REST Resource: organizations.sources.findings

Ressource: Erkenntnis

Security Command Center-Ergebnis

Ein Ergebnis ist ein Datensatz von Bewertungsdaten wie Sicherheit, Risiko, Zustand oder Datenschutz, die in Security Command Center für Darstellung, Benachrichtigung, Analyse, Richtlinientests und Durchsetzung aufgenommen werden. Eine XSS-Sicherheitslücke (Cross-Site-Scripting) in einer App Engine-Anwendung ist beispielsweise ein Ergebnis.

JSON-Darstellung 
{
  "name": string,
  "parent": string,
  "resourceName": string,
  "state": enum (State),
  "category": string,
  "externalUri": string,
  "sourceProperties": {
    string: value,
    ...
  },
  "securityMarks": {
    object (SecurityMarks)
  },
  "eventTime": string,
  "createTime": string,
  "severity": enum (Severity),
  "canonicalName": string,
  "mute": enum (Mute),
  "findingClass": enum (FindingClass),
  "indicator": {
    object (Indicator)
  },
  "vulnerability": {
    object (Vulnerability)
  },
  "muteUpdateTime": string,
  "externalSystems": {
    string: {
      object (ExternalSystem)
    },
    ...
  },
  "mitreAttack": {
    object (MitreAttack)
  },
  "access": {
    object (Access)
  },
  "connections": [
    {
      object (Connection)
    }
  ],
  "muteInitiator": string,
  "muteInfo": {
    object (MuteInfo)
  },
  "processes": [
    {
      object (Process)
    }
  ],
  "contacts": {
    string: {
      object (ContactDetails)
    },
    ...
  },
  "compliances": [
    {
      object (Compliance)
    }
  ],
  "parentDisplayName": string,
  "description": string,
  "exfiltration": {
    object (Exfiltration)
  },
  "iamBindings": [
    {
      object (IamBinding)
    }
  ],
  "nextSteps": string,
  "moduleName": string,
  "containers": [
    {
      object (Container)
    }
  ],
  "kubernetes": {
    object (Kubernetes)
  },
  "database": {
    object (Database)
  },
  "attackExposure": {
    object (AttackExposure)
  },
  "files": [
    {
      object (File)
    }
  ],
  "cloudDlpInspection": {
    object (CloudDlpInspection)
  },
  "cloudDlpDataProfile": {
    object (CloudDlpDataProfile)
  },
  "kernelRootkit": {
    object (KernelRootkit)
  },
  "orgPolicies": [
    {
      object (OrgPolicy)
    }
  ],
  "job": {
    object (Job)
  },
  "application": {
    object (Application)
  },
  "ipRules": {
    object (IpRules)
  },
  "backupDisasterRecovery": {
    object (BackupDisasterRecovery)
  },
  "securityPosture": {
    object (SecurityPosture)
  },
  "logEntries": [
    {
      object (LogEntry)
    }
  ],
  "loadBalancers": [
    {
      object (LoadBalancer)
    }
  ],
  "cloudArmor": {
    object (CloudArmor)
  },
  "notebook": {
    object (Notebook)
  },
  "toxicCombination": {
    object (ToxicCombination)
  },
  "groupMemberships": [
    {
      object (GroupMembership)
    }
  ],
  "disk": {
    object (Disk)
  },
  "dataAccessEvents": [
    {
      object (DataAccessEvent)
    }
  ],
  "dataFlowEvents": [
    {
      object (DataFlowEvent)
    }
  ],
  "networks": [
    {
      object (Network)
    }
  ],
  "dataRetentionDeletionEvents": [
    {
      object (DataRetentionDeletionEvent)
    }
  ]
}
Felder
name

string

Der relative Ressourcenname des Ergebnisses. Beispiel: „organizations/{organization_id}/sources/{source_id}/findings/{findingId}“, „folders/{folder_id}/sources/{source_id}/findings/{findingId}“, „projects/{projectId}/sources/{source_id}/findings/{findingId}“.
parent

string

Der relative Ressourcenname der Quelle, zu der der Hinweis gehört. Weitere Informationen finden Sie unter https://cloud.google.com/apis/design/resource_names#relative_resource_name. Dieses Feld ist nach der Erstellung unveränderlich. Beispiel: „organizations/{organization_id}/sources/{source_id}“
resourceName

string

Bei Ergebnissen zu Google Cloud-Ressourcen der vollständige Ressourcenname der Google Cloud-Ressource, auf die sich das Ergebnis bezieht. Weitere Informationen finden Sie unter https://cloud.google.com/apis/design/resource_names#full_resource_name. Wenn sich der Hinweis auf eine nicht zu Google Cloud gehörende Ressource bezieht, kann „resourceName“ ein von einem Kunden oder Partner definierter String sein. Dieses Feld ist nach der Erstellung unveränderlich.
state

enum (State)

Der Status des Befunds.
category

string

Die zusätzliche Taxonomiegruppe in den Ergebnissen einer bestimmten Quelle. Dieses Feld ist nach der Erstellung unveränderlich. Beispiel: „XSS_FLASH_INJECTION“
externalUri

string

Der URI, der gegebenenfalls auf eine Webseite außerhalb von Security Command Center verweist, auf der zusätzliche Informationen zum Ergebnis zu finden sind. Dieses Feld ist garantiert entweder leer oder eine korrekt formatierte URL.
sourceProperties

map (key: string, value: value (Value format))

Quellspezifische Properties. Diese Eigenschaften werden von der Quelle verwaltet, die den Hinweis schreibt. Die Schlüsselnamen in der Zuordnung „sourceProperties“ müssen zwischen 1 und 255 Zeichen lang sein und mit einem Buchstaben beginnen. Sie dürfen nur alphanumerische Zeichen oder Unterstriche enthalten.

Ein Objekt, das eine Liste von "key": value-Paaren enthält. Beispiel: { "name": "wrench", "mass": "1.3kg", "count": "3" }.
securityMarks

object (SecurityMarks)

Nur Ausgabe. Vom Nutzer angegebene Sicherheitsmarkierungen. Diese Markierungen werden vollständig vom Nutzer verwaltet und stammen aus der SecurityMarks-Ressource, die zum Ergebnis gehört.
eventTime

string (Timestamp format)

Der Zeitpunkt, zu dem das Ergebnis zum ersten Mal erfasst wurde. Wenn ein vorhandenes Ergebnis aktualisiert wird, ist dies der Zeitpunkt, zu dem die Aktualisierung stattgefunden hat. Wenn das Ergebnis beispielsweise eine offene Firewall darstellt, erfasst diese Property den Zeitpunkt, zu dem der Detektor der Meinung ist, dass die Firewall geöffnet ist. Die Genauigkeit wird vom Detektor bestimmt. Wenn das Ergebnis später behoben wird, gibt dieser Zeitpunkt an, wann das Ergebnis behoben wurde. Dieser Wert darf nicht höher als der aktuelle Zeitstempel sein.

Es wird RFC 3339 verwendet, wobei die generierte Ausgabe immer Z-normalisiert ist und 0, 3, 6 oder 9 Glieder mit Dezimalstellen enthält. Andere Achsenbezeichnungen als „Z“ sind ebenfalls zulässig. Beispiele: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" oder "2014-10-02T15:01:23+05:30".
createTime

string (Timestamp format)

Die Zeit, zu der das Ergebnis im Security Command Center erstellt wurde.

Es wird RFC 3339 verwendet, wobei die generierte Ausgabe immer Z-normalisiert ist und 0, 3, 6 oder 9 Glieder mit Dezimalstellen enthält. Andere Achsenbezeichnungen als „Z“ sind ebenfalls zulässig. Beispiele: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" oder "2014-10-02T15:01:23+05:30".
severity

enum (Severity)

den Schweregrad des Ergebnisses. Dieses Feld wird von der Quelle verwaltet, die den Befund schreibt.
canonicalName

string

Der kanonische Name des Ergebnisses. Je nach dem CRM-Übergeordneten der Ressource, die mit dem Ergebnis verknüpft ist, ist dies entweder „organizations/{organization_id}/sources/{source_id}/findings/{findingId}“, „folders/{folder_id}/sources/{source_id}/findings/{findingId}“ oder „projects/{project_number}/sources/{source_id}/findings/{findingId}“.
mute

enum (Mute)

Gibt den Ausblendungsstatus eines Ergebnisses an (entweder „Ausgeblendet“, „Aktiviert“ oder „Undefiniert“). Im Gegensatz zu anderen Attributen eines Ergebnisses sollte der Anbieter des Ergebnisses den Wert „Ausblenden“ nicht festlegen.
findingClass

enum (FindingClass)

Die Klasse des Ergebnisses.
indicator

object (Indicator)

Stellt das dar, was in der Computerforensik als Kompromittierungsindikator (IoC) bezeichnet wird. Ein Artefakt, das in einem Netzwerk oder in einem Betriebssystem beobachtet wird und mit hoher Wahrscheinlichkeit auf einen Computereinbruch hinweist. Weitere Informationen finden Sie unter Indikator für eine Manipulation.
vulnerability

object (Vulnerability)

Stellt sicherheitslückespezifische Felder wie CVE- und CVSS-Werte dar. CVE steht für „Common Vulnerabilities and Exposures“ (https://cve.mitre.org/about/).
muteUpdateTime

string (Timestamp format)

Nur Ausgabe. Das Datum und die Uhrzeit, zu dem dieses Ergebnis zuletzt ausgeblendet oder wieder eingeblendet wurde.

Es wird RFC 3339 verwendet, wobei die generierte Ausgabe immer Z-normalisiert ist und 0, 3, 6 oder 9 Glieder mit Dezimalstellen enthält. Andere Achsenbezeichnungen als „Z“ sind ebenfalls zulässig. Beispiele: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" oder "2014-10-02T15:01:23+05:30".
externalSystems

map (key: string, value: object (ExternalSystem))

Nur Ausgabe. SIEM-/SOAR-Felder von Drittanbietern im SCC, die Informationen zu externen Systemen und Felder für externe Systemfunde enthalten.

Ein Objekt, das eine Liste von "key": value-Paaren enthält. Beispiel: { "name": "wrench", "mass": "1.3kg", "count": "3" }.
mitreAttack

object (MitreAttack)

MITRE ATT&CK-Taktiken und ‑Techniken, die sich auf diese Feststellung beziehen. Siehe: https://attack.mitre.org
access

object (Access)

Sie können auf Details zu dem Ergebnis zugreifen, z. B. weitere Informationen zum Anrufer, auf welche Methode zugegriffen wurde und von wo aus.
connections[]

object (Connection)

Enthält Informationen zur IP-Verbindung, die mit dem Ergebnis verknüpft ist.
muteInitiator

string

Hier werden zusätzliche Informationen zum Stummschalten aufgezeichnet, z. B. die Stummschaltungskonfiguration, mit der der Befund stummgeschaltet wurde, und der Nutzer, der den Befund stummgeschaltet hat.
muteInfo

object (MuteInfo)

Nur Ausgabe. Informationen zum Ausblenden dieses Ergebnisses.
processes[]

object (Process)

Stellt Betriebssystemprozesse dar, die mit dem Ergebnis verknüpft sind.
contacts

map (key: string, value: object (ContactDetails))

Nur Ausgabe. Karte mit den Kontaktstellen für die jeweilige Feststellung. Der Schlüssel steht für die Art des Kontakts, während der Wert eine Liste aller zugehörigen Kontakte enthält. Weitere Informationen finden Sie unter https://cloud.google.com/resource-manager/docs/managing-notification-contacts#notification-categories.

{
  "security": {
    "contacts": [
      {
        "email": "person1@company.com"
      },
      {
        "email": "person2@company.com"
      }
    ]
  }
}

Ein Objekt, das eine Liste von "key": value-Paaren enthält. Beispiel: { "name": "wrench", "mass": "1.3kg", "count": "3" }.
compliances[]

object (Compliance)

Enthält Compliance-Informationen zu Sicherheitsstandards, die mit dem Ergebnis verknüpft sind.
parentDisplayName

string

Nur Ausgabe. Der visuell lesbare Anzeigename der Quelle der Ergebnisse, z. B. „Bedrohungserkennung“ oder „Security Health Analytics“.
description

string

Enthält weitere Details zum Ergebnis.
exfiltration

object (Exfiltration)

Stellt Datenexfiltrationen dar, die mit dem Ergebnis in Verbindung stehen.
iamBindings[]

object (IamBinding)

Stellt IAM-Bindungen dar, die mit dem Ergebnis verknüpft sind.
nextSteps

string

Schritte zur Behebung des Problems.
moduleName

string

Die eindeutige Kennung des Moduls, das das Ergebnis generiert hat. Beispiel: folders/598186756061/securityHealthAnalyticsSettings/customModules/56799441161885
containers[]

object (Container)

Container, die mit dem Ergebnis verknüpft sind. Dieses Feld enthält Informationen sowohl für Kubernetes- als auch für Nicht-Kubernetes-Container.
kubernetes

object (Kubernetes)

Kubernetes-Ressourcen, die mit dem Ergebnis verknüpft sind.
database

object (Database)

Datenbank, die mit dem Ergebnis verknüpft ist.
attackExposure

object (AttackExposure)

Die Ergebnisse einer Angriffspfadsimulation, die für diese Erkenntnis relevant sind.
files[]

object (File)

Datei, die mit dem Ergebnis verknüpft ist.
cloudDlpInspection

object (CloudDlpInspection)

Ergebnisse der Cloud Data Loss Prevention (Cloud DLP)-Inspektion, die mit dem Ergebnis verknüpft sind.
cloudDlpDataProfile

object (CloudDlpDataProfile)

Cloud DLP-Datenprofil, das dem Ergebnis zugeordnet ist.
kernelRootkit

object (KernelRootkit)

Signatur des Kernel-Rootkits.
orgPolicies[]

object (OrgPolicy)

Enthält Informationen zu den mit dem Ergebnis verknüpften Richtlinien der Organisation.
job

object (Job)

Die mit dem Ergebnis verknüpfte Stelle.
application

object (Application)

Stellt eine Anwendung dar, die mit dem Ergebnis verknüpft ist.
ipRules

object (IpRules)

IP-Regeln, die mit dem Ergebnis verknüpft sind.
backupDisasterRecovery

object (BackupDisasterRecovery)

Felder im Zusammenhang mit Ergebnissen für Sicherung und Notfallwiederherstellung
securityPosture

object (SecurityPosture)

Der mit dem Ergebnis verbundene Sicherheitsstatus.
logEntries[]

object (LogEntry)

Logeinträge, die für die Erkenntnis relevant sind.
loadBalancers[]

object (LoadBalancer)

Die mit dem Ergebnis verknüpften Load Balancer.
cloudArmor

object (CloudArmor)

Felder zu Cloud Armor-Ergebnissen.
notebook

object (Notebook)

Das mit dem Ergebnis verknüpfte Notebook.
toxicCombination

object (ToxicCombination)

Enthält Details zu einer Gruppe von Sicherheitsproblemen, die bei gleichzeitigem Auftreten ein größeres Risiko darstellen als bei unabhängigem Auftreten. Eine Gruppe solcher Probleme wird als toxische Kombination bezeichnet. Dieses Feld kann nicht aktualisiert werden. Der Wert wird in allen Aktualisierungsanfragen ignoriert.
groupMemberships[]

object (GroupMembership)

Enthält Details zu den Gruppen, zu denen diese Information gehört. Eine Gruppe besteht aus einer Reihe von Ergebnissen, die in gewisser Weise zusammenhängen. Dieses Feld kann nicht aktualisiert werden. Der Wert wird in allen Aktualisierungsanfragen ignoriert.
disk

object (Disk)

Laufwerk, das mit dem Ergebnis verknüpft ist.
dataAccessEvents[]

object (DataAccessEvent)

Datenzugriffsereignisse, die mit dem Ergebnis verknüpft sind.
dataFlowEvents[]

object (DataFlowEvent)

Datenflussereignisse, die mit dem Ergebnis verknüpft sind.
networks[]

object (Network)

Stellt die VPC-Netzwerke dar, mit denen die Ressource verbunden ist.
dataRetentionDeletionEvents[]

object (DataRetentionDeletionEvent)

Löschereignisse für die Datenaufbewahrung, die mit dem Ergebnis verknüpft sind.

Bundesland

Der Status des Befunds.

Enums
STATE_UNSPECIFIED Nicht angegebener Zustand.
ACTIVE Die Abweichung erfordert Aufmerksamkeit und wurde noch nicht behoben.
INACTIVE Das Problem wurde behoben, als nicht relevant eingestuft oder anderweitig behoben und ist nicht mehr aktiv.

SecurityMarks

Vom Nutzer angegebene Sicherheitsmarkierungen, die an die übergeordnete Security Command Center-Ressource angehängt sind. Sicherheitsmarkierungen gelten für eine Security Command Center-Organisation. Sie können von allen Nutzern geändert und angesehen werden, die die entsprechenden Berechtigungen für die Organisation haben.

JSON-Darstellung 
{
  "name": string,
  "marks": {
    string: string,
    ...
  },
  "canonicalName": string
}
Felder
name

string

Der relative Ressourcenname der Sicherheitskennzeichen. Weitere Informationen finden Sie unter https://cloud.google.com/apis/design/resource_names#relative_resource_name. Beispiele: „organizations/{organization_id}/assets/{asset_id}/securityMarks“ und „organizations/{organization_id}/sources/{source_id}/findings/{findingId}/securityMarks“.
marks

map (key: string, value: string)

Veränderliche, vom Nutzer angegebene Sicherheitskennzeichen, die zur übergeordneten Ressource gehören. Es gelten folgende Einschränkungen:

  • Bei Schlüsseln und Werten wird die Groß- und Kleinschreibung nicht berücksichtigt.
  • Schlüssel müssen zwischen 1 und 256 Zeichen (einschließlich) lang sein.
  • Schlüssel müssen Buchstaben, Ziffern, Unterstriche oder Bindestriche enthalten
  • Anführende und abschließende Leerzeichen werden aus den Werten entfernt. Die verbleibenden Zeichen müssen zwischen 1 und 4.096 Zeichen (einschließlich) lang sein.

Ein Objekt, das eine Liste von "key": value-Paaren enthält. Beispiel: { "name": "wrench", "mass": "1.3kg", "count": "3" }.
canonicalName

string

Der kanonische Name der Marken. Beispiele: „organizations/{organization_id}/assets/{asset_id}/securityMarks“ „folders/{folder_id}/assets/{asset_id}/securityMarks“ „projects/{project_number}/assets/{asset_id}/securityMarks“ „organizations/{organization_id}/sources/{source_id}/findings/{findingId}/securityMarks“ „folders/{folder_id}/sources/{source_id}/findings/{findingId}/securityMarks“ „projects/{project_number}/sources/{source_id}/findings/{findingId}/securityMarks“

Schweregrad

den Schweregrad des Ergebnisses.

Enums
SEVERITY_UNSPECIFIED Dieser Wert wird für Ergebnisse verwendet, wenn eine Quelle keinen Schweregradwert schreibt.
CRITICAL

Sicherheitslücke: Eine kritische Sicherheitslücke ist von externen Akteuren leicht zu erkennen, kann ausgenutzt werden und führt dazu, dass beliebiger Code ausgeführt, Daten ausgefiltert oder anderweitig Zugriff auf oder Privilegien in Cloud-Ressourcen und -Arbeitslasten erhalten werden kann. Beispiele hierfür sind öffentlich zugängliche, ungeschützte Nutzerdaten und öffentliche SSH-Zugänge, die schwache oder keine Passwörter nutzen.

Bedrohung: Gibt an, dass eine Bedrohung auf Daten zugreifen, sie ändern oder löschen und nicht autorisierten Code in vorhandenen Ressourcen ausführen kann.
HIGH

Sicherheitslücke: Eine Sicherheitslücke mit hohem Risiko kann leicht entdeckt und in Kombination mit anderen Sicherheitslücken genutzt werden, um direkten Zugriff zu erhalten und beliebigen Code auszuführen, Daten auszufiltern oder anderweitig Zugriff auf oder Privilegien in Cloud-Ressourcen und -Workflows zu erhalten. Ein Beispiel ist eine Datenbank mit schwachen oder ohne Passwörter, auf die nur intern zugegriffen werden kann. Diese Datenbank kann leicht von einem Akteur manipuliert werden, der Zugriff auf das interne Netzwerk hat.

Bedrohung: Eine Bedrohung, die neue Rechenressourcen in einer Umgebung erstellen, aber nicht auf Daten zugreifen oder Code in vorhandenen Ressourcen ausführen kann.
MEDIUM

Sicherheitslücke: Eine Sicherheitslücke mit mittlerem Risiko kann von Akteuren verwendet werden, um Zugriff auf Ressourcen oder Berechtigungen zu erlangen, womit letztlich (durch mehrere Schritte oder ein komplexes Exploit) der Zugriff und die Option zum Ausführen beliebigen Codes oder zum Auslesen von Daten erreicht werden soll. Ein Beispiel ist ein Dienstkonto mit Zugriff auf mehr Projekte, als es sollte. Wenn ein Akteur Zugriff auf das Dienstkonto erhält, kann er dieses Dienstkonto zur Manipulation eines Projekts verwenden, für das es nicht vorgesehen war.

Bedrohung: Gibt an, dass eine Bedrohung betriebliche Auswirkungen haben kann, aber möglicherweise nicht auf Daten zugreift oder nicht autorisierten Code ausführt.
LOW

Sicherheitslücke: Eine Sicherheitslücke mit geringem Risiko beeinträchtigt die Fähigkeit einer Sicherheitsorganisation, Sicherheitslücken oder aktive Bedrohungen bei deren Einführung zu erkennen, oder verhindert die Untersuchung der Ursachen von Sicherheitsproblemen. Ein Beispiel ist das Deaktivieren von Monitoring und Protokollierung für Ressourcenkonfigurationen und Zugriff.

Bedrohung: Gibt an, dass eine Bedrohung minimalen Zugriff auf eine Umgebung erhalten hat, aber nicht auf Daten zugreifen, Code ausführen oder Ressourcen erstellen kann.

Ausblenden

Status, in dem ein Ergebnis ausgeblendet werden kann.

Enums
MUTE_UNSPECIFIED Nicht angegeben.
MUTED Das Ergebnis wurde ausgeblendet.
UNMUTED Die Ausblendung des Ergebnisses wurde aufgehoben.
UNDEFINED Das Ergebnis wurde noch nie ausgeblendet oder die Ausblendung aufgehoben.

FindingClass

Gibt an, um welche Art von Erkenntnis es sich handelt.

Enums
FINDING_CLASS_UNSPECIFIED Nicht angegebene Ergebnisklasse.
THREAT Beschreibt unerwünschte oder schädliche Aktivitäten.
VULNERABILITY Beschreibt eine potenzielle Schwachstelle in der Software, die das Risiko für Vertraulichkeit, Integrität und Verfügbarkeit erhöht.
MISCONFIGURATION Beschreibt eine potenzielle Schwachstelle in der Konfiguration von Cloud-Ressourcen/-Assets, die das Risiko erhöht.
OBSERVATION Beschreibt eine Sicherheitsbeobachtung zu Informationszwecken.
SCC_ERROR Beschreibt einen Fehler, der die Nutzung einiger SCC-Funktionen verhindert.
POSTURE_VIOLATION Beschreibt ein potenzielles Sicherheitsrisiko aufgrund einer Änderung der Sicherheitslage.
TOXIC_COMBINATION Beschreibt eine Gruppe von Sicherheitsproblemen, die bei gleichzeitigem Auftreten ein größeres Risiko darstellen als bei unabhängigem Auftreten. Eine Gruppe solcher Probleme wird als toxische Kombination bezeichnet.
SENSITIVE_DATA_RISK Beschreibt ein potenzielles Sicherheitsrisiko für Daten-Assets, die sensible Daten enthalten.

Indikator

Stellt das dar, was in der Computerforensik als Kompromittierungsindikator (IoC) bezeichnet wird. Ein Artefakt, das in einem Netzwerk oder in einem Betriebssystem beobachtet wird und mit hoher Wahrscheinlichkeit auf einen Computereinbruch hinweist. Weitere Informationen finden Sie unter Indikator für eine Manipulation.

JSON-Darstellung 
{
  "ipAddresses": [
    string
  ],
  "domains": [
    string
  ],
  "signatures": [
    {
      object (ProcessSignature)
    }
  ],
  "uris": [
    string
  ]
}
Felder
ipAddresses[]

string

Die Liste der IP-Adressen, die mit dem Ergebnis verknüpft sind.
domains[]

string

Liste der Domains, die mit dem Ergebnis verknüpft sind.
signatures[]

object (ProcessSignature)

Die Liste der übereinstimmenden Signaturen, die angibt, dass der angegebene Prozess in der Umgebung vorhanden ist.
uris[]

string

Die Liste der URIs, die mit den Ergebnissen verknüpft sind.

ProcessSignature

Gibt an, welche Signatur mit diesem Prozess übereinstimmt.

JSON-Darstellung 
{
  "signatureType": enum (SignatureType),

  // Union field signature can be only one of the following:
  "memoryHashSignature": {
    object (MemoryHashSignature)
  },
  "yaraRuleSignature": {
    object (YaraRuleSignature)
  }
  // End of list of possible types for union field signature.
}
Felder
signatureType

enum (SignatureType)

Gibt den Ressourcentyp an, der mit der Signatur verknüpft ist.

Union-Feld signature.

Für signature ist nur einer der folgenden Werte zulässig:
memoryHashSignature

object (MemoryHashSignature)

Signatur, die angibt, dass eine Binärfamilie übereinstimmt.
yaraRuleSignature

object (YaraRuleSignature)

Signatur, die angibt, dass eine YARA-Regel übereinstimmt hat.

MemoryHashSignature

Eine Signatur, die den Hashes der Speicherseiten entspricht.

JSON-Darstellung 
{
  "binaryFamily": string,
  "detections": [
    {
      object (Detection)
    }
  ]
}
Felder
binaryFamily

string

Die Binärfamilie.
detections[]

object (Detection)

Die Liste der Speicher-Hash-Erkennungen, die zur Übereinstimmung der Binärfamilie beitragen.

Erkennung

Speicher-Hash-Erkennung, die zur Übereinstimmung der Binärfamilie beiträgt.

JSON-Darstellung 
{
  "binary": string,
  "percentPagesMatched": number
}
Felder
binary

string

Der Name des Binärprogramms, das mit der Erkennung von Speicher-Hash-Signaturen verknüpft ist.
percentPagesMatched

number

Der Prozentsatz der Speicherseiten-Hashes in der Signatur, die übereinstimmten.

YaraRuleSignature

Eine Signatur, die einer YARA-Regel entspricht.

JSON-Darstellung 
{
  "yaraRule": string
}
Felder
yaraRule

string

Der Name der YARA-Regel.

SignatureType

Mögliche Ressourcentypen, die einer Signatur zugeordnet werden können.

Enums
SIGNATURE_TYPE_UNSPECIFIED Der Standardsignaturtyp.
SIGNATURE_TYPE_PROCESS Wird für Signaturen verwendet, die sich auf Prozesse beziehen.
SIGNATURE_TYPE_FILE Wird für Signaturen für Laufwerke verwendet.

Sicherheitslücke

Bezieht sich auf gängige Felder für Sicherheitslücken, z.B. CVE, CVSS, CWE usw.

JSON-Darstellung 
{
  "cve": {
    object (Cve)
  },
  "offendingPackage": {
    object (Package)
  },
  "fixedPackage": {
    object (Package)
  },
  "securityBulletin": {
    object (SecurityBulletin)
  }
}
Felder
cve

object (Cve)

CVE steht für „Common Vulnerabilities and Exposures“ (https://cve.mitre.org/about/).
offendingPackage

object (Package)

Das betreffende Paket ist für das Ergebnis relevant.
fixedPackage

object (Package)

Das korrigierte Paket ist für den Befund relevant.
securityBulletin

object (SecurityBulletin)

Das Sicherheitsbulletin ist für diese Erkenntnis relevant.

Cve

CVE steht für „Common Vulnerabilities and Exposures“. Informationen aus dem CVE-Eintrag, die diese Sicherheitslücke beschreiben.

JSON-Darstellung 
{
  "id": string,
  "references": [
    {
      object (Reference)
    }
  ],
  "cvssv3": {
    object (Cvssv3)
  },
  "upstreamFixAvailable": boolean,
  "impact": enum (RiskRating),
  "exploitationActivity": enum (ExploitationActivity),
  "observedInTheWild": boolean,
  "zeroDay": boolean,
  "exploitReleaseDate": string,
  "firstExploitationDate": string
}
Felder
id

string

Die eindeutige Kennung für die Sicherheitslücke, z. B.CVE-2021-34527.
references[]

object (Reference)

Weitere Informationen zur CVE, z. B. https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-34527
cvssv3

object (Cvssv3)

Beschreiben Sie das Common Vulnerability Scoring System, das unter https://www.first.org/cvss/v3.1/specification-document beschrieben ist.
upstreamFixAvailable

boolean

Gibt an, ob eine Upstream-Korrektur für das CVE verfügbar ist.
impact

enum (RiskRating)

Die potenziellen Auswirkungen der Sicherheitslücke, falls sie ausgenutzt werden sollte.
exploitationActivity

enum (ExploitationActivity)

Die derzeit beobachteten Ausnutzungsaktivitäten der Sicherheitslücke.
observedInTheWild

boolean

Gibt an, ob die Sicherheitslücke bereits ausgenutzt wurde.
zeroDay

boolean

Gibt an, ob die Sicherheitslücke zum Zeitpunkt der Veröffentlichung des Ergebnisses eine Zero-Day-Lücke war.
exploitReleaseDate

string (Timestamp format)

Datum, an dem der erste öffentlich verfügbare Exploit oder PoC veröffentlicht wurde.

Es wird RFC 3339 verwendet, wobei die generierte Ausgabe immer Z-normalisiert ist und 0, 3, 6 oder 9 Glieder mit Dezimalstellen enthält. Andere Achsenbezeichnungen als „Z“ sind ebenfalls zulässig. Beispiele: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" oder "2014-10-02T15:01:23+05:30".
firstExploitationDate

string (Timestamp format)

Datum der frühesten bekannten Ausnutzung.

Es wird RFC 3339 verwendet, wobei die generierte Ausgabe immer Z-normalisiert ist und 0, 3, 6 oder 9 Glieder mit Dezimalstellen enthält. Andere Achsenbezeichnungen als „Z“ sind ebenfalls zulässig. Beispiele: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" oder "2014-10-02T15:01:23+05:30".

Referenz

Zusätzliche Links

JSON-Darstellung 
{
  "source": string,
  "uri": string
}
Felder
source

string

Quelle der Referenz, z.B. NVD
uri

string

URI für die genannte Quelle, z.B. https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-34527.

CVSSV3

Common Vulnerability Scoring System Version 3.

JSON-Darstellung 
{
  "baseScore": number,
  "attackVector": enum (AttackVector),
  "attackComplexity": enum (AttackComplexity),
  "privilegesRequired": enum (PrivilegesRequired),
  "userInteraction": enum (UserInteraction),
  "scope": enum (Scope),
  "confidentialityImpact": enum (Impact),
  "integrityImpact": enum (Impact),
  "availabilityImpact": enum (Impact)
}
Felder
baseScore

number

Der Basiswert ist eine Funktion der Basismesswert-Bewertungen.
attackVector

enum (AttackVector)

Basismesswerte: Die inhärenten Merkmale einer Sicherheitslücke, die im Zeitverlauf und in verschiedenen Nutzerumgebungen konstant sind. Dieser Messwert gibt Aufschluss über den Kontext, in dem die Ausnutzung von Sicherheitslücken möglich ist.
attackComplexity

enum (AttackComplexity)

Dieser Messwert beschreibt die Bedingungen, die außerhalb der Kontrolle des Angreifers liegen und erfüllt sein müssen, damit die Sicherheitslücke ausgenutzt werden kann.
privilegesRequired

enum (PrivilegesRequired)

Dieser Messwert beschreibt die Berechtigungsstufe, die ein Angreifer haben muss, um die Sicherheitslücke erfolgreich auszunutzen.
userInteraction

enum (UserInteraction)

Dieser Messwert gibt an, ob ein menschlicher Nutzer, der nicht der Angreifer ist, an der erfolgreichen Manipulation der angreifbaren Komponente beteiligt sein muss.
scope

enum (Scope)

Der Messwert „Umfang“ gibt an, ob sich eine Sicherheitslücke in einer angreifbaren Komponente auf Ressourcen in Komponenten außerhalb des Sicherheitsbereichs auswirkt.
confidentialityImpact

enum (Impact)

Dieser Messwert misst die Auswirkungen auf die Vertraulichkeit der von einer Softwarekomponente verwalteten Informationsressourcen aufgrund einer erfolgreich ausgenutzten Sicherheitslücke.
integrityImpact

enum (Impact)

Dieser Messwert misst die Auswirkungen auf die Integrität einer erfolgreich ausgenutzten Sicherheitslücke.
availabilityImpact

enum (Impact)

Dieser Messwert gibt Aufschluss über die Auswirkungen auf die Verfügbarkeit der betroffenen Komponente, die durch eine erfolgreich ausgenutzte Sicherheitslücke verursacht wurden.

AttackVector

Dieser Messwert gibt Aufschluss über den Kontext, in dem die Ausnutzung von Sicherheitslücken möglich ist.

Enums
ATTACK_VECTOR_UNSPECIFIED Ungültiger Wert.
ATTACK_VECTOR_NETWORK Die angreifbare Komponente ist an den Netzwerkstack gebunden und die Anzahl der möglichen Angreifer geht über die unten aufgeführten Optionen hinaus und umfasst das gesamte Internet.
ATTACK_VECTOR_ADJACENT Die angreifbare Komponente ist an den Netzwerkstack gebunden, der Angriff ist jedoch auf Protokollebene auf eine logisch benachbarte Topologie beschränkt.
ATTACK_VECTOR_LOCAL Die angreifbare Komponente ist nicht an den Netzwerkstack gebunden und der Angriffspfad des Angreifers verläuft über Lese-/Schreib-/Ausführungsfunktionen.
ATTACK_VECTOR_PHYSICAL Für den Angriff muss der Angreifer die angreifbare Komponente physisch berühren oder manipulieren.

AttackComplexity

Dieser Messwert beschreibt die Bedingungen, die außerhalb der Kontrolle des Angreifers liegen und erfüllt sein müssen, damit die Sicherheitslücke ausgenutzt werden kann.

Enums
ATTACK_COMPLEXITY_UNSPECIFIED Ungültiger Wert.
ATTACK_COMPLEXITY_LOW Es gibt keine besonderen Zugriffsbedingungen oder mildernden Umstände. Ein Angreifer kann beim Angriff auf die anfällige Komponente mit wiederholbarem Erfolg rechnen.
ATTACK_COMPLEXITY_HIGH Ein erfolgreicher Angriff hängt von Bedingungen ab, die außerhalb der Kontrolle des Angreifers liegen. Das heißt, ein erfolgreicher Angriff kann nicht nach Belieben durchgeführt werden, sondern erfordert, dass der Angreifer einen messbaren Aufwand in die Vorbereitung oder Ausführung des Angriffs auf die anfällige Komponente investiert, bevor ein erfolgreicher Angriff zu erwarten ist.

PrivilegesRequired

Dieser Messwert beschreibt die Berechtigungsstufe, die ein Angreifer haben muss, um die Sicherheitslücke erfolgreich auszunutzen.

Enums
PRIVILEGES_REQUIRED_UNSPECIFIED Ungültiger Wert.
PRIVILEGES_REQUIRED_NONE Der Angreifer ist vor dem Angriff nicht autorisiert und benötigt daher keinen Zugriff auf Einstellungen oder Dateien des angreifbaren Systems, um einen Angriff auszuführen.
PRIVILEGES_REQUIRED_LOW Der Angreifer benötigt Berechtigungen, die grundlegende Nutzerfunktionen bieten, die sich normalerweise nur auf Einstellungen und Dateien auswirken können, deren Eigentümer ein Nutzer ist. Alternativ kann ein Angreifer mit niedrigen Berechtigungen nur auf nicht vertrauliche Ressourcen zugreifen.
PRIVILEGES_REQUIRED_HIGH Der Angreifer benötigt Berechtigungen, die eine erhebliche (z.B. administrative) Kontrolle über die angreifbare Komponente ermöglichen und Zugriff auf komponentenweite Einstellungen und Dateien gewähren.

UserInteraction

Dieser Messwert gibt an, ob ein menschlicher Nutzer, der nicht der Angreifer ist, an der erfolgreichen Manipulation der angreifbaren Komponente beteiligt sein muss.

Enums
USER_INTERACTION_UNSPECIFIED Ungültiger Wert.
USER_INTERACTION_NONE Das angreifbare System kann ohne Nutzerinteraktion ausgenutzt werden.
USER_INTERACTION_REQUIRED Für die erfolgreiche Ausnutzung dieser Sicherheitslücke muss ein Nutzer bestimmte Aktionen ausführen.

Umfang

Der Messwert „Umfang“ gibt an, ob sich eine Sicherheitslücke in einer angreifbaren Komponente auf Ressourcen in Komponenten außerhalb des Sicherheitsbereichs auswirkt.

Enums
SCOPE_UNSPECIFIED Ungültiger Wert.
SCOPE_UNCHANGED Eine ausgenutzte Sicherheitslücke kann nur Ressourcen betreffen, die von derselben Sicherheitsbehörde verwaltet werden.
SCOPE_CHANGED Eine ausgenutzte Sicherheitslücke kann sich auf Ressourcen außerhalb des Sicherheitsbereichs auswirken, der von der Sicherheitsautorität der anfälligen Komponente verwaltet wird.

Auswirkungen

Die Auswirkungen einer erfolgreich ausgenutzten Sicherheitslücke auf die Komponente mit dem schlimmsten Ergebnis, das am direktesten und am vorhersehbarsten mit dem Angriff in Verbindung steht, werden in den Messwerten für die Auswirkungen erfasst.

Enums
IMPACT_UNSPECIFIED Ungültiger Wert.
IMPACT_HIGH Hohe Auswirkungen.
IMPACT_LOW Geringe Auswirkungen.
IMPACT_NONE Keine Auswirkungen.

RiskRating

Die möglichen Auswirkungen der Sicherheitslücke, falls sie ausgenutzt werden sollte.

Enums
RISK_RATING_UNSPECIFIED Ungültiger oder leerer Wert.
LOW Eine Ausnutzung hätte nur geringe bis gar keine Auswirkungen auf die Sicherheit.
MEDIUM Durch die Ausnutzung könnten Angreifer Aktivitäten ausführen oder eine direkte Auswirkung haben, aber es sind zusätzliche Schritte erforderlich.
HIGH Bei einer Ausnutzung könnten Angreifer erhebliche direkte Auswirkungen erzielen, ohne größere Risikominderungsfaktoren überwinden zu müssen.
CRITICAL Eine Ausnutzung würde die Sicherheit der betroffenen Systeme grundlegend untergraben und es Angreifern ermöglichen, mit minimalem Aufwand erhebliche Angriffe durchzuführen, bei denen es nur wenige oder gar keine mildernden Faktoren zu überwinden gibt.

ExploitationActivity

Die möglichen Werte für die derzeit beobachteten Ausnutzungsaktivitäten der Sicherheitslücke.

Enums
EXPLOITATION_ACTIVITY_UNSPECIFIED Ungültiger oder leerer Wert.
WIDE Die Ausnutzung wurde gemeldet oder es wurde bestätigt, dass sie weit verbreitet ist.
CONFIRMED Es gibt nur wenige gemeldete oder bestätigte Ausnutzungsaktivitäten.
AVAILABLE Der Exploit ist öffentlich verfügbar.
ANTICIPATED Es sind keine Ausnutzungsaktivitäten bekannt, aber es besteht ein hohes Ausnutzungspotenzial.
NO_KNOWN Keine bekannten Ausnutzungsaktivitäten.

Paket

Paket ist eine generische Definition eines Pakets.

JSON-Darstellung 
{
  "packageName": string,
  "cpeUri": string,
  "packageType": string,
  "packageVersion": string
}
Felder
packageName

string

Der Name des Pakets, in dem die Sicherheitslücke erkannt wurde.
cpeUri

string

Die CPE-URI, unter der die Sicherheitslücke erkannt wurde.
packageType

string

Pakettyp, z. B. „os“, „maven“ oder „go“.
packageVersion

string

Die Version des Pakets.

SecurityBulletin

Sicherheitsbulletins sind Benachrichtigungen zu Sicherheitslücken in Google-Produkten.

JSON-Darstellung 
{
  "bulletinId": string,
  "submissionTime": string,
  "suggestedUpgradeVersion": string
}
Felder
bulletinId

string

Die ID des Bulletins, das der Sicherheitslücke entspricht.
submissionTime

string (Timestamp format)

Datum und Uhrzeit der Einreichung dieses Sicherheitsbulletins.

Es wird RFC 3339 verwendet, wobei die generierte Ausgabe immer Z-normalisiert ist und 0, 3, 6 oder 9 Glieder mit Dezimalstellen enthält. Andere Achsenbezeichnungen als „Z“ sind ebenfalls zulässig. Beispiele: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" oder "2014-10-02T15:01:23+05:30".
suggestedUpgradeVersion

string

Dies ist die Version, auf die der Cluster, der diese Benachrichtigung erhält, basierend auf seiner aktuellen Version aktualisiert werden sollte. Beispiel: 1.15.0

ExternalSystem

Darstellung von SIEM-/SOAR-Feldern von Drittanbietern im SCC.

JSON-Darstellung 
{
  "name": string,
  "assignees": [
    string
  ],
  "externalUid": string,
  "status": string,
  "externalSystemUpdateTime": string,
  "caseUri": string,
  "casePriority": string,
  "caseSla": string,
  "caseCreateTime": string,
  "caseCloseTime": string,
  "ticketInfo": {
    object (TicketInfo)
  }
}
Felder
name

string

Vollständiger Ressourcenname des externen Systems, z. B. „organizations/1234/sources/5678/findings/123456/externalSystems/jira“, „folders/1234/sources/5678/findings/123456/externalSystems/jira“ oder „projects/1234/sources/5678/findings/123456/externalSystems/jira“
assignees[]

string

Verweise auf primäre/sekundäre usw. Bearbeiter im externen System.
externalUid

string

Die Kennung, mit der der Fall der Feststellung im externen System verfolgt wird.
status

string

Der aktuelle Status des entsprechenden Falls der Feststellung, wie vom externen System gemeldet.
externalSystemUpdateTime

string (Timestamp format)

Die Uhrzeit, zu der der Fall laut externem System zuletzt aktualisiert wurde.

Es wird RFC 3339 verwendet, wobei die generierte Ausgabe immer Z-normalisiert ist und 0, 3, 6 oder 9 Glieder mit Dezimalstellen enthält. Andere Achsenbezeichnungen als „Z“ sind ebenfalls zulässig. Beispiele: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" oder "2014-10-02T15:01:23+05:30".
caseUri

string

Der Link zum entsprechenden Fall des Ergebnisses im externen System.
casePriority

string

Die Priorität der Anfrage, die dem Ergebnis im externen System zugeordnet ist.
caseSla

string (Timestamp format)

Das SLA des entsprechenden Falls der Feststellung im externen System.

Es wird RFC 3339 verwendet, wobei die generierte Ausgabe immer Z-normalisiert ist und 0, 3, 6 oder 9 Glieder mit Dezimalstellen enthält. Andere Achsenbezeichnungen als „Z“ sind ebenfalls zulässig. Beispiele: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" oder "2014-10-02T15:01:23+05:30".
caseCreateTime

string (Timestamp format)

Die Uhrzeit, zu der der Fall erstellt wurde, wie vom externen System angegeben.

Es wird RFC 3339 verwendet, wobei die generierte Ausgabe immer Z-normalisiert ist und 0, 3, 6 oder 9 Glieder mit Dezimalstellen enthält. Andere Achsenbezeichnungen als „Z“ sind ebenfalls zulässig. Beispiele: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" oder "2014-10-02T15:01:23+05:30".
caseCloseTime

string (Timestamp format)

Die Uhrzeit, zu der der Fall gemäß dem externen System geschlossen wurde.

Es wird RFC 3339 verwendet, wobei die generierte Ausgabe immer Z-normalisiert ist und 0, 3, 6 oder 9 Glieder mit Dezimalstellen enthält. Andere Achsenbezeichnungen als „Z“ sind ebenfalls zulässig. Beispiele: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" oder "2014-10-02T15:01:23+05:30".
ticketInfo

object (TicketInfo)

Informationen zum Ticket, falls vorhanden, mit dem die Behebung des durch diese Feststellung identifizierten Problems verfolgt wird.

TicketInfo

Informationen zum Ticket, falls vorhanden, mit dem die Behebung des durch diese Feststellung identifizierten Problems verfolgt wird.

JSON-Darstellung 
{
  "id": string,
  "assignee": string,
  "description": string,
  "uri": string,
  "status": string,
  "updateTime": string
}
Felder
id

string

Die Kennung des Tickets im Ticketsystem.
assignee

string

Die Person, die im Ticketsystem als zuständige Person für das Ticket festgelegt ist.
description

string

Die Beschreibung des Tickets im Ticketsystem.
uri

string

Der Link zum Ticket im Ticketsystem.
status

string

Der aktuelle Status des Tickets, wie vom Ticketsystem gemeldet.
updateTime

string (Timestamp format)

Die Uhrzeit, zu der das Ticket laut Ticketsystem zuletzt aktualisiert wurde.

Es wird RFC 3339 verwendet, wobei die generierte Ausgabe immer Z-normalisiert ist und 0, 3, 6 oder 9 Glieder mit Dezimalstellen enthält. Andere Achsenbezeichnungen als „Z“ sind ebenfalls zulässig. Beispiele: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" oder "2014-10-02T15:01:23+05:30".

MitreAttack

MITRE ATT&CK-Taktiken und ‑Techniken, die sich auf diese Feststellung beziehen. Siehe: https://attack.mitre.org

JSON-Darstellung 
{
  "primaryTactic": enum (Tactic),
  "primaryTechniques": [
    enum (Technique)
  ],
  "additionalTactics": [
    enum (Tactic)
  ],
  "additionalTechniques": [
    enum (Technique)
  ],
  "version": string
}
Felder
primaryTactic

enum (Tactic)

Die MITRE ATT&CK-Taktik, die diesem Ergebnis am ehesten entspricht, sofern zutreffend.
primaryTechniques[]

enum (Technique)

Die MITRE ATT&CK-Technik, die diesem Ergebnis am ehesten entspricht, falls zutreffend. „primaryTechniques“ ist ein wiederholtes Feld, da es mehrere Ebenen von MITRE ATT&CK-Techniken gibt. Wenn die Technik, die durch diesen Befund am besten dargestellt wird, eine untergeordnete Technik ist (z.B. SCANNING_IP_BLOCKS), werden sowohl die untergeordnete Technik als auch die übergeordneten Techniken aufgeführt (z.B. SCANNING_IP_BLOCKS, ACTIVE_SCANNING).
additionalTactics[]

enum (Tactic)

Zusätzliche MITRE ATT&CK-Taktiken, die sich auf diese Erkenntnis beziehen, falls zutreffend.
additionalTechniques[]

enum (Technique)

Zusätzliche MITRE ATT&CK-Techniken, die sich auf diese Erkenntnis beziehen, falls zutreffend, sowie alle zugehörigen übergeordneten Techniken.
version

string

Die MITRE ATT&CK-Version, auf die in den obigen Feldern verwiesen wird. Beispiel: „8“.

Taktik

MITRE ATT&CK-Taktiken, auf die in SCC-Ergebnissen verwiesen werden kann. Weitere Informationen finden Sie unter https://attack.mitre.org/tactics/enterprise/.

Enums
TACTIC_UNSPECIFIED Nicht angegebener Wert.
RECONNAISSANCE TA0043
RESOURCE_DEVELOPMENT TA0042
INITIAL_ACCESS TA0001
EXECUTION TA0002
PERSISTENCE TA0003
PRIVILEGE_ESCALATION TA0004
DEFENSE_EVASION TA0005
CREDENTIAL_ACCESS TA0006
DISCOVERY TA0007
LATERAL_MOVEMENT TA0008
COLLECTION TA0009
COMMAND_AND_CONTROL TA0011
EXFILTRATION TA0010
IMPACT TA0040

Technik

MITRE ATT&CK-Techniken, auf die SCC-Ergebnisse verweisen können. Weitere Informationen finden Sie unter https://attack.mitre.org/techniques/enterprise/.

Enums
TECHNIQUE_UNSPECIFIED Nicht angegebener Wert.
AUTOMATED_EXFILTRATION T1020
MASQUERADING T1036
MATCH_LEGITIMATE_NAME_OR_LOCATION T1036.005
BOOT_OR_LOGON_INITIALIZATION_SCRIPTS T1037
STARTUP_ITEMS T1037.005
NETWORK_SERVICE_DISCOVERY T1046
PROCESS_DISCOVERY T1057
COMMAND_AND_SCRIPTING_INTERPRETER T1059
UNIX_SHELL T1059.004
PYTHON T1059.006
EXPLOITATION_FOR_PRIVILEGE_ESCALATION T1068
PERMISSION_GROUPS_DISCOVERY T1069
CLOUD_GROUPS T1069.003
INDICATOR_REMOVAL_FILE_DELETION T1070.004
APPLICATION_LAYER_PROTOCOL T1071
DNS T1071.004
SOFTWARE_DEPLOYMENT_TOOLS T1072
VALID_ACCOUNTS T1078
DEFAULT_ACCOUNTS T1078.001
LOCAL_ACCOUNTS T1078.003
CLOUD_ACCOUNTS T1078.004
PROXY T1090
EXTERNAL_PROXY T1090.002
MULTI_HOP_PROXY T1090.003
ACCOUNT_MANIPULATION T1098
ADDITIONAL_CLOUD_CREDENTIALS T1098.001
ADDITIONAL_CLOUD_ROLES T1098.003
SSH_AUTHORIZED_KEYS T1098.004
ADDITIONAL_CONTAINER_CLUSTER_ROLES T1098.006
INGRESS_TOOL_TRANSFER T1105
NATIVE_API T1106
BRUTE_FORCE T1110
SHARED_MODULES T1129
ACCESS_TOKEN_MANIPULATION T1134
TOKEN_IMPERSONATION_OR_THEFT T1134.001
EXPLOIT_PUBLIC_FACING_APPLICATION T1190
USER_EXECUTION T1204
DOMAIN_POLICY_MODIFICATION T1484
DATA_DESTRUCTION T1485
SERVICE_STOP T1489
INHIBIT_SYSTEM_RECOVERY T1490
RESOURCE_HIJACKING T1496
NETWORK_DENIAL_OF_SERVICE T1498
CLOUD_SERVICE_DISCOVERY T1526
STEAL_APPLICATION_ACCESS_TOKEN T1528
ACCOUNT_ACCESS_REMOVAL T1531
CREATE_OR_MODIFY_SYSTEM_PROCESS T1543
EVENT_TRIGGERED_EXECUTION T1546
ABUSE_ELEVATION_CONTROL_MECHANISM T1548
UNSECURED_CREDENTIALS T1552
MODIFY_AUTHENTICATION_PROCESS T1556
IMPAIR_DEFENSES T1562
DISABLE_OR_MODIFY_TOOLS T1562.001
EXFILTRATION_OVER_WEB_SERVICE T1567
EXFILTRATION_TO_CLOUD_STORAGE T1567.002
DYNAMIC_RESOLUTION T1568
LATERAL_TOOL_TRANSFER T1570
MODIFY_CLOUD_COMPUTE_INFRASTRUCTURE T1578
CREATE_SNAPSHOT T1578.001
CLOUD_INFRASTRUCTURE_DISCOVERY T1580
OBTAIN_CAPABILITIES T1588
ACTIVE_SCANNING T1595
SCANNING_IP_BLOCKS T1595.001
CONTAINER_ADMINISTRATION_COMMAND T1609
DEPLOY_CONTAINER T1610
ESCAPE_TO_HOST T1611
CONTAINER_AND_RESOURCE_DISCOVERY T1613
STEAL_OR_FORGE_AUTHENTICATION_CERTIFICATES T1649

Zugriff

Stellt ein Zugriffsereignis dar.

JSON-Darstellung 
{
  "principalEmail": string,
  "callerIp": string,
  "callerIpGeo": {
    object (Geolocation)
  },
  "userAgentFamily": string,
  "userAgent": string,
  "serviceName": string,
  "methodName": string,
  "principalSubject": string,
  "serviceAccountKeyName": string,
  "serviceAccountDelegationInfo": [
    {
      object (ServiceAccountDelegationInfo)
    }
  ],
  "userName": string
}
Felder
principalEmail

string

Die zugehörige E-Mail-Adresse, z. B. „foo@google.com“.

Die E-Mail-Adresse des authentifizierten Nutzers oder eines Dienstkontos, das im Namen eines Drittanbieters, der die Anfrage stellt, handelt. Bei Identitätsaufrufen von Drittanbietern wird anstelle dieses Felds das Feld principalSubject ausgefüllt. Aus Datenschutzgründen wird die Haupt-E-Mail-Adresse manchmal entfernt. Weitere Informationen finden Sie unter Aufruferidentitäten in Audit-Logs.
callerIp

string

IP-Adresse des Anrufers, z. B. „1.1.1.1“.
callerIpGeo

object (Geolocation)

Die Geolokalisierung der IP-Adresse des Anrufers, die angibt, woher der Anruf stammt.
userAgentFamily

string

Der User-Agent-Typ, der mit der Feststellung verknüpft ist. Beispiel: eine Betriebssystem-Shell oder eine eingebettete oder eigenständige Anwendung.
userAgent

string

Der User-Agent-String des Anrufers, der mit dem Ergebnis verknüpft ist.
serviceName

string

Dies ist der API-Dienst, auf den das Dienstkonto einen Aufruf gesendet hat, z. B. „iam.googleapis.com“.
methodName

string

Die Methode, die vom Dienstkonto aufgerufen wurde, z.B. „SetIamPolicy“.
principalSubject

string

Ein String, der das Hauptsubjekt darstellt, das mit der Identität verknüpft ist. Im Gegensatz zu principalEmail unterstützt principalSubject Principals, die nicht mit E-Mail-Adressen verknüpft sind, z. B. Principals von Drittanbietern. Bei den meisten Identitäten ist das Format principal://iam.googleapis.com/{identity pool name}/subject/{subject}. Für einige GKE-Identitäten wie GKE_WORKLOAD, FREEFORM und GKE_HUB_WORKLOAD wird weiterhin das alte Format serviceAccount:{identity pool name}[{subject}] verwendet.
serviceAccountKeyName

string

Der Name des Dienstkontoschlüssels, der zum Erstellen oder Austauschen von Anmeldedaten bei der Authentifizierung des Dienstkontos verwendet wurde, das die Anfrage gestellt hat. Dies ist ein vollständiger Ressourcenname ohne Schema. Beispiel:

„//iam.googleapis.com/projects/{PROJECT_ID}/serviceAccounts/{ACCOUNT}/keys/{key}“.
serviceAccountDelegationInfo[]

object (ServiceAccountDelegationInfo)

Der Identitätsdelegierungsverlauf eines authentifizierten Dienstkontos, das die Anfrage gestellt hat. Das serviceAccountDelegationInfo[]-Objekt enthält Informationen zu den tatsächlichen Autoritäten, die versuchen, über die Delegierung an ein Dienstkonto auf Google Cloud-Ressourcen zuzugreifen. Wenn mehrere Autoritäten vorhanden sind, werden sie garantiert gemäß der ursprünglichen Reihenfolge der Identitätsdelegierungsereignisse sortiert.
userName

string

Ein String, der einen Nutzernamen darstellt. Der angegebene Nutzername hängt vom Typ des Ergebnisses ab und ist wahrscheinlich kein IAM-Hauptkonto. Dies kann beispielsweise ein Systemnutzername sein, wenn sich der Hinweis auf eine virtuelle Maschine bezieht, oder ein Anmeldename für eine Anwendung.

Standortbestimmung

Stellt einen geografischen Standort für einen bestimmten Zugriff dar.

JSON-Darstellung 
{
  "regionCode": string
}
Felder
regionCode

string

CLDR

ServiceAccountDelegationInfo

Identitätsdelegierungsverlauf eines authentifizierten Dienstkontos.

JSON-Darstellung 
{
  "principalEmail": string,
  "principalSubject": string
}
Felder
principalEmail

string

Die E-Mail-Adresse eines Google-Kontos.
principalSubject

string

Ein String, der den mit der Identität verknüpften principalSubject darstellt. Im Vergleich zu principalEmail werden hier auch Hauptberechtigte unterstützt, die nicht mit E-Mail-Adressen verknüpft sind, z. B. Hauptberechtigte von Drittanbietern. Für die meisten Identitäten ist das Format principal://iam.googleapis.com/{identity pool name}/subjects/{subject}, mit Ausnahme einiger GKE-Identitäten (GKE_WORKLOAD, FREEFORM, GKE_HUB_WORKLOAD), die noch im alten Format serviceAccount:{identity pool name}[{subject}] vorliegen.

Verbindung

Enthält Informationen zur IP-Verbindung, die mit dem Ergebnis verknüpft ist.

JSON-Darstellung 
{
  "destinationIp": string,
  "destinationPort": integer,
  "sourceIp": string,
  "sourcePort": integer,
  "protocol": enum (Protocol)
}
Felder
destinationIp

string

IP-Adresse des Ziels. Nicht vorhanden für Sockets, die warten und nicht verbunden sind.
destinationPort

integer

Zielport. Nicht vorhanden für Sockets, die warten und nicht verbunden sind.
sourceIp

string

IP-Adresse der Quelle.
sourcePort

integer

Quellport.
protocol

enum (Protocol)

IANA-Internetprotokollnummer wie TCP(6) und UDP(17).

Protokoll

IANA-Internetprotokollnummer wie TCP(6) und UDP(17).

Enums
PROTOCOL_UNSPECIFIED Nicht angegebenes Protokoll (nicht HOPOPT).
ICMP Internet Control Message Protocol.
TCP Transmission Control Protocol.
UDP User Datagram Protocol.
GRE Generic Routing Encapsulation.
ESP Encap Security Payload.

MuteInfo

Informationen zum Ergebnis ausblenden, einschließlich der Information, ob für das Ergebnis eine statische Ausblendungsregel oder eine übereinstimmende dynamische Ausblendungsregel gilt

JSON-Darstellung 
{
  "staticMute": {
    object (StaticMute)
  },
  "dynamicMuteRecords": [
    {
      object (DynamicMuteRecord)
    }
  ]
}
Felder
staticMute

object (StaticMute)

Wenn diese Option festgelegt ist, wird die statische Ausblendung auf dieses Ergebnis angewendet. Statische Ausblendungen überschreiben dynamische Ausblendungen. Wenn sie nicht festgelegt ist, wird die Funktion „Stummschalten“ nicht verwendet.
dynamicMuteRecords[]

object (DynamicMuteRecord)

Die Liste der dynamischen Ausblendungsregeln, die derzeit mit dem Ergebnis übereinstimmen.

StaticMute

Informationen zum Status der statischen Ausblendung. Ein statischer Ausblendungsstatus überschreibt alle dynamischen Ausblendungsregeln, die auf dieses Ergebnis zutreffen. Der statische Ausblendungsstatus kann durch eine statische Ausblendungsregel oder durch direktes Ausblenden des Ergebnisses festgelegt werden.

JSON-Darstellung 
{
  "state": enum (Mute),
  "applyTime": string
}
Felder
state

enum (Mute)

Der statische Ausblendungsstatus. Wenn der Wert MUTED oder UNMUTED ist, hat der Gesamtstummschaltungsstatus des Ergebnisses denselben Wert.
applyTime

string (Timestamp format)

Wann die statische Stummschaltung angewendet wurde.

Es wird RFC 3339 verwendet, wobei die generierte Ausgabe immer Z-normalisiert ist und 0, 3, 6 oder 9 Glieder mit Dezimalstellen enthält. Andere Achsenbezeichnungen als „Z“ sind ebenfalls zulässig. Beispiele: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" oder "2014-10-02T15:01:23+05:30".

DynamicMuteRecord

Der Eintrag einer dynamischen Ausblendungsregel, die mit dem Ergebnis übereinstimmt.

JSON-Darstellung 
{
  "muteConfig": string,
  "matchTime": string
}
Felder
muteConfig

string

Der relative Ressourcenname der Stummschaltungsregel, die durch eine Stummschaltungskonfiguration erstellt wurde, z. B. organizations/123/muteConfigs/mymuteconfig oder organizations/123/locations/global/muteConfigs/mymuteconfig.
matchTime

string (Timestamp format)

Der Zeitpunkt, zu dem die dynamische Ausblendungsregel zum ersten Mal mit dem Ergebnis übereinstimmte.

Es wird RFC 3339 verwendet, wobei die generierte Ausgabe immer Z-normalisiert ist und 0, 3, 6 oder 9 Glieder mit Dezimalstellen enthält. Andere Achsenbezeichnungen als „Z“ sind ebenfalls zulässig. Beispiele: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" oder "2014-10-02T15:01:23+05:30".

Prozess

Stellt einen Betriebssystemprozess dar.

JSON-Darstellung 
{
  "name": string,
  "binary": {
    object (File)
  },
  "libraries": [
    {
      object (File)
    }
  ],
  "script": {
    object (File)
  },
  "args": [
    string
  ],
  "argumentsTruncated": boolean,
  "envVariables": [
    {
      object (EnvironmentVariable)
    }
  ],
  "envVariablesTruncated": boolean,
  "pid": string,
  "parentPid": string
}
Felder
name

string

Der Prozessname, wie er in Dienstprogrammen wie top und ps angezeigt wird. Auf diesen Namen kann über /proc/[pid]/comm zugegriffen und er mit prctl(PR_SET_NAME) geändert werden.
binary

object (File)

Dateiinformationen für die ausführbare Datei des Prozesses.
libraries[]

object (File)

Dateiinformationen für vom Prozess geladene Bibliotheken.
script

object (File)

Wenn der Prozess den Aufruf eines Scripts darstellt, enthält binary Informationen zum Interpreter, während script Informationen zur Scriptdatei enthält, die dem Interpreter bereitgestellt wird.
args[]

string

Argumente als JSON-codierte Strings verarbeiten.
argumentsTruncated

boolean

„Wahr“, wenn args unvollständig ist.
envVariables[]

object (EnvironmentVariable)

Umgebungsvariablen verarbeiten
envVariablesTruncated

boolean

„Wahr“, wenn envVariables unvollständig ist.
pid

string (int64 format)

Die Prozess-ID.
parentPid

string (int64 format)

Die ID des übergeordneten Prozesses.

Datei

Dateiinformationen zur zugehörigen Binärdatei/Bibliothek, die von einer ausführbaren Datei verwendet wird, oder zum Script, das von einem Script-Interpreter verwendet wird

JSON-Darstellung 
{
  "path": string,
  "size": string,
  "sha256": string,
  "hashedSize": string,
  "partiallyHashed": boolean,
  "contents": string,
  "diskPath": {
    object (DiskPath)
  }
}
Felder
path

string

Absoluter Pfad der Datei als JSON-codierter String.
size

string (int64 format)

Größe der Datei in Byte.
sha256

string

SHA256-Hash der ersten hashedSize Byte der Datei, codiert als Hexadezimalstring. Wenn hashedSize == size, stellt sha256 den SHA256-Hash der gesamten Datei dar.
hashedSize

string (int64 format)

Die Länge in Byte des gehashten Dateipräfixes. Wenn hashedSize == size, beziehen sich alle gemeldeten Hash-Werte auf die gesamte Datei.
partiallyHashed

boolean

„Wahr“, wenn der Hash nur ein Präfix der Datei abdeckt.
contents

string

Präfix des Dateiinhalts als JSON-codierter String.
diskPath

object (DiskPath)

Pfad der Datei in Bezug auf die zugrunde liegenden Laufwerk-/Partitions-IDs.

DiskPath

Pfad der Datei in Bezug auf die zugrunde liegenden Laufwerk-/Partitions-IDs.

JSON-Darstellung 
{
  "partitionUuid": string,
  "relativePath": string
}
Felder
partitionUuid

string

UUID der Partition (Format https://wiki.archlinux.org/title/persistent_block_device_naming#by-uuid)
relativePath

string

Relativer Pfad der Datei in der Partition als JSON-codierter String. Beispiel: /home/user1/executable_file.sh

EnvironmentVariable

Ein Name-Wert-Paar, das eine Umgebungsvariable darstellt, die in einem Betriebssystemprozess verwendet wird.

JSON-Darstellung 
{
  "name": string,
  "val": string
}
Felder
name

string

Name der Umgebungsvariablen als JSON-codierter String.
val

string

Wert der Umgebungsvariablen als JSON-codierter String.

ContactDetails

Details zu bestimmten Kontakten

JSON-Darstellung 
{
  "contacts": [
    {
      object (Contact)
    }
  ]
}
Felder
contacts[]

object (Contact)

Eine Liste mit Kontakten

Kontakt

Die E-Mail-Adresse eines Kontakts.

JSON-Darstellung 
{
  "email": string
}
Felder
email

string

Eine E-Mail-Adresse. Beispiel: „person123@company.com“.

Compliance

Enthält Compliance-Informationen zu einem Sicherheitsstandard, die nicht erfüllte Empfehlungen angeben.

JSON-Darstellung 
{
  "standard": string,
  "version": string,
  "ids": [
    string
  ]
}
Felder
standard

string

Branchenweite Compliance-Standards oder -Benchmarks wie CIS, PCI und OWASP
version

string

Version des Standards oder Benchmarks, z. B. 1.1
ids[]

string

Richtlinien im Standard oder Benchmark, z. B. A.12.4.1

Exfiltration

Die Datenexfiltration ist ein Versuch, Daten aus einer oder mehreren Quellen in ein oder mehrere Ziele zu exfiltrieren. Im sources-Attribut sind die Quellen der extrahierten Daten aufgeführt. Im Attribut targets sind die Ziele aufgeführt, in die die Daten kopiert wurden.

JSON-Darstellung 
{
  "sources": [
    {
      object (ExfilResource)
    }
  ],
  "targets": [
    {
      object (ExfilResource)
    }
  ],
  "totalExfiltratedBytes": string
}
Felder
sources[]

object (ExfilResource)

Bei mehreren Quellen werden die Daten als „zusammengeführt“ betrachtet. In BigQuery können beispielsweise mehrere Tabellen zusammengeführt werden. Jede Tabelle wird dann als Quelle betrachtet.
targets[]

object (ExfilResource)

Bei mehreren Zielen erhält jedes Ziel eine vollständige Kopie der zusammengeführten Quelldaten.
totalExfiltratedBytes

string (int64 format)

Gesamtzahl der exfiltrierten Byte, die für den gesamten Job verarbeitet wurden.

ExfilResource

Ressource, aus der oder in die Daten ausgeschleust wurden.

JSON-Darstellung 
{
  "name": string,
  "components": [
    string
  ]
}
Felder
name

string

Der vollständige Ressourcenname der Ressource.
components[]

string

Unterkomponenten des Assets, das ausgeschleust wurde, z. B. URIs, die bei der Ausschleusung verwendet wurden, Tabellennamen, Datenbanken und Dateinamen. Beispielsweise wurden möglicherweise mehrere Tabellen aus derselben Cloud SQL-Instanz oder mehrere Dateien aus demselben Cloud Storage-Bucket extrahiert.

IamBinding

Stellt eine bestimmte IAM-Bindung dar, die die Hinzufügung, Entfernung oder den Status einer Rolle eines Mitglieds erfasst.

JSON-Darstellung 
{
  "action": enum (Action),
  "role": string,
  "member": string
}
Felder
action

enum (Action)

Die Aktion, die für eine Bindung ausgeführt wurde.
role

string

Rolle, die „Mitgliedern“ zugewiesen ist. Beispiel: „roles/viewer“, „roles/editor“ oder „roles/owner“.
member

string

Eine einzelne Identität, die Zugriff auf eine Cloud-Plattform-Ressource anfordert, z. B. „foo@google.com“.

Aktion

Die Art der Aktion, die für eine Bindung in einer Richtlinie ausgeführt wird.

Enums
ACTION_UNSPECIFIED Nicht angegeben.
ADD Hinzufügen einer Bindung.
REMOVE Entfernen einer Bindung

Container

Container, der mit dem Ergebnis verknüpft ist.

JSON-Darstellung 
{
  "name": string,
  "uri": string,
  "imageId": string,
  "labels": [
    {
      object (Label)
    }
  ],
  "createTime": string
}
Felder
name

string

Name des Containers.
uri

string

Der URI des Container-Images, der beim Konfigurieren eines Pods oder Containers angegeben wurde. Mit diesem String kann eine Container-Image-Version mithilfe von beweglichen Tags identifiziert werden.
imageId

string

Optionale Container-Image-ID, sofern von der Containerlaufzeit bereitgestellt. Identifiziert eindeutig das Container-Image, das mit einem Container-Image-Digest gestartet wurde.
labels[]

object (Label)

Containerlabels, die von der Containerlaufzeit bereitgestellt werden.
createTime

string (Timestamp format)

Der Zeitpunkt, zu dem der Container erstellt wurde.

Es wird RFC 3339 verwendet, wobei die generierte Ausgabe immer Z-normalisiert ist und 0, 3, 6 oder 9 Glieder mit Dezimalstellen enthält. Andere Achsenbezeichnungen als „Z“ sind ebenfalls zulässig. Beispiele: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" oder "2014-10-02T15:01:23+05:30".

Label

Stellt ein generisches Name-Wert-Label dar. Ein Label hat separate Name- und Wertfelder, um das Filtern mit der Funktion contains() zu unterstützen. Weitere Informationen finden Sie unter Nach Arrayfeldern filtern.

JSON-Darstellung 
{
  "name": string,
  "value": string
}
Felder
name

string

Name des Labels.
value

string

Wert, der dem Namen des Labels entspricht.

Kubernetes

Kubernetes-bezogene Attribute.

JSON-Darstellung 
{
  "pods": [
    {
      object (Pod)
    }
  ],
  "nodes": [
    {
      object (Node)
    }
  ],
  "nodePools": [
    {
      object (NodePool)
    }
  ],
  "roles": [
    {
      object (Role)
    }
  ],
  "bindings": [
    {
      object (Binding)
    }
  ],
  "accessReviews": [
    {
      object (AccessReview)
    }
  ],
  "objects": [
    {
      object (Object)
    }
  ]
}
Felder
pods[]

object (Pod)

Mit der Feststellung verknüpfte Kubernetes-Pods Dieses Feld enthält Pod-Einträge für jeden Container, dessen Eigentümer ein Pod ist.
nodes[]

object (Node)

Bietet Informationen zu Kubernetes-Knoten.
nodePools[]

object (NodePool)

GKE-Knotenpools, die mit der Feststellung verknüpft sind. Dieses Feld enthält Informationen zum Knotenpool für jeden Knoten, sofern verfügbar.
roles[]

object (Role)

Bietet Informationen zu Kubernetes-Rollen für Ergebnisse, die Rollen oder ClusterRoles betreffen.
bindings[]

object (Binding)

Bietet Informationen zu Kubernetes-Rollenzuweisungen für Ergebnisse, die RoleBindings oder ClusterRoleBindings betreffen.
accessReviews[]

object (AccessReview)

Enthält Informationen zu allen für die Feststellung relevanten Kubernetes-Zugriffsüberprüfungen (Berechtigungsprüfungen).
objects[]

object (Object)

Kubernetes-Objekte, die sich auf den Befund beziehen.

Pod

Einen Kubernetes-Pod.

JSON-Darstellung 
{
  "ns": string,
  "name": string,
  "labels": [
    {
      object (Label)
    }
  ],
  "containers": [
    {
      object (Container)
    }
  ]
}
Felder
ns

string

Kubernetes-Pod-Namespace.
name

string

Name des Kubernetes-Pods.
labels[]

object (Label)

Pod-Labels Bei Kubernetes-Containern werden sie auf den Container angewendet.
containers[]

object (Container)

Pod-Container, die mit diesem Ergebnis verknüpft sind, falls vorhanden.

Knoten

Kubernetes-Knoten, die mit dem Ergebnis verknüpft sind.

JSON-Darstellung 
{
  "name": string
}
Felder
name

string

Vollständiger Ressourcenname der Compute Engine-VM, auf der der Clusterknoten ausgeführt wird.

Knotenpool

Bietet Informationen zu GKE-Knotenpools.

JSON-Darstellung 
{
  "name": string,
  "nodes": [
    {
      object (Node)
    }
  ]
}
Felder
name

string

Name des Kubernetes-Knotenpools.
nodes[]

object (Node)

Knoten, die mit dem Ergebnis verknüpft sind.

Rolle

Kubernetes-Rolle oder ClusterRole.

JSON-Darstellung 
{
  "kind": enum (Kind),
  "ns": string,
  "name": string
}
Felder
kind

enum (Kind)

Rollentyp.
ns

string

Rollen-Namespace.
name

string

Rollenname.

Art

Arten von Kubernetes-Rollen

Enums
KIND_UNSPECIFIED Der Rollentyp ist nicht angegeben.
ROLE Kubernetes-Rolle.
CLUSTER_ROLE Kubernetes-ClusterRole.

Bindung

Stellt ein Kubernetes-RoleBinding- oder ClusterRoleBinding-Objekt dar.

JSON-Darstellung 
{
  "ns": string,
  "name": string,
  "role": {
    object (Role)
  },
  "subjects": [
    {
      object (Subject)
    }
  ]
}
Felder
ns

string

Namespace für die Bindung.
name

string

Name für die Bindung.
role

object (Role)

Die Rolle oder ClusterRole, auf die in der Bindung verwiesen wird.
subjects[]

object (Subject)

Stellt eine oder mehrere Subjekte dar, die an die Rolle gebunden sind. Nicht immer für PATCH-Anfragen verfügbar.

Betreff

Stellt ein Kubernetes-Subjekt dar.

JSON-Darstellung 
{
  "kind": enum (AuthType),
  "ns": string,
  "name": string
}
Felder
kind

enum (AuthType)

Authentifizierungstyp für das Subjekt.
ns

string

Namespace für das Thema.
name

string

Name für das Fach.

AuthType

Authentifizierungstypen, die für das „Kind“-Feld des Subjekts verwendet werden können.

Enums
AUTH_TYPE_UNSPECIFIED Die Authentifizierung ist nicht angegeben.
USER Nutzer mit gültigem Zertifikat
SERVICEACCOUNT Von der Kubernetes API verwaltete Nutzer mit Anmeldedaten, die als Secrets gespeichert sind.
GROUP Sammlung von Nutzern.

AccessReview

Enthält Informationen zu einer Kubernetes-Zugriffsprüfung (z. B. eine, die durch einen kubectl auth can-i-Befehl zurückgegeben wurde), die zu einer Feststellung geführt hat.

JSON-Darstellung 
{
  "group": string,
  "ns": string,
  "name": string,
  "resource": string,
  "subresource": string,
  "verb": string,
  "version": string
}
Felder
group

string

Die API-Gruppe der Ressource. „*“ steht für „alle“.
ns

string

Namespace der angeforderten Aktion. Derzeit wird nicht zwischen keinem Namespace und allen Namespaces unterschieden. Beide werden durch „"" (leer) dargestellt.
name

string

Der Name der angeforderten Ressource. Ein leeres Feld bedeutet „alle“.
resource

string

Der optionale angeforderte Ressourcentyp. „*“ steht für „alle“.
subresource

string

Der optionale Unterressourcentyp.
verb

string

Ein Kubernetes-Ressourcen-API-Verb wie „get“, „list“, „watch“, „create“, „update“, „delete“ oder „proxy“. „*“ steht für „alle“.
version

string

Die API-Version der Ressource. „*“ steht für „alle“.

Object

Kubernetes-Objekt, das sich auf den Befund bezieht und durch GKNN eindeutig identifiziert wird. Wird verwendet, wenn die Objektart nicht „Pod“, „Knoten“, „NodePool“, „Bindung“ oder „AccessReview“ ist.

JSON-Darstellung 
{
  "group": string,
  "kind": string,
  "ns": string,
  "name": string,
  "containers": [
    {
      object (Container)
    }
  ]
}
Felder
group

string

Kubernetes-Objektgruppe, z. B. „policy.k8s.io/v1“.
kind

string

Kubernetes-Objekttyp, z. B. „Namespace“.
ns

string

Namespace des Kubernetes-Objekts. Muss ein gültiges DNS-Label sein. Benannt nach „ns“, um Konflikte mit dem C++-Namespace-Keyword zu vermeiden. Weitere Informationen finden Sie unter https://kubernetes.io/docs/tasks/administer-cluster/namespaces/.
name

string

Name des Kubernetes-Objekts. Weitere Informationen finden Sie unter https://kubernetes.io/docs/concepts/overview/working-with-objects/names/.
containers[]

object (Container)

Pod-Container, die mit diesem Ergebnis verknüpft sind, falls vorhanden.

Datenbank

Stellt Informationen zum Datenbankzugriff dar, z. B. Abfragen. Eine Datenbank kann eine untergeordnete Ressource einer Instanz sein (wie bei Cloud SQL- oder Cloud Spanner-Instanzen) oder die Datenbankinstanz selbst. Bei einigen Datenbankressourcen ist der vollständige Ressourcenname möglicherweise nicht ausgefüllt, da diese Ressourcentypen, z. B. Cloud SQL-Datenbanken, von Cloud Asset Inventory noch nicht unterstützt werden. In diesen Fällen wird nur der Anzeigename angegeben.

JSON-Darstellung 
{
  "name": string,
  "displayName": string,
  "userName": string,
  "query": string,
  "grantees": [
    string
  ],
  "version": string
}
Felder
name

string

Bei einigen Datenbankressourcen ist der vollständige Ressourcenname möglicherweise nicht ausgefüllt, da diese Ressourcentypen von Cloud Asset Inventory noch nicht unterstützt werden (z.B. Cloud SQL-Datenbanken). In diesen Fällen wird nur der Anzeigename angegeben. Der vollständige Ressourcenname der Datenbank, mit der der Nutzer verbunden ist, sofern dies von Cloud Asset Inventory unterstützt wird.
displayName

string

Der visuell lesbare Name der Datenbank, mit der der Nutzer verbunden ist.
userName

string

Der Nutzername für die Verbindung mit der Datenbank. Der Nutzername ist möglicherweise kein IAM-Hauptkonto und hat kein festgelegtes Format.
query

string

Die SQL-Anweisung, die mit dem Datenbankzugriff verknüpft ist.
grantees[]

string

Die Zielnutzernamen, -rollen oder -gruppen einer SQL-Berechtigungszuweisung. Dies ist keine Änderung der IAM-Richtlinie.
version

string

Die Version der Datenbank, z. B. POSTGRES_14. Vollständige Liste

AttackExposure

Eine Angriffsrisikobewertung enthält die Ergebnisse einer ausgeführten Simulation des Angriffspfads.

JSON-Darstellung 
{
  "score": number,
  "latestCalculationTime": string,
  "attackExposureResult": string,
  "state": enum (State),
  "exposedHighValueResourcesCount": integer,
  "exposedMediumValueResourcesCount": integer,
  "exposedLowValueResourcesCount": integer
}
Felder
score

number

Eine Zahl zwischen 0 (einschließlich) und unendlich, die angibt, wie wichtig es ist, diese Abweichung zu beheben. Je höher der Wert, desto wichtiger ist es, Abhilfe zu schaffen.
latestCalculationTime

string (Timestamp format)

Das letzte Mal, als die Angriffsgefahr für diese Feststellung aktualisiert wurde.

Es wird RFC 3339 verwendet, wobei die generierte Ausgabe immer Z-normalisiert ist und 0, 3, 6 oder 9 Glieder mit Dezimalstellen enthält. Andere Achsenbezeichnungen als „Z“ sind ebenfalls zulässig. Beispiele: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" oder "2014-10-02T15:01:23+05:30".
attackExposureResult

string

Der Ressourcenname des Ergebnisses der Angriffspfadsimulation, der die Details zu dieser Angriffsrisikobewertung enthält. Beispiel: organizations/123/simulations/456/attackExposureResults/789
state

enum (State)

Der Status dieser Angriffsbedrohung. Hier wird erfasst, ob eine Angriffsgefahr berechnet wurde oder nicht.
exposedHighValueResourcesCount

integer

Die Anzahl der wertvollen Ressourcen, die aufgrund dieses Ergebnisses gefährdet sind.
exposedMediumValueResourcesCount

integer

Die Anzahl der mittelwertigen Ressourcen, die aufgrund dieses Ergebnisses gefährdet sind.
exposedLowValueResourcesCount

integer

Die Anzahl der wertvollen Ressourcen, die aufgrund dieses Ergebnisses gefährdet sind.

Bundesland

Dieser Enum definiert die verschiedenen Status, in denen sich eine „AttackExposure“ befinden kann.

Enums
STATE_UNSPECIFIED Der Status ist nicht angegeben.
CALCULATED Das Angriffsrisiko wurde berechnet.
NOT_CALCULATED Die Angriffsbewertung wurde nicht berechnet.

CloudDlpInspection

Details zum Cloud Data Loss Prevention-Inspektionsjob, aufgrund dessen die Abweichung festgestellt wurde.

JSON-Darstellung 
{
  "inspectJob": string,
  "infoType": string,
  "infoTypeCount": string,
  "fullScan": boolean
}
Felder
inspectJob

string

Name des Prüfauftrags, z. B. projects/123/locations/europe/dlpJobs/i-8383929.
infoType

string

Der gefundene Informationstyp (oder infoType), z. B. EMAIL_ADDRESS oder STREET_ADDRESS.
infoTypeCount

string (int64 format)

Die Häufigkeit, mit der Cloud DLP diesen infoType in diesem Job und dieser Ressource gefunden hat.
fullScan

boolean

Gibt an, ob Cloud DLP die gesamte Ressource oder eine Stichprobenmenge gescannt hat.

CloudDlpDataProfile

Das Datenprofil, das mit dem Ergebnis verknüpft ist.

JSON-Darstellung 
{
  "dataProfile": string,
  "parentType": enum (ParentType)
}
Felder
dataProfile

string

Name des Datenprofils, z. B. projects/123/locations/europe/tableProfiles/8383929.
parentType

enum (ParentType)

Die Ebene der Ressourcenhierarchie, auf der das Datenprofil generiert wurde.

ParentType

Übergeordnete Elemente für Konfigurationen, die Datenprofilergebnisse liefern.

Enums
PARENT_TYPE_UNSPECIFIED Nicht angegebener übergeordneter Typ.
ORGANIZATION Konfigurationen auf Organisationsebene
PROJECT Konfigurationen auf Projektebene

KernelRootkit

Rootkit-Signaturen im Kernelmodus

JSON-Darstellung 
{
  "name": string,
  "unexpectedCodeModification": boolean,
  "unexpectedReadOnlyDataModification": boolean,
  "unexpectedFtraceHandler": boolean,
  "unexpectedKprobeHandler": boolean,
  "unexpectedKernelCodePages": boolean,
  "unexpectedSystemCallHandler": boolean,
  "unexpectedInterruptHandler": boolean,
  "unexpectedProcessesInRunqueue": boolean
}
Felder
name

string

Name des Rootkits, sofern verfügbar.
unexpectedCodeModification

boolean

„Wahr“, wenn unerwartete Änderungen am Kernel-Codespeicher vorhanden sind.
unexpectedReadOnlyDataModification

boolean

„True“, wenn unerwartete Änderungen am schreibgeschützten Kernel-Datenspeicher vorhanden sind.
unexpectedFtraceHandler

boolean

„Wahr“, wenn ftrace Punkte mit Callbacks vorhanden sind, die auf Regionen verweisen, die nicht im erwarteten Kernel- oder Modulcodebereich liegen.
unexpectedKprobeHandler

boolean

„Wahr“, wenn kprobe Punkte mit Callbacks vorhanden sind, die auf Regionen verweisen, die nicht im erwarteten Kernel- oder Modulcodebereich liegen.
unexpectedKernelCodePages

boolean

„Wahr“, wenn Kernel-Codeseiten vorhanden sind, die sich nicht in den erwarteten Kernel- oder Modulcoderegionen befinden.
unexpectedSystemCallHandler

boolean

„Wahr“, wenn Systemaufruf-Handler vorhanden sind, die sich nicht in den erwarteten Kernel- oder Modulcodebereichen befinden.
unexpectedInterruptHandler

boolean

„Wahr“, wenn Interrupt-Handler vorhanden sind, die sich nicht in den erwarteten Kernel- oder Modulcodebereichen befinden.
unexpectedProcessesInRunqueue

boolean

„Wahr“, wenn unerwartete Prozesse in der Ausführungswarteschlange des Schedulers vorhanden sind. Diese Prozesse befinden sich in der Ausführqueue, aber nicht in der Prozessaufgabenliste.

OrgPolicy

Enthält Informationen zu den mit dem Ergebnis verknüpften Richtlinien der Organisation.

JSON-Darstellung 
{
  "name": string
}
Felder
name

string

Der Ressourcenname der Organisationsrichtlinie. Beispiel: „organizations/{organization_id}/policies/{constraint_name}“

Job

Beschreibt einen Job

JSON-Darstellung 
{
  "name": string,
  "state": enum (JobState),
  "errorCode": integer,
  "location": string
}
Felder
name

string

Der vollständig qualifizierte Name eines Jobs, z. B. projects/<projectId>/jobs/<job_id>
state

enum (JobState)

Nur Ausgabe. Status des Jobs, z. B. RUNNING oder PENDING.
errorCode

integer

Optional. Wenn der Job nicht erfolgreich abgeschlossen wurde, wird in diesem Feld der Grund dafür angegeben.
location

string

Optional. Der Speicherort, an dem der Job ausgeführt wurde, z. B. US oder europe-west1

JobState

„JobState“ gibt den Status des Jobs an.

Enums
JOB_STATE_UNSPECIFIED „Nicht angegeben“ steht für einen unbekannten Status und sollte nicht verwendet werden.
PENDING Job ist geplant und wartet auf die Ausführung
RUNNING Laufender Job
SUCCEEDED Job erfolgreich abgeschlossen
FAILED Job wurde abgeschlossen, aber mit Fehler

Anwendung

Stellt eine Anwendung dar, die mit einer Feststellung verknüpft ist.

JSON-Darstellung 
{
  "baseUri": string,
  "fullUri": string
}
Felder
baseUri

string

Der Basis-URI, der den Netzwerkstandort der Anwendung angibt, in der die Sicherheitslücke erkannt wurde. Beispiel: http://example.com.
fullUri

string

Der vollständige URI mit Nutzlast, mit dem die Sicherheitslücke reproduziert werden kann. Beispiel: http://example.com?p=aMmYgI6H.

IpRules

IP-Regeln, die mit dem Ergebnis verknüpft sind.

JSON-Darstellung 
{
  "direction": enum (Direction),
  "sourceIpRanges": [
    string
  ],
  "destinationIpRanges": [
    string
  ],
  "exposedServices": [
    string
  ],

  // Union field rules can be only one of the following:
  "allowed": {
    object (Allowed)
  },
  "denied": {
    object (Denied)
  }
  // End of list of possible types for union field rules.
}
Felder
direction

enum (Direction)

Die Richtung, für die die Regel gilt, entweder „ingress“ oder „egress“.
sourceIpRanges[]

string

Wenn Quell-IP-Bereiche angegeben sind, gilt die Firewallregel nur für Traffic mit einer Quell-IP-Adresse in diesen Bereichen. Diese Bereiche müssen im CIDR-Format angegeben werden. Unterstützt nur IPv4.
destinationIpRanges[]

string

Wenn Ziel-IP-Bereiche angegeben sind, gilt die Firewallregel nur für Traffic mit einer Ziel-IP-Adresse in diesen Bereichen. Diese Bereiche müssen im CIDR-Format angegeben werden. Unterstützt nur IPv4.
exposedServices[]

string

Name des Netzwerkprotokolldienstes, z. B. FTP, der über den offenen Port bereitgestellt wird. Sie folgt der Namenskonvention unter https://www.iana.org/assignments/service-names-port-numbers/service-names-port-numbers.xhtml.
Union-Feld rules. Die Liste der von dieser Firewall angegebenen Zulassungsregeln. Jede Regel gibt ein Protokoll und einen Portbereich an, die eine zulässige Verbindung beschreiben. Für rules ist nur einer der folgenden Werte zulässig:
allowed

object (Allowed)

Tupel mit zulässigen Regeln.
denied

object (Denied)

Tupel mit abgelehnten Regeln.

Richtung

Die Richtung, für die die Regel gilt, z. B. „eingehend“ oder „ausgehend“. Gilt nicht für OPEN_X_PORT-Ergebnisse.

Enums
DIRECTION_UNSPECIFIED Nicht angegebener Richtungswert.
INGRESS Wert für die Einfahrtsrichtung.
EGRESS Wert für die ausgehende Richtung.

Zulässig

Regel für zulässige IP-Adressen.

JSON-Darstellung 
{
  "ipRules": [
    {
      object (IpRule)
    }
  ]
}
Felder
ipRules[]

object (IpRule)

Optional. Optionale Liste zulässiger IP-Regeln.

IpRule

Informationen zur IP-Regel.

JSON-Darstellung 
{
  "protocol": string,
  "portRanges": [
    {
      object (PortRange)
    }
  ]
}
Felder
protocol

string

Das IP-Protokoll, auf das sich diese Regel bezieht. Dieser Wert kann entweder einer der folgenden bekannten Protokollstrings (TCP, UDP, ICMP, ESP, AH, IPIP, SCTP) oder eine Stringdarstellung der Ganzzahl sein.
portRanges[]

object (PortRange)

Optional. Optionale Liste der Ports, auf die diese Regel angewendet wird. Dieses Feld gilt nur für die UDP- oder (S)TCP-Protokolle. Jeder Eintrag muss entweder eine ganze Zahl oder ein Bereich mit einer Mindest- und einer Höchstportnummer sein.

PortRange

Ein Portbereich, der die Mindest- und Höchstwerte einschließt. Die Werte liegen zwischen 0 und 2^16-1. Der Höchstwert kann dem Mindestwert entsprechen, darf aber nicht kleiner sein. Wenn „min“ und „max“ gleich sind, handelt es sich um einen einzelnen Anschluss.

JSON-Darstellung 
{
  "min": string,
  "max": string
}
Felder
min

string (int64 format)

Minimaler Portwert.
max

string (int64 format)

Maximaler Portwert.

Abgelehnt

Regel für abgelehnte IP-Adressen.

JSON-Darstellung 
{
  "ipRules": [
    {
      object (IpRule)
    }
  ]
}
Felder
ipRules[]

object (IpRule)

Optional. Optionale Liste der Regeln für abgelehnte IP-Adressen.

BackupDisasterRecovery

Informationen zu den Ergebnissen des Google Cloud-Sicherungs- und Notfallwiederherstellungsdienstes

JSON-Darstellung 
{
  "backupTemplate": string,
  "policies": [
    string
  ],
  "host": string,
  "applications": [
    string
  ],
  "storagePool": string,
  "policyOptions": [
    string
  ],
  "profile": string,
  "appliance": string,
  "backupType": string,
  "backupCreateTime": string
}
Felder
backupTemplate

string

Der Name einer Sicherungs- und Notfallwiederherstellungsvorlage, die eine oder mehrere Sicherungsrichtlinien enthält. Weitere Informationen finden Sie in der Dokumentation zu Sicherung und Notfallwiederherstellung. Beispiel: snap-ov.
policies[]

string

Die Namen der Sicherungs- und Notfallwiederherstellungsrichtlinien, die mit einer Vorlage verknüpft sind und festlegen, wann, wie oft und wie lange das Sicherungs-Image aufbewahrt werden soll. Beispiel: onvaults.
host

string

Der Name eines Sicherungs- und Notfallwiederherstellungshosts, der von der Sicherungs- und Wiederherstellungs-Appliance verwaltet und der Verwaltungskonsole bekannt ist. Der Host kann vom Typ „Generic“ (z. B. Compute Engine, SQL Server, Oracle-Datenbank, SMB-Dateisystem usw.), vCenter oder ESX-Server sein. Weitere Informationen finden Sie in der Dokumentation zu Sicherung und Notfallwiederherstellung auf Hosts. Beispiel: centos7-01.
applications[]

string

Die Namen der Sicherungs- und Notfallwiederherstellungsanwendungen. Eine Anwendung ist eine VM, Datenbank oder ein Dateisystem auf einem verwalteten Host, das von einer Sicherungs- und Wiederherstellungs-Appliance überwacht wird. Beispiel: centos7-01-vol00, centos7-01-vol01, centos7-01-vol02.
storagePool

string

Der Name des Speicherpools für Sicherung und Notfallwiederherstellung, in dem die Sicherungs-/Wiederherstellungs-Anwendung Daten speichert. Der Speicherpool kann vom Typ „Cloud“, „Primär“, „Snapshot“ oder „OnVault“ sein. Weitere Informationen finden Sie in der Dokumentation zu Speicherpools für Sicherung und Notfallwiederherstellung. Beispiel: DiskPoolOne.
policyOptions[]

string

Die Namen der erweiterten Sicherungs- und Notfallwiederherstellungsrichtlinienoptionen einer Richtlinie, die für eine Anwendung gilt. Weitere Informationen finden Sie in der Dokumentation zu Richtlinienoptionen für Sicherung und Notfallwiederherstellung. Beispiel: skipofflineappsincongrp, nounmap.
profile

string

Der Name des Ressourcenprofils für Sicherung und Notfallwiederherstellung, in dem die Speichermedien für Sicherungen von Anwendungs- und VM-Daten angegeben sind. Weitere Informationen finden Sie in der Dokumentation zu Sicherung und Notfallwiederherstellung. Beispiel: GCP.
appliance

string

Der Name der Sicherungs- und Notfallwiederherstellungsanwendung, die den Lebenszyklus von Sicherungsdaten erfasst, verschiebt und verwaltet. Beispiel: backup-server-57137.
backupType

string

Der Sicherungstyp des Sicherungs- und Notfallwiederherstellungs-Images. Beispiel: Snapshot, Remote Snapshot, OnVault.
backupCreateTime

string (Timestamp format)

Der Zeitstempel, zu dem die Sicherung von „Sicherung und Notfallwiederherstellung“ erstellt wurde.

Es wird RFC 3339 verwendet, wobei die generierte Ausgabe immer Z-normalisiert ist und 0, 3, 6 oder 9 Glieder mit Dezimalstellen enthält. Andere Achsenbezeichnungen als „Z“ sind ebenfalls zulässig. Beispiele: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" oder "2014-10-02T15:01:23+05:30".

SecurityPosture

Stellt einen Status dar, der vom Security Command Center-Dienst zur Statusverwaltung in Google Cloud bereitgestellt wird. Eine Posture enthält eine oder mehrere Richtliniensätze. Eine Richtliniengruppe besteht aus einer Reihe von Richtlinien, die eine Reihe von Sicherheitsregeln in Google Cloud erzwingen.

JSON-Darstellung 
{
  "name": string,
  "revisionId": string,
  "postureDeploymentResource": string,
  "postureDeployment": string,
  "changedPolicy": string,
  "policySet": string,
  "policy": string,
  "policyDriftDetails": [
    {
      object (PolicyDriftDetails)
    }
  ]
}
Felder
name

string

Name der Körperhaltung, z. B. CIS-Posture.
revisionId

string

Die Version der Haltung, z. B. c7cfa2a8.
postureDeploymentResource

string

Das Projekt, der Ordner oder die Organisation, in dem bzw. der die Position bereitgestellt wird, z. B. projects/{project_number}.
postureDeployment

string

Der Name der Bereitstellung des Sicherheitsstatus, z. B. organizations/{org_id}/posturedeployments/{posture_deployment_id}.
changedPolicy

string

Der Name der aktualisierten Richtlinie, z. B. projects/{projectId}/policies/{constraint_name}.
policySet

string

Der Name des aktualisierten Richtliniensatzes, z. B. cis-policyset.
policy

string

Die ID der aktualisierten Richtlinie, z. B. compute-policy-1.
policyDriftDetails[]

object (PolicyDriftDetails)

Details zu einer Änderung in einer aktualisierten Richtlinie, die gegen die bereitgestellte Position verstößt.

PolicyDriftDetails

Das Richtlinienfeld, das gegen die bereitgestellte Position verstößt, und die erwarteten und erkannten Werte.

JSON-Darstellung 
{
  "field": string,
  "expectedValue": string,
  "detectedValue": string
}
Felder
field

string

Der Name des aktualisierten Felds, z. B. constraint.implementation.policy_rules[0].enforce
expectedValue

string

Der Wert dieses Felds, der in einer Haltung konfiguriert wurde, z. B. true oder allowed_values={"projects/29831892"}.
detectedValue

string

Der erkannte Wert, der gegen die bereitgestellte Position verstößt, z. B. false oder allowed_values={"projects/22831892"}.

LogEntry

Ein einzelner Eintrag in einem Protokoll.

JSON-Darstellung 
{

  // Union field log_entry can be only one of the following:
  "cloudLoggingEntry": {
    object (CloudLoggingEntry)
  }
  // End of list of possible types for union field log_entry.
}
Felder

Union-Feld log_entry.

Für log_entry ist nur einer der folgenden Werte zulässig:
cloudLoggingEntry

object (CloudLoggingEntry)

Ein einzelner Eintrag in einem Log, der in Cloud Logging gespeichert wird.

CloudLoggingEntry

Metadaten aus einem Cloud Logging-Logeintrag

JSON-Darstellung 
{
  "insertId": string,
  "logId": string,
  "resourceContainer": string,
  "timestamp": string
}
Felder
insertId

string

Eindeutige Kennung des Logeintrags.
logId

string

Der Typ des Protokolls (Teil von logName. logName ist der Ressourcenname des Logs, zu dem dieser Logeintrag gehört. Beispiel: cloudresourcemanager.googleapis.com/activity. Dieses Feld ist im Gegensatz zum Feld LOG_ID in LogEntry nicht URL-codiert.
resourceContainer

string

Die Organisation, der Ordner oder das Projekt der überwachten Ressource, von der der Logeintrag erzeugt wurde.
timestamp

string (Timestamp format)

Zeit, zu der das im Logeintrag beschriebene Ereignis eingetreten ist.

Es wird RFC 3339 verwendet, wobei die generierte Ausgabe immer Z-normalisiert ist und 0, 3, 6 oder 9 Glieder mit Dezimalstellen enthält. Andere Achsenbezeichnungen als „Z“ sind ebenfalls zulässig. Beispiele: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" oder "2014-10-02T15:01:23+05:30".

LoadBalancer

Enthält Informationen zum Load Balancer, der mit der Abweichung verknüpft ist.

JSON-Darstellung 
{
  "name": string
}
Felder
name

string

Der Name des Load Balancers, der mit der Feststellung verknüpft ist.

CloudArmor

Felder im Zusammenhang mit Google Cloud Armor-Ergebnissen.

JSON-Darstellung 
{
  "securityPolicy": {
    object (SecurityPolicy)
  },
  "requests": {
    object (Requests)
  },
  "adaptiveProtection": {
    object (AdaptiveProtection)
  },
  "attack": {
    object (Attack)
  },
  "threatVector": string,
  "duration": string
}
Felder
securityPolicy

object (SecurityPolicy)

Informationen zur Google Cloud Armor-Sicherheitsrichtlinie, die für den Befund relevant sind.
requests

object (Requests)

Informationen zu eingehenden Anfragen, die von Google Cloud Armor-Sicherheitsrichtlinien ausgewertet werden.
adaptiveProtection

object (AdaptiveProtection)

Informationen zu potenziellen Layer-7-DDoS-Angriffen, die von Google Cloud Armor Adaptive Protection erkannt wurden.
attack

object (Attack)

Informationen zum Volumen und zur Klassifizierung von DDoS-Angriffen.
threatVector

string

Unterscheiden Sie zwischen volumetrischen und protokollbasierten DDoS-Angriffen und Angriffen auf Anwendungsebene. Beispiel: „L3_4“ für DDoS-Angriffe auf Ebene 3 und Ebene 4 oder „L_7“ für DDoS-Angriffe auf Ebene 7.
duration

string (Duration format)

Dauer des Angriffs seit Beginn bis zum aktuellen Zeitpunkt (wird alle 5 Minuten aktualisiert).

Die Dauer in Sekunden mit bis zu neun Nachkommastellen und am Ende mit "s". Beispiel: "3.5s".

SecurityPolicy

Informationen zur Google Cloud Armor-Sicherheitsrichtlinie, die für den Befund relevant sind.

JSON-Darstellung 
{
  "name": string,
  "type": string,
  "preview": boolean
}
Felder
name

string

Der Name der Google Cloud Armor-Sicherheitsrichtlinie, z. B. „my-security-policy“.
type

string

Der Typ der Google Cloud Armor-Sicherheitsrichtlinie, z. B. „Backend-Sicherheitsrichtlinie“, „Edge-Sicherheitsrichtlinie“, „Sicherheitsrichtlinie für den Netzwerkrand“ oder „DDoS-Schutz (dauerhaft aktiviert)“.
preview

boolean

Gibt an, ob sich die zugehörige Regel oder Richtlinie im Vorschaumodus befindet.

Anfragen

Informationen zu den Anfragen, die für das Ergebnis relevant sind.

JSON-Darstellung 
{
  "ratio": number,
  "shortTermAllowed": integer,
  "longTermAllowed": integer,
  "longTermDenied": integer
}
Felder
ratio

number

Bei „Ablehnungsverhältnis erhöhen“ ist das Verhältnis der abgelehnten Zugriffe geteilt durch die zugelassenen Zugriffe. Bei „Zulässige Traffic-Spitzen“ ist das Verhältnis der zulässige Traffic kurzfristig geteilt durch den zulässigen Traffic langfristig.
shortTermAllowed

integer

Kurzfristig zulässige Anzahl von Anfragen pro Sekunde (RPS)
longTermAllowed

integer

Zulässige RPS (Anfragen pro Sekunde) auf lange Sicht.
longTermDenied

integer

Langfristig abgelehnte RPS (Anfragen pro Sekunde)

AdaptiveProtection

Informationen zu Google Cloud Armor Adaptive Protection

JSON-Darstellung 
{
  "confidence": number
}
Felder
confidence

number

Ein Wert von 0 bedeutet, dass die Wahrscheinlichkeit, dass es sich bei dem erkannten Ereignis um einen tatsächlichen Angriff handelt, gering ist. Ein Wert von 1 bedeutet, dass mit hoher Wahrscheinlichkeit davon auszugehen ist, dass es sich bei dem erkannten Ereignis um einen Angriff handelt. Weitere Informationen finden Sie in der Dokumentation zum adaptiven Schutz.

Angriff

Informationen zum Volumen und zur Klassifizierung von DDoS-Angriffen.

JSON-Darstellung 
{
  "volumePpsLong": string,
  "volumeBpsLong": string,
  "classification": string,
  "volumePps": integer,
  "volumeBps": integer
}
Felder
volumePpsLong

string (int64 format)

Gesamtes Angriffsvolumen in PPS (Pakete pro Sekunde).
volumeBpsLong

string (int64 format)

Gesamtes Angriffsvolumen in BPS (Byte pro Sekunde).
classification

string

Art des Angriffs, z. B. „SYN-Flood“, „NTP-udp“ oder „CHARGEN-udp“.
volumePps
(deprecated)

integer

Gesamtes Angriffsvolumen in PPS (Pakete pro Sekunde). Eingestellt. Verwenden Sie stattdessen „volumePpsLong“.
volumeBps
(deprecated)

integer

Gesamtes Angriffsvolumen in BPS (Byte pro Sekunde). Eingestellt. Verwenden Sie stattdessen „volumeBpsLong“.

Notebook

Stellt eine IPYNB-Datei eines Jupyter-Notebooks dar, z. B. eine Colab Enterprise-Notebookdatei, die mit einem Ergebnis verknüpft ist.

JSON-Darstellung 
{
  "name": string,
  "service": string,
  "lastAuthor": string,
  "notebookUpdateTime": string
}
Felder
name

string

Der Name des Notebooks.
service

string

Der Quell-Notebook-Dienst, z. B. „Colab Enterprise“.
lastAuthor

string

Die Nutzer-ID des letzten Autors, der das Notizbuch geändert hat.
notebookUpdateTime

string (Timestamp format)

Das Datum, an dem das Notebook zuletzt aktualisiert wurde.

Es wird RFC 3339 verwendet, wobei die generierte Ausgabe immer Z-normalisiert ist und 0, 3, 6 oder 9 Glieder mit Dezimalstellen enthält. Andere Achsenbezeichnungen als „Z“ sind ebenfalls zulässig. Beispiele: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" oder "2014-10-02T15:01:23+05:30".

ToxicCombination

Enthält Details zu einer Gruppe von Sicherheitsproblemen, die bei gleichzeitigem Auftreten ein größeres Risiko darstellen als bei unabhängigem Auftreten. Eine Gruppe solcher Probleme wird als toxische Kombination bezeichnet.

JSON-Darstellung 
{
  "attackExposureScore": number,
  "relatedFindings": [
    string
  ]
}
Felder
attackExposureScore

number

Die Angriffsbewertung dieser schädlichen Kombination. Der Wert gibt an, inwiefern eine oder mehrere wertvolle Ressourcen durch diese schädliche Kombination einem potenziellen Angriff ausgesetzt sind.
relatedFindings[]

string

Liste der Ressourcennamen der Ergebnisse, die mit dieser schädlichen Kombination in Verbindung stehen. Beispiel: organizations/123/sources/456/findings/789.

GroupMembership

Enthält Details zu den Gruppen, zu denen diese Information gehört. Eine Gruppe besteht aus einer Reihe von Ergebnissen, die in gewisser Weise zusammenhängen.

JSON-Darstellung 
{
  "groupType": enum (GroupType),
  "groupId": string
}
Felder
groupType

enum (GroupType)

Gruppentyp.
groupId

string

ID der Gruppe.

GroupType

Mögliche Gruppentypen

Enums
GROUP_TYPE_UNSPECIFIED Standardwert.
GROUP_TYPE_TOXIC_COMBINATION „Gruppe“ steht für eine schädliche Kombination.

Laufwerk

Enthält Informationen zum Laufwerk, das mit dem Ergebnis verknüpft ist.

JSON-Darstellung 
{
  "name": string
}
Felder
name

string

Der Name des Laufwerks, z. B. „https://www.googleapis.com/compute/v1/projects/{project-id}/zones/{zone-id}/disks/{disk-id}“.

DataAccessEvent

Details zu einem Datenzugriffsversuch durch ein Hauptkonto, das gemäß der anwendbaren Datensicherheitsrichtlinie nicht autorisiert ist.

JSON-Darstellung 
{
  "eventId": string,
  "principalEmail": string,
  "operation": enum (Operation),
  "eventTime": string
}
Felder
eventId

string

Eindeutige Kennung für das Datenzugriffsereignis.
principalEmail

string

Die E-Mail-Adresse des Hauptkontos, das auf die Daten zugegriffen hat. Das Hauptkonto kann ein Nutzerkonto, ein Dienstkonto, eine Google-Gruppe oder ein anderes Konto sein.
operation

enum (Operation)

Der Vorgang, den das Hauptkonto zum Zugriff auf die Daten ausführt.
eventTime

string (Timestamp format)

Zeitstempel des Datenzugriffsereignisses.

Es wird RFC 3339 verwendet, wobei die generierte Ausgabe immer Z-normalisiert ist und 0, 3, 6 oder 9 Glieder mit Dezimalstellen enthält. Andere Achsenbezeichnungen als „Z“ sind ebenfalls zulässig. Beispiele: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" oder "2014-10-02T15:01:23+05:30".

Vorgang

Der Vorgang eines Datenzugriffsereignisses.

Enums
OPERATION_UNSPECIFIED Der Vorgang ist nicht angegeben.
READ Stellt einen Lesevorgang dar.
MOVE Stellt einen Verschiebevorgang dar.
COPY Stellt einen Kopiervorgang dar.

DataFlowEvent

Details zu einem Datenflussereignis, bei dem die Daten entweder an einen nicht konformen Standort verschoben werden oder von dort aus darauf zugegriffen wird, wie in der anwendbaren Datensicherheitsrichtlinie definiert.

JSON-Darstellung 
{
  "eventId": string,
  "principalEmail": string,
  "operation": enum (Operation),
  "violatedLocation": string,
  "eventTime": string
}
Felder
eventId

string

Eindeutige Kennung für das Datenflussereignis.
principalEmail

string

Die E-Mail-Adresse des Hauptkontos, das das Datenflussereignis initiiert hat. Das Hauptkonto kann ein Nutzerkonto, ein Dienstkonto, eine Google-Gruppe oder ein anderes Konto sein.
operation

enum (Operation)

Der Vorgang, der vom Hauptkonto für das Datenflussereignis ausgeführt wird.
violatedLocation

string

Nicht konformer Speicherort des Prinzipals oder des Datenziels.
eventTime

string (Timestamp format)

Zeitstempel des Datenflussereignisses.

Es wird RFC 3339 verwendet, wobei die generierte Ausgabe immer Z-normalisiert ist und 0, 3, 6 oder 9 Glieder mit Dezimalstellen enthält. Andere Achsenbezeichnungen als „Z“ sind ebenfalls zulässig. Beispiele: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" oder "2014-10-02T15:01:23+05:30".

Vorgang

Der Vorgang eines Datenflussereignisses.

Enums
OPERATION_UNSPECIFIED Der Vorgang ist nicht angegeben.
READ Stellt einen Lesevorgang dar.
MOVE Stellt einen Verschiebevorgang dar.
COPY Stellt einen Kopiervorgang dar.

Netzwerk

Enthält Informationen zu einem VPC-Netzwerk, das mit dem Ergebnis verknüpft ist.

JSON-Darstellung 
{
  "name": string
}
Felder
name

string

Der Name der VPC-Netzwerkressource, z. B. //compute.googleapis.com/projects/my-project/global/networks/my-network.

DataRetentionDeletionEvent

Details zu Verstößen gegen die Datenaufbewahrung, bei denen die Daten aufgrund ihrer Aufbewahrungs- oder Löschzeit nicht den in der anwendbaren Datensicherheitsrichtlinie definierten Anforderungen entsprechen. Die Datenaufbewahrungs- und Löschsteuerung (Data Retention Deletion, DRD) ist eine Funktion der DSPM-Suite (Data Security Posture Management), mit der Organisationen Richtlinien zur Datenaufbewahrung und zum Löschen von Daten gemäß Verordnungen wie der DSGVO und der CRPA verwalten können. DRD unterstützt zwei primäre Richtlinientypen: maximale Speicherdauer (max. TTL) und minimale Speicherdauer (min. TTL). Beide sollen Organisationen dabei helfen, ihre Verpflichtungen in Bezug auf die Einhaltung von Vorschriften und die Datenverwaltung zu erfüllen.

JSON-Darstellung 
{
  "eventDetectionTime": string,
  "dataObjectCount": string,
  "maxRetentionAllowed": string,
  "eventType": enum (EventType)
}
Felder
eventDetectionTime

string (Timestamp format)

Zeitstempel, der angibt, wann das Ereignis erkannt wurde.

Es wird RFC 3339 verwendet, wobei die generierte Ausgabe immer Z-normalisiert ist und 0, 3, 6 oder 9 Glieder mit Dezimalstellen enthält. Andere Achsenbezeichnungen als „Z“ sind ebenfalls zulässig. Beispiele: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" oder "2014-10-02T15:01:23+05:30".
dataObjectCount

string (int64 format)

Anzahl der Objekte, die gegen die Richtlinie für diese Ressource verstoßen haben. Wenn die Zahl weniger als 1.000 beträgt, ist der Wert dieses Felds die genaue Zahl. Wenn die Anzahl der Objekte, die gegen die Richtlinie verstoßen haben, mindestens 1.000 beträgt, ist der Wert dieses Felds 1.000.
maxRetentionAllowed

string (Duration format)

Die maximale Aufbewahrungsdauer, die über die DRD-Steuerung zulässig ist. Dieser Wert stammt aus der DRD-Steuerung, bei der Nutzer eine maximale TTL für ihre Daten festlegen. Angenommen, ein Nutzer legt die maximale TTL für einen Cloud Storage-Bucket auf 90 Tage fest. Ein Objekt in diesem Bucket ist jedoch 100 Tage alt. In diesem Fall wird für diesen Cloud Storage-Bucket ein DataRetentionDeletionEvent generiert und die maximale Aufbewahrungsdauer beträgt 90 Tage.

Die Dauer in Sekunden mit bis zu neun Nachkommastellen und am Ende mit "s". Beispiel: "3.5s".
eventType

enum (EventType)

Typ des DRD-Ereignisses.

EventType

Typ des DRD-Ereignisses.

Enums
EVENT_TYPE_UNSPECIFIED Nicht angegebener Ereignistyp.
EVENT_TYPE_MAX_TTL_EXCEEDED Die maximale Aufbewahrungsdauer wurde überschritten.

Methoden

create

 Erstellt ein Ergebnis.

group

 Hiermit werden die Ergebnisse einer Organisation oder Quelle gefiltert und nach den angegebenen Attributen gruppiert.

list

 Hier werden die Ergebnisse einer Organisation oder Quelle aufgeführt.

patch

 Erstellt oder aktualisiert einen Befund.

setMute

 Aktualisiert den Ausblendungsstatus eines Ergebnisses.

setState

 Aktualisiert den Status eines Ergebnisses.

updateSecurityMarks

 Aktualisiert Sicherheitsmarkierungen.