Compatibilidad con funciones del motor de riesgos

El motor de riesgos de Security Command Center simula posibles rutas de ataque y calcula las puntuaciones de exposición a ataques. Esta información te ayuda a priorizar los riesgos de seguridad en las plataformas de nube compatibles, las clases de hallazgos y los recursos de alto valor.

Funciones compatibles con el motor de riesgo

El motor de riesgo genera puntuaciones de exposición a ataques y simulaciones de rutas de ataque para lo siguiente:

Security Command Center proporciona puntuaciones de exposición a ataques y visualizaciones de rutas de ataque para varias plataformas de proveedores de servicios en la nube. La compatibilidad con los detectores varía para cada proveedor según los detectores de exposición externa, vulnerabilidad y configuración incorrecta disponibles:

Solo asistencia a nivel de la organización

Las simulaciones de rutas de ataque que usa el motor de riesgo para generar las puntuaciones de exposición a ataques y las rutas de ataque requieren que Security Command Center esté activado a nivel de la organización. Las simulaciones de rutas de ataque no son compatibles con las activaciones a nivel del proyecto de Security Command Center.

Para ver las rutas de ataque, la vista de la consola de Google Cloud debe estar configurada en tu organización. Si seleccionas una vista de proyecto o carpeta en la consola deGoogle Cloud , puedes ver las puntuaciones de exposición a ataques, pero no puedes ver las rutas de ataque.

Roles obligatorios

Las rutas de ataque se asocian con componentes específicos de Security Command Center, como los hallazgos y los recursos de alto valor. Para ver las rutas de ataque de Security Command Center, debes tener los roles de IAM correctos que te permitan ver cada uno de tus recursos de Security Command Center.

Para obtener los permisos que necesitas para ver las rutas de ataque, pídele a tu administrador que te otorgue los siguientes roles de IAM en tu organización:

Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

También puedes obtener los permisos necesarios a través de roles personalizados o cualquier otro rol predefinido.

Límites de tamaño para organizaciones

Para las simulaciones de rutas de ataque, el motor de riesgo limita la cantidad de recursos activos y hallazgos activos que puede contener una organización.

Si una organización supera los límites que se muestran en la siguiente tabla, no se ejecutan las simulaciones de rutas de ataque.

Tipo de límite Límite de uso
Cantidad máxima de hallazgos activos 250,000,000
Cantidad máxima de recursos activos 26,000,000

Si los recursos, los hallazgos o ambos en tu organización se acercan a estos límites o los superan, comunícate con Atención al cliente de Cloud para solicitar una evaluación de tu organización para un posible aumento.

Límites de conjuntos de recursos de alto valor

Un conjunto de recursos de alto valor solo admite ciertos tipos de recursos y puede contener solo una cantidad determinada de instancias de recursos.

  • Un conjunto de recursos de alto valor para una plataforma de proveedor de servicios en la nube puede contener hasta 1,000 instancias de recursos.

  • Puedes crear hasta 100 parámetros de configuración de valores de recursos por organización en Google Cloud.

Asistencia para la interfaz de usuario

Puedes trabajar con las puntuaciones de exposición a ataques en la consola de Google Cloud , la consola de operaciones de seguridad o la API de Security Command Center.

Puedes trabajar con las puntuaciones de exposición a ataques y las rutas de ataque para los casos de combinaciones tóxicas solo en la consola de operaciones de seguridad.

Puedes crear parámetros de configuración de valores de recursos en la pestaña Simulaciones de rutas de ataque de la página Configuración de Security Command Center en la consola de Google Cloud o a través de la API de Security Command Center.

Compatibilidad deGoogle Cloud

En las siguientes secciones, se describe la compatibilidad del motor de riesgo con Google Cloud.

Servicios deGoogle Cloud compatibles con el motor de riesgo

Las simulaciones que ejecuta el motor de riesgo pueden incluir los siguientes servicios de Google Cloud :

  • Artifact Registry
  • BigQuery
  • Cloud Build
  • Cloud Run
  • Cloud Run Functions
  • Managed Service para Apache Spark
  • Cloud Key Management Service
  • Cloud Load Balancing
  • Cloud NAT
  • Cloud Router
  • Cloud SQL
  • Cloud Storage
  • Compute Engine
  • Google Kubernetes Engine
  • Identity and Access Management
  • Resource Manager
  • Agent Platform de Gemini Enterprise
  • Nube privada virtual, incluidas las subredes, las configuraciones de firewall y los perímetros de control de servicios

Google Cloud tipos de recursos admitidos en conjuntos de recursos de alto valor

Solo puedes agregar los siguientes tipos de recursos de Google Cloud a un conjunto de recursos de alto valor:

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/Featurestore
  • aiplatform.googleapis.com/MetadataStore
  • aiplatform.googleapis.com/Model
  • aiplatform.googleapis.com/ReasoningEngine
  • aiplatform.googleapis.com/TrainingPipeline
  • artifactregistry.googleapis.com/Repository
  • bigquery.googleapis.com/Dataset
  • cloudbuild.googleapis.com/BitbucketServerConfig
  • cloudbuild.googleapis.com/BuildTrigger
  • cloudbuild.googleapis.com/Connection
  • cloudbuild.googleapis.com/GithubEnterpriseConfig
  • cloudbuild.googleapis.com/Repository
  • cloudbuild.googleapis.com/WorkerPool
  • cloudfunctions.googleapis.com/CloudFunction
  • compute.googleapis.com/Instance
  • container.googleapis.com/Cluster
  • dataproc.googleapis.com/Cluster
  • dataproc.googleapis.com/Job
  • run.googleapis.com/Job
  • run.googleapis.com/Service
  • spanner.googleapis.com/Instance
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

Google Cloud tipos de recursos admitidos con clasificaciones de sensibilidad de los datos

Las simulaciones de rutas de ataque pueden establecer automáticamente valores de prioridad en función de las clasificaciones de sensibilidad de los datos del descubrimiento de Sensitive Data Protection solo para los siguientes tipos de recursos de datos:

  • aiplatform.googleapis.com/Dataset
  • bigquery.googleapis.com/Dataset
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

Categorías de hallazgos compatibles

Las simulaciones de rutas de ataque generan puntuaciones de exposición a ataques y rutas de ataque solo para las categorías de hallazgos de Security Command Center de los servicios de detección de Security Command Center que se indican en esta sección.

Resultados del motor de riesgo

Las categorías de hallazgos de combinaciones tóxicas y puntos críticos que genera el motor de riesgo admiten puntuaciones de exposición a ataques.

Hallazgos de External Exposure

Las simulaciones de rutas de ataque admiten la categoría de hallazgo de exposición externa de EXTERNALLY_EXPOSED_VM_INSTANCE, que identifica los recursos de Compute Engine o GKE con una dirección IP pública directa que permite el acceso al SO del host. Para obtener más información sobre este servicio, consulta Detecta recursos expuestos.

Evaluación de vulnerabilidades para los hallazgos de Google Cloud

Las simulaciones de rutas de ataque admiten las siguientes categorías de hallazgos de la evaluación de vulnerabilidades para Google Cloud:

  • GCE OS vulnerability
  • GCE Software vulnerability
  • GKE OS vulnerability
  • GKE Software vulnerability

Hallazgos de la postura de seguridad de GKE

Las simulaciones de rutas de conexión admiten las siguientes categorías de hallazgos de la postura de seguridad de GKE:

  • GKE runtime OS vulnerability

Hallazgos de Mandiant Attack Surface Management

Las simulaciones de rutas de ataque admiten las siguientes categorías de hallazgos de Mandiant Attack Surface Management:

  • Software vulnerability

Resultados de VM Manager

La categoría de hallazgo OS Vulnerability que genera VM Manager admite puntuaciones de exposición a ataques.

Asistencia para las notificaciones de Pub/Sub

Los cambios en las puntuaciones de exposición a ataques no se pueden usar como activador para las notificaciones a Pub/Sub.

Además, los hallazgos que se envían a Pub/Sub cuando se crean no incluyen una puntuación de exposición a ataques, ya que se envían antes de que se pueda calcular una puntuación.

Asistencia de AWS

Security Command Center puede calcular las puntuaciones de exposición a ataques y las visualizaciones de rutas de ataque para tus recursos en AWS.

Servicios de AWS compatibles con el motor de riesgo

Las simulaciones pueden incluir los siguientes servicios de AWS:

  • Identity and Access Management (IAM)
  • Servicio de tokens de seguridad (STS)
  • Simple Storage Service (S3)
  • Firewall de aplicación web (WAFv2)
  • Elastic Compute Cloud (EC2)
  • Elastic Load Balancing (ELB y ELBv2)
  • Servicio de base de datos relacional (RDS)
  • Servicio de administración de claves (KMS)
  • Elastic Container Registry (ECR)
  • Elastic Container Service (ECS)
  • ApiGateway y ApiGatewayv2
  • Organizaciones (servicio de administración de cuentas)
  • CloudFront
  • AutoScaling
  • Lambda
  • DynamoDB

Tipos de recursos de AWS admitidos en conjuntos de recursos de alto valor

Solo puedes agregar los siguientes tipos de recursos de AWS a un conjunto de recursos de alto valor:

  • Tabla de DynamoDB
  • Instancia de EC2
  • Función Lambda
  • DBCluster de RDS
  • DBInstance de RDS
  • Bucket de S3

Tipos de recursos de AWS compatibles con las clasificaciones de sensibilidad de los datos

Las simulaciones de rutas de ataque pueden establecer automáticamente valores de prioridad en función de las clasificaciones de sensibilidad de los datos de la detección de Sensitive Data Protection solo para los siguientes tipos de recursos de datos de AWS:

  • Bucket de Amazon S3

Asistencia para los hallazgos en Security Health Analytics para AWS

El motor de riesgo proporciona puntuaciones y visualizaciones de rutas de ataque para las siguientes categorías de resultados de Security Health Analytics:

  • Rotación de claves de acceso cada 90 días o menos
  • Credenciales sin usar durante más de 45 días inhabilitadas
  • Restricción de todo el tráfico en el grupo de seguridad predeterminado de la VPC
  • Instancia de EC2 sin IP pública
  • Política de contraseñas de IAM
  • La política de contraseñas de IAM evita la reutilización de contraseñas
  • La política de contraseñas de IAM requiere una longitud mínima de 14 caracteres
  • Verificación de credenciales sin utilizar de usuarios de IAM
  • Usuarios de IAM que reciben grupos de permisos
  • CMK del KMS sin programar para su eliminación
  • Eliminación de MFA habilitada en los buckets de S3
  • Cuenta de usuario raíz con una MFA habilitada
  • Autenticación de varios factores MFA habilitada para todas las consolas de usuarios de IAM
  • Ausencia de una clave de acceso de la cuenta de usuario raíz
  • Ausencia de un grupo de seguridad que permita entradas de 0 para la administración del servidor remoto
  • Ausencia de un grupo de seguridad que permita entradas de 0 0 0 0 para la administración del servidor remoto
  • Una clave de acceso activa disponible para cada usuario de IAM
  • Acceso público otorgado a una instancia de RDS
  • Puertos comunes restringidos
  • SSH restringido
  • Rotación habilitada para los CMK creados por el cliente
  • Rotación habilitada para los CMK simétricos creados por el cliente
  • Buckets de S3 configurados con el bucket de acceso público
  • Política de bucket de S3 configurada para rechazar solicitudes HTTP
  • KMS de encriptación predeterminada de S3
  • Grupo de seguridad predeterminado de la VPC cerrado

Hallazgos de la evaluación de vulnerabilidades para Amazon Web Services

La categoría de hallazgo Software vulnerability que genera la evaluación de vulnerabilidades de EC2 admite puntuaciones de exposición a ataques.

Asistencia de Azure

El motor de riesgo puede generar puntuaciones de exposición a ataques y visualizaciones de rutas de ataque para tus recursos en Microsoft Azure.

Después de establecer una conexión con Azure, puedes designar recursos de alto valor de Azure creando parámetros de configuración de valores de recursos, como lo harías para los recursos en Google Cloud y AWS. Para obtener instrucciones, consulta la sección Define y administra tu conjunto de recursos de alto valor.

Antes de crear tu primera configuración de valor de recursos para Azure, Security Command Center usa un conjunto predeterminado de recursos de alto valor que es específico del proveedor de servicios en la nube.

Security Command Center ejecuta simulaciones para una plataforma de nube que son independientes de las simulaciones que se ejecutan para otras plataformas de nube.

Servicios de Azure compatibles con el motor de riesgo

Las simulaciones de rutas de ataque pueden incluir los siguientes servicios de Azure:

  • Servicio de apps
  • Azure Kubernetes Service (AKS)
  • Red virtual
  • Container Registry
  • Cosmos DB
  • Funciones
  • Key Vault
  • la base de datos de MySQL
  • Grupos de seguridad de red
  • Base de datos de PostgreSQL
  • Control de acceso basado en roles (RBAC)
  • Service Bus
  • SQL Database
  • Cuenta de almacenamiento
  • Conjuntos de escalado de máquinas virtuales
  • Máquinas virtuales

Tipos de recursos de Azure que puedes especificar en conjuntos de recursos de alto valor

Solo puedes agregar los siguientes tipos de recursos de Azure a un conjunto de recursos de alto valor:

  • Microsoft.Compute/virtualMachines
    • VM de Linux
    • VM de Windows
  • Microsoft.ContainerService/managedClusters
    • Clúster de Kubernetes
  • Microsoft.DBforMySQL/flexibleServers/databases
    • Base de datos de MySQL
  • Microsoft.DBforPostgreSQL/flexibleServers/databases
    • Base de datos de PostgreSQL
  • Microsoft.DocumentDB/databaseAccounts
    • Cuenta de Cosmos DB
  • Microsoft.Sql/servers/databases
    • SQL Database
  • Microsoft.Storage/storageAccounts
    • Cuenta de almacenamiento
  • Microsoft.Web/sites
    • Servicio de apps
    • Function App

Recursos de Azure incluidos en el conjunto de recursos de alto valor predeterminado

Los siguientes son recursos incluidos en el conjunto de recursos de alto valor predeterminado:

  • Microsoft.Compute/virtualMachines
    • VM de Linux
    • VM de Windows
  • Microsoft.DBforPostgreSQL/flexibleServers/databases
    • Base de datos de PostgreSQL
  • Microsoft.DBforMySQL/flexibleServers/databases
    • Base de datos de MySQL
  • Microsoft.DocumentDB/databaseAccounts
    • Cuenta de Cosmos DB
  • Microsoft.Sql/servers/databases
    • SQL Database
  • Microsoft.Storage/storageAccounts
    • Cuenta de almacenamiento
  • Microsoft.Web/sites
    • Servicio de apps
    • Function App