Compatibilité des fonctionnalités du moteur de gestion des risques

Le moteur de gestion des risques de Security Command Center simule les chemins d'attaque potentiels et calcule les scores d'exposition aux attaques. Ces informations vous aident à hiérarchiser les risques de sécurité sur les plates-formes cloud, les classes de résultats et les ressources de grande valeur compatibles.

Fonctionnalités compatibles avec Risk Engine

Risk Engine génère des scores d'exposition aux attaques et des simulations de chemins d'attaque pour les éléments suivants :

Security Command Center fournit des scores d'exposition aux attaques et des visualisations des chemins d'attaque pour plusieurs plates-formes de fournisseurs de services cloud. La compatibilité des détecteurs diffère pour chaque fournisseur en fonction des détecteurs d'exposition externe, de failles et d'erreurs de configuration disponibles :

Assistance au niveau de l'organisation uniquement

Les simulations de chemins d'attaque utilisées par le moteur de risque pour générer les scores d'exposition aux attaques et les chemins d'attaque nécessitent l'activation de Security Command Center au niveau de l'organisation. Les simulations de chemins d'attaque ne sont pas compatibles avec les activations au niveau du projet de Security Command Center.

Pour afficher les chemins d'attaque, la vue de la console Google Cloud doit être définie sur votre organisation. Si vous sélectionnez une vue de projet ou de dossier dans la consoleGoogle Cloud , vous pouvez voir les scores d'exposition aux attaques, mais pas les chemins d'attaque.

Rôles requis

Les chemins d'attaque sont associés à des composants spécifiques de Security Command Center, tels que les résultats et les ressources à forte valeur. Pour afficher les chemins d'attaque Security Command Center, vous devez disposer des rôles IAM appropriés pour afficher chacune de vos ressources Security Command Center.

Pour obtenir les autorisations nécessaires pour afficher les chemins d'attaque, demandez à votre administrateur de vous accorder les rôles IAM suivants sur votre organisation :

Pour en savoir plus sur l'attribution de rôles, consultez Gérer l'accès aux projets, aux dossiers et aux organisations.

Vous pouvez également obtenir les autorisations requises avec des rôles personnalisés ou d'autres rôles prédéfinis.

Limites de taille pour les organisations

Pour les simulations de chemins d'attaque, Risk Engine limite le nombre d'éléments actifs et de résultats actifs qu'une organisation peut contenir.

Si une organisation dépasse les limites indiquées dans le tableau suivant, les simulations de chemins d'attaque ne s'exécutent pas.

Type de limite Limite d'utilisation
Nombre maximal de résultats actifs 250 000 000
Nombre maximal d'assets actifs 26 000 000

Si les éléments, les résultats ou les deux dans votre organisation approchent de ces limites ou les dépassent, contactez Cloud Customer Care pour demander une évaluation de votre organisation en vue d'une éventuelle augmentation.

Limites des ensembles de ressources de forte valeur

Un ensemble de ressources à forte valeur n'est compatible qu'avec certains types de ressources et ne peut contenir qu'un certain nombre d'instances de ressources.

  • Un ensemble de ressources de forte valeur pour une plate-forme de fournisseur de services cloud peut contenir jusqu'à 1 000 instances de ressources.

  • Vous pouvez créer jusqu'à 100 configurations de valeurs de ressources par organisation sur Google Cloud.

Compatibilité avec l'interface utilisateur

Vous pouvez utiliser les scores d'exposition aux attaques dans la console Google Cloud , la console Security Operations ou l'API Security Command Center.

Vous ne pouvez utiliser les scores d'exposition aux attaques et les chemins d'attaque pour les cas de combinaisons toxiques que dans la console Opérations de sécurité.

Vous pouvez créer des configurations de valeurs de ressources dans l'onglet Simulations de chemins d'attaque de la page Paramètres de Security Command Center dans la console Google Cloud ou via l'API Security Command Center.

Compatibilité avecGoogle Cloud

Les sections suivantes décrivent la compatibilité de Risk Engine avec Google Cloud.

Google Cloud services compatibles avec Risk Engine

Les simulations exécutées par Risk Engine peuvent inclure les services Google Cloud suivants :

  • Artifact Registry
  • BigQuery
  • Cloud Build
  • Cloud Run
  • Fonctions Cloud Run
  • Managed Service pour Apache Spark
  • Cloud Key Management Service
  • Cloud Load Balancing
  • Cloud NAT
  • Cloud Router
  • Cloud SQL
  • Cloud Storage
  • Compute Engine
  • Google Kubernetes Engine
  • Identity and Access Management
  • Resource Manager
  • Gemini Enterprise Agent Platform
  • Cloud privé virtuel, y compris les sous-réseaux, les configurations de pare-feu et les périmètres de contrôle des services

Google Cloud  types de ressources compatibles avec les ensembles de ressources de forte valeur

Vous ne pouvez ajouter que les types de ressources Google Cloud suivants à un ensemble de ressources à forte valeur :

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/Featurestore
  • aiplatform.googleapis.com/MetadataStore
  • aiplatform.googleapis.com/Model
  • aiplatform.googleapis.com/ReasoningEngine
  • aiplatform.googleapis.com/TrainingPipeline
  • artifactregistry.googleapis.com/Repository
  • bigquery.googleapis.com/Dataset
  • cloudbuild.googleapis.com/BitbucketServerConfig
  • cloudbuild.googleapis.com/BuildTrigger
  • cloudbuild.googleapis.com/Connection
  • cloudbuild.googleapis.com/GithubEnterpriseConfig
  • cloudbuild.googleapis.com/Repository
  • cloudbuild.googleapis.com/WorkerPool
  • cloudfunctions.googleapis.com/CloudFunction
  • compute.googleapis.com/Instance
  • container.googleapis.com/Cluster
  • dataproc.googleapis.com/Cluster
  • dataproc.googleapis.com/Job
  • run.googleapis.com/Job
  • run.googleapis.com/Service
  • spanner.googleapis.com/Instance
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

Google Cloud types de ressources compatibles avec les classifications de sensibilité des données

Les simulations de chemins d'attaque peuvent définir automatiquement des valeurs de priorité en fonction des classifications de sensibilité des données de la découverte Sensitive Data Protection pour les types de ressources de données suivants uniquement :

  • aiplatform.googleapis.com/Dataset
  • bigquery.googleapis.com/Dataset
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

Catégories de résultats compatibles

Les simulations de chemins d'attaque génèrent des scores d'exposition aux attaques et des chemins d'attaque uniquement pour les catégories de résultats Security Command Center des services de détection Security Command Center répertoriés dans cette section.

Résultats du moteur de gestion des risques

Les catégories de résultats de combinaisons toxiques et de goulets d'étranglement générées par Risk Engine sont compatibles avec les scores d'exposition aux attaques.

Résultats d'exposition externe

Les simulations de chemins d'attaque sont compatibles avec la catégorie de résultat "Exposition externe" EXTERNALLY_EXPOSED_VM_INSTANCE, qui identifie les ressources Compute Engine ou GKE disposant d'une adresse IP publique directe permettant d'accéder à l'OS hôte. Pour en savoir plus sur ce service, consultez Détecter les ressources exposées.

Résultats de l'évaluation des failles pour Google Cloud

Les simulations de chemins d'attaque sont compatibles avec les catégories de résultats Vulnerability Assessment for Google Cloud suivantes :

  • GCE OS vulnerability
  • GCE Software vulnerability
  • GKE OS vulnerability
  • GKE Software vulnerability

Résultats de la stratégie de sécurité GKE

Les simulations de chemin d'attaque sont compatibles avec les catégories de résultats de la stratégie de sécurité GKE suivantes :

  • GKE runtime OS vulnerability

Résultats de Mandiant Attack Surface Management

Les simulations de chemins d'attaque sont compatibles avec les catégories de résultats Mandiant Attack Surface Management suivantes :

  • Software vulnerability

Résultats de VM Manager

La catégorie de résultat OS Vulnerability générée par VM Manager est compatible avec les scores d'exposition aux attaques.

Compatibilité avec les notifications Pub/Sub

Les modifications apportées aux scores d'exposition aux attaques ne peuvent pas être utilisées comme déclencheur pour les notifications à Pub/Sub.

De plus, les résultats envoyés à Pub/Sub lors de leur création n'incluent pas de niveau d'exposition aux attaques, car ils sont envoyés avant qu'un score puisse être calculé.

Assistance AWS

Security Command Center peut calculer les scores d'exposition aux attaques et les visualisations des chemins d'attaque pour vos ressources sur AWS.

Services AWS compatibles avec le moteur de risque

Les simulations peuvent inclure les services AWS suivants :

  • Identity and Access Management (IAM)
  • Service de jetons de sécurité (STS)
  • Simple Storage Service (S3)
  • Pare-feu d'application Web (WAFv2)
  • Elastic Compute Cloud (EC2)
  • Équilibrage de charge élastique (ELB et ELBv2)
  • Relational Database Service (RDS)
  • Service de gestion des clés (KMS)
  • Elastic Container Registry (ECR)
  • Elastic Container Service (ECS)
  • ApiGateway et ApiGatewayv2
  • Organizations (Account Management Service)
  • CloudFront
  • Autoscaling
  • Lambda
  • DynamoDB

Types de ressources AWS compatibles avec les ensembles de ressources de forte valeur

Vous ne pouvez ajouter que les types de ressources AWS suivants à un ensemble de ressources de grande valeur :

  • Table DynamoDB
  • Instance EC2
  • Fonction Lambda
  • DBCluster RDS
  • RDS DBInstance
  • Bucket S3

Types de ressources AWS compatibles avec les classifications de sensibilité des données

Les simulations de chemins d'attaque peuvent définir automatiquement des valeurs de priorité en fonction des classifications de sensibilité des données de la découverte Sensitive Data Protection pour les types de ressources de données AWS suivants uniquement :

  • Bucket Amazon S3

Compatibilité des résultats dans Security Health Analytics pour AWS

Risk Engine fournit des scores et des visualisations de chemins d'attaque pour les catégories de résultats Security Health Analytics suivantes :

  • Rotation des clés d'accès tous les 90 jours au maximum
  • Identifiants inutilisés pendant au moins 45 jours désactivés
  • Le VPC du groupe de sécurité par défaut limite tout le trafic
  • Pas d'adresse IP publique pour les instances EC2
  • Stratégie de mots de passe IAM
  • La stratégie de mots de passe IAM empêche de réutiliser des mots de passe
  • La stratégie de mots de passe IAM exige au moins 14 caractères
  • Vérification des identifiants inutilisés des utilisateurs IAM
  • Les utilisateurs IAM reçoivent des groupes d'autorisations
  • Suppression des CMK KMS non planifiée
  • Buckets S3 avec suppression MFA activée
  • MFA activée sur le compte utilisateur racine
  • Authentification multifacteur (MFA) activée pour tous les utilisateurs de console IAM
  • Aucune clé d'accès n'existe pour le compte utilisateur racine
  • Aucun groupe de sécurité n'autorise l'entrée de 0 vers l'administration du serveur distant
  • Aucun groupe de sécurité n'autorise l'entrée de 0 0 0 0 vers l'administration du serveur distant
  • Une seule clé d'accès active est disponible par utilisateur IAM
  • Accès public accordé pour l'instance RDS
  • Ports communs restreints
  • SSH restreint
  • Rotation des CMK créées par le client activée
  • Rotation des CMK symétriques créées par le client activée
  • Buckets S3 configurés avec le paramètre de bucket "Bloquer l'accès public"
  • Stratégie de bucket S3 définie pour refuser les requêtes HTTP
  • Clé KMS de chiffrement par défaut pour S3
  • Groupe de sécurité VPC par défaut fermé

Résultats de Vulnerability Assessment pour Amazon Web Services

La catégorie de résultat Software vulnerability générée par l'évaluation des failles EC2 est compatible avec les scores d'exposition aux attaques.

Compatibilité avec Azure

Risk Engine peut générer des scores d'exposition aux attaques et des visualisations de chemins d'attaque pour vos ressources sur Microsoft Azure.

Après avoir établi une connexion à Azure, vous pouvez désigner des ressources Azure de forte valeur en créant des configurations de valeurs de ressources, comme vous le feriez pour des ressources sur Google Cloud et AWS. Pour obtenir des instructions, consultez la section Définir et gérer votre ensemble de ressources à forte valeur.

Avant de créer votre première configuration de valeur de ressource pour Azure, Security Command Center utilise un ensemble de ressources de forte valeur par défaut spécifique au fournisseur de services cloud.

Security Command Center exécute des simulations pour une plate-forme cloud qui sont indépendantes des simulations exécutées pour d'autres plates-formes cloud.

Services Azure compatibles avec Risk Engine

Les simulations de chemin d'attaque peuvent inclure les services Azure suivants :

  • App Service
  • Azure Kubernetes Service (AKS)
  • Réseau virtuel
  • Container Registry
  • Cosmos DB
  • Fonctions
  • Key Vault
  • à une base de données MySQL
  • Groupes de sécurité réseau
  • Base de données PostgreSQL
  • Contrôle des accès basé sur les rôles (RBAC)
  • Service Bus
  • SQL Database
  • Storage Account (Compte de stockage)
  • Groupes de machines virtuelles identiques
  • Machines virtuelles

Types de ressources Azure que vous pouvez spécifier dans des ensembles de ressources à forte valeur

Vous ne pouvez ajouter que les types de ressources Azure suivants à un ensemble de ressources de forte valeur :

  • Microsoft.Compute/virtualMachines
    • VM Linux
    • VM Windows
    • Microsoft.ContainerService/managedClusters
    • Cluster Kubernetes
  • Microsoft.DBforMySQL/flexibleServers/databases
    • Base de données MySQL
  • Microsoft.DBforPostgreSQL/flexibleServers/databases
    • Base de données PostgreSQL
    • Microsoft.DocumentDB/databaseAccounts
    • Compte Cosmos DB
  • Microsoft.Sql/servers/databases
    • SQL Database
  • Microsoft.Storage/storageAccounts
    • Storage Account (Compte de stockage)
  • Microsoft.Web/sites
    • App Service
    • Application de fonction

Ressources Azure incluses dans l'ensemble de ressources de forte valeur par défaut

Voici les ressources incluses dans l'ensemble de ressources à forte valeur par défaut :

  • Microsoft.Compute/virtualMachines
    • VM Linux
    • VM Windows
  • Microsoft.DBforPostgreSQL/flexibleServers/databases
    • Base de données PostgreSQL
  • Microsoft.DBforMySQL/flexibleServers/databases
    • Base de données MySQL
    • Microsoft.DocumentDB/databaseAccounts
    • Compte Cosmos DB
  • Microsoft.Sql/servers/databases
    • SQL Database
  • Microsoft.Storage/storageAccounts
    • Storage Account (Compte de stockage)
  • Microsoft.Web/sites
    • App Service
    • Application de fonction