תמיכה בתכונות של Risk Engine

מנוע הסיכונים ב-Security Command Center מדמה נתיבי תקיפה פוטנציאליים ומחשב את ציוני החשיפה להתקפות. המידע הזה עוזר לכם לתעדף סיכוני אבטחה בפלטפורמות נתמכות בענן, למצוא סיווגים ומשאבים בעלי ערך גבוה.

תכונות נתמכות במנוע הסיכונים

מנוע הסיכונים יוצר ציוני חשיפה להתקפות וסימולציות של נתיבי התקפה בשביל:

ב-Security Command Center אפשר לראות את ציוני החשיפה להתקפות ואת מסלולי ההתקפות בפלטפורמות של כמה ספקי שירותי ענן. התמיכה בגלאים משתנה בהתאם לספק, על סמך הגלאים הזמינים לחשיפה חיצונית, לנקודות חולשה ולהגדרות שגויות:

תמיכה ברמת הארגון בלבד

כדי שמנוע הסיכונים יוכל להשתמש בהדמיות של מסלולי התקפה וליצור את ציוני החשיפה להתקפות ואת מסלולי ההתקפה, צריך להפעיל את Security Command Center ברמת הארגון. אי אפשר להריץ הדמיות של מסלולי התקפה ב-Security Command Center אם ההפעלה היא ברמת הפרויקט.

כדי לראות את נתיבי ההתקפה, צריך להגדיר את התצוגה במסוף Google Cloud לארגון שלכם. אם בוחרים תצוגה של פרויקט או תיקייה במסוףGoogle Cloud , אפשר לראות את הציונים של החשיפה להתקפות, אבל לא את נתיבי ההתקפה.

התפקידים הנדרשים

מסלולי ההתקפה משויכים לרכיבים ספציפיים של Security Command Center, כמו ממצאים ומשאבים בעלי ערך גבוה. כדי לראות את מסלולי ההתקפה ב-Security Command Center, אתם צריכים את תפקידי ה-IAM המתאימים שמאפשרים לכם לראות כל אחד מהמשאבים של Security Command Center.

כדי לקבל את ההרשאות שדרושות לצפייה בנתיבי התקפה, בקשו מהאדמין לתת לכם את התפקידים הבאים ב-IAM ברמת הארגון:

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

מגבלות גודל לארגונים

בסימולציות של נתיבי התקפה, מנוע הסיכונים מגביל את מספר הנכסים הפעילים והממצאים הפעילים שיכולים להיות בארגון.

אם בארגון חורגים מהמגבלות שמופיעות בטבלה הבאה, ההדמיות של מסלולי ההתקפה לא פועלות.

סוג המגבלה מכסת שימוש
המספר המקסימלי של ממצאים פעילים 250,000,000
המספר המקסימלי של נכסים פעילים 26,000,000

אם מספר הנכסים, הממצאים או שניהם בארגון שלכם מתקרב למגבלות האלה או חורג מהן, פנו ל-Cloud Customer Care כדי לבקש הערכה של הארגון שלכם להגדלה אפשרית.

מגבלות על קבוצות של מקורות מידע בעלי ערך גבוה

קבוצת משאבים בעלי ערך גבוה תומכת רק בסוגים מסוימים של משאבים, ויכולה להכיל רק מספר מסוים של מופעי משאבים.

  • קבוצת משאבים בעלי ערך גבוה לפלטפורמה של ספק שירותי ענן יכולה להכיל עד 1,000 מופעי משאבים.

  • בכל ארגון ב- Google Cloudאפשר ליצור עד 100 הגדרות של ערכי משאבים.

תמיכה בממשק המשתמש

אתם יכולים לעבוד עם ציוני החשיפה להתקפות במסוף Google Cloud , במסוף Security Operations או ב-Security Command Center API.

אפשר לעבוד עם ציוני החשיפה להתקפות ועם נתיבי ההתקפות במקרים של שילובים רעילים רק במסוף Security Operations.

אפשר ליצור הגדרות של ערכי משאבים בכרטיסייה Attack path simulations בדף Settings של Security Command Center במסוף Google Cloud , או באמצעות Security Command Center API.

Google Cloud תמיכה

בקטעים הבאים מתוארת התמיכה של מנוע הסיכונים ב- Google Cloud.

Google Cloud שירותים שנתמכים על ידי Risk Engine

הסימולציות שמנוע הסיכונים מריץ יכולות לכלול את שירותי Google Cloud הבאים:

  • Artifact Registry
  • BigQuery
  • Cloud Build
  • Cloud Run
  • פונקציות Cloud Run
  • Managed Service for Apache Spark
  • Cloud Key Management Service
  • Cloud Load Balancing
  • Cloud NAT
  • Cloud Router
  • Cloud SQL
  • Cloud Storage
  • Compute Engine
  • Google Kubernetes Engine
  • ניהול זהויות והרשאות גישה
  • מנהל המשאבים
  • פלטפורמת הסוכנים של Gemini Enterprise
  • ענן וירטואלי פרטי (VPC), כולל רשתות משנה, הגדרות של חומת אש והיקפים של בקרת שירות

Google Cloud סוגי משאבים שנתמכים בקבוצות של משאבים חשובים

אפשר להוסיף רק את סוגי המשאבים הבאים של Google Cloud לקבוצת משאבים בעלי ערך גבוה:

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/Featurestore
  • aiplatform.googleapis.com/MetadataStore
  • aiplatform.googleapis.com/Model
  • aiplatform.googleapis.com/ReasoningEngine
  • aiplatform.googleapis.com/TrainingPipeline
  • artifactregistry.googleapis.com/Repository
  • bigquery.googleapis.com/Dataset
  • cloudbuild.googleapis.com/BitbucketServerConfig
  • cloudbuild.googleapis.com/BuildTrigger
  • cloudbuild.googleapis.com/Connection
  • cloudbuild.googleapis.com/GithubEnterpriseConfig
  • cloudbuild.googleapis.com/Repository
  • cloudbuild.googleapis.com/WorkerPool
  • cloudfunctions.googleapis.com/CloudFunction
  • compute.googleapis.com/Instance
  • container.googleapis.com/Cluster
  • dataproc.googleapis.com/Cluster
  • dataproc.googleapis.com/Job
  • run.googleapis.com/Job
  • run.googleapis.com/Service
  • spanner.googleapis.com/Instance
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

Google Cloud סוגי משאבים שנתמכים בסיווגים של רגישות הנתונים

הדמיות של נתיבי התקפה יכולות להגדיר באופן אוטומטי ערכי עדיפות על סמך סיווגים של רגישות נתונים מגילוי של Sensitive Data Protection, רק לסוגים הבאים של משאבי נתונים:

  • aiplatform.googleapis.com/Dataset
  • bigquery.googleapis.com/Dataset
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

קטגוריות נתמכות של ממצאים

הדמיות של נתיבי התקפה יוצרות ציוני חשיפה להתקפה ונתיבי התקפה רק לקטגוריות הממצאים של Security Command Center משירותי הזיהוי של Security Command Center שמפורטים בקטע הזה.

ממצאים של Risk Engine

קטגוריות הממצאים "שילוב רעיל" ו"צוואר בקבוק" שנוצרות על ידי Risk Engine תומכות בציוני החשיפה להתקפה.

ממצאים של External Exposure

הדמיות של מסלולי התקפה תומכות בEXTERNALLY_EXPOSED_VM_INSTANCE קטגוריית הממצאים External Exposure, שמזהה משאבים של Compute Engine או של GKE עם כתובת IP ציבורית ישירה שמאפשרת גישה למערכת ההפעלה המארחת. למידע נוסף על השירות הזה, קראו את המאמר זיהוי משאבים חשופים.

הערכת נקודות חולשה לממצאים ב- Google Cloud

הדמיות של מסלולי התקפה תומכות בקטגוריות הממצאים הבאות של הערכת נקודות חולשה ב- Google Cloud:

  • GCE OS vulnerability
  • GCE Software vulnerability
  • GKE OS vulnerability
  • GKE Software vulnerability

ממצאים של מצב האבטחה של GKE

הדמיות של נתיבי צירוף תומכות בקטגוריות הממצאים הבאות של GKE Security Posture:

  • GKE runtime OS vulnerability

ממצאים של Mandiant Attack Surface Management

הדמיות של נתיבי התקפה תומכות בקטגוריות הממצאים הבאות של Mandiant Attack Surface Management:

  • Software vulnerability

ממצאים של VM Manager

קטגוריית הממצאים OS Vulnerability שנוצרת על ידי VM Manager תומכת בציוני חשיפה להתקפות.

תמיכה בהתראות Pub/Sub

שינויים בציוני החשיפה להתקפות לא יכולים לשמש כטריגר להתראות ל-Pub/Sub.

בנוסף, הממצאים שנשלחים ל-Pub/Sub כשהם נוצרים לא כוללים ציון חשיפה להתקפות, כי הם נשלחים לפני שאפשר לחשב את הציון.

תמיכה ב-AWS

ב-Security Command Center אפשר לחשב את ציוני החשיפה להתקפות וליצור תרשימים של נתיבי התקפות למשאבים ב-AWS.

שירותי AWS שנתמכים על ידי Risk Engine

הסימולציות יכולות לכלול את שירותי AWS הבאים:

  • ניהול זהויות והרשאות גישה (IAM)
  • שירות אבטחת אסימון (STS)
  • Simple Storage Service (S3)
  • חומת אש ליישומי אינטרנט (WAFv2)
  • Elastic Compute Cloud (EC2)‎
  • ‫Elastic Load Balancing‏ (ELB ו-ELBv2)
  • Relational Database Service (RDS)
  • שירות ניהול מפתחות (KMS)
  • Elastic Container Registry (ECR)
  • Elastic Container Service (ECS)
  • ‫ApiGateway ו-ApiGatewayv2
  • ארגונים (שירות ניהול חשבונות)
  • CloudFront
  • AutoScaling
  • Lambda
  • DynamoDB

סוגי המשאבים של AWS שנתמכים בקבוצות של משאבים חשובים

אפשר להוסיף לקבוצת משאבים בעלי ערך גבוה רק את הסוגים הבאים של משאבי AWS:

  • טבלת DynamoDB
  • מכונת EC2
  • פונקציית Lambda
  • RDS DBCluster
  • RDS DBInstance
  • קטגוריית S3

סוגי המשאבים ב-AWS שנתמכים בסיווגים של רגישות הנתונים

הדמיות של נתיבי התקפה יכולות להגדיר באופן אוטומטי ערכי עדיפות על סמך סיווגים של רגישות נתונים מגילוי של Sensitive Data Protection, רק לסוגי משאבי הנתונים הבאים של AWS:

  • קטגוריה של Amazon S3

איך מקבלים תמיכה ב-Security Health Analytics ל-AWS

מנגנון הערכת הסיכונים מספק ציונים והמחשות חזותיות של נתיבי התקפה לקטגוריות הממצאים הבאות של Security Health Analytics:

  • מפתחות גישה שהוחלפו לפני פחות מ-90 יום
  • פרטי כניסה שלא היו בשימוש במשך יותר מ-45 ימים מושבתים
  • קבוצת האבטחה שמוגדרת כברירת מחדל ב-VPC מגבילה את כל התנועה
  • למכונה של EC2 אין כתובת IP ציבורית
  • מדיניות הסיסמאות של IAM
  • מדיניות הסיסמאות של IAM מונעת שימוש חוזר בסיסמאות
  • מדיניות הסיסמאות ב-IAM דורשת אורך מינימלי של 14 תווים
  • בדיקת פרטי כניסה שלא בשימוש של משתמש IAM
  • משתמשי IAM מקבלים קבוצות הרשאות
  • ה-CMK של KMS לא מתוזמן למחיקה
  • קטגוריות S3 שמופעלת בהן מחיקה באמצעות MFA
  • חשבון משתמש Root עם MFA מופעל
  • אימות רב-שלבי (MFA) מופעל לכל המשתמשים במסוף IAM
  • אין מפתח גישה לחשבון של משתמש Root
  • אין קבוצות אבטחה שמאפשרות ניהול של שרת מרוחק עם Ingress 0
  • אין קבוצות אבטחה שמאפשרות ניהול של שרת מרוחק עם כניסה של 0 0 0 0
  • מפתח גישה פעיל אחד זמין לכל משתמש IAM יחיד
  • גישה ציבורית למכונת RDS נתונה
  • יציאות נפוצות מוגבלות
  • SSH מוגבל
  • הלקוח יצר רוטציה של CMKS מופעלת
  • ‫Rotation customer created symmetric CMKS enabled
  • קטגוריות S3 שהוגדרו לחסום את הגדרות הגישה הציבורית לקטגוריות
  • מדיניות הקטגוריות של S3 דוחה בקשות HTTP
  • הצפנת ברירת המחדל של S3 באמצעות KMS
  • קבוצת האבטחה שמוגדרת כברירת מחדל ב-VPC נסגרה

ממצאים של הערכת נקודות חולשה ב-Amazon Web Services

קטגוריית הממצאים Software vulnerability שנוצרת על ידי הערכת נקודות החולשה ב-EC2 תומכת בציוני חשיפה להתקפות.

תמיכה ב-Azure

מנוע הסיכונים יכול ליצור ציוני חשיפה להתקפות ותצוגות חזותיות של נתיבי התקפות למשאבים שלכם ב-Microsoft Azure.

אחרי שיוצרים חיבור ל-Azure, אפשר להגדיר משאבים בעלי ערך גבוה ב-Azure על ידי יצירת הגדרות של ערכי משאבים, כמו שעושים למשאבים ב- Google Cloud וב-AWS. הוראות מפורטות זמינות בקטע הגדרה וניהול של קבוצת המשאבים החשובים.

לפני שיוצרים את ההגדרה הראשונה של ערכי המשאבים ב-Azure, ‏Security Command Center משתמש בקבוצת ברירת מחדל של משאבים בעלי ערך גבוה שספציפית לספק שירותי הענן.

ב-Security Command Center מופעלות סימולציות לפלטפורמת ענן, שלא תלויות בסימולציות שמופעלות לפלטפורמות ענן אחרות.

שירותי Azure שנתמכים על ידי Risk Engine

ההדמיות של נתיבי ההתקפה יכולות לכלול את השירותים הבאים של Azure:

  • שירות אפליקציות
  • Azure Kubernetes Service‏ (AKS)
  • רשת וירטואלית
  • Container Registry
  • Cosmos DB
  • פונקציות
  • כספת מפתחות
  • מסד נתונים של MySQL
  • קבוצות אבטחה ברשת
  • מסד נתונים של PostgreSQL
  • בקרת גישה מבוססת-תפקידים (RBAC)
  • Service Bus
  • SQL Database
  • חשבון אחסון
  • Virtual Machine Scale Sets
  • מכונות וירטואליות

סוגי המשאבים ב-Azure שאפשר לציין בקבוצות של משאבים בעלי ערך גבוה

אפשר להוסיף רק את הסוגים הבאים של משאבי Azure לקבוצת משאבים בעלי ערך גבוה:

  • Microsoft.Compute/virtualMachines
    • VM של Linux
    • VM של Windows
  • Microsoft.ContainerService/managedClusters
    • אשכול Kubernetes
  • Microsoft.DBforMySQL/flexibleServers/databases
    • מסד נתונים של MySQL
  • Microsoft.DBforPostgreSQL/flexibleServers/databases
    • מסד נתונים של PostgreSQL
  • Microsoft.DocumentDB/databaseAccounts
    • חשבון Cosmos DB
  • Microsoft.Sql/servers/databases
    • SQL Database
  • Microsoft.Storage/storageAccounts
    • חשבון אחסון
  • Microsoft.Web/sites
    • שירות אפליקציות
    • אפליקציית פונקציות

משאבי Azure שנכללים בקבוצת ברירת המחדל של המשאבים החשובים

אלה המשאבים שנכללים בקבוצת ברירת המחדל של המשאבים החשובים:

  • Microsoft.Compute/virtualMachines
    • VM של Linux
    • VM של Windows
  • Microsoft.DBforPostgreSQL/flexibleServers/databases
    • מסד נתונים של PostgreSQL
  • Microsoft.DBforMySQL/flexibleServers/databases
    • מסד נתונים של MySQL
  • Microsoft.DocumentDB/databaseAccounts
    • חשבון Cosmos DB
  • Microsoft.Sql/servers/databases
    • SQL Database
  • Microsoft.Storage/storageAccounts
    • חשבון אחסון
  • Microsoft.Web/sites
    • שירות אפליקציות
    • אפליקציית פונקציות