Menggunakan Web Security Scanner

Penting: Pemindaian terkelola Web Security Scanner hanya tersedia untuk paket Premium Security Command Center.

Halaman ini menunjukkan cara menggunakan fitur pemindaian yang dikelola Web Security Scanner dan meninjau temuan di Konsol Google Cloud. Contoh temuan Web Security Scanner juga ditampilkan.

Web Security Scanner adalah layanan bawaan untuk paket Premium Security Command Center yang mengidentifikasi kerentanan keamanan umum di aplikasi web App Engine, Google Kubernetes Engine (GKE), dan Compute Engine Anda. Untuk melihat temuan Web Security Scanner, Anda harus mengaktifkannya di setelan Layanan Security Command Center.

Catatan: Simulasi jalur serangan tidak mendukung temuan Web Security Scanner, sehingga temuan tersebut tidak mendapatkan skor eksposur serangan atau jalur serangan.

Perhatian: Web Security Scanner dapat berdampak buruk pada keandalan beberapa aplikasi, dan mungkin tidak cocok untuk digunakan dalam lingkungan produksi. Selain itu, Web Security Scanner tidak dapat mendeteksi semua kemungkinan kerentanan dalam aplikasi. Untuk informasi selengkapnya, lihat referensi berikut:

• Peringatan penggunaan
• Praktik terbaik

Pelajari cara kerja Web Security Scanner lebih lanjut.

Meninjau temuan

Fitur pemindaian terkelola Web Security Scanner otomatis mengonfigurasi dan menjadwalkan pemindaian untuk setiap project dalam cakupan Anda. Pemindaian Web Security Scanner dapat memerlukan waktu hingga 24 jam untuk dimulai setelah layanan diaktifkan dan dijalankan setiap minggu setelah pemindaian pertama. Temuan dilihat di Security Command Center.

Penting: Pemindaian terkelola yang disertakan dalam paket Security Command Center Premium terpisah dari pemindaian kustom Web Security Scanner. Pemindaian kustom lebih menyeluruh daripada pemindaian terkelola default dan memberikan informasi terperinci tentang temuan kerentanan aplikasi. Untuk mengetahui informasi tentang pemindaian kustom, lihat panduan pemindaian kustom Web Security Scanner.

Meninjau temuan di konsol Google Cloud

Peran IAM untuk Security Command Center dapat diberikan di level organisasi, folder, atau project. Kemampuan Anda untuk melihat, mengedit, membuat, atau memperbarui temuan, aset, dan sumber keamanan bergantung pada tingkat yang diberikan akses kepada Anda. Untuk mempelajari peran Security Command Center lebih lanjut, lihat Kontrol akses.

Untuk meninjau temuan Web Security Scanner di Security Command Center, ikuti langkah-langkah berikut:

1. Buka halaman Findings Security Command Center di Konsol Google Cloud.

   Buka Temuan

2. Jika perlu, pilih organisasi atau project Google Cloud Anda.

   

3. Di bagian Quick filters, di subbagian Source display name, pilih Web Security Scanner.

   Panel Hasil kueri temuan diperbarui untuk hanya menampilkan temuan Web Security Scanner.

4. Untuk melihat detail temuan tertentu, klik nama temuan di bagian Kategori. Panel detail temuan diperluas untuk menampilkan informasi termasuk hal berikut:

   • Ringkasan^Pratinjau hasil temuan AI
   • Kapan peristiwa terjadi
   • Sumber data temuan
   • Tingkat keseriusan deteksi, misalnya Tinggi
   • Resource yang terpengaruh

Melihat semua temuan yang terkait dengan URL tertentu

Pemindaian dapat menghasilkan temuan dari beberapa URL dasar. Untuk menampilkan semua temuan yang terkait dengan URL tertentu dalam pemindaian, ikuti langkah-langkah berikut:

1. Di konsol Google Cloud, buka halaman Findings Security Command Center.

   Buka Temuan

2. Jika perlu, pilih organisasi atau project Google Cloud Anda.

   

3. Di bagian Quick filters, di subbagian Source display name, pilih Web Security Scanner.

   Panel Hasil kueri temuan diperbarui untuk hanya menampilkan temuan Web Security Scanner.

4. Klik nama temuan di bagian Kategori.

5. Di panel detail temuan, klik tab JSON.

6. Salin URL di samping externalUri.

7. Tutup panel detail temuan.

8. Di Query editor, masukkan kueri berikut:

   externalUri:"AFFECTED_URI"
   

   Ganti AFFECTED_URI dengan URL yang Anda salin sebelumnya.

Security Command Center menampilkan semua temuan yang terkait dengan URL.

Contoh temuan

Contoh temuan pemindaian yang dikelola Web Security Scanner meliputi hal berikut:

Tabel A. Jenis temuan pemindaian terkelola Web Security Scanner

Kerentanan	Deskripsi
Konten campuran	Halaman yang disajikan melalui HTTPS juga melayani resource melalui HTTP. Penyerang man-in-the-middle dapat mengutak-atik resource HTTP dan mendapatkan akses penuh ke situs yang memuat resource atau memantau tindakan pengguna.
Teks sandi tersembunyi	Aplikasi menampilkan konten sensitif dengan jenis konten yang tidak valid, atau tanpa header X-Content-Type-Options: nosniff.
Library yang Sudah Tidak Berlaku	Versi library yang disertakan diketahui memiliki masalah keamanan. Pemindai memeriksa versi library yang digunakan berdasarkan daftar library rentan yang diketahui. Positif palsu mungkin terjadi jika deteksi versi gagal atau jika library telah di-patch secara manual. Web Security Scanner mengidentifikasi beberapa versi rentan dari library populer berikut: jQuery, misalnya: CVE-2011-4969 jQuery Mobile, misalnya: kerentanan XSS yang diketahui AngularJS, misalnya: XSS via kerentanan SVG Daftar ini diupdate secara berkala dengan library baru dan kerentanan yang diupdate jika berlaku.

Pelajari lebih lanjut cara Menggunakan Security Command Center di Konsol Google Cloud.

Memfilter temuan di konsol Google Cloud

Sebuah organisasi besar mungkin memiliki banyak temuan kerentanan untuk ditinjau, disortir, dan dilacak. Dengan menggunakan filter yang tersedia di halaman Kerentanan dan Penemuan Security Command Center di Konsol Google Cloud, Anda dapat berfokus pada kerentanan dengan tingkat keparahan tertinggi di seluruh organisasi, dan meninjau kerentanan berdasarkan jenis aset, project, dan lainnya.

Untuk mengetahui informasi selengkapnya tentang cara memfilter temuan kerentanan, lihat Memfilter temuan kerentanan di Security Command Center.

Menonaktifkan temuan

Untuk mengontrol volume temuan di Security Command Center, Anda dapat menonaktifkan setiap temuan secara manual atau secara terprogram atau membuat aturan penonaktifan yang secara otomatis menonaktifkan temuan saat ini dan temuan mendatang berdasarkan filter yang Anda tentukan.

Temuan yang dinonaktifkan akan disembunyikan dan disenyapkan, tetapi akan terus dicatat ke dalam log untuk tujuan audit dan kepatuhan. Anda dapat melihat temuan yang dibisukan atau membunyikannya kapan saja. Untuk mempelajari lebih lanjut, lihat Menonaktifkan temuan di Security Command Center.

Konfigurasi pemindaian

Jika diberi kredensial akses, Web Security Scanner akan melakukan semua tindakan menggunakan tingkat akses tersebut. Untuk mengurangi risiko resource produksi, dan menangkap kerentanan sebelum mencapai produksi, sebaiknya jalankan pemindaian di lingkungan pengembangan, pengujian, staging, atau uji mutu.

Memindai resource produksi berguna karena perubahan kecil pada resource antara pengujian dan produksi dapat menyebabkan kerentanan. Namun, Anda mungkin perlu membatasi akses selama pemindaian produksi. Lihat Praktik terbaik untuk informasi selengkapnya.

Untuk meninjau konfigurasi pemindaian terkelola dan memulai pemindaian secara manual, gunakan Konsol Google Cloud.

Untuk melihat konfigurasi pemindaian terkelola untuk sebuah project:

1. Buka halaman Web Security Scanner di Konsol Google Cloud.
   Buka halaman Web Security Scanner
2. Pilih project. Halaman akan muncul dengan daftar pemindaian terkelola dan kustom Anda.
3. Di bagian Scan configs, klik managed_scan. Halaman yang muncul menampilkan hasil pemindaian terbaru yang dikelola, termasuk status pemindaian, URL yang di-crawl, dan kerentanan yang ditemukan. Gunakan menu drop-down untuk melihat hasil pemindaian sebelumnya.

Web Security Scanner mengelola dan memelihara pemindaian yang terkelola, sehingga Anda tidak dapat mengubah konfigurasi pemindaian. Pemindaian terkelola hanya dapat diedit atau dihapus di Security Command Center, seperti yang dibahas dalam Menonaktifkan pemindaian terkelola.

Rentang alamat IP statis untuk pemindaian yang dikelola

Saat Web Security Scanner diaktifkan di Security Command Center, pemindaian terkelola akan otomatis dimulai menggunakan alamat IP statis dalam rentang 34.66.18.0/26 dan 34.66.114.64/26.

Pemindaian on-demand

Pemindaian terkelola berjalan secara otomatis pada jadwal yang ditetapkan. Namun, Anda dapat menggunakan antarmuka Web Security Scanner untuk menjalankan pemindaian terkelola on demand:

1. Buka halaman Web Security Scanner di Konsol Google Cloud.
   Buka halaman Web Security Scanner
2. Pilih project. Halaman akan muncul dengan daftar pemindaian terkelola dan kustom Anda.
3. Di bagian Scan configs, klik managed_scan.
4. Di halaman berikutnya, klik Jalankan di bagian atas halaman; atau
5. Klik Jalankan pemindaian lagi di tab Hasil.

Pemindaian dimulai dan temuan diperbarui di Security Command Center setelah selesai. Pemindaian terkelola on demand berguna saat Anda ingin menangkap temuan untuk project baru atau yang diperbarui di antara pemindaian terjadwal. Pemindaian sesuai permintaan tidak memengaruhi waktu pemindaian mingguan yang dijadwalkan.

Anda dapat menemukan informasi selengkapnya tentang pemindaian di halaman log project.

Menonaktifkan pemindaian terkelola

Sebaiknya Anda tetap mengaktifkan Web Security Scanner untuk semua project dalam cakupan. Namun, Anda dapat menonaktifkan Web Security Scanner di Security Command Center atau, jika Security Command Center diaktifkan di tingkat organisasi, nonaktifkan pemindaian yang dikelola Web Security Scanner untuk project atau folder tertentu.

Menonaktifkan pemindaian Web Security Scanner untuk project atau folder

Untuk menonaktifkan pemindaian terkelola untuk folder atau project:

1. Buka halaman Services di Security Command Center.

   Buka halaman Layanan

2. Pilih project atau organisasi Anda.

3. Di kartu Web Security Scanner, klik Kelola setelan. Halaman Service Enablement akan terbuka untuk Web Security Scanner.

4. Di panel Service enablement, nonaktifkan Web Security Scanner untuk project atau folder menggunakan salah satu metode berikut:

   • Buka project atau folder:
     1. Di panel Service enablement, buka project atau folder dengan men-scroll dan meluaskan organisasi atau folder induk sesuai kebutuhan.
     2. Di baris untuk project atau folder, dari menu di kolom Web Security Scanner, pilih Disable.
   • Khusus untuk project dan folder, telusuri project atau folder berdasarkan nama:
     1. Klik Telusuri folder atau project.
     2. Pada dialog Search resources, masukkan nama project, folder, atau organisasi. Project tersebut akan ditampilkan dalam dialog.
     3. Pada dialog, dari menu di kolom Web Security Scanner, pilih Disable.

Project yang dinonaktifkan tidak lagi disertakan dalam pemindaian terkelola.

Nonaktifkan Web Security Scanner di Security Command Center

Untuk menonaktifkan layanan Web Security Scanner di Security Command Center:

1. Buka halaman Services di Security Command Center.

   Buka halaman Layanan

2. Pilih project atau organisasi Anda.

3. Di kartu Web Security Scanner, klik Kelola setelan. Halaman Service Enablement akan terbuka untuk Web Security Scanner.

4. Di bagian Service enablement, di baris untuk project atau organisasi level teratas, dari menu di kolom Web Security Scanner, pilih Disable.

Web Security Scanner dinonaktifkan di Security Command Center dan pemindaian terkelola tidak akan berjalan lagi.

Anda dapat terus menggunakan Web Security Scanner sebagai produk mandiri melalui antarmuka Web Security Scanner di Konsol Google Cloud, dengan perubahan berikut:

• Anda harus mengonfigurasi dan mengelola pemindaian kustom untuk setiap project.
• Konfigurasi pemindaian terkelola diarsipkan dan temuan pemindaian terkelola yang ada tetap dapat dilihat di Konsol Google Cloud.
• Pemindaian terkelola hanya tersedia di Security Command Center Premium, sehingga konfigurasi pemindaian terkelola dan temuan pemindaian terkelola yang ada akan dihapus dari antarmuka Web Security Scanner.

Jika Web Security Scanner diaktifkan kembali di Security Command Center, konfigurasi dan temuan pemindaian yang terkelola akan muncul kembali di antarmuka Web Security Scanner. Umumnya, jika kerentanan yang sama ditemukan selama pemindaian baru, temuan yang ada akan diperbarui. Jika aplikasi atau situs Anda berubah secara substansial sejak pemindaian terakhir, temuan baru dapat dibuat.

Langkah selanjutnya

• Pelajari cara memperbaiki temuan Web Security Scanner.