Les configurations de valeurs de ressources vous permettent d'établir votre ensemble de ressources à forte valeur dans Security Command Center. Cet ensemble de ressources détermine quels éléments sont évalués en tant que ressources à forte valeur dans les simulations de chemins d'attaque.
Vous pouvez créer, modifier, afficher et supprimer des configurations pour les ressources surGoogle Cloud, ainsi que pour d'autres fournisseurs de services cloud connectés dans le niveau de service Enterprise (obsolète).
Lorsque des simulations de chemins d'attaque sont exécutées, elles identifient les chemins d'attaque et calculent les scores d'exposition aux attaques pour les ressources désignées comme étant à forte valeur, ainsi que pour les résultats de classe Vulnerability, Misconfiguration et Toxic combination.
Les simulations de chemins d'attaque sont exécutées selon un calendrier, et de nouveaux résultats sont disponibles toutes les 48 heures. Les exécutions de simulation ne sont pas déclenchées par la création, la modification ou la suppression de ressources ou de configurations de valeurs de ressources.
Pour en savoir plus sur les ensembles de ressources à forte valeur et les configurations de valeurs de ressources, consultez Ensembles de ressources à forte valeur.
Avant de commencer
Pour obtenir les autorisations nécessaires pour afficher et utiliser les configurations de valeur de ressource, demandez à votre administrateur de vous accorder les rôles IAM suivants sur votre organisation :
- Éditeur de configuration des valeurs de ressources (
roles/securitycenter.resourceValueConfigEditor) - Lecteur de configuration de valeur de ressource (
roles/securitycenter.resourceValueConfigsViewer) - Éditeur de paramètres du centre de sécurité (
roles/securitycenter.settingsEditor)
Pour en savoir plus sur l'attribution de rôles, consultez Gérer l'accès aux projets, aux dossiers et aux organisations.
Vous pouvez également obtenir les autorisations requises avec des rôles personnalisés ou d'autres rôles prédéfinis.
Créer une configuration des valeurs de ressource
Vous créez des configurations de valeurs de ressources à l'aide de l'onglet Simulation de chemin d'attaque sur la page Paramètres de Security Command Center dans la console Google Cloud .
Pour créer une configuration des valeurs de ressource, cliquez sur l'onglet correspondant à votre fournisseur de services cloud et suivez les étapes :
Google Cloud
Accédez à la page Simulation du chemin d'attaque dans les paramètres de Security Command Center :
Sélectionner votre organisation. La page Simulation du chemin d'attaque s'ouvre.
Cliquez sur Créer une configuration. Le panneau Créer une configuration de valeur de ressource s'ouvre.
Dans le champ Nom, spécifiez un nom pour cette configuration de valeur de ressource.
Facultatif : saisissez une description de la configuration.
Sous Fournisseur de services cloud, sélectionnez Google Cloud.
Dans le champ Sélectionner un champ d'application, cliquez sur Sélectionner et utilisez le navigateur de projets pour sélectionner un projet, un dossier ou l'organisation. Cette configuration ne s'applique qu'aux instances de ressources du champ d'application spécifié.
Cliquez sur le champ Sélectionner un type de ressource, puis sélectionnez un type de ressource ou Tous. La configuration s'applique aux instances du type de ressource sélectionné ou, si vous sélectionnez Tous, aux instances de tous les types de ressources compatibles. Any est la valeur par défaut.
Facultatif : Dans la section Libellé, cliquez sur Ajouter un libellé pour spécifier un ou plusieurs libellés. Lorsqu'une étiquette est spécifiée, la configuration ne s'applique qu'aux ressources qui incluent l'étiquette dans leurs métadonnées.
Si vous appliquez une nouvelle étiquette à des ressources, plusieurs heures peuvent s'écouler avant que l'étiquette ne soit disponible pour la mise en correspondance par une configuration.
Facultatif : Dans la section Tag, cliquez sur Ajouter un tag pour spécifier un ou plusieurs tags. Lorsqu'un tag est spécifié, la configuration ne s'applique qu'aux ressources qui incluent le tag dans leurs métadonnées.
Si vous définissez un nouveau tag pour une ressource, plusieurs heures peuvent s'écouler avant que le tag ne soit disponible pour la mise en correspondance par une configuration.
Définissez la valeur de priorité pour les ressources correspondantes en spécifiant l'une des options suivantes :
Facultatif : Si vous utilisez le service de découverte de Sensitive Data Protection, autorisez Security Command Center à définir automatiquement la valeur de priorité des ressources de données compatibles en fonction des classifications de sensibilité des données de Sensitive Data Protection :
- Cliquez sur le curseur à côté de Inclure les insights de découverte de Sensitive Data Protection.
- Dans le premier champ Attribuer une valeur de ressource, sélectionnez la valeur de priorité à attribuer aux ressources correspondantes qui contiennent des données de sensibilité élevée.
- Dans le deuxième champ Attribuer une valeur de ressource, sélectionnez la valeur de priorité à attribuer aux ressources correspondantes qui contiennent des données de sensibilité moyenne.
Dans le champ Attribuer une valeur de ressource, sélectionnez une valeur à attribuer aux instances de ressource. Cette valeur est relative aux autres instances de ressources de votre ensemble de ressources à forte valeur. Cette valeur est utilisée lors du calcul des scores d'exposition aux attaques.
Cliquez sur Enregistrer.
AWS
Pour que Security Command Center puisse générer des scores d'exposition aux attaques et des chemins d'attaque pour les ressources que vous spécifiez dans une configuration de valeur de ressource, Security Command Center doit être connecté à AWS. Pour en savoir plus, consultez Compatibilité multicloud.
Accédez à la page Simulation du chemin d'attaque dans les paramètres de Security Command Center :
Sélectionner votre organisation. La page Simulation du chemin d'attaque s'ouvre.
Cliquez sur Créer une configuration. Le panneau Créer une configuration de valeur de ressource s'ouvre.
Dans le champ Nom, spécifiez un nom pour cette configuration de valeur de ressource.
Facultatif : saisissez une description de la configuration.
Sous Fournisseur de services cloud, sélectionnez Amazon Web Services.
Facultatif : Dans le champ ID de compte, saisissez un ID de compte AWS à 12 chiffres. Si aucune valeur n'est spécifiée, la configuration de la valeur de ressource s'applique à tous les comptes AWS spécifiés dans la configuration de la connexion AWS.
Facultatif : Dans le champ Région, saisissez une région AWS. Exemple :
us-east-1. Si aucune valeur n'est spécifiée, la configuration de la valeur de ressource s'applique à toutes les régions AWS.Cliquez sur le champ Sélectionner un type de ressource, puis sélectionnez un type de ressource ou Tous. La configuration s'applique aux instances du type de ressource sélectionné ou, si vous sélectionnez Tous, à tous les types de ressources compatibles. Any est la valeur par défaut.
Facultatif : Dans la section Tag, cliquez sur Ajouter un tag pour spécifier un ou plusieurs tags. Lorsque vous définissez un tag, le connecteur n'analyse que les ressources qui incluent le tag dans leurs métadonnées.
Si vous définissez un nouveau tag pour une ressource, plusieurs heures peuvent s'écouler avant que le tag ne soit disponible pour la mise en correspondance par une configuration.
Dans le champ Attribuer une valeur de ressource, sélectionnez une valeur de priorité pour les ressources correspondantes en spécifiant l'une des options suivantes :
Facultatif : si vous utilisez le service de découverte Sensitive Data Protection, autorisez Security Command Center à définir automatiquement la valeur de priorité des ressources de données AWS compatibles en fonction des classifications de sensibilité des données de Sensitive Data Protection :
- Cliquez sur le curseur à côté de Inclure les insights de découverte de Sensitive Data Protection.
- Dans le premier champ Attribuer une valeur de ressource, sélectionnez la valeur de priorité à attribuer aux ressources correspondantes qui contiennent des données de sensibilité élevée.
- Dans le deuxième champ Attribuer une valeur de ressource, sélectionnez la valeur de priorité à attribuer aux ressources correspondantes qui contiennent des données de sensibilité moyenne.
Dans le champ Attribuer une valeur de ressource, sélectionnez une valeur à attribuer aux instances de ressource. Cette valeur est relative aux autres instances de ressources de votre ensemble de ressources à forte valeur. Cette valeur est utilisée lors du calcul des scores d'exposition aux attaques.
Cliquez sur Enregistrer.
Azure
Pour que Security Command Center puisse générer des scores d'exposition aux attaques et des chemins d'attaque pour les ressources Azure que vous spécifiez dans une configuration de valeur de ressource, Security Command Center doit être connecté à Azure. Pour en savoir plus, consultez Compatibilité multicloud.
Accédez à la page Simulation du chemin d'attaque dans les paramètres de Security Command Center :
Sélectionner votre organisation. La page Simulation du chemin d'attaque s'ouvre.
Cliquez sur Créer une configuration. Le panneau Créer une configuration de valeur de ressource s'ouvre.
Dans le champ Nom, spécifiez un nom pour cette configuration de valeur de ressource.
(Facultatif) Dans le champ Description, saisissez une description de la configuration.
Sous Fournisseur de services cloud, sélectionnez Microsoft Azure.
Facultatif : Dans le champ ID d'abonnement, saisissez un ID d'abonnement Azure à 36 chiffres. Si elle n'est pas spécifiée, la configuration de la valeur de ressource s'applique à tous les abonnements spécifiés dans la configuration du connecteur Azure.
Facultatif : Dans le champ Sélectionner un emplacement, sélectionnez un emplacement Azure (par exemple,
East US 2). Si vous ne définissez pas d'emplacement, la configuration de la valeur de ressource s'applique à tous les emplacements spécifiés dans la configuration du connecteur Azure.Cliquez sur Sélectionner un type de ressource, puis sélectionnez un type de ressource ou Tous. La configuration s'applique aux instances du type de ressource sélectionné ou, si vous sélectionnez Tout, à tous les types de ressources compatibles. Any est la valeur par défaut.
Facultatif : Dans la section Tag, cliquez sur Ajouter un tag pour spécifier un ou plusieurs tags. Lorsqu'un tag est spécifié, la configuration ne s'applique qu'aux ressources qui incluent le tag dans leurs métadonnées.
Si vous définissez un nouveau tag pour une ressource, plusieurs heures peuvent s'écouler avant que le tag ne soit disponible pour la mise en correspondance par une configuration.
Dans le champ Attribuer une valeur de ressource, sélectionnez une valeur de priorité.
Cliquez sur Enregistrer.
La nouvelle configuration n'est reflétée dans les scores d'exposition aux attaques et les chemins d'attaque qu'après l'exécution de la simulation de chemin d'attaque suivante.
Lorsque vous affichez l'ensemble de ressources de forte valeur, vous pouvez voir les configurations de valeurs de ressources qui correspondent aux ressources de l'ensemble. Pour en savoir plus, consultez Afficher les configurations qui correspondent à une ressource de grande valeur.
Pour savoir comment configurer Sensitive Data Protection afin d'envoyer des classifications de sensibilité des données à Security Command Center, consultez Publier des profils de données dans Security Command Center dans la documentation de Sensitive Data Protection.
Modifier une configuration
À l'exception du nom, vous pouvez mettre à jour n'importe quelle spécification dans une configuration de valeur de ressource.
Ces étapes supposent que vous connaissez le nom de la configuration de valeur de ressource que vous souhaitez modifier. Si vous ne connaissez que le nom de la ressource concernée, consultez plutôt Afficher les configurations correspondant à une ressource de grande valeur.
Pour mettre à jour une configuration de valeur de ressource existante, procédez comme suit :
Accédez à la page Simulation du chemin d'attaque dans les paramètres de Security Command Center :
Sélectionner votre organisation. La page Simulation du chemin d'attaque s'ouvre et affiche les configurations existantes.
Dans la colonne Nom de la configuration, cliquez sur le nom de la configuration que vous devez mettre à jour. La page Modifier une configuration de valeur de ressource s'ouvre.
Mettez à jour les spécifications de la configuration si nécessaire.
Cliquez sur Enregistrer.
Les modifications ne sont reflétées dans les scores d'exposition aux attaques et les chemins d'attaque qu'après l'exécution de la simulation de chemin d'attaque suivante.
Supprimer une configuration
Pour supprimer une configuration de valeurs de ressource, procédez comme suit :
Accédez à la page Simulation du chemin d'attaque dans les paramètres de Security Command Center :
Sélectionner votre organisation. La page Simulation du chemin d'attaque s'ouvre.
Sous Configurations de valeur de ressource, à droite de la ligne correspondant à la configuration que vous souhaitez supprimer, affichez le menu d'actions en cliquant sur les points verticaux. Si les points verticaux ne s'affichent pas, faites défiler l'écran vers la droite.
Dans le menu d'actions qui s'affiche, sélectionnez Supprimer.
Dans la boîte de dialogue de confirmation, sélectionnez Confirmer.
La configuration est supprimée.
Afficher une configuration
Vous pouvez afficher toutes les configurations de valeurs de ressources existantes sur la page Simulation du chemin d'attaque dans les paramètres de Security Command Center.
Pour afficher une configuration de valeur de ressource particulière, accédez à la page Simulation du chemin d'attaque :
Sélectionner votre organisation. La page Simulation du chemin d'attaque s'ouvre.
Sous Configurations de valeurs de ressources sur la page Simulation de chemin d'attaque, faites défiler la liste des configurations de valeurs de ressources jusqu'à trouver celle dont vous avez besoin.
Pour afficher les propriétés de la configuration, cliquez sur son nom. Les propriétés s'affichent sur la page Modifier une configuration de valeur de ressource.
Afficher les configurations correspondant à une ressource de forte valeur
Vous pouvez afficher toutes les configurations qui correspondent aux ressources de l'ensemble de ressources de grande valeur. Cette fonctionnalité est utile si vous souhaitez examiner les règles qui ont déterminé les valeurs des ressources de votre ensemble de ressources à forte valeur.
Pour afficher les configurations qui correspondent à une ressource de forte valeur, procédez comme suit :
- Afficher l'ensemble de ressources de forte valeur
- Recherchez la ressource dont vous souhaitez afficher les configurations. Les configurations correspondantes pour cette ressource sont listées dans la colonne Configurations correspondantes. Les configurations sont listées par ordre décroissant en fonction de la valeur de ressource qu'elles attribuent à la ressource :
High,MediumouLow. Pour afficher les propriétés d'une configuration, cliquez sur son nom. Les propriétés s'affichent sur la page Modifier une configuration de valeur de ressource.
Une configuration récemment supprimée reste visible, mais n'est pas cliquable, jusqu'à la prochaine simulation de chemins d'attaque.
Facultatif : modifiez la configuration, puis cliquez sur Enregistrer.
Dépannage
Si vous recevez des erreurs après avoir créé, modifié ou supprimé des configurations de valeur de ressource, recherchez les résultats de la classe SCC Error dans la consoleGoogle Cloud en procédant comme suit :
Accédez à la page Résultats dans la console Google Cloud :
Dans le panneau Filtres rapides, accédez à la section Classe du résultat, puis sélectionnez Erreur SCC.
Dans le panneau Résultats de la requête de résultats, recherchez les résultats
SCC Errorsuivants et cliquez sur le nom de la catégorie :APS no resource value configs match any resourcesAPS resource value assignment limit exceeded
Le panneau des détails du résultat s'ouvre.
Dans le panneau des détails du résultat, examinez les informations de la section Étapes suivantes.
Pour consulter les instructions de correction des résultats de la simulation de chemin d'attaque SCC Error dans la documentation, consultez les pages suivantes :
- Simulation du chemin d'attaque : aucune configuration de valeurs de ressources ne correspond à une ressource existante
- Limite d'attribution des valeurs de ressources APS dépassée
Étapes suivantes
Pour en savoir plus sur l'utilisation des résultats de Security Command Center, consultez Examiner et gérer les résultats.