Los parámetros de configuración de valor de recursos te permiten establecer tu conjunto de recursos de alto valor en Security Command Center. Este conjunto de recursos determina qué recursos se evalúan como recursos de alto valor en las simulaciones de rutas de ataque.
Puedes crear, editar, ver y borrar parámetros de configuración para recursos en Google Cloud, así como para otros proveedores de servicios en la nube conectados en el nivel de servicio Enterprise (obsoleto).
Cuando se ejecutan las simulaciones de rutas de ataque, identifican las rutas de ataque y
calculan las puntuaciones de exposición a ataques para los recursos que se designan como
recursos de alto valor y para los hallazgos de clase Vulnerability, clase Misconfiguration
y clase Toxic combination.
Las simulaciones de rutas de ataque se ejecutan según un programa, y los resultados nuevos están disponibles hasta cada 48 horas. Las ejecuciones de simulación no se activan con la creación, modificación o eliminación de recursos o parámetros de configuración de valor de recursos.
Para obtener una introducción a los conjuntos de recursos de alto valor y las configuraciones de valor de los recursos, consulta Conjuntos de recursos de alto valor.
Antes de comenzar
Para obtener los permisos que necesitas para ver y trabajar con las configuraciones de valores de recursos, pídele a tu administrador que te otorgue los siguientes roles de IAM en tu organización:
- Editor de configuración de valores de recursos (
roles/securitycenter.resourceValueConfigEditor) - Visualizador de configuración de valores de recursos (
roles/securitycenter.resourceValueConfigsViewer) - Editor de configuración del centro de seguridad (
roles/securitycenter.settingsEditor)
Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.
También puedes obtener los permisos necesarios a través de roles personalizados o cualquier otro rol predefinido.
Crear una configuración del valor de recurso
Para crear parámetros de configuración de valor de recursos, usa la pestaña Simulación de ruta de ataque en la página Configuración de Security Command Center en la consola de Google Cloud .
Para crear una configuración del valor de recurso, haz clic en la pestaña de tu proveedor de servicios en la nube y sigue los pasos que se indican a continuación:
Google Cloud
Ve a la página Simulación de ruta de ataque en la Configuración de Security Command Center:
Selecciona tu organización. Se abrirá la página Simulación de ruta de ataque.
Haz clic en Crear configuración nueva. Se abrirá el panel Crear configuración del valor del recurso.
En el campo Nombre, especifica un nombre para esta configuración de valor del recurso.
Opcional: Ingresa una descripción de la configuración.
En Proveedor de servicios en la nube, selecciona Google Cloud.
En el campo Seleccionar permiso, haz clic en Seleccionar y usa el navegador de proyectos para seleccionar un proyecto, una carpeta o la organización. Esta configuración se aplica solo a las instancias de recursos en el permiso especificado.
Haz clic en el campo Seleccionar tipo de recurso y, luego, selecciona un tipo de recurso o Cualquiera. La configuración se aplica a las instancias del tipo de recurso seleccionado o, si eliges Cualquiera, a las instancias de todos los tipos de recursos admitidos. Cualquiera es la opción predeterminada.
Opcional: En la sección Etiqueta, haz clic en Agregar etiqueta para especificar una o más etiquetas. Cuando se especifica una etiqueta, la configuración solo se aplica a los recursos que incluyen la etiqueta en sus metadatos.
Si aplicas una etiqueta nueva a cualquier recurso, puede tardar varias horas antes de que la etiqueta esté disponible para que coincida con una configuración.
Opcional: En la sección Etiqueta, haz clic en Agregar etiqueta para especificar una o más etiquetas. Cuando se especifica una etiqueta, la configuración solo se aplica a los recursos que incluyen la etiqueta en sus metadatos.
Si defines una etiqueta nueva para un recurso, puede tardar varias horas antes de que la etiqueta esté disponible para que coincida con una configuración.
Establece el valor de prioridad para los recursos que coincidan especificando una de las siguientes opciones:
Opcional: Si usas el servicio de descubrimiento de Sensitive Data Protection, habilita Security Command Center para que establezca automáticamente el valor de prioridad de los recursos de datos compatibles en función de las clasificaciones de sensibilidad de los datos de Sensitive Data Protection:
- Haz clic en el control deslizante junto a Incluir estadísticas de descubrimiento de Sensitive Data Protection.
- En el primer campo Asignar valor del recurso, selecciona el valor de prioridad que se asignará a los recursos coincidentes que contienen datos de alta sensibilidad.
- En el segundo campo Asignar valor del recurso, selecciona el valor de prioridad que se asignará a los recursos coincidentes que contienen datos de sensibilidad intermedia.
En el campo Asignar valor de recurso, selecciona un valor para asignar a las instancias de recursos. Este valor es relativo a las otras instancias de recursos de tu conjunto de recursos de alto valor. El valor se usa durante el cálculo de las puntuaciones de exposición a ataques.
Haz clic en Guardar.
AWS
Antes de que Security Command Center pueda generar puntuaciones de exposición a ataques y rutas de ataque para los recursos que especifiques en una configuración de valor de recursos, Security Command Center debe estar conectado a AWS. Para obtener más información, consulta Compatibilidad con múltiples nubes.
Ve a la página Simulación de ruta de ataque en la Configuración de Security Command Center:
Selecciona tu organización. Se abrirá la página Simulación de ruta de ataque.
Haz clic en Crear configuración nueva. Se abrirá el panel Crear configuración del valor del recurso.
En el campo Nombre, especifica un nombre para esta configuración de valor del recurso.
Opcional: Ingresa una descripción de la configuración.
En Proveedor de servicios en la nube, selecciona Amazon Web Services.
Opcional: En el campo ID de cuenta, ingresa un ID de cuenta de AWS de 12 dígitos. Si no se especifica, la configuración del valor del recurso se aplica a todas las cuentas de AWS que se especifican en la configuración de la conexión de AWS.
Opcional: En el campo Región, ingresa una región de AWS. Por ejemplo,
us-east-1. Si no se especifica, la configuración del valor del recurso se aplica a todas las regiones de AWS.Haz clic en el campo Seleccionar tipo de recurso y, luego, selecciona un tipo de recurso o Cualquiera. La configuración se aplica a las instancias del tipo de recurso seleccionado o, si eliges Cualquiera, a todos los tipos de recursos admitidos. Cualquiera es la opción predeterminada.
Opcional: En la sección Etiqueta, haz clic en Agregar etiqueta para especificar una o más etiquetas. Cuando defines una etiqueta, el conector analiza solo los recursos que incluyen la etiqueta en sus metadatos.
Si defines una etiqueta nueva para un recurso, puede tardar varias horas antes de que la etiqueta esté disponible para que coincida con una configuración.
En el campo Asignar valor de recurso, selecciona un valor de prioridad para los recursos que coincidan especificando una de las siguientes opciones:
Opcional: Si usas el servicio de descubrimiento de Sensitive Data Protection, habilita Security Command Center para que establezca automáticamente el valor de prioridad de los recursos de datos de AWS compatibles en función de las clasificaciones de sensibilidad de los datos de Sensitive Data Protection:
- Haz clic en el control deslizante junto a Incluir estadísticas de descubrimiento de Sensitive Data Protection.
- En el primer campo Asignar valor del recurso, selecciona el valor de prioridad que se asignará a los recursos coincidentes que contienen datos de alta sensibilidad.
- En el segundo campo Asignar valor del recurso, selecciona el valor de prioridad que se asignará a los recursos coincidentes que contienen datos de sensibilidad intermedia.
En el campo Asignar valor de recurso, selecciona un valor para asignar a las instancias de recursos. Este valor es relativo a otras instancias de recursos en tu conjunto de recursos de alto valor. El valor se usa durante el cálculo de las puntuaciones de exposición a ataques.
Haz clic en Guardar.
Azure
Antes de que Security Command Center pueda generar puntuaciones de exposición a ataques y rutas de ataque para los recursos de Azure que especifiques en una configuración de valor de recurso, Security Command Center debe estar conectado a Azure. Para obtener más información, consulta Compatibilidad con múltiples nubes.
Ve a la página Simulación de ruta de ataque en la Configuración de Security Command Center:
Selecciona tu organización. Se abrirá la página Simulación de ruta de ataque.
Haz clic en Crear configuración nueva. Se abrirá el panel Crear configuración del valor del recurso.
En el campo Nombre, especifica un nombre para esta configuración de valor del recurso.
En Descripción, ingresa una descripción de la configuración (opcional).
En Proveedor de servicios en la nube, selecciona Microsoft Azure.
Opcional: En ID de suscripción, ingresa un ID de suscripción de Azure de 36 dígitos. Si no se especifica, la configuración del valor del recurso se aplica a todas las suscripciones que se especifican en la configuración del conector de Azure.
Opcional: En el campo Seleccionar ubicación, selecciona una ubicación de Azure, por ejemplo,
East US 2. Si no estableces una ubicación, la configuración del valor del recurso se aplica a todas las ubicaciones que se especifican en la configuración del conector de Azure.Haz clic en Seleccionar tipo de recurso y, luego, selecciona un tipo de recurso o Cualquiera. La configuración se aplica a las instancias del tipo de recurso seleccionado o, si seleccionas Cualquiera, a todos los tipos de recursos admitidos. Cualquiera es la opción predeterminada.
Opcional: En la sección Etiqueta, haz clic en Agregar etiqueta para especificar una o más etiquetas. Cuando se especifica una etiqueta, la configuración solo se aplica a los recursos que incluyen la etiqueta en sus metadatos.
Si defines una etiqueta nueva para un recurso, puede tardar varias horas antes de que la etiqueta esté disponible para que coincida con una configuración.
En el campo Asignar valor de recurso, selecciona un valor de prioridad.
Haz clic en Guardar.
La configuración nueva se refleja en las puntuaciones de exposición a ataques y en las rutas de ataque solo después de que se ejecuta la siguiente simulación de ruta de ataque.
Cuando ves el conjunto de recursos de alto valor, puedes ver las configuraciones de valor de los recursos que coinciden con los recursos del conjunto. Para obtener más información, consulta Visualiza los parámetros de configuración que coinciden con un recurso de alto valor.
Para obtener información sobre cómo configurar Sensitive Data Protection para que envíe clasificaciones de sensibilidad de los datos a Security Command Center, consulta Publica perfiles de datos en Security Command Center en la documentación de Sensitive Data Protection.
Edita una configuración
Excepto por el nombre, puedes actualizar cualquier especificación en una configuración de valor de recurso.
En estos pasos, se supone que conoces el nombre de la configuración del valor del recurso que deseas editar. Si solo conoces el nombre del recurso relevante, consulta Visualiza los parámetros de configuración que coinciden con un recurso de alto valor.
Para actualizar una configuración de valor de recurso existente, sigue estos pasos:
Ve a la página Simulación de ruta de ataque en la Configuración de Security Command Center:
Selecciona tu organización. Se abrirá la página Simulación de ruta de ataque con los parámetros de configuración existentes.
En la columna Nombre de la configuración, haz clic en el nombre de la configuración que necesitas actualizar. Se abrirá la página Editar la configuración del valor del recurso.
Actualiza las especificaciones en la configuración según sea necesario.
Haz clic en Guardar.
Los cambios se reflejan en las puntuaciones de exposición a ataques y las rutas de ataque solo después de que se ejecuta la siguiente simulación de ruta de ataque.
Borra una configuración
Para borrar una configuración del valor de recurso, sigue estos pasos:
Ve a la página Simulación de ruta de ataque en la Configuración de Security Command Center:
Selecciona tu organización. Se abrirá la página Simulación de ruta de ataque.
En Parámetros de configuración del valor del recurso, en el lado derecho de la fila del parámetro de configuración que necesitas borrar, haz clic en los puntos verticales para mostrar el menú de acciones. Si no ves los puntos verticales, desplázate hacia la derecha.
En el menú de acciones que se muestra, selecciona Borrar.
En el cuadro de diálogo de confirmación, selecciona Confirmar.
Se borra la configuración.
Visualiza una configuración
Puedes ver todos los parámetros de configuración de valor de recursos existentes en la página Simulación de ruta de ataque en la Configuración de Security Command Center.
Para ver una configuración de valor de recurso en particular, ve a la página Simulación de ruta de ataque:
Selecciona tu organización. Se abrirá la página Simulación de ruta de ataque.
En Configuraciones de valor de recursos, en la página Simulación de ruta de ataque, desplázate por la lista de configuraciones de valor de recursos hasta encontrar la que necesitas.
Para ver las propiedades de configuración, haz clic en el nombre de la configuración. Las propiedades se muestran en la página Editar configuración de valor del recurso.
Consulta los parámetros de configuración que coinciden con un recurso de alto valor
Puedes ver todas las configuraciones que coinciden con los recursos que se encuentran en el conjunto de recursos de alto valor. Esta función es útil si deseas revisar las reglas que determinaron los valores de los recursos de tu conjunto de recursos de alto valor.
Para ver los parámetros de configuración que coinciden con un recurso de alto valor, sigue estos pasos:
- Consulta el conjunto de recursos de alto valor.
- Busca el recurso cuya configuración quieres ver. Los parámetros de configuración coincidentes para ese recurso se indican en la columna Parámetros de configuración coincidentes. Los parámetros de configuración se enumeran en orden descendente
según el valor del recurso que asignan al recurso:
High,MediumoLow. Para ver las propiedades de una configuración, haz clic en su nombre. Las propiedades se muestran en la página Editar configuración del valor del recurso.
Una configuración que se borró recientemente permanece visible, pero no se puede hacer clic en ella, hasta que se ejecute la siguiente simulación de ruta de ataque.
Opcional: Edita la configuración y haz clic en Guardar.
Soluciona problemas
Si recibes errores después de crear, editar o borrar parámetros de configuración de valores de recursos,
busca hallazgos de la clase SCC Error en la consola de
Google Cloud siguiendo estos pasos:
Ve a la página Hallazgos en la consola de Google Cloud :
En el panel Filtros rápidos, ve a la sección Clase de hallazgo y selecciona Error de SCC.
En el panel Resultados de la consulta de hallazgos, analiza los hallazgos para encontrar los siguientes hallazgos de
SCC Errory haz clic en el nombre de la categoría:APS no resource value configs match any resourcesAPS resource value assignment limit exceeded
Se abrirá el panel de detalles del hallazgo.
En el panel de detalles del hallazgo, revisa la información de la sección Próximos pasos.
Para revisar las instrucciones de solución de los hallazgos de la simulación de ruta de ataque de
SCC Error en la documentación, consulta lo siguiente:
- No hay parámetros de configuración de valores de recursos de APS que coincidan con ningún recurso
- Se superó el límite de asignación de valores de recursos de APS
¿Qué sigue?
Para obtener información sobre cómo trabajar con los hallazgos de Security Command Center, consulta Revisa y administra los hallazgos.