REST Resource: organizations.sources.findings

Risorsa: Ricerca

Risultato di Security Command Center.

Un risultato è un record di dati di valutazione, come sicurezza, rischio, stato o privacy, che viene importato in Security Command Center per la presentazione, la notifica, l'analisi, il test delle norme e l'applicazione. Ad esempio, una vulnerabilità di cross-site scripting (XSS) in un'applicazione App Engine è un rilevamento.

Rappresentazione JSON 
{
  "name": string,
  "canonicalName": string,
  "parent": string,
  "resourceName": string,
  "state": enum (State),
  "category": string,
  "externalUri": string,
  "sourceProperties": {
    string: value,
    ...
  },
  "securityMarks": {
    object (SecurityMarks)
  },
  "eventTime": string,
  "createTime": string,
  "severity": enum (Severity),
  "mute": enum (Mute),
  "muteInfo": {
    object (MuteInfo)
  },
  "findingClass": enum (FindingClass),
  "indicator": {
    object (Indicator)
  },
  "vulnerability": {
    object (Vulnerability)
  },
  "muteUpdateTime": string,
  "externalSystems": {
    string: {
      object (ExternalSystem)
    },
    ...
  },
  "mitreAttack": {
    object (MitreAttack)
  },
  "access": {
    object (Access)
  },
  "connections": [
    {
      object (Connection)
    }
  ],
  "muteInitiator": string,
  "processes": [
    {
      object (Process)
    }
  ],
  "contacts": {
    string: {
      object (ContactDetails)
    },
    ...
  },
  "compliances": [
    {
      object (Compliance)
    }
  ],
  "parentDisplayName": string,
  "description": string,
  "exfiltration": {
    object (Exfiltration)
  },
  "iamBindings": [
    {
      object (IamBinding)
    }
  ],
  "nextSteps": string,
  "moduleName": string,
  "containers": [
    {
      object (Container)
    }
  ],
  "kubernetes": {
    object (Kubernetes)
  },
  "database": {
    object (Database)
  },
  "attackExposure": {
    object (AttackExposure)
  },
  "files": [
    {
      object (File)
    }
  ],
  "cloudDlpInspection": {
    object (CloudDlpInspection)
  },
  "cloudDlpDataProfile": {
    object (CloudDlpDataProfile)
  },
  "kernelRootkit": {
    object (KernelRootkit)
  },
  "orgPolicies": [
    {
      object (OrgPolicy)
    }
  ],
  "job": {
    object (Job)
  },
  "application": {
    object (Application)
  },
  "ipRules": {
    object (IpRules)
  },
  "backupDisasterRecovery": {
    object (BackupDisasterRecovery)
  },
  "securityPosture": {
    object (SecurityPosture)
  },
  "logEntries": [
    {
      object (LogEntry)
    }
  ],
  "loadBalancers": [
    {
      object (LoadBalancer)
    }
  ],
  "cloudArmor": {
    object (CloudArmor)
  },
  "notebook": {
    object (Notebook)
  },
  "toxicCombination": {
    object (ToxicCombination)
  },
  "groupMemberships": [
    {
      object (GroupMembership)
    }
  ],
  "disk": {
    object (Disk)
  },
  "dataAccessEvents": [
    {
      object (DataAccessEvent)
    }
  ],
  "dataFlowEvents": [
    {
      object (DataFlowEvent)
    }
  ],
  "networks": [
    {
      object (Network)
    }
  ],
  "dataRetentionDeletionEvents": [
    {
      object (DataRetentionDeletionEvent)
    }
  ]
}
Campi
name

string

Il nome della risorsa relativa del rilevamento. Di seguito sono riportati alcuni esempi:

+ organizations/{organization_id}/sources/{source_id}/findings/{findingId} + organizations/{organization_id}/sources/{source_id}/locations/{locationId}/findings/{findingId} + folders/{folder_id}/sources/{source_id}/findings/{findingId} + folders/{folder_id}/sources/{source_id}/locations/{locationId}/findings/{findingId} + projects/{projectId}/sources/{source_id}/findings/{findingId} + projects/{projectId}/sources/{source_id}/locations/{locationId}/findings/{findingId}
canonicalName

string

Solo output. Il nome canonico del risultato. Di seguito sono riportati alcuni esempi:

+ organizations/{organization_id}/sources/{source_id}/findings/{findingId} + organizations/{organization_id}/sources/{source_id}/locations/{locationId}/findings/{findingId} + folders/{folder_id}/sources/{source_id}/findings/{findingId} + folders/{folder_id}/sources/{source_id}/locations/{locationId}/findings/{findingId} + projects/{projectId}/sources/{source_id}/findings/{findingId} + projects/{projectId}/sources/{source_id}/locations/{locationId}/findings/{findingId}

Il prefisso è l'antenato CRM più vicino della risorsa associata al rilevamento.
parent

string

Il nome della risorsa relativa all'origine e alla posizione a cui appartiene il risultato. Consulta: https://cloud.google.com/apis/design/resource_names#relative_resource_name Questo campo è immutabile dopo il momento della creazione. Di seguito sono riportati alcuni esempi:

  • organizations/{organization_id}/sources/{source_id}
  • folders/{folders_id}/sources/{source_id}
  • projects/{projects_id}/sources/{source_id} + organizations/{organization_id}/sources/{source_id}/locations/{locationId}
  • folders/{folders_id}/sources/{source_id}/locations/{locationId}
  • projects/{projects_id}/sources/{source_id}/locations/{locationId}
resourceName

string

Immutabile. Per i risultati relativi alle risorse Google Cloud, il nome completo della risorsa Google Cloud a cui si riferisce il risultato. Consulta: https://cloud.google.com/apis/design/resource_names#full_resource_name Quando il rilevamento riguarda una risorsa non Google Cloud, resourceName può essere una stringa definita dal cliente o dal partner.
state

enum (State)

Solo output. Lo stato del risultato.
category

string

Immutabile. Il gruppo tassonomico aggiuntivo all'interno dei risultati di una determinata origine. Esempio: "XSS_FLASH_INJECTION"
externalUri

string

L'URI che, se disponibile, rimanda a una pagina web esterna a Security Command Center in cui è possibile trovare ulteriori informazioni sul risultato. Questo campo è garantito come vuoto o come URL ben formato.
sourceProperties

map (key: string, value: value (Value format))

Proprietà specifiche della sorgente. Queste proprietà sono gestite dalla sorgente che scrive il rilevamento. I nomi delle chiavi nella mappa sourceProperties devono essere compresi tra 1 e 255 caratteri, devono iniziare con una lettera e contenere solo caratteri alfanumerici o trattini bassi.

Un oggetto contenente un elenco di coppie "key": value. Esempio: { "name": "wrench", "mass": "1.3kg", "count": "3" }.
securityMarks

object (SecurityMarks)

Solo output. Contrassegni di sicurezza specificati dall'utente. Questi indicatori sono gestiti interamente dall'utente e provengono dalla risorsa SecurityMarks che appartiene al rilevamento.
eventTime

string (Timestamp format)

Data/ora in cui il risultato è stato rilevato per la prima volta. Se un risultato esistente viene aggiornato, questa è la data/ora in cui si è verificato l'aggiornamento. Ad esempio, se il risultato rappresenta un firewall aperto, questa proprietà acquisisce il momento in cui il rilevatore ritiene che il firewall sia diventato aperto. La precisione è determinata dal rilevatore. Se il problema viene risolto in un secondo momento, questa data e ora riflettono il momento in cui è stato risolto. Non deve essere impostato su un valore maggiore del timestamp corrente.

Utilizza RFC 3339, in cui l'output generato sarà sempre normalizzato in base a Z e utilizza 0, 3, 6 o 9 cifre decimali. Sono accettati anche offset diversi da "Z". Esempi: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" o "2014-10-02T15:01:23+05:30".
createTime

string (Timestamp format)

Solo output. L'ora in cui il risultato è stato creato in Security Command Center.

Utilizza RFC 3339, in cui l'output generato sarà sempre normalizzato in base a Z e utilizza 0, 3, 6 o 9 cifre decimali. Sono accettati anche offset diversi da "Z". Esempi: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" o "2014-10-02T15:01:23+05:30".
severity

enum (Severity)

La gravità del risultato. Questo campo è gestito dalla sorgente che scrive il rilevamento.
mute

enum (Mute)

Indica lo stato di disattivazione di un risultato (disattivato, riattivato o non definito). A differenza di altri attributi di una segnalazione, un fornitore di segnalazioni non deve impostare il valore di disattivazione.
muteInfo

object (MuteInfo)

Solo output. Le informazioni sulla disattivazione di questo risultato.
findingClass

enum (FindingClass)

La classe del rilevamento.
indicator

object (Indicator)

Rappresenta ciò che è comunemente noto come indicatore di compromissione (IoC) nella computer forensics. Si tratta di un artefatto osservato su una rete o in un sistema operativo che, con un'elevata probabilità, indica un'intrusione nel computer. Per ulteriori informazioni, consulta la sezione Indicatore di compromissione.
vulnerability

object (Vulnerability)

Rappresenta campi specifici per le vulnerabilità, come CVE e punteggi CVSS. CVE sta per Common Vulnerabilities and Exposures (https://cve.mitre.org/about/)
muteUpdateTime

string (Timestamp format)

Solo output. L'ora più recente in cui questo risultato è stato disattivato o riattivato.

Utilizza RFC 3339, in cui l'output generato sarà sempre normalizzato in base a Z e utilizza 0, 3, 6 o 9 cifre decimali. Sono accettati anche offset diversi da "Z". Esempi: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" o "2014-10-02T15:01:23+05:30".
externalSystems

map (key: string, value: object (ExternalSystem))

Solo output. I campi SIEM/SOAR di terze parti all'interno di SCC contengono informazioni sui sistemi esterni e campi di risultati dei sistemi esterni.

Un oggetto contenente un elenco di coppie "key": value. Esempio: { "name": "wrench", "mass": "1.3kg", "count": "3" }.
mitreAttack

object (MitreAttack)

Tattiche e tecniche MITRE ATT&CK correlate a questo rilevamento. Vedi: https://attack.mitre.org
access

object (Access)

Accedi ai dettagli associati al rilevamento, ad esempio ulteriori informazioni sul chiamante, al metodo a cui è stato eseguito l'accesso e da dove.
connections[]

object (Connection)

Contiene informazioni sulla connessione IP associata al rilevamento.
muteInitiator

string

Registra informazioni aggiuntive sull'operazione di disattivazione, ad esempio la configurazione di disattivazione che ha disattivato il rilevamento e l'utente che lo ha disattivato.
processes[]

object (Process)

Rappresenta i processi del sistema operativo associati al rilevamento.
contacts

map (key: string, value: object (ContactDetails))

Solo output. Mappa contenente i punti di contatto per la segnalazione in questione. La chiave rappresenta il tipo di contatto, mentre il valore contiene un elenco di tutti i contatti pertinenti. Consulta la pagina https://cloud.google.com/resource-manager/docs/managing-notification-contacts#notification-categories

{
  "security": {
    "contacts": [
      {
        "email": "person1@company.com"
      },
      {
        "email": "person2@company.com"
      }
    ]
  }
}

Un oggetto contenente un elenco di coppie "key": value. Esempio: { "name": "wrench", "mass": "1.3kg", "count": "3" }.
compliances[]

object (Compliance)

Contiene informazioni sulla conformità per gli standard di sicurezza associati al rilevamento.
parentDisplayName

string

Solo output. Il nome visualizzato leggibile dell'origine del rilevamento, ad esempio "Event Threat Detection" o "Security Health Analytics".
description

string

Contiene ulteriori dettagli sul risultato.
exfiltration

object (Exfiltration)

Rappresenta le esfiltrazioni associate al risultato.
iamBindings[]

object (IamBinding)

Rappresenta le associazioni IAM associate al risultato.
nextSteps

string

Passaggi per risolvere il problema.
moduleName

string

Identificatore univoco del modulo che ha generato il rilevamento. Esempio: folders/598186756061/securityHealthAnalyticsSettings/customModules/56799441161885
containers[]

object (Container)

Contenitori associati al risultato. Questo campo fornisce informazioni sia per i container Kubernetes che per quelli non Kubernetes.
kubernetes

object (Kubernetes)

Risorse Kubernetes associate al rilevamento.
database

object (Database)

Database associato al rilevamento.
attackExposure

object (AttackExposure)

I risultati di una simulazione del percorso di attacco pertinente a questo risultato.
files[]

object (File)

File associato al risultato.
cloudDlpInspection

object (CloudDlpInspection)

I risultati dell'ispezione di Cloud Data Loss Prevention (Cloud DLP) associati al rilevamento.
cloudDlpDataProfile

object (CloudDlpDataProfile)

Profilo dei dati di Cloud DLP associato al rilevamento.
kernelRootkit

object (KernelRootkit)

Firma del rootkit del kernel.
orgPolicies[]

object (OrgPolicy)

Contiene informazioni sulle norme dell'organizzazione associate al rilevamento.
job

object (Job)

Job associato al risultato.
application

object (Application)

Rappresenta un'applicazione associata al risultato.
ipRules

object (IpRules)

Regole IP associate al risultato.
backupDisasterRecovery

object (BackupDisasterRecovery)

Campi relativi ai risultati di Backup e DR.
securityPosture

object (SecurityPosture)

La posizione di sicurezza associata al rilevamento.
logEntries[]

object (LogEntry)

Voci di log pertinenti al rilevamento.
loadBalancers[]

object (LoadBalancer)

I bilanciatori del carico associati al rilevamento.
cloudArmor

object (CloudArmor)

Campi relativi ai risultati di Cloud Armor.
notebook

object (Notebook)

Notebook associato al risultato.
toxicCombination

object (ToxicCombination)

Contiene dettagli su un gruppo di problemi di sicurezza che, se si verificano contemporaneamente, rappresentano un rischio maggiore rispetto a quando si verificano in modo indipendente. Un gruppo di questi problemi è definito combinazione tossica. Questo campo non può essere aggiornato. Il relativo valore viene ignorato in tutte le richieste di aggiornamento.
groupMemberships[]

object (GroupMembership)

Contiene i dettagli dei gruppi di cui fa parte questo risultato. Un gruppo è una raccolta di risultati correlati in qualche modo. Questo campo non può essere aggiornato. Il relativo valore viene ignorato in tutte le richieste di aggiornamento.
disk

object (Disk)

Disco associato al risultato.
dataAccessEvents[]

object (DataAccessEvent)

Eventi di accesso ai dati associati al rilevamento.
dataFlowEvents[]

object (DataFlowEvent)

Eventi di flusso di dati associati al risultato.
networks[]

object (Network)

Rappresenta le reti VPC a cui è collegata la risorsa.
dataRetentionDeletionEvents[]

object (DataRetentionDeletionEvent)

Eventi di eliminazione della conservazione dei dati associati al rilevamento.

Stato

Lo stato del risultato.

Enum
STATE_UNSPECIFIED Stato non specificato.
ACTIVE Il risultato richiede attenzione e non è stato ancora risolto.
INACTIVE Il problema è stato risolto, classificato come non problematico o risolto in altro modo e non è più attivo.

Contrassegni di sicurezza

Indicatori di sicurezza specificati dall'utente allegati alla risorsa Security Command Center principale. I segni di sicurezza sono definiti nell'ambito di un'organizzazione Security Command Center e possono essere modificati e visualizzati da tutti gli utenti che dispongono delle autorizzazioni appropriate per l'organizzazione.

Rappresentazione JSON 
{
  "name": string,
  "marks": {
    string: string,
    ...
  },
  "canonicalName": string
}
Campi
name

string

Il nome della risorsa relativa dei SecurityMarks. Consulta https://cloud.google.com/apis/design/resource_names#relative_resource_name. Di seguito sono riportati alcuni esempi:

  • organizations/{organization_id}/assets/{asset_id}/securityMarks + organizations/{organization_id}/sources/{source_id}/findings/{findingId}/securityMarks + organizations/{organization_id}/sources/{source_id}/locations/{location}/findings/{findingId}/securityMarks
marks

map (key: string, value: string)

Indicatori di sicurezza specificati dall'utente mutabili appartenenti alla risorsa principale. I vincoli sono i seguenti:

  • Le chiavi e i valori non fanno distinzione tra maiuscole e minuscole
  • Le chiavi devono contenere da 1 a 256 caratteri
  • Le chiavi devono essere lettere, numeri, trattini bassi o trattini
  • Gli spazi iniziali e finali dei valori vengono rimossi, mentre i caratteri rimanenti devono essere compresi tra 1 e 4096 caratteri.

Un oggetto contenente un elenco di coppie "key": value. Esempio: { "name": "wrench", "mass": "1.3kg", "count": "3" }.
canonicalName

string

Il nome canonico dei marchi. Di seguito sono riportati alcuni esempi:

  • organizations/{organization_id}/assets/{asset_id}/securityMarks + organizations/{organization_id}/sources/{source_id}/findings/{findingId}/securityMarks + organizations/{organization_id}/sources/{source_id}/locations/{location}/findings/{findingId}/securityMarks
  • folders/{folder_id}/assets/{asset_id}/securityMarks + folders/{folder_id}/sources/{source_id}/findings/{findingId}/securityMarks + folders/{folder_id}/sources/{source_id}/locations/{location}/findings/{findingId}/securityMarks
  • projects/{project_number}/assets/{asset_id}/securityMarks + projects/{project_number}/sources/{source_id}/findings/{findingId}/securityMarks + projects/{project_number}/sources/{source_id}/locations/{location}/findings/{findingId}/securityMarks

Gravità

La gravità del risultato.

Enum
SEVERITY_UNSPECIFIED Questo valore viene utilizzato per i risultati quando una sorgente non scrive un valore di gravità.
CRITICAL

Vulnerabilità: una vulnerabilità critica è facilmente rilevabile da un agente esterno, è sfruttabile e comporta la possibilità diretta di eseguire codice arbitrario, esfiltrare dati e ottenere in altro modo privilegi e accesso aggiuntivi a risorse e carichi di lavoro cloud. Alcuni esempi sono i dati utente non protetti accessibili al pubblico e l'accesso SSH pubblico con password deboli o assenti.

Minaccia: indica una minaccia in grado di accedere, modificare o eliminare dati o eseguire codice non autorizzato all'interno di risorse esistenti.
HIGH

Vulnerabilità: una vulnerabilità ad alto rischio può essere facilmente scoperta e sfruttata in combinazione con altre vulnerabilità per ottenere l'accesso diretto e la possibilità di eseguire codice arbitrario, esfiltrare dati e ottenere in altro modo privilegi e accessi aggiuntivi a risorse e carichi di lavoro cloud. Un esempio è un database con password deboli o nessuna password accessibile solo internamente. Questo database potrebbe essere facilmente compromesso da un utente che ha accesso alla rete interna.

Minaccia: indica una minaccia in grado di creare nuove risorse di calcolo in un ambiente, ma non di accedere ai dati o di eseguire codice nelle risorse esistenti.
MEDIUM

Vulnerabilità: una vulnerabilità a rischio medio potrebbe essere utilizzata da un utente per ottenere l'accesso a risorse o privilegi che gli consentano di ottenere eventualmente (tramite più passaggi o uno sfruttamento complesso) l'accesso e la possibilità di eseguire codice arbitrario o esfiltrare dati. Un esempio è un account di servizio con accesso a più progetti di quanto dovrebbe. Se un attore ottiene l'accesso all'account di servizio, potrebbe potenzialmente utilizzarlo per manipolare un progetto per cui l'account di servizio non era destinato.

Minaccia: indica una minaccia in grado di causare un impatto operativo, ma che potrebbe non accedere ai dati o eseguire codice non autorizzato.
LOW

Vulnerabilità: una vulnerabilità a basso rischio ostacola la capacità di un'organizzazione di sicurezza di rilevare vulnerabilità o minacce attive nel proprio deployment o impedisce l'indagine sulla causa principale dei problemi di sicurezza. Un esempio è il monitoraggio e i log disattivati per le configurazioni e l'accesso alle risorse.

Minaccia: indica una minaccia che ha ottenuto l'accesso minimo a un ambiente, ma non è in grado di accedere ai dati, eseguire codice o creare risorse.

Disattiva audio

Stato di disattivazione di un risultato.

Enum
MUTE_UNSPECIFIED Non specificato.
MUTED Il risultato è stato disattivato.
UNMUTED Il risultato è stato riattivato.
UNDEFINED Il risultato non è mai stato disattivato/riattivato.

MuteInfo

Disattivare le informazioni sul risultato, ad esempio se è presente una disattivazione statica o regole di disattivazione dinamica corrispondenti.

Rappresentazione JSON 
{
  "staticMute": {
    object (StaticMute)
  },
  "dynamicMuteRecords": [
    {
      object (DynamicMuteRecord)
    }
  ]
}
Campi
staticMute

object (StaticMute)

Se impostato, la disattivazione audio statica applicata a questo risultato. Le soppressioni audio statiche hanno la precedenza sulle soppressioni audio dinamiche. Se non è impostato, la disattivazione non è statica.
dynamicMuteRecords[]

object (DynamicMuteRecord)

L'elenco delle regole di disattivazione dinamica che attualmente corrispondono al risultato.

StaticMute

Informazioni sullo stato di disattivazione statica. Uno stato di disattivazione statica ha la precedenza su qualsiasi regola di disattivazione dinamica applicata a questo risultato. Lo stato di disattivazione statica può essere impostato da una regola di disattivazione statica o disattivando direttamente il risultato.

Rappresentazione JSON 
{
  "state": enum (Mute),
  "applyTime": string
}
Campi
state

enum (Mute)

Lo stato di disattivazione audio statico. Se il valore è MUTED o UNMUTED, lo stato di disattivazione audio complessivo del rilevamento avrà lo stesso valore.
applyTime

string (Timestamp format)

Quando è stata applicata la disattivazione dell'audio statica.

Utilizza RFC 3339, in cui l'output generato sarà sempre normalizzato in base a Z e utilizza 0, 3, 6 o 9 cifre decimali. Sono accettati anche offset diversi da "Z". Esempi: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" o "2014-10-02T15:01:23+05:30".

DynamicMuteRecord

Il record di una regola di disattivazione dinamica che corrisponde al risultato.

Rappresentazione JSON 
{
  "muteConfig": string,
  "matchTime": string
}
Campi
muteConfig

string

Il nome della risorsa relativa della regola di disattivazione audio, rappresentata da una configurazione di disattivazione audio, che ha creato questo record, ad esempio organizations/123/muteConfigs/mymuteconfig o organizations/123/locations/global/muteConfigs/mymuteconfig.
matchTime

string (Timestamp format)

Quando la regola di disattivazione dinamica ha corrisposto per la prima volta al risultato.

Utilizza RFC 3339, in cui l'output generato sarà sempre normalizzato in base a Z e utilizza 0, 3, 6 o 9 cifre decimali. Sono accettati anche offset diversi da "Z". Esempi: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" o "2014-10-02T15:01:23+05:30".

FindingClass

Rappresenta il tipo di risultato.

Enum
FINDING_CLASS_UNSPECIFIED Classe di risultati non specificata.
THREAT Descrive attività indesiderate o dannose.
VULNERABILITY Descrive una potenziale debolezza del software che aumenta il rischio per la riservatezza, l'integrità e la disponibilità.
MISCONFIGURATION Descrive un potenziale punto debole nella configurazione delle risorse/delle risorse cloud che aumenta il rischio.
OBSERVATION Descrive un'osservazione sulla sicurezza a scopo informativo.
SCC_ERROR Descrive un errore che impedisce alcune funzionalità di SCC.
POSTURE_VIOLATION Descrive un potenziale rischio per la sicurezza dovuto a una modifica della security posture.
TOXIC_COMBINATION Descrive una combinazione di problemi di sicurezza che, considerati nel loro insieme, rappresentano un problema di sicurezza più grave.
SENSITIVE_DATA_RISK Descrive un potenziale rischio per la sicurezza degli asset di dati che contengono dati sensibili.

Indicatore

Rappresenta ciò che è comunemente noto come indicatore di compromissione (IoC) nella computer forensics. Si tratta di un artefatto osservato su una rete o in un sistema operativo che, con un'elevata probabilità, indica un'intrusione nel computer. Per ulteriori informazioni, consulta la sezione Indicatore di compromissione.

Rappresentazione JSON 
{
  "ipAddresses": [
    string
  ],
  "domains": [
    string
  ],
  "signatures": [
    {
      object (ProcessSignature)
    }
  ],
  "uris": [
    string
  ]
}
Campi
ipAddresses[]

string

L'elenco di indirizzi IP associati al rilevamento.
domains[]

string

Elenco di domini associati al rilevamento.
signatures[]

object (ProcessSignature)

L'elenco delle firme corrispondenti che indicano che il processo specificato è presente nell'ambiente.
uris[]

string

L'elenco degli URI associati ai risultati.

ProcessSignature

Indica la firma che corrisponde a questo processo.

Rappresentazione JSON 
{
  "signatureType": enum (SignatureType),

  // Union field signature can be only one of the following:
  "memoryHashSignature": {
    object (MemoryHashSignature)
  },
  "yaraRuleSignature": {
    object (YaraRuleSignature)
  }
  // End of list of possible types for union field signature.
}
Campi
signatureType

enum (SignatureType)

Descrive il tipo di risorsa associata alla firma.

Campo unione signature.

signature può essere solo uno dei seguenti:
memoryHashSignature

object (MemoryHashSignature)

Firma che indica che è stata trovata una corrispondenza per una famiglia di bit.
yaraRuleSignature

object (YaraRuleSignature)

Firma che indica che è stata trovata una corrispondenza con una regola YARA.

MemoryHashSignature

Una firma corrispondente agli hash delle pagine di memoria.

Rappresentazione JSON 
{
  "binaryFamily": string,
  "detections": [
    {
      object (Detection)
    }
  ]
}
Campi
binaryFamily

string

La famiglia binaria.
detections[]

object (Detection)

L'elenco dei rilevamenti di hash della memoria che contribuiscono alla corrispondenza della famiglia di bit.

Rilevamento

Rilevamento dell'hash della memoria che contribuisce alla corrispondenza della famiglia binaria.

Rappresentazione JSON 
{
  "binary": string,
  "percentPagesMatched": number
}
Campi
binary

string

Il nome del file binario associato al rilevamento della firma dell'hash della memoria.
percentPagesMatched

number

La percentuale di hash delle pagine di memoria nella firma che sono stati trovati.

YaraRuleSignature

Una firma corrispondente a una regola YARA.

Rappresentazione JSON 
{
  "yaraRule": string
}
Campi
yaraRule

string

Il nome della regola YARA.

SignatureType

Possibili tipi di risorse da associare a una firma.

Enum
SIGNATURE_TYPE_UNSPECIFIED Il tipo di firma predefinito.
SIGNATURE_TYPE_PROCESS Utilizzato per le firme relative alle procedure.
SIGNATURE_TYPE_FILE Utilizzato per le firme relative ai dischi.

Vulnerabilità

Si riferisce ai campi delle vulnerabilità comuni, ad esempio cve, cvss, cwe e così via.

Rappresentazione JSON 
{
  "cve": {
    object (Cve)
  },
  "offendingPackage": {
    object (Package)
  },
  "fixedPackage": {
    object (Package)
  },
  "securityBulletin": {
    object (SecurityBulletin)
  }
}
Campi
cve

object (Cve)

CVE sta per Common Vulnerabilities and Exposures (https://cve.mitre.org/about/)
offendingPackage

object (Package)

Il pacchetto in violazione è pertinente al rilevamento.
fixedPackage

object (Package)

Il pacchetto corretto è pertinente al rilevamento.
securityBulletin

object (SecurityBulletin)

Il bollettino sulla sicurezza è pertinente a questo risultato.

Cve

CVE sta per Vulnerabilità ed esposizioni comuni. Informazioni del record CVE che descrivono questa vulnerabilità.

Rappresentazione JSON 
{
  "id": string,
  "references": [
    {
      object (Reference)
    }
  ],
  "cvssv3": {
    object (Cvssv3)
  },
  "upstreamFixAvailable": boolean,
  "impact": enum (RiskRating),
  "exploitationActivity": enum (ExploitationActivity),
  "observedInTheWild": boolean,
  "zeroDay": boolean,
  "exploitReleaseDate": string,
  "firstExploitationDate": string
}
Campi
id

string

L'identificatore univoco della vulnerabilità, ad esempio CVE-2021-34527
references[]

object (Reference)

Ulteriori informazioni sulla CVE, ad esempio https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-34527
cvssv3

object (Cvssv3)

Descrivi il sistema di valutazione delle vulnerabilità comuni specificato all'indirizzo https://www.first.org/cvss/v3.1/specification-document
upstreamFixAvailable

boolean

Indica se è disponibile una correzione upstream per la CVE.
impact

enum (RiskRating)

Il potenziale impatto della vulnerabilità qualora venisse sfruttata.
exploitationActivity

enum (ExploitationActivity)

L'attività di sfruttamento della vulnerabilità in circolazione.
observedInTheWild

boolean

Indica se la vulnerabilità è stata osservata in circolazione o meno.
zeroDay

boolean

Indica se la vulnerabilità era di tipo zero day al momento della pubblicazione del rilevamento.
exploitReleaseDate

string (Timestamp format)

Data di rilascio del primo exploit o PoC disponibile pubblicamente.

Utilizza RFC 3339, in cui l'output generato sarà sempre normalizzato in base a Z e utilizza 0, 3, 6 o 9 cifre decimali. Sono accettati anche offset diversi da "Z". Esempi: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" o "2014-10-02T15:01:23+05:30".
firstExploitationDate

string (Timestamp format)

Data della prima sfruttamento nota.

Utilizza RFC 3339, in cui l'output generato sarà sempre normalizzato in base a Z e utilizza 0, 3, 6 o 9 cifre decimali. Sono accettati anche offset diversi da "Z". Esempi: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" o "2014-10-02T15:01:23+05:30".

Riferimento

Link aggiuntivi

Rappresentazione JSON 
{
  "source": string,
  "uri": string
}
Campi
source

string

Origine del riferimento, ad es. NVD
uri

string

URI dell'origine indicata, ad esempio https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-34527.

Cvssv3

Sistema di valutazione delle vulnerabilità comuni versione 3.

Rappresentazione JSON 
{
  "baseScore": number,
  "attackVector": enum (AttackVector),
  "attackComplexity": enum (AttackComplexity),
  "privilegesRequired": enum (PrivilegesRequired),
  "userInteraction": enum (UserInteraction),
  "scope": enum (Scope),
  "confidentialityImpact": enum (Impact),
  "integrityImpact": enum (Impact),
  "availabilityImpact": enum (Impact)
}
Campi
baseScore

number

Il punteggio di base è una funzione dei punteggi delle metriche di base.
attackVector

enum (AttackVector)

Metriche di base Rappresenta le caratteristiche intrinseche di una vulnerabilità che sono costanti nel tempo e negli ambienti utente. Questa metrica riflette il contesto in cui è possibile lo sfruttamento delle vulnerabilità.
attackComplexity

enum (AttackComplexity)

Questa metrica descrive le condizioni al di fuori del controllo dell'utente malintenzionato che devono esistere per sfruttare la vulnerabilità.
privilegesRequired

enum (PrivilegesRequired)

Questa metrica descrive il livello di privilegi che un utente malintenzionato deve possedere prima di sfruttare la vulnerabilità.
userInteraction

enum (UserInteraction)

Questa metrica acquisisce il requisito che un utente umano, diverso dall'aggressore, partecipi alla compromissione riuscita del componente vulnerabile.
scope

enum (Scope)

La metrica Ambito indica se una vulnerabilità in un componente vulnerabile influisce sulle risorse in componenti al di fuori del suo ambito di sicurezza.
confidentialityImpact

enum (Impact)

Questa metrica misura l'impatto sulla riservatezza delle risorse informative gestite da un componente software a causa di una vulnerabilità sfruttata con successo.
integrityImpact

enum (Impact)

Questa metrica misura l'impatto sull'integrità di una vulnerabilità sfruttata con successo.
availabilityImpact

enum (Impact)

Questa metrica misura l'impatto sulla disponibilità del componente interessato a seguito di una vulnerabilità sfruttata con successo.

AttackVector

Questa metrica riflette il contesto in cui è possibile lo sfruttamento delle vulnerabilità.

Enum
ATTACK_VECTOR_UNSPECIFIED Valore non valido.
ATTACK_VECTOR_NETWORK Il componente vulnerabile è associato allo stack di rete e l'insieme di possibili attaccanti si estende oltre le altre opzioni elencate di seguito, fino all'intero internet.
ATTACK_VECTOR_ADJACENT Il componente vulnerabile è associato allo stack di rete, ma l'attacco è limitato a livello di protocollo a una topologia logicamente adiacente.
ATTACK_VECTOR_LOCAL Il componente vulnerabile non è associato allo stack di rete e il percorso dell'attaccante avviene tramite funzionalità di lettura/scrittura/esecuzione.
ATTACK_VECTOR_PHYSICAL L'attacco richiede che l'aggressore tocchi o manipoli fisicamente il componente vulnerabile.

AttackComplexity

Questa metrica descrive le condizioni al di fuori del controllo dell'utente malintenzionato che devono esistere per sfruttare la vulnerabilità.

Enum
ATTACK_COMPLEXITY_UNSPECIFIED Valore non valido.
ATTACK_COMPLEXITY_LOW Non esistono condizioni di accesso specializzate o circostanze attenuanti. Un utente malintenzionato può aspettarsi risultati ripetibili quando attacca il componente vulnerabile.
ATTACK_COMPLEXITY_HIGH Un attacco riuscito dipende da condizioni che non sono sotto il controllo dell'aggressore. In altre parole, un attacco di successo non può essere realizzato a piacimento, ma richiede all'attaccante di investire una quantità misurabile di sforzo nella preparazione o nell'esecuzione contro il componente vulnerabile prima che si possa prevedere un attacco di successo.

PrivilegesRequired

Questa metrica descrive il livello di privilegi che un utente malintenzionato deve possedere prima di sfruttare la vulnerabilità.

Enum
PRIVILEGES_REQUIRED_UNSPECIFIED Valore non valido.
PRIVILEGES_REQUIRED_NONE L'utente malintenzionato non è autorizzato prima dell'attacco e, pertanto, non richiede l'accesso alle impostazioni o ai file del sistema vulnerabile per eseguire un attacco.
PRIVILEGES_REQUIRED_LOW L'utente malintenzionato richiede privilegi che forniscono funzionalità utente di base che normalmente potrebbero interessare solo le impostazioni e i file di proprietà di un utente. In alternativa, un malintenzionato con privilegi bassi ha la possibilità di accedere solo a risorse non sensibili.
PRIVILEGES_REQUIRED_HIGH L'utente malintenzionato richiede privilegi che forniscono un controllo significativo (ad es. amministrativo) sul componente vulnerabile, consentendo l'accesso a impostazioni e file a livello di componente.

UserInteraction

Questa metrica acquisisce il requisito che un utente umano, diverso dall'aggressore, partecipi alla compromissione riuscita del componente vulnerabile.

Enum
USER_INTERACTION_UNSPECIFIED Valore non valido.
USER_INTERACTION_NONE Il sistema vulnerabile può essere sfruttato senza l'interazione di alcun utente.
USER_INTERACTION_REQUIRED Lo sfruttamento riuscito di questa vulnerabilità richiede che un utente intervenga prima che la vulnerabilità possa essere sfruttata.

Ambito

La metrica Ambito indica se una vulnerabilità in un componente vulnerabile influisce sulle risorse in componenti al di fuori del suo ambito di sicurezza.

Enum
SCOPE_UNSPECIFIED Valore non valido.
SCOPE_UNCHANGED Una vulnerabilità sfruttata può interessare solo le risorse gestite dalla stessa autorità di sicurezza.
SCOPE_CHANGED Una vulnerabilità sfruttata può interessare risorse oltre l'ambito di sicurezza gestito dall'autorità di sicurezza del componente vulnerabile.

Impatto

Le metriche relative all'impatto rilevano gli effetti di una vulnerabilità sfruttata con successo sul componente che presenta il peggiore risultato associato in modo più diretto e prevedibile all'attacco.

Enum
IMPACT_UNSPECIFIED Valore non valido.
IMPACT_HIGH Impatto elevato.
IMPACT_LOW Impatto ridotto.
IMPACT_NONE Nessun impatto.

RiskRating

I possibili valori dell'impatto della vulnerabilità qualora venisse sfruttata.

Enum
RISK_RATING_UNSPECIFIED Valore non valido o vuoto.
LOW Lo sfruttamento avrebbe un impatto sulla sicurezza minimo o nullo.
MEDIUM Lo sfruttamento consentirebbe agli utenti malintenzionati di eseguire attività o di avere un impatto diretto, ma richiederebbe ulteriori passaggi.
HIGH Lo sfruttamento consentirebbe agli aggressori di avere un impatto diretto notevole senza dover superare fattori di mitigazione importanti.
CRITICAL Lo sfruttamento minerebbe in modo fondamentale la sicurezza dei sistemi interessati, consentendo agli attori di eseguire attacchi significativi con il minimo sforzo, con pochi o nessun fattore di mitigazione da superare.

ExploitationActivity

I possibili valori dell'attività di sfruttamento della vulnerabilità in circolazione.

Enum
EXPLOITATION_ACTIVITY_UNSPECIFIED Valore non valido o vuoto.
WIDE È stato segnalato o confermato che lo sfruttamento si verifica ampiamente.
CONFIRMED Attività di sfruttamento segnalate o confermate limitate.
AVAILABLE L'exploit è disponibile pubblicamente.
ANTICIPATED Nessuna attività di sfruttamento nota, ma con un elevato potenziale di sfruttamento.
NO_KNOWN Nessuna attività di sfruttamento nota.

Pacchetto

Pacchetto è una definizione generica di un pacchetto.

Rappresentazione JSON 
{
  "packageName": string,
  "cpeUri": string,
  "packageType": string,
  "packageVersion": string
}
Campi
packageName

string

Il nome del pacchetto in cui è stata rilevata la vulnerabilità.
cpeUri

string

L'URI CPE in cui è stata rilevata la vulnerabilità.
packageType

string

Tipo di pacchetto, ad esempio os, maven o go.
packageVersion

string

La versione del pacchetto.

SecurityBulletin

SecurityBulletin sono notifiche di vulnerabilità dei prodotti Google.

Rappresentazione JSON 
{
  "bulletinId": string,
  "submissionTime": string,
  "suggestedUpgradeVersion": string
}
Campi
bulletinId

string

ID del bollettino corrispondente alla vulnerabilità.
submissionTime

string (Timestamp format)

Data/ora di invio di questo bollettino sulla sicurezza.

Utilizza RFC 3339, in cui l'output generato sarà sempre normalizzato in base a Z e utilizza 0, 3, 6 o 9 cifre decimali. Sono accettati anche offset diversi da "Z". Esempi: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" o "2014-10-02T15:01:23+05:30".
suggestedUpgradeVersion

string

Questa rappresenta la versione a cui deve essere eseguito l'upgrade del cluster che riceve questa notifica, in base alla versione corrente. Ad esempio, 1.15.0

ExternalSystem

Rappresentazione dei campi SIEM/SOAR di terze parti all'interno di SCC.

Rappresentazione JSON 
{
  "name": string,
  "assignees": [
    string
  ],
  "externalUid": string,
  "status": string,
  "externalSystemUpdateTime": string,
  "caseUri": string,
  "casePriority": string,
  "caseSla": string,
  "caseCreateTime": string,
  "caseCloseTime": string,
  "ticketInfo": {
    object (TicketInfo)
  }
}
Campi
name

string

Nome completo della risorsa del sistema esterno. Di seguito sono riportati alcuni esempi:

  • organizations/1234/sources/5678/findings/123456/externalSystems/jira + organizations/1234/sources/5678/locations/us/findings/123456/externalSystems/jira
  • folders/1234/sources/5678/findings/123456/externalSystems/jira + folders/1234/sources/5678/locations/us/findings/123456/externalSystems/jira
  • projects/1234/sources/5678/findings/123456/externalSystems/jira + projects/1234/sources/5678/locations/us/findings/123456/externalSystems/jira
assignees[]

string

Fa riferimento agli assegnatari principali/secondari e così via nel sistema esterno.
externalUid

string

L'identificatore utilizzato per monitorare la richiesta corrispondente del rilevamento nel sistema esterno.
status

string

Lo stato più recente della richiesta corrispondente al rilevamento, come indicato dal sistema esterno.
externalSystemUpdateTime

string (Timestamp format)

L'ora dell'ultimo aggiornamento della richiesta, come indicato dal sistema esterno.

Utilizza RFC 3339, in cui l'output generato sarà sempre normalizzato in base a Z e utilizza 0, 3, 6 o 9 cifre decimali. Sono accettati anche offset diversi da "Z". Esempi: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" o "2014-10-02T15:01:23+05:30".
caseUri

string

Il link alla richiesta corrispondente del risultato nel sistema esterno.
casePriority

string

La priorità della richiesta corrispondente del rilevamento nel sistema esterno.
caseSla

string (Timestamp format)

Il contratto di livello del servizio della richiesta corrispondente del rilevamento nel sistema esterno.

Utilizza RFC 3339, in cui l'output generato sarà sempre normalizzato in base a Z e utilizza 0, 3, 6 o 9 cifre decimali. Sono accettati anche offset diversi da "Z". Esempi: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" o "2014-10-02T15:01:23+05:30".
caseCreateTime

string (Timestamp format)

L'ora in cui è stata creata la richiesta, come segnalata dal sistema esterno.

Utilizza RFC 3339, in cui l'output generato sarà sempre normalizzato in base a Z e utilizza 0, 3, 6 o 9 cifre decimali. Sono accettati anche offset diversi da "Z". Esempi: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" o "2014-10-02T15:01:23+05:30".
caseCloseTime

string (Timestamp format)

L'ora in cui la richiesta è stata chiusa, come segnalata dal sistema esterno.

Utilizza RFC 3339, in cui l'output generato sarà sempre normalizzato in base a Z e utilizza 0, 3, 6 o 9 cifre decimali. Sono accettati anche offset diversi da "Z". Esempi: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" o "2014-10-02T15:01:23+05:30".
ticketInfo

object (TicketInfo)

Informazioni sul ticket, se esistente, utilizzato per monitorare la risoluzione del problema identificato da questo rilevamento.

TicketInfo

Informazioni sul ticket, se esistente, utilizzato per monitorare la risoluzione del problema identificato da questo rilevamento.

Rappresentazione JSON 
{
  "id": string,
  "assignee": string,
  "description": string,
  "uri": string,
  "status": string,
  "updateTime": string
}
Campi
id

string

L'identificatore del ticket nel sistema di gestione dei ticket.
assignee

string

L'assegnatario del ticket nel sistema di ticketing.
description

string

La descrizione del ticket nel sistema di ticketing.
uri

string

Il link al ticket nel sistema di gestione dei ticket.
status

string

Lo stato più recente del ticket, come indicato dal sistema dei ticket.
updateTime

string (Timestamp format)

L'ora dell'ultimo aggiornamento del ticket, come indicato dal sistema dei ticket.

Utilizza RFC 3339, in cui l'output generato sarà sempre normalizzato in base a Z e utilizza 0, 3, 6 o 9 cifre decimali. Sono accettati anche offset diversi da "Z". Esempi: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" o "2014-10-02T15:01:23+05:30".

MitreAttack

Tattiche e tecniche MITRE ATT&CK correlate a questo rilevamento. Vedi: https://attack.mitre.org

Rappresentazione JSON 
{
  "primaryTactic": enum (Tactic),
  "primaryTechniques": [
    enum (Technique)
  ],
  "additionalTactics": [
    enum (Tactic)
  ],
  "additionalTechniques": [
    enum (Technique)
  ],
  "version": string
}
Campi
primaryTactic

enum (Tactic)

La tattica MITRE ATT&CK più rappresentata da questo rilevamento, se presente.
primaryTechniques[]

enum (Technique)

La tecnica MITRE ATT&CK più rappresentata da questo risultato, se presente. primaryTechniques è un campo ripetuto perché esistono più livelli di tecniche MITRE ATT&CK. Se la tecnica più vicina a questo rilevamento è una tecnica secondaria (ad es. SCANNING_IP_BLOCKS), verranno elencate sia la tecnica secondaria sia le relative tecniche principali (ad es. SCANNING_IP_BLOCKS, ACTIVE_SCANNING).
additionalTactics[]

enum (Tactic)

Eventuali tattiche MITRE ATT&CK aggiuntive correlate a questo rilevamento.
additionalTechniques[]

enum (Technique)

Eventuali tecniche MITRE ATT&CK aggiuntive correlate a questo rilevamento, insieme alle rispettive tecniche principali.
version

string

La versione MITRE ATT&CK a cui fanno riferimento i campi precedenti. Ad esempio "8".

Tattica

Tattiche MITRE ATT&CK a cui è possibile fare riferimento nei risultati del Centro sicurezza. Vedi: https://attack.mitre.org/tactics/enterprise/

Enum
TACTIC_UNSPECIFIED Valore non specificato.
RECONNAISSANCE TA0043
RESOURCE_DEVELOPMENT TA0042
INITIAL_ACCESS TA0001
EXECUTION TA0002
PERSISTENCE TA0003
PRIVILEGE_ESCALATION TA0004
DEFENSE_EVASION TA0005
CREDENTIAL_ACCESS TA0006
DISCOVERY TA0007
LATERAL_MOVEMENT TA0008
COLLECTION TA0009
COMMAND_AND_CONTROL TA0011
EXFILTRATION TA0010
IMPACT TA0040

Tecnica

Tecniche MITRE ATT&CK a cui è possibile fare riferimento nei risultati del Centro sicurezza. Vedi: https://attack.mitre.org/techniques/enterprise/

Enum
TECHNIQUE_UNSPECIFIED Valore non specificato.
AUTOMATED_EXFILTRATION T1020
MASQUERADING T1036
MATCH_LEGITIMATE_NAME_OR_LOCATION T1036.005
BOOT_OR_LOGON_INITIALIZATION_SCRIPTS T1037
STARTUP_ITEMS T1037.005
NETWORK_SERVICE_DISCOVERY T1046
PROCESS_DISCOVERY T1057
COMMAND_AND_SCRIPTING_INTERPRETER T1059
UNIX_SHELL T1059.004
PYTHON T1059.006
EXPLOITATION_FOR_PRIVILEGE_ESCALATION T1068
PERMISSION_GROUPS_DISCOVERY T1069
CLOUD_GROUPS T1069.003
INDICATOR_REMOVAL_FILE_DELETION T1070.004
APPLICATION_LAYER_PROTOCOL T1071
DNS T1071.004
SOFTWARE_DEPLOYMENT_TOOLS T1072
VALID_ACCOUNTS T1078
DEFAULT_ACCOUNTS T1078.001
LOCAL_ACCOUNTS T1078.003
CLOUD_ACCOUNTS T1078.004
PROXY T1090
EXTERNAL_PROXY T1090.002
MULTI_HOP_PROXY T1090.003
ACCOUNT_MANIPULATION T1098
ADDITIONAL_CLOUD_CREDENTIALS T1098.001
ADDITIONAL_CLOUD_ROLES T1098.003
SSH_AUTHORIZED_KEYS T1098.004
ADDITIONAL_CONTAINER_CLUSTER_ROLES T1098.006
INGRESS_TOOL_TRANSFER T1105
NATIVE_API T1106
BRUTE_FORCE T1110
SHARED_MODULES T1129
ACCESS_TOKEN_MANIPULATION T1134
TOKEN_IMPERSONATION_OR_THEFT T1134.001
EXPLOIT_PUBLIC_FACING_APPLICATION T1190
USER_EXECUTION T1204
DOMAIN_POLICY_MODIFICATION T1484
DATA_DESTRUCTION T1485
SERVICE_STOP T1489
INHIBIT_SYSTEM_RECOVERY T1490
RESOURCE_HIJACKING T1496
NETWORK_DENIAL_OF_SERVICE T1498
CLOUD_SERVICE_DISCOVERY T1526
STEAL_APPLICATION_ACCESS_TOKEN T1528
ACCOUNT_ACCESS_REMOVAL T1531
CREATE_OR_MODIFY_SYSTEM_PROCESS T1543
EVENT_TRIGGERED_EXECUTION T1546
ABUSE_ELEVATION_CONTROL_MECHANISM T1548
UNSECURED_CREDENTIALS T1552
MODIFY_AUTHENTICATION_PROCESS T1556
IMPAIR_DEFENSES T1562
DISABLE_OR_MODIFY_TOOLS T1562.001
EXFILTRATION_OVER_WEB_SERVICE T1567
EXFILTRATION_TO_CLOUD_STORAGE T1567.002
DYNAMIC_RESOLUTION T1568
LATERAL_TOOL_TRANSFER T1570
MODIFY_CLOUD_COMPUTE_INFRASTRUCTURE T1578
CREATE_SNAPSHOT T1578.001
CLOUD_INFRASTRUCTURE_DISCOVERY T1580
OBTAIN_CAPABILITIES T1588
ACTIVE_SCANNING T1595
SCANNING_IP_BLOCKS T1595.001
CONTAINER_ADMINISTRATION_COMMAND T1609
DEPLOY_CONTAINER T1610
ESCAPE_TO_HOST T1611
CONTAINER_AND_RESOURCE_DISCOVERY T1613
STEAL_OR_FORGE_AUTHENTICATION_CERTIFICATES T1649

Accesso

Rappresenta un evento di accesso.

Rappresentazione JSON 
{
  "principalEmail": string,
  "callerIp": string,
  "callerIpGeo": {
    object (Geolocation)
  },
  "userAgentFamily": string,
  "userAgent": string,
  "serviceName": string,
  "methodName": string,
  "principalSubject": string,
  "serviceAccountKeyName": string,
  "serviceAccountDelegationInfo": [
    {
      object (ServiceAccountDelegationInfo)
    }
  ],
  "userName": string
}
Campi
principalEmail

string

Indirizzo email associato, ad esempio "foo@google.com".

L'indirizzo email dell'utente autenticato o di un account di servizio che agisce per conto di un'entità di terze parti che effettua la richiesta. Per gli utenti che chiamano l'identità di terze parti, viene compilato il campo principalSubject anziché questo. Per motivi di privacy, a volte l'indirizzo email principale viene oscurato. Per ulteriori informazioni, vedi Identità chiamante nei log di controllo.
callerIp

string

L'indirizzo IP del chiamante, ad esempio "1.1.1.1".
callerIpGeo

object (Geolocation)

La geolocalizzazione dell'IP del chiamante, che identifica la provenienza della chiamata.
userAgentFamily

string

Tipo di user agent associato al rilevamento. Ad esempio, una shell del sistema operativo o un'applicazione incorporata o autonoma.
userAgent

string

La stringa user agent dell'utente che ha effettuato la chiamata associata al rilevamento.
serviceName

string

Si tratta del servizio API a cui l'account di servizio ha effettuato una chiamata, ad esempio "iam.googleapis.com"
methodName

string

Il metodo chiamato dall'account di servizio, ad esempio "SetIamPolicy".
principalSubject

string

Una stringa che rappresenta il principalSubject associato all'identità. A differenza di principalEmail, principalSubject supporta i principali che non sono associati agli indirizzi email, ad esempio i principali di terze parti. Per la maggior parte delle identità, il formato è principal://iam.googleapis.com/{identity pool name}/subject/{subject}. Alcune identità GKE, come GKE_WORKLOAD, FREEFORM e GKE_HUB_WORKLOAD, utilizzano ancora il formato precedente serviceAccount:{identity pool name}[{subject}].
serviceAccountKeyName

string

Il nome della chiave dell'account di servizio utilizzata per creare o scambiare le credenziali durante l'autenticazione dell'account di servizio che ha effettuato la richiesta. Si tratta di un nome completo della risorsa URI senza schema. Ad esempio:

"//iam.googleapis.com/projects/{PROJECT_ID}/serviceAccounts/{ACCOUNT}/keys/{key}".
serviceAccountDelegationInfo[]

object (ServiceAccountDelegationInfo)

La cronologia di delega dell'identità di un account di servizio autenticato che ha effettuato la richiesta. L'oggetto serviceAccountDelegationInfo[] contiene informazioni sulle autorità reali che tentano di accedere alle risorse Google Cloud tramite delega a un account di servizio. Quando sono presenti più autorità, è garantito che vengano ordinate in base all'ordine originale degli eventi di delega dell'identità.
userName

string

Una stringa che rappresenta un nome utente. Il nome utente fornito dipende dal tipo di rilevamento e probabilmente non è un'entità IAM. Ad esempio, può essere un nome utente di sistema se il rilevamento è correlato a una macchina virtuale oppure un nome utente di accesso all'applicazione.

Geolocalizzazione

Rappresenta una posizione geografica per un determinato accesso.

Rappresentazione JSON 
{
  "regionCode": string
}
Campi
regionCode

string

Un CLDR.

ServiceAccountDelegationInfo

Cronologia della delega dell'identità di un account di servizio autenticato.

Rappresentazione JSON 
{
  "principalEmail": string,
  "principalSubject": string
}
Campi
principalEmail

string

L'indirizzo email di un Account Google.
principalSubject

string

Una stringa che rappresenta il principalSubject associato all'identità. Rispetto a principalEmail, supporta i principali che non sono associati agli indirizzi email, ad esempio i principali di terze parti. Per la maggior parte delle identità, il formato sarà principal://iam.googleapis.com/{identity pool name}/subjects/{subject}, ad eccezione di alcune identità GKE (GKE_WORKLOAD, FREEFORM, GKE_HUB_WORKLOAD) che sono ancora nel formato precedente serviceAccount:{identity pool name}[{subject}]

Connessione

Contiene informazioni sulla connessione IP associata al rilevamento.

Rappresentazione JSON 
{
  "destinationIp": string,
  "destinationPort": integer,
  "sourceIp": string,
  "sourcePort": integer,
  "protocol": enum (Protocol)
}
Campi
destinationIp

string

Indirizzo IP di destinazione. Non presente per le socket in ascolto e non connesse.
destinationPort

integer

Porta di destinazione. Non presente per le socket in ascolto e non connesse.
sourceIp

string

Indirizzo IP di origine.
sourcePort

integer

Porta di origine.
protocol

enum (Protocol)

Numero del protocollo internet IANA, ad esempio TCP(6) e UDP(17).

Protocollo

Numero del protocollo internet IANA, ad esempio TCP(6) e UDP(17).

Enum
PROTOCOL_UNSPECIFIED Protocollo non specificato (non HOPOPT).
ICMP Internet Control Message Protocol.
TCP Transmission Control Protocol.
UDP User Datagram Protocol.
GRE Incapsulamento di routing generico.
ESP Encap Security Payload.

Processo

Rappresenta un processo del sistema operativo.

Rappresentazione JSON 
{
  "name": string,
  "binary": {
    object (File)
  },
  "libraries": [
    {
      object (File)
    }
  ],
  "script": {
    object (File)
  },
  "args": [
    string
  ],
  "argumentsTruncated": boolean,
  "envVariables": [
    {
      object (EnvironmentVariable)
    }
  ],
  "envVariablesTruncated": boolean,
  "pid": string,
  "parentPid": string
}
Campi
name

string

Il nome del processo, visualizzato in utilità come top e ps. Puoi accedere a questo nome tramite /proc/[pid]/comm e modificarlo con prctl(PR_SET_NAME).
binary

object (File)

Informazioni sul file per l'eseguibile del processo.
libraries[]

object (File)

Informazioni sul file per le librerie caricate dal processo.
script

object (File)

Quando il processo rappresenta l'invocazione di uno script, binary fornisce informazioni sull'interprete, mentre script fornisce informazioni sul file dello script fornito all'interprete.
args[]

string

Elabora gli argomenti come stringhe codificate in JSON.
argumentsTruncated

boolean

Vero se args è incompleto.
envVariables[]

object (EnvironmentVariable)

Elabora le variabili di ambiente.
envVariablesTruncated

boolean

Vero se envVariables è incompleto.
pid

string (int64 format)

L'ID processo.
parentPid

string (int64 format)

L'ID processo padre.

File

Informazioni sul file relative alla libreria/al file binario correlato utilizzato da un file eseguibile o allo script utilizzato da un interprete di script

Rappresentazione JSON 
{
  "path": string,
  "size": string,
  "sha256": string,
  "hashedSize": string,
  "partiallyHashed": boolean,
  "contents": string,
  "diskPath": {
    object (DiskPath)
  }
}
Campi
path

string

Percorso assoluto del file come stringa codificata in JSON.
size

string (int64 format)

Dimensioni del file in byte.
sha256

string

Hash SHA256 dei primi hashedSize byte del file codificati come stringa esadecimale. Se hashedSize == size, sha256 rappresenta l'hash SHA256 dell'intero file.
hashedSize

string (int64 format)

La lunghezza in byte del prefisso del file sottoposto ad hashing. Se hashedSize == size, tutti gli hash registrati rappresentano l'intero file.
partiallyHashed

boolean

True se l'hash copre solo un prefisso del file.
contents

string

Prefisso dei contenuti del file come stringa codificata in JSON.
diskPath

object (DiskPath)

Percorso del file in termini di identificatori di dischi/partizioni sottostanti.

DiskPath

Percorso del file in termini di identificatori di dischi/partizioni sottostanti.

Rappresentazione JSON 
{
  "partitionUuid": string,
  "relativePath": string
}
Campi
partitionUuid

string

UUID della partizione (formato https://wiki.archlinux.org/title/persistent_block_device_naming#by-uuid)
relativePath

string

Percorso relativo del file nella partizione come stringa codificata in JSON. Esempio: /home/user1/file_eseguibile.sh

EnvironmentVariable

Una coppia nome-valore che rappresenta una variabile di ambiente utilizzata in un processo del sistema operativo.

Rappresentazione JSON 
{
  "name": string,
  "val": string
}
Campi
name

string

Nome della variabile di ambiente come stringa con codifica JSON.
val

string

Valore della variabile di ambiente sotto forma di stringa con codifica JSON.

ContactDetails

Dettagli su contatti specifici

Rappresentazione JSON 
{
  "contacts": [
    {
      object (Contact)
    }
  ]
}
Campi
contacts[]

object (Contact)

Un elenco di contatti

Contatto

L'indirizzo email di un contatto.

Rappresentazione JSON 
{
  "email": string
}
Campi
email

string

Un indirizzo email. Ad esempio, "person123@company.com".

Conformità

Contiene informazioni sulla conformità a uno standard di sicurezza che indicano i consigli non soddisfatti.

Rappresentazione JSON 
{
  "standard": string,
  "version": string,
  "ids": [
    string
  ]
}
Campi
standard

string

Standard o benchmark di conformità a livello di settore, come CIS, PCI e OWASP.
version

string

Versione dello standard o del benchmark, ad esempio 1.1
ids[]

string

Norme all'interno dello standard o del benchmark, ad esempio A.12.4.1

Esfiltrazione

L'esfiltrazione rappresenta un tentativo di esfiltrazione di dati da una o più origini a uno o più target. L'attributo sources elenca le origini dei dati trafugati. L'attributo targets elenca le destinazioni in cui sono stati copiati i dati.

Rappresentazione JSON 
{
  "sources": [
    {
      object (ExfilResource)
    }
  ],
  "targets": [
    {
      object (ExfilResource)
    }
  ],
  "totalExfiltratedBytes": string
}
Campi
sources[]

object (ExfilResource)

Se sono presenti più origini, i dati vengono considerati "uniti" tra loro. Ad esempio, BigQuery può unire più tabelle e ogni tabella viene considerata un'origine.
targets[]

object (ExfilResource)

Se sono presenti più target, ogni target riceverà una copia completa dei dati di origine "uniti".
totalExfiltratedBytes

string (int64 format)

Byte esfiltrati totali elaborati per l'intero job.

ExfilResource

Risorsa da o verso cui sono stati esfiltrati i dati.

Rappresentazione JSON 
{
  "name": string,
  "components": [
    string
  ]
}
Campi
name

string

Il nome completo della risorsa.
components[]

string

Componenti secondari della risorsa esfiltrata, ad esempio gli URI utilizzati durante l'esfiltrazione, i nomi delle tabelle, i database e i nomi dei file. Ad esempio, più tabelle potrebbero essere state esfiltrate dalla stessa istanza Cloud SQL o più file potrebbero essere stati esfiltrati dallo stesso bucket Cloud Storage.

IamBinding

Rappresenta una determinata associazione IAM, che acquisisce l'aggiunta, la rimozione o lo stato del ruolo di un membro.

Rappresentazione JSON 
{
  "action": enum (Action),
  "role": string,
  "member": string
}
Campi
action

enum (Action)

L'azione eseguita su una Binding.
role

string

Ruolo assegnato a "membri". Ad esempio, "roles/viewer", "roles/editor" o "roles/owner".
member

string

Una singola identità che richiede l'accesso a una risorsa della piattaforma Cloud, ad esempio "foo@google.com".

Azione

Il tipo di azione eseguita su una associazione in un criterio.

Enum
ACTION_UNSPECIFIED Non specificato.
ADD Aggiunta di un'associazione.
REMOVE Rimozione di un'associazione.

Container

Contenitore associato al risultato.

Rappresentazione JSON 
{
  "name": string,
  "uri": string,
  "imageId": string,
  "labels": [
    {
      object (Label)
    }
  ],
  "createTime": string
}
Campi
name

string

Nome del contenitore.
uri

string

L'URI dell'immagine del container fornito durante la configurazione di un pod o un container. Questa stringa può identificare una versione dell'immagine container utilizzando tag mutabili.
imageId

string

ID immagine container facoltativo, se fornito dal runtime del container. Identifica in modo univoco l'immagine container lanciata utilizzando un digest dell'immagine container.
labels[]

object (Label)

Etichette dei container, come fornite dal runtime del container.
createTime

string (Timestamp format)

L'ora in cui è stato creato il contenitore.

Utilizza RFC 3339, in cui l'output generato sarà sempre normalizzato in base a Z e utilizza 0, 3, 6 o 9 cifre decimali. Sono accettati anche offset diversi da "Z". Esempi: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" o "2014-10-02T15:01:23+05:30".

Etichetta

Rappresenta un'etichetta generica di nome-valore. Un'etichetta ha campi di nome e valore separati per supportare i filtri con la funzione contains(). Per saperne di più, consulta Filtro in base a campi di tipo array.

Rappresentazione JSON 
{
  "name": string,
  "value": string
}
Campi
name

string

Nome dell'etichetta.
value

string

Valore corrispondente al nome dell'etichetta.

Kubernetes

Attributi relativi a Kubernetes.

Rappresentazione JSON 
{
  "pods": [
    {
      object (Pod)
    }
  ],
  "nodes": [
    {
      object (Node)
    }
  ],
  "nodePools": [
    {
      object (NodePool)
    }
  ],
  "roles": [
    {
      object (Role)
    }
  ],
  "bindings": [
    {
      object (Binding)
    }
  ],
  "accessReviews": [
    {
      object (AccessReview)
    }
  ],
  "objects": [
    {
      object (Object)
    }
  ]
}
Campi
pods[]

object (Pod)

Pod Kubernetes associati al rilevamento. Questo campo contiene i record dei pod per ogni container di proprietà di un pod.
nodes[]

object (Node)

Fornisce informazioni sul nodo Kubernetes.
nodePools[]

object (NodePool)

Node pool GKE associati al rilevamento. Questo campo contiene le informazioni sul pool di nodi per ogni nodo, se disponibile.
roles[]

object (Role)

Fornisce informazioni sui ruoli Kubernetes per i risultati che coinvolgono ruoli o ClusterRole.
bindings[]

object (Binding)

Fornisce informazioni sulle associazioni dei ruoli Kubernetes per i risultati che coinvolgono RoleBinding o ClusterRoleBindings.
accessReviews[]

object (AccessReview)

Fornisce informazioni su eventuali revisioni dell'accesso a Kubernetes (controlli dei privilegi) pertinenti al rilevamento.
objects[]

object (Object)

Oggetti Kubernetes correlati al rilevamento.

Pod

Un pod Kubernetes.

Rappresentazione JSON 
{
  "ns": string,
  "name": string,
  "labels": [
    {
      object (Label)
    }
  ],
  "containers": [
    {
      object (Container)
    }
  ]
}
Campi
ns

string

Spazio dei nomi del pod Kubernetes.
name

string

Nome del pod Kubernetes.
labels[]

object (Label)

Etichette pod. Per i container Kubernetes, vengono applicati al container.
containers[]

object (Container)

Eventuali contenitori pod associati a questo rilevamento.

Nodo

Nodi Kubernetes associati al risultato.

Rappresentazione JSON 
{
  "name": string
}
Campi
name

string

Nome completo della risorsa della VM Compute Engine che esegue il nodo del cluster.

NodePool

Fornisce informazioni sul pool di nodi GKE.

Rappresentazione JSON 
{
  "name": string,
  "nodes": [
    {
      object (Node)
    }
  ]
}
Campi
name

string

Nome del pool di nodi Kubernetes.
nodes[]

object (Node)

Nodi associati al risultato.

Ruolo

Ruolo Kubernetes o ClusterRole.

Rappresentazione JSON 
{
  "kind": enum (Kind),
  "ns": string,
  "name": string
}
Campi
kind

enum (Kind)

Tipo di ruolo.
ns

string

Spazio dei nomi ruolo.
name

string

Nome del ruolo.

Tipo

Tipi di ruoli Kubernetes.

Enum
KIND_UNSPECIFIED Il tipo di ruolo non è specificato.
ROLE Ruolo Kubernetes.
CLUSTER_ROLE ClusterRole Kubernetes.

Associazione

Rappresenta un RoleBinding o un ClusterRoleBinding Kubernetes.

Rappresentazione JSON 
{
  "ns": string,
  "name": string,
  "role": {
    object (Role)
  },
  "subjects": [
    {
      object (Subject)
    }
  ]
}
Campi
ns

string

Spazio dei nomi per l'associazione.
name

string

Nome dell'associazione.
role

object (Role)

Il ruolo o il ClusterRole a cui fa riferimento l'associazione.
subjects[]

object (Subject)

Rappresenta uno o più soggetti associati al ruolo. Non sempre disponibile per le richieste PATCH.

Oggetto

Rappresenta un soggetto Kubernetes.

Rappresentazione JSON 
{
  "kind": enum (AuthType),
  "ns": string,
  "name": string
}
Campi
kind

enum (AuthType)

Tipo di autenticazione per il soggetto.
ns

string

Spazio dei nomi per l'oggetto.
name

string

Nome dell'oggetto.

AuthType

Tipi di autenticazione che possono essere utilizzati per il campo kind del soggetto.

Enum
AUTH_TYPE_UNSPECIFIED L'autenticazione non è specificata.
USER Utente con certificato valido.
SERVICEACCOUNT Utenti gestiti dall'API Kubernetes con credenziali archiviate come secret.
GROUP Raccolta di utenti.

AccessReview

Fornisce informazioni su un controllo dell'accesso a Kubernetes (ad esempio quello restituito da un comando kubectl auth can-i) che è stato coinvolto in un rilevamento.

Rappresentazione JSON 
{
  "group": string,
  "ns": string,
  "name": string,
  "resource": string,
  "subresource": string,
  "verb": string,
  "version": string
}
Campi
group

string

Il gruppo API della risorsa. "*" indica tutto.
ns

string

Spazio dei nomi dell'azione richiesta. Al momento, non viene fatta distinzione tra nessun spazio dei nomi e tutti gli spazi dei nomi. Entrambi sono rappresentati da "" (vuoto).
name

string

Il nome della risorsa richiesta. Se il campo è vuoto, significa che sono inclusi tutti i valori.
resource

string

Il tipo di risorsa facoltativo richiesto. "*" indica tutto.
subresource

string

Il tipo di risorsa secondaria facoltativo.
verb

string

Un verbo dell'API della risorsa Kubernetes, ad esempio get, list, watch, create, update, delete, proxy. "*" indica tutto.
version

string

La versione dell'API della risorsa. "*" indica tutto.

Oggetto

Oggetto Kubernetes correlato al rilevamento, identificato in modo univoco da GKNN. Utilizzato se il tipo di oggetto non è Pod, Node, NodePool, Binding o AccessReview.

Rappresentazione JSON 
{
  "group": string,
  "kind": string,
  "ns": string,
  "name": string,
  "containers": [
    {
      object (Container)
    }
  ]
}
Campi
group

string

Gruppo di oggetti Kubernetes, ad esempio "policy.k8s.io/v1".
kind

string

Tipo di oggetto Kubernetes, ad esempio "Namespace".
ns

string

Spazio dei nomi degli oggetti Kubernetes. Deve essere un'etichetta DNS valida. Denominato "ns" per evitare conflitti con la parola chiave dello spazio dei nomi C++. Per maggiori dettagli, visita la pagina https://kubernetes.io/docs/tasks/administer-cluster/namespaces/.
name

string

Nome dell'oggetto Kubernetes. Per maggiori dettagli, visita https://kubernetes.io/docs/concepts/overview/working-with-objects/names/.
containers[]

object (Container)

Eventuali contenitori pod associati a questo rilevamento.

Database

Rappresenta le informazioni di accesso al database, ad esempio le query. Un database può essere una risorsa secondaria di un'istanza (come nel caso delle istanze Cloud SQL o Cloud Spanner) o l'istanza del database stessa. Per alcune risorse di database il nome completo della risorsa potrebbe non essere compilato perché questi tipi di risorse, come i database Cloud SQL, non sono ancora supportati da Cloud Asset Inventory. In questi casi viene fornito solo il nome visualizzato.

Rappresentazione JSON 
{
  "name": string,
  "displayName": string,
  "userName": string,
  "query": string,
  "grantees": [
    string
  ],
  "version": string
}
Campi
name

string

Per alcune risorse di database il nome completo della risorsa potrebbe non essere compilato perché questi tipi di risorse non sono ancora supportati da Cloud Asset Inventory (ad es. i database Cloud SQL). In questi casi verrà fornito solo il nome visualizzato. Il nome completo della risorsa del database a cui l'utente si è connesso, se supportato da Cloud Asset Inventory.
displayName

string

Il nome leggibile del database a cui l'utente si è connesso.
userName

string

Il nome utente utilizzato per connettersi al database. Il nome utente potrebbe non essere un'entità IAM e non ha un formato impostato.
query

string

L'istruzione SQL associata all'accesso al database.
grantees[]

string

I nomi utente, i ruoli o i gruppi target di una concessione di privilegi SQL, che non è una modifica del criterio IAM.
version

string

La versione del database, ad esempio POSTGRES_14. Consulta l'elenco completo.

AttackExposure

Un'esposizione agli attacchi contiene i risultati di un'esecuzione di una simulazione del percorso di attacco.

Rappresentazione JSON 
{
  "score": number,
  "latestCalculationTime": string,
  "attackExposureResult": string,
  "state": enum (State),
  "exposedHighValueResourcesCount": integer,
  "exposedMediumValueResourcesCount": integer,
  "exposedLowValueResourcesCount": integer
}
Campi
score

number

Un numero compreso tra 0 (incluso) e infinito che indica l'importanza di questo rilevamento per la correzione. Più alto è il punteggio, più è importante intervenire.
latestCalculationTime

string (Timestamp format)

L'ora più recente in cui è stata aggiornata l'esposizione agli attacchi in questo risultato.

Utilizza RFC 3339, in cui l'output generato sarà sempre normalizzato in base a Z e utilizza 0, 3, 6 o 9 cifre decimali. Sono accettati anche offset diversi da "Z". Esempi: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" o "2014-10-02T15:01:23+05:30".
attackExposureResult

string

Il nome della risorsa del risultato della simulazione del percorso di attacco che contiene i dettagli relativi a questo punteggio di esposizione all'attacco. Esempio: organizations/123/simulations/456/attackExposureResults/789
state

enum (State)

Solo output. Lo stato di questa esposizione agli attacchi. Indica se è stata calcolata o meno un'esposizione agli attacchi.
exposedHighValueResourcesCount

integer

Il numero di risorse di alto valore esposte a seguito di questo risultato.
exposedMediumValueResourcesCount

integer

Il numero di risorse di valore medio esposte a seguito di questo risultato.
exposedLowValueResourcesCount

integer

Il numero di risorse di alto valore esposte a seguito di questo risultato.

Stato

Questo enum definisce i vari stati in cui può trovarsi un'istanza AttackExposure.

Enum
STATE_UNSPECIFIED Lo stato non è specificato.
CALCULATED L'esposizione all'attacco è stata calcolata.
NOT_CALCULATED L'esposizione agli attacchi non è stata calcolata.

CloudDlpInspection

Dettagli sul job di ispezione Cloud Data Loss Prevention (Cloud DLP) che ha generato il rilevamento.

Rappresentazione JSON 
{
  "inspectJob": string,
  "infoType": string,
  "infoTypeCount": string,
  "fullScan": boolean
}
Campi
inspectJob

string

Nome del job di ispezione, ad esempio projects/123/locations/europe/dlpJobs/i-8383929.
infoType

string

Il tipo di informazioni (o infoType) trovato, ad esempio EMAIL_ADDRESS o STREET_ADDRESS.
infoTypeCount

string (int64 format)

Il numero di volte in cui Cloud DLP ha trovato questo infoType all'interno di questo job e di questa risorsa.
fullScan

boolean

Indica se Cloud DLP ha scansionato la risorsa completa o un sottoinsieme campionato.

CloudDlpDataProfile

Il profilo dei dati associato al rilevamento.

Rappresentazione JSON 
{
  "dataProfile": string,
  "parentType": enum (ParentType)
}
Campi
dataProfile

string

Nome del profilo di dati, ad esempio projects/123/locations/europe/tableProfiles/8383929.
parentType

enum (ParentType)

Il livello della gerarchia delle risorse a cui è stato generato il profilo dei dati.

ParentType

Elementi principali per le configurazioni che producono risultati del profilo dei dati.

Enum
PARENT_TYPE_UNSPECIFIED Tipo di entità principale non specificato.
ORGANIZATION Configurazioni a livello di organizzazione.
PROJECT Configurazioni a livello di progetto.

KernelRootkit

Firme dei rootkit in modalità kernel.

Rappresentazione JSON 
{
  "name": string,
  "unexpectedCodeModification": boolean,
  "unexpectedReadOnlyDataModification": boolean,
  "unexpectedFtraceHandler": boolean,
  "unexpectedKprobeHandler": boolean,
  "unexpectedKernelCodePages": boolean,
  "unexpectedSystemCallHandler": boolean,
  "unexpectedInterruptHandler": boolean,
  "unexpectedProcessesInRunqueue": boolean
}
Campi
name

string

Nome del rootkit, se disponibile.
unexpectedCodeModification

boolean

True se sono presenti modifiche impreviste della memoria del codice del kernel.
unexpectedReadOnlyDataModification

boolean

True se sono presenti modifiche impreviste della memoria dei dati di sola lettura del kernel.
unexpectedFtraceHandler

boolean

True se sono presenti punti ftrace con callback che rimandano a regioni non incluse nell'intervallo di codice del kernel o del modulo previsto.
unexpectedKprobeHandler

boolean

True se sono presenti punti kprobe con callback che rimandano a regioni non incluse nell'intervallo di codice del kernel o del modulo previsto.
unexpectedKernelCodePages

boolean

True se sono presenti pagine di codice del kernel che non si trovano nelle regioni di codice del kernel o del modulo previste.
unexpectedSystemCallHandler

boolean

True se sono presenti gestori di chiamate di sistema che non si trovano nelle regioni del codice del kernel o del modulo previste.
unexpectedInterruptHandler

boolean

True se sono presenti gestori di interruzioni che non si trovano nelle regioni di codice del kernel o del modulo previste.
unexpectedProcessesInRunqueue

boolean

True se sono presenti processi imprevisti nella coda di esecuzione dello scheduler. Questi processi sono nella coda di esecuzione, ma non nell'elenco delle attività di processo.

OrgPolicy

Contiene informazioni sulle norme dell'organizzazione associate al rilevamento.

Rappresentazione JSON 
{
  "name": string
}
Campi
name

string

Identificatore. Il nome della risorsa del criterio dell'organizzazione. Esempio: "organizations/{organization_id}/policies/{constraint_name}"

Job

Descrive un job

Rappresentazione JSON 
{
  "name": string,
  "state": enum (JobState),
  "errorCode": integer,
  "location": string
}
Campi
name

string

Il nome completo di un job, ad esempio projects/<projectId>/jobs/<job_id>
state

enum (JobState)

Solo output. Stato del job, ad esempio RUNNING o PENDING.
errorCode

integer

Facoltativo. Se il job non è stato completato correttamente, questo campo ne descrive il motivo.
location

string

Facoltativo. Fornisce la posizione in cui è stato eseguito il job, ad esempio US o europe-west1

JobState

JobState rappresenta lo stato del job.

Enum
JOB_STATE_UNSPECIFIED Unspecified rappresenta uno stato sconosciuto e non deve essere utilizzato.
PENDING Il job è pianificato e in attesa di esecuzione
RUNNING Job in corso
SUCCEEDED Il job è stato completato correttamente
FAILED Il job è stato completato, ma con errore

Applicazione

Rappresenta un'applicazione associata a un risultato.

Rappresentazione JSON 
{
  "baseUri": string,
  "fullUri": string
}
Campi
baseUri

string

L'URI di base che identifica la posizione di rete dell'applicazione in cui è stata rilevata la vulnerabilità. Ad esempio, http://example.com.
fullUri

string

L'URI completo con il payload che potrebbe essere utilizzato per riprodurre la vulnerabilità. Ad esempio, http://example.com?p=aMmYgI6H.

IpRules

Regole IP associate al risultato.

Rappresentazione JSON 
{
  "direction": enum (Direction),
  "sourceIpRanges": [
    string
  ],
  "destinationIpRanges": [
    string
  ],
  "exposedServices": [
    string
  ],

  // Union field rules can be only one of the following:
  "allowed": {
    object (Allowed)
  },
  "denied": {
    object (Denied)
  }
  // End of list of possible types for union field rules.
}
Campi
direction

enum (Direction)

La direzione a cui si applica la regola, in entrata o in uscita.
sourceIpRanges[]

string

Se vengono specificati intervalli IP di origine, la regola firewall si applica solo al traffico con un indirizzo IP di origine in questi intervalli. Questi intervalli devono essere espressi in formato CIDR. Supporta solo IPv4.
destinationIpRanges[]

string

Se vengono specificati intervalli IP di destinazione, la regola firewall si applica solo al traffico con un indirizzo IP di destinazione in questi intervalli. Questi intervalli devono essere espressi in formato CIDR. Supporta solo IPv4.
exposedServices[]

string

Nome del servizio del protocollo di rete, ad esempio FTP, esposto dalla porta aperta. Deve rispettare la convenzione di denominazione disponibile all'indirizzo: https://www.iana.org/assignments/service-names-port-numbers/service-names-port-numbers.xhtml.
Campo unione rules. L'elenco delle regole consentite specificate da questo firewall. Ogni regola specifica una tupla di protocollo e intervallo di porte che descrive una connessione consentita. rules può essere solo uno dei seguenti:
allowed

object (Allowed)

Tupla con le regole consentite.
denied

object (Denied)

Tupla con regole di negazione.

Direzione

Il tipo di direzione a cui si applica la regola, in entrata o in uscita. Non applicabile ai risultati OPEN_X_PORT.

Enum
DIRECTION_UNSPECIFIED Valore direzione non specificato.
INGRESS Valore della direzione di ingresso.
EGRESS Valore della direzione di uscita.

Consentito

Regola IP consentita.

Rappresentazione JSON 
{
  "ipRules": [
    {
      object (IpRule)
    }
  ]
}
Campi
ipRules[]

object (IpRule)

Facoltativo. Elenco facoltativo di regole IP consentite.

IpRule

Informazioni sulle regole IP.

Rappresentazione JSON 
{
  "protocol": string,
  "portRanges": [
    {
      object (PortRange)
    }
  ]
}
Campi
protocol

string

Il protocollo IP a cui si applica questa regola. Questo valore può essere una delle seguenti stringhe di protocollo ben note (TCP, UDP, ICMP, ESP, AH, IPIP, SCTP) o una rappresentazione di stringa del valore intero.
portRanges[]

object (PortRange)

Facoltativo. Un elenco facoltativo di porte a cui si applica questa regola. Questo campo è applicabile solo per i protocolli UDP o (S)TCP. Ogni voce deve essere un numero intero o un intervallo che includa un numero di porta minimo e massimo.

PortRange

Un intervallo di porte che include i valori minimo e massimo. I valori sono compresi tra 0 e 2^16-1. Il valore massimo può essere uguale / non deve essere inferiore al valore minimo. Se min e max sono uguali, significa che si tratta di una singola porta.

Rappresentazione JSON 
{
  "min": string,
  "max": string
}
Campi
min

string (int64 format)

Valore minimo della porta.
max

string (int64 format)

Valore massimo della porta.

Negato

Regola IP negata.

Rappresentazione JSON 
{
  "ipRules": [
    {
      object (IpRule)
    }
  ]
}
Campi
ipRules[]

object (IpRule)

Facoltativo. Elenco facoltativo di regole IP negate.

BackupDisasterRecovery

Informazioni relative ai risultati del servizio di backup e RE di Google Cloud.

Rappresentazione JSON 
{
  "backupTemplate": string,
  "policies": [
    string
  ],
  "host": string,
  "applications": [
    string
  ],
  "storagePool": string,
  "policyOptions": [
    string
  ],
  "profile": string,
  "appliance": string,
  "backupType": string,
  "backupCreateTime": string
}
Campi
backupTemplate

string

Il nome di un modello di backup e RE che comprende una o più policy di backup. Per ulteriori informazioni, consulta la documentazione di Backup e DR. Ad esempio, snap-ov.
policies[]

string

I nomi dei criteri di backup e RE associati a un modello e che definiscono quando eseguire un backup, la frequenza con cui eseguirlo e per quanto tempo conservare l'immagine di backup. Ad esempio, onvaults.
host

string

Il nome di un host di backup e RE, gestito dall'appliance di backup e ripristino e noto alla console di gestione. L'host può essere di tipo Generico (ad esempio Compute Engine, SQL Server, database Oracle, file system SMB e così via), vCenter o un server ESX. Per ulteriori informazioni, consulta la documentazione di Backup e DR sugli host. Ad esempio, centos7-01.
applications[]

string

I nomi delle applicazioni di backup e DR. Un'applicazione è una VM, un database o un file system su un host gestito monitorato da un'appliance di backup e ripristino. Ad esempio, centos7-01-vol00, centos7-01-vol01, centos7-01-vol02.
storagePool

string

Il nome del pool di archiviazione di backup e RE in cui l'appliance di backup e ripristino archivia i dati. Il pool di archiviazione può essere di tipo Cloud, Principale, Istantanea o InVault. Consulta la documentazione di Backup e DR sui pool di archiviazione. Ad esempio, DiskPoolOne.
policyOptions[]

string

I nomi delle opzioni dei criteri avanzati di Backup e DR di un criterio applicato a un'applicazione. Consulta la documentazione di Backup e DR sulle opzioni dei criteri. Ad esempio, skipofflineappsincongrp, nounmap.
profile

string

Il nome del profilo della risorsa di backup e RE che specifica i supporti di archiviazione per i backup dei dati delle applicazioni e delle VM. Consulta la documentazione di Backup e DR sui profili. Ad esempio, GCP.
appliance

string

Il nome dell'appliance di backup e DR che acquisisce, sposta e gestisce il ciclo di vita dei dati di backup. Ad esempio, backup-server-57137.
backupType

string

Il tipo di backup dell'immagine di Backup e DR. Ad esempio, Snapshot, Remote Snapshot, OnVault.
backupCreateTime

string (Timestamp format)

Il timestamp in cui è stato creato il backup di Backup e DR.

Utilizza RFC 3339, in cui l'output generato sarà sempre normalizzato in base a Z e utilizza 0, 3, 6 o 9 cifre decimali. Sono accettati anche offset diversi da "Z". Esempi: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" o "2014-10-02T15:01:23+05:30".

SecurityPosture

Rappresenta una strategia di sicurezza di cui è stato eseguito il deployment su Google Cloud dal servizio Posture Management di Security Command Center. Una configurazione di sicurezza contiene uno o più set di criteri. Un insieme di criteri è un gruppo di criteri che applicano un insieme di regole di sicurezza su Google Cloud.

Rappresentazione JSON 
{
  "name": string,
  "revisionId": string,
  "postureDeploymentResource": string,
  "postureDeployment": string,
  "changedPolicy": string,
  "policySet": string,
  "policy": string,
  "policyDriftDetails": [
    {
      object (PolicyDriftDetails)
    }
  ]
}
Campi
name

string

Nome della postura, ad esempio CIS-Posture.
revisionId

string

La versione dell'assetto, ad esempio c7cfa2a8.
postureDeploymentResource

string

Il progetto, la cartella o l'organizzazione su cui è implementata la postura, ad esempio projects/{project_number}.
postureDeployment

string

Il nome del deployment della configurazione di sicurezza, ad esempio organizations/{org_id}/posturedeployments/{posture_deployment_id}.
changedPolicy

string

Il nome del criterio aggiornato, ad esempio projects/{projectId}/policies/{constraint_name}.
policySet

string

Il nome dell'insieme di criteri aggiornato, ad esempio cis-policyset.
policy

string

L'ID della norma aggiornata, ad esempio compute-policy-1.
policyDriftDetails[]

object (PolicyDriftDetails)

I dettagli di una modifica a un criterio aggiornato che viola la posizione di destinazione.

PolicyDriftDetails

Il campo della norma che viola la postura di cui è stato eseguito il deployment e i relativi valori previsti e rilevati.

Rappresentazione JSON 
{
  "field": string,
  "expectedValue": string,
  "detectedValue": string
}
Campi
field

string

Il nome del campo aggiornato, ad esempio constraint.implementation.policy_rules[0].enforce
expectedValue

string

Il valore di questo campo configurato in una postura, ad esempio true o allowed_values={"projects/29831892"}.
detectedValue

string

Il valore rilevato che viola la postura di cui è stato eseguito il deployment, ad esempio false o allowed_values={"projects/22831892"}.

LogEntry

Una singola voce in un log.

Rappresentazione JSON 
{

  // Union field log_entry can be only one of the following:
  "cloudLoggingEntry": {
    object (CloudLoggingEntry)
  }
  // End of list of possible types for union field log_entry.
}
Campi

Campo unione log_entry.

log_entry può essere solo uno dei seguenti:
cloudLoggingEntry

object (CloudLoggingEntry)

Una singola voce in un log archiviato in Cloud Logging.

CloudLoggingEntry

Metadati estratti da un elemento LogEntry di Cloud Logging

Rappresentazione JSON 
{
  "insertId": string,
  "logId": string,
  "resourceContainer": string,
  "timestamp": string
}
Campi
insertId

string

Un identificatore univoco per la voce di log.
logId

string

Il tipo di log (parte di logName. logName è il nome della risorsa del log a cui appartiene questa voce di log). Ad esempio: cloudresourcemanager.googleapis.com/activity Tieni presente che questo campo non è codificato in URL, a differenza di LogEntry.
resourceContainer

string

L'organizzazione, la cartella o il progetto della risorsa monitorata che ha generato questa voce di log.
timestamp

string (Timestamp format)

L'ora in cui si è verificato l'evento descritto dalla voce di log.

Utilizza RFC 3339, in cui l'output generato sarà sempre normalizzato in base a Z e utilizza 0, 3, 6 o 9 cifre decimali. Sono accettati anche offset diversi da "Z". Esempi: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" o "2014-10-02T15:01:23+05:30".

LoadBalancer

Contiene informazioni relative al bilanciatore del carico associato al rilevamento.

Rappresentazione JSON 
{
  "name": string
}
Campi
name

string

Il nome del bilanciatore del carico associato al rilevamento.

CloudArmor

Campi correlati ai risultati di Google Cloud Armor.

Rappresentazione JSON 
{
  "securityPolicy": {
    object (SecurityPolicy)
  },
  "requests": {
    object (Requests)
  },
  "adaptiveProtection": {
    object (AdaptiveProtection)
  },
  "attack": {
    object (Attack)
  },
  "threatVector": string,
  "duration": string
}
Campi
securityPolicy

object (SecurityPolicy)

Informazioni sui criteri di sicurezza di Google Cloud Armor pertinenti al rilevamento.
requests

object (Requests)

Informazioni sulle richieste in entrata valutate dai criteri di sicurezza di Google Cloud Armor.
adaptiveProtection

object (AdaptiveProtection)

Informazioni su potenziali attacchi DDoS di livello 7 identificati da Google Cloud Armor Adaptive Protection.
attack

object (Attack)

Informazioni sul volume e sulla classificazione degli attacchi DDoS.
threatVector

string

Distinguere tra attacchi DDoS volumetrici e di protocollo e attacchi a livello di applicazione. Ad esempio, "L3_4" per gli attacchi DDoS di livello 3 e 4 o "L_7" per gli attacchi DDoS di livello 7.
duration

string (Duration format)

Durata dell'attacco dall'inizio fino al momento corrente (aggiornata ogni 5 minuti).

Una durata in secondi con un massimo di nove cifre frazionarie, che termina con "s". Esempio: "3.5s".

SecurityPolicy

Informazioni sui criteri di sicurezza di Google Cloud Armor pertinenti al rilevamento.

Rappresentazione JSON 
{
  "name": string,
  "type": string,
  "preview": boolean
}
Campi
name

string

Il nome del criterio di sicurezza Google Cloud Armor, ad esempio "my-security-policy".
type

string

Il tipo di criterio di sicurezza di Google Cloud Armor, ad esempio "criterio di sicurezza di backend", "criterio di sicurezza perimetrale", "criterio di sicurezza di perimetro di rete" o "protezione DDoS sempre attiva".
preview

boolean

Indica se la regola o il criterio associato è in modalità di anteprima.

Richieste

Informazioni sulle richieste pertinenti al rilevamento.

Rappresentazione JSON 
{
  "ratio": number,
  "shortTermAllowed": integer,
  "longTermAllowed": integer,
  "longTermDenied": integer
}
Campi
ratio

number

Per "Aumento del rapporto di rifiuto", il rapporto è il traffico rifiutato diviso per il traffico consentito. Per "Picco di traffico consentito", il rapporto è il traffico consentito a breve termine diviso per il traffico consentito a lungo termine.
shortTermAllowed

integer

RPS (richieste al secondo) consentite a breve termine.
longTermAllowed

integer

RPS (richieste al secondo) consentite a lungo termine.
longTermDenied

integer

RPS (richieste al secondo) rifiutate a lungo termine.

AdaptiveProtection

Informazioni su Cloud Armor Adaptive Protection.

Rappresentazione JSON 
{
  "confidence": number
}
Campi
confidence

number

Un punteggio pari a 0 indica che è bassa la probabilità che l'evento rilevato sia un attacco effettivo. Un punteggio pari a 1 indica che è molto probabile che l'evento rilevato sia un attacco. Per ulteriori spiegazioni, consulta la documentazione di Adaptive Protection.

Attacco

Informazioni sul volume e sulla classificazione degli attacchi DDoS.

Rappresentazione JSON 
{
  "volumePpsLong": string,
  "volumeBpsLong": string,
  "classification": string,
  "volumePps": integer,
  "volumeBps": integer
}
Campi
volumePpsLong

string (int64 format)

Volume totale di attacchi in PPS (pacchetti al secondo).
volumeBpsLong

string (int64 format)

Volume totale di attacco in BPS (byte al secondo).
classification

string

Tipo di attacco, ad esempio "SYN-flood", "NTP-udp" o "CHARGEN-udp".
volumePps
(deprecated)

integer

Volume totale di attacchi in PPS (pacchetti al secondo). Deprecato. Fai riferimento a volumePpsLong.
volumeBps
(deprecated)

integer

Volume totale di attacco in BPS (byte al secondo). Deprecato. Fai riferimento a volumeBpsLong.

Notebook

Rappresenta un file IPYNB del notebook Jupyter, ad esempio un file del notebook Colab Enterprise, associato a un rilevamento.

Rappresentazione JSON 
{
  "name": string,
  "service": string,
  "lastAuthor": string,
  "notebookUpdateTime": string
}
Campi
name

string

Il nome del blocco note.
service

string

Il servizio del notebook di origine, ad esempio "Colab Enterprise".
lastAuthor

string

L'ID utente dell'autore più recente che ha modificato il notebook.
notebookUpdateTime

string (Timestamp format)

L'ora più recente dell'aggiornamento del notebook.

Utilizza RFC 3339, in cui l'output generato sarà sempre normalizzato in base a Z e utilizza 0, 3, 6 o 9 cifre decimali. Sono accettati anche offset diversi da "Z". Esempi: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" o "2014-10-02T15:01:23+05:30".

ToxicCombination

Contiene dettagli su un gruppo di problemi di sicurezza che, se si verificano contemporaneamente, rappresentano un rischio maggiore rispetto a quando si verificano in modo indipendente. Un gruppo di questi problemi è definito combinazione tossica.

Rappresentazione JSON 
{
  "attackExposureScore": number,
  "relatedFindings": [
    string
  ]
}
Campi
attackExposureScore

number

Il punteggio di esposizione agli attacchi di questa combinazione tossica. Il punteggio misura quanto questa combinazione dannosa espone una o più risorse di alto valore a un potenziale attacco.
relatedFindings[]

string

Elenco dei nomi delle risorse dei risultati associati a questa combinazione tossica. Ad esempio, organizations/123/sources/456/findings/789.

GroupMembership

Contiene i dettagli dei gruppi di cui fa parte questo risultato. Un gruppo è una raccolta di risultati correlati in qualche modo.

Rappresentazione JSON 
{
  "groupType": enum (GroupType),
  "groupId": string
}
Campi
groupType

enum (GroupType)

Tipo di gruppo.
groupId

string

ID del gruppo.

GroupType

Possibili tipi di gruppi.

Enum
GROUP_TYPE_UNSPECIFIED Valore predefinito.
GROUP_TYPE_TOXIC_COMBINATION Il gruppo rappresenta una combinazione dannosa.

Disco

Contiene informazioni sul disco associato al rilevamento.

Rappresentazione JSON 
{
  "name": string
}
Campi
name

string

Il nome del disco, ad esempio "https://www.googleapis.com/compute/v1/projects/{project-id}/zones/{zone-id}/disks/{disk-id}".

DataAccessEvent

Dettagli su un tentativo di accesso ai dati effettuato da un entità non autorizzata ai sensi dei criteri di sicurezza dei dati vigenti.

Rappresentazione JSON 
{
  "eventId": string,
  "principalEmail": string,
  "operation": enum (Operation),
  "eventTime": string
}
Campi
eventId

string

Identificatore univoco per l'evento di accesso ai dati.
principalEmail

string

L'indirizzo email dell'entità che ha eseguito l'accesso ai dati. L'entità può essere un account utente, un account di servizio, un gruppo Google o altro.
operation

enum (Operation)

L'operazione eseguita dall'entità per accedere ai dati.
eventTime

string (Timestamp format)

Timestamp dell'evento di accesso ai dati.

Utilizza RFC 3339, in cui l'output generato sarà sempre normalizzato in base a Z e utilizza 0, 3, 6 o 9 cifre decimali. Sono accettati anche offset diversi da "Z". Esempi: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" o "2014-10-02T15:01:23+05:30".

Operazione

L'operazione di un evento di accesso ai dati.

Enum
OPERATION_UNSPECIFIED L'operazione non è specificata.
READ Rappresenta un'operazione di lettura.
MOVE Rappresenta un'operazione di spostamento.
COPY Rappresenta un'operazione di copia.

DataFlowEvent

Dettagli su un evento di flusso di dati in cui i dati vengono spostati in una posizione geografica non conforme o a cui viene eseguito l'accesso da una posizione geografica non conforme, come definito nelle norme sulla sicurezza dei dati vigenti.

Rappresentazione JSON 
{
  "eventId": string,
  "principalEmail": string,
  "operation": enum (Operation),
  "violatedLocation": string,
  "eventTime": string
}
Campi
eventId

string

Identificatore univoco per l'evento di flusso di dati.
principalEmail

string

L'indirizzo email dell'entità che ha avviato l'evento di flusso di dati. L'entità può essere un account utente, un account di servizio, un gruppo Google o altro.
operation

enum (Operation)

L'operazione eseguita dall'entità per l'evento di flusso di dati.
violatedLocation

string

Posizione non conforme del principale o della destinazione dei dati.
eventTime

string (Timestamp format)

Timestamp dell'evento di flusso di dati.

Utilizza RFC 3339, in cui l'output generato sarà sempre normalizzato in base a Z e utilizza 0, 3, 6 o 9 cifre decimali. Sono accettati anche offset diversi da "Z". Esempi: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" o "2014-10-02T15:01:23+05:30".

Operazione

L'operazione di un evento di flusso di dati.

Enum
OPERATION_UNSPECIFIED L'operazione non è specificata.
READ Rappresenta un'operazione di lettura.
MOVE Rappresenta un'operazione di spostamento.
COPY Rappresenta un'operazione di copia.

Rete

Contiene informazioni su una rete VPC associata al rilevamento.

Rappresentazione JSON 
{
  "name": string
}
Campi
name

string

Il nome della risorsa di rete VPC, ad esempio //compute.googleapis.com/projects/my-project/global/networks/my-network.

DataRetentionDeletionEvent

Dettagli sulle violazioni di eliminazione della conservazione dei dati, in cui i dati non sono conformi in base al momento della loro conservazione o eliminazione, come definito nelle norme sulla sicurezza dei dati vigenti. Il controllo di eliminazione della conservazione dei dati (DRD) è un controllo della suite DSPM (Data Security Posture Management) che consente alle organizzazioni di gestire i criteri di conservazione ed eliminazione dei dati in conformità con le normative, come GDPR e CRPA. DRD supporta due tipi di criteri principali: durata massima di archiviazione (TTL massimo) e durata minima di archiviazione (TTL minimo). Entrambi hanno lo scopo di aiutare le organizzazioni a rispettare gli impegni normativi e di gestione dei dati.

Rappresentazione JSON 
{
  "eventDetectionTime": string,
  "dataObjectCount": string,
  "maxRetentionAllowed": string,
  "eventType": enum (EventType)
}
Campi
eventDetectionTime

string (Timestamp format)

Timestamp che indica quando è stato rilevato l'evento.

Utilizza RFC 3339, in cui l'output generato sarà sempre normalizzato in base a Z e utilizza 0, 3, 6 o 9 cifre decimali. Sono accettati anche offset diversi da "Z". Esempi: "2014-10-02T15:01:23Z", "2014-10-02T15:01:23.045123456Z" o "2014-10-02T15:01:23+05:30".
dataObjectCount

string (int64 format)

Numero di oggetti che hanno violato le norme per questa risorsa. Se il numero è inferiore a 1000, il valore di questo campo è il numero esatto. Se il numero di oggetti che hanno violato le norme è maggiore o uguale a 1000, il valore di questo campo è 1000.
maxRetentionAllowed

string (Duration format)

Durata massima della conservazione consentita dal controllo DRD. Questo valore proviene dal controllo DRD in cui gli utenti impostano un TTL massimo per i propri dati. Ad esempio, supponiamo che un utente imposti il TTL massimo per un bucket Cloud Storage su 90 giorni. Tuttavia, un oggetto in quel bucket risale a 100 giorni fa. In questo caso, verrà generato un evento DataRetentionDeletionEvent per il bucket Cloud Storage e il valore maxRetentionAllowed sarà 90 giorni.

Una durata in secondi con un massimo di nove cifre frazionarie, che termina con "s". Esempio: "3.5s".
eventType

enum (EventType)

Tipo di evento DRD.

EventType

Tipo di evento DRD.

Enum
EVENT_TYPE_UNSPECIFIED Tipo di evento non specificato.
EVENT_TYPE_MAX_TTL_EXCEEDED È stato superato il periodo di conservazione massimo.

Metodi

create

 Crea un rilevamento in una località.

group

 Filtra i risultati di un'organizzazione o di una fonte e li raggruppa in base alle proprietà specificate in una località.

list

 Elenca i risultati di un'organizzazione o di una fonte.

patch

 Crea o aggiorna un esito.

setMute

 Aggiorna lo stato di disattivazione dell'audio di un risultato.

setState

 Aggiorna lo stato di un risultato.

updateSecurityMarks

 Aggiorna i contrassegni di sicurezza.