Scegli i servizi da attivare

Standard-legacy, Standard, Premium ed Enterprise (obsoleto)

Questo documento contiene un elenco dei servizi di rilevamento, a volte chiamati anche origini di sicurezza, che Security Command Center utilizza per rilevare problemi di sicurezza nei tuoi ambienti cloud.

Quando questi servizi rilevano un problema, generano un risultato, ovvero un record che identifica il problema di sicurezza e fornisce le informazioni necessarie per stabilire la priorità e risolvere il problema.

Puoi visualizzare i risultati nella console Google Cloud e filtrarli in molti modi diversi, ad esempio per tipo di risultato, tipo di risorsa o per un asset specifico. Ogni origine di sicurezza potrebbe fornire più filtri per aiutarti a organizzare i risultati.

I ruoli IAM per Security Command Center possono essere concessi a livello di organizzazione, cartella o progetto. La tua capacità di visualizzare, modificare, creare o aggiornare risultati, asset e origini di sicurezza dipende dal livello di accesso che ti è stato concesso. Per scoprire di più sui ruoli di Security Command Center, consulta Controllo dell'accesso.

Servizi di rilevamento di vulnerabilità ed errori di configurazione

Questi servizi di rilevamento includono servizi integrati che rilevano vulnerabilità del software, errori di configurazione delle risorse e violazioni della postura nei tuoi ambienti cloud. Nelle definizioni dei risultati, questi problemi sono classificati in classi di risultati distinte, come Vulnerability, Misconfiguration, Observation e Posture violation.

AI Protection

AI Protection ti aiuta a gestire la security posture dei tuoi workload AI rilevando le minacce e aiutandoti a mitigare i rischi per l'inventario degli asset AI.

AI Protection offre le seguenti funzionalità di rilevamento:

  • Valuta l'inventario degli asset AI: offre visibilità sui tuoi sistemi e asset AI, come modelli, origini dati, endpoint e agenti AI.
  • Identifica le vulnerabilità: rileva le vulnerabilità del software (CVE) nei workload degli agenti di cui è stato eseguito il deployment con Agent Runtime.
  • Identifica i rischi: utilizza la simulazione del percorso di attacco e le regole del grafico di sicurezza per identificare i rischi degli agenti e il loro potenziale impatto sul tuo ambiente.
  • Rileva agenti con privilegi eccessivi: identifica gli agenti AI a cui sono state concesse autorizzazioni eccessive.
  • Rileva e gestisci le minacce: rileva e risponde alle potenziali minacce che prendono di mira i tuoi sistemi e asset AI tramite regole integrate di altri servizi di Security Command Center, come Event Threat Detection e Agent Platform Threat Detection.
  • Rileva la protezione di Model Armor: rileva se Model Armor protegge i modelli.

Per saperne di più, consulta Panoramica di AI Protection.

Valutazione delle vulnerabilità di Artifact Registry

La valutazione delle vulnerabilità di Artifact Registry è un servizio di rilevamento che ti avvisa delle vulnerabilità nelle immagini container di cui hai eseguito il deployment.

Questo servizio di rilevamento genera risultati relativi alle vulnerabilità per le immagini container nelle seguenti condizioni:

  • L'immagine container è archiviata in Artifact Registry.

  • Il deployment dell'immagine container viene eseguito in uno dei seguenti asset:

    • Cluster Google Kubernetes Engine
    • Servizio Cloud Run
    • Job Cloud Run
    • App Engine

Per saperne di più, consulta Panoramica della valutazione delle vulnerabilità di Artifact Registry.

Valutazione di vulnerabilità per Agent Platform

Agent Platform Vulnerability Assessment identifica quanto segue:

  • vulnerabilità nei workload agentici di cui hai eseguito il deployment con Agent Platform.
  • secret in testo non crittografato, come credenziali, chiavi, token di accesso o certificati, nelle immagini container di Gemini Enterprise Agent Platform.

Rilevamento delle vulnerabilità

Agent Platform Vulnerability Assessment identifica le vulnerabilità del software (CVE) nei workload degli agenti di cui hai eseguito il deployment con Agent Platform.

Questo scanner valuta automaticamente il codice personalizzato e le dipendenze all'interno dell'istanza operativa durante il deployment o l'aggiornamento.

Abilita la valutazione di vulnerabilità per Agent Platform

Agent Platform Vulnerability Assessment viene attivato automaticamente per le nuove attivazioni di AI Protection.

Se sei un cliente esistente, puoi attivare lo scanner nella pagina delle impostazioni di AI Protection. Per saperne di più, consulta Configura la valutazione delle vulnerabilità della piattaforma dell'agente.

Visualizza i risultati di Agent Platform Vulnerability Assessment nella console

  1. Nella console Google Cloud , vai alla pagina Risultati di Security Command Center.

    Vai ai risultati

  2. Seleziona il tuo progetto o la tua organizzazione Google Cloud .
  3. Nella sezione Filtri rapidi, nella sottosezione Nome visualizzato origine, seleziona Vulnerability Assessment for Agent Platform. I risultati della query sui risultati vengono aggiornati per mostrare solo i risultati di questa origine.
  4. Per visualizzare i dettagli di un risultato specifico, fai clic sul nome del risultato nella colonna Categoria. Si apre il riquadro dei dettagli del risultato e viene visualizzata la scheda Riepilogo.
  5. Nella scheda Riepilogo, esamina i dettagli del risultato, incluse le informazioni su ciò che è stato rilevato, la risorsa interessata e, se disponibili, i passaggi che puoi seguire per correggere il risultato.
  6. (Facoltativo) Per visualizzare la definizione JSON completa del risultato, fai clic sulla scheda JSON.

Protezione artefatti

Artifact Guard (anteprima) è un servizio che ti aiuta a impedire il deployment di pacchetti vulnerabili durante il processo di compilazione. Supporta tre ambiti delle policy: piattaforma CI/CD, registry e runtime. L'integrazione CI/CD ti consente di configurare i connettori alle piattaforme CI/CD. Puoi utilizzare questi connettori per configurare le policy di protezione artefatti per identificare le vulnerabilità nelle tue pipeline CI/CD.

Risultati di Compliance Manager

Compliance Manager crea risultati per i controlli cloud di rilevamento e prevenzione di cui esegui il deployment nel tuo ambiente Google Cloud . Puoi visualizzare questi risultati nella pagina Risultati di Security Command Center.

Compliance Manager offre un insieme diverso di funzionalità per ogni livello di servizio. Per saperne di più, consulta la panoramica di Compliance Manager.

Visualizza i risultati di Compliance Manager nella console

  1. Nella console Google Cloud , vai alla pagina Risultati di Security Command Center.

    Vai ai risultati

  2. Seleziona il tuo progetto o la tua organizzazione Google Cloud .
  3. Nella sezione Filtri rapidi, nella sottosezione Nome visualizzato origine, seleziona Compliance Evaluation Service. I risultati della query sui risultati vengono aggiornati per mostrare solo i risultati di questa origine.
  4. Per visualizzare i dettagli di un risultato specifico, fai clic sul nome del risultato nella colonna Categoria. Si apre il riquadro dei dettagli del risultato e viene visualizzata la scheda Riepilogo.
  5. Nella scheda Riepilogo, esamina i dettagli del risultato, incluse le informazioni su ciò che è stato rilevato, la risorsa interessata e, se disponibili, i passaggi che puoi seguire per correggere il risultato.
  6. (Facoltativo) Per visualizzare la definizione JSON completa del risultato, fai clic sulla scheda JSON.

Data Security Posture Management

Data Security Posture Management (DSPM) crea risultati per potenziali violazioni dei framework di sicurezza dei dati e dei controlli cloud che applichi nel tuo ambiente. Puoi visualizzare questi risultati nella pagina Sicurezza e conformità dei dati, nella pagina Panoramica dei rischi (nella scheda Dati) o nella pagina Risultati di Security Command Center. DSPM fornisce un insieme diverso di funzionalità per ogni livello di servizio. Per saperne di più, consulta la panoramica di Data Security Posture Management (DSPM).

Visualizza i risultati di DSPM nella console

  1. Nella console Google Cloud , vai alla pagina Risultati di Security Command Center.

    Vai ai risultati

  2. Seleziona la tua organizzazione Google Cloud .

  3. Utilizza la seguente query per visualizzare i risultati per DSPM:

    state="ACTIVE" AND NOT mute="MUTED" AND resource.name="//aiplatform.googleapis.com/projects/478190632149/locations/us-central1/models/1244151282898305024" AND category="DATA_SECURITY_POSTURE_ACCESS_VIOLATION" OR category="DATA_SECURITY_POSTURE_FLOW_VIOLATION" OR category="DATA_SECURITY_POSTURE_DELETION_VIOLATION" OR category="DATA_SECURITY_POSTURE_PROTECTION_KEY_GOVERNANCE" OR category="BIGQUERY_TABLE_CMEK_DISABLED" OR category="VERTEX_AI_MODEL_CMEK_DISABLED" OR category="VERTEX_AI_METADATA_STORE_CMEK_DISABLED" OR category="VERTEX_AI_DATASET_CMEK_DISABLED" OR category="VERTEX_AI_FEATURE_STORE_TABLE_CMEK_DISABLED" OR category="DATA_SECURITY_POSTURE_CMEK_POLICY_MISCONFIGURED" OR category="DATA_SECURITY_POSTURE_CMEK_POLICY_DELETED" OR category="DATA_SECURITY_POSTURE_CMEK_VIOLATION" OR category="SENSITIVE_DATA_PUBLIC_SQL_INSTANCE" OR category="SENSITIVE_DATA_PUBLIC_DATASET" OR category="SENSITIVE_DATA_BIGQUERY_TABLE_CMEK_DISABLED" OR category="SENSITIVE_DATA_DATASET_CMEK_DISABLED" OR category="SENSITIVE_DATA_SQL_CMEK_DISABLED" OR category="PUBLIC_DATASET" OR category="PUBLIC_SQL_INSTANCE" OR category="SQL_PUBLIC_IP" OR category="ACCESS_TRANSPARENCY_DISABLED" OR category="ORG_POLICY_LOCATION_RESTRICTION" OR category="BUCKET_POLICY_ONLY_DISABLED" OR category="DATA_EXFILTRATION_BIG_QUERY" OR category="DATA_EXFILTRATION_BIG_QUERY_EXTRACTION" OR category="DATA_EXFILTRATION_BIG_QUERY_TO_GOOGLE_DRIVE"

  4. Per visualizzare i dettagli di un risultato specifico, fai clic sul nome del risultato nella colonna Categoria. Viene visualizzato il riquadro dei dettagli del risultato e la scheda Riepilogo.

  5. Nella scheda Riepilogo, esamina i dettagli del risultato, tra cui le informazioni su ciò che è stato rilevato, la risorsa interessata e, se disponibili, i passaggi che puoi seguire per correggere il risultato.

  6. (Facoltativo) Per visualizzare la definizione JSON completa del risultato, fai clic sulla scheda JSON.

Esposizione esterna

L'esposizione esterna di Security Command Center è un servizio Google Cloud che ti aiuta a gestire e ridurre la superficie di attacco esterna tramite il rilevamento automatico e la convalida dei rischi.

Poiché gli scanner automatici possono prendere di mira gli asset esposti a internet in pochi minuti, External Exposure scopre in modo proattivo le esposizioni accidentali e le risorse shadow prima che gli utenti malintenzionati possano scoprirle e sfruttarle.

Analizzando il tuo ambiente da una prospettiva esterna, il servizio tenta di confermare ciò che è veramente raggiungibile da internet e identifica quali esposizioni sono effettivamente sfruttabili.

External Exposure esegue continuamente la scansione di indirizzi IP, nomi host, nomi di dominio e URL rivolti all'esterno nel tuo ambiente Google Cloud. Questa funzionalità utilizza la scansione della rete per verificare quali risorse e applicazioni sono raggiungibili dalla rete internet pubblica.

Per ogni esposizione confermata, Esposizione esterna esegue le seguenti operazioni:

  • Traccia e visualizza il percorso di rete Google Cloud per i bilanciatori del carico esterni, le policy di Google Cloud Armor, le regole firewall, Private Service Connect, Cloud Interconnect e i servizi di backend fino alla risorsa esposta.

    Questa risorsa può essere un'istanza di Compute Engine o un pod di Google Kubernetes Engine (GKE), incluso un servizio o un'applicazione esposti.

    Questa profonda integrazione con il fabric di networking di Google aiuta a fornire un contesto strategico per applicare immediatamente mitigazioni preventive, come il blocco di una regola firewall specifica o la configurazione di Google Cloud Armor.

  • Esegue il fingerprinting per tentare di identificare l'applicazione web o il software server specifico in esecuzione su ogni asset esposto.

  • Se è in grado di identificare il servizio o il software esposto, identifica eventuali vulnerabilità note che lo interessano.

  • Utilizza rilevatori passivi e attivi avanzati per testare la sfruttabilità nel mondo reale convalidando vulnerabilità, configurazioni errate e l'uso di credenziali predefinite o deboli.

Esamina i risultati dell'esposizione esterna nella console

  1. Nella console Google Cloud , vai alla pagina Risultati di Security Command Center.

    Vai ai risultati

  2. Seleziona il tuo progetto o la tua organizzazione Google Cloud .
  3. Nella sezione Filtri rapidi, nella sottosezione Nome visualizzato origine, seleziona Esposizione esterna. I risultati della query sui risultati vengono aggiornati per mostrare solo i risultati di questa origine.
  4. Per visualizzare i dettagli di un risultato specifico, fai clic sul nome del risultato nella colonna Categoria. Si apre il riquadro dei dettagli del risultato e viene visualizzata la scheda Riepilogo.
  5. Nella scheda Riepilogo, esamina i dettagli del risultato, incluse le informazioni su ciò che è stato rilevato, la risorsa interessata e, se disponibili, i passaggi che puoi seguire per correggere il risultato.
  6. (Facoltativo) Per visualizzare la definizione JSON completa del risultato, fai clic sulla scheda JSON.

Dashboard della postura di sicurezza di GKE

La dashboard della security posture di Google Kubernetes Engine (GKE) è una pagina della consoleGoogle Cloud che fornisce risultati prescrittivi e utilizzabili su potenziali problemi di sicurezza nei cluster GKE.

La dashboard della security posture di GKE si integra con Security Command Center per offrire i seguenti vantaggi:

  • Visibilità unificata: Visualizza i risultati di sicurezza per i tuoi cluster GKE insieme ai risultati di altri servizi di Security Command Center nella console di Security Command Center.
  • Punteggi di esposizione agli attacchi: assegna la priorità ai risultati visualizzando il loro potenziale impatto sul tuo ambiente tramite i punteggi di esposizione agli attacchi.
  • Reporting sulla conformità: genera report sulla conformità in base ai risultati.

Per visualizzare questi risultati, attiva una delle seguenti funzionalità della dashboard della postura di sicurezza di GKE:

Riquadro della dashboard della postura di sicurezza di GKE Classe dei risultati di Security Command Center
Audit della configurazione dei workload1 MISCONFIGURATION
Minacce principali2 THREAT
Analisi delle vulnerabilità del sistema operativo dei container1 VULNERABILITY
Analisi delle vulnerabilità dei pacchetti di linguaggio1 VULNERABILITY
Bollettini sulla sicurezza utilizzabili1 (Anteprima) VULNERABILITY
Principali vulnerabilità software2 VULNERABILITY
  1. Disponibile solo se abiliti questa funzionalità in GKE.
  2. Disponibile per i livelli di servizio Security Command Center Premium ed Enterprise.

I risultati mostrano informazioni sul problema di sicurezza e forniscono suggerimenti per risolverlo nei workload o nei cluster.

Visualizza i risultati della dashboard della security posture di GKE nella console

  1. Nella console Google Cloud , vai alla pagina Risultati di Security Command Center.

    Vai ai risultati

  2. Seleziona il tuo progetto o la tua organizzazione Google Cloud .
  3. Nella sezione Filtri rapidi, nella sottosezione Nome visualizzato origine, seleziona security posture di GKE. I risultati della query sui risultati vengono aggiornati per mostrare solo i risultati di questa origine.
  4. Per visualizzare i dettagli di un risultato specifico, fai clic sul nome del risultato nella colonna Categoria. Si apre il riquadro dei dettagli del risultato e viene visualizzata la scheda Riepilogo.
  5. Nella scheda Riepilogo, esamina i dettagli del risultato, incluse le informazioni su ciò che è stato rilevato, la risorsa interessata e, se disponibili, i passaggi che puoi seguire per correggere il risultato.
  6. (Facoltativo) Per visualizzare la definizione JSON completa del risultato, fai clic sulla scheda JSON.

Motore per suggerimenti IAM

Il motore per suggerimenti IAM genera suggerimenti che puoi seguire per migliorare la sicurezza rimuovendo o sostituendo i ruoli IAM dalle entità quando i ruoli contengono autorizzazioni IAM di cui l'entità non ha bisogno.

Il motore per suggerimenti IAM viene abilitato automaticamente quando attivi Security Command Center.

Attiva o disattiva i risultati del motore per suggerimenti IAM

Per attivare o disattivare i risultati del motore per suggerimenti IAM in Security Command Center, segui questi passaggi:

  1. Vai alla scheda Servizi integrati della pagina Impostazioni di Security Command Center nella console Google Cloud :

    Vai a Servizi integrati

  2. Vai alla voce Motore per suggerimenti IAM.

  3. A destra della voce, seleziona Attiva o Disattiva.

I risultati del motore per suggerimenti IAM sono classificati come vulnerabilità.

Per correggere un risultato del motore per suggerimenti IAM, espandi la sezione seguente per visualizzare una tabella dei risultati del motore per suggerimenti IAM. I passaggi di correzione per ogni risultato sono inclusi nella voce della tabella.

Visualizza i risultati del motore per suggerimenti IAM nella console

  1. Nella console Google Cloud , vai alla pagina Risultati di Security Command Center.

    Vai ai risultati

  2. Seleziona il tuo progetto o la tua organizzazione Google Cloud .
  3. Nella sezione Filtri rapidi, nella sottosezione Nome visualizzato origine, seleziona Motore per suggerimenti IAM. I risultati della query sui risultati vengono aggiornati per mostrare solo i risultati di questa origine.
  4. Per visualizzare i dettagli di un risultato specifico, fai clic sul nome del risultato nella colonna Categoria. Si apre il riquadro dei dettagli del risultato e viene visualizzata la scheda Riepilogo.
  5. Nella scheda Riepilogo, esamina i dettagli del risultato, incluse le informazioni su ciò che è stato rilevato, la risorsa interessata e, se disponibili, i passaggi che puoi seguire per correggere il risultato.
  6. (Facoltativo) Per visualizzare la definizione JSON completa del risultato, fai clic sulla scheda JSON.

In Security Command Center Premium, puoi anche visualizzare i risultati del motore per suggerimenti IAM nella pagina Vulnerabilità legacy selezionando il preset di query Motore per suggerimenti IAM.

Mandiant Attack Surface Management

Mandiant è leader mondiale nella threat intelligence di prima linea. Mandiant Attack Surface Management identifica le vulnerabilità e le configurazioni errate nelle tue superfici di attacco esterne per aiutarti a rimanere al passo con gli ultimi attacchi informatici.

Mandiant Attack Surface Management viene abilitato automaticamente quando attivi il livello Security Command Center Enterprise e i risultati sono disponibili nella console Google Cloud .

Per informazioni sulle differenze tra il prodotto Mandiant Attack Surface Management autonomo e l'integrazione di Mandiant Attack Surface Management in Security Command Center, consulta ASM e Security Command Center nel portale della documentazione di Mandiant. Questo link richiede l'autenticazione Mandiant.

Esamina i risultati di Mandiant Attack Surface Management nella console

  1. Nella console Google Cloud , vai alla pagina Risultati di Security Command Center.

    Vai ai risultati

  2. Seleziona il tuo progetto o la tua organizzazione Google Cloud .
  3. Nella sezione Filtri rapidi, nella sottosezione Nome visualizzato origine, seleziona Mandiant Attack Surface Management. I risultati della query sui risultati vengono aggiornati per mostrare solo i risultati di questa origine.
  4. Per visualizzare i dettagli di un risultato specifico, fai clic sul nome del risultato nella colonna Categoria. Si apre il riquadro dei dettagli del risultato e viene visualizzata la scheda Riepilogo.
  5. Nella scheda Riepilogo, esamina i dettagli del risultato, incluse le informazioni su ciò che è stato rilevato, la risorsa interessata e, se disponibili, i passaggi che puoi seguire per correggere il risultato.
  6. (Facoltativo) Per visualizzare la definizione JSON completa del risultato, fai clic sulla scheda JSON.

Né Security Command Center né Mandiant Attack Surface Management contrassegnano i risultati come risolti. Una volta risolto un problema, puoi contrassegnarlo manualmente come risolto. Se non viene identificato nella scansione successiva di Mandiant Attack Surface Management, rimane risolto.

Risultati di Model Armor

Model Armor è un servizio Google Cloud completamente gestito che migliora la sicurezza delle applicazioni di AI analizzando i prompt e le risposte degli LLM.

Risultato Riepilogo

Nome della categoria nell'API: FLOOR_SETTINGS_VIOLATION

Descrizione del risultato: una violazione delle impostazioni di base che si verifica quando un template Model Armor non soddisfa gli standard di sicurezza minimi definiti dalle impostazioni di base della gerarchia delle risorse.

Classe dei risultati: configurazione errata

Livello di prezzo: Premium

Correggi questo risultato:

Questo risultato richiede l'aggiornamento del template Model Armor per renderlo conforme alle impostazioni di base definite nella gerarchia delle risorse.

Notebook Security Scanner

Notebook Security Scanner è un servizio integrato di rilevamento delle vulnerabilità dei pacchetti di Security Command Center. Dopo l'attivazione, Notebook Security Scanner esegue automaticamente la scansione dei notebook Colab Enterprise (file con estensione nome file ipynb) ogni 24 ore per rilevare le vulnerabilità nei pacchetti Python e pubblica i risultati nella pagina Risultati di Security Command Center.

Puoi utilizzare Notebook Security Scanner per i notebook Colab Enterprise creati nelle seguenti regioni: us-central1, us-east4, us-west1 e europe-west4.

Per iniziare a utilizzare Notebook Security Scanner, consulta Attiva e utilizza Notebook Security Scanner.

Policy Controller

Policy Controller consente l'applicazione, anche forzata, dei criteri programmabili per i tuoi cluster Kubernetes. Queste policy fungono da barriere e possono aiutare con la gestione di best practice, sicurezza e conformità dei cluster e del parco risorse.

Se installi Policy Controller e attivi uno dei bundle di Policy Controller, Policy Controller scrive automaticamente le violazioni del cluster in Security Command Center come risultati della classe Misconfiguration. La descrizione del risultato e i passaggi successivi nei risultati di Security Command Center sono gli stessi della descrizione del vincolo e dei passaggi di correzione del bundle di Policy Controller corrispondente.

I risultati di Policy Controller provengono dai seguenti bundle di Policy Controller:

Per trovare e correggere i risultati di Policy Controller, consulta Correzione dei risultati di Policy Controller.

Risk Engine

Il motore di rischio di Security Command Center valuta l'esposizione al rischio dei tuoi deployment cloud, assegna punteggi di esposizione agli attacchi ai risultati delle vulnerabilità e alle tue risorse di valore elevato e traccia i percorsi che un potenziale utente malintenzionato potrebbe seguire per raggiungere le tue risorse di valore elevato.

Nel livello Enterprise o Premium di Security Command Center, il motore di rischio rileva gruppi di problemi di sicurezza che, quando si verificano insieme in un pattern particolare, creano un percorso verso una o più risorse di alto valore che un attaccante determinato potrebbe potenzialmente utilizzare per raggiungere e compromettere queste risorse.

Quando il motore di rischio rileva una di queste combinazioni, genera un risultato della classe TOXIC_COMBINATION. Nel risultato, il motore di rischio è elencato come origine del risultato.

Il motore di rischio identifica anche le risorse o i gruppi di risorse comuni in cui convergono più percorsi di attacco, quindi genera un risultato di classe CHOKEPOINT.

Per saperne di più, consulta Panoramica di combinazioni dannose e chokepoint.

Security Health Analytics

Security Health Analytics è un servizio di rilevamento integrato di Security Command Center che fornisce scansioni gestite delle risorse cloud per rilevare configurazioni errate comuni.

Quando viene rilevata una configurazione errata, Security Health Analytics genera un risultato. La maggior parte dei risultati di Security Health Analytics è mappata ai controlli degli standard di sicurezza in modo da poter valutare la conformità.

Security Health Analytics esegue la scansione delle risorse su Google Cloud. Se utilizzi il livello Enterprise e stabilisci connessioni ad altre piattaforme cloud, Security Health Analytics può anche scansionare le tue risorse su queste piattaforme cloud.

I rilevatori disponibili variano a seconda del livello di servizio di Security Command Center che utilizzi:

  • Nel livello Standard-legacy, Security Health Analytics include solo un gruppo di base di rilevatori di vulnerabilità di gravità media e alta.
  • Il livello Premium include tutti i rilevatori di vulnerabilità per Google Cloud.
  • Il livello Enterprise include rilevatori aggiuntivi per altre piattaforme cloud.

Security Health Analytics viene abilitato automaticamente quando attivi Security Command Center.

Per ulteriori informazioni, consulta le seguenti risorse:

Servizio Security Posture

Il servizio di security posture è un servizio integrato per il livello Security Command Center Premium che ti consente di definire, valutare e monitorare lo stato complessivo della tua sicurezza in Google Cloud. Fornisce informazioni su come il tuo ambiente si allinea alle policy che definisci nella tua security posture.

Il servizio della security posture non è correlato alla dashboard della security posture di GKE, che mostra solo i risultati nei cluster GKE.

Sensitive Data Protection

Sensitive Data Protection è un servizio Google Cloud completamente gestito che ti aiuta a scoprire, classificare e proteggere i tuoi dati sensibili. Puoi utilizzare Sensitive Data Protection per determinare se stai archiviando dati sensibili o informazioni che consentono l'identificazione personale (PII), ad esempio:

  • Nomi di persone
  • Numeri di carte di credito
  • Numeri di documenti di identità nazionali o statali
  • Numeri di identificazione dell'assicurazione sanitaria
  • Secret

In Sensitive Data Protection, ogni tipo di dati sensibili che cerchi è chiamato infoType.

Se configuri l'operazione di Sensitive Data Protection per inviare i risultati a Security Command Center, puoi visualizzare i risultati direttamente nella sezione Security Command Center della console Google Cloud , oltre che nella sezione Sensitive Data Protection.

Se utilizzi i perimetri di servizio dei Controlli di servizio VPC e vuoi rilevare dati sensibili all'interno di questi perimetri, consulta Consenti il rilevamento di dati sensibili all'interno dei perimetri di servizio. Se non esegui questa attività, potresti ricevere avvisi.

Latenza di scansione di Sensitive Data Protection

A seconda delle dimensioni della tua organizzazione, i risultati di Sensitive Data Protection possono iniziare a essere visualizzati in Security Command Center entro pochi minuti dall'attivazione del rilevamento di dati sensibili. Per le organizzazioni più grandi o con configurazioni specifiche che influiscono sulla generazione dei risultati, possono essere necessarie fino a 12 ore prima che i risultati iniziali vengano visualizzati in Security Command Center.

Successivamente, Sensitive Data Protection genera risultati in Security Command Center entro pochi minuti dalla scansione delle risorse da parte del servizio di rilevamento.

Risultati delle vulnerabilità del servizio di rilevamento di Sensitive Data Protection

Il servizio di rilevamento di Sensitive Data Protection ti aiuta a determinare se stai archiviando dati altamente sensibili non protetti.

Categoria Riepilogo

Nome della categoria nell'API:

PUBLIC_SENSITIVE_DATA

Descrizione del risultato: la risorsa specificata contiene dati ad alta sensibilità a cui chiunque su internet può accedere.

Asset supportati:

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/TuningJob
  • bigquery.googleapis.com/Dataset
  • bigquery.googleapis.com/Table
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket
  • Bucket Amazon S3
  • Container Azure Blob Storage

Correzione:

Per i dati Google Cloud , rimuovi allUsers e allAuthenticatedUsers dalla policy IAM dell'asset di dati.

Per i dati Amazon S3, configura le impostazioni di blocco dell'accesso pubblico o aggiorna l'ACL dell'oggetto per negare l'accesso in lettura pubblico. Per saperne di più, consulta Configurazione delle impostazioni di blocco dell'accesso pubblico per i bucket S3 e Configurazione delle ACL nella documentazione di AWS.

Per i dati di Azure Blob Storage, rimuovi l'accesso pubblico al container e ai blob. Per saperne di più, consulta Panoramica: correzione dell'accesso in lettura anonimo per i dati blob nella documentazione di Azure.

Standard di conformità: non mappati

Nome della categoria nell'API:

SECRETS_IN_ENVIRONMENT_VARIABLES

Descrizione del risultato: sono presenti secret, come password, token di autenticazione e credenziali Google Cloud , nelle variabili di ambiente.

Per attivare questo rilevatore, consulta Segnala i secret nelle variabili di ambiente a Security Command Center nella documentazione di Sensitive Data Protection.

Asset supportati:

Correzione:

Per le variabili di ambiente di Cloud Run Functions, rimuovi il secret dalla variabile di ambiente e archivialo in Secret Manager.

Per le variabili di ambiente della revisione del servizio Cloud Run, sposta tutto il traffico dalla revisione, quindi elimina la revisione.

Standard di conformità:

  • CIS GCP Foundation 1.3: 1.18
  • CIS GCP Foundation 2.0: 1.18

Nome della categoria nell'API:

SECRETS_IN_STORAGE

Descrizione del risultato: nella risorsa specificata sono presenti secret, come password, token di autenticazione e credenziali cloud.

Asset supportati:

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/TuningJob
  • bigquery.googleapis.com/Dataset
  • bigquery.googleapis.com/Table
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket
  • Bucket Amazon S3
  • Container Azure Blob Storage

Correzione:

  1. Per i dati Google Cloud , utilizza Sensitive Data Protection per eseguire una scansione di ispezione approfondita della risorsa specificata per identificare tutte le risorse interessate. Per i dati Cloud SQL, esportali in un file CSV o AVRO in un bucket Cloud Storage ed esegui una scansione di ispezione approfondita del bucket.

    Per i dati di altri cloud provider, controlla manualmente il bucket o il container specificato.

  2. Rimuovi i secret rilevati.
  3. Valuta la possibilità di reimpostare le credenziali.
  4. Per i dati Google Cloud , valuta la possibilità di archiviare i secret rilevati in Secret Manager.

Standard di conformità: non mappati

Risultati di errori di configurazione dal servizio di rilevamento di Sensitive Data Protection

Il servizio di rilevamento di Sensitive Data Protection ti aiuta a determinare se sono presenti configurazioni errate che potrebbero esporre dati sensibili.

Categoria Riepilogo

Nome della categoria nell'API:

SENSITIVE_DATA_CMEK_DISABLED

Descrizione del risultato: la risorsa specificata contiene dati ad alta o moderata sensibilità e non utilizza una chiave di crittografia gestita dal cliente (CMEK).

Asset supportati:

  • aiplatform.googleapis.com/Dataset
  • bigquery.googleapis.com/Dataset
  • bigquery.googleapis.com/Table
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket
  • Bucket Amazon S3
  • Container Azure Blob Storage

Correzione:

Standard di conformità: non mappati

Risultati delle osservazioni di Sensitive Data Protection

Questa sezione descrive i risultati delle osservazioni generati da Sensitive Data Protection in Security Command Center.

Il servizio di rilevamento di Sensitive Data Protection ti aiuta a determinare se i tuoi dati contengono infoType specifici e dove si trovano nella tua organizzazione, nelle cartelle e nei progetti. Genera le seguenti categorie di risultati di osservazione in Security Command Center:

Categoria Riepilogo

Nome della categoria nell'API:

DATA_SENSITIVITY

Descrizione del risultato: un'indicazione del livello di sensibilità dei dati in un asset di dati specifico. I dati sono sensibili se contengono PII o altri elementi che potrebbero richiedere un controllo o una gestione aggiuntivi. La gravità del risultato è il livello di sensibilità calcolato da Sensitive Data Protection durante la generazione del profilo dati.

Nome della categoria nell'API:

DATA_RISK

Descrizione del risultato: il rischio associato ai dati nel loro stato attuale. Quando calcola il rischio dei dati, Sensitive Data Protection considera il livello di sensibilità dei dati nell'asset di dati e la presenza di controlli dell'accesso per proteggere questi dati. La gravità del risultato è il livello di rischio dei dati calcolato da Sensitive Data Protection durante la generazione del profilo dati.

Per informazioni su come inviare i risultati dei profili di dati a Security Command Center, consulta Abilita il rilevamento di dati sensibili.

Risultati delle osservazioni del servizio di ispezione di Sensitive Data Protection

Un job di ispezione di Sensitive Data Protection identifica ogni istanza di dati di un infoType specifico in un sistema di archiviazione come un bucket Cloud Storage o una tabella BigQuery. Ad esempio, puoi eseguire un job di ispezione che cerca tutte le stringhe che corrispondono al rilevatore infoType CREDIT_CARD_NUMBER in un bucket Cloud Storage.

Per ogni rilevatore di infoType che ha una o più corrispondenze, Sensitive Data Protection genera un risultato di Security Command Center corrispondente. La categoria dei risultati è il nome del rilevatore di infoType che ha trovato una corrispondenza, ad esempio Credit card number. Il risultato include il numero di stringhe corrispondenti rilevate nel testo o nelle immagini della risorsa.

Per motivi di sicurezza, le stringhe effettive rilevate non sono incluse nel risultato. Ad esempio, un risultato Credit card number mostra quanti numeri di carta di credito sono stati trovati, ma non i numeri di carta di credito effettivi.

Poiché in Sensitive Data Protection sono presenti più di 150 rilevatori di infoType integrati, non tutte le possibili categorie di risultati di Security Command Center sono elencate qui. Per un elenco completo dei rilevatori di infoType, consulta Riferimento dei rilevatori di infoType.

Per informazioni su come inviare i risultati di un job di ispezione a Security Command Center, consulta Invia i risultati del job di ispezione di Sensitive Data Protection a Security Command Center.

Esamina i risultati di Sensitive Data Protection nella console

  1. Nella console Google Cloud , vai alla pagina Risultati di Security Command Center.

    Vai ai risultati

  2. Seleziona il tuo progetto o la tua organizzazione Google Cloud .
  3. Nella sezione Filtri rapidi, nella sottosezione Nome visualizzato origine, seleziona Sensitive Data Protection. I risultati della query sui risultati vengono aggiornati per mostrare solo i risultati di questa origine.
  4. Per visualizzare i dettagli di un risultato specifico, fai clic sul nome del risultato nella colonna Categoria. Si apre il riquadro dei dettagli del risultato e viene visualizzata la scheda Riepilogo.
  5. Nella scheda Riepilogo, esamina i dettagli del risultato, incluse le informazioni su ciò che è stato rilevato, la risorsa interessata e, se disponibili, i passaggi che puoi seguire per correggere il risultato.
  6. (Facoltativo) Per visualizzare la definizione JSON completa del risultato, fai clic sulla scheda JSON.

VM Manager

VM Manager è una suite di strumenti utilizzabili per gestire sistemi operativi per grandi parchi risorse di macchine virtuali (VM) che eseguono Windows e Linux su Compute Engine.

Per utilizzare VM Manager con le attivazioni a livello di progetto di Security Command Center Premium, attiva il livello Security Command Center Standard-legacy nell'organizzazione principale.

Se attivi VM Manager con il livello Security Command Center Premium, VM Manager scrive automaticamente i risultati high e critical dai suoi report sulle vulnerabilità, che sono in anteprima, in Security Command Center. I report identificano le vulnerabilità nei sistemi operativi (OS) installati sulle VM, incluse le vulnerabilità ed esposizioni comuni (CVE).

I report sulle vulnerabilità non sono disponibili per il livello Security Command Center Standard-legacy.

I risultati semplificano il processo di utilizzo della funzionalità di conformità delle patch di VM Manager (anteprima). Se integrata con il livello Security Command Center Premium, la funzionalità consente la visibilità a livello di organizzazione e la gestione delle patch in tutti i tuoi progetti. Sebbene i singoli job di applicazione patch siano configurati all'interno di VM Manager a livello di progetto, Security Command Center fornisce una visualizzazione consolidata che ti aiuta a gestire i job di applicazione patch in tutta l'organizzazione.

Per correggere i risultati di VM Manager, consulta Risoluzione dei risultati di VM Manager.

Per impedire la scrittura dei report sulle vulnerabilità in Security Command Center, consulta Disattiva i risultati di VM Manager.

Le vulnerabilità di questo tipo riguardano tutte i pacchetti del sistema operativo installati nelle VM di Compute Engine supportate.

Rilevatore Riepilogo Impostazioni di scansione degli asset

Nome della categoria nell'API: OS_VULNERABILITY

Descrizione del risultato: VM Manager ha rilevato una vulnerabilità nel pacchetto del sistema operativo (OS) installato per una VM di Compute Engine.

Livello di prezzo: Premium

Asset supportati

compute.googleapis.com/Instance

Correggi questo risultato

I report sulle vulnerabilità di VM Manager descrivono in dettaglio le vulnerabilità nei pacchetti del sistema operativo installati per le VM di Compute Engine, incluse le vulnerabilità ed esposizioni comuni (CVE).

Per un elenco completo dei sistemi operativi supportati, consulta Dettagli del sistema operativo.

I risultati vengono visualizzati in Security Command Center poco dopo il rilevamento delle vulnerabilità. I report sulle vulnerabilità in VM Manager vengono generati come segue:

  • Quando un pacchetto viene installato o aggiornato nel sistema operativo di una VM, puoi aspettarti di visualizzare le informazioni relative alle vulnerabilità ed esposizioni comuni (CVE) per la VM in Security Command Center entro due ore dalla modifica.
  • Quando vengono pubblicati nuovi avvisi di sicurezza per un sistema operativo, le CVE aggiornate sono normalmente disponibili entro 24 ore dalla pubblicazione dell'avviso da parte del fornitore del sistema operativo.

Valutazione di vulnerabilità per AWS

Il servizio Vulnerability Assessment per Amazon Web Services (AWS) rileva le vulnerabilità del software nei workload in esecuzione su macchine virtuali (VM) EC2 sulla piattaforma cloud AWS.

Per ogni vulnerabilità rilevata, Valutazione di vulnerabilità per AWS genera un risultato della classe Vulnerability nella categoria di risultati Software vulnerability in Security Command Center.

Il servizio Valutazione di vulnerabilità per AWS esegue la scansione degli snapshot delle istanze delle macchine EC2 in esecuzione, in modo che i workload di produzione non siano interessati. Questo metodo di scansione è chiamato scansione dei dischi senza agenti, perché non sono installati agenti sui target di scansione.

Per ulteriori informazioni, consulta le seguenti risorse:

Valutazione di vulnerabilità per Google Cloud

Il servizio Vulnerability Assessment for Google Cloud rileva le vulnerabilità software nelle seguenti risorse sulla piattaforma Google Cloud :

  • Istanze VM di Compute Engine in esecuzione
  • Nodi nei cluster GKE Standard
  • Container in esecuzione nei cluster GKE Standard e GKE Autopilot

Per ogni vulnerabilità rilevata, Vulnerability Assessment for Google Cloud genera un risultato della classe Vulnerability nella categoria di risultati Software vulnerability o OS vulnerability in Security Command Center.

Il servizio Vulnerability Assessment for Google Cloud analizza le istanze VM di Compute Engine clonando i relativi dischi ogni 12 ore circa, montandoli in un'istanza VM sicura e valutandoli con lo scanner SCALIBR.

Per saperne di più, consulta Vulnerability Assessment per Google Cloud.

Web Security Scanner

Web Security Scanner fornisce l'analisi delle vulnerabilità web gestita e personalizzata per le applicazioni web pubbliche gestite da App Engine, GKE e Compute Engine.

Scansioni gestite

Le scansioni gestite di Web Security Scanner sono configurate e gestite da Security Command Center. Le analisi gestite vengono eseguite automaticamente una volta alla settimana per rilevare ed eseguire la scansione degli endpoint web pubblici. Queste scansioni non utilizzano l'autenticazione e inviano solo richieste GET, pertanto non inviano moduli sui siti web pubblicati.

Le scansioni gestite vengono eseguite separatamente dalle scansioni personalizzate.

Se Security Command Center è attivato a livello di organizzazione, puoi utilizzare le analisi gestite per gestire centralmente il rilevamento delle vulnerabilità delle applicazioni web di base per i progetti della tua organizzazione, senza dover coinvolgere i singoli team di progetto. Quando vengono rilevati risultati, puoi collaborare con questi team per configurare scansioni personalizzate più complete.

Quando attivi Web Security Scanner come servizio, i risultati delle scansioni gestite sono automaticamente disponibili nella pagina Vulnerabilità di Security Command Center e nei report correlati. Per informazioni su come attivare le scansioni gestite di Web Security Scanner, consulta Configura i servizi di Security Command Center.

Le scansioni gestite supportano solo le applicazioni che utilizzano la porta predefinita, ovvero 80 per le connessioni HTTP e 443 per le connessioni HTTPS. Se la tua applicazione utilizza una porta non predefinita, esegui una scansione personalizzata.

Scansioni personalizzate

Le scansioni personalizzate di Web Security Scanner forniscono informazioni granulari sui risultati delle vulnerabilità delle applicazioni, come librerie obsolete, cross-site scripting o utilizzo di contenuti misti.

Le analisi personalizzate vengono definite a livello di progetto.

I risultati delle scansioni personalizzate sono disponibili in Security Command Center dopo aver completato la guida per configurare le scansioni personalizzate di Web Security Scanner.

Rilevatori e conformità

Web Security Scanner supporta le categorie della OWASP Top Ten, un documento che classifica e fornisce indicazioni per la correzione dei 10 rischi per la sicurezza delle applicazioni web più critici, come stabilito dall'Open Web Application Security Project (OWASP). Per indicazioni su come mitigare i rischi OWASP, consulta Mitiga i rischi OWASP Top 10:2025 su Google Cloud.

La mappatura di conformità è inclusa come riferimento e non è fornita o esaminata dalla OWASP Foundation.

Questa funzionalità è destinata esclusivamente al monitoraggio delle violazioni dei controlli di conformità. Le mappature non vengono fornite per essere utilizzate come base o come sostituto di audit, certificazioni o report di conformità dei tuoi prodotti o servizi con benchmark o standard normativi o di settore.

Per saperne di più, consulta la panoramica di Web Security Scanner.

Servizi di rilevamento delle minacce

I servizi di rilevamento delle minacce includono servizi integrati che rilevano eventi che potrebbero indicare eventi potenzialmente dannosi, come risorse compromesse o attacchi informatici.

Agent Platform Threat Detection

Agent Platform Threat Detection fornisce il rilevamento delle minacce in fase di runtime per gli agenti di cui è stato eseguito il deployment in Agent Runtime. Monitora gli agenti in esecuzione per rilevare potenziali attacchi e genera risultati in Security Command Center.

Agent Platform Threat Detection può generare risultati per Agent Runtime, tra cui le seguenti categorie:

  • Comando e controllo: Strumento di steganografia rilevato
  • Accesso alle credenziali: trova Google Cloud Credenziali
  • Accesso alle credenziali: Ricognizione chiave GPG
  • Accesso alle credenziali: Cerca chiavi private o password
  • Elusione delle difese: Riga di comando file ELF Base64
  • Elusione delle difese: Script Python con codifica Base64 eseguito
  • Elusione delle difese: Script shell con codifica Base64 eseguito
  • Evasione delle difese: Avvia strumento di compilazione codice nel container
  • Esecuzione: esecuzione di codice remoto Netcat nel container
  • Esecuzione: possibile esecuzione di comandi arbitrari tramite CUPS (CVE-2024-47177)
  • Esecuzione: Possibile esecuzione di comando remoto rilevata
  • Esecuzione: Esecuzione del programma con ambiente proxy HTTP non consentito
  • Esecuzione: Rilevata reverse shell Socat
  • Esecuzione: Oggetto condiviso OpenSSL sospetto caricato
  • Esfiltrazione: Avvia strumenti di copia file remoti nel container
  • Impatto: Rileva cmdline dannose
  • Impatto: rimuovi i dati collettivi dal disco
  • Impatto: attività sospetta di cryptomining mediante il protocollo Stratum
  • Escalation dei privilegi: abuso di sudo per l'escalation dei privilegi (CVE-2019-14287)
  • Escalation dei privilegi: vulnerabilità di escalation dei privilegi locali di Polkit (CVE-2021-4034)
  • Escalation dei privilegi: Potenziale escalation dei privilegi sudo (CVE-2021-3156)
  • Esecuzione: Python dannoso eseguito
  • Esecuzione: container escape
  • Esecuzione: Esecuzione dello strumento di attacco Kubernetes
  • Esecuzione: Esecuzione degli strumenti di ricognizione locale
  • Impatto: script dannoso eseguito
  • Impatto: rilevato URL dannoso
  • Esecuzione: shell secondaria imprevista

Per saperne di più, consulta Rilevamento delle minacce di Agent Platform.

Rilevamento di anomalie

Il rilevamento di anomalie è un servizio integrato che utilizza indicatori di comportamento provenienti dall'esterno del tuo sistema. Mostra informazioni granulari sulle anomalie di sicurezza rilevate per i tuoi service account, ad esempio potenziali credenziali compromesse. Il rilevamento di anomalie viene attivato automaticamente quando attivi il livello Security Command Center Standard-legacy o Premium e i risultati sono disponibili nella console Google Cloud .

I risultati del rilevamento di anomalie includono:

Nome anomalia Categoria risultati Descrizione
account_has_leaked_credentials

Le credenziali di un service account Google Cloud vengono divulgate online accidentalmente o sono compromesse.

Gravità: critica

L'account ha credenziali divulgate

GitHub ha comunicato a Security Command Center che le credenziali utilizzate per un commit sembrano essere quelle di un account di servizio Identity and Access Management diGoogle Cloud .

La notifica include il nome account di servizio e l'identificatore della chiave privata. Google Cloud invia anche una notifica via email al tuo contatto designato per i problemi di sicurezza e privacy.

Per risolvere il problema, esegui una o più delle seguenti azioni:

  • Identificare l'utente legittimo della chiave.
  • Ruota la chiave.
  • Rimuovi la chiave.
  • Esamina tutte le azioni eseguite dalla chiave dopo la sua fuga per assicurarti che nessuna di queste sia dannosa.

JSON: risultato relativo alle credenziali dell'account compromesse

{
  "findings": {
    "access": {},
    "assetDisplayName": "PROJECT_NAME",
    "assetId": "organizations/ORGANIZATION_ID/assets/ASSET_ID",
    "canonicalName": "projects/PROJECT_ID/sources/SOURCE_INSTANCE_ID/findings/FINDING_ID",
    "category": "account_has_leaked_credentials",
    "contacts": {
      "security": {
        "contacts": [
          {
            "email": "EMAIL_ADDRESS"
          }
        ]
      }
    },
    "createTime": "2022-08-05T20:59:41.022Z",
    "database": {},
    "eventTime": "2022-08-05T20:59:40Z",
    "exfiltration": {},
    "findingClass": "THREAT",
    "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/cat",
    "indicator": {},
    "kubernetes": {},
    "mitreAttack": {},
    "mute": "UNDEFINED",
    "name": "organizations/ORGANIZATION_ID/sources/SOURCE_INSTANCE_ID/findings/FINDING_ID",
    "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_INSTANCE_ID",
    "parentDisplayName": "Cloud Anomaly Detection",
    "resourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "severity": "CRITICAL",
    "sourceDisplayName": "Cloud Anomaly Detection",
    "state": "ACTIVE",
    "vulnerability": {},
    "workflowState": "NEW"
  },
  "resource": {
    "name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "display_name": "PROJECT_NAME",
    "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "project_display_name": "PROJECT_NAME",
    "parent_name": "//cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID",
    "parent_display_name": "ORGANIZATION_NAME",
    "type": "google.cloud.resourcemanager.Project",
    "folders": []
  },
  "sourceProperties": {
    "project_identifier": "PROJECT_ID",
    "compromised_account": "SERVICE_ACCOUNT_NAME@PROJECT_ID.",
    "finding_type": "Potential compromise of a resource in your organization.",
    "summary_message": "We have detected leaked Service Account authentication credentials that could be potentially compromised.",
    "action_taken": "Notification sent",
    "private_key_identifier": "SERVICE_ACCOUNT_KEY_ID",
    "url": "https://github.com/KEY_FILE_PATH/KEY_FILE_NAME.json"
  }
}

Container Threat Detection

Container Threat Detection può rilevare gli attacchi runtime ai container più comuni e avvisarti in Security Command Center e, facoltativamente, in Cloud Logging. Container Threat Detection include diverse funzionalità di rilevamento, uno strumento di analisi e un'API.

La strumentazione di rilevamento di Container Threat Detection raccoglie il comportamento di basso livello nel kernel guest ed esegue l'elaborazione del linguaggio naturale sul codice per rilevare i seguenti eventi:

  • Added Binary Executed
  • Added Library Loaded
  • Command and Control: Steganography Tool Detected (anteprima)
  • Credential Access: Find Google Cloud Credentials
  • Credential Access: GPG Key Reconnaissance
  • Credential Access: Search Private Keys or Passwords
  • Defense Evasion: Base64 ELF File Command Line
  • Defense Evasion: Base64 Encoded Python Script Executed
  • Defense Evasion: Base64 Encoded Shell Script Executed
  • Defense Evasion: Launch Code Compiler Tool In Container (anteprima)
  • Execution: Added Malicious Binary Executed
  • Execution: Added Malicious Library Loaded
  • Execution: Built in Malicious Binary Executed
  • Execution: Container Escape
  • Execution: Fileless Execution in /memfd:
  • Execution: Ingress Nightmare Vulnerability Execution (anteprima)
  • Execution: Kubernetes Attack Tool Execution
  • Execution: Local Reconnaissance Tool Execution
  • Execution: Malicious Python executed
  • Execution: Modified Malicious Binary Executed
  • Execution: Modified Malicious Library Loaded
  • Execution: Netcat Remote Code Execution In Container
  • Execution: Possible Arbitrary Command Execution through CUPS (CVE-2024-47076)
  • Execution: Possible Remote Command Execution Detected (anteprima)
  • Execution: Program Run with Disallowed HTTP Proxy Env
  • Execution: Socat Reverse Shell Detected
  • Execution: Suspicious OpenSSL Shared Object Loaded
  • Exfiltration: Launch Remote File Copy Tools in Container
  • Impact: Detect Malicious Cmdlines (anteprima)
  • Impact: Remove Bulk Data From Disk
  • Impact: Suspicious crypto mining activity using the Stratum Protocol
  • Malicious Script Executed
  • Malicious URL Observed
  • Privilege Escalation: Abuse of Sudo For Privilege Escalation (CVE-2019-14287)
  • Privilege Escalation: Fileless Execution in /dev/shm
  • Privilege Escalation: Polkit Local Privilege Escalation Vulnerability (CVE-2021-4034)
  • Privilege Escalation: Sudo Potential Privilege Escalation (CVE-2021-3156)
  • Reverse Shell
  • Unexpected Child Shell

Scopri di più su Container Threat Detection.

Event Threat Detection

Event Threat Detection utilizza i dati di log all'interno dei tuoi sistemi. Controlla lo stream di Cloud Logging per i progetti e utilizza i log non appena diventano disponibili. Quando viene rilevata una minaccia, Event Threat Detection scrive un risultato in Security Command Center e in un progetto Cloud Logging. Event Threat Detection viene abilitato automaticamente quando attivi Security Command Center e i risultati sono disponibili nella consoleGoogle Cloud .

Rilevatori di Event Threat Detection

Scopri di più su Event Threat Detection.

Google Cloud Armor

Cloud Armor aiuta a proteggere la tua applicazione fornendo filtri di livello 7. Cloud Armor ripulisce le richieste in entrata da attacchi web comuni o altri attributi di livello 7 per bloccare potenzialmente il traffico prima che raggiunga i servizi di backend o i bucket di backend con bilanciamento del carico.

Cloud Armor esporta due risultati in Security Command Center:

Servizio Azioni sensibili

Sensitive Actions Service è un servizio integrato di Security Command Center che rileva quando vengono eseguite azioni nella tua organizzazione, nelle tue cartelle e nei tuoi progetti Google Cloud che potrebbero essere dannose per la tua attività se intraprese da un attore malintenzionato.

Il servizio Azioni sensibili è sempre attivo e monitora automaticamente tutti gli audit log delle attività di amministrazione della tua organizzazione per rilevare azioni sensibili. Gli audit log delle attività di amministrazione sono sempre attivi, quindi non è necessario attivarli o configurarli.

Per saperne di più sul servizio Azioni sensibili, consulta Panoramica del servizio Azioni sensibili.

Virtual Machine Threat Detection

Virtual Machine Threat Detection è un servizio integrato di Security Command Center. Questo servizio analizza le macchine virtuali per rilevare applicazioni potenzialmente dannose, come software di mining di criptovalute, rootkit in modalità kernel e malware in esecuzione in ambienti cloud compromessi.

VM Threat Detection fa parte della suite di rilevamento delle minacce di Security Command Center ed è progettato per integrare le funzionalità esistenti di Event Threat Detection e Container Threat Detection.

Per ulteriori informazioni su VM Threat Detection, consulta la panoramica di VM Threat Detection.

Risultati delle minacce di VM Threat Detection

VM Threat Detection può generare i seguenti risultati relativi alle minacce.

Risultati delle minacce di mining di criptovalute

VM Threat Detection rileva le seguenti categorie di risultati tramite la corrispondenza di hash o le regole YARA.

Risultati delle minacce di mining di criptovalute di VM Threat Detection
Categoria Modulo Descrizione
CRYPTOMINING_HASH Confronta gli hash della memoria dei programmi in esecuzione con gli hash della memoria noti del software di mining di criptovalute. Per impostazione predefinita, i risultati sono classificati con gravità Alta.
CRYPTOMINING_YARA Corrisponde a pattern di memoria, come le costanti proof-of-work, noti per essere utilizzati dal software di mining di criptovalute. Per impostazione predefinita, i risultati sono classificati con gravità Alta.
  • CRYPTOMINING_HASH
  • CRYPTOMINING_YARA
 Identifica una minaccia rilevata sia dal modulo CRYPTOMINING_HASH sia dal modulo CRYPTOMINING_YARA. Per saperne di più, consulta Rilevamenti combinati. Per impostazione predefinita, i risultati sono classificati con gravità Alta.

Risultati delle minacce di rootkit in modalità kernel

VM Threat Detection analizza l'integrità del kernel in fase di runtime per rilevare le tecniche di evasione comuni utilizzate dal malware.

Il modulo KERNEL_MEMORY_TAMPERING rileva le minacce eseguendo un confronto degli hash sul codice del kernel e sulla memoria dei dati di sola lettura del kernel di una macchina virtuale.

Il modulo KERNEL_INTEGRITY_TAMPERING rileva le minacce controllando l'integrità di importanti strutture di dati del kernel.

Risultati delle minacce di rootkit in modalità kernel di VM Threat Detection
Categoria Modulo Descrizione
rootkit
  • KERNEL_MEMORY_TAMPERING
  • KERNEL_INTEGRITY_TAMPERING
 È presente una combinazione di indicatori corrispondenti a un rootkit in modalità kernel noto. Per ricevere i risultati di questa categoria, assicurati che entrambi i moduli siano abilitati. Per impostazione predefinita, i risultati sono classificati con gravità Alta.
Manomissione della memoria del kernel
KERNEL_MEMORY_TAMPERING Sono presenti modifiche impreviste alla memoria dei dati di sola lettura del kernel. Per impostazione predefinita, i risultati sono classificati con gravità Alta.
Manomissione dell'integrità del kernel
KERNEL_INTEGRITY_TAMPERING Sono presenti punti ftrace con callback che puntano a regioni che non rientrano nell'intervallo di codice del kernel o del modulo previsto. Per impostazione predefinita, i risultati sono classificati con gravità Alta.
KERNEL_INTEGRITY_TAMPERING Sono presenti gestori di interruzioni che non si trovano nelle regioni di codice del kernel o del modulo previste. Per impostazione predefinita, i risultati sono classificati con gravità Alta.
KERNEL_INTEGRITY_TAMPERING Sono presenti pagine di codice del kernel che non si trovano nelle regioni di codice del kernel o del modulo previste. Per impostazione predefinita, i risultati sono classificati con gravità Alta.
KERNEL_INTEGRITY_TAMPERING Sono presenti kprobe punti con callback che puntano a regioni che non rientrano nell'intervallo di codice del kernel o del modulo previsto. Per impostazione predefinita, i risultati sono classificati con gravità Alta.
KERNEL_INTEGRITY_TAMPERING Sono presenti processi imprevisti nella coda di esecuzione dello scheduler. Questi processi si trovano nella coda di esecuzione, ma non nell'elenco delle attività del processo. Per impostazione predefinita, i risultati sono classificati con gravità Alta.
KERNEL_INTEGRITY_TAMPERING Sono presenti gestori di chiamate di sistema che non si trovano nelle regioni di codice del kernel o del modulo previste. Per impostazione predefinita, i risultati sono classificati con gravità Alta.

Errori

I rilevatori di errori possono aiutarti a rilevare errori nella configurazione che impediscono alle origini di sicurezza di generare risultati. I risultati di errore vengono generati dall'origine di sicurezza Security Command Center e hanno la classe di risultati SCC errors.

Azioni involontarie

Le seguenti categorie di risultati rappresentano errori che potrebbero essere stati causati da azioni involontarie.

Azioni involontarie
Nome categoria Nome API Riepilogo Gravità
API_DISABLED

Descrizione del risultato: un'API richiesta è disattivata per il progetto. Il servizio disabilitato non può inviare risultati a Security Command Center.

Livello di prezzo: Premium o Standard

Asset supportati
cloudresourcemanager.googleapis.com/Project

Scansioni in batch: ogni 60 ore

Correggi questo risultato

Critico
APS_NO_RESOURCE_VALUE_CONFIGS_MATCH_ANY_RESOURCES

Descrizione del risultato: le configurazioni dei valori delle risorse sono definite per le simulazioni del percorso di attacco, ma non corrispondono a nessuna istanza di risorsa nel tuo ambiente. Le simulazioni utilizzano invece il set di risorse di alto valore predefinito.

Questo errore può essere dovuto a una delle seguenti cause:

  • Nessuna delle configurazioni dei valori delle risorse corrisponde a istanze di risorse.
  • Una o più configurazioni di valori delle risorse che specificano NONE eseguono l'override di ogni altra configurazione valida.
  • Tutte le configurazioni dei valori delle risorse definite specificano un valore NONE.

Livello di prezzo: Premium

Asset supportati
cloudresourcemanager.googleapis.com/Organizations

Scansioni in batch: prima di ogni simulazione del percorso di attacco.

Correggi questo risultato

Critico
APS_RESOURCE_VALUE_ASSIGNMENT_LIMIT_EXCEEDED

Descrizione del risultato: Nell'ultima simulazione del percorso di attacco, il numero di istanze di risorse di alto valore, identificate dalle configurazioni dei valori delle risorse, ha superato il limite di 1000 istanze di risorse in un set di risorse di alto valore. Di conseguenza, Security Command Center ha escluso il numero in eccesso di istanze dal set di risorse di valore elevato.

Il numero totale di istanze corrispondenti e il numero totale di istanze escluse dal set sono identificati nel risultato SCC Error nella console Google Cloud .

I punteggi di esposizione agli attacchi per i risultati che interessano le istanze di risorse escluse non riflettono la designazione di alto valore delle istanze di risorse.

Livello di prezzo: Premium

Asset supportati
cloudresourcemanager.googleapis.com/Organizations

Scansioni in batch: prima di ogni simulazione del percorso di attacco.

Correggi questo risultato

Alta
KTD_IMAGE_PULL_FAILURE

Descrizione del risultato: Non è possibile attivare Container Threat Detection sul cluster perché non è possibile eseguire il pull (scaricare) un'immagine container richiesta da gcr.io, l'host dell'immagine Container Registry. L'immagine è necessaria per eseguire il deployment del DaemonSet di Container Threat Detection richiesto da Container Threat Detection.

Il tentativo di eseguire il deployment del DaemonSet di Container Threat Detection ha generato il seguente errore:

Failed to pull image "badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00": rpc error: code = NotFound desc = failed to pull and unpack image "badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00": failed to resolve reference "badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00": badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00: not found

Livello di prezzo: Premium

Asset supportati
container.googleapis.com/Cluster

Scansioni in batch: ogni 30 minuti

Correggi questo risultato

Critico
KTD_BLOCKED_BY_ADMISSION_CONTROLLER

Descrizione del risultato: Container Threat Detection non può essere abilitato su un cluster Kubernetes. Un controller di ammissione di terze parti impedisce il deployment di un oggetto DaemonSet di Kubernetes richiesto da Container Threat Detection.

Se visualizzati nella console Google Cloud , i dettagli del risultato includono il messaggio di errore restituito da Google Kubernetes Engine quando Container Threat Detection ha tentato di eseguire il deployment di un oggetto DaemonSet di Container Threat Detection.

Livello di prezzo: Premium

Asset supportati
container.googleapis.com/Cluster

Scansioni in batch: ogni 30 minuti

Correggi questo risultato

Alta
KTD_SERVICE_ACCOUNT_MISSING_PERMISSIONS

Descrizione del risultato: Un account di servizio non dispone delle autorizzazioni richieste da Container Threat Detection. Container Threat Detection potrebbe smettere di funzionare correttamente perché non è possibile attivare, eseguire l'upgrade o disattivare la strumentazione di rilevamento.

Livello di prezzo: Premium

Asset supportati
cloudresourcemanager.googleapis.com/Project

Scansioni in batch: ogni 30 minuti

Correggi questo risultato

Critico
GKE_SERVICE_ACCOUNT_MISSING_PERMISSIONS

Descrizione del risultato: Container Threat Detection non può generare risultati per un cluster Google Kubernetes Engine, perché il service account GKE predefinito sul cluster non dispone delle autorizzazioni. In questo modo, Container Threat Detection non viene attivato correttamente sul cluster.

Livello di prezzo: Premium

Asset supportati
container.googleapis.com/Cluster

Analisi in batch: ogni settimana

Correggi questo risultato

Alta
MISCONFIGURED_CLOUD_LOGGING_EXPORT

Ricerca descrizione: Il progetto configurato per l'esportazione continua su Cloud Logging non è disponibile. Security Command Center non può inviare risultati a Logging.

Livello di prezzo: Premium

Asset supportati
cloudresourcemanager.googleapis.com/Organization

Scansioni in batch: ogni 30 minuti

Correggi questo risultato

Alta
VPC_SC_RESTRICTION

Descrizione del risultato: Security Health Analytics non può produrre determinati risultati per un progetto. Il progetto è protetto da un perimetro di servizio e il account di servizio di Security Command Center non ha accesso al perimetro.

Livello di prezzo: Premium o Standard

Asset supportati
cloudresourcemanager.googleapis.com/Project

Analisi in batch: ogni 6 ore

Correggi questo risultato

Alta
EXTERNAL_EXPOSURE_VPC_SC_RESTRICTION

Descrizione del risultato: External Exposure non può eseguire scansioni o generare risultati per un progetto. Il progetto è protetto da un perimetro di servizio e l'agente di servizio Esposizione esterna non ha accesso al perimetro.

Livello di prezzo: Premium

Asset supportati
cloudresourcemanager.googleapis.com/Project

Scansioni in batch: ogni 12 ore

Correggi questo risultato

Alta
SCC_SERVICE_ACCOUNT_MISSING_PERMISSIONS

Descrizione del risultato: Il account di servizio di Security Command Center non dispone delle autorizzazioni necessarie per funzionare correttamente. Non vengono generati risultati.

Livello di prezzo: Premium o Standard

Asset supportati

Scansioni in batch: ogni 30 minuti

Correggi questo risultato

Critico

Per saperne di più, consulta Errori di Security Command Center.

Integrazione di Application Design Center

Puoi integrare le valutazioni di sicurezza proattive direttamente nel ciclo di vita dello sviluppo delle applicazioni utilizzando Application Design Center (App Design Center) con Security Command Center.

Questa integrazione si concentra sui seguenti concetti principali.

Risultati in fase di progettazione e di runtime

  • Risultati in fase di progettazione: provengono dalle scansioni dei modelli e delle applicazioni Infrastructure as Code (IaC) all'interno di App Design Center prima del deployment delle risorse. I risultati in fase di progettazione vengono inviati a Security Command Center on demand quando esegui il deployment di un'applicazione. Non viene eseguita alcuna scansione periodica automatica dei progetti delle applicazioni. Per maggiori informazioni, consulta Conservazione dei dati.
  • Risultati di runtime: provengono da risorse di cui è stato eseguito il deployment nel tuo ambiente cloud.

Security Command Center mostra entrambi i tipi di risultati per fornire una visione unificata della security posture della tua applicazione.

Applicazioni gestite e non gestite

Security Command Center utilizza i seguenti termini per differenziare le applicazioni in base al modo in cui viene eseguito il deployment:

Applicazioni gestite
Applicazioni progettate utilizzando App Design Center. Queste applicazioni supportano le valutazioni in fase di progettazione.
Applicazioni non gestite
Applicazioni registrate in App Hub, ma non gestite da App Design Center. Queste applicazioni supportano il monitoraggio del runtime e la definizione delle priorità dei rischi in Security Command Center, ma non supportano le valutazioni in fase di progettazione.

Punti di valutazione pre-deployment

Puoi eseguire valutazioni della sicurezza in diverse fasi del ciclo di vita dell'applicazione all'interno di App Design Center.

  1. Fase di progettazione: valutazioni on demand in App Design Center quando modifichi un template o un'applicazione.
  2. Fase di pubblicazione: valutazioni automatiche all'interno di App Design Center quando pubblichi i template in un catalogo dei servizi.
  3. Fase di deployment: un controllo di valutazione finale prima di eseguire il provisioning delle risorse.

I risultati in fase di progettazione vengono inviati a Security Command Center solo quando viene eseguito il deployment dell'applicazione.

Esamina i risultati della valutazione della sicurezza del ciclo di vita delle applicazioni nella console

  1. Nella console Google Cloud , vai alla pagina Risultati di Security Command Center.

    Vai ai risultati

  2. Seleziona il tuo progetto o la tua organizzazione Google Cloud .
  3. Nella sezione Filtri rapidi, nella sottosezione Nome visualizzato origine, seleziona Application Design Center. I risultati della query sui risultati vengono aggiornati per mostrare solo i risultati di questa origine.
  4. Per visualizzare i dettagli di un risultato specifico, fai clic sul nome del risultato nella colonna Categoria. Si apre il riquadro dei dettagli del risultato e viene visualizzata la scheda Riepilogo.
  5. Nella scheda Riepilogo, esamina i dettagli del risultato, incluse le informazioni su ciò che è stato rilevato, la risorsa interessata e, se disponibili, i passaggi che puoi seguire per correggere il risultato.
  6. (Facoltativo) Per visualizzare la definizione JSON completa del risultato, fai clic sulla scheda JSON.

App Hub

Security Command Center e Compliance Manager ti consentono di visualizzare risultati, problemi e informazioni sulla conformità per le risorse all'interno di un'applicazione App Hub specifica. Puoi filtrare le visualizzazioni di indagine per visualizzare i dati solo per le risorse registrate in un'applicazione App Hub.

Puoi applicare filtri nelle seguenti visualizzazioni di indagine:

  • Dashboard Panoramica dei rischi > Tutti i rischi
  • Panoramica dei rischi > Dashboard Dati
  • Pagina Risultati
  • Pagina Problemi
  • Scheda Conformità > Monitoraggio (nuovo)
  • Pagina Compliance > Monitor (New) > Framework Details

Quando visualizzi i dati a livello di organizzazione, puoi utilizzare il menu Seleziona app per filtrare la visualizzazione. Questo menu elenca le applicazioni create in App Hub e di cui è stato eseguito il deployment nella stessa organizzazione in cui è attivo Security Command Center. Le informazioni nel menu Seleziona app vengono recuperate da Cloud Asset Inventory e App Hub.

Il menu Seleziona app non è disponibile quando visualizzi i dati di un singolo progetto o di una singola cartella.

Passaggi successivi