Validar los controles y parámetros de configuración de seguridad

Esta guía está dirigida a ingenieros de seguridad que desean probar su seguridad de forma proactiva simulando ataques en su entorno de Google Cloud . En él, se explica cómo implementar un recorrido de Security Validation continuo.

Security Validation usa acciones y secuencias de comandos que imitan las técnicas de los atacantes para activar alertas de detección en tus proyectos de Google Cloud . La operación continua identifica las vulnerabilidades, y los equipos de seguridad pueden reducir el riesgo garantizando que las configuraciones y los controles respondan a las amenazas más recientes según lo esperado.

La finalización exitosa de este recorrido proporciona una prueba medible de una mejor postura de seguridad y garantiza que las reglas de detección o las integraciones recién implementadas funcionen correctamente sin intervención manual.

Casos de uso habituales

En esta sección, se enumeran los casos de uso comunes de Security Validation.

Detecta la regresión de la postura de seguridad

Objetivo: Identificar cuándo se ejecuta correctamente en el entorno un comportamiento de atacante que se había bloqueado con anterioridad.

Valor: Alerta a los equipos de seguridad y operaciones sobre desvíos de configuración no deseados, lo que les permite corregir las vulnerabilidades antes de que se exploten.

Validar el ajuste de los controles de seguridad

Objetivo: Confirmar que las reglas de detección o las integraciones de productos recién implementadas funcionen según lo previsto.

Valor: Proporciona pruebas medibles de que las actualizaciones de reglas o los cambios en el entorno mejoraron correctamente la postura de seguridad, lo que permite que los equipos establezcan con confianza una nueva referencia.

Terminología clave

  • Contexto de validación de seguridad: Un contexto de validación de seguridad configura el entorno para tus pruebas de seguridad. Especifica qué proyecto usar, con qué cuenta ejecutar la prueba y cualquier otro detalle que necesiten tus acciones.

  • Acción de validación de seguridad: Es una secuencia de comandos diseñada para imitar las técnicas de los atacantes del mundo real, que se usa para activar reglas de detección y verificar tu postura de seguridad.

  • Ejecución de referencia: Es una ejecución de validación de seguridad específica y completada que se usa como referencia estándar para comparar ejecuciones futuras.

  • Supervisión: Es un trabajo programado (SecurityValidationJob en la API) que ejecuta una acción de Security Validation y evalúa los resultados en función de un modelo de referencia definido.

  • Estado de desvío: Es el indicador de estado de un supervisor que se basa en si las ejecuciones recientes coinciden con el modelo de referencia (en buen estado) o muestran una desviación (desvío detectado).

  • Período de correlación: Es el período de 12 horas posterior a una ejecución durante el cual el sistema busca y asocia eventos y detecciones relacionados, según la plantilla de filtro de eventos en los metadatos de la acción ejecutada.

  • Tiempo de espera de supervisión: Es la duración máxima que el sistema espera después de una ejecución para que los eventos y las detecciones se correlacionen antes de evaluar el estado de desvío final. Este tiempo de espera opera dentro de la ventana de correlación más grande de 12 horas. Los resultados esperados deben observarse antes de que se alcance este tiempo de espera para que el monitor se considere exitoso. Si las verificaciones no se aprueban antes de que se agote este tiempo de espera, el sistema marca el monitor como failed. Esta duración se establece de forma predeterminada en 8 horas, pero se puede configurar entre 15 minutos y 10 horas.

Antes de comenzar

Asegúrate de que se hayan establecido la configuración y los permisos que se indican a continuación.

Configuración obligatoria

Asegúrate de tener la siguiente configuración:

  • Tu usuario debe tener habilitada la validación de seguridad.

  • La validación de seguridad solo funciona con proyectos autoadministrados.

  • Necesitas uno o dos proyectos de Google Cloud . Si bien puedes usar el mismo proyecto para la ejecución y la segmentación, te recomendamos que uses proyectos separados para mejorar la seguridad, mantener tus pruebas limpias y facilitar la administración de la configuración.

    • Proyecto de ejecución: La Validación de seguridad ejecuta tus pruebas de seguridad en el proyecto de ejecución. Para ello, usa Cloud Run y Cloud Storage. Estos trabajos y buckets solo están destinados a que los use el servicio de validación. No se debe otorgar acceso a ellas a otros usuarios.

      La API de Cloud Run, la API de Resource Manager y la API de IAM deben estar habilitadas en este proyecto, y debes tener los permisos resourcemanager.projects.SetIamPolicy, storage.buckets.SetIamPolicy, storage.buckets.create y storage.buckets.delete para crear un contexto de validación de seguridad para él. Consulta la referencia de permisos de IAM para obtener la lista de roles que proporcionan este permiso.

    • Proyecto de destino: Es el lugar en el que operan las llamadas a la API que realiza la secuencia de comandos de la acción de validación de seguridad. El éxito de las acciones depende de si las APIs requeridas que usan las acciones están habilitadas en este proyecto y si las cuentas de servicio en el contexto de validación de seguridad tienen los permisos necesarios en ellas.

  • Cuentas de servicio: Requiere una o más cuentas de servicio en el proyecto de ejecución. Estas cuentas ejecutan las secuencias de comandos de acción. Cualquier usuario que necesite ejecutar una acción con un contexto específico debe tener el permiso iam.serviceAccounts.actAs en las cuentas de servicio de ese contexto.

Permisos necesarios

Asigna uno de los siguientes roles predefinidos en el proyecto de tu instancia de SecOps.

  • chronicle.viewer: Acceso de solo lectura a las acciones, los contextos, los trabajos y los recursos de ejecución de Security Validation.

  • chronicle.editor: Incluye todos los permisos de viewer y la capacidad de crear, actualizar, ejecutar y borrar contextos y trabajos de Security Validation.

  • chronicle.admin: Incluye todos los permisos de editor y la capacidad de crear, actualizar y borrar acciones personalizadas de validación de seguridad (solo API).

Si no usas los roles predefinidos que se mencionaron antes, puedes otorgar permisos equivalentes con un rol personalizado o asignando el rol chronicle.securityValidationAdmin, que incluye los mismos permisos que chronicle.admin.

Para obtener más información, consulta las Funciones requeridas.

Implementa la validación de seguridad continua

La validación de tu postura de seguridad implica una progresión estructurada:

  • Define tu entorno

  • Ejecutar simulaciones para establecer un modelo de referencia

  • Automatizar las simulaciones para detectar desviaciones

Este flujo de trabajo garantiza que tus controles de seguridad sigan siendo eficaces a medida que evoluciona tu entorno.

Crea un contexto de Security Validation

Un contexto de validación de seguridad configura el entorno para tus pruebas de seguridad. Especifica qué proyecto usar, con qué cuenta ejecutar la prueba y cualquier otro detalle que necesiten tus acciones. Puedes volver a usar el mismo contexto para diferentes acciones.

Para crear un contexto de validación de seguridad, haz lo siguiente:

  1. Accede a Google SecOps.

  2. Navega a Security Validation y ve a la pestaña Execution Contexts.

  3. Haz clic en Agregar contexto de ejecución.

  4. En el cuadro de diálogo Agregar contexto de ejecución, haz lo siguiente:

    1. En Propiedades básicas, ingresa el nombre y la descripción del contexto y, luego, haz clic en Siguiente.

    2. En Configuración del entorno, ingresa el ID del proyecto de Google Cloud , la cuenta de servicio de ejecución y la cuenta de servicio de limpieza. Haz clic en Siguiente.

      Te recomendamos que uses cuentas de servicio independientes para action profile (para ejecutar secuencias de comandos de acciones) y para setup/cleanup profile (para ejecutar las secuencias de comandos de configuración y limpieza que forman parte de algunas acciones). A estas cuentas de servicio se les pueden otorgar diferentes permisos en el proyecto de destino.

    3. En Variables de entorno de ejecución, agrega una o varias variables para anular de forma dinámica los parámetros predeterminados. Agrega pares clave-valor en los que key sea el nombre del parámetro y value sea su valor de anulación.

    4. Haz clic en Crear.

Ejecuta la acción de validación de seguridad

Para ejecutar una acción de validación de seguridad en un contexto de validación de seguridad, haz lo siguiente:

  1. Accede a Google SecOps.

  2. Navega a Validación de seguridad y ve a la pestaña Biblioteca de contenido.

  3. Selecciona una acción y haz clic en Ejecutar.

  4. En el diálogo, selecciona el contexto de ejecución que creaste y haz clic en Ejecutar ahora.

Se creará una ejecución nueva y aparecerá en la pestaña Historial de ejecuciones.

Administra los supervisores de Security Validation

Puedes volver a ejecutar automáticamente las acciones exitosas de forma recurrente con la función de supervisión. Permite la supervisión continua de la postura de seguridad sin intervención manual.

Crea un supervisor

Solo puedes crear un monitor a partir de una ejecución completada correctamente. Para crear un monitor a partir de una ejecución, haz lo siguiente:

  1. Accede a Google SecOps.

  2. Navega a Validación de seguridad y ve a la pestaña Historial de ejecución.

  3. Haz clic en el ID de ejecución de una ejecución y, luego, en Crear supervisión.

  4. Opcional: En la ventana Crear supervisión, asígnale un nombre a la supervisión.

    Si no ingresas un nombre para el monitor, se hará referencia a él con un ID de monitor.

    Revisa los detalles de la ejecución del modelo de referencia que se muestran en esta ventana.

  5. Haz clic en Siguiente.

  6. Establece la configuración de Monitor.

    Puedes ejecutar un Monitor en momentos específicos o cada hora.

    Para ejecutar el Monitor en momentos específicos, haz lo siguiente:

    1. En el menú desplegable Hora, selecciona Ejecutar en un momento específico.

    2. Especifica la hora del día en el cuadro de texto adyacente.

    3. En la opción Días, selecciona una de las siguientes opciones:

      • Diariamente: Se ejecuta todos los días a la hora especificada.

      • Días de la semana: Se ejecuta solo los días seleccionados (por ejemplo, lunes, miércoles y viernes) a la hora especificada.

      • Día del mes: Se ejecuta una vez al mes en el día especificado (por ejemplo, el día 15) a la hora especificada.

    4. En el menú desplegable Meses, selecciona Mensual (para que se ejecute todos los meses) o Meses específicos para especificar los meses exactos en los que se debe ejecutar el monitor (por ejemplo, enero, abril, julio).

    5. En el menú desplegable Zona horaria, selecciona la zona horaria que corresponda. Este campo se establece de forma predeterminada en la zona horaria que se indica en tus Preferencias del usuario (que puede diferir de la configuración del navegador). Para encontrar o cambiar este parámetro de configuración predeterminado, navega a Perfil > Preferencias del usuario > Localización > Zona horaria.

    6. Haz clic en Siguiente.

    Para ejecutar el Monitor en intervalos de una hora, haz lo siguiente:

    1. En el menú desplegable Hora, selecciona Repetir cada hora.

    2. Establece la frecuencia de repetición del ciclo de supervisión en el campo horas y la marca de minuto específica en el campo minutos. Por ejemplo, si configuras 1 hora y 30 minutos, el monitor se ejecutará cada hora a los 30 minutos de la hora (NO se ejecuta cada 90 minutos).

    3. En la opción Horario, selecciona una de las siguientes opciones:

      • Todas las horas del día: El Monitor se ejecutará las 24 horas, cada hora del día, según la frecuencia especificada.

      • Hora de inicio y finalización: El monitor se ejecutará solo dentro del rango de horas de inicio y finalización especificado (por ejemplo, entre las 8:00 a.m. y las 5:00 p.m.).

    4. En la opción Días, selecciona una de las siguientes opciones:

      • Diariamente: Se ejecuta todos los días a la hora especificada.

      • Días de la semana: Se ejecuta solo los días seleccionados (por ejemplo, lunes, miércoles y viernes) a la hora especificada.

      • Día del mes: Se ejecuta una vez al mes en el día especificado (por ejemplo, el día 15) a la hora especificada.

    5. En el menú desplegable Meses, selecciona Mensual (para que se ejecute todos los meses) o Meses específicos para especificar los meses exactos en los que se debe ejecutar el Monitor (por ejemplo, enero, abril, julio).

    6. En el menú desplegable Zona horaria, selecciona la zona horaria que corresponda. Este campo se establece de forma predeterminada en la zona horaria configurada en tus Preferencias del usuario (que puede diferir de la configuración de tu navegador). Para encontrar o cambiar este parámetro de configuración predeterminado, navega a Perfil > Preferencias del usuario > Localización > Zona horaria.

    7. Haz clic en Siguiente.

  7. En Resultados esperados, marca o desmarca las condiciones según sea necesario. Debes seleccionar al menos una condición.

    • El resultado de la acción coincide con el modelo de referencia: Evalúa si el estado de ejecución, el resultado y el motivo del resultado coinciden con el modelo de referencia. Los tres parámetros deben coincidir para que la verificación se evalúe como verdadera.

    • Los productos de eventos correlacionados coinciden con el modelo de referencia:

      • Agrupa los eventos correlacionados por producto.

      • Verifica que la ejecución actual tenga, al menos, un evento para cada producto que aparece en el modelo de referencia.

      • La verificación ignora los eventos de los productos que no tienen ningún evento en el modelo de referencia.

      • Se evalúa como false si los eventos que coinciden con el modelo de referencia no llegan antes del tiempo de espera.

    • Reglas de detección correlacionadas que alertan sobre la coincidencia del modelo de referencia:

      • Agrupa las detecciones por regla y estado de alerta.

      • Verifica que la ejecución actual tenga al menos una detección de una regla que tenga detecciones en la ejecución de referencia.

      • Ignora las detecciones de reglas que no tienen detecciones en la ejecución del modelo de referencia.

      • Se evalúa como false si las detecciones que coinciden con el modelo de referencia no llegan antes del tiempo de espera.

  8. Haz clic en Crear para crear el monitor.

Visualiza y ejecuta un monitor

Para ver un supervisor creado, haz lo siguiente:

  1. Navega a Validación de seguridad y ve a la pestaña Monitores. Algunas columnas están ocultas de forma predeterminada. Haz clic en Administrador de columnas para administrar la visibilidad de las columnas.

  2. Busca tu monitor específico en la lista.

  3. Haz clic en el vínculo del supervisor para abrir la página de detalles del supervisor.

  4. Haz clic en Ejecutar ahora para ejecutar el supervisor.

En la página de detalles de Monitor, se proporciona una descripción general centralizada y de alto nivel del Monitor. Te ayuda a evaluar el estado y el rendimiento general de un monitor de un vistazo. Proporciona la siguiente información importante sobre el Monitor:

Resumen de salud

Las siguientes tarjetas de métricas proporcionan una descripción general de alto nivel de la estabilidad del Monitor:

  • Estado de supervisión: Muestra el estado actual según la última ejecución con un resultado de supervisión finalizado (por ejemplo, Healthy) y cuánto tiempo mantuvo ese estado.

  • Último resultado de buen o mal estado: Proporciona un puntero a la ejecución más reciente que se desvió del valor de referencia.

  • Actualidad de los resultados: Muestra el tiempo transcurrido desde la última ejecución con un estado de supervisión finalizado.

Resultados esperados

En esta sección, se definen los criterios de éxito derivados de la ejecución de referencia.

  • Resultado y motivo de la acción: El resultado y el motivo de la acción que coinciden con la ejecución del modelo de referencia (por ejemplo, NOT_BLOCKED con un motivo adjunto).

  • Productos que generaron eventos: Es la lista de productos para eventos correlacionados que coinciden con la ejecución del modelo de referencia.

  • Reglas de detección de alertas: Es la lista de reglas de detección correlacionadas que alertan sobre la coincidencia con la ejecución del modelo de referencia.

En la tabla Resultados del supervisor, se muestran todas las ejecuciones del supervisor. La tabla admite la búsqueda de texto, el filtrado y la configuración de columnas.

Habilita o inhabilita un monitor

Para habilitar o inhabilitar un monitor, haz lo siguiente:

  1. Navega a Validación de seguridad y ve a la pestaña Monitores.

  2. Haz clic en el botón de activación Estado para habilitar o inhabilitar un monitor. Como alternativa, puedes hacer clic en Pausar supervisor o Reiniciar supervisor en la página Detalles del supervisor para cambiar su estado.

Modifica o borra un monitor

Para modificar o borrar un monitor, haz lo siguiente:

  1. Navega a Validación de seguridad y ve a la pestaña Monitores.

  2. Haz clic en el menú del supervisión que deseas modificar.

  3. Haz clic en Editar supervisor para modificarlo o en Borrar supervisor para borrarlo. También puedes hacer clic en Editar supervisor en la página Detalles del supervisor para modificarlo.

  4. Haz clic en Actualizar o Confirmar para aplicar los cambios.

Revisa los resultados de Monitor

Para ver todas las ejecuciones de un monitor, haz lo siguiente:

  1. Navega a Validación de seguridad y ve a la pestaña Monitores.

  2. Haz clic en el menú en el Monitor.

  3. Haz clic en Ver todos los resultados. Aparecerá la página Historial de ejecución.

Las ejecuciones se filtran para mostrar todas las ejecuciones asociadas con ese supervisión específico.

Ver los resultados de la última ejecución

Para ver los resultados de la última ejecución de un supervisor, haz lo siguiente:

  1. Navega a Validación de seguridad y ve a la pestaña Monitores.

  2. Haz clic en el menú en el Monitor.

  3. Haz clic en Ver los resultados de la última ejecución para abrir los Detalles de la ejecución.

El sistema muestra los detalles de la ejecución más reciente que se ejecutó para ese supervisión.

Revisa los resultados de la ejecución

Puedes ver la acción de validación de seguridad que ejecutas en la pestaña Historial de ejecución. Para revisar los resultados de la ejecución, haz lo siguiente:

  1. Accede a Google SecOps.

  2. Navega a Validación de seguridad y ve a la pestaña Historial de ejecución para supervisar el estado de la ejecución.

    La columna Estado de ejecución indica si la ejecución se realizó correctamente o si se produjo un error. Si se ejecuta correctamente, puedes ver los eventos generados y las detecciones activadas por la acción de validación de seguridad en Google SecOps.

  3. Haz clic en el ID de ejecución para ver los detalles de la ejecución.

En la página Detalles de la ejecución de la acción, se proporcionan el estado, el resultado y el análisis detallado de una acción de validación. Usa esta página para validar tu postura de seguridad comprendiendo qué reglas de detección activó la actividad de la acción.

Progreso de la correlación muestra el progreso del flujo de trabajo de correlación en tiempo real para una ejecución. Mientras se ejecuta la correlación, el recuento total de eventos podría aumentar hasta que finalice la tarea.

Analiza la tabla Reglas correlacionadas

En la tabla Reglas correlacionadas, se enumeran las reglas de detección que se activaron durante la ejecución de la acción, incluidas las reglas personalizadas y seleccionadas.

En la tabla, se muestran las reglas personalizadas y seleccionadas. Incluye dos grupos: * Reglas definidas de forma explícita en los metadatos de la acción * Reglas adicionales activadas por eventos correlacionados

Esto te ayuda a identificar qué reglas funcionaron como se esperaba y cuáles podrían requerir más investigación.

La tabla contiene las siguientes columnas:

  • Nombre de la regla: Es el nombre de la regla de detección. Haz clic en el nombre de la regla para ver su definición y su historial de detecciones.

  • Recuento de detecciones: Es la cantidad de detecciones que activó la regla. Un valor de 0 indica que no se encontraron eventos que coincidan.

  • Detecciones: Es un vínculo a la página Detecciones que muestra las detecciones activadas de esta ejecución.

  • Asociada con la acción: Indica si la regla formaba parte de los metadatos de la acción:

    • Sí: Los metadatos de la acción incluyen la regla. El sistema espera que se active cuando se ejecute la acción.

    • No: Los metadatos de esta acción no incluyen la regla, pero su lógica coincidió con los eventos generados y la activó.

Esta tabla te ayuda a identificar los resultados:

Columna Asociada a la acción Columna de recuento de detecciones Qué significa
YES 1 o más Correcto: Una regla esperada activó correctamente una o más detecciones.
NO 1 o más La actividad activó una regla inesperada.
YES 0 Una regla esperada no activó ninguna detección.

Analiza los eventos correlacionados

Después de ejecutar una acción de Security Validation, usa los eventos correlacionados para evaluar cómo respondieron tu entorno y los controles de seguridad a la amenaza simulada.

Tu análisis incluye dos componentes: un estado en tiempo real del flujo de trabajo de correlación y una tabla detallada de todos los eventos generados.

El Estado de correlación de eventos muestra el estado actual del flujo de trabajo como uno de los siguientes:

  • En ejecución: El sistema busca activamente eventos correlacionados.

  • Completado: Se completaron correctamente todas las actividades de correlación de eventos.

  • Con errores: El flujo de trabajo de correlación detectó un error y no se pudo completar.

El campo Correlation workflow complete at indica una estimación de la hora en la que se espera que se complete o se haya completado la correlación.

En la tabla de eventos, se enumeran todos los eventos que genera la acción. Usa estos datos para analizar las respuestas individuales en tu entorno y los controles de seguridad.

La tabla contiene las siguientes columnas:

  • Evento: Es el ID del evento. Haz clic para ver los detalles del evento en la búsqueda de UDM.

  • Marca de tiempo del evento: Es la hora en que se produjo el evento en el sistema de origen (por ejemplo, el servidor o el firewall).

  • Marca de tiempo observada: Es la hora en que el servicio de validación de seguridad encontró y correlacionó el evento con la ejecución.

  • Producto: Es el producto que generó el evento.

  • Acción del resultado de seguridad: Es el resultado del evento (Blocked o Not blocked), según el campo security_result.action del evento de UDM.

Las acciones pueden orientarse a regiones fuera de la instancia de Google SecOps en la que se ejecutan. En los resultados de la ejecución, se muestran los registros recuperados del proyecto de ejecución.

Accede a recursos y referencias avanzados

Revisa los siguientes recursos para ver ejemplos de configuración y asignación de datos de referencia.

Implementación de ejemplo: Genera un token de acceso con signJWT

Considera un ejemplo de la acción Genera un token de acceso con el permiso signJWT. En este ejemplo, se supone que ya configuraste un contexto de validación de seguridad y que estás ejecutando la acción dentro de ese contexto. Se espera que la acción genere registros de auditoría de Cloud y active la regla de detección de amenazas de generación de tokens de acceso con signJWT.

Se requiere la siguiente configuración:

  • APIs habilitadas: La API de credenciales de la cuenta de servicio de Identity and Access Management (IAM) debe estar habilitada en los proyectos de destino y de ejecución.

  • Permisos de la cuenta de servicio: La cuenta de servicio especificada en el campo profile del contexto de validación de seguridad debe tener el permiso iam.serviceAccounts.signJwt en el proyecto de destino. Esto se puede otorgar a través del rol de creador de tokens de cuenta de servicio (roles/iam.serviceAccountTokenCreator). Este rol se puede otorgar en el proyecto o en la cuenta de servicio de destino (que, para esta acción, es la cuenta de servicio predeterminada de Compute Engine del proyecto de destino).

  • Registro de auditoría de IAM: El registro de auditoría de IAM (ADMIN_READ) debe estar habilitado en el proyecto de destino para capturar los eventos generados por esta acción.

  • Filtro de exportación personalizado: Para transferir los eventos generados por esta acción a través de la transferencia de SecOps Google Cloud , se debe establecer un filtro de exportación personalizado que incluya log_id("cloudaudit.googleapis.com/data_access").

  • Conjunto de reglas: El conjunto de reglas Amenazas de Cloud -> Abuso de IAM de [Google Cloud] debe estar habilitado y configurado para alertar para ver las detecciones en la vista de búsqueda e investigación.

Ejemplos de supervisión de la programación

Usa estos ejemplos como referencia cuando configures programas recurrentes para la supervisión continua.

Configuración Cuándo se ejecuta
Hora: Se ejecuta a una hora específica (10:00 p.m.)
Días: Días de la semana (lunes)
Meses: Mensual
Zona horaria: EST 		Se ejecuta todos los lunes a las 22:00, hora estándar del este.
Hora: Se ejecuta a una hora específica (01:00)
Días: Día del mes (1)
Meses: Especificar (ene, abr, jul, oct)
Zona horaria: PST 		Se ejecuta a la 1:00 a.m., hora estándar del Pacífico, el primer día de enero, abril, julio y octubre.
Hora: Se ejecuta a una hora específica (14:00)
Días: Diariamente
Meses: Mensualmente
Zona horaria: UTC 		Se ejecuta todos los días a las 2:00 p.m., hora universal coordinada.
Hora: Se ejecuta a una hora específica (09:30)
Días: Día del mes (15)
Meses: Especificar (feb, abr, jun, ago, oct, dic)
Zona horaria: EST 		Se ejecuta a las 9:30 a.m., hora estándar del este, el día 15 de cada segundo mes (febrero, abril, junio, agosto, octubre y diciembre).
Hora: Repetir cada hora
Intervalo: Cada 1 hora
Horas: Todas las horas 		Se ejecuta sin parar. Se ejecuta exactamente al comienzo de cada hora, las 24 horas del día (por ejemplo, a la 1:00, a las 2:00, a las 3:00, etcétera).
Hora: Repetir cada hora
Intervalo: Cada 4 horas
Horas: Hora de inicio y finalización (de 22:00 a 6:00) 		Se ejecuta solo durante la noche. Se ejecuta a las 10:00 p.m., las 2:00 a.m. y las 6:00 a.m. para capturar el estado del servidor durante los períodos de poco tráfico.

Soluciona problemas

Latencia y límites

Los resultados de las ejecuciones de supervisores activadas recientemente no se completan de inmediato con los datos de detección y eventos debido a la ventana de correlación.

Corrección de errores

Error Descripción del problema Corregir
Error de permiso de IAM Se denegó el permiso iam.serviceaccounts.actAs en la cuenta de servicio. Si creaste o actualizaste el contexto justo antes de ejecutar la acción, espera unos minutos y vuelve a intentarlo. Los cambios de IAM son coherentes; sin embargo, las asignaciones de roles pueden tardar en propagarse por el sistema.

Verifica que la identidad que ejecuta la acción tenga el permiso `iam.serviceaccounts.actAs` en la cuenta de servicio especificada.

Validación y prueba

Para verificar que tu monitor esté configurado correctamente sin esperar al siguiente intervalo programado, usa el botón Ejecutar ahora en la página de detalles del monitor. Actualiza la página después de que haya pasado la ventana de correlación para verificar el estado de ejecución.