Zu aktivierende Dienste auswählen

Dieses Dokument enthält eine Liste der Erkennungsdienste, die manchmal auch als Sicherheitsquellen bezeichnet werden und die Security Command Center verwendet, um Sicherheitsprobleme in Ihren Cloud-Umgebungen zu erkennen.

Wenn diese Dienste ein Problem erkennen, generieren sie ein Ergebnis. Das ist ein Eintrag, der das Sicherheitsproblem identifiziert und Ihnen die Informationen liefert, die Sie benötigen, um das Problem zu priorisieren und zu beheben.

Sie können Ergebnisse in der Google Cloud Console aufrufen und auf viele verschiedene Arten filtern, z. B. nach Ergebnistyp, Ressourcentyp oder für ein bestimmtes Asset. Jede Sicherheitsquelle kann weitere Filter bereitstellen, mit denen Sie Ihre Ergebnisse organisieren können.

Die IAM-Rollen für Security Command Center können auf Organisations-, Ordner- oder Projektebene zugewiesen werden. Die Möglichkeit, Ergebnisse, Assets und Sicherheitsquellen anzusehen, zu bearbeiten, zu erstellen oder zu aktualisieren, hängt von der Ebene ab, auf die Sie Zugriff haben. Weitere Informationen zu Security Command Center-Rollen finden Sie unter Zugriffssteuerung.

Dienste zur Erkennung von Sicherheitslücken und Fehlkonfigurationen

Zu diesen Erkennungsdiensten gehören integrierte Dienste, die Software-Sicherheitslücken, Ressourcenfehlkonfigurationen und Verstöße gegen den Sicherheitsstatus in Ihren Cloud-Umgebungen erkennen. In den Ergebnisdefinitionen werden diese Probleme in verschiedene Ergebniskategorien unterteilt, z. B. Vulnerability, Misconfiguration, Observation und Posture violation.

KI-Schutz

Der KI-Schutz unterstützt Sie bei der Verwaltung des Sicherheitsstatus Ihrer KI-Arbeitslasten, indem er Bedrohungen erkennt und Ihnen hilft, Risiken für Ihr KI-Asset-Inventar zu minimieren.

AI Protection bietet die folgenden Erkennungsfunktionen:

  • KI-Asset-Inventar bewerten: Bietet Einblick in Ihre KI-Systeme und ‑Assets wie Modelle, Datenquellen, Endpunkte und KI-Agenten.
  • Sicherheitslücken identifizieren: Erkennt Softwaresicherheitslücken (CVEs) in agentischen Arbeitslasten, die mit Agent Runtime bereitgestellt wurden.
  • Risiken identifizieren: Verwendet die Angriffspfadsimulation und Regeln für Sicherheitsgraphen, um agentische Risiken und ihre potenziellen Auswirkungen auf Ihre Umgebung zu identifizieren.
  • KI-Agenten mit zu vielen Berechtigungen erkennen: Identifiziert KI-Agenten, denen zu viele Berechtigungen gewährt wurden.
  • Bedrohungen erkennen und verwalten: Erkennt potenzielle Bedrohungen, die auf Ihre KI-Systeme und ‑Assets abzielen, und reagiert darauf. Dazu werden integrierte Regeln aus anderen Security Command Center-Diensten wie Event Threat Detection und Agent Platform Threat Detection verwendet.
  • Model Armor-Schutz erkennen: Erkennt, ob Model Armor Modelle schützt.

Weitere Informationen finden Sie unter AI Protection – Übersicht.

Artifact Registry-Sicherheitslückenbewertung

Die Artifact Registry-Sicherheitsbewertung ist ein Erkennungsdienst, der Sie auf Sicherheitslücken in Ihren bereitgestellten Container-Images aufmerksam macht.

Dieser Erkennungsdienst generiert Sicherheitslücken für Container-Images unter den folgenden Bedingungen:

  • Das Container-Image wird in Artifact Registry gespeichert.

  • Das Container-Image wird in einem der folgenden Assets bereitgestellt:

    • Google Kubernetes Engine-Cluster
    • Cloud Run-Dienst
    • Cloud Run-Job
    • App Engine

Weitere Informationen finden Sie unter Übersicht über die Artifact Registry-Sicherheitslückenbewertung.

Agent Platform-Sicherheitslückenbewertung

Die Agent Platform-Sicherheitslückenbewertung identifiziert Folgendes:

  • Sicherheitslücken in agentischen Arbeitslasten, die Sie mit Agent Platform bereitgestellt haben.
  • Secrets im Klartext, z. B. Anmeldedaten, Schlüssel, Zugriffstokens oder Zertifikate, in Container-Images der Gemini Enterprise Agent Platform.

Erkennung von Sicherheitslücken

Die Agent Platform-Sicherheitslückenbewertung identifiziert Software-Sicherheitslücken (CVEs) in agentischen Arbeitslasten, die Sie mit der Agent Platform bereitgestellt haben.

Dieser Scanner bewertet automatisch benutzerdefinierten Code und Abhängigkeiten in der operativen Instanz während der Bereitstellung oder Aktualisierung.

Agent Platform-Sicherheitslückenbewertung aktivieren

Die Agent Platform-Sicherheitslückenbewertung wird automatisch für neue Aktivierungen von AI Protection aktiviert.

Wenn Sie Bestandskunde sind, können Sie den Scanner auf der Seite AI Protection-Einstellungen aktivieren. Weitere Informationen finden Sie unter Agent-Plattform-Sicherheitslückenbewertung konfigurieren.

Ergebnisse der Agent Platform-Sicherheitslückenbewertung in der Console ansehen

  1. Rufen Sie in der Google Cloud Console die Seite Ergebnisse von Security Command Center auf.

    Zu Ergebnissen

  2. Wählen Sie Ihr Google Cloud Projekt oder Ihre Organisation aus.
  3. Wählen Sie im Abschnitt Schnellfilter im Unterabschnitt Anzeigename der Quelle die Option Vulnerability Assessment for Agent Platform aus. Die Ergebnisse der Ergebnisabfrage werden aktualisiert, sodass nur die Ergebnisse aus dieser Quelle angezeigt werden.
  4. Klicken Sie in der Spalte Kategorie auf den Namen des Ergebnisses, um Details zu einem bestimmten Ergebnis aufzurufen. Der Detailbereich für das Ergebnis wird geöffnet und der Tab Zusammenfassung wird angezeigt.
  5. Sehen Sie sich auf dem Tab Zusammenfassung die Details des Ergebnisses an, einschließlich Informationen dazu, was erkannt wurde, der betroffenen Ressource und, falls verfügbar, der Schritte, die Sie zur Behebung des Ergebnisses ausführen können.
  6. Optional: Klicken Sie auf den Tab JSON, um die vollständige JSON-Definition des Ergebnisses aufzurufen.

Artifact Guard

Artifact Guard (Vorabversion) ist ein Dienst, mit dem Sie die Bereitstellung anfälliger Pakete während des Build-Prozesses verhindern können. Es werden drei Richtlinienbereiche unterstützt: CI/CD-Plattform, Registry und Laufzeit. Mit der CI/CD-Integration können Sie Connectors zu CI/CD-Plattformen konfigurieren. Mit diesen Connectors können Sie Artifact Guard-Richtlinien konfigurieren, um Sicherheitslücken in Ihren CI/CD-Pipelines zu identifizieren.

Compliance Manager-Ergebnisse

Der Compliance Manager erstellt Ergebnisse für die Aufdeckungs- und Präventionskontrollen in der Cloud, die Sie in Ihrer Google Cloud -Umgebung bereitstellen. Sie können diese Ergebnisse im Security Command Center auf der Seite Ergebnisse aufrufen.

Der Compliance Manager bietet für jede Dienststufe unterschiedliche Funktionen. Weitere Informationen finden Sie unter Compliance Manager – Übersicht.

Compliance Manager-Ergebnisse in der Console ansehen

  1. Rufen Sie in der Google Cloud Console die Seite Ergebnisse von Security Command Center auf.

    Zu Ergebnissen

  2. Wählen Sie Ihr Google Cloud Projekt oder Ihre Organisation aus.
  3. Wählen Sie im Abschnitt Schnellfilter im Unterabschnitt Anzeigename der Quelle die Option Compliance Evaluation Service aus. Die Ergebnisse der Ergebnisabfrage werden aktualisiert, sodass nur die Ergebnisse aus dieser Quelle angezeigt werden.
  4. Klicken Sie in der Spalte Kategorie auf den Namen des Ergebnisses, um Details zu einem bestimmten Ergebnis aufzurufen. Der Detailbereich für das Ergebnis wird geöffnet und der Tab Zusammenfassung wird angezeigt.
  5. Sehen Sie sich auf dem Tab Zusammenfassung die Details des Ergebnisses an, einschließlich Informationen dazu, was erkannt wurde, der betroffenen Ressource und, falls verfügbar, der Schritte, die Sie zur Behebung des Ergebnisses ausführen können.
  6. Optional: Klicken Sie auf den Tab JSON, um die vollständige JSON-Definition des Ergebnisses aufzurufen.

Datensicherheitsstatus-Verwaltung

Die Datensicherheitsstatus-Verwaltung (Data Security Posture Management, DSPM) erstellt Ergebnisse für potenzielle Verstöße gegen die Datensicherheits-Frameworks und Cloud-Steuerelemente, die Sie in Ihrer Umgebung anwenden. Sie können diese Ergebnisse im Security Command Center auf der Seite Datensicherheit und Compliance, auf der Seite Risikoübersicht (auf dem Tab Daten) oder auf der Seite Ergebnisse aufrufen. DSPM bietet für jede Dienststufe unterschiedliche Funktionen. Weitere Informationen finden Sie unter Datensicherheitsstatus-Verwaltung (DSPM) – Übersicht.

DSPM-Ergebnisse in der Console ansehen

  1. Rufen Sie in der Google Cloud Console die Seite Ergebnisse von Security Command Center auf.

    Zu Ergebnissen

  2. Wählen Sie Ihre Google Cloud -Organisation aus.

  3. Verwenden Sie die folgende Abfrage, um die Ergebnisse für DSPM aufzurufen:

    state="ACTIVE" AND NOT mute="MUTED" AND resource.name="//aiplatform.googleapis.com/projects/478190632149/locations/us-central1/models/1244151282898305024" AND category="DATA_SECURITY_POSTURE_ACCESS_VIOLATION" OR category="DATA_SECURITY_POSTURE_FLOW_VIOLATION" OR category="DATA_SECURITY_POSTURE_DELETION_VIOLATION" OR category="DATA_SECURITY_POSTURE_PROTECTION_KEY_GOVERNANCE" OR category="BIGQUERY_TABLE_CMEK_DISABLED" OR category="VERTEX_AI_MODEL_CMEK_DISABLED" OR category="VERTEX_AI_METADATA_STORE_CMEK_DISABLED" OR category="VERTEX_AI_DATASET_CMEK_DISABLED" OR category="VERTEX_AI_FEATURE_STORE_TABLE_CMEK_DISABLED" OR category="DATA_SECURITY_POSTURE_CMEK_POLICY_MISCONFIGURED" OR category="DATA_SECURITY_POSTURE_CMEK_POLICY_DELETED" OR category="DATA_SECURITY_POSTURE_CMEK_VIOLATION" OR category="SENSITIVE_DATA_PUBLIC_SQL_INSTANCE" OR category="SENSITIVE_DATA_PUBLIC_DATASET" OR category="SENSITIVE_DATA_BIGQUERY_TABLE_CMEK_DISABLED" OR category="SENSITIVE_DATA_DATASET_CMEK_DISABLED" OR category="SENSITIVE_DATA_SQL_CMEK_DISABLED" OR category="PUBLIC_DATASET" OR category="PUBLIC_SQL_INSTANCE" OR category="SQL_PUBLIC_IP" OR category="ACCESS_TRANSPARENCY_DISABLED" OR category="ORG_POLICY_LOCATION_RESTRICTION" OR category="BUCKET_POLICY_ONLY_DISABLED" OR category="DATA_EXFILTRATION_BIG_QUERY" OR category="DATA_EXFILTRATION_BIG_QUERY_EXTRACTION" OR category="DATA_EXFILTRATION_BIG_QUERY_TO_GOOGLE_DRIVE"

  4. Klicken Sie in der Spalte Kategorie auf den Namen des Ergebnisses, um die Details zu einem bestimmten Ergebnis aufzurufen. Der Detailbereich für das Ergebnis wird geöffnet und der Tab Zusammenfassung wird angezeigt.

  5. Prüfen Sie auf dem Tab Zusammenfassung die Details des Ergebnisses, einschließlich Informationen dazu, was erkannt wurde, der betroffenen Ressource und, falls verfügbar, der Schritte, die Sie zur Behebung des Ergebnisses unternehmen können.

  6. Optional: Klicken Sie auf den Tab JSON, um die vollständige JSON-Definition des Ergebnisses aufzurufen.

External Exposure

Security Command Center External Exposure ist ein Dienst von Google Cloud , mit dem Sie Ihre externe Angriffsfläche durch automatisierte Erkennung und Risikovalidierung verwalten und reduzieren können.

Da automatisierte Scanner innerhalb von Minuten auf im Internet zugängliche Assets abzielen können, deckt External Exposure versehentliche Offenlegungen und Schattenressourcen proaktiv auf, bevor Angreifer sie entdecken und ausnutzen können.

Durch die Analyse Ihrer Umgebung aus einer externen Perspektive versucht der Dienst zu bestätigen, was tatsächlich über das Internet erreichbar ist, und ermittelt, welche Sicherheitslücken tatsächlich ausgenutzt werden können.

External Exposure sucht in Ihrer Google Cloud-Umgebung kontinuierlich nach externen IP-Adressen, Hostnamen, Domainnamen und URLs. Bei diesem Feature wird ein Netzwerkscan verwendet, um zu bestätigen, welche Ressourcen und Anwendungen über das öffentliche Internet erreichbar sind.

Für jede bestätigte Gefährdung führt External Exposure die folgenden Schritte aus:

  • Verfolgt den Google Cloud Netzwerkpfad für externe Load Balancer, Google Cloud Armor-Richtlinien, Firewallregeln, Private Service Connect, Cloud Interconnect und Backend-Dienste bis zur bereitgestellten Ressource und zeigt ihn an.

    Diese Ressource kann eine Compute Engine-Instanz oder ein Google Kubernetes Engine-Pod (GKE) sein, einschließlich eines freigegebenen Dienstes oder einer freigegebenen Anwendung.

    Diese tiefe Integration in die Google-Netzwerkstruktur bietet einen umsetzbaren Kontext, sodass Sie sofort präventive Maßnahmen ergreifen können, z. B. eine bestimmte Firewallregel sperren oder Google Cloud Armor konfigurieren.

  • Führt ein Fingerprinting durch, um die spezifische Webanwendung oder Serversoftware zu identifizieren, die auf jedem exponierten Asset ausgeführt wird.

  • Wenn der exponierte Dienst oder die exponierte Software identifiziert werden kann, werden alle bekannten Sicherheitslücken identifiziert, die sich darauf auswirken.

  • Verwendet fortschrittliche passive und aktive Detektoren, um die Ausnutzbarkeit in der Praxis zu testen. Dazu werden Sicherheitslücken, Fehlkonfigurationen und die Verwendung von Standard- oder schwachen Anmeldedaten validiert.

Ergebnisse zur externen Gefährdung in der Console ansehen

  1. Rufen Sie in der Google Cloud Console die Seite Ergebnisse von Security Command Center auf.

    Zu Ergebnissen

  2. Wählen Sie Ihr Google Cloud Projekt oder Ihre Organisation aus.
  3. Wählen Sie im Abschnitt Schnellfilter im Unterabschnitt Anzeigename der Quelle die Option Externe Gefährdung aus. Die Ergebnisse der Ergebnisabfrage werden aktualisiert, sodass nur die Ergebnisse aus dieser Quelle angezeigt werden.
  4. Klicken Sie in der Spalte Kategorie auf den Namen des Ergebnisses, um Details zu einem bestimmten Ergebnis aufzurufen. Der Detailbereich für das Ergebnis wird geöffnet und der Tab Zusammenfassung wird angezeigt.
  5. Sehen Sie sich auf dem Tab Zusammenfassung die Details des Ergebnisses an, einschließlich Informationen dazu, was erkannt wurde, der betroffenen Ressource und, falls verfügbar, der Schritte, die Sie zur Behebung des Ergebnisses ausführen können.
  6. Optional: Klicken Sie auf den Tab JSON, um die vollständige JSON-Definition des Ergebnisses aufzurufen.

GKE-Sicherheitsstatus-Dashboard

Das Sicherheitsstatus-Dashboard von Google Kubernetes Engine (GKE) ist eine Seite in derGoogle Cloud Console, die Ihnen präskriptive und umsetzbare Ergebnisse zu potenziellen Sicherheitsproblemen in Ihren GKE-Clustern bietet.

Das GKE-Sicherheitsstatus-Dashboard ist in Security Command Center eingebunden und bietet die folgenden Vorteile:

  • Einheitliche Sichtbarkeit: Sie können sich Sicherheitsergebnisse für Ihre GKE-Cluster zusammen mit Ergebnissen anderer Security Command Center-Dienste in der Security Command Center-Konsole ansehen.
  • Angriffsbewertungen: Priorisieren Sie Ergebnisse, indem Sie sich ihre potenziellen Auswirkungen auf Ihre Umgebung anhand von Angriffsbewertungen ansehen.
  • Compliance-Berichte: Erstellen Sie Compliance-Berichte auf Grundlage der Ergebnisse.

Wenn Sie diese Ergebnisse sehen möchten, aktivieren Sie eine der folgenden Funktionen des GKE-Sicherheitsstatus-Dashboards:

Bereich „GKE-Sicherheitsstatus-Dashboard“ Security Command Center-Ergebnisklasse
Prüfung der Arbeitslastkonfiguration1 MISCONFIGURATION
Top-Bedrohungen2 THREAT
Scannen auf Sicherheitslücken im Container-Betriebssystem1 VULNERABILITY
Scannen auf Sicherheitslücken in Sprachpaketen1 VULNERABILITY
Relevante Sicherheitsbulletins1 (Vorschau) VULNERABILITY
Top-Softwaresicherheitslücken2 VULNERABILITY
  1. Nur verfügbar, wenn Sie diese Funktion in GKE aktivieren.
  2. Verfügbar für die Dienststufen Security Command Center Premium und Enterprise.

Die Ergebnisse enthalten Informationen zum Sicherheitsproblem und Empfehlungen zur Behebung in Ihren Arbeitslasten oder Clustern.

Ergebnisse des GKE-Sicherheitsstatus-Dashboards in der Console ansehen

  1. Rufen Sie in der Google Cloud Console die Seite Ergebnisse von Security Command Center auf.

    Zu Ergebnissen

  2. Wählen Sie Ihr Google Cloud Projekt oder Ihre Organisation aus.
  3. Wählen Sie im Abschnitt Schnellfilter im Unterabschnitt Anzeigename der Quelle die Option GKE-Sicherheitsstatus aus. Die Ergebnisse der Ergebnisabfrage werden aktualisiert, sodass nur die Ergebnisse aus dieser Quelle angezeigt werden.
  4. Klicken Sie in der Spalte Kategorie auf den Namen des Ergebnisses, um Details zu einem bestimmten Ergebnis aufzurufen. Der Detailbereich für das Ergebnis wird geöffnet und der Tab Zusammenfassung wird angezeigt.
  5. Sehen Sie sich auf dem Tab Zusammenfassung die Details des Ergebnisses an, einschließlich Informationen dazu, was erkannt wurde, der betroffenen Ressource und, falls verfügbar, der Schritte, die Sie zur Behebung des Ergebnisses ausführen können.
  6. Optional: Klicken Sie auf den Tab JSON, um die vollständige JSON-Definition des Ergebnisses aufzurufen.

IAM Recommender

Der IAM-Recommender generiert Empfehlungen, die Sie befolgen können, um die Sicherheit zu verbessern. Dazu werden IAM-Rollen von Hauptkonten entfernt oder ersetzt, wenn die Rollen IAM-Berechtigungen enthalten, die das Hauptkonto nicht benötigt.

Der IAM-Recommender wird automatisch aktiviert, wenn Sie Security Command Center aktivieren.

IAM-Recommender-Ergebnisse aktivieren oder deaktivieren

So aktivieren oder deaktivieren Sie IAM-Recommender-Ergebnisse im Security Command Center:

  1. Rufen Sie in der Google Cloud Console auf der Seite Einstellungen des Security Command Center den Tab Integrierte Dienste auf:

    Zu "Integrierte Dienste"

  2. Rufen Sie den Eintrag IAM-Recommender auf.

  3. Wählen Sie rechts neben dem Eintrag Aktivieren oder Deaktivieren aus.

Ergebnisse des IAM-Recommenders werden als Sicherheitslücken klassifiziert.

Wenn Sie ein IAM-Recommender-Ergebnis beheben möchten, maximieren Sie den folgenden Abschnitt, um eine Tabelle mit den IAM-Recommender-Ergebnissen aufzurufen. Die Schritte zur Behebung der einzelnen Ergebnisse sind im Tabelleneintrag enthalten.

IAM-Recommender-Ergebnisse in der Console ansehen

  1. Rufen Sie in der Google Cloud Console die Seite Ergebnisse von Security Command Center auf.

    Zu Ergebnissen

  2. Wählen Sie Ihr Google Cloud Projekt oder Ihre Organisation aus.
  3. Wählen Sie im Abschnitt Schnellfilter im Unterabschnitt Anzeigename der Quelle die Option IAM Recommender aus. Die Ergebnisse der Ergebnisabfrage werden aktualisiert, sodass nur die Ergebnisse aus dieser Quelle angezeigt werden.
  4. Klicken Sie in der Spalte Kategorie auf den Namen des Ergebnisses, um Details zu einem bestimmten Ergebnis aufzurufen. Der Detailbereich für das Ergebnis wird geöffnet und der Tab Zusammenfassung wird angezeigt.
  5. Sehen Sie sich auf dem Tab Zusammenfassung die Details des Ergebnisses an, einschließlich Informationen dazu, was erkannt wurde, der betroffenen Ressource und, falls verfügbar, der Schritte, die Sie zur Behebung des Ergebnisses ausführen können.
  6. Optional: Klicken Sie auf den Tab JSON, um die vollständige JSON-Definition des Ergebnisses aufzurufen.

In Security Command Center Premium können Sie die Ergebnisse des IAM-Recommenders auch auf der Legacy-Seite Sicherheitslücken aufrufen, indem Sie die Abfragevoreinstellung IAM-Recommender auswählen.

Mandiant Attack Surface Management

Mandiant ist ein weltweit führender Anbieter von Frontline-Threat-Intelligence. Mandiant Attack Surface Management identifiziert Sicherheitslücken und Fehlkonfigurationen in Ihren externen Angriffsflächen, damit Sie immer auf dem neuesten Stand sind und sich vor den neuesten Cyberangriffen schützen können.

Mandiant Attack Surface Management wird automatisch aktiviert, wenn Sie die Security Command Center Enterprise-Stufe aktivieren. Die Ergebnisse sind dann in der Google Cloud Console verfügbar.

Informationen dazu, wie sich das eigenständige Mandiant Attack Surface Management-Produkt von der Mandiant Attack Surface Management-Integration in Security Command Center unterscheidet, finden Sie im Mandiant-Dokumentationsportal unter ASM und Security Command Center. Für diesen Link ist eine Mandiant-Authentifizierung erforderlich.

Mandiant Attack Surface Management-Ergebnisse in der Console prüfen

  1. Rufen Sie in der Google Cloud Console die Seite Ergebnisse von Security Command Center auf.

    Zu Ergebnissen

  2. Wählen Sie Ihr Google Cloud Projekt oder Ihre Organisation aus.
  3. Wählen Sie im Abschnitt Schnellfilter im Unterabschnitt Anzeigename der Quelle die Option Mandiant Attack Surface Management aus. Die Ergebnisse der Ergebnisabfrage werden aktualisiert, sodass nur die Ergebnisse aus dieser Quelle angezeigt werden.
  4. Klicken Sie in der Spalte Kategorie auf den Namen des Ergebnisses, um Details zu einem bestimmten Ergebnis aufzurufen. Der Detailbereich für das Ergebnis wird geöffnet und der Tab Zusammenfassung wird angezeigt.
  5. Sehen Sie sich auf dem Tab Zusammenfassung die Details des Ergebnisses an, einschließlich Informationen dazu, was erkannt wurde, der betroffenen Ressource und, falls verfügbar, der Schritte, die Sie zur Behebung des Ergebnisses ausführen können.
  6. Optional: Klicken Sie auf den Tab JSON, um die vollständige JSON-Definition des Ergebnisses aufzurufen.

Weder Security Command Center noch Mandiant Attack Surface Management markieren Ergebnisse als behoben. Sobald Sie ein Problem behoben haben, können Sie es manuell als gelöst markieren. Wenn es beim nächsten Mandiant Attack Surface Management-Scan nicht erkannt wird, bleibt es behoben.

Model Armor-Ergebnisse

Model Armor ist ein vollständig verwalteter Google Cloud -Dienst, der die Sicherheit von KI-Anwendungen verbessert, indem er LLM-Prompts und ‑Antworten prüft.

Ergebnis Zusammenfassung

Kategoriename in der API: FLOOR_SETTINGS_VIOLATION

Ergebnisbeschreibung: Ein Verstoß gegen die Mindesteinstellungen, der auftritt, wenn eine Model Armor-Vorlage die in den Mindesteinstellungen der Ressourcenhierarchie definierten Mindestsicherheitsstandards nicht erfüllt.

Ergebnisklasse: Fehlkonfiguration

Preisstufe: Premium

Dieses Ergebnis korrigieren:

Dieses Ergebnis erfordert, dass Sie die Model Armor-Vorlage aktualisieren, damit sie den in der Ressourcenhierarchie definierten Mindesteinstellungen entspricht.

Notebook Security Scanner

Notebook Security Scanner ist ein integrierter Dienst zur Erkennung von Sicherheitslücken in Paketen von Security Command Center. Nachdem der Notebook Security Scanner aktiviert wurde, scannt er automatisch alle 24 Stunden Colab Enterprise-Notebooks (Dateien mit der Dateiendung ipynb), um Sicherheitslücken in Python-Paketen zu erkennen. Diese Ergebnisse werden auf der Seite Ergebnisse des Security Command Center veröffentlicht.

Sie können den Notebook Security Scanner für Colab Enterprise-Notebooks verwenden, die in den folgenden Regionen erstellt wurden: us-central1, us-east4, us-west1 und europe-west4.

Informationen zu den ersten Schritten mit Notebook Security Scanner finden Sie unter Notebook Security Scanner aktivieren und verwenden.

Policy Controller

Mit Policy Controller können Sie programmierbare Richtlinien für Ihre Kubernetes-Cluster anwenden und erzwingen. Richtlinien dienen als Schutzmaßnahmen und können Sie beim Verwalten von Best Practices, der Sicherheit und der Compliance in Ihren Clustern und Ihrer Flotte unterstützen.

Wenn Sie Policy Controller installieren und eines der Policy Controller-Bundles aktivieren, schreibt Policy Controller Clusterverstöße automatisch als Ergebnisse der Klasse Misconfiguration in Security Command Center. Die Beschreibung des Ergebnisses und die nächsten Schritte in den Security Command Center-Ergebnissen entsprechen der Einschränkungsbeschreibung und den Abhilfemaßnahmen des entsprechenden Policy Controller-Bundles.

Die Policy Controller-Ergebnisse stammen aus den folgenden Policy Controller-Bundles:

Informationen zum Suchen und Beheben von Policy Controller-Ergebnissen finden Sie unter Policy Controller-Ergebnisse beheben.

Risk Engine

Die Security Command Center Risk Engine bewertet das Risiko Ihrer Cloud-Bereitstellungen, weist Sicherheitslücken und Ihren hochwertigen Ressourcen Angriffsrisikobewertungen zu und stellt Pfade dar, die ein potenzieller Angreifer nutzen könnte, um auf Ihre hochwertigen Ressourcen zuzugreifen.

In der Enterprise- oder Premium-Stufe des Security Command Center erkennt die Risk Engine Gruppen von Sicherheitsproblemen, die, wenn sie zusammen in einem bestimmten Muster auftreten, einen Pfad zu einer oder mehreren Ihrer hochwertigen Ressourcen erstellen, den ein entschlossener Angreifer potenziell nutzen könnte, um diese Ressourcen zu erreichen und zu gefährden.

Wenn die Risk Engine eine dieser Kombinationen erkennt, generiert sie ein Ergebnis der Klasse TOXIC_COMBINATION. Im Ergebnis wird die Risk Engine als Quelle des Ergebnisses aufgeführt.

Die Risk Engine identifiziert auch gemeinsame Ressourcen oder Ressourcengruppen, in denen mehrere Angriffspfade zusammenlaufen, und generiert dann ein Ergebnis der Klasse CHOKEPOINT.

Weitere Informationen finden Sie unter Übersicht über toxische Kombinationen und Chokepoints.

Security Health Analytics

Security Health Analytics ist ein integrierter Erkennungsdienst des Security Command Center, der verwaltete Scans Ihrer Cloud-Ressourcen bietet, um häufige Fehlkonfigurationen zu erkennen.

Wenn eine Fehlkonfiguration erkannt wird, generiert Security Health Analytics ein Ergebnis. Die meisten Security Health Analytics-Ergebnisse werden Sicherheitsstandardkontrollen zugeordnet, damit Sie die Compliance bewerten können.

Security Health Analytics scannt Ihre Ressourcen auf Google Cloud. Wenn Sie die Enterprise-Stufe verwenden und Verbindungen zu anderen Cloud-Plattformen herstellen, kann Security Health Analytics auch Ihre Ressourcen auf diesen Cloud-Plattformen scannen.

Je nach verwendeter Security Command Center-Dienststufe unterscheiden sich die verfügbaren Detektoren:

  • In der Standard-Legacy-Stufe umfasst Security Health Analytics nur eine einfache Gruppe von Detektoren für Sicherheitslücken mit mittlerem und hohem Schweregrad.
  • Die Premium-Stufe umfasst alle Detektoren für Sicherheitslücken für Google Cloud.
  • Die Enterprise-Stufe enthält zusätzliche Detektoren für andere Cloud-Plattformen.

Security Health Analytics wird automatisch aktiviert, wenn Sie Security Command Center aktivieren.

Hier finden Sie weitere Informationen:

Sicherheitsstatus-Dienst

Der Sicherheitsstatus-Dienst ist ein integrierter Dienst für die Security Command Center Premium-Stufe, mit dem Sie den Gesamtstatus Ihrer Sicherheit in Google Clouddefinieren, bewerten und überwachen können. Sie enthält Informationen dazu, wie Ihre Umgebung mit den Richtlinien übereinstimmt, die Sie in Ihrem Sicherheitsstatus definieren.

Der Sicherheitsstatus-Dienst steht nicht im Zusammenhang mit dem GKE-Sicherheitsstatus-Dashboard, in dem nur Ergebnisse in GKE-Clustern angezeigt werden.

Sensitive Data Protection

Sensitive Data Protection ist ein vollständig verwalteter Dienst von Google Cloud , mit dem Sie sensible Daten ermitteln, klassifizieren und schützen können. Mit Sensitive Data Protection können Sie feststellen, ob Sie sensible oder personenidentifizierbare Informationen speichern, z. B.:

  • Namen von Personen
  • Kreditkartennummern
  • Personalausweis- oder Ausweisnummern
  • Krankenversicherungsnummern
  • Secrets

In Sensitive Data Protection wird jeder Typ sensibler Daten, nach dem Sie suchen, als infoType bezeichnet.

Wenn Sie Ihren Sensitive Data Protection-Vorgang so konfigurieren, dass Ergebnisse an Security Command Center gesendet werden, können Sie die Ergebnisse zusätzlich zum Sensitive Data Protection-Bereich direkt im Security Command Center-Bereich der Google Cloud -Konsole sehen.

Wenn Sie VPC Service Controls-Dienstperimeter verwenden und sensible Daten innerhalb dieser Perimeter erkennen möchten, lesen Sie den Hilfeartikel Erkennung sensibler Daten innerhalb von Dienstperimetern zulassen. Wenn Sie diese Aufgabe nicht ausführen, erhalten Sie möglicherweise Warnungen.

Scanlatenz für Sensitive Data Protection

Je nach Größe Ihrer Organisation können Sensitive Data Protection-Ergebnisse innerhalb weniger Minuten nach der Aktivierung der Erkennung sensibler Daten im Security Command Center angezeigt werden. Bei größeren Organisationen oder Organisationen mit bestimmten Konfigurationen, die sich auf die Generierung von Ergebnissen auswirken, kann es bis zu 12 Stunden dauern, bis die ersten Ergebnisse im Security Command Center angezeigt werden.

Anschließend generiert Sensitive Data Protection innerhalb weniger Minuten nach dem Scannen Ihrer Ressourcen durch den Erkennungsdienst Ergebnisse in Security Command Center.

Ergebnisse zu Sicherheitslücken aus dem Sensitive Data Protection-Erkennungsdienst

Mit dem Sensitive Data Protection-Erkennungsdienst können Sie feststellen, ob Sie hochsensible Daten speichern, die nicht geschützt sind.

Kategorie Zusammenfassung

Kategoriename in der API:

PUBLIC_SENSITIVE_DATA

Ergebnisbeschreibung: Die angegebene Ressource enthält Daten mit hoher Vertraulichkeit, auf die jeder im Internet zugreifen kann.

Unterstützte Assets:

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/TuningJob
  • bigquery.googleapis.com/Dataset
  • bigquery.googleapis.com/Table
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket
  • Amazon S3-Bucket
  • Azure Blob Storage-Container

Abhilfe:

Entfernen Sie für Google Cloud -Daten allUsers und allAuthenticatedUsers aus der IAM-Richtlinie des Daten-Assets.

Konfigurieren Sie für Amazon S3-Daten die Einstellungen zum Blockieren des öffentlichen Zugriffs oder aktualisieren Sie die ACL des Objekts, um den öffentlichen Lesezugriff zu verweigern. Weitere Informationen finden Sie in der AWS-Dokumentation unter Einstellungen zum Blockieren des öffentlichen Zugriffs für Ihre S3-Buckets konfigurieren und ACLs konfigurieren.

Entfernen Sie bei Azure Blob Storage-Daten den öffentlichen Zugriff auf den Container und die Blobs. Weitere Informationen finden Sie in der Azure-Dokumentation unter Übersicht: Anonymen Lesezugriff für Blob-Daten korrigieren.

Compliance-Standards: Nicht zugeordnet

Kategoriename in der API:

SECRETS_IN_ENVIRONMENT_VARIABLES

Ergebnisbeschreibung: In Umgebungsvariablen sind Secrets wie Passwörter, Authentifizierungstokens und Google Cloud -Anmeldedaten enthalten.

Informationen zum Aktivieren dieses Detektors finden Sie in der Dokumentation zu Sensitive Data Protection unter Secrets in Umgebungsvariablen an Security Command Center melden.

Unterstützte Assets:

Abhilfe:

Entfernen Sie das Secret bei Umgebungsvariablen für Cloud Run Functions aus der Umgebungsvariablen und speichern Sie es stattdessen in Secret Manager.

Verschieben Sie bei Umgebungsvariablen für Cloud Run-Dienstversionen den gesamten Traffic von der Version und löschen Sie dann die Version.

Compliance standards:

  • CIS GCP Foundation 1.3: 1.18
  • CIS GCP Foundation 2.0: 1.18

Kategoriename in der API:

SECRETS_IN_STORAGE

Ergebnisbeschreibung: In der angegebenen Ressource befinden sich Secrets wie Passwörter, Authentifizierungstokens und Cloud-Anmeldedaten.

Unterstützte Assets:

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/TuningJob
  • bigquery.googleapis.com/Dataset
  • bigquery.googleapis.com/Table
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket
  • Amazon S3-Bucket
  • Azure Blob Storage-Container

Abhilfe:

  1. Verwenden Sie für Google Cloud -Daten Sensitive Data Protection, um einen tiefen Prüfscan der angegebenen Ressource auszuführen und alle betroffenen Ressourcen zu identifizieren. Exportieren Sie Cloud SQL-Daten in eine CSV- oder AVRO-Datei in einem Cloud Storage-Bucket und führen Sie einen Deep-Inspection-Scan des Buckets durch.

    Prüfen Sie bei Daten von anderen Cloud-Anbietern den angegebenen Bucket oder Container manuell.

  2. Entfernen Sie die erkannten Secrets.
  3. Setzen Sie die Anmeldedaten zurück.
  4. Für Google Cloud -Daten sollten Sie die erkannten Secrets stattdessen in Secret Manager speichern.

Compliance-Standards: Nicht zugeordnet

Ergebnisse zu Fehlkonfigurationen aus dem Sensitive Data Protection-Erkennungsdienst

Mit dem Sensitive Data Protection-Erkennungsdienst können Sie feststellen, ob Fehlkonfigurationen vorliegen, die sensible Daten gefährden könnten.

Kategorie Zusammenfassung

Kategoriename in der API:

SENSITIVE_DATA_CMEK_DISABLED

Ergebnisbeschreibung: Die angegebene Ressource enthält Daten mit hoher oder mittlerer Sensitivität und verwendet keinen kundenverwalteten Verschlüsselungsschlüssel (CMEK).

Unterstützte Assets:

  • aiplatform.googleapis.com/Dataset
  • bigquery.googleapis.com/Dataset
  • bigquery.googleapis.com/Table
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket
  • Amazon S3-Bucket
  • Azure Blob Storage-Container

Abhilfe:

Compliance-Standards: Nicht zugeordnet

Beobachtungsergebnisse aus Sensitive Data Protection

In diesem Abschnitt werden die Beobachtungsergebnisse beschrieben, die Sensitive Data Protection in Security Command Center generiert.

Mit dem Sensitive Data Protection-Erkennungsdienst können Sie feststellen, ob Ihre Daten bestimmte infoTypes enthalten und wo sie sich in Ihrer Organisation, Ihren Ordnern und Ihren Projekten befinden. Es generiert die folgenden Beobachtungsergebniskategorien in Security Command Center:

Kategorie Zusammenfassung

Kategoriename in der API:

DATA_SENSITIVITY

Ergebnisbeschreibung: Ein Hinweis auf die Vertraulichkeitsstufe der Daten in einem bestimmten Daten-Asset. Daten sind vertraulich, wenn sie personenidentifizierbare Informationen oder andere Elemente enthalten, die unter Umständen eine zusätzliche Steuerung oder Verwaltung erfordern. Der Schweregrad des Ergebnisses ist die Vertraulichkeitsstufe, die Sensitive Data Protection beim Erstellen des Datenprofils berechnet hat.

Kategoriename in der API:

DATA_RISK

Beschreibung des Ergebnisses: Das Risiko, das mit den Daten in ihrem aktuellen Zustand verbunden ist. Bei der Berechnung des Datenrisikos berücksichtigt Sensitive Data Protection die Vertraulichkeitsstufe der Daten im Daten-Asset und das Vorhandensein von Zugriffssteuerungen zum Schutz dieser Daten. Der Schweregrad des Ergebnisses ist die Datenrisikostufe, die Sensitive Data Protection beim Erstellen des Datenprofils berechnet hat.

Informationen zum Senden von Datenprofilergebnissen an Security Command Center finden Sie unter Erkennung sensibler Daten aktivieren.

Beobachtungsergebnisse des Sensitive Data Protection-Prüfdienstes

Ein Inspektionsjob von Sensitive Data Protection identifiziert jede Instanz von Daten eines bestimmten infoType in einem Speichersystem wie einem Cloud Storage-Bucket oder einer BigQuery-Tabelle. Sie können beispielsweise einen Inspektionsjob ausführen, der nach allen Strings sucht, die mit dem Detektor für den InfoType CREDIT_CARD_NUMBER in einem Cloud Storage-Bucket übereinstimmen.

Für jeden infoType-Detektor mit einer oder mehreren Übereinstimmungen generiert Sensitive Data Protection ein entsprechendes Security Command Center-Ergebnis. Die Ergebniskategorie ist der Name des infoType-Detektors, der eine Übereinstimmung hatte, z. B. Credit card number. Das Ergebnis enthält die Anzahl der übereinstimmenden Strings, die im Text oder in Bildern in der Ressource erkannt wurden.

Aus Sicherheitsgründen sind die tatsächlich erkannten Strings nicht im Ergebnis enthalten. Ein Credit card number-Ergebnis zeigt beispielsweise, wie viele Kreditkartennummern gefunden wurden, aber nicht die tatsächlichen Kreditkartennummern.

Da es in Sensitive Data Protection mehr als 150 integrierte infoType-Detektoren gibt, sind hier nicht alle möglichen Ergebniskategorien von Security Command Center aufgeführt. Eine vollständige Liste der infoType-Detektoren finden Sie in der infoType-Detektorreferenz.

Informationen zum Senden der Ergebnisse eines Inspektionsjobs an Security Command Center finden Sie unter Ergebnisse des Sensitive Data Protection-Inspektionsjobs an Security Command Center senden.

Sensitive Data Protection-Ergebnisse in der Console ansehen

  1. Rufen Sie in der Google Cloud Console die Seite Ergebnisse von Security Command Center auf.

    Zu Ergebnissen

  2. Wählen Sie Ihr Google Cloud Projekt oder Ihre Organisation aus.
  3. Wählen Sie im Abschnitt Schnellfilter im Unterabschnitt Anzeigename der Quelle die Option Sensitive Data Protection aus. Die Ergebnisse der Ergebnisabfrage werden aktualisiert, sodass nur die Ergebnisse aus dieser Quelle angezeigt werden.
  4. Klicken Sie in der Spalte Kategorie auf den Namen des Ergebnisses, um Details zu einem bestimmten Ergebnis aufzurufen. Der Detailbereich für das Ergebnis wird geöffnet und der Tab Zusammenfassung wird angezeigt.
  5. Sehen Sie sich auf dem Tab Zusammenfassung die Details des Ergebnisses an, einschließlich Informationen dazu, was erkannt wurde, der betroffenen Ressource und, falls verfügbar, der Schritte, die Sie zur Behebung des Ergebnisses ausführen können.
  6. Optional: Klicken Sie auf den Tab JSON, um die vollständige JSON-Definition des Ergebnisses aufzurufen.

VM Manager

VM Manager besteht aus Tools zur Verwaltung von Betriebssystemen für eine große Anzahl von VM-Flotten (virtuelle Maschine), auf denen Windows und Linux in Compute Engine ausgeführt werden.

Wenn Sie VM Manager mit Aktivierungen auf Projektebene von Security Command Center Premium verwenden möchten, aktivieren Sie die Security Command Center Standard-Legacy-Stufe in der übergeordneten Organisation.

Wenn Sie VM Manager mit der Security Command Center Premium-Stufe aktivieren, schreibt VM Manager automatisch high- und critical-Ergebnisse aus seinen Berichten zu Sicherheitslücken, die sich in der Vorabversion befinden, in Security Command Center. In den Berichten werden Sicherheitslücken in Betriebssystemen identifiziert, die auf VMs installiert sind, einschließlich Common Vulnerabilities and Exposures (CVEs).

Berichte zu Sicherheitslücken sind für die alte Security Command Center Standard-Stufe nicht verfügbar.

Ergebnisse vereinfachen die Verwendung der Patch-Compliance-Funktion von VM Manager (Vorschau). Wenn die Funktion in die Security Command Center Premium-Stufe eingebunden ist, ermöglicht sie die Sichtbarkeit auf Organisationsebene und die Patchverwaltung für alle Ihre Projekte. Obwohl einzelne Patchjobs in VM Manager auf Projektebene konfiguriert werden, bietet Security Command Center eine konsolidierte Ansicht, mit der Sie Patchjobs in Ihrer gesamten Organisation verwalten können.

Informationen zum Beheben von VM Manager-Ergebnissen finden Sie unter VM Manager-Ergebnisse beheben.

Informationen dazu, wie Sie verhindern, dass Berichte zu Sicherheitslücken in Security Command Center geschrieben werden, finden Sie unter VM Manager-Ergebnisse ausblenden.

Sicherheitslücken dieses Typs beziehen sich alle auf installierte Betriebssystempakete in unterstützten Compute Engine-VMs.

Detektor Fazit Asset-Scaneinstellungen

Kategoriename in der API: OS_VULNERABILITY

Ergebnisbeschreibung: VM Manager hat eine Sicherheitslücke im installierten Betriebssystempaket für eine Compute Engine-VM erkannt.

Preisstufe: Premium

Unterstützte Assets

compute.googleapis.com/Instance

Dieses Ergebnis korrigieren

Die Berichte zu Sicherheitslücken von VM Manager enthalten detaillierte Informationen zu Sicherheitslücken in installierten Betriebssystempaketen für Compute Engine-VMs, einschließlich Common Vulnerabilities and Exposures (CVEs).

Eine vollständige Liste der unterstützten Betriebssysteme finden Sie unter Details zu Betriebssystemen.

Die Ergebnisse werden kurz nach dem Erkennen der Sicherheitslücken in Security Command Center angezeigt. Berichte zu Sicherheitslücken werden in VM Manager so erstellt:

  • Wenn ein Paket im Betriebssystem einer VM installiert oder aktualisiert wird, können Sie davon ausgehen, dass Informationen zu Common Vulnerabilities and Exposures (CVEs) für die VM im Security Command Center innerhalb von zwei Stunden nach der Änderung angezeigt werden.
  • Wenn neue Sicherheitshinweise für ein Betriebssystem veröffentlicht werden, sind aktualisierte CVEs normalerweise innerhalb von 24 Stunden nach Veröffentlichung des Hinweises durch den Betriebssystemanbieter verfügbar.

Sicherheitslückenbewertung für AWS

Der Dienst „Vulnerability Assessment for Amazon Web Services (AWS)“ erkennt Softwareschwachstellen in Ihren Arbeitslasten, die auf EC2-VMs auf der AWS-Cloud-Plattform ausgeführt werden.

Für jede erkannte Sicherheitslücke generiert die Sicherheitslückenbewertung für AWS ein Ergebnis der Klasse Vulnerability in der Ergebniskategorie Software vulnerability im Security Command Center.

Der Dienst „Sicherheitslückenbewertung für AWS“ scannt Snapshots der laufenden EC2-Maschineninstanzen, sodass Produktionsarbeitslasten nicht beeinträchtigt werden. Diese Scanmethode wird als agentenloses Laufwerkscannen bezeichnet, da auf den Scanzielen keine Agents installiert sind.

Hier finden Sie weitere Informationen:

Sicherheitslückenbewertung für Google Cloud

Die Sicherheitslückenbewertung für den Dienst Google Cloud erkennt Software-Sicherheitslücken in den folgenden Ressourcen auf der Plattform Google Cloud :

  • Ausgeführte Compute Engine-VM-Instanzen
  • Knoten in GKE Standard-Clustern
  • Container, die in GKE Standard- und GKE Autopilot-Clustern ausgeführt werden

Für jede erkannte Sicherheitslücke generiert die Sicherheitslückenbewertung für Google Cloud ein Ergebnis der Klasse Vulnerability in der Ergebniskategorie Software vulnerability oder OS vulnerability im Security Command Center.

Der Dienst „Vulnerability Assessment for Google Cloud “ scannt Ihre Compute Engine-VM-Instanzen, indem er ihre Laufwerke etwa alle 12 Stunden klont, sie in einer sicheren VM-Instanz bereitstellt und sie mit dem SCALIBR-Scanner bewertet.

Weitere Informationen finden Sie unter Bewertung von Sicherheitslücken für Google Cloud.

Web Security Scanner

Web Security Scanner ermöglicht verwaltetes und benutzerdefiniertes Scannen auf Sicherheitslücken im Web für öffentliche App Engine-, GKE- und Compute Engine-Dienste.

Verwaltete Scans

Von Web Security Scanner verwaltete Scans werden von Security Command Center konfiguriert und verwaltet. Verwaltete Scans werden jede Woche automatisch ausgeführt, um öffentliche Webendpunkte zu erkennen und zu scannen. Bei diesen Scans wird keine Authentifizierung verwendet. Sie senden nur GET-Anfragen, sodass sie keine Formulare auf Live-Websites senden.

Verwaltete Scans werden getrennt von benutzerdefinierten Scans ausgeführt.

Wenn Security Command Center auf Organisationsebene aktiviert ist, können Sie mit verwalteten Scans die grundlegende Erkennung von Sicherheitslücken in Webanwendungen für Projekte in Ihrer Organisation zentral verwalten, ohne einzelne Projektteams einbeziehen zu müssen. Wenn Ergebnisse gefunden werden, können Sie mit diesen Teams zusammenarbeiten, um umfassendere benutzerdefinierte Scans einzurichten.

Wenn Sie Web Security Scanner als Dienst aktivieren, sind die Ergebnisse verwalteter Scans automatisch auf der Seite Sicherheitslücken im Security Command Center und in zugehörigen Berichten verfügbar. Informationen zum Aktivieren von verwalteten Scans mit Web Security Scanner finden Sie unter Security Command Center-Dienste konfigurieren.

Verwaltete Scans unterstützen nur Anwendungen, die den Standardport verwenden. Das ist Port 80 für HTTP-Verbindungen und Port 443 für HTTPS-Verbindungen. Wenn Ihre Anwendung einen nicht standardmäßigen Port verwendet, führen Sie stattdessen einen benutzerdefinierten Scan durch.

Benutzerdefinierte Scans

Benutzerdefinierte Scans von Web Security Scanner liefern detaillierte Informationen zu Ergebnissen in Bezug auf die Anwendungssicherheit, wie veraltete Bibliotheken, Cross-Site-Scripting oder Verwendung von gemischten Inhalten.

Benutzerdefinierte Scans werden auf Projektebene definiert.

Benutzerdefinierte Scanergebnisse sind in Security Command Center verfügbar, nachdem Sie den Leitfaden zum Einrichten benutzerdefinierter Web Security Scanner-Scans befolgt haben.

Detektoren und Compliance

Web Security Scanner unterstützt Kategorien in den OWASP Top Ten, einem Dokument, das eine Einstufung und eine Anleitung zur Korrektur der zehn wichtigsten Sicherheitsrisiken für Webanwendungen enthält. Öffnen Sie das Webanwendungs-Sicherheitsprojekt (OWASP). Eine Anleitung zum Vermeiden von OWASP-Risiken finden Sie unter OWASP-Top-10:2025 in Google Cloudmindern.

Die Compliance-Zuordnung ist als Referenz enthalten und wird von der OWASP Foundation nicht zur Verfügung gestellt oder überprüft.

Diese Funktion ist nur dazu gedacht, Verstöße gegen Compliance-Kontrollen zu überwachen. Die Zuordnungen dienen nicht als Grundlage bzw. Ersatz für die Prüfung, Zertifizierung oder Bestätigung der Compliance Ihrer Produkte oder Dienste gemäß allen regulatorischen oder branchenspezifischen Benchmarks oder Standards.

Weitere Informationen finden Sie unter Web Security Scanner – Übersicht.

Bedrohungserkennungsdienste

Zu den Diensten zur Bedrohungserkennung gehören integrierte Dienste, die Ereignisse erkennen, die auf potenziell schädliche Ereignisse wie kompromittierte Ressourcen oder Cyberangriffe hinweisen könnten.

Bedrohungerkennung für Agent Platform

Die Agent Platform-Bedrohungserkennung bietet Laufzeitbedrohungserkennung für Agenten, die in der Agent Runtime bereitgestellt werden. Es überwacht laufende Agents auf potenzielle Angriffe und generiert Ergebnisse im Security Command Center.

Die Bedrohungserkennung für Agent Platform kann Ergebnisse für Agent Runtime generieren, einschließlich der folgenden Kategorien:

  • Command and Control: Steganographie-Tool erkannt
  • Zugriff auf Anmeldedaten: Google Cloud -Anmeldedaten finden
  • Zugriff auf Anmeldedaten: Ausspähung von GPG-Schlüsseln
  • Anmeldedatenzugriff: Suche nach privaten Schlüsseln oder Passwörtern
  • Umgehung von Sicherheitsvorkehrungen: Befehlszeile für Base64 ELF-Datei
  • Defense Evasion: Base64-codiertes Python-Script ausgeführt
  • Defense Evasion: Base64 Encoded Shell Script Executed
  • Defense Evasion: Compiler-Tool für Code im Container gestartet
  • Ausführung: Netcat-Remote-Codeausführung im Container
  • Ausführung: Mögliche Ausführung beliebiger Befehle über CUPS (CVE-2024-47177)
  • Ausführung: Mögliche Remote-Befehlsausführung erkannt
  • Ausführung: Program Run with Disallowed HTTP Proxy Env
  • Ausführung: Socat-Reverse-Shell erkannt
  • Ausführung: Verdächtiges freigegebenes OpenSSL-Objekt geladen
  • Exfiltration: Remote-Tools zum Kopieren von Dateien im Container gestartet
  • Auswirkung: Erkennung schädlicher Cmdline-Dateien
  • Auswirkung: Bulk-Entfernung von Daten von Laufwerk
  • Auswirkung: Verdächtige Cryptomining-Aktivität mit Stratum-Protokoll
  • Rechteausweitung: Missbrauch von Sudo zur Rechteausweitung (CVE-2019-14287)
  • Rechteausweitung: Sicherheitslücke bei der lokalen Rechteausweitung in Polkit (CVE-2021-4034)
  • Rechteausweitung: Mögliche Rechteausweitung durch Sudo (CVE-2021-3156)
  • Ausführung: Schädlicher Python-Code ausgeführt
  • Ausführung: Container-Escape
  • Execution: Kubernetes Attack Tool Execution
  • Ausführung: Ausführung eines lokalen Ausspähtools
  • Auswirkung: Schädliches Script ausgeführt
  • Auswirkung: Schädliche URL beobachtet
  • Ausführung: unerwartete untergeordnete Shell

Weitere Informationen finden Sie unter Bedrohungserkennung für die Agent Platform.

Anomalieerkennung

Die Anomalieerkennung ist ein integrierter Dienst, der Verhaltenssignale von außerhalb Ihres Systems verwendet. Es werden detaillierte Informationen zu Sicherheitsanomalien angezeigt, die für Ihre Dienstkonten erkannt wurden, z. B. potenzielle Datenlecks bei Anmeldedaten. Die Anomalieerkennung wird automatisch aktiviert, wenn Sie die Security Command Center Standard-Legacy- oder Premium-Stufe aktivieren. Die Ergebnisse sind dann in der Google Cloud Console verfügbar.

Zu den Ergebnissen der Anomalieerkennung gehören:

Anomaliename Ergebniskategorie Beschreibung
account_has_leaked_credentials

Anmeldedaten für ein Google Cloud -Dienstkonto wurden versehentlich online offengelegt oder manipuliert.

Schweregrad: Kritisch

Anmeldedaten des Kontos wurden gestohlen

GitHub hat Security Command Center darüber informiert, dass die für einen Commit verwendeten Anmeldedaten anscheinend die Anmeldedaten für ein Identity and Access Management-Dienstkonto vonGoogle Cloud sind.

Die Benachrichtigung enthält den Namen des Dienstkontos und die Kennung des privaten Schlüssels. Google Cloud sendet außerdem eine Benachrichtigung per E-Mail an Ihren festgelegten Kontakt für Sicherheits- und Datenschutzfragen.

Führen Sie einen oder mehrere der folgenden Schritte aus, um dieses Problem zu beheben:

  • Identifizieren Sie den legitimen Nutzer des Schlüssels.
  • Rotieren Sie den Schlüssel.
  • Entferne den Schlüssel.
  • Untersuchen Sie alle Aktionen, die mit dem Schlüssel ausgeführt wurden, nachdem er geleakt wurde, um sicherzustellen, dass keine der Aktionen bösartig war.

JSON: Ergebnis zu gehackten Kontoanmeldedaten

{
  "findings": {
    "access": {},
    "assetDisplayName": "PROJECT_NAME",
    "assetId": "organizations/ORGANIZATION_ID/assets/ASSET_ID",
    "canonicalName": "projects/PROJECT_ID/sources/SOURCE_INSTANCE_ID/findings/FINDING_ID",
    "category": "account_has_leaked_credentials",
    "contacts": {
      "security": {
        "contacts": [
          {
            "email": "EMAIL_ADDRESS"
          }
        ]
      }
    },
    "createTime": "2022-08-05T20:59:41.022Z",
    "database": {},
    "eventTime": "2022-08-05T20:59:40Z",
    "exfiltration": {},
    "findingClass": "THREAT",
    "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/cat",
    "indicator": {},
    "kubernetes": {},
    "mitreAttack": {},
    "mute": "UNDEFINED",
    "name": "organizations/ORGANIZATION_ID/sources/SOURCE_INSTANCE_ID/findings/FINDING_ID",
    "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_INSTANCE_ID",
    "parentDisplayName": "Cloud Anomaly Detection",
    "resourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "severity": "CRITICAL",
    "sourceDisplayName": "Cloud Anomaly Detection",
    "state": "ACTIVE",
    "vulnerability": {},
    "workflowState": "NEW"
  },
  "resource": {
    "name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "display_name": "PROJECT_NAME",
    "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "project_display_name": "PROJECT_NAME",
    "parent_name": "//cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID",
    "parent_display_name": "ORGANIZATION_NAME",
    "type": "google.cloud.resourcemanager.Project",
    "folders": []
  },
  "sourceProperties": {
    "project_identifier": "PROJECT_ID",
    "compromised_account": "SERVICE_ACCOUNT_NAME@PROJECT_ID.",
    "finding_type": "Potential compromise of a resource in your organization.",
    "summary_message": "We have detected leaked Service Account authentication credentials that could be potentially compromised.",
    "action_taken": "Notification sent",
    "private_key_identifier": "SERVICE_ACCOUNT_KEY_ID",
    "url": "https://github.com/KEY_FILE_PATH/KEY_FILE_NAME.json"
  }
}

Container Threat Detection

Container Threat Detection kann die gängigsten Containerlaufzeit-Angriffe erkennen und Sie im Security Command Center und optional in Cloud Logging benachrichtigen. Container Threat Detection umfasst mehrere Erkennungsfunktionen, ein Analysetool und eine API.

Die Container Threat Detection-Erkennungsinstrumentierung erfasst das Verhalten auf niedriger Ebene im Gastkernel und führt Natural Language Processing für Code aus, um die folgenden Ereignisse zu erkennen:

  • Added Binary Executed
  • Added Library Loaded
  • Command and Control: Steganography Tool Detected (Vorabversion)
  • Credential Access: Find Google Cloud Credentials
  • Credential Access: GPG Key Reconnaissance
  • Credential Access: Search Private Keys or Passwords
  • Defense Evasion: Base64 ELF File Command Line
  • Defense Evasion: Base64 Encoded Python Script Executed
  • Defense Evasion: Base64 Encoded Shell Script Executed
  • Defense Evasion: Launch Code Compiler Tool In Container (Vorschau)
  • Execution: Added Malicious Binary Executed
  • Execution: Added Malicious Library Loaded
  • Execution: Built in Malicious Binary Executed
  • Execution: Container Escape
  • Execution: Fileless Execution in /memfd:
  • Execution: Ingress Nightmare Vulnerability Execution (Vorschau)
  • Execution: Kubernetes Attack Tool Execution
  • Execution: Local Reconnaissance Tool Execution
  • Execution: Malicious Python executed
  • Execution: Modified Malicious Binary Executed
  • Execution: Modified Malicious Library Loaded
  • Execution: Netcat Remote Code Execution In Container
  • Execution: Possible Arbitrary Command Execution through CUPS (CVE-2024-47076)
  • Execution: Possible Remote Command Execution Detected (Vorschau)
  • Execution: Program Run with Disallowed HTTP Proxy Env
  • Execution: Socat Reverse Shell Detected
  • Execution: Suspicious OpenSSL Shared Object Loaded
  • Exfiltration: Launch Remote File Copy Tools in Container
  • Impact: Detect Malicious Cmdlines (Vorabversion)
  • Impact: Remove Bulk Data From Disk
  • Impact: Suspicious crypto mining activity using the Stratum Protocol
  • Malicious Script Executed
  • Malicious URL Observed
  • Privilege Escalation: Abuse of Sudo For Privilege Escalation (CVE-2019-14287)
  • Privilege Escalation: Fileless Execution in /dev/shm
  • Privilege Escalation: Polkit Local Privilege Escalation Vulnerability (CVE-2021-4034)
  • Privilege Escalation: Sudo Potential Privilege Escalation (CVE-2021-3156)
  • Reverse Shell
  • Unexpected Child Shell

Weitere Informationen zu Container Threat Detection.

Event Threat Detection

Event Threat Detection verwendet Logdaten innerhalb Ihrer Systeme. Er überwacht den Cloud Logging-Stream für Projekte und nutzt Logs, sobald sie verfügbar sind. Wenn eine Bedrohung erkannt wird, schreibt Event Threat Detection ein Ergebnis in Security Command Center und in ein Cloud Logging-Projekt. Event Threat Detection wird automatisch aktiviert, wenn Sie Security Command Center aktivieren. Die Ergebnisse sind in derGoogle Cloud Console verfügbar.

Event Threat Detection-Detektoren

Weitere Informationen zu Event Threat Detection.

Google Cloud Armor

Cloud Armor bietet eine Ebene-7-Filterung, um Ihre Anwendung zu schützen. Cloud Armor bereinigt eingehende Anfragen auf häufige Webangriffe oder andere Layer-7-Attribute, um Traffic potenziell zu blockieren, bevor er Ihre Backend-Dienste oder Backend-Buckets mit Load Balancing erreicht.

Cloud Armor exportiert zwei Ergebnisse in Security Command Center:

Sensitive Actions Service

Sensitive Actions Service ist ein integrierter Dienst von Security Command Center, der erkennt, wenn in Ihrer Organisation, Ihren Ordnern und Projekten von Google Cloud Aktionen ausgeführt werden, die Ihrem Unternehmen schaden könnten, wenn sie von einem böswilligen Akteur ausgeführt werden.

Sensitive Actions Service ist immer aktiviert und überwacht automatisch alle Audit-Logs zur Administratoraktivität Ihrer Organisation auf sensible Aktionen. Audit-Logs zur Administratoraktivität sind immer aktiviert, sodass Sie sie nicht aktivieren oder konfigurieren müssen.

Weitere Informationen zum Sensitive Actions Service finden Sie unter Übersicht über den Sensitive Actions Service.

Virtual Machine Threat Detection

Virtual Machine Threat Detection ist ein integrierter Dienst von Security Command Center. Dieser Dienst scannt virtuelle Maschinen, um potenziell schädliche Anwendungen wie Kryptowährung-Mining-Software, Kernel-Modus-Rootkits und Malware zu erkennen, die in kompromittierten Cloud-Umgebungen ausgeführt werden.

VM Threat Detection ist Teil der Bedrohungserkennungs-Suite von Security Command Center und ergänzt die vorhandenen Funktionen von Event Threat Detection und Container Threat Detection.

Weitere Informationen zur VM Threat Detection finden Sie unter VM Threat Detection – Übersicht.

VM Threat Detection-Bedrohungsergebnisse

VM Threat Detection kann die folgenden Bedrohungsergebnisse generieren.

Bedrohungsergebnisse für Kryptowährungs-Mining

VM Threat Detection erkennt die folgenden Ergebniskategorien durch Hashwert-Abgleich oder YARA-Regeln.

Bedrohungsergebnisse von VM Threat Detection für das Mining von Kryptowährungen
Kategorie Modul Beschreibung
CRYPTOMINING_HASH Vergleicht Speicher-Hashes von laufenden Programmen mit bekannten Speicher-Hashes von Kryptowährung-Mining-Software. Ergebnisse werden standardmäßig als Hoch eingestuft.
CRYPTOMINING_YARA Prüft Übereinstimmung mit Speichermustern, darunter Proof of Work-Konstanten, die bekanntermaßen von Kryptowährungs-Mining-Software verwendet werden. Ergebnisse werden standardmäßig als Hoch eingestuft.
  • CRYPTOMINING_HASH
  • CRYPTOMINING_YARA
 Identifiziert eine Bedrohung, die sowohl vom Modul CRYPTOMINING_HASH als auch vom Modul CRYPTOMINING_YARA erkannt wurde. Weitere Informationen finden Sie unter Kombinierte Erkennungen. Ergebnisse werden standardmäßig als Hoch eingestuft.

Bedrohungsergebnisse für Kernelmodus-Rootkits

VM Threat Detection analysiert die Kernel-Integrität zur Laufzeit, um gängige Umgehungstechniken zu erkennen, die von Malware verwendet werden.

Das Modul KERNEL_MEMORY_TAMPERING erkennt Bedrohungen, indem es einen Hash-Vergleich des Kernel-Codes und des schreibgeschützten Datenspeichers des Kernels einer virtuellen Maschine durchführt.

Das Modul KERNEL_INTEGRITY_TAMPERING erkennt Bedrohungen, indem es die Integrität wichtiger Kernel-Datenstrukturen prüft.

Bedrohungsergebnisse von VM Threat Detection für Kernel-Modus-Rootkits
Kategorie Modul Beschreibung
Rootkit
  • KERNEL_MEMORY_TAMPERING
  • KERNEL_INTEGRITY_TAMPERING
 Es ist eine Kombination von Signalen vorhanden, die mit einem bekannten Kernelmodus-Rootkit übereinstimmt. Damit Sie Ergebnisse dieser Kategorie erhalten, müssen beide Module aktiviert sein. Ergebnisse werden standardmäßig als Hoch eingestuft.
Manipulation des Kernel-Arbeitsspeichers
KERNEL_MEMORY_TAMPERING Es wurden unerwartete Änderungen am schreibgeschützten Datenspeicher des Kernels vorgenommen. Ergebnisse werden standardmäßig als Hoch eingestuft.
Manipulation der Kernel-Integrität
KERNEL_INTEGRITY_TAMPERING ftrace Punkte sind vorhanden, deren Callbacks auf Regionen verweisen, die sich nicht im erwarteten Kernel- oder Modulcodebereich befinden. Ergebnisse werden standardmäßig als Hoch eingestuft.
KERNEL_INTEGRITY_TAMPERING Es sind Interrupt-Handler vorhanden, die sich nicht in den erwarteten Kernel- oder Modulcodebereichen befinden. Ergebnisse werden standardmäßig als Hoch eingestuft.
KERNEL_INTEGRITY_TAMPERING Es sind Kernel-Codeseiten vorhanden, die sich nicht in den erwarteten Kernel- oder Modulcodebereichen befinden. Ergebnisse werden standardmäßig als Hoch eingestuft.
KERNEL_INTEGRITY_TAMPERING kprobe-Punkte sind vorhanden, deren Callbacks auf Regionen verweisen, die sich nicht im erwarteten Kernel- oder Modulcodebereich befinden. Ergebnisse werden standardmäßig als Hoch eingestuft.
KERNEL_INTEGRITY_TAMPERING In der Ausführungswarteschlange des Schedulers sind unerwartete Prozesse vorhanden. Solche Prozesse befinden sich in der Ausführungswarteschlange, aber nicht in der Prozessaufgabenliste. Ergebnisse werden standardmäßig als Hoch eingestuft.
KERNEL_INTEGRITY_TAMPERING Es sind Systemaufruf-Handler vorhanden, die sich nicht in den erwarteten Kernel- oder Modulcodebereichen befinden. Ergebnisse werden standardmäßig als Hoch eingestuft.

Fehler

Mithilfe von Fehlerdetektoren können Sie Fehler in Ihrer Konfiguration erkennen, die verhindern, dass Sicherheitsquellen Ergebnisse generieren. Fehlerergebnisse werden von der Security Command Center-Sicherheitsquelle generiert und haben die Ergebnisklasse SCC errors.

Unbeabsichtigte Aktionen

Die folgenden Ergebniskategorien stellen Fehler dar, die möglicherweise durch unbeabsichtigte Aktionen verursacht werden.

Unbeabsichtigte Aktionen
Kategoriename API-Name Fazit Schweregrad
API_DISABLED

Ergebnisbeschreibung: Eine erforderliche API ist für das Projekt deaktiviert. Der deaktivierte Dienst kann keine Ergebnisse an Security Command Center senden.

Preisstufe: Premium oder Standard

Unterstützte Assets
cloudresourcemanager.googleapis.com/Project

Batch-Scans: Alle 6 Stunden

Dieses Ergebnis korrigieren

Kritisch
APS_NO_RESOURCE_VALUE_CONFIGS_MATCH_ANY_RESOURCES

Ergebnisbeschreibung: Konfigurationen für den Wert von Ressourcen sind für Angriffspfadsimulationen definiert, stimmen aber mit keinen Ressourceninstanzen in Ihrer Umgebung überein. Die Simulationen verwenden stattdessen den Standardsatz hochwertiger Ressourcen.

Dieser Fehler kann folgende Ursachen haben:

  • Keine der Konfigurationen von Ressourcenwerten stimmt mit Ressourceninstanzen überein.
  • Eine oder mehrere Konfigurationen für den Wert von Ressourcen, die NONE angeben, überschreiben alle anderen gültigen Konfigurationen.
  • Alle definierten Konfigurationen von Ressourcenwerten geben den Wert NONE an.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Organizations

Batch-Scans: Vor jeder Angriffspfadsimulation.

Dieses Ergebnis korrigieren

Kritisch
APS_RESOURCE_VALUE_ASSIGNMENT_LIMIT_EXCEEDED

Ergebnisbeschreibung: In der letzten Angriffspfadsimulation hat die Anzahl der hochwertigen Ressourceninstanzen, die durch die Ressourcenwertkonfigurationen identifiziert wurden, das Limit von 1.000 Ressourceninstanzen in einer Gruppe hochwertiger Ressourcen überschritten. Daher hat Security Command Center die überzähligen Instanzen aus der Gruppe der hochwertigen Ressourcen ausgeschlossen.

Die Gesamtzahl der übereinstimmenden Instanzen und die Gesamtzahl der aus der Gruppe ausgeschlossenen Instanzen werden im Ergebnis SCC Error in der Google Cloud Console angegeben.

Die Angriffsrisikobewertungen für alle Ergebnisse, die sich auf ausgeschlossene Ressourceninstanzen auswirken, spiegeln nicht die Kennzeichnung der Ressourceninstanzen als hochwertig wider.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Organizations

Batch-Scans: Vor jeder Angriffspfadsimulation.

Dieses Ergebnis korrigieren

Hoch
KTD_IMAGE_PULL_FAILURE

Ergebnis-Beschreibung: Container Threat Detection kann im Cluster nicht aktiviert werden, da ein erforderliches Container-Image nicht von gcr.io, dem Image-Host in Container Registry abgerufen (heruntergeladen) werden kann. Das Image wird benötigt, um das DaemonSet für Container Threat Detection bereitzustellen, das für Container Threat Detection erforderlich ist.

Beim Versuch, das Container Threat Detection-DaemonSet bereitzustellen, ist der folgende Fehler aufgetreten:

Failed to pull image "badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00": rpc error: code = NotFound desc = failed to pull and unpack image "badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00": failed to resolve reference "badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00": badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00: not found

Preisstufe: Premium

Unterstützte Assets
container.googleapis.com/Cluster

Batch Scans: Alle 30 Minuten

Dieses Ergebnis korrigieren

Kritisch
KTD_BLOCKED_BY_ADMISSION_CONTROLLER

Ergebnisbeschreibung: Container Threat Detection kann in einem Kubernetes-Cluster nicht aktiviert werden. Ein Zugangs-Controller eines Drittanbieters verhindert die Bereitstellung eines Kubernetes-DaemonSet-Objekts, das von Container Threat Detection benötigt wird.

In der Google Cloud Console enthalten die Ergebnisdetails die Fehlermeldung, die von Google Kubernetes Engine zurückgegeben wurde, als Container Threat Detection versuchte, ein Container Threat Detection-DaemonSet-Objekt bereitzustellen.

Preisstufe: Premium

Unterstützte Assets
container.googleapis.com/Cluster

Batch Scans: Alle 30 Minuten

Dieses Ergebnis korrigieren

Hoch
KTD_SERVICE_ACCOUNT_MISSING_PERMISSIONS

Ergebnisbeschreibung: Einem Dienstkonto fehlen Berechtigungen, die von Container Threat Detection benötigt werden. Container Threat Detection funktioniert möglicherweise nicht mehr ordnungsgemäß, da die Erkennungsinstrumentierung nicht aktiviert, aktualisiert oder deaktiviert werden kann.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Project

Batch Scans: Alle 30 Minuten

Dieses Ergebnis korrigieren

Kritisch
GKE_SERVICE_ACCOUNT_MISSING_PERMISSIONS

Ergebnisbeschreibung: Container Threat Detection kann keine Ergebnisse für einen Google Kubernetes Engine-Cluster generieren, da das GKE-Standarddienstkonto im Cluster nicht die erforderlichen Berechtigungen hat. Auf diese Weise wird verhindert, dass Container Threat Detection auf dem Cluster erfolgreich aktiviert wird.

Preisstufe: Premium

Unterstützte Assets
container.googleapis.com/Cluster

Batchscans: Jede Woche

Dieses Ergebnis korrigieren

Hoch
MISCONFIGURED_CLOUD_LOGGING_EXPORT

Ergebnisbeschreibung: Das für den kontinuierlichen Export nach Cloud Logging konfigurierte Projekt ist nicht verfügbar. Security Command Center kann keine Ergebnisse an Logging senden.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Organization

Batch Scans: Alle 30 Minuten

Dieses Ergebnis korrigieren

Hoch
VPC_SC_RESTRICTION

Ergebnisbeschreibung: Security Health Analytics kann bestimmte Ergebnisse für ein Projekt nicht liefern. Das Projekt ist durch einen Dienstperimeter geschützt und das Security Command Center-Dienstkonto hat keinen Zugriff auf den Perimeter.

Preisstufe: Premium oder Standard

Unterstützte Assets
cloudresourcemanager.googleapis.com/Project

Batch-Scans: Alle 6 Stunden

Dieses Ergebnis korrigieren

Hoch
EXTERNAL_EXPOSURE_VPC_SC_RESTRICTION

Ergebnisbeschreibung: External Exposure kann keine Scans durchführen oder Ergebnisse für ein Projekt generieren. Das Projekt ist durch einen Dienstperimeter geschützt und der Dienst-Agent für externe Risiken hat keinen Zugriff auf den Perimeter.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Project

Batch-Scans: Alle 12 Stunden

Dieses Ergebnis korrigieren

Hoch
SCC_SERVICE_ACCOUNT_MISSING_PERMISSIONS

Ergebnisbeschreibung: Dem Dienstkonto von Security Command Center fehlen Berechtigungen, die nötig sind, um ordnungsgemäß zu funktionieren. Es werden keine Ergebnisse erstellt.

Preisstufe: Premium oder Standard

Unterstützte Assets

Batch Scans: Alle 30 Minuten

Dieses Ergebnis korrigieren

Kritisch

Weitere Informationen finden Sie unter Security Command Center-Fehler.

Application Design Center-Integration

Sie können proaktive Sicherheitsbewertungen direkt in den Entwicklungszyklus Ihrer Anwendungen einbinden, indem Sie das Application Design Center (App Design Center) mit Security Command Center verwenden.

Diese Integration konzentriert sich auf die folgenden primären Konzepte.

Ergebnisse zur Design- und Laufzeit

  • Ergebnisse zur Entwurfszeit: Stammen aus Scans von IaC-Vorlagen (Infrastructure as Code) und Anwendungen im App Design Center, bevor Ressourcen bereitgestellt werden. Ergebnisse zur Entwicklungszeit werden bei Bedarf an Security Command Center gesendet, wenn Sie eine Anwendung bereitstellen. Es gibt keine automatische regelmäßige Überprüfung von Anwendungsdesigns. Weitere Informationen finden Sie unter Datenaufbewahrung.
  • Laufzeitergebnisse: Stammen von Ressourcen, die in Ihrer Cloud-Umgebung bereitgestellt werden.

Das Security Command Center zeigt beide Arten von Ergebnissen an, um eine einheitliche Ansicht des Sicherheitsstatus Ihrer Anwendung zu ermöglichen.

Verwaltete und nicht verwaltete Anwendungen

Im Security Command Center werden die folgenden Begriffe verwendet, um Anwendungen anhand ihrer Bereitstellung zu unterscheiden:

Verwaltete Anwendungen
Anwendungen, die Sie mit dem App Design Center entwerfen. Diese Anwendungen unterstützen Bewertungen zur Entwicklungszeit.
Nicht verwaltete Anwendungen
Anwendungen, die in App Hub registriert sind, aber nicht von App Design Center verwaltet werden. Diese Anwendungen unterstützen das Laufzeitmonitoring und die Risikopriorisierung im Security Command Center, aber keine Bewertungen zur Entwicklungszeit.

Bewertungspunkte vor der Bereitstellung

Sie können Sicherheitsbewertungen in mehreren Phasen des Anwendungslebenszyklus im App Design Center durchführen.

  1. Designphase: On-Demand-Bewertungen im App Design Center, wenn Sie eine Vorlage oder Anwendung bearbeiten.
  2. Veröffentlichungsphase: Automatische Bewertungen im App Design Center, wenn Sie Vorlagen in einem Service Catalog veröffentlichen.
  3. Bereitstellungsphase: Eine abschließende Bewertung, bevor Sie Ressourcen bereitstellen.

Ergebnisse zur Entwurfszeit werden nur an Security Command Center gesendet, wenn die Anwendung bereitgestellt wird.

Ergebnisse der Sicherheitsbewertung des Anwendungslebenszyklus in der Console prüfen

  1. Rufen Sie in der Google Cloud Console die Seite Ergebnisse von Security Command Center auf.

    Zu Ergebnissen

  2. Wählen Sie Ihr Google Cloud Projekt oder Ihre Organisation aus.
  3. Wählen Sie im Abschnitt Schnellfilter im Unterabschnitt Anzeigename der Quelle die Option Application Design Center aus. Die Ergebnisse der Ergebnisabfrage werden aktualisiert, sodass nur die Ergebnisse aus dieser Quelle angezeigt werden.
  4. Klicken Sie in der Spalte Kategorie auf den Namen des Ergebnisses, um Details zu einem bestimmten Ergebnis aufzurufen. Der Detailbereich für das Ergebnis wird geöffnet und der Tab Zusammenfassung wird angezeigt.
  5. Sehen Sie sich auf dem Tab Zusammenfassung die Details des Ergebnisses an, einschließlich Informationen dazu, was erkannt wurde, der betroffenen Ressource und, falls verfügbar, der Schritte, die Sie zur Behebung des Ergebnisses ausführen können.
  6. Optional: Klicken Sie auf den Tab JSON, um die vollständige JSON-Definition des Ergebnisses aufzurufen.

App Hub

Mit Security Command Center und Compliance Manager können Sie Ergebnisse, Probleme und Compliance-Informationen für Ressourcen in einer bestimmten App Hub-Anwendung aufrufen. Sie können Prüfungsansichten filtern, um nur Daten für die Ressourcen aufzurufen, die für eine App Hub-Anwendung registriert sind.

Sie können in den folgenden Prüfungsansichten filtern:

  • Risikoübersicht > Dashboard Alle Risiken
  • Risikoübersicht > Dashboard Daten
  • Seite Ergebnisse
  • Seite Probleme
  • Tab Compliance > Monitor (New) (Überwachen (neu))
  • Seite Compliance > Monitor (New) > Framework Details

Wenn Sie Daten auf Organisationsebene ansehen, können Sie die Ansicht über das Menü App auswählen filtern. In diesem Menü werden Anwendungen aufgeführt, die in App Hub erstellt und in derselben Organisation bereitgestellt wurden, in der Security Command Center aktiv ist. Die Informationen im Menü Anwendung auswählen werden aus Cloud Asset Inventory und App Hub abgerufen.

Das Menü Anwendung auswählen ist nicht verfügbar, wenn Sie Daten für ein einzelnes Projekt oder einen einzelnen Ordner ansehen.

Nächste Schritte