggi questo risultato : Hai due opzioni per risolvere questo risultato: puoi aggiornare la risorsa in violazione oppure puoi aggiornare la postura ed eseguirne nuovamente il deployment. Per aggiornare la risorsa: Apri il riepilogo dei risultati. Controlla la sezione della risorsa interessata e trova il nome completo della risorsa che viola il criterio di conformità. Fai clic sul nome completo della risorsa per aprirne i dettagli. Fai clic sulla scheda Autorizzazioni. Nella scheda Controllo dell'accesso, fai clic su Passa a uniforme. Seleziona l'uniforme e salva. Se vuoi mantenere la risorsa nella stessa configurazione, devi aggiornare la postura. Per aggiornare la postura, svolgi i seguenti passaggi: Aggiorna il file posture.yaml con la modifica. Esegui il comando gcloud scc postures update. Per istruzioni, vedi Aggiorna le definizioni dei criteri in una postura. Esegui il deployment della postura aggiornata con il nuovo ID revisione. Per le istruzioni, consulta Aggiornare un deployment di posture.
Allowed VPC Egress Nome della categoria nell'API: ALLOWED_VPC_EGRESS_ORG_POLICY	Descrizione dei risultati: il servizio Security posture ha rilevato che un Il servizio Cloud Run non è conforme alle impostazioni di traffico in uscita specificate. Livello di prezzo: Premium Risolvi questo rilevamento : Hai due opzioni per risolvere questo risultato: puoi aggiornare la risorsa in violazione oppure puoi aggiornare la postura ed eseguirne nuovamente il deployment. Per aggiornare la risorsa: Apri il riepilogo dei risultati. Controlla la sezione della risorsa interessata e trova il nome completo della risorsa che viola il criterio di conformità. Fai clic sul nome completo della risorsa per aprirne i dettagli. Fai clic su Modifica ed esegui il deployment di una nuova revisione e poi sulla scheda Networking. Modifica l'impostazione Routing del traffico nella sezione Connettiti a un VPC per il traffico in uscita in modo che corrisponda al criterio di uscita consentito. Esegui il deployment della risorsa. Se vuoi mantenere la risorsa nella stessa configurazione, devi aggiornare postura. Per aggiornare la postura, completa i seguenti passaggi: Aggiorna il file posture.yaml con la modifica. Esegui il comando gcloud scc postures update. Per le istruzioni, consulta Aggiornare le definizioni dei criteri in una postura. Esegui il deployment della postura aggiornata con il nuovo ID revisione. Per istruzioni, vedi Aggiorna un deployment della postura.

VM Manager

VM Manager è una suite di strumenti che puoi utilizzare per gestire i sistemi operativi per grandi gruppi di macchine virtuali (VM) che eseguono Windows e Linux su Compute Engine.

Se abiliti VM Manager con Security Command Center Premium nel a livello di organizzazione, VM Manager scrive i risultati dai propri report sulle vulnerabilità, sono in anteprima in Security Command Center. I report identificano le vulnerabilità nei sistemi operativi installati sulle VM, incluse le vulnerabilità ed esposizioni comuni (CVE).

Per utilizzare VM Manager con attivazioni a livello di progetto di Security Command Center Premium, attiva Security Command Center Standard dell'organizzazione principale.

I report sulle vulnerabilità non sono disponibili per Security Command Center Standard.

I risultati semplificano il processo di utilizzo delle patch di VM Manager Funzionalità di conformità, che è in anteprima. Questa funzionalità ti consente di gestione delle patch a livello di organizzazione. in tutti i tuoi progetti.

La gravità dei risultati relativi alle vulnerabilità ricevuti da VM Manager è sempre CRITICAL o HIGH.

Risultati di VM Manager

Anteprima

Questa funzionalità è soggetta ai "Termini delle Offerte pre-GA" nella sezione Termini generali del servizio dei Termini specifici dei servizi. Le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per saperne di più, consulta le descrizioni della fase di lancio.

Le vulnerabilità di questo tipo riguardano tutti i pacchetti di sistemi operativi installati in di Compute Engine supportate.

Rilevatore	Riepilogo	Impostazioni di scansione degli asset
OS vulnerability Nome della categoria nell'API: OS_VULNERABILITY	Ricerca descrizione: VM Manager ha rilevato una vulnerabilità nella pacchetto del sistema operativo installato per una VM di Compute Engine. Livello di prezzo: Premium Asset supportati compute.googleapis.com/Instance Correggi questo risultato	I report sulle vulnerabilità di VM Manager descrivono nel dettaglio le vulnerabilità nei pacchetti del sistema operativo installati per le VM di Compute Engine, tra cui le vulnerabilità ed esposizioni comuni (CVE). Per un elenco completo dei sistemi operativi supportati, consulta Dettagli del sistema operativo. I risultati vengono visualizzati in Security Command Center poco dopo il rilevamento delle vulnerabilità. I report sulle vulnerabilità in VM Manager vengono generati nel seguente modo: Quando un pacchetto viene installato o aggiornato nel sistema operativo di una VM, puoi aspettarti Vulnerabilità ed esposizioni comuni (CVE) per la VM in Security Command Center entro due ore dalla modifica. Quando vengono pubblicati nuovi avvisi di sicurezza per un sistema operativo, le CVE aggiornate vengono normalmente disponibili entro 24 ore dalla pubblicazione dell'aggiornamento da parte del fornitore del sistema operativo avviso.

Esamina i risultati nella console

Console Google Cloud

1. Nella console Google Cloud, vai alla pagina Risultati di Security Command Center.

   Vai ai risultati

2. Seleziona il tuo progetto o la tua organizzazione Google Cloud.
3. Nella sezione Filtri rapidi, nella sottosezione Nome visualizzato dell'origine, seleziona Gestore VM. I risultati della query sui risultati vengono aggiornati in modo da mostrare solo i risultati di questa origine.
4. Per visualizzare i dettagli di un risultato specifico, fai clic sul suo nome in Categoria. La si apre il riquadro dei dettagli del risultato, che mostra la scheda Riepilogo.
5. Nella scheda Riepilogo, esamina i dettagli del risultato, incluse informazioni su quanto è stato rilevato, sulla risorsa interessata e, se disponibili, sui passaggi che puoi svolgere per correggere il problema.
6. (Facoltativo) Per visualizzare la definizione JSON completa del rilevamento, fai clic sulla scheda JSON.

Console Security Operations

Solo livello Enterprise: questa funzionalità è disponibile solo con il livello Enterprise di Security Command Center.

1. Nella console Security Operations, vai alla pagina Risultati.

   https://CUSTOMER_SUBDOMAIN.backstory.chronicle.security/posture/findings
   

   Sostituisci CUSTOMER_SUBDOMAIN con il tuo identificatore specifico per il cliente.

2. Nella sezione Aggregazioni, fai clic per espandere il campo Nome visualizzato dell'origine. .
3. Seleziona VM Manager. I risultati della query sui risultati vengono aggiornati in modo da mostrare solo i risultati da questa fonte.
4. Per visualizzare i dettagli di un determinato rilevamento, fai clic sul nome del rilevamento in Categoria. La si apre il riquadro dei dettagli del risultato, che mostra la scheda Riepilogo.
5. Nella scheda Riepilogo, esamina i dettagli del risultato, incluse informazioni su quanto è stato rilevato, sulla risorsa interessata e, se disponibili, sui passaggi che puoi svolgere per correggere il problema.
6. (Facoltativo) Per visualizzare la definizione JSON completa del risultato, fai clic su nella scheda JSON.

Correzione dei risultati di VM Manager

Un risultato OS_VULNERABILITY indica che VM Manager ha trovato un vulnerabilità nei pacchetti del sistema operativo installati in Compute Engine VM.

Per risolvere il problema, segui questi passaggi:

1. Apri un rilevamento OS vulnerability e visualizza la relativa definizione JSON.

2. Copia il valore del campo externalUri. Questo valore è l'URI della pagina Informazioni sul sistema operativo dell'istanza VM Compute Engine in cui è installato il sistema operativo vulnerabile.

3. Applica tutte le patch appropriate per il sistema operativo mostrato nella sezione Informazioni di base. Per istruzioni sul deployment delle patch, vedi Creare job di applicazione patch.

Scopri di più su questo tipo di risultato asset e impostazioni di scansione supportati.

Disattivare i risultati di VM Manager

Potresti voler nascondere alcuni o tutti i risultati di VM Manager in Security Command Center se non sono pertinenti ai tuoi requisiti di sicurezza.

Puoi nascondere i risultati di VM Manager creazione di una regola di disattivazione e l'aggiunta di attributi di query specifici per i risultati di VM Manager che vuoi nascondere.

Per creare una regola di disattivazione per VM Manager utilizzando Nella console Google Cloud, segui questi passaggi:

1. Nella console Google Cloud, vai alla pagina Risultati di Security Command Center.

   Vai ai risultati

2. Se necessario, seleziona il progetto o l'organizzazione Google Cloud.

3. Fai clic su Opzioni di disattivazione e poi seleziona Crea regola di disattivazione.

4. Inserisci un ID regola di disattivazione. Questo valore è obbligatorio.

5. Inserisci una descrizione della regola di disattivazione che fornisca il contesto del motivo per cui i risultati sono stati disattivati. Questo valore è facoltativo, ma consigliato.

6. Conferma l'ambito della regola di disattivazione controllando il valore Risorsa principale.

7. Nel campo Query sui risultati, crea le istruzioni di query facendo clic su Aggiungi filtro. In alternativa, puoi digitare le istruzioni di query manualmente.

   1. Nella finestra di dialogo Seleziona filtro, scegli Ricerca > Nome visualizzato origine > VM Manager.

   2. Fai clic su Applica.

   3. Ripeti fino a quando la query di disattivazione non contiene tutti gli attributi che vuoi nascondere.

   Ad esempio, se vuoi nascondere ID CVE specifici nella Risultati relativi alle vulnerabilità di VM Manager, seleziona Vulnerabilità > ID CVE, quindi seleziona gli ID CVE che vuoi nascondi.

   La query dei risultati è simile alla seguente:

   

8. Fai clic su Anteprima dei risultati corrispondenti.

   Viene visualizzata una tabella con i risultati che corrispondono alla tua query.

9. Fai clic su Salva.

Protezione dei dati sensibili

Questa sezione descrive i risultati relativi alle vulnerabilità generati da Sensitive Data Protection, gli standard di conformità supportati e come correggere i risultati.

Sensitive Data Protection invia anche i risultati delle osservazioni a Security Command Center. Per ulteriori informazioni sui risultati dell'osservazione Sensitive Data Protection, vedi Sensitive Data Protection.

Per informazioni su come visualizzare i risultati, consulta Esaminare i risultati di Sensitive Data Protection nella console Google Cloud.

Il servizio di rilevamento di Sensitive Data Protection ti aiuta a determinare se stai per archiviare dati altamente sensibili non protetti.

Categoria	Riepilogo
Public sensitive data Nome della categoria nell'API: PUBLIC_SENSITIVE_DATA	Descrizione del rilevamento: la risorsa specificata contiene dati con sensibilità elevata a cui chiunque può accedere su internet. Asset supportati: bigquery.googleapis.com/Dataset sqladmin.googleapis.com/Instance storage.googleapis.com/Bucket Bucket Amazon S3 Correzione: Per i dati di Google Cloud, rimuovi allUsers e allAuthenticatedUsers dal criterio IAM dell'asset di dati. Per i dati Amazon S3, configurare le impostazioni di blocco dell'accesso pubblico o aggiornare l'ACL dell'oggetto per negare l'accesso in lettura pubblico. Standard di conformità: non mappati
Secrets in environment variables Nome categoria nell'API: SECRETS_IN_ENVIRONMENT_VARIABLES	Descrizione del problema: nelle variabili di ambiente delle funzioni Cloud Run sono presenti segreti, come password, token di autenticazione e credenziali Google Cloud. Per attivare questo rilevatore, consulta Segnala i secret nelle variabili di ambiente a Security Command Center nella documentazione di Sensitive Data Protection. Asset supportati: cloudfunctions.googleapis.com/CloudFunction Correzione: rimuovi il secret dalla variabile di ambiente e memorizzalo in Secret Manager. Standard di conformità: CIS GCP Foundation 1.3: 1.18 CIS GCP Foundation 2.0: 1.18
Secrets in storage Nome categoria nell'API: SECRETS_IN_STORAGE	Ricerca di descrizione: sono presenti Secret, ad esempio come password, token di autenticazione e credenziali cloud, nel risorsa. Asset supportati: bigquery.googleapis.com/Dataset sqladmin.googleapis.com/Instance storage.googleapis.com/Bucket Bucket Amazon S3 Soluzione: Per i dati di Google Cloud, utilizza Sensitive Data Protection per Esegui una scansione di ispezione approfondita della risorsa specificata per identificare tutte le risorse interessate. Per i dati Cloud SQL, esportali in un file CSV o AVRO in un bucket Cloud Storage ed esegui una scansione di ispezione approfondita del di sincronizzare la directory di una VM con un bucket. Per i dati Amazon S3, ispeziona manualmente il bucket specificato. Rimuovi i secret rilevati. Valuta la possibilità di reimpostare le credenziali. Per i dati Google Cloud, valuta la possibilità di archiviare i secret rilevati Secret Manager. Standard di conformità: non mappato

Policy Controller

Policy Controller consente l'applicazione, anche forzata, dei criteri programmabili per i tuoi cluster Kubernetes registrati come adesioni al parco risorse. Questi criteri fungono da barriere e possono aiutarti con la gestione di best practice, sicurezza e conformità dei tuoi cluster e del tuo parco risorse.

Questa pagina non elenca tutti i singoli risultati di Policy Controller, ma le informazioni sui risultati della classe Misconfiguration che Policy Controller scrive in Security Command Center sono le stesse delle violazioni del cluster documentate per ogni bundle di Policy Controller. Documentazione per il privato I tipi di risultati di Policy Controller sono inclusi nei seguenti bundle di Policy Controller:

• CIS Kubernetes Benchmark v1.5.1, un insieme di consigli per configurare Kubernetes al fine di supportare una solida strategia di sicurezza. Puoi anche visualizzare le informazioni su questo bundle nel repository GitHub per cis-k8s-v1.5.1.

• PCI DSS v3.2.1, un bundle che valuta la conformità delle risorse del cluster alcuni aspetti dello standard di sicurezza dei dati dell'industria delle carte di pagamento (PCI-DSS) Versione 3.2.1. Puoi visualizzare informazioni su questo cofanetto anche nella Repository GitHub per pci-dss-v3.

Questa funzionalità non è compatibile con i perimetri di servizio di VPC Service Controls intorno all'API Stackdriver.

Individuare e correggere i risultati di Policy Controller

Le categorie di Policy Controller corrispondono ai nomi dei vincoli elencati nella documentazione dei pacchetti di Policy Controller. Ad esempio, un require-namespace-network-policies risultato indica che uno spazio dei nomi viola le norme secondo cui ogni spazio dei nomi in ha un NetworkPolicy.

Per correggere un rilevamento:

Console Google Cloud

1. Nella console Google Cloud, vai alla pagina Risultati di Security Command Center.

   Vai ai risultati

2. Seleziona il tuo progetto o la tua organizzazione Google Cloud.
3. Nella sezione Filtri rapidi, nella sottosezione Nome visualizzato origine, seleziona Policy Controller su cluster. I risultati della query sui risultati vengono aggiornati in modo da mostrare solo i risultati di questa origine.
4. Per visualizzare i dettagli di un risultato specifico, fai clic sul suo nome in Categoria. La si apre il riquadro dei dettagli del risultato, che mostra la scheda Riepilogo.
5. Nella scheda Riepilogo, esamina i dettagli del risultato, incluse informazioni su quanto è stato rilevato, sulla risorsa interessata e, se disponibili, sui passaggi che puoi svolgere per correggere il problema.
6. (Facoltativo) Per visualizzare la definizione JSON completa del rilevamento, fai clic sulla scheda JSON.

Console operativa di sicurezza

Solo per il livello Enterprise: questa funzionalità è disponibile soltanto con la Security Command Center Livello Enterprise.

1. In Security Operations Console, vai alla pagina Risultati.

   https://CUSTOMER_SUBDOMAIN.backstory.chronicle.security/posture/findings
   

   Sostituisci CUSTOMER_SUBDOMAIN con il tuo identificatore specifico per il cliente.

2. Nella sezione Aggregazioni, fai clic per espandere il campo Nome visualizzato dell'origine. .
3. Seleziona Policy Controller su cluster. I risultati della query sui risultati vengono aggiornati in modo da mostrare solo i risultati di questa origine.
4. Per visualizzare i dettagli di un determinato rilevamento, fai clic sul nome del rilevamento in Categoria. La si apre il riquadro dei dettagli del risultato, che mostra la scheda Riepilogo.
5. Nella scheda Riepilogo, esamina i dettagli del risultato, incluse informazioni su quanto è stato rilevato, sulla risorsa interessata e, se disponibili, sui passaggi che puoi svolgere per correggere il problema.
6. (Facoltativo) Per visualizzare la definizione JSON completa del risultato, fai clic su nella scheda JSON.

Passaggi successivi

• Scopri come utilizza Security Health Analytics.

• Scopri come utilizzare Web Security Scanner.

• Leggi i suggerimenti per la correzione dei risultati di Security Health Analytics e la correzione dei risultati di Web Security Scanner.