REST Resource: organizations.sources.findings

Ressource : Finding

Résultat de Security Command Center.

Un résultat est un enregistrement de données d'évaluation, telles que la sécurité, les risques, l'état ou la confidentialité, qui sont ingérées dans Security Command Center pour la présentation, la notification, l'analyse, les tests de règles et l'application. Par exemple, une faille de script intersites (XSS) dans une application App Engine est un résultat.

Représentation JSON 
{
  "name": string,
  "parent": string,
  "resourceName": string,
  "state": enum (State),
  "category": string,
  "externalUri": string,
  "sourceProperties": {
    string: value,
    ...
  },
  "securityMarks": {
    object (SecurityMarks)
  },
  "eventTime": string,
  "createTime": string,
  "severity": enum (Severity),
  "canonicalName": string,
  "mute": enum (Mute),
  "findingClass": enum (FindingClass),
  "indicator": {
    object (Indicator)
  },
  "vulnerability": {
    object (Vulnerability)
  },
  "muteUpdateTime": string,
  "externalSystems": {
    string: {
      object (ExternalSystem)
    },
    ...
  },
  "mitreAttack": {
    object (MitreAttack)
  },
  "access": {
    object (Access)
  },
  "connections": [
    {
      object (Connection)
    }
  ],
  "muteInitiator": string,
  "muteInfo": {
    object (MuteInfo)
  },
  "processes": [
    {
      object (Process)
    }
  ],
  "contacts": {
    string: {
      object (ContactDetails)
    },
    ...
  },
  "compliances": [
    {
      object (Compliance)
    }
  ],
  "parentDisplayName": string,
  "description": string,
  "exfiltration": {
    object (Exfiltration)
  },
  "iamBindings": [
    {
      object (IamBinding)
    }
  ],
  "nextSteps": string,
  "moduleName": string,
  "containers": [
    {
      object (Container)
    }
  ],
  "kubernetes": {
    object (Kubernetes)
  },
  "database": {
    object (Database)
  },
  "attackExposure": {
    object (AttackExposure)
  },
  "files": [
    {
      object (File)
    }
  ],
  "cloudDlpInspection": {
    object (CloudDlpInspection)
  },
  "cloudDlpDataProfile": {
    object (CloudDlpDataProfile)
  },
  "kernelRootkit": {
    object (KernelRootkit)
  },
  "orgPolicies": [
    {
      object (OrgPolicy)
    }
  ],
  "job": {
    object (Job)
  },
  "application": {
    object (Application)
  },
  "ipRules": {
    object (IpRules)
  },
  "backupDisasterRecovery": {
    object (BackupDisasterRecovery)
  },
  "securityPosture": {
    object (SecurityPosture)
  },
  "logEntries": [
    {
      object (LogEntry)
    }
  ],
  "loadBalancers": [
    {
      object (LoadBalancer)
    }
  ],
  "cloudArmor": {
    object (CloudArmor)
  },
  "notebook": {
    object (Notebook)
  },
  "toxicCombination": {
    object (ToxicCombination)
  },
  "groupMemberships": [
    {
      object (GroupMembership)
    }
  ],
  "disk": {
    object (Disk)
  },
  "dataAccessEvents": [
    {
      object (DataAccessEvent)
    }
  ],
  "dataFlowEvents": [
    {
      object (DataFlowEvent)
    }
  ],
  "networks": [
    {
      object (Network)
    }
  ],
  "dataRetentionDeletionEvents": [
    {
      object (DataRetentionDeletionEvent)
    }
  ]
}
Champs
name

string

Nom de ressource relatif de l'anomalie. Exemples: "organizations/{organization_id}/sources/{source_id}/findings/{findingId}", "folders/{folder_id}/sources/{source_id}/findings/{findingId}", "projects/{projectId}/sources/{source_id}/findings/{findingId}".
parent

string

Nom de ressource relatif de la source à laquelle la non-conformité appartient. Consultez https://cloud.google.com/apis/design/resource_names#relative_resource_name. Ce champ est immuable après la création. Par exemple: "organizations/{organization_id}/sources/{source_id}"
resourceName

string

Pour les résultats concernant des ressources Google Cloud, nom complet de la ressource Google Cloud concernée. Consultez https://cloud.google.com/apis/design/resource_names#full_resource_name. Lorsque la découverte concerne une ressource autre que Google Cloud, resourceName peut être une chaîne définie par le client ou le partenaire. Ce champ est immuable après la création.
state

enum (State)

État de la découverte.
category

string

Groupe de taxonomie supplémentaire dans les résultats d'une source donnée. Ce champ est immuable après la création. Exemple: "XSS_FLASH_INJECTION"
externalUri

string

URI qui, le cas échéant, pointe vers une page Web en dehors de Security Command Center où vous trouverez des informations supplémentaires sur le résultat. Ce champ est garanti vide ou contient une URL correctement formatée.
sourceProperties

map (key: string, value: value (Value format))

Propriétés spécifiques à la source. Ces propriétés sont gérées par la source qui écrit le résultat. Les noms de clé dans la carte sourceProperties doivent comporter entre 1 et 255 caractères. Ils doivent commencer par une lettre et ne contenir que des caractères alphanumériques ou des traits de soulignement.

Objet contenant une liste de paires "key": value. Exemple : { "name": "wrench", "mass": "1.3kg", "count": "3" }.
securityMarks

object (SecurityMarks)

Uniquement en sortie. Marques de sécurité spécifiées par l'utilisateur. Ces marques sont entièrement gérées par l'utilisateur et proviennent de la ressource SecurityMarks appartenant à l'anomalie.
eventTime

string (Timestamp format)

Date/Heure de la première détection du résultat. Si un résultat existant est mis à jour, il s'agit de la date et de l'heure auxquelles la mise à jour a eu lieu. Par exemple, si le résultat représente un pare-feu ouvert, cette propriété capture l'heure à laquelle le détecteur estime que le pare-feu est devenu ouvert. La précision est déterminée par le détecteur. Si le résultat est résolu par la suite, cette valeur indique l'heure de résolution du résultat. Cette valeur ne doit pas être supérieure au code temporel actuel.

Utilise la norme RFC 3339, où la sortie générée est toujours normalisée avec le suffixe Z et utilise 0, 3, 6 ou 9 chiffres décimaux. Les décalages autres que "Z" sont également acceptés. Exemples: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" ou "2014-10-02T15:01:23+05:30".
createTime

string (Timestamp format)

Heure à laquelle le résultat a été créé dans Security Command Center.

Utilise la norme RFC 3339, où la sortie générée est toujours normalisée avec le suffixe Z et utilise 0, 3, 6 ou 9 chiffres décimaux. Les décalages autres que "Z" sont également acceptés. Exemples: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" ou "2014-10-02T15:01:23+05:30".
severity

enum (Severity)

Gravité de l'anomalie. Ce champ est géré par la source qui écrit la découverte.
canonicalName

string

Nom canonique du résultat. Il s'agit de "organizations/{organization_id}/sources/{source_id}/findings/{findingId}", "folders/{folder_id}/sources/{source_id}/findings/{findingId}" ou "projects/{project_number}/sources/{source_id}/findings/{findingId}", en fonction de l'ancêtre CRM le plus proche de la ressource associée à l'anomalie.
mute

enum (Mute)

Indique l'état de masquage d'un résultat (masqué, non masqué ou indéfini). Contrairement aux autres attributs d'un résultat, un fournisseur de résultats ne doit pas définir la valeur de la fonctionnalité de masquage.
findingClass

enum (FindingClass)

Classe du résultat.
indicator

object (Indicator)

Représente ce qui est communément appelé indicateur de compromission (IoC) en informatique légale. Il s'agit d'un artefact observé sur un réseau ou dans un système d'exploitation qui indique, avec un niveau de confiance élevé, une intrusion informatique. Pour en savoir plus, consultez la section Indicateur de compromission.
vulnerability

object (Vulnerability)

Représente des champs spécifiques aux failles, tels que les CVE et les scores CVSS. CVE signifie "Common Vulnerabilities and Exposures" (https://cve.mitre.org/about/).
muteUpdateTime

string (Timestamp format)

Uniquement en sortie. Date et heure de la dernière activation ou désactivation de ce résultat.

Utilise la norme RFC 3339, où la sortie générée est toujours normalisée avec le suffixe Z et utilise 0, 3, 6 ou 9 chiffres décimaux. Les décalages autres que "Z" sont également acceptés. Exemples: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" ou "2014-10-02T15:01:23+05:30".
externalSystems

map (key: string, value: object (ExternalSystem))

Uniquement en sortie. Les champs SIEM/SOAR tiers de la SCC contiennent des informations sur les systèmes externes et des champs de résultats sur les systèmes externes.

Objet contenant une liste de paires "key": value. Exemple : { "name": "wrench", "mass": "1.3kg", "count": "3" }.
mitreAttack

object (MitreAttack)

Tactiques et techniques MITRE ATT&CK associées à cette observation Voir https://attack.mitre.org
access

object (Access)

Informations d'accès associées à la découverte, telles que des informations supplémentaires sur l'appelant, la méthode à laquelle il a accédé et l'emplacement d'accès.
connections[]

object (Connection)

Contient des informations sur la connexion IP associée au résultat.
muteInitiator

string

Enregistre des informations supplémentaires sur l'opération de masquage, par exemple la configuration de masquage qui a masqué la non-conformité et l'utilisateur qui l'a masquée.
muteInfo

object (MuteInfo)

Uniquement en sortie. Informations sur l'activation de la fonctionnalité de masquage pour ce résultat.
processes[]

object (Process)

Représente les processus du système d'exploitation associés à l'anomalie.
contacts

map (key: string, value: object (ContactDetails))

Uniquement en sortie. Carte contenant les points de contact pour le résultat donné. La clé représente le type de contact, tandis que la valeur contient la liste de tous les contacts concernés. Veuillez consulter https://cloud.google.com/resource-manager/docs/managing-notification-contacts#notification-categories.

{
  "security": {
    "contacts": [
      {
        "email": "person1@company.com"
      },
      {
        "email": "person2@company.com"
      }
    ]
  }
}

Objet contenant une liste de paires "key": value. Exemple : { "name": "wrench", "mass": "1.3kg", "count": "3" }.
compliances[]

object (Compliance)

Contient des informations sur la conformité aux normes de sécurité associées à l'anomalie.
parentDisplayName

string

Uniquement en sortie. Nom à afficher de la source des résultats, par exemple "Event Threat Detection" ou "Security Health Analytics".
description

string

Contient plus de détails sur le résultat.
exfiltration

object (Exfiltration)

Représente les exfiltrations associées au résultat.
iamBindings[]

object (IamBinding)

Représente les liaisons IAM associées à la découverte.
nextSteps

string

Étapes à suivre pour corriger le problème.
moduleName

string

Identifiant unique du module ayant généré le résultat. Exemple: folders/598186756061/securityHealthAnalyticsSettings/customModules/56799441161885
containers[]

object (Container)

Conteneurs associés à la découverte. Ce champ fournit des informations pour les conteneurs Kubernetes et non Kubernetes.
kubernetes

object (Kubernetes)

Ressources Kubernetes associées à la découverte.
database

object (Database)

Base de données associée à la découverte.
attackExposure

object (AttackExposure)

Résultats d'une simulation de chemin d'attaque pertinents pour ce résultat.
files[]

object (File)

Fichier associé au résultat.
cloudDlpInspection

object (CloudDlpInspection)

Résultats de l'inspection Cloud Data Loss Prevention (Cloud DLP) associés à la découverte.
cloudDlpDataProfile

object (CloudDlpDataProfile)

Profil de données Cloud DLP associé au résultat.
kernelRootkit

object (KernelRootkit)

Signature du rootkit de kernel.
orgPolicies[]

object (OrgPolicy)

Contient des informations sur les règles de l'organisation associées à l'anomalie.
job

object (Job)

Tâche associée à la découverte.
application

object (Application)

Représente une application associée à la découverte.
ipRules

object (IpRules)

Règles IP associées à la découverte.
backupDisasterRecovery

object (BackupDisasterRecovery)

Champs liés aux résultats de sauvegarde et de reprise après sinistre.
securityPosture

object (SecurityPosture)

Niveau de sécurité associé à la découverte.
logEntries[]

object (LogEntry)

Entrées de journal pertinentes pour la découverte.
loadBalancers[]

object (LoadBalancer)

Équilibreurs de charge associés à la découverte.
cloudArmor

object (CloudArmor)

Champs liés aux résultats de Cloud Armor.
notebook

object (Notebook)

Notebook associé au résultat.
toxicCombination

object (ToxicCombination)

Contient des informations sur un groupe de problèmes de sécurité qui, lorsqu'ils se produisent ensemble, représentent un risque plus élevé que lorsqu'ils se produisent indépendamment. Un groupe de problèmes de ce type est appelé "combinaison toxique". Ce champ ne peut pas être modifié. Sa valeur est ignorée dans toutes les requêtes de mise à jour.
groupMemberships[]

object (GroupMembership)

Contient des informations sur les groupes dont cette observation fait partie. Un groupe est un ensemble de résultats qui sont liés d'une manière ou d'une autre. Ce champ ne peut pas être modifié. Sa valeur est ignorée dans toutes les requêtes de mise à jour.
disk

object (Disk)

Disque associé au résultat.
dataAccessEvents[]

object (DataAccessEvent)

Événements d'accès aux données associés à la découverte.
dataFlowEvents[]

object (DataFlowEvent)

Événements de flux de données associés à la découverte.
networks[]

object (Network)

Représente les réseaux VPC auxquels la ressource est associée.
dataRetentionDeletionEvents[]

object (DataRetentionDeletionEvent)

Événements de suppression liés à la conservation des données associés à la découverte.

État

État de la découverte.

Enums
STATE_UNSPECIFIED État non spécifié.
ACTIVE Le résultat nécessite votre attention et n'a pas encore été traité.
INACTIVE Le résultat a été corrigé, classé comme non problématique ou traité d'une autre manière, et n'est plus actif.

Marques de sécurité

Marques de sécurité spécifiées par l'utilisateur associées à la ressource parente de Security Command Center. Les marques de sécurité sont définies au niveau d'une organisation Security Command Center. Elles peuvent être modifiées et consultées par tous les utilisateurs disposant des autorisations appropriées pour l'organisation.

Représentation JSON 
{
  "name": string,
  "marks": {
    string: string,
    ...
  },
  "canonicalName": string
}
Champs
name

string

Nom de ressource relatif des SecurityMarks. Voir: https://cloud.google.com/apis/design/resource_names#relative_resource_name Exemples: "organizations/{organization_id}/assets/{asset_id}/securityMarks" "organizations/{organization_id}/sources/{source_id}/findings/{findingId}/securityMarks".
marks

map (key: string, value: string)

Marques de sécurité modifiables spécifiées par l'utilisateur appartenant à la ressource parente. Les contraintes sont les suivantes:

  • Les clés et les valeurs ne sont pas sensibles à la casse.
  • Les clés doivent comporter entre 1 et 256 caractères (inclus).
  • Les clés doivent être composées de lettres, de chiffres, de traits de soulignement ou de tirets.
  • Les valeurs comportent des espaces en début et en fin de chaîne. Les caractères restants doivent être compris entre 1 et 4 096 caractères (inclus).

Objet contenant une liste de paires "key": value. Exemple : { "name": "wrench", "mass": "1.3kg", "count": "3" }.
canonicalName

string

Nom canonique des marques. Exemples: "organizations/{organization_id}/assets/{asset_id}/securityMarks" "folders/{folder_id}/assets/{asset_id}/securityMarks" "projects/{project_number}/assets/{asset_id}/securityMarks" "organizations/{organization_id}/sources/{source_id}/findings/{findingId}/securityMarks" "folders/{folder_id}/sources/{source_id}/findings/{findingId}/securityMarks" "projects/{project_number}/sources/{source_id}/findings/{findingId}/securityMarks"

Gravité

Gravité de l'anomalie.

Enums
SEVERITY_UNSPECIFIED Cette valeur est utilisée pour les résultats lorsqu'une source n'écrit pas de valeur de gravité.
CRITICAL

Faille: une faille critique est facilement détectable par un acteur externe, exploitable et permet d'exécuter directement du code arbitraire, d'exfiltrer des données et d'obtenir des accès et des droits supplémentaires sur les ressources et les charges de travail cloud. Il peut s'agir, par exemple, de données utilisateur non protégées accessibles publiquement et d'un accès SSH public avec des mots de passe peu sécurisés ou aucun mot de passe.

Menace: indique une menace capable d'accéder aux données, de les modifier ou de les supprimer, ou encore d'exécuter du code non autorisé dans des ressources existantes.
HIGH

Faille: une faille à haut risque peut être facilement détectée et exploitée conjointement à d'autres failles afin d'obtenir un accès direct et la possibilité d'exécuter du code arbitraire, d'exfiltrer des données et d'obtenir des accès et des droits supplémentaires sur les ressources et les charges de travail cloud. Par exemple, une base de données qui présente des mots de passe peu sécurisés ou aucun mot de passe, et qui n'est accessible qu'en interne. Cette base de données peut facilement être compromise par un individu ayant accès au réseau interne.

Menace: indique une menace capable de créer de nouvelles ressources de calcul dans un environnement, mais pas d'accéder aux données ni d'exécuter de code dans des ressources existantes.
MEDIUM

Vulnérabilité: une faille de niveau moyen peut être utilisée par un individu pour accéder aux ressources ou aux droits lui permettant d'obtenir à terme (par plusieurs étapes ou un exploit complexe) un accès et la possibilité d'exécuter du code arbitraire ou d'exfiltrer des données. Par exemple, un compte de service qui a accès à plus de projets qu'il ne devrait. Si un individu accède au compte de service, il peut potentiellement l'utiliser pour manipuler un projet auquel le compte de service n'était pas destiné.

Menace: indique une menace pouvant avoir un impact opérationnel, mais qui ne peut pas accéder aux données ni exécuter de code non autorisé.
LOW

Vulnérabilité: une faille faible compromet la détection par une organisation de sécurité des failles ou des menaces actives dans son déploiement, ou empêche l'investigation de l'origine des problèmes de sécurité. Par exemple, la surveillance et les journaux sont désactivés pour les configurations et l'accès aux ressources.

Menace: indique une menace qui a obtenu un accès minimal à un environnement, mais qui ne peut pas accéder aux données, exécuter de code ni créer de ressources.

Couper le son

État de blocage d'un résultat.

Enums
MUTE_UNSPECIFIED Non spécifié.
MUTED Le résultat a été ignoré.
UNMUTED Le résultat a été réactivé.
UNDEFINED Le résultat n'a jamais été ignoré/réactivé.

FindingClass

Indique le type de résultat.

Enums
FINDING_CLASS_UNSPECIFIED Classe de résultat non spécifiée.
THREAT Décrit une activité indésirable ou malveillante.
VULNERABILITY Décrit une faiblesse potentielle dans un logiciel qui augmente le risque de confidentialité, d'intégrité et de disponibilité.
MISCONFIGURATION Décrit une faiblesse potentielle dans la configuration des ressources/composants cloud qui augmente le risque.
OBSERVATION Décrit une observation de sécurité à des fins d'information.
SCC_ERROR Décrit une erreur qui empêche certaines fonctionnalités de SCC.
POSTURE_VIOLATION Décrit un risque de sécurité potentiel en raison d'un changement de la stratégie de sécurité.
TOXIC_COMBINATION Décrit un groupe de problèmes de sécurité qui, lorsqu'ils se produisent ensemble, représentent un risque plus élevé que lorsqu'ils se produisent indépendamment. Un groupe de problèmes de ce type est appelé "combinaison toxique".
SENSITIVE_DATA_RISK Décrit un risque de sécurité potentiel pour les éléments de données contenant des données sensibles.

Indicateur

Représente ce qui est communément appelé indicateur de compromission (IoC) en informatique légale. Il s'agit d'un artefact observé sur un réseau ou dans un système d'exploitation qui indique, avec un niveau de confiance élevé, une intrusion informatique. Pour en savoir plus, consultez la section Indicateur de compromission.

Représentation JSON 
{
  "ipAddresses": [
    string
  ],
  "domains": [
    string
  ],
  "signatures": [
    {
      object (ProcessSignature)
    }
  ],
  "uris": [
    string
  ]
}
Champs
ipAddresses[]

string

Liste des adresses IP associées à la découverte.
domains[]

string

Liste des domaines associés à la recherche.
signatures[]

object (ProcessSignature)

Liste des signatures correspondantes indiquant que le processus donné est présent dans l'environnement.
uris[]

string

Liste des URI associés aux résultats.

ProcessSignature

Indique la signature correspondant à ce processus.

Représentation JSON 
{
  "signatureType": enum (SignatureType),

  // Union field signature can be only one of the following:
  "memoryHashSignature": {
    object (MemoryHashSignature)
  },
  "yaraRuleSignature": {
    object (YaraRuleSignature)
  }
  // End of list of possible types for union field signature.
}
Champs
signatureType

enum (SignatureType)

Décrit le type de ressource associé à la signature.

Champ d'union signature.

signature ne peut être qu'un des éléments suivants :
memoryHashSignature

object (MemoryHashSignature)

Signature indiquant qu'une famille binaire a été mise en correspondance.
yaraRuleSignature

object (YaraRuleSignature)

Signature indiquant qu'une règle YARA a été mise en correspondance.

MemoryHashSignature

Signature correspondant aux hachages de page de mémoire.

Représentation JSON 
{
  "binaryFamily": string,
  "detections": [
    {
      object (Detection)
    }
  ]
}
Champs
binaryFamily

string

Famille binaire.
detections[]

object (Detection)

Liste des détections de hachage de mémoire contribuant à la correspondance de famille binaire.

Détection

Détection du hachage de mémoire contribuant à la correspondance de famille binaire.

Représentation JSON 
{
  "binary": string,
  "percentPagesMatched": number
}
Champs
binary

string

Nom du binaire associé à la détection de la signature de hachage de mémoire.
percentPagesMatched

number

Pourcentage de hachages de pages de mémoire dans la signature qui ont été mis en correspondance.

YaraRuleSignature

Signature correspondant à une règle YARA.

Représentation JSON 
{
  "yaraRule": string
}
Champs
yaraRule

string

Nom de la règle YARA.

SignatureType

Types de ressources pouvant être associés à une signature.

Enums
SIGNATURE_TYPE_UNSPECIFIED Type de signature par défaut.
SIGNATURE_TYPE_PROCESS Utilisé pour les signatures concernant les processus.
SIGNATURE_TYPE_FILE Utilisé pour les signatures concernant les disques.

Faille

Fait référence aux champs de failles courants (CVE, CVSS, CWE, etc.).

Représentation JSON 
{
  "cve": {
    object (Cve)
  },
  "offendingPackage": {
    object (Package)
  },
  "fixedPackage": {
    object (Package)
  },
  "securityBulletin": {
    object (SecurityBulletin)
  }
}
Champs
cve

object (Cve)

CVE signifie "Common Vulnerabilities and Exposures" (https://cve.mitre.org/about/).
offendingPackage

object (Package)

Le package non conforme est pertinent par rapport à la non-conformité détectée.
fixedPackage

object (Package)

Le package corrigé est pertinent par rapport à la découverte.
securityBulletin

object (SecurityBulletin)

Le bulletin de sécurité est pertinent pour ce résultat.

Cve

CVE signifie "Common Vulnerabilities and Exposures" (Failles et expositions courantes). Informations provenant de l'enregistrement CVE qui décrit cette faille.

Représentation JSON 
{
  "id": string,
  "references": [
    {
      object (Reference)
    }
  ],
  "cvssv3": {
    object (Cvssv3)
  },
  "upstreamFixAvailable": boolean,
  "impact": enum (RiskRating),
  "exploitationActivity": enum (ExploitationActivity),
  "observedInTheWild": boolean,
  "zeroDay": boolean,
  "exploitReleaseDate": string,
  "firstExploitationDate": string
}
Champs
id

string

Identifiant unique de la faille (par exemple, CVE-2021-34527)
references[]

object (Reference)

Informations supplémentaires sur la faille CVE, par exemple https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-34527
cvssv3

object (Cvssv3)

Décrire le Common Vulnerability Scoring System spécifié à l'adresse https://www.first.org/cvss/v3.1/specification-document
upstreamFixAvailable

boolean

Indique si un correctif en amont est disponible pour la faille CVE.
impact

enum (RiskRating)

Impact potentiel de la faille en cas d'exploitation.
exploitationActivity

enum (ExploitationActivity)

L'activité d'exploitation de la faille dans le monde réel.
observedInTheWild

boolean

Indique si la faille a été observée en circulation ou non.
zeroDay

boolean

Indique si la faille était une faille 0-day au moment de la publication de la découverte.
exploitReleaseDate

string (Timestamp format)

Date de publication du premier exploit ou PoC public.

Utilise la norme RFC 3339, où la sortie générée est toujours normalisée avec le suffixe Z et utilise 0, 3, 6 ou 9 chiffres décimaux. Les décalages autres que "Z" sont également acceptés. Exemples: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" ou "2014-10-02T15:01:23+05:30".
firstExploitationDate

string (Timestamp format)

Date de la première exploitation connue.

Utilise la norme RFC 3339, où la sortie générée est toujours normalisée avec le suffixe Z et utilise 0, 3, 6 ou 9 chiffres décimaux. Les décalages autres que "Z" sont également acceptés. Exemples: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" ou "2014-10-02T15:01:23+05:30".

Référence

Liens supplémentaires

Représentation JSON 
{
  "source": string,
  "uri": string
}
Champs
source

string

Source de la référence (par exemple, NVD)
uri

string

URI de la source mentionnée (par exemple, https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-34527).

Cvssv3

Version 3 du Common Vulnerability Scoring System.

Représentation JSON 
{
  "baseScore": number,
  "attackVector": enum (AttackVector),
  "attackComplexity": enum (AttackComplexity),
  "privilegesRequired": enum (PrivilegesRequired),
  "userInteraction": enum (UserInteraction),
  "scope": enum (Scope),
  "confidentialityImpact": enum (Impact),
  "integrityImpact": enum (Impact),
  "availabilityImpact": enum (Impact)
}
Champs
baseScore

number

Le score de base dépend des scores de base des métriques.
attackVector

enum (AttackVector)

Métriques de base Représente les caractéristiques intrinsèques d'une faille qui sont constantes au fil du temps et dans les environnements utilisateur. Cette métrique reflète le contexte dans lequel l'exploitation de la faille est possible.
attackComplexity

enum (AttackComplexity)

Cette métrique décrit les conditions qui doivent exister pour que le pirate informatique puisse exploiter la faille, sans qu'il puisse les contrôler.
privilegesRequired

enum (PrivilegesRequired)

Cette métrique décrit le niveau d'autorisations dont un pirate informatique doit disposer pour exploiter la faille.
userInteraction

enum (UserInteraction)

Cette métrique indique si un utilisateur humain, autre que l'attaquant, doit participer à la compromission du composant vulnérable.
scope

enum (Scope)

La métrique "Champ d'application" indique si une faille dans un composant vulnérable a un impact sur les ressources des composants en dehors de son champ d'application de sécurité.
confidentialityImpact

enum (Impact)

Cette métrique mesure l'impact sur la confidentialité des ressources d'informations gérées par un composant logiciel en raison d'une faille exploitée avec succès.
integrityImpact

enum (Impact)

Cette métrique mesure l'impact sur l'intégrité d'une faille exploitée avec succès.
availabilityImpact

enum (Impact)

Cette métrique mesure l'impact sur la disponibilité du composant concerné suite à une exploitation réussie d'une faille.

AttackVector

Cette métrique reflète le contexte dans lequel l'exploitation de la faille est possible.

Enums
ATTACK_VECTOR_UNSPECIFIED Valeur incorrecte.
ATTACK_VECTOR_NETWORK Le composant vulnérable est lié à la pile réseau, et l'ensemble des pirates informatiques potentiels s'étend au-delà des autres options listées ci-dessous, jusqu'à l'ensemble d'Internet.
ATTACK_VECTOR_ADJACENT Le composant vulnérable est lié à la pile réseau, mais l'attaque est limitée au niveau du protocole à une topologie adjacente logique.
ATTACK_VECTOR_LOCAL Le composant vulnérable n'est pas lié à la pile réseau, et le pirate informatique accède à la cible via les fonctionnalités de lecture/écriture/exécution.
ATTACK_VECTOR_PHYSICAL Pour effectuer cette attaque, le pirate informatique doit toucher ou manipuler physiquement le composant vulnérable.

AttackComplexity

Cette métrique décrit les conditions qui doivent exister pour que le pirate informatique puisse exploiter la faille, sans qu'il puisse les contrôler.

Enums
ATTACK_COMPLEXITY_UNSPECIFIED Valeur incorrecte.
ATTACK_COMPLEXITY_LOW Il n'existe pas de conditions d'accès spécialisées ni de circonstances atténuantes. Un pirate informatique peut s'attendre à réussir à chaque fois qu'il attaque le composant vulnérable.
ATTACK_COMPLEXITY_HIGH Une attaque réussie dépend de conditions qui ne sont pas sous le contrôle du pirate informatique. Autrement dit, une attaque réussie ne peut pas être réalisée à volonté, mais nécessite que l'attaquant investisse une quantité mesurable d'efforts dans la préparation ou l'exécution de l'attaque contre le composant vulnérable avant qu'une attaque réussie puisse être attendue.

PrivilegesRequired

Cette métrique décrit le niveau d'autorisations dont un pirate informatique doit disposer pour exploiter la faille.

Enums
PRIVILEGES_REQUIRED_UNSPECIFIED Valeur incorrecte.
PRIVILEGES_REQUIRED_NONE Le pirate informatique n'est pas autorisé avant l'attaque et n'a donc pas besoin d'accéder aux paramètres ou aux fichiers du système vulnérable pour lancer une attaque.
PRIVILEGES_REQUIRED_LOW Le pirate informatique a besoin de privilèges qui lui fournissent des fonctionnalités utilisateur de base qui ne peuvent normalement affecter que les paramètres et les fichiers appartenant à un utilisateur. De même, un pirate informatique disposant de droits faibles ne peut accéder qu'aux ressources non sensibles.
PRIVILEGES_REQUIRED_HIGH Le pirate informatique a besoin d'autorisations qui lui confèrent un contrôle important (par exemple, administratif) sur le composant vulnérable, ce qui lui permet d'accéder aux paramètres et aux fichiers de l'ensemble du composant.

UserInteraction

Cette métrique indique si un utilisateur humain, autre que l'attaquant, doit participer à la compromission du composant vulnérable.

Enums
USER_INTERACTION_UNSPECIFIED Valeur incorrecte.
USER_INTERACTION_NONE Le système vulnérable peut être exploité sans intervention d'aucun utilisateur.
USER_INTERACTION_REQUIRED Pour que cette faille puisse être exploitée, un utilisateur doit effectuer une action.

Champ d'application

La métrique "Champ d'application" indique si une faille dans un composant vulnérable a un impact sur les ressources des composants en dehors de son champ de sécurité.

Enums
SCOPE_UNSPECIFIED Valeur incorrecte.
SCOPE_UNCHANGED Une faille exploitée ne peut affecter que les ressources gérées par la même autorité de sécurité.
SCOPE_CHANGED Une faille exploitée peut affecter des ressources au-delà du champ d'application de la sécurité géré par l'autorité de sécurité du composant vulnérable.

Impact

Les métriques d'impact capturent les effets d'une faille exploitée avec succès sur le composant qui subit le pire résultat le plus directement et de manière prévisible associé à l'attaque.

Enums
IMPACT_UNSPECIFIED Valeur incorrecte.
IMPACT_HIGH Impact élevé.
IMPACT_LOW Faible impact.
IMPACT_NONE Aucun impact.

RiskRating

Valeurs possibles de l'impact de la faille en cas d'exploitation.

Enums
RISK_RATING_UNSPECIFIED Valeur vide ou non valide.
LOW L'exploitation n'aurait que peu ou pas d'impact sur la sécurité.
MEDIUM L'exploitation permet aux pirates informatiques d'effectuer des activités ou d'avoir un impact direct, mais nécessite des étapes supplémentaires.
HIGH L'exploitation permettrait aux pirates informatiques d'avoir un impact direct notable sans avoir à surmonter de facteurs atténuants majeurs.
CRITICAL L'exploitation de cette faille compromettrait fondamentalement la sécurité des systèmes concernés, permettant aux acteurs de lancer des attaques importantes avec un effort minimal, avec peu ou pas de facteurs d'atténuation à surmonter.

ExploitationActivity

Valeurs possibles de l'activité d'exploitation de la faille dans le monde réel.

Enums
EXPLOITATION_ACTIVITY_UNSPECIFIED Valeur vide ou non valide.
WIDE L'exploitation a été signalée ou confirmée comme étant largement répandue.
CONFIRMED Activités d'exploitation signalées ou confirmées limitées.
AVAILABLE L'exploit est disponible publiquement.
ANTICIPATED Aucune activité d'exploitation connue, mais risque élevé d'exploitation.
NO_KNOWN Aucune activité d'exploitation connue.

Package

Package est une définition générique d'un package.

Représentation JSON 
{
  "packageName": string,
  "cpeUri": string,
  "packageType": string,
  "packageVersion": string
}
Champs
packageName

string

Nom du package dans lequel la faille a été détectée.
cpeUri

string

URI du CPE où la faille a été détectée.
packageType

string

Type de package, par exemple "os", "maven" ou "go".
packageVersion

string

Version du package.

SecurityBulletin

Les bulletins de sécurité sont des notifications de failles dans les produits Google.

Représentation JSON 
{
  "bulletinId": string,
  "submissionTime": string,
  "suggestedUpgradeVersion": string
}
Champs
bulletinId

string

ID du bulletin correspondant à la faille.
submissionTime

string (Timestamp format)

Heure d'envoi de ce bulletin de sécurité.

Utilise la norme RFC 3339, où la sortie générée est toujours normalisée avec le suffixe Z et utilise 0, 3, 6 ou 9 chiffres décimaux. Les décalages autres que "Z" sont également acceptés. Exemples: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" ou "2014-10-02T15:01:23+05:30".
suggestedUpgradeVersion

string

Il s'agit de la version vers laquelle le cluster qui reçoit cette notification doit être mis à niveau, en fonction de sa version actuelle. Par exemple, 1.15.0

ExternalSystem

Représentation des champs SIEM/SOAR tiers dans le SCC.

Représentation JSON 
{
  "name": string,
  "assignees": [
    string
  ],
  "externalUid": string,
  "status": string,
  "externalSystemUpdateTime": string,
  "caseUri": string,
  "casePriority": string,
  "caseSla": string,
  "caseCreateTime": string,
  "caseCloseTime": string,
  "ticketInfo": {
    object (TicketInfo)
  }
}
Champs
name

string

Nom complet de la ressource du système externe, par exemple: "organizations/1234/sources/5678/findings/123456/externalSystems/jira", "folders/1234/sources/5678/findings/123456/externalSystems/jira", "projects/1234/sources/5678/findings/123456/externalSystems/jira"
assignees[]

string

Fait référence aux personnes responsables principales/secondaires, etc. dans le système externe.
externalUid

string

Identifiant utilisé pour suivre la demande correspondante dans le système externe.
status

string

État le plus récent de la demande correspondant à l'anomalie, tel que signalé par le système externe.
externalSystemUpdateTime

string (Timestamp format)

Heure de la dernière mise à jour de la demande, comme indiqué par le système externe.

Utilise la norme RFC 3339, où la sortie générée est toujours normalisée avec le suffixe Z et utilise 0, 3, 6 ou 9 chiffres décimaux. Les décalages autres que "Z" sont également acceptés. Exemples: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" ou "2014-10-02T15:01:23+05:30".
caseUri

string

Lien vers le dossier correspondant à la non-conformité dans le système externe.
casePriority

string

Priorité de la demande correspondante dans le système externe.
caseSla

string (Timestamp format)

Le contrat de niveau de service du dossier correspondant à l'anomalie dans le système externe.

Utilise la norme RFC 3339, où la sortie générée est toujours normalisée avec le suffixe Z et utilise 0, 3, 6 ou 9 chiffres décimaux. Les décalages autres que "Z" sont également acceptés. Exemples: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" ou "2014-10-02T15:01:23+05:30".
caseCreateTime

string (Timestamp format)

Heure à laquelle la demande a été créée, comme indiqué par le système externe.

Utilise la norme RFC 3339, où la sortie générée est toujours normalisée avec le suffixe Z et utilise 0, 3, 6 ou 9 chiffres décimaux. Les décalages autres que "Z" sont également acceptés. Exemples: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" ou "2014-10-02T15:01:23+05:30".
caseCloseTime

string (Timestamp format)

Heure à laquelle la demande a été clôturée, comme indiqué par le système externe.

Utilise la norme RFC 3339, où la sortie générée est toujours normalisée avec le suffixe Z et utilise 0, 3, 6 ou 9 chiffres décimaux. Les décalages autres que "Z" sont également acceptés. Exemples: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" ou "2014-10-02T15:01:23+05:30".
ticketInfo

object (TicketInfo)

Informations sur la demande, le cas échéant, qui sont utilisées pour suivre la résolution du problème identifié par ce résultat.

TicketInfo

Informations sur la demande, le cas échéant, qui sont utilisées pour suivre la résolution du problème identifié par ce résultat.

Représentation JSON 
{
  "id": string,
  "assignee": string,
  "description": string,
  "uri": string,
  "status": string,
  "updateTime": string
}
Champs
id

string

Identifiant du billet dans le système de billetterie.
assignee

string

Personne à qui la demande a été attribuée dans le système de gestion des demandes.
description

string

Description de la demande dans le système de gestion des demandes.
uri

string

Lien vers la demande d'assistance dans le système de gestion des demandes.
status

string

Dernier état de la demande, tel que signalé par le système de gestion des demandes.
updateTime

string (Timestamp format)

Heure de la dernière mise à jour de la demande, comme indiqué par le système de gestion des demandes.

Utilise la norme RFC 3339, où la sortie générée est toujours normalisée avec le suffixe Z et utilise 0, 3, 6 ou 9 chiffres décimaux. Les décalages autres que "Z" sont également acceptés. Exemples: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" ou "2014-10-02T15:01:23+05:30".

MitreAttack

Tactiques et techniques MITRE ATT&CK associées à cette observation Voir https://attack.mitre.org

Représentation JSON 
{
  "primaryTactic": enum (Tactic),
  "primaryTechniques": [
    enum (Technique)
  ],
  "additionalTactics": [
    enum (Tactic)
  ],
  "additionalTechniques": [
    enum (Technique)
  ],
  "version": string
}
Champs
primaryTactic

enum (Tactic)

Tactique MITRE ATT&CK la plus proche de cette observation, le cas échéant.
primaryTechniques[]

enum (Technique)

Technique MITRE ATT&CK la plus proche de cette observation, le cas échéant. primaryTechniques est un champ répété, car il existe plusieurs niveaux de techniques MITRE ATT&CK. Si la technique la plus proche de cette observation est une sous-technique (par exemple, SCANNING_IP_BLOCKS), la sous-technique et ses techniques parentes sont toutes deux listées (par exemple, SCANNING_IP_BLOCKS, ACTIVE_SCANNING).
additionalTactics[]

enum (Tactic)

Tactiques MITRE ATT&CK supplémentaires associées à cette découverte, le cas échéant.
additionalTechniques[]

enum (Technique)

Techniques MITRE ATT&CK supplémentaires associées à cette découverte, le cas échéant, ainsi que leurs techniques parentes respectives.
version

string

Version MITRE ATT&CK référencée par les champs ci-dessus. Exemple : "8".

Stratégie

Tactiques MITRE ATT&CK pouvant être référencées par les résultats de l'analyse de la sécurité du cloud. Voir https://attack.mitre.org/tactics/enterprise/

Enums
TACTIC_UNSPECIFIED Valeur non spécifiée.
RECONNAISSANCE TA0043
RESOURCE_DEVELOPMENT TA0042
INITIAL_ACCESS TA0001
EXECUTION TA0002
PERSISTENCE TA0003
PRIVILEGE_ESCALATION TA0004
DEFENSE_EVASION TA0005
CREDENTIAL_ACCESS TA0006
DISCOVERY TA0007
LATERAL_MOVEMENT TA0008
COLLECTION TA0009
COMMAND_AND_CONTROL TA0011
EXFILTRATION TA0010
IMPACT TA0040

Technique

Techniques MITRE ATT&CK pouvant être référencées par les résultats de l'analyse de la sécurité du cloud. Voir https://attack.mitre.org/techniques/enterprise/

Enums
TECHNIQUE_UNSPECIFIED Valeur non spécifiée.
AUTOMATED_EXFILTRATION T1020
MASQUERADING T1036
MATCH_LEGITIMATE_NAME_OR_LOCATION T1036.005
BOOT_OR_LOGON_INITIALIZATION_SCRIPTS T1037
STARTUP_ITEMS T1037.005
NETWORK_SERVICE_DISCOVERY T1046
PROCESS_DISCOVERY T1057
COMMAND_AND_SCRIPTING_INTERPRETER T1059
UNIX_SHELL T1059.004
PYTHON T1059.006
EXPLOITATION_FOR_PRIVILEGE_ESCALATION T1068
PERMISSION_GROUPS_DISCOVERY T1069
CLOUD_GROUPS T1069.003
INDICATOR_REMOVAL_FILE_DELETION T1070.004
APPLICATION_LAYER_PROTOCOL T1071
DNS T1071.004
SOFTWARE_DEPLOYMENT_TOOLS T1072
VALID_ACCOUNTS T1078
DEFAULT_ACCOUNTS T1078.001
LOCAL_ACCOUNTS T1078.003
CLOUD_ACCOUNTS T1078.004
PROXY T1090
EXTERNAL_PROXY T1090.002
MULTI_HOP_PROXY T1090.003
ACCOUNT_MANIPULATION T1098
ADDITIONAL_CLOUD_CREDENTIALS T1098.001
ADDITIONAL_CLOUD_ROLES T1098.003
SSH_AUTHORIZED_KEYS T1098.004
ADDITIONAL_CONTAINER_CLUSTER_ROLES T1098.006
INGRESS_TOOL_TRANSFER T1105
NATIVE_API T1106
BRUTE_FORCE T1110
SHARED_MODULES T1129
ACCESS_TOKEN_MANIPULATION T1134
TOKEN_IMPERSONATION_OR_THEFT T1134.001
EXPLOIT_PUBLIC_FACING_APPLICATION T1190
USER_EXECUTION T1204
DOMAIN_POLICY_MODIFICATION T1484
DATA_DESTRUCTION T1485
SERVICE_STOP T1489
INHIBIT_SYSTEM_RECOVERY T1490
RESOURCE_HIJACKING T1496
NETWORK_DENIAL_OF_SERVICE T1498
CLOUD_SERVICE_DISCOVERY T1526
STEAL_APPLICATION_ACCESS_TOKEN T1528
ACCOUNT_ACCESS_REMOVAL T1531
CREATE_OR_MODIFY_SYSTEM_PROCESS T1543
EVENT_TRIGGERED_EXECUTION T1546
ABUSE_ELEVATION_CONTROL_MECHANISM T1548
UNSECURED_CREDENTIALS T1552
MODIFY_AUTHENTICATION_PROCESS T1556
IMPAIR_DEFENSES T1562
DISABLE_OR_MODIFY_TOOLS T1562.001
EXFILTRATION_OVER_WEB_SERVICE T1567
EXFILTRATION_TO_CLOUD_STORAGE T1567.002
DYNAMIC_RESOLUTION T1568
LATERAL_TOOL_TRANSFER T1570
MODIFY_CLOUD_COMPUTE_INFRASTRUCTURE T1578
CREATE_SNAPSHOT T1578.001
CLOUD_INFRASTRUCTURE_DISCOVERY T1580
OBTAIN_CAPABILITIES T1588
ACTIVE_SCANNING T1595
SCANNING_IP_BLOCKS T1595.001
CONTAINER_ADMINISTRATION_COMMAND T1609
DEPLOY_CONTAINER T1610
ESCAPE_TO_HOST T1611
CONTAINER_AND_RESOURCE_DISCOVERY T1613
STEAL_OR_FORGE_AUTHENTICATION_CERTIFICATES T1649

Accès

Représente un événement d'accès.

Représentation JSON 
{
  "principalEmail": string,
  "callerIp": string,
  "callerIpGeo": {
    object (Geolocation)
  },
  "userAgentFamily": string,
  "userAgent": string,
  "serviceName": string,
  "methodName": string,
  "principalSubject": string,
  "serviceAccountKeyName": string,
  "serviceAccountDelegationInfo": [
    {
      object (ServiceAccountDelegationInfo)
    }
  ],
  "userName": string
}
Champs
principalEmail

string

Adresse e-mail associée, par exemple "foo@google.com".

Adresse e-mail de l'utilisateur authentifié ou d'un compte de service agissant au nom d'un principal tiers à l'origine de la requête. Pour les appelants d'identité tiers, le champ principalSubject est renseigné à la place de ce champ. Pour des raisons de confidentialité, l'adresse e-mail principale est parfois masquée. Pour en savoir plus, consultez la section Identités des appelants dans les journaux d'audit.
callerIp

string

Adresse IP de l'appelant, par exemple "1.1.1.1".
callerIpGeo

object (Geolocation)

Géolocalisation de l'adresse IP de l'appelant, qui identifie l'origine de l'appel.
userAgentFamily

string

Type d'user-agent associé à la découverte. Par exemple, un shell de système d'exploitation ou une application intégrée ou autonome.
userAgent

string

Chaîne user-agent de l'appelant associée à la découverte.
serviceName

string

Il s'agit du service d'API auquel le compte de service a effectué un appel, par exemple "iam.googleapis.com".
methodName

string

Méthode appelée par le compte de service, par exemple "SetIamPolicy".
principalSubject

string

Chaîne représentant le principalSubject associé à l'identité. Contrairement à principalEmail, principalSubject accepte les principaux qui ne sont pas associés à des adresses e-mail, comme les principaux tiers. Pour la plupart des identités, le format est principal://iam.googleapis.com/{identity pool name}/subject/{subject}. Certaines identités GKE, telles que GKE_WORKLOAD, FREEFORM et GKE_HUB_WORKLOAD, utilisent toujours l'ancien format serviceAccount:{identity pool name}[{subject}].
serviceAccountKeyName

string

Nom de la clé de compte de service utilisée pour créer ou échanger des identifiants lors de l'authentification du compte de service à l'origine de la requête. Il s'agit d'un nom de ressource complet d'URI sans schéma. Exemple :

"//iam.googleapis.com/projects/{PROJECT_ID}/serviceAccounts/{ACCOUNT}/keys/{key}".
serviceAccountDelegationInfo[]

object (ServiceAccountDelegationInfo)

Historique de la délégation d'identité d'un compte de service authentifié ayant effectué la requête. L'objet serviceAccountDelegationInfo[] contient des informations sur les autorités réelles qui tentent d'accéder aux ressources Google Cloud en déléguant sur un compte de service. Lorsque plusieurs autorités sont présentes, elles sont triées en fonction de l'ordre d'origine des événements de délégation d'identité.
userName

string

Chaîne représentant un nom d'utilisateur. Le nom d'utilisateur fourni dépend du type de la découverte et n'est probablement pas un principal IAM. Il peut s'agir, par exemple, d'un nom d'utilisateur système si la découverte est liée à une machine virtuelle, ou d'un nom d'utilisateur de connexion à une application.

Géolocalisation

Représente un emplacement géographique pour un accès donné.

Représentation JSON 
{
  "regionCode": string
}
Champs
regionCode

string

Un CLDR

ServiceAccountDelegationInfo

Historique de la délégation d'identité d'un compte de service authentifié.

Représentation JSON 
{
  "principalEmail": string,
  "principalSubject": string
}
Champs
principalEmail

string

Adresse e-mail d'un compte Google.
principalSubject

string

Chaîne représentant le principalSubject associé à l'identité. Contrairement à principalEmail, il accepte les principaux qui ne sont pas associés à des adresses e-mail, tels que les principaux tiers. Pour la plupart des identités, le format est principal://iam.googleapis.com/{identity pool name}/subjects/{subject}, à l'exception de certaines identités GKE (GKE_WORKLOAD, FREEFORM, GKE_HUB_WORKLOAD) qui utilisent toujours l'ancien format serviceAccount:{identity pool name}[{subject}].

Connexion

Contient des informations sur la connexion IP associée au résultat.

Représentation JSON 
{
  "destinationIp": string,
  "destinationPort": integer,
  "sourceIp": string,
  "sourcePort": integer,
  "protocol": enum (Protocol)
}
Champs
destinationIp

string

Adresse IP de destination. Absent pour les sockets en écoute et non connectés.
destinationPort

integer

Port de destination. Absent pour les sockets en écoute et non connectés.
sourceIp

string

Adresse IP source.
sourcePort

integer

Port source
protocol

enum (Protocol)

Numéro de protocole Internet IANA, par exemple TCP(6) et UDP(17).

Protocole

Numéro de protocole Internet IANA, par exemple TCP(6) et UDP(17).

Enums
PROTOCOL_UNSPECIFIED Protocole non spécifié (pas HOPOPT).
ICMP Internet Control Message Protocol
TCP Transmission Control Protocol
UDP User Datagram Protocol (protocole de datagramme utilisateur)
GRE Generic Routing Encapsulation (GRE)
ESP Encapsulating Security Payload

MuteInfo

Ignorer les informations sur le résultat, y compris si le résultat est ignoré de manière statique ou si des règles Ignorer dynamiques correspondantes sont appliquées

Représentation JSON 
{
  "staticMute": {
    object (StaticMute)
  },
  "dynamicMuteRecords": [
    {
      object (DynamicMuteRecord)
    }
  ]
}
Champs
staticMute

object (StaticMute)

Si cette valeur est définie, la désactivation statique est appliquée à ce résultat. Les masquages statiques remplacent les masquages dynamiques. Si ce paramètre n'est pas défini, le son n'est pas coupé de manière statique.
dynamicMuteRecords[]

object (DynamicMuteRecord)

Liste des règles Ignorer dynamiques qui correspondent actuellement au résultat.

StaticMute

Informations sur l'état de la mise en sourdine statique. Un état Ignorer statique remplace toutes les règles Ignorer dynamiques qui s'appliquent à ce résultat. L'état d'ignorer statique peut être défini par une règle d'ignorer statique ou en ignorant directement le résultat.

Représentation JSON 
{
  "state": enum (Mute),
  "applyTime": string
}
Champs
state

enum (Mute)

État de désactivation du son statique. Si la valeur est MUTED ou UNMUTED, l'état de masquage global de la recherche aura la même valeur.
applyTime

string (Timestamp format)

Date à laquelle la désactivation du son statique a été appliquée.

Utilise la norme RFC 3339, où la sortie générée est toujours normalisée avec le suffixe Z et utilise 0, 3, 6 ou 9 chiffres décimaux. Les décalages autres que "Z" sont également acceptés. Exemples: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" ou "2014-10-02T15:01:23+05:30".

DynamicMuteRecord

Enregistrement d'une règle Ignorer dynamique correspondant au résultat.

Représentation JSON 
{
  "muteConfig": string,
  "matchTime": string
}
Champs
muteConfig

string

Nom de ressource relatif de la règle de masquage, représentée par une configuration de masquage, qui a créé cet enregistrement (par exemple, organizations/123/muteConfigs/mymuteconfig ou organizations/123/locations/global/muteConfigs/mymuteconfig).
matchTime

string (Timestamp format)

Date/Heure à laquelle la règle Ignorer dynamique a correspondu pour la première fois au résultat.

Utilise la norme RFC 3339, où la sortie générée est toujours normalisée avec le suffixe Z et utilise 0, 3, 6 ou 9 chiffres décimaux. Les décalages autres que "Z" sont également acceptés. Exemples: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" ou "2014-10-02T15:01:23+05:30".

Processus

Représente un processus de système d'exploitation.

Représentation JSON 
{
  "name": string,
  "binary": {
    object (File)
  },
  "libraries": [
    {
      object (File)
    }
  ],
  "script": {
    object (File)
  },
  "args": [
    string
  ],
  "argumentsTruncated": boolean,
  "envVariables": [
    {
      object (EnvironmentVariable)
    }
  ],
  "envVariablesTruncated": boolean,
  "pid": string,
  "parentPid": string
}
Champs
name

string

Nom du processus, tel qu'il apparaît dans des utilitaires tels que top et ps. Vous pouvez accéder à ce nom via /proc/[pid]/comm et le modifier avec prctl(PR_SET_NAME).
binary

object (File)

Informations sur le fichier de l'exécutable du processus.
libraries[]

object (File)

Informations sur les fichiers pour les bibliothèques chargées par le processus.
script

object (File)

Lorsque le processus représente l'appel d'un script, binary fournit des informations sur l'interprète, tandis que script fournit des informations sur le fichier de script fourni à l'interprète.
args[]

string

Traite les arguments en tant que chaînes encodées au format JSON.
argumentsTruncated

boolean

"True" si args est incomplet.
envVariables[]

object (EnvironmentVariable)

Traiter les variables d'environnement
envVariablesTruncated

boolean

"True" si envVariables est incomplet.
pid

string (int64 format)

ID du processus.
parentPid

string (int64 format)

ID du processus parent.

Fichier

Informations sur le fichier du binaire/de la bibliothèque associé utilisé par un exécutable ou du script utilisé par un interpréteur de script

Représentation JSON 
{
  "path": string,
  "size": string,
  "sha256": string,
  "hashedSize": string,
  "partiallyHashed": boolean,
  "contents": string,
  "diskPath": {
    object (DiskPath)
  }
}
Champs
path

string

Chemin d'accès absolu du fichier sous forme de chaîne encodée en JSON.
size

string (int64 format)

Taille du fichier, en octets.
sha256

string

Hachage SHA256 des premiers hashedSize octets du fichier, encodé sous forme de chaîne hexadécimale. Si hashedSize == size, sha256 représente le hachage SHA-256 de l'intégralité du fichier.
hashedSize

string (int64 format)

Longueur en octets du préfixe de fichier haché. Si hashedSize == size, tous les hachages signalés représentent l'intégralité du fichier.
partiallyHashed

boolean

"True" lorsque le hachage ne couvre qu'un préfixe du fichier.
contents

string

Préfixe du contenu du fichier sous forme de chaîne encodée au format JSON.
diskPath

object (DiskPath)

Chemin d'accès du fichier en termes d'identifiants de disque/partition sous-jacents.

DiskPath

Chemin d'accès du fichier en termes d'identifiants de disque/partition sous-jacents.

Représentation JSON 
{
  "partitionUuid": string,
  "relativePath": string
}
Champs
partitionUuid

string

UUID de la partition (format https://wiki.archlinux.org/title/persistent_block_device_naming#by-uuid)
relativePath

string

Chemin d'accès relatif du fichier dans la partition sous la forme d'une chaîne encodée en JSON. Exemple: /home/user1/executable_file.sh

EnvironmentVariable

Paire nom-valeur représentant une variable d'environnement utilisée dans un processus de système d'exploitation.

Représentation JSON 
{
  "name": string,
  "val": string
}
Champs
name

string

Nom de la variable d'environnement sous la forme d'une chaîne encodée en JSON.
val

string

Valeur de la variable d'environnement sous forme de chaîne encodée en JSON.

ContactDetails

Informations sur des contacts spécifiques

Représentation JSON 
{
  "contacts": [
    {
      object (Contact)
    }
  ]
}
Champs
contacts[]

object (Contact)

Une liste de contacts

Contact

Adresse e-mail d'un contact.

Représentation JSON 
{
  "email": string
}
Champs
email

string

Adresse e-mail (par exemple, "person123@company.com").

Conformité

Contient des informations sur la conformité à une norme de sécurité indiquant les recommandations non respectées.

Représentation JSON 
{
  "standard": string,
  "version": string,
  "ids": [
    string
  ]
}
Champs
standard

string

Normes ou benchmarks de conformité à l'échelle du secteur, tels que CIS, PCI et OWASP.
version

string

Version de la norme ou du benchmark, par exemple : 1.1
ids[]

string

Règles de la norme ou du benchmark, par exemple, A.12.4.1

Exfiltration

L'exfiltration représente une tentative d'exfiltration de données depuis une ou plusieurs sources vers une ou plusieurs cibles. L'attribut sources liste les sources des données exfiltrées. L'attribut targets liste les destinations vers lesquelles les données ont été copiées.

Représentation JSON 
{
  "sources": [
    {
      object (ExfilResource)
    }
  ],
  "targets": [
    {
      object (ExfilResource)
    }
  ],
  "totalExfiltratedBytes": string
}
Champs
sources[]

object (ExfilResource)

S'il existe plusieurs sources, les données sont considérées comme "jointes" entre elles. Par exemple, BigQuery peut joindre plusieurs tables, et chaque table est considérée comme une source.
targets[]

object (ExfilResource)

Si plusieurs cibles sont définies, chacune d'elles reçoit une copie complète des données sources "jointes".
totalExfiltratedBytes

string (int64 format)

Nombre total d'octets exfiltrés traités pour l'ensemble de la tâche.

ExfilResource

Ressource à partir de laquelle ou vers laquelle les données ont été exfiltrées.

Représentation JSON 
{
  "name": string,
  "components": [
    string
  ]
}
Champs
name

string

Nom complet de la ressource
components[]

string

Sous-composants de l'élément exfiltré, comme les URI utilisés lors de l'exfiltration, les noms de tables, les bases de données et les noms de fichiers. Par exemple, plusieurs tables peuvent avoir été exfiltrées de la même instance Cloud SQL ou plusieurs fichiers peuvent avoir été exfiltrés du même bucket Cloud Storage.

IamBinding

Représente une liaison IAM particulière, qui capture l'ajout, la suppression ou l'état du rôle d'un membre.

Représentation JSON 
{
  "action": enum (Action),
  "role": string,
  "member": string
}
Champs
action

enum (Action)

Action effectuée sur une liaison.
role

string

Rôle attribué aux "membres". Par exemple, "roles/viewer", "roles/editor" ou "roles/owner".
member

string

Une seule identité demandant l'accès à une ressource Cloud Platform, par exemple "foo@google.com".

Action

Type d'action effectuée sur une liaison dans une règle.

Enums
ACTION_UNSPECIFIED Non spécifié.
ADD Ajout d'une liaison.
REMOVE Suppression d'une liaison.

Conteneur

Conteneur associé à la découverte.

Représentation JSON 
{
  "name": string,
  "uri": string,
  "imageId": string,
  "labels": [
    {
      object (Label)
    }
  ],
  "createTime": string
}
Champs
name

string

Nom du conteneur.
uri

string

URI de l'image du conteneur fourni lors de la configuration d'un pod ou d'un conteneur. Cette chaîne peut identifier une version d'image de conteneur à l'aide de balises modifiables.
imageId

string

ID d'image de conteneur facultatif, le cas échéant. Identifie de manière unique l'image de conteneur lancée à l'aide d'un condensé d'image de conteneur.
labels[]

object (Label)

Étiquettes de conteneur, telles que fournies par l'environnement d'exécution du conteneur.
createTime

string (Timestamp format)

Heure de création du conteneur.

Utilise la norme RFC 3339, où la sortie générée est toujours normalisée avec le suffixe Z et utilise 0, 3, 6 ou 9 chiffres décimaux. Les décalages autres que "Z" sont également acceptés. Exemples: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" ou "2014-10-02T15:01:23+05:30".

Libellé

Représente un libellé nom-valeur générique. Un libellé comporte des champs de nom et de valeur distincts pour permettre le filtrage à l'aide de la fonction contains(). Pour en savoir plus, consultez la section Filtrer les champs de type tableau.

Représentation JSON 
{
  "name": string,
  "value": string
}
Champs
name

string

Nom du libellé.
value

string

Valeur correspondant au nom du libellé.

Kubernetes

Attributs associés à Kubernetes.

Représentation JSON 
{
  "pods": [
    {
      object (Pod)
    }
  ],
  "nodes": [
    {
      object (Node)
    }
  ],
  "nodePools": [
    {
      object (NodePool)
    }
  ],
  "roles": [
    {
      object (Role)
    }
  ],
  "bindings": [
    {
      object (Binding)
    }
  ],
  "accessReviews": [
    {
      object (AccessReview)
    }
  ],
  "objects": [
    {
      object (Object)
    }
  ]
}
Champs
pods[]

object (Pod)

Pods Kubernetes associés à la découverte. Ce champ contient des enregistrements de pod pour chaque conteneur appartenant à un pod.
nodes[]

object (Node)

Fournit des informations sur le nœud Kubernetes.
nodePools[]

object (NodePool)

Pools de nœuds GKE associés à la découverte. Ce champ contient des informations sur le pool de nœuds pour chaque nœud, le cas échéant.
roles[]

object (Role)

Fournit des informations sur les rôles Kubernetes pour les résultats impliquant des rôles ou ClusterRoles.
bindings[]

object (Binding)

Fournit des informations sur la liaison de rôle Kubernetes pour les résultats impliquant des objets RoleBinding ou ClusterRoleBinding.
accessReviews[]

object (AccessReview)

Fournit des informations sur les examens des accès Kubernetes (vérifications des droits) pertinents pour la découverte.
objects[]

object (Object)

Objets Kubernetes associés au résultat.

Pod

Un pod Kubernetes.

Représentation JSON 
{
  "ns": string,
  "name": string,
  "labels": [
    {
      object (Label)
    }
  ],
  "containers": [
    {
      object (Container)
    }
  ]
}
Champs
ns

string

Espace de noms du pod Kubernetes.
name

string

Nom du pod Kubernetes.
labels[]

object (Label)

Étiquettes des pods Pour les conteneurs Kubernetes, ils sont appliqués au conteneur.
containers[]

object (Container)

Conteneurs de pod associés à ce résultat, le cas échéant.

Nœud

Nœuds Kubernetes associés à l'anomalie.

Représentation JSON 
{
  "name": string
}
Champs
name

string

Nom de ressource complet de la VM Compute Engine exécutant le nœud de cluster.

NodePool

Fournit des informations sur le pool de nœuds GKE.

Représentation JSON 
{
  "name": string,
  "nodes": [
    {
      object (Node)
    }
  ]
}
Champs
name

string

Nom du pool de nœuds Kubernetes.
nodes[]

object (Node)

Nœuds associés au résultat.

Rôle

Rôle ou ClusterRole Kubernetes.

Représentation JSON 
{
  "kind": enum (Kind),
  "ns": string,
  "name": string
}
Champs
kind

enum (Kind)

Type de rôle.
ns

string

Espace de noms du rôle.
name

string

Nom du rôle.

Genre

Types de rôles Kubernetes.

Enums
KIND_UNSPECIFIED Le type de rôle n'est pas spécifié.
ROLE Rôle Kubernetes.
CLUSTER_ROLE ClusterRole Kubernetes.

Liaison

Représente un RoleBinding ou un ClusterRoleBinding Kubernetes.

Représentation JSON 
{
  "ns": string,
  "name": string,
  "role": {
    object (Role)
  },
  "subjects": [
    {
      object (Subject)
    }
  ]
}
Champs
ns

string

Espace de noms de la liaison.
name

string

Nom de la liaison.
role

object (Role)

Rôle ou ClusterRole référencé par la liaison.
subjects[]

object (Subject)

Représente un ou plusieurs sujets liés au rôle. Pas toujours disponible pour les requêtes PATCH.

Objet

Représente un sujet Kubernetes.

Représentation JSON 
{
  "kind": enum (AuthType),
  "ns": string,
  "name": string
}
Champs
kind

enum (AuthType)

Type d'authentification de l'objet.
ns

string

Espace de noms de l'objet.
name

string

Nom du sujet.

AuthType

Types d'authentification pouvant être utilisés pour le champ "kind" de l'objet.

Enums
AUTH_TYPE_UNSPECIFIED L'authentification n'est pas spécifiée.
USER Utilisateur disposant d'un certificat valide.
SERVICEACCOUNT Utilisateurs gérés par l'API Kubernetes avec des identifiants stockés en tant que secrets.
GROUP Collection d'utilisateurs.

AccessReview

Transmet des informations sur un examen d'accès Kubernetes (par exemple, celui renvoyé par une commande kubectl auth can-i) qui a été impliqué dans une découverte.

Représentation JSON 
{
  "group": string,
  "ns": string,
  "name": string,
  "resource": string,
  "subresource": string,
  "verb": string,
  "version": string
}
Champs
group

string

Groupe d'API de la ressource. "*" signifie "tout".
ns

string

Espace de noms de l'action demandée. Actuellement, il n'y a aucune distinction entre l'absence d'espace de noms et tous les espaces de noms. Les deux sont représentés par "" (vide).
name

string

Nom de la ressource demandée. Une valeur vide signifie "tout".
resource

string

Type de ressource facultatif demandé. "*" signifie "tout".
subresource

string

Type de sous-ressource facultatif.
verb

string

Verbe de l'API de ressources Kubernetes, comme "get", "list", "watch", "create", "update", "delete" ou "proxy". "*" signifie "tout".
version

string

Version de l'API de la ressource. "*" signifie "tout".

Objet

Objet Kubernetes associé à la découverte, identifié de manière unique par GKNN. Utilisé si le type d'objet n'est pas "Pod", "Node", "NodePool", "Binding" ou "AccessReview".

Représentation JSON 
{
  "group": string,
  "kind": string,
  "ns": string,
  "name": string,
  "containers": [
    {
      object (Container)
    }
  ]
}
Champs
group

string

Groupe d'objets Kubernetes, par exemple "policy.k8s.io/v1".
kind

string

Type d'objet Kubernetes, par exemple "Namespace".
ns

string

Espace de noms des objets Kubernetes. Doit être un libellé DNS valide. Nom "ns" pour éviter les conflits avec le mot clé d'espace de noms C++. Pour en savoir plus, consultez la page https://kubernetes.io/docs/tasks/administer-cluster/namespaces/.
name

string

Nom de l'objet Kubernetes. Pour en savoir plus, consultez la page https://kubernetes.io/docs/concepts/overview/working-with-objects/names/.
containers[]

object (Container)

Conteneurs de pod associés à ce résultat, le cas échéant.

Base de données

Représente des informations d'accès à la base de données, telles que des requêtes. Une base de données peut être une sous-ressource d'une instance (comme dans le cas des instances Cloud SQL ou Cloud Spanner) ou l'instance de base de données elle-même. Il est possible que le nom complet de la ressource ne soit pas renseigné pour certaines ressources de base de données, car ces types de ressources (bases de données Cloud SQL, par exemple) ne sont pas encore compatibles avec l'inventaire des éléments cloud. Dans ce cas, seul le nom à afficher est fourni.

Représentation JSON 
{
  "name": string,
  "displayName": string,
  "userName": string,
  "query": string,
  "grantees": [
    string
  ],
  "version": string
}
Champs
name

string

Il est possible que le nom complet de la ressource ne soit pas renseigné pour certaines ressources de base de données, car ces types de ressources ne sont pas encore compatibles avec l'inventaire des ressources Cloud (par exemple, les bases de données Cloud SQL). Dans ce cas, seul le nom à afficher sera fourni. Nom de ressource complet de la base de données à laquelle l'utilisateur s'est connecté, si elle est compatible avec Cloud Asset Inventory.
displayName

string

Nom lisible de la base de données à laquelle l'utilisateur s'est connecté.
userName

string

Nom d'utilisateur utilisé pour se connecter à la base de données. Le nom d'utilisateur peut ne pas être un principal IAM et n'a pas de format défini.
query

string

Instruction SQL associée à l'accès à la base de données.
grantees[]

string

Noms d'utilisateur, rôles ou groupes cibles d'une autorisation SQL, ce qui ne constitue pas une modification de la stratégie IAM.
version

string

Version de la base de données, par exemple POSTGRES_14. Consultez la liste complète.

AttackExposure

Une exposition aux attaques contient les résultats d'une simulation de chemin d'attaque.

Représentation JSON 
{
  "score": number,
  "latestCalculationTime": string,
  "attackExposureResult": string,
  "state": enum (State),
  "exposedHighValueResourcesCount": integer,
  "exposedMediumValueResourcesCount": integer,
  "exposedLowValueResourcesCount": integer
}
Champs
score

number

Nombre compris entre 0 (inclus) et l'infini qui indique l'importance de corriger ce problème. Plus le score est élevé, plus il est important de corriger le problème.
latestCalculationTime

string (Timestamp format)

Date de la dernière mise à jour de l'exposition à une attaque pour ce résultat.

Utilise la norme RFC 3339, où la sortie générée est toujours normalisée avec le suffixe Z et utilise 0, 3, 6 ou 9 chiffres décimaux. Les décalages autres que "Z" sont également acceptés. Exemples: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" ou "2014-10-02T15:01:23+05:30".
attackExposureResult

string

Nom de la ressource du résultat de la simulation de chemin d'attaque contenant les détails de ce score d'exposition au piratage. Exemple : organizations/123/simulations/456/attackExposureResults/789
state

enum (State)

État de cette exposition à une attaque. Indique si une exposition à une attaque a été calculée ou non.
exposedHighValueResourcesCount

integer

Nombre de ressources de forte valeur exposées en raison de ce résultat.
exposedMediumValueResourcesCount

integer

Nombre de ressources de valeur moyenne exposées en raison de cette anomalie.
exposedLowValueResourcesCount

integer

Nombre de ressources de forte valeur exposées en raison de ce résultat.

État

Cette énumération définit les différents états d'une attaque.

Enums
STATE_UNSPECIFIED L'état n'est pas spécifié.
CALCULATED L'exposition aux attaques a été calculée.
NOT_CALCULATED L'exposition aux attaques n'a pas été calculée.

CloudDlpInspection

Informations sur la tâche d'inspection Cloud Data Loss Prevention (Cloud DLP) ayant généré la découverte.

Représentation JSON 
{
  "inspectJob": string,
  "infoType": string,
  "infoTypeCount": string,
  "fullScan": boolean
}
Champs
inspectJob

string

Nom de la tâche d'inspection, par exemple projects/123/locations/europe/dlpJobs/i-8383929.
infoType

string

Type d'informations (ou infoType) détecté, par exemple EMAIL_ADDRESS ou STREET_ADDRESS.
infoTypeCount

string (int64 format)

Nombre de fois où Cloud DLP a détecté cet infoType dans cette tâche et cette ressource.
fullScan

boolean

Indique si Cloud DLP a analysé la ressource complète ou un sous-ensemble échantillonné.

CloudDlpDataProfile

Profil de données associé à la découverte.

Représentation JSON 
{
  "dataProfile": string,
  "parentType": enum (ParentType)
}
Champs
dataProfile

string

Nom du profil de données, par exemple projects/123/locations/europe/tableProfiles/8383929.
parentType

enum (ParentType)

Niveau de la hiérarchie des ressources au niveau duquel le profil de données a été généré.

ParentType

Parents des configurations qui génèrent des résultats de profil de données.

Enums
PARENT_TYPE_UNSPECIFIED Type de parent non spécifié.
ORGANIZATION Configurations au niveau de l'organisation
PROJECT Configurations au niveau du projet.

KernelRootkit

Signatures de rootkits en mode noyau.

Représentation JSON 
{
  "name": string,
  "unexpectedCodeModification": boolean,
  "unexpectedReadOnlyDataModification": boolean,
  "unexpectedFtraceHandler": boolean,
  "unexpectedKprobeHandler": boolean,
  "unexpectedKernelCodePages": boolean,
  "unexpectedSystemCallHandler": boolean,
  "unexpectedInterruptHandler": boolean,
  "unexpectedProcessesInRunqueue": boolean
}
Champs
name

string

Nom du rootkit, le cas échéant.
unexpectedCodeModification

boolean

"True" si des modifications inattendues de la mémoire de code du noyau sont présentes.
unexpectedReadOnlyDataModification

boolean

"True" si des modifications inattendues de la mémoire de données en lecture seule du noyau sont présentes.
unexpectedFtraceHandler

boolean

"True" si des points ftrace sont présents avec des rappels pointant vers des régions qui ne se trouvent pas dans la plage de code du noyau ou du module attendue.
unexpectedKprobeHandler

boolean

"True" si des points kprobe sont présents avec des rappels pointant vers des régions qui ne se trouvent pas dans la plage de code du noyau ou du module attendue.
unexpectedKernelCodePages

boolean

"True" si des pages de code kernel qui ne se trouvent pas dans les régions de code kernel ou de module attendues sont présentes.
unexpectedSystemCallHandler

boolean

"True" si des gestionnaires d'appels système qui ne se trouvent pas dans les régions de code de kernel ou de module attendues sont présents.
unexpectedInterruptHandler

boolean

"True" si des gestionnaires d'interruption qui ne se trouvent pas dans les régions de code du kernel ou du module attendues sont présents.
unexpectedProcessesInRunqueue

boolean

"True" si des processus inattendus sont présents dans la file d'attente d'exécution de l'ordonnanceur. Ces processus se trouvent dans la file d'attente d'exécution, mais pas dans la liste des tâches de processus.

OrgPolicy

Contient des informations sur les règles de l'organisation associées à l'anomalie.

Représentation JSON 
{
  "name": string
}
Champs
name

string

Nom de la ressource de la règle d'administration. Exemple: "organizations/{organization_id}/policies/{constraint_name}"

Job

Décrit une tâche

Représentation JSON 
{
  "name": string,
  "state": enum (JobState),
  "errorCode": integer,
  "location": string
}
Champs
name

string

Nom complet d'une tâche (par exemple, projects/<projectId>/jobs/<job_id>)
state

enum (JobState)

Uniquement en sortie. État de la tâche, par exemple RUNNING ou PENDING.
errorCode

integer

Facultatif. Si la tâche ne s'est pas terminée correctement, ce champ indique pourquoi.
location

string

Facultatif. Indique l'emplacement où la tâche a été exécutée, par exemple US ou europe-west1.

JobState

JobState représente l'état de la tâche.

Enums
JOB_STATE_UNSPECIFIED "Non spécifié" représente un état inconnu et ne doit pas être utilisé.
PENDING La tâche est planifiée et en attente d'exécution
RUNNING Job en cours
SUCCEEDED La tâche a été exécutée avec succès
FAILED La tâche a été exécutée, mais avec échec

Application

Représente une application associée à une constatation.

Représentation JSON 
{
  "baseUri": string,
  "fullUri": string
}
Champs
baseUri

string

URI de base qui identifie l'emplacement réseau de l'application dans laquelle la faille a été détectée. Par exemple, http://example.com.
fullUri

string

URI complet avec la charge utile pouvant être utilisée pour reproduire la faille. Par exemple, http://example.com?p=aMmYgI6H.

IpRules

Règles IP associées à la découverte.

Représentation JSON 
{
  "direction": enum (Direction),
  "sourceIpRanges": [
    string
  ],
  "destinationIpRanges": [
    string
  ],
  "exposedServices": [
    string
  ],

  // Union field rules can be only one of the following:
  "allowed": {
    object (Allowed)
  },
  "denied": {
    object (Denied)
  }
  // End of list of possible types for union field rules.
}
Champs
direction

enum (Direction)

Direction à laquelle la règle s'applique (entrée ou sortie).
sourceIpRanges[]

string

Si des plages d'adresses IP sources sont spécifiées, la règle de pare-feu ne s'applique qu'au trafic dont l'adresse IP source se trouve dans ces plages. Ces plages doivent être exprimées au format CIDR. Compatible uniquement avec IPv4.
destinationIpRanges[]

string

Si des plages d'adresses IP de destination sont spécifiées, la règle de pare-feu ne s'applique qu'au trafic dont l'adresse IP de destination se trouve dans ces plages. Ces plages doivent être exprimées au format CIDR. Compatible uniquement avec IPv4.
exposedServices[]

string

Nom du service de protocole réseau, tel que FTP, exposé par le port ouvert. Respecte la convention d'attribution de noms disponible sur https://www.iana.org/assignments/service-names-port-numbers/service-names-port-numbers.xhtml.
Champ d'union rules. Liste des règles d'autorisation spécifiées par ce pare-feu. Chaque règle spécifie un tuple de protocole et de plage de ports qui décrit une connexion autorisée. rules ne peut être qu'un des éléments suivants :
allowed

object (Allowed)

Tuple avec les règles autorisées.
denied

object (Denied)

Tuple avec des règles de refus.

Direction

Type de direction auquel la règle s'applique (entrée ou sortie). Non applicable aux résultats OPEN_X_PORT.

Enums
DIRECTION_UNSPECIFIED Valeur de direction non spécifiée.
INGRESS Valeur du sens d'entrée.
EGRESS Valeur de la direction de sortie.

Autorisé

Règle d'adresse IP autorisée.

Représentation JSON 
{
  "ipRules": [
    {
      object (IpRule)
    }
  ]
}
Champs
ipRules[]

object (IpRule)

Facultatif. Liste facultative des règles d'adresses IP autorisées.

IpRule

Informations sur les règles IP.

Représentation JSON 
{
  "protocol": string,
  "portRanges": [
    {
      object (PortRange)
    }
  ]
}
Champs
protocol

string

Protocole IP auquel cette règle s'applique. Cette valeur peut correspondre à l'une des chaînes de protocole connues suivantes (TCP, UDP, ICMP, ESP, AH, IPIP, SCTP) ou à une représentation de chaîne de la valeur entière.
portRanges[]

object (PortRange)

Facultatif. Liste facultative des ports auxquels cette règle s'applique. Ce champ ne s'applique qu'aux protocoles UDP ou (S)TCP. Chaque entrée doit être un entier ou une plage comprenant un numéro de port minimal et maximal.

PortRange

Plage de ports incluant les valeurs minimale et maximale. Les valeurs sont comprises entre 0 et 2^16 - 1. La valeur maximale peut être égale à la valeur minimale ou ne pas être inférieure à celle-ci. Si les valeurs min et max sont identiques, cela signifie qu'il s'agit d'un seul port.

Représentation JSON 
{
  "min": string,
  "max": string
}
Champs
min

string (int64 format)

Valeur de port minimale.
max

string (int64 format)

Valeur de port maximale.

Refusé

Règle d'adresse IP refusée.

Représentation JSON 
{
  "ipRules": [
    {
      object (IpRule)
    }
  ]
}
Champs
ipRules[]

object (IpRule)

Facultatif. Liste facultative des règles d'adresses IP refusées.

BackupDisasterRecovery

Informations sur les résultats du service de sauvegarde et de reprise après sinistre Google Cloud.

Représentation JSON 
{
  "backupTemplate": string,
  "policies": [
    string
  ],
  "host": string,
  "applications": [
    string
  ],
  "storagePool": string,
  "policyOptions": [
    string
  ],
  "profile": string,
  "appliance": string,
  "backupType": string,
  "backupCreateTime": string
}
Champs
backupTemplate

string

Nom d'un modèle de sauvegarde et de reprise après sinistre qui comprend une ou plusieurs stratégies de sauvegarde. Pour en savoir plus, consultez la documentation sur la sauvegarde et la reprise après sinistre. Exemple :snap-ov
policies[]

string

Noms des règles de sauvegarde et de reprise après sinistre associées à un modèle et qui définissent quand exécuter une sauvegarde, la fréquence d'exécution et la durée de conservation de l'image de sauvegarde. Par exemple, onvaults.
host

string

Nom d'un hôte Backup and DR, géré par l'appareil de sauvegarde et de récupération et connu de la console de gestion. L'hôte peut être de type générique (par exemple, Compute Engine, SQL Server, base de données Oracle, système de fichiers SMB, etc.), vCenter ou un serveur ESX. Pour en savoir plus, consultez la documentation sur la sauvegarde et la reprise après sinistre sur les hôtes. Exemple :centos7-01
applications[]

string

Noms des applications de sauvegarde et de reprise après sinistre. Une application est une VM, une base de données ou un système de fichiers sur un hôte géré surveillé par un appareil de sauvegarde et de restauration. Par exemple, centos7-01-vol00, centos7-01-vol01, centos7-01-vol02.
storagePool

string

Nom du pool de stockage de sauvegarde et de reprise après sinistre dans lequel l'appareil de sauvegarde et de récupération stocke les données. Le pool de stockage peut être de type Cloud, Principal, Instantané ou Sur Vault. Consultez la documentation Backup and DR sur les pools de stockage. Exemple :DiskPoolOne
policyOptions[]

string

Noms des options avancées de sauvegarde et reprise après sinistre d'une règle s'appliquant à une application. Consultez la documentation sur les options de règles de sauvegarde et de DR. Exemple :skipofflineappsincongrp, nounmap
profile

string

Nom du profil de ressources de sauvegarde et de reprise après sinistre qui spécifie le support de stockage pour les sauvegardes des données d'application et de VM. Consultez la documentation sur les profils Backup and DR. Exemple :GCP
appliance

string

Nom de l'appareil de sauvegarde et de reprise après sinistre qui capture, déplace et gère le cycle de vie des données de sauvegarde. Par exemple, backup-server-57137.
backupType

string

Type de sauvegarde de l'image Backup and DR. Par exemple, Snapshot, Remote Snapshot, OnVault.
backupCreateTime

string (Timestamp format)

Code temporel de la sauvegarde Backup and DR.

Utilise la norme RFC 3339, où la sortie générée est toujours normalisée avec le suffixe Z et utilise 0, 3, 6 ou 9 chiffres décimaux. Les décalages autres que "Z" sont également acceptés. Exemples: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" ou "2014-10-02T15:01:23+05:30".

SecurityPosture

Représente une stratégie de sécurité déployée sur Google Cloud par le service de gestion de la stratégie de sécurité de Security Command Center. Une posture contient un ou plusieurs ensembles de règles. Un ensemble de règles est un groupe de règles qui appliquent un ensemble de règles de sécurité sur Google Cloud.

Représentation JSON 
{
  "name": string,
  "revisionId": string,
  "postureDeploymentResource": string,
  "postureDeployment": string,
  "changedPolicy": string,
  "policySet": string,
  "policy": string,
  "policyDriftDetails": [
    {
      object (PolicyDriftDetails)
    }
  ]
}
Champs
name

string

Nom de la posture, par exemple CIS-Posture.
revisionId

string

Version de la posture (par exemple, c7cfa2a8)
postureDeploymentResource

string

Projet, dossier ou organisation sur lesquels la posture est déployée (par exemple, projects/{project_number}).
postureDeployment

string

Nom du déploiement de la stratégie, par exemple organizations/{org_id}/posturedeployments/{posture_deployment_id}.
changedPolicy

string

Nom de la règle mise à jour, par exemple projects/{projectId}/policies/{constraint_name}.
policySet

string

Nom du jeu de règles mis à jour, par exemple cis-policyset.
policy

string

ID de la règle mise à jour (par exemple, compute-policy-1).
policyDriftDetails[]

object (PolicyDriftDetails)

Informations sur une modification d'une règle mise à jour qui ne respecte pas la posture déployée.

PolicyDriftDetails

Champ de la règle qui ne respecte pas l'état déployé, ainsi que ses valeurs attendues et détectées.

Représentation JSON 
{
  "field": string,
  "expectedValue": string,
  "detectedValue": string
}
Champs
field

string

Nom du champ mis à jour, par exemple constraint.implementation.policy_rules[0].enforce
expectedValue

string

Valeur de ce champ qui a été configurée dans une posture, par exemple true ou allowed_values={"projects/29831892"}.
detectedValue

string

Valeur détectée qui ne respecte pas la posture déployée, par exemple false ou allowed_values={"projects/22831892"}.

LogEntry

Entrée individuelle dans un journal.

Représentation JSON 
{

  // Union field log_entry can be only one of the following:
  "cloudLoggingEntry": {
    object (CloudLoggingEntry)
  }
  // End of list of possible types for union field log_entry.
}
Champs

Champ d'union log_entry.

log_entry ne peut être qu'un des éléments suivants :
cloudLoggingEntry

object (CloudLoggingEntry)

Entrée individuelle d'un journal stocké dans Cloud Logging.

CloudLoggingEntry

Métadonnées extraites d'une entrée de journal Cloud Logging

Représentation JSON 
{
  "insertId": string,
  "logId": string,
  "resourceContainer": string,
  "timestamp": string
}
Champs
insertId

string

Identifiant unique pour l'entrée de journal.
logId

string

Type du journal (fait partie de logName. logName est le nom de la ressource du journal auquel appartient cette entrée de journal). Par exemple : cloudresourcemanager.googleapis.com/activity. Notez que ce champ n'est pas encodé en URL, contrairement au champ LOG_ID dans LogEntry.
resourceContainer

string

Organisation, dossier ou projet de la ressource surveillée qui a généré cette entrée de journal.
timestamp

string (Timestamp format)

Heure à laquelle l'événement décrit par l'entrée de journal s'est produit.

Utilise la norme RFC 3339, où la sortie générée est toujours normalisée avec le suffixe Z et utilise 0, 3, 6 ou 9 chiffres décimaux. Les décalages autres que "Z" sont également acceptés. Exemples: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" ou "2014-10-02T15:01:23+05:30".

LoadBalancer

Contient des informations sur l'équilibreur de charge associé à l'anomalie.

Représentation JSON 
{
  "name": string
}
Champs
name

string

Nom de l'équilibreur de charge associé à l'anomalie.

CloudArmor

Champs liés aux résultats de Google Cloud Armor.

Représentation JSON 
{
  "securityPolicy": {
    object (SecurityPolicy)
  },
  "requests": {
    object (Requests)
  },
  "adaptiveProtection": {
    object (AdaptiveProtection)
  },
  "attack": {
    object (Attack)
  },
  "threatVector": string,
  "duration": string
}
Champs
securityPolicy

object (SecurityPolicy)

Informations sur la stratégie de sécurité Google Cloud Armor pertinentes pour le résultat.
requests

object (Requests)

Informations sur les requêtes entrantes évaluées par les stratégies de sécurité Google Cloud Armor.
adaptiveProtection

object (AdaptiveProtection)

Informations sur les attaques DDoS de couche 7 potentielles identifiées par Google Cloud Armor Adaptive Protection.
attack

object (Attack)

Informations sur le volume et la classification des attaques DDoS.
threatVector

string

Distinguez les attaques DDoS volumétriques et par protocole des attaques de couche application. Par exemple, "L3_4" pour les attaques DDoS de couche 3 et de couche 4, ou "L_7" pour les attaques DDoS de couche 7.
duration

string (Duration format)

Durée de l'attaque du début à l'instant présent (mise à jour toutes les cinq minutes).

Durée en secondes avec neuf chiffres au maximum après la virgule et se terminant par "s". Exemple : "3.5s"

SecurityPolicy

Informations sur la stratégie de sécurité Google Cloud Armor pertinentes pour le résultat.

Représentation JSON 
{
  "name": string,
  "type": string,
  "preview": boolean
}
Champs
name

string

Nom de la stratégie de sécurité Google Cloud Armor, par exemple "my-security-policy".
type

string

Type de stratégie de sécurité Google Cloud Armor, par exemple "Stratégie de sécurité backend", "Stratégie de sécurité de périphérie", "Stratégie de sécurité de périphérie du réseau" ou "Protection DDoS permanente".
preview

boolean

Indique si la règle ou la stratégie associée est en mode Aperçu.

Demandes

Informations sur les requêtes pertinentes pour le résultat.

Représentation JSON 
{
  "ratio": number,
  "shortTermAllowed": integer,
  "longTermAllowed": integer,
  "longTermDenied": integer
}
Champs
ratio

number

Pour "Augmentation du taux de refus", le ratio correspond au trafic refusé divisé par le trafic autorisé. Pour "Pic de trafic autorisé", le ratio correspond au trafic autorisé à court terme divisé par le trafic autorisé à long terme.
shortTermAllowed

integer

RPS (requêtes par seconde) autorisés à court terme.
longTermAllowed

integer

RPS (requêtes par seconde) autorisés sur le long terme.
longTermDenied

integer

RPS (requêtes par seconde) refusés sur le long terme

AdaptiveProtection

Informations sur Google Cloud Armor Adaptive Protection.

Représentation JSON 
{
  "confidence": number
}
Champs
confidence

number

Un score de 0 signifie que le niveau de confiance est faible quant à la probabilité que l'événement détecté soit une attaque réelle. Un score de 1 signifie que l'événement détecté est très probablement une attaque. Pour en savoir plus, consultez la documentation sur la protection adaptative.

Attaque

Informations sur le volume et la classification des attaques DDoS.

Représentation JSON 
{
  "volumePpsLong": string,
  "volumeBpsLong": string,
  "classification": string,
  "volumePps": integer,
  "volumeBps": integer
}
Champs
volumePpsLong

string (int64 format)

Volume total de l'attaque en paquets par seconde (pps).
volumeBpsLong

string (int64 format)

Volume total de l'attaque en BPS (octets par seconde).
classification

string

Type d'attaque (par exemple, "SYN-flood", "NTP-udp" ou "CHARGEN-udp").
volumePps
(deprecated)

integer

Volume total de l'attaque en paquets par seconde (pps). Obsolète. Utilisez plutôt volumePpsLong.
volumeBps
(deprecated)

integer

Volume total de l'attaque en BPS (octets par seconde). Obsolète. Utilisez plutôt volumeBpsLong.

Notebook

Représente un fichier IPYNB de notebook Jupyter, tel qu'un fichier de notebook Colab Enterprise, associé à une découverte.

Représentation JSON 
{
  "name": string,
  "service": string,
  "lastAuthor": string,
  "notebookUpdateTime": string
}
Champs
name

string

Nom du notebook.
service

string

Le service de notebook source, par exemple "Colab Enterprise".
lastAuthor

string

ID de l'utilisateur qui a modifié le notebook le plus récemment.
notebookUpdateTime

string (Timestamp format)

Date et heure de la dernière mise à jour du notebook.

Utilise la norme RFC 3339, où la sortie générée est toujours normalisée avec le suffixe Z et utilise 0, 3, 6 ou 9 chiffres décimaux. Les décalages autres que "Z" sont également acceptés. Exemples: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" ou "2014-10-02T15:01:23+05:30".

ToxicCombination

Contient des informations sur un groupe de problèmes de sécurité qui, lorsqu'ils se produisent ensemble, représentent un risque plus élevé que lorsqu'ils se produisent indépendamment. Un groupe de problèmes de ce type est appelé "combinaison toxique".

Représentation JSON 
{
  "attackExposureScore": number,
  "relatedFindings": [
    string
  ]
}
Champs
attackExposureScore

number

Niveau d'exposition aux attaques de cette combinaison toxique. Ce score mesure dans quelle mesure cette combinaison toxique expose une ou plusieurs ressources à forte valeur à une attaque potentielle.
relatedFindings[]

string

Liste des noms de ressources des résultats associés à cette combinaison toxique. Par exemple, organizations/123/sources/456/findings/789.

GroupMembership

Contient des informations sur les groupes auxquels cette observation appartient. Un groupe est un ensemble de résultats qui sont liés d'une manière ou d'une autre.

Représentation JSON 
{
  "groupType": enum (GroupType),
  "groupId": string
}
Champs
groupType

enum (GroupType)

Type de groupe.
groupId

string

ID du groupe.

GroupType

Types de groupes possibles.

Enums
GROUP_TYPE_UNSPECIFIED Valeur par défaut.
GROUP_TYPE_TOXIC_COMBINATION Le groupe représente une combinaison toxique.

Disque

Contient des informations sur le disque associé à l'anomalie.

Représentation JSON 
{
  "name": string
}
Champs
name

string

Nom du disque, par exemple "https://www.googleapis.com/compute/v1/projects/{project-id}/zones/{zone-id}/disks/{disk-id}".

DataAccessEvent

Détails d'une tentative d'accès aux données effectuée par un compte principal non autorisé en vertu de la règle de sécurité des données applicable.

Représentation JSON 
{
  "eventId": string,
  "principalEmail": string,
  "operation": enum (Operation),
  "eventTime": string
}
Champs
eventId

string

Identifiant unique de l'événement d'accès aux données.
principalEmail

string

Adresse e-mail du principal ayant accédé aux données. Il peut s'agir d'un compte utilisateur, d'un compte de service, d'un groupe Google, etc.
operation

enum (Operation)

Opération effectuée par l'entité principale pour accéder aux données.
eventTime

string (Timestamp format)

Code temporel de l'événement d'accès aux données.

Utilise la norme RFC 3339, où la sortie générée est toujours normalisée avec le suffixe Z et utilise 0, 3, 6 ou 9 chiffres décimaux. Les décalages autres que "Z" sont également acceptés. Exemples: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" ou "2014-10-02T15:01:23+05:30".

Opération

Opération d'un événement d'accès aux données.

Enums
OPERATION_UNSPECIFIED L'opération n'est pas spécifiée.
READ Représente une opération de lecture.
MOVE Représente une opération de déplacement.
COPY Représente une opération de copie.

DataFlowEvent

Informations sur un événement de flux de données, dans lequel les données sont déplacées vers une zone géographique non conforme ou y sont consultées, comme défini dans le règlement sur la sécurité des données applicable.

Représentation JSON 
{
  "eventId": string,
  "principalEmail": string,
  "operation": enum (Operation),
  "violatedLocation": string,
  "eventTime": string
}
Champs
eventId

string

Identifiant unique de l'événement de flux de données.
principalEmail

string

Adresse e-mail du principal à l'origine de l'événement de flux de données. Il peut s'agir d'un compte utilisateur, d'un compte de service, d'un groupe Google, etc.
operation

enum (Operation)

Opération effectuée par l'entité principale pour l'événement de flux de données.
violatedLocation

string

Emplacement non conforme du principal ou de la destination des données.
eventTime

string (Timestamp format)

Code temporel de l'événement de flux de données.

Utilise la norme RFC 3339, où la sortie générée est toujours normalisée avec le suffixe Z et utilise 0, 3, 6 ou 9 chiffres décimaux. Les décalages autres que "Z" sont également acceptés. Exemples: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" ou "2014-10-02T15:01:23+05:30".

Opération

Opération d'un événement de flux de données.

Enums
OPERATION_UNSPECIFIED L'opération n'est pas spécifiée.
READ Représente une opération de lecture.
MOVE Représente une opération de déplacement.
COPY Représente une opération de copie.

Réseau

Contient des informations sur un réseau VPC associé à la découverte.

Représentation JSON 
{
  "name": string
}
Champs
name

string

Nom de la ressource de réseau VPC, par exemple //compute.googleapis.com/projects/my-project/global/networks/my-network.

DataRetentionDeletionEvent

Informations sur les cas de non-respect des règles de conservation et de suppression des données, dans lesquels les données ne sont pas conformes en fonction de leur durée de conservation ou de suppression, comme défini dans le règlement applicable sur la sécurité des données. Le contrôle de la suppression de la conservation des données (DRD) de la suite DSPM (Data Security Posture Management) permet aux organisations de gérer les règles de conservation et de suppression des données conformément aux réglementations, telles que le RGPD et la CRPA. DRD prend en charge deux principaux types de règles: la longueur de stockage maximale (TTL max) et la longueur de stockage minimale (TTL min). Les deux visent à aider les organisations à respecter leurs engagements en matière de réglementation et de gestion des données.

Représentation JSON 
{
  "eventDetectionTime": string,
  "dataObjectCount": string,
  "maxRetentionAllowed": string,
  "eventType": enum (EventType)
}
Champs
eventDetectionTime

string (Timestamp format)

Code temporel indiquant le moment où l'événement a été détecté.

Utilise la norme RFC 3339, où la sortie générée est toujours normalisée avec le suffixe Z et utilise 0, 3, 6 ou 9 chiffres décimaux. Les décalages autres que "Z" sont également acceptés. Exemples: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" ou "2014-10-02T15:01:23+05:30".
dataObjectCount

string (int64 format)

Nombre d'objets qui ne respectaient pas le règlement pour cette ressource. Si le nombre est inférieur à 1 000, la valeur de ce champ est le nombre exact. Si le nombre d'objets qui ne respectent pas la règle est supérieur ou égal à 1 000, la valeur de ce champ est 1 000.
maxRetentionAllowed

string (Duration format)

Durée maximale de conservation autorisée par le contrôle DRD. Cela provient du contrôle DRD, où les utilisateurs définissent une valeur TTL maximale pour leurs données. Par exemple, supposons qu'un utilisateur définisse la valeur TTL maximale d'un bucket Cloud Storage sur 90 jours. Cependant, un objet de ce bucket a 100 jours. Dans ce cas, un événement DataRetentionDeletionEvent est généré pour ce bucket Cloud Storage, et la valeur maxRetentionAllowed est de 90 jours.

Durée en secondes avec neuf chiffres au maximum après la virgule et se terminant par "s". Exemple : "3.5s"
eventType

enum (EventType)

Type de l'événement DRD.

EventType

Type de l'événement DRD.

Enums
EVENT_TYPE_UNSPECIFIED Type d'événement non spécifié.
EVENT_TYPE_MAX_TTL_EXCEEDED La durée de conservation maximale a été dépassée.

Méthodes

create

 Crée un résultat.

group

 Filtre les résultats d'une organisation ou d'une source, et les regroupe en fonction de leurs propriétés spécifiées.

list

 Répertorie les résultats d'une organisation ou d'une source.

patch

 Crée ou met à jour un résultat.

setMute

 Met à jour l'état de désactivation d'un résultat.

setState

 Met à jour l'état d'un résultat.

updateSecurityMarks

 Met à jour les marques de sécurité.