Fuentes de seguridad

En esta página, se muestra una lista de las fuentes de seguridad de Google Cloud que están disponibles en Security Command Center. Cuando habilitas una fuente de seguridad, esta proporciona vulnerabilidades y hallazgos de amenazas a Security Command Center.

Puedes ver los resultados en la consola de Google Cloud y filtrarlos de muchas formas diferentes, como por tipo de hallazgo, tipo de recurso o por un recurso específico. Cada fuente de seguridad puede proporcionar más filtros para ayudarte a organizar tus resultados.

Las funciones de IAM para Security Command Center se pueden otorgar a nivel de organización, carpeta o proyecto. Tu capacidad de ver, editar, crear o actualizar los resultados, los elementos y las fuentes de seguridad depende del nivel para el que se te otorgue acceso. Para obtener más información sobre las funciones de Security Command Center, consulta Control de acceso.

Vulnerabilidades

Los detectores de vulnerabilidades pueden ayudarte a encontrar posibles debilidades en tus recursos de Google Cloud.

Panel de postura de seguridad de GKE

El panel de postura de seguridad de GKE es una página de la consola de Google Cloud que te proporciona resultados bien definidos y prácticos sobre posibles problemas de seguridad en los clústeres de GKE.

Si habilitas cualquiera de las siguientes funciones del panel de postura de seguridad de GKE, verás los hallazgos en el nivel Estándar de Security Command Center o en el nivel Premium:

Función del panel de postura de seguridad de GKE Tipo de hallazgo de Security Command Center
Auditoría de la configuración de las cargas de trabajo MISCONFIGURATION
VULNERABILITY

Los resultados muestran información sobre el problema de seguridad y proporcionan recomendaciones para resolver los problemas en tus cargas de trabajo o clústeres.

Visualiza los resultados del panel de postura de seguridad de GKE en la consola de Google Cloud

  1. Ve a la página Resultados de Security Command Center en la consola de Google Cloud:

    Ir a hallazgos

  2. Selecciona tu organización o proyecto de Google Cloud.

  3. En el panel Filtros rápidos, en la sección Nombre visible de la fuente, selecciona Postura de seguridad de GKE. Si no ves el filtro Postura de seguridad de GKE, no hay resultados activos.

Recomendador de IAM

El recomendador de IAM emite recomendaciones que puedes seguir para mejorar la seguridad cuando quitas o reemplazas los roles de IAM de las principales cuando estas contienen permisos de IAM que la principal no necesita.

Habilita o inhabilita los resultados del recomendador de IAM

Para habilitar o inhabilitar los resultados del recomendador de IAM en Security Command Center, sigue estos pasos:

  1. Ve a la pestaña Servicios integrados de la página Configuración de Security Command Center en la consola de Google Cloud:

    Ir a la configuración

  2. Si es necesario, desplázate hacia abajo hasta la entrada del recomendador de IAM.

  3. A la derecha de la entrada, selecciona Habilitar o Inhabilitar.

Los resultados del recomendador de IAM se clasifican como vulnerabilidades.

Para corregir un resultado del recomendador de IAM, expande la siguiente sección para ver una tabla de los resultados del recomendador de IAM. Los pasos de corrección para cada resultado se incluyen en la entrada de la tabla.

Visualiza los resultados del recomendador de IAM en la consola

En la consola de Google Cloud, puedes ver los resultados que emite el recomendador de IAM en la página Vulnerabilidades seleccionando el ajuste predeterminado de consulta del recomendador de IAM o en la página Resultados seleccionando Recomendador de IAM en la sección Nombre visible de la fuente del panel Filtros rápidos.

Administración de la superficie de ataque de Mandiant

Mandiant es un líder mundial en inteligencia sobre amenazas de primera línea. Mandiant Attack Surface Management identifica vulnerabilidades y configuraciones incorrectas en sus superficies de ataque externas para ayudarlo a mantenerse actualizado contra los ataques cibernéticos más recientes.

Mandiant Attack Surface Management se habilita automáticamente cuando activa el nivel Security Command Center Enterprise y los hallazgos están disponibles en la consola de Google Cloud.

Revisar los hallazgos de Mandiant Attack Surface Management en la consola de Google Cloud

Usa el siguiente procedimiento para revisar los resultados en la consola de Google Cloud:

  1. Ve a la pestaña Resultados de Security Command Center en la consola de Google Cloud.

    Ir a resultados

  2. Selecciona tu organización o proyecto de Google Cloud.

  3. En la sección Filtros rápidos, en la subsección Nombre visible de la fuente, selecciona Mandiant Attack Surface Management.

    La tabla se propaga con los hallazgos de Mandiant Attack Surface Management.

  4. Para ver los detalles de un resultado específico, haz clic en su nombre en Categoría. Se abrirá el panel de detalles del resultado y se mostrará la pestaña Resumen.

  5. En la pestaña Resumen, revisa la información sobre el resultado, incluida la información sobre lo que se detectó, el recurso afectado y mucho más.

Policy Controller

El controlador de políticas permite la aplicación de políticas programables para tus clústeres de Kubernetes. Estas políticas actúan como protecciones y pueden ayudar con las prácticas recomendadas, la seguridad y la administración del cumplimiento de los clústeres y la flota.

Si instalas el controlador de políticas y habilitas CIS para Kubernetes Benchmark v1.5.1 o los paquetes de Controladores de políticas PCI-DSS v3.2.1, o ambos, el controlador de políticas escribe automáticamente los incumplimientos del clúster en Security Command Center como resultados de la clase Misconfiguration. La descripción del resultado y los pasos siguientes en los resultados de Security Command Center son los mismos que la descripción de la restricción y los pasos de solución del paquete del controlador de políticas correspondiente.

Los hallazgos de Policy Controller provienen de los siguientes paquetes de Policy Controller:

Para encontrar y solucionar los resultados de Policy Controller, consulta Soluciona los resultados de Policy Controller.

Detección rápida de vulnerabilidades

La Detección rápida de vulnerabilidades ejecuta análisis administrados que detectan las vulnerabilidades llamadas “N-días”, vulnerabilidades conocidas que permiten el acceso arbitrario a datos y la ejecución remota de código, incluidas las credenciales débiles, las instalaciones de software incompletas y las interfaces de usuario de administrador expuestas.

Para obtener la lista completa de las vulnerabilidades que detecta la Detección rápida de vulnerabilidades, consulta Resultados y soluciones de la Detección rápida de vulnerabilidades.

Security Health Analytics

Las estadísticas del estado de seguridad son un servicio de detección integrado de Security Command Center que proporciona análisis administrados de tus recursos en la nube para detectar parámetros de configuración incorrectos comunes.

Cuando se detecta una configuración incorrecta, Security Health Analytics emite un resultado. La mayoría de los resultados de Security Health Analytics se asignan a controles estándares de seguridad para que puedas evaluar el cumplimiento.

Security Health Analytics analiza tus recursos en Google Cloud. Si usas el nivel empresarial y estableces conexiones con otras plataformas en la nube, las estadísticas del estado de seguridad también pueden analizar tus recursos en esas plataformas en la nube.

Según el nivel de servicio de Security Command Center que uses, los detectores disponibles serán diferentes:

Security Health Analytics se habilita de forma automática cuando activas Security Command Center.

Para obtener más información, consulta:

Servicio de postura de seguridad

El servicio de postura de seguridad es un servicio integrado para el nivel Premium de Security Command Center que te permite definir, evaluar y supervisar el estado general de tu seguridad en Google Cloud. Proporciona información sobre cómo tu entorno se alinea con las políticas que defines en tu postura de seguridad.

Este servicio no está relacionado con el panel de postura de seguridad de GKE, que solo muestra los resultados en los clústeres de GKE.

Sensitive Data Protection

Sensitive Data Protection es un servicio de Google Cloud completamente administrado que te ayuda a descubrir, clasificar y proteger tus datos sensibles. Puedes usar la protección de datos sensibles para determinar si almacenas información sensible o de identificación personal (PII), como la siguiente:

  • Nombres de personas
  • números de tarjetas de crédito
  • Números de ID nacionales o estatales
  • Números de ID de seguro médico
  • Secrets

En la protección de datos sensibles, cada tipo de datos sensibles que buscas se denomina infoType.

Si configuras la operación de protección de datos sensibles para enviar resultados a Security Command Center, puedes ver los resultados directamente en la sección Security Command Center de la consola de Google Cloud, además de la sección Protección de datos sensibles.

Hallazgos de vulnerabilidades del servicio de descubrimiento de Sensitive Data Protection

El servicio de descubrimiento de protección de datos sensibles te ayuda a determinar si tus variables de entorno de Cloud Functions contienen secretos, como contraseñas, tokens de autenticación y credenciales de Google Cloud. Para obtener una lista completa de los tipos de secretos que la protección de datos sensibles detecta en esta función, consulta Credenciales y secretos.

Tipo de resultado Descripción del resultado Estándares de cumplimiento
Secrets in environment variables

Nombre de la categoría en la API:
SECRETS_IN_ENVIRONMENT_VARIABLES 		Este detector busca secretos en variables de entorno de Cloud Functions.

Solución: Quita el secreto de la variable de entorno y guárdalo en Secret Manager.

CIS GCP Foundation 1.3: 1.18

CIS GCP Foundation 2.0: 1.18
Desde el momento en que activas el descubrimiento de secretos en la protección de datos sensibles, puede tardar hasta 12 horas en completarse el análisis inicial de las variables de entorno y en que los hallazgos de “Secretos en variables de entorno” aparezcan en Security Command Center. Luego, Sensitive Data Protection analiza las variables de entorno cada 24 horas. En la práctica, los análisis se pueden ejecutar con mayor frecuencia.

Para habilitar este detector, consulta Informar secretos de variables de entorno a Security Command Center en la documentación de Protección de datos sensibles.

Resultados de la observación de Sensitive Data Protection

En esta sección, se describen los resultados de las observaciones que genera la protección de datos sensibles en Security Command Center.

Hallazgos de observación del servicio de descubrimiento

El servicio de descubrimiento de protección de datos sensibles te ayuda a determinar si tus datos de BigQuery contienen Infotipos específicos y dónde residen en tu organización, carpetas y proyectos.

Una operación de descubrimiento genera perfiles de los datos subyacentes de BigQuery a nivel de proyecto, tabla y columna. Cada perfil de datos de tabla genera las siguientes categorías de resultados en Security Command Center:

Data sensitivity
Una indicación del nivel de sensibilidad de los datos en una tabla en particular. Los datos son sensibles si contienen PII o algún otro elemento que pueda requerir control o administración adicionales. La gravedad del resultado es el nivel de sensibilidad que calculó la protección de datos sensibles cuando se generó el perfil de datos.
Data risk
Es el riesgo asociado con los datos en su estado actual. Cuando se calcula el riesgo de datos, la protección de datos sensibles considera el nivel de sensibilidad de los datos en la tabla y la presencia de controles de acceso para protegerlos. La gravedad del resultado es el nivel de riesgo de datos que calculó la protección de datos sensibles cuando se generó el perfil de datos.

Desde el momento en que la protección de datos sensibles genera los perfiles de datos, los resultados Data sensitivity y Data risk asociados pueden tardar hasta seis horas en aparecer en Security Command Center.

Si quieres obtener información para enviar resultados del perfil de datos a Security Command Center, consulta Habilita el descubrimiento de datos sensibles.

Hallazgos de observación del servicio de inspección de la protección de datos sensibles

Un trabajo de inspección de la protección de datos sensibles identifica cada instancia de datos de un Infotipo específico en un sistema de almacenamiento, como un bucket de Cloud Storage o una tabla de BigQuery. Por ejemplo, puedes ejecutar un trabajo de inspección que busque todas las strings que coincidan con el detector de Infotipo CREDIT_CARD_NUMBER en un bucket de Cloud Storage.

Para cada detector de Infotipo que tenga una o más coincidencias, la protección de datos sensibles genera un resultado de Security Command Center correspondiente. La categoría del resultado es el nombre del detector de Infotipo que tuvo una coincidencia, por ejemplo, Credit card number. El resultado incluye la cantidad de cadenas coincidentes que se detectaron en el texto o las imágenes del recurso.

Por motivos de seguridad, las cadenas reales que se detectaron no se incluyen en el resultado. Por ejemplo, un hallazgo Credit card number muestra cuántos números de tarjetas de crédito se encontraron, pero no muestra los números reales de tarjeta de crédito.

Debido a que hay más de 150 detectores de Infotipo integrados en la protección de datos sensibles, todas las categorías de resultados posibles de Security Command Center no se enumeran aquí. Para obtener una lista completa de los detectores de Infotipo, consulta la Referencia del detector de Infotipos.

Si deseas obtener información para enviar los resultados de un trabajo de inspección a Security Command Center, consulta Envía los resultados de trabajos de inspección de la protección de datos sensibles a Security Command Center.

Revisa los resultados de la protección de datos sensibles en la consola de Google Cloud

Usa el siguiente procedimiento para revisar los resultados en la consola de Google Cloud:

  1. Ve a la pestaña Resultados de Security Command Center en la consola de Google Cloud.

    Ir a resultados

  2. Selecciona tu organización o proyecto de Google Cloud.

  3. En la sección Filtros rápidos, en la subsección Nombre visible de la fuente, selecciona Protección de datos sensibles.

    La tabla se propaga con los resultados de la protección de datos sensibles.

  4. Para ver los detalles de un resultado específico, haz clic en su nombre en Categoría. Se abrirá el panel de detalles del resultado y se mostrará la pestaña Resumen.

  5. En la pestaña Resumen, revisa la información sobre el resultado, incluida la información sobre lo que se detectó, el recurso afectado y mucho más.

VM Manager

VM Manager es un conjunto de herramientas que se pueden usar en la administración de sistemas operativos para flotas de máquinas virtuales (VM) grandes que ejecutan Windows y Linux en Compute Engine.

Para usar VM Manager con activaciones a nivel de proyecto de la versión Premium de Security Command Center, activa la versión estándar de Security Command Center en la organización superior.

Si habilitas VM Manager con el nivel Premium de Security Command Center, VM Manager escribe de forma automática los resultados de high y critical de sus informes de vulnerabilidades, que están en versión preliminar, en Security Command Center. Los informes identifican vulnerabilidades en los sistemas operativos (SO) que se instalan en las VM, incluidas las vulnerabilidades y exposiciones comunes (CVE).

Los informes de vulnerabilidad no están disponibles para la versión estándar de Security Command Center.

Los resultados simplifican el proceso de usar la función de cumplimiento de parches de VM Manager, que está en vista previa. Esta función te permite realizar la administración de parches a nivel de organización en todos los proyectos. Actualmente, VM Manager admite la administración de parches a nivel de proyecto único.

Para solucionar los resultados de VM Manager, consulta Soluciona los problemas de VM Manager.

Para evitar que se escriban los informes de vulnerabilidad en Security Command Center, consulta Silencia los resultados de VM Manager.

Las vulnerabilidades de este tipo se relacionan con paquetes instalados de sistema operativo en las VM de Compute Engine compatibles.

Tabla 24. Informes de vulnerabilidad de VM Manager
Detector Resumen Configuración de análisis de elementos Estándares de cumplimiento
OS vulnerability

Nombre de categoría en la API: OS_VULNERABILITY

Resultado de la descripción: VM Manager detectó una vulnerabilidad en el paquete del sistema operativo (SO) instalado de una VM de Compute Engine.

Nivel de precios: Premium

Elementos admitidos
compute.googleapis.com/Instance

Corregir este hallazgo

Los informes de vulnerabilidad de VM Manager detallan vulnerabilidades en los paquetes del sistema operativo instalados para las VM de Compute Engine, incluidos Vulnerabilidades y exposiciones comunes (CVE).

Para obtener una lista completa de los sistemas operativos compatibles, consulta Detalles de los sistemas operativos.

Los hallazgos aparecen en Security Command Center poco después de que se detectan vulnerabilidades. Los informes de vulnerabilidad en VM Manager se generan de la siguiente manera:

  • Para la mayoría de las vulnerabilidades en el paquete del SO instalado, la API de configuración del SO genera un informe de vulnerabilidad en unos minutos después del cambio.
  • En el caso de las CVE, la API de configuración del SO genera el informe de vulnerabilidad en un plazo de tres a cuatro horas después de que se publica la CVE en el SO.

Web Security Scanner

Web Security Scanner proporciona análisis de vulnerabilidades web administradas y personalizadas para aplicaciones web públicas de App Engine, GKE y Compute Engine.

Análisis administrados

Security Command Center configura y administra los análisis administrados de Web Security Scanner. Los análisis administrados se ejecutan automáticamente una vez por semana para detectar y analizar extremos web públicas. Estos análisis no usan la autenticación y envían solicitudes solo de GET para que no envíen formularios en sitios web activos.

Los análisis administrados se ejecutan por separado de los análisis personalizados.

Si Security Command Center está activado en el nivel de la organización, puedes usar análisis administrados a fin de administrar de forma centralizada la detección de vulnerabilidades de las aplicaciones web básicas para los proyectos de tu organización, sin tener que involucrar equipos de proyectos individuales. Cuando se detectan los resultados, puedes trabajar con esos equipos para configurar análisis personalizados más completos.

Cuando habilitas Web Security Scanner como servicio, los resultados del análisis administrado están disponibles de forma automática en la página Vulnerabilidades y en los informes relacionados de Security Command Center. Si deseas obtener información para habilitar los análisis administrados de Web Security Scanner, consulta Configura Security Command Center.

Los análisis administrados solo admiten aplicaciones que usan el puerto predeterminado, que es 80 para conexiones HTTP y 443 para conexiones HTTPS. Si tu aplicación usa un puerto no predeterminado, realiza un análisis personalizado.

Análisis personalizados

Los análisis personalizados de Web Security Scanner proporcionan información detallada sobre los resultados de vulnerabilidades de la aplicación, como las bibliotecas desactualizadas, las secuencias de comandos entre sitios o el uso de contenido mixto.

Debes definir análisis personalizados a nivel de proyecto.

Los resultados de análisis personalizados están disponibles en Security Command Center después de completar la guía para configurar análisis personalizados de Web Security Scanner.

Detectores y cumplimiento

Web Security Scanner admite categorías en las OWASP Top Ten, un documento que clasifica y proporciona orientación de solución para los 10 riesgos de seguridad de aplicaciones web más importantes, según lo determinado por Abre el proyecto de seguridad para aplicaciones web (OWASP). Para obtener orientación sobre cómo mitigar los riesgos de OWASP, consulta las 10 opciones de mitigación de OWASP en Google Cloud.

La asignación de cumplimiento se incluye como referencia y no se proporciona ni se revisa mediante OWASP Foundation.

Esta funcionalidad solo está diseñada para que supervises las infracciones de los controles de cumplimiento. Las asignaciones no se proporcionan a fin de usarlas como base, o como sustituto de la auditoría, certificación o informe de cumplimiento de los productos o servicios con cualquier comparativa o estándar regulatoria o industrial.

Los análisis personalizados y administrados de Web Security Scanner identifican los siguientes tipos de resultados. En el nivel Estándar, Web Security Scanner admite los análisis personalizados de aplicaciones implementadas con URL e IP públicas que no están detrás de un firewall.

Categoría Descripción del resultado Los 10 mejores de OWASP de 2017 Los 10 mejores de OWASP de 2021
Accessible Git repository

Nombre de categoría en la API: ACCESSIBLE_GIT_REPOSITORY

 Un repositorio de Git se expone públicamente. Para resolver este problema, quita el acceso público no intencional al repositorio de GIT.

Nivel de precios: Estándar

Corregir este hallazgo

A5 A01
Accessible SVN repository

Nombre de categoría en la API: ACCESSIBLE_SVN_REPOSITORY

 Un repositorio de SVN se expone públicamente. Para solucionar este problema, quita el acceso no intencional al público en el repositorio de SVN.

Nivel de precios: Estándar

Corregir este hallazgo

A5 A01
Cacheable password input

Nombre de categoría en la API: CACHEABLE_PASSWORD_INPUT

 Las contraseñas ingresadas en la aplicación web se pueden almacenar en la caché de un navegador normal, en lugar de un almacenamiento de contraseña seguro.

Nivel de precios: Premium

Corregir este hallazgo

A3 A04
Clear text password

Nombre de categoría en la API: CLEAR_TEXT_PASSWORD

 Las contraseñas se transmiten en texto claro y se pueden interceptar. Para resolver esto, encripta la contraseña que se transmite a través de la red.

Nivel de precios: Estándar

Corregir este hallazgo

A3 A02
Insecure allow origin ends with validation

Nombre de categoría en la API: INSECURE_ALLOW_ORIGIN_ENDS_WITH_VALIDATION

 Un extremo HTTP o HTTPS entre sitios valida solo un sufijo del encabezado de solicitud Origin antes de reflejarlo dentro del encabezado de respuesta Access-Control-Allow-Origin. Para resolver este resultado, valida que el dominio raíz esperado sea parte del valor del encabezado Origin antes de reflejarlo en el encabezado de respuesta Access-Control-Allow-Origin. Para los comodines de subdominio, antepón el punto al dominio raíz, por ejemplo, .endsWith(".google.com").

Nivel de precios: Premium

Corregir este hallazgo

A5 A01
Insecure allow origin starts with validation

Nombre de categoría en la API: INSECURE_ALLOW_ORIGIN_STARTS_WITH_VALIDATION

 Un extremo HTTP o HTTPS entre sitios valida solo un prefijo del encabezado de solicitud Origin antes de reflejarlo dentro del encabezado de respuesta Access-Control-Allow-Origin. Para resolver este resultado, verifica que el dominio esperado coincida por completo con el valor del encabezado Origin antes de reflejarlo en el encabezado de respuesta de Access-Control-Allow-Origin, por ejemplo, .equals(".google.com").

Nivel de precios: Premium

Corregir este hallazgo

A5 A01
Invalid content type

Nombre de categoría en la API: INVALID_CONTENT_TYPE

 Se cargó un recurso que no coincide con el encabezado HTTP de tipo de contenido de la respuesta. Para resolver este resultado, configura el encabezado HTTP X-Content-Type-Options con el valor correcto.

Nivel de precios: Estándar

Corregir este hallazgo

A6 A05
Invalid header

Nombre de categoría en la API: INVALID_HEADER

 Un encabezado de seguridad tiene un error de sintaxis y los navegadores lo ignoran. Para solucionar este problema, configura los encabezados de seguridad HTTP de forma correcta.

Nivel de precios: Estándar

Corregir este hallazgo

A6 A05
Mismatching security header values

Nombre de categoría en la API: MISMATCHING_SECURITY_HEADER_VALUES

 Un encabezado de seguridad tiene valores duplicados y no coincidentes, lo que da como resultado un comportamiento indefinido. Para solucionar este problema, configura los encabezados de seguridad HTTP de forma correcta.

Nivel de precios: Estándar

Corregir este hallazgo

A6 A05
Misspelled security header name

Nombre de categoría en la API: MISSPELLED_SECURITY_HEADER_NAME

 Un encabezado de seguridad está mal escrito y se ignora. Para solucionar este problema, configura los encabezados de seguridad HTTP de forma correcta.

Nivel de precios: Estándar

Corregir este hallazgo

A6 A05
Mixed content

Nombre de categoría en la API: MIXED_CONTENT

 Los recursos se envían a través de HTTP en una página HTTPS. Para resolver esto, asegúrate de que todos los recursos se entreguen a través de HTTPS.

Nivel de precios: Estándar

Corregir este hallazgo

A6 A05
Outdated library

Nombre de categoría en la API: OUTDATED_LIBRARY

 Se detectó una biblioteca que tiene vulnerabilidades conocidas. Para resolver esto, actualiza las bibliotecas a una versión más reciente.

Nivel de precios: Estándar

Corregir este hallazgo

A9 A06
Server side request forgery

Nombre de categoría en la API: SERVER_SIDE_REQUEST_FORGERY

 Se detectó una vulnerabilidad de falsificación de solicitudes del servidor (SSRF). Para resolver este resultado, usa una lista de entidades permitidas a fin de limitar los dominios y las direcciones IP a las que la aplicación web puede realizar solicitudes.

Nivel de precios: Estándar

Corregir este hallazgo

No aplicable A10
Session ID leak

Nombre de categoría en la API: SESSION_ID_LEAK

 Cuando se realiza una solicitud de dominio cruzado, la aplicación web incluye el identificador de sesión del usuario en el encabezado de su solicitud Referer. Esta vulnerabilidad le otorga al dominio receptor acceso al identificador de sesión, que se puede usar para actuar como el usuario o identificarlo de forma única.

Nivel de precios: Premium

Corregir este hallazgo

A2 A07
SQL injection

Nombre de categoría en la API: SQL_INJECTION

 Se detectó una posible vulnerabilidad de inyección de SQL. Para resolver este resultado, usa consultas con parámetros a fin de evitar que las entradas del usuario influyan en la estructura de la consulta de SQL.

Nivel de precios: Premium

Corregir este hallazgo

A1 A03
Struts insecure deserialization

Nombre de categoría en la API: STRUTS_INSECURE_DESERIALIZATION

 Se detectó el uso de una versión vulnerable de Apache Stuts. Para resolver este resultado, actualiza Apache Stuuts a la versión más reciente.

Nivel de precios: Premium

Corregir este hallazgo

A8 A08
XSS

Nombre de categoría en la API: XSS

 Un campo en esta aplicación web es vulnerable a un ataque de secuencias de comandos entre sitios (XSS). Para resolver esto, valida y omite los datos no confiables del usuario.

Nivel de precios: Estándar

Corregir este hallazgo

A7 A03
XSS angular callback

Nombre de categoría en la API: XSS_ANGULAR_CALLBACK

 La string proporcionada por el usuario no está escapadas y AngularJS puede interpolarla. Para resolver resultado, valida y omite los datos que no son de confianza proporcionados por los usuarios y que el framework de Angular controla.

Nivel de precios: Estándar

Corregir este hallazgo

A7 A03
XSS error

Nombre de categoría en la API: XSS_ERROR

 Un campo en esta aplicación web es vulnerable a un ataque de secuencia de comandos entre sitios. Para resolver esto, valida y omite los datos no confiables del usuario.

Nivel de precios: Estándar

Corregir este hallazgo

A7 A03
XXE reflected file leakage

Nombre de categoría en la API: XXE_REFLECTED_FILE_LEAKAGE

 Se detectó una vulnerabilidad XML External Entity (XXE). Esto puede hacer que la aplicación web filtre un archivo en el host. Para resolver este resultado, configura tus analizadores de XML a fin de inhabilitar las entidades externas.

Nivel de precios: Premium

Corregir este hallazgo

A4 A05
Prototype pollution

Nombre de categoría en la API: PROTOTYPE_POLLUTION

 La aplicación es vulnerable a la contaminación de prototipos. Esta vulnerabilidad surge cuando se pueden asignar valores que el atacante puede controlar a las propiedades del objeto Object.prototype. Se supone universalmente que los valores plantados en estos prototipos se traducen en secuencia de comandos entre sitios o en vulnerabilidades similares del cliente, además de errores lógicos.

Nivel de precios: Estándar

Corregir este resultado

A1 A03

Amenazas

Los detectores de amenazas pueden ayudarte a encontrar eventos potencialmente dañinos.

Detección de anomalías

La detección de anomalías es un servicio integrado que usa señales de comportamiento fuera del sistema. Muestra información detallada sobre las anomalías detectadas en los proyectos y las instancias de máquina virtual (VM), como posibles filtraciones de credenciales. La detección de anomalías se habilita de forma automática cuando activas el nivel Estándar o Premium de Security Command Center, y los hallazgos están disponibles en la consola de Google Cloud.

Los hallazgos de la detección de anomalías incluyen lo siguiente:

Nombre de la anomalía Categoría Descripción
Account has leaked credentials account_has_leaked_credentials

Las credenciales de una cuenta de servicio de Google Cloud se filtran en línea por accidente o se ven vulneradas.

Gravedad: crítica

Se filtraron las credenciales de la cuenta

GitHub notificó a Security Command Center que las credenciales que se usaron para una confirmación parecen ser las de una cuenta de servicio de Google Cloud Identity and Access Management.

La notificación incluye el nombre de la cuenta de servicio y el identificador de la clave privada. Google Cloud también envía una notificación por correo electrónico a tu contacto designado de seguridad y privacidad.

Para solucionar este problema, toma una o más de las siguientes medidas:

  • Identifica al usuario legítimo de la clave.
  • Rota la clave.
  • Quita la llave.
  • Investiga las acciones que realizó la clave después de que esta se haya filtrado para asegurarte de que ninguna de las acciones fuera maliciosa.

JSON: hallazgo de credenciales de cuenta filtradas

{
  "findings": {
    "access": {},
    "assetDisplayName": "PROJECT_NAME",
    "assetId": "organizations/ORGANIZATION_ID/assets/ASSET_ID",
    "canonicalName": "projects/PROJECT_ID/sources/SOURCE_INSTANCE_ID/findings/FINDING_ID",
    "category": "account_has_leaked_credentials",
    "contacts": {
      "security": {
        "contacts": [
          {
            "email": "EMAIL_ADDRESS"
          }
        ]
      }
    },
    "createTime": "2022-08-05T20:59:41.022Z",
    "database": {},
    "eventTime": "2022-08-05T20:59:40Z",
    "exfiltration": {},
    "findingClass": "THREAT",
    "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/cat",
    "indicator": {},
    "kubernetes": {},
    "mitreAttack": {},
    "mute": "UNDEFINED",
    "name": "organizations/ORGANIZATION_ID/sources/SOURCE_INSTANCE_ID/findings/FINDING_ID",
    "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_INSTANCE_ID",
    "parentDisplayName": "Cloud Anomaly Detection",
    "resourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "severity": "CRITICAL",
    "sourceDisplayName": "Cloud Anomaly Detection",
    "state": "ACTIVE",
    "vulnerability": {},
    "workflowState": "NEW"
  },
  "resource": {
    "name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "display_name": "PROJECT_NAME",
    "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "project_display_name": "PROJECT_NAME",
    "parent_name": "//cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID",
    "parent_display_name": "ORGANIZATION_NAME",
    "type": "google.cloud.resourcemanager.Project",
    "folders": []
  },
  "sourceProperties": {
    "project_identifier": "PROJECT_ID",
    "compromised_account": "SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com",
    "finding_type": "Potential compromise of a resource in your organization.",
    "summary_message": "We have detected leaked Service Account authentication credentials that could be potentially compromised.",
    "action_taken": "Notification sent",
    "private_key_identifier": "SERVICE_ACCOUNT_KEY_ID",
    "url": "https://github.com/KEY_FILE_PATH/KEY_FILE_NAME.json"
  }
}

Container Threat Detection

Container Threat Detection puede detectar los ataques más comunes en el entorno de ejecución del contenedor y alertarte en el Security Command Center y, de forma opcional, en Cloud Logging. Container Threat Detection incluye varias funciones de detección, una herramienta de análisis y una API.

La instrumentación de Container Threat Detection recopila un nivel bajo en el kernel invitado y realiza procesamiento de lenguaje natural en las secuencias de comandos para detectar los siguientes eventos:

  • Se ejecutó el objeto binario agregado
  • Se cargó la biblioteca agregada
  • Ejecución: Ejecución de binario malicioso agregado
  • Ejecución: Se cargó una biblioteca maliciosa
  • Ejecución: Ejecución de binario malicioso integrado
  • Ejecución: Ejecución de binario malicioso modificado
  • Ejecución: Se cargó la biblioteca maliciosa modificada
  • Secuencia de comandos maliciosa ejecutada
  • Shells inversas
  • Shell secundario inesperado

Obtén más información sobre Detección de amenazas a contenedores.

Event Threat Detection

Event Threat Detection usa datos de registro dentro de tus sistemas. Observa la transmisión de Cloud Logging en busca de proyectos y consume los registros a medida que están disponibles. Cuando se detecta una amenaza, Detección de eventos de amenazas escribe un resultado en Security Command Center y en un proyecto de Cloud Logging. Event Threat Detection se habilita automáticamente cuando activas el nivel Premium de Security Command Center y los hallazgos están disponibles en la consola de Google Cloud.

En la siguiente tabla, se enumeran ejemplos de hallazgos de Event Threat Detection.

Tabla C. Tipos de hallazgos de Event Threat Detection
Destrucción de datos

Event Threat Detection detecta la destrucción de datos, examina los registros de auditoría del servidor de administración de servicios de copia de seguridad y DR para las siguientes situaciones:

  • Eliminación de una imagen de copia de seguridad
  • Eliminación de todas las imágenes de copia de seguridad asociadas con una aplicación
  • Eliminación de un dispositivo de copia de seguridad o recuperación
Robo de datos

Event Threat Detection detecta el robo de datos de BigQuery y Cloud SQL mediante el análisis de los registros de auditoría para las siguientes situaciones:

  • Un recurso de BigQuery se guarda fuera de la organización o se intenta una operación de copia que está bloqueada por los Controles del servicio de VPC.
  • Se intenta acceder a los recursos de BigQuery que los Controles del servicio de VPC protegen.
  • Un recurso de Cloud SQL se exporta de forma completa o parcial a un bucket de Cloud Storage fuera de tu organización o a un bucket que pertenece a tu organización y al que se puede acceder públicamente.
  • Una copia de seguridad de Cloud SQL se restablece a una instancia de Cloud SQL fuera de tu organización.
  • Un recurso de BigQuery que pertenece a tu organización se exporta a un bucket de Cloud Storage fuera de tu organización o a un bucket de tu organización de acceso público.
  • Un recurso BigQuery de tu organización se exporta a una carpeta de Google Drive.
Actividad sospechosa de Cloud SQL

Event Threat Detection examina los registros de auditoría para detectar los siguientes eventos que pueden indicar la vulneración de una cuenta de usuario válida en las instancias de Cloud SQL:

  • A un usuario de la base de datos se le otorgan todos los privilegios de una base de datos de Cloud SQL para PostgreSQL o a todas las tablas, procedimientos o funciones de un esquema.
  • Se usa un superusuario de cuenta de base de datos predeterminada de Cloud SQL (“postgres” en las instancias de PostgreSQL o “raíz” en las instancias de MySQL) para escribir en tablas que no son del sistema.
Actividad sospechosa en AlloyDB para PostgreSQL

La Detección de eventos de amenazas examina los registros de auditoría para detectar los siguientes eventos que pueden indicar la vulneración de una cuenta de usuario válida en las instancias de AlloyDB para PostgreSQL:

  • A un usuario de la base de datos se le otorgan todos los privilegios de una base de datos de AlloyDB para PostgreSQL o de todas las tablas, procedimientos o funciones en un esquema.
  • Se usa un superusuario de cuenta de base de datos predeterminada de AlloyDB para PostgreSQL (“postgres”) para escribir en tablas que no son del sistema.
Ataques de fuerza bruta a SSH Event Threat Detection detecta la fuerza bruta de la autenticación de contraseñas mediante SSH mediante el análisis de los registros de syslog en busca de fallas repetidas seguidas de un éxito.
Criptominería Event Threat Detection detecta software malicioso de minería de criptomonedas a través de un análisis de los registros de flujo de VPC y de los registros de Cloud DNS para establecer conexiones con dominios maliciosos o direcciones IP conocidas de grupos de minería.
Abuso de IAM

Otorgamientos de IAM anómalos: Event Threat Detection detecta la adición de otorgamientos de IAM que podrían considerarse anómalos, como los siguientes:

  • Agregar un usuario de gmail.com a una política con el rol de editor de proyectos
  • Invita a un usuario de gmail.com como propietario del proyecto desde la consola de Google Cloud:
  • Cuenta de servicio que otorga permisos sensibles
  • La función personalizada otorgó permisos sensibles
  • Se agregó la cuenta de servicio desde fuera de la organización.
Inhibición de la recuperación del sistema

Event Threat Detection detecta cambios anómalos en las copias de seguridad y la DR que pueden afectar la postura de la copia de seguridad, incluidos los cambios importantes en las políticas y la eliminación de los componentes críticos de este tipo de copias.
Log4j Event Threat Detection detecta posibles intentos de explotación de Log4j y vulnerabilidades de Log4j activas.
Software malicioso Event Threat Detection detecta software malicioso mediante el análisis de los registros de flujo de VPC y de Cloud DNS en busca de conexiones a IP y dominios de comando y control conocidos.
DoS saliente La Detección de eventos de amenazas examina los registros de flujo de VPC para detectar denegación saliente del tráfico de servicio.
Acceso anómalo Event Threat Detection detecta el acceso anómalo mediante el análisis de los registros de auditoría de Cloud para las modificaciones del servicio de Google Cloud que se originaron en las direcciones IP de proxy anónimas, como las direcciones IP de Tor.
Comportamiento de IAM anómalo Event Threat Detection detecta comportamientos de IAM anómalos mediante el análisis de los Registros de auditoría de Cloud en las siguientes situaciones:
  • Cuentas de usuario y de servicio de IAM que acceden a Google Cloud desde direcciones IP anómalas.
  • Cuentas de servicio de IAM que acceden a Google Cloud desde usuarios-agentes anómalos.
  • Principales y recursos que se hacen pasar por cuentas de servicio de IAM para acceder a Google Cloud.
Autoinvestigación de la cuenta de servicio Container Threat Detection detecta cuándo se usa una credencial de cuenta de servicio para investigar las funciones y los permisos asociados con esa misma cuenta de servicio.
Se agregó la clave SSH del administrador de Compute Engine Event Threat Detection detecta una modificación en el valor de la llave SSH de los metadatos de instancia de Compute Engine en una instancia establecida (más de 1 semana).
El administrador de Compute Engine agregó una secuencia de comandos de inicio Event Threat Detection detecta una modificación en el valor de la secuencia de comandos de inicio de los metadatos de la instancia de Compute Engine en una instancia establecida (antes de 1 semana).
Hay actividad sospechosa en la cuenta La Detección de eventos de amenazas detecta un posible compromiso de las cuentas de Google Workspace mediante el análisis de los registros de auditoría para actividades anómalas de la cuenta, incluidas las filtraciones de contraseñas y los intentos de acceso sospechosos.
Ataque respaldado por el Gobierno Event Threat Detection examina los registros de auditoría de Google Workspace para detectar cuándo atacantes respaldados por el Gobierno podrían haber intentado vulnerar la cuenta o la computadora de un usuario.
Cambios en el inicio de sesión único (SSO) La Detección de eventos de amenazas examina los registros de auditoría de Google Workspace a fin de detectar cuándo el SSO está inhabilitado o se cambia la configuración de las cuentas de administrador de Google Workspace.
Verificación en dos pasos Event Threat Detection examina los registros de auditoría de Google Workspace para detectar cuándo se inhabilita la verificación en 2 pasos en las cuentas de usuario y administrador.
Comportamiento anómalo de la API Event Threat Detection detecta comportamiento de API anómalo mediante el análisis de los registros de auditoría de Cloud para solicitudes a los servicios de Google Cloud que un principal no vio antes.
Evasión de defensa

Event Threat Detection detecta la evasión de la defensa, examina los registros de auditoría de Cloud para las siguientes situaciones:

  • Cambios en los perímetros existentes de los Controles del servicio de VPC que reducirían la protección que se ofrece.
  • Implementaciones o actualizaciones de cargas de trabajo que usan la marca de emergencia para anular los controles de autorización binaria.Vista previa
Descubrimiento

Event Threat Detection detecta las operaciones de descubrimiento mediante el análisis de los registros de auditoría en las siguientes situaciones:

  • Un atacante potencialmente malicioso intentó determinar para qué objetos sensibles en GKE puede consultar mediante el comando kubectl.
  • Se usa una credencial de cuenta de servicio para investigar los roles y permisos asociados con la misma cuenta de servicio.
Acceso inicial Event Threat Detection detecta las operaciones de acceso iniciales examinando los registros de auditoría en las siguientes situaciones:
  • Una cuenta de servicio administrada por el usuario inactiva activó una acción.Vista previa
  • Una principal intentó invocar varios métodos de Google Cloud, pero falló varias veces debido a errores de permiso denegado.Vista previa
Elevación de privilegios

Event Threat Detection detecta la elevación de privilegios en GKE, examina los registros de auditoría en las siguientes situaciones:

  • Para escalar el privilegio, una persona posiblemente malintencionada intentó modificar un objeto de control de acceso basado en roles (RBAC) ClusterRole o ClusterRoleBinding de la función sensible cluster-admin mediante una solicitud PUT o PATCH.
  • Un actor potencialmente malicioso creó una solicitud de firma de certificado (CSR) de instancia principal de Kubernetes, que le otorga acceso cluster-admin.
  • Para escalar el privilegio, un actor potencialmente malicioso intentó crear un objeto RoleBinding o ClusterRoleBinding nuevo para la función cluster-admin.
  • Se detectó un posible actor malicioso en la consulta de una solicitud de firma de certificado (CSR) con el comando kubectl mediante credenciales de arranque vulneradas.
  • Un atacante potencialmente malicioso creó un Pod que contiene contenedores con privilegios o contenedores con capacidades de elevación de privilegios.
Detecciones de IDS de Cloud El IDS de Cloud detecta los ataques de capa 7 mediante el análisis de los paquetes duplicados y, cuando detecta un evento sospechoso, activa un resultado de Event Threat Detection. Para obtener más información sobre las detecciones del IDS de Cloud, consulta la información de registro del IDS de Cloud. Vista previa
Movimiento lateral Event Threat Detection detecta posibles ataques de disco de arranque modificado mediante el análisis de los Registros de auditoría de Cloud, en busca de desconexiones frecuentes de discos de arranque y nuevos adjuntos en las instancias de Compute Engine.

Obtén más información sobre Event Threat Detection.

Seguridad de Foresti

Forseti Security te brinda herramientas para comprender todos los recursos que tienes en Google Cloud. Los módulos principales de Forseti funcionan en conjunto para proporcionar información completa de modo que puedas proteger los recursos y minimizar los riesgos de seguridad.

Para mostrar las notificaciones de incumplimiento de Forseti en Security Command Center, sigue la Guía de notificación de Security Command Center de Forseti.

Para obtener más información, sigue estas sugerencias:

Google Cloud Armor

Google Cloud Armor ayuda a proteger tu aplicación mediante el filtrado de capa 7. Google Cloud Armor limpia las solicitudes entrantes de los ataques web comunes o de otros atributos de capa 7 para bloquear potencialmente el tráfico antes de que llegue a tus servicios de backend o buckets de backend con balanceo de cargas.

Google Cloud Armor exporta dos hallazgos a Security Command Center:

Virtual Machine Threat Detection

Virtual Machine Threat Detection, un servicio integrado de Security Command Center Premium, proporciona detección de amenazas a través de la instrumentación a nivel de hipervisor y el análisis de disco persistente. VM Threat Detection detecta aplicaciones potencialmente maliciosas, como software de minería de criptomonedas, rootkits en modo de kernel y software malicioso que se ejecuta en entornos de nube comprometidos.

VM Threat Detection forma parte del paquete de detección de amenazas de Security Command Center Premium y está diseñada para complementar las capacidades existentes de Event Threat Detection y Container Threat Detection.

Para obtener más información sobre la detección de amenazas a VM, consulta Descripción general de VM Threat Detection.

Hallazgos de amenazas de la detección de amenazas de VM

VM Threat Detection puede generar los siguientes hallazgos de amenazas.

Hallazgos de amenazas de minería de criptomonedas

VM Threat Detection detecta las siguientes categorías de resultados mediante la coincidencia de hash o las reglas YARA.

Hallazgos de amenazas de minería de criptomonedas de VM Threat Detection
Categoría Módulo Descripción
Execution: Cryptocurrency Mining Hash Match CRYPTOMINING_HASH Hace coincidir los hashes de memoria de los programas en ejecución con los hashes de memoria conocidos del software de minería de criptomonedas.
Execution: Cryptocurrency Mining YARA Rule CRYPTOMINING_YARA Coincide con los patrones de memoria, como las constantes de prueba de trabajo, que el software de minería de criptomonedas usa.
Execution: Cryptocurrency Mining Combined Detection
  • CRYPTOMINING_HASH
  • CRYPTOMINING_YARA
 Identifica una amenaza que detectaron los módulos CRYPTOMINING_HASH y CRYPTOMINING_YARA. Para obtener más información, consulta Detecciones combinadas.

Hallazgos de amenazas de rootkit en modo de kernel

VM Threat Detection analiza la integridad del kernel en el tiempo de ejecución para detectar técnicas de evasión comunes que usa el software malicioso.

El módulo KERNEL_MEMORY_TAMPERING detecta amenazas mediante una comparación de hash en el código del kernel y la memoria de datos de solo lectura del kernel de una máquina virtual.

El módulo KERNEL_INTEGRITY_TAMPERING verifica la integridad de las estructuras importantes de datos del kernel para detectar amenazas.

Resultados de amenazas de rootkit de modo de kernel de VM Threat Detection
Categoría Módulo Descripción
Manipulación de memoria del kernel
Defense Evasion: Unexpected kernel code modificationVista previa KERNEL_MEMORY_TAMPERING Hay modificaciones inesperadas de la memoria del código de kernel.
Defense Evasion: Unexpected kernel read-only data modificationVista previa KERNEL_MEMORY_TAMPERING Hay modificaciones inesperadas de la memoria de datos de solo lectura del kernel.
Manipulación de la integridad del kernel
Defense Evasion: Unexpected ftrace handlerVista previa KERNEL_INTEGRITY_TAMPERING Los puntos de ftrace están presentes con devoluciones de llamada que apuntan a regiones que no están en el rango de código de kernel o módulo esperado.
Defense Evasion: Unexpected interrupt handlerVista previa KERNEL_INTEGRITY_TAMPERING Interrumpir controladores que no están en las regiones de código de kernel o módulo esperadas están presentes.
Defense Evasion: Unexpected kernel modulesVista previa KERNEL_INTEGRITY_TAMPERING Están presentes las páginas de código del kernel que no están en las regiones de código del kernel o del módulo previstas.
Defense Evasion: Unexpected kprobe handlerVista previa KERNEL_INTEGRITY_TAMPERING Los puntos de kprobe están presentes con devoluciones de llamada que apuntan a regiones que no están en el rango de código de kernel o módulo esperado.
Defense Evasion: Unexpected processes in runqueueVista previa KERNEL_INTEGRITY_TAMPERING Hay procesos inesperados en la cola de ejecución del programador. Estos procesos están en la lista de ejecución, pero no en la lista de tareas de procesos.
Defense Evasion: Unexpected system call handlerVista previa KERNEL_INTEGRITY_TAMPERING Están presentes los controladores de llamadas al sistema que no están en las regiones esperadas de código de kernel o módulo.
Rootkit
Defense Evasion: RootkitVista previa
  • KERNEL_MEMORY_TAMPERING
  • KERNEL_INTEGRITY_TAMPERING
 Está presente una combinación de indicadores que coinciden con un rootkit de modo de kernel conocido. Para recibir resultados de esta categoría, asegúrate de que ambos módulos estén habilitados.

Hallazgo de observación de VM Threat Detection

VM Threat Detection puede generar el siguiente resultado de observación.

Resultado de la observación de VM Threat Detection
Nombre de categoría Nombre de la API Resumen Gravedad
VMTD disabled VMTD_DISABLED

La detección de amenazas de VM está inhabilitada. Hasta que lo enable, este servicio no podrá analizar tus proyectos de Compute Engine ni instancias de VM en busca de aplicaciones no deseadas.

Este resultado se establece en INACTIVE después de 30 días. Después de eso, este resultado no se genera de nuevo.

Alta

Errores

Los detectores de errores pueden ayudarte a detectar errores en la configuración que evitan que las fuentes de seguridad generen resultados. La fuente de seguridad Security Command Center genera los resultados de error y estos tienen la clase de resultado SCC errors.

Acciones involuntarias

Las siguientes categorías de resultados representan errores posiblemente causados por acciones no intencionales.

Acciones involuntarias
Nombre de categoría Nombre de la API Resumen Gravedad
API disabled API_DISABLED

Descripción de los resultados: La API requerida está inhabilitada para el proyecto. El servicio inhabilitado no puede enviar resultados a Security Command Center.

Nivel de precios: Premium o Estándar

Recursos admitidos
cloudresourcemanager.googleapis.com/Project

Análisis por lotes: Cada 60 horas

Corrige este resultado

Crítica
Attack path simulation: no resource value configs match any resources APS_NO_RESOURCE_VALUE_CONFIGS_MATCH_ANY_RESOURCES

Descripción del resultado: Las configuraciones de valores de recursos se definen para simulaciones de rutas de ataque, pero no coinciden con ninguna instancia de recurso en tu entorno. En su lugar, las simulaciones usan el conjunto de recursos de alto valor predeterminado.

Este error puede tener cualquiera de las siguientes causas:

  • Ninguna de las configuraciones de valores de recursos coincide con ninguna instancia de recurso.
  • Una o más configuraciones de valores de recursos que especifican NONE anulan todas las demás configuraciones válidas.
  • Todas las configuraciones definidas de valores de recursos especifican un valor de NONE.

Nivel de precios: Premium

Recursos admitidos
cloudresourcemanager.googleapis.com/Organizations

Análisis por lotes: Antes de cada simulación de ruta de ataque.

Corrige este resultado

Crítica
Attack path simulation: resource value assignment limit exceeded APS_RESOURCE_VALUE_ASSIGNMENT_LIMIT_EXCEEDED

Descripción del resultado: En la última simulación de la ruta de ataque, la cantidad de instancias de recursos de alto valor, identificadas por la configuración de valores de los recursos, superó el límite de 1,000 instancias de recursos en un conjunto de recursos de alto valor. Como resultado, Security Command Center excluyó la cantidad excesiva de instancias del conjunto de recursos de alto valor.

La cantidad total de instancias coincidentes y la cantidad total de instancias excluidas del conjunto se identifican en el hallazgo SCC Error en la consola de Google Cloud.

Las puntuaciones de exposición a ataques en cualquier resultado que afecte a las instancias de recursos excluidas no reflejan la designación de alto valor de las instancias de recursos.

Nivel de precios: Premium

Recursos admitidos
cloudresourcemanager.googleapis.com/Organizations

Análisis por lotes: Antes de cada simulación de ruta de ataque.

Corrige este resultado

Alta
Container Threat Detection Image Pull Failure KTD_IMAGE_PULL_FAILURE

Descripción del resultado: No se puede habilitar Container Threat Detection en el clúster porque no se puede extraer (descargar) una imagen de contenedor obligatoria desde gcr.io, el host de imagen de Container Registry. La imagen es necesaria para implementar el DaemonSet de Container Threat Detection que requiere Container Threat Detection.

El intento de implementar el DaemonSet de detección de amenazas a contenedores dio como resultado el siguiente error:

Failed to pull image "badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00": rpc error: code = NotFound desc = failed to pull and unpack image "badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00": failed to resolve reference "badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00": badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00: not found

Nivel de precios: Premium

Elementos compatibles
container.googleapis.com/Cluster

Análisis por lotes: cada 30 minutos

Corrige este resultado

Crítica
Container Threat Detection Blocked By Admission Controller KTD_BLOCKED_BY_ADMISSION_CONTROLLER

Descripción del resultado: Container Threat Detection no se puede habilitar en un clúster de Kubernetes. Un controlador de admisión de terceros impide la implementación de un objeto DaemonSet de Kubernetes que requiere Container Threat Detection.

Cuando se visualiza en la consola de Google Cloud, los detalles del resultado incluyen el mensaje de error que mostró Google Kubernetes Engine cuando la Detección de amenazas a contenedores intentó implementar un objeto DaemonSet de detección de amenazas a contenedores.

Nivel de precios: Premium

Elementos compatibles
container.googleapis.com/Cluster

Análisis por lotes: cada 30 minutos

Corrige este resultado

Alta
Container Threat Detection service account missing permissions KTD_SERVICE_ACCOUNT_MISSING_PERMISSIONS

Descripción del resultado: A una cuenta de servicio le faltan los permisos necesarios para la detección de amenazas a contenedores. La detección de amenazas a contenedores podría dejar de funcionar de forma correcta porque no se puede habilitar, actualizar ni inhabilitar la instrumentación de detección.

Nivel de precios: Premium

Recursos admitidos
cloudresourcemanager.googleapis.com/Project

Análisis por lotes: cada 30 minutos

Corrige este resultado

Crítica
GKE service account missing permissions GKE_SERVICE_ACCOUNT_MISSING_PERMISSIONS

Descripción de los resultados: La detección de amenazas a contenedores no puede generar resultados para un clúster de Google Kubernetes Engine, ya que a la cuenta de servicio predeterminada de GKE en el clúster le faltan permisos. Esto impide que la detección de amenazas a contenedores se habilite de forma correcta en el clúster.

Nivel de precios: Premium

Elementos compatibles
container.googleapis.com/Cluster

Análisis por lotes: todas las semanas

Corrige este resultado

Alta
Misconfigured Cloud Logging Export MISCONFIGURED_CLOUD_LOGGING_EXPORT

Descripción de los resultados: El proyecto configurado para la exportación continua a Cloud Logging no está disponible. Security Command Center no puede enviar resultados a Logging.

Nivel de precios: Premium

Elementos admitidos
cloudresourcemanager.googleapis.com/Organization

Análisis por lotes: cada 30 minutos

Corrige este resultado

Alta
VPC Service Controls Restriction VPC_SC_RESTRICTION

Descripción del resultado: Las estadísticas del estado de la seguridad no pueden producir ciertos resultados para un proyecto. El proyecto está protegido por un perímetro de servicio, y la cuenta de servicio de Security Command Center no tiene acceso al perímetro.

Nivel de precios: Premium o Estándar

Recursos admitidos
cloudresourcemanager.googleapis.com/Project

Análisis por lotes: Cada 6 horas

Corrige este resultado

Alta
Security Command Center service account missing permissions SCC_SERVICE_ACCOUNT_MISSING_PERMISSIONS

Descripción del resultado: A la cuenta de servicio de Security Command Center le faltan los permisos necesarios para funcionar de forma correcta. No se producen resultados.

Nivel de precios: Premium o Estándar

Recursos admitidos

Análisis por lotes: cada 30 minutos

Corrige este resultado

Crítica

Para obtener más información, consulta Errores de Security Command Center.

¿Qué sigue?