Unterstützung von Risk Engine-Funktionen

Die Risk Engine im Security Command Center simuliert potenzielle Angriffspfade und berechnet Angriffsrisikobewertungen. Anhand dieser Informationen können Sie Sicherheitsrisiken auf unterstützten Cloud-Plattformen, in Suchklassen und in hochwertigen Ressourcen priorisieren.

Unterstützte Funktionen für die Risk Engine

Die Risk Engine generiert Angriffsrisikobewertungen und Angriffspfadsimulationen für Folgendes:

Security Command Center bietet Risikowerte für Angriffe und Visualisierungen von Angriffspfaden für mehrere Cloud-Dienstanbieterplattformen. Die Detektorunterstützung unterscheidet sich je nach Anbieter basierend auf den verfügbaren Detektoren für externe Bedrohungen, Sicherheitslücken und Fehlkonfigurationen:

Support nur auf Organisationsebene

Für die Angriffspfadsimulationen, die die Risk Engine zum Generieren der Angriffsrisikobewertungen und Angriffspfade verwendet, muss Security Command Center auf Organisationsebene aktiviert sein. Angriffspfadsimulationen werden bei Aktivierungen auf Projektebene von Security Command Center nicht unterstützt.

Damit Sie Angriffspfade aufrufen können, muss die Ansicht der Google Cloud Console auf Ihre Organisation festgelegt sein. Wenn Sie in derGoogle Cloud Console eine Projekt- oder Ordneransicht auswählen, werden die Werte für die Angriffsrisiken angezeigt, aber nicht die Angriffspfade.

Erforderliche Rollen

Angriffspfade sind mit bestimmten Komponenten von Security Command Center verknüpft, z. B. Ergebnissen und hochwertigen Ressourcen. Damit Sie Security Command Center-Angriffspfade ansehen können, benötigen Sie die richtigen IAM-Rollen, um die einzelnen Security Command Center-Ressourcen aufzurufen.

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für Ihre Organisation zuzuweisen, damit Sie die nötigen Berechtigungen zum Aufrufen von Angriffspfaden haben:

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Größenbeschränkungen für Organisationen

Bei Angriffspfadsimulationen begrenzt die Risk Engine die Anzahl der aktiven Assets und aktiven Ergebnisse, die eine Organisation enthalten kann.

Wenn eine Organisation die in der folgenden Tabelle aufgeführten Limits überschreitet, werden keine Angriffspfadsimulationen ausgeführt.

Art des Limits Nutzungslimit
Maximale Anzahl aktiver Ergebnisse 250.000.000
Maximale Anzahl aktiver Assets 26.000.000

Wenn die Assets, Ergebnisse oder beides in Ihrer Organisation diese Limits erreichen oder überschreiten, wenden Sie sich an Cloud Customer Care, um eine Prüfung Ihrer Organisation auf eine mögliche Erhöhung anzufordern.

Limits für Sätze hochwertiger Ressourcen

Ein Satz hochwertiger Ressourcen unterstützt nur bestimmte Ressourcentypen und kann nur eine bestimmte Anzahl von Ressourceninstanzen enthalten.

  • Ein Satz hochwertiger Ressourcen für eine Cloud-Dienstanbieterplattform kann bis zu 1.000 Ressourceninstanzen enthalten.

  • Sie können bis zu 100 Konfigurationen für Ressourcenwerte pro Organisation in Google Clouderstellen.

Unterstützung der Benutzeroberfläche

Sie können mit den Werten für die Angriffsrisiko-Exposition in der Google Cloud Console, der Security Operations-Konsole oder der Security Command Center API arbeiten.

Sie können nur in der Security Operations-Konsole mit Angriffsrisikowerten und Angriffspfaden für Fälle von toxischen Kombinationen arbeiten.

Sie können Konfigurationen für den Wert von Ressourcen entweder auf der Seite Einstellungen des Security Command Center in der Google Cloud Console auf dem Tab Angriffspfadsimulationen oder über die Security Command Center API erstellen.

Google Cloud -Support

In den folgenden Abschnitten wird die Unterstützung der Risk Engine für Google Cloudbeschrieben.

Google Cloud  Dienste, die von der Risk Engine unterstützt werden

Die von der Risk Engine ausgeführten Simulationen können die folgenden Google Cloud -Dienste umfassen:

  • Artifact Registry
  • BigQuery
  • Cloud Build
  • Cloud Run
  • Cloud Run-Funktionen
  • Managed Service for Apache Spark
  • Cloud Key Management Service
  • Cloud Load Balancing
  • Cloud NAT
  • Cloud Router
  • Cloud SQL
  • Cloud Storage
  • Compute Engine
  • Google Kubernetes Engine
  • Identity and Access Management
  • Resource Manager
  • Gemini Enterprise Agent Platform
  • Virtual Private Cloud, einschließlich Subnetzen, Firewallkonfigurationen und VPC Service Controls-Perimetern

Google Cloud  Ressourcentypen, die in Sätzen hochwertiger Ressourcen unterstützt werden

Sie können einem Satz hochwertiger Ressourcen nur die folgenden Typen von Google Cloud -Ressourcen hinzufügen:

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/Featurestore
  • aiplatform.googleapis.com/MetadataStore
  • aiplatform.googleapis.com/Model
  • aiplatform.googleapis.com/ReasoningEngine
  • aiplatform.googleapis.com/TrainingPipeline
  • artifactregistry.googleapis.com/Repository
  • bigquery.googleapis.com/Dataset
  • cloudbuild.googleapis.com/BitbucketServerConfig
  • cloudbuild.googleapis.com/BuildTrigger
  • cloudbuild.googleapis.com/Connection
  • cloudbuild.googleapis.com/GithubEnterpriseConfig
  • cloudbuild.googleapis.com/Repository
  • cloudbuild.googleapis.com/WorkerPool
  • cloudfunctions.googleapis.com/CloudFunction
  • compute.googleapis.com/Instance
  • container.googleapis.com/Cluster
  • dataproc.googleapis.com/Cluster
  • dataproc.googleapis.com/Job
  • run.googleapis.com/Job
  • run.googleapis.com/Service
  • spanner.googleapis.com/Instance
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

Google Cloud  Ressourcentypen, die mit Klassifizierungen der Datensensitivität unterstützt werden

Bei Angriffspfadsimulationen können Prioritätswerte automatisch anhand von Klassifizierungen der Datenvertraulichkeit aus der Erkennung von Sensitive Data Protection für die folgenden Datenressourcentypen festgelegt werden:

  • aiplatform.googleapis.com/Dataset
  • bigquery.googleapis.com/Dataset
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

Unterstützte Ergebniskategorien

Angriffspfadsimulationen generieren Angriffsbewertungen und Angriffspfade nur für die Security Command Center-Ergebniskategorien aus den Security Command Center-Erkennungsdiensten, die in diesem Abschnitt aufgeführt sind.

Ergebnisse der Risiko-Engine

Die von der Risk Engine generierten Ergebniskategorien für schädliche Kombinationen und Chokepoints unterstützen Angriffsrisikobewertungen.

Ergebnisse zur externen Gefährdung

Angriffspfadsimulationen unterstützen die EXTERNALLY_EXPOSED_VM_INSTANCE-Ergebniskategorie „Externe Gefährdung“, die Compute Engine- oder GKE-Ressourcen mit einer direkten öffentlichen IP-Adresse identifiziert, die den Zugriff auf das Host-Betriebssystem ermöglicht. Weitere Informationen zu diesem Dienst finden Sie unter Verfügbargemachte Ressourcen erkennen.

Sicherheitslückenbewertung für Google Cloud -Ergebnisse

Angriffspfadsimulationen unterstützen die folgenden Ergebniskategorien für die Sicherheitslückenbewertung für Google Cloud:

  • GCE OS vulnerability
  • GCE Software vulnerability
  • GKE OS vulnerability
  • GKE Software vulnerability

Ergebnisse zum GKE-Sicherheitsstatus

Anhangspfadsimulationen unterstützen die folgenden Ergebniskategorien für den GKE-Sicherheitsstatus:

  • GKE runtime OS vulnerability

Mandiant Attack Surface Management-Ergebnisse

Angriffspfadsimulationen unterstützen die folgenden Ergebniskategorien von Mandiant Attack Surface Management:

  • Software vulnerability

VM Manager-Ergebnisse

Die Ergebniskategorie OS Vulnerability, die von VM Manager generiert wird, unterstützt Angriffsbewertungen.

Unterstützung für Pub/Sub-Benachrichtigungen

Änderungen an den Werten für die Angriffsrisiko-Exposition können nicht als Trigger für Benachrichtigungen an Pub/Sub verwendet werden.

Außerdem enthalten Ergebnisse, die beim Erstellen an Pub/Sub gesendet werden, keine Angriffsrisikobewertung, da sie gesendet werden, bevor eine Bewertung berechnet werden kann.

AWS-Support

Das Security Command Center kann Angriffsrisikobewertungen und Visualisierungen von Angriffspfaden für Ihre Ressourcen in AWS berechnen.

Von der Risk Engine unterstützte AWS-Dienste

Die Simulationen können die folgenden AWS-Dienste umfassen:

  • Identity and Access Management (IAM)
  • Security Token Service (STS)
  • Simple Storage Service (S3)
  • Web Application Firewall (WAFv2)
  • Elastic Compute Cloud (EC2)
  • Elastic Load Balancing (ELB und ELBv2)
  • Relational Database Service (RDS)
  • Key Management Service (KMS)
  • Elastic Container Registry (ECR)
  • Elastic Container Service (ECS)
  • ApiGateway und ApiGatewayv2
  • Organizations (Kontoverwaltungsdienst)
  • CloudFront
  • AutoScaling
  • Lambda
  • DynamoDB

AWS-Ressourcentypen, die in Sätzen hochwertiger Ressourcen unterstützt werden

Sie können nur die folgenden AWS-Ressourcentypen zu einer Ressourcengruppe mit hohem Wert hinzufügen:

  • DynamoDB-Tabelle
  • EC2-Instanz
  • Lambda-Funktion
  • RDS-DBCluster
  • RDS-DBInstance
  • S3-Bucket

AWS-Ressourcentypen, die mit Datenempfindlichkeitsklassifizierungen unterstützt werden

Angriffspfadsimulationen können Prioritätswerte automatisch anhand von Klassifizierungen der Datenvertraulichkeit aus der Sensitive Data Protection-Erkennung für die folgenden AWS-Datenressourcentypen festlegen:

  • Amazon S3-Bucket

Unterstützung für Ergebnisse in Security Health Analytics für AWS

Die Risk Engine bietet Bewertungen und Visualisierungen von Angriffspfaden für die folgenden Ergebniskategorien von Security Health Analytics:

  • Zugriffsschlüssel alle 90 Tage oder weniger rotiert
  • Seit mindestens 45 Tagen nicht verwendete Anmeldedaten deaktiviert
  • Standard-Sicherheitsgruppe der VPC schränkt gesamten Traffic ein
  • EC2-Instanz ohne öffentliche IP-Adresse
  • IAM-Passwortrichtlinie
  • IAM-Passwortrichtlinie verhindert die Wiederverwendung von Passwörtern
  • IAM-Passwortrichtlinie verlangt eine Mindestlänge von 14 Zeichen
  • Prüfung auf nicht verwendete Anmeldedaten von IAM-Nutzern
  • IAM-Nutzer erhalten Berechtigungen über Gruppen
  • KMS-CMK nicht zum Löschen geplant
  • S3-Buckets mit aktivierten MFA-Löschungen
  • Root-Nutzerkonto mit aktivierter MFA
  • Multi-Faktor-Authentifizierung (MFA) für alle IAM-Nutzer in der Konsole aktiviert
  • Kein Zugriffsschlüssel für Root-Nutzerkonto vorhanden
  • Keine Sicherheitsgruppen lassen eingehenden Traffic von 0 an Remote-Serververwaltung zu
  • Keine Sicherheitsgruppen lassen eingehenden Traffic von 0 0 0 0 an Remote-Serververwaltung zu
  • Ein aktiver Zugriffsschlüssel pro IAM-Nutzer verfügbar
  • RDS-Instanz öffentliche Zugriffsberechtigung gewährt
  • Eingeschränkte gemeinsame Ports
  • Eingeschränktes SSH
  • Rotation für vom Kunden erstellte CMKs aktiviert
  • Rotation für vom Kunden erstellte symmetrische CMKs aktiviert
  • S3-Buckets mit konfiguriertem „Öffentlichen Zugriff blockieren (Bucket-Einstellungen)“
  • S3-Bucket-Richtlinie auf Ablehnen von HTTP-Anfragen festgelegt
  • S3-Standardverschlüsselung ist KMS
  • VPC-Standardsicherheitsgruppe geschlossen

Ergebnisse der Sicherheitslückenbewertung für Amazon Web Services

Die Ergebniskategorie Software vulnerability, die von der EC2-Sicherheitslückenbewertung generiert wird, unterstützt Angriffsbewertungen.

Azure-Support

Die Risk Engine kann Angriffsrisikobewertungen und Visualisierungen von Angriffspfaden für Ihre Ressourcen in Microsoft Azure generieren.

Nachdem Sie eine Verbindung zu Azure hergestellt haben, können Sie hochwertige Azure-Ressourcen festlegen, indem Sie Ressourcenwertkonfigurationen erstellen, wie Sie es auch für Ressourcen in Google Cloud und AWS tun würden. Eine Anleitung finden Sie im Abschnitt Satz hochwertiger Ressourcen definieren und verwalten.

Bevor Sie Ihre erste Ressourcenwertkonfiguration für Azure erstellen, verwendet Security Command Center einen standardmäßigen Satz von Ressourcen mit hohem Wert, der für den Cloud-Dienstanbieter spezifisch ist.

Das Security Command Center führt Simulationen für eine Cloud-Plattform aus, die unabhängig von Simulationen für andere Cloud-Plattformen sind.

Von der Risk Engine unterstützte Azure-Dienste

Die Simulationen des Angriffspfads können die folgenden Azure-Dienste umfassen:

  • App Service
  • Azure Kubernetes Service (AKS)
  • Virtuelles Netzwerk
  • Container Registry
  • Cosmos DB
  • Funktionen
  • Key Vault
  • der MySQL-Datenbank verbinden
  • Netzwerksicherheitsgruppen
  • PostgreSQL-Datenbank
  • Rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC)
  • Service Bus
  • SQL-Datenbank
  • Storage Account (Speicherkonto)
  • VM-Skalierungsgruppen
  • Virtuelle Maschinen

Azure-Ressourcentypen, die Sie in Sätzen hochwertiger Ressourcen angeben können

Sie können einem Satz hochwertiger Ressourcen nur die folgenden Arten von Azure-Ressourcen hinzufügen:

  • Microsoft.Compute/virtualMachines
    • Linux-VM
    • Windows-VM
  • Microsoft.ContainerService/managedClusters
    • Kubernetes-Cluster
  • Microsoft.DBforMySQL/flexibleServers/databases
    • MySQL-Datenbank
  • Microsoft.DBforPostgreSQL/flexibleServers/databases
    • PostgreSQL-Datenbank
  • Microsoft.DocumentDB/databaseAccounts
    • Cosmos DB-Konto
  • Microsoft.Sql/servers/databases
    • SQL-Datenbank
  • Microsoft.Storage/storageAccounts
    • Storage Account (Speicherkonto)
  • Microsoft.Web/sites
    • App Service
    • Funktions-App

Azure-Ressourcen, die im standardmäßigen Satz hochwertiger Ressourcen enthalten sind

Die folgenden Ressourcen sind im standardmäßigen Satz hochwertiger Ressourcen enthalten:

  • Microsoft.Compute/virtualMachines
    • Linux-VM
    • Windows-VM
  • Microsoft.DBforPostgreSQL/flexibleServers/databases
    • PostgreSQL-Datenbank
  • Microsoft.DBforMySQL/flexibleServers/databases
    • MySQL-Datenbank
  • Microsoft.DocumentDB/databaseAccounts
    • Cosmos DB-Konto
  • Microsoft.Sql/servers/databases
    • SQL-Datenbank
  • Microsoft.Storage/storageAccounts
    • Storage Account (Speicherkonto)
  • Microsoft.Web/sites
    • App Service
    • Funktions-App